Anna Biselli
Foto: Darja Preuss
-
: Mitmachen erwünscht: Wer blockiert heute noch die Nutzung von Passwortmanagern?
: Mitmachen erwünscht: Wer blockiert heute noch die Nutzung von Passwortmanagern? WIRED appelliert in einem Artikel an die Betreiber von Webseiten, die es verbieten, Passwörter in Eingabefelder zu kopieren und damit effektiv verhindern, dass Menschen starke Passwörter und Passwortmanager nutzen, denn wer tippt schon über 20 Zeichen mit Sonderzeichen mehrmals täglich per Hand ein? Die Argumente der Seitenbetreiber sind dürftig: Es werden „manche Formen von Malware verhindert“, oder „Brute-Force-Angriffe“ und „Passwort-Phishing“. Ein Urteil, ob es einen Brute-Force-Angriff nicht einfacher macht, wenn der Nutzer stattdessen Trivialpasswörter nutzt, am besten noch auf mehreren Seiten gleichzeitig und ob es hilft, dass auf einer gefakten Webseite das Passwort per Hand eingegeben statt kopiert wird, überlassen wir euch.
Aber der Artikel vermeldet auch Positives: T‑Mobile habe noch letzte Woche den Kunden-Login mit Copy-Paste verhindert. Nach der Aufforderung eines Kunden, das zu ändern, ist das Problem nun gelöst. Es werden noch weitere Seiten wie Barclaycard und Western Union erwähnt. Daher hatten wir eine Idee: Welche Seiten blockieren eures Wissens nach die Passwortmanagernutzung? Schreibt sie in die Kommentare und versucht, euch aktiv an die Seiten zu wenden. Und wenn sie euch Scheinbegründungen liefern, teilt sie uns mit!
-
: Heiko Maas im Ausreden-Interview zur Vorratsdatenspeicherung: „Das muss nicht immer rational sein – aber es ist so.“
: Heiko Maas im Ausreden-Interview zur Vorratsdatenspeicherung: „Das muss nicht immer rational sein – aber es ist so.“ In der taz gibt es heute ein Interview mit
JustizVorratsdatenspeicherungsminister Heiko Maas, in dem die Ausredensucherei des Herrn Maas beispiellos ist. Maas hat das Problem, früher vermeintlicher, vehementer Vorratsdatenspeicherungsgegner gewesen zu sein und das auch zu vielen Gelegenheiten kundgetan zu haben. Bekommt er diese Aussagen vorgehalten, wiederholt er stets das gleiche in leicht abgewandelten Worten:Es ging damals um eine Vorratsdatenspeicherung, wie sie sich die Sicherheitspolitiker stets gewünscht haben – also deutlich mehr Daten speichern und längere Speicherfristen. Für eine solche sah ich keine Grundlage – und die ist auch so nicht geplant.
Unterlegt wird das Argument mit der Begründung, man habe ja viel kürzere Speicherdauern und weniger Daten als damals gefordert. Das kürzere Speicherdauern noch keinen Generalverdacht beseitigen und die Speicherausnahme für E‑Mails nun das war, was getan werden musste, um nicht explizit gegen das EuGH-Urteil aus dem April 2014 zu verstoßen – nicht so wichtig. Minister Maas zeigt sich zufrieden, sagt, er habe keine Angst, dass das kommende Gesetz gekippt werde.
Manchmal verstrickt er sich in seinen Ausreden, an einer Stelle wird das besonders deutlich. Gefragt danach, warum er nicht dabei mitgemacht habe, in der SPD Widerstand gegen die Vorratsdatenspeicherung zu organisieren:
Ich habe gemerkt – nicht nur in der Politik, auch in der Bevölkerung -, dass im Lichte eines solchen Ereignisses [Red: Charlie Hebdo] Sicherheitsargumente plötzlich an Schlagkraft gewinnen. Das muss nicht immer rational sein – aber es ist so.
Aha, es muss also nicht immer alles rational sein. Das finden wir ja auch, aber nicht, wenn es um die massenhafte Verletzung von Grundrechten der Bevölkerung geht. Gefühlte Sicherheit ist Herrn Maas jedoch wichtiger. Aber er hat ja bereits vorher zugegeben, dass er die Notwendigkeit einer Vorratsdatenspeicherung nicht beweisen kann. Vielleicht sollte er aber auch nochmal schauen, ob die oben herangezogene Bevölkerung überhaupt auf die Erhöhung der simulierten Sicherheit durch mehr Vorratsdatenspeicherung wertlegt. Denn 53 Prozent der Menschen wären laut einer Spiegel-Umfrage aus dem Juni 2015 gar nicht bereit, „zum Schutz vor Terrorismus“ eine „Verschärfung von Sicherheitsgesetzen und Maßnahmen wie die Vorratsdatenspeicherung […], die Freiheitsrechte einschränken können“, hinzunehmen.
-
: Netzpolitischer Wochenrückblick KW30: Alles macht Sommerpause, aber die Überwachung nicht
cat drinking water : Netzpolitischer Wochenrückblick KW30: Alles macht Sommerpause, aber die Überwachung nicht Willkommen zum netzpolitischen Wochenrückblick für die 30. Kalenderwoche. Die Temperaturen machen uns in unserem Dachgeschoss-Büro zu schaffen, aber wir versuchen, dran zu bleiben, während die Politik vielerorts Sommerpause macht.
Trotz besagter Sommerpause wird es um eines nicht ruhig: den NSA-Untersuchungsausschuss. Zuerst bot sich Julian Assange dem Ausschuss als Zeuge an, kurz darauf wurden auf Wikileaks weitere Selektoren veröffentlicht, die das Auswärtige Amt im Ziel der NSA-Spionage zeigen. Ob eine Befragung Assanges realistisch ist und ob sie vielleicht genauso blockiert wird wie eine Vernehmung Snowdens, wird sich zeigen, wenn der Bundestag im September seine Arbeit wieder aufnimmt.
In der Zwischenzeit wird sich der neu eingesetze Sonderbeauftragte für die NSA-Selektorenprüfung mit den Listen an NSA-Spionagezielen beschäftigen. Leider verwehrt die Regierung den Mitgliedern des NSA-Untersuchungsausschusses, sich selbst ein Bild zu machen und verlangt sogar von Graulich, dass er nicht ins Detail geht, wenn er seine Erkenntnisse später wiedergeben wird. So wird das nichts mit der Aufklärung. Dass Graulich bei seiner Arbeit im BND-Neubau sitzt und von Mitarbeitern des selbigen unterstützt wird, lässt wenig Optimismus aufkommen.
Unterdessen hatten wir selbst mal die Liste mit den Selektoren per Informationsfreiheitsanfrage beantragt. Dass die Herausgabe abgelehnt werden wird, war uns natürlich klar, aber manchmal enthalten ja auch die Ablehnungsgründe spannende Informationen. Diesmal im Argumentationsbaukasten: Eine Herausgabe beeinträchtige eine „vertrauensvolle Zusammenarbeit“ mit den USA, Informationen, die geheimer als geheim sind und natürlich die Blanko-Ausnahme des BND von Informationsfreiheitsanfragen.
Auch der Wissenschaftliche Dienst des Bundestages hält wenig von der aktuellen Konstruktion des Sonderermittlers und sagt in einem Gutachten, der Untersuchungsausschuss darf eigentlich alle Akten lesen, die ein Ermittlungsbeauftragter bekommt. Darauf hören wird vermutlich niemand, aber bei der angekündigten Klage der Opposition könnte das nochmal nützlich werden.
Apropos Wissenschaftlicher Dienst: Nach vier Jahren, drei Instanzen und zuletzt einer Klage vor dem Bundesverwaltungsgericht hat der Bundestag jetzt auf eine Informationsfreiheitsanfrage das sogenannte UFO-Gutachten des Wissenschaftlichen Dienstes mit dem Titel „Die Suche nach außerirdischem Leben und die Umsetzung der VNResolution A/33/426 zur Beobachtung unidentifizierter Flugobjekte und extraterrestischen Lebensformen“ herausgegeben. Ende Juni wurde entschieden, dass die Gutachten des Wissenschaftlichen Dienstes per IFG zugänglich sein müssen, also: Startet eure Anfragen!
Einen weiteren kleinen Lichtblick gab es in Punkto Tracking auf staatlichen Websites. Dazu hatten wir recherchiert, herausgefunden, dass neun von den 35 untersuchten Trackingmechanismen nutzen, ohne eine Widerspruchsmöglichkeit zu geben und daraufhin die betreffenden Stellen angeschrieben. Das Bundesverwaltungsgericht hat sich die Kritik zu Herzen genommen und will baldig eine gut sichtbare Widerspruchsmöglichkeit einbauen.
Über ganz andere Formen von Tracking tauscht sich das BKA aus. Es hat an einer Europol-Konferenz zu neuen verdeckten Fahndungsmethoden teilgenommen, bei denen es darum geht, mit Peilsendern auch über EU-Binnengrenzen hinweg verfolgen zu können – bisher ist das durch unterschiedliche Soft- und Hardware der einzelnen Mitgliedsstaaten wohl ein Kompatibilitätsproblem.
Europol arbeitet in Punkto EU-weiter Überwachung außerdem an einer „Meldestelle“, bei der Webseiten oder Postings in Sozialen Medien aus dem „Phänomenbereich Islamismus“ gemeldet werden können und die dann an die Provider zur Löschung weitergeben werden. Die EU-Kommission hat aber auf Nachfrage herausgerückt, dass es keineswegs nur um bösen Terrorismus geht, sondern unter anderem auch Inhalte entfernt werden sollen, die eventuell Flüchtlinge anziehen könnten.
Und weiter gehts im Überwachungsausbau: Die Niederlande bereiten ein neues Geheimdienstgesetz vor, das zu – eigentlich überflüssig zu sagen – Ausweitungen der Überwachungskompetenzen führen soll. Ben niederländischen Geheimdiensten soll künftig erlaubt werden, unter gewissen Auflagen massenhaft Kommunikation mitzuschneiden, Verschlüsselung zu knacken und in IT-Systeme einzubrechen. Zudem dürfen die Geheimdienste erfasste Rohdaten an befreundete Dienste weitergeben, ohne das Material zuvor sichten oder filtern zu müssen.
In Großbritannien wird Panik geschürt, nachdem das Oberste Zivilgericht die im letzten Jahr verabschiedete britische Version der Vorratsdatenspeicherung für mit EU-Recht unvereinbar erklärt hat. Tausende Leben in Gefahr, vermisste Kinder, Selbstmorde. Ohne Totalüberwachung wird Großbritannien sicherlich zusammenbrechen.
Raus aus Europa, rein nach Pakistan wird das mit der Überwachung auch nicht besser. Aber keine Sorge, europäische Firmen helfen dem Staat dabei, eine Totalüberwachung einzurichten, die es ermöglicht, politische Oppositionelle noch besser zu unterdrücken. Ganz vorn dabei: Nokia Siemens Networks und Trovicor, ein Abkömmling der ersteren. Ein moralisches Empfinden, das kurz die Geschäftsinteressen in Relation zur stattfindenden Menschenrechtsverletzung setzt, sucht man vergeblich.
Man fühlt sich schon ein bisschen ohnmächtig gegen einen solchen riesigen Überwachungsapparat, was man aber tun kann, um seine eigenen Daten zu schützen und welche gesellschaftlichen und politischen Dimensionen der Angriff auf unsere Privatsphäre hat, beschreibt das linke Internet- und Technik-Kollektiv „Capulcu“ in zwei lesenswerten Broschüren.
Falls euch nach all den Nachrichten nur noch nach Kopfschütteln zu Mute ist, lest doch noch die letzten Twitter-Dialoge von Günther Oettinger, da könnte man wenigstens noch lachen, wenn es nicht so ernst wäre.
Ein schönes Wochenende!
-
: EU-Kommission verspricht, dass Datenschutzreform nicht hinter alte Direktive zurückfällt
: EU-Kommission verspricht, dass Datenschutzreform nicht hinter alte Direktive zurückfällt 66 NGOs aus aller Welt wie EDRi, der AKVorrat und die Digitale Gesellschaft haben im April den EU-Kommissionspräsidenten Jean-Claude Juncker in einem Brief aufgefordert, dafür zu sorgen, dass die kommende EU-Datenschutzgrundverordnung nicht hinter die Direktive von 1995 zurückfällt, was Datenschutzstandards betrifft. Nun haben sie Antwort von der Kommission bekommen, in der diese verspricht, diese rote Linie zu halten:
The Commission has been and will continue to be true to this commitment.
Das Zugeständnis ist bedeutsam, da in der EU im Moment die Trilogverhandlungen zwischen Rat, Parlament und Kommission stattfinden, in denen es um die letzten Unstimmigkeiten im Entwurf geht. Kräfte im Rat versuchen mit aller Kraft, Datenschutzstandards aufzuweichen, der Lobbydruck auf alle Institutionen ist enorm. Auch die Kommission hat sich an vielen Stellen nicht gerade als Datenschutzvorreiter hervorgetan, es bleibt also abzuwarten, wie ernst sie diese Zusicherung nimmt. Aber dann kann im Zweifel an ihr Versprechen erinnert werden.
-
: Pakistan baut Überwachungskapazitäten aus, Nokia Siemens Networks und andere helfen fleißig dabei (Update: Stellungnahme)
Nur ein Auszug der Firmen, die Pakistan mit Überwachungstechnik beliefern - aus <a href="">TIPPING THE SCALES: SECURITY AND SURVEILLANCE IN PAKISTAN</a> : Pakistan baut Überwachungskapazitäten aus, Nokia Siemens Networks und andere helfen fleißig dabei (Update: Stellungnahme) Privacy International hat Dokumente veröffentlicht, die zeigen, wie das Unternehmen Nokia Siemens Networks (NSN) den Verkauf von Überwachungszentren abstreitet, aber in Pakistan Überwachungsinfrastruktur aufgebaut hat – zusammen mit zwei alten Bekannten aus der Überwachungswelt, Trovicor und Utimaco.
Ziel der Zusammenarbeit, die zumindest bis 2011 belegt ist, war die Errichtung eines „Lawful Interception Management“-Systems der Firma Utimaco für den größten pakistanischen Mobilfunkanbieter Mobilink – wobei das Zutreffen des Adjektivs „lawful“ dahingestellt sei. Das System sollte unter anderem Überwachungsdaten an ein zentrales Überwachungszentrum in Islamabad weiterleiten.
Die Zusammenarbeit mit Trovicor, die mit der technischen Leitung des Projekts betraut war, ist kein Zufall. Trovicor ist de facto ein umbenannter früherer Teil von NSN, der bis 2009 Teil von NSN war, bis er an den Investor Perusa Partners Fund 1 LP verkauft und „Trovicor“ genannt wurde. Ganz scheint sich die Verbindung jedoch nicht gelöst zu haben, die Zusammenarbeit war eng. Vielmehr kann der Verkauf der Überwachungsabteilung als Image-Maßnahme betrachtet werden, nachdem NSN wegen Lieferungen an den Iran in die Kritik geraten war.
Dass man diese Vergangenheit gerne verdrängt, demonstrieren auch Antwortleitlinien für NSN-Mitarbeiter, die gebeten werden, zu verneinen, dass noch Überwachungstechnik vertrieben wird. Aus dem internen Dokument:
No we do not sell monitoring centres anywhere around the world. This is a business we exited
almost two years ago (March 2009).[…]
It is best to avoid getting into a discussion of the Intelligence Solutions business
Formal stimmt das, real kann man von Heuchelei und Schönfärberei reden. Doch NSN, Utimaco und Trovicor sind nicht die einzigen, die Pakistan bei der Totalüberwachung seiner Bevölkerung zur Seite stehen. Dabei sind auch Alcatel, Atis, Ericsson, Huawei und SS8.
Seit einigen Jahren haben sich die Überwachungskapazitäten Pakistans massiv ausgeweitet. Vertrauliche Kommunikation wird zu unterbinden versucht, alle Provider müssen Überwachungsschnittstellen bereitstellen. Grundrechte werden ausgehöhlt, da sie für die Arbeit von Polizei und Militär nicht gelten. Wo richterliche Anordnungen obligatorisch sind, werden sie selbst für fadenscheinige Argumente vergeben.
Was uns das Dokument zeigt: Pakistan weitet seine Kapazitäten aus, europäische Unternehmen helfen fleißig dabei. Und das obwohl immer gern betont wird, man liefere keine Überwachungstechnik an Staaten mit fragwürdigem demokratischen Verständnis. Glauben kann man das schon lange nicht mehr.
Update: NSN meldete sich mit der Klarstellung, keine Monitoring Center zu vertreiben. Die Integration von Lawful Interception in Kommunikationsequipment sei indes in fast allen Staaten der Welt vorgeschrieben und könne nicht verweigert werden. Gut, das bestreiten wir nicht. Die moralische Verpflichtung, nicht an jeden Kunden zu verkaufen, vor allem nicht, wenn offensichtlich ist, dass die Daten für die Verfolgung von Menschen mit nicht-staatskonformer Meinung benutzt werden, sehen wir trotzdem. Geschäftsinteressen sollten eine gesellschaftliche Verantwortung nicht obsolet machen.
-
: Prüfung der NSA-Selektoren beginnt, BND-Mitarbeiter „helfen“ dem Sonderbeauftragten Kurt Graulich
Wo der V-Mann die Selektoren lesen darf: BND-Neubau in Berlin. Bild: <a href="https://secure.flickr.com/photos/georgkroemer/">Georg Kroemer</a>. LIzenz: Creative Commons <a href="https://creativecommons.org/licenses/by-nc-nd/2.0/">BY-NC-ND 2.0</a>. : Prüfung der NSA-Selektoren beginnt, BND-Mitarbeiter „helfen“ dem Sonderbeauftragten Kurt Graulich Der Sonderbeauftragte für die Prüfung der Selektoren, mittels derer der BND der NSA Spionagehilfe leistete, hat seine Arbeit aufgenommen. Betraut mit der umstrittenen Aufgabe ist Kurt Graulich, ehemaliger Bundesverwaltungsrichter.
Graulichs Position entsprang aus der Weigerung der Bundesregierung, die Selektoren direkt an die Mitglieder des NSA-Untersuchungsausschusses zu geben, da sie die Geheimschutzvereinbarung mit den USA nicht verletzen will. Von einem Kompromiss durch die Einsetzung des Sonderbeauftragten kann aber keine Rede sein, denn die Mitglieder der Opposition sind hochunzufrieden, dass sie nicht selbst Einblick in die Selektorenlisten bekommen. Da Graulich den Abgeordneten nicht über Details aus seiner Prüfung unterrichten sollen darf, ist Intransparenz vorprogrammiert. Graulich selbst äußerte in einem Interview, dass er eng mit der Bundesregierung absprechen wolle, „[i]n welchem Umfang diese Erkenntnisse dann erläutert werden können.“
Strittig ist außerdem, wie gut es Graulich möglich sein wird, die komplexen technischen Zusammenhänge zu beurteilen. Dass ihm bei dieser Herausforderung BND-Mitarbeiter zur Verfügung stehen, trägt nicht zur weiteren Vertrauensbildung bei. Überdies machte Graulich deutlich, dass er sich darauf verlässt, was er vom BND vorgelegt bekommt:
Ich bin ja nicht als Detektiv beauftragt, daher gehören diese Dinge nicht zu meiner Kompetenz. Ich werde das analysieren, was man mir vorlegt. Ob es darüber hinaus eventuell noch Dinge von Interesse gibt, müssen andere klären.
Betrachtet man die Bemühungen des BND, so viel als möglich unter Verschluss zu halten, wirkt ein solcher mangelnder Ehrgeiz disqualifizierend für Graulichs Position, denn gerade jetzt wäre Hartnäckigkeit und Wille zur lückenlosen Aufklärung wichtiger denn je.
Es gibt die Hoffnung, dass die Oppositionsparteien vor dem Bundesverfassungsgericht auf Herausgabe der Selektorenlisten klagen werden. Bis dahin veröffentlicht Wikileaks munter weiter Teile der Selektorenlisten, die zeigen, dass etwa Bundesregierung und Auswärtiges Amt im Visier der NSA standen.
-
: Abhörziel Auswärtiges Amt: Wikileaks veröffentlich weitere Selektoren
: Abhörziel Auswärtiges Amt: Wikileaks veröffentlich weitere Selektoren Wikileaks hat erneut Selektoren veröffentlicht, die zeigen, wie die NSA deutsche Politiker ausgespäht hat, diesmal aus dem Auswärtigen Amt. Dabei ist auch Bundesaußenminister Frank-Walther Steinmeier, dem gleich zwei Nummern aus der Liste zugeordnet werden.
Zusätzlich zu den Telefonnummern wurde auch ein Überwachungsprotokoll publiziert, das ein Gespräch Steinmeiers mit einer unbekannten Gegenseite über CIA-Entführungsflüge und ‑Geheimgefängnisse zusammenfasst, in dem er sich über die Erleichterung bezüglich vager Äußerungen zu freuen scheint:
He seemed relieved that he had not received any definitive response from the U.S. Secretary of State regarding press reports of CIA flights through Germany to secret prisons in eastern Europe allegedly used for interrogating terrorism suspects.
In den vergangenen Wochen hatte Wikileaks bereits Informationen über 125 hochrangige Ziele aus Regierung und Wirtschaft veröffentlicht. Assange hat überdies dem NSA-Untersuchungsausschuss angeboten, auszusagen. Es ist also zu erwarten, dass uns in nächster Zeit noch mehr Enthüllungen über Selektoren bevorstehen.
-
: BND-Mann informierte Ex-NSAUA-Obmann Kiesewetter über Infiltration des Reservistenverbandes
: BND-Mann informierte Ex-NSAUA-Obmann Kiesewetter über Infiltration des Reservistenverbandes Zum 1. März trat der damalige CDU/CSU-Obmann im NSA-Untersuchungsausschuss, Roderich Kiesewetter, von seinem Posten zurück. Die Welt berichtet nun unter Berufung auf einen BND-Mitarbeiter, dies sei geschehen, weil ein Mitarbeiter des BND ihm im Oktober 2014 mitgeteilt habe, „dass zwei enge Vertraute im Reservistenverband auf unterer Stufe für den BND tätig seien.“
Die Information an sich über die BND-Leute im Reservistenverband ist bis dahin nichts Neues, schon im Februar hatte Kiesewetter, seines Zeichens Vorsitzender des Reservistenverbandes der Bundeswehr, solches bestätigt. Neu ist, dass die Welt behauptet, er sei explizit von einem BND-Mann benachrichtigt worden. Es wird außerdem ein Bezug zu Russland hergestellt:
Die Motive des BND-Mitarbeiters für die Unterrichtung Kiesewetters sind unklar. In Sicherheitskreisen wird vermutet, dass Russland diese Informationen gezielt über den Mann an Kiesewetter spielen ließ, um einen Befürworter der transatlantischen Zusammenarbeit der Geheimdienste im Untersuchungsausschuss unter Druck zu setzen.
-
: Assange will vor NSA-Untersuchungsausschuss aussagen und ungeschwärzte Selektoren mitbringen
Opposition will endlich keine Informationen mehr vorbehalten bekommen. : Assange will vor NSA-Untersuchungsausschuss aussagen und ungeschwärzte Selektoren mitbringen 
Vor etwa zehn Tagen hatte Wikileaks Dokumente veröffentlicht, die zeigen, dass das Kanzleramt bereits seit Jahrzehnten, mindestens seit der Amtszeit von Altkanzler Helmut Kohl, von der NSA abgehört wird. Es wurde dabei auch eine Liste an 56 Selektoren – mit vier geschwärzten Stellen – veröffentlicht, darunter Nummern der Kanzlerin und ihrer engsten Mitarbeiter. Doch die 56 Selektoren in dieser Liste scheinen nicht alles zu sein, was Wikileaks noch in der Hinterhand hat. Wikileaks-Gründer Julian Assange hat sich nun dem NSA-Untersuchungsausschuss angeboten. Er wolle aussagen und dem Ausschuss die ungeschwärzte Liste der Selektoren übergeben. Das geht aus einem Interview mit Assange hervor, das im aktuellen Print-Spiegel abgedruckt ist (Kurzzusammenfassung online).
Er berichtet auch davon, wer die Telefonnummern auf die Liste gesetzt habe:
James Clapper, der nationale Geheimdienstdirektor der USA. Es gab drei Bereiche, die im Visier der Dienste standen: wirtschaftliche Angelegenheiten, Nachrichtendienstliches und europäische Politikstrategien. Es ging explizit nicht um militärische Beobachtung, auch nicht um Spionageabwehr. Es ging darum, die deutsche Wirtschaft zu verstehen
Vor allem die Mitglieder der Opposition freuen sich über Assanges Vorschlag. Christian Ströbele, Mitglied für die Grünen im NSA-Untersuchungsausschuss, bezeichnet ihn als „hervorragendes Angebot“. Martina Renner von den Linken findet besonders im Hinblick auf die Weigerung der Bundesregierung, die Selektorenliste herauszugeben, „jedes Dokument wertvoll, das uns Massenüberwachung und illegale Spionage der NSA in Deutschland erläutert“.
Auch von der SPD gibt es positive Stimmen. Christian Flisek, Obmann der SPD im NSA-Untersuchungsausschuss, erklärte im Spiegel-Interview, er sei offen dafür, eine Befragung Assanges zu prüfen. Ob dem auch Taten folgen werden, muss sich noch herausstellen.
Seit im April dieses Jahres bekannt wurde, dass die NSA mithilfe des BND deutsche Ziele überwacht und ihm dafür Selektoren übergab, die offensichtlich nicht hinreichend geprüft wurden, dauert der Streit um die Herausgabe dieser Selektoren-Listen an. Von insgesamt 800.000 Selektoren, die im Rahmen der Operation Eikonal übermittelt wurden, war die Rede, wie viele dieser gegen „deutsche und europäische Interessen“ verstoßen haben ist noch unklar, aussortiert wurden nur wenige hundert.
Die Bunderegierung tut ihr Möglichstes dafür, die Herausgabe der Liste an die Parlamentarier zu verhindern. Die USA würden eine Herausgabe nicht erlauben, verkündete man gewohnt katzbuckelnd. Man konstruierte dann einen „Selektorenbeauftragten“, der sozusagen als Mittler Einblick in die Liste haben und Bericht erstatten soll. Die Oppositionsparteien freut das wenig, sie wollen vor dem Bundesverfassungsgericht klagen, denn es ist klar, dass der Beauftragte nicht wirklich für Transparenz sorgen wird: Er ist „zur Verschwiegenheit verpflichtet“ und soll nicht allzusehr ins Detail gehen.
Wie eine Befragung Assanges aussehen könnte, ist noch ungewiss, denn er kann die ecuadorianische Botschaft in London nicht verlassen, ohne festgenommen zu werden. Die Abgeordneten müssten also nach London fahren, vorher jedoch die Genehmigung der britischen Regierung einholen, Assange zu befragen.
Assanges Angebot stellt, wie auch all die anderen Leaks im Zusammenhang mit dem NSA-Untersuchungsausschuss, ein wichtiges Element dar, um das Informationsungleichgewicht zwischen Bundesregierung und Ausschuss nicht vollständig aus dem Ruder laufen zu lassen. Und um zu signalisieren, dass sich BND und Co. nicht ewig hinter ihren Lügen und ihrem Schweigen verstecken können, solange es einige gibt, die ihr Gewissen nicht zu ihrem Dienstantritt abgegeben haben. Und gleichzeitig sind sie ein Armutszeugnis an ebenjene, die trotz geheucheltem Aufklärungsinteresse immer noch alles tun, um die Ausschussarbeit zu behindern. Und an diejenigen, die weiterhin bestreiten, dass es einen Verdacht auf NSA-Spionage gebe, der zu Ermittlungen berechtige.
-
: IT-Sicherheitsgesetz hat Bundesrat passiert – Papiertiger ist verabschiedet
: IT-Sicherheitsgesetz hat Bundesrat passiert – Papiertiger ist verabschiedet Ohne großes Medienecho hat am Freitag das IT-Sicherheitsgesetz den Bundesrat passiert, nachdem es bereits im Bundestag angenommen wurde. Nun stehen nur noch die Unterzeichnung des Bundespräsidenten – in der Regel reine Formsache – und die Veröffentlichung im Bundesgesetzblatt an, bevor es endgültig in Kraft treten wird.
Das Gesetz soll zwar für mehr IT-Sicherheit bei Betreibern kritischer Infrastrukturen sorgen, doch aufgrund schwammiger Formulierungen, industriefreundlicher Meldepflichten, der Stärkung von Bundeskriminalamt, Verfassungsschutz und BND und einer freiwilligen Vorratsdatenspeicherung für Provider haben wir das Gesetz wiederholt stark kritisiert. Große Hoffnungen, dass das Gesetz wirklich zum Rückgang der vielbeschworenen „Cyberattacken“ führen wird, können bei diesem Sicherheitssimulationsgesetz nicht aufkommen.
-
: Sensburg im Interview über NSA-Untersuchungsausschuss: Es ist noch viel zu tun
: Sensburg im Interview über NSA-Untersuchungsausschuss: Es ist noch viel zu tun Im Moment ist Sommerpause im Bundestag und damit auch im NSA-Untersuchungsausschuss. Zeit, ein bisschen aufzuarbeiten und zurückzublicken. Auf der Webseite des Bundestages findet sich ein Interview mit dem Ausschussvorsitzenden Patrick Sensburg, in dem er über die bisherigen Erkenntnisse und das zukünftige Weiterarbeiten des Ausschusses redet. Seiner Meinung nach arbeiteten die Fraktionen gut zusammen und man sei schon maßgeblich vorangekommen, auch wenn man noch „mit keinem Komplex am Ende“ sei.
Was als nächstes kommt sei die Ebene Kanzleramt und dann sollen die Komplexe Drohnenkrieg und ausländische Dienste auf dem Programm stehen. Auch über Wunschzeugen äußert sich Sensburg:
Ich kann selbstverständlich den Überlegungen der Fraktionen nicht vorgreifen. Ich kann sagen, wen wir grundsätzlich benannt haben. Das ist zum Beispiel Herr Frank-Walter Steinmeier als ehemaliger Kanzleramtschef. Ich könnte mir vorstellen, dass auch Bundeskanzlerin Angela Merkel kommen wird. Vielleicht der eine oder andere frühere Außenminister – das müssen die Fraktionen benennen.
-
: Video-Einbettung keine Urheberrechtsverletzung – aber nur, wenn der Urheber dem Originalvideo zugestimmt hat
Wegen eines Werbevideos für Wasserfilter hat der Framing-Streit angefangen. Symbolbild <a href="https://creativecommons.org/licenses/by-sa/3.0/deed.en">CC BY-SA 3.0</a> via wikimedia/<a href="https://commons.wikimedia.org/wiki/File:HydrAid%C2%AE_BioSand_Water_Filter.jpg">TripleQuest</a> : Video-Einbettung keine Urheberrechtsverletzung – aber nur, wenn der Urheber dem Originalvideo zugestimmt hat Am gestrigen Donnerstag hat der Bundesgerichtshof (BGH) entschieden, dass ein Webseitenbetreiber keine Urheberrechte verletzt, „wenn er urheberrechtlich geschützte Inhalte, die auf einer anderen Internetseite mit Zustimmung des Rechtsinhabers für alle Internetnutzer zugänglich sind, im Wege des ‚Framing’ in seine eigene Internetseite einbindet.“
Das heißt im Beispiel: Wir betten auf netzpolitik.org ein Youtube-Video ein, das vom Urheber selbst hochgeladen wurde. Dabei liegt das Video jedoch nicht auf unserem Server, sondern ist nur in dem Artikel verlinkt und in einen Rahmen, den „Frame“ eingebettet. Der Betrachter sieht sich Youtube quasi über unsere Seite an. Wenn das eingebettete Video nun urheberrechtlich geschützt ist, ist die Frage, ob wir in diesem Fall eine Urheberrechtsverletzung begehen würden. Der BGH sagt nein.
Der aktuell verhandelte Fall bezog sich auf die Klage eines Wasserfilterherstellers. Ein Werbevideo des Herstellers mit dem schönen Titel „Die Realität“, das auf Youtube verfügbar war, wurde auf der Webseite eines Konkurrenzherstellers verlinkt. Die Klägerin wollte das unterbinden und sah eine Urheberrechtsverletzung. Das Einbinden des Videoframes geschah bereits im Sommer 2010, der Fall ging zunächst an das Landgericht in München, dann ans Oberlandesgericht, an den BGH, wurde von dort zur Vorabentscheidung an den Europäischen Gerichtshof gegeben und kehrte nun wieder zum BGH zurück. Der lange Weg liegt daran, dass sich die Vorinstanzen nicht einigen konnten.
Der EuGH entschied zuletzt im Oktober 2014, dass Framing laut europäischem Urheberrecht keine Urheberrechtsverletzung sei, da es keine „öffentliche Wiedergabe“ darstelle:
Die Einbettung eines auf einer Website öffentlich zugänglichen geschützten Werkes in eine andere Website mittels eines Links unter Verwendung der Framing-Technik, wie sie im Ausgangsverfahren in Frage steht, allein stellt keine öffentliche Wiedergabe im Sinne von Art. 3 Abs. 1 der Richtlinie 2001/29/EG des Europäischen Parlaments und des Rates vom 22. Mai 2001 zur Harmonisierung bestimmter Aspekte des Urheberrechts und der verwandten Schutzrechte in der Informationsgesellschaft dar, soweit das betreffende Werk weder für ein neues Publikum noch nach einem speziellen technischen Verfahren wiedergegeben wird, das sich von demjenigen der ursprünglichen Wiedergabe unterscheidet.
Der BGH hat sich dem angeschlossen, beendet ist der Fall damit aber noch nicht. Denn die Klägerin behauptet, das Video nicht selbst ins Netz gestellt oder ihre Erlaubnis dazu gegeben zu haben, was die Rechtslage wiederum ändern könnte. Ob das im aktuellen Fall zutrifft, ist noch nicht geklärt, das muss nun aber das Oberlandesgericht München klären. Das ist ein Problem für alle, die Videoframes einbinden wollen. Sicher sind nur Fälle, in denen die Urheberrechtslage klar gekennzeichnet ist und das Video eindeutig vom Urheber ins Netz gestellt wurde.
Was der EuGH dazu sagt, wenn der Urheber bestreitet, das Video hochgeladen oder seine Einstimmung dazu gegeben zu haben, wird sich in Kürze in einem ähnlichen Fall zeigen. Vor allem wird dann auch geklärt werden müssen, ob wirklich derjenige, der das Video per Frame einbindet, zur Verantwortung gezogen werden kann oder nicht, wie es naheliegt, ersteinmal derjenige, der das Video ohne Einwilligung veröffentlicht hat.
-
: De-Mail: Das tote Pferd wird weitergeritten, wie viel das kostet, soll geheim bleiben
De-Mail ist schon klinisch tot, doch die Notbremse zieht die Bundesregierung nicht. <a href="https://creativecommons.org/licenses/by-nd/2.0/">CC BY-SA 2.0</a> via flickr/<a href="https://www.flickr.com/photos/kopp1963/2216383339/">kopp1963</a> : De-Mail: Das tote Pferd wird weitergeritten, wie viel das kostet, soll geheim bleiben Lange nichts mehr von De-Mail gehört, gibt es das überhaupt noch? Diese Frage könnte man sich seit beinahe zehn Jahren regelmäßig stellen, und so hat auch Jan Korte mit den Linken im Bundestag eine Kleine Anfrage zum aktuellen „Stand der Entwicklung und Einführung von De-Mail“ gestellt. Die Antwort (unten im Volltext) zeugt von der Orientierungslosigkeit der Bundesregierung und ihrer Bevorzugung von Betriebs- und Geschäftsgeheimnissen gegenüber den Interessen der Bürger und Transparenz.
Wie viel kostet De-Mail?
Einige der Fragen bezogen sich auf die Kosten, die mit der Umsetzung und Einführung von De-Mail verbunden waren und sind. Die Gesamtkosten soll die Öffentlichkeit nicht erfahren, denn sie sind als Verschlusssache „Nur für den Dienstgebrauch“ eingestuft. Das einzige, was man erfährt, ist, dass alle Entwicklungskosten durch das Bundesinnenministerium gezahlt wurden. Immerhin für das Bundesamt für Sicherheit in der Informationstechnik werden Zahlen genannt, besser gesagt für die Entwicklung der ca. 20 technischen Richtlinien zu De-Mail, die von der Behörde angefertigt wurden – 2 Personen-Jahre seien in die etwa 600 Seiten geflossen.
Was Länder und Kommunen angeht, gebe es keine Kenntnisse. Doch gerade diese stehen vor immensen Kosten, die bei der Einführung von De-Mail und der damit verbundenen Umstrukturierung anfallen. Will die Bundesregierung also wirklich die Verbreitung und Akzeptanz dieses Dienstes fördern, sollte sie eine weniger kurzsichtige Haltung annehmen und sich auch um diejenigen kümmern, die den Dienst einsetzen sollen.
Was die Anbieter der De-Mail-Dienste an Kosten hatten, wisse die Regierung auch nicht, redet sich jedoch schon in den Vorbemerkungen heraus:
Für diejenigen, die über Kenntnisse der Branchenüblichkeit verfügen, lassen die Angaben auch Rückschlüsse auf Umfang und Kostenstruktur der jeweiligen Leistungserbringer zu.
Da wir nicht über diese Kenntnisse „der Branchenüblichkeit“ verfügen, werden wir im Dunkeln gelassen. Falls uns jemand aushelfen will und kann, wie immer gerne über die üblichen Kanäle.
Eine Million Privatnutzer registriert, tatsächliche Nutzung unbekannt
Doch wie sieht es nun aus mit der Verbreitung? Auch das wollten die Fragesteller wissen, und wir erleben astreine Ankündigungspolitik. Das „zentrale Gateway zur Anbindung der Bundesbehörden an De-Mail“ habe seinen Betrieb aufgenommen. Dieses Gateway soll dafür sorgen, dass die interne E‑Mail-Infrastruktur einer Behörde direkt mit De-Mail verbunden werden kann. Bis März 2016 sollen dann alle Behörden, die an den Informationsverbund Berlin-Brandenburg oder der Bundesverwaltung angeschlossen sind, De-Mail unterstützen.
Doch dass das Gateway seinen Betrieb aufgenommen hat, bedeutet nicht, dass De-Mail auch schon verfügbar ist. So lange das nicht gegeben ist, gibt es nicht einmal für „rechtsverbindliche“ E‑Mail-Kommunikation den Anreiz, De-Mail zu nutzen, und daher fragt man sich, wer die „über eine Million Privatkunden, einige zehntausend Mittelstandskunden und ca. 1000 De-Mail-Großkunden aus Wirtschaft und Verwaltung“ sein sollen, die sich für De-Mail registriert haben. Es liegt nahe, dass sich nicht wenige Accountleichen unter diesen befinden, zur tatsächlichen monatlichen Nutzung und dem Datenaufkommen im De-Mail-System werden keine Angaben gemacht.
Es braucht eine „kritische Masse“, doch Bundesregierung weiß nicht, wie die aussehen soll
Ein Akzeptanzproblem bei De-Mail stellt auch die Inkompatibilität dar. Selbst wenn wir davon ausgehen, dass sich De-Mail in Deutschland durchsetzen sollte, wäre man in einem nationalen System gefangen. Ausgehend von der Struktur des Internets scheint es absurd, dann auf ein System zurückzugreifen, dass dem Nutzer derartige Einschränkungen auferlegt. Die Regierung selbst spricht von einem „geschlossenen System“, bei dem „grundsätzlich nicht von einer ‚Kompatibilität’ zu anderen Diensten gesprochen werden“ könne, auch wenn Interoperabilität mit „Zustelldiensten“ anderer Länder geschaffen werden soll.
Doch die Bundesregierung scheint der Meinung zu sein, man brauche nur eine „kritische Masse“ an Nutzern, damit das System sich durchsetze. Auf die Frage, was diese kritische Masse sein soll, gibt es nur Ausflüchte. Es hänge „sehr stark von der jeweiligen Technik, den involvierten Geschäftsmodellen der Betreiber, externen Nutzungsanreizen o. ä. ab“. Deshalb sei eine „pauschale Quantifizierung“ nicht möglich. Dabei will niemand eine „pauschale“ Quantifizierung, und man sollte eigentlich erwarten können, dass sich die Bundesregierung in den letzten zehn Jahren irgendwann einmal darüber Gedanken gemacht hat, welche Ziele bei der Einführung erreicht werden sollen. Es scheint oder wird suggeriert, als sei das nie geschehen.
Jan Korte kommentiert:
Die Antwort zeigt, dass De-Mail, wie schon vor Jahren von allen ernst zu nehmenden Fachleuten prognostiziert, gescheitert ist. Trotzdem ist die Bundesregierung offensichtlich weiterhin wild entschlossen, dieses tote Pferd weiter zu reiten und damit weitere Steuergelder zu verbrennen.
Es liegt nahe, dass die ominöse „kritische Masse“ also entweder nie erreicht oder schlicht irgendwann als erreicht definiert werden wird. Genau wie die Rechtssicherheit des Systems.
De-Mail ist per Gesetz als sicher definiert
Auch die Sicherheit wurde definiert – per Gesetz. Seit Juli 2014 ist „der gegenüber einer einfachen Mail erhöhte Beweiswert einer absenderbestätigten De-Mail gesetzlich bestimmt“. Diese Sicherheitsdefinition hat schon bei ihrem Entstehen 2013 für Häme gesorgt, denn es bestanden zu der Zeit erhebliche Sicherheitsmängel, und der Versuch, etwas sicher zu machen, indem man es per Gesetz als sicher erklärt, konnte wenig überzeugen. Wir berichteten:
Durch eine mangelnde Ende-zu-Ende-Verschlüsselung ist eine De-Mail weniger vertrauensvoll als ein Brief, aber per Gesetz soll sie trotzdem als sicher genug für Kommunikation mit Behörden eingestuft werden. Noch dazu wird die Signatur nicht vom Absender, sondern vom De-Mail-Anbieter erstellt, was in etwa bedeutet, dass ein Brief rechtssicher unterschrieben ist, sobald ein Absender und ein Poststempel drauf sind, egal wer den Brief wirklich verfasst hat.
Bei der Ende-zu-Ende-Verschlüsselung wurde mittlerweile nachgebessert. Die Integration eines PGP-Plugins in De-Mail wurde im März diesen Jahres präsentiert, als Reaktion auf die seit Jahren andauernde Kritik, dass De-Mail keine vertrauliche Kommunikation ermöglicht, da nur eine Transport- und keine Ende-zu-Ende-Verschlüsselung umgesetzt werden sollte – als Konsequenz wären Mails für diejenigen mit Zugang auf den Mailserver problemlos lesbar.
Grundsätzlich ist die Integration von Ende-zu-Ende-Verschlüsselung begrüßenswert und überfällig, doch sie bringt auch Probleme mit sich. Was beispielsweise, wenn der Nutzer das Passwort für seinen Key vergessen hat und infolgedessen eine amtliche Mail nicht öffnen kann? Klar, dann hat er keinen Zugriff mehr, und das ist auch gut so. Die Bundesregierung ist hier aber kreativ und denkt sich eine „Lösung“ aus:
Auch im Fall, dass die Entschlüsselung beim Empfänger fehlschlägt, ist für diesen der Absender und ggf. auch der Betreff erkennbar, so dass der Empfänger praktisch die Möglichkeit hat, auf die Probleme hinzuweisen und ggf. eine erneute Zusendung oder die Informationsübermittlung auf einem anderen Kommunikationskanal zu vereinbaren.
Was dieser andere Kommunikationskanal sein soll, ist unklar. Anhand unserer praktischen Erfahrungen fürchten wir, dass es in einem erneuten Zusenden der Mail, diesmal unverschlüsselt, resultieren würde. Es ist jedoch fraglich, ob selbst bei funktionierender Ende-zu-Ende-Verschlüsselung konsequent verschlüsselt werden würde, denn die Beurteilung, ob der Aufwand „in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck“ steht, bleibt bei den einzelnen Behörden.
Berechtigte und akkreditierte Stellen dürfen Auskünfte über De-Mail bekommen
De-Mail weckt auch Begehrlichkeiten, denn Strafverfolgungsbehörden und Geheimdienste haben natürlich auch hier ein Interesse, an die Meta- und gegebenenfalls Inhaltsdaten der Kommunikationen zu gelangen, die über De-Mail abgewickelt werden. Laut Bundesregierung gebe es jedoch derzeit keinerlei automatisierte Auskünfte über „E‑Mail-Dienstekennungen“ nach § 112 TKG, also dem Parapraphen, der die automatische Bestandsdatenauskunft regelt. Problematisch ist, dass sich nirgendwo im TKG eine Definition von „E‑Mail-Dienstekennung“ findet. Die Aussage der Antwort ist so gesehen undurchsichtig. Was akkreditierte Diensteanbieter beauskunftet bekommen, wisse die Bundesregierung nicht.
Spannend wird es bei der Frage nach Vorratsdatenspeicherung. Die Bundesregierung beruft sich darauf, dass das geplante Gesetz zur Vorratsdatenspeicherung keine Verkehrsdaten von E‑Mail-Kommunikation, also auch nicht De-Mail erfassen will. Die gestellte Frage beantwortet sie jedoch nicht, denn eigentlich wollen die Fragesteller wissen, wie die Erfassung „künftig normenklar und technisch ausgeschlossen“ werden kann, eben weil die Erfassung von Mails nicht erfolgen soll.
Dafür erfahren wir, dass es nach § 110 TKG Überwachungsschnittstellen gibt:
Zwei der drei genannten De-Mail-Provider haben aufgrund ihrer Verpflichtung nach § 110 TKG und der Telekommunikations-Überwachungsverordnung eine Schnittstelle zu den berechtigten Stellen eingerichtet.
Die existierenden, vom BSI akkreditierten Provider sind die Deutsche Telekom und T‑Systems, Francotyp-Postalia bzw. die zugehörige Mentana-Claimsoft GmbH und United Internet, zu dem 1&1, gmx.de und web.de gehören. Auf Nachfrage teilten uns alle der vorgenannten Anbieter mit, sie hätten selbstverständlich ihre Verpflichtungen nach § 110 TKG erfüllt. Was stimmt hier also? Oder hat die Bundesregierung wieder einmal keine Ahnung, was vor sich geht?
Wie geht es mit De-Mail weiter?
Wenn wir auf die letzten circa zehn Jahre seit der Initiierung von De-Mail zurückschauen, sehen wir eine Reihe von Misserfolgen und Blamagen. Dennoch hat noch niemand den Schritt getan, das Projekt endlich zu beerdigen. Korte hat dafür kein Verständnis, er kritisiert, dass die Öffentlichkeit „unter dem Vorwand des Schutzes von Betriebs- und Geschäftsgeheimnissen, nicht erfahren darf, wie viel Steuergelder durch dieses sinnlose Projekt verbrannt wurden, bzw. welche Firmen davon profitierten“:
Es ist an der Zeit, die Notbremse zu ziehen und dieses unbrauchbare und aus der Zeit gefallene Projekt zu stoppen. Wenn man gleich am Anfang auf die zahlreichen Kritiker gehört hätte, dann wäre diese Blamage den Verantwortlichen erspart geblieben.
Die Einsichtsfähigkeit in Punkto De-Mail ist jedoch bekanntermaßen begrenzt, und wir müssen leider vermuten, dass eine Kleine Anfrage in einigen Jahren mit dem gleichen (Nicht-)Ergebnis beantwortet werden wird, anstatt dass die Bundesregierung mehr in offene und freie Methoden der vertraulichen und authentifizierbaren Kommunikation investiert.
Anfrage aus dem PDF befreit
Bundesministerium des Innern
DATUM 29. Juni 2015
BETREFF Kleine Anfrage des Abgeordneten Jan Korte u. a. und der Fraktion DIE LINKE.
Aktueller Stand der Entwicklung und Einführung von De-Mail
BT-Drucksache 18/5190
Auf die Kleine Anfrage übersende ich namens der Bundesregierung die beigefügte Antwort in 4‑facher Ausfertigung.
Teile der Antwort sind VS – NUR FÜR DEN DIENSTGEBRAUCH eingestuft.
Mit freundlichen Grüßen
in VertretungDr. Ole Schröder
[pagebreak]
Kleine Anfrage des Abgeordneten Jan Korte u. a. und der Fraktion DIE LINKE.
Aktueller Stand der Entwicklung und Einführung von De-Mail
BT-Drucksache BT 18/5190
Vorbemerkung der Fragesteller:
Der Zwischenbericht der Bundesregierung nach Artikel 4 des Gesetzes zur Regelung von De-Mail-Diensten und zur Änderung weiterer Vorschriften (Drucksache 18/4042 vom 16.02.2015) bestätigte erneut die seit der Einführung bestehenden Akzeptanzprobleme. In dem Zwischenbericht heißt es, dass die für die Entstehung von Netzwerkeffekten erforderliche ‚kritische Masse’ von Nutzern noch nicht erreicht werden konnte.“ Die Einführung der De-Mail im Bereich der Bundesverwaltung habe sich „aufgrund eines Nachprüfungsverfahrens eines Wettbewerbers […] erheblich verzögert.“ Während in der offiziellen Auswertung des BMWI zum 8. Nationalen IT-Gipfel im Oktober 2014 die Position des BMI noch folgendermaßen zitiert wurde: „De Maiziere bestärkt die Zusage aus der Digitalen Agenda, bis Ende 2015 bei allen Bundesbehörden De-Mail einzuführen“, so beantwortete wenige Monate später ein Sprecher des BMI eine NET-Anfrage so: „Die Bundesbehörden sind gemäß E‑Government-Gesetz verpflichtet, innerhalb eines Jahres nach Bereitstellung einer zentral durch den Bund betriebenen Infrastruktur (zentrales De-Mail-Gateway) den Zugang per De-Mail zu eröffnen […]. Das BMI ging im Oktober 2014 noch von einer Inbetriebnahme des Gateways bis Ende 2014 aus. Das Gateway wird jedoch erst im Laufe des Monats März 2015 in Betrieb gehen, so dass in der Folge einige Behörden ggf. erst im ersten Quartal 2016 den De-Mail-Zugang realisieren. “ (NET 4/15).
De-Mail wird von der Deutsche Telekom, Francotyp-Postalia sowie United Internet (1&1, GMX und Web.de) angeboten. Weiterhin bestehen erhebliche Zweifel, dass die Provider diesen Dienst kostendeckend betreiben können. Zumindest United Internet beziffert die erheblichen Anlaufverluste in ihrem Geschäftsbericht (Quelle).
Am 15. April 2013 hatten der Chaos Computer Club und weitere Sachverständige in einer Öffentlichen Anhörung des Rechtsausschusses der De-Mail in puncto Sicherheit ein katastrophales Zeugnis ausgestellt. Der zentrale Kritikpunkt war die fehlende Ende-zu-Ende-Verschlüsselung, die den De-Mail-Providern, Polizei, Geheimdiensten und potentiellen Angreifern Zugriff auf die unverschlüsselten Kommunikationsdaten gewähre. Trotz dieser schwerwiegenden Bedenken beschloss der Deutsche Bundestag am 18. April 2013 das Gesetz zur Förderung der elektronischen Verwaltung.
Die Anbieter des E‑Mail-Systems haben nun zwei Jahre nach Inkrafttreten des De-Mail-Gesetzes reagiert und zumindest in Punkto fehlender Ende-zu-Ende Verschlüsselung nachgebessert. Seit dem 20. April 2015 können private Nutzer, Ämter und Unternehmen via De-Mail mittels PGP („Pretty Good Privacy“) vertrauliche Inhalte durchgehend vom Absender bis zum Empfänger schützen.
[pagebreak]
- 2 -
Die Kritik, wonach De-Mail jetzt zwar sicherer, dafür allerdings mit einer äußerst benutzerunfreundlichen Lösung aufwarte, wiesen die Anbieter zurück, da sie den Verschlüsselungs-Prozess so stark vereinfacht hätten, dass zwei Drittel der sonst bei PGP üblichen Schritte entfallen und der Anwender im Rahmen seiner gewohnten Browser-Umgebung durch den Prozess geführt würde. Allerdings verschwiegen sie, dass dies nur bei einigen Browsern möglich ist. Auch der Kritik, dass die Verschlüsselung bei der De-Mail, wie bei WhatsApp von Facebook oder iMessage von Apple, standardmäßig hätte aktiviert sein müssen, widersprechen die Anbieter mit dem Argument, dass dies bei De-Mail nicht möglich sei, da hier kein geschlossenes System vorliege. Am 15. November 2013 hatte die Süddeutsche Zeitung berichtet, dass an das deutsche Tochterunternehmen des US-amerikanischen Spionagedienstleisters Computer Sciences Corporation (CSC) auch im Rahmen der De-Mail-Entwicklung Aufträge ergangen seien. Laut einer Meldung auf netzpolitik.org war die Firma noch bis 2012 mit der „Unterstützung bei der Fachkommunikation“ befasst. Neben mehreren Studien zur „Unterstützung bei der Öffentlichkeitsarbeit und Akzeptanzmanagement“ betreute CSC demnach noch bis März 2014 ein Vorhaben „Projektunterstützung De-Mail“. Auch das „Kompetenzzentrum De-Mail“ wurde ebenfalls von CSC bei der Presse- und Öffentlichkeitsarbeit beraten (vgl. netzpolitik.org vom 18.11.2013).
Vorbemerkung:
Die Bundesregierung ist bei der Beantwortung von Fragen aus dem Parlament verfassungsrechtlich insbesondere dazu verpflichtet, die Grundrechte Dritter zu wahren. Hierunter fallen auch die von Artikel 12 Absatz 1 und Artikel 14 Absatz 1 des Grundgesetzes (GG), im Übrigen nach Artikel 2 Absatz 1 GG geschützten Betriebs- und Geschäftsgeheimnisse der Empfänger von Beratungsleistungen und beauftragten Beratungsunternehmen. „Als Betriebs- und Geschäftsgeheimnisse werden alle auf ein Unternehmen bezogenen Tatsachen, Umstände und Vorgänge verstanden, die nicht offenkundig, sondern nur einem begrenzten Personenkreis zugänglich sind und an deren Nichtverbreitung der Rechtsträger ein besonderes Interesse hat.“ (BVerfGE 115, 205/230 zum Schutz aus Artikel 12 GG). Auftragnehmer, Auftragsinhalt sowie die entsprechenden Kosten der Aufträge stellen dem Wesen nach derartige Betriebs- und Geschäftsgeheimnisse dar, gerade auch in der hier abgefragten, auf die Einzelaufträge und deren Gesamtheit bezogenen Zusammenstellung. Für diejenigen, die über Kenntnisse der Branchenüblichkeit verfügen, lassen die Angaben auch Rückschlüsse auf Umfang und Kostenstruktur der jeweiligen Leistungserbringer zu. Rückblickend für einen Zeitraum von fast 10 Jahren zu entscheiden, ob in Einzelfällen eine Wettbewerbsrelevanz entfallen ist, wäre nicht möglich, ohne alle Auftragsverhältnisse im Detail zu beurteilen. Auch wäre es wegen des betroffenen Zeitraums von fast zehn Jahren im Rahmen der für die Beantwortung der Anfrage zur Verfügung stehenden Zeit nicht möglich, von allen betroffenen Auftragnehmern eine Einwilligung zur offenen Mitteilung der Honorare zu erhalten. Vor diesem Hintergrund kann eine Beantwortung der Fragen 1, 2, 22 und 23 nach sorgfältiger Abwägung des Informationsinteresses der Abgeordneten des Deutschen Bundestages einerseits und der angesprochenen Geheimschutzinteressen andererseits nicht in einer zur Veröffentlichung bestimmten Bundestagsdrucksache erfolgen.
[pagebreak]
- 3 -
Unter entsprechender VS-Einstufung werden die Angaben (Anlagen 1 und 2) daher gesondert übersandt. Darüber hinaus werden ergänzende Informationen zur Beantwortung der Frage 24 (Anlage 3) ebenfalls unter der Einstufung VS – Nur für den Dienstgebrauch gesondert übersandt.
1. Wie viel hat die Entwicklung von De-Mail bislang insgesamt gekostet? (Bitte entsprechend aufschlüsseln)
Zu 1.
Die im Zuge der Entwicklung von De-Mail beim Bundesministerium des Innern und beim Bundesamt für Sicherheit in der Informationstechnik (BSI) entstandenen haushaltswirksamen Ausgaben sind der VS – Nur für den Dienstgebrauch eingestuften Anlage 1 zu entnehmen. Dabei wurden als Entwicklungskosten diejenigen Ausgaben berücksichtigt, die während des von 2006 bis 2010 durchgeführten Forschungs- und Entwicklungsprojekts De-Mail aus dem Haushalt des BMI gezahlt wurden. Ausgaben in den Haushalten anderer Ministerien und Bundesbehörden sind im Zuge dieses Projekts nicht entstanden. Über die Aufwände der De-Mail-Diensteanbieter zur Entwicklung und Etablierung ihrer Dienste etc. liegen der Bundesregierung keine Kenntnisse vor.
2. Wer hat diese Kosten im Detail übernommen?
Zu 2.
Die in der VS – Nur für den Dienstgebrauch eingestuften Anlage 1 (vgl. Frage 1) aufgeführten Kosten wurden aus Haushaltsmitteln des Bundesministeriums des Innern gezahlt.
3. Welche Kosten entstanden bislang nach Kenntnis der Bundesregierung den Verwaltungen von Ländern und Kommunen bei der Einführung der De-Mail und mit welchen Kosten wird hier insgesamt gerechnet? (Bitte entsprechend aufschlüsseln)
Zu 3.
Die Bundesregierung hat keine Kenntnisse darüber, welche Aufwendungen in den Ländern und Kommunen im Zusammenhang mit der Einführung von De-Mail entstanden sind und erwartet werden.
4. Wie viele Arbeitsstunden (pro beteiligter Person und insgesamt) hat das Bundesamt für die Sicherheit in der Informationstechnik (BSI) in die Entwicklung der rund 600 Seiten umfassenden technischen Richtlinien investiert?
[pagebreak]
- 4 -
Zu 4.
Die nachfolgende Abschätzung berücksichtigt die Arbeitsaufwände, die eindeutig im BSI selbst für die Entwicklung der Technischen Richtlinie (TR) 01201 De-Mail aufgewendet wurden. Sie umfasst Aufwände für die Erstellung (Entwurfserstellung, Abstimmung der Zwischenergebnisse und Einarbeitung der entsprechenden Änderungsvorschläge) der entsprechenden TR bis zu ihrer Erstveröffentlichung im Frühjahr 2011 (Veröffentlichung im Bundesanzeiger am 5. April 2011). Der ermittelte Arbeitsaufwand seit 2008 bis zur Fertigstellung und Veröffentlichung der TR 01201 De-Mail im Frühjahr 2011 innerhalb des BSI beläuft sich auf circa 2 Personen-Jahre [Berechnungsgrundlage: 200 PT/Jahr]. Die geleisteten Aufwände können nach über vier Jahren nicht mehr einzelnen Personen zugeordnet werden.5. Welche Behörden haben nach Kenntnis der Bundesregierung einen De-Mail-Zugang und welche werden ihn voraussichtlich ab wann bekommen?
Zu 5.
Das zentrale Gateway zur Anbindung der Bundesbehörden an De-Mail hat am 23. März 2015 seinen Betrieb aufgenommen. Jede Behörde des Bundes, die einen Zugang zu diesem Gateway hat, ist nach § 2 Absatz 2 des Gesetzes zur Förderung der elektronischen Verwaltung (E‑Government-Gesetz) verpflichtet, bis zum 24. März 2016 einen Zugang für De-Mail zu eröffnen. Derzeit laufen bei den Bundesbehörden die Vorbereitungen für die Anbindung an das De-Mail-Gateway. Hierbei werden die Behörden bei Bedarf vom Bundesverwaltungsamt unterstützt. In diesem Zusammenhang führt das Bundesverwaltungsamt derzeit eine Abfrage u.a. über die von den einzelnen Bundesbehörden jeweils favorisierten Anbindungstermine durch.
6. Mit welchen Behörden können De-Mail-Nutzer nach Kenntnis der Bundesregierung per PGP-Plugin verschlüsselt kommunizieren, welche planen dies und welche Institutionen lehnen eine verschlüsselte Kommunikation mit Bürgern und Unternehmen aus welchen Gründen ab? (Bitte entsprechend auflisten)
Zu 6.
Die Abfrage des Bundesverwaltungsamts (vgl. Antwort zu Frage 5) befasst sich auch mit den jeweiligen Planungen zur Nutzung von Ende-zu-Ende-Verschlüsselung bei De-Mail.
7. Wie hat sich die Nutzung in den vergangenen Jahren entwickelt und wie viele authentifizierte De-Mail Nutzer sind aktuell registriert?
[pagebreak]
- 5 -
Zu 7.
Nach Angaben der De-Mail-Anbieter im Rahmen der Arbeitsgruppe De-Mail (vgl. Frage 11) haben sich seit Marktstart im September 2012 über eine Million Privatkunden, einige zehntausend Mittelstandskunden und ca. 1000 De-Mail-Großkunden aus Wirtschaft und Verwaltung authentifiziert.8. Wie viele De-Mails wurden von den Nutzern bisher tatsächlich versandt?
9. Wie viele De-Mails werden derzeit durchschnittlich pro Monat versandt?
Zu 8. und 9.
Da die De-Mail-Diensteanbieter nicht verpflichtet sind, der Bundesregierung hierüber Angaben zu machen, liegen der Bundesregierung hierzu keine Kenntnisse vor.
10. In welchem Jahr wird nach Auffassung der Bundesregierung die für die Entstehung von Netzwerkeffekten erforderliche „kritische Masse“ (BT-Drs. 18/4042) von De-Mail-Nutzern erreicht und auf welche Größenordnung taxiert die Bundesregierung diese?
Zu 10.
Die im zitierten Bericht erwähnte „kritische Masse“ gibt eine Erfahrungstatsache aus der Entwicklung von Netzwerken wider, nach der ein wirtschaftlicher und sich selbst tragender Betrieb einer solchen Infrastruktur erst dann dauerhaft möglich ist, wenn eine bestimmte Anzahl von Personen oder Institutionen eine bestimmte Technik nutzt. Wie groß diese „kritische Masse“ ist, hängt sehr stark von derjeweiligen Technik, den involvierten Geschäftsmodellen der Betreiber, externen Nutzungsanreizen o. ä. ab. Eine pauschale Quantifizierung ist nicht möglich. Daher ist auch keine zuverlässige Prognose darüber möglich, wann diese „kritische Masse“ erreicht sein wird.
11. Welche Personen bzw. Unternehmen gehören der gemeinsamen Arbeitsgruppe mit der Wirtschaft an, um im Rahmen der Digitalen Agenda die flächendeckende Einführung von De-Mail zu beschleunigen?
Zu 11.
Die im Rahmen der Digitalen Agenda eingerichtete Arbeitsgruppe De-Mail wird vom Bundesministerium des Innern geleitet. Mitglieder der Arbeitsgruppe De-Mail sind außerdem Vertreter der akkreditierten De-Mail-Diensteanbieter (Telekom Deutschland GmbH, T‑Systems International GmbH, Mentana-Claimsoft GmbH, 1&1 De-Mail GmbH).
[pagebreak]
- 6 -
12. Wie bewertet die Bundesregierung die zwei Jahre nach Einführung erfolgte Nachbesserung in Punkto einer ab dem 20. April 2015 möglichen Ende-zu-Ende Verschlüsselung und sieht sie dadurch alle früheren Datenschutz-Kritikpunkte an De-Mail ausgeräumt? (Bitte begründen)
Zu 12.
Schon in der Vergangenheit konnten De-Mail-Nutzer ihre Dokumente auf dem bereits verschlüsselten Transportweg zusätzlich Ende-zu-Ende verschlüsseln. Seit dem 20. April 2015 ist von den De-Mail-Diensteanbietern die Möglichkeit zur Nutzung der Ende-zu-Ende-Verschlüsselung bei De-Mail stark vereinfacht worden. Dieses De-Mail ergänzende, zusätzliche Angebot ist aus Sicht der Bundesregierung begrüßenswert. Die mit Blick auf Datenschutz und Datensicherheit in der Vergangenheit vorgebrachten Forderungen nach zusätzlicher Sicherheit wurden dadurch auf nutzerfreundliche Art und Weise erfüllt. Auch die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit hat die Einführung der Ende-zu-Ende-Verschlüsselung bei De-Mail in ihrer Pressemitteilung vom 9. März 2015 ausdrücklich begrüßt (http://www.bfdi.bund.de/DE/Infothek/Pressemitteilungen/2015/09_EndeZuEndeVerschluesselungBeiDEMail.html?nn=5217154).
13. Werden die De-Mail-Server auch als PGP-Keyserver genutzt?
Zu 13.
Bei der Bereitstellung von PGP-Diensten durch die De-Mail-Diensteanbieter wird lediglich der in die Akkreditierung bereits einbezogene Öffentliche Verzeichnisdienst (ÖVD) um entsprechende Felder erweitert. Es gibt daher in diesem Kontext keinen eigenständigen PGP-Server.
14. Existieren nach Auffassung der Bundesregierung noch Probleme der Rechtssicherheit von De-Mail (z.B. bezüglich Beweiskraft, Beweislast oder Schriftformerfordernis) und wenn ja, wie sollen diese gelöst werden? Wenn nein, warum nicht?
Antwort zu Frage 14:
Die Rechtssicherheit der De-Mail-Kommunikation ist durch gesetzgeberische Maßnahmen gewährleistet. Durch die Ergänzung des § 371a der ZPO durch das Gesetz zur Förderung des elektronischen Rechtsverkehrs mit den Gerichten vom 10. Oktober 2013 (BGBI. I S. 3786) ist mit Wirkung vom 1. Juli 2014 der gegenüber einer einfachen Mail erhöhte Beweiswert einer absenderbestätigten De-Mail gesetzlich bestimmt worden. Zugleich ist in sämtlichen Verfahrensordnungen außer der Strafprozessordnung mit Wirkung vom 1. Januar 2018 vorgesehen, dass die Einreichung eines Schriftsatzes durch absenderbestätigte De-Mail das prozessuale Schriftformerfordernis erfüllt.
[pagebreak]
- 7 -
Mit dem E‑Government-Gesetz vom 25. Juli 2013 (BGBI. I S. 2749) wurde in den bundesrechtlichen Verfahrensordnungen des Verwaltungsverfahrensgesetzes. der Abgabenordnung sowie des Ersten Buches Sozialgesetzbuch für die Ersetzung einer durch Rechtsvorschrift angeordneten Schriftform neben der elektronischen Form auch die Versendung eines elektronischen Dokumentes mit einer absenderbestätigten De-Mail zugelassen. Durch die in § 9 Absatz 1 des De-Mail-Gesetzes (BGBI. I S. 666) normierte Auskunftspflicht der De-Mail-Diensteanbieter ist im Übrigen sichergestellt, dass die Nutzer über die Rechtsfolgen einer De-Mail informiert werden.
15. Was passiert, wenn eine verschlüsselte amtliche Nachricht bei einem De-Mail-Nutzer eintrifft, dieser sie aber aus technischen Gründen nicht öffnen kann, weil er sein PGP-Passwort vergessen hat?
Zu 15.
Für eine erfolgreiche Ende-zu-Ende-verschlüsselte-Kommunikation müssen sich beide Kommunikationspartner über die Verschlüsselung verständigen. Insoweit ergeben sich aus einer Nutzung der Ende-zu-Ende-Verschlüsselung innerhalb einer De-Mail-Kommunikation keine Besonderheiten. Auch im Fall, dass die Entschlüsselung beim Empfänger fehlschlägt, ist für diesen der Absender und ggf. auch der Betreff erkennbar, so dass der Empfänger praktisch die Möglichkeit hat, auf die Probleme hinzuweisen und ggf. eine erneute Zusendung oder die Informationsübermittlung auf einem anderen Kommunikationskanal zu vereinbaren.
16. Inwieweit ist die De-Mail in andere E‑Government-Projekte oder Konzeptionen eingebunden und welche Rolle spielt sie in der E‑Government-Strategie der Bundesregierung?
Zu 16.
De-Mail ist als Instrument zur Umsetzung einer sicheren IT-Infrastruktur für den Zugang zur Verwaltung und als ein Schriftformersatz eines der Vorhaben im Regierungsprogramm „Digitale Verwaltung 2020“, das die Umsetzung des E‑Government-Gesetzes vom 25. Juli 2013 (BGBI. I S. 2749) im Bund koordiniert. In der Digitalen Agenda der Bundesregierung ist im Handlungsfeld III „Innovativer Staat“ festgehalten: „Die Verwaltung soll über verschiedene Wege sicher und einfach erreichbar sein. Wir führen De-Mail flächendeckend ein. Um die flächendeckende Einführung von De-Mail zu beschleunigen, wird eine gemeinsame Arbeitsgruppe mit der Wirtschaft eingerichtet, in der Erfahrungen ausgetauscht und identifizierte Hürden zeitnah adressiert werden.“
17. Welche elektronischen Zustelldienste bestehen in den übrigen Mitgliedstaaten der EU und welche davon sind mit De-Mail kompatibel?
[pagebreak]
- 8 -
Zu 17.
Die De-Mail wird bisher als geschlossenes System der akkreditierten De-Mail-Diensteanbieter betrieben. Insofern kann grundsätzlich nicht von einer „Kompatibilität“ zu anderen Diensten gesprochen werden. Allerdings wurde und wird der Austausch von Nachrichten zwischen dem De-Mail-System und Zustelldiensten u. a. aus Frankreich („Lettre Recommandée en ligne“, La Poste), Österreich („Elektronische Zustellung“), Niederlande („BerichtenBox“) und Italien („PostaCertificata“) in mehreren Projekten z. T. in Testsystemen pilotiert. Eine Prüfung auf Gleichwertigkeit eines ausländischen Dienstes gem. § 19 Absatz 2 De-Mail-Gesetz ist bisher nicht erfolgt. Die Verordnung (EU) Nr. 910/2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG (eIDAS-VO) regelt „Dienste für die Zustellung elektronischer Einschreiben“; der entsprechende Teil der eIDAS-VO tritt am 1. Juli 2016 in Kraft. (Qualifizierte) Zustelldienste werden nach der eIDAS-VO in entsprechenden Vertrauenslisten geführt. Wie im Zwischenbericht der Bundesregierung dargelegt, soll De-Mail ab Geltung der Regelungen zu elektronischen Zustelldiensten den Anforderungen der eIDAS-VO entsprechen und auf dieser Grundlage mit elektronischen Zustelldiensten anderer Mitgliedstaaten interoperabel werden.18. Wird das automatisierte Auskunftsverfahren nach § 112 TKG von Sicherheits- und Strafverfolgungsbehörden sowie sonstigen berechtigten Stellen auch zum Abruf von Kundendaten von De-Mail-Konten genutzt? Wenn ja, in welchem Umfang? (Bitte entsprechend nach Jahr, Anzahl der Abrufe und Sicherheits- und Strafverfolgungsbehörden aufschlüsseln)
Zu 18.
Über das automatisierte Auskunftsverfahren nach § 112 des Telekommunikationsgesetzes (TKG) werden derzeit keinerlei E‑Mail-Dienstekennungen, mithin auch keine von DE-Mail-Anbietern, beauskunftet.
19. In welchem Umfang gelang bislang § 16 De-Mail‑G zur Anwendung, nach dem Dritte von akkreditierten Dienstanbietern Auskunft über Namen und Anschrift von De-Mail-Nutzem beanspruchen können?
Zu 19.
Da die De-Mail-Diensteanbieter nicht verpflichtet sind, der Bundesregierung hierüber Angaben zu machen, liegen der Bundesregierung hierzu keine Kenntnisse vor.
20. In welcher Form wird sichergestellt, dass Behörden oder andere Institutionen, die mit besonders schutzbedürftigen personenbezogenen Daten Dritter umgehen, solche Daten untereinander ausschließlich Ende-zu-Ende verschlüsselt versenden?
[pagebreak]
- 9 -
Zu 20.
§ 9 Satz 1 des Bundesdatenschutzgesetzes (BDSG) verpflichtet die verantwortlichen datenverarbeitenden Stellen, technische und organisatorische Maßnahmen zu treffen, die zur Gewährleistung der Ausführung der Vorschriften des BDSG erforderlich sind. Insbesondere sind die in der Anlage zu § 9 BDSG genannten Anforderungen zu gewährleisten. Nach § 9 Satz 2 BDSG sind Maßnahmen nur dann erforderlich, wenn ihr Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht. Die Beachtung dieser Vorschrift und die Beurteilung der Erforderlichkeit und Verhältnismäßigkeit von Maßnahmen obliegt den verantwortlichen Stellen. Dabei werden diese von ihren behördlichen Datenschutzbeauftragten unterstützt und von den zuständigen Datenschutzaufsichtsbehörden der Länder und der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit kontrolliert.21. Wie soll eine Vorratsspeicherung aller De-Mail-Briefwechsel (vergleiche § 100 TKG und Leitlinien des BMJV zur Einführung einer Speicherpflicht und Höchstspeicherfrist für Verkehrsdaten vom 15.04.2015) künftig normenklar und technisch ausgeschlossen werden?
Zu 21.
Der Gesetzentwurf zur Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten sieht keine Erfassung von Daten zu E‑Mail-Kommunikation vor. Der E‑Mail-Dienst De-Mail wird also entsprechend auch nicht erfasst.
22. Welche Aufträge im Rahmen der Entwicklung von De-Mail wurden an private Dienstleister vergeben? (Bitte entsprechend nach Jahr, Auftragsnehmer, Auftragsart/Titel und Kosten aufschlüsseln)
23. Welche Aufträge im Rahmen von De-Mail wurden an Computer Sciences Corporation (CSC) oder deren deutsche Töchterfirmen vergeben (bitte aufschlüsseln nach Jahr, Auftragsart/Titel und Kosten)?
Zu 22. und 23.
Auf die Vorbemerkung wird verwiesen.
24. Haben die De-Mail Provider auch eine Schnittstelle zum BND oder anderen Sicherheitsbehörden eingerichtet, bzw. wurden sie dazu aufgefordert entsprechende Zugänge zu ennöglichen?
[pagebreak]
-10-
Zu 24.
Zwei der drei genannten De-Mail-Provider haben aufgrund ihrer Verpflichtung nach § 110 TKG und der Telekommunikations-Überwachungsverordnung eine Schnittstelle zu den berechtigten Stellen eingerichtet.Im Übrigen wird auf die Vorbemerkung verwiesen.
-
: Hinweis auf Sicherheitslücke in argentinischem Wahlsystem führt zu Hausdurchsuchung
: Hinweis auf Sicherheitslücke in argentinischem Wahlsystem führt zu Hausdurchsuchung Am gestrigen Sonntag fanden in Argentiniens Hauptstadt Buenos Aires Bürgermeisterwahlen statt. Im Vorfeld wurde bei dem Programmierer Joaquín Sorianello eine Hausdurchsuchung durchgeführt, elektronische Geräte wurden beschlagnahmt. Der Grund: Sorianello hatte von Schwachstellen im elektronischen Wahlsystem berichtet, das bei Wahlen im letzten Jahr eingesetzt worden war und das auch bei den aktuellen Wahlen verwendet wurde.
Er fand heraus, das SSL-Keys des Systems auf einem öffentlich zugänglichen Server lagen. Eine Zugangssicherung war nur rudimentär vorhanden und leicht zu überwinden. Andere Forscher zeigten, dass es möglich ist, in dem System mehrfach abzustimmen. Durch die Möglichkeit der Signierung durch Dritte können ebenso falsche Wahlergebnisse an die Datencenter gesendet werden. Die Untersuchungen wurden möglich, da der Code des Systems vor etwa zwei Wochen geleakt wurde und eine Untersuchung des Systems so durchführbar war.
Sorianello hatte sich, nachdem er Sicherheitslücken festgestellt bzw. von ihnen Kenntnis hatte, an die Firma MSA (Magic Software Argentina) gewandt, die für die Entwicklung des Systems verantwortlich ist. Er sagt:
Ich habe nichts zu verbergen, ich habe lediglich von dem Sicherheitsproblem erfahren und die Firma MSA davon in Kenntnis gesetzt […] Wenn ich etwas hätte hacken oder etwas Schädliches hätte tun wollen, hätte ich die Firma nicht benachrichtigt.
Die Firma habe sich nicht bei ihm zurückgemeldet, die Durchsuchung kam überraschend, während er sich außerhalb der Stadt aufhielt. Der Fall ist ein trauriges Beispiel für die „Shoot the Messenger“-Politik, in der man eher versucht, denjenigen zum Schweigen zu bringen, der Missstände aufdeckt, als diese wirklich zu beheben.
-
: Hacking Team wird zu Hacked Team: 400 GB interne Daten von Überwachungssoftware-Hersteller veröffentlicht
: Hacking Team wird zu Hacked Team: 400 GB interne Daten von Überwachungssoftware-Hersteller veröffentlicht 
Der italienische Hersteller von Überwachungstechnik Hacking Team wurde – nach der Veröffentlichung von Handbüchern des Staatstrojaners RCS im Oktober 2014 – erneut gehackt. Ein Torrent mit 400 GByte Daten (hier mal das torrent-File gemirrort) wurde hochgeladen und der Webserver, sowie Hacking Teams Twitter-Account, dessen angezeigter Name in „Hacked Team“ geändert wurde [um etwa 12:00 Uhr am 6. Juli wurde der offizielle Account wiederhergestellt], wurden fremdkontrolliert. Auf Twitter verkünden die erfolgreichen Angreifer:
Since we have nothing to hide, we’re publishing all our e‑mails, files, and source code.
Die veröffentlichten Daten umfassen auch Rechnungen an Kunden, die in autoritären Staaten angesiedelt sind, und das obwohl solcherlei Geschäftsbeziehungen in der Branche großflächig geleugnet werden. Dabei sind auch, ohne die Veröffentlichungen, die Hinweise zahlreich. Beispielsweise wurden äthiopische Journalisten in den USA durch einen Trojaner von Hacking Team ausgespäht. Von dort befindet sich in dem Archiv eine unzweideutige Dankesmail dafür, dass man „oppositionelle Ziele schnell identifizieren“ konnte. Unter anderen Staaten mit fragwürdiger demokratischer Ausrichtung und Stabilität, die Kunden bei Hacking Team sind, befinden sich auch Ägypten, Saudi Arabien, Libanon, und Sudan.
Die veröffentlichten Rechnungen belaufen sich auf einen Gesamtwert von über 4 Mio. Euro. Außerdem befinden sich interessanterweise auch Passwörter in den Dokumenten, unter denen auch klassische, triviale Nicht-Passwörter wie Leetspeak-Varianten von „password“ vertreten sind.
Ein Vertreter von Hacking Team versucht die Vorwürfe abzuwiegeln und die Hacker zu diskreditieren:
Don’t believe everything you see. Most of what the attackers are claiming is simply not true…The attackers are spreading a lot of lies about our company that is simply not true. The torrent contains a virus [falsch.] …
Was sich noch alles in den Dateien befindet, wird sich in den nächsten Tagen offenbaren, wenn mehrere Augen die Gelegenheit haben, sich die ungeheuren Datenmengen anzusehen.
-
: Wikileaks veröffentlicht 29 Telefonnummern brasilianischer Regierungs- und Finanzvertreter, die durch die NSA überwacht wurden
: Wikileaks veröffentlicht 29 Telefonnummern brasilianischer Regierungs- und Finanzvertreter, die durch die NSA überwacht wurden 29 Telefonnummern wichtiger brasilianischer Regierungsmitglieder, Diplomaten und Repräsentanten standen auf einer Beobachtungsliste der NSA, die Wikileaks am 4. Juli veröffentlicht hat. Darunter die Präsidentin Dilma Rousseff und ihre direkten Mitarbeiter, der Finanzminister sowie der Vorstand der Zentralbank.
Passenderweise kommt die Enthüllung einen Tag, nachdem Rousseff von einer Reise zu US-Präsident Barack Obama zurückgekehrt war – die erste nach zwei Jahren des Ärgers über die Enthüllungen, dass das brasilianische Energieministerium, die nationale Ölbehörde sowie die Energiekonzerne Petrobras und Eletrobras im Visier der NSA standen.
Die neuen Enthüllungen untermauern das und dürften die Spannungen zwischen den Ländern wieder verstärken, denn die Leugnungen von Wirtschaftsspionage durch die NSA wirken immer absurder – wenn das überhaupt noch möglich ist.
Drei Tage vorher hat Wikileaks 69 Telefonselektoren veröffentlicht, die gegen deutsche Regierungsziele gerichtet sind. Auch in diesen finden sich auffällig viele Repräsentanten aus Wirtschafts- und Finanzinstitutionen.
-
: Neues Überwachungsprotokoll geleakt: NSA hörte Gespräche des Kanzleramtes ab
: Neues Überwachungsprotokoll geleakt: NSA hörte Gespräche des Kanzleramtes ab Die Enthüllungsplattform Wikileaks veröffentlicht weiter Dokumente, die zeigen, wie europäische Politiker von US-Diensten abgehört werden. Am heutigen Freitag wurde das Protokoll eines abgefangenen Telefonates veröffentlicht, das zwischen dem Abteilungsleiter für EU-Angelegenheiten im Kanzleramt, Nikolaus Meyer-Landrut und einem Berater des damaligen französischen Präsidenten Nicolas Sarkozy stattfand. Im Gespräch ging es um einen geplanten EU-Vertrag zur Bekämpfung von Finanzkrisen. Meyer-Landrut erwähnte die Verärgerung Schwedens über eine Blockadehaltung Großbritanniens.
Verantwortlich für das Abhören ist vermutlich der Special Collection Service (SCS), eine Spezialeinheit von NSA und CIA, die sich mit Abhörmaßnahmen unter schwierigen Voraussetzungen befassen – etwa in Nicht-US-Regierungsgebieten.
SCS steht auch im Verdacht, das Kanzlerinnenhandy abgehört haben, was bisher jedoch nicht bestätigt werden konnte. In einem veröffentlichten Protokoll zu einem Telefonat Merkels mit einem persönlichen Assistenten, dass Wikileaks zuvor veröffentlichte, findet sich zumindest kein expliziter Hinweis auf SCS. Es ist auch unklar, ob das jüngste publizierte Telefonat am Kanzleramt oder beim französischen Kommunikationspartner abgehört wurde.
-
: Leak aus Trilogverhandlungen zur EU-Datenschutzreform: Sägen an den Pfeilern des Datenschutzes
: Leak aus Trilogverhandlungen zur EU-Datenschutzreform: Sägen an den Pfeilern des Datenschutzes Vor Kurzem begann der Trilog zur EU-Datenschutzgrundverordnung, das heißt die letzte Verhandlungsphase, in der EU-Kommission, EU-Parlament und Rat der EU die letzten strittigen Punkte zur EU-Datenschutzreform ausverhandeln.
Statewatch.org hat eine, der Vorbereitung auf den Trilog dienende, Synopse des Rates der EU veröffentlicht, in der die unterschiedlichen Positionen der drei Institutionen zu den noch strittigen Punkten sichtbar sind.
Erich Moechel hat das Dokument analysiert und musste feststellen, dass der Datenschutzreform ein ähnliches Desaster droht wie den Verhandlungen zur Netzneutralität. Bei diesen ging am Ende ein schwammiges Regelwerk aus dem Trilog hervor, das eher mehr Rechtsunsicherheit bringt als weniger.
Im Fall der Netzneutralität wie auch der Datenschutzgrundverordnung ist der Rat der EU das zentrale Behinderungsorgan, die Kommission verhält aber ähnlich wenig hilfreich. Möchel schreibt:
Unmissverständliche und präzise Formulierungen im Parlamentstext werden in der Ratsversion durch neue vage, nicht näher definierte Formulierungen ersetzt. Aus Muss-Bestimmungen wurden Soll-Bestimmungen, wenn sie nicht überhaupt gestrichen werden.
Außerdem soll die Kommission, ohne Möglichkeit der Einflussnahme durch Parlament oder ein unabhängiges Gremium, allein darüber entscheiden, ob in einem Drittland über ein angemessenes Datenschutzniveau verfügt wird, um Daten dorthin übermitteln zu dürfen. Und wenn sich die Datenschutzbestimmungen in einem Drittland ändern, aber vorher ein „adäquates Schutzniveau“ geherrscht hat, könnten nach dem aktuellen Ratsvorschlag bestehende Datenübertragungsabkommen weiterhin aufrecht erhalten werden.
Das nächste Treffen in den Trilogverhandlungen soll am 14. Juli stattfinden. Dort werden unter anderem Datentransfers in Drittstaaten sowie das das Marktortprinzip besprochen. Wie auch andere EU-Gesetzgebungsprozesse steht die Datenschutzreform unter massivem Lobbydruck, der zum Ende hin eher anwächst als nachlässt.
-
: Mehr Details über den Aufbau und die Funktionen der Überwachungssuchmaschine XKeyscore veröffentlicht
Screenshot einer NSA-Präsentation zu XKeyscore. : Mehr Details über den Aufbau und die Funktionen der Überwachungssuchmaschine XKeyscore veröffentlicht The Intercept hat in einer zweiteiligen Artikelreihe 48 neue Dokumente zu dem Überwachungsprogramm XKeyscore veröffentlicht. Wir haben die mal gespiegelt und in ein Archiv zusammengepackt (Achtung >800MB). Die ersten Enthüllungen über XKeyscore – die „Googlesuche der NSA“ – gab es bereits zu Beginn der Snowden-Enthüllungen im Juli 2013.
Mit XKeyscore hat die NSA ein System erschaffen, mit dem sie ihre gewaltigen Datenberge durchsuchen kann – E‑Mails, Chatprotokolle oder Internetaktivitäten, Metadaten und Inhalte, gefiltert nach Namen, Telefonnummern, IP-Adressen, Browsertyp und vielem mehr. Ohne jegliche Kontrolle oder Aufsicht. Auf einem Cluster aus über 700 Server an 150 Standorten in verschiedenen Ländern wird sämtlicher Datenverkehr, der an Glasfaserkabeln abgeschnorchelt wurde, für gewisse Zeit gespeichert und durchsuchbar gemacht. Mit einer Nutzeroberfläche, die erstaunlich übersichtlich und bedienbar anmutet.
Die neuen Dokumente, die bis ins Jahr 2013 hineinreichen, zeigen uns, dass beim Durchsuchen von Mails, Chats und Internetaktivitäten noch lange nicht Schluss ist. Quasi alles wird gespeichert, kategorisiert und durchsucht. Dazu gehören:
[P]ictures, documents, voice calls, webcam photos, web searches, advertising analytics traffic, social media traffic, botnet traffic, logged keystrokes, computer network exploitation (CNE) targeting, intercepted username and password pairs, file uploads to online services, Skype sessions and more.
Uns wird auch gezeigt, dass sich die NSA zahlreicherer Möglichkeiten bedient, einen Nutzer zu verfolgen und seine Datenspuren zu einem Bild zusammenzufügen, als bisher bekannt. Nicht nur anhand der IP-Adresse wird getrackt, die NSA greift auch auf die Cookies kommerzieller Anbieter zurück und lässt diese so einen Teil der Verfolgungsarbeit erledigen, ganz ohne dass diese es merken. XKeyscore kann außerdem als Hacking-Tool benutzt werden, denn Passwörter und Zugangsdaten können abgefragt werden, ebenso wie „verwundbare“ Geräte. Und auch die Überwachungsergebnisse anderer werden von XKeyscore genutzt, sobald die NSA es geschafft hat, deren Instrumente zu analysieren. Es wird also wo es geht, Überwachungsarbeit an andere ausgelagert.
Um aus einer so inhomogenen Masse an Daten, wie sie durch XKeyscore zusammenkommen, sinnvolle Erkenntnisse zu generieren und aussagekräftige Abfragen tätigen zu können, müssen die Daten auf vielfältige Arten und Weise verarbeitet, analysiert und kategorisiert werden:
For example, the system automatically detects if a given piece of traffic is an email. If it is, the system tags if it’s from Yahoo or Gmail, if it contains an airline itinerary, if it’s encrypted with PGP, or if the sender’s language is set to Arabic, along with myriad other details.
Dazu bedient sich der Geheimdienst getaggten Inhalts- und Metadaten in hierarchischen Verzeichnisstrukturen. So wäre eine PGP-verschlüsselte Nachricht mit dem Fingerprint „encryption/pgp/message“ versehen. Laut einer Präsentation aus dem Jahr 2010 enthielt XKeyscore zu jenem Zeitpunkt bereits 10.000 solcher AppIDs (für das Kommunikationsprotokoll) und Fingerprints (für Arten von Inhalt). Und falls das gewünschte noch nicht dabei gewesen sein sollte, „kannst du einfach deinen eigenen erstellen!“ Falls einfache Regeln zum Sortieren des eingehenden Datenverkehrs nicht ausreichen sollten, kann der erfahrene Nutzer C++-Plugins mit komplexeren Filtern selbst in das System integrieren.
Der Aufbau des XKeyscore-Systems besteht laut einer Erklärung von The Intercept aus Red-Hat-Servern, auf denen ein Apache Web Server läuft und auf denen die Daten in MySQL-Datenbanken gespeichert werden – ein gewöhnlicher Open-Source-Stack also und keine Spezialsysteme. Die Analysten greifen über ganz normale Browser – „Internet Explorer wird nicht unterstützt“ – auf das System zu. Der Unterschied zu einer herkömmlichen Suchmaschine erscheint immer kleiner.
The Intercept zitiert John Adams, einen früheren Sicherheitsingenieur bei Twitter, der den schlechten Aufbau des Systems kritisiert. XKeyscore habe einige Sicherheitsmängel. So gebe es einen geteilten Administratorenaccount, sodass einer aus der Gruppe der Administratoren Änderungen vornehmen könne, die nicht auf ihn direkt zurückgeführt werden könnten. Administratoren können auch SQL-Anfragen direkt an die Datenbank stellen, die nicht wie die Suchen über das Nutzerinterface aufgezeichnet werden. Womit vollständig unnachweisbar wird, ob nicht doch die Daten von US-Personen angefragt werden – die offiziell rechtlich vor diesem Zugriff geschützt wären. Am Ende wundert sich John Adams, wie die NSA mit einem „so schlecht designten System“ so viel Erfolg haben konnte.
Nicht nur die NSA hat Zugriff auf XKeyscore, auch andere Regierungen werden für ihre Zusammenarbeit mit dem Zugriff auf die Überwachungssuchmaschine belohnt. Darunter natürlich die Mitglieder der Five Eyes, aber auch „die deutschen Dienste liegen mit den Amerikanern im Bett“. Und die freuen sich sicherlich auch über jedes neue Feature und jede Verbesserung, die von der NSA an XKeyscore durchgeführt wird. Denn mittlerweile sind die Informationen, die wir über das Programm haben, mindestens zwei Jahre alt. Und in diesen zwei Jahren dürfte viel passiert sein, von dem wir noch nichts wissen.