Digitale Selbstverteidigung ist erste User*innen-Pflicht!

Crypto-Party

Auch wenn es im Kampf um die Selbstbestimmung über deine Daten im Netz finster aussieht: Verschlüsselungstechnik richtig eingesetzt ist bisher nicht gebrochen. Mehrere Gruppen (die Antifaschistische Linke Düsseldorf, das Chaosdorf, die Don‘t Panic Computerkneipe sowie das Referat für politische Bildung des AStAs) veranstalten daher am Samstag, den 8.März, eine „Crypto-Party“ im Linken Zentrum (Corneliusstr 108, Düsseldorf). Ab 14:00 Uhr helfen wir beim Verschlüsseln von E-Mails und Dateien und geben Tipps und Anleitungen zum anonymen Surfen im Netz. Bis dahin hier ein kleiner Überblick, wie du deine Kommunikation absichern kannst. Wir erklären an dieser Stelle kurz, warum Verschlüsselung auch beim Surfen wichtig ist und nennen die bewährte Methoden zur E-Mail- und Datenverschlüsselung und zum anonymen Surfen, die wir mit Euch zusammen am 8. März einrichten und nutzen möchten.

Kenne dein Netz

Informationen laufen auf dem Weg durch‘s Netz über viele Knotenpunkte, die alle die Datenpakete anpacken und draufschauen. Die kleinen Datenpakete sind i. d. R. nicht verpackt, sondern offen lesbar auf jeder dieser Stationen, und alle schauen rein, zumindest immer ein bisschen, denn es muss ja herausgefunden werden, wohin das Paket geliefert werden soll. Auf allen diesen Stationen können die Inhalte also gelesen, kopiert ggf. auch verändert werden. In vielen Fällen (beispielsweise bei vielen Mailanbietern) werden sie auch gar nicht komplett an den Empfangsrechner abgeliefert, sondern verbleiben auf einem Server, wo die Empfangsperson sie dann verarbeiten kann, aber nicht nur sie, auch etwa Behörden und interessierte andere Gruppen, können auf legalem (Behördenanfragen) oder illegalen (Servereinbruch, Datendiebstahl) Weg an diese Daten kommen. Dieser „offene Transport“ gilt nicht nur  für „das Internet“, sondern betrifft auch das Netzwerk, dass dir den Zugang zum Internet überhaupt erst zur Verfügung stellt. Zuhause sieht es bei vielen so aus: Das Internet fällt irgendwo aus der Wand und wird dort von einem Modem bzw. Router weiter verteilt und versorgt deinen Rechner  per Kabel oder Funk (WLAN) mit Netz. Sämtliche Daten laufen hier über deinen Router, welcher damit ein interessantes Angriffsziel bietet. Versorgst du alle Rechner in deinem Heim per Kabel und hast das WLAN ausgeschaltet, scheint alles erst einmal ok, das Abhören, kopieren oder verändern von Daten wird innerhalb deines Netzes schwierig, wenn es keinen direkten, physikalischen Zugriff auf deine Rechner, Router oder Kabel gibt. Funkst du aber bequem per WLAN, sieht es anders aus. Denn dann können alle anderen Geräte, die sich mit dir das Funknetzwerk teilen, deine Daten mitschneiden. Daher bietet sich an, das WLAN zu verschlüsseln. Hier wird momentan das Verfahren WPA2 mit einem ordentlichen Passwort in der Praxis  als sicher angesehen. Das ältere Verfahren WEP ist dagegen schon lange ausgehebelt und sollte nicht mehr genutzt werden. Aber aufgepasst, bei einem WPA2-verschlüsselten WLAN bleiben zwar alle uneingeladenen Gäste draußen, jedes Gerät, dass jedoch „im WLAN ist“, kann den anderen auf die Finger schauen.

Noch mehr Vorsicht solltest du walten lassen, wenn du einen Netzzugang nutzt, den du nicht kennst, z.B. offene Netze in Cafés oder auf der Arbeit. Hier weißt du nicht, wer den Internetverkehr mitschneidet oder überwacht, am Arbeitsplatz beispielsweise kann es sein, dass geprüft wird, ob die Arbeiternehmer*innen während der Dienstzeit Privatdinge erledigen. Hierfür wird „selbstverständlich“ überwacht, welche Seiten und Mails über das Netzwerk fließen.

Im öffentlichen WLAN gilt dasselbe, egal ob mit Notebook oder Smartphone, wenn du deine Verbindung nicht zusätzlich absicherst (z.B. Such einmal im Netz unter SSL bzw. TSL, Ad-On-Tipp für den Browser ist z.B. „httpseverywhere“) können u.a. Logindaten von sozialen Netzwerken, E-Mail usw. abgegriffen werden.

Anonym surfen mit TOR

Bei TOR (The Onion Router) handelt es sich um ein Netzwerk von Rechnern, die deine Anfragen an eine Webseite verschleiern. Grob funktioniert es so: Du verbindest dich mit einem TOR-Server und handelst eine verschlüsselte Verbindung aus. Dieser baut nun eine weitere Verbindung zu einem anderen TOR-Server auf und verwendet auch hier einen sicheren Tunnel. Dieser zweite TOR-Server baut nun wiederum zu einem Dritten eine Verbindung. Der letzte Rechner in dieser Kette (der TOR Exit Node) ruft für dich die gesuchte Webseite auf. Der angefragte Server liefert die Webseite an diesen Tor Exit Node, d.h. der Server „sieht“ nur diesen Rechner und nicht deinen eigenen.

In der Kette der verschiedenen TOR-Rechner kennt jeder Knoten nur den Vorgänger und den Nachfolger. Da jede Verbindung über min. 3 TOR-Rechner geleitet wird, kennt lediglich der Eingangsrechner im TOR-Netzwerk dich, der Exit-Node weiß zwar, welche Seite aufgerufen werden soll, weiß aber nicht, wer sie angefordert hat.

Das TOR-Netzwerk verschleiert also die Herkunft einer Anfrage im Internet. Innerhalb des Netzwerkes wird der Verkehr verschlüsselt, auf der „letzten Meile“ zwischen TOR Exit Node und angefragtem Webserver jedoch nicht unbedingt. Das TOR-Netzwerk ist offen und kann von allen mitgestaltet werden, d.h. du kannst nicht wissen, wer die TOR Exit Nodes betreibt, über die deine Daten zwar anonymisiert, jedoch wieder entschlüsselt laufen, daher gilt auch hier, absichern mit SSL!  Es ist auch klar, dass deine Identität trotzdem auffliegt, wenn du dich über TOR mit einem nachvollziehenbaren Account in einem Dienst (z.B. E-Mail, facebook, Foren etc) einloggst.

Um TOR zu nutzen, installierst du das Tor Browser Bundle, hierbei handelt es sich um einen speziell eingestellten Firefoxbrowser, der alle Anfragen automatisch über das TOR-Netzwerk leitet.

Im Zuge der Enthüllungen bzgl. der NSA geriet auch das TOR-Netzwerk in Verdacht, kontrolliert zu werden, jedoch geht aus verschiedenen Unterlagen hervor, dass die NSA TOR verflucht und nicht in der Lage ist, sämtlichen Verkehr wieder Nutzer*innen zu zuordnen (in Einzelfällen gelingt es jedoch scheinbar, mit sehr großem Aufwand durch Beobachtung eines Großteils des TOR-Netzwerks, anonymisierte Rechner wieder zu identifizieren, jedoch entlarven sich die Nutzenden eher durch die unbedachte Nutzung von Logindaten o.ä.). Derzeit gilt die Verwendung des TOR-Netzes zur Verschleierung als sicher, sofern keine zusätzlichen Überwachungsmaßnahmen auf dich angewendet werden.
Infos: www.torproject.org

E-Mails sichern

Bleiben wir noch kurz beim Internet und wenden uns einem der ältesten, aber immer noch weit verbreiteten Diensten zu, der E-Mail:
E-Mails sind oft kostenlos, schnell eingerichtet und, da eigentlich alle über eine E-Mailadresse verfügen, auch das ideale Kommunikationsmittel im Internet.  Aber auch hier gibt es ein paar Problemfelder: Deine Logindaten (Mailadresse + Passwort) werden häufig im Klartext übers Netz verschickt (hier hilft SSL), aber auch die E-Mail selber läuft i.d.R. unverschlüsselt über diverse Server und wird häufig auch dort gespeichert und bei Zugriff durch Einbruch in den Server oder durch Behörden ungeschützt und einsehbar. Hinzukommt, dass die Absendeadresse für jede Mail frei wählbar ist, d.h. jeder kann eine E-Mail in deinem Namen verschicken. 
Um deine E-Mails wirkungsvoll zu schützen, gibt es das PGP (PrettyGoodPrivacy) Verfahren.

Hierbei erzeugen alle Teilnehmenden einen PGP-Schlüssel. Dieser wird in zwei Teile gesplittet, ein Teil ist geheim, und nur du kennst ihn (der Private key), der andere Teil ist öffentlich (Public key) und darf von allen eingesehen werden.

Wenn eine Person dir nun eine Mail schicken  möchte, kann sie einen beliebigen Text mit deinem öffentlichen Schlüssel verschlüsseln. Diesen Text kannst nun nur du mit deinem geheimen Schlüssel  wieder dechiffrieren, d.h. dein Publickey  macht die Daten zu, dein Privatkey öffnet sie wieder. Zusätzlich kann die Person die E-Mail mit ihrem geheimen Schlüssel „unterschreiben“ (signieren). Du kannst die Gültigkeit der Signatur mit dem öffentlichen Schlüssel der Person prüfen. Es werden hier also zwei Probleme gelöst: Der Inhalt wird so verschlüsselt, dass nur die Empfangsperson sie lesen kann, die Herkunft wird durch die Signatur sichergestellt, d.h. es kann keine Mail im falschen Namen versendet werden, da zur Signatur der geheime Schlüssel  verwendet werden muss. Wer nun auf die Daten zugreift (beim Versand oder auf dem Server des Mailanbieters) sieht nun nur einen verschlüsselten Datenblock. Um diesen zu lesen, müsste dein geheimer Schlüssel beschafft werden (welcher zusätzlich noch durch eine Passphrase geschützt ist, die nur in deinem Kopf gespeichert sein sollte).

 Um die Verschlüsselung kümmert sich das Programm GPG (eine quelloffene Version des PGP-Algorithmus). Um das Verfahren zu nutzen, solltest du deine Mails mit einem Mailclient abrufen (Empfehlung: Mozilla Thunderbird, hier gibt es auch ein Addon names „Enigmail“, das Thunderbird direkt mit GPG verbindet). Ausführliche Installationsanleitung: https://wiki.kairaven.de/open/krypto/gpg/gpganleitung

Chat & Instantmessages

Neben der E-Mail werden häufig auch Chatprogramme (Instantmessaging) genutzt. Hier gilt das gleiche wie oben: Werden deine Logindaten geschützt (SSL?), wird die Kommunikation verschlüsselt und die Identität der Person am anderen Ende bestätigt? Hier empfiehlt sich das Programm „Pidgin“, welches deine Konten bei verschiedenen Chatanbietern wie AIM, ICQ oder einen XMPP /Jabber-Account  verwaltet. Mit Hilfe des Plugins OTR (OffTheRecord) kannst du nun u.a. deine Chats mit den Leuten verschlüsseln, die ebenfalls OTR nutzen (Wie und Warum ausführlicher siehe z.B. hier: http://knallkopp.de/icq-verschluesselung-mit-otr/ ). Wenn du größtmögliche Kontrolle über deine Chatkommunikation behalten willst, kannst du auch selbst zuhause einen Jabber-Server betreiben und deinen Kontakten bereitstellen.

Abseits vom Netz: Daten auf der Festplatte

Auch wenn sich viel im Internet abspielt, viele Daten, die du lieber privat halten möchtest, liegen auch auf deiner Festplatte herum. Beim Diebstahl des Notebooks oder bei einer möglichen Hausdurchsuchung sind sie nun einsehbar. Hier gibt es verschiedene Möglichkeiten, Daten zu schützen. Das Sicherste ist, die komplette Festplatte (bis auf einen kleinen Teil, der zum Booten benötigt wird) zu verschlüsseln. Dies geht unter allen gängigen Betriebssystemen. Ein Nachteil hierbei ist, dass der Zugriff auf Dateien spürbar langsamer werden kann, desweiteren kann es sein, dass bei einem Datenverlust der gesamte Inhalt einer Festplatte verloren geht (und nicht nur die Datei, die vom Crash betroffen ist), da sich ggf. der gesamte Inhalt nicht wieder entschlüsseln lässt. Hier sind vertrauensvolle Backups auf jeden Fall unabdingbar.

Einzelne Dateien lassen sich auch mit PGP bzw. GPG (siehe E-Mail) verschlüsseln, hier kannst du eine Datei für einen bestimmten Empfangsschlüssel (z.B. auch deinen eigenen) verschlüsseln.

Eine weitere Möglichkeit bietet Truecrypt, hiermit ist es möglich, komplette Teile einer Festplatte (Partitionen)  oder auch nur einen gewissen Teilbereich (sog. Container) zu verschlüsseln. Diese Bereiche kannst du bei Bedarf mit einem Passwort öffnen und bereitstellen und wieder verschließen, wenn du nicht mehr mit ihnen arbeitest.

Zum Schluss

Hier wurden nun einige Verfahren und Techniken zum Schutz von Daten und Kommunikation vorgestellt. Es gilt aber bei allen: 100 % Schutz gibt es nicht. Daher gilt: Am sichersten ist es, wenn möglichst wenig Daten überhaupt anfallen und Gespräche tatsächlich „privat“ unter vier Augen geführt werden.
Infos unter https://de.wikipedia.org/wiki/Festplattenverschl%C3%BCsselung und https://de.wikipedia.org/wiki/Truecrypt

Der Text entstand ursprünglich für die „Anders Leben“ - Rubrik im Plastic Bomb Fanzine Herbst 2013 und ist hier verkürzt wiedergegeben.