Europa im Dunkeln - Können uns Hacker zukünftig den Strom abschalten?

Zukünftige Stromnetze werden sogenannte Smart Grids darstellen. Diese vereinen Konzepte der Energietechnik mit denen der Informationstechnik und schaffen so ein intelligentes Netz, das beispielsweise elektrische Verbraucher steuert, um Lastspitzen zu dämpfen bzw. kurzfristig überschüssige Energie abzunehmen. Dies soll eine verbesserte Stabilität und Effizienz des Energienetzes bewirken; Kraftwerkskapazitäten, die nicht zuletzt aufgrund des Ausstiegs aus der Atomenergie eine knappe Ressource darstellen, werden besser ausgenutzt und die Integration von dezentraler Stromerzeugung über erneuerbare Energien (Wind-, Wasserkraft) wird verbessert. Soweit die Theorie. Bisher gibt es noch kein flächendeckendes Smart Grid; die Energieversorger und Netzbetreiber haben zunächst Pilotprojekte initiiert, um das Zusammenwirken der Komponenten zu testen und Erfahrungen zu gewinnen: Smart Meter im Haushalt ersetzen alte analoge Stromzähler, steuerbare Verbraucher können Waschmaschinen sein, die erst dann anlaufen, wenn es für das Netz günstig ist; Übertragung und Aggregation der gewonnen Daten erlauben eine bedarfsgerechte Energieerzeugung. Standards und Vorschriften für das Smart Grid sind noch in der Phase der Ausarbeitung bzw. Diskussion. Da Stromnetze supranationale Zusammenschaltungen regionaler Netze darstellen, die von unterschiedlichen Betreibern geplant und aufgebaut werden, gibt es ohnehin keine mächtige zentrale Instanz, die den Netzausbau steuert, Technologien festlegt und Vorausplanungen im Rahmen eins Top-Down-Entwurfs vornimmt. Das Netz wächst vielmehr organisch und wird regionalen Anforderungen angepasst.

Die Integration von IT-Systemen in das Stromnetz in Verbindung mit dem Aufbau einer Kommunikationsinfrastruktur für diese Komponenten schafft eine neue Angriffsfläche: Sicherheitslücken in den IT-Systemen, wie wir sie von Internetservern kennen, gefährden nicht nur die Integrität der Daten in diesen Systemen (Stromverbrauchsdaten könnten verfälscht werden), sie können auch dazu führen, dass ein Angriff über das Datennetz ein Versagen des Energienetzes und damit einen flächigen Stromausfall verursacht.  Ein plötzlicher Ausfall eines Netzsegmentes kann sich zudem kaskadierend auf benachbarte Segmente auswirken: Der Stromausfall überschreitet dann auch nationale Grenzen und breitet sich im Extremfall bis zu den europäischen Küsten aus: 2006 führte die Abschaltung einer Stromleitung in Niedersachsen zu Stromausfällen, die sich bis nach Italien und Spanien fortpflanzten. Angriffe auf Smart Grids können aus der Ferne über Computernetze erfolgen und eine Vielzahl weit voneinander entfernten Komponenten gleichzeitig betreffen; brachiale Sabotagemethoden wie das Umsägen von Strommasten oder die Zerstörung ganzer Umspannwerke gehören dann der Vergangenheit an.

Bildquelle: Robert Lawton, Creative Commons ShareAlike 2.5

Stromnetze stellen eine kritische Infrastruktur dar. Wirtschaft und Gesellschaft sind in hohem Maße von einer funktionierenden Stromversorgung abhängig. Ein regionaler Stromausfall über mehrere Stunden führt bereits zu bedeutenden wirtschaftlichen Schäden. Sollte der Strom einmal für Tage oder gar Wochen im ganzen Land ausfallen, wäre dies ein Katastrophenfall, da dann auch andere kritische Infrastrukturen versagten, die nur kurzzeitig ohne elektrischen Strom betrieben werden können: Ohne Strom keine Heizung, keine Treibstoffe für die Motoren, kein Internet oder Telefonnetz, kein Wassernetz, keine medizinische Versorgung, kein Zahlungsverkehr oder Versorgung mit Lebensmitteln. Eine Horrorvision!

Kritische Infrastrukturen bedürfen eines besonderen Schutzes. Die Energieversorger und Netzbetreiber sind daher verpflichtet, eine Verletzlichkeit  des Energienetzes gegenüber gezielten Angriffen (Sabotage, Terroranschläge) zu minimieren und bekannt gewordene Sicherheitslücken zu schließen. Trotz der erheblichen Auswirkungen, die eine Sabotage des Stromnetzes mit sich bringen würde, spielte die Frage der Sicherheit und Verlässlichkeit von Smart Grids bei der Weiterentwicklung der Stromnetze auch international nur eine untergeordnete Rolle [1]. Die Anforderung, in kurzer Zeit Komponenten zu entwickeln und die eigene Infrastruktur aufzubauen, wirkt sich hier negativ aus: Es fehlt die Zeit, komplexe Angriffsszenarien zu erforschen und Gegenmaßnahmen vorzubereiten. Das Netz wächst und verändert sich schneller als die darauf bezogenen Sicherheitskonzepte.

Dass mit der Schaffung verwundbarer Smart Grids ein zukünftiges Aktionsfeld für Sabotage und Terrorismus geschaffen wird, dringt nun langsam in das Bewusstsein von Politik und Öffentlichkeit. Es wurden Forschungsprogramme aufgelegt, die Schutzlücken aufzeigen und eine Entwicklung sicherer Infrastrukturkomponenten befördern sollen (z. B. das Rahmenprogramm "Forschung für die zivile Sicherheit" der Bundesregierung). Es bleibt jedoch unklar, ob der Wissenstransfer zur Industrie hier rechtzeitig erfolgen kann, denn der Netzausbau wie auch der Umbau zum Smart Grid erfolgt gleichzeitig mit der Initiierung der Sicherheitsforschung. Nachträglich hektisch eingepflegte Reparaturen des Smart Grids sind jedoch weniger effektiv als die Berücksichtigung von Sicherheitskonzepten während der Ausbauphase.

Möglicherweise sorgt eine aktuelle Buchveröffentlichung des Schriftstellers Marc Elsberg für eine stärkere Wahrnehmung der Problematik außerhalb der Fachöffentlichkeit. Elsberg hat nicht etwa ein Sachbuch geschrieben, das die potentielle Verwundbarkeit von Stromnetzen allgemeinverständlich beschreibt. Nein - das Buch (Blackout - Morgen ist es zu spät, 2012) ist vielmehr ein Thriller, der eine denkbare Vorgehensweise der Angreifer und die Auswirkungen des Netzversagens auf Politik und Bevölkerung plastisch darstellt. Ich hatte kürzlich Gelegenheit, mit dem Autor und Dr. Thomas Petermann (Institut für Technikfolgenabschätzung beim deutschen Bundestag) in einer vom Verlag organisierten Podiumsdiskussion die zugrundliegenden technologischen und Sicherheitsfragen zu diskutieren. Ich musste konstatieren, dass Marc Elsberg die technischen Hintergründe sorgfältig recherchiert und auch plausible Angriffsszenarien in die Fiktion eingearbeitet hat. Man wünscht sich, dass ein Energiemanager oder energiepolitischer Sprecher einer Fraktion, der lange technische Berichte nicht mehr lesen mag, den Thriller zur Hand nimmt, um einen Eindruck zu gewinnen, was ein erfolgreicher Angriff auf ein Smart Grid zur Folge haben könnte.

Natürlich sollten wir nicht in Panik verfallen. Ein Netzversagen mit Stromausfall allein – egal ob durch Terroristen oder durch einen Unfall ausgelöst – stellt noch keine Katastrophe dar, denn die Energieversorger sind in der Lage, das Netz nach kurzer Zeit wieder hochzufahren. Ein bedeutender wirtschaftlicher Schaden ist nicht mit einer humanitären Katastrophe gleichzusetzen. Einem terroristischen Angreifer müsste es vielmehr gelingen, die Informations- und Steuerungssysteme zu sabotieren, die beim Anfahren des Netzes benötigt werden und gleichzeitig einen Stromausfall zu provozieren – oder wenigstens so lange unentdeckt zu bleiben, bis "zufällig" ein Stromausfall auftritt. Die sogenannten SCADA-Systeme [2] zur Steuerung unterliegen jedoch einem besonderen Schutz. Es erscheint fast abwegig, dass ein komplexer Angriff auf solche Systeme, der gezielt die Informationen für das Wiederanfahren verfälscht und tagelang oder gar wochenlang für einen Stromausfall sorgt, Erfolg hätte. Das Phänomen "Stuxnet", ein Computerwurm, der 2010 die SCADA-Systeme zur Urananreicherung in iranischen Anlagen infiltrierte und der Bedienmannschaft langfristig einen ordnungsgemäßen Ablauf der Prozesse erfolgreich vorgaukelte, zeigt jedoch, dass dies mit hohem Aufwand möglich ist. Die katastrophalen Folgen werden in Elsbergs Roman anschaulich beschrieben, aber er ist zum Glück nur eine Fiktion. Noch gibt es kein Smart Grid in Europa, d. h. es gibt auch kein unsicheres Smart Grid.

Referenzen:

[1] Claudia Eckert, Christoph Krauß: Sicherheit im Smart Grid. Datenschutz und Datensicherheit, 8/2011. Abschnitt 3, erster Absatz.

[2] Supervisory Control and Data Acquisition Systems: http://www.cpni.gov.uk/advice/infosec/business-systems/scada/

EDIT: Tippfehler korrigiert. (08.04. 13:24h)

Geschrieben in Allgemein | 3 Kommentare | 0 Trackbacks | Permalink

Mit der Fuzzing-Technik können bisher unerkannte Softwarefehler identifiziert werden

Die Handykamera erfasst die Grafik und liest diese ohne weitere Rückfrage ein. Dann passiert es: Anstatt einer erfolgreichen Erkennung oder Ausgabe einer Fehlermeldung stürzt die App einfach ab! Das Smartphone-Betriebssystem bestätigt den Fehler bei der Ausführung der Software. Der Handybesitzer ist aber nicht verärgert sondern erfreut, denn genau das wollte er erreichen. Ein Fehler in einer aktuellen Software, die Millionen von Menschen mit sich herumtragen, wurde gefunden - und das war auch das Ziel des Praktikums zur Vorlesung Security an der Fachhochschule Münster.

Wenn Programme falsche Eingaben erhalten, erwarten die Benutzer die Ausgabe einer Fehlermeldung. Die Meldung sollte den Fehler möglichst genau beschreiben, um den Benutzer bei der Korrektur zu unterstützen. Da komplexe Software aber erfahrungsgemäß nicht fehlerfrei ist, gibt es Ausnahmen. Die Software verschluckt sich an der Eingabe und gerät in einen undefinierten Zustand, was oft zum Absturz des Programms führt. In schlimmeren Fällen ergeben sich sogar Sicherheitslücken, die gezielt ausgenutzt werden können.

In einem Praktikum sollten Studierende daher zum Ende des Wintersemesters 11/12  die Softwarebibliothek ZXing testen und Fehler finden, die bisher noch niemand identifiziert hatte. Diese Bibliothek ist Grundlage für das Erkennen von QR-Codes oder Barcodes mithilfe von Android-Smartphones; sie wird also von vielen Handybesitzern genutzt, ohne dass dies den meisten bewusst wäre. Falls diese Bibliothek tatsächlich schwerwiegende Fehler enthielte, wäre die Sicherheit von Smartphones beim Einlesen von manipulierten QR-Codes gefährdet. (Der Hintergrund wurde bereits in einem anderen Blogpost beleuchtet.)

Das spezielle Testverfahren für Software, das hier eingesetzt wurde, heißt Fuzzing (engl. fuzzy: unscharf). Mithilfe von Werkzeugen werden viele zufällige Eingaben erzeugt, in der Hoffnung vorhandene Fehler schrotschussartig zu erwischen. Die zu testende Software wird als Black Box angesehen, d. h. der interne Aufbau ist nicht bekannt bzw. wird nicht im Detail berücksichtigt.

Fuzzing wurde bereits 1988 von Barton Miller an der Universität von Wisconsin entwickelt oder – besser gesagt – entdeckt, denn ein zufälliges Ereignis spielte hier eine Rolle. Miller wählte sich während eines Gewitters per 1200-Baud-Modem in das Computernetz der Hochschule ein. Die Verbindung wurde immer wieder durch starkes Rauschen auf der Telefonleitung gestört, d. h. die Kommandos, die er per Tastatureingabe übertrug, wurden teilweise mit zufälligen Zeichen ergänzt oder überschrieben. Zur Überraschung Millers führte dies aber nicht nur zu Fehlermeldungen der Programme, die falsche Eingaben erhielten, sondern auch zu einer Reihe von Programmabstürzen. Betroffen waren Unix-Utilities, d. h. Hilfsprogramme, die täglich genutzt werden und als stabil und gut getestet angesehen wurden. Offenbar bewirkten aber zufällige Eingaben Fehlerzustände, die von den Programmieren und Testern zuvor nicht gefunden worden waren.

Miller ging der Sache auf den Grund und entwickelte gemeinsam mit Studierenden eine Testsoftware, die den Effekt gezielt ausnutzte und mit der alle gängigen Utilities getestet wurden. Fast ein Drittel der Unix-Utilities erwies sich als anfällig, so dass viele Programmierfehler aufgedeckt und korrigiert werden konnten. Die Veröffentlichung dieses Ergebnisses sorgte dafür, dass Fuzzing zu einer etablierten Testmethode wurde.

Beim praktischen Einsatz von Fuzzing ist es jedoch nicht ausreichend, zufällige Zeichenfolgen oder – wie im Fall von QR-Codes – verrauschte Pixelmuster zu erzeugen und abzuwarten, wann ein Programm bei der Eingabe abstürzt. Die zu testende Software erwartet die Eingabe in einem vorgegebenen Format: Eine spezielle Syntax wird vorausgesetzt. Bei zufälligen Eingaben ist es unwahrscheinlich oder sogar praktisch ausgeschlossen, dass diese eine korrekte Syntax aufweisen. Die Überprüfung der Syntax ist aber nur eine Funktion der Software unter vielen; der Test wäre also ineffizient. Beim fortgeschrittenen Fuzzing ist daher darauf zu achten, dass die Eingaben sorgfältig konstruiert werden: Zufällige Elemente werden auf eine Weise eingefügt, dass Nebenbedingungen (wie korrekte Syntax) nicht verletzt werden.

Die Studierenden (des Master-Studiengangs Informationstechnik) mussten sich daher mit der Spezifikation der QR-Codes vertraut machen und eine geeignete Strategie entwickeln, um zufällige Eingaben zu erzeugen, die eine Ähnlichkeit zu korrekten Eingaben aufweisen, um möglichst viele Programmfunktion beim Testen abzudecken. Die Gesamtgruppe (15 Studierende, zwei Betreuer) wurde daher in zwei Teilgruppen aufgeteilt, die verschiedene Fuzzing-Strategien verfolgte. Jede Teilgruppe  zerfiel ihrerseits in drei Teilkompetenzen, so dass studentische Experten für die Smartphone-Simulation, die Fuzzing-Steuerung und die QR-Code-Generierung in beiden Teilgruppen vorhanden waren. Es kam daher auf Arbeitsteilung und funktionierendes Teamwork an, und das gelang erfolgreich. In nur zwei Nachmittagen wurde ein funktionsfähiger und vielseitiger Testaufbau im Hochschullabor entwickelt – und es wurden sofort „echte“ Fehler gefunden!

Picture credits: fuzzing team members T Biermann, R Böing, S Brinkhaus, M Dankel, U Greveler, A Jordan, A Kaiser, A Kuhn, D Löhr, S Möstel, W Rickert, M Ruffer, D Sondermann, P Steffan, M Wellmeyer, M Wesker, M Wilmes. Münster University of Applied Sciences.

Die Leser können es selbst ausprobieren. Scannen Sie eines der obigen Bilder mithilfe einer Android-App ein, die QR-Codes versteht. Aber Vorsicht: Sie tun dies auf eigene Gefahr! Wenn beim Absturz der App noch nicht gespeicherte Daten verloren gehen, übernehmen wir keine Verantwortung. Das ZXing-Entwicklerteam wurde übrigens bereits einige Stunden vor Erscheinen dieses Beitrags informiert. Der Fehler wurde umgehend beseitigt, was sich aber erst im nächsten Release der Systemsoftware bemerkbar machen wird. Eine unmittelbare Sicherheitsrelevanz haben die gefundenen Fehler nach erster Analyse nicht, sieht man einmal davon ab, dass Abstürze von Apps, die QR-Codes ohne weitere Interaktion mit dem Nutzer analysieren, die Verfügbarkeit des Smartphones mindern.

Geschrieben in Allgemein | 0 Kommentare | 0 Trackbacks | Permalink

Für Whistleblower stellt das Internet eine praktische Möglichkeit dar, anonym mit Journalisten Kontakt aufnehmen zu können.  Vorbei ist die Zeit der Umschläge, die bei Nacht und Nebel heimlich in Briefkästen gesteckt werden. Informationen können zeitnah übermittelt und Nachfragen beantwortet werden, ohne die eigene Identität preiszugeben. Aber ist es Aufgabe von Journalisten, unvorsichtige Informanten selbst zu enttarnen, nur weil sie persönlich mit ihnen sprechen wollen und dann Quellenschutz gewähren können? Ein Fall aus Remseck am Neckar zeigt beispielhaft, in welche ethische Grauzone sich investigativ tätige Journalisten begeben können.

Peinliche Falschmeldungen

Internetrecherchen gehören zum Handwerkszeug von Journalisten. Der geübte Umgang mit Suchmaschinen und die Fähigkeit, Informationen aus dem Internet überprüfen zu können, stellen eine wichtige Basis für die Recherche dar. Fehlinformationen verbreiten sich rasch im Netz; die Anzahl der Treffer bei Google sagt nichts darüber aus, ob es mehrere unabhängige Quellen für eine Information gibt: Immer wieder kommt es vor, dass Agenturen Falschmeldungen verbreiten: Das Bluewater-Debakel im September 2009 zeigte, dass ein telefonisch mitgeteiltes Breaking-News-Ereignis (Terroranschlag in amerikanischer Kleinstadt) in Verbindung mit einer gefälschten Webseite (erfundener lokaler TV-Sender) ausreicht, um Medien wie dpa und heute.de zu täuschen. Der angebliche Anschlag entpuppte sich als PR-Aktion des Regisseurs Jan Henrik Stahlberg, der auf seinen neuen Film „Short Cut to Hollywood“ aufmerksam machen wollte.

Im Juni 2011 wurde über das Schicksal der syrischen Bloggerin Amina Abdallah Arraf berichtet, die als „Gay Girl in Damascus“ bloggte und wegen ihrer Homosexualität auf offener Straße angegriffen und entführt wurde. Arraf wurde zu einer Ikone des Aufstandes in Syrien. Erste Zweifel an der Story wurden von der New York Times angemeldet. Schließlich stellte sich heraus, dass die berichtenden Medien allein das Blog als Quelle nutzten; niemand stand in direktem Kontakt mit der Bloggerin und überprüfte ihre Identität. Das Blog wurde jedoch von einem 40-jährigen Doktoranden aus Edinburgh betrieben, der die Existenz Arrafs frei erfunden hatte. Aufgeflogen war er schließlich, nachdem eine nichts ahnende in London lebende Kroatin auf einem Foto erkannt wurde, das laut Blog die syrische Bloggerin zeigen sollte.

Sorgfaltspflicht

Die Beispiele zeigen: Die Sorgfaltspflicht der Journalisten erfordert eine eingehende Recherche. Informationen sind „mit der nach den Umständen gebotenen Sorgfalt auf ihren Wahrheitsgehalt zu prüfen“ (Pressekodex). Bei Angaben, die per Mail eingehen oder von Blogs stammen, ist dies jedoch oft keineswegs trivial. Auch wenn wir einen Blogger persönlich kennen und ihm als Quelle vertrauen, können wir nicht wissen, ob das sensationelle Blogpost vielleicht auf einen Dritten zurückzuführen ist, der an das Passwort gelangt ist. Ein Anruf könnte hier Zweifel zerstreuen, aber oft ist die berichtende Person nicht persönlich bekannt, weil sie anonym in Erscheinung tritt. Eine telefonische Kontaktaufnahme ist dann nicht möglich.

Wie geht man also mit anonymen Hinweisen um, die per E-Mail eintreffen? Der sogenannte Mailheader (Kopfdaten, die vom Mailprogramm in der Regel nicht angezeigt werden) liefert oft Hinweise, die bei der ersten Beurteilung der Information helfen können. Hier betreten wir einen Grenzbereich zwischen Informatik und journalistischer Recherchetechnik. Eine Auswertung der Kopfdaten kann – ohne dass der Absender dies bemerkte – bereits Anhaltspunkte dafür geben, wo der Absender sich aufhielt bzw. in welcher Firma und Abteilung er arbeitet, welche Software er benutzte, ob er technisch in der Lage ist, seine Identität in ausreichender Weise zu verbergen, wann die Mail tatsächlich versandt wurde, etc. Bei Anhängen sind oft weitere detaillierte Auswertungen möglich, die Angaben über den Absender oder Sachverhalte hervor bringen, die diesem selbst nicht bekannt waren (z. B. gelöscht geglaubte Informationen aus zugespielten Dokumenten oder Zuordnungen von Bildern zu einer Digitalkamera).

Skandal in Remseck

In der Stadt Remseck am Neckar spielte sich 2009 ein Ärgernis um überwachte E-Mails im Rathaus ab. Ein leitender Mitarbeiter wurde entlassen, nachdem er entgegen einer Dienstanweisung den Behördenrechner für private Post nutzte. Die Dienstanweisung hatte er abgezeichnet; sie sah nach Angabe der Behördenleitung vor, dass eine Protokollierung der Mailkommunikation stattfindet, um das Verbot zu überwachen.  Diese Überwachung war aber nach Einschätzung des Landesdatenschutzbeauftragten in Baden-Württemberg nicht ausreichend klar geregelt, um zulässig zu sein. Zudem hatte der Personalrat an der Dienstanweisung nicht mitgewirkt. Nachdem überregional über die Mail-Überwachung im Remsecker Rathaus berichtet worden war, wurde nach Rücksprache mit dem Landesdatenschutzbeauftragten die Dienstanweisung zurückgenommen. Der entlassene Mitarbeiter erhielt vor Gericht jedoch nur eine Abfindung gegen Aufhebung des Arbeitsvertrages, da er nachweislich pflichtwidrig gehandelt hatte.

Anonymer Tipp per E-Mail

Den Stein ins Rollen brachte eine anonyme E-Mail an einen Journalisten. Die E-Mail beschrieb technische Details der Mailüberwachung. Die hinzugezogene Tübinger Journalistin Pia Grund-Ludwig ging dem Hinweis nach und beschrieb nach weiteren Recherchen in einem Beitrag für den Deutschlandfunk die Praxis der Mailüberwachung. Der Vorgang wurde vom Journalisten Peter Welchering begleitet, der ebenfalls für den Deutschlandfunk tätig ist und in Remseck lebt. In einem Beitrag für journalist 11/2011 (online publiziert am 21.12.2011) stellt er nun rückblickend die spannenden Geschehnisse rund um die Aufdeckung des Skandals um die Mailüberwachung dar.

Tippgeber und Quellenschutz

Tippgeber mit Insiderwissen sind eine wichtige Informationsquelle für investigative Journalisten. Daher umfasst die Pressefreiheit auch den Quellenschutz: ein Schweigerecht des Journalisten, dessen Berufsethos es verbietet, Quellen preiszugeben. Bei anonymen Hinweisen an die Presse steht ein Journalist vor der Herausforderung, die Qualität der Information zu bewerten. Es fällt leichter, wenn der direkte Kontakt mit dem Informanten gegeben ist. So kann recherchiert werden, ob dieser vertrauenswürdig ist und welche Motivation hinter der Presseinformation steckt. Zudem werden die Kontaktaufnahme und Rückfragen während der Recherche vereinfacht, was Fehler bei der Berichterstattung vermeidet.

Rechercheteam enttarnt Informanten

Im Mailüberwachungsfall von Remseck hat das Rechercheteam um die Journalistin Grund-Ludwig den anonymen Informanten kurzerhand identifiziert. Wie von Welchering in einem Rechercheprotokoll beschrieben wird, hatte der anonyme Informant zwar zu Verschleierungszwecken ein ausländisches Mailpostfach verwendet, aber unvorsichtigerweise einen Server eines Rechenzentrums in der Nähe Remsecks zur Übermittlung der Mail genutzt, dessen IP-Adresse auf einfache Weise zurückverfolgt werden kann. Ein Anruf (!) beim Administrator dieses Rechenzentrums ergab die Auskunft, welche Abteilung hinter der IP-Adresse steckte. Weitere Gespräche mit Mitarbeitern führten schließlich zum Outing des Informanten gegenüber den hartnäckig recherchierenden Journalisten.

Die Vorgehensweise des Rechercheteams beim Enttarnen des Informanten ist hier kritisch zu bewerten. Es gibt dabei zwei wesentliche Aspekte.

• Der aufzudeckende Skandal betrifft die Mailüberwachung in einem Rathaus, dessen Leiter die Mitarbeiter schriftlich auf die praktizierte Überwachung (jedoch in unzureichender Weise) hinwies. Eine Überprüfung der Mitarbeiter eines Rechenzentrums mithilfe eines mitteilsamen Administrators stellt ebenfalls einen Eingriff in den Arbeitnehmerdatenschutz seitens der Journalisten dar, wodurch die Verhältnismäßigkeit bei der Wahl der Recherchemittel zumindest fraglich ist. Keinesfalls darf nun eine Mailüberwachung im Umfeld des Informanten stattfinden, um diesen aufzuspüren (was auch hier nicht geschehen ist).
• Die persönliche Ansprache mehrerer Mitarbeiter des Rechenzentrums erfordert höchstes Geschick, um neben der Informationsgewinnung noch den Quellenschutz zu gewährleisten. Die Kollegen des Informanten dürfen nicht wissen, dass einer von ihnen der Remsecker Tippgeber ist. (Im hier beschriebenen Fall ist diese Gratwanderung gelungen. Ich konnte vor der Erstellung dieses Beitrags ein Gespräch mit einem Mitglied des Rechercheteams führen und mich von der Sorgfalt bei der Ansprache überzeugen.)

Wie weit darf die Recherche gehen?

Welchering weist auf das ethische Dilemma, in dem investigative Journalisten sich beim Überprüfen der Quelle bewegen, hin:

Deshalb müssen nicht nur investigativ arbeitende Journalisten genau bedenken, was sie tun. Wer feststellt, dass Aminas Blog-Einträge nicht von einem Computer in Damaskus abgesandt wurden, sondern von einem Server in Edinburgh, hat die journalistische Pflicht (...) um ein persönliches Treffen oder weitere Kommunikation zu bitten, um die Identität Aminas klären zu können. Er hat aber überhaupt kein Recht, den Mailverkehr von Amina zu überwachen.

Im Rechercheprotokoll zum Fall Remseck heißt es jedoch:

 Mit einem Anruf beim Administrator dieses Rechenzentrums konnte das Rechercheteam die Abteilung ausfindig machen (…). An dieser Stelle entschied sich das Rechercheteam für den streng legalen Weg, verzichtete also bewusst auf die technisch mögliche, aber rechtlich zweifelhafte Überwachung des Ports, über den die Mail damals versandt worden war.

Dem letzten Satz kann nur zugestimmt werden, denn eine Überwachung ausgehender Mails mithilfe des Administrators eines Rechenzentrums (erwähnt wird das Tool Wireshark, das Netzwerkpakete und damit auch Mailinhalte aufzeichnet) wäre ein Eingriff in das Fernmeldegeheimnis und würde mit Freiheitsstrafe bis zu fünf Jahren bestraft. Die Entscheidung des Rechercheteams „für den streng legalen Weg“ war daher selbstverständlich.

Journalist als Ermittler?

Welchering nennt in einem Blogpost vom 30.12.11 das Vorgehen des Rechercheteams „ein feines Stück investigative Recherche“ und stellt klar: „Die Journalisten mussten ihren anonymen Informanten identifizieren.“ Diese Haltung kann höchstens im Einzelfall gerechtfertigt sein (z. B. wenn es keine Möglichkeit gibt, den Tippgeber zu erreichen, dieser aber dringend informiert werden soll), man muss sie aber nicht teilen und ich möchte das Vorgehen daher allgemein in Frage stellen, auch wenn hier die mit hoher technischer Kompetenz durchgeführte Recherche zum Erfolg führte und der Quellenschutz gewahrt blieb. Der Informant war offensichtlich nicht in der Lage, einen technisch geeigneten Weg der anonymen Kommunikation zu finden. Das Internet bietet jedoch Dienste, die anonyme Kommunikation ermöglichen. Die Journalisten hätten den Informanten warnen und auf zuverlässige Anonymisierungstechnik verweisen können, da dieser offensichtlich seine Identität nicht aufdecken wollte. Eine weitere Vorgehensweise, über die Ermittlung der IP-Adresse hinaus, Mitarbeiter eines Rechenzentrums zu befragen und entsprechende Aufmerksamkeit zu erregen, sollte in diesen Fällen nicht üblich werden, auch wenn es generell nützlich für den investigativen Journalisten ist, seine Informanten zu kennen. Der Quellenschutz würde aufgeweicht, wenn die Recherche bekannt wird und ein Zusammenhang zu einem Tipp an die Presse hergestellt wird. Zudem stellt die Auskunftsfreudigkeit des Administrators, der bereitwillig Angaben über interne Zuordnungen von Netzen und Personen macht, einen kleinen Skandal für sich da.

Ein persönliches Treffen mit dem Informanten erleichtert zwar die Beurteilung der Glaubwürdigkeit; es darf aber nicht um jeden Preis erzwungen werden, insbesondere nicht gegen den Willen des Informanten. Der nun aufgerollte Fall könnte zudem abschreckend auf Whistleblower wirken, die zukünftig vielleicht zögern, bevor sie mit Journalisten Kontakt aufnehmen. Wer sich – aus welchen Gründen auch immer – nicht persönlich zu erkennen geben will, muss nun fürchten, dass Journalisten, die nicht so behutsam recherchieren wie das Team von Grund-Ludwig, alles daran setzen werden, ihren Informanten zu identifizieren. Wenn bei der aufwändigen Identifikation bereits so viel Staub aufgewirbelt wird, dass der Informant um die Aufhebung seiner Anonymität gegenüber Dritten besorgt sein muss, wird dem Quellenschutz geschadet.

Wie gibt man anonyme Tipps?

Was können – vom Fall Remseck abgesehen – nun Journalisten tun, die einen anonymen Hinweis per Mail erhalten und sich vorbildlich verhalten, d. h. ihre Informanten umfassend schützen wollen? Die Antwort kann hier nur sein: Unvorsichtige Whistleblower sind zu informieren, nicht in erster Linie zu identifizieren! Die Technologie, mit der Hinweisgeber auf sichere anonyme Weise mit der Presse oder auch mit Behörden kommunizieren können, sind sogenannte Remailer und das Prinzip der Pseudonymisierung (in Abgrenzung zur Anonymisierung, die keine weitere Kommunikation ermöglicht). Das Prinzip geht auf Ideen von David Chaum zurück, der 1981 erstmals Mixe (Nachrichtenvermittler zwischen den kommunizierenden Parteien) beschrieb, die eine Kommunikation ohne Aufdeckung einer oder beider Parteien ermöglicht. Prinzip: Der Nutzer schickt seine E-Mail an einen Remailer (ein Mix-Rechner im Internet). Dieser entfernt alle Kopfdaten, die Rückschlüsse auf den Absender zulassen könnten. Wenn die E-Mail mehrere Remailer durchlaufen hat, landet sie schließlich beim Empfänger. Sofern mindestens einer der Mixe vertrauenswürdig ist, bleibt der Absender verborgen. Die Verwendung von Remailern ist leider nicht ohne technische Kenntnisse möglich, insbesondere sind erläuternde Webseiten und die benötigte Software oft hoffnungslos veraltet. Das Prinzip der Mixe wird auch beim anonymen Websurfen (z. B. über das TOR-Netzwerk) angewandt. Hierbei wird die IP-Adresse (eine Art Identität des Rechners im Internet, die beispielsweise zu den Vorratsdaten gehört) gegenüber dem Webserver verschleiert. Für diese Anwendung existieren aktuelle Softwarepakete und die Nutzung ist kinderleicht! In Verbindung mit Web-basierten Maildienstleistern  kann das TOR-Netzwerk ersatzweise zur Pseudonymisierung verwendet werden.

Handreichung an Journalisten (Vorschlag)

Abschließend ein Formbrief, den investigative Journalisten gerne kopieren, verändern und nutzen dürfen, wenn sie in eine ähnliche Lage geraten und einen (mehr oder weniger) anonymen Hinweis per E-Mail erhalten haben. Ich betrachte diesen als Diskussionsvorschlag. Für Feedback sowohl von Journalisten als auch Kollegen aus der Informatik bin ich dankbar; ich erstelle dann gerne eine aktualisierte Version des Formbriefs und stelle auch diese hier im Blog zur Verfügung.

Falls für einen Hinweis an den Tippgeber kein Rückkanal zur Verfügung steht (bei anonymen Mails ist das nicht selten der Fall), kann ein solcher Brief auch „öffentlich zugestellt“ werden, z. B. als Blogpost, wenn Sie davon ausgehen, dass der Tippgeber Ihr Blog liest und es ein wirklich wichtiger Hinweis ist.

Ein Brief an Informanten

Liebe/r unbekannte/r Informant/in,

ich danke Ihnen für die Information vom (…) in Bezug auf (…). Für meine journalistische Arbeit sind solche Insider-Tipps von essentieller Wichtigkeit. 

Da ich viele anonyme Hinweise erhalte und diese oft aus durchsichtiger Motivation heraus versandt werden oder schlicht zu unklar sind, um eine weitere Recherche zu rechtfertigen, gehe ich dem Großteil dieser Hinweise nicht weiter nach. Ich bitte Sie vielmehr, sich persönlich unter (…) an mich zu wenden. Wenn ich Sie kennengelernt und ein persönliches Gespräch mit Ihnen geführt habe, kann ich die Qualität Ihrer Hinweise einschätzen und entsprechend handeln. Selbstverständlich sichere ich Ihnen umfassenden Quellenschutz zu: Ich werde unter keinen Umständen Ihre Identität gegen Ihren Willen preisgeben. Der Quellenschutz gehört zu den Grundsätzen der Pressefreifreiheit und stellt die Wächterfunktion der Presse sicher; ich kann daher auch nicht von einem Gericht zur Aufdeckung Ihrer Identität gezwungen werden. 

Sollten Sie sich trotzdem entscheiden, weiterhin anonym bleiben zu wollen, möchte ich Sie jedoch davor warnen, den bisherigen Weg der Kontaktaufnahme weiterzuverfolgen. Ihre E-Mail ist unverschlüsselt und weist sogenannte Header-Daten auf, die eine Identifizierung des Absenders oder zumindest eine Einschränkung des infrage kommenden Personenkreises möglich erscheinen lassen. Sie sollten daher nicht mehr auf diese Weise kommunizieren, wenn Sie Ihre Identität verbergen möchten, weder mit Journalisten, noch mit Behörden oder anderen Mailempfängern.

Es gibt sichere Dienste für eine pseudonyme E-Mail-Nutzung. Sie verfügen mit diesen über eine adressierbare Absenderadresse, können also Rückfragen beantworten und die Kommunikation mit beliebigen Empfängern fortsetzen, ohne Ihre Identität preisgeben zu müssen. Sie finden Hinweise dazu unter den URLs

• http://www.heise.de/ct/artikel/Selbstverdunkelung-287812.html
• http://www.andrebacard.com/remail.html
• http://de.wikipedia.org/wiki/Remailer
• http://hp.kairaven.de/quick/index.html

Sollten Sie sogenannte Remailer-Dienste, die einen gewissen technischen Sachverstand voraussetzen, nicht nutzen können, sei Ihnen als minimale Vorsichtsmaßnahme angeraten, nur Web-basierte Postfächer (z. B. Yahoo!Mail) zu verwenden, dort fiktive Angaben zu Ihrer Person zu machen und Ihre IP-Adresse bei jeder Nutzung des Servers zu verbergen. Dies kann mithilfe eines einfach zu installierenden Tor-Browser-Bundles für Windows oder Mac, runterzuladen von

• https://www.torproject.org

erreicht werden. Beachten Sie aber: Ohne eine Verschlüsselung der Mails müssen Sie befürchten, dass der Inhalt nicht nur dem Empfänger bekannt wird. Lediglich Ihre Identität bleibt verborgen.

Über eine persönliche Kontaktaufnahme ohne verborgene Identität würde ich mich jedoch sehr freuen!

Mit freundlichem Gruß (…)

Geschrieben in Allgemein | 3 Kommentare | 0 Trackbacks | Permalink

„Stasi-Experte warnt vor Facebook-Überwachung“ schrieb das Handelsblatt, nachdem ein Interview mit Roland Jahn am Sonntag in der taz erschienen war. Die Aussagen Jahns, der als Bundesbeauftragter für die Stasi-Akten besondere Aufmerksamkeit in Sachen Stasi-Vergleiche genießt, wurden rasch verbreitet. Viele, die schon immer vor Facebook gewarnt haben oder zumindest den Sozialen Netzwerken kritisch gegenüber stehen, verlinkten das teilweise online verfügbare Interview weiter. Motivation: Wenn selbst ein Roland Jahn solche Bezüge herstellt, sollte doch nun wirklich jedem klar werden, wie gefährlich diese neuen elektronischen Freundschaften doch sind.

Doch manchmal ist es sinnvoll, ein Interview bis zum Ende zu lesen. Bereits die taz-Überschrift „Die Stasi hätte Facebook genutzt“ suggerierte bei vielen eine eindeutige Positionierung Roland Jahns gegen Facebook – und schnell ist ein Onlinebeitrag geteilt, schneller jedenfalls als gelesen. Jahn äußerte sich jedoch differenzierter zu Facebook: Die Stasi hätte zwar die Technik hinter Facebook, wäre sie damals verfügbar gewesen, „brutal genutzt“, aber Jahn sagte der taz auch: „Facebook hätte den Untergang der DDR beschleunigt. Wir hätten uns vernetzt und die freien Informationswege genutzt.“ Und was hätte die Stasi wohl mehr gefürchtet als einen schnellen Untergang der DDR?!

Eine Gleichsetzung von Stasi und Facebook lehnt Jahn entschieden ab, da dies den SED-Staat verharmlose. Alles andere wäre auch eine große Überraschung gewesen, denn Jahn weiß als ehemaliger Bürgerrechtler, der aus politischen Gründen inhaftiert und ausgebürgert wurde, wovon er spricht. So manchem engagierten Kritiker, der mit Kampfbegriffen wie „Stasi 2.0“ gegen Datenschutzverletzungen bei Facebook wettert, sollte diese Aussage zu denken geben, denn eine Verharmlosung der DDR-Sicherheitsorgane stellt eine Grenzverletzung dar, die sachorientierte Diskussionen erschwert.

Dabei ist Kritik an Facebook, insbesondere im Hinblick auf den Umgang mit personenbezogenen Daten, gerechtfertigt. Die Voreinstellungen des Netzwerkes setzen beispielsweise die Einwilligung der Nutzer in eine Freigabe ihrer Profildaten voraus, ohne sie explizit gefragt zu haben. Explizit als nicht-öffentlich eingestellte Profile wurden in der Vergangenheit durch Facebook nachträglich veröffentlicht. Auch bei der Löschung von Daten oder Benutzerkonten gab und gibt es Mängel: Facebook speichert Daten auch dann noch, wenn Nutzer diese gelöscht zu haben glauben; eine endgültige Löschung des Kontos wird durch viele, künstlich erzwungene Zwischenschritte erschwert. Verbesserungen im Hinblick auf den Datenschutz sind durch Facebook angekündigt, werden jedoch nur schleppend umgesetzt.

Es besteht jedoch ein wesentlicher Unterschied zwischen staatlich organisierten Datensammelstellen und der Infrastruktur einen Sozialen Netzwerks: Die Teilnahme an Facebook ist freiwillig. Facebook steht in Konkurrenz zu anderen Netzwerken, von denen mindestens eines (Google+) durch ein verbessertes Angebot in Sachen Privatsphäre (Einführung sogenannter Kreise) datenschutzfreundliche Verbesserungen bei Facebook bewirkt hat. Die Kräfte des Marktes unterstützen hier Bestrebungen zum Schutze der Privatheit, sofern diese von der überwiegenden Zahl der Teilnehmer gewünscht wird. Und – nicht zuletzt: Die Daten, die wir Facebook zur Verfügung stellen, müssen nicht objektiv korrekt sein! Wir dürfen uns durchaus als „single“ bezeichnen, wenn wir verheiratet sind; wir können Fotos einstellen, die uns schöner aussehen lassen. Wir können uns als mehrere virtuelle Personen darstellen, die nur im Netz existieren, ohne dass wesentliche Übereinstimmungen mit realen Menschen bestehen müssen. All dies erlaubt die Technik von Facebook,  auch wenn – das muss fairerweise gesagt werden – die Facebook-AGBs hier Einschränkungen vorsehen. Google+ hat inzwischen den Klarnamenzwang ganz aufgegeben, so dass sich jeder als Pseudonym bewegen darf.

Das Internet ist noch immer eines „der freiesten Instrumente, das der Menschheit global bekannt ist“ (Domscheit-Berg), und Facebook ist (trotz seiner Mängel) mit seinen 800 Millionen Mitgliedern zu einem Infrastruktur-Riesen geworden. Facebook ermöglicht es technisch, Meinungen global zu veröffentlichen, sich rasch in Gruppen zusammenzuschließen, sich verdeckt oder offen gegen staatliche Repressionen zu wehren, sich aus unabhängigen Quellen im In- und Ausland zu informieren und Widerstand zu organisieren. Beim Untergang von Ben Alis Regime in Tunesien hat Facebook über die Bereitstellung des Netzwerks hinaus eine aktive Rolle eingenommen, die bis heute wenig Beachtung fand und eine wissenschaftliche Aufarbeitung verdient. Im Januar 2011 kannte das Regime sehr viele Passwörter von tunesischen Facebook-Nutzern, da diese über den unter staatlicher Kontrolle stehenden Internet-Dienstleister mithilfe einer Schnüffelsoftware abgefangen wurden. Facebooks Sicherheitschef Joe Sullivan erkannte die Situation  und reagierte mit zwei Gegenmaßnahmen: (1.) Die Übertragung von Passwörtern zu Facebook wurde per Voreinstellung nur noch verschlüsselt über das sichere TLS-Protokoll vorgenommen. (2.) Die Nutzer mussten beim erneuten Einloggen das Passwort ändern und zuvor einige ihrer Freunde anhand von Bildern identifizieren. Auf diese Weise wurden staatliche Spione aus den Nutzerkonten ausgesperrt.

Wer also Soziale Netzwerke in die Nähe staatlicher Repression rückt, verkennt, welche Merkmale totalitäre Staaten ausmachen: Verbot von ungehinderten Informationszugang, Verbot der Verbreitung von kritischen Meinungsäußerungen, Verbot der Bildung von Gruppen, die nicht unter staatlicher Aufsicht stehen. Es ist daher nachvollziehbar, dass die Nutzung von Facebook in bestimmten Ländern kriminalisiert oder technisch behindert wird: China,  Pakistan, Syrien, Iran und Nord-Korea gehören dazu. Ob die Stasi, existierte sie heute noch, also Facebook nutzen würde? Wahrscheinlich. Ob die DDR Facebook verboten hätte? Mit Sicherheit! Man mag das Geschäftsgebaren und den laxen Umgang mit Nutzerdaten kritisieren, aber man sollte anerkennen, dass Facebook, Twitter und Youtube freie Meinungsäußerung, blitzschnelle Verbreitung von Information und Selbstorganisation oppositioneller Gruppen in autoritären und totalitären Systemen massiv befördern. Soziale Netzwerke lösen vielleicht keine Revolutionen aus, können sie aber auf eine Art und Weise beschleunigen, dass Sicherheitsorganen angst und bange wird.

Geschrieben in Allgemein | 2 Kommentare | 0 Trackbacks | Permalink

Geschrieben in Allgemein | 6 Kommentare | 0 Trackbacks | Permalink

Das Gespräch auf der Party stockte. Wir unterhielten uns gerade über Charlie Chaplin, als plötzlich die Frage im Raum stand: Gibt es eigentlich einen Farbfilm mit Chaplin? Ratlose Gesichter. Ein Gast bietet sogar eine Wette an. Früher wechselte man in solchen Situation irgendwann das Thema oder man bat den Gastgeber um sein Filmlexikon. Dazu musste man aber sicher sein, dass er eins besaß, denn wer wollte ihn schon in Verlegenheit bringen?! Manchmal wachte man mitten in der Nacht auf, wenn einem etwas wieder einfiel, auf das man während des Gesprächs partout nicht gekommen war. Heute enden solche Situation anders: Jemand greift in die Tasche und holt sein Smartphone mit mobilem Netzzugang heraus – einige Wischbewegungen später wissen alle Bescheid. Fortschritt oder Stimmungskiller? Da gehen die Meinungen auseinander, aber einig sind sich wohl alle, dass Smartphones das Leben vieler Besitzer verändern.

Schwere Knochen

Erinnern sich noch die älteren Leser an die frühen Neunziger? Da konnte man klischeehaft erleben, wie ein solariumgebräunter Jungmanager seine alte Studentenkneipe betrat und mit großer Geste etwas auf die Theke legte, was aussah, wie ein Backstein mit Zifferntasten. „Ich muss immer erreichbar sein.“, war der Begleitspruch – und der Besitzer betrachtete sein mobiles Telefon als Statussymbol, obwohl dieses außer Ballast und verrauschten Gesprächen nichts zu bieten hatte. Der hohe Preis sorgte für erhofften Status. Im Laufe der Jahre wurden aus unhandlichen Telefonen kleine günstige Begleiter mit beeindruckender Rechenkapazität für jedermann. 

Mobile Superrechner

Ein modernes Smartphone verfügt im Jahre 2011 über eine Rechenleistung, die den legendären Heimcomputer C64 aus den Achtzigern um den Faktor 100.000 übertrifft. Der Preis ist in etwa derselbe. Anders sieht es aus, wenn wir ein solches Smartphone mit dem Pionier-Rechner ENIAC (Electronic Numerical Integrator and Computer) vergleichen. Die Steigerung der Rechenleistung übersteigt den Faktor 100.000 deutlich, der Preis ist zudem geringer, denn ein ENIAC kostete bereits Ende der 1940er eine halbe Million Dollar, zudem wog er 27 Tonnen und benötigte eine Stellfläche von fast 200 qm. Das Gewicht war unproblematisch, denn eine Leistungsaufnahme von bis zu 175kW verhinderte ohnehin jede mobile Nutzung.

Wo bin ich?

Smartphones rechnen aber nicht nur schnell, sie können sich auch orten. Das geschieht meistens energiesparend mit dem Abgleich von Identifikationsmerkmalen erreichbarer WLANs mit einer zentralen Datenbank, die via Internet abgefragt wird. Die genauere aber weniger akkuschonende GPS-Positionierung kommt ergänzend zum Einsatz und kann auch der Aktualisierung der Datenbank dienen; dann hilft ein Smartphone solidarisch dem Anderen. 

Zentralisiertes Wissen

„Smart“ ist neben dem Telefon die Nutzung zentraler Rechenressourcen, auf die es zugreift; so können wir Kalender verwalten, Gegenstände oder gesprochene Wörter erkennen lassen – oder das Filmlexikon zu Chaplin befragen. 

Mit einem Smartphone können wir Fakten recherchieren, die wir nie behalten konnten; wir müssen sie auch nicht mehr lernen, wenn sie überall verfügbar sind – mit dem mobilen Helfer kann auch der geschmähte Kunde der Drogerie vor Ort bei Jauch die Millionenfrage beantworten. 

Betsy Sparrow veröffentlichte mit ihren Kollegen eine Studie, die nachweist, dass wir uns Informationen nicht mehr merken, wenn wir wissen, dass wir sie uns rasch aus dem Internet beschaffen können. Eine solche Entwicklung ruft Warner wie Frank Schirrmacher auf den Plan, der kritisch fragt, wie groß die Macht einer amerikanischen Suchmaschine denn sei, wenn die Menschen ihr so sehr vertrauten, dass sie ihr ihr Gedächtnis opferten. Er fordert daher europäische Suchmaschinen, die uns aus der Abhängigkeit befreien. Andere stellen diese Konzentration auf das Können (denn wissen kann dank Smartphone jeder) als Segen dar: Gunter Dueck schrieb dazu auf Scilogs: „Wo das Wissen überall frei da ist, kann nun überall das Können wachsen.“

Die befreite Hirnkapazität ist nicht allein auf Faktensammlungen zurückzuführen. Suchmaschinen arbeiten mit komplexen Algorithmen, die Zusammenhänge zwischen Informationen herstellen, Tippfehler korrigieren, Aktualität bewerten, vermutete Interessensgebiete des Suchenden berücksichtigen und unerwünschte Werbung abwehren. Insgesamt acht ausfallsichere Rechenzentren in den USA und Europa sorgen bei Google dafür, dass wir meist nicht einmal eine halbe Sekunde auf die Antwort warten müssen. Der Stromverbrauch aller Dienste (Suchmaschine und Smartphone-Dienste eingeschlossen) entspricht nach einem Bericht der New York Times derzeit einer Stadt mit 200.000 Einwohnern. Das ist tatsächlich wenig, wenn wir es in Beziehung zur Nutzerzahl setzen. Unser PC verbraucht deutlich mehr Strom als unser rechnerischer Anteil an den zentralen Servern des Internet.

Brisante Logbücher

Für Wissenschaftler wäre ein Zugriff auf die Logs der Suchmaschinen äußerst spannend, denn die benutzten Suchbegriffe, angereichert mit weiteren Informationen zu den Nutzern (wie dem aktuellen Aufenthaltsort), ließen sich zu vielfältigen empirischen Untersuchungen nutzen. Suchmaschinenbetreiber geizen jedoch mit solchen Daten – und das aus gutem Grunde. 2007 veröffentlichte AOL Suchanfragen von über einer halben Million Nutzer, die einen Zeitraum von drei Monaten betrafen. Obwohl die Nutzernamen mit zufälligen Zahlen pseudonymisiert wurden, konnten durch geschickte Auswertung der Daten manche Anfrage einer konkreten Person zugeordnet werden, was in einzelnen Fällen einen erheblichen Eingriff in die Privatsphäre der Betroffenen darstellt: Patienten suchten beispielsweise nach Hintergundinformationen zu Diagnosen. 

M. Götz et al. schlagen daher ein Verfahren ZEALOUS vor, das eine Weitergabe der Suchmaschinen-Logs an Wissenschaftler ermöglicht, ohne dass sensible Informationen über die Nutzer übermittelt werden. ZEALOUS sieht dabei vor, Suchbegriffe, die nur von wenigen Nutzern verwendet werden, aus der Menge der Suchanfragen eines Nutzers vor der Weitergabe zu streichen. Zudem werden die Daten verrauscht, indem zufällig gezogene Werte auf die Häufigkeiten der Begriffe addiert werden. Auf diese Weise soll eine Auswertung der Daten, die Suchbegriffe bestimmbaren Personen zuordnet, verhindert werden.

Verlorene Wette

„Die Gräfin von Hongkong“ von 1967 war übrigens der letzte Film und der einzige Farbfilm, im dem Charlie Chaplin spielte. Aber „zählt“ der, um eine Wette zu verlieren? Denn Chaplin hatte nur einen Cameo-Auftritt. Diesen Streit auf einer Party kann weder Suchmaschine noch Smartphone schlichten.

Geschrieben in Allgemein | 2 Kommentare | 0 Trackbacks | Permalink