Nachgehakt

Über den Eintrag im CTRL-Blog hatte ich ja schon etwas geschrieben. Nun findet sich in der taz ein kurzes Interview mit Sven Gábor Jánszky.
Gegenüber dem Blog-Eintrag allerdings nicht viel Neues, er wiederholt nur seine Thesen, dass die Menschen den Datenschutz für die Vorteile (wie z.B. Rabatte) selbst aufgeben werden und der Datenschutz nur noch gegen kriminelle Aktivitäten wirken wird.

Das Interview findet ihr auf den Seiten der taz.

Der Datenschutzgipfel Anfang September wirkt immer noch nach. Die Oppositionsparteien werfen der Regierung vor, es nicht ernst zu meinen und auf halbem Wege halt zu machen. Außerdem werfen sie Bundesinnenminister Schäuble vor, dass sich die angebliche Stärkung des Datenschutzes nicht auf den Haushalt auswirkt: dem Bundesdatenschutzbeauftragten würde außer einer tariflichen Gehaltsanpassung keine weiteren Haushaltsgelder bewilligt - obwohl der Etat des Innenministeriums um 10% steigt. Sie versuchen durch Anträge die Bundesregierung in Zugzwang zu bringen.

Die Datenschützer des Bundes und der Länder haben die Bundesregierung aufgefordert, die beschlossenen Maßnahmen zügig umzusetzen - wohl auch, um die öffentliche Aufmerksamkeit und den dadurch bestehenden Druck auszunutzen und zu verhindern, dass die Beschlüsse "verwässert" werden. Auch müssten die Datenschutzbeauftragten finanziell und personell besser ausgestattet werden.

Während der deutschen EU-Ratspräsidentschaft wurde von Bundesinnenminister Schäuble eine Arbeitsgruppe eingesetzt, die Pläne für eine künftige EU-Innenpolitik entwickeln sollen.
Statewatch hat die Pläne analysiert und warnt vor einem Big-Brother-Szenario mit völligem Wegfall der Privatsphäre. Ein c't-Hintergrund geht auf den Hintergrund und den Statewatch-Report ein.

Unter anderem heißt es dort:

Dass heutzutage der Standort jedes aktiven Mobiltelefons überwacht werden kann, ist demnach "erst der Anfang" der neuen Datensammelmöglichkeiten. In den kommenden Jahren würden Milliarden Geräte aus der physischen Welt miteinander über RFID, WLAN, Wimax, Bluetooh oder ZigBee verknüpft werden. Dies gestatte es, immer mehr Objekte in Echtzeit zu verfolgen. In naher Zukunft würden die meisten Gegenstände digitale Datenströme über ihren Ort und ihre Nutzung generieren und somit letztlich Verhaltensmuster ihrer Anwender offenbaren. Diese könnten von Sicherheitsexperten für die Verhinderung oder Untersuchung von Vorfällen verwendet werden.
Das Papier führt weiter aus, dass die bargeldlosen Einkäufe bereits durchsuchbare Echtzeitinformationen erzeugen. Dieser Trend werde durch den zunehmenden Einsatz biometrischer Identifizierungsmaßnahmen sowie von Kameras zur Videoüberwachung verstärkt. Das Online-Verhalten der Nutzer würde den digitalen Tsunami noch weiter vergrößern. Vor allem soziale Netzwerke und virtuelle Welten – aber letztlich alle Formen von Aktivitäten im Internet – "generieren gewaltige Informationsmengen, die für öffentliche Sicherheitsorganisationen nützlich sein können". Am Ende der Entwicklung stünden lebenslange Datenbanken über Individuen.

Den ganzen Artikel findet ihr hier.

Eintrag auf Gilly's playground: Auf dem Server des Webshops New Underwear fand sich per Google-Suche nach einer Adresse eine Kundenliste mit 837 Einträgen als .txt-Datei (nicht ausgeschlossen, dass das die komplette Kundendatei war). Selbst die unverschlüsselten Passwörter waren dort zu finden.
Auf eine Mail hin wurde die Datei schnell entfernt, auf eine Antwort auf die Mail wartet Gilly aber noch.

Wer dort jemals gekauft haben sollte, sollte besser das Passwort ändern (ebenso auf allen Seiten, auf denen das gleiche Passwort oder gar die gleiche Passwort-/Mailadressen-Kombination verwendet wurde). Wie auch bei dem Verlust von 56.000 Datensätzen bei PwC ein weiterer Grund, das gleiche Passwort nicht an mehreren Stellen zu verwenden.

Mehr auf Gilly's playground.

Golem.de und heise.de melden neue Details zum Datendiebstahl bei PricewaterhouseCoopers (PwC).

Offensichtlich sind unter den vermutlich 56.000 gestohlenen Datensätzen 12000 gmx.de-Mailadressen, 12.000 web.de-Adressen und jeweils zwischen 2200 bis 3300 Mailadressen von hotmail.de, t-online.de und yahoo.de. Laut golem.de kann PwC aber noch nicht abschließend sagen, wie viele Datensätze genau gestohlen wurden.

Die große Anzahl an Adressen beruht wohl darauf, dass PwC die Bewerberdaten (unrechtmäßig) auch aus den vergangenen Jahren gespeichert wurden. Pikanterweise wurden dabei die Passwörter nicht als Hash, sondern im Klartext gespeichert.

Mit den Mailadressen und Passwörtern wurde dann versucht. sich z.B. bei Click&Buy und Moneybookers anzumelden.

Um dem ganzen die Krone aufzusetzen hatten rund 2000 der Teilnehmer an einer Web-Umfrage teilgenommen, ob sie die gleichen Passwörter an mehreren Stellen im Internet einsetzen. Rund 80% der Befragten sollen angegeben haben, dass sie ihr Passwort an mehreren Stellen verwenden. Rund 50% hätten das gleiche Passwort wie bei ihrem Mailaccount verwendet.

Na dann Prost Mahlzeit!

Wie golem.de und heise.de melden, hat Google angekündigt, die IP-Adressen aus der Internetsuche ab Ende September nur noch 9 Monate zu speichern. Nachdem sie anfänglich unbegrenzt gespeichert wurden, hatte Google im März 2007 bereits die Begrenzung der Speicherdauer auf 18 Monate angekündigt. Wie netzpolitik.org aber zurecht hervorhebt, handelt es sich dabei immer noch um eine 1,5-fache Vorratsdatenspeicherung (dort werden die IP-Adressen nur 6 Monate gespeichert).

Wie computerwelt.at meldet hat Google weiterhin angekündigt, die IP-Adressen, die bei der Nutzung von Google Suggest (d.h. die Suchbegriff-Vorschläge im Google-Suchfenster, in der Firefox-Suchbox oder der Google-Chrome-Adressleiste) anfallen, künftig nur noch 24 Stunden zu speichern.

Damit dürfte Google wohl auf den Druck der Datenschützer in Europa und den USA reagieren. Vermutlich dürfte auch der öffentliche Druck, der in den letzten Tagen nach der Veröffentlichung von Googles Browser Chrome aufgekommen ist, mitverantwortlich sein.

Der aktuelle Podcast von netzpolitik.org ist ein ein zehnminütiges Interview mit dem Bundesdatenschutzbeauftragen Peter Schaar. Er äußert sich zu den Ergebnissen des "Datenschutzgipfels", der Aktualität des Datenschutzes und an welchen Stellen die Datenschützer in Zukunft noch Handlungsbedarf des Gesetzgebers sehen.

Das Interview gibt es mp3 und ogg auf netzpolitik.org.

Das Bundesverfassungsgericht hat seine im März getroffene Eilentscheidung, den Zugriff auf die durch die Änderung an den §§ 113a und 113b des Telekommunikationsgesetzes zu beschränken, um 6 Monate verlängert.
Somit ist der Zugriff auf die Daten bis März 2009 weiterhin nur bei schweren Straftaten möglich. Gleichzeitig wurde der Bundesregierung auferlegt, im Januar 2009 eine weitere Statistik über die Nutzung der durch die Vorratsdatenspeicherung erhobenen Daten vorzulegen. Die erste Statistik, die Anfang September vorgelegt worden war, ist vom AK Vorratsdatenspeicherung, in dem sich 34.000 Menschen zur Klage zusammengeschlossen haben, scharf kritisiert worden.

Golem.de hat eine Anleitung veröffentlicht, wie man die eindeutige ID des Google Browsers Chrome abschalten kann.
Offenbar muss nicht nur eine Datei editiert und schreibgeschützt werden. Findet der Browser die Datei Local State schreibgeschützt vor, erstellt er sie als Local State.tmp neu. Auch diese Datei muss dann dementsprechend editiert werden.

Die genaue Anleitung auf golem.de.

Die Redaktion des ZDF-Magazins WISO hat 56.000 Emails verschickt, in die Empfänger davor gewarnt werden, dass man bei Recherchen zu einem Beitrag auf Email-Adresse und Passwort gestoßen sei. Die Email gibt die Mailadresse und das (gekürzte) Passwort an und fordert dazu auf, das Passwort überall dort zu ändern, wo es verwendet worden ist (im Datenschutz-Blog findet sich ein Screenshot der Email).

Zur Herkunft der Daten auf ZDF.de:

Die Daten selbst stammen nach ersten Erkenntnissen aus einer Datenbank, die nichts mit Finanzdienstleistungen, E-Mail-Accounts oder Online-Shops zu tun hat und bei der sich die Betroffenen in der Vergangenheit einmal angemeldet haben.

Es sei versucht worden, sich mit diesen Daten bei Online-Bezahlsystemen anzumelden.

Gefunden waren worden die Daten offensichtlich auf einem frei zugänglichen chinesischem Server. Wie sie dorthin gelangt waren, ist anscheinend noch unklar.

Golem.de konkretisiert die Herkunft der Daten: Laut Hinweisen würden die Daten von einem Server der Wirtschaftsprüfungs- und Beratungsgesellschaft PricewaterhouseCoopers stammen. Alle Betroffenen hätten sich in der Vergangenheit dort registriert. Ein Sprecher des Unternehmens hat dies laut golem.de auch bestätigt. Es handele sich um Bewerberdaten des Unternehmens.

Bis zur Bestätigung durch die WISO-Redaktion hatten die Emails für viel Verwirrung gesorgt.

Allen Betroffenen kann nur geraten werden, die Warnung ernst zu nehmen und das Passwort (und gegebenenfalls vorhandene Variationen) zu ändern. Wer tatsächlich die gleichen Zugangsdaten für Onlineshops, Finanzdienstleister wie Paypal, ClickandBuy oder gar Online-Banking benutzt, sollte die Abrechnungen/Kontoauszüge in nächster Zeit genau prüfen.

WISO will in der Sendung am 8. September 2008 Details bekannt geben.

Anmerk.: Trotz der guten Absicht von WISO für die 56.000 Betroffenen (neben dem Eigennutz noch Stellungnahmen der Betroffenen zu erhalten) birgt das Vorgehen für andere Nutzer auch Risiken. Im Normalfall würden Unternehmen über eine solche Lücke nicht per Email informieren. Bei vielen eher unerfahrenen Fernsehzuschauern wird wohl hängen bleiben, dass WISO per Email vor Datendiebstahl gewarnt hat - warum sollten dies z.B. andere Fernsehmagazine oder Unternehmen nicht auch tun?
Spammer könnten versucht sein, ihre Mails ähnlich zu verfassen und z.B. zur Öffnung eines Programmes "zur Löschung der Daten" zu verleiten. So könnte dann z.B. ein Trojaner installiert werden. Besser wäre wohl gewesen, wenn das betroffene Unternehmen versucht hätte die Betroffenen vor Ausstrahlung der Sendung postalisch zu informieren - bei Bewerberdaten hätten die Anschriften ja in vielen Fällen vorgelegen.

Update: Mittlerweile hat PricewaterhouseCoopers (PwC) eine Pressemeldung herausgegeben, in der auch davon gesprochen wird, dass das Unternehmen die Betroffenen direkt informiert hat:

PwC hat bereits damit begonnen, alle möglicherweise betroffenen Nutzer direkt über den Vorfall zu informieren und Hinweise zur eigenen Datensicherheit zu geben.

Die Verantwortung für den Vorfall liege bei einem externen Dienstleister, die eigenen Server seien nicht betroffen.

Im Moment gibt es unterschiedliche Ansichten darüber, ob Googles neuer Browser Chrome Open Source ist oder nicht. Wäre der Quelltext offen gelegt, ließe sich sehr schnell klären, ob und wenn ja in welchem Maße der Browser Daten "nach Hause funkt".
Laut dem Datenschutz-Blog (mit Link auf Punkt 10.2 der Nutzungsbedingungen von Chrome) und Standart Tolleranz Maschiene handelt es sich bei Chrome selbst nicht um Open Source. Allerdings gibt es wohl das Open Source Projekt Chromium, auf dem Chrome basiert. Diese ähnliche Namensgebung scheint für viel Verwirrung zu sorgen.

Auch wenn in den in den Kommentaren zu den Blog-Einträgen sowie in anderen Blogs Gegenteiliges gesagt wird, ist Googles Browser Chrome wohl kein Open Source. Offensichtlich haben viele die Google-Ankündigung ohne Hinterfragen übernommen.

Bis die Frage, inwieweit Chrome "nach Hause telefoniert" endgültig (z.B. mit Netzwerk-Sniffern wie Wireshark) geklärt ist (sollte Google nicht doch noch den Quellcode freigeben), wird es wohl noch etwas dauern.

Der Brennpunkt des Bundesamts für Sicherheit in der Informationstechnik (BSI) befasst sich in diesem Monat mit RFID, der "Radio Frequency Identification".
Im Brennpunkt finden sich Informationen zur Geschichte, zum Einsatz sowie zu Chancen und Risiken der RFID-Technologie, unter anderem auch im ePass.

Wer sich informieren will, findet den Schwerpunkt hier.

Googles neuer Browser Chrome ist im Moment ja in aller Munde. Gestern veröffentlicht beherrscht der auf der Safari-Engine Webkit basierende Browser heute alle Technikseiten der Zeitungen und Onlinemagazine.

Oft stehen nicht nur die Features wie die von Google angepriesene Schnelligkeit, die in einzelnen Prozessen gestarteten Tabs oder der "Inkognito-Modus". Direkt wurden Warnungen vor der Marktmacht Googles laut. Sicherlich, der Browser allein macht es nicht. Die Marktmacht Googles ergibt sich vor allem aus dem Suchmaschinengeschäft (für Deutschland gehen die meisten Seiten von einem Marktanteil von mindestens 90% aus) - und der vielen Felder, in denen Google mitterweile aktiv ist. Google Mail als Freemailprovider, Google Text und Tabellen, die Google Desktop-Suche, das in den USA bereits gestartete Google Health (Gesundheitsdaten/-akten) bei Google hinterlegen, Google Maps/Earth, YouTube, usw.

Der entscheidende Punkt dürfte sein, nicht zu vergessen dass es sich bei Google um ein gewinnorientiertes Unternehmen handelt. Dann muss man sich die Frage stellen, warum Google einen Browser herausbringt. Sicher nicht aus philanthropischen Motiven, sondern um etwas zu erreichen. Die meisten Kommentatoren vermuten, dass Googles Browser vor allem als Angriff auf Microsoft zu verstehen ist. Die Überlegung ist zumindest naheliegend, schließlich hat Microsoft immer noch mit deutlichem Abstand den höchsten Marktanteil bei den Browsern (man könnte es auch als eine Art Retourkutsche verstehen: Microsoft versuchte erfolglos Yahoo zu übernehmen, ein Angriff auf Googles Kerngeschäft der Internetsuche. Nun geht Google auf den Internet Explorer los. Sicherlich ist Chrome schon länger in Entwicklung. Reizvoll ist der Gedanke aber trotzdem... ). Einige vermuten sogar, dass Chrome auf lange Sicht die Betriebssysteme attackieren soll, indem nach und nach immer mehr der Google-Applikationen wie Google Text und Tabellen auch offline eingebunden werden sollen.

Golem.de meldet mittlerweile, dass jeder installierte Chrome eine eigene, einzigartige ID bekommt. Diese lässt sich zwar deaktivieren, aber wie viele Menschen werden das tun? Wie viele werden überhaupt etwas von dieser ID erfahren? Praktisch - für Google - denn so lassen sich alle Benutzeraktionen, Sucheingaben, die Suchvervollständigung usw. immer auf einen Benutzer zurückführen. Hat man bei der "normalen" Suche noch das Problem wechselnder IPs, mit Chrome wird Googles Traum wahr. Wer Werbung möglichst personenbezogen einblenden will, kann normalerweise von solch einer Fülle von Daten nur träumen...

Es sollte sich also jeder gut überlegen, ob er/sie Chrome installiert. Das mindeste sollte sein, die Anmerkung zum Datenschutz durchzulesen.

P.S. Wie es es bei einem neuen Browser fast nicht anders zu erwarten ist, wurden die ersten Schwachstellen laut heise.de auch schon in Chrome gefunden.

Update 8. September 2008: Mittlerweile meldet heise.de erste Exploits für die Sicherheitslücke. Ein weiterer Artikel widmet sich dem Thema Datenschutz und Google Chrome.
Auch ein Sprecher des Bundesamtes für Sicherheit in der Informationstechnik hat vor Chrome gewarnt, aus Datenschutzgründen und da viele Menschen den Beta-Status der Software nicht erkennen würden.