Auch unser solidarisches Ticketkonzept hat funktioniert: Drei Viertel der Besucher haben freiwillig mehr bezahlt, um den Congress erst zu ermöglichen. [1] Damit ist auch das inklusive ÖPNV-Ticket für Leipzig finanziert, jetzt können die Trams für alle Besucher rollen. Bevor in wenigen Tagen der Fahrplan veröffentlicht wird, kann bereits Einblick in die diesjährige Programmbreite genommen werden. Und wer sich beeilt, kann bis Sonntagmittag noch beim Halfnarp mitmachen. [3]
Mit unserem Congress-Kalender „35C3 Memory Lane“, der am 1. Dezember beginnend bis zum 35C3 laufen wird, wollen wir schon mal ein paar angenehme Erinnerungen an vergangene Jahre wecken: Im CCC-Event-Blog [2] werden von heute an jeden Tag denkwürdige, besonders lehrreiche, humorvolle, zeitlose oder einfach sehenswerte und manchmal etwas in Vergessenheit geratene Vorträge erscheinen. Wir hoffen, uns gemeinsam in Erinnerung zu rufen, worauf wir uns eigentlich am Jahresende freuen: Die kalendarische Fundgrube soll die Vorfreude wecken.
Was diese filmischen Erinnerungen allerdings nicht transportieren können, ist das schwer beschreibbare Gefühl der Teilnehmer und vor allem der tausenden Freiwilligen, die gemeinsam einen der größten Freiräume schaffen, um sich und anderen Erfahrungsaustausch, gemeinsames Basteln und Forschen zu ermöglichen. Der Congress soll dabei explizit ein Gegenentwurf zu kommerziellen Veranstaltungen sein.
Mit dem 35C3 sollen die Erinnerungen an die Congresse der letzten Jahre wiederaufleben, indem wir in beängstigenden Zeiten von Wissenschafts- und Wahrheitsfeindlichkeit und Populismus eine Kultur der Weltoffenheit und Fakten zelebrieren. Unser Archiv an Daten, Erinnerung und Aufzeichnungen wird am Leben gehalten durch das stete Wiederauffrischen des Speichers in den Computern und Köpfen der Teilnehmer und Interessierten live und am Stream.
Um Wissen zum Leben erwecken zu können und neuen Generationen zu vermitteln, öffnen wir wieder die Arme für den Nachwuchs: Familien sind explizit willkommen, es gibt einen großen Kidsspace zum Entdecken, Toben, Hacken und Bällebaden. Am 28. Dezember übernehmen Junghacker (nebst Begleitung) die Veranstaltung, [4] die Chaospatinnen [5] geben uneingeweihten Erstbesuchern eine helfende Hand im unüberschaubaren Chaos des 35C3. Ein deutlicher Anteil der Vorträge im diesjährigen Programm richtet sich außerdem an Einsteiger, so dass auch die zukünftigen Experten Anschluss an die Welt der Hacker finden.
Links:
[1] https://tickets.events.ccc.de/35c3/intro/
[2] https://events.ccc.de/tag/35c3-kalender/
[3] Halfnarp
[4] Einladung zum Junghackertag
[5] Chaospatinnen
Das Bundesamt für die Sicherheit in der Informationstechnik (BSI) hat die freiwillige technische Richtlinie TR-03148 „Sichere Breitband-Router“ veröffentlicht. Nach dieser sollte dem Nutzer eigentlich ein Mindestmaß an IT-Sicherheit zugesichert werden. Die tatsächliche Regelung bietet aber nur soviel Sicherheit, wie es den Herstellern gefällt – sofern sie sich entscheiden, der Richtlinie zu entsprechen. [1]
Anstatt – wie versprochen – Verbraucher zu schützen und Transparenz in Bezug auf die IT-Sicherheit festzuschreiben, diktierten von Herstellern und Netzbetreibern entsandte Anwälte und Lobbyisten dem BSI wesentliche Punkte der Richtlinie in die Feder. Dadurch haben wirtschaftliche Interessengruppen ihr Ziel erreicht: Das BSI erklärt ihre unzureichenden Produkte und Prozesse ohne tatsächliche Verbesserungen oder meßbaren Mehrwert für den Verbraucher als sicher.
Dabei hätte insbesondere mit Blick auf die unlängst beobachteten massenhaften Angriffe auf WLAN-Router wichtiger Handlungsbedarf bestanden. So war im Jahr 2016 ein Großteil der Geräte der Deutschen Telekom AG von Problemen betroffen, die aus purem Glück „nur“ einen Ausfall der Router zur Folge hatten. [4] Auch im Lichte der Sicherheitslücken wie „Heartbleed“, „Sambacry“ und „BCMUPnP“ ist nicht ersichtlich, wie die nun veröffentlichte Richtlinie diesen Problemen sinnvoll entgegenwirken könnte.
An den zahlreichen Kommentarrunden und Sitzungen nahmen auch Vertreter des Chaos Computer Clubs (CCC) sowie Entwickler der freien Linux-Distribution für WLAN-Router OpenWrt [2] teil, um das Schlimmste zu verhinden. Die ebenfalls geladenen Lobbygruppen – insbesondere der Verband Deutscher Kabelnetzbetreiber ANGA – versuchten mit bemerkenswertem Aufwand, das Ziel der Richtlinie zu sabotieren: Selbst grundlegende und realistisch von der Industrie umsetzbare Anforderungen, die vom CCC und OpenWrt wohlbegründet eingebracht wurden, gerieten in den Sitzungen durch die Lobbygruppen unter heftigen Beschuss.
Dabei sollten die minimalen von OpenWrt und CCC eingebrachten und nicht berücksichtigten zwei Kernforderungen schon mit gesundem Menschenverstand eingängig sein. Wir fordern weiterhin:
1. Es dürfen nur noch Geräte verkauft werden, die ein für den Kunden transparentes, vor dem Erwerb des Gerätes einsehbares Mindesthaltbarkeitsdatum für die Pflege der auf dem Router laufenden Software haben. Und dies soll mit besonderem Augenmerk auf die verpflichtende Korrektur von bis zum Ablaufdatum bekanntwerdenden Sicherheitslücken geschehen.
2. Um auch nach Ende der Produktpflege durch den Hersteller ein Gerät sicher weiterbetreiben zu können, muss dem Verbraucher die Möglichkeit garantiert werden, alternative Software – wie z. B. OpenWrt – auf seine Router einzuspielen.
Mit einer Verpflichtung der Hersteller auf diese beiden Kernprinzipien hätte zum einen jeder Nutzer die Möglichkeit der Abschätzung, wie lange der jeweilige Router sinnvoll und vergleichsweise sicher eingesetzt werden kann. Zum anderen gäbe es die Möglichkeit zur Selbsthilfe, indem sichere, freie Firmware eingesetzt werden kann, wenn der Hersteller versagt.
„Dass die Richtlinie keine Freiheit zur Installation eigener, sicherer Firmware wie OpenWrt vorschreibt, lässt deutliche Zweifel an der Ernsthaftigkeit des Willens der Bundesregierung beim Thema IT-Sicherheit aufkommen. Es kann doch nicht darum gehen, es den Herstellern so bequem wie möglich zu machen, sondern das Ziel der IT-Sicherheit muss im Blick bleiben“, fasste Hauke Mehrtens vom OpenWrt-Projekt zusammen.
Statt dafür zu sorgen, dass Marktmechanismen für die Verbesserung der Sicherheitssituation freigesetzt werden, können sich die Hersteller nun weiter davor drücken, die echten Lebenszeit-Kosten ihrer Geräte sauber zu kalkulieren. Zwar heißt es in der Richtlinie, dass der Hersteller verpflichtet ist, Angaben zur Dauer der Verfügbarkeit von kritischen Sicherheitsupdates zu machen. Leider müssen diese Angaben nicht wie gefordert in standardisierter Weise schon auf der Verpackung oder in der Werbung gemacht werden. Deshalb stehen sie für die Geräteauswahl beim Kauf in der Regel nicht zur Verfügung.
„Für jede Glühlampe oder Waschmaschine ist eine für Verbraucher einfach zu verstehende Ampel-Darstellung für den Ressourcenverbrauch vorgeschrieben, dabei können diese nicht einmal das halbe Internet lahmlegen. Statt dem Verbraucher ein wichtiges Differenzierungskriterium an die Hand zu geben, um Produkte seriös und nachhaltig arbeitender Hersteller schon im Laden zu erkennen, wird weiterhin unsicheren Plastikroutern der massenhafte Einzug in heimische und betriebliche Netzwerke geebnet, nur diesmal mit BSI-Siegel – künftige Angriffe auf kritische Infrastruktur inbegriffen“, sagte Mirko Vogt vom CCC.
Die Organisationen Bund für Umwelt und Naturschutz Deutschland (BUND), Brot für die Welt, Deutscher Naturschutzring (DNR), Germanwatch, Konzeptwerk Neue Ökonomie, zusammen mit dem Forum InformatikerInnen für Frieden und gesellschaftliche Verantwortung (FIfF), der Open Knowledge Foundation Deutschland (OKF) sowie der Technischen Universität Berlin und dem Institut für ökologische Wirtschaftsforschung (IÖW) stellen folgende Forderungen:
Die Gestaltung der Digitalisierung soll dem Gemeinwohl dienen. Sie darf nicht einseitig auf die Förderung einer wirtschafts- und wachstumspolitischen Agenda abzielen, sondern muss auf sozial-, umwelt-, entwicklungs- und friedenspolitische Ziele ausgerichtet sein. Die Digitalisierung soll zu einer nachhaltigen Energie-, Verkehrs-, Agrar- oder Ressourcenwende beitragen und konkrete Beiträge zur umfassenden Gewährleistung der Menschenrechte, der Klimaschutzziele und zur Beendigung von Hunger und Armut leisten. Eine nachhaltige Digitalisierung in unserem Sinne setzt auf sinnvolle, menschenwürdige Arbeit, soziale Gerechtigkeit und suffiziente Lebensstile.
Basis einer gerechten Gesellschaft sind demokratische Entscheidungen: Die Digitalisierung muss in sich demokratischer gestaltet werden und gleichzeitig demokratische Prozesse unterstützen, statt diesen entgegenzuwirken. Dafür muss sie konsequent darauf ausgerichtet werden, emanzipatorische Potenziale, dezentrale Teilhabe, offene Innovationen und zivilgesellschaftliches Engagement zu fördern.
Datenschutz, Manipulationsfreiheit und informationelle Selbstbestimmung sollen als Grundlage von freien, demokratischen, friedlichen und langfristig souveränen Gesellschaften national und global vorangetrieben werden. Es müssen Rahmenbedingungen zur Kontrolle digitaler Monopole geschaffen werden, damit sich im Norden und globalen Süden eine eigene, selbstbestimmte digitale Wirtschaft entwickeln kann. Bestehende Monopole von Betreiberinnen kommerzieller Plattformen müssen gebrochen werden, indem beispielsweise eine definierte Schnittstelle zum Austausch zwischen Social-Media-Diensten verpflichtend eingeführt wird.
Politische Regulierung muss darauf zielen, auch Informationen und Bildungsangebote zu Technik und Wirkungsweisen als einen Teil des öffentlichen Gemeinguts zu begreifen, sie müssen elementarer Bestandteil des öffentlichen Wissens sein. Ein kritischer und emanzipatorischer Umgang mit digitaler Technik soll Teil von digitaler Bildung sein, dazu gehört auch der kompetente Umgang mit Falschinformationen und Hassrede in digitalen Medien.
Länder des globalen Südens müssen die Möglichkeit haben, eine eigene auf die lokalen und nationalen Bedürfnisse ausgerichtete Digitalisierung zu entwickeln. Alle Gesellschaften sollen gleichen Anteil an Nutzen und Kosten der Digitalisierung haben können. Die negativen Seiten wie menschenunwürdige Arbeitsbedingungen, Umweltverschmutzung, Gesundheitsschäden und Elektroschrott dürfen nicht einseitig auf den globalen Süden abgewälzt werden.
Bilaterale und multilaterale Handelsabkommen dürfen keine Verbote und Einschränkungen in den Bereichen Besteuerung (Taxation), Offenlegung des Quellcodes (Open Source) und Ort der Datenverarbeitung (Localisation) enthalten.
Die Technologie-Branche muss verpflichtet werden, in Fragen der Ressourcenschonung und Nachhaltigkeit die Prinzipien menschenrechtlicher und ökologischer Sorgfaltspflichten in den Abbau- und Produktionsländern konsequent anzuwenden.
Mangelhafte Software hat negative Folgen für deren Nutzerinnen, die Sicherheit ihrer Daten und die digitale Infrastruktur insgesamt. Es bedarf einer Softwarehaftung, damit Software-Hersteller die Verantwortung für die entstehenden Risiken (z. B. Sicherheitslücken) tragen, statt die Qualität ihrer Software dem Profit zu unterwerfen. IT-Sicherheit ist die Grundlage einer nachhaltigen digitalen Gesellschaft.
Software muss selbstbestimmt nutzbar sein, reparierbar sein und langfristig instand gehalten werden können, so wie es Open-Source-Software bereits verwirklicht. Hersteller müssen daher beispielsweise Sicherheitsupdates für die Hardware-Lebensdauer von Geräten bereitstellen und nach Ende des Supports den Quellcode als Open-Source-Variante freigeben, statt „Software Locks“ einzubauen.
Elektronische Geräte müssen reparierbar und recyclebar sein – geplante Obsoleszenz darf es nicht geben. Dafür müssen Garantiefristen massiv ausgeweitet werden; Hersteller müssen Ersatzteile, Reparaturwerkzeug und Know-How für alle anbieten und langfristig vorhalten. Dies soll unterstützt werden durch eine stärkere finanzielle Förderung offener Werkstätten bzw. Repair-Cafés und gemeinwohlorientierter Forschung und Produktentwicklung. Öffentliches Forschungsgeld darf es nur für Open-Source-Produkte geben.
Eine der größten Herausforderungen war es, das engmaschige Netz sozialer Unterstützung und Begleitung mitwachsen zu lassen und sicherzustellen, dass sich alle zu Hause, willkommen und sicher fühlen. Wir sind einfach nicht mehr im bcc in Berlin, wo alle einander über zwei Ecken kannten.
Während CERT, Security und Awareness-Team ohne große Probleme mitgewachsen sind und zu jeder Zeit im Einsatz waren, stellten wir fest, dass ein wachsender Teil der Gäste und auch der Aktiven über die verschiedenen Teams, die im Hintergrund für Sicherheit und ein gutes Gefühl sorgen, schlicht nicht Bescheid wussten und daher deren Hilfsangebote nicht wahrnehmen konnten.
Über die letzten Jahre haben wir die verschiedenen Teams in einer Serie von Blogposts (siehe unten) vorgestellt. Leider fanden diese Blogposts nicht die Verbreitung, auf die wir gehofft hatten. Daher haben wir nun einen zentralen Anlaufpunkt über eine Webseite eingerichtet, auf der sich alle Teams mit ihren Zielen und Herangehensweisen und natürlich auch ihren Kontaktmöglichkeiten vorstellen.
Bitte nehmt euch die Zeit und informiert euch auf help.ccc.de, welche Teams bereitstehen, um euch zu unterstützen.
Hauptziel der Teams Security und Awareness ist die Vermeidung und Deeskalation potenzieller Konflikte, um den Congress für alle so angenehm wie möglich zu machen. Bei Verstoß gegen unsere Prinzipien waren wir schon immer bereit, einzugreifen und notfalls Menschen von der Veranstaltung zu entfernen. In den wenigen Fällen, wenn dies nötig wurde, haben wir dies auch schnell und entschieden getan.
In sehr seltenen Fällen ist an uns der Wunsch herangetragen worden, eine andere Person für Vorfälle vom Besuch auszuschließen, die sich nicht auf unserer Veranstaltung zugetragen hatten – zum Beispiel Monate vorher oder außerhalb unseres Geländes. Diese Fälle wurden von unterschiedlichen Teams nach bestem Wissen und Gewissen behandelt. Allerdings mussten wir feststellen, dass wir für diese Fälle keine angemessenen Prozesse und Strukturen gebildet hatten, um sie mit gleichbleibender Gründlichkeit und Ruhe neben der zeitaufwendigen Veranstaltungsorganisation zu behandeln.
Deshalb haben wir nun ein eigenes Team nominiert, das sich solchen Fällen mit ungeteilter Aufmerksamkeit, Genauigkeit und Diskretion widmen kann: Die neu eingerichtete Schiedsstelle hat zum Ziel, dass sich alle auf der Veranstaltung sicher fühlen können. Die Schiedsstelle ist berechtigt, bei Verstößen gegen unsere Prinzipien Sanktionen zu verhängen.
Die Mitglieder der Schiedsstelle werden vom Vorstand des CCC berufen. Es handelt sich um Personen, die das Vertrauen der Community genießen und Erfahrung mit der Lösung schwerwiegender Konflikte haben. Sie werden von Expertinnen in verschiedenen Bereichen wie Psychologie, Psychiatrie, Mediation und systemischer Beratung unterstützt.
Bitte nimm dir bei Interesse die Zeit, dich über Ziele, Selbstauffassung und Verfahrensordnung der Schiedsstelle zu informieren.
Wir würden diese Gelegenheit gern nutzen, um jene Prinzipien zu wiederholen und zu betonen, die die Grundlage der einzigartigen Atmosphäre und Offenheit sind, die wir auf unseren Veranstaltungen pflegen wollen. Wir möchten alle ermutigen, sich diese selbstverständlichen Voraussetzungen in Erinnerung zu rufen, um eine angenehme und einladende Atmosphäre für alle Aktiven und Gäste zu schaffen.
Den Werten von Humanismus, Aufklärung, Antifaschismus und den Prinzipien der Hackerethik verpflichtet, wollen wir allen – ungeachtet von Alter, Geschlecht, sexueller Orientierung, Herkunft oder Äußerem – angenehme, sichere, offene und spaßorientierte Veranstaltungen bieten. Wer sich weigert, diese Werte mit uns und allen anderen zu teilen, ist schlicht und einfach nicht willkommen.
Wir sind nicht bereit, Sexismus, Rassismus, Belästigung oder Diskriminierungen auf unseren Veranstaltungen zu tolerieren. Wenn du Derartiges auf unseren Veranstaltungen siehst, mach bitte den Mund auf, unterstütze die Menschen, die solchem Verhalten ausgesetzt waren und ermutige andere, es auch zu tun. Du kannst dir der Unterstützung durch unsere Teams Awareness, CERT und Security sicher sein.
Eine ausführliche Erklärung dieser Prinzipien findest du hier.
In der Anhörung im schleswig-holsteinischen Landtag wird ein Gesetzesvorhaben zur Anerkennung der Gemeinnützigkeit von Freifunk-Initiativen [1] beraten. Anlass sind zwei Anträge der Jamaika-Koalition [2] und der SPD [3] mit dem Ziel, einen entsprechenden Gesetzesantrag in den Bundesrat einzubringen. Der Förderverein Freie Netze e. V. und der Chaos Computer Club (CCC) [5], aber auch sämtliche anderen vom Landtag Angehörten äußerten sich positiv zum geplanten Gesetzesvorhaben zur der Anerkennung der Gemeinnützigkeit von Freifunk-Initiativen.
Freifunk ist ein Projekt, über das Menschen aus der Zivilbevölkerung ein stadtweites drahtloses Datennetz mittels WLAN aufbauen, welches von allen kostenfrei und unlimitiert genutzt werden kann. Das Netz soll die freie Kommunikation innerhalb der ganzen Stadt und durch Richtfunk-Verbindungen zu anderen Städten auch überregional ermöglichen. Freifunk-Vereine verfolgen dabei kein kommerzielles Interesse. Sie engagieren sich ehrenamtlich mit dem Ziel der Demokratisierung der Kommunikationsmedien und der Förderung lokaler Sozialstrukturen.
Auch Erfahrungsaustauschkreise und Chaostreffs des CCC beteiligen sich an diesen Initiativen durch Vermittlung von Wissen über freie WLAN-Netze und den Aufbau freier Kommunikationsnetze. Interessierten bietet sich so die Möglichkeit, sich auszuprobieren oder mehr über die Funktionsweise von Kommunikationsnetzen zu erfahren.
Die angestrebte Bundesratsinitiative des schleswig-holsteinischen Landtags ist nicht der erste Versuch, die Anerkennung der Gemeinnützigkeit von Freifunk zu ermöglichen. Im vergangenen Jahr gab es bereits eine erfolgreiche Bundesratsinitiative aus Nordrhein-Westfalen. Nach der Übersendung des Gesetzentwurfs an den Bundestag fiel dieser jedoch leider aufgrund der kurzen Zeitspanne bis zur Neuwahl des Bundestags dem Diskontinuitätsprinzip zum Opfer und wurde daher nicht weiter behandelt. In den nachfolgenden Koalitionsverhandlungen war Freifunk Thema – die Anerkennung der Gemeinnützigkeit von Freifunk findet sich auch im Koalitionsvertrag wieder.
In Hessen und in Bayern haben sich im Digital-O-Mat zu den Landtagswahlen im Oktober alle Parteien mit Ausnahme der CSU, die sich neutral positioniert hat, und der AfD, die sich negativ positioniert hat, für eine Anerkennung der Gemeinnützigkeit von Freifunk ausgesprochen. Zudem fasste auch der Ministerrat des Landes Rheinland-Pfalz in der vergangenen Woche, am Dienstag, den 6. November, einen entsprechenden Beschluss, nachdem auch das Land Rheinland-Pfalz gemeinsam mit anderen Ländern einen Gesetzesantrag in den Bundesrat einbringen wird. [6]
Freifunk-Initiativen wirken der digitalen Spaltung entgegen und ermöglichen sozial gerechten Zugang zu Informationen im Netz. Auch in unzähligen Unterkünften für Geflüchtete haben Freifunkerinnen und Freifunker WLAN-Netze aufgebaut und so durch ihr ehrenamtliches Engagement zur Integration beigetragen. Zudem steigern viele Projekte die Attraktivität von Innenstädten durch kostenlosen WLAN-Zugang, oft in direkter Zusammenarbeit mit Kommunen. Durch die Weiterbildung von Interessierten und die Vermittlung von praktischem Wissen über Sicherheit, Aufbau und Funktionsweise von Funknetzwerken wird der Erwerb von Medien- und Technikkompetenz gefördert und der selbstbestimmte Umgang mit Technik ermöglicht. Auch der Chaos Computer Club stützt sich im Rahmen des Projektes „Chaos macht Schule“ auf die Arbeit der Freifunkerinnen und Freifunker.
Chaos macht Schule ist eine seit etwa 2007 bestehende Initiative mehrerer Erfa-Kreise des CCC, die mit verschiedenen Bildungsinstitutionen zusammenarbeiten. Ziel des Projekts ist es, Schüler, Eltern und Lehrer in den Bereichen Medienkompetenz und Technikverständnis zu stärken. Die Funktionsweise von freien Datennetzwerken wird hier mit Hilfe der frei zugänglichen Infrastruktur der Freifunk-Initiativen im Rahmen von Workshops an Schulen vermittelt.
„Digitale Mündigkeit der Bevölkerung kann nur durch praktische Erfahrungen im Umgang mit unserer allgegenwärtig genutzten Kommunikationstechnik vollständig erreicht werden. Da Freifunk-Netze in vielen Punkten sehr ähnlich aufgebaut sind wie das Internet und die gleichen Technologien nutzen, stellen sie ein ideales Experimentierfeld für Interessierte zum Erlernen dieser Technik dar“, erklärt Marco Holz vom CCC Darmstadt.
Trotz des zweifelsfreien Nutzens für die Allgemeinheit – Freifunk-Netze stehen immer der Allgemeinheit zur Verfügung und können ohne Kosten, Registrierung oder Limitierung genutzt werden – besteht aktuell eine unklare Rechtslage zur Einstufung der Gemeinnützigkeit von Freifunk-Vereinen. Die regional sehr unterschiedlichen Handhabungen erschweren die Zusammenarbeit der Vereine untereinander.
„Freifunk-Vereine in ganz Deutschland fordern die Gleichstellung ihres Engagements mit dem klassischen Ehrenamt. Aus unserer Sicht unterscheidet sich das digitale Ehrenamt nur dadurch, dass es eben Strom benötigt. Freifunkas setzen sich aktiv für Gemeinwohl und Teilhabe ein“, so Monic Meisel, Mitbegründerin der Freifunk-Initiative und Vorstand im Förderverein Freie Netzwerke e. V.
Wie schon im letzten Jahr ist der garantiert funklochfreie Chaos Communication Congress zu Gast auf der Leipziger Messe, wo dank einer zusätzlichen Halle mehr Raum für Vortragssäle, Bühnen, Assemblies, Kunst-Installationen, Workshops und Projekte bereitsteht. Es werden rund zehn Prozent mehr Teilnehmer als im vorigen Jahr Platz finden, ermöglicht durch über zweitausend „Engel“, den freiwilligen Helfern des Congress.
Die Veranstaltung ist nicht auf Gewinn angelegt, kommerzfrei und wird seit Jahren im Solidarprinzip finanziert. In diesem Jahr können alle Teilnehmer die eigens auf Nachtzeiten verlängerte 35C3-Tram und alle Leipziger Nahverkehrsmittel mit ihrem Ticket benutzen. Dadurch wird die Veranstaltung allerdings teurer. Um aber niemanden auszuschließen, wird das Standard-Ticket zu einem Preis angeboten, der die Kosten nicht deckt. Nur wenn Teilnehmer sich nach ihren Möglichkeiten an den Kosten beteiligen und freiwillig die teureren Unterstützer-Tickets erwerben, kann sich der Congress finanzieren. Alle Infos zum Vorverkauf und zu den Preisen gibt es im Events-Blog des CCC unter [1].
Der 35C3 schließt an die Kultur der offenen Arme aus den letzten Jahren an. Der an den Nachwuchs gerichtete Kidsspace, der „Jungerhackertag“ und das Chaospatinnen-Programm zur Einführung von Congress-Neulingen wird in diesem Jahr ergänzt durch einen extra ausgewiesenen Grundlagen-Schwerpunkt im kuratierten Vortragsprogramm. Damit sollen mehr Teilnehmer an ihnen noch unbekannte technische Themengebiete herangeführt und Zusammenhänge verständlich und ohne nötiges Vorwissen erklärt werden. Inzwischen ist der Congress in vielen Bundesländern zudem als Bildungsurlaub anerkannt. [2]
Außerhalb des offiziellen Programms wird es Workshops, weitere thematisch breit aufgestellte Bühnen, spontane Bastel- und Hack-Sessions und buchstäblich tausende Experten zum Anfassen geben – Vorbeikommen lohnt also auf jeden Fall. Trotzdem wird der 35C3 für alle, die es nicht nach Leipzig schaffen, durch eine eigens gebaute redundante Anbindung ans Internet von 500 Gbit pro Sekunde das komplette Vortragsprogramm live streamen.
Für journalistische Berichterstattung vom 35. Chaos Communication Congress in Bild, Ton und Schrift bitten wir Angehörige der Presse, zeitnah eine Akkreditierung anzumelden.
Bitte senden Sie formlos ihren Namen sowie das Medium, auf dem Sie veröffentlichen werden, und ob Ihre Arbeit Bild- bzw. Videoproduktion beinhaltet an press-accreditation@cccv.de. Bitte beachten Sie, dass Akkreditierungsanfragen an andere Adressen Gefahr laufen, unterzugehen. Die Akkreditierungsphase läuft bis zum 15. Dezember 2018. Gern beantworten wir etwaige Anfragen per E-Mail und freuen uns, Sie auf dem 35C3 willkommen zu heißen.
Der Chaos Communcation Congress ist die größte europäische Hackerkonferenz und -party mit einer 35-jährigen Geschichte. Die Veranstaltung wird vom Chaos Computer Club organisiert, aber von mehr als zweitausend ehrenamtlichen Helfern in hunderten von selbstorganisierten Gruppen ermöglicht, bietet ein rund einhundertfünfzig-stündiges live gestreamtes und übersetztes Vortragsprogramm, ein werbefreies Areal für hunderte „Assemblies“ genannte Bereiche für diverse Interessengruppen, einen eigenen Kidsspace und viel Raum für Wissens- und Erfahrungsaustausch.
Diese Woche hat die Bundespolizei den bereits im September erstellten Abschlussbericht [1] zur biometrischen Gesichtserkennung am Berliner Bahnhof Südkreuz veröffentlicht. Zu den Kosten des monatelangen Versuchs sind keine Angaben enthalten. Eine zeitgleich bekanntgegebene Meldung preist die Ergebnisse der drei erprobten Systeme als „erfolgreich“ und spricht von einem „enormen Mehrwert“ der Biometriesoftware für die Polizei.
Jedoch zeigen die wenigen Zahlen aus dem Bericht, dass die getesteten Systeme – anders als behauptet – keine akzeptablen Ergebnisse erbrachten. Zudem erweist sich, dass die Ergebnisse manipuliert wurden, um sie nicht ganz so desaströs aussehen zu lassen.
Der Chaos Computer Club (CCC) fordert im Lichte dieses Debakels, das unnütze und teure Sicherheitstheater unverzüglich einzustellen. Die Gesichter aller Passanten sind keine biometrische Ressource zum Scannen nach Belieben.
Die biometrische Videoüberwachung ist mit zahlreichen technischen Problemen behaftet und erweist sich erneut als untauglich. Aber das weit größere Problem für jeden Passanten, dessen Gesicht gescannt wird, liegt in der Technologie selbst: Menschen werden nicht wie mit anderen Videosystemen einfach nur beobachtet, sondern während der Überwachung durch ihre Körpermerkmale identifiziert. Werden solche Systeme ausgebaut, stehen wir vor einer anlasslosen biometrischen Personenüberwachung im öffentlichen Raum, die mit der heutigen Videoüberwachung technisch nicht vergleichbar ist.
Das Innenministerium betont die angeblich hohe Anzahl an Treffern: Die Trefferrate gibt laut dem Bericht die Wahrscheinlichkeit an, mit der eine Person von einem getesteten System korrekt identifiziert wird. Über die angegebene Trefferrate von durchschnittlich achtzig Prozent zeigen sich das Innenministerium und die Autoren des Abschlussberichts hocherfreut. Faktisch werden bei einer solchen Rate allerdings von zehn gesuchten Personen eben nur acht korrekt identifiziert.
Doch selbst die in der Pressemitteilung besonders hervorgehobene durchschnittliche Erkennungsrate von achtzig Prozent hat in Wahrheit keines der getesteten Systeme erreicht, sondern ist eine absichtlich positiv verfälschende Zahl. Sie berechnet sich laut dem Abschlussbericht aus den Erkennungsraten aller drei erprobten Systeme.
Praktisch hieße das für die Situation am Bahnhof, dass nicht der beste Anbieter für die biometrische Erkennung zum Einsatz käme, sondern alle drei Systeme zusammen eingesetzt werden müssten, um diesen durchschnittlichen Wert zu erreichen. Eine solche Trefferrate des „logischen Gesamtsystems“ existiert nämlich nur, wenn alle drei getesteten Systeme die vorbeilaufenden Menschen erfassen und jeweils softwareseitig auswerten. Bei keinem der getesteten Anbieter wurde diese imaginäre durchschnittliche Zahl in Wahrheit gemessen. Tatsächlich ist das durchschnittliche Ergebnis des Versuchs für das beste der drei Testsysteme die peinliche Zahl von 68,5 Prozent, die in der ersten Testphase erreicht wurde. Damit ist die biometrische Technik zu unausgereift für den praktischen Einsatz.
Erwartungsgemäß ändert auch die Positionierung der Kamera das Ergebnis für die Trefferquoten: Am schlechtesten schnitt dabei die Eingangskamera am Bahnhof ab, bei der die schwächsten Trefferleistungen gemessen wurden. Selbst das beste der drei getesteten Systeme kommt hier nur auf eine Trefferquote von 65,8 Prozent. Tagsüber konnte wegen Gegenlichts sogar auch beim besten der Systeme nur sechzig Prozent erreicht werden. Der schlechteste der drei Biometrieanbieter wies am Eingang des Bahnhofs sogar nur eine Trefferrate von 18,9 Prozent (tagsüber zwölf Prozent) aus und ist damit glatt durchgefallen.
Für den geplanten Abgleich mit polizeilichen Datenbanken sind solche Erkennungsraten völlig unbrauchbar. Sie als Erfolg verkaufen zu wollen, ist schlicht unredlich. Insgesamt hält die Bundespolizei dennoch zwei der getesteten Systeme für den „praktischen polizeilichen Einsatz“ geeignet und sieht selbst für das überdurchschnittlich schlechte dritte Testsystem noch ein „hohes Potenzial“.
Die zugrundeliegenden Bilder der Gesichter waren in der Phase zu Beginn des Tests von ausgesprochen hoher Qualität, was die Ergebnisse zugunsten der getesteten Systeme verzerrt. Denn die freiwilligen Probanden wurden in hoher Auflösung und mit guter Beleuchtung fotographiert, so dass die erfassten Gesichter in der ersten Testphase optimal für den Vergleich mit den Livebildern vorlagen.
Der Abschlussbericht weist solche Verzerrungen nicht etwa aus, sondern beschönigt das Vorgehen noch. Generell kann die gesamte Auswertung nicht als wissenschaftlich angesehen, sondern muss als PR-Bericht verstanden werden. Vielleicht dauerte es deshalb so lange, die bereits am 31. Juli beendeten Tests herauszuputzen, um sie erst im Oktober im Abschlussbericht darzustellen.
Die Wissenschaftlichkeit des Versuchs steht aber auch aus anderen Gründen bereits konzeptuell in Zweifel: Die Repräsentativität der Probanden war nicht gegeben, so dass kein aussagekräftiges Abbild der Bevölkerung (Alter, Geschlecht, Ethnie) oder des gesuchten Personenkreises getestet wurde. Zudem war die Anzahl der freiwilligen Tester mit 312 Menschen zu gering bemessen, sie nahm in der zweiten Testphase außerdem noch signifikant ab und verringerte sich auf nur 201 Personen.
„Eine gründliche Untersuchung der realen Erkennungsleistungen der biometrischen Systeme hat mit dem Test am Bahnhof Südkreuz wenig gemeinsam. Wenn ein System der biometrischen Personenüberwachung aber tatsächlich eingesetzt werden sollte, genügen solche Versuche ohnehin nicht. Dann müsste man besser vorher darüber sprechen, ob es gesellschaftlich wünschenswert und überhaupt rechtlich möglich ist, von jedem Vorbeilaufenden biometrische Merkmale zu verarbeiten“, sagte Dirk Engling, Sprecher des CCC.
Besonders dreist ist das Vorgehen, mit der zweiten Testphase die Ergebnisse nochmals absichtlich zu schönen. Der damalige Innenminister Thomas de Maizière hatte bei einem Besuch seines Vorzeigeprojektes noch angekündigt, dass in einer zweiten Phase des ursprünglich auf sechs Monate angelegten Versuchs realitätsnähere Bilder benutzt werden würden. In Wahrheit wurden in dem dann verlängerten Test unter dem Vorwand, angeblich Fahndungsfotos zu verwenden, tatsächlich von den getesteten Systemen selbst aufgezeichnete Gesichtsbilder benutzt. Diese Bilder hatten im ersten Versuchsteil bereits zu guten Ergebnissen geführt. Zudem wurde nunmehr nicht nur ein Referenzbild in den Datenbanken hinterlegt, sondern gleich mehrere der zuvor aufgezeichneten Fotos der Probanden aus den Überwachungskameras verwendet.
Damit wurden nicht nur absichtlich und unzulässig die Erkennungraten manipuliert, vielmehr sind mit einem solchen Testvorgehen Rückschlüsse auf reale Szenarien in einem Bahnhof gar nicht mehr möglich. Schließlich hat es nichts mehr mit der Wirklichkeit zu tun, wenn die biometrischen Systeme Vergleiche von vorher als gut klassifizierten Gesichtsbildern vornehmen, die am gleichen Ort entstanden sind. So müssten in der Realität Fotos der Verdächtigen an allen Bahnhöfen mit allen dort verbauten Kameras angefertigt werden – eine vollkommmen unsinnige und erneut die Ergebnisse verfälschende Testannahme. Wenn solche Versuchsmethoden als Begründung für eine künftige Gesetzgebung zum flächendeckenden Einsatz herhalten sollten, sind sie nicht aussagekräftig für eine reale Verwendung.
Weiterhin sind die Zahlen zur Falscherkennungsrate (FAR) deutlich geschönt. So werden hier nicht etwa alle durch die Kamera erfassten Gesichter der Menschen analysiert, sondern ausweislich des Berichtes nur diejenigen, die zufälligerweise zu dem Zeitpunkt aufgenommen wurden, wenn eine der Testpersonen neben ihnen auf der Rolltreppe stand oder im Bahnhof ging und damit das System durch den Transponder aktivierte. Die realen Zahlen der fälschlichen Erkennung liegen also nochmals um ein Vielfaches höher als der in dem Bericht ausgegebene Wert. Zugleich bleibt auch diese Verzerrung des Ergebnisses im Bericht selbst unkommentiert.
Für das „logische Gesamtsystem“ liegt die so ausgewiesene FAR durchschnittlich bei 0,67 Prozent. Bei einer durchschnittlichen Anzahl von etwa 90.000 Reisenden pro Tag am Bahnhof Südkreuz hieße ein solcher Wert, dass täglich 600 Passanten und mehr fälschlich ins Visier der biometrischen Installation gerieten.
Weiterhin werfen die im Versuch verwendeten Verfahren Fragen auf, die in dem Bericht nicht adressiert werden. Wieso wurden beispielsweise aus den 41.000 gespeicherten Transponder-Events nur 6.000 ausgewählt? Was waren die Kriterien? Und warum werden nicht in allen Diagrammen im Abschlussbericht die gleichen Datenpunkte verwendet? So gibt es beispielsweise für den November nur einen Punkt im Diagramm für die Falscherkennungsrate, aber ganze neun für die Trefferrate. Hier liegt der Verdacht nahe, dass durch die Auswahl bestimmter Ereignisse Fehlerkennungen unter den Tisch gekehrt werden sollten. Auch Differenzen in den Erkennungsraten zwischen aufeinanderfolgenden Tagen von im Schnitt zehn Prozent (maximal fünfzig Prozent) sollten die Herausgeber und die Leser der Studien stutzig machen.
Würde dieses System tatsächlich so in Betrieb genommen, würde die FAR noch weiter darunter leiden, dass die Zahl der Fahndungen mehr als nur die 200 gespeicherten Vergleichsbilder wie in Testphase 2 erzeugt. Laut Beispiel aus dem Bericht soll in der Praxis mit mindestens 600 Bildern verglichen werden. Entsprechend stiege die FAR nochmals.
Doch selbst wenn die Systeme nur vier unbescholtene Bürger pro Kamera und Stunde fälschlich als Verbrecher erkennen und die Beamten diese dann von Hand aussondern müssen, kann man sich leicht vorstellen, was passiert, wenn nach monatelangem händischen Aussieben dann doch mal ein einzelner Verbrecher durchs Bild huscht und erkannt wird. Wie aufmerksam ein durchschnittlicher PC-Anwender die hunderste Sicherheitswarnung für Webseiten wegklickt, dürfte ein Gefühl für die Auswirkungen einer solchen Flut von Falscherkennungsmeldungen geben.
Der einzige Lichtblick im Bericht ist die Beschreibung, wie man sich am besten gegen die biometrische Rasterfahndung schützen kann: Man drehe einfach das eigene Gesicht um mehr als 15 Grad von der Kamera weg. Damit ist eigentlich alles gesagt, was die Sinnhaftigkeit und Einsatztauglichkeit solcher Systeme angeht.
[1] Abschlussbericht der Bundespolizei (pdf)
Faktisch stellt die Bundesregierung mit dem heute angekündigten Vorhaben die Weichen für eine stärkere Ausrichtung hin zu einer offensiven Cyber-Strategie. Der Chaos Computer Club (CCC) fordert hingegen eine strikt defensive Ausrichtung. Angesichts der Erfahrungen anderer Länder und auch im Lichte des Bundestagshacks kann die staatliche Entwicklung von Sicherheitslücken für den Gebrauch durch Militärs und Geheimdienste nicht Bestandteil einer nachhaltigen Sicherheitsarchitektur sein. Erinnert sei nur an den ETERNALBLUE-Exploit der NSA, der die Grundlage für die verheerenden Trojaner Wannacry und NotPetya bildete, die bisher nicht dagewesene Schäden weltweit verursachten.
Der Wunsch der deutschen Geheimdienste, mit NSA und GCHQ „auf Augenhöhe“ mitzucybern, darf nicht Maßstab einer Strategie für Sicherheit im digitalen Raum sein. Stattdessen müssen die für die Agentur eingeplanten Ressourcen ausschließlich für defensive Forschung verwendet werden. Dazu gehört, die Softwarequalität grundlegend zu verbessern und die an Universitäten erforschten und entwickelten Technologien für sichere digitale Systeme schnellstmöglich breit in die industrielle Praxis zu bringen.
Eine sinnvolle Strategie für eine sichere digitale Welt für Bürger und Wirtschaft erfordert, unabhängige zivile Organisationen und auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) zu stärken, und gerade keine weitere Militarisierung und Vergeheimdienstlichung des Themas. „Wenn die Bundeswehr und die Geheimdienste den Ton bei der Agentur angeben, wird der Schwerpunkt auf Cyber-Offensiv-Waffen liegen“, sagte CCC-Sprecher Frank Rieger. „Dies ist das falsche Signal und wird die desolate Situation in der IT-Sicherheit verschlechtern und nicht verbessern.“
Ob ein „Zurückhacken“ und offensive digitale Angriffe, zumal durch das deutsche Militär, überhaupt mit geltendem deutschen Recht und dem Völkerrecht vereinbar ist, steht ohnehin in Zweifel. [1] Darüber kann auch die euphemistische Verbrämung des Vorhabens durch die irreführende Namensgebung der Agentur nicht hinwegtäuschen. Dass offenbar militärische, geheimdienstliche und polizeiliche Interessen weiter vermengt werden, wenn die Agentur diese aus gutem Grund rechtlich getrennten Bereiche bedient, ist nicht akzeptabel.
[1] Rechtliche Bewertung der Wissenschaftlichen Dienste des Bundestags zum „Zurückhacken“: https://www.bundestag.de/blob/560900/baf0bfb8f00a6814e125c8fce5e89009/wd-3-159-18-pdf-data.pdf
Wie in mehreren anderen Bundesländern plant auch die niedersächsische Landesregierung eine drastische Ausweitung polizeilicher Befugnisse. Neben neuen Regelungen für den erweiterten Einsatz von Fußfesseln und für heimliche Videoaufzeichnungen im öffentlichen Raum steht auch die Freigabe des Staatstrojaners für die Polizei auf dem Plan. In dieser und der nächsten Woche finden drei öffentliche Anhörungen im Innenausschuss statt. [1] Der Chaos Computer Club (CCC) veröffentlicht seine Stellungnahme. [2]
Bereits mit dem Koalitionsvertrag hat die niedersächsische Landesregierung die Ausweitung bzw. Einführung von verschiedenen neuen Überwachungsinstrumenten angekündigt: CDU und SPD planen die Einführung von Bodycams, Fußfesseln, verdeckter Audio- und Videoüberwachung und staatlichem Hacking auch in Niedersachsen. Schon vier Werktage nach der Veröffentlichung des entsprechenden Gesetzentwurfes fand die erste öffentliche Lesung statt. Ganz nach dem Vorbild der bayerischen und hessischen Landesregierung versuchte die schwarz-rote Koalition auch in Niedersachsen das entsprechende Gesetz ohne viel öffentlichen Wirbel durchzudrücken. In Anbetracht der weitreichenden Eingriffe in Grundrechte ist der Entwurf jedoch mehr als fragwürdig.
So sieht er eine verdeckte akustische und optische Bespitzelung im öffentlichen Raum vor, verzichtet aber auf einen klar abgesteckten rechtlichen Rahmen. Schlimmer noch: Von der Überwachung Betroffene müssen im Nachgang nicht einmal darüber informiert werden.
Save the date! Seitdem die Pläne der Landesregierung bekannt wurden, das neue Polizeigesetz einzuführen, hat sich in Niedersachsen das #noNPOG-Bündnis gegründet. Für den 8. September ist eine Großdemonstration in Hannover angemeldet. Wir rufen zur Teilnahme auf, denn Niedersachsen darf schließlich nicht Bayern werden.
[1] Termine:
Demo: https://nonpog.de/demo/
Am Abend des 4. Juli 2018 wurde das Kulturzentrum „Langer August“ in Dortmund von bewaffneten Einsatzkräften der Polizei gestürmt und für mehrere Stunden im Rahmen einer Hausdurchsuchung abgeriegelt. Ziel der Maßnahme war offenbar die Beschlagnahme eines Servers des Dortmunder Wissenschaftsladens, welcher sich im dritten Stock des Hauses befindet. Der Server wurde von einem gemeinnützigen Verein aus Rostock betrieben, der seinerseits Webspace für Projekte zu Verfügung stellt. Es handelt sich also lediglich um Server-Housing durch den Dortmunder Wissenschaftsladen.
Im Kulturzentrum „Langer August“ ist auch der Chaostreff Dortmund (CTDO [0]) des Chaos Computer Clubs ansässig, dessen Mitglieder für mehrere Stunden in ihren Räumen festgehalten wurden, während diese von bewaffneten Polizeibeamten durchsucht wurden. Die Anwesenden im CTDO waren keine Zeugen und schon gar keine Beschuldigten einer Straftat.
Den anwesenden Mitgliedern wurde dennoch jegliche elektronische Kommunikation unterbunden und die Verwendung von Telefonen und Rechnern untersagt. Einzelne Räume des CTDO wurden durchsucht, auch ohne dass unseren Mitgliedern die Gelegenheit gegeben wurde, das Vorgehen der Polizisten zu bezeugen. Darüber hinaus wurden die Personalausweise der Anwesenden für die Dauer der Durchsuchung eingezogen und ihre Personalien aufgenommen.
„Wir wurden behandelt wie Straftäter, obwohl uns rein gar nichts vorgeworfen wird. Die Polizei marschierte in unsere Räume mit dem Wissen, dass der Durchsuchungsbeschluss sie gar nicht umfasste“, sagte Tim Windelschmidt, Mitglied im CTDO und bei der Durchsuchung anwesend.
Der später auf Verlangen vorgezeigte Durchsuchungsbeschluss bezog sich explizit auf die Räume des Wissenschaftsladens und nicht auf die des CTDO. Das Anfertigen einer Kopie des Beschlusses wurde auch auf mehrfache Nachfrage verwehrt. Unterdessen hat der Wissenschaftsladen die Beschlüsse veröffentlicht.
Erst nach Eintreffen eines technischen Sachverständigen haben die Polizeibeamten eingesehen, dass keine Notwendigkeit bestand, die Server-Racks des CTDO zu zerlegen. Sie beschränkten sich darauf, Fotos von Teilen der technischen Infrastruktur anzufertigen – ohne Nachfrage, Erlaubnis oder rechtliche Befugnis.
Unsere Mitglieder wurden für mehr als zwei Stunden in den Räumen des CTDO festgehalten, während der Rest des Hauses durchsucht und unter Zuhilfenahme der Feuerwehr gewaltsam in den Serverraum des Wissenschaftsladens eingebrochen wurde. Schon dieses stundenlange Festhalten unserer Mitglieder und die Durchsuchung unserer Räumlichkeiten ohne Durchsuchungsbeschluss und teilweise ohne Zeugen ist unverhältnismäßig. Zusätzlich galt ohne jede Grundlage ein Kommunikationsverbot. Besonders dreist sind aber vom Einsatzleiter des LKA mündlich vorgebrachte Einschüchterungsversuche und offene Drohungen gegen unsere Mitglieder.
Obwohl keinem der Mitglieder irgendeine Straftat zur Last gelegt wurde und auch keiner von ihnen als Zeuge gilt, drohte ihnen der Einsatzleiter mit dem Eintrag in nicht näher benannte polizeiliche Dateien, die den Verlust der Berufs und weitere nicht spezifizierte „ernste Konsequenzen“ nach sich ziehen könnten.
„Wer als leitender Polizist mit solchen Drohungen gegenüber Unbeteiligten hervortritt, während sich die eigenen Beamten wissentlich über die Grenzen des richterlichen Beschlusses hinwegsetzen, beschädigt sich und den Ruf seiner Behörde“, sagte Dirk Engling, Sprecher des Chaos Computer Clubs (CCC).
Als Verfechter freier und dezentraler Kommunikationsstrukturen solidarisiert sich der CCC mit dem Wissenschaftsladen Dortmund und dem Projekt „free.de“. Das unverhältnismäßige Vorgehen der Polizei zeigt sich insbesondere am unnötig gewaltsamen Eindringen in die Räume des Wissenschaftsladens Dortmund, aber auch in unsere Vereinsräume sowie durch die Abwesenheit von unabhängigen Zeugen während der Durchsuchungsmaßnahmen. Im Wissenschaftsladen Dortmund wurde zusätzlich Mitgliedern und deren Anwältin der Zutritt verwehrt. Die Durchsuchungen betrafen auch viele weitere Vereine und Initiativen, die im Haus ansässig sind. Dazu gehört auch das „Bündnis gegen Rechts“, die zusätzlich von Beschlagnahmungen betroffen sind.
Der CCC ruft zu Spenden für free.de und den Wissenschaftsladen auf, um die fünf zerstörten Türen ersetzen und die Kosten der rechtlichen Gegenwehr bezahlen zu können.
Der ungebetene „Besuch“ der Polizei im „Langen August“ kam wenige Tage nach den Durchsuchungen bei den Zwiebelfreunden in Augsburg, Jena, Berlin und Dresden. [2] Auch hier wurden polizeiliche Befugnisse in unverhältnismäßiger Weise auf Zeugen und völlig Unbeteiligte ausgeweitet.
Wir rufen daher dazu auf, bei der heutigen Demo in Düsseldorf (#NoPolGNRW) ein Zeichen zu setzen. [1] Die geplante Verschärfung der Polizeigesetze in Nordrhein-Westfalen und anderen Bundesländern geht uns alle an, die überzogenen Maßnahmen und die Überschreitungen des Erlaubten wie im Falle des „Langen August“ können morgen schon zum legalisierten Alltag werden. Wir brauchen keine verschärften neuen Polizeigesetze, sondern eher Nachschulungen bei den Verantwortlichen, wenn nicht einmal mehr das Gebot der Verhältnismäßigkeit zu gelten scheint.
Der Verein Zwiebelfreunde setzt sich seit sieben Jahren für technische Lösungen zur Anonymisierung ein und schult Menschen im Umgang mit Anonymisierungstechniken. Er betreibt unter TorServers.net Relays der Anonymisierungssoftware Tor und hilft Betreibern technisch und juristisch. Daneben unterstützt der Verein andere Organisationen beim Sammeln von Spenden. Ins Visier polizeilicher Maßnahmen gerieten die Vereinsvorstände nun nicht etwa als Verdächtige, sondern als Zeugen.
Der Hintergrund der Durchsuchungen und Beschlagnahmungen am 20. Juni mutet abenteuerlich an: Es gab eine anonyme Webseite im Internet, die zu Protesten gegen den AfD-Parteitag in Augsburg aufgerufen hatte. Die unbekannten Betreiber dieser Webseite verwendeten eine beim alternativen E-Mail-Provider Riseup registrierte Mail-Adresse. [1] Für Spenden an riseup.net wiederum existiert beim Verein Zwiebelfreunde eine Bankverbindung für ein Spendenkonto.
Riseup hat seinen Sitz in den Vereinigten Staaten und bietet im Grunde eine coole und kommerzfreie Alternative zu Gmail an. Wegen der sonst rar gewordenen strikten Datenschutz-Richtlinien wird er weltweit von einer Vielzahl von NGOs und Graswurzelbewegungen verwendet.
Das hat sich jedoch nicht bis nach Bayern zur Polizei herumgesprochen. Die Generalstaatsanwaltschaft München ging wohl irrig davon aus, dass jeder, der irgendwie auch nur entfernt mit Riseup in Verbindung steht, Angaben über jedes einzelne registrierte E-Mailkonto machen könne – auch zu den Betreibern einer mutmaßlich rechtswidrigen Internetseite. [2] Den ermittelnden Beamten vor Ort war offensichtlich bereits klar, wie schwach und haltlos konstruiert diese Verbindung ist. Das räumten sie gegenüber den Zeugen auch ein, zogen aber die Durchsuchungen und Beschlagnahmungen dennoch durch.
Mit der gleichen an den Haaren herbeigezogenen Begründung hätte jede Durchsuchung bei beliebigen Personen zu Hause stattfinden können, wenn die anonyme Seite von Menschen mit Gmail-Adressen betrieben worden wäre. Die für einen offenkundig unsinnigen Zusammenhang lediglich als Zeugen geführten Betroffenen mussten Eingriffe in ihre Privatsphären über sich und ihre Familien ergehen lassen, die in jeder Hinsicht unverhältnismäßig sind. Ohne den Versuch einer Befragung der Zeugen wurden unmittelbar die privaten Wohnungen der Vorstände des Vereins durchsucht.
Dabei wurde eine Vielzahl an informationstechnischen Geräten und zahlreiche Speichermedien beschlagnahmt. Betroffen von den Durchsuchungen und Beschlagnahmungen waren zudem vollkommen unbeteiligte Familienangehörige der Vereinsvorstände – die allesamt keiner Straftat beschuldigt waren. Von den Beschlagnahmungen betroffen sind außerdem unbeteiligte Firmen und sensible Daten unbeteiligter Projekte der Zwiebelfreunde, beispielsweise der Linux-Distribution Tails. Eine Herausgabe der beschlagnahmten Hardware wird bisher bei einigen Betroffenen verweigert.
„Der Fall zeigt plastisch, wie leicht komplett unbescholtene Bürger mitsamt ihrer Familien durch eine konstruierte Indizienkette zum Opfer schwerer Grundrechtseingriffe werden können. Auf der Basis einer so offensichtlich unhaltbaren Argumentation als Zeuge mit völlig überzogenen Maßnahmen behelligt zu werden, ist mehr als fragwürdig. Die Verschärfung der bayerischen Polizei-Gesetze in den letzten Jahren führt offenbar dazu, dass sich die Verantwortlichen an das Gebot der Verhältnismäßigkeit von Eingriffen nicht mehr gebunden fühlen“, sagte Frank Rieger, Sprecher des Chaos Computer Clubs (CCC).
Nochmal zum Mitmeißeln: Aus dem Vorhandensein einer E-Mailadresse bei einem großen freien Anbieter auf einer Webseite haben die Strafverfolger gefolgert, dass ein deutscher Verein in engem Zusammenhang mit den Aufrufen stehen müsse, der nichts weiter tut, als Spenden für diesen Anbieter abzuwickeln. Obwohl der Zwiebelfreunde-Verein offensichtlich mit dem Betrieb des Providers nichts zu tun hat, wurde er trotzdem en passant verdächtig. Dass die Durchsuchungen und Beschlagnahmungen angeordnet wurden, offenbart entweder hochgradige kriminalistische Inkompetenz oder bösen Willen bei den bayerischen Ermittlungsbehörden.
Wer die Zwiebelfreunde bei geplanten rechtlichen Schritten wegen der Herausgabe, einem Verwertungsverbot der beschlagnahmten Unterlagen und der Feststellung der Unverhältnismäßigkeit unterstützen möchte – und sich noch traut, auf entsprechende Konten zu spenden –, kann dies hier tun: https://www.zwiebelfreunde.de/.
Im Zuge der Durchsuchungen bei den Vereinsvorständen in Augsburg, Jena, Dresden und Berlin weitete die Polizei die Maßnahmen eigenmächtig auf Räume aus, die auch von Mitgliedern des Chaos Computer Clubs (CCC) genutzt werden: das Augsburger OpenLab. Hier trafen die Beamten auf die Lebensrealität von Hackern: Arbeitsmittel zum Platinenätzen, Reinigen und Haarefärben. Weil die Polizisten dann noch eine Zeichnung auf einem Whiteboard des Hackerspaces großzügig als Bombenbauanleitung interpretierten, beschuldigten sie zufällig anwesende Mitglieder des Hackerspaces, sie würden ein Sprengstoffattentat vorbereiten. Drei Personen nahm die Polizei fest und durchsuchte danach den Hackerspace ohne einen Durchsuchungsbeschluss und ohne jegliche Zeugen.
Sie beschlagnahmte Gegenstände aus dem OpenLab und öffnete mit Gewalt verschlossene Schränke, in denen sich auch Mitgliederdaten und Kontoauszüge befanden. Es ist davon auszugehen, dass Kopien gemacht wurden und in die Privatsphäre von Mitgliedern und Spendern beider Vereine eingegriffen wurde.
Sowohl die initiale Verdachtsgewinnung gegen die Vorstände der Zwiebelfreunde als auch die nachfolgende Verdächtigung in Richtung Sprengstoff sind entweder inkompetent oder böswillig. Der schwerwiegende Verdacht der „Vorbereitung eines Sprengstoffattentats“ bedroht den Betrieb jedes Labors und jedes Hackerspaces dramatisch – das familienfreundliche OpenLab ist so gut wie täglich für Besucher geöffnet. Wenn nun schon die schlichte Auseinandersetzung mit chemischen Grundkenntnissen als Verdachtsmoment gilt, so muss bald jeder Schüler sein Chemiebuch gut vor den Augen neugieriger Polizisten verstecken.
Wer mehr über die polizeiliche Rollkommando-Aktion erfahren möchte, kann am Freitag bei logbuch-netzpolitik.de reinhören. Einer der Betroffenen wird über die Vorkommnisse berichten. Der Podcast wird um 18 Uhr online sein.
Unter der Federführung des Berichterstatters Axel Voss (CDU) hat sich der Rechtsausschuss des EU-Parlaments vergangene Woche auf das Erzwingen von sogenannten Upload-Filtern geeinigt. Der Entwurf soll diese Woche Donnerstag in der Plenarsitzung des EU-Parlaments abgesegnet werden. Ein weiterer gefährlicher Teil der Vorlage ist die Einführung eines europaweiten Leistungsschutzrechts für Presseverlage.
Mit den verpflichtenden Upload-Filtern soll schon vor einer Veröffentlichung im Internet verhindert werden, dass dadurch Urheberrechte Dritter verletzt werden. Was in der Theorie simpel klingen mag, erfordert in der Praxis eine immens große, ständig aktualisierte Datenbank sämtlicher Text-, Audio- und Video-Ausschnitte, für die Verwertungsrechte geltend gemacht werden. Hinzu kommt ein enormer Aufwand für „smarte“ Algorithmen, die auch Abwandlungen und Modifikationen des Originals erkennen sollen.
Für den Großteil kleinerer Anbieter ist dieser Aufwand schlichtweg nicht zu leisten. Das erkennt selbst Axel Voss und empfiehlt daher, die Dienste größerer Plattformen in Anspruch zu nehmen. Wie das funktioniert, sehen wir bereits bei eingebetteten Videos, Kartenausschnitten, Captchas und sogar Webfonts: Was auf kleineren Webseiten zu sehen ist, bestimmen die Großen, die robuster erscheinende Infrastruktur und eine gut ausgestattete Rechtsabteilung bereithalten können.
Für die datenhungrigen Dauerwerbe-Plattformen wären die Filter also ein Geschenk des Himmels: Ihnen würden die wenigen verbliebenen Konkurrenten aus Angst vor der Rechtsunsicherheit schon in den Upload-Formularen sämtliche hochzuladenden Inhalte zur Kontrolle weiterleiten. Ein Leben ohne Google und Facebook würde damit unmöglich.
„Den marktbeherrschenden Plattformen sämtliche Inhalte der Konkurrenz frei Haus zur Kontrolle und Zensur zu liefern, wäre genau das Gegenteil einer Einschränkung der marktbeherrschenden Stellung von Google und Facebook. Es wäre eine endgültige und grundlose Kapitulation“, sagte Linus Neumann, Sprecher des Chaos Computer Clubs (CCC).
Doch selbst mit fast unbegrenzten Ressourcen ist die Filter-Aufgabe kaum zu stemmen: So unterhalten Werbeplattformen wie die Google-Marke Youtube sowie Facebook bereits derartige Zensur-Infrastrukturen, die regelmäßig durch Fehlentscheidungen zu hausgemachten Skandalen führen. Dass dadurch die Kunstfreiheit, aber auch die Pressefreiheit betroffen sind, wird immer wieder kritisiert. Selbst die Software der Marktführer kann Zitate, Remixe, Berichterstattung, Satire oder Kunst nicht zuverlässig von rechtsverletzenden Inhalten unterscheiden.
Die Idee einer vorgelagerten Zensur ist für sich schon problematisch: Da die vorgeschlagenen Erkennungsalgorithmen grundsätzlich fehlerbehaftet sind, werden die global operierenden Werber Inhalte aufgrund sogenannter „false positives“ übereifrig entsorgen, schon allein um Streitfälle zu vermeiden. Hinzu kommt ein Missbrauch durch die Rechteverwerter, dem nicht selten Aktivisten oder gar Eltern und ihre Säuglinge zum Opfer fallen. Eine Kompensation für ihre verletzten Rechte erhalten die Betroffenen in der Regel nicht.
Über die Plattform „Google News“ lassen sich aktuelle Nachrichten finden. Mit dem 2013 in Deutschland eingeführten „Leistungsschutzrecht für Presseverlage“ sollte Google gezwungen werden, die jeweiligen Online-Publikationen für die Verwendung der Titel- und Teaser-Texte in den Artikel-Links zu kompensieren. „Mit der gleichen Logik könnte ein Restaurantbesitzer von Taxifahrern Geld verlangen, die ihm Gäste bringen“, stellte der Journalist Mario Sixtus schon 2012 fest.
Erwartungsgemäß geriet die deutsche Version des Leistungsschutzrechts zur Farce: Medienhäuser einigten sich mit Google umgehend auf den Verzicht der Geltendmachung des Leistungsschutzrechts, um auch weiterhin kostenlos von Google verlinkt zu werden. Kleinere, weniger bedeutende Plattformen hatten das Nachsehen und litten fortan unter der neu geschaffenen Rechtsunsicherheit. In Spanien wurde „Google News“ kurzerhand abgeschaltet, die Online-Publikationen müssen seither dauerhaft auf die Verlinkungen verzichten. Fazit: weitgehender Flurschaden, kein einziger Cent für die Verlage, schon gar nicht für die Urheber der Texte.
„Das Leistungsschutzrecht für Presseverlage war eine Blamage mit Ansage und Anlauf – und ist es noch. Statt die Fehler der Vergangenheit einzusehen, sollen diese nun noch einmal gemacht werden – nur noch größer!", sagte Linus Neumann, Sprecher des CCC.
Der internationale Widerstand gegen die unsinnigen Artikel der EU-Urheberrechtsreform bündelt sich in der Kampagne „Save Your Internet“. Sie bietet Unterstützung beim direkten Ansprechen der notorisch als „fern“ wahrgenommenen EU-Parlamentarierinnen. Der CCC unterstützt den Aufruf und fordert die Zivilgesellschaft auf, von den vielfältigen Protestmöglichkeiten Gebrauch zu machen. „Natürlich erwarten wir alle freudig Horst Seehofers Vorrundenaus – aber die Wartezeit lässt sich sinnvoll nutzen!“, sagte Linus Neumann, Sprecher des CCC.
Die schwarz-grüne Koalition in Hessen hat offenbar eine Einigung im Streit um den Hessentrojaner erzielt. Demnach soll der hessische Verfassungsschutz über die geplante Änderung des Verfassungsschutzgesetzes keine Erlaubnis zum staatlichen Hacken bekommen, wohl aber die hessische Polizei (im HSOG). Damit wäre auch in Hessen die Erweiterung des Ermittlungsarsenals um Staatstrojaner ausgemacht.
In der Begründung, die von der hessischen Fraktionsspitze und den Landesvorsitzenden an die Grünen-Mitglieder geschickt wurde, [1] kann man nachlesen, dass heftig umstrittene Polizeigesetze in einigen anderen Bundesländern nun als Begründung herhalten müssen. Damit kommt ein Domino-Effekt in Gang: Was die eine Polizei darf, müssen alle anderen auch haben. Die Landesmitgliederversammlung der hessischen Grünen hatte demgegenüber explizit eine „friedliche Cybersicherheitsstrategie“ gefordert und sowohl die Staatstrojaner-Variante der „Online-Durchsuchung“ als auch der „Quellen-TKÜ“ abgelehnt.
Ignoriert wird bei dem gefundenen „Kompromiss“, dass sowohl gegen die Regelungen anderer Bundesländer als auch die im Bund Verfassungsbeschwerden vorliegen. In Hessen selbst kam in der parlamentarischen Anhörung mit Ausnahme der Polizeigewerkschaft keiner der Sachverständigen zu dem Schluss, dass die geplanten Regelungen verfassungsgemäß seien. Der Chaos Computer Club (CCC) hatte sich in seiner Stellungnahme [2] ebenfalls gegen Staatstrojaner positioniert.
Dirk Engling, Sprecher des CCC, sagt: „Wenn nun die Spionagegelüste der Polizeien die Integrität der IT-Systeme untergraben, ist dies keinen Deut besser, als wenn die Spionagesoftware der Geheimdienste dafür sorgt. Aufgabe des Staats wäre es stattdessen, die ohnehin stiefmütterlich behandelte Forschung an Softwaresicherheit zu unterstützen.“
Die nun um sich greifende Staatstrojaner-Welle bedeutet für den Steuerzahler, dass immer mehr staatliche Gelder investiert werden, um die IT-Sicherheit für Wirtschaft, Verwaltung und Privatpersonen absichtlich zu unterminieren. Schließlich muss auch die Spionagesoftware der Polizei Sicherheitslücken ausnutzen, um einen Staatstrojaner heimlich auf einem Computer oder Mobiltelefon von Verdächtigen oder Kontaktpersonen unterzubringen.
Vielleicht könnten die offenbar vom staatlichen Hacken nicht abzubringenden Unionschristen erstmal folgende Fragen beantworten:
Der CCC setzt sich mit Nachdruck gegen die um sich greifende Normalisierung der gesetzlichen Erlaubnis zum Einsatz von Staatstrojanern ein. Die Entwicklung, immer mehr staatlichen Stellen Spionagesoftware an die Hand zu geben, ist ein bedrohlicher Irrweg. Er ignoriert die Risiken, die mit der staatlichen Alimentierung einer Branche einhergehen, die mit der IT-Unsicherheit ihr Geschäft macht.
Der Brief wendet sich gegen eine Initiative der EU-Kommission, die zum Ziel hat, in der Europäischen Union eine Urheberrechtsreform durchzusetzen. Dabei sind sogenannte Upload-Filter für alle Plattformen mit nutzergenerierten Inhalten geplant. Sie sollen EU-weit vorgeschrieben werden.
Wir sprechen uns gegen Upload-Filter aus, weil wir eine weitere Verschärfung des Urheberrechts ablehnen, erst recht, wenn damit Overblocking schlicht vorprogrammiert wäre. Momentan sollen Upload-Filter als Gegenmaßnahme für Urheberrechtsverletzungen vorgesehen werden, aber wenn wir eines aus den vergangenen Jahren gelernt haben, ist es der Trend zur Ausweitung solcher Maßnahmen. Eine potentielle Zensurinfrastruktur gilt es jedoch von vorneherein zu verhindern.
Der Brief wurde versandt an:
Heiko Maas (SPD), Brigitte Zypries (SPD), Monika Grütters (CDU), Peter Altmaier (CDU), Axel Voss (CDU), Angelika Niebler (CSU) und Sylvia-Ivonne Kaufmann (SPD).
Wir Unterzeichnende, Vertreter der Zivilgesellschaft, der Wirtschaft und der Internetkultur, bitten Sie, die Aufweichung des Haftungsprivilegs und die verpflichtende Einführung von Upload-Filtern zu verhindern.
Wir unterstützen nachdrücklich das Anliegen im Entwurf zum Koalitionsvertrag zwischen CDU, CSU und SPD, in dem es heißt: „Eine Verpflichtung von Plattformen zum Einsatz von Upload-Filtern, um von Nutzern hochgeladene Inhalte nach urheberrechtsverletzenden Inhalten zu ‚filtern‘, lehnen wir als unverhältnismäßig ab.“
Davon unbeirrt schlägt die Europäische Kommission in ihrem Entwurf der Richtlinie über das Urheberrecht im digitalen Binnenmarkt (COM(2016) 593 final) vor, Plattformen, die Inhalte Dritter speichern, zu verpflichten, vermeintliche Urheberrechtsverletzungen mittels eines sogenannten Upload-Filters zu unterbinden, bevor die Inhalte auf die Plattform hochgeladen werden. Damit geht eine Umkehr der bewährten Haftungsprinzipien aus der E-Commerce-Richtlinie einher. Dies hätte gesellschaftlich und wirtschaftlich verheerende Folgen.
Die freie Entfaltung und Kreativität im Rahmen der Ausnahmen (Schrankenregelungen) des Urheberrechts sowie die Vielfalt von Inhalten insgesamt im Internet wären bedroht. Den Uploads der Nutzerinnen und Nutzern würde eine Zensurinfrastruktur vorgeschaltet.
Sollte die Betreiberhaftung in dieser Form ausgeweitet werden, werden klare Anreize gesetzt, um auch solche Inhalte zu blockieren, die rechtmäßig eingestellt wurden (Overblocking). Die Plattformen werden versuchen, ihr Haftungsrisiko zu minimieren, und nur noch ihnen bekannte und geprüfte Inhalte erlauben. Komplizierte Abwägungen, was erlaubt ist und was nicht, sei es Kritik, Satire oder Kunst, können automatisierte Filter nicht vornehmen. Wirksame Maßnahmen, die rechtmäßige Inhalte vor entsprechender Blockierung schützen, sind nicht vorgesehen. Damit werden nutzergenerierte Inhalte aus dem Internet verschwinden. Eine der Erfolgsformeln des Internets, das Teilen von Informationen und Inhalten, ist damit in Gefahr.
Gerade private und ehrenamtlich betriebene Plattformen, aber auch kleine und mittlere Online-Service-Unternehmen werden einem großen rechtlichen und wirtschaftlichen Risiko ausgesetzt, sofern sie den Upload von Inhalten nicht ganz unterlassen. Sie verschwinden vom oder schaffen es überhaupt nicht auf den Markt. Damit widerspricht die Europäische Kommission nicht nur ihrer eigenen Strategie zur Startup-Förderung. Auch die Bundesregierung stünde mit den Verlautbarungen im Koalitionsvertragsentwurf zur Startup-Förderung im Konflikt.
Wir fordern Sie daher auf, sich gegen die Aufweichung des Haftungsprivilegs von Plattformen für nutzergenerierte Inhalte und insbesondere gegen Upload-Filter einzusetzen.
Für Rückfragen stehen wir Ihnen gerne zur Verfügung.
Mit freundlichen Grüßen
Bitkom e. V.
Verbraucherzentrale Bundesverband e. V. (vzbv)
Wikimedia Deutschland e. V.
Bundesverband Deutsche Startups e. V.
Bundesverband Digitale Wirtschaft e. V. (BVDW)
Bundesverband IT-Mittelstand e. V. (BITMi)
Bundesverband mittelständische Wirtschaft e. V. (BVMW)
Chaos Computer Club e. V. (CCC)
D64 – Zentrum für digitalen Fortschritt e. V.
Arbeitskreis gegen Internetsperren und Zensur (AK Zensur)
Deutscher Gründerverband e. V.
Digitale Gesellschaft e. V. (DigiGes)
eco – Verband der Internetwirtschaft e. V.
Jugendpresse Deutschland e. V.
Open Knowledge Foundation Deutschland e. V. (OKFN)
Links:
Am Donnerstag findet im Innenausschuss des Hessischen Landtags die Sachverständigenanhörung zum geplanten „Gesetz zur Neuausrichtung des Verfassungsschutzes in Hessen“ statt. Die Koalition aus CDU und Grünen möchte dem dortigen Landesamt für Verfassungsschutz die Nutzung von Spionagesoftware zum Einbruch in Computersysteme erlauben. Der Chaos Computer Club (CCC) hat eine Stellungnahme abgegeben und kritisiert darin den Gesetzesentwurf.
Der Anhörung vorausgegangen war die Informationskampagne hessentrojaner.de, mit der ein breites Bündnis aller hessischen CCC-Vertretungen und anderer Bürgerrechtsgruppen auf die strukturellen Gefahren beim Einsatz von Staatstrojanern aufmerksam machte.
„Staatliche Spionagesoftware wie der nun geplante Hessentrojaner nutzt Sicherheitslücken in alltäglicher Software“, erklärt Marco Holz vom CCC Darmstadt. „Das heißt im Klartext: Das Land Hessen schickt seinen Landesgeheimdienst auf den Schwarzmarkt oder zu fragwürdigen Trojaner-Anbietern, um mit Steuergeldern Sicherheitslücken in weit verbreiteten Programmen aufzukaufen und auszunutzen. Dabei nehmen sie billigend in Kauf, dass diese Lücken nicht geschlossen werden können“, so Marco Holz weiter.
Offenbar ist den hessischen schwarz-grünen Koalitionären entgangen, dass sie damit die ohnehin schon erheblichen Probleme in der IT-Sicherheit mit staatlichen Geldern befeuern. Während Wirtschaft, Behörden und hunderttausende Privatpersonen noch an den Folgen von „Wannacry“ laborieren, soll der hessische Geheimdienst auf Trojaner-Einkaufstour geschickt werden. Im Sommer letzten Jahres hatte dieser Erpressungstrojaner weltweit Millionen Windows-PCs angegriffen, wirtschaftliche Schäden in Milliardenhöhe verursacht und unter anderem in britischen Krankenhäusern den Betrieb lahmgelegt. Die von „Wannacry“ genutzte Sicherheitslücke war zuvor von der NSA absichtlich jahrelang geheimgehalten worden. Trotzdem hält es die hessische Landesregierung offenbar immer noch für eine gute Idee, für ihren Geheimdienst in Schadsoftware zu investieren.
„Wenn der Staat Spionagesoftware entwickeln lässt, untergräbt er strukturell die IT-Sicherheit. Schließlich setzt er hier mit Steuergeldern Anreize, Sicherheitslücken nicht zu schließen, um sie dauerhaft ausnutzen zu können. Kollateral- und Folgeschäden für Wirtschaft und Bevölkerung werden dabei schlicht ignoriert oder totgeschwiegen“, resümiert Marco Holz.
Zudem schränkt der hessische Gesetzesentwurf den ohnehin fragwürdigen Trojanereinsatz nur unzureichend ein. „Nicht einmal die vom Bundesverfassungsgericht gesetzten Schranken werden eingehalten“, kritisiert Dirk Engling vom CCC Berlin. „Die vom Gericht geforderte Zweckbeschränkung der Spionage-Maßnahmen ist schlicht nicht vorgesehen. Die Protokollierungspflichten sind lückenhaft, eine Einsicht in den Quellcode des Trojaners gar nicht erst geplant. Die einzigen vorgesehenen Kontrollinstanzen, das Amtsgericht Wiesbaden und das parlamentarische Kontrollgremium des Landtags, können ihren Aufgaben unter diesen Bedingungen nicht adäquat nachkommen.“
Auch aufgrund der schweren Eingriffe in die Privat- und Intimsphäre von Betroffenen und unbeteiligten Dritten sowie wegen des hohen Missbrauchspotentials von Staatstrojanern ist das hessische Vorhaben abzulehnen. Die Landesregierung bemüht denselben gefährlichen Trick, den „Quellen-TKÜ“-Trojaner rechtlich so zu fassen, als handele es sich um eine bloße Telefonverbindung. Dabei ist eine „Quellen-TKÜ“ technisch gesehen auch nur ein etwas eingeschränkter Trojaner und in keiner Weise mit dem Abhören von Telefonen gleichzusetzen.
Justus Hoffmann vom CCC Darmstadt zeigt sich trotzdem optimistisch: „Die schwarz-grüne Koalition hätte das Gesetz wohl gern im Schnelldurchlauf unbemerkt durch den Landtag gepeitscht. Der hessentrojaner.de-Kampagne und den zahlreichen Engagierten aus vielen verschiedenen Organisationen ist es zu verdanken, dass wir nun eine öffentliche Debatte über das staatliche Hacken durch Geheimdienste haben. Wir wollen dieses Gesetz stoppen, denn es schadet eindeutig mehr als es nützt.“
Begleitend zur Anhörung im Landtag am Donnerstag finden eine Podiumsdiskussion und eine Kundgebung statt. Die Anhörung beginnt am 8. Februar um 10 Uhr im Innenausschuss des Wiesbadener Landtags.
Am Abend werden wir auf Radio Darmstadt in der Sendung C-RadaR die Ergebnisse der Anhörung diskutieren.
Vodafone bietet einigen „Partnerunternehmen“ seit Oktober vier neue „Pass“-Kategorien (Chat, Social, Music, Video) an, die Kriterien dafür liegen allerdings nicht transparent vor. Die in diese „Pässe“ aufgenommenen Apps bekommen den Vorzug, dass die Nutzung nicht auf das Inklusivvolumen der Kunden angerechnet wird.
Faktisch entsteht dadurch die Situation, dass sowohl Vodafones Endkunden dafür bezahlen als auch Diensteanbieter als „Partner“ des Konzerns vertraglich gebunden werden. Nicht-kommerzielle Angebote, wie sie der Chaos Computer Club (CCC) beispielsweise unter media.ccc.de oder als Streaming-Dienst bei vielen seiner Veranstaltungen und Podcasts bereitstellt, haben dabei ein strukturelles Nachsehen und werden benachteiligt. Der CCC hat jedoch ein hohes Interesse daran, seine Inhalte gemäß seiner Satzung als frei zugängliches, einfach lizenzierbares und kostenloses Bildungsangebot möglichst vielen Menschen anzubieten.
Auch jenseits von strukturell benachteiligten Video- und Audioangeboten entstehen durch „Vodafone Pass“ ungewünschte Effekte: Die vier angebotenen Kategorien sind willkürlich gewählt und diskriminieren einige Dienste, die prinzipbedingt dezentral sind und in keinen „Pass“ aufgenommen werden können, weil es keinen einzelnen Anbieter gibt, mit dem Vodafone überhaupt einen Vertrag schließen könnte. Beispiele sind Dienste wie Jabber (XMPP) oder E-Mail.
Um „Partner“ von Vodafone zu werden, wird zudem eine App vorausgesetzt. Ein Video oder einen Stream ganz normal über den Browser sehen zu wollen, ist dabei nicht vorgesehen. Das benachteiligt zusätzlich alle Angebote, die über keine spezielle App verfügen, sondern ihre Dienste über das Web anbieten.
Für Verstöße gegen die Netzneutralität bei Zero-Rating-Angeboten können Strafen festgesetzt werden, allerdings erst, nachdem die Bundesnetzagentur etwaige Verstöße prüft und feststellt. Der CCC legt in seiner Stellungnahme dar, welche Nachteile in Fragen der Meinungsvielfalt durch Angebote wie „Vodafone Pass“ entstehen und warum gegen die Netzneutralität verstoßen wird.
Netzneutralität bezeichnet das Prinzip, dass Netzkonzerne einzelne Datentransport-Dienste nicht bevorzugen oder benachteiligen dürfen. Sie schützt Internetnutzer und Online-Dienste vor Diskriminierung durch Telekommunikationsunternehmen, die die Infrastruktur betreiben. Zero-Rating-Angebote missachten die EU-Verordnung (2015/2120), die Prinzipien der Netzneutralität und die Anforderung nach einer gleichberechtigten und nicht-diskriminierenden Behandlung des Datenverkehrs. Das gilt sowohl bei dem Telekom-Angebot „StreamOn“ als auch bei „Vodafone Pass“.
Links:
Stellungnahme des CCC an die Bundesnetzagentur zum Zero-Rating-Angebot „Vodafone Pass“
Gemeinsam mit der Free Software Foundation Europe (FSFE), weiteren Organisationen der Zivilgesellschaft und Juristen fordern wir, dass das besondere elektronische Anwaltspostfach (beA) Freie Software werden soll. [1]
Zahlreiche Skandale und ein fragwürdiges Sicherheitsverständnis prägen das Projekt, das sich schon seit einigen Jahren in Entwicklung befindet. Eigentlich müssen Rechtsanwälte seit dem 1. Januar 2018 über diese Software erreichbar sein, doch zahlreiche bekannt gewordene Sicherheitslücken verhindern den geplanten Start des Dienstes. So wurde etwa die verschlüsselte Verbindung der Anwender nicht nur über das beA, sondern auch zu sämtlichen anderen Webseiten ausgehebelt. Vor allem aber ist die Ende-zu-Ende-Verschlüsselung, eigentlich Hauptmerkmal der Software, grundlegend gefährdet, da die Bundesrechtsanwaltskammer offenbar Zugang zu allen privaten Schlüsseln und damit den eigentlich vertraulichen Nachrichten ihrer Rechtsanwälte hat. Es steht zu befürchten, dass durch die ebenfalls öffentlich gewordene Implementierung zahlreicher längst veralteter und anfälliger Komponenten weitere Sicherheitslücken existieren.
Obwohl bereits 2015 eine Sicherheitsprüfung durch eine beauftragte Firma stattgefunden hat, dessen Reichweite und Ergebnis allerdings bis heute nicht veröffentlicht wurde, ist die ganze Tragweite der fehlerhaften Programmierung erst Ende 2017 bekannt geworden. Damit hat das Projekt, das die Rechtsanwälte bisher etwa 38 Millionen Euro kostet, bereits jetzt sein Vertrauen verspielt. Angesichts der zahlreichen Fehler ist die Vertraulichkeit der gesendeten Nachrichten nicht mehr zu gewährleisten – und das, wo die Nutzung der Software ab 2022 für den gesamten Dokumentenverkehr mit Gerichten Pflicht wird.
An den zahlreichen Problemen des besonderen elektronischen Anwaltspostfachs besteht kein Zweifel. Doch anstatt weiter ihre Mitglieder im Unklaren zu lassen und unabhängige Sicherheitsforscher auszuschließen, sollte die Bundesrechtsanwaltskammer nun die gesamte Software unter einer Freie-Software- und Open-Source-Lizenz veröffentlichen und den weiteren Entwicklungsprozess transparent machen. Nur dadurch kann das erschütterte Vertrauen der Nutzer, also aller Rechtsanwälte, Behörden und Gerichte, langsam wiederhergestellt werden.
Die Offenlegung des Programmcodes ermöglicht unabhängigen IT-Experten, bereits frühzeitig potentielle Sicherheitslücken zu melden, damit diese behoben werden; dass eine Geheimhaltung des Quellcodes und der in Auftrag gegebenen Audits nicht zum gewünschten Ergebnis führen, hat sich nun ein weiteres Mal erwiesen. Freie Software garantiert zudem die dringend nötige Herstellerunabhängigkeit.
Ohnehin ist fraglich, warum nicht von Anfang an auf bereits verfügbare Softwarekomponenten gesetzt wurde, die unter einer Freie-Software-Lizenz verfügbar sind. Für verschlüsselte E-Mails existiert beispielsweise das etablierte und vielfach geprüfte GnuPG, welches sich nahtlos in Mailingprogramme wie Thunderbird einbinden lässt. Spezielle Anforderung wie etwa die verschlüsselte Weiterleitung an Vertretungen und Assistenzen könnten auf dieser Basis ebenfalls als Freie Software veröffentlicht werden und dieselben Vorteile der Transparenz genießen. Warum Freie Software generell für öffentliche digitale Dienste Standard sein sollte, zeigt die aktuelle FSFE-Kampagne Public Money, Public Code.
Ganz gleich, ob die Bundesrechtsanwaltskammer sich für eine komplette Neuentwicklung der Software oder erhebliche Verbesserungen der jetzigen Lösung entscheidet, die Veröffentlichung unter einer freien Lizenz ist unumgänglich, um das Projekt überhaupt noch zu retten und die Sicherheitserwartungen zu gewährleisten.
Links:
[1] Das besondere elektronische Anwaltspostfach (beA) muss Freie Software werden
[2] Das besondere elektronische Anwaltspostfach (beA): http://bea.brak.de/
Statt an der Tankstelle werden Elektroautos an Ladesäulen geladen. Diese bieten zumeist einen Drehstromanschluss, über den die notwendigen Ladeleistungen erreicht werden. Im öffentlichen Raum werden Ladevorgänge von den Anbietern unter anderem über Ladekarten abgerechnet. Auf den Ladekarten ist eine Nummer gespeichert, anhand derer die Ladestation den Nutzer identifiziert. Leider ist diese Nummer komplett öffentlich und kann beliebig kopiert werden. Damit kann man recht leicht eine Ladekarte klonen.
„Die Anbieter haben grundlegende Sicherheitsmechanismen nicht umgesetzt“, sagte CCC-Mitglied Mathias Dalheimer, der den Hack heute beim 34C3 erläutern wird. „Das ist, als ob ich mit einer Fotokopie meiner Girokarte im Supermarkt bezahlen würde – und der Kassierer das akzeptiert.“
Auch die Kommunikation zwischen den Ladesäulen und dem Abrechnungs-Backend ist schlecht geschützt: Die Kartennummer wird auch hier – oft sogar ohne jegliche Verschlüsselung – direkt an den Anbieter übermittelt. Mit geringem technischen Aufwand kann man diese Kommunikation abfangen und so die Kartennummern von Kunden ernten. Aus diesen kann man dann entweder Ladekarten fälschen oder – in der Praxis wohl einfacher – gegenüber dem Ladenetzbetreiber Ladevorgänge simulieren. Damit kann ein Ladesäulenbetreiber seinen Umsatz sehr einfach in die Höhe treiben.
Auch die Ladestationen selbst sind unsicher. Die meisten Ladestationen erlauben das Ändern der Konfiguration sowie Firmwareupdates über einen USB-Stick. Da der Updatemechanismus beispielsweise bei KEBA-Ladestationen unsicher ist, kann beliebiger Code in die Ladestation eingeschleust werden. Darüber könnten Angreifer beispielsweise alle Ladevorgänge gratis machen oder aber wiederum die Kartennummern ernten und so Ladekartenkunden schädigen.
Kunden dürften es sehr schwer haben, einen Missbrauch nachzuweisen. Insbesondere beim Roaming, also beim Laden an einer Ladestation eines anderen Anbieters, wird ein Ladevorgang erst viel später abgerechnet. Es können dabei Wochen vergehen, bis der Missbrauch einer Ladekartennummer auffällt.
Die Ladenetzbetreiber haben die Schwachstellen zwar bestätigt, ziehen derzeit aber keine Konsequenzen. „New Motion“ teilte etwa mit, ihnen seien keine Betrugsfälle bekannt und dass die Kunden ihre Ladeabrechnung doch bitte selbst kontrollieren möchten. [0] Ein Wechsel zu einem geeigneten Zahlverfahren ist nicht abzusehen, so dass Kunden mit dieser Situation leben müssen.
Wir fordern:
Links:
[1] Sammlung der Erkenntnisse, weitere technische Details sowie Videos im Blog von Mathias Dahlheimer: https://schwarzladen.gonium.net/
[2] Elektroauto-Simulator: https://evsim.gonium.net
[3] Videos bei Youtube:
[4] Live-Streaming: Informationen zu Streams und Videos
Bilder:
Die hier angebotenen Bilder können frei verwendet werden:
Ladekarten von New Motion und Ladenetz
Ladestation von Hager, Oberseite
Ladestation von Hager, Unterseite
Im Zuge der Novelle des Hessischen Verfassungsschutz-Gesetzes planen CDU und Grüne auch die Einführung eines Staatstrojaners. Der entsprechende Gesetzesentwurf soll im Novemberplenum des Hessischen Landtages in erster Lesung behandelt werden. [1]
Der von den Fraktionen der CDU und Bündnis 90/Die Grünen im Hessischen Landtag vorgelegte „Gesetzesentwurf zur Neuausrichtung des Verfassungsschutzes in Hessen“ [2] sieht eine Ausweitung der Befugnisse des Verfassungsschutzes vor, insbesondere den Einsatz von Staatstrojanern zur sog. Quellen-Telekommunikationsüberwachung („Quellen-TKÜ“) und zur Online-Durchsuchung. Mit der Informationsseite www.hessentrojaner.de möchten die hessischen Chaos Computer Clubs über die Funktionsweise und Gefahren von Staatstrojanern informieren.
„Eine solche Regelung gefährdet die Sicherheit Millionen vernetzter Geräte weltweit. Der Einsatz von Staatstrojaner setzt verwundbare Software in Smartphones oder Laptops voraus“, erklärt Markus Drenger vom CCC Darmstadt. „Verantwortungsbewusste Sicherheitspolitik zielt jedoch darauf ab, dass Sicherheitslücken schnellstmöglich geschlossen werden, damit diese nicht von Kriminellen ausgenutzt werden können. Mit einem Staatstrojaner hat der Staat jedoch ein Interesse daran, offene Hintertüren nicht zu schließen, um diese später selbst nutzen zu können. Wissen über Lücken vor Herstellern geheimzuhalten, um Sicherheitsupdates zu verhindern, schadet der IT-Sicherheit.“
Sicherheitslücken, wie sie für Staatstrojaner und andere Schadsoftware notwendig sind, werden aufgrund ihrer enormen Tragweite für teilweise sechs- bis siebenstellige Eurobeträge gehandelt. Da solche Lücken oft in weit verbreiteten Anwendungen klaffen, stellen sie ein enormes Gefährdungspotenzial für eine große Zahl von Geräten dar. „Hiervon sind auch kritische Infrastrukturen wie beispielsweise Krankenhäuser, Windparks oder Atomkraftwerke betroffen“, betont Magnus Frühling vom CCC Frankfurt. „Die Vergangenheit hat leider gezeigt, dass sogar finanziell und personell gut ausgestattete Behörden wie die NSA nicht in der Lage sind, die Geheimhaltung dieser Lücken sicherzustellen.“
Im Mai diesen Jahres erregte ein von Kriminellen verbreiteter Erpressungs-Trojaner namens „Wannacry“ weltweit Aufsehen, da er neben Privat-PCs auch Automobilkonzerne, Bahnunternehmen und Krankenhäuser lahmlegte. [3] Der geschätzte finanzielle Schaden betrug bis zu vier Milliarden Euro. [4] Die von Wannacry genutzte Lücke in Microsoft Windows war der NSA bereits seit Jahren bekannt.
„Anstatt die Sicherheitsmängel dem Hersteller Microsoft zu melden und so ein Sicherheitsupdate zu ermöglichen, hat der Geheimdienst diese jedoch zur Nutzung durch Staatstrojaner geheimgehalten“, schildert Marco Holz vom CCC Darmstadt das Problem. „Außerdem können auch repressive Regime im Ausland die von Steuergeldern in Deutschland finanzierten Hacking-Tools zum Ausspähen von Journalisten, Oppositionspolitikern und unterdrückten Minderheiten nutzen. Der Zweitverwertungsmarkt für Sicherheitslücken und Trojaner ist groß. Die Technologie-Zulieferer solcher Regierungen sitzen oft in Europa.“ [5]
Für Unternehmen stellen offene Sicherheitslücken auch unter dem Aspekt der Wirtschaftsspionage eine Gefahr dar. [6] Vor den Gefahren durch Sicherheitslücken für deren IT-Sicherheit warnte auch das hessische Wirtschaftsministerium bei der Vorstellung des hessischen IT-Sicherheitsleitfadens, der gemeinsam mit dem Fraunhofer-Institut für Sichere Informationstechnologie (SIT) in Darmstadt erarbeitet wurde. [7]
Wir fordern die Abgeordneten im Hessischen Landtag vor diesem Hintergrund auf, dem Gesetzentwurf in der derzeitigen Form nicht zuzustimmen.
Unsere Forderungen:
Links:
[0] https://www.hessentrojaner.de/
[1] Dies wurde in der öffentlichen Sitzung der grünen Landesarbeitsgemeinschaft Medien und Netzpolitik am 26. Oktober vom Vorsitzenden der Grünen-Fraktion im Hessischen Landtag, Mathias Wagner, und dem innenpolitischen Sprecher der Fraktion, Jürgen Frömmrich, bekanntgegeben.
[2] http://www.gruene-hessen.de/landtag/files/2017/10/HSVG.pdf
[4] nach Angaben des Handelsblatts
[5] siehe zeit.de
[6] https://www.hessen.de/pressearchiv/pressemitteilung/sicherheitsluecken-schaden-betrieben-0
Kontakt:
info(at)chaos-darmstadt.de oder presse(at)ccc.de
Die drei Fälle „Big Brother Watch and Others v UK“, „10 Human Rights Organisations and Others v UK“ und „Bureau of Investigative Journalism and Alice Ross v UK“ werden nun vier Jahre nach Einreichung der Beschwerden beim EGMR mündlich verhandelt. [1]
Nachdem im Jahre 2013 Edward Snowdens Enthüllungen Einblicke in die staatlichen Massenüberwachungs- und Bespitzelungsprogramme gaben, die unter dem Namen TEMPORA und den US-Pendants PRISM und UPSTREAM tief in die Privatsphäre-Rechte von Bürgern eingreifen, entschlossen sich Big Brother Watch, English PEN, die Open Rights Group sowie Constanze Kurz, die Unrechtmäßigkeit höchstrichterlich feststellen zu lassen. [2]
In Frage steht die Rechtmäßigkeit der anlasslosen Überwachung und Sammlung persönlicher Daten durch die britischen Geheimdienste nach dem Gesetz Regulation of Investigatory Powers Act (RIPA). Die britischen RIPA-Überwachungsregularien waren ungerichtet in dem Sinne, dass wahllos und ohne jeden Verdacht oder Anhaltspunkt für irgendein Fehlverhalten persönliche Daten von EU-Bürgern angesammelt wurden, zudem faktisch unbefristet.
Dieses Überwachungssystem wird mit der Begründung angegriffen, dass es ohne ausreichende rechtliche Grundlage war, niemand dafür zur Rechenschaft gezogen wurde und keine adäquate Kontrolle über die Programme bestand, daher die Rechte der Bürger nach Artikel 8 der Europäischen Menschenrechtskonvention (Recht auf Achtung des Privat- und Familienlebens) verletzt wurden.
Das Bureau of Investigative Journalism reichte im Jahr 2014 eine Beschwerde beim EGMR ein, gefolgt von zehn Menschenrechtsorganisationen und weiteren Beschwerdeführern im Jahr 2015, nachdem durch das britische Investigatory Powers Tribunal ein Urteil ergangen war. Diese drei Fälle sind nun verbunden worden. Der Gerichtshof entschied sich ausnahmsweise für eine mündliche Anhörung.
Das Urteil über diese drei Beschwerden hat das Potential, Einfluss auf das derzeitige britische Überwachungssystem Investigatory Powers Act zu nehmen. Die rechtlichen Regelungen sind bereits vom Europäischen Gerichtshof (EuGH) in der Watson-Entscheidung scharf kritisiert worden. Ein positives Urteil über die EGMR-Beschwerden wird die britische Regierung zur Beschränkung der übermäßigen Überwachungsbefugnisse zwingen und dazu, eine bessere rechtliche Kontrolle und einen höheren Schutz für die Bürger zu verwirklichen, etwa nachträgliche Benachrichtigungen über Überwachungsmaßnahmen.
Links:
[1] Die mündliche Anhörung beim EGMR am 7. November 2017
[3] Schnellverfahren am Europäischen Gerichtshof für Menschenrechte wegen Geheimdienst-Spionage
