Der paranoide Hacker

Eine kurze, fiktive Geschichte zur Anonymität im Netz

Ein junger Hacker steigt nachts an einem Vorstadbahnhof in seinen Regionalzug ein. Müde lässt er sich im komplett leeren Waggon auf einen der Sitze fallen. Als er seinen Rucksack auf den Boden stellen will, fällt ihm ein Schnellhefter auf, der auf dem Boden liegt. Vorsichtig hebt ihn auf. Er sieht sich um, weit und breit niemand zu sehen. Die erste Seite ist leer mit einem roten diagonalen Streifen, doch als er umblättert, sieht er sofort die großen Markierungen in roter Farbe: GEHEIM – amtlich geheimgehalten.

Beim Blättern sieht er, dass es sich um genaue Pläne zum Aufbau einer totalen Überwachung und Zensur des Internets handelt. Ihm ist klar, dass das Material so schnell wie möglich an die Öffentlichkeit muss. Er macht sich jedoch keine Illusionen – wenn derjenige erwischt wird, der das Material veröffentlicht hat, wird ihm das nicht gut tun. Nervös sieht er sich um. Keine Überwachungskameras im Zug. Am Bahnhof, wo er eingestiegen ist, auch nicht, und seitdem fährt der Zug durch den Wald. Gesehen hat ihn niemand. An seinem Heimatbahnhof wird um diese Uhrzeit auch niemand sein, und die einzige Überwachungskamera dort wurde noch nicht repariert, seit er sie eigenhändig sabotiert hat. Sein Handy hatte er eingeschaltet auf dem Schreibtisch vergessen.

Er packt seine Digitalkamera aus und stellt erfreut fest, das der Akku noch fast voll ist und die Speicherkarte noch mehr als genug Platz bietet. Er vergewissert sich nochmal, allein im Waggon zu sein und fotografiert die Seiten ab. Dann lässt er die Akte in seinem Rucksack verschwinden. Er weiß, dass um diese Zeit eine Station nach der, wo wo er aussteigt, jede Menge hoffnungslos betrunkener Fußballfans auf ihren Zug warten, die den Zug meist übel zurichten – wenn jemand die Akte vermisst, wird er sie zuerst bei denen suchen.

Als er aus dem Zug aussteigt, überlegt er, wie er die Akte loswerden könnte. Er nimmt das Papier aus dem Schnellhefter, wirft beides in einen Papierkorb am verlassenen Bahnsteig und zündet ihn an. Brennende Papierkörbe sind in der Gegend nichts, was irgendwie auffällig wäre. Mit einem Stock zerkleinert er die Asche. Zufrieden sieht er beim Weg nach Hause die Überwachungskamera, die immer noch eine dicke Schicht schwarzer Farbe auf der Linse hat, und freut sich, dass der aufziehende Regen nicht nur viele Spuren verwischen wird, sondern auch die Asche im Papierkorb endgültig in eine schmutzige Brühe verwandelt.

Daheim angekommen, packt er die Digitalkamera aus, startet eine Live-CD, um keine Spuren auf der Festplatte zu hinterlassen, und entfernt sorgfältig die EXIF-Daten in den JPEG-Dateien. Die bereinigten Kopien landen wieder auf der Speicherkarte, und zwar auf oberster Ebene, falls der Browser den Pfad mitsendet. Dann versteckt er die Speicherkarte und wartet einige Tage ab, bevor er wieder von der Live-CD startet. Kurze Zeit später hat er sich über TOR zu einer kostenlosen JAP-Kaskade verbunden. Nachdem er nochmals mit einem Hexeditor überprüft hat, dass die Bilder keine EXIF-Metadaten mehr enthalten, startet er einen BitTorrent-Client, welcher wahllos über seine Anonymisierungskette Daten hoch- und herunterlädt, um Traffic zu erzeugen. Er lädt die Bilder bei einem Bilderhoster hoch und schickt die Links über einen anonymen Web-to-News-Dienst an einige Newsgroups. Danach überschreibt er die Speicherkarte 35 mal mit Zufallsdaten. Er überzeugt sich in den Logs der Firewall, dass nichts auch nur versucht hat, an der Anonymisierungkette vorbei Daten zu versenden, schaltet den Laptop aus, trennt ihn vom Netz und entfernt den Akku. Sicherheitshalber entnimmt er die Speicherkarte, legt diverse viel zu hohe Spannungen daran an, schlägt sie klein und spült die Reste in der Toilette herunter. Dann startet er wieder seinen Rechner und wirft memtest86 an, bevor er sich schlafen legt. Die ganze Nacht lang regnet es in Strömen.

Eine Woche später ist im Internet eine hitzige Diskussion über die Dokumente entbrannt. Trotzdem wiedersteht der paranoide Hacker der Versuchung, auch nur die geringste Andeutung zu machen, die ihn verraten könnte. Zufrieden grinsend will er sich übermüdet ins Bett legen – es ist schließlich schon sechs Uhr früh -, als jemand an der Tür klopft. Bevor er zur Tür kommt, kommt diese ihm schon mit lautem Splittern entgegen. Zwei Stunden später, vor Müdigkeit inzwischen alles doppelt sehend, wiederholt er auf dem Polizeirevier auf jede Frage immer wieder den Satz „Ich mache von meinem Aussageverweigerungsrecht Gebrauch.“

Durch welchen Fehler hat der Hacker seine Anonymität zerstört, wie ist man ihm auf die Schliche gekommen? Welchen Sinn hatten die einzelnen Schritte, die er unternommen hat? (Antworten bitte über die Kommentarfunktion.)

Ich rechne damit, dass es mehr als eine Lösung geben wird, da ich sicher auch nicht an alles gedacht habe. Die Geschichte und die (hoffentlich zahlreichen) Antworten sollen zeigen, dass wirklich gute Anonymität schwer zu erreichen ist, und ein paar wenig Punkte aufzeigen, an denen sowas schief gehen kann.

Wusstest du, …
… dass Browser beim Dateiupload den Dateinamen oder auch den ganzen Pfad mitsenden können?
… dass oft daran gedacht wird, die digitalen Spuren zu verwischen, die analogen (Fingerabdrücke, Zeugen) aber oft vergessen werden?
… dass viele Leute erwischt werden, weil sie prahlen oder sich verquasseln und dabei Täterwissen zeigen?
… dass Arbeitsspeicher teilweise noch Minuten nach dem Ausschalten nicht komplett gelöscht ist?
… dass verbrannte Dokumente oft noch rekonstruierbar sind, wenn die Asche nicht bewegt wurde?
… dass man bei der Polizei immer von seinem Aussageverweigerungsrecht Gebrauch machen sollte?

Über die (scheinbaren) Vorteile von Videoüberwachung

Gestern bin ich durch einen Trickdieb um einen nicht gerade unerheblichen Geldbetrag ärmer geworden, obwohl mir das Verhalten verdächtig war und ich aufpasste. Diesen Trick kannte weder ich noch die Polizisten in dieser Form (auch wenn es nur eine minimale Abwandlung der üblichen Methoden war), und ich kann immer noch nicht nachvollziehen wie es klappen konnte, aber na ja, scheiße halt, eben Pech gehabt, kann man nix machen, Dummheit wird bestraft. (Wer Geld wechselt, sollte sich dabei eben nicht „helfen“ lassen…)

Obwohl die Chancen, dass der Trickdieb gefasst wird und ich mein Geld wiedersehe, natürlich nahe Null sind, habe ich sofort (habe es eine Minute danach gemerkt) die 112 vom Handy aus angerufen und bekam dann auch (15 Minuten später, obwohl mitten in Frankfurt – naja, es gibt wohl wirklich wichtigeres) eine Streife vorbeigeschickt. Dummerweise bin ich im Personen beschreiben und Gesichter merken sehr schlecht (obwohl es mir durch die Fragen der – übrigens sehr freundlichen – Polizisten leichter fiel, als ich dachte). Obwohl sich der Vorfall in einer U-Bahn-Station ereignet hat, gab es keine Kamera (es war nicht am Bahnsteig, sondern auf der Zwischenebene) – und natürlich dachte ich „hm, Videoüberwachung wär echt nicht schlecht gewesen“. Damit hätte es nämlich recht sicher ein brauchbares Bild des Täters gegeben, was zumindest das Problem der Identifikation gelöst hätte. Selbst wenn ich nämlich in einer Woche Bilder anschauen soll (wie mir gesagt wurde), werde ich mich bis dahin wohl nicht mehr gut genug an den Täter erinnern.

Nun aber mal fix weitergedacht: Dieser Vorfall hätte sich überall ereignen können, eine U-Bahn-Station war es wohl, weil es da grad wärmer war als draußen. Wenn man also annimmt, dass Kameras für solche Fälle sinnvoll wären, wären eigentlich eine flächendeckende Überwachung die logische Folge daraus. Diese ist jedoch aus mehreren Gründen abzulehnen:

Bei jeder Maßnahme ist immer der Nutzen mit den Schäden zu vergleichen. Da wäre zuerst der direkte Schaden durch die immensen Kosten einer flächendeckenden Überwachung – Anschaffung, Wartung, Auswertung, Speicherung und Strom sind bei so was nicht billig. (Allein schon der Stromverbrauch dürfte mindestens ein zusätzliches Kraftwerk nötig machen.) Obwohl dieses Argument leider das Einzige sein dürfte, was Politiker interessieren würde, ist es eines der Unwichtigsten.

Videoüberwachung (egal ob flächendeckend oder nicht) kann auf drei Arten benutzt werden: Sinnvoller Gebrauch gegen wirkliche Straftaten, simpler Missbrauch (z. B. durch gelangweilte Polizisten, zum Verfolgen des unliebsamen Nachbarn oder zum Spannen) und – und das dürfte am Gefährlichsten sein – gezielter Missbrauch gegen politische „Straftaten“. Die Gefahr ist besonders gegeben, weil man Personen, die eine unbequeme Meinung äußern (Dissidenten), meist als Terroristen deklariert (siehe weniger demokratische Länder) und die Überwachungsmaßnahmen für Terroristen gedacht sind. So ein Missbrauch kann auch durch völlig andere Personen erfolgen als die, die (vielleicht sogar mit guten Absichten) die Überwachung eingeführt und damit aber auch das Missbrauchspotential geschaffen haben. Und dieses Missbrauchspotential ist sehr hoch, und damit ist im Falle einer demokratiefeindlichen Regierung Missbrauch vorprogrammiert.

Insbesondere an Bahnhöfen und Stationen (wo Überwachung meist stattfindet) und großen Straßen (Mautsystem!) ist es kritisch. Auch Dissidenten müssen reisen, und sie werden wohl kaum zu Fuß in die nächste Stadt laufen. Dissidenten und Terroristen ähneln sich sehr, man kann sogar beides gleichzeitig sein – der eigene (undemokratische) Staat und ein Teil der Bürger kann einen für einen Terroristen halten, währen die anderen (demokratischen) Staaten und der andere Teil der Bürger einen für einen Freiheitskämpfer und zu Unrecht politsch verfolgten Dissidenten halten. (Bevor Vermutungen kommen, nein, ich halte Deutschland nicht für eine Diktatur.)

Die Überwachung greift tief in die Freiheitsrechte ein, insbesondere in das Recht, sich innerhalb des Bundesgebiets frei zu bewegen – wird man wirklich zu einem Treffen der (Oppositions-)Partei seiner Wahl gehen, wenn man davon ausgeht, dass „Big Brother“ (dem das vermutlich nicht gefällt) das sieht? Eine Totalüberwachung ist somit verfassungswidrig und nicht wünschenswert. Das Bundesverfassungsgericht ist übrigens auch dieser Meinung (zum Glück).

Ich kann jetzt aber wenigstens verstehen, warum die breite Masse bei der Frage „Wollt ihr die totale Überwachung?“ ein lautes „JAAA!“ brüllen würde. Ich würde es immer noch nicht tun. Aber ich war kurz davor. Hätte ich nicht nochmal darüber nachgedacht, würde hier wohl ein etwas anderes Posting stehen. Und über jede Sache erstmal lange nachzudenken, kann man wirklich nicht von jedem Bürger, der sich nicht wirklich für solche Themen interessiert, erwarten – das Verhalten der Masse ist also nachvollziehbar und man kann den Leuten leider keinen Vorwurf machen. Richtig ist es trotzdem nicht.

Wenn also wieder mal jemand meckert, dass man ja nur so lange gegen Videoüberwachung sei, bis man selbst Opfer wird, hier ist der Gegenbeweis, inklusive Argumentation.

Mal abgesehen davon hätte Videoüberwachung nur das Problem mit der Personenbeschreibung gelöst. Weg wäre der Dieb trotzdem (außer natürlich bei wirklich flächendeckender Überwachung, und das man die nicht will, ist entweder sowieso einleuchtend oder hilfsweise eben ausreichend durch das Bundesverfassungsgericht geklärt).

Übrigens noch zur Problematik des Geldwechselns allgemein: Es gibt sehr viel mehr normal verlaufende Wechsel als solche mit Betrügern. Aus Angst überhaupt nicht mehr zu wechseln wäre falsch, eine solche Mentalität würde mehr schaden als nutzen (irgendwann braucht man auch mal Kleingeld). Aber man sollte eben wachsam sein – ich Idiot hätte es besser wissen müssen, da während der Sache eigentlich klar war, dass ich entweder einem Betrüger oder einem Geisteskranken Geld welchsele, und ich zahlreiche dieser Betrügertricks kenne und eigentlich eher „Paranoid“ als unvorsichtig bin. Übrigens sieht man hier einen recht klaren Fall, warum auch vermeintlich „kriminelles“ Wissen nicht verboten werden sollte (wie es z. B. mit dem Hackerparagraphen geschieht), da dieses Wissen durchaus hilft, sich zu schützen (auch wenn es in diesem Fall nicht gereicht hat). Sehr zu empfehlen ist übrigens die englische TV-Serie „The Real Hustle“, bei denen solche und noch deutlich fiesere Tricks vorgeführt werden. (Beispiel: falsche Bankangestellte, die von ahnungslosen Kunden Geld entgegennehmen)

Ergänzung: Ich dachte, das hätte ich schon früher ergänzt. Die Polizei rät tatsächlich, lieber gar kein Geld mehr zu wechseln.

Drogerie „Big Brother“

Ich war gerade in einer dm-Drogerie (an der U-Bahnstation „Bornheim Mitte“ in Frankfurt, falls es jemanden interessiert), eine Kerze (Grablicht) für die Mahnwache heute abend kaufen. Während ich in der Schlange stand, habe ich es mir dann überlegt, die Kerze wieder zurückgestellt und bin gegangen. Grund: An der Decke, den hängenden Leuchten und den Wänden (!) habe ich zahlreiche Dome-Überwachungskameras (vermutlich nicht alle echt) gesehen, die teilweise in einem Zickzack-Muster mit je unter 2 Meter Abstand über einem Gang angeordnet waren. Bei 20 Stück habe ich aufgehört zu zählen, es waren mehr. Und das in einer Filiale von ca. 15×30 Metern. Nein, ich werde nicht die Ausrüstung für eine Mahnwache gegen Überwachung in einem Laden kaufen, der seine Kunden so überwacht oder ihnen zumindest das Gefühl vermitteln will, das zu tun.