Datenschutz und Sicherheit

Sicherheitsmängel bei Lesegeräten für biometrischen Pass

NEIN zum biometrischen ReisepassErst kürzlich musste ich mir über die Manipulation der Abstimmung zum biometrischen Pass durch Medien und Politiker (allen voran durch Bundesrätin Eveline Widmer-Schlumpf) Luft verschaffen. Jetzt wurde bekannt, dass das Bundesamt für Kommunikation (Bakom) in einem offiziellen, aber bisher unveröffentlichten Bericht vom 28. November 2008 grobe Sicherheitsmängel bei den Lesegeräten festgestellt hat. Aufgedeckt hat dies der Tages-Anzeiger und wahrscheinlich hat sich der Autor Patrick Kühnis mit seinem Artikel einen Haufen Ärger aufgehalst. Ihn nehme ich von meiner Medienschelte aus und danke ihm für seinen Mut, den Artikel zu schreiben. Pikant an der Sache ist vor allem, dass das Bakom vom Bundesamt für Polizei (Fedpol) beauftragt wurde, die „Datenauslesung auf Distanz beim biometrischen Pass“ zu untersuchen.

Fazit der Tester: „Unter idealen Bedingungen ist das drahtlose Mithören bis zu einer Distanz von etwa 25 Metern möglich.“ Aus noch weit grösserer Distanz lassen sich die Lesegeräte über das Stromnetz anzapfen. Denn die Spezialisten des Bakom fanden heraus, dass die Apparate (mit angeschlossenem Notebook) die gelesenen Daten «ungewollt über das 230-Volt-Netz weiterleiten». Messungen und Berechnungen hätten gezeigt, dass «ein Mitlesen auf der Hausinstallation bis zu einer Distanz von über 500 Metern möglich ist».

Das Bakom warnt zudem davor, den biometrischen Pass ohne Schutzhülle aufzubewahren. Mit Netzfiltern glaubt man beim EJPD naiv, dem Mangel Abhilfe zu schaffen, und schlägt alle Warnungen des Bakom in den Wind. Aber auch wenn die Lesegeräte in der Schweiz sicher wären, ist damit das Problem im Ausland noch lang nicht behoben. Schliesslich wird der Pass vor allem für Reisen im Ausland gebraucht.

Noch in der Arena-Sendung vom 1. Mai hatten Bundesrätin Eveline Widmer-Schlumpf und Roman Vanek, Chef der Sektion Ausweisschriften beim Fedpol wiederholt die Sicherheit des neuen Passes betont und damit die Zuschauer wohlwissend angelogen, ohne dabei rot zu werden. Ebenso lügt die Frau Bundesrätin, wenn sie behauptet, dass wir bei Ablehnung des biometrischen Passes für Reisen im EU-Raum künftig ein Visum bräuchten. Solche Lügen sind eines Bundesrates unwürdig und eine Schande für die Schweiz. Frau Bundesrätin, ich fordere Sie zum Rücktritt auf!

Wer sich sachlich über das Thema informieren möchte, liest …

Wie Medien und Politiker Abstimmungen manipulieren

Bundesrätin Eveline Widmer-Schlumpf belügt das StimmvolkDie Berichterstattung der Medien im Zusammenhang mit der Abstimmung vom 17. Mai 2009 über die Einführung von biometrischen Reisepässen ist mehr als nur zweifelhaft. Es wird immer offensichtlicher, dass die öffentliche Meinung über die veröffentlichte Meinung durch die Medien im Auftrag des Bundes manipuliert wird. Allen voran macht sich unsere Bundesrätin Eveline Widmer-Schlumpf stark für den biometrischen Pass, wobei sie sich nicht schämt, das Stimmvolk mit gezielten Lügen zu desinformieren. Auffallend ist, dass in den Medien nur Politiker zu Wort kommen, aber niemand, der etwas von der RFID-Technologie in den Pässen versteht und Erfahrung mit der Verarbeitung von sensiblen Daten hat. Das Ganze hat System, hat aber nichts mit seriöser Berichterstattung zu tun.

Continue reading

Kein Spielspass ohne Internetverbindung

EA Sports - FIFA09Voll Freude zeigte mir heute Abend mein Ältester sein neu erworbenes PC-Spiel. Nach dem Nachtessen wollten wir FIFA09 von Electronic Arts installieren. Beim Akzept-Dialog für die abzunickende Lizenzvereinbarung (EULA), las ich diese im Gegensatz zu den meisten Zeitgenossen etwas genauer. EA liess sich bestätigen, Benutzerdaten und Daten über den Computer des Benutzers sammeln und verwerten zu dürfen. Naja, dachte ich. Solange ich die Firewall geschlossen halte, können die ja sammeln, was sie wollen. Nach Hause schicken lasse ich sie die Daten ganz bestimmt nicht. Nach der anschliessenden, langen Installations-Prozedur, die eine Unmenge an Daten auf die Festplatte kopierte, waren wir natürlich gespannt, ob und wie das neue Stück Spielsoftware funktionierte.

Continue reading

Auch der Datenschutzbeauftragte ist skeptisch

Hanspeter ThürDer Datenschützer Hanspeter Thür ist sehr skeptisch gegenüber dem geplanten biometrischen Pass, wie er im Interview mit Andreas Weidmann klar zu verstehen gibt. Auch gemäss seiner Beurteilung besteht absolut keine Veranlassung, die Fingerabdrücke in einer zentralen Datenbank zu speichern: „Dies wird von den internationalen Abkommen nicht verlangt und ist auch nicht erforderlich, um das eigentliche Ziel zu erreichen, nämlich die Fälschungssicherheit des Passes zu erhöhen. […] Persönliche Daten dürfen nur so weit als unbedingt erforderlich gespeichert und bearbeitet werden. Die zentrale Speicherung der Fingerabdrücke ist nicht erforderlich, um die Fälschungssicherheit zu erhöhen. Deshalb soll darauf verzichtet werden.“

Die zentral gespeicherten Fingerabrücke schaffen die Möglichkeit einer Rasterfahndung. „Es gibt in anderen Ländern Beispiele von Datenbanken, die rasch anderen Zwecke dienten als dem ursprünglich vorgesehenen. Soll dies von vornherein verhindert werden, ist es nötig, eine mögliche Zweckänderung der Datenbank technisch zu verunmöglichen, also auf die zentrale Speicherung zu verzichten.“

Continue reading

Keine biometrische Ausweise mit RFID-Chips!

FreiheitskampagneRFID-Chips bringen Effizienz in die Warenlogistisk – das ist unbestritten. Und solange sie nur auf der Gebinde- oder Palettenebene eingesetzt werden und nicht in einzelnen Produkten, bestehen auch in datenschutzrechtlicher Hinsicht keinerlei Bedenken. Beim Einsatz zur Speicherung von persönlichen Daten sieht dies jedoch ganz anders aus. Wie jede Medaille hat auch die RFID-Technologie ihre Kehrseite.

Materie hat keine Persönlichkeit und somit auch keine Privatsphäre – aber Menschen haben so etwas. Deshalb sind beim RFID-Einsatz im Zusammenhang mit Menschen ganze andere Kriterien für die Beurteilung massgebend. Wer dies ausser Acht lässt, demonstriert damit entweder nur Dummheit und Ignoranz oder aber – was noch schlimmer wäre – seine Verachtung für seine Mitmenschen, indem er es akzeptiert, dass sie wie Rindvieh mit einer „digitalen Hundemarke mit Peilsender“ gekennzeichnet werden. Umso bedenklicher ist es, wenn solche Bemühungen auch noch im Staatsauftrag erfolgen sollen, wie dies gerade in der Schweiz bei den geplanten Personenausweisen mit RFID-Chips zur Speicherung von biometrischen Merkmalen der Fall ist.

Im Hinblick auf die Abstimmung vom 17. Mai 2009 habe ich daher von offizieller Seite unterschlagene Informationen zusammengestellt, die jeden verantwortungsbewussten Stimmbürger interessieren dürften.

Was ist und wie funktioniert RFID?

RFID (Radio Frequency Identification) ist eine Technologie, bei der auf einem winzig kleinen, elektronischen Funk-Speicher-Chip Daten gespeichert werden, welche berührungslos ausgelesen werden können, indem der RFID-Chip seine Daten per Funk mitteilt, sobald er mit einem bestimmten Funksignal angeregt wird. Ursprünglich wurde RFID (wie der Name schon sagt) für die schnelle, kostengünstige und kontaktlose Identifikation von Waren innerhalb einer Logistikkette entwickelt. Heute ist die Speicherkapazität der RFID-Chips um ein Vielfaches grösser, so dass praktisch jede beliebige Information auf ihnen gespeichert werden kann. Dies hat die Verantwortlichen dazu verleitet, RFID auch in Personenausweisen einzusetzen, obwohl die Technologie keine hinreichenden Sicherheitsfunktionen bietet – mit fatalen Folgen für unsere Privatsphäre.

Wie der neue biometrische Reisepass funktioniert und wie unsicher er ist, zeigte das Schweizer Fernsehen in der Sendung „Einstein“ am 20. März:

RFID begünstigt permanente Überwachung, Identitätsdiebstahl und Betrug

Jedes Werkzeug bringt bei zweckgemässer und fachgerechter Anwendung den grössten Nutzen. Bei Missbrauch und Zweckentfremdung allerdings kann es sogar Leid und Tod bringen. Am einfachsten lässt sich dies an einem Küchenmesser nachvollziehen. Bei RFID ist dies nicht anders. Nur sind hier die negativen Folgen eines Missbrauchs nicht auf den ersten Blick erkennbar und damit der Missbrauch als solcher nicht offensichtlich.

Continue reading

Selbstverteidigung für die Privatsphäre

EFF - Surveillance Self Defense (SSD)

Nur wer die technischen Mittel kennt, um seine Daten und somit auch seine Privatsphäre zu schützen, kann sein Recht darauf auch durchsetzen. Die Electronic Frontier Foundation (EFF) hat einen kostenlosen Informationsdienst für jedermann mit dem Projektnamen “Surveillance Self-Defense” (SSD) gestartet. Es ist ein kostenloses Archiv zu umfassenden Informationen über Security, Verschlüsselung und Data Mining. Hier wird gezeigt, wie man sich vor staatlicher Überwachung abschirmt. Leider gehen (für meinen Geschmack) nicht alle Beiträge genügend in die Tiefe. Wer sich jedoch eine Übersicht verschaffen will und den Einstieg in die Materie sucht, findet hier genügend Informationen und Links zu weiteren Informationen. Das EFF-Projekt ist eine ideale Ergänzung zu meinem Artikel „Sicher im Internet unterwegs„.

Facebook macht Geld aus Nutzer-Daten

facebook LogoFacebook hat es bisher nicht geschafft, die Werbeeinblendungen auf die Profile seiner Nutzer zurechtzuschneidern und damit Geld zu verdienen. Ein neues Umfrage-Tool soll dies nun ändern. „Engagement Ads“ nennt sich das neue System und nutzt die Angaben in den persönlichen Profilen, um den Nutzern zusätzlich gezielte Fragen zu stellen. Die Ergebnisse werden in Echtzeit berechnet und können sofort genutzt werden. Das ist zwar weder völlig neu noch besonders innovativ, aber aus Sicht des Datenschutzes höchst brisant.

Continue reading

Nokia erpresst Finnlands Regierung

Nokia LogoDer Handyhersteller Nokia verlangt von Finnlands Regierung, alle E-Mails der eigenen Mitarbeiter überwachen zu dürfen, andernfalls würde man das Unternehmen ins Ausland verlagern. Finnlands Regierung hat Angst vor dem drohenden Verlust von 16’000 Arbeitsplätzen und Steuereinnahmen und soll die gewünschte Gesetzesinitiative bereits initiiert haben. Der Hintergrund ist vermutete Industriespionage durch den chinesischen Konkurrenten Huawei.

Continue reading

Blogger-Phishing

Es scheint sich eine neue Variante des Sammelns von persönlichen Daten etabliert zu haben, die vom Einfallsreichtum und von der Kreativität der betrügerischen Datenjäger zeugt. Ihre Ziele sind die Blogger und deren Eitelkeit ist ihre Chance. Web-Schreiberlinge erhalten seit Wochen immer mehr Emails mit einem Angebot für eine „Linkkooperation“. Gestern bekam auch ich wieder so ein Schreiben von einem angeblichen „Ron Krüger“ mit folgendem Inhalt: Continue reading

Datenschutzniveau in Deutschland steigt

Etwas erstaunt aber dennoch erfreut habe ich zur Kenntnis genommen, dass das Deutsche Bundeskabinett heute den umstrittenen Gesetzesentwurf verabschiedet hat, wonach Kunden in die Weitergabe von Personendaten für Werbung von Drittfirmen einwilligen müssen. Es soll demnach grundsätzlich das Opt-in-Prinzip für die Weitergabe von persönlichen Daten an Dritte für Werbung, Markt- und Meinungsforschung gesetzlich verankert werden. Ausgenommen davon bleiben die Eigenwerbung, die Spendenwerbung insbesondere für gemeinnützige und kirchliche Organisation und auch die Werbung im reinen Geschäftsbereich (Business to Business – B2B). Auch die „Beipackwerbung“ – der Mitversand von Werbeunterlagen von Drittanbietern – soll erlaubt sein.

Besonders begrüssenswert erachte ich auch die neue Informationspflicht bei Datenschutzpannen. Zudem sollen marktbeherrschende Unternehmen den Abschluss eines Vertrages nicht mehr von der Bekanntgabe personenbezogener Daten und der Einwilligung der Betroffenen in die Nutzung zu Werbezwecken abhängig machen dürfen. Verstösse gegen das Datenschutzrecht sollen in Zukunft mit bis zu 300.000 Euro Bussgeld bestraft werden können. Dies verdeutlicht, dass Datenschutzrechtsverletzungen künftig nicht mehr als Kavaliersdelikte behandelt werden. Sogar der selbst so datensammelwütige Bundesinnenminister Wolfgang Schäuble sprach von einem „kriminellen Unrecht“. Vielleicht will er ja bloss weitere Datenschutzskandale in der Privatwirtschaft vermeiden, um seine eigenen Überwachungspläne besser durchboxen zu können. Ob ihm das allerdings gelingt, wenn er die Bürger insgesamt für den Umgang mit ihren Daten sensibilisieren will?

Online-Identitäten sind gefährlich

Avatare repräsentieren Online-Identitäten ihrer Eigentümer aus der realen Welt als künstliche Persönlichkeiten mit einem grafischen Stellvertreter. In virtuellen Spielwelten bilden sie die Spielfiguren, welche das Eigenbild oder oft auch nur das eigene Wunschbild repräsentieren. Doch auch in sozialen Netzwerken erfreuen sie sich wachsender Beliebtheit – und hier sind die Identitäten mehrheitlich echt. Schliesslich gehört es schon fast zum guten Ton, der eigenen Person auch im Web ein Gesicht zu geben. Das macht Avatare auch für die Werbeindustrie besonders interessant, denn hier unterstützt der Avatar die Sammlung und Zusammenführung von Nutzungsdaten für das „Behavioral Targeting“, d.h. die verhaltensbasierte Einblendung von Werbung auf Webseiten.

Continue reading

Charta des digitalen Datenschutzes und der Informationsfreiheit

Der Deutsche Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Peter Schaar will eine Charta des digitalen Datenschutzes und der Informationsfreiheit erstellen. Schaar schreibt in einer Mitteilung:„Da in unserer durch Interaktivität geprägten Welt jeder Einzelne nicht mehr bloß Nutzer, sondern ein Netzbürger mit unveräußerlichen Rechten ist, ist es für mich besonders wichtig, auf die Verantwortlichkeit aller Beteiligten, also sowohl staatlicher Stellen und Unternehmen, aber auch jedes Einzelnen für die Inhalte hinzuweisen, die er über sich und insbesondere andere veröffentlicht“.

Er macht gleich selber den Anfang mit seinem ersten Entwurf der Charta bestehend aus zehn Grundsätzen für die Informationsgesellschaft und will damit die öffentliche Diskussion anregen. Jeder Netzbürger ist eingeladen mitzuarbeiten und -diskutieren. Leider wird die Debatte nur per Email und nicht Online geführt. Trotzdem ist dies sicher eine gute Sache, um die Öffentlichkeit für das Thema zu sensibilisieren – und das ist dringend notwendig.