Wie bereits berichtet sind der Bundespolizei (bzw. dem Zoll) einige Daten von GPS-Wanzen in die Öffentlichkeit entfleucht.
Bei den GPS-Wanzen handelt es sich um kleine, mit 1 oder 2 SIM-Karten ausgestattete Geräte, die in regelmäßigen Abständen über GPRS-Datenverbindungen ihre aktuelle Position „nach Hause“ funken. „Nach Hause“ meint hier allen Anschein nach den mangelhaft gesicherten Server, dessen Zugangsdaten & Passwörter in Klartext in der Datenbank stehen.
Ich bin ehrlich gesagt ein bisschen amüsiert, wie einfach die Geräte konzipiert sind. Es kommen eigentlich nur Hausmittel zum Einsatz. Über SMS lassen sie sich ansteuern, um zum Beispiel das Mikrofon (sofern vorhanden) ein- oder auszuschalten. Der einzige denkbare Schutz gegen unauthorisierten Zugriff wäre hier eine Kontrolle der Absender-Telefonnumer – und die kann man fälschen. Gespeichert und ausgewertet wird mit Hilfe von PHP und MySQL – also mit state-of-the-art-&-cutting-edge-Technologien. Mit einem einem veralteten PHPMyAdmin und Klartext-Passwörtern kann da eigentlich nichts mehr passieren ;-)
Von insgesamt 86 Tracking-Geräten finden sich Aufzeichnungsdaten. Die Anzahl der GPS-Punkte reicht dabei von 124 (Testgeräte, die nur 1 Tag aktiv waren) bis 475.206 (Observationsdauer 9 Monate). Mit wenig Aufwand kann man sich die Daten der Geräte zum Beispiel auf Google Earth anzeigen lassen. Dann wird schnell klar, wo die observierte Person häufig geparkt – und dann wohl auch gewohnt? – hat. Regelmäßige Fahrten (z.B. nach Amsterdam oder so) lassen dann auch den Grund für die Überwachung erahnen.
Das sind dann schon recht aufschlussreiche Einsichten. Bei Indymedia in den Kommentaren tauchte zum Beispiel diese Karte auf, die die Aufenthaltsorte von allen 86 devices darstellt. Da es sich um aggregierte Daten vieler anonymer Personen handelt, ist diese Karte nicht so übel, wie es die gleiche Karte von nur einem device (einer Person) wäre.
Herauszufinden, um welche Personen es sich handelt wäre jetzt nur noch eine Fleiß- und Recherche-Aufgabe. Interessant wären natürlich die Anzahlen berechtigter und unberechtigter, genehmigter und ungenehmigter Überwachungen, der Gründe dafür, etc.
Ich wäre echt mal gespannt, wie viele Leute überhaupt wissen, dass sie so ein Gerät durch die Gegend gefahren haben.
Sehr spannend. Bei mir kommen da spontan zwei Fragen auf:
1.) Was für eine Akkulaufzeit haben die Geräte? Gerade bei Überwachungsdauern von 9 Monaten. Muss da regelmäßig sich jemand am Fahrzeug zu schaffen machen und die Batterien austauschen? ;)
2.) Ist das juristisch so einwandfrei gedeckt, eine Überwachung über die Landesgrenze hinweg?
1) Die meisten Autos sind mit einer Batterie gesegnet…
2) Das frage ich mich auch – aber wie will man verhindern, dass die Überwachungsopfer ins Ausland reisen?
scheinbar sind die GPSe aber autak vom PKW-netz und haben eigene sehr fette (14Ah 3,6V) Batterien
damit dürfte das equipment tatsächlich kaum länger als eine Woche laufen, wenn es viel bewegt wird auch weniger
besonders gaga ist, dass manche daten wohl mit dem Kennzeichen des überwachten Fahrzeuges inkl. Fahzeugtyp versehen wurden, wärend andere „anonymisiert“ wurden
Die Geräte kann jeder kaufen. Standby bis zu 10 Monaten, wasserdicht, SMS + GPRS, bis zu 100.000 Wegpunkte und 4 fette Neodym-Magnete zum an die Innenseite der Karosserie ranschnäppern.
http://www.shop-alarm.de/GPS_Tracker_mit_langer_Akkulaufzeit_und_robustem_Gehaeuse_Magnetfusshalterung_Langzeitobservation.html
OT: Das ist doch fast schon Satire.
http://www.shop-alarm.de/alarm_Computerueberwachung.html
„Orvell Monitoring 2009 Überwachungssoftware“ :)
„USB oder PS/2 Tastaturspeicher – Hardware Keylogger mit Zeitstempel“ – EUR 189,00
Ernsthaft? 189€ für einen 5€ µC mit bisschen Flashspeicher in Plastik?
vom „Anti-Porno USB Stick“ will ich gar nicht ers reden …
Hier mal eine kleine Analyse für’s Saarland, just for fun:
Im Saarland erkennt man sehr schön den Verlauf der Autobahnen A1, A6, A8 und A620. Das ist mir als Saarländer direkt aufgefallen. Die A1 ist unvollständig, da wurde wohl am Autobahnkreuz Saarbrücken zwischen A1 und A8 gewechselt, so dass der Teil der A1 südlich des AK SB fehlt. Die A623 fehlt m.E. vollständig, wurde also (vermutlich) nicht von überwachten Personen befahren.
Entweder es gab im westlichen Saarland einen Messfehler oder es ist tatsächlich auch mal jemand bei Dillingen von den Autobahnen runter. Denn ansonsten sind die Anscheinend wirklich immer nur durch’s Saarland durchgefahren, außer im Südosten, bei Homburg bzw. im Bliesgau, wo es auch ein „Knäuel“ von Linien gibt.
Deutschlandweit fällt auf, dass es ein paar wenige Verdichtungen gibt und ansonsten ebenfalls nur Autobahnen aufleuchten. Im Osten scheint, zumindest gemäß dieser Grafik, nur sehr wenig los zu sein. Auffällig finde ich, dass bei den Großstädten weder Berlin noch München so stark „herausleuchten“ wie z.B. Hamburg oder Frankfurt.
Es ist auf jeden Fall eine interessante Grafik. Danke!
Deshalb will die EU also das Datenroaming runterdrücken :)
Das Einzige was mich an diesem Text stört: es wird suggeriert, dass PHP und MySQL per se unsicher wären. Die Technik hat aber mit der Tatsache nichts zu tun, dass man Passwörter im Klartext speichert und die Datenbank nicht absichert.
Genauso könnte man behaupten Linux wäre unsicher, weil es in C++ geschrieben ist – also „cutting-edge-technology“ aus dem Jahr 1979 von den „Erfindern“ der Null-Terminated Strings und des Pufferüberlaufs. Das ist natürlich alles Blödsinn und sollte jedem sofort einleuchten.
Es wird nicht suggeriert, dass PHP/MySQL unsicher ist, sondern dass es popelig ist.
Wenn ich eine Wanze an meinem Auto oder Fahrrad habe, dann möchte ich bitte nicht dass die per SMS gesteuert wird. Und ihre Daten soll sie bitte über VPN oder ssh-Tunnel an einen Server übertragen, der sie dort in einer vernünftigen Datenbank speichert und mit zur Datenanalyse geeigneter Software auswertet und drastellt.
Das alles stelle ich mir auf einem Niveau vor, das über Tutorials hinausgeht – denn genau über Links wie „laden sie die aktuelle Version von phpmyadmin herunter“ kommt so etwas zustande. Ich doch erbärmlich, wenn der Staat mich mit Mitteln überwacht, die selbst ich besser coden, und über die selbst ich deshalb lachen kann. Ich erwarte da mehr Anspruch an die eigene Kompetenz.
Jepp, für Geodaten nimmt man PostGIS, wenn es FOSS sein soll ansonsten auch schon mal Oracle Spatial :)
Da kann man dann nämlich so schöne räumliche Abfragen machen.
Ich glaube ich muss mir das mal ziehen und in PostGIS importieren.
Linux ist nicht in C++ geschrieben sondern in Plain C.
Eine Häufung gibt es in Bielefeld … da wollte wohl wer wissen ob es existiert ;)
Das die Existenz von Bielefeld anhand einer Datenbank bewiesen wird, die so sicher ist wie ein meine Schnürsenkel ohne Doppelknoten hilft uns Bielefeldern leider nicht wirklich weiter ;-)
Es ist wohl eher anzunehmen, dass einige Datensätze hinzugefügt wurden, um die Existenz Bielefeld vorzutäuschen.
Es könnte ja auch sein, dass es Testfahrten von BKA-Mitarbeitern waren (hörte sowas mal vor 2 Jahren mit Bezug auf Skandinavien).
9 Monate Testfahrt plus Gehalt und Spesen würde ich als übertriebenen Test dieser rudimentären Technologie sehen ;-)
Der Test kann ja paralell zum normalen Betrieb des Fahrzeugs stattgefunden haben.
Es waren insgesamt 86 Geräte, die Daten geliefert haben, und noch viel mehr, von denen es (noch) keine Daten gab. Das wären wirklich sehr eingehende Tests.
Und ehrlichg gesagt wäre ich als BP dann jetzt noch sehr viel nervöser, wenn es auch noch die Daten von meinen Karren sind.
was man allerdings auch bedenken muss, ist dass das gps signal zu keinem zeitpunkt verifiziert wird. die satelliten senden nur ein zeitsignal und positionssignal der satelliten im orbit (in intervallen) aus und durch den laufzeitunterschied errechnet sich die position. wie das signal aufgebaut ist, ist bekannt. wenn ich jetzt mit mit einem stärkeren sender ein falsches signal lokal aussende, dann stimmt die position überhaupt nicht mehr. was mich interessieren würde ist dann, ob diese gps daten nur zum aufspüren der person genutzt werden, oder ob das auch schon als indiz für eine straftat gilt, wenn man am hafen in amstadam rauf und runterfährt.
Wenn man sich z.B. diesen Beitrag aus Udo Vetters law blog anschaut, kann ich es mir durchaus vorstellen, dass die Strafverfolgung versucht, dir aus regelmäßigen und längeren Aufenthalten im Rotterdamer Hafen einen Strick zu drehen.
Es ist natürlich fraglich, ob sie damit vor Gericht durchkommen. Aber versuchen kann man es ja mal. Und vielleicht findet man im Zuge der Ermittlungen ja noch Beweise gegen dich, wodurch du dann einfach eines anderen Verbrechens angeklagt wirst.
Umgekehrt wird ein Schuh draus: Wenn ich einer schweren Straftat beschuldigt werde (z.B. Leergut-Schmuggel), dann habe ich vor dem Richter schlechte Karten, wenn mir von der Staatsanwaltschaft als Beweis Bewegungsprofile entgegengehalten werden.
Das wäre ja noch schöner, wenn allein der Umstand eines längeren Aufenthalts im Rotterdamer Hafen eine Anklage rechtfertigt. Einzige Ausnahme: Ein längerer Aufenthalt in Bielefeld.
gab es denn schonmal Fälle, in denen das GPS-Signal so subtil gefälscht wurde? Ein völlig falsches Signal zu erzeugen ist ja einfach, jammen auch, aber hat schonmal wer einen Aufbau demonstriert, der sich unmerklich einschalten lässt (einfach das Originalsignal durchleitet) und dann erlaubt die Position zu verschieben (also die Signale entsprechend filtert und verzögert, was ich wegen der Latenzen für sehr schwer halte…)
Hm, ich würde einfach hin gehen, und die position konstant halten ab einschaltung des „Fake Signals“ … also quasi der Wanze immer die selben Latenzen vorspielen, wie sie zum Zeitpunkt X sind….
Dann kann ich das Auto bewegen, ohne dass es das Tracking mitkriegt.
@Michael das geht leider nicht, die satelliten überfliegen alle 24 stunden einen ort in den usa und sind nicht geostationär.
@pascal. die latenz ist nicht so das problem. das signal ist sehr berechenbar. und die genauen positionen der einzelnen satelliten wird, ich glaube alle 15 min übertragen. was es trotzdem nicht trivial macht, aber auch nicht unmöglich. :)
Ziemlich traurig, wenn der Staat nicht mal Profis beauftragen kann, die so ein System richtig aufbauen können.
Willkommen im dummen, unsicheren Überwachungsstaat Deutschland.
die Dummheit unserer Sicherheitsbehörden ist eher beruhigend. Stell dir mal vor die wären bei den Überwachungs-Wünschen und -Vorstellungen auch noch kompetent…
Ich hab neulich so ein Teil unter meinem Auto gefunden! Nee eigentlich hat es der TÜV Prüfer gefunden als er den hochgebockten Wagen mit Schraubenzieher nach Rost abklopfte….Allerdings war mein Modell riesengross, uralt und von einer Privatdetektei eingebaut…..Der Hammer ist aber folgender: Die Beamten vom LKA haben mir erklärt, es wäre keine Strafbare Handlung weil in dem Auto ja jeder hätte fahren können! Es sind also keine personenbezogenen Daten! Ausserdem wäre es nicht verboten den Standort eines Autos auszuspähen! Ich hatte gehofft ein schönes Fass aufmachen zu können und darf jetzt mit Einstellung des Verfahrens rechnen…..Wenn ein Mikrofon drin gewesen wäre hätte es allerdings anders ausgesehen…..
Zum Glück stellt die Polizei das Verfahren nicht selbst ein. Selbstverständlich handelt es sich um personenbezogene Daten und deren Erhebung bedarf einer gesetzlichen Grundlage!
Sowas könnte zB. nach § 44 BDSG strafbar sein. Ist auch ein intersanntes Thema für die Datenschutzaufsicht (Ordnungswidrigkeit § 43 BDSG). Ich würde wegen der relativ kurzen Verjährungsfrist direkt beim Datenschutzbeauftragten anrufen!
AFAIK sind die Daten nicht entfleucht, sondern von einer kriminellen Gruppierung entwendet.
Ich schreibe anonym, weil man inzwischen Angst haben muss, selbst zum Opfer dieser selbsternannten Blockwarte zu werden, wenn man die Dinge mal beim Namen nennt.
Ja genau: Eine kriminelle Vereinigung hat einer anderen kriminellen Vereinigung Daten entwendet.
Ja, so ähnlich war auch die Argumentation der RAF.
Ganz so einfach ist es denn doch nicht, die SMS werden als Übertragungsmedium für ein eigenes Polizeiprotokol (PAIP) verwendet. Das Program zum Steuern des Peilsenders ist in Pascal bzw Delphi geschrieben. Fragt sich ob es sinnig ist das in Pascal und nicht in C zu schreiben. Meines Wissens werden sonst technik-nahe Anwendungen alle in C geschrieben.
besser als in LabView …