Deep Packet Inspection ist eine gefährliche Technologie. In einem Flyer warnt der Verein Digitale Gesellschaft davor mit folgendem Vergleich:
Stellen Sie sich vor, die Post öffnet alle Ihre Briefe und liest den Inhalt. Manche schreibt sie um – und andere schmeißt sie einfach weg. Das klingt absurd?
Genau das passiert mit Ihren Daten im Internet.
Und der Einsatz dieser Technik nimmt immer weiter zu. Die Zensur und Überwachung in Russland wird beispielsweise auch mit DPI-Technik aus dem Westen realisiert. Der Provider MTS setzt laut Agentura.RU „Deep Packet Inspection Technologie von Cisco“ dafür ein. Das dürfte die Serie Service Control Engine sein, die bereits 2009 einen Big Brother Award bekam:
Kein deutsches Produkt, aber weltweit bei Internetprovidern in IP-Netzwerken eingesetzt, ist die „Service Control Engine“ der Firma Cisco. Sie ermöglicht eine „Deep Packet Inspection“, d.h. eine genaue Untersuchung der Datenpakete bis zur Volltextsuche nach Begriffen oder bestimmten Daten mit einer Geschwindigkeit von bis zu 10 Gigabit pro Sekunde. Damit ist jeder Zweifel ausgeräumt, dass eine umfassende Internet-Überwachung auch bei wachsenden Datenmengen problemlos machbar ist.
Cisco: Service Control Engine
Das ist heute schon wieder überholt. In einer eigenen Broschüre spricht Cisco davon, dass man mit einer einzigen Cisco SCE 8000 250.000 Anschlüsse, 32 Million Datenströme und 30 Gigabit pro Sekunde „tracken und managen“ kann. Oder man macht sich ein ganzes Rack voll und verachtfacht diese „Leistung“ damit.
Cisco nennt selbst diese schönen Anwendungsfälle für den DPI-Einsatz:
- Analyze, report on, and bill for subscriber and application usage
- Classify and manage application sessions (including web browsing, multimedia streaming, and peerto-peer applications)
- Enforce quality-of-service (QoS) policies and service guarantees for latency-sensitive applications (such as VoIP and interactive gaming)
- Implement fair-use policies and manage network congestion by optimizing application-level traffic
- Deploy service tiers based on volume, time, content, and premium IP service delivery
- Introduce differentiated subscription services such as parental controls, turbo buttons, etc.
- Introduce personalized, localized advertising on web pages
- Partner with “over-the-top” web-based content providers by enabling unique service-level guarantees
Diese Maschinen sind so mächtig, das Zensieren von Webseiten machen sie „quasi nebenher“. Das sagte uns ein Techniker, der diese selbst einsetzt.
Auch in Deutschland im Einsatz
Und genau diese Hardware ist auch in Deutschland im Einsatz. Für die Deutsche Telekom gab das Thomas Grob, „Senior Expert Regulatory Strategy“ auf der Netz für alle-Konferenz zu, als er sagte:
Das Stichwort Service Control Engine wurde genannt. Das ist richtig. Auch die haben wir im Einsatz. Das wird insbesondere bei dem Mobilfunk verwendet und hier an der Stelle natürlich das kritische Thema Skype, Mobile, Voice over Internet. Das sind genau die Maschinen, die wir einsetzen, um eben in den Tarifen, wo wir das nicht zulassen, den Verkehr dann auch zu unterbinden. Das ist korrekt.
Wir nutzen diese Maschinen aber auch für eine ganze Reihe anderer Anwendungen, wie zum Beispiel eine Auswertung des Verkehrs. Das dient uns zur Netzplanung.
Auch Kabel Deutschland setzt dem Vernehmen nach Service Control Engines von Cisco ein. In zwei Stellenausschreibungen für einen System Engineer VAS (Value Added Service, Mehrwertdienst) und einen Manager Voice & Data Analyst wurden Menschen mit „[guten Kenntnissen] Traffic Management Devices (Cisco Service Control Engine oder vergleichbares)“ gesucht. In den Aufgaben des „Voice & Data Analysts“ finden sich diese Punkte:
- Statistische Auswertung und Korrelation von Netzparametern, Netztopologie und Kundendaten
- Trafficanalyse der genutzten Internet Protokolle & Service Klassen (bspw. HTTP, HTTPS, P2P, Browsing, Streaming, File Sharing, eMail, etc.)
Zudem ist schon seit 2008 bekannt, dass Kabel Deutschland den Filesharing-Traffic seiner Kunden ausbremst. Auch das dürfte mit Cisco Service Control Engines passieren.
(Weitere Details und Hinweise zum Einsatz solcher Technologien in Deutschland nehmen wir übrigens gerne entgegen, auch per PGP und anonym.)
Huawei: Das intelligente „Herz“ des Internets
Ein weiterer Hersteller von Deep Packet Inspection-Technologie ist der chinesische Telekommunikationsausrüster Huawei. Ebenfalls in einer Broschüre erklärt man Deep Packet Inspection zum intelligenten „Herz“ des mobilen Internets. Darin beschwert man sich, dass manche (wie wir) von Internet-Anbietern nur wollen, dass sie dumm Pakete durchleiten. Aber Huawei hat Ideen zur Profitmaximierung:
The transition of mobile data service operation calls for the emergence of an intelligent packet core network, which, based on service awareness, has abundant functionality like content-based billing, service control, bandwidth management, service analysis and personal firewall, etc.
Operators can charge according to the services that the users actually use, as is called content-based billing.
Precise service awareness allows you to control and filter services that might threaten network security.
Als chinesische Firma kennt man sich ja damit aus, welche Dienste zu „kontrollieren“ und „filtern“ sind.
Auf der Rückseite dieses DPI-Flyers ist dann folgende Meldung:
Huawei to build European Packet Switched Core Networks for T‑Mobile International
In December 2007, T‑Mobile of Deutsche Telekom chose Huawei to build its intelligent packet core network in Europe, covering five European countries, including Germany, England, Austria, Holland, and the Czech Republic. Mr Joachim Horn, the technical director of T‑Mobile said, „Through adopting Huawei’s leading solution, T‑Mobile expects to offer excellent and reliable services to the users, and realize our strategic commercial goal. We see Huawei as a reliable and trustworthy partner, and we look forward to long-term cooperation with each other.“
Allot: Dynamic Actionable Recognition Technology
Auch die israelische Firma Allot Communications ist mit „Bandwidth Management Solutions“ im Geschäft. Laut Eigenaussage steht „im Kern jedes Allot-Produkts“ DART, die Dynamic Actionable Recognition Technology. Auch hier bewirbt ein Flyer die Features, den wir mal befreit und ein paar interessante Teile kopiert haben:
DART is able to identify the voice and chat features of Skype, MSN and Yahoo messengers – enabling operators to gain deeper insights into user behavior.
DART can distinguish between different devices – dongles, smartphones, or tablets; and different handset makers – such as iPhone, Samsung, and Blackberry. End users tend to favor specific devices for certain types of usages. For example, some devices are the choice for bandwidth heavy video applications; others are preferred for latency sensitive applications, such as gaming; while a third type of devices are more user-friendly for emailing. The ability to correlate between the type of device and its most popular usages can be highly instrumental in future capacity planning, in the introduction of personalized service plans, as well as in strategic decision making.
Allot’s device awareness functionality enables operators to monitor tethering – using a mobile device as a modem for another device such as a laptop. The ability to identify tethering is important in service plan level enforcement, quota reporting, and charging.
DART can also identify the user who is generating the traffic. For example, the service provider may see that one subscriber is streaming YouTube videos to his laptop, while another is “skyping” from her iPhone. DART employs real-time mapping of static or dynamically allocated IP addresses to subscribers and their service plans in order to monitor subscriber-application usage and to track consumption patterns and trends in order to personalize the Internet experience.
Westliche Technologie in China und Russland
Weitere Firmen sind Sandvine aus Kanada und Procera aus Kalifornien. Letztere werben auf ihrer Startseite mit „extreme user awareness“.
Alle diese fünf Firmen haben ihre Hardware an Provider in Russland verkauft, die damit das Internet ihrer Kunden und Bürger zensieren und überwachen. Aber teilweise ist eben identische Hardware auch bei Providern in Deutschland installiert. Das ist gefährlich, denn damit ist der Unterschied zwischen einem zensierten Internet wie in Russland und einem freien und offenen Internet, das wir uns wünschen, nur noch eine Änderung in einer Konfigurationsdatei entfernt.
Die Bundesnetzagentur stellt sich blind
Diese gefährlichen Eingriffe in unseren Internet-Verkehr müssen aufhören. Das ist eigentlich auch Aufgabe der Bundesnetzagentur. Die fällt aber nicht gerade durch Übereifer auf. Im Gegenteil, am Montag war eine Anhörung im Unterausschuss Neue Medien des Deutschen Bundestages zu den Berichten der Europäischen Regulierungsstelle Berec zur Netzneutralität. Dr. Cara Schwarz-Schilling, die Referatsleiterin für Grundsatzfragen der Internetökonomie bei der Bundesnetzagentur, sagte dort:
Cara Schwarz-Schilling: DPI ist in der Tat ein Thema für Herrn Schaar. Ich meine, das ganze Internet ist ein Thema für Herrn Schaar, weil letztlich das Internet-Protokoll so aufgebaut ist, dass sie da in den Header reingucken müssen und wie weit sie in dieses Paketchen reingucken, das … *puh* Ich meine das ist … *ähm* De facto, das wissen wir ja alle, das wird auch jedem gesagt, E‑Mail ist öffentlich, wie eine Postkarte. Also Netzbetreiber können in die Pakete reingucken. Wie weit sie in die reingucken .. *ähm* das ist … schwierig zu sagen.
Manuel Höferlin: Aber meine Frage war: Liegen ihnen Erkenntnisse vor, also bei der Netzagentur oder bei BEREC, in wie weit ISPs oder Anbieter solche Verfahren verwenden, um Netzwerkmanagement zu betreiben, Pakete zu drosseln oder bestimmte Verkehre auszuschließen, neben Port-Management.
Cara Schwarz-Schilling: Also zum Beispiel in unserer Abfrage bei BEREC hat keiner angegeben, DPI zu machen.
Gelinde gesagt, verwundert diese Aussage. Im Bericht schreibt die BEREC nämlich:
Among the restrictions related to specific types of traffic, the most frequently reported restrictions are the blocking and/or throttling of peer-to-peer (P2P) traffic, on both fixed and mobile networks, and the blocking of Voice over IP (VoIP) traffic, mostly on mobile networks.
When blocking/throttling is implemented in the network, it is typically done through deep packet inspection (DPI).
Hat sie ihren eigenen Bericht nicht gelesen? Das mit Skype gibt Schwarz-Schilling auch zu:
Zum Beispiel wissen wir eigentlich, dass man sowas wie Skype kann man mit Port-Blocken, dem wird man nicht Herr. Die wechseln so schnell ihre Ports, da kommt man gar nicht nach. Da muss man schon andere Verfahren einsetzen. *Ähm* Aber unsere Messstudie läuft noch und in sofern haben wir im Augenblick keine konkreten Erkenntnisse.
Damit tut die Bundesnetzagentur das selbe wie die EU-Kommission: das Thema aussitzen. Dumm nur, dass die Provider inzwischen Fakten schaffen.
Zu Thema Skype zitieren wir mal Fefe:
Damit, dass die Provider Skype sperren, hat sich die Regulierungsbehörde schon abgefunden oder was? Was glauben die eigentlich, wozu sie da sind?!?