Keine große Überraschung: Die WashingtonPost hat auf Basis von Edward Snowden geleakten Dokumenten herausgefunden, dass die NSA im großen Stil im Rahmen ihrer heimlichen globalen Vorratsdatenspeicherung Adressbücher von eMail-Konten und Kontaktlisten („Buddy-Lists“) von Instant-Messenger-Konten kopiert und speichert: NSA collects millions of e-mail address books globally.
Laut einer zitierten NSA-Folie soll die NSA-Abteilung „Special Source Operations“ an einem einzelnen Tag im vergangenen Jahr 444,743 eMail Adressbücher von Yahoo, 105,068 von Hotmail 82,857 von Facebook, 33,697 von Gmail und 22,881 von nicht näher genannten anderen Diensten kopiert haben. Jeden Tag sollen laut der Folie 500.000 Buddylists von Instant-Messanger Diensten kopiert werden. Wer sich wundert, warum Yahoo da so groß ist: Yahoo.com hat in den USA noch einen relevanten Marktanteil und ist in aller Welt beliebt, auch unter politischen Aktivisten. (Andere Theorie bei Golem: Yahoo hat erst heute SSL angeschaltet und es sehr einfach gemacht.)
Die Unternehmen bestreiten natürlich jede Mitarbeit. Wie wir mittlerweile wissen, dürfen sie über mögliche Kooperationen (z.B. im Rahmen von PRISM) nicht reden und müssen wahrscheinlich ihre SSL-Schlüssel an die NSA liefern, so dass diese bequem den kompletten Datenverkehr abschnorcheln kann.
Adressbücher sind oft spannender als reine Telefon-Verbindungsdaten, welche die NSA ebenfalls heimlich speichert, weil sie zusätzlich zu Telefonnummern und Kontaktpartnern noch diverse weitere Datensätze wie Adressen enthalten.
Wenn Ihr Euch mal gefragt habt, warum soziale Medien oftmals Eure Adressbücher sammeln wollen und wer was man mit diesen Daten noch anstellen möchte: Bingo.
War erst wegen des „E-Mail“ im Titel verwirrt. Es hat also nichts mit Mail zu tun, sondern geht um die Adressbücher z.B. bei Google-Accounts. Die nimmt man auch für Messenger oder Telefonate.
Tja, wer hätts gedacht?
Selbst Piraten sind ja bei Facebook und Co. Man sollte einfach mal das Zeug nicht mehr nutzen, und auf IRC und solches ausweichen. Darum ist Anonymität im Internet ja auch so wichtig.
mein Vorredner bestätigt nur die Einstellungen und Reaktionen aus meinem Bekanntenkreis.
„Das war doch eh klar“ oder „Wusste ich doch vorher schon“
Ausweichen auf IRC und Konsorten ist definitiv ne Möglichkeit,
aber nicht an sich massenkompatibel.
Was der Bauer nicht kennt…so nach dem Motto leider.
Denke trotz der NSA Affäre und deren Konssequenzen für so ziemlich jeden Einzelnen, wird sich einfach NICHTS ändern. Die Leute werden bei FB etc weiter bleiben und die NSA wird weiterhin spionieren.
was mir geholfen hat:
http://www.nur-nachrichten.de/NSA
gilt das auch für Whattsapp ? Das wäre ja eine Goldgrube, weil durch diese App ja sämtliche Telefoneinträge aller whatsapp-Nutzer dann bekannt sein dürften.
Ach, Markus, dieser Beitrag ist leider nicht auf Deinem üblicherweise hohem Qualitätsniveau. Das Buch scheint mehr von Deiner Zeit zu verschlingen als geplant.
Golem hat in diesem Fall doch etwas gründlichere Arbeit geleistet – http://www.golem.de/news/nsa-affaere-taeglich-hunderttausende-kontaktadressen-gesammelt-1310-102133.html .
Deren Schlüsse zur Wirksamkeit der SSL-Verschlüsselung sind geradezu diametral von Deinen unterschiedlich. Ganz von der Tatsache abgesehen, dass beim Einsatz von PFS der „abgeschnorchelte“ Datenstrom auch bei Kenntnis des privaten SSL-Schlüsseln nicht zu entschlüsseln ist – Da hilft nur ein MiM-Angriff, welcher sehr einfach zu detektieren wäre.
In Anbetracht des riesigen Aufwands, nach nutzbaren Daten an Seekabeln zu suchen, habe ich langsam doch das Gefühl, dass die NSA doch nicht so einfach an die Datenbanken von Google & Co ‚ran kann.
PS – nimm das bitte als konstruktiven Meinungsbeitrag und mach mit der guten Arbeit weiter.
Danke für den Hinweis, mit Yahoo hat Golem tatsächlich die besseren Argumente gefunden. Aber nutzen alle anderen Diensten denn PFS (außer Google)?
Jetzt wollte ich doch grad auf Netzpolitik suchen, da ich das Gefühl hatte dort eine Übersichtstabelle gesehen zu haben. :-o
Aber nein, von den großen Webmail-Anbietern ist wohl nur Google Elliptic Curve Diffie-Hellman dabei. 1024Bit DH fordert wohl die doppelte Serverleistung gegenüber Verbindungen ohne PFS. Das von Google verwendete 1024bit/192bit ECDH braucht immerhin noch ein Drittel mehr Serverleistung. Das scheint für die Anderen nicht finanzierbar zu sein.
Ob die FIPS 140-2-Direktive, die den Einsatz von PFS an Amerikanischen Behörden verbieten soll, damit etwas zu tun hat, kann ich nicht sagen – die Webseite der NIST ist ja bis auf weiteres abgeschaltet.
Leider ist der MitM-Angriff ist nicht erkennbar, wenn der Angreifer den privaten Schlüssel des Dienstes benutzt.
Was ist eigentlich wenn man eine E-Mail-Adresse über eine eigene Domain (eigene Website etc.) laufen lässt und sein Adressbuch lediglich in seinem E-Mail-Client auf dem eigenen Computer angelegt hat?
Ich hab eine eigene Website mit Domainname bei 1&1 und verwalte meine Mails die hierüber gehen eigentlich fast ausschliesslich mit Thunderbird, nur ab und zu greife ich auf das Webmail-Interface von 1&1 zu.
Ein Adressbuch, das du in Thunderbird auf deinem Computer anlegst, verlässt diesen nicht. Wozu auch.
Natürlich nur solange niemand per Trojaner in deinem Rechner sitzt und du keine Backups in die Cloud lagerst. Hat Mozilla da nicht sogar eine eigene gebaut…?
haben die da überhaupt noch zeit dafür? die sind doch die meisten zeit beschäftigt, sich gegenseitig auszuschnüffeln.
Wir sollten aber bei all der Diskusion um Email, und warum man wie welche Dienste nutz nicht vergessen, dass es in erster Linie legitim ist solche Dienste zu nutzen, ABER es völlig illegitim das gestohlen und misbraucht werden. Die User sind nicht dumm, sondern Opfer von Verbrechen.
Die Ausweichreaktionen sollten lediglich Notwehrreaktionen sein. Es gilt die Ursachen zu bekampfen.
Meine Vorschläge zu dem Thema:
1.) Benutzt so Dienste wie RISEUP.NET
2.) Anstatt Mails im Klartext zu schreiben oder zu verschlüsseln (weil das bei weitem nicht jeder kann und die die es können es nicht machen) sollte man diese lieber – wie der VerfaSSungSSchutz es macht – einfach im Anhang schicken in ner Word Datei oder so. So können die Hurensöhne von NSA BND & Co. nicht nach Wörtern filtern weil keine angegeben sind und dass die in Dokumenten suchen können ist mir bis dato nicht bekannt – lasse mich gerne eines besseren belehren
3.) Benutzt „James Bond“ Nachrichten die sich nachm Lesen selbst zerstören:
https://privnote.com
4.) Und soweit es geht Wegwerf Mails hier ne nette Sammlung von mir zusammen gestellt
http://pastehtml.com/view/bwze16aif.rtxt
An der Stelle eine Bitte: Kann mir bitte jemand einen EINZIGEN Link sagen wo man PGP DIREKT runterladen kann. Überall sind NUR Querverweise und die offizielle Seite bietet nur alte Versionen an oder gar keine und im Endeffekt führt alles zu Symantec weil die das aufgekauft haben aber auch dort findet man NICHTS !