Im WDR Kabarett gab es vor einer Woche einen netten Beitrag von Volker Pispers zum aktuellen Atomenergie-Thema und der Entscheidungsgewalt von Minderheiten.
Da die von uns bezahlten öffentlich-rechtlichen Sendeanstalten neuerdings per Staatsvertrag viele Inhalte nach ein paar Wochen wieder aus dem Netz entfernen müssen (“klugen” Politikern und privaten Medien sei Dank), hier der Beitrag auf YouTube:
Am 11. September findet in Berlin wieder eine Demo “Freiheit statt Angst” statt. Die Demonstration richtet sich wie auch in 2009 gegen ausufernde Überwachung und Kontrolle der Bürger. Wer nicht hingeht, kann auch für die Durchführung spenden.
Musikvideo: Adobe Flash Player (Version 9 oder höher) wird benötigt um dieses Musikvideo abzuspielen. Die aktuellste Version steht hier zum herunterladen bereit. Außerdem muss JavaScript in Ihrem Browser aktiviert sein.
In der letzten Plusminus-Sendung wurde in Zusammenarbeit mit dem CCC gezeigt, dass der im November kommende neue elektronische Personalausweis (ePA) in Zusammenhang mit den dann kostenlos verteilten Lesegeräten unsicher ist. Nun, das ist insofern keine Überraschung, als dass jede Anwendung, die auf dem PC läuft (hier betrifft es mindestens das Eingeben der PIN über die PC-Tastatur), prinzipiell nie zu 100% sicher ist. Das gilt vermehrt für die vielen Lemminge mit Windows-Rechnern, von denen das Bundesinnenministerium verlangt, dass sie für die Sicherheit der PC-Umgebung sorgen müssen. Aber hat das jemals geklappt?
Da es immer eine Unsicherheitskomponente gibt, und sei es der Mensch selbst, hätte man meines Erachtens den ePA als hoheitliches Dokument nicht so mit neuen Funktionen überladen dürfen. Die beiden Kardinalfehler beim ePA sind aus meiner Sicht:
Damit können Daten über Funk (im Nahbereich) ausgelesen werden. Falls jemand diese Schnittstelle knackt oder bei authentifizierten Übertragungen mitlesen kann, ist die Sicherheit des Gesamtsystems am Ende. Derzeit ist das Auslesen der verschlüsselten Daten zwar nur nach Authentifizierung der Lesegeräte und PIN-Eingabe möglich, aber wie beim Online-Banking, bei dem die eigentlichen Kryptoverfahren auch sicher sind, wird es über kurz oder lang wahrscheinlich Möglichkeiten geben, diese ePA-Sicherheit zu umgehen (Pishing, Skimming, Man-in-the-middle, etc.).
Und ganz wichtig: Ich selbst habe keine unmittelbare physische Gewalt mehr über dieses Schnittstelle. Außer Schutz durch Alu-Hüllen.
2) Kopplung mit privatwirtschaftlichen Funktionen
Wieso wird der ePA mit Funktionen ausgestattet, die größtenteils der Privatwirtschaft nützen? Der ePA sollte ein rein hoheitliches Dokument bleiben. Alles andere (eID, digitale Zertifikate mit Signaturfunktion) gehört auf eine separate (Bürger-)Karte.
Diese beiden Punkte hätten jedem halbwegs kompetenten und lernwilligen Entscheider auffallen müssen. Denn ist so ein System erst mal gehackt, dann geht es uns wie bei den EC-Karten. Wehe dem, dessen Identität plötzlich missbraucht wird und in der Beweispflicht steht.
Die aktuelle Chaosradio Ausgabe CR159 steht unter dem Titel “Digitale Postkarten” und berichtet “über die Versuche, elektronische Post staatlich zu organisieren und kostenpflichtig zu machen”. Damit sind die Dienste De-Mail und E-Postbrief gemeint.
Musikvideo: Adobe Flash Player (Version 9 oder höher) wird benötigt um dieses Musikvideo abzuspielen. Die aktuellste Version steht hier zum herunterladen bereit. Außerdem muss JavaScript in Ihrem Browser aktiviert sein.
Demnach sind weitere Nachteile der “Bezahlmail”-Dienste, die ich noch nicht genannt hatte:
Die digitalen Postkarten gelten spätestens 3 Tage nach Ablage der Nachricht in der Mailbox als zugestellt. Das ist in der analogen Welt, verglichen mit einem Einschreiben, nicht so. Dort wird darauf geachtet, dass ich persönlich das Einschreiben in den Händen halte. Erst dann beginnen Fristen. Bei den elektronischen Varianten liegt die Mailbox zudem bei einem privatwirtschaftlichen Anbieter und damit außerhalb meines Machtbereichs.
De-Mail & Co. sollen keine Dokumente ersetzen, die der Schriftform unterliegen. Die dafür nötige qualifizierte elektronische Signatur ist indes heute schon möglich, wird jedoch bei De-Mail & Co. nicht angewandt. Wozu also De-Mail ?
Eine schöne Zusammenfassung der Problematik mit De-Mail und E-Postbrief bietet Heise in der aktuellen c’t unter dem Titel “Elektronische Einschreiben“, wobei der Schlusssatz es auf den Punkt bringt:
Während Unternehmen und Behörden viel Porto sparen, bekommen Privatkunden mehr Pflichten aufgebürdet als bei der Zustellung der Papierpost und müssen einem System vertrauen, von dem noch nicht bekannt ist, ob es wirksam gegen Angriffe und Spam-Attacken geschützt ist und die Korrespondenz dort sicher aufgehoben ist.
In den letzten Tagen wurden mit De-Mail und E-Postbrief zwei neue Email-Dienste für Endkunden gestartet, wobei im ersten Schritt eine Registrierung einer persönlichen Adresse vorgenommen werden kann. Beide Dienste versprechen dem Kunden eine sichere und vertrauliche Kommunikation per Email. De-Mail ist auf elektronische Kommunikation privater Kunden mit Behörden und der Privatwirtschaft ausgelegt, wohingegen der E-Postbrief eine Schnittstelle zur analogen Briefwelt bietet und Behörden zunächst außen vor lässt. De-Mail wird gesetzlich vom Staat unterstützt. Der E-Postbrief ist eine privatwirtschaftliche Dienstleistung der Deutschen Post. Soweit eine kurze Erklärung, nähere Infos sind in den Wikipedia-Artikeln zu De-Mail und E-Postbrief zu finden.
Beide Dienste werden jedoch von Experten und Netzgemeinde ziemlich kritisch gesehen, und das zu Recht. Bei De-Mail gibt es massive Bedenken hinsichtlich des Datenschutzes und der Rolle des Staates, der sich in die elektronische Kommunikation seiner Bürger einschaltet. Der Staat (oder besser gesagt die Regierung) hat in den letzten Jahren sehr viel Vertrauen verspielt bei der Netzgemeinde, da er das Internet nicht als Mittel der freien Kommunikation, sondern eher als Raum ansieht, den es zu kontrollieren gilt.
Meine wesentlichen Kritikpunkte an De-Mail sind:
Umkehrung der Beweislast: Der Kunde (also ich) bin z.B. in der Pflicht, eine Nicht-Zustellung zu beweisen.
Was “rechtssichere Kommunikation” für den Kunden bedeutet, wird nicht transparent erklärt. Das bringt auch viele Nachteile für den Kunden. Ergibt sich wirklich mehr Sicherheit für mich?
Die Verschlüsselung ist nicht Ende-zu-Ende. Provider und Staat können mitlesen (und manipulieren).
Wenn meine digitale Email-Identität (Unterschrift) in falsche Hände gerät, kann derjenige fröhlich für mich Verträge etc. abschließen. Die Beweislast liegt dann bei mir.
Die Email-Adresse ändert sich, wenn ich zu einem anderen Provider wechsele.
Meines Erachtens müsste die Rolle des Staates darauf reduziert werden, eine Instanz für beglaubigte digitale Zertifikate aufzubauen (so ähnlich wie CAcert). Die sichere elektronische Kommunikation könnte dann von Jedermann mit bestehenden Email-Adressen mittels Standardprotokollen wie S/MIME oder PGP abgewickelt werden. Das würde auch heute schon funktionieren, aber besonders Banken und Wirtschaft haben das bis heute nicht verstanden und umgesetzt. Aber freilich hätte der Staat dann keine Möglichkeit, in die Kommunikation seiner Bürger einzusehen, denn durchgängiges S/MIME oder PGP wäre wirklich sicher. Siehe auch mein Posting zu De-Mail von Februar 2009.
Auch der E-Postbrief hat sein Fett bereits abbekommen. Hohe Kosten, sehr dubiose AGBs (Pflicht zur täglichen Postfachprüfung) und die fehlende Ende-zu-Ende Verschlüsselung sind hier zu nennen. Prädikat: unbrauchbar.
Nachtrag 22.07.2010 zum Thema Sicherheit von De-Mail:
In den Kommentaren auf netzpolitik.org zum Beitrag De-Mail: Freund liest mit? kann man sehr schön die von mir angesprochene Problematik einer fehlenden Ende-zu-Ende Verschlüsselung erkennen.
Cleanternet ist eine Kampagne für ein “sauberes und sicheres Internet”, das die Pläne der EU-Kommission in Person von Cecilia Malmström (Censilia) aufs Korn nimmt, EU-weit “unsaubere” Internetseiten sperren zu wollen. Das Video zeigt in Analogie zu “Rette Deine Freiheit“, wohin das führen wird und welche Absichten unserer Politiker und der Lobbygruppen wirklich dahinter stecken.
Jörg Tauss hat gestern eine interessante Analogie der politischen Machtkämpfe zur Kontrolle des Internets mit der damaligen “Befriedung” der Indianer im Wilden Westen hergestellt. Sein Artikel Indianer und Netzgemeinde veranschaulicht verblüffend passend, wie die Politik versucht, die Netzgemeinde durch mutmaßliche Zugeständnisse und “aufeinander Zugehen” einzunebeln, um dann hinterrücks unbeirrt unsere Freiheit einzuschränken (siehe Vorratsdatenspeicherung, Zugangserschwerungsgesetz, elektronischer Personalausweis, SWIFT, Online-Durchsuchung, ACTA, etc.). Ein Kernsatz sei hier zitiert:
[...] Auch die Indianer verhandelten damals gutgläubig mit den Regierungsstellen und schlossen sogar Verträge, deren Halbwertszeit, wenn überhaupt, bei Monaten lag. Erreicht wurde damit ein für sie leider trauriger und unvorteilhafter Tausch: gutes Land gegen unfruchtbare Reservate und etwas staatliche Unterstützung. [...]
Mein Fazit: Freiheit lässt sich nicht verhandeln, sondern ist Grundlage unserer gesellschaftlichen Ordnung.
In dieser Woche wurde die Chaosradio Ausgabe CR155 veröffentlicht, die sich mit Netzsperren, ACTA und dem neuen Jugendmedienschutz-Staatsvertrag (JMStV) im Internet beschäftigt. Die Leute vom CCC machen sehr schön klar, wie der Staat versucht, das Internet zu kontrollieren und die Menschen zu überwachen und zu gängeln. Bleibt zu hoffen, dass die Maßnahmen gestoppt oder zumindest geändert werden können, denn Vieles ist einfach Unsinn. Aber hört einfach selbst mal rein, was Staat und EU mit uns vorhaben, z.B. unten im Audio-Plugin. Weitere Infos zur Sendung im Chaosradio Wiki.
Musikvideo: Adobe Flash Player (Version 9 oder höher) wird benötigt um dieses Musikvideo abzuspielen. Die aktuellste Version steht hier zum herunterladen bereit. Außerdem muss JavaScript in Ihrem Browser aktiviert sein.
Am 31.03.2010 hat der FoeBuD e.V. die Verfassungsbeschwerde gegen ELENA beim BVerfG in Karlsruhe eingereicht. 22.005 betroffene Menschen haben sich an der Beschwerde beteiligt. Nur 2 Wochen hatten die Helfer des FoeBuD Zeit, die Vollmachten in 62 Aktenordnern zu sammeln und die 5 Ordner Beschwerdeschrift vorzubereiten.
Auch wenn einige Politiker – sogar der Union – zurückrudern und ELENA auf den Prüfstand stellen wollen, bleibt die Beschwerde gut und richtig. Zumal einige Politiker der Wirtschaft den Schwarzen Peter zuschieben wollen, da ELENA eingeführt worden sei, “nur um ein nachrangiges Interesse der Wirtschaft an weniger Bürokratie zu bedienen“. Die Tatsachen sehen indes anders aus. Es geht den Beschwerdeführern nicht um kleine Korrekturen, sondern um die komplette Abschaffung der derzeitigen Regelung.
