|
Zum Glück können die Internet-Nutzer ihre Daten inweiten Teilen schützen. Dabei hilft das Internet selbst mit reichlich Software. Damit lassen sich Inhaltsdaten verschlüsseln und unerkannte Manipulationen von Nachrichten verhindern. Das am häufigsten eingesetzte Programm ist PGP (Pretty Good Privacy). Jeder muß selbst entscheiden, ob seine Nachrichten so sensible Daten enthalten, daß eine Verschlüsselung geboten ist. Es gibt aber eine Reihe von Benutzern im Internet, die inzwischen ihre gesamte Kommunikation verschlüsselt abwickeln: Zum einen ist der Einsatz der Verschlüsselungsprogramme so einfach, daß der zusätzliche Aufwand gering ist; zum anderen geben sie damit nicht zu erkennen, wann eine Nachricht wirklich sensible Informationen enthält - ein Angreifer, dem das Knacken des Codes mit viel Aufwand gelingen könnte, würde dann womöglich völlig banale Aussagen entschlüsseln. Außerdem setzen immer mehr Leute Kryptoprogramme ein, um damit ein Zeichen zu setzen gegen eine mögliche Reglementierungspolitik des Staates.  Bei diesem Verfahren besitzt jeder Kommunikationspartner ein Schlüsselpaar, das aus einem privaten und einem öffentlichen Schlüssel besteht. Was mit dem einen Schlüssel chiffriert wurde, kann man nur mit dem jeweils anderen wieder dechiffrieren. Den privaten Schlüssel hält der Teilnehmer geheim (z.B. gespeichert auf einer persönlichen Chipkarte), während der öffentliche für jedermann über vertrauenswürdige Schlüsselverwaltungsstellen (Trust Center) zugänglich ist. Diese Trust Center sind Institutionen, auf denen die Schlüssel hinterlegt und gegen Angriffe gesichert sind. Es gibt sie bereits in einzelnen Organisationen, aber noch nicht für die Öffentlichkeit. Es wird allerdings diskutiert, ob nicht die Datenschutzbeauftragten Trust Center aufbauen und verantworten sollten. Das bekannteste Public-Key-Verfahren ist RSA. Es wird in PGP und PEM eingesetzt. In den USA wird der Export von kryptographischen Verfahren, darunter auch RSA, als Verstoß gegen das Kriegswaffengesetz betrachtet. Dies gilt aber nur für den Export in elektronischer Form. Eine Verschlüsselung von E-Mails oder News-Artikeln bewirkt, daß sie nicht von Unbefugten gelesen werden können. Jedoch möchte der Empfänger darüber hinaus sicherstellen, daß die Nachricht wirklich vom Absender stammt und nicht verändert wurde. Dies läßt sich mit einer digitalen Signatur (elektronischen Unterschrift) erreichen, für die man sich asymmetrische Verschlüsselungsverfahren (z.B. in PGP) zunutze machen kann.  Dabei wird von dem zu unterzeichnenden elektronischen Dokument nach bestimmten mathematischen Regeln eine Kurzfassung erstellt, das heißt: ein Hashwert berechnet. Dieser Hashwert wird mit dem privaten Schlüssel des Absenders codiert. Eine Überprüfung ist nur mit dem dazu komplementären öffentlichen Schlüssel möglich, indem der Empfänger ebenfalls einen Hashwert aus der erhaltenen Nachricht bildet und diesen mit dem entschlüsselten mitgesandten Hashwert vergleicht. Unterscheiden sich die beiden Werte, wurde das Dokument nachträglich verändert oder kommt gar nicht vom angegebenen Absender. Auch unverschlüsselte Nachrichten können elektronisch unterschrieben werden. Daneben gibt es für E-Mail und News anonyme Nutzungsmöglichkeiten, so daß man keine offensichtlichen Datenspuren hinterläßt: Einige Teilnehmer möchten nicht mit ihren Aussagen (z.B. zur Homosexualität) in Verbindung gebracht werden. Zu diesem Zweck sind im Internet mehrere Anonymous-Remailer eingerichtet worden, beispielsweise alpha.c2.org. Anonymous-Remailer können Sie als anonymen Nutzer registrieren und Ihnen eine neue Adresse, ein Pseudonym, zuordnen. Genau genommen ist diese Form der Remailer (auch Pseudo-Anonymous-Remailer genannt) nicht anonym, da auf dem entsprechenden Rechner die Zuordnung des Pseudonyms gespeichert ist. Sicherheitsbehörden können zur Strafverfolgung das Aufdecken des Realnamen verlangen. Eine Anleitung zur Bedienung erhält man als Antwort auf eine E-Mail an help@alpha.c2.org. Der Absender kann eine Mail an einen solchen Server schicken, die dort anonymisiert wird. Die nun anonyme Mail wird anschließend - meist etwas zeitversetzt - an den Empfänger weitergeleitet. Für den Absender wird eine Adresse auf diesem Server eingerichtet, um Antwort-Mails korrekt dem ursprünglichen Absender zustellen zu können. Dieses Verfahren funktioniert gleichermaßen für News-Artikel. Eine stärkere Form der Anonymisierung bieten sogenannte Cypherpunk- oder Mixmaster-Remailer. Bei Cypherpunk-Remailern schickt man eine verschlüsselte Nachricht an den Server, in der auch die Angabe des Empfängers chiffriert enthalten ist. Der Remailer entschlüsselt die E-Mail und sendet sie ohne Hinweis auf den richtigen Absender an den angegebenen Empfänger weiter. Mixmaster-Remailer sind noch sicherer: Hier werden die ausgehenden Nachrichten verschlüsselt in exakt gleich lange Pakete zerteilt. Die Sicherheit der Anonymität erhöht sich, wenn man die Nachricht über mehrere solcher Remailer laufen läßt. Im Gegensatz zu den Anonymous-Remailern mit Pseudonym-Vergabe sind insbesondere die Mixmaster-Remailer schwieriger zu bedienen. Die zu verschickenden Nachrichten müssen in einem bestimmten Format vorliegen, und Antworten auf Nachrichten, die damit anonymisiert wurden, sind nicht möglich. Allen Remailern gemein ist, daß ein Angreifer, der zwischen dem Absender und dem ersten Remailer-Rechner sitzt, über das Abhören der Leitung und Analysieren der IP-Pakete sehr wohl die Identität des Absenders in Erfahrung bringen kann. Daher ist eine Verschlüsselung der Nachricht empfehlenswert, damit dem Angreifer keine weiteren Erkenntnisse möglich sind. Während viele Benutzer die Möglichkeit anonymer Nutzung fordern, damit sie keine Datenspuren hinterlassen, sehen Kritiker die Gefahr eines Mißbrauchs durch solche Zugänge. Aufgrund der ungeklärten rechtlichen Situation der Anonymisierung und ggf. Beschlagnahme von solchen E-Mails und aufgrund persönlicher Anfeindungen hat der Betreiber des bekanntesten Anonymous-Servers anon.penet.fi, Johan Helsingius, Ende August 1996 seinen Remailer geschlossen. Um Datenspuren im WWW zu vermeiden, gibt es neuerdings auch hierfür Anonymous-Server, z.B. www.anonymizer.com. Diesen Server kann man als Ausgangspunkt für seinen Surftrip verwenden. Damit wird den weiteren Rechnern, an denen man beim Surfen vorbeikommt, vorgespiegelt, man komme direkt vom Anonymizer. Auch der Cookies-Mechanismus liefert dann keine brauchbaren Informationen. Statt jedesmal den Kontakt zu dem Anonymizer herzustellen, kann man auch vor jede gewählte URL "http://www.anonymizer.com:8080/" setzen, also z.B. quot;http://www.anonymizer.com:8080/http://www.obernsoft.de". Wickelt man seine gesamte Kommunikation über einen solchen Anonymizer ab, muß man sich bewußt sein, daß an dieser Stelle zunächst sämtliche Kommunikationsdaten anfallen - man muß also dem Server-Betreiber vertrauen, daß er die Daten nicht speichert. Das Internet wird immer populärer; es entwickelt sich zu dem Medium der Informationsgesellschaft. Damit werden international einheitliche technische und gesetzliche Regelungen dringend notwendig, um Datensicherheit und Vertrauenswürdigkeit zu garantieren. Dies gilt nicht nur für das Internet, sondern auch für die zahlreichen Online-Dienste und die künftigen Multimedia-Anwendungen. Mittlerweile existieren Spezifikationen für eine neue, verbesserte Version von TCP/IP. Diese Version, die unter den Namen IPng (TCP/IP next generation) oder IPv6 (TCP/IP Version 6) firmiert, bietet schon in der Protokolldefinition Unterstützung für Ende-zu-Ende-Verschlüsselung und für Authentisierungsmechanismen. IPng findet man jedoch nur in experimentellen Implementationen. Die RFCs, in denen das neue Protokoll definiert wird, haben noch nicht ihre endgültige Form, sondern besitzen den Status Working Draft. Man sollte allerdings nicht aus den Augen verlieren, daß zur Nutzung der Verschlüsselungs- und Authentisierungseigenschaften nicht nur entsprechende Protokolle definiert sein müssen, sondern auch eine Infrastruktur zur Verteilung und Wartung der Schlüssel vorhanden sein muß. Diese wird jedoch bei IPng nicht spezifiziert. Inwieweit sich Datenspuren künftig vermeiden lassen, wird stark von den Forderungen der Verbraucher abhängen, die solche Dienste nutzen wollen. Die Wirtschaft beispielsweise hat ein großes Interesse, die entstehenden Daten für ihre Zwecke zu verwerten. Anonyme Zugangsmöglichkeiten - die sich etwa mit Hilfe von vorausbezahlten Guthabenchipkarten (Prepaid-Chipkarten wie bespielsweise die Telefonkarten) abrechnen lassen - werden nur auf den ausdrücklichen Wunsch der Benutzer geschaffen werden. Dies zeigt sich jetzt bei den Multimedia-Projekten der Telekom, die bislang noch gar keine anonyme Nutzung anbieten. Dabei hat die Erfahrung mit neuen Technologien gezeigt, daß es meist schwierig ist, nachträglich Datenschutz- und Datensicherheitsmaßnahmen zu integrieren, die nicht bereits in der Entwicklungsphase berücksichtigt wurden. Die Datenschutzbeauftragten des Bundes und der Länder fordern, schon bei der Konzeption neuer Technologien den Datenschutz vorzusehen und quasi als Feature einzubauen. Im Bereich der Datensicherheit ist eine weitere Entwicklung mit neuen und besseren Technologien zu erwarten. So werden beispielsweise schon bald Verfahren zum elektronischen Unterschreiben allgemein zur Verfügung stehen, weil dies eine große Bedeutung für den Wirtschaftsbereich hat. Bei der Verschlüsselung bietet die Technik bereits sehr gute Verfahren, um einen Schutz der Inhaltsdaten zu gewährleisten. Die Programme haben mittlerweile eine so gute Qualität, daß die Sicherheitsbehörden vieler Regierungen befürchten, ihre Abhörmöglichkeit einzubüßen. So rückt der Aspekt der Datensicherheit in der politischen Debatte in den Hintergrund. In mehreren Staaten ist deswegen die Kryptographie verboten oder staatlich reglementiert. Die Bundesregierung hat ihre Überlegungen dazu noch nicht abgeschlossen. Auf der anderen Seite erwarten Fachleute nicht, daß durch staatliche Einschränkungen kryptographischer Verfahren die Kriminalität besser bekämpft werden kann. Links im WWW:   http://www.thur.de/ulf/krypto/pgp.html Pretty Good Privacy (PGP)http://www.cert.dfn.de/infoserv/dib/dib-9406.html Privacy Enhanced Mail (PEM) http://www.rsa.com/ RSAhttp://www.stack.urc.tue.nl/~galactus/remailers/index.html Cypherpunk- oder Mixmaster-Remailerhttp://www.anonymizer.com Der Anonymizer
|