Schnipsel

Zum Herbsteinbruch ziehen nicht nur die Hibiskuskübel in wärmere Gegenden, auch die kleinen Tiere drauf suchen sich ein gemütliches Plätzchen im Wohnzimmer.

Eine kleine Rechenaufgabe aus dem gestrigen Münchner Polizeibericht:

Seit Juli diesen Jahres sanktioniert das Referat für Gesundheit und Umwelt der LHS München als zuständige Behörde Verstöße mit Zwangsgeld im vierstelligen Bereich.
Nach erfolgter erster Feststellung wird das Zwangsgeld noch angedroht bei festgestellter Wiederholung werden bis zu 1.000 Euro fällig.

Falls jemand die kleine Rechenaufgabe nicht lösen kann: Man muss die Schnittmenge bilden und das Ergebnis lautet "Das Zwangsgeld beträgt immer genau 1000 Euro".

Hintergrund ist ein Bericht über verstärkte Kontrollen in Münchner Puffs zur Wiesnzeit. Dieses Jahr scheinen unsere Ordnungshüter erstmals die Kondompflicht zu überprüfen. Festgelegt ist der Gummizwang für beide Beteiligten in der Bayerischen Hygiene-Verordnung. Die korrekte Anwendung wird zwar nicht geprüft, aber man schaut nach, ob der Verbraucher dort deutlich per Hinweisschild auf seine Pflicht hingewiesen wird.

Da fällt mir wieder ein, dass ich den Leuten im Polizeipräsidium mal schreiben wollte. Nachdem ich erfahren habe, dass das BKA die Besucher seiner Informationsseite zur "militanten gruppe" pauschal verdächtigt, muss man ja vorsichtig sein mit den Informationen unserer Ordnungshüter. Wir lesen fast täglich halb aus beruflicher, halb aus privater Neugier den Polizeibericht. Sowas freut vielleicht den Pressesprecher dort wenn er die Klickstatistik sieht, aber macht uns doch auch wieder verdächtig. Immerhin wohnen wir auch noch in der Nähe des Tatorts, und zwar jedes der dort erwähnten!

Wieder ein neues Wort gelernt. Ich hätte es zwar schon vor Wochen im Fragenkatalog des Justizministeriums zum Bundestrojaner aufschnappen können, aber irgendwie hab ichs dort übersehen.

Kurz gesagt, beschreibt der Begriff "Quellen - Telekommunikationsüberwachung" das Einbauen von Wanzen an der Quelle der Kommunikation, also dem Telefon oder dessen neumodischem Ersatz, dem Computer. Im Falle eines Computers heisst das, dass man einen kleinen Trojaner installiert, der dann später irgendwie die Kommunikation übermittelt. Auf der Leitung nämlich kann man das nicht belauschen, weil die Daten von Internettelefonie, Chat und Messenger dort oft verschlüsselt sind.

Daten auf dem Rechner des Opfers, die nicht zur Kommunikation gehören, werden dabei nicht übertragen. Deshalb gehört das Thema auch nicht zum Themenkreis "Heimliche Online-Durchsuchung", sondern lediglich zum klassischen Abhören von Telefonen, Faxen und Fernschreibern. Das hat das Innenministerium dem Justizministerium auch schon im oben verlinkten Fragenkatalog erklärt, aber keiner hat darauf geachtet:

Von der Online-Durchsuchung ist die Quellen-TKÜ zu unterscheiden, bei der Telekommunikationsinhalte und nicht sonstige, etwa auf der Festplatte abgelegte, Daten erhoben werden, die anderen rechtlichen Regelungen unterliegt.

Zumindest ist das also die feinsinnige Rechtsauslegung der Bundesregierung und des bayerischen Innenministeriums, die heute zugegeben haben, dass das Zollfahndungsamt in zwei und das bayerische Landeskriminalamt in mehreren Fällen derartige Quellen-TKÜ-Trojaner eingesetzt haben. Der Spiegel schreibt dazu:

Nach Ansicht des Innenministeriums ist diese Quellen - Telekommunikationsüberwachung, kurz Quellen-TKÜ, rechtlich gedeckt. Da es sich um die Kontrolle des Fernmeldeverkehrs handle, gelte dafür die gleiche Grundlage wie für das Abhören von Festnetz- oder Handy-Telefonaten. Auch alle dazu notwendigen Eingriffe - hier nun das Installieren eines Trojaners - seien daher abgesichert.

Was ich dabei nicht verstehe, warum dann eigentlich so ein Aufwand um die Ermächtigung zur Online-Durchsuchung im BKA-Gesetz gemacht wird. Wenn z.B. der Herr Beckstein sagt

Man wisse, dass die Festgenommenen das Internet nutzen, sagte Beckstein. Aus welchen Gründen sie im Internet waren, könne er aber nicht sagen, weil die Sicherheitsbehörden Online-Durchsuchungen nicht durchführen dürfen.

oder uns Volker Kauder die Notwendigkeit des Bundestrojaners erklärt

Warum ist das notwendig? Immer mehr, übrigens auch Privatleute, nutzen die Möglichkeit, verschlüsselt zu telefonieren über das Internet. Und wir sind dann, die Sicherheitsbehörden sind dann nicht in der Lage, diese Verschlüsselung, während sie gesendet wird, sofort aufzulösen. Dann wird es abgelegt auf dem Server des betreffenden Terroristen, und dann muss es eben dort entschlüsselt werden.

dann muss den beiden doch klar sein, dass sie da Dinge fordern, die ganz klar schon lange erlaubt sind, zumindest nach Ansicht der eigenen Leute, im Falle Beckstein sogar seiner eigenen Behörde. Beide sind studierte Juristen mit jahrelanger Erfahrung im Gesetze machen und Gesetze anwenden. Solchen Leuten könnte man die technisch etwas holperige Erklärung Kauders nachsehen. Falls sie aber wirklich bisher dachten, Internet-Überwachung per Trojaner sei verboten, sollten sie ihre Kompetenz in Rechtsfragen nochmal überprüfen. Oder halt die der betreffenden Ministerien.

Falls die Ministerien irren sollten, wird man sicher bald über die Strafverfahren gegen die verantwortlichen Beamten hören. Falls die beiden sich irren, können wir ganz bestimmt mit dem Rückzug der zwei Politiker ins Privatleben rechnen. Falls sich keiner geirrt hat, wars einfach Politik...

Beim Googlen nach den Interwiews hab ich übrigens noch einen richtig schönen Satz von Wolfgang Bosbach gefunden. Auf die Frage nach der Gefahr, dass der Trojaner nicht nur lauscht, sondern auch manipuliert, sagt er beim ZDF:

Der Datenbestand kann überhaupt nicht manipuliert werden, denn der Einsatz einer so genannten Schadsoftware ist ausdrücklich verboten.

Ja dann....

Nach meiner Bank sind auch andere draufgekommen, dass Werbung nicht mehr bunt sein darf. TSD, ein Anbieter von preselect-Rufnummern zum Beispiel versucht es mit recht billig aussehenden Postkarten, die den Charme der Benachrichtigungen der Deutschen Bundespost in den 80er-Jahren ausstrahlen. Also damals, vor Erfindung des grossen T, das bei der Telekom die Einführung von Farbdruckern erzwungen hat.

Was kommt als nächstes? Einladung zu Kaffeefahrten, die als Vorladung aufgemacht sind?

Achso, falls jemand sowas bekommt: Lieber nicht anrufen, erst mal den Firmennamen bei Google eingeben...

Seit Montag geistert ein Urteil durchs Internet, wo ein Mensch vom Arbeitskreis Vorratsdatenspeicherung sich gegen das Justizministerium durchgesetzt hat: Das BMJ darf zukünftig die IP-Adresse seiner Homepagebesucher nicht mehr speichern. Die Idee des Richters hinter diesem Urteil ist irgendwie schon klar:

Eine Verneinung des Personenbezuges von dynamischen IP-Adressen [...] hätte zur Folge, dass diese Daten ohne Restriktionen an Dritte z.B. den Access-Provider übermittelt werden könnten, die ihrerseits die Möglichkeit haben, den Nutzer aufgrund der IP-Adresse zu identifizieren, was mit dem Grundgedanken des Datenschutzrechts nicht vereinbar ist. Abgesehen davon wird die Rechtsauffassung der Beklagten insoweit nicht geteilt, als vorgetragen wird, dass eine Bestimmbarkeit der Person nur gegeben sei, wenn der Betroffene mit legalen Mitteln identifiziert werden könne. Zu Recht weist der Kläger darauf hin, dass das Datenschutzrecht gerade vor dem Missbrauch von Daten schützen soll [...]

Also kurz gesagt, solange es irgendwen gibt, der die IP-Adresse einem Menschen zuordnen kann, ist sie personenbezogen. Und wenn der eine auch nur der eigene Provider des Besuchers ist, oder einer seiner Angestellten, der kriminell handelt wenn er den Kundennamen zur IP rausrückt.

Ich bin eher die Meinung von Chris bei F!XMBR, dass der Kläger da weit übers Ziel hinausgeschossen ist und bei konsequenter Umsetzung ganz schön viel Wartbarkeit und Sicherheit der Server den Bach runtergeht. Aber so ein bisschen Recht muss man dem Kläger schon geben.

Ich probiers jetzt jedenfalls mal, einen Server zu betreiben, der in den normalen Logfiles keine IP-Adressen speichert sondern ein paar Minuten nach Gebrauch in eine pseudonymisierte Form umwandelt (in den Datenschutzerklärungen verspreche ich überall "innerhalb einer Stunde", falls ich da doch noch Luft brauche). Ich glaube nämlich wirklich, dass es nicht weiter schlimm ist, die Zugriffe normaler Besucher nicht mit IP-Adressen zu protokollieren. Dank der schon vorher (wenn auch nur 1x täglich) angewendeten Pseudonymisierung bleibt auch noch genug Information erhalten, um Spass an seiner Serverstatistik zu haben.

Das schöne Siegel von "Wir Speichern Nicht" werd ich aber trotzdem nicht bekommen. Dafür geht deren Fragekatalog einfach zu weit. Der Knackpunkt sind die Kommentare hier. Wenn hier jemand kommentiert, wird seine IP-Adresse für fünf Tage gespeichert. Schlimmer noch, mein Spamfilter leitet die IP-Adresse des Kommentators an irgendwelche Schwarzen Listen weiter, deren Ergebnis dann eine Einschätzung der "Spamigkeit" des Kommentars ist. Momentan ist diese Option zwar ausgeschaltet, weil so wenig unerkannter Spam reinkommt, die Mailbenachrichtigung über neue Kommentare enthält ebenfalls keine IP-Adresse mehr, aber grundsätzlich möchte ich diese Möglichkeit noch behalten. Ich glaube damit komme ich nicht durch, die Kriterien beziehen sich eindeutig auch auf das "Absenden oder Veröffentlichen von Nachrichten". Ich hab mal einen Text unter das Kommentarfeld gesetzt. Der liest sich zwar schrecklich, beschreibt aber den ganz normalen Wahnsinn in der vermüllten Welt der Blogs, Foren und Gästebücher.

Auch der Punkt "Es werden keine personenbeziehbaren Logdaten gespeichert (z.B. in Logfiles einschließlich Error, Firewall und IDS logs)". geht mir zu weit. Eine vernünftige Firewall logt nur Verkehr, der ihr verdächtig vorkommt, oder gegen ihre Regeln verstösst. Ich würde Surfverhalten, das sich in Errorlogs und Firewalllogs niederschlägt nicht als bestimmungsgemässe Nutzung meines Servers sehen. Ein IDS (intrusion detection system, so eine Art Bewegungsmelder für verdächtig aussehenden Netzwerkverkehr) habe ich zwar nicht, aber ein IDS ohne IP-Aufzeichnung kommt mir so sinnvoll vor wie eine Überwachungskamera im Tresorraum, die absichtlich die Gesichter verpixelt, um keine Unschuldigen in Verdacht zu bringen.

Zum Glück habe ich keine fremden Banner, Counter und Statistiktools eingebaut und nur in einem, fast nie besuchten, Beitrag hier ein eingebettetes YouTube-Video. Ich hab das eigentlich eher deshalb vermieden, weil ich die Seiten hasse, wo schon fast alles geladen ist, der Browser aber noch auf ein wichtiges kleines Icon eines Counters warten muss. Hätte ich sowas verwendet, müsste ich auch noch für all diese Dienstleister versprechen, dass sie die Daten meiner Besucher sofort löschen. Ob ich von YouTube dazu überhaupt eine Auskunft bekäme?

Ich leite auch die IP-Adressen meiner Besucher ganz ungeniert zur Google weiter, wenn sie sich z.B. über offroad-Touren informieren wollen. Die ganzen Tracks und Landkarten bei dem Pyrenäen-Reisebericht kommen ja von Google-Maps. Das gleiche gilt für die Besucher meines Geo-Counters. Dort speichere ich zwar nicht selbst sondern Google, aber vertrauliche Behandlung von Besucherdaten ist was anderes...

Alle anderen Logs lasse ich übrigens bei ein paar Tagen Speicherfrist. Falls mir mal wieder einer ein paar GB Traffic beschert, will ich ihn im Fehlerlog finden und automatisch aussperren. Dienste mit Anmeldung (ssh, ftp ...) werden ausschliesslich von mir genutzt und ein anderer kommt da kaum ohne böse Absicht (zumindest böse Absicht seines verwurmten Rechners...) drauf. Und wer mir eine Mail schickt, darf ruhig im Log auftauchen, falls der Brief ankommt, sehe ich ja eh den Absender und alle dazwischenliegenden Mailserver.