Der Stand der Datenprotokollierung: Eine Bewertung von Bedrohungsstufen und Sicherheitspraktiken
15.5.2018 - 10 Min. Lesezeit
Aktualisiert: 26.9.2021
Psiphon Inc. ist seit Jahren führend bei den Bemühungen, das Internet für Menschen zu öffnen, die unter zensierenden Regimen leben. Obwohl sie online keinen inhaltlichen Einschränkungen ausgesetzt sind, greifen Nutzer aus westlichen Ländern auf VPNs wie Psiphon zurück, um ihre persönliche Privatsphäre im Internet zu schützen. Doch im März 2017 veröffentlichte das Pew Research Center eine überraschende Statistik, wonach rund 70 % der US-amerikanischen Internetnutzer nicht sicher sind, welchem Zweck ein VPN dient.1
Wenn die stetig wachsende Zahl von Psiphon-Konten ein Indikator für die wachsende Zahl von VPN-Nutzern weltweit ist, betritt ein beträchtlicher Zustrom unabhängiger Nutzer einen Markt, in dem ihnen jeglicher Maßstab zur kritischen Bewertung der Produkte fehlt. Diese Gruppe trägt nun die Last, Risiken im ungewohnten Bereich der Cybersicherheit zu verstehen. Daher sind sie äußerst anfällig für Fehlinformationen. Ein solcher Begriff, der Nutzer in höchste Alarmbereitschaft versetzt, ist das allgegenwärtige Auftauchen des Begriffs Datenprotokollierung auf VPN-Websites und in -Foren sowie eine verzerrte Darstellung individueller Risiken und Methoden zum wirksamen Selbstschutz.
Laut Techopedia ist „die Datenprotokollierung der Prozess des Erfassens und Speicherns von Daten über einen bestimmten Zeitraum, um bestimmte Trends zu analysieren oder die datenbasierten Ereignisse/Aktionen eines Systems, Netzwerks oder einer IT-Umgebung aufzuzeichnen. Sie ermöglicht die Nachverfolgung aller Interaktionen, über die Daten, Dateien oder Anwendungen auf einem Speichergerät oder in einer Anwendung gespeichert, aufgerufen oder geändert werden.“2 Viele VPNs vermarkten eine No-Log-Richtlinie als scheinbar einzigartiges Produktmerkmal und erwecken so den Eindruck, dass der Internetverkehr von Durchschnittsbürgern andernfalls ständig in Gefahr sei, protokolliert und möglicherweise für kommerzielle und rechtliche Zwecke ausgenutzt zu werden.
Dies ist nach der Aufhebung bestimmter FCC-Schutzbestimmungen im April 2017 zu einem brisanten Thema geworden, die US-amerikanische Internet Service Provider (ISPs) dazu verpflichtet hätten, vor der Weitergabe von Nutzerdaten eine Genehmigung einzuholen (wäre die Regelung wie geplant im Dezember 2017 in Kraft getreten). Die Vorstellung, dass ihre Regierung sich dafür einsetzt, dass ISPs Protokolle unseres persönlichen Internetverlaufs anfertigen und diese dann ohne Einwilligung verkaufen oder weitergeben, ist für die meisten Internetnutzer alarmierend.
Als engagierter Verfechter der Internetfreiheit setzt sich Psiphon täglich dafür ein, dass unsere Nutzer einen fairen und offenen Zugang zu einem unzensierten Internet ohne Konsequenzen erhalten. Die wachsende Legalität der unbefugten Nutzung von Nutzerdaten und des Browserverlaufs zeichnet ein beunruhigendes Bild, das zeigt, dass Gewinne oft schwerer wiegen als Ethik. Doch Psiphon hat sich eingehender mit der Landschaft der Verkehrs- und Datenprotokollierungspraktiken befasst.
Eine kurze vergleichende Analyse der Richtlinien zur Datenprotokollierung in den USA, der EU und Kanada
Im Allgemeinen haben westliche Staaten Schutzmaßnahmen und Vorschriften über den Rahmen der Sicherheit gespeicherter Daten definiert. Diese Gesetze legen Bestimmungen bezüglich der Sicherheitsstandards fest, an die Unternehmen bei der Erfassung und Speicherung von Nutzerdaten gebunden sind. Sie umreißen auch die rechtlichen Fragen im Zusammenhang mit der Offenlegung von Informationen. Alle in diesem Artikel erwähnten Gesetze überlassen die Entscheidungen bezüglich der Art der Daten und der Situationen, in denen sie erfasst werden, sowie der Dauer, für die solche Daten aufbewahrt werden, jedoch dem Ermessen der erfassenden Organisation. Während diese Organisationen in vielen Fällen die Logik hinter ihren Richtlinien gegenüber einer zentralen Regierungsstelle rechtfertigen müssen, erweist sich eine solche Gesetzgebung als zweischneidiges Schwert, da sie die Datenspeicherung in vielen Fällen stillschweigend unterstützt.
Beispielsweise gibt es in den USA derzeit keine übergeordneten Vorschriften zur Datenprotokollierung. Den ISPs steht es frei, Nutzerdaten zu erfassen und zu speichern, vorausgesetzt, der Nutzer wird in den Nutzungsbedingungen oder der Lizenzvereinbarung darauf hingewiesen, dass er solchen Praktiken unterliegt. Unternehmen unterliegen jedoch dem Stored Communications Act, der die Weitergabe von Nutzerdaten einschließlich elektronischer Kommunikation „an andere Personen als den Adressaten oder den vorgesehenen Empfänger“ untersagt.3 Obwohl die US-Regierung alle Unternehmen zum Schutz von Nutzerdaten verpflichtet, schränkt sie Protokollierungspraktiken oder eine angemessene Dauer der Datenspeicherung nicht ausdrücklich ein.
Die größere Frage der ISP-Protokollierung ist nicht neu und steht auch nicht für sich allein. Tatsächlich wurzelt die Frage der Datenprotokollierung in denselben rechtlichen Fragen wie die jüngst in den USA wieder aufgeflammte Debatte über die Netzneutralität.
Die Europäische Union hat im April 2016 eine gemeinschaftsweite Gesetzgebung namens Datenschutz-Grundverordnung (GDPR) verabschiedet, die auf der ursprünglichen Datenschutzrichtlinie von 2012 aufbaut und Datensicherheitsrichtlinien, Nutzerrechte sowie rechtliche Klassifizierungen von betroffenen Personen umreißt. Die einzelnen Mitgliedstaaten sind jedoch verpflichtet, die angemessene Dauer der Datenspeicherung selbst festzulegen, und unterliegen keinem gemeinschaftsweit vorgeschriebenen Zeitrahmen.
Unabhängige Unternehmen sind dafür verantwortlich, die angemessene Aufbewahrungsdauer für die erfassten Daten festzulegen, während zusätzliche Aufbewahrungsfristen für die „Archivierung im öffentlichen Interesse, zu wissenschaftlichen, statistischen oder historischen Zwecken“ festgelegt werden können.4 Gemäß den Bestimmungen der GDPR hat eine Privatperson jedoch das „Recht auf Vergessenwerden“ und kann verlangen, dass ihre personenbezogenen Daten von einem Server gelöscht werden.
Schließlich hat Kanadas föderalistische Struktur eine mehrstufige Zuständigkeitsorganisation hinsichtlich seiner Vorschriften zur Datenprotokollierung geschaffen. Es hat den Personal Information Protection and Electronic Documents Act (PIPEDA) verabschiedet, der landesweite Richtlinien und Vorschriften bezüglich der Erfassung von Daten für gewerbliche Aktivitäten festlegt und eine nationale Standarddefinition für personenbezogene Daten vorgibt, darunter:
• Alter, Name, Identifikationsnummern, Einkommen, ethnische Herkunft und Blutgruppe;
• Meinungen, Bewertungen, Kommentare, sozialer Status oder Disziplinarmaßnahmen usw.
• Mitarbeiterakten, Kreditauskünfte, Darlehensunterlagen, Krankenakten, das Bestehen einer Streitigkeit zwischen einem Verbraucher und einem Händler, Absichten (beispielsweise der Erwerb von Waren oder Dienstleistungen oder ein Arbeitsplatzwechsel).5
Ähnlich wie in der EU-Richtlinie sind Bestimmungen enthalten, die eine Weitergabe von Daten an das Financial Transactions and Reports Analysis Centre of Canada (FINTRAC) bezüglich Personen gestatten, die krimineller Handlungen wie der Terrorismusfinanzierung verdächtigt werden. PIPEDA beschreibt jedoch keine expliziten Verfahren zur Sicherung von Informationen und zur Begrenzung der rechtlich zulässigen Speicherdauer von Daten. Während Absatz 4.5.3 besagt, dass „Informationen, die zur Erfüllung der festgelegten Zwecke nicht mehr erforderlich sind, vernichtet werden sollten“, steht es den einzelnen Unternehmen frei, ihre eigenen Verfahren einzuführen.
Weiter unten in der Hierarchie können Provinzen, die in der Lage sind, eigene Gesetze zur Gewährleistung des Datenschutzes zu erlassen, die Bestimmungen von PIPEDA außer Kraft setzen.
Haben die alarmistischen VPNs also recht?
VPNs versetzen potenzielle Kunden aufgrund von drei grundlegenden Schwachstellen in den aktuellen Protokollierungssystemen erfolgreich in Alarmbereitschaft:
1. Ihre personenbezogenen Daten sind möglicherweise nicht angemessen geschützt
2. ISPs und Online-Unternehmen können Ihre persönlichen Daten für kommerzielle Zwecke nutzen
3. Datenbanken mit persönlichen Informationen, die von ISPs und Online-Unternehmen verwahrt werden, stehen Strafverfolgungs- und Regierungsbehörden zur Verfügung
Alle drei untersuchten Staaten haben die rechtmäßige Erfassung und Speicherung von personenbezogenen Nutzerdaten gestattet. Während ISPs und Online-Unternehmen gesetzlich verpflichtet sind, solche Informationen zu sichern, hat dies im Grunde ein schwaches, auf Vertrauen basierendes System geschaffen, dem es in praktisch jeder Rechtsordnung an einer klaren Aufsicht fehlt. Es ist leicht zu sagen, dass diejenigen, die das Internet nicht für kompromittierende oder illegale Aktivitäten nutzen, sich keine Sorgen machen müssen, doch bei Psiphon glauben wir, dass alle Internetnutzer einen berechtigten Anspruch auf Privatsphäre haben – unabhängig von ihrem Online-Verhalten.
Daher kann davon ausgegangen werden, dass ISPs das Recht haben, Nutzerdaten zu protokollieren. Dies kann für einzelne Internetnutzer beunruhigend sein, die eine unbefugte Nutzung privater Informationen wie Krankenakten oder Bankdaten oder das böswillige Eindringen in solche Datenbanken befürchten. Erhielte ein ISP zudem einen National Security Letter oder einen Durchsuchungsbeschluss, mit dem Nutzerdaten angefordert werden, wäre er gesetzlich verpflichtet, den Strafverfolgungsbehörden diese Informationen zur Verfügung zu stellen.
Nach der derzeitigen Rechtslage steht es Online-Unternehmen nicht frei, personenbezogene Daten für kommerzielle Zwecke zu verkaufen oder weiterzugeben. Sie sind jedoch durchaus berechtigt, diese Daten für eine Vielzahl interner Prozesse wie Kundenstatistiken aufzubewahren und zu nutzen. Angesichts der möglicherweise drohenden Aushöhlung der Netzneutralität in den USA könnten Bestände personenbezogener Daten ohne Einwilligung verwertet oder offengelegt werden. Ein Hauptgrund zur Besorgnis unter VPN-Nutzern ist jedoch das Risiko, dass solche Daten trotz bester Absichten des Diensteanbieters böswillig entwendet werden.
Internetnutzer werden stets die Last tragen müssen, sich selbst über die Praktiken der Unternehmen zu informieren, mit denen sie interagieren. Eine Hauptsorge besteht darin, dass einige Endnutzer möglicherweise nicht in der Lage sind, die Bedeutung oder Konsequenzen von Nutzungsbedingungen zu verstehen, und ihre Nutzung auf vage und oft irreführende soziale und technische Maßstäbe dafür stützen, ob das VPN vertrauenswürdig und zuverlässig ist. Ganz zu schweigen von der Marktrecherche, die erforderlich ist, um sicherzustellen, dass VPNs die Datenschutzrichtlinien, die sie potenziellen Nutzern präsentieren, auch wirklich einhalten – insbesondere dann, wenn der VPN-Dienst die Erstellung von Benutzerkonten erfordert, die auf personenbezogenen Daten basieren.
Darüber hinaus können Nutzer an bestimmten geografischen Standorten und auf bestimmten Websites nach einer fundierten Entscheidung zu dem Schluss kommen, dass sie sich mit einer unverschlüsselten oder standardmäßigen https-Verbindung wohlfühlen. Wo jedoch weiterhin Unklarheit oder Bedenken bestehen, kann ein No-Log-VPN wie Psiphon verwendet werden, um personenbezogene Daten vor der Erfassung im Internet zu schützen.
Kann mich ein VPN vor Datenprotokollierung schützen?
Viele Internetnutzer greifen auf VPNs zurück, um sich online zu anonymisieren und Datenprotokollierungspraktiken kommerzieller Dienste im Internet zu umgehen. Es muss jedoch gesagt werden, dass kein VPN vollständige Online-Anonymität bieten kann. Doch Anbieter, die sich für ein frei zugängliches Internet einsetzen, wie Psiphon, integrieren strenge Sicherheitsmaßnahmen in ihre Dienste, die die Privatsphäre ihrer Nutzer schützen. Durch die Nutzung eines VPN-Proxys kann der Internetverkehr keinen bestimmten Nutzern zugeordnet werden, dennoch sind die Nutzer weiterhin verbunden und nutzen Internetdienste.
Um das Vertrauen der Nutzer zu gewinnen und die individuelle Privatsphäre zu stärken, heben kommerziell erhältliche VPNs häufig No-Log-Richtlinien hervor. Sie behaupten, alle Nutzungsprotokolle zu verwerfen, wodurch eine Nachverfolgung unmöglich gemacht werde. Viele VPN-Dienstvereinbarungen enthalten jedoch keine detaillierten Erklärungen zu solchen Richtlinien. Um ein Konto zu erstellen oder eine verschlüsselte Sitzung zu eröffnen, benötigt ein VPN möglicherweise einige detaillierte Nutzerdaten. Wieder einmal liegt die Last beim einzelnen Nutzer, die Nutzungsbedingungen sorgfältig durchzulesen und zu entscheiden, ob er dem VPN vertraut.
Die Struktur des Internets erfordert, dass bestimmte Informationen ausgetauscht werden müssen, damit eine Online-Kommunikation stattfinden kann. Ohne eine funktionierende IP-Adresse – einschließlich der echten IP-Adresse des VPN-Nutzers – können keine Daten gesendet oder empfangen werden. Da jedoch keines der in diesem Artikel untersuchten Gesetze vorschreibt, dass VPNs Nutzerdaten für einen bestimmten Zeitraum speichern müssen, führen die Grundwerte von Psiphon und anderen VPN-Diensten dazu, dass solche Daten nach Beendigung einer verschlüsselten Sitzung aus ihren Netzwerken gelöscht werden.
Was unterscheidet Psiphon von herkömmlichen VPN-Diensten? Ganz einfach: Wir sind aus der Internetfreiheit hervorgegangen und existieren überwiegend für sie. Konstruktionsbedingt speichert die Psiphon-Plattform keinerlei personenbezogene Daten über die Browsersitzung der Endnutzer. Da für die Nutzung von Psiphon kein Konto erforderlich ist, ist die Software praktisch nicht in der Lage, Informationen zu einzelnen Nutzern zu erstellen oder zu speichern. Es gibt daher keine Nutzungsprotokolle, was all jenen die Gewissheit gibt, die sich einer Überwachung entziehen oder die Weitergabe personenbezogener Daten an Unbefugte befürchten, dass die Nutzung des Psiphon-Netzwerks keinem eindeutigen Nutzer oder geografischen Standort zugeordnet werden kann.
Um sicherzustellen, dass unser Netzwerk effizient bleibt und sich an die wechselnde Nachfrage anpasst, führen wir interne Datenauswertungen durch, die das Datenverkehrsvolumen und auf Länderebene aggregierte Standortdaten der Nutzer umfassen.6 Dies sind die detailliertesten Informationen, die von dem Dienst gespeichert werden. Sollte sich jedoch beispielsweise ein böswilliger externer Akteur unbefugt Zugriff auf diese statistischen Informationen verschaffen, wären keinerlei personenbezogene Daten gefährdet.
--
Von: Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, reprinted in 1986 U.S.C.C.A.N. 3555, 3591.
4 Ebd. Absatz 26.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 Daten auf Stadtebene werden jedoch erst dann automatisch aggregiert, wenn die Nutzung innerhalb eines Landes einen Schwellenwert überschreitet, bei dem es statistisch unmöglich wäre, einzelne Nutzer über eine Auswertung der Anzahl aktiver Verbindungen innerhalb der Stadt zu identifizieren.