Falls es auf der veröffentlichten Liste indizierter Webseiten wirklich Kinderpornografie geben sollte, würde der Leaker diese URLs entfernen und sich für die Löschung der Inhalte einsetzen. Das sagte der oder die anonyme Hackerin im Interview mit netzpolitik.org. Eigentlich war sie nur neugierig und wollte die technische Herausforderung lösen – das war einfacher als eine Uni-Hausaufgabe. Er äußert Verständnis für unsere Entscheidung, den Link zu entfernen – und grundsätzliche Kritik an geheimen Sperrlisten.
Am Dienstag haben wir darüber berichtet, dass die geheime Liste in Deutschland indizierter Webseiten veröffentlicht wurde. Gestern haben wir uns entschieden, den Link zur Originalseite herauszunehmen, da die KJM gedroht hat, uns wegen „Zugänglichmachung von Kinderpornografie“ anzuzeigen. Jetzt haben wir ein Interview mit dem oder der anonymen Hacker/in geführt. (Hier gibt’s das auch auf englisch, danke an Kilian für’s Übersetzen!)
netzpolitik.org: Warum hast du die Liste reverse-engineered?
BPjM-Leaker: Ich habe das im Grunde aus (technischer) Neugier gemacht.
Ich bin zufällig über die MD5-gehashte BPjM-Liste gestolpert und war einfach neugierig. Es war wie ein „Hacker-Puzzle“, ich habe versucht, herauszufinden, wie das BPjM-Modul funktioniert. Schließlich habe ich das System herausgefunden (MD5-Hash-URL mit http:// am Anfang und ohne www-Subdomain, anderer MD5-Hash für den Pfad) und probierte manuell Domains aus, die ich auf der Liste vermutete (rotten.com und youporn.com). Jetzt, da das Rätsel gelöst war, entwickelte es sich zu einer neuen Herausforderung: ich versuchte alle Domains auf dieser Liste zu finden, indem ich riesige Listen von Domains sammelte und dann abglich, ob sie auch auf der BPjM-Liste sind. In einer idealen Welt würde dieser Leak zum Ende der Netz-Filter von der BPjM/FSM/KJM führen und das Geld würde stattdessen für Pädophilen-Präventionsprogramme ausgegeben…
netzpolitik.org: Warum hast du die Liste veröffentlicht?
BPjM-Leaker: Ich war mir nicht sicher, was der beste Weg ist, mit diesen Informationen umzugehen. Sie einfach für mich behalten, die Daten an WikiLeaks schicken, einen Artikel/Blog-Post mit meinen echten Namen schreiben, oder sie einfach selbst leaken, mit den Rohdaten und den technischen Details wie die Liste zu überprüfen ist? Am Ende habe ich mich für die letzte Option entschieden. Durch die Veröffentlichung der Liste können jetzt alle sehen, wie lächerlich sie ist, mit ihren absurden Einträgen.
netzpolitik.org: Wie viel Zeit hast du für den Hack insgesamt gebraucht?
BPjM-Leaker: Die Liste zu extrahieren und das MD5-„Verschlüsselungs“-System herauszufinden waren zwei Abende, wenn ich mich richtig erinnere. Die ganzen Domain-Listen sammelte ich über mehrere Monaten, aber insgesamt waren es nicht so viele Stunden.
netzpolitik.org: Die Veröffentlichung der Liste ist nach deutschem Recht verboten. Warum hast du dich entschlossen, es trotzdem zu tun? Erwartest du, angezeigt zu werden? Glaubst du, dass du erwischt wirst?
BPjM-Leaker: Meiner Meinung nach ist es falsch, diese Liste überhaupt anzulegen. Technisch gesehen hat die BPjM die Liste veröffentlicht und ich habe nur eine Art von Transformation der Daten vorgenommen. Ich hoffe, anonym zu bleiben. Eigentlich habe ich nichts Besonderes getan. Alle, die grundlegende Computer-Kenntnisse haben und und neugierig sind, dürften in der Lage sein, an diese Liste zu gelangen. Die Hausaufgaben im ersten Semester eines Informatikstudiums sind in der Regel schwieriger. Ich kann nicht glauben, dass das bisher niemand gemacht hat und dieses BPjM-Modul jahrelang als völlig sicher angesehen wurde.
netzpolitik.org: Wir hatten deine Website verlinkt, aber die KJM hat gedroht, uns zu verklagen, weil angeblich einige der URLs in der Liste Kinderpornografie enthalten, was in Deutschland nach § 184b StGB illegal ist. Kennst du irgendwelche konkreten URLs auf der Liste, die solches Material hosten? Wenn ja: Hast du etwas dagegen getan?
BPjM-Leaker: Erst einmal vielen Dank für das Verlinken auf die Webseite! Und danke auch, dass ihr gezögert habt, den Link wieder zu entfernen und transparent darüber berichtet! Ich kenne keine Domain auf der Liste, die Kinderpornografie beinhaltet. Zuerst habe ich versuchte, die Listeneinträge genauer zu analysieren, indem ich jede URL einzeln aufrief und dann manuell kategorisierte (wie die anderen Analysen des AK-Zensur und von Matti Nikki, die ich verlinkt habe). Aber 3.000 blöde Webseiten anzugucken war mir einfach zu viel und ich habe ziemlich schnell aufgegeben.
netzpolitik.org: Wärst du bereit, URLs von der Liste zu nehmen, wenn dir konkret welche genannt werden, die solches Material enthalten?
BPjM-Leaker: Wenn ich von URLs auf der Liste erfahren würde, die solches Material enthalten, würde ich sowohl eine Abuse-Mail an sowohl den Domain-Kontakt als auch den Hoster schreiben und den Missbrauch melden. Die zuständigen Behörden des Landes, in dem die Website gehostet wird, über die URL zu informieren, wäre auch eine gute Idee. Dann würde ich erwarten, dass die Website innerhalb weniger Stunden vom Netz genommen wird. Wenn ich weiß, dass eine Domain Material über Kindesmissbrauch enthält, würde ich die URL mit ihrem MD5-Hash ersetzen.
netzpolitik.org: Was ist deine Meinung zu Blacklists im Allgemeinen? Sollte Staaten Blacklists für Kinder-/Jugendschutz erstellen? Sollten die verpflichtend sein? Sollten sie geheim sein?
BPjM-Leaker: Für mich fühlt es sich falsch an, dass es viele unterschiedliche Gesetze für verschiedene Menschen gibt. Je nachdem, in welchem Land du lebst und wie alt du bist, entscheiden andere Menschen, was du sehen darfst. In China haben sie ihre große Zensur-Infrastruktur, in Großbritannien wird Filesharing gesperrt, in Deutschland werden Webseiten gesperrt, die alte Helme verkaufen, weil da ein Hakenkreuz drauf ist. Wenn die Liste geheim ist, gibt es keine Kontrolle und dadurch ist die Qualität der Einträge wirklich schlecht, wie das aktuelle BPjM-Beispiel beweist. Die Filterung von Webseiten zum Kinderschutz könnte in einigen Fällen ein nützliches Werkzeug sein, aber nicht durch eine Regierung und nicht auf eine intransparente Art und Weise.
netzpolitik.org: Vielen Dank für das Interview.
(Anmerkung: Gender-Rants in den Kommentaren könnt ihr euch sparen. Ich werde keine „Ratschläge“ annehmen. Meint wer, sich trotzdem aufregen zu müssen, gibt’s hatr. Danke für das Verständnis.)