ForscherInnen des Citizen Lab an der Universität von Toronto in Kanada suchten seit Dezember nach Signaturen von Überwachungs-Hardware der Firma Blue Coat, und wurden fündig. Unter anderem durch die Suchmaschine Shodan fanden sie 377 solcher Geräte weltweit, 61 davon in den öffentlichen oder von Regierungen bereitgestellten Netzwerken von Ländern, deren Wahrung der Menschenrechte und Meinungsfreiheit zumindest bezweifelt werden können.
Eines der Produkte, Blue Coat ProxySG, wird auf der Webseite des Unternehmens beworben als Möglichkeit für „die flexible richtlinienbasierte Überwachung und Steuerung von Daten, Benutzern, Anwendungen und Protokollen“. Das zweite Device, dass das Citizen Lab entdeckte, ist der PacketShaper. Dieser sei „eine einzigartige, modulare All-in-One-Lösung, mit der Sie Anwendungen im gesamten Netzwerk überwachen, steuern, komprimieren und beschleunigen können“, wirbt Blue Coat. Gefunden wurde der ProxySG in Ägypten, Saudi-Arabien, Kuwait, Katar und den Vereinigten Arabischen Emiraten, der PacketShaper in Afghanistan, Bahrain, China, Indien, Irak, Kenia, Kuwait, Libanon, Malaysia, Nigeria, Katar, Russland, Saudi-Arabien, Südkorea, Singapur, Thailand, Türkei und Venezuela.
![Planet Blue Coat - 2013](https://cdn.netzpolitik.org/wp-upload/planetbluecoat-1024x550.jpg)
2011 hatten ForscherInnen, unter anderem vom Citizen Lab, herausgefunden, dass die Technik von Blue Coat in Syrien sowie Burma zur Filterung des Internets eingesetzt wurde. Blue Coat hatte eingeräumt, dass ihre Technik in Syrien angewendet würde, diese sei jedoch von Dritten dort eingeführt worden, da das Unternehmen keine Geschäftsbeziehungen mit Syrien habe. Zu den neuen Befunden hat sich Blue Coat bisher nicht geäußert.
Die ForscherInnen zeigen mit dieser Arbeit wieder einmal, dass die Verbreitung von Techniken zur Überwachung und Filterung zu wenig kontrolliert wird. Denn, auch wenn der Einsatz in Demokratien oftmals bereits diskussionwürdig ist, sind solche Techniken in den Händen repressiven Staaten eindeutig Mittel zur Verletzung der Menschenrecht und der Meinungsfreiheit, die so auch genutzt werden. Schließlich ist der Unterschied zwischen Internet in Diktaturen und Deutschland nur eine Konfigurationsdatei.
One of the key goals of the debates surrounding dual-use technologies is to determine a method of crafting effective controls on such technology that simultaneously limit its sale and deployment for purposes that negatively impact human rights, while protecting those uses that serve legitimate purposes and result in benefits to society. Such an approach requires an understanding of the likely end use of the technology in any given scenario, as well as carefully crafted legal and regulatory language to prevent over- or under-inclusiveness by companies when assessing whether particular products and services fall within the scope of controls.
Exportkontrollen, wie sie bei Netzpolitik.org für Gamma FinSpy gefordert wurden und werden, halten die ForscherInnen des Citizen Lab für eine, wenn auch nicht ihre präferierte Lösung. Es brauche vielmehr eine Kombination von Exportkontrollen, klar formulierten Richtlinien, Selbstregulierung und Corporate Social Responsibility, um zu verhindern, dass durch neue technische Möglichkeiten der Überwachung eine Verletzung der Menschenrechte stattfinde.
Mehr zum Hintergrund ihrer Forschung, der Herangehensweise, methodischen Umsetzung und den Ergebnissen gibt es bei den ForscherInnen vom Citizen Lab sowie zu den einzelnen Staaten nochmal hier.
Die Wahl der Farben ist etwas ungeschickt.
In den dunkelgrauen Ländern wurde auch was gefunden? Dann ist fast ganz Europa betroffen!
Die Dinger stehen überall rum. Die Frage ist, was man damit macht und warum. Zudem gibt es verschiedene Techniken und Einstellungen. Dual Use halt — zwischen Traffic Shaping und SSL sperren ist nur ein schmaler Grad.
Etwas brutaler formuliert: Die Geräte wurden schon mit unserem Geld gekauft und stehen vor Ort. Nun muss man dafür sorgen, dass sie nie so wie in ca 61 Ländern zur Unterdrückung genutzt werden.
Blue Coat ist ein Hersteller weit verbreiteter Produkte im Proxybereich. Dass der Proxy naturgemäss die Anwender prüft und damit überwacht, ist klar. Das tut er übrigens in allen Ländern, auch in den westlichen, welche angeblich weniger überwachen. Was mit den Komponenten gemacht wird, hängt von den Anwendern ab. Sehr viele Firmen nutzen die Proxies von Bluecoat oder den seit einiger Zeit in den Proxies integrierten und früher selbständigen Packetshaper. SSL-interception ist ebenfalls möglich.
Wenn eine Firme z.B. die ihr von den Angestellten anvertrauten Informationen vor Weiterverbreitung schützen will, müsste sie theoretisch jeden Informationsfluss nach aussen überwachen, einschliesslich der SSL-Interception. Das beträfe dann aber auch private Bankverbindungen von Angestellten, sofern sie aus dem Firmennetz initiert werden. Wie an vielen Stellen des gesellschaftlichen Miteinanders stellt sich auch hier die Frage nach der Verwendung des technisch Möglichen. Sichere ich die persönlichen Daten meiner Mitarbeiter oder schnüffle ich in ihren privaten Kommunikationen herum? Sprenge ich mit TNT einen Felsen weg, um eine Strasse zu bauen oder jage ich einen Kindergarten in die Luft. Jede Regierung dieser Welt hat im Moment die Tendenz, seine Bürger zu überwachen und die Bürger lassen sich mit dem Argument Sicherheit einlullen.
Wir brauchen weniger Exportkontrollen als Kontrollen der eigenen Regierung. Diese sind mit viel zu viel Geld und intransparenten Kompetenzen ausgestattet. Der brave Steuerskalve zahlt mit der GEZ-Gebühr seine eigene Verblödung und Indoktrination und mit seinen Steuern seine eigene Überwachung. Erst, wenn die Mehrheit der Bevölkerung anfängt, wieder Verantwortung für das eigene Leben zu übernehmen, Gesundheit, Ernährung, Informationen usw., wird man die gegenwärtige Tendenz Richtung 1984 umkehren können. Die reine Panik, welche in manchen Beiträgen durchklingt, kommt mir wie die naive Sehnsucht nach einer ehtischen Gesetzgebung vor.