Sicherheit

---

DIESE SEITE IST IN JEDER HINSICHT UNFERTIG. ICH BIN MOMENTAN DARAN, DIESE MIT INHALT ZU VERSEHEN UND BITTE DARUM, VORERST VON MODIFIKATIONEN ABZUSEHEN. ICH HABE DIESE SEITE AUCH EXTRA BISLANG NIRGENDS VERLINKT. ES WIRD (AB HEUTE, MO 09.09.2013) EIN PAAR TAGE DAUERN.

HINWEISE AN irrlicht67(at)gmx.ch

---

Dieser Artikel dient als Einstiegspunkt und Zusammenfassung von Themen wie Computersicherheit, Anonymisierung und Verschlüsselung.

Allgemeines

(Doch, der folgende Satz geht ganz prima als Einleitung.)

Niemand, der noch bei Trost ist, erlaubt sich heute Sex mit Unbekannten ohne Kondom. Gleiches gilt in Bezug auf Daten beim Umgang mit praktisch immer vernetzten Computern und Mobiltelefonen. Daten sind heute nirgends sicher, es sei denn, man sichert sie explizit.

Ziel muß sein und bleiben, daß unabhängig von staatlichen Maßnahmen und Garantien Daten nur von denjenigen Personen gesehen und geändert werden können, die dafür authorisiert sind. Ein Staat kann durch Definition von Grundrechten und Bereitstellung einer entsprechenden Gesetzeslage zwar dafür sorgen, daß Datenklau eine Straftat ist - das Schloß an der Tür muß man aber dennoch selbst bereitstellen und auch zuschließen, und vielleicht ruhig auch noch die gute alte Türkette dazu, ganz wie im realen Leben.

Interesse an Daten und Metadaten kommt heute aus ganz verschiedenen Richtungen (alles ohne Wertung):

• harmlose Unbefugte (neugierige Kollegen, Familienangehörige, Nachbarn usw.)
• legale, aber unangenehme kommerzielle Datensammler (vor allem zu Werbezwecken, insbesondere Spammer)
• investigative Journalisten
• in- und ausländische Geheimdienste
• Hacker und echte Kriminelle

Selbst wenn wirksamer Schutz vor Geheimdiensten offenbar zumindest theoretisch (d.h. in Einzelfällen wahrscheinlich auch praktisch) als unzuverlässig gelten muß, so kann man allerdings zumindest kommerziellen Datensammlern und Kriminellen einen Riegel vorschieben. Dazu genügen oft schon vergleichsweise einfache Maßnahmen.

Das wesentliche Argument zum Schutz der eigenen Daten lautet, daß nicht vorhersagbar ist, was mit Daten, über die man die Hoheit verloren hat, einmal geschieht, für wen sie in irgendeinem womöglich weit in der Zukunft liegenden Augenblick einmal interessant werden könnten und was er damit anstellt. Das ist ganz unabhängig vom Dateninhalt, von ihrem heute vermeintlichen Wert bzw. ihrer Banalität.

Verhaltensweisen

Wesentliche Aspekte des Datenschutzes hängen vom Verhalten des Benutzers ab, vor allem beim Browsen im Internet und beim Mailen. Jemand, der anderen seinen Wohnungsschlüssel gibt, braucht sich nicht zu wundern, wenn es eines Tages in seiner Wohnung anders aussieht als erwartet. Die folgenden Tips sind als Denkanstöße gemeint.

a) grosse Netzwerkanbieter meiden

Gemeint sind die bekannten großen Internet-Konzerne: Google (mit seinen zahlreichen Derivaten: Blogger.com, YouTube, Picasa usw.), Yahoo, Amazon, Facebook, eBay, Microsoft (Bing), Twitter, Instagram u.v.a. Wer auf Webseiten solcher Anbieter unterwegs ist, muß damit rechnen, ausführlich protokolliert zu werden - Wissen über den Benutzer aufzubauen und dauerhaft zu speichern, ist ja ein wesentlicher Teil des Geschäftsmodells. Die Standardsuchmaschine zu wechseln, ist eine einfache Sache.

b 1) Account notwendig?

Grundsätzlich stellt sich beim Besuch von Internetseiten die Frage, ob Anmelden wirklich nötig ist. Der Sinn eines Accounts ist es, Aktivitäten auf einer Webseite einem oft sehr konkreten Benutzer zuzuordnen. Wenn es geht, sollte man darauf verzichten. Die meisten Blogs beispielsweise erlauben heute anonymes Kommentieren.

b 2) wenn schon angemeldet, dann Anzahl der Accounts begrenzen und diese irgendwo festhalten

Wenn es sich nicht vermeiden läßt, sich irgendwo anzumelden, um mit einer Webseite überhaupt etwas Brauchbares anzustellen, so sollte man die Anzahl dieser Anmeldungen möglichst gering halten und irgendwo aufschreiben. Letzteres ist ohnehin eine gute Idee, wenn man Paßworte wechseln will.

b 3) wenn möglich, ausloggen

Wer beispielsweise einen Google-Account besitzt und damit immer angemeldet ist, erlaubt damit nicht nur Google, Zugriffe auf Google-Seiten zu protokollieren, sondern auch sehr vielen anderen, die den Google-Account zur Benutzerauthentifizierung nutzen. Ausloggen, wann immer möglich, ist die beste Idee.

b 4) nicht mehr benötigte Accounts löschen

Wenn man sicher ist, einen Account nicht mehr zu benötigen, dann ist es zumindest eine Option, diesen auch zu löschen. Man kann vorher darin noch Daten löschen. Ob diese damit wirklich verschwinden, einmal dahingestellt. Zumindest mittelfristig werden diese wahrscheinlich irgendwann gelöscht.

c 1) Cache leeren

Der Browser-Cache ist ein Verzeichnis, in dem sehr viele interessante Daten liegen. Aus Sicherheitsaspekten ist es ratsam, diesen möglichst oft zu leeren, am besten am Ende jeder Sitzung. Der primäre Sinn des Browser-Caches, nämlich die Geschwindigkeitssteigerung, ist im Zeitalter immer schnellerer Leitungen ohnehin im Schwinden.

c 2) Browserdaten aufräumen

Zusätzlich zum Webseiten-Cache speichert ein Browser zahlreiche Metadaten dauerhaft, die ebenfalls viel Interessantes enthalten, vor allem Cookies, aber auch logins und Paßworte. Mozilla-Browser erlauben beispielsweise über den Menüpunkt "Tools|Data Manager" einen Einblick. Man gelangt dort beispielsweise an die Such-Historie und viele Formulardaten. Aus Sicherheitsgründen sollte man dort regelmäßig aufräumen und nicht mehr benötigte Daten löschen. Das Schlimmste, was dabei passieren kann, ist, daß man sie auf irgendeiner Webseite neu eingeben muß.

d) sensible Daten grundsätzlich nicht im Netz ablegen

Cloud hin, Dropbox her - der beste Weg, all die damit zusammenhängenden Probleme zu vermeiden, ist, Daten nicht ins Netz auszulagern, nicht einmal Adreßbücher, Kontaktlisten, den Kalender und ähnliche Dinge.

e) mehrere Mail-Adressen verwenden

Mehrere e-mail-Adressen für verschiedene Zwecke sind ein bewährtes Mittel, um deren Mißbrauch einzuschränken. Es ist vernünftig, diese entweder als Aliase eines einzigen Accounts zu vereinbaren bzw. diese am Ende in einem Account zusammenzuführen und dort zu filtern.

f) wichtige Zugangsdaten nicht unverschlüsselt speichern

Zugangsdaten sind heikel. Paßwörter können kompliziert sein, generierte private Schlüssel sind es ohnehin. Der sicherste Ort für solche Daten ist wahrscheinlich ein kleiner Stick, den man nur bei Bedarf hineinsteckt. Am besten verschlüsselt man diesen noch.

g 1) PCs rundherum absichern

Ein PC, auch ein Linux-PC, besitzt mehrere, mehr oder weniger offene Tore, vor allem Browser, Mail-Client und diverse kleinere Programme (FTP-Client, wget, Bittorrent, Multimediastreaming usw.). Einige davon lassen sich mit wenig Aufwand recht gut schließen, andere erfordern einen höheren Aufwand und einige Kenntnis. Und man zahlt wahrscheinlich noch dafür in Form von geringerer Bandbreite. Das Gute ist, daß sich Vieles recht gut skalieren läßt und man sein persönliches Sicherheitslevel gut steuern kann.

g 2) Mobiltelefone besser (!) absichern als PCs

Für Mobiltelefone gilt zunächst alles bisher gesagte, zudem haben sie aber im Hinblick auf Sicherheit drei weitere wesentliche Eigenschaften:

• sie sind klein und mobil, gehen also womöglich leicht verloren!
• sie generieren und verraten Standortdaten
• sie bieten zwar einige, oft aber weniger Sicherungs- und Konfigurationsmöglichkeiten

Die Absicherung von Mobiltelefonen, die Daten tragen, mit denen man auch an andere Systeme geht, verdient deshalb besondere Beachtung.

h) als Vorbild wirken

Ein wesentlicher Punkt. Man schafft durch Vorbildwirkung Sensibilisierung und Bewußtsein. Wer HTML-Mails verschickt, braucht sich nicht zu wundern, wenn er auch welche bekommt. Behutsam auf seine Umgebung einzuwirken, ist durchaus klug.

Paßworte und private Schlüssel

...

• mehrere Paßworte für verschiedene Zwecke verwenden
• Paßworte regelmäßig wechseln
• kompliziertere Paßworte bilden
• Paßworte nicht weitergeben

Sicher unterwegs im Netz

Browser

Technologien

a) HTTPS verwenden

b) Cookies

c) JavaScript

d) Browser Tracking

e) versteckte Zugriffe

f) Google umgehen!

g) Header in HTTP-Anfragen

h) Anonymisierungsnetzwerke

Mail

Technologien

a) Authentifizierung am Mail-Server

b) SSL/TLS beim Senden und Empfangen

c) Mails signieren und verschlüsseln

c 1) PGP/GnuPG

c 2) S/MIME

Mail-Server

• runbox.com (kostenpflichtig)
• kolab.org
• secure-mail.biz (kostenpflichtig)

Chatten

...

Messenger

...

FTP

...

Sicher auf lokalen Datenträgern

Festplattenpartitionen

...

Verzeichnisse

...

einzelne Dateien

...

Sichere externe Daten

• Backups
• mobile Datenträger
• Papier

Weblinks

[1] "The SSD Project" Electronic Frontier Foundation (EFF)