Sonntag, 6. Oktober 2019

Constanze Kurz klagt über eine neue "Mode" durch "Snowden-Zweifler" -- eine Entgegnung
(original gepostet 10.03.2015 auf Google+)

Zunächst versucht es Frau Kurz mit dem Argument, die USA würden Snowden schließlich wegen Geheimnisverrats und Spionage suchen, und nicht wegen Betrugs. Hiermit werden geschickt zwei Dinge miteinander vermengt, die nichts miteinander zu tun haben:
Auf der einen Seite die Tatsache, dass Snowden unzählige Geheimdokumente -- an deren Echtheit niemand ernsthaft zweifelt, jedenfalls ich nicht! -- entwendete und Journalisten zur Verfügung stellte. Er beließ es damit nicht bei Whistleblowing. Whistleblowing wäre gewesen, wenn er gesagt hätte: "Leute, Vorsicht, die NSA fährt die Programme X, Y und Z, die ungefähr folgendes machen: ...". Das tat er nicht, stattdessen veröffentlichte er Details, bis hin zu einem "geheimen Werkzeugkasten der NSA", anhand dessen sich die Überwachungsziele der NSA ein genaues Bild über deren Fähigkeiten machen können. Das ist natürlich ein ganz klarer Geheimnisverrat.
Auf der anderen Seite aber veröffentlichte Snowden nicht nur die Dokumente, sondern er interpretierte sie auch. Und er interpretierte sie falsch. Weder gab es den "direkten Zugriff" unter PRISM, noch zeigt BOUNDLESSINFORMANT dass die "NSA mehr Gespräche in den USA als in Russland abhört". Und dabei behauptete er, er könne dies aufgrund seiner eigenen Erfahrungen als Analyst auch bezeugen -- dabei war er lediglich Systemadministrator, ohne Einblick in die operative Arbeit der NSA. Das ist schon etwas, das man guten Gewissens als "Betrug" bezeichnen kann.

Und diese Fehlinterpretationen waren auch keineswegs kleinere Fehlerchen, die es zwangsläufig geben müsse, wie uns Frau Kurz glauben lassen will.
Der behauptete "direkte Zugriff" war anfangs die "Enthüllung" schlechthin, die wie eine Bombe einschlug. War nur dummerweise komplett falsch. Wer weiß, wie es alles ohne diese gelaufen wäre? Und die Fehlinterpretationen zu BOUNDLESSINFORMANT führten zu Meldungen, Millionen von Deutschen seien von der NSA überwacht wurden. Auch das war komplett falsch -- aber die Falschmeldung bestimmte lange Zeit die öffentliche Debatte in Deutschland.
Und dann der neulich behauptete SIM-Klau bei Gemalto. Das kann man zwar noch nicht als nachweislich falsch bezeichnen, aber die veröffentlichen "Belege" waren mehr als dürftig, und ein Diebstahl wurde von Gemalto klar dementiert.

Die meisten anderen "Enthüllungen" waren nicht komplett falsch, wurden aber tendenziös und irreführend präsentiert.

Übrig blieben einige "Enthüllungen", wie z. B. dass die Geheimdienste gewisse Internetknoten anzapfen. Diese Tatsache ist nicht nur durch die Dokumente hinreichend gut belegt, sondern auch durch den bisherigen Verlauf des "NSA-Untersuchungsausschuss", und ist daher unstrittig. Was strittig ist, dass man diese als "Massenüberwachung" bezeichnen kann.

Zunächst muss man diese Abhörmaßnahmen unterscheiden. Auf der einen Seite sind das diejenigen, bei denen kein "full take" der Daten genommen wird, sondern nur zielgerichtet eine Teilmenge davon anhand von vordefinierten Selektoren (meist wohl IP-Adressen) mitgeschnitten wird. Dies stellt ganz klar zielgerichtete Überwachung dar und ist keine Massenüberwachung. Zu dieser Art von Maßnahmen zählen z. B. der durch den "NSA-Untersuchungsausschuss" behandelte Fall "Eikonal" oder das NSA "Upstream" Programm (mit dem amerikanische Internetcarrier zur Zusammenarbeit gezwungen werden).

Auf der anderen Seite dann Maßnahmen, bei denen tatsächlich ein "full take" einer Internetleitung genommen wird. Das von Frau Kurz erwähnte TEMPORA zählt höchstwahrscheinlich dazu (zu TEMPORA wurden bisher nur sehr wenige Dokumente veröffentlicht, diese sprechen aber für diese Interpretation). Dennoch kann man dies immer noch nicht als Massenüberwachung bezeichnen -- aus diversen Gründen:

Zunächst kann es überhaupt nur dann Massenüberwachung sein, wenn man "Überwachung" so definiert, dass es schon ein bloßer temporärer Besitz von Daten ist, ohne dass ein Mensch oder ein Algorithmus tatsächlich hinein schaut. Eine solche Definition macht aber keinen Sinn. Zwar ist es richtig, dass man im Inland dem Staat schon den bloßen Besitz von Daten untersagen will, aber nicht da dieser tatsächlich schon eine Überwachung darstelllt, sondern aus anderen Gründen: Man misstraut dem Staat, man will keine Begehrlichkeiten wecken, und eine Datenspeicherung würde einschüchternd wirken, der sogenannte “chilling effect”. Dies alles trifft für Ausländer im Ausland nicht oder nur sehr eingeschränkt zu -- auch in unserer globalisierten Welt, denn am Ende des Tages leben wir alle noch in Nationalstaaten mit nationalen Gesetzen und nationalen Staatsgewalten.

Als nächstes muss beachtet werden, an welche Daten die Dienste potentiell überhaupt kommen können. Frau Kurz schrieb “der gesamte Internetverkehr, der durch Großbritannien fließt”. Zunächst mal gibt es für “gesamt” bisher keinerlei Beleg, aber sei’s drum -- richtig schreibt sie “der durch Großbritannien fließt”. Es handelt sich hierbei also lediglich um den internationalen Verkehr, nicht den nationalen, der in Großbritannien bleibt. Der überwiegende Teil des Datenverkehrs eines Landes bleibt aber in dem Land selbst, sei das Großbritannien, den USA, Deutschland, sowie in den allermeisten anderen Länder auch. In Deutschland beispielsweise gibt es zwei wichtige Internetknoten, das ist der DECIX und die Telekom, und die überwiegende Mehrheit der deutschen Provider sind mit mindestens einem der beiden auf kurzem Weg angebunden. Der überwiegende Teil des deutschen Datenverkehrs bleibt also in Deutschland, und an den kann die NSA überhaupt nicht rankommen -- es sei denn mithilfe von Kooperationen mit deutschen Diensten, aber hier wissen wir durch den “NSA-Untersuchungsausschuss”, dass die Daten von Deutschen peinlich genau weggefiltert werden.

Der dritte Punkt ist, dass die Daten nur eine sehr geringe Zeit aufbewahrt werden, Inhaltsdaten drei Tage, Metadaten dreißig. Mit der begrenzten Anzahl an Analysten, die NSA und GCHQ zur Verfügung stehen, ist in dieser Zeit eine auch nur ansatzweise Durchsicht aller Daten nicht möglich. Die Analysten haben gar keine Wahl als die Datenmenge lediglich zielgerichtet zu durchsuchen.
Denkbar wäre natürlich, dass nicht Menschen, sondern Algorithmen den gesamten Datenbestand nach Verdächtigen durchsuchen. Das wäre etwas, das auch ich als Massenüberwachung bezeichnen würde (auch wenn dann die anderen genannten Einschränkungen immer noch zutreffend wären). Die bisherigen Snowden-Dokumente geben aber überhaupt keinen Hinweis auf die Existenz eines solchen “data mining” Programms. Zwar gibt es Erkenntnisse, dass die NSA mit solchen Algorithmen experimentierte (das von dem NSA-Whistleblower William Binney vorangetriebene “ThinThread” war ein solches Experiment), aber keinen, dass solche Programme zu Snowden’s Zeit tatsächlich noch aktiv waren. In diesem sehr lesenswerten Artikel erklärt Bruce Schneier, warum sich “data mining” zur Terrorbekämpfung nicht eignet:

https://www.schneier.com/blog/archives/2006/03/data_mining_for.html

Offensichtlich ist auch die NSA dieser Meinung. Zumindest inzwischen.

Was mich abschließend an der Empörung von Frau Kurz an dem Anzapfen von Internetknoten verwundert: Seit ich in der Internettechnik unterwegs bin, bekomme ich von den Experten, allen voran vom CCC, immer wieder erklärt dass das Internet öffentlich sei. Alles, was darüber geschickt werde, könne von jedermann gelesen werden, von Geheimdiensten, Ganoven, Kollegen usw. (was natürlich so auch nicht stimmt, aber Zurückhaltung war noch nie eine Schwäche des CCC) -- dieser Tatsache müsse man sich stellen und alles verschlüsseln, was irgendwie sensibel ist und über das Internet geht. Und jetzt, wo es bekannt wird, dass tatsächlich Geheimdienste Internetleitungen anzapften, da geht die Welt unter, und wir haben Massen- oder gar Totalüberwachung? Wie glaubwürdig ist das denn?
Und es ist ja auch nicht so, dass die Leute dem Rat nicht folgten. Es wurde und wird verschlüsselt. HTTPS anstelle HTTP für sensible Daten, SSH anstelle telnet, VPN für die Verbindung privater Netze. PGP bei Email; das hat zwar keine sonderlich hohe Verbreitung, aber inzwischen -- als einen der wenigen positiven Snowden-Effekte -- ist STARTTLS sehr weit verbreitet und fast jede Email wird heutzutage automatisch auch auf dem Transportweg verschlüsselt.
Und einen Großteil dieser Verschlüsselungen kann auch eine NSA nicht brechen. Und die, die sie brechen kann, weil ein schwacher Algorithmus oder eine schwache Implementierung eingesetzt wird, kann sie nur mit relativ hohem individuellen Aufwand brechen.

Zusammenfassend heißt dies, dass zwar sicherlich diverse und viele Internetleitungen angezapft werden, teilweise aber dies schon nur zielgerichtet, und dort wo es ein “full take” ist, geht es dabei überwiegend nur um internationalen Datenverkehr, und es ist ferner eingeschränkt durch die Speicherdauer und durch Verschlüsselung. Von rechtlichen Einschränkungen ganz abgesehen.


Desweiteren klagt Frau Kurz darüber, die “Snowden-Zweifler” würden Enthüllungen ignorieren, die eine “Unterminierung der IT-Sicherheit” durch die NSA belegten. Nun, das liegt einerseits daran, dass auch hier bisher wenig verlässliches bekannt wurde. Oft genannt wird eine behauptete Hintertür im Zufallszahlengenerator Dual_EC_DRBG. Wirklich belegt ist das bisher nicht, aber selbst wenn die Vermutungen zutreffen (was ich durchaus für sehr gut möglich halte), dann handelt es sich dabei um eine Hintertür, die ausschließlich von der NSA ausgenutzt werden kann, nicht von beliebigen Dritten.
Und, selbst wenn die sonstigen Vorwürfe zutreffen sollten: Man mag dann das Verhalten der NSA als unethisch ansehen, man mag auch mit gutem Grund fordern, dass diese Bemühungen eingestellt werden, das ändert aber nichts daran, dass auch dies mit Massenüberwachung nichts, aber auch rein gar nichts zu tun hat.


Frau Kurz spricht auch einen weiteren Mangel an den bisherigen Enthüllungen an: Dass bisher kein einziges konkretes und unschuldiges Überwachungsopfer aufgezeigt werden konnte. Eine Erklärung hat sie natürlich auch schnell parat: Snowden hatte auf solche Dokumente halt keinen Zugang. Das mag sogar sein, aber das heißt natürlich nicht im Umkehrschluss, dass es solche Dokumente geben müsse. So ist die Welt nun mal: Wer behauptet, der muss auch belegen. Und es drängt sich schon sehr die Frage auf, was das für eine seltsame Massenüberwachung ist, die bisher noch kein einziges sichtbares unschuldiges Opfer produzierte. Es ist ja nicht nur so, dass Snowden bisher kein einziges konkretes Opfer zeigen konnte. Auch von uns kennt niemand so ein Opfer. Und niemand kennt jemanden, der ein Opfer kennt. Und seien wir mal ehrlich, es fühlte sich vor Snowden auch niemand beobachtet. Sind die wirklich so gut, dass sie uns alle ständig überwachen, ohne dass wir es merken, und ohne dass sie jemals auch mal den Falschen erwischen? Also selbst ich als “NSA-Troll” hätte da so meine Zweifel ...


Frau Kurz schließt ab mit einem unterstellten Zitat: „Wir können zwar alles und jeden überwachen, aber wir tun es nicht! Versprochen, großes Pionierehrenwort!“, das aber sehr entlarvend ist für ihre Denkweise.
Was denkt Frau Kurz eigentlich, warum wir Steuerzahler die Geheimdienste mit immensen Geldsummen ausstatten? Damit diese zahnlose Papiertiger sind?
Natürlich wollen wir mächtige Geheimdienste, die tatsächlich im Zweifelsfall dazu in der Lage sind, jeden und überall zu überwachen. Und zwar jeden, an dem unser demokratischer Rechtsstaat ein berechtigtes Interesse hat, ihn auch zu überwachen. Es ist viel eher bedauerlich, dass dies (aus den verschiedensten Gründen) eben nicht immer geht.
Aber dafür, dass die Geheimdienste nur legitime Ziele überwachen, und keine unbescholtenen Bürger oder politische Dissidenten, verlassen wir uns natürlich nicht auf ein Ehrenwort, sondern verlangen eine strenge Kontrolle. Und dass diese Kontrolle derzeit zu funktionieren scheint, das zeigen nicht nur die Snowden-Dokumente, sondern auch der bisherige Verlauf des “NSA-Untersuchungsauschuss”.

Man könnte den Kommentar von Frau Kurz auch so zusammenfassen: "Hey, Finger weg! Das Netz gehört uns, und hier hackt nur einer, und das sind wir! Denn wir sind schließlich meritokratisch legitimiert, nicht profan demokratisch-rechtsstaatlich wie die Dienste!"

Vergiss es, Frau Kurz.

NSA-Affäre: Constanze Kurz über Snowden-Zweifler

Keine Kommentare:

Kommentar veröffentlichen