- Anonym surfen
-
Bei Aktivitäten im Internet fühlen sich viele Benutzer anonym. Diese Anonymität ist jedoch nicht total. Ohne Schutzmaßnahmen erfährt die Gegenseite bei der Kommunikation teilweise die IP-Adresse des Benutzers. Doch auch Cookies, Browser-Informationen oder zuletzt besuchte Seiten können ohne Wissen des Anwenders weitergegeben werden.
Mit der IP-Adresse eines Benutzers kann der Anbieter von Internetdiensten die genaue Identität des Benutzers in der Regel noch nicht ermitteln, er kann damit aber meist den Provider und oft auch noch Land und Region herausfinden, wenn der Benutzer sich nicht schützt. Die Identität des betreffenden Anschlußinhabers kann jedoch häufig durch eine Anfrage der Strafverfolgungsbehörden beim jeweiligen Provider festgestellt werden: Deutsche Provider speichern mindestens ein halbes Jahr lang, wer wann welche IP-Adresse hatte. Diese Speicherung wird vom „Gesetz zur Neuregelung der Telekommunikationsüberwachung und anderer verdeckter Ermittlungsmaßnahmen sowie zur Umsetzung der Richtlinie 2006/24/EG“ vorgeschrieben. Über den Anschlussinhaber kann häufig der Benutzer ermittelt werden; bei Internet-Cafés, Wohngemeinschaften, Familien, Onion-Routern, offenen Proxies/WLANs usw. ist dies jedoch generell nicht möglich.
Inhaltsverzeichnis
Problem: Unbedarfte Verbraucher und Internetnutzer
Für viele Probleme hinsichtlich Anonymität gibt es technische Lösungsmöglichkeiten. Die größte Gefahr stellt jedoch der unbedarfte Umgang mit den eigenen Daten dar. So geben immer mehr Kunden ihre Daten freigiebig für Bonussysteme wie Kundenkarten oder für Preisausschreiben heraus, ohne zu wissen, was mit diesen geschieht. Ein Internetnutzer, der sich in der Regel mit Fragen von Datenschutz und Datensicherheit nicht auskennt, gibt regelmäßig sogar Informationen von sich preis, ohne es überhaupt zu bemerken. Wer sich schützen will, kann im Netz zahlreiche Seiten zum Selbstdatenschutz finden, die mit kostenlosen Informationen und sogar kostenloser Software und konkreten PC-Sicherheitstipps weiterhelfen. Anonymität ist in der Praxis nur zu gewährleisten, wenn auch die Internetnutzer ihren Beitrag zur Sicherung ihres Computers und ihrer Internetverbindung leisten.
Maßnahmen zum Schutz der Anonymität
World Wide Web
Anonymizer werden benutzt, um die IP-Adresse beim Surfen zu verschleiern. Die häufigste und einfachste Variante sind anonymisierende Proxyserver. Der Proxybetreiber kennt aber immer noch die IP-Adresse des Nutzers und kann diese auf Anfrage herausgeben. Um das zu vermeiden, bauen bestimmte Tools Ketten von Proxys auf, zwischen denen der Verkehr verschlüsselt wird. Diese Variante ist langsam, aber recht sicher, da nun eine fehlende Zwischenstation die Rekonstruktion unmöglich macht. Die bekanntesten Tools dieser Art sind Tor, I2P und JAP.
Vom Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (ULD) werden weitere, zum Teil sogar internationale Projekte vorangetrieben, die Sicherheit und Datenschutz im Internet ermöglichen. P3P kann beispielsweise beim Surfen im Netz helfen, mit Hilfe von Datenschutztechnik zu erkennen, welche personenbezogenen Daten beim Besuch einer Internetseite verarbeitet werden. Darüber hinaus wird auch Forschung zu Anonymität und Pseudonymität betrieben. Das ULD wirkt dabei als unabhängige staatliche Datenschutz-Instanz bei groß angelegten internationalen Projekten zu den wichtigen Zukunftsfragen eines Identitätsmanagements mit.
Will man anonym Daten veröffentlichen oder Dateien tauschen, kommen anonyme Peer-to-Peer-Netzwerke zum Zug. Sie funktionieren ähnlich, mit mehreren Zwischenstationen und Verschlüsselung an jedem Pfad. Vertreter dieser Sparte sind Freenet, I2P, MUTE, ANts P2P und Gnunet.
Mit Tor entwickelt das Freehaven-Projekt ein anonymisierendes Overlay-Netzwerk für TCP. Auf TCP basierende Verbindungen, wie Web-Browsing, Instant Messaging, IRC, SSH, E-Mail, P2P, können so mittels Onion Routing anonymisiert werden. Auch mit i2p sind anonymes instant messaging, anonymes filesharing und anonyme E-Mails möglich.
Konkrete Schwachstellen und Abhilfemöglichkeiten
Insbesondere bei vertraulichen Kommunikationsprozessen ist es wichtig, dass die Interaktion weder „belauscht“ noch „beobachtet“ werden kann. Dies gilt vor allem bei den Angehörigen nachfolgender Berufe: Anwälte, Ärzte, Priester (siehe hierzu: Lauschangriff). Geschützt werden muss die Kommunikation aber auch bei allen Berufsgruppen, die (in Deutschland nach § 203 des Strafgesetzbuches (StGB)) zu Geheimhaltung und Verschwiegenheit verpflichtet sind. Noch ist es gängige Praxis, dass Anwälte mit Mandanten, Ärzte mit Patienten, Therapeuten mit Klienten usw. unverschlüsselt im Internet kommunizieren. Einem möglichen Missbrauch ist dabei Tür und Tor geöffnet. Wirtschaftsspionage ist durch das Internet vielfach sehr einfach geworden, da Unternehmer oder Handwerker oft gar nicht wissen, dass sie ihre vermeintlich unveröffentlichten Daten wie Angebote im Netz per unverschlüsselter E-Mail quasi veröffentlichen. Der Anbieter von Telediensten ist rechtlich dazu verpflichtet effektive Sicherheits- und Datenschutzmaßnahmen wie z. B. Verschlüsselung zu ergreifen. Damit sind jedoch nicht alle Risiken beseitigt. So kann auch bei einem webbasierten Verfahren mit SSL-Verschlüsselung durch Phishing und Pharming ein illegaler und unbefugter Zugriff auf einen Account erwirkt werden. Diese verbleibende Sicherheitslücke kann nicht auf Anbieterseite geschlossen werden. Daraus ergibt sich für den Anbieter von Telediensten wie Onlinebanking oder Onlineberatung etc. eine Verpflichtung zur Aufklärung der Nutzer. Diese sind über die Gefahren aufzuklären und auf Schutzmöglichkeiten hinzuweisen wie zum Beispiel auf den Anonymisierungsdienst JAP/ANON und auf weitere Möglichkeiten des Selbstdatenschutzes.
E-Mail
Zum Versenden anonymer E-Mails und anonymer Beiträge für Usenet-Foren werden sogenannte Remailer verwendet. Diese Server reagieren auf E-Mail ähnlich wie ein Http-Proxy auf die Anforderung von Web-Inhalten: Die Nachricht wird vom Remailer weiterversendet, so dass er selbst als Absender agiert. Verschiedene Technologien wurden entwickelt, um Remailer-Dienste zu realisieren. Die momentan im Internet anzutreffenden Server verwenden entweder das Cypherpunk- oder das Mixmaster-Protokoll. Während ersteres einen reinen Weiterleitungsdienst definiert, der durch Verschlüsselungssysteme zusätzlich abgesichert werden muss, etabliert Mixmaster von Haus aus ein hochsicheres Remailer-Netz. Eine Mischform der beiden Remailer-Typen stellen sog. Hybrid-Remailer dar (siehe dazu: Reliable). Aber auch I2P bietet die Möglichkeit des Versendens völlig anonymer E-Mails mit Mail-Programmen oder per Browser.
Nutzung von Friend-to-friend-Netzwerken
In friend-to-friend-Netzwerken (F2F) werden Verbindungen ausschließlich zu geprüften und vertrauten Freunden unterhalten. Dieses trägt enorm zur Sicherheit im Internet bei. Die Besonderheit von F2F gegenüber Darknets (die auch zentral organisiert sein können) ist, dass Freunde die IP-Adressen der Freunde nicht kennen. Somit wird es möglich, eine Datei von Alice über Bob an Carol weiterzuleiten, dabei kennen Alice und Carol die IP-Adresse des jeweils anderen nicht.
Filesharing
Will man anonym Daten im Internet veröffentlichen, herunterladen oder tauschen, bieten anonyme Peer-to-Peer-Netzwerke hierzu eine Möglichkeit. Die Anonymität wird in den meisten anonymen Peer-to-Peer-Netzwerken dadurch erreicht, dass die auszutauschenden Daten verschlüsselt werden und die „tauschenden“ Clients keine direkte IP-Verbindung zueinander unterhalten, sondern die Daten anhand von „IDs“ über Proxys (bspw. andere Clients) an den Empfänger weiterleiten. Anonyme Filesharingprogramme sind beispielsweise I2P (mit i2pSnark, iMule, i2Phex), StealthNet, Freenet, MUTE, ANts P2P oder Gnunet, siehe weitergehend Liste der Filesharing-Dienste.
Eine weitere Möglichkeit zum „anonymen“ Veröffentlichen, Herunterladen oder Tauschen von Daten im Internet bieten sogenannte Usenet-Anbieter. Bei vielen dieser Anbieter wird der Zugang zu den Usenet Inhalten über Server abgewickelt, so dass sich der Nutzer nicht direkt zu den entsprechenden Newsgruppen verbindet, sondern den Usenet-Anbieter als „anonymen“ Vermittler zwischenschaltet. Bei diesen Anbietern sollte man jedoch genau darauf achten, ob der Serverbetreiber Logdateien erstellt, welche er auf Aufforderung selbstverständlich an zuständige Stellen herausgeben muss, sofern sich sein Sitz in Deutschland befindet. Ein weiteres Problem bei vielen Usenet-Anbietern ist, dass gezielt damit geworben wird, urheberrechtlich geschütztes Material zum Download anzubieten. Ein solches Verhalten eines Anbieters könnte unter Umständen als Begünstigung von oder gar als Aufforderung zu Urheberrechtsverletzungen gedeutet werden, wodurch selbst eine pauschale Überwachung des Anbieterservers gerechtfertigt sein könnte.
Eine letzte Variante zum anonymen Veröffentlichen, Herunterladen oder Tauschen von Daten im Internet bieten sogenannte Anonymizer. Einige dieser Anonymisierungsdienste bieten ebenfalls Unterstützung für die Nutzung von Filesharing-Programmen. Auch in diesem Falle gilt es genau darauf zu achten, ob der Betreiber des Anonymisierungsdienstes Log-Files erstellt, welche er auf Aufforderung selbstverständlich an zuständige Stellen herausgeben muss.
Techniken zur Verfolgung von Nutzern in Web
Es gibt drei grundlegende Techniken, über die Surfer im World Wide Web verfolgt werden können.
Auswertung der Serverkommunikation
Die Serverkommunikation beinhaltet die IP-Adresse und zahlreiche sogenannte HTTP-Header, die Aufschluss über den benutzten Browsertyp, das Betriebssystem, die zuvor besuchte Webseite und die beim Verlassen der Seite aufgerufene nächste Webseite geben.
Cookies
Cookies sind kleine Textblöcke, die der Server an den Browser sendet und später wieder zurück bekommt und benutzen kann. Cookies werden vom Browser entweder dauerhaft oder für einen festgelegten Zeitraum gespeichert. Sie können keine ausführbaren Befehle enthalten und stellen deshalb kein direktes Sicherheitsrisiko dar. Cookies können mit Hilfe von Scripten auf einer aufgerufenen Website auch Daten setzen, die dem Server nicht bekannt sind, aber beim erneuten Öffnen der Seite an den Server zurückgeschickt werden. Cookies dienen häufig dazu, den Benutzer zu „markieren“ um ihn später wiedererkennen zu können. Mittlerweile sind Cookies die Standardmethode zur Verfolgung von Seitenbesuchern geworden. Beim ersten Besuch bekommt der Benutzer ein Cookie mit einer eindeutigen Kennnummer und bei jedem weiteren Seitenaufruf kann der Server den Besucher daran wiedererkennen. Das eigentliche Problem ist, dass nicht nur der Server Cookies setzen kann, der die aufgerufene Webseite liefert. Jede von einem Webserver abgerufene Datei kann mit einem Befehl zum Setzen oder Auslesen eines Cookies kombiniert werden. Da die Werbebanner und Counter-Grafiken auf den meisten Webseiten nicht vom eigenen Server, sondern direkt von den Servern der Werbefirmen eingefügt werden, haben diese Firmen die Möglichkeit, mit Hilfe von Cookies Benutzerbewegungen auf allen angeschlossenen Partner-Webseiten zu verfolgen.
Spionageskripte
Skripte, die den Browser veranlassen, Daten zu versenden, werden dort eingesetzt, wo die Informationen, die durch die beiden oben genannten Methoden ermittelt werden können, nicht ausreichend sind. Es handelt sich in der Regel um JavaScript-Code, der versucht, möglichst viele Informationen vom Browser abzufragen und an den Server zu schicken. Damit können Informationen über die verwendete Bildschirmauflösung, Farbtiefe, installierte Plugins usw. herausgefunden werden. Informationen über den verwendeten Browser oder das Betriebssystem werden in der Regel über andere Verfahren wie den User-Agent an den Server geschickt. Die Ermittlung der vom Internetbenutzer zuletzt besuchten Seite ist über den Referrer möglich. Der Server braucht nur noch die im Aufruf enthaltenen Daten auszuwerten.
Beurteilung
Strafverfolgungsbehörden haben Schwierigkeiten mit der Aufklärung, wenn bei über das Internet verübten Straftaten solche Verschleierungsmechanismen genutzt werden. Daher wird von ihrer Seite eine Einschränkung oder sogar eine Illegalisierung solcher Dienste gefordert. Andererseits wird von Verfechtern der Anonymität argumentiert, dass gerade durch Anonymität die Sicherheit des Einzelnen, aber auch der Gesellschaft als Ganzes erhöht werden kann, da anders ein Missbrauch von legal oder illegal gesammelten Daten in der Praxis nicht zu verhindern ist. So ist es etwa jedem Provider von Internetdiensten, aber auch dem Arbeitgeber am Internetarbeitsplatz oder auch nur einem technisch versierten Bastler mit Zugang zur Telefonverteileranlage in einem privaten Wohnhaus ein leichtes, Verbindungs- und Kommunikationsdaten auszuspähen. Damit könnte ein sehr detailliertes Persönlichkeitsprofil des jeweiligen Internetnutzers erstellt werden. Trotz Datenschutzgesetzen ist solch ein Missbrauch in der Praxis, zum Beispiel auch durch einzelne kriminelle Angestellte eines Providers mit Zugang zur Infrastruktur, praktisch nicht immer zu verhindern. Einige Provider weisen in ihren Allgemeinen Geschäftsbedingungen auch mehr oder weniger offen auf diese Gefahr hin.
Persönlichkeitsprofile können sehr intime Daten wie beispielsweise soziale Kontakte, Informationen über finanzielle Probleme, oder gar – da das Internet heutzutage sehr viel genutzt wird, um medizinische Informationen zu recherchieren – Angaben über Krankheiten enthalten. Solche Informationen bieten vielfältige Möglichkeiten zum Missbrauch. Das reicht vom noch recht harmlosen Versenden gezielter Werbung bis zu Erpressungen, Manipulationen, Verkauf der Daten an interessierte Kreise, illegal arbeitende Auskunfteien oder noch Schlimmerem. Durch Phishing kann zum Beispiel selbst auf gut gesicherte Accounts zugegriffen werden. Der Schutz der Technik auf Anbieterseite reicht also nicht aus. Vielmehr müssen auch die Nutzer die Schutzmöglichkeiten aktiv ergreifen. Wirkliche und nicht vermeintliche Anonymität im Internet ist in diesem Sinn sogar eine Voraussetzung für Sicherheit.
Literatur
- Thomas Demuth: Ein Beitrag zur Anonymität in Kommunikationsnetzen. Shaker 2003
- Martin Rost: Zur gesellschaftlichen Funktion von Anonymität. In: Datenschutz und Datensicherheit (DuD) 2003, Nr. 27, Seite 156-158, [1]
- Thomas Roessler: Anonymität im Internet. In: Datenschutz und Datensicherheit (DuD) 1998, Seite 619-622.
- Henry Krasemann: Anonymität ganz einfach und legal - Die Tarnkappe für das Internet – nicht nur für Langstreckenflieger. In: Datenschutz Nachrichten DANA 3/2005 (Sep.05) S. 13ff., [2]
- Henry Krasemann: Der anonyme Apfel: Mit dem Mac unbeobachtet ins Internet. In: Mac Life Ausgabe 8/2005, [3]
- Marc Störing: Im Visier der Strafverfolger - Staatlicher Zugriff auf Anonymisierungsserver In: c't 24/2006, S. 208-210.
- Eric J. Stieglitz: Anonymity on the Internet: How Does It Work, Who Needs It, and What Are Its Policy Implications? (PDF; 136 KB), In: Cardozo Arts & Entertainment Law Journal, 2007, Volume 24, Issue 3
- Jens Kubieziel (2007): Anonym im Internet: Techniken der digitalen Bewegungsfreiheit, 1. Aufl., München: Open Source Press. (ISBN 3-93751-442-2)
Weblinks
Wikimedia Foundation.
