Aufhören, gläsern zu sein.
- BBMD.

Der Unterschied zwischen Gott und den Historikern besteht hauptsächlich darin, daß Gott die Vergangenheit nicht mehr ändern kann.

-Samuel Butler

Was heißt gläsern?

Wie transparent wollen Sie sein bzw. nicht sein

Die Kommunikation mit dem Internet erzeugt eine ganze Reihe von
digitalen Spuren, die automatisiert erfasst, gespeichert und
ausgewertet werden können. Einige Unternehmen haben sich deshalb
darauf spezialisiert, individuelle Nutzerprofile mithilfe dieser
Datenspuren zu erstellen. Solche Datensätze haben einen hohen
wirtschaftlichen Wert, da Unternehmen durch diese ein umfassenderes
Bild von Verbrauchern, also Ihnen, erhalten können. Dies wird im
Fachjargon der Datensammler als Datenanreicherung bezeichnet.

Es gibt viele Gründe, warum man digitale Surf-Spuren vermeiden sollte:
manche der beobachteten Daten fließen in Scoringmodelle ein, die für
die Vergabe von Krediten, für eine individuelle Preisgestaltung von
Angeboten oder die Zulässigkeit einer Bezahlung per Nachnahme benutzt
werden. Arbeitgeber können sich vor der Einstellung neuer Mitarbeiter
ein Persönlichkeitsprofil der Bewerber aus Spuren im Netz erstellen
lassen. Die Meinungsfreiheit wird eingeschränkt, wenn Regierungen oder
Institutionen einzelne Surfer für den Besuch, die Benutzung oder die
Editierung bestimmter Webangebote verfolgen oder deren Benutzung gar
nicht erst zulassen. Firmen können Mitarbeiter anderer Unternehmen
oder sogar der Konkurrenz auf ihren Webseiten erkennen und
anschließend mittels Werbeanrufen oder e-mails belästigen. Außerdem
ermöglichen diese Daten es, Schwachstellen im Rechner aufzudecken.
Dadurch kann ein Hacker den Rechner direkt und gezielt angreifen.

Problematisch an den Internetspuren ist auch, dass sie ohne Ihre
Zustimmung und von Ihnen weitestgehend unbemerkt erhoben, gespeichert, weitergeleitet und verarbeitet werden. Die konkreten Techniken, welcher sich die Datensammler im Web bedienen, werden im Folgenden kurz vorgestellt.

Cookies

Cookies werden eingesetzt, um einen Surfer beim Besuch einer Webseite
wiederzuerkennen. Ohne diese Technik wären viele Anwendungen im Web
aber nur aufwendig realisierbar. Denn HTTP ist ein zustandsloses
Protokoll. Das heiß ein Webserver ist damit nicht in der Lage, Ihnen
Ihre vergangenen Anfragen zuzuordnen.

Manche Webangebote benötigen jedoch eine Art "Gedächtnis". Ein
Beispiel dafür sind Einkaufsportable, bei denen der Webserver sich
merken muss, welche Waren sich bereits in Ihrem virtuellen
Einkaufswagen befinden. Dieses "Gedächtnis" wird meist über sogenannte
Cookies realisiert. Das sind kleine Textschnipsel, die Ihnen der
besuchte Webserver zusammen mit jeder Antwortseite zusendet.
Kontaktiert Ihr Browser den Server erneut, schickt er diesem
automatisch auch das vorher gespeicherte Cookie zu. Der Server ordnet
Ihnen dadurch den richtigen Einkaufswagen zu.

Cookies können aber auch dazu missbraucht werden, um Ihre Schritte im
Internet zu verfolgen. Diese Technik wird vor allem bei Web-Portalen
(wie Yahoo), Suchmaschinen (wie Google) und Werbeeinblendungen
erfolgreich angewandt, da Sie diese häufig benutzen um andere
Webseiten zu erreichen. Über Cookies können diese Anbieter große Teile
Ihres Surfverhaltens über Jahre hinweg aufzeichnen und leicht einen
Personenbezug über Ihr "angereichertes" Profil zu Ihnen herstellen.
Die meisten Internetnutzer haben, ohne es zu wissen, sogar ganze
Sammlungen hunderter Cookies von verschiedensten Webseiten auf Ihrem
Rechner. Das folgende Beispiel zeigt die Liste der Cookies, die bei
einem einmaligen Aufruf der Seite www.spiegel.de gesetzt wurden.

Sie sollten deshalb auf jeden Fall:
  1. Cookies spätestens nach dem Ende Ihrer Browsersitzung löschen.
  2. Cookies von Drittanbietern blockieren.
Moderne Browser haben dafür meist optionale Funktionen integriert,
welche der Nutzer aber erst konfigurieren muss. In unserem für
Mozilla Firefox entwickelten Browserprofil ist dies bereits
voreingestellt.

Aktive Webinhalte

Webseiteninhalte, die über aktive Browser-Plugins Flash, Java, ActiveX
und Silverlight zugänglich sind, machen das Web dynamisch und bunt -
aber auch gefährlich. Sie erlauben Webseiten, Code auf Ihrem Rechner
auszuführen. Wenn sie ausgeführt werden, können diese Plugin-Inhalte einige Details Ihrer Rechner- und Netzwerkkonfiguration auslesen und an den Webserver senden. Mithilfe einiger Tricks können diese sogar auf Ihrem Rechner Dateien lesen und ändern und im Extremfall die vollständige Kontrolle über diesen erhalten.

Vorsicht ist vor allem vor signierten Java-Applets geboten: Wenn Sie
deren Signatur akzeptieren, hat das Applet und damit auch der besuchte
Web-Server automatisch alle Benutzerrechte auf Ihrem Rechner. Er kann
also insbesondere Ihre IP-Adresse, Ihre MAC-Adresse, weitere Details
Ihrer Rechner- und Netzwerkkonfiguration und sogar Festplatteninhalte
auslesen. Es hilft auch nichts, nur Webseiten zu besuchen, die als
"vertrauenswürdig" gelten. Dieses Konzept ist überholt, da
mittlerweile auch zahlreiche große und bekannte Webseiten gehackt &
mit Schadcode gefüllt werden. Nur das Blockieren/Deaktivieren der
Plugin-Inhalte bringt wirkliche Sicherheit.

Java Script

Der Browser ist gegen Angriffe auf Ihre Privatsphäre mittels
JavaScript ("Skripte", "Active Scripting") etwas besser geschützt als
die genannten Plugins, aber dennoch nicht sicher. JavaScript ist
allerdings nicht zu verwechseln mit Java bzw. dem aktiven Java-Plugin,
was trotz ähnlichem Namen etwas völlig anderes ist (siehe oben).

Mit Hilfe von bösartigen Skripten ist es möglich, Fehler auf
Webseiten, oder im Browser selbst, auszunutzen und den Rechner zu
kompromittieren. Angreifer nutzen beispielsweise Cross Site Scripting,
um bösartigen JavaScript-Code im Browser des Surfers zur Ausführung zu
bringen. Das Ziel besteht meist darin, Login-Daten für Bankkonten o.Ä.
auszuspähen.

Außerdem ermöglicht es JavaScript, eine Vielzahl von Informationen
über den Browser, das Betriebssystem und Ihre Hardware auszulesen und
an Webserver zu übertragen. Diese Informationen können einen
eindeutigen Fingerabdruck des Nutzers ergeben, so dass er leicht
wiedererkannbar ist. Unser Anontest zeigt bei aktiviertem JavaScript
eine kleine Auswahl der Dinge, die ausgelesen werden können, wobei die
dort zu findende Liste längst nicht vollständig ist. Es wird auch die
Markierung des Nutzers (vergleichbar mit Cookies) demonstriert.

Wir empfehlen deshalb, JavaScript-Inhalte nur bei Bedarf und für
wirklich vertrauenswürdige Webseiten in Ihrem Browser zu aktivieren
und ansonsten zu blockieren.

Aus den vorangegangenen zwei Punkten (Aktive Inhalte/JavaScript)
ergibt sich zusammenfassend: Ohne einen gut abgesicherten Browser
sollten Sie sich nicht im Internet bewegen, da Ihr Rechner ansonsten
Gefahr läuft, angegriffen zu werden. Statt Ihren Browser selber
entsprechend zu konfigurieren, was einiges an Erfahrung erfordert,
können Sie z.B. unser Browserprofil verwenden. Dieses für Mozilla
Firefox entwickelte Browserprofil blockiert nicht nur standardmäßig
alle aktiven Inhalte (sie können diese bei Bedarf wieder einschalten),
sondern verfügt auch über weitere umfangreiche Schutzmechanismen. Die meisten Webinhalte bleiben dennoch erreichbar. YouTube-Videos oder Videos anderer Portale, die im Flash-Format vorliegen, können mithilfe spezieller Software heruntergeladen und danach weitestgehend gefahrlos
in diversen Videoabspielprogrammen betrachtet werden. Webseiten,
welche die Verwendung aktiver Plugins erzwingen, sollten Sie wenn
möglich meiden.

Browser(HTTP)-Header

Browser(HTTP)-Header
Bei jedem Aufruf einer Webseite senden Browser bestimmte Informationen
im Rahmen des sogenannten HTTP-Protokolls die von der besuchten Seite
ausgewertet werden können: Sprache, Browsername und -version,
Betriebssystem und -version, unterstützte Zeichensätze, Dateitypen,
Kodierungen und die vorher aufgerufene Webseite. Die Übertragung
dieser sogenannten Browser-Header ist die die Darstellung von
Webseiten nicht notwendig, kann allerdings zur Wiedererkennung,
Profilierung und Analyse von Surfern genutzt werden.

Mittlerweile wurden verschiedene Filterprogramme und -dienste
entwickelt, um problematische Browser-Header zu verbergen oder zu
verändern (z.B. Privoxy). Leider können diese Anwendungen keine
verschlüsselten Verbindungen filtern: sobald man eine vermeintlich
"sichere" Webseite (HTTPS, Browser-Schloss) aufruft, versagt die
Filterung. Außerdem erlauben es diese Programme jedem Nutzer, seine
Header-Daten selbst zu definieren. Gerade dadurch, dass man aber etwa
den Browsertyp auf einen individuellen Wert setzt, macht man sich
quasi perfekt verfolgbar.

In unserem Programm ist deshalb eine automatische Filterung eingebaut,
die allen Benutzern, zumindest für unverschlüsselte Verbindungen
(HTTP), ein einheitliches Header-Profil zuweist. Wer eine noch höhere
Sicherheit erreichen möchte, sollte jedoch den ...-Browser
benutzen. Dieser überträgt immer dasselbe Profil auch bei
verschlüsselten Verbindungen. Dadurch ist gewährleistet, dass
Webseiten höchstens erkennen können, dass es sich beim Besucher um einen Anonym-Benutzer handelt, aber nicht um welchen genau.

Webbugs und Werbebanner

Sehr wahrscheinlich finden Sie von Datensammlern wie ivwbox.de
(INFONLINE), doubleclick.com, advertisement.com oder Google sogar dann
ein oder mehrere sogenannte Cookies in Ihrem Browser, wenn Sie deren
Webseiten niemals besucht haben. Dies liegt daran, dass diese
Unternehmen auf anderen Webseiten einen einfachen Trick benutzen, um
Ihnen dennoch Cookies "unterzuschieben" und Ihr Surfverhalten zu
beobachten: Webbugs

"Webbugs" sind üblicherweise Bilder von 1x1 Pixeln und damit für den
Betrachter unsichtbar. Sie können alternativ aber auch über sichtbare,
in eine Webseite eingebettete Werbebanner realisiert werden. Die
Webseite, welche Sie gerade besuchen, enthält ein Bild (Webbug), das
vom Server eines Statistikdienstes (etwa Doubleclick, Google
Analytics) nachgeladen wird. Dadurch kann der Statistikdienst in Ihrem
Browser unbemerkt ein Cookie setzen oder verändern. Dieses Cookie
schickt der Browser nun mit jeder neuen Anfrage nach Seiten, in denen
ein Webbug des Statistikdienstes eingebettet ist, wieder an diesen
zurück. Wenn der Statistikdienst auf vielen unterschiedlichen
Webseiten eingesetzt wird, kann er nun große Teile Ihrer
Browsersitzung verfolgen. Arbeitet der Betreiber des Statistikdienstes
zusätzlich mit dem Betreiber Ihrer üblicherweise genutzten
Suchmaschine zusammen, bekommt er ein fast vollständiges Bild Ihrer
Internetaktivitäten.

Die Privatsphäre-Funktionen aktueller Browser, die entweder pauschal
alle Cookies sperren oder nur Cookies von "Drittseiten" blockieren,
alternativ aber auch alle Cookie-Daten beim Beenden des Browsers
löschen, reichen für einen optimalen Schutz dagegen leider nicht aus.
Um eine Verfolgung Ihrer Zugriffe zu verhindern, sollten möglichst
alle Cookies standardmäßig blockiert und nur bei Bedarf für die Dauer
der Browsersitzung zugelassen werden. Browser... ist deswegen bereits so
vorkonfiguriert, dass zunächst alle Cookies blockiert werden, jede
Webseite aber mit nur zwei Mausklicks freigeschaltet werden kann. Wir
empfehlen, Cookies immer nur temporär zuzulassen, so dass Sie
spätestens bei der nächsten Browsersitzung wieder automatisch
blockiert sind.

Eine andere unangenehme Eigenschaft von Webbugs ist, dass sie beim
Abruf neben Cookies auch Ihre IP-Adresse automatisch an den
Statistikdienst übermitteln. Selbst mit einer sehr guten
Browserkonfiguration, dem Abschalten von Cookies und automatischen
Webbug-Filtern können Sie dies niemals zuverlässig verhindern. Dagegen hilft nur die Verwendung eines Anonymisierungsdienstes wie [...] unseren.

Browserverlauf & -cache

Mithilfe bestimmter Tricks können Webseiten erkennen, welche anderen
Webseiten in Ihrem Browserverlauf (History) liegen. Dazu fügt der von
Ihnen besuchte Server bestimmte Formatierungsanweisungen (CSS,
Stylesheets) mit Links auf "interessante" fremde Webseiten in die von
Ihnen aufgerufenen Seiten ein. Wenn Sie eine der fremden Webseiten
vorher besucht haben, reagiert Ihr Browser darauf, indem er ein in der
jeweiligen Formatierungsanweisung definiertes Kommando ausführt und
beispielsweise ein kleines Bild vom Webserver nachläd. Die Webseite
kann dadurch Ihren Browserverlauf ganz oder teilweise erraten.

Über den Inhalt Ihres Browser-Caches kann man auf vorher besuchte und
daher im Browser zwischengespeicherte Webseiten schließen. Mit jeder
aufgerufenen Webseite wird ein ETag gesendet, welches der Browser im
Cache speichert. Wird die Webseite erneut aufgerufen, sendet der
Browser zuerst das ETag, um zu erfragen, ob die Seite sich geändert
hat. Dieses Tag kann auch eine eindeutige User-ID enthalten. Außerdem
ändert sich die benötigte Zeit für das Laden einer Webseite, wenn
Teile der Seite bereits im Browser-Cache liegen. Mittels einer
geschickte Verteilung der Bilder auf der Webseite, welche jeweils
einzeln nachgeladen werden, kann der Webserver den Cache nach und nach
analysieren.

Gegen eine Analyse des Browserverlaufes gibt es - außer dem
Deaktivieren der History wie es in ... voreingestellt ist -
momentan noch keinen zuverlässigen Schutz. Im Gegensatz dazu hätte das
Abschalten des Caches gravierende Auswirkungen auf die
Surfgeschwindigkeit, weshalb wir dies nicht empfehlen. Im JonDoFox ist
stattdessen eine Schutzfunktion eingebaut, welche für Inhalte von
Drittseiten den Cache umgeht. Außerdem wird der Cache beim Schließen
des Browsers automatisch gelöscht. Dadurch kann eine Webseite keine
Informationen über andere Seiten gewinnen, sondern nur über sich
selbst.

TCP-Zeitstempel

Das Transmission Control Protocol (TCP) ist ein Protokoll zur
Datenübertragung zwischen Computern. Es ist notwendig für eine Reihe von Internetdiensten wie http (WWW), smtp (E-Mail) und ftp. Wenn beispielsweise Ihr Rechner eine Anfrage nach einer Webseite schickt, werden diese Daten innerhalb vieler kleiner sogenannter TCP-Pakete versendet. Neben diesen Daten enthält ein solches TCP-Paket auch einige optionale Informationsfelder (optionale Header). Eine dieser Optionen ist der TCP-Zeitstempel. Der Wert dieses Zeitstempels ist proportional zur aktuellen Zeit auf Ihrem Computer, und wird gemäß der internen Uhr Ihres Rechners automatisch erhöht.

Der Zeitstempel kann vom Client- und/oder Server-Gerät zur
Performanceoptimierung eingesetzt werden. Jedoch kann ein
Internetserver Ihren Computer anhand der Zeitstempel .wiedererkennen und verfolgen: Indem er die Abweichungen in der Uhrzeit misst, kann er ein individuelles Zeit-Versatz-Profil für Ihren Computer berechnen.
Außerdem kann er die Zeit schätzen, zu der Ihr Rechner zuletzt neu
gestartet wurde. Diese Tricks funktionieren sogar dann, wenn Sie Ihre
Internetverbindungen ansonsten perfekt anonymisiert haben.

Wenn Sie möchten, können Sie selbst die Zeitstempel abschalten.
Problematisch ist, dass dies auf Windows-Systemen möglicherweise nicht funktioniert. Wenn Sie stattdessen JonDonym verwenden, sind Sie jedoch davor geschützt, auf diese Weise beobachtet zu werden. Denn JonDonym-Mixe ersetzen Ihre potenziell unsicheren TCP-Pakete
automatisch durch ihre eigenen.

MAC-Adresse

Die MAC-Adresse (MAC=Media-Access-Control, manchmal auch Ethernet-ID,
Airport-ID oder physikalische Adresse genannt) ist die
Hardware-Adresse jedes einzelnen Netzwerkgerätes. Jeder Rechner kann über mehrere solcher physischer oder virtueller Netzwerkgeräte
verfügen (kabelgebunden (LAN), drahtlos (WLAN), mobil (GPRS, UMTS),
virtuell (VPN), ...). Die MAC-Adresse dient zur eindeutigen
Identifizierung des jeweiligen Geräts in einem lokalen Rechnernetz. Im
Internet wird sie nicht benötigt und nicht übertragen. Auch Ihr
Zugangsprovider kann sie nur dann sehen, wenn Ihr Rechner nicht über einen Router, sondern direkt mit dem Internet verbunden ist, etwa über ein Modem. Da Ihr Provider Sie ohnehin an Ihren Zugangsdaten wiedererkennt, ist dies jedoch kein Nachteil für Ihre Privatsphäre.
Die MAC-Adresse lässt sich außerdem selbst ändern.

IP-Adresse

Die IP-Adresse (z.B. 121.56.22.136) erhält Ihr Rechner oder Ihr Router
automatisch bei der Interneteinwahl von Ihrem Provider zugewiesen.
Dieser speichert sie üblicherweise zusammen mit Ihren Kundendaten und
Ihrer Online-Zeit monate- oder sogar jahrelang. Sie ist Ihre
eindeutige Kennung im Internet, die immer mitgesendet wird, wenn Sie
eine direkte Verbindung zu einem Internetdienst aufbauen. Anhand der
IP-Adresse erkennt der Webserver, an wen er die Antwort zurücksenden
muss. Solange Ihre IP-Adresse sich nicht ändert, lässt sich damit gut
nachverfolgen, zu welcher Zeit sie welchen Webseitenbetreiber
kontaktiert haben. Die IP-Adresse offenbart außerdem Ihren Provider,
in vielen Fällen Ihren momentanen Aufenthaltsort und manchmal
(speziell in Unternehmen und Rechenzentren) auch genau den Rechner, an
dem Sie gerade sitzen. Durch die IP-Adresse kann in vielen Fällen ein
direkter Personenbezug hergestellt werden.

Einen Teil der Informationen, die Ihre IP-Adresse und Ihr Browser über
sie verraten, können Sie über die bbmediadesign-Startseite einsehen.

Während sich die bisher genannten Surf-Spuren ohne spezielle
Server-Dienste verwischen lassen, ist dies bei Ihrer IP-Adresse nicht
ganz so einfach möglich. Deswegen wurde spezielle die Software entwickelt:
Um den Zusammenhang zwischen Ihrer IP-Adresse und den von Ihnen
besuchten Webseiten zu verschleiern, stellen wir eine Verbindung zu
einem speziellen Dienst her. Dieser schaltet die Server verschiedener
Organisationen zwischen Ihren Rechner und das Internet. Sie surfen
dann jeweils mit der IP-Adresse des letzten Servers in einer
Kette/Kaskade mehrerer sogenannter Mix-Server. Die von Ihnen
übertragenen Daten werden dabei für jeden Mix-Server einzeln
verschlüsselt und in Größe und Reihenfolge leicht verändert, so dass
niemand Ihren Datenstrom belauschen oder erraten kann. Sie sind damit auch für den Fall geschützt, dass einzelne (aber nicht alle) Betreiber gehackt, bestochen, bedroht oder anderweitig zur Beobachtung Ihrer Zugriffe gezwungen werden.