Nachgehakt

Der aktuelle Podcast von netzpolitik.org ist ein ein zehnminütiges Interview mit dem Bundesdatenschutzbeauftragen Peter Schaar. Er äußert sich zu den Ergebnissen des "Datenschutzgipfels", der Aktualität des Datenschutzes und an welchen Stellen die Datenschützer in Zukunft noch Handlungsbedarf des Gesetzgebers sehen.

Das Interview gibt es mp3 und ogg auf netzpolitik.org.

Das Bundesverfassungsgericht hat seine im März getroffene Eilentscheidung, den Zugriff auf die durch die Änderung an den §§ 113a und 113b des Telekommunikationsgesetzes zu beschränken, um 6 Monate verlängert.
Somit ist der Zugriff auf die Daten bis März 2009 weiterhin nur bei schweren Straftaten möglich. Gleichzeitig wurde der Bundesregierung auferlegt, im Januar 2009 eine weitere Statistik über die Nutzung der durch die Vorratsdatenspeicherung erhobenen Daten vorzulegen. Die erste Statistik, die Anfang September vorgelegt worden war, ist vom AK Vorratsdatenspeicherung, in dem sich 34.000 Menschen zur Klage zusammengeschlossen haben, scharf kritisiert worden.

Golem.de hat eine Anleitung veröffentlicht, wie man die eindeutige ID des Google Browsers Chrome abschalten kann.
Offenbar muss nicht nur eine Datei editiert und schreibgeschützt werden. Findet der Browser die Datei Local State schreibgeschützt vor, erstellt er sie als Local State.tmp neu. Auch diese Datei muss dann dementsprechend editiert werden.

Die genaue Anleitung auf golem.de.

Auf der Pressekonferenz nach dem sogenannten Datenschutz-Gipfel hat Innenminister Dr. Wolfgang Schäuble soeben bekannt gegeben, dass die Weitergabe von Adressen von der ausdrücklichen Zustimmung der Betroffenen abhängig gemacht werden soll. Damit wird die bisherige Praxis geändert, dass Adressdaten weitergegeben werden, wenn kein Widerspruch vorliegt. Dies wird aber wohl nicht die Daten betreffen, die ein Unternehmen selbst erhoben hat. Ein Gesetzentwurf soll bis Ende November vorliegen.

Außerdem soll die Umsetzung bestehender Gesetze verbessert werden. Weiterhin setzt die Konferenz der Innenminister der Länder eine Expertenkommission einsetzen, die die bestehenden Regelungen überprüfen sollen und unter anderem prüfen soll, ob Kundendaten nur noch verschlüsselt gespeichert werden sollten und jeder Zugriff auf Kundendaten protokolliert werden soll.

Es soll ein Datenschutz-Audit-Siegel geben, das Unternehmen bekommen können, die über die gesetzlich vorgeschriebenen Regelungen hinaus Maßnahmen für den Datenschutz getroffen werden. Diskutiert wird noch über die Stärkung der Datenschutzbeauftragten in Unternehmen und sowie Unternehmen zu verpflichten, Verletzungen des Datenschutzes öffentlich zu machen.

Update: Links eingefügt.

Die Redaktion des ZDF-Magazins WISO hat 56.000 Emails verschickt, in die Empfänger davor gewarnt werden, dass man bei Recherchen zu einem Beitrag auf Email-Adresse und Passwort gestoßen sei. Die Email gibt die Mailadresse und das (gekürzte) Passwort an und fordert dazu auf, das Passwort überall dort zu ändern, wo es verwendet worden ist (im Datenschutz-Blog findet sich ein Screenshot der Email).

Zur Herkunft der Daten auf ZDF.de:

Die Daten selbst stammen nach ersten Erkenntnissen aus einer Datenbank, die nichts mit Finanzdienstleistungen, E-Mail-Accounts oder Online-Shops zu tun hat und bei der sich die Betroffenen in der Vergangenheit einmal angemeldet haben.

Es sei versucht worden, sich mit diesen Daten bei Online-Bezahlsystemen anzumelden.

Gefunden waren worden die Daten offensichtlich auf einem frei zugänglichen chinesischem Server. Wie sie dorthin gelangt waren, ist anscheinend noch unklar.

Golem.de konkretisiert die Herkunft der Daten: Laut Hinweisen würden die Daten von einem Server der Wirtschaftsprüfungs- und Beratungsgesellschaft PricewaterhouseCoopers stammen. Alle Betroffenen hätten sich in der Vergangenheit dort registriert. Ein Sprecher des Unternehmens hat dies laut golem.de auch bestätigt. Es handele sich um Bewerberdaten des Unternehmens.

Bis zur Bestätigung durch die WISO-Redaktion hatten die Emails für viel Verwirrung gesorgt.

Allen Betroffenen kann nur geraten werden, die Warnung ernst zu nehmen und das Passwort (und gegebenenfalls vorhandene Variationen) zu ändern. Wer tatsächlich die gleichen Zugangsdaten für Onlineshops, Finanzdienstleister wie Paypal, ClickandBuy oder gar Online-Banking benutzt, sollte die Abrechnungen/Kontoauszüge in nächster Zeit genau prüfen.

WISO will in der Sendung am 8. September 2008 Details bekannt geben.

Anmerk.: Trotz der guten Absicht von WISO für die 56.000 Betroffenen (neben dem Eigennutz noch Stellungnahmen der Betroffenen zu erhalten) birgt das Vorgehen für andere Nutzer auch Risiken. Im Normalfall würden Unternehmen über eine solche Lücke nicht per Email informieren. Bei vielen eher unerfahrenen Fernsehzuschauern wird wohl hängen bleiben, dass WISO per Email vor Datendiebstahl gewarnt hat - warum sollten dies z.B. andere Fernsehmagazine oder Unternehmen nicht auch tun?
Spammer könnten versucht sein, ihre Mails ähnlich zu verfassen und z.B. zur Öffnung eines Programmes "zur Löschung der Daten" zu verleiten. So könnte dann z.B. ein Trojaner installiert werden. Besser wäre wohl gewesen, wenn das betroffene Unternehmen versucht hätte die Betroffenen vor Ausstrahlung der Sendung postalisch zu informieren - bei Bewerberdaten hätten die Anschriften ja in vielen Fällen vorgelegen.

Update: Mittlerweile hat PricewaterhouseCoopers (PwC) eine Pressemeldung herausgegeben, in der auch davon gesprochen wird, dass das Unternehmen die Betroffenen direkt informiert hat:

PwC hat bereits damit begonnen, alle möglicherweise betroffenen Nutzer direkt über den Vorfall zu informieren und Hinweise zur eigenen Datensicherheit zu geben.

Die Verantwortung für den Vorfall liege bei einem externen Dienstleister, die eigenen Server seien nicht betroffen.

Ich habe gerade eben den Kommentar von Burkhard Müller-Ullrich (einer der Autoren im Blog "Achse des Guten") im Tagesspiegel gelesen. Titel: Lasst die Daten frei - Die deutsche Angst vor Bespitzelung nimmt absurde Züge an.

Ich unterstelle dem Autor einfach mal, dass der Schluss des Kommentars, auf den sich auch die Überschrift bezieht, satirisch gemeint ist, wenn er schreibt:

Vielleicht liegt darin das einzige Gegenmittel zu der Gefahr, die von den Daten ausgeht: Lasst alle Daten frei. Lasst uns in Daten waten. Eine Datensintflut möge kommen und alle Lotto-Firmen, Nummerndiebe, Kontenknacker, Passworträuber und Trojaner sollen darin ersaufen.

Es kann eigentlich nur Satire sein, denn jeder, der auch nur ein wenig Ahnung von modernen Data-Mining-Methoden hat, weiß dass mehr Daten letztlich nur eine bessere Vernetzung der Daten und bessere Erstellung von Nutzerprofilen bedeutet. Es mag zwar etwas länger dauern, bis das Profil vorliegt, mit den heutigen Methoden ist dies aber kontrollier- und optimierbar. Auch jeglicher andere Datenmißbrauch funktioniert mit einem Mehr an Daten im Regelfall besser. Daher muss man von Satire ausgehen, wenn man dem Autor nicht jegliche Kompetenz in Sachen Datenschutz absprechen will.

Was mir aber viel mehr aufstieß ist die Unterüberschrift "Die deutsche Angst vor Bespitzelung nimmt absurde Züge an" bzw. deren Begründung. Burkhard Müller-Ullrich hat kein Verständnis für die Sorge vor der Speicherung immer weiterer (biometrischer) Merkmale durch den Staat. Schließlich könne die Staatsverwaltung nur funktionieren, wenn der Staat seine Bürger identifizieren könne. Unklar bleibt aber, warum er dazu unbedingt biometrische Daten benötigen soll. Eine Identifizierung eines "normalen Bürgers" funktionierte in den letzten Jahren problemlos über den Personalausweis. Sicher haben sich die technischen Mittel verbessert (wenn auch weniger, als Sicherheitsexperten uns teilweise weiß machen wollen bzw. sich wünschen). Allein diese technischen Möglichkeiten bedingen aber noch keinen höheren Bedarf des Staates nach einer "besseren" Identifizierung.

Weiter heißt es:

Es gibt offenbar zwei Deutschlands. Das eine ist jener Überwachungsstaat, vor dem Datenschützer warnen und den kein liberal denkender Mensch akzeptieren kann. Das andere Deutschland lernt man kennen, wenn man sich auf eine Polizeiwache begibt, um eine Anzeige zu erstatten oder eine Zeugenaussage protokollieren zu lassen. Dann landet man in einer Art Zeitmaschine. Die Beamten kämpfen mit vorsintflutlichem Gerät, der Funksprechverkehr lässt sich so einfach abhören, dass er auch gleich als Radioprogramm gesendet werden könnte; und wenn ein Polizist ein Foto einer verdächtigen Person braucht, dann bekommt er es erst Stunden später von der zuständigen Meldebehörde per Fax, und zwar in Form eines schwarzen Kleckses.

Wenn man bei dem "anderen Deutschland" den Bezug zum Datenschutz vermisst, dürfte es wohl daran liegen, dass kein Bezug vorhanden ist. Denn was nützen neueste biometrische Methoden, wenn die Behörden mit völlig veralteter Technik arbeiten? Letztlich spricht genau diese mangelhafte Ausstattung noch eher für die Kritik an der Speicherung biometrischer Methoden, denn wo veraltete Technik waltet, sind oft Sicherheitslücken nicht weit.

Widersinnig wird der Kommentar, wenn man den Schluss auf die weiter oben geäußerten Thesen bezieht.

Das Herumliegenlassen von brisanten Daten scheint geradezu ein Signum unserer Epoche zu werden: hier ein Laptop mit militärischen Geheimnissen im unbewachten Auto, dort eine CD mit den Sozialversicherungsnummern von halb Großbritannien.

Wenn das nicht für eine Datensparsamkeit des Staates spricht, was dann? Daten, die nicht gespeichert sind, können nicht verloren gehen. Da im Moment noch nahezu alle Fingerabdruckscanner mit geringem Aufwand überlistet werden können (siehe z.B. hier und hier), ergeben sich ganz neue Gefahren wenn biometrische Daten verloren gehen.

Es empfiehlt sich, den Beitrag von Gerhart Baum (Ex-Innenminister und an einigen Verfassungsklagen zur staatlichen Datenspeicherung beteiligt) auf Spiegel Online zu lesen. Er zeigt auf, warum der Staat aktiv gegen den Datenhandel werden muss - und seine eigene, seit den Anschlägen vom September 2001 hochgefahrene Sammelwut einschränken muss.

Im Moment gibt es unterschiedliche Ansichten darüber, ob Googles neuer Browser Chrome Open Source ist oder nicht. Wäre der Quelltext offen gelegt, ließe sich sehr schnell klären, ob und wenn ja in welchem Maße der Browser Daten "nach Hause funkt".
Laut dem Datenschutz-Blog (mit Link auf Punkt 10.2 der Nutzungsbedingungen von Chrome) und Standart Tolleranz Maschiene handelt es sich bei Chrome selbst nicht um Open Source. Allerdings gibt es wohl das Open Source Projekt Chromium, auf dem Chrome basiert. Diese ähnliche Namensgebung scheint für viel Verwirrung zu sorgen.

Auch wenn in den in den Kommentaren zu den Blog-Einträgen sowie in anderen Blogs Gegenteiliges gesagt wird, ist Googles Browser Chrome wohl kein Open Source. Offensichtlich haben viele die Google-Ankündigung ohne Hinterfragen übernommen.

Bis die Frage, inwieweit Chrome "nach Hause telefoniert" endgültig (z.B. mit Netzwerk-Sniffern wie Wireshark) geklärt ist (sollte Google nicht doch noch den Quellcode freigeben), wird es wohl noch etwas dauern.

Das Blog daten-speicherung.de wirft der Deutschen Telekom AG die illegale Herausgabe von Verbindungsdaten vor. Diese dürfen nur nach richterlicher Anordnung herausgegeben werden. Die Telekom nach einer von dem Blog anonymisiert vorgelegten PDF-Datei die Daten aber in einer Art von vorauseilendem Gehorsam auf eine Anfrage der Staatsanwaltschaft herausgegeben, bei der es nur um die Ermittlung des Anschlussinhabers einer IP-Adresse ging.

Die Daten gingen dazu noch nur äußerst dürftig geschützt per Mail durchs Netz: als passwortgeschützte Zip-Datei - das Passwort war ein vierstelliges Wort, offensichtlich in jedem Wörterbuch auffindbar und somit in kürzester Zeit knackbar.

Ausführlich auf daten-speicherung.de.

Das Europaparlament hat heute den biometrischen Kontrollen im Rahmen des Visa-Informationssystems [VIS] zugestimmt. Damit müssen ab 2009 alle aus visumpflichtigen Staaten Einreisende ihre Fingerabdrücke abgeben, allerdings kann zu Stoßzeiten auch nur stichprobenartig kontrolliert werden. Es wird dann geprüft, ob die Fingerabdrücke mit den im Visum angegebenen übereinstimmen. Die genommen Fingerabdrücke werden 5 Jahre lang gespeichert.
Binnen 10 Jahren soll so die größte Fingerabdruckdatenbank der Welt entstehen.

Via dem Virtuellen Datenschutzbüro und ORF Futurezone.

Der Brennpunkt des Bundesamts für Sicherheit in der Informationstechnik (BSI) befasst sich in diesem Monat mit RFID, der "Radio Frequency Identification".
Im Brennpunkt finden sich Informationen zur Geschichte, zum Einsatz sowie zu Chancen und Risiken der RFID-Technologie, unter anderem auch im ePass.

Wer sich informieren will, findet den Schwerpunkt hier.

Googles neuer Browser Chrome ist im Moment ja in aller Munde. Gestern veröffentlicht beherrscht der auf der Safari-Engine Webkit basierende Browser heute alle Technikseiten der Zeitungen und Onlinemagazine.

Oft stehen nicht nur die Features wie die von Google angepriesene Schnelligkeit, die in einzelnen Prozessen gestarteten Tabs oder der "Inkognito-Modus". Direkt wurden Warnungen vor der Marktmacht Googles laut. Sicherlich, der Browser allein macht es nicht. Die Marktmacht Googles ergibt sich vor allem aus dem Suchmaschinengeschäft (für Deutschland gehen die meisten Seiten von einem Marktanteil von mindestens 90% aus) - und der vielen Felder, in denen Google mitterweile aktiv ist. Google Mail als Freemailprovider, Google Text und Tabellen, die Google Desktop-Suche, das in den USA bereits gestartete Google Health (Gesundheitsdaten/-akten) bei Google hinterlegen, Google Maps/Earth, YouTube, usw.

Der entscheidende Punkt dürfte sein, nicht zu vergessen dass es sich bei Google um ein gewinnorientiertes Unternehmen handelt. Dann muss man sich die Frage stellen, warum Google einen Browser herausbringt. Sicher nicht aus philanthropischen Motiven, sondern um etwas zu erreichen. Die meisten Kommentatoren vermuten, dass Googles Browser vor allem als Angriff auf Microsoft zu verstehen ist. Die Überlegung ist zumindest naheliegend, schließlich hat Microsoft immer noch mit deutlichem Abstand den höchsten Marktanteil bei den Browsern (man könnte es auch als eine Art Retourkutsche verstehen: Microsoft versuchte erfolglos Yahoo zu übernehmen, ein Angriff auf Googles Kerngeschäft der Internetsuche. Nun geht Google auf den Internet Explorer los. Sicherlich ist Chrome schon länger in Entwicklung. Reizvoll ist der Gedanke aber trotzdem... ). Einige vermuten sogar, dass Chrome auf lange Sicht die Betriebssysteme attackieren soll, indem nach und nach immer mehr der Google-Applikationen wie Google Text und Tabellen auch offline eingebunden werden sollen.

Golem.de meldet mittlerweile, dass jeder installierte Chrome eine eigene, einzigartige ID bekommt. Diese lässt sich zwar deaktivieren, aber wie viele Menschen werden das tun? Wie viele werden überhaupt etwas von dieser ID erfahren? Praktisch - für Google - denn so lassen sich alle Benutzeraktionen, Sucheingaben, die Suchvervollständigung usw. immer auf einen Benutzer zurückführen. Hat man bei der "normalen" Suche noch das Problem wechselnder IPs, mit Chrome wird Googles Traum wahr. Wer Werbung möglichst personenbezogen einblenden will, kann normalerweise von solch einer Fülle von Daten nur träumen...

Es sollte sich also jeder gut überlegen, ob er/sie Chrome installiert. Das mindeste sollte sein, die Anmerkung zum Datenschutz durchzulesen.

P.S. Wie es es bei einem neuen Browser fast nicht anders zu erwarten ist, wurden die ersten Schwachstellen laut heise.de auch schon in Chrome gefunden.

Update 8. September 2008: Mittlerweile meldet heise.de erste Exploits für die Sicherheitslücke. Ein weiterer Artikel widmet sich dem Thema Datenschutz und Google Chrome.
Auch ein Sprecher des Bundesamtes für Sicherheit in der Informationstechnik hat vor Chrome gewarnt, aus Datenschutzgründen und da viele Menschen den Beta-Status der Software nicht erkennen würden.

In einem Interview in der Westdeutschen Allgemeinen Zeitung hat der Bundesdatenschutzbeauftrage Peter Schaar die Praxis von Meldeämtern kritisiert, die Meldedaten an Firmen zu verkaufen. Dies sei besonders problematisch, da die Daten zwangsweise erhoben werden. Außerdem würden von den Unternehmen nicht nur die Adressen von Schuldnern erhoben, sondern oftmals die gesamten Adressbestände abgefragt, weitergegeben und bei den Firmen selbst gespeichert und gesammelt. Peter Schaar forderte mindestens ein allgemeines Widerspruchsrecht der Bürger. Dieses gebe es zur Zeit nur in Ausnahmefällen, z.B. bei Bedrohung.

Peter Schaar wiederholte auch seine Forderung nach Änderung der gesetzlichen Regelungen, so dass die Verbraucher der Weitergabe ihrer Daten aktiv zustimmen müssten.
Peter Schaar erhofft sich vom morgigen "Datenschutz-Gipfel" mit Innenminister Schäuble konkrete Verbesserungen für den Datenschutz.

Das komplette Interview findet sich hier im Onlineauftritt der WAZ.

Eine Sache, die mir bei der Berichterstattung über den Inzestfall in Amstetten sauer aufgestoßen ist, war der Umgang mit den Klarnamen des Täters/der Opfer sowie ein Google-Maps-Ausschnitt mit der Straße des Tatorts auf Spiegel Online - interessanterweise (oderr besser zynischerweise) in einem Artikel mit dem Titel: "Fall Amstetten: Inzest-Opfern droht Dauerbelagerung".

Den vollen Namen des Hauptopfer Elisabeth F. fand ich das erste Mal in einem Artikel, in dem alle anderen Namen noch abgekürzt waren, damals offensichtlich noch ein Versehen. Wenig später begann Spiegel Online aber damit, den Namen in allen Artikeln auszuschreiben. Vermutlich ging man davon aus, dass mittlerweile andere Medien den Namen oft genug breitgetreten hatten. Bei einer Suche auf Spiegel Online fand ich den vollen Namen auch in früheren Artikeln - in allen englischen Artikeln über den Fall.

Ich frage mich dabei, ob der Pressekodex nicht auch für englischsprachige Artikel eines deutschen Mediums gilt. Mit den Richtlinien zu Ziffer 8 des Pressekodexes ist eine Namensnennung meiner Meinung nach nicht vereinbar. Dort heißt es unter anderem:

Richtlinie 8.1 - Nennung von Namen/Abbildungen

(1) Bei der Berichterstattung über Unglücksfälle, Straftaten, Ermittlungs- und Gerichtsverfahren ... veröffentlicht die Presse in der Regel keine Informationen in Wort und Bild, die eine Identifizierung von Opfern und Tätern ermöglichen würden. Mit Rücksicht auf ihre Zukunft genießen Kinder und Jugendliche einen besonderen Schutz. Immer ist zwischen dem Informationsinteresse der Öffentlichkeit und dem Persönlichkeitsrecht des Betroffenen abzuwägen.

(3) Bei Familienangehörigen und sonstigen durch die Veröffentlichung mittelbar Betroffenen, die mit dem Unglücksfall oder der Straftat nichts zu tun haben, sind Namensnennung und Abbildung grundsätzlich unzulässig.

Schon bevor Spiegel Online damit begann die vollen Namen zu verwenden, fand sich in dem oben verlinkten Artikel ein Ausschnitt aus Google Maps, der die Straße des Tatorts kennzeichnet. Als besonderen Service für alle Sensationshungrigen und Gaffer dazu noch ein Foto der Front des Hauses. Perfekt, die Reise nach Amstetten kann man damit planen, ohne sich auch nur ein wenig anzustrengen. Straße und Ort ins Navi und ab geht's, das richtige Haus findet sich ja dann vor Ort.

Pressekodex... war da irgendwas? Nochmal aus den Richtlinien zu Ziffer 8 des Pressekodexes:

Richtlinie 8.2 - Schutz des Aufenthaltsortes

Der private Wohnsitz sowie andere Orte der privaten Niederlassung, wie z. B. Krankenhaus-, Pflege-, Kur-, Haft- oder Rehabilitationsorte, genießen besonderen Schutz.

Man stelle sich das mal vor: in der Nachbarschaft geschieht ein Verbrechen, das große öffentliche Aufmerksamkeit erregt. Sowas zieht immer Neugierige an, klar. Wenn jemand gräbt, habe ich auch keine Zweifel, dass man irgendwie rauskriegen kann, wo genau ein Verbrechen stattgefunden hat, ohne dass es ihm per Google Maps unter die Nase gehalten wird. Veröffentlichen die Medien aber Kartenausschnitte so muss man sich eben nicht mehr die Mühe machen, die Hemmschwelle sinkt, die Zahl der Gaffer steigt.

Hat man nun noch ein Verbrechen (ähnlich wie in anfangs Amstetten), bei dem es zumindest unklar ist, ob die Nachbarn nicht etwas hätten merken müssen, wird die Sache perfekt. Ich warte dann schon mal auf die ersten eingeschlagenen Fenster, beschmierten Hauswände oder Ähnliches - wobei ja noch zu hoffen bleibt, dass nicht jemand völlig durchdreht und sich zum Rächer der Opfer aufschwingt...

Es lebe das Web 2.0.

P.S. Es war zwar auch nicht zu erwarten, aber der Vollständigkeit halber: auf einen Leserbrief und eine unter dem Stichwort Lob/Kritik an die Redaktion von Spiegel Online kam keine Antwort.