Die Lösung für alle Überwachung­sprob­leme laut Twit­ter: “Skype und Face­book wer­den überwacht! Lasst es uns unter Lin­ux nutzen!”

Auch und ger­ade vor dem Hin­ter­grund der NSA-betriebe­nen total­en Überwachung und mein­er Auf­forderung zu mehr dig­i­taler Mündigkeit werde ich gele­gentlich spöt­tisch gefragt, warum ich auf einem mein­er Sys­teme nach wie vor auf Win­dows set­ze, das böse Win­dows mit dem NSAKEY von dem bösen Microsoft, das sich per­fider­weise an die Geset­ze hält, und nicht eben­falls auf FreeB­SD oder andere ver­meintlich über­legene (weil offene) Sys­teme. Beson­ders häu­fig ernte ich diese Kri­tik von Lin­uxnutzern. Das ist ein wenig merk­würdig.

Dass der Quell­code von Lin­ux näm­lich weit­ge­hend offen ver­füg­bar ist, bedeutet noch keine Fehler­frei­heit oder Sicher­heit. Veröf­fentlichte Sicher­heit­slück­en in ver­bre­it­eten Lin­ux­di­en­sten bis hin zu Kernkom­po­nen­ten (etwa su/sudo) sind nahezu an der Tage­sor­d­nung. Viele Köche sehen mehr, aber sie verder­ben eben auch den Brei. Auch unter Umstän­den kri­tis­che Lück­en bleiben da schon mal monate‑, gar jahre­lang unbe­merkt. “Nimm Lin­ux, da fall­en Fehler schneller auf”. Hier hast du 2 Mil­liar­den Zeilen Quell­code der aktuellen Ver­sion, der mor­gen schon wieder ver­al­tet ist, guck sel­ber, ob da irgen­dein Hin­tertürchen drin ist. Es ist schön, dass ihr den Quell­code the­o­retisch ken­nen kön­nt, aber ver­traut ihr ihm? Wenn ja: Warum?

Es gibt keine fehler­freie Soft­ware, das sollte jedem Com­put­er­nutzer klar sein. Aber kann es nicht auch sein, dass die NSA sich selb­st Hin­tertüren in Win­dows einge­baut hat? — Möglich ist das natür­lich. Die NSA ist poten­ziell unser Feind, das hat jed­er außer der Kan­z­lerin wahrschein­lich bere­its gemerkt, und ihre Bon­bons sind höchst­wahrschein­lich vergif- oh:

SELin­ux wird maßge­blich von der NSA und von dem Lin­ux-Dis­trib­u­tor Red Hat entwick­elt. (…) Für Ker­nel 2.4.x gibt es einen Patch, in Ker­nel 2.6.x ist SELin­ux direkt inte­gri­ert.

“Nimm Lin­ux, das ist sich­er vor der NSA”. Klar, der Quell­code ist offen. Und — habt ihr ihn über­prüft? Aber ich ver­ste­he schon: Die Lin­ux-NSA ist gut und die Win­dows-NSA ist böse. So ein­fach geht das. Und eigentlich ist ja auch nicht die NSA schuld, son­dern Microsoft und Google und Face­book und Apple sind schuld, dass sie Dat­en ihrer Benutzer her­aus­geben. (Dass Microsoft dies aus­drück­lich verneint hat, wird gern vergessen.) Bei PRISM ging es im Übri­gen — das wird bei diesem The­ma gern vergessen — auch nie darum, ob irgendwelche Hin­tertüren in Betrieb­ssys­te­men vorhan­den sind, vielmehr ermöglicht es Geheim­di­en­sten ange­blich, auf live geführte Kom­mu­nika­tion und gespe­icherte Infor­ma­tio­nen bei den beteiligten Inter­netkonz­er­nen zuzu­greifen. Angriff­sziel von PRISM sind also nicht “eure Com­put­er”, es ist die cloud. Die cloud, das sind Google Dri­ve und Google Mail und die iCloud und Face­book und Win­dows Azure und Win­dows Sky­Drive und Drop­box und Ubun­tu One und auch eure “im eige­nen Land”, aber eben meist auf fremder Hard­ware liegende own­Cloud. Das Betrieb­ssys­tem, mit dem wir unsere Dat­en hochladen, ist hier­bei vol­lkom­men uner­he­blich. PRISM ist keine Samm­lung von Tro­jan­ern, die direkt auf dem Lap­top Bilder von euren Briefen und Mails machen. Das Prob­lem ist nicht das Betrieb­ssys­tem, das Prob­lem sind die ach-so-nüt­zlichen Pro­gramme, mit denen ihr eure Dat­en bear­beit­et. Office 365, Pho­to­shop Cre­ative Cloud, Google Dri­ve — ihr lasst nicht nur zu, dass “eure Soft­ware” nicht mehr euch gehört, ihr spe­ichert die damit erstell­ten Werke auch auf frem­den Rech­n­ern, ist halt so prak­tisch.

Richtig ist hinge­gen, dass es wichtig ist, die Integrität der eige­nen Dat­en stets zu gewährleis­ten. Ob man nun seine Mails mit GnuPG ver­schlüs­selt (das geht unter Win­dows übri­gens mit The Bat! deut­lich leichter als mit dem stroke­li­gen Thun­der­bird, das in diesem Zusam­men­hang gern genan­nt wird), im instant mes­sen­ger sein­er Wahl stan­dard­mäßig OTR-Ver­schlüs­selung aktiviert oder seine Drop­box absichert: Welch­es Betrieb­ssys­tem ihr dafür ver­wen­det, bleibt allein euren Vor­lieben über­lassen. Ihr wollt ver­hin­dern, dass die NSA eure Dat­en bekommt? Vielle­icht soll­tet ihr sie ihr dann ein­fach nicht unge­beten in den Briefkas­ten wer­fen.

Und — sind eure Dat­en sich­er?

Ich werde gele­gentlich gefragt, warum ich als Alter­na­tive zu dem nicht erst wegen PRISM und TEMPORA höchst beden­klichen Online­di­enst Google Mail grund­sät­zlich empfehle, einen eige­nen Mailserv­er aufzuset­zen. Sei das nicht über­trieben, wenn man es mit einem Durch­schnittsnutzer zu tun hat, der nur mal eben seinen Mail­verkehr abwick­eln will?

Tja: Nein.

Dabei ist das eigentliche Prob­lem nicht ein­mal, dass es schwierig ist, einen “fer­ti­gen” Mailan­bi­eter zu find­en, der garantiert keine Hin­tertürchen für NSA oder BND offen hält und den Inhalt von Mails nicht an Wer­bepart­ner ver­scher­belt. (Ob es einen solchen über­haupt gibt, bleibt festzustellen.) Das Prob­lem ist das mit der dig­i­tal­en Mündigkeit.

Men­schen möcht­en grund­sät­zlich die Kon­trolle darüber, was sie wem preis­geben, behal­ten. Sie möcht­en wis­sen, wer ihr Leben wie und warum mitbes­timmt. Da kann es kul­turelle Unter­schiede geben, aber ich habe die Hoff­nung, dass es zum Beispiel ein poli­tisch radikaler Monarch dieser Tage schw­er haben dürfte, in Deutsch­land eine Allein­herrschaft zu erricht­en. Die Men­schen wür­den Fra­gen stellen, auch, weil es schon mehr als genug Dik­taturen auf deutschem Boden gab. Demokratie (par­la­men­tarisch) haben die meis­ten Deutschen gel­ernt, sie haben das Recht auf Mitbes­tim­mung zumin­d­est prinzip­iell ver­standen. Anders ver­hielte es sich wahrschein­lich, wenn sie nie von dem Konzept ein­er Demokratie gehört hät­ten. Viele Bürg­er, die in ein­er Dik­tatur leben, ken­nen alter­na­tive Staat­sen­twürfe vielle­icht nicht ein­mal und hal­ten eine Dik­tatur daher für eine gute Lösung. (Andere hal­ten sie auch in Ken­nt­nis demokratis­ch­er Prinzip­i­en für eine solche. Das hat dann andere Gründe.)

So ähn­lich ver­hält es sich nach meinem Dafürhal­ten mit der dig­i­tal­en Mündigkeit. In ein­er Zeit, in der der gemeine Nutzer über all der Bequem­lichkeit des Inter­nets zuse­hends an Recht­en und Pri­vat­sphäre ver­liert, ist es ins­beson­dere wichtig, dass er das Konzept ver­ste­ht. Google Mail kann nüt­zlich und irre bequem sein, das stelle ich nicht in Abrede. Für den “DAU”, den “dümm­sten anzunehmenden User”, sei alles Andere vol­lkom­men irrel­e­vant, höre ich oft. Aber warum sollte ein solch­er “DAU” immer ein­er bleiben? Tat­säch­lich bin ich davon überzeugt, dass mehr Men­schen sich für die Prob­leme von Drit­tan­bi­e­ter­di­en­sten inter­essieren wür­den, wüssten sie um deren Schwächen.

Das Versenden und Emp­fan­gen von E‑Mails über von Drit­ten kon­trol­lierte Serv­er ist unge­fähr wie das Versenden ein­er Postkarte. Es ist wün­schenswert, dass der Post­bote (der Mailserv­er) nur die Adresse liest und weit­ergibt, aber wirk­lich wis­sen kön­nen es wed­er Absender noch Empfänger. Kon­se­quent schreibt auch hof­fentlich nie­mand Ver­traulich­es auf eine Postkarte. Das beliebte Gege­nar­gu­ment, man schreibe in Mails sowieso nie etwas, was nie­mand wis­sen dürfe, wird an dieser Stelle meist von denen ange­bracht, die Gar­di­nen vor ihr Fen­ster hän­gen und beim Toi­let­ten­gang die Tür hin­ter sich schließen. Warum tun sie das?

Eine mögliche Lösung zur Wahrung des Daten­schutzes auch gegenüber Geheim­di­en­sten ist die Ende-zu-Ende-Ver­schlüs­selung etwa per GnuPG. Hier­bei wird auss­chließlich ver­schlüs­sel­ter Text über die frem­den Mailserv­er geschickt, den nur der (über­prüf­bare) Absender und der jew­eilige Empfänger lesen kön­nen. Diese Art der Sicher­heit nimmt jedoch (je nach ver­wen­de­tem Mail­pro­gramm) ein wenig Kom­fort aus der Kom­mu­nika­tion, zudem ist sie bei vie­len Web­mailan­bi­etern nicht ein­mal möglich. Die von mir vorgeschla­gene Alter­na­tive ist, wie erwäh­nt, die Instal­la­tion eines eige­nen Mailservers. Ein solch­er Serv­er ist gün­stig zu bekom­men (ein leis­tungss­chwach­er vServ­er genügt, bei Inter­net­fla­trate kann oft auch bere­its der heimis­che Router oder ein aus­rang­iert­er Altrech­n­er ohne Mehrpreis als Mailserv­er ein­gerichtet wer­den) und ermöglicht die volle Kon­trolle darüber, was mit dem Postein- und ‑aus­gang passiert.

Dass dafür min­destens rudi­men­täre Sys­temken­nt­nisse von Vorteil sind, ist neben dem Ein­rich­tungs- und Wartungsaufwand (gele­gentliche Sicher­heit­sak­tu­al­isierun­gen wer­den natür­lich emp­fohlen) der einzige nen­nenswerte Nachteil dieser Lösung. Tat­säch­lich gibt es im Inter­net viele mal umfan­gre­iche, mal eher rudi­men­täre Anleitun­gen für Mailserver­novizen aller Betrieb­ssys­teme, auch Win­dows­nutzer kön­nen sich mit weni­gen Klicks einen funk­tion­ieren­den Mailserv­er ins Wohnz­im­mer stellen.

E‑Mail ist auch nur ein Beispiel für die Prob­lematik. Habt ihr mal darüber nachgedacht, ob der Face­book-Chat wirk­lich ein Gespräch unter vier Augen ist? Wisst ihr so genau, was tech­nisch passiert, wenn ihr eur­er Flamme per What­sApp ein pein­lich­es Bild von euch sendet? Würde es euch unberührt lassen, wenn eure Skype-Tele­fonate über eine dumme Sicher­heit­slücke offen im Inter­net lan­den? Das mag alles im Ver­gle­ich mit selb­st kon­trol­lierten Lösun­gen (zum Beispiel Dias­po­ra, Jab­ber und Mum­ble) so unglaublich prak­tisch sein, aber ist es das wert?

Es mag bequem sein, mit bun­ten Knöpfen und “mach­ste an und läuft” an der Hand durch das Inter­net geführt zu wer­den. Aber würdet ihr einen Frem­den auf der Straße bit­ten, kurz auf eure Geld­börse aufzu­passen, nur weil er unverdächtig lächelt?

Ihr werdet vom Staat (von welchem auch immer) nur deshalb bei allem, was ihr tut, beobachtet und präven­tiv belauscht, weil es euch nicht schert. Nie­mand kann euch dazu zwin­gen, den nöti­gen Aufwand zu treiben, um Herr über euer dig­i­tales Dasein zu bleiben. Ihr soll­tet nur wis­sen, dass ihr dazu jed­erzeit die Chance habt.

Nutzt sie. Habt Mut, euch eures eige­nen Ver­standes zu bedi­enen.

Ihr habt nur die Frei­heit, die ihr euch nehmt. Das soll­tet ihr niemals vergessen.