Digitale Privatsphäre in Europa und der Schweiz
Ein TikTok-Video macht derzeit die Runde mit einer einfachen These: Anonym im Internet zu sein sei praktisch unmöglich. Hinter dem Video steht Matt Moyer, ein auf Personenschäden spezialisierter Anwalt aus Chicago mit Abschluss der Notre Dame Law School.
Bemerkenswert ist, wie präzise sich Moyer als Jurist in diesen sehr technischen IT-Themen bewegt. Er erklärt Funkzellen, Geräte-IDs und Verhaltensbiometrie mit einer Genauigkeit, die man eher von Fachleuten aus der IT-Sicherheit erwartet.
Nebenbei ist er auch ein guter Beatboxer und spickt das Video mit rhythmischen Einlagen. Er hat also verstanden, wie soziale Medien funktionieren. Moyer spielt das Szenario Schritt für Schritt durch. Er kauft ein Wegwerf-Handy mit Bargeld, schaltet es weit weg von zu Hause ein, meidet jedes vertraute WLAN, schaltet einen VPN dazwischen und loggt sich nirgends mit einem echten Konto ein. Am Ende bleibt trotzdem eine Spur.
Die Überwachungskamera im Laden, die Seriennummer des Geräts, die Funkzelle, der Tipprhythmus. Sein Fazit: «Es gibt keine Privatsphäre im Internet und dagegen kann man nichts tun.»
www.openstream.ch/digitale-privatsphaere
@moyer.the.lawyer How to be UNTRACEABLE and anonymous online – spoiler alert, it’s basically impossible. This is simply a thought experiment. #anonymous #privacymatters #untraceable #prviacy #beatbox ♬ original sound – Matt Moyer-Injury Lawyer
freedomappsprivacy
A massive, curated list of Free and Open Source Software (FOSS) and privacy-respecting alternatives to mainstream, tracking-heavy software — combining and expanding on the biggest lists in this space (awesome-privacy, awesome-selfhosted, and more).
www.github.com/freedomappsprivacy
Der VPN-Irrtum
Der stärkste Moment des Videos ist die Passage über VPNs, weil sie einen weit verbreiteten Irrtum korrigiert. Ein VPN (Virtual Private Network) macht nicht unsichtbar. Es ist ein Tunnel. Dein Verkehr läuft zuerst zum VPN-Anbieter und von dort zur Website. Die Website sieht die Adresse des VPN-Servers statt deiner. Damit verschiebst du dein Vertrauen aber nur. Vom Internetanbieter zum VPN-Anbieter. Führt dieser Protokolle, kann er dich «verraten». Manche Anbieter sind billig, undurchsichtig oder aus Marketinggründen gebaut und nicht aus Datenschutzüberzeugung.
Die Electronic Frontier Foundation formuliert es nüchtern: Ein VPN verschafft keine Anonymität. Das ist richtig und wichtig. Ein VPN ist kein Tarnmantel. Es ist ein Werkzeug für einen begrenzten Zweck. Es schützt deinen Verkehr im offenen WLAN eines Cafés vor Mitlesenden im selben Netz. Es verbirgt deine Adresse vor der besuchten Website. Es umgeht geografische Sperren. Für diese Zwecke taugt es. Als Unsichtbarkeitsversprechen taugt es nicht.
Wer maximale Anonymität sucht, ist mit dem Tor Browser besser bedient als mit einem VPN. Tor verteilt das Vertrauen über mehrere Knoten, sodass kein einzelner Betreiber Herkunft und Ziel zugleich sieht. Auch Tor ist nicht unfehlbar, aber es löst das Vertrauensproblem des VPN auf eine grundlegend andere Art.
Es gibt zudem inzwischen VPN-Dienste, die dieses Vertrauensproblem konstruktiv angehen. Wir selbst nutzen dafür Obscura. Der Dienst arbeitet mit zwei getrennten Parteien statt einer. Dein Verkehr läuft zuerst über einen Relay-Server von Obscura und von dort über einen Exit-Server des schwedischen Anbieters Mullvad ins offene Netz.
Der Trick liegt in der Aufteilung. Der Obscura-Server leitet deine Daten nur weiter, kann sie aber nicht entschlüsseln, weil sie an die Schlüssel von Mullvad gerichtet sind. Der Mullvad-Server wiederum sieht deine echte Adresse nie, weil Obscura sie durch Adressübersetzung verbirgt. Keine der beiden Parteien besitzt beide Puzzleteile zugleich, Herkunft und Ziel.
Der Fingerabdruck, den du nicht abgibst
Der raffinierteste Teil des Videos betrifft die Wiedererkennung ohne Namen. Selbst wenn du dich nirgends einloggst, verrät dich dein Muster. Die Art, wie du schreibst, deine wiederkehrenden Tippfehler, sogar die Zeit zwischen zwei Tastenanschlägen. Dazu kommt das Browser-Fingerprinting: die Kombination aus Bildschirmauflösung, installierten Schriften, Grafikkarte und Dutzenden weiterer Merkmale ergibt einen Fingerabdruck, der einen Browser unter Millionen wiedererkennt, ganz ohne Cookie. Das ist real und technisch etabliert.
Und hier trennt sich der europäische Weg deutlich vom amerikanischen. Der Europäische Datenschutzausschuss hat in seinen Leitlinien klargestellt, dass die Einwilligungspflicht nicht nur für Cookies gilt. Sie erfasst auch Fingerprinting, Tracking-Pixel und die Auswertung der IP-Adresse zu Trackingzwecken. Wer einen Browser-Fingerabdruck zur Wiedererkennung nimmt, braucht dafür grundsätzlich eine Einwilligung, sofern die Technik nicht für den Dienst zwingend nötig ist. Fingerprinting ist also kein rechtsfreier Raum, es ist eine Bearbeitung wie jede andere.