Private Daten abgegriffen und veröffentlicht

Es sind private Daten von Politikern und weiteren Personen öffentlich gemacht worden.

https://www.sueddeutsche.de/politik/datenleak-bundestag-seehofer-spd-1.4276040 (sueddeutsche.de)

https://netzpolitik.org/2019/alles-ausser-afd-was-wir-ueber-das-grosse-datenleck-wissen/ (netzpolitik.org)

Der Aufschrei in der Politik ist groß. Man spricht sogar von einem Angriff auf die Demokratie. Und schon wieder wird nach härteren Gesetzen geschrien.

Eben diesen Politikern ist die Datensicherheit ihrer Bürger aber nichts wert.

  • Datensammlung durch große Konzerne ist Okay. Es sind die Geschäftsmodelle der Zukunft.
  • Staatlicher Zugriff auf die Datensammlung der Konzerne ist Okay.
  • Datensammlung durch Behörden ist Okay. Es geschieht im Kampf gegen den Terror.
  • Datensammlung durch Kameraüberwachung von Fahrzeugen ist Okay. Es geschieht für eine saubere Luft.
  • Verschlüsselungslösungen sollen Hintertüren einbauen, damit eben diese Politiker auf unsere Daten zugreifen können.
  • Der Staatstrojaner ist eine legitime Lösung.
  • Riesige Datenbanken, welche auch noch miteinander verknüpft werden und durch Algorithmen ausgewertet werden, sind auch Okay.
  • und, und, und …

Alles ist Okay, solange unsere Politiker nicht betroffen sind.

Dabei ist noch nicht einmal sicher, ob es sich um einen echten Hack handelt oder ob die Daten nicht einfach nur durch sorglosen Umgang mit Technik und Passwörtern durch die betroffenen Personen ein leichtes Ziel boten.

Sehr anschaulich demonstriert wird auch, wie schnell Daten (Telefonnummern, Adressen, etc.) von gänzlich unbeteiligten Person als Beifang betroffen sind.
Das nur als Hinweis an die Ich habe nichts zu verbergen Fraktion.

Update:

Den Vorfall lieber nüchtern betrachten (taz.de)

Die Fehler, die 0rbit überführten (golem.de)

Massen-Doxxing: Beschuldigter soll Passwörter teilweise im Darknet gekauft haben (heise.de)

(un)sicher chatten: Telegram

Unter dem Link https://gitlab.com/edu4rdshl/blog/blob/master/why-telegram-is-insecure.md findet der interessierte Leser eine umfangreiche Abhandlung, warum Telegram unsicher ist.

Viele der Argumente gegen Telegram treffen in gleicher Weise auch auf WhatApp zu.

Und auch hier wieder der Verweis auf Signal als sichere Alternative.

Signal ist ebenso auf iOS wie auf Android verfügbar. Also was spricht dagegen mit den Freunden, der Familie auf Signal zu wechseln?

Warum ich kein Facebook nutze

Im Grunde ist die Idee eines sozialen Netzwerks eine gute Idee. Menschen können sich mit anderen Menschen vernetzen und über große Entfernungen an deren Leben teilhaben.

Doch von Anfang an stand ich der Monopolisierung von Internetfunktionalitäten kritisch gegenüber. Ebenso wie bei Chat, Mail und anderen Internetdiensten, ist es auch bei sozialen Netzwerken möglich, diese mit dezentralen Techniken aufzubauen. Dabei gibt man seine Daten nicht an eine Firma, die diese rücksichtslos vermarktet.

Facebook ist nicht in der Krise. Facebook ist die Krise (t3n.de)

Ein Skandal jagt den nächsten. Doch ist es wirklich ein Skandal, dass Facebook das macht, was es sich über die AGB erlauben lässt?
Ist es nicht vielmehr ein Skandal, dass es – trotz echter Alternativen – immer noch genügend Menschen gibt, die ihre Daten freiwillig an Facebook übermitteln?

Ist eine Festplattenverschlüsselung wirklich eine gute Idee?

Verschlüsselung der Daten

Immer mehr Benutzer haben einen mobilen Computer, ein Laptop oder Notebook. Dabei kann es passieren, dass der Computer verloren geht oder gestohlen wird. Aus diesem Grunde denken immer mehr Benutzer über eine Verschlüsslung Ihrer Daten nach.

Bei Linux ist es schon seit langer Zeit möglich, das Homeverzeichnis zu verschlüsseln. Damit sind die Benutzerdaten im Falle eines Diebstahls geschützt. Ebenso ist es möglich, die gesamte Festplatte zu verschlüsseln. Es gibt jedoch auch die Möglichkeit, schützenswerte Daten in einem verschlüsselten Container abzulegen.

Viele denken: „Ich verschlüssele gleich die gesamte Festplatte, dann bin ich auf Nummer Sicher!“ In großen Unternehmen ist die Vollverschlüsselung des Laptops meist schon Standard.

Auswirkung auf die Performance des Geräts

Während in vielen Unternehmen auf dem Laptop zumeist nur Office Dateien mit zum Teil vertraulichem Inhalt liegen, befinden sich auf privaten Laptops zumeist auch Unmengen von großen Mediadateien (Filme, mp3, etc.).

Ein gängiger Office Laptop besitzt zumeist eine Festplatte von 128-256 GB. Private Laptops haben Festplatten von 1 TB oder mehr. Auch wenn die Festplatte nicht voll ist, so muss bei einer Verschlüsselung auch der nicht beschriebene Teil der Festplatte berücksichtigt werden. Das kann die Performance und vor Allem den Bootvorgang negativ beeinflussen.

Wiederherstellung der Daten bei Hardwaredefekt

Im Unternehmensumfeld werden die Daten zumeist im Netzwerk gesondert gesichert. Die Daten auf dem Laptop sind somit zumeist nur Kopien und sind bei Defekt oder Verlust nicht verloren.

Bei privaten Geräten findet meistens keine regelmäßige Sicherung der Dateien in ein Netzwerk oder auf eine NAS statt. Gerade bei Hardwaredefekt müssen die Daten oftmals nochmals von der Festplatte gesichert werden.

Ist die Festplatte oder das Homeverzeichnis verschlüsselt, können die Daten nur mit extrem hohen Aufwand – auch für Profis – wiederhergestellt werden.

Glaubhafte Abstreitbarkeit

Bei Grenzübertritt – nicht nur in das Gebiet totalitärer Staaten – können die Besitzer von Laptops durch die Behörden gezwungen werden, die Verschlüsselung preis zu geben. Bei verschlüsselten Geräten sind diese Behörden oftmals besonders argwöhnisch. Hier hilft eine Verschlüsselung der Festplatte oder des Homeverzeichnisses nicht. Im Gegenteil, es erweckt ganz besonders das Interesse der Behörden.

Hier hilft nur eine andere Strategie. In einem verschlüsselten Verzeichnis befindet sich ein weiteres verstecktes Verzeichnis, von dessen Existenz nur der Benutzer weiß. Wird der Benutzer nun gezwungen, die Verschlüsselung zu öffnen, so öffnet er nur das normale verschlüsselte Verzeichnis, die Angreifer finden hier die üblichen Dokumente. Das versteckte Verzeichnis mit den wirklich geheimen Daten bleibt ihnen verborgen.

Diese Strategie der glaubhaften Abstreitbarkeit kann z.B. durch die Containerverschlüsselung mit Veracrypt erreicht werden. Der mit Veracrypt erstellte Container kann auch auf andere Datenträger wie z.B. USB Sticks, DVD oder Netzlaufwerke kopiert werden. Weiterhin ist Veracrypt als Software ebenso für Linux, wie auch für Windows und MacOS verfügbar. Diese Container müssen also nicht zwangsläufig mit dem Laptop transportiert werden.

Fazit

Hast Du wirklich schützenswerte Dateien auf Deinem Mobilgerät, dann lege sie in einem verschlüsselten Container ab. Geheime Daten innerhalb dieses Containers in einem weiteren versteckten Container.

Bei einer Festplatten- oder Homeverzeichnisverschlüsselung, verschlüsselst Du immer auch jede Menge nicht schützenswerter Daten, was zu Lasten der Performance und des Komforts gehen kann. Im schlimmsten Fall lassen sich die Daten bei Hardwaredefekt nicht mehr herstellen und sind verloren, wenn Du sie nicht auf einem anderem Gerät gesichert hast.

Warum ich privat keine Apple Hardware benutze

Spricht man einen der Apple Jünger auf Privatsphäre an, so bekommt man meist nur die Antwort: „Ich traue Apple mehr als Microsoft!“

Tatsache ist, dass man mit den Apple Datenschutzrichtlinien dem Unternehmen einen Freibrief für die Überwachung gibt. Über die Apple-ID wirst Du als Nutzer eindeutig erkannt und die über Dich gesammelten Daten können und werden weitergegeben. Dafür bekam Apple schon 2011 den Big Brother Award.

Als kommerzielles Unternehmen in den USA ist es Apple auch schwer möglich, sich nicht zum Handlanger der staatlichen Überwachung machen zu lassen. Apple ist Teil von PRISM.

Warum ich privat kein Windows nutze

Schon mit Windows XP wurden immer mehr „calling home“ Funktionen eingesetzt. Das ist mit den Folgeversionen nicht weniger geworden, jedoch immer schwieriger, diese abzustellen. Mit Windows 8 und 10 ist es fast unmöglich, sich der Bespitzelung durch Microsoft zu entziehen. Lese hierzu auch https://www.privacy-handbuch.de/handbuch_90a.htm.

Als kommerzielles Unternehmen in den USA ist es Microsoft auch schwer möglich, sich nicht zum Handlanger der staatlichen Überwachung machen zu lassen. Microsoft ist Teil von PRISM.

Die tägliche Überwachung


(Quelle: alexanderlehmann auf YouTube)

Es ist fast unmöglich der täglichen Überwachung zu entgehen, aber man kann es den Spitzeln schwerer machen. Nicht nur kommerzielle Unternehmen sind an einen glasklaren Profil ihrer User interessiert. Auch die Staaten – nicht nur totalitäre Diktaturen – sind an einem Profil der Bürger interessiert.

Über die nachfolgenden Links kannst Du tiefer in das Thema digitale Privatsphäre einsteigen.

https://www.privacy-handbuch.de/index.htm
https://www.selbstdatenschutz.info/
https://digitalcourage.de/

Es geht nicht nur um den Schutz Deiner Privatsphäre, sondern auch um die Deiner Familie, Freunde und Bekannten.

Nur weil du paranoid bist, heißt das nicht, dass sie nicht hinter dir her sind.
(Terry Pratchett, englischer Fantasy-Schriftsteller)

Und hier noch ein paar weitere Links:

http://www.alexanderlehmann.net/#
http://www.ctrl-verlust.net/

Weg von Twitter

Ich war noch nie ein Freund von Twitter und habe daher auch nie einen Account gehabt. Wie bei den anderen zentralen Dienstleistungen – Facebook, Google, etc. – liegen Deine Daten auf einem zentralen Server und Du hast keinen Einfluss darauf, was mit Deinen Daten geschieht.

Doch auch hier gibt es eine open source Alternative – GNUsocial bzw. Mastodon.

Mastodon ist ein dezentrales Netzwerk von vielen Instanzen. Die Anmeldung und Einrichtung ist in wenigen Minuten erledigt. Für Die Anmeldung benötigst Du eine E-Mail Adresse und einen selbst gewählten Benutzernamen und ein Passwort.

Für Android gibt es mehrere Clients. Ich nutze Tusky, welches sowohl bei F-Droid als auch im Play Store zur Verfügung steht.

Auf meinem Desktoprechner nutze ich Tootle, welches bei elementaryOS über das AppCenter installierbar ist.

Einrichtung eines Accounts

  1. Eine Instanz wählen Liste (z.B. mastodonten.de)
  2. Anmelden mit E-Mail, User Name, Passwort
  3. Du bekommst eine Bestätigungs E-Mail, dort den Link zum verifizieren anklicken
  4. Den Client auf dem Smartphone, Tablet, PC installieren
  5. Im Client die User Daten eingeben
  6. FERTIG

Nun kannst Du ganz einfach Beiträge erstellen und diese öffentlich oder nur Folgenden freigeben. Weiterhin kannst Du anderen Usern folgen. Um mir zu folgen suche nach @ingos@mastodonten.de. Auch wenn Du Dich bei einer anderen Instanz angemeldet hast, kannst Du mir folgen.

Ich selbst folge: @Digitalcourage@chaos.social, @elementary@mastodon.social, @omgubuntu@botspin.space

Zu einem späteren Zeitpunkt werde ich mich mit der Installation einer eigenen Instanz beschäftigen.

sicherer Datenaustausch: Lass Deine Daten durch ein Wurmloch reisen

magic wormhole ist eine einfach zu bedienende Anwendung, um Daten jeder Größe zwischen 2 Rechnern/Personen auszutauschen. Dabei werden die Daten end to end verschlüsselt zwischen den Beteiligten ausgetauscht.

Der Sender gibt in der Konsole folgenden Befehl ein:

wormhole send ~/path/to/file

Der Empfänger gibt folgenden Befehl ein:

wormhole receive

Der Sender bekommt nun eine Zeichenkette angezeigt, die einfach zu merken ist und nur einmal für diese Übertragung gültig ist. Diese Zeichenkette teil er dem Empfänger am Telefon oder über einen Chat Client mit. Die Zeichenfolge enthält die nötigen Adressdaten des Senders und den Schlüssel für die Entschlüsselung.

Der Empfänger wird nach Eingabe seines Befehls aufgefordert, die Zeichenkette, welche er vom Sender genannt bekommt, einzugeben. Nach Eingabe der richtigen Zeichenfolge startet die Dateiübertragung. Die Daten werden im Downloadverzeichnis abgelegt.

Ein möglicher Angreifer hat nur 1 Chance (1:65,536), die nötige Zeichenfolge zu erraten. Der Datenstrom ist mit neuesten Techniken verschlüsselt.

Unter meinen Desktop Betriebssystem elementaryOS habe ich auch eine einfache GUI für magic wormhole – Transporter.

Unter Youtube gibt es auch ein Video eines Vortrags zu magi wormhole, welches weitere Fragen beantwortet.

https://youtu.be/oFrTqQw0_3c

weitere Links und Informationen:

https://www.omgubuntu.co.uk/2017/06/wormhole-fast-secure-way-send-files-users-cli

https://medium.com/@simonvc/magic-wormhole-is-the-intra-team-secure-messaging-tool-youve-been-looking-for-b7fa1e147d42

https://medium.com/elementaryos/appcenter-spotlight-transporter-7c9db2472f37