Den Hintern zeigen

Hide my ass!” nennt sich ein populärer Anbieter scheinbarer Anonymität im Internet. “Free web proxy, surf online anonymously, hide your IP address and protect your privacy” wird vollmundig auf den Webseiten versprochen. Dass die Benutzer bei “Hide my ass” dabei aber – wie bei den meisten anderen Anbietern auch – vor allem auf das Vertrauen in den Anbieter angewiesen sind, wurde heute einmal wieder deutlich.

Drei Usern, die das VPN-Angebot von hidemyass.com genutzt hatten, wurde vom FBI vorgeworfen, an illegalen Aktionen von Anonymous und LulzSec teilgenommen zu haben. Bei einem echten Anonymisierungsdienst würde die Geschichte an dieser Stelle enden, denn weitere Daten zur Identifizierung der User lägen dann nicht vor. Nicht so aber bei hidemyass.com. Dieser Anbieter protokolliert u.a., welcher User sich wann mit welcher IP-Adresse an- und abmeldet. Mit Hilfe dieser Informationen kann dann später genau nachvollzogen werden, welche Nutzer versucht haben, ihre Spuren zu verwischen. Anonymität sieht anders aus.

Immerhin weist der Anbieter in seinen Geschäftsbedingungen darauf hin, dass Username, E-Mail-Adresse, Passwort und IP-Adressen gespeichert werden (letztere zu Zwecken der Spamvermeidung sowie um Betrugs- und andere Missbrauchsfälle aufklären zu können). Weiterhin werden Daten nicht an jedermann herausgegeben – so zumindest der Anbieter – sondern, als britisches Unternehmen, nur nach Vorlage eines dort gültigen Gerichtsbeschlusses. Andernfalls, so hidemyass.com, bestünde die Gefahr, dass man abgeschaltet oder selbst gerichtlich verfolgt würde.

In Deutschland sieht die Situation (zumindest auf dem Papier) anders aus. Besitzt ein Anbieter keine Daten, so muss er auch keine Daten herausgeben. Er kann (zumindest ohne Vorratsdatenspeicherung) auch nicht gezwungen werden, Daten zu erheben, die er nicht benötigt. In einem Bericht auf Spiegel Online wird die für diesen Fall übermittelte Antwort kurz und bündig zitiert: “Leider liegen keine Daten vor.” Eigentlich wäre ein solches Verhalten nicht nur wünschenswert, sondern (wiederum: in Deutschland) sogar verpflichtend, denn § 13 Abs. 6 TMG schreibt vor, dass die “Nutzung von Telemedien und ihre Bezahlung” anonym oder unter Pseudonym zu ermöglichen ist, “soweit dies technisch möglich und zumutbar ist.”

Auch bei deutschen Anbietern stellt sich aber die gleiche Frage, die sich die drei User auch bei hidemyass.com hätten stellen müssen: Ist der Anbieter wirklich vertrauenswürdig? Wer garantiert, dass wirklich keine Daten gespeichert werden? Dies gilt umso mehr, als hidemyass.com kein Einzelfall ist. Bereits im Jahr 2007 kamen Zweifel bei einem anderen Anbieter auf, der angab, dass alle Mails automatisch bei ihm verschlüsselt würden, und so Dritten (und damit auch Strafverfolgungsbehörden) nicht zugänglich wären. Dieser scheinbar große Schutz, der ebenfalls alleine auf dem Vertrauen in den Anbieter basierte, wurde erschüttert, als dieser für ein Gerichtsverfahren den Klartext mehrerer E-Mails seiner User vorlegen konnte. Damit war klar, dass das scheinbar sichere Verschlüsselungsverfahren einen absichtlichen und heimlichen Zugang offen lies.

Um tatsächlich einen hohen Grad an Anonymität gewährleisten zu können, sind daher Angebote, bei denen sich der User auf einen einzelnen Anbieter und dessen Vertrauenswürdigkeit verlassen muss, untauglich. Stattdessen sollten Anonymisierungsnetzwerke genutzt werden, wie z.B. Tor oder Jondonym, die von Beginn an so konzipiert wurden, dass einer oder sogar mehrere Anbieter, die kollusiv zusammenarbeiten, um die Identität des Nutzers aufzudecken, noch keinen Schaden anrichten können. Erst wenn tatsächlich alle Anbieter eines solchen Netzwerks zusammenarbeiten, können Identität von Absender und Empfänger sowie die übermittelten Daten in Einklang gebracht werden. Bei derartigen Diensten stellt sich die Vertrauensfrage dann nur noch in bedeutend geringerem Maße als bei geschäftstüchtigen Einzelanbietern.

Schlagworte: , , , ,

1 Kommentar zu „Den Hintern zeigen“

  1. What to learn from Lulzsec?…

    As that took place a few days ago, I’ll keep it short. The VPN provider Hide my Ass disclosed data and identified a user who was using their VPN service (see their blog entry). That’s nothing special. Every company has to comply to the respective leg…