Der Schweizer E-Mail-Anbieter ProtonMail wirbt mit eingebauter Ende-zu-Ende-Verschlüsselung und verspricht, seine Nutzer:innen weder zu tracken noch identifizierbare persönliche Daten zu speichern. Damit gewann ProtonMail weltweit Journalist:innen und Aktivist:innen als Kundschaft, die sich gegen Überwachung schützen wollen. Für Aufregung auf Twitter sorgt daher die Nachricht, dass der E-Mail-Anbieter auf eine Anordnung der Polizeibehörde Europol IP-Adressen und weitere Daten von Nutzer:innen herausgegeben hat. Die Nutzer:innen sollen nach Ansicht der französischen Behörden mit der Gruppe „Youth for Climate“ im Zusammenhang stehen.
Aktivist:innen der Umweltgruppe hatten sich laut einem Bericht des französischsprachigen linken Blogs Secours Rouge bei Hausbesetzungen in Paris engagiert. Im Zusammenhang mit der Besetzung ermittle die französische Polizei wegen Diebstahl, Sachbeschädigung und Hausfriedensbruch. Da „Youth for Climate“ über einen ProtonMail-Account kommuniziert haben soll, erging über Europol eine Anordnung zur Herausgabe von Informationen an den Anbieter. Inzwischen berichten auch US-amerikanische Medien über den Fall, der am sicheren Image des Anbieters kratzt.
ProtonMail-Gründer findet Fall „bedauerlich“
ProtonMail-Gründer Andy Yen bestätigte auf Twitter, dass der Anbieter Informationen über seine Nutzer:innen herausgegeben hat. Auf Basis eines Rechtshilfeabkommens hätten die Schweizer Behörden die Anfrage aus Frankreich an ProtonMail übermittelt. Es sei „bedauerlich“, dass juristische Mittel, die für ernste Verbrechen geschaffen worden seien, auf diese Art verwendet würden. Aber der Anbieter sei nach Schweizer Recht gezwungen, die Informationen herauszugeben und es sei auch nicht möglich, sich dagegen juristisch zu wehren.
Es handelt sich nicht um den einzigen Fall, in dem ProtonMail ähnliche Anordnungen von Behörden erhalten hat. Nach Angaben des firmeneigenen Transparenz-Reports erhielt der Anbieter allein im Vorjahr mehrere tausend Anfragen hauptsächlich von Schweizer Behörden, in 750 Fällen wehrte sich ProtonMail dagegen vor Gericht. Gründer Yen betont, IP-Adressen von Nutzer:innen speichere der Anbieter nicht automatisch, sondern lediglich dann, wenn es eine entsprechende Anordnung der Behörden gebe. In diesem Fall würden Betroffene entsprechend des Schweizer Rechts darüber informiert. Wer sich davor schützen wolle, könne einen VPN-Dienst oder TOR-Browser verwenden.
Offen blieb zunächst, welche Informationen außer der IP-Adresse ProtonMail an die französischen Behörden weitergegeben haben könnte. Bei den weiteren Daten, die laut dem Blog Secours Rouge übermittelt wurden, könnte es sich nach Spekulationen eines Sicherheitsexperten um einen sogenannten Push-Token handeln. Das sind Buchstabenabfolgen aus ein paar dutzend Zeichen, die bestimmte Gerätekonfigurationen identifizieren. Dieser technische Fingerabdruck kann dabei helfen, Geräte einzelne Nutzer:innen zu identifizieren.
Update vom 6. September 2021: Nach Veröffentlichung des Artikels hat ProtonMail mit einer Stellungnahme auf den Vorfall reagiert. Demnach will der Anbieter künftig auf seiner Webseite transparent machen, welche Verpflichtungen er nach Schweizer Recht gegenüber Strafverfolgungsbehörden hat. Nutzer:innen, die bei der Verwendung ihre E-Mail-Kontos anonym bleiben wollen, rät ProtonMail zur Verwendung eines Tor-Browsers.
Aber wenn man einen Mail-Server von seiner heimischen DSL-Leitung betreiben will, bleibt man in jedem Spam-Filter hängen.
Wenn ich das richtig verstehe, haben Sie keine historischen Daten herausgegeben, sondern wurden nur dazu gebracht, ab einem bestimmten Zeitpunkt die Daten aufzuzeichnen.
Außerdem wurden die Nutzer darüber informiert.
Zumindest verstehe ich den englischen Artikel auf der ProtonSeite so.
Dann fände ich diesen Artikel hier ein wenig zu reißerisch.
Und für jeden Datenschutzsuchenden ist die Verwendung von VPN und/oder Tor sowieso obligatorisch.
Also lassen wir die Kirche im Dorf. Sagt mir, welche Anbieter warum sicherer ist und ich wechsle. Aber bis dahin…
1. Stand das in der französischen Version wohl überhaupt gar nicht drin.
2. Ist damit trotzdem das Hauptversprechen gebrochen worden.
Die einfachste Erklärung ist die Erteilung einer Auskunft und nicht eine Überwachung:
https://steigerlegal.ch/2021/10/02/protonmail-ip-adressen-auskunft/
Verstehe nicht wo das Problem ist?
Der Anbieter hlt halt die Gesetze ein, sollte doch wohl klar gewesen sein, dass das passiert.
es geht nicht um das einhalten oder nicht-einhalten von gesetzen durch den anbieter, sondern es geht darum, dass es auch in der vergangenheit immer wieder anbieter gab die groß mit anonymität und datensparsamkeit („datenminimalismus“) geworben haben, und wo es sich dann herausgestellt hat dass eine unnötige vielzahl an daten systematisch gesammelt und freigiebig weitergereicht wurden. man muss nun schauen ob es sich hier genau so verhält.
Das erinnert an eine Geschichte von 2018, die, wieso auch immer, nur noch im Internet Archive zu finden ist:
http://web.archive.org/web/20190622224436/https://steigerlegal.ch/2019/05/23/protonmail-echtzeit-ueberwachung/
Das Problem hier ist nicht, dass IP-Adressen weitergegeben wurden. Es ist auch zweitrangig, wie diese gesammelt wurden (ob generell geloggt wird oder zeitweise auf Anordnung hin aufgezeichnet wurde, ist eher ein technisches Detail, das Betroffene hinterher wohl weniger interessiert). Das Problem ist, dass solche Läden regelmäßig prominent mit „Privatsphäre“ werben. Otto Normalnutzer denkt dann ggf. „oh, super, dann nehm‘ ich den Laden“. Als Laie kann man schwer beurteilen, wie weit es mit den Angaben her ist.
Das Problem wird auch als „false sense of security“ oder auf Deutsch „falsches Sicherheitsgefühl“ bezeichnet. Ich wähne mich sicher, obwohl es Angriffsflächen gibt, solange ich der Werbung vertraue und/oder technischer Laie bin, der solche Versprechen nicht bewerten kann.
Es ist begrüßenswert, dass die jetzt Hinweise rausgeben, dass Tor vielleicht eine gute Idee wäre, da sie technisch in der Lage sind (und scheinbar sein müssen), um eben IP-Adressen aufzuzeichnen und die bestimmten Nutzern zuzuordnen. In DE gibt es auch Beschlagnahmeverfahren für Postfächer etc. Gute Anbieter weisen auf solche Geschichten hin und geben Transparenzberichte ab.
Abseits davon: könnt ihr bitte Twitter datenschutzsparsam einbinden (Heise hatte da ja mal was entwickelt) oder zumindest einen Direktlink mit angeben? Ersteres wäre natürlich die bevorzugte Lösung. Da Tweets oft als Quelle herhalten und privatsphäreorientierte Nutzer nicht jedes Mal die Twitter-Datenschutzerklärung prüfen und abnicken wollen müssen, wäre es super, wenn diese Inhalte ohne solche Barrieren stattfinden könnte. (Könnt ihr gerne aus dem Kommentar löschen.)
P.S.: Es ist immer herrlich, zu sehen, wie viele Herausgabeaufforderungen von Behörden an Mailbox.org oder Posteo einfach schon aus Formgründen abgelehnt werden können und müssen…
Protonmail wirbt mit Sicherheit für die E-Mail Kommunikation.
Wer anonym sein will, muss Tor Onion Router nutzen. Das steht auch auf der Protonmail Webseite und dafür bietet Protonmail einen Tor Onion Service (v3).
Protonmail tut, was möglich ist und bietet die Möglichkeiten, den Dienst anonym zu nutzen. Aber ein bisschen muss der Nutzer auch mitarbeiten.
Über Tor kann man zwar den Dienst nutzen aber beim Erstellen eines accounts muss man dann eine Mobilfunknummer angeben… Protonmail ist genauso fürn Arsch wie die meisten anderen Anbieter
Mailbox.org und Posteo verlangen keine Stammdaten (auch nicht über Tor), kosten aber dafür Geld. Wie bei allem im Leben, there is no free lunch. Muss jeder selbst entscheiden, ob man mit persönlichen Daten „bezahlt“, oder mit Geld…
Wobei beim „mit Geld zahlen“ idR irgendwie/irgendwo/irgendwann auch immer Personendaten hängen bleiben. Bitcoin&cetera sind schlecht geeignet (teuer, umständlich) für regelmäßige Zahlungen.
Bei Posteo.de kannst du auch anonym bezahlen.
mailbox.org bietet auch die Bezahlung via Geldumschlag:
„Wenn Sie möchten, können Sie Ihr Guthaben auch durch einen anonymen Brief mit Euro-Banknoten aufstocken. Dabei können wir natürlich keine Haftung übernehmen, falls Ihr Brief auf dem Postweg verloren geht.“
Eine 100%ige Anonymität ist m.E. im Internet nicht wirklich machbar, will man am öffentlichen Leben in irgendeiner Form noch interaktiv teilnehmen.
Zudem wäre es sehr verdächtig, wenn heute ein Mensch der etwas zu sagen hat keinen! oder nur einen schwer auffindbaren Fingerabdruck im Netz hat. Nichts preiszugeben malt Dir eine riesige Zielscheibe auf den Bauch. Ergo gib ihnen was sie suchen und das Dir wenig Unbehagen bereitet und Du gehst in der Anonymität der Masse unter. Für alles andere sucht man sich Profis, die einem dabei helfen das zu verbergen was wirklich wert ist verborgen zu bleiben. Würde man von Lieschen Müller, die freizügig täglich über Banalitäten ihres Leben twitterte und posted erwarten, das sie irgendwo in der Welt einen hochsicheren eMail Server betreibt und VPN und Tor Browser nutzt?
Wenn die einzige technisch noch effektive Möglichkeit sich gegen Werbetracking zu schützen (Tor) einen verdächtig macht, trage ich die Zielscheibe mit Freuden auf meinem Bach.
Ich habe nichts zu verstecken, aber auch nichts zu erzählen.
Komisch, dass Polizei und Ermittlungsbehörden bei rechtsextremen Terror und Morddrohungen von Neonazis nie so einen fleißigen Aktionismus an den Tag legen….da heißt’s meist am Ende „Ermittlungen eingestellt“.
Aber wehe ein paar Klimaaktivisten begehen so wilde Dinge wie „Sachbeschädigung und Hausfriedensbruch“, dann dreht der Staat auf und wischt sogar Grundrechte ohne zu zögern beiseite.
Der eigentliche Skandal liegt darin, dass die französischen Ermittlungsbehörden – wieder einmal – die Antiterror-Gesetze missbrauchten, um harmlose Rechtsverletzungen von Klimaaktivisten zu verfolgen. Und dass die Schweizer Justiz sich nicht gegen diesen Missbrauch gewehrt hat. Ob sie nicht konnte oder nicht wollte, wer weiß das schon. :-(
Wer sicher verschlüsselte und anonyme E-Mail möchte, findet vielleicht auch diese beiden Anbieter interessant:
https://tutanota.com/de/ und https://lavabit.com/
Tutanota gibt es in deutsch (abgesehen vom Transparenzbericht) und wahlweise kostenlos. Man kann es nicht per IMAP/SMTP benutzen, sondern nur per Browser oder eigenem Mail-Client. Beim bezahlten Konto (12€ pro Jahr) kann man sich Benachrichtigungen an eine andere Adresse schicken lassen, was ich ganz praktisch finde. Bezahlen der Rechnung ist anonym möglich.
Lavabit ist die Neuauflage des Dienstes, der durch Edward Snowden bekannt geworden ist. Die US-Behörden wollten Snowdens Daten haben. Da die Macher von Lavabit wegen des NSL nicht einmal den Betroffenen oder gar die Öffentlichkeit über dieses Ansinnen informieren durften, haben sie schließlich die Notbremse gezogen und den Dienst lieber komplett eingestellt, statt Daten herzugeben. Dann haben sie, finanziert per Crowdfunding (zu dem auch ich beigetragen habe), ein neues System entwickelt, das nun sämtlichen Begehrlichkeiten der Behörden Stand halten sollte. Lavabit kann man per normalem E-Mail Client (IMAP/SMTP) nutzen. Es kostet 30$ (US) pro Jahr.
Die Schweiz ist mMn nicht als Standort geeignet, wenn es mir um Privacy geht. Der Standort lebt vom Nimbus der Neutralität, für den es mMn keinen Grund gibt.
– BÜPF
– GDPR-konformes Datenschutzrecht, aber lächerliche Höchststrafen
– NDB ignoriert die Schweizer Gesetze ohne Konsequenzen und hängt am Tropf der verbündeten westlichen Geheimdienste
– Rechtssicherheit kann man sich in der Schweiz als Ausländer kaufen….ist halt ein bissle teurer
Potonmail war mal gut. Support nur in Englisch und arbeiten mit der Regierung zusammen. Kann ich nicht empfehlen!
wünsche mir bei Anbietern die Philosophie von CTEMPLAR