Ausgabe 07/2011 - Schwerpunkt Transparenz

Auf Nummer sicher

1. Die radikale Lösung

Ziehen Sie den Netzstecker, und mauern Sie Ihren Rechner in die Wand ein.

Sollte Ihr Vermieter dagegen Einwände haben, gehen Sie wie folgt vor:

2. Festplatte verschlüsseln

Eine verschlüsselte Festplatte kann niemand lesen, der nicht dazu befugt ist. Die Verschlüsselung läuft dabei permanent und unbemerkt im Hintergrund ab, sobald sie entsprechend aktiviert wurde. Mittlerweile sind bei allen Betriebssystemen entsprechende Programme im Lieferumfang enthalten: Bei Windows das Encrypting File System (EFS), bei Apple-Betriebssystemen das Programm FileVault.

Sie wollen nicht jedes Mal erst entschlüsseln? Keine Panik. Eine Verschlüsselung ist vor allem bei Notebooks ratsam, die verloren gehen oder gestohlen werden können. Und selbst da kann es sinnvoll sein, die Geräte einfach besser im Auge zu behalten: Dann sind nicht nur die Daten sicher - man hat auch das Geld für einen neuen Rechner gespart.

3. Nutzer sein

Viele machen den Fehler, ihren Computer permanent im Administrator-Modus zu nutzen. Das Administrator-Konto eines Rechners ist das mit den meisten Privilegien, man kann damit Programme installieren und löschen und Systemeinstellungen verändern. Folglich können Hacker, die dieses Konto eines Rechners kapern, großen Schaden anrichten und beispielsweise Schad-Software installieren, die Passwörter mitprotokolliert. Es ist aber möglich, neben dem Administrator-Konto ein ganz normales Nutzerkonto mit weniger Privilegien einzurichten, das man für den tagtäglichen Gebrauch verwendet. Man wird dann zwar immer wieder aufgefordert, sich "auszuweisen", wenn man beispielsweise ein neues Programm installieren will, doch diese kleine Unbequemlichkeit schützt den Rechner.

Wer sein Betriebssystem, seinen Browser und seinen Viren-Scanner regelmäßig aktualisiert und über eine funktionierende Firewall zum Internet verfügt, ist einigermaßen gut geschützt. Wer hingegen gar keine Lust auf Sicherheitsmaßnahmen hat, muss damit rechnen, dass sein gekaperter Computer als Teil eines illegalen Spam-Netzes dient.

4. Sicher funken

Wer sich zu Hause per WLAN ins Internet einloggt, sollte einmal nachsehen, ob dieses mit einem Passwort gesichert ist. Und zwar nicht mit dem alten WEP-Standard, sondern mit dem neuesten: WPA2. Wie bei allen Passwörtern sollte man auch bei dem WLAN-Passwort darauf achten, dass es aus einer Mischung aus Buchstaben, Zahlen und Sonderzeichen besteht. Das Passwort "Passwort" ist zwar beliebt, aber genau deshalb nicht zu empfehlen. Beim WLAN-Schutz geht es nicht nur um die eigenen Daten, sondern auch um die Haftungsfrage: Wer sein Netz nicht schützt und so Unbekannten gestattet, darüber sämtliche "Star-Trek"-Filme herunterzuladen, muss sich nicht wundern, wenn irgendwann Post vom Anwalt kommt.

Allerdings gilt: Am vorsichtigsten müssen Eremiten sein. Wer in einer Großstadt wohnt, stellt bei der Aktivierung der WLAN-Funktion meist fest, dass in seiner Umgebung mehr schlecht geschützte Netzwerke funken, als rostige Fahrräder vor dem Haus angekettet sind. Es müsste schon sehr großes Pech sein, wenn der "Star-Trek"-Fan sich die Arbeit machte, sich ausgerechnet bei Ihnen reinzuhacken.

5. HTTPS einschalten

Beim Benutzen öffentlicher WLAN-Netze, zum Beispiel in Hotels oder Cafés, ist Vorsicht geboten, denn dort kann jemand den Datenverkehr mithören. Durch das Abfangen von sogenannten Session Cookies wird es für Angreifer sogar möglich, Web-Seiten wie Facebook oder Twitter im eingeloggten Zustand zu nutzen - eingeloggt als das Opfer, wohlgemerkt. Deshalb darauf achten, Webseiten, die ein Log-in erfordern, nur über eine sichere Verbindung zu nutzen - angezeigt durch ein https:// in der Adresszeile des Browsers statt nur http:// .

Mal im Ernst: Wer außer zerstörungswütigen Halbstarken hat ein Interesse daran, fremde Facebook-Konten zu kapern und den gesamten Freundeskreis anzupöbeln? Klar, ein Halbstarker mit zu viel Zeit findet sich immer. Deshalb in einem beschaulichen Straßencafé den Hotspot vielleicht auch einfach mal Hotspot sein lassen und den Rechner zuklappen - denn Sie haben doch bestimmt Besseres zu tun.

6. Anonym surfen

Wer im Internet unterwegs ist, hinterlässt, auch ohne sich auf Web-Seiten einzuloggen, mehr Spuren, als er ahnt. Wer das nicht möchte, kann sich mithilfe von browser-basierten Proxy-Servern wie Anonymouse.org unerkannt im Netz bewegen. Eine andere Möglichkeit ist die Browser-Erweiterung Ghostery (für die Browser Firefox, Chrome und Safari verfügbar). Mit ihr kann man Analyse-Tools wie zum Beispiel Google Analytics oder Doubleclick sichtbar machen und bei Bedarf blocken - so bewegt man sich zwar nicht vollkommen anonym, aber doch unerkannter und spurenloser durchs Netz.

Na gut, das Beispiel von der Internetrecherche zum Thema Krebserkrankung, die ihren Weg zu Versicherung und Arbeitgeber findet, kennt man und möchte man natürlich nicht am eigenen Leib erleben. Aber in der Regel wird das allgemeine Interesse am eigenen Surfverhalten überschätzt. Im Grunde besucht man doch immer dieselben drei Nachrichtenseiten oder schaut sich ein paar Katzenvideos an. Überschätzt wird somit auch die eigene Ausspähungswürdigkeit. Denn ob Sie es glauben oder nicht: So wichtig sind Sie gar nicht. Und so viel ist mit Ihren Daten auch nicht anzufangen.

7. Sicher mailen

Auch wenn heutzutage immer mehr per E-Mail erledigt wird sicher ist diese Art der Kommunikation immer noch nicht. Anders formuliert: Inhalte einer E-Mail sind in etwa so geheim wie Urlaubsgrüße auf einer Postkarte. Jeder, der die Mail transportiert, kann sie theoretisch lesen - ob es der Arbeitgeber ist, wenn man die Büroadresse verwendet, Google oder Yahoo, wenn man deren kostenlose Webmailer benutzt - oder sei es der freundlich grinsende Nebenmann im Café mit Hotspot (siehe Punkt fünf ).

Ein kleiner Schritt zu etwas mehr Privatsphäre ist es, in seinem Mailprogramm das Verschlüsselungsprotokoll SS L zu aktivieren. Deutlich sicherer, aber auch komplizierter wird es, wenn man seine Mails verschlüsselt. Dies ist mit dem inzwischen kommerziellen Programm Pretty Good Privacy (PGP) möglich oder mit der Open-Source-Variante GnuPG. Beide arbeiten mit einer sogenannten asymmetrischen Verschlüsselung, das heißt, die Daten werden vom Absender mit einem öffentlichen Schlüssel kodiert und vom Empfänger mit einem privaten Schlüssel, der ein Kennwort erfordert, dechiffriert. Das bedeutet, dass sich beide Seiten darüber einig sei müssen, dass und wie verschlüsselt wird. Für Rundmails wie "Nachmieter gesucht" eignet sich das Prozedere also weniger. Wenn man mit einem kleinen Kreis von Empfängern häufig schützenswerte Nachrichten austauscht, lohnt sich der Aufwand schon eher.

Vorsicht bei Webmail-Diensten wie Hushmail.com, die versprechen, verschlüsselte Mails unkompliziert aus dem Webbrowser zu versenden: Erstens wird nur dann richtig verschlüsselt, wenn auch der Empfänger eine Hushmail-Adresse hat. Zweitens wurden bereits Fälle bekannt, in denen der Anbieter auf richterlichen Erlass IP-Adressen und E-Mails im Klartext herausgeben musste. Eine Entschlüsselung durch Dritte ist also offensichtlich möglich.

Den Ball flach halten. Mails haben sich vor allem deshalb durchgesetzt, weil sie praktisch sind. Was man von Werkzeugen wie PGP leider nicht behaupten kann. Deshalb: Sollten Sie nicht gerade einen Banküberfall oder einen Bilanzbetrug planen, lästern Sie einfach nicht über Ihren Chef, wenn die Mails über den Firmen-Server laufen. Wozu haben Sie eine Privatadresse?

8. Vorsicht in der Wolke

Mit Cloud Computing wird eine Technik bezeichnet, bei der Speicherplatz oder ganze Programme vom eigenen Rechner auf einen Online-Server ausgelagert werden. So können zum Beispiel bei Google Docs Textdateien oder Excel-Tabellen unkompliziert bearbeitet und gespeichert werden. Anwendungen wie Dropbox ermöglichen es wiederum, Dateien auf einem Server abzulegen und so von mehreren Rechnern (zum Beispiel am Arbeitsplatz und von zu Hause) auf die stets aktuelle Version derselben Datei zuzugreifen. Programme wie Evernote erlauben es schließlich, eine Sammlung von Notizen, Bildern, Webseiten oder Sprachmemos auf einem zentralen Server abzulegen. Kurz: In der Wolke tragen Sie Ihre Daten immer mit sich herum, egal, wo Sie sind.

Das Risiko: All diese Daten werden zwar passwortgeschützt, aber nur in den seltensten Fällen wirklich sicher verschlüsselt. Sollte der Dienstanbieter also von Hackern erfolgreich angegriffen werden, können diese die abgelegten Dateien einsehen. Es empfiehlt sich deshalb, Daten vor dem Speichern in der Cloud zum Beispiel durch kostenlose Programme wie TrueCrypt (Truecrypt.org) eigenhändig zu verschlüsseln. Wirklich sensible Daten sollte man gar nicht erst auf einem fremden Server speichern, da man den Sicherheitsversprechen nicht trauen kann und bei Server-Standorten im Ausland (beispielsweise in den USA) schwächere Datenschutzstandards gelten und die Strafverfolgungsbehörden eine Herausgabe privater Daten erzwingen können.

Alles halb so wild. Wer in der Cloud seine Lieblingslieder, Kochrezepte und die ersten vier Kapitel seines stagnierenden Schelmenromans ablegt, muss sich keine Sorgen machen. Diese sind auf einem amerikanischen Server vermutlich sicherer als auf der heimischen Festplatte, die eines Tages vom auslaufenden Aquarium überflutet wird. Die Wahrscheinlichkeit, dass Ihr Rechner kaputtgeht, ist um ein Vielfaches größer, als dass ein Bösewicht auf Ihre Wolke klettert. Und wer einmal erleben musste, wie eine altersschwache Festplatte sämtliche Daten mit in die ewigen Jagdgründe nahm, der freut sich, wenn er eine Cloud hat.

9. Facebook beherrschen

Am sichersten sind die eigenen Daten natürlich, wenn man möglichst wenige von ihnen preisgibt. Nicht jedes Detail - von der Telefonnummer über die Adresse und den Arbeitgeber - muss also bei Facebook hinterlegt werden. Auf keinen Fall sollten die sogenannten Privatsphäre-Einstellungen so gesetzt werden, dass man Informationen auch mit "Freunden von Freunden" teilt. Hat man selbst 100 Freunde und diese wiederum auch jeweils 100 Freunde, bedeutet das, dass man seine Informationen mit 10 000 Personen teilt.

Und? Eine Reichweite von 10 000 Menschen - für sendungsbewusste Zeitgenossen ist das geradezu enttäuschend wenig, um ihre 50 Lieblingsfernsehserien oder ihre Farmville-Spielstände kundzutun. Mancher lokale Radiosender hingegen wäre froh, wenn er eine solche Reichweite hätte. Und auch hier gilt: Gibt jemand fünf Lieblingsserien an, kann man darauf möglicherweise Rückschlüsse auf seinen Charakter ziehen. Gibt er hingegen 50 an, ist er ein durchsichtiges Nichts. Zu viele Informationen helfen niemandem, der Sie ausspionieren will.

10. Vorkasse

Im schlimmsten Fall geraten erfolgreiche Hacker nicht nur an E-Mail-Adressen und Passwörter, sondern an Kreditkartendaten. Wer auf Nummer sicher gehen will, kann sich mit einer sogenannten Prepaid-Kreditkarte ausstatten. Dabei wird die Karte vorher mit einem Geldbetrag aufgeladen, der anschließend verbraucht werden kann. Das Risiko bleibt im Falle eines Datenverlusts also überschaubar.

Na ja. Auch beim Restaurantbesuch in Grevenbroich kann die Kreditkarte geklont und anschließend zum Diamantenkauf in Antwerpen verwendet werden. Solange man der eigenen Sorgfaltspflicht nachkommt - indem man die Abrechnungen auf unerlaubte Abbuchungen hin kontrolliert -, haftet das Kreditkartenunternehmen für Online- und Offline-Missbrauch.

11. Die zweitsicherste Lösung ...

... - gleich nach dem Steckerziehen und Einmauern - sind zwei getrennte Computer. Einer, auf dem die sicherheitsrelevanten Daten, Forschungsergebnisse oder Ähnliches liegen und der komplett offline ist - und ein zweiter, mit dem man sich durch das Internet bewegt, E-Mails schreibt und so weiter. Muss man doch Daten vom Offline-Rechner auf den vernetzten übertragen, erfolgt dies per Hand. Das sogenannte Drehstuhl-Interface - ablesen, Stuhl drehen, eintippen - ist zwar etwas mühsam, aber die Daten sind sicher.

Nur nicht übertreiben. Für jemanden, der kurz vor dem Nobelpreis steht, mag sich der Aufwand lohnen. Firmen, die Angst haben, ihre Umsatzzahlen könnten ausgespäht werden, sollten sich eventuell mehr Gedanken darüber machen, welche Informationen sie jedes Jahr auf www.ebundesanzeiger.de veröffentlichen - und aus welchem Jahrhundert eigentlich die Türschlösser ihrer Büros stammen: Denn wer mehr erfahren will, bricht in die Firma ein und klaut den Rechner. -

Besten Dank für Beratung und Unterstützung an: Constanze Kurz,

Informatikerin und Sprecherin des Chaos Computer Clubs; Martin Unger, Informatiker mit Forschungsschwerpunkt IT-Security und Redakteur bei Verbraucher-sicher-online.de; Sandro Gaycken, Sicherheitsforscher an der FU Berlin (Arbeitsgruppe "Sichere Identität")

Mehr aus diesem Heft

Transparenz

„Nur eine Maschine ist transparent“

Der Philosoph Byung-Chul Han über die Gewalt der Transparenz, den Segen des Geheimnisses – und Peter Schlemihl, der seinen Schatten an den Teufel verkaufte.

Lesen

Transparenz

Land aus Glas

Steuerdaten sind in Norwegen kein Geheimnis, sondern für jedermann zugänglich. Doch was seit fast 150 Jahren gelebte Offenheit ist, führt neuerdings zu Problemen.

Lesen

Idea
Read