Der hintergangene User

Andrew P. aus einer Kleinstadt im Norden der Vereinigten Staaten fiel aus allen Wolken, als ein Angestellter seiner Kreditkartenfirma anrief: Er habe seinen Kreditrahmen weit überzogen. Es stellte sich heraus: Irgendwer in Texas hatte sich unter P.s Namen und Sozialversicherungsnummer einige Kreditkarten ausstellen lassen. Außerdem hatte der oder die Unbekannte einen BMW gekauft, Arztrechnungen bezahlt und eine Hypothek aufgenommen. Zwei Jahre dauerte es, bis Andrew P. wieder kreditwürdig war.

Wie 750000 andere Amerikaner ist Andrew P. im vergangenen Jahr Opfer eines Identitätsdiebstahls geworden – derzeit eine besonders schnell wachsende Verbrechensbranche in den USA. Die Ursache dafür, so berichtete die Zeitung „Investor’s Business Daily“ im Oktober 2000, sei in erster Linie der naive Umgang mit dem Internet. Die romantische Frühzeit des Internet ist vorbei. Im Netz geht es zu wie im richtigen Leben. Der Kommerz regiert – und der Sex: Unter den 50 meist angeklickten Webadressen befassen sich 48 mit dem Thema Nummer eins. Und wie im richtigen Leben gehört auch die Kriminalität dazu: Terrorismus, Datenklau, elektronischer Bankraub, Fälschung, Identitätsdiebstahl, Einbrüche.

Millionen schlendern täglich durch diese Welt, schauen hier vorbei, plauschen dort, schreiben Briefe, kaufen ein. Vorbei an lockenden Marktschreiern, vorbei an virtuellen Damen, die an die Kreditkarte wollen, vorbei an Taschendieben, die auf die Brieftasche scharf sind. Man beobachtet den User, schätzt ihn ein. Er ist ein wenig wie das Landei, das über die Reeperbahn schlendert und nicht merkt, daß alle von ihm nur sein Bestes wollen.

Immerhin – der Besucher im Rotlichtviertel bleibt meistens unerkannt. Anders im Internet: Der Surfer hinterläßt Spuren, die kein gnädiger Wind verweht – zur Freude vieler Fährtenleser. Mittlerweile ist das elektronische Netz die größte Datensammelmaschine der Welt, mit etwa 400 Millionen Servern und Personal Computern (PC) rund um den Globus, die das Netz bilden. Persönliche Daten gehören dazu – und sind erstaunlich leicht zugänglich.

Noch Ende der achtziger Jahre galt das Sammeln persönlicher Informationen den Datenschützern als Horrorszenario. Vehement kämpften alternative Gruppen 1987 gegen die bundesweite Volkszählung. Die Furcht vor dem „gläsernen Bürger“ steckte damals in vielen Köpfen: die Vorstellung, der Staat plane eine Totalerfassung des Bürgers. Heute fürchten dies nur noch wenige, urteilt Herbert Kubicek, Professor für Angewandte Informatik an der Universität Bremen. Vom früheren Engagement des Telekommunikations-Experten künden noch ein paar Aufkleber an seiner Bürowand, die zum Boykott der Volkszählung aufriefen. Indes: „Heute geht es nicht um den gläsernen Bürger, den man vor dem Staat schützen muß“, sagt Kubicek. „Es geht vielmehr um den gläsernen Konsumenten.“ Statt des Bürgers zählt der Konsument in einer immens vielfältigen Warenwelt. In dieser Vielfalt setzen Firmen immer mehr auf gezieltes Marketing: Ein „gläserner Verbraucher“, auf den man seine Angebote individuell zuschneidern kann, ist deshalb bares Geld wert. Da kommt das Internet gerade recht. Bei jedem elektronischen Einkauf, schrieb der Verbraucher-Experte Prof. Heiko Steffens schon 1995, hinterläßt der Verbraucher „ergiebige Datenströme, die sich bei geschickter Verknüpfung profitabel vermarkten lassen“.

Wie das gehen kann, zeigt das amerikanische Unternehmen DoubleClick, einer der größten Werber im Internet. DoubleClick arbeitet mit einer Reihe von Firmen zusammen. Sobald ein Kunde die Internet-Seiten einer dieser Firmen besucht, wird auf seinem Rechner ein Vermerk mit einer Registriernummer plaziert, ein sogenanntes Cookie. Kauft der Kunde etwas, sind außerdem Name und Adresse bekannt.

Diese Daten gibt DoubleClick an alle übrigen Firmen des Verbundes. Sobald der ahnungslose Kunde die Webseite eines dieser Unternehmen besucht, wird das automatisch an DoubleClick gemeldet. So erhalten die Datensammler ein Bewegungsbild des Nutzers im Netz und verarbeiten es zu einem Profil. Passend dazu zeigt DoubleClick dem Internet-User auf ihn zugeschnittene Werbung an. Unternehmen, die ein offensives Marketing betreiben, haben größtes Interesse an Angaben zu Beruf, Einkommen, Hobbys und Schulbildung. Banken können dadurch Geldanlagen anbieten, die genau dem Einkommen und Risikoprofil des Anlegers entsprechen, Buchhändler informieren über Neuerscheinungen auf Gebieten, die den gläsernen Adressaten garantiert interessieren. Kunden mit Vorlieben für Tulpenzucht, Scuba-Tauchen oder Luftpostkarten fischt man in Newsgruppen und Online-Chats, in denen sich die Teilnehmer – unter Angabe ihrer E-Mail-Adresse – zu just diesen Themen treffen.

Jedem Nutzer, der ins Internet geht, sollte klar sein: Er wird von diversen Servern in „Log-Dateien“ erfaßt. Immer dabei ist die IP-Adresse (Internet Protocol), die den Teilnehmer identifizieren hilft. Oft hält der Server auch fest, über welchen Link der Nutzer gekommen ist. Die meisten Log-Dateien werden nach einiger Zeit gelöscht – nicht selten aber erst nach vorheriger Auswertung. Karl Mays Fährtensucher wären entzückt über die breite Spur, die der Surfer im Datendickicht hinterläßt. Immerhin, meint Marit Köhntopp vom Datenschutzzentrum in Kiel, seien diese Informationen auf verschiedene Betreiber und Rechner verteilt, so daß nicht jeder die Daten zu einem Profil verdichten oder einer Person zuordnen könne. „Falls aber Marketingfirmen, Geheimdienste oder Hacker Zugriff darauf erlangen, gibt es diverse Möglichkeiten, diese Daten zu verketten.“ Zu diesem Zweck würden die Datensammler jedem Nutzer gern eine eindeutige Kennzeichnung verpassen. Die heutige IP-Adresse ist mit 32 Bit dafür zu kurz. In der nächsten Protokoll-Generation wird die Adresse mit 128 Bit erheblich länger. Eini-ge Firmen verteilen bereits eindeutige Kennungen, „GUIDs“ (Globally Unique Identifiers). So versieht der Software-Riese Microsoft den Nutzer bei der Online-Registrierung von Windows 98 mit einer GUID, die auf der Festplatte abgelegt wird.

Ein Teil der Internet-Nutzer begrüßt es, als Effekt dieser Heimlichkeiten gezielt beworben zu werden. Aber dieser Teil ist in der Minderheit, selbst bei den konsumorientierten Amerikanern: 54 Prozent der Internet-User in den USA, so ergab jüngst eine Befragung (PEW Report, www.pewinternet. org/), lehnen das „ Tracken“ von Nutzern im Netz ab, da es die Privatsphäre verletze. Nur 27 Prozent halten es für nützlich.

Läßt sich die Privatsphäre im Netz noch schützen? Hier gibt es derzeit zwar sinnvolle Tips (siehe Seite 76), aber keine endgültige Antwort. Herbert Kubicek weiß nur eines genau: „Der Datenschutz, so wie wir ihn kennen, greift bloß noch in ganz wenigen Bereichen.“ Denn dieser Datenschutz wurde in der Großrechner-Ära vor Jahrzehnten geschaffen. Heute jedoch ist jeder PC im Netz ein eigener Server und steht mit Millionen anderen in Verbindung. Hier läßt sich nichts mehr zentral regeln oder kontrollieren.

Nicht jeder legt Wert auf Anonymität im Internet. Viele nutzen es als Bühne zur öffentlichen Selbstinszenierung – im Zeitalter der Fernsehserie „Big Brother“ nichts Ungewöhnliches. Aber auch wer sich zurückhält, hinterläßt mehr Spuren, als ihm lieb sein dürfte. „Wer etwas ins Netz schreibt, muß davon ausgehen, daß es damit öffentlich und für jeden lange Zeit zugänglich ist“, warnt Kubicek. Das können Diskussionen in Newsgruppen und Chat-Rooms oder andere Beiträge sein. Plötzlich wird man mit Jugendsünden konfrontiert, etwa mit unbedachten Äußerungen, die Jahre zurückliegen. Vielleicht suchen auch Vermieter oder Personalchefs Entscheidungshilfe im Internet: Schaun wir mal, ob wir über den Bewerber etwas im Netz finden. Und wer sich mit der Suche im Internet nicht auskennt, kann Profis beauftragen. Die versprechen Auskünfte, etwa über einen Mitarbeiter oder einen säumigen Schuldner.

So kostet es bei der amerikanischen Detektei DigDirt.com 350 Dollar, und die Firma beschafft zu einer E-Mail-Adresse den Namen und die Wohnadresse. 100 Dollar mehr kostet es, wenn es sich um eine anonyme E-Mail-Adresse handelt. Noch einmal 350 Dollar sind fällig, wenn man zu der E-Mail-Adresse sämtliche Beiträge des oder der Betreffenden aus Chat-Rooms und Newsgruppen haben möchte. Gebucht werden kann via Internet (www.digdirt.com). Auch deutsche Detekteien schätzen das Netz. Peter Krohn von der Secu-Ma in Ütersen zum Beispiel hat ganze Personenlegenden anhand der Informationen erstellt, die Menschen auf ihrer privaten Homepage preisgaben.

Besonders offenherzig sind E-Mails. Millionen von elektronischen Briefen werden täglich unverschlüsselt durch das Netz geschickt, private Briefe ebenso wie geschäftliche. Nichts davon ist geheim, genausowenig wie der Text auf einer Postkarte. Jeder Systemverwalter, der Zugriff auf den E-Mail-Server hat, kann die Korrespondenz lesen – nicht nur beim Empfänger und Absender, sondern auch auf allen Servern, die die Briefe weiterleiten. Überwachungssoftware erleichtert die Durchsicht der elektronischen Post. 40 Prozent der amerikanischen Arbeitgeber, so die American Management Association, überwachten im Jahr 2000 die E-Mails der Belegschaft.

Überhaupt: der Systemverwalter. Er kann nicht nur die elektronische Post aller Mitarbeiter in einem Unternehmen oder Institut lesen. Er kann Texte auch löschen oder verändern. Und er kann sehen, wer wann im Internet ist und welche Sites er dort besucht. Das wurde jüngst auch einem Dekan der renommierten Harvard University klar, der pornographisches Material heruntergeladen hatte – man legte ihm den Rücktritt nahe. Michael Merz, Fachmann für Electronic Commerce in Hamburg, wundert sich über gar nichts mehr: „Wenn Sie in den USA ein Medikament per Internet kaufen, kann es ohne weiteres vorkommen, daß Ihr Personalchef Sie am nächsten Tag nach Ihrer Krankheit fragt.“ Und dann gibt es ja noch die halbstaatliche amerikanische National Security Agency (NSA). Manfred Fink aus Coburg, Fachmann für Wirtschaftsspionage, betont: Von Deutschland aus läßt sich nicht mit dem Ausland telefonieren, ohne daß mindestens zwei bis drei Geheimdienste mitlauschen – vor allem die NSA. Sie betreibt ein weltumspannendes Abhörsystem, das Telefongespräche, Faxe und E-Mails aufzeichnet sowie die Datenflut automatisch nach Schlüsselwörtern auswertet.

Dabei kommt ihr die zunehmende Digitalisierung der Daten entgegen: Eine E-Mail läßt sich einfacher nach bestimmten Wörtern durchsuchen als ein aufgezeichnetes Telefongespräch. Routinemäßig wird wohl auch die elektronische Post des normalen Users gescannt. So warnte der Kryptographie-Experte Prof. Andreas Pfitzmann auf einer Tagung der Evangelischen Akademie Tutzing: „ Bei jeder Nachrichtenübertragung, die man nicht verschlüsselt hat, kann man davon ausgehen: Sie wird abgehört, gelesen und archiviert.“ Der normale User muß zwar nicht befürchten, daß ein Geheimdienst ihm nachstellt – er ist uninteressant. Aber andere „ dunkle Mächte“ sind scharf auf seine persönlichen Daten. So brachen kurz vor Weihnachten 2000 sogenannte Cracker – das sind Hacker mit üblen Absichten – in die Server des amerikanischen Computerhändlers Egghead ein, um einen Blick in die Kundendatenbank zu werfen. Sie enthält die Daten von 3,7 Millionen Kunden – mit deren Kreditkartennummern. Der Heise Onlinedienst berichtete im vergangenen Dezember:

Mit Kreditkartennummern, die von Webservern gestohlen wurden, werden häufig nur geringe Beträge von den Kundenkonten abgebucht – in der Hoffnung, daß das den Konteninhabern nicht auffällt. Bei Tausenden von Kunden sollen im vergangenen Jahr Summen zwischen 5 und 25 Dollar unautorisiert abgebucht worden sein. Experten meinen, daß die Betrüger sich die meisten Kreditkartennummern über eine gefälschte Porno-Seite abgegriffen hätten. Auch in der virtuellen Welt scheinen Sex & Crime eine innige Verbindung einzugehen. Wie dem Net-Bürger mittels neuer Kommunikationstechnik auch sonst noch nachgestellt werden kann, wird derzeit an Kindern ausprobiert. Für US-Teenager gibt es mittlerweile die „PocketCard“, eine spezielle Kreditkarte, die nur Ausgaben bis zu einem bestimmten Betrag erlaubt. Ist die Karte leer, können die Eltern sie über Telefon oder Internet aufladen. Der Clou daran: Vater sieht, wofür das Geld ausgegeben wurde.

Wenn erst das Kind ständig seinen „digitalen Engel“ bei sich trägt – einen kleinen Sender, dessen Signale vom satellitengestützten GPS-System verarbeitet werden –, können die Eltern sogar jederzeit per Handy die Orts-Koordinaten ihres Nachwuchses abrufen. In München testet die Firma GAP gerade das Verfahren an 50 Familien.

Mit der Technik hat sich auch die Haltung vieler Bürger gewandelt. Sie seien risikobereiter geworden, meint Kubicek. Er selbst auch: Seine Kreditkartennummer schickt er übers Netz, und auch Cookies akzeptiert er – obwohl er um die Risiken weiß. Viele Net-Nutzer agieren zwiespältig, wie auch der eingangs zitierte PEW-Report feststellt: Die größte Furcht der amerikanischen Onliner gelte der Verletzung ihrer Privatsphäre. Gleichzeitig aber machten sie verblüffend viele persönliche und vertrauliche Dinge im Internet. Vielleicht mußten die meisten Surfer bislang noch keine schlechten Erfahrungen sammeln. Damit das so bleibt, ist Eigeninitiative gefragt. „Der alte, staatsgerichtete Datenschutz ist tot“, sagt Helmut Bäumler, der rührige Datenschutzbeauftragte Schleswig-Holsteins. Er fordert Selbstschutz und Selbstverpflichtung, kontrolliert durch unabhängige Stellen.

Viel gewonnen ist schon, wenn der einzelne ein paar einfache Empfehlungen beachtet (siehe Kasten „Wie Sie sich schützen können“ ). Unterstützung findet er auch im Virtuellen Datenschutzbüro (VDSB), das die Kieler Datenschützer zusammen mit anderen Organisationen seit kurzem im Internet betreiben. Von den Firmen wiederum wird Selbstverpflichtung zum Datenschutz gefordert – auch im eigenen Interesse. Wer sich nicht daran hält, muß in Zukunft damit rechnen, daß die Nutzer ihn boykottieren: Verbrauchermacht erzwingt dann den Schutz der Privatsphäre. „ Heute muß sich der einzelne nicht mehr vor einem gefährlichen Großen Bruder schützen“, resümiert Herbert Kubicek. „Heute geht es um viele kleine Brüderchen.“ Und das empfindet der Bremer Informatiker als einen Schritt in Richtung Waffengleichheit.

Vorsicht, Ihr Rechner Hört Mit Nehmen wir an, Sie wären ein wichtiger Geheimnisträger, den Interessierte rund um die Uhr abhören möchten. Dann müßten Sie sich gegen folgendes wappnen:

Wanzen sind heute Reiskorn-groß und passen in Steckdosen, Kugelschreiber, Handys, Scheckkarten und Münzen. Sprachgesteuerte Wanzen nehmen erst dann den Sendebetrieb auf, wenn jemand zu sprechen beginnt. Andere High-Tech-Wanzen senden verschlüsselt oder ändern laufend die Sendefrequenz, was es erschwert, sie aufzuspüren. Lauschen an der Wand: Körperschallmikrofone nehmen die durch Schallwellen entstandenen Schwingungen des Mauerwerks auf. Nach Filtern und Verstärken sind dahinter geführte Gespräche gut hörbar. Lauschen mit Laser: Ein Laserstrahl wird auf eine Fensterscheibe gerichtet, hinter der gesprochen wird. Das reflektierte Licht wird in Sprache umgewandelt. Lauschen per Computer: Viele Computer enthalten standardmäßig eingebaute Mikrofone. Hacker können unter bestimmten Voraussetzungen über Audio-Dateien das Mikrofon aktivieren und Gespräche im Raum mithören. Computerbildschirme geben Strahlung ab, die man außerhalb des Raumes auffangen kann. Jedes Wort, das Sie am Computer schreiben, läßt sich so im Umkreis von etwa 100 Metern als Klartext mitlesen. Mittels speziell ausgestatteter Laptop-Computer lassen sich alle Mobiltelefone abhören, die in ihrem Erfassungsbereich aktiv sind. Ist ein Mobiltelefon eingeschaltet, läßt sich über die Betreibergesellschaft auch der jeweilige Aufenthaltsort mit einigen 100 Metern Genauigkeit feststellen. ISDN-Anlagen sind letztlich Computer. Über den Fernwartungszugang kann ein versierter Computerprofi in die Anlage eindringen und mithören. CCD-Videokameras haben winzige Objektive, die über ein Kabel mit der Elektronik verbunden sind. Das Objektiv läßt sich zum Beispiel in einer ferngesteuert drehbaren Autoantenne unterbringen, die Bilder werden anderswo empfangen. Mit Software zur Gesichtserkennung läßt sich das Opfer sogar automatisch überwachen (www.visionics.com). Wie sie sich Schützen können Denken Sie immer daran, daß Äußerungen und Beiträge im Internet quasi öffentlich sind. Wenn Sie also nicht der Typ sind, der sich gerne auf die Straße stellt und Details aus seinem Leben preisgibt, dann sollten Sie das auch nicht im Internet tun. Installieren Sie unbedingt eine Anti-Viren-Software auf Ihrem Rechner und aktualisieren Sie sie mindestens einmal monatlich – meist kann man sie direkt aus dem Netz vom Hersteller herunterladen. Speichern Sie keine Paßwörter auf dem Rechner. Und denken Sie daran: Nur ein Paßwort, das in keinem Wörterbuch stehen kann, ist sicher (etwa „g5$3fdfsrk#“). Verschlüsseln Sie Ihre E-Mails. Fachleute empfehlen das Programm „Pretty Good Privacy“ (PGP), das Sie im Internet kostenlos herunterladen können (zum Beispiel beim Virtuellen Datenschutzbüro, siehe Community-Kasten). Wenn Sie nicht zum gläsernen Konsumenten werden wollen, dann konfigurieren Sie Ihren Browser so, daß er keine „Cookies“ (Internet-Registriernummern) akzeptiert. Deaktivieren Sie auch Java-Script. Einige Webseiten verwehren Ihnen dann den Zugang. Sehen Sie es als Hinweis darauf, daß deren Anbietern viel an persönlichen Daten liegt. Gehen Ihnen Werbebanner und sich selbst öffnende Fenster auf den Geist? Dann benutzen Sie Filterprogramme, die diese Elemente von Ihrem Rechner fernhalten. Private Anwender erhalten den „WebWasher“ kostenlos unter www.webwasher.com. Für fortgeschrittenere Anwender gibt es an anderer Stelle, ebenfalls kostenlos, den „ Internet Junkbuster“. unsicherer Quelle herunter. Wer weiß, welche dauerhaften „Hintertüren“ sie installiert. Je mehr Programme auf Ihrem Rechner laufen, desto größer ist das Risiko für Sicherheitslücken. Deshalb immer nur das installieren, was man wirklich braucht. Gehen Sie mit einem gesunden Maß an Zurückhaltung und Mißtrauen ins Internet. Seien Sie vorsichtig mit persönlichen Angaben und Kreditkartennummern. Bedenken Sie: Heute herrscht im Internet eine anonyme, potentiell feindselige Umgebung. Kompakt Das Internet ist der größte Daten-Pool der Welt. In den 400 Millionen Servern und PC sind auch leicht zugängliche persönliche Daten gespeichert. Datendiebstahl, elektronischer Bankraub und andere kriminelle Akte sind an der Tagesordnung. Der Datenschutz alter Manier ist so gut wie tot. Der Internet-Nutzer muß sich selbst schützen.

Bdw community Fernsehen In Kooperation mit bild der wissenschaft hat „nano“, das Zukunftsmagazin in 3Sat, einen Fernsehfilm darüber produziert, wieviel Forscher aus Genen herauslesen können. Die Erstausstrahlung des Films in 3Sat können Sie miterleben am: Mittwoch, 28. März 2001 um 18.30 Uhr Die Wiederholungstermine in SWR, BRalpha, MDR, SFB/B1 und WDR finden Sie im Internet unter der Adresse: www.3sat.de/nano/

Radio Wo wird es beim E-Commerce gefährlich? Worauf sollte man sich nie einlassen? Stellen Sie Fragen wie diese – europaweit kostenlos über die Telefonnummer 00800/2254 2254 – an den Experten Dr. Helmut Bäumler, Datenschutzbeauftragter von Schleswig-Holstein. Fragen und Antworten werden per Rundfunk ausgestrahlt – durch Zusammenarbeit von bild der wissenschaft und DeutschlandRadio Berlin. Bäumler wird dort am Freitag, 30. März 2001 in der Sendung „HörenSagen – Natur und Wissenschaft“ von 11.05 Uhr bis 11.35 Uhr live zu Gast sein.

Internet-Chat Wenn Sie lieber via Internet mit Dr. Bäumler chatten möchten: Am 30. März 2001, von 14 bis 15.30 Uhr, haben Sie Gelegenheit dazu. Gehen Sie ab 14 Uhr auf die bdw-Webseite www.wissenschaft.de. Wir leiten Sie in unseren Chat-Room.

Lesen THEMA: HINTERGANGENER USER Manfred Fink LAUSCHZIEL WIRTSCHAFT Boorberg, Stuttgart 1996, DM 98,–

Backslash, Hack-tic, Jansen & Janssen (Hrsg.) DER KLEINE ABHÖRRATGEBER ID-Verlag, Berlin 2000, DM 20,– Preiswerte Einführung in Computernetze, Telefone, Kameras, Richtmikrofone aus Sicht des Betroffenen.

THEMA: IN GENEN LESEN Jeremy Rifkin DAS BIOTECHNISCHE ZEITALTER Goldmann, München 2000, DM 17,90

Internet THEMA: HINTERGANGENER USER Virtuelles Datenschutzbüro www.datenschutz.parlanet.de

Datenschutzzentrum Kielwww.datenschutzzentrum.de BSI Bundesamt für Datensicherheit in der Informationstechnik www.bsi.de

THEMA: IN GENEN LESEN Mark Benecke über DNA und Kriminaltechnik www.benecke.com/dna.html

Stellungnahme der Europäischen Gesellschaft für Humangenetik zu Gen-Tests www.eshg.org

Heinz Horeis