Abbildung: Sicher Surfen
Diese Seite ist Teil unser alten Internetpräsenz, die nicht
weiter gepflegt wird. Besuchen Sie auch unsere neue Präsenz unter
http://ig.cs.tu-berlin.de.
This page is part of our former website
that is not being maintained anymore. You may want to visit our
new website at http://ig.cs.tu-berlin.de.
Robert Gehring, Kei Ishii, Bernd Lutterbeck, Hartmut Wettmann
Juli 1999
"Now that the ease with which the NII allows data to be collected, distributed and analyzed has become clearer, there is greater demand for privacy enhancing products and policies. This can be viewed as an example of the free market in operation. In the Information Age, privacy may become a market commodity. Given adequate levels of consumer and government awareness, demand for privacy protection could continue to increase and a robust, competitive market for privacy protection could develop."
"Die Datenschutzbeauftragten des Bundes und der Länder wollen in Zusammenarbeit mit Herstellern und Anbietern auf datenschutzgerechte Lösungen hinarbeiten. Die dafür erforderlichen Techniken stehen weitgehend schon zur Verfügung. Moderne kryptographische Verfahren zur Verschlüsselung und Signatur ermöglichen die Anonymisierung oder Pseudonymisierung in vielen Fällen, ohne daß die Verbindlichkeit und Ordnungsmäßigkeit der Datenverarbeitung beeinträchtigt werden. Diese Möglichkeiten der modernen Datenschutztechnologie, die mit dem Begriff "Privacy enhancing technology (PET)" eine Philosophie der Datensparsamkeit beschreibt und ein ganzes System technischer Maßnahmen umfaßt, sollten genutzt werden."
Unter den Datenschützern jeglicher Couleur herrscht Einigkeit darüber, daß man den Herausforderungen durch die moderne Technik nicht allein durch neue Gesetze begegnen kann. Der Einsatz eben dieser Technik ermöglicht es den Anwendern, eine bessere Kontrolle über den Fluß ihrer persönlichen Informationen auszuüben -- wenn sie denn genutzt wird. Ohne Zweifel würde es die meisten Internetanwender -- wohl auch viele Anbieter -- überfordern, wollte man von ihnen ein tiefgreifendes Verständnis der Technologien verlangen. Alternativ gibt es die Möglichkeit, sie auf den Einsatz von datenschutzfreundlichen Techniken hinzuweisen und sie dabei zu unterstützen.
´Privacy Enhancing Technologiesª, kurz PETs, setzen an den unterschiedlichsten Punkten der Informationsflußketten im Internet an. Ihr Einsatz kann sowohl auf Seiten der Anbieter von Leistungen, wie auch auf Seiten der Nutzer erfolgen. Unterscheiden lassen sich grundsätzlich Technologien, mit denen man die Integrität von Daten sichert, und solche, die dazu dienen, persönliche Angaben aus dem Datenverkehr zu löschen.
Die Anbieterseite beschränkt sich leider oft, wenn sie sich überhaupt um einen sorgfältigen Umgang mit den Daten der Nutzer bemüht, auf den Einsatz von Verschlüsselungstechnologien. Aufgrund der bestehenden US-Exportrestriktionen werden die Webbrowser jedoch mit ´schwacher Verschlüsselungª ausgeliefert, die nur kurze Schlüssel zuläßt. Auf dieses Manko weisen die Anbieter jedoch kaum hin. Initiativen z.B. der europäischen Unternehmen, Abhilfe zu schaffen, sind nicht in nennenswertem Maße zu verzeichnen. Man beschränkt sich auf Appelle an die nationalen Regierungen, entweder keine Kryptobeschränkungen einzuführen, oder aber die bestehenden zu lockern. Dazu trägt die Unsicherheit der Regierungen, was das Mißbrauchspotential eines unbeschränkten Einsatzes von Verschlüsselungstechnologie betrifft, sicher bei. Der Druck von Seiten der sogenannten ´Bedarfsträgerª, d.h. der Strafverfolgungsbehörden und der Geheimdienste, bleibt auch nicht ohne Folgen.
Konsequenzen ziehen darum die Internetanwender in aller Welt, indem sie selbst tätig werden. Eine Vielzahl von Verschlüsselungsprogrammen ist von Servern, die sich auf allen Kontinenten befinden, ungehindert zu beziehen. Beispielhaft seien hier genannt:
Auf "Fortify" wird weiter unten näher eingegangen.
Angesichts der undurchsichtigen Unternehmenspolitiken, was den Umgang mit Nutzerdaten angeht, greifen die Internetnutzer immer häufiger zur Selbsthilfe. Ihr Ziel ist, unbehelligt von Beobachtern, die Möglichkeiten des Internet zu nutzen. Viele wollen sich lediglich vor unerwünschter Werbung schützen. Zu den wichtigsten Werkzeugen des Selbstschutzes gehören dabei:
Der "Internetjunkbuster" und "ANONYMIZER.COM" und ihr Einsatz ebenfalls im folgenden kurz beschrieben.
Unter der Webadresse http://www.fortify.net/ findet sich Software zum Patchen verschiedener Versionen des "Netscape Navigator". Die Software wird außerhalb der USA entwickelt und vertrieben und kann so ohne Verletzung der US-amerikanischen Exportbestimmungen bezogen werden.
Die Anwendung von Fortify befähigt den Browser bei zukünftigen, SSL-verschlüsselten Verbindungen, mit einer 128-Bit -Verschlüsselung zu arbeiten. Nach übereinstimmender Auffassung namhafter Kryptographieexperten ist eine solche Verschlüsselung beim gegenwärtigen Stand der Technik nicht zu brechen. Derartig abgesicherte Verbindungen sind weder für Wirtschaftsspione noch für Geheimdienste zu entschlüsseln und kommen den Sicherheitsbedürfnissen der Anwender entgegen.
Die Lizenz von Fortify gestattet es diese Software unentgeltlich "for all forms of non-commercial use, including individual, educational, research, or charitable use" einzusetzen. Kommerzielle Lizenzen sind verfügbar. In Kombination mit einem zu 128-Bit-Verschlüsselung fähigen Webserver, könnte der Kommunikationskanal zwischen Anbieter und Nutzer auf einer wirklich sicheren Basis aufgebaut werden.
"Bust the junk out of your web browsing."
"The Internet Junkbuster Proxy gets rid of stuff you don't want while surfing the web, such as banner ads and cookies. It's free software that everyone is welcome to download, install and distribute (according to the GPL)."
"The pages you read tell marketers what junk to push on you. ...Don't let them use your browser as a tool of surveillance."
Der "Internet Junkbuster" ist ein Proxy, der auf dem lokalen Rechner als Filter zwischen das Internet und den Webbrowser geschaltet wird. Er erfüllt im wesentlichen zwei Funktionen:
Zur Filterung der Werbung wird eine Referenzliste angelegt, in die man Suchmuster für Werbebanner eintragen kann. So kann man beispielsweise alle Anfragen auf eine Adresse wie http://adserver.com/ , alle dort befindlichen Webseiten eingeschlossen, unterbinden. Dadurch wird einerseits die Geschwindigkeit der Webzugriffe durch den Browser erheblich erhöht. Auf der anderen Seite fallen weniger Informationen über das Nutzungsverhalten in den verschiedenen Logdateien der Anbieter an.
"You Don't Surf Alone."
"Why A Privacy Service?
"The Internet is now more like an unlocked diary, with millions of consumers divulging marketable details of their personal lives, from where they live to what they eat for dinner." US News and World Report 1998. Read more."
Die Entwickler von "ANONYMIZER.COM" bieten ihren Nutzern die Möglichkeit, ohne auswertbare Spuren im Web zu surfen, Webseiten zu publizieren und E-Mails zu versenden. Dazu steuert ein Nutzer zuerst die Webseite von "ANONYMIZER.COM" an. Dort kann er die Webadresse, die er eigentlich besuchen will, in ein Formular eintragen. Seine Anfrage übernimmt dann als ´Intermediaryª "ANONYMIZER.COM", wobei jedwede personenspezifische Angabe aus den HTTP-Protokolldaten gelöscht wird. Die Antworten von der besuchten Webseite werden von "ANONYMIZER.COM" entgegengenommen und -- ggf. um Java- und JavaScript-Teile bereinigt -- an den Nutzer weitergeleitet. In den Logdateien der besuchten Seiten können keine Angaben über den Nutzer anfallen.
Privacy Enhancing Technologies sind das Ergebnis privater Initiative. Deutsche und Europäische Datenschutzbeauftragte haben eigentlich nur nachvollzogen, was Einzelpersonen und Zusammenschlüsse von Interessen in den USA vorher entwickelt haben. Deutsche Ansätze sind bis jetzt kaum über Papier hinausgekommen. Dabei ist es häufig unklar, welche Interessen an der Entwicklung bestimmter neuer Privacy-Technologien beteiligt waren und welche Interessen sich durchgesetzt haben.
Seit der GeoCities-Entscheidung kann man in aller Vorsicht eine Veränderung in den Datenschutzstrategien großer Unternehmen feststellen. Selbst ganz große Unternehmen bemühen sich zumindest nach außen, den Gedanken der PETs zusammen mit Bürgerrechtsorganisationen zu fördern und diese im Netz verfügbaren Technologien in eine explizite Datenschutzpolitik einzubetten. Ein Beispiel hierfür ist eine Initiative, die die Electronic Frontier Foundation (EFF ist eine bekannte Bürgerrechtsorganisation in den USA) und Microsoft im April 1999 initiiert haben. Ausgehend von der E-Commerce-Initiative der amerikanischen Administration und dem in diesem Zusammenhang erlassenen Elements of Effective Self-Regulation for Protection of Privacy der Regulierungsbehörde für Telekommunikation haben diese Organisationen in einem aktuelle Papier folgende grundlegende Politik formuliert:
"The three most widely-accepted long-term measures of success are:
1. web sites posting privacy policies, which clearly disclose their information practices and allow people to make informed choices based on them;
2. web sites subscribing to independent "enforcement" bodies and appropriate regulatory regimes to assure people that there is a means to resolve disputes;
3. people start making informed decisions about where they spend their time and money on the Internet, based on a knowledge of fairinformation practices.
Making these processes clear and accessible in both human and machine-readable format is a pre-requisite to the successful development of a global trust infrastructure, which will be backed by fair information practices, and will be open and inclusive, and will scale with the Internet.
This will become increasingly important as people put more of their "human capital"–increasingly sensitive information–into the Internet's electronic environment."
Das Ergebnis dieser Politik nennen die Verfasser der Studie "a new trust-enhanced information ecosystem" -- ein komplexes System, das die Zusammenarbeit vieler Beteiligter aus Wirtschaft, Staat und Gesellschaft verlangt. Ein besonders interessantes Beispiel für ein solche Zusammenarbeit verschiedener Stellen kommt aus der Schweiz. Der Datenschutzbeauftragte des Kantons Zürich bietet in Zusammenarbeit mit einer Hochschule Privatpersonen einen Browsertest über das Internet an:
Abbildung: Sicher Surfen
Abbildung: Willkommen zum Browsertest
Man könnte sich durchaus vorstellen, daß deutsche Unternehmen mit solchen unabhängigen Stellen kooperieren, um das Vertrauen in die eigenen Produkte zu erhöhen.
Aufgrund der Vorgeschichte und jahrelanger vergeblicher Versuche, einen angemessenen Datenschutz zu implementieren, hat sich Anfang des Jahres eine Transatlantische Verbraucherschutzinitiative (TACD) gegründet. TACD könnte sich als starker neuer Akteur neben der Europäischen Kommission und der Administration in Washington etablieren.
Da auch die Institutionen der europäischen Union -- anders vielleicht als eine in Deutschland noch immer herrschende juristische Meinung-- verstärkt auf den Ausbau solcher Selbstorganisationsmechanismen setzen, muß man aus unserer Sicht davon ausgehen, daß sich dieses für Deutschland jedenfalls neue Regelungsfeld in naher Zukunft stürmisch entwickeln wird.