Grundsätzliches zu Überwachungssoftware und Überwachungstechniken findet sich an anderer Stelle.

Ähnliche Themen sind die Diskussion zum Bundestrojaner in Deutschland und den Handel mit Überwachungs-Software, z.B. FinFisher aus Deutschland, die bei Diktatoren sehr beliebt war und ähnliche Funktionalitäten geboten hat, heute verdrängt durch Firmen wie NSO.

Ein weiteres verwandtes Thema sind die Händler von Zero-Day Exploits, die Regierungen die Möglichkeit bieten, die Rechner der Bürger zu übernehmen.

Flame / sKYWIper

Die Presse überschlägt sich mit einem (angeblichen) neuen Beispiel für Cyberwar: Ein Programm das "Flame" genannt wird. Es ist vermutlich von einer staatsnahen Organisation entwickelt worden und wurde vor allem in Nahen Osten eingesetzt. Über die Mikrofone und Kameras der befallenen Rechner kann mit Hilfe dieser Software die Umgebung (Büro) abgehört bzw. ausgespäht werden, Screenshots von Useraktivitäten können angefertigt und in eine interne Datenbank abgelegt und verschickt werden. Weiters ist es möglich Tastatureingaben aufzuzeichnen und sogar auf Bluetooth-Geräte, die sich in der Nähe des Rechners befinden, zuzugreifen. Diese Aufzeichnungen, aber auch Dokumente mit vertraulichen Firmendaten können dann via Mail versandt werden. Dies sind jedoch nur einige Beispiel der Fähigkeiten von Flame.

Kaspersky vertritt die Ansicht, dass es sich hier um Cyberwar handelt, aber das bundesdeutsche Bundesamt für Sicherheit im Informationswesen (BSI) und das Antiviren-Haus Ikarus widersprechen dem heftig.

Nach dem was man bisher weiß (heise-FAQ), bzw. viel technischer (das Paper von Crysys.hu (pdf)) sieht es folgendermaßen aus: es handelt sich um eine Spionagesoftware (und sicher keine Cyberwar-Waffe) für gezielte Angriffe auf sehr lohnenswerte Spähziele.

Die Software wird wohl in vielen Variationen seit 5 bis 8 Jahren eingesetzt und kann sehr viel: Screenshots sammeln, das Mikrofon einschalten und Gespräche aufzeichnen, über Bluetooth Verbindung mit anderen Geräten wie Smartphones aufnehmen und ähnliches. Im Gegensatz zu anderer Schadsoftware, die möglichst weit verbreitet werden soll, werden typischerweise bei einem Einsatz nur bis zu einem Dutzend Rechner infiziert. Die Gesamtzahl von etwa 1000 infizierten Systemen über mehrere Jahre hinweg ist sehr gering im Vergleich zu Zeus und SpyEye, die jeweils Millionen von Systemen gekapert haben.

Es geht wohl bei dieser Software darum, dass Profi-Analytiker einer Spionage-Organisation die gewonnen Informationen auswerten und dann entscheiden, ob ein lohnendes Ziel infiziert wurde, dann geht die Beobachtung weiter oder ob nach einem anderen PC gesucht werden soll. In diesem Fall de-installiert sich die Malware auch wieder. Die Verbreitung wird limitiert durch die Kapazität der menschlichen Analytiker. Es ist sehr wahrscheinlich, dass eine Regierungsorganisation dahinter steckt, aber welche, das ist derzeit reine Spekulation.

Juni 2012:
Die Software verfügt über eine Selbstmordmodul, das kurz vor der öffentlichen Entdeckung eingebaut wurde und erst jetzt nach der Entdeckung aktiviert wurde.

Die Washington Post verkündet, dass die USA und Israel gemeinsam Flame entwickelt hätten und zwar als Vorbereitung für Stuxnet. Hier der Originalartikel: U.S., Israel developed Flame computer virus to slow Iranian nuclear efforts, officials say:

. . . despite their collaboration on developing the malicious code, the United States and Israel have not always coordinated their attacks. Israel's April assaults on Iran's Oil Ministry and oil-export facilities caused only minor disruptions. The episode led Iran to investigate and ultimately discover Flame.

"The virus penetrated some fields - one of them was the oil sector," Gholam Reza Jalali, an Iranian military cyber official, told Iranian state radio in May. "Fortunately, we detected and controlled this single incident."

Some U.S. intelligence officials were dismayed that Israel's unilateral incursion led to the discovery of the virus, prompting counter­measures.

Der Artikel referenziert auch (wenn auch technisch inkorrekt) auf den technisch sehr ehrgeizigen Missbrauch der Windows Update Funktionalität, besser beschrieben in dem heise artikel: Windows-Update-GAU: Versäumnisse und Expertise. "An der Entwicklung des Super-Spions Flame waren offenbar hochkarätige Kryptografie-Experten beteiligt, denen ein Versäumnis im Hause Microsoft in die Hände spielte. Die Flame-Entwickler signierten ihr Spionage-Werkzeug mit einem gefälschten Microsoft-Zertifikat, das sie durch einen MD5-Kollisionsangriff erstellen konnten. Dabei nutzen die Virenschreiber jedoch nicht die bislang bekannten Verfahren, sondern entwickelten den Angriff weiter."

Sept. 2012:
Neue Erkenntnisse zeigen auf, dass Flame wohl bereits seit 2006 im Einsatz war: Kaspersky Lab: Flame cyber-espionage campaign dates back to 2006. Wieder ein Hinweis darauf, dass gängige Antimalware Software gegen gezielt entwickelte Angriffs-Software keine Chance hat.

Außerdem scheint die Infrastruktur die dafür eingesetzt wurde durchaus vielseitig zu sein. So gibt es Hinweise darauf, dass die 'Command & Control' Server für 4 verschiedene Client-Typen genutzt wurden (oder werden konnten), nur einer davon war Flame und ein anderer ist evtl. immer noch aktiv und unentdeckt: Spionagetrojaner Flame gibt Geheimnisse preis.

Gauss, miniFlame und Narilam

Juli 2012:
Neue Aufregung im Nahen Osten: Kaspersky berichtet über eine neue Spionage-Software, gezielt für den Nahen Osten - The Madi Campaign - Part I.

August 2012:
Im Rahmen seiner Untersuchungen zum 20-MByte-Trojaner "Flame" sind die Sicherheitsforscher von Kaspersky Lab auf einen wesentlich weiter verbreiteten Cousin gestoßen: "Gauss". Der Trojaner soll im Libanon sowie in Israel und Palästina vermutlich Zehntausende Rechner infiziert haben. Interessant ist, das hier zusätzlich auch Bankenzugangspassworte übertragen werden, die Software kann z.B. mit folgenden Banken umgehen: Bank of Beirut, Banque Libano-Française (EBLF), Blom Bank, Byblos Bank, Citibank, PayPal, Credit Libanais und Fransabank. Wie Duqu und Flame enthält auch Gauss einen Selbstzerstörungsmechanismus - nach 30 Aufrufen von einem USB-Stick aus löschte Gauss sich selbstständig, um einer Erkennung durch Virenschutzprogramme zu entgehen.

Oktober 2012:
Neue Erkenntnisse zeichnen ein noch viel komplexeres Bild: State-Sponsored Malware 'Flame' Has Smaller, More Devious Cousin - von Kaspersky miniFlame genannt. Hier einige Zitate:

"With Flame, Gauss and miniFlame, we have probably only scratched [the] surface of the massive cyber-spy operations ongoing in the Middle East," . . . Until now, Flame and Gauss were believed to be independent nation-state projects that had no connection; but the discovery of miniFlame is the first solid clue that the two projects came out of the same 'cyberweapon factory' and were part of the same larger operation, . . . The researchers believe the attackers used Flame first to infect thousands of machines and steal data from them, then sifted through the data to single-out high-profile targets, who were then infected with miniFlame/SPE so that the attackers could gather more extensive intelligence from them. . . Gauss is a separate espionage toolkit uncovered by Kaspersky in July, which is designed to steal system information from infected machines. . . . Both Flame and Gauss are much more widely spread than miniFlame; Flame is believed to have infected more than 10,000 machines, and Gauss infected about 2,500. By comparison, miniFlame/SPE appears to have infected only about 50 victims, . . ."

Nov. 2012:
Und das Spiel im Nahen Osten geht immer weiter: W32.Narilam ist eine Malware die gezielt versucht in MS SQL Datenbanken mit persischen Tabellennamen zu kommen und dort einfach nur Datenelemente zu löschen oder zu überschreiben.

April 2013:
Die Gauss Geschichte scheint noch einige spannende Geheimnisse zu verbergen: The quest to crack the world's most mysterious malware warhead. Kaspersky ist immer noch an Gauss dran und versucht, die Funktionen von Gauss zu verstehen (und dabei ordentlich Werbung für sich zu machen).

Es scheint, dass es neben den Spionage-Funktionalitäten noch ein Modul namens Gödel gibt, das so gut verschlüsselt ist, dass bisher keiner herausgefunden hat, wozu es dient. Und dabei wird nicht mal ein kompliziertes Verfahren verwendet sondern die schwache Verschlüsselungen RC4 und eine Schlüsselgenerierung mit dem längst geknackten MD-5. Aber . . .

Wenn Gauss einen Rechner infiziert hat, so wendet das Programm für eine Schlüsselgenerierung den MD-5 auf alle Programmpfade der Reihe nach an und probiert damit für alle diese Schlüssel aus, ob damit Gödel zu entschlüsseln ist (sehr vereinfacht ausgedrückt). D.h. das Modul Gödel wird nur auf einem Rechner aktiv, der ein ganz bestimmtes Programm enthält.

Welches Programm das ist, ist (noch) nicht bekannt, obwohl seit langer Zeit mit Brute-Force Methoden daran gearbeitet wird. Jetzt hilft angeblich auch der Entwickler von Hashcat mit. Weil der Schlüssel (und damit die Zielmaschine) noch nicht gefunden wurde, so ist auch noch vollkommen offen, was das Programm auf diesem Rechner dann tun würde. Da unterstellt wird, dass Gauss von den Entwicklern von Stuxnet stammt, könnte das durchaus etwas recht destruktives sein.

Dafür spricht auch, dass Gauss diesen Code auch auf USB-Sticks schreibt, was dazu dienen könnte, sich auf Systeme zu verbreiten, die nicht am Internet hängen, z.B. irgendwelche sehr gut geschützten Steuerungen. Wenn das keine spannende Geschichte ist. ;-)

Feb. 2015: Equation
Kaspersky veröffentlicht einen Bericht über eine Equation Group, in dem Regin, Flame, Stuxnet, Gauss alle vereint vorkommen und der ganz stark nahe legt, dass Urheber aller dieser Werkzeuge die NSA ist, und zwar die GruppeTAO (Tailored Access Operations).

Red October

Jan. 2013:
Schon wieder gibt es Neues aus dem Bereich der Cyberspionage zu berichten: Kaspesky berichtet über "Operation Roter Oktober". Dabei handelt es sich um eine sehr professionelle Kampagne um Daten von vor allem diplomatisch genutzten PCs abzuziehen. Die Schadsoftware verbreitet sich nicht automatisch und wird gezielt an die Opfer verschickt, zumeist in Form von infizierten Office- oder PDF-Dateien. Neue Funktionalitäten sind bei dieser Software dass auch Smartphones infiziert und überwacht werden.

Kaspersky findet zahlreiche Hinweise, dass die Entwickler russisch sprechen, aber das beweist natürlich nicht, dass sie im Auftrag der russischen Regierung arbeiten. Es können natürlich auch "Freiberufler" sein. Die Details finden sich in den Artikeln, bzw. in den dort verlinkten Detailberichten. Die Software die Kaspersky da entdeckt und jetzt analysiert hat war übrigens seit ca. 5 Jahren aktiv und einzelne Programme waren auch schon als Schadsoftware gemeldet worden. Was bisher verkannt worden war das ist, dass diese Programme Teil einer ausgeklügelten professionellen Aktion waren.

Jan. 2013:
Kaspersky berichtet kurze Zeit später: . . . the attackers shutting down the whole operation". Und jetzt können sich die Experten streiten, welche Software noch gefinkelter ist. Zitat von Kaspersky security researcher Kurt Baumgartner bei Ars Technica:

"In my opinion, Flame is the queen mother of advanced attack methodology". Flame distinguishes itself among espionage Trojans, he explained, because of its unique man-in-the-middle manipulation of Microsoft's update system, allowing it to make its way from one infected computer to the next.

NetTraveler

Juni 2013: Meldung von Kasperksy: seit 2004 infiziert eine Cyberspionage-Kampagne NetTraveler hochrangige Ziele ins Visier. Es ist der übliche Ablauf: Spear-phishing, d.h. gezielte Emails infizieren die PCs von wichtigen Entscheidungsträgern und ab dann werden gezielt Daten übertragen. Angeblich mindestens 350 hochrangige Opfer, davon einige in Deutschland, die meisten Ziele liegen jedoch in Asien.

28.04.2012 - Werden unsere Surf-Daten verkauft?

Dieser Beitrag findet sich jetzt unter Spuren im Internet.

01.04.2012 - Waffenhändler im Cyberkrieg - Zero-Day-Händler - die private Überwachungsindustrie

Forbes berichtet über den (mehr oder weniger) legalen Handel mit Zero-Day-Schwachstellen (bzw. Exploits, d.h. einem Programm, das die Schwachstelle ausnutzt).

Sog. "Zero-Days" sind Softwarefehler, die (noch) nicht öffentlich bekannt sind und daher für Angriffe verwendet werden können. Interessiert an solchen Informationen sind die Hersteller, die Kriminellen, aber auch Regierungen. Letztere entweder um sie für eigene Angriffe wie Stuxnet zu verwenden, oder aber für die Überwachung der Bürger (das läuft dann als "lawful inspection" - wie auch immer man das sehen will).

Security Experten (white hat hackers) haben eine Reihe von Möglichkeiten, ihre Erkenntnisse zu verwerten. Da gibt es responsible disclosure, d.h. die Informationen über die Schwachstelle werden dem Software-Entwickler zur Verfügung gestellt, entweder kostenlos oder gegen eine (symbolische) Bezahlung, die weit weg von diesen Zahlen liegt. Manche verwerten ihre Erkenntnisse, indem sie diese auf Konferenzen vortragen oder anderweitig als Werbung nutzen. Wieder andere verkaufen direkt an die Black-Hat Community, die Kriminellen im Internet. Von diesen grenzt sich der Exploit-Händler im Artikel deutlich ab. Anderseits will auch er nicht wissen, wofür seine Handelsware verwendet wird, ob für Überwachungen oder Angriffe auf andere Staaten. Der Artikel schreibt dann weiter:

The Grugq [der Exploit-Händler]is hardly alone in his industry. Small firms like Vupen, Endgame and Netragard buy and sell exploits, as do major defense contractors like Northrop Grumman and Raytheon.

2012:Preise für exklusiv angebotene Schwachstellen in verschiedenen Systemen - Preisführer ist iOS (das System von iPads und iPhones) mit 6-stelligen Beträgen pro Exploit Quelle: Forbes

Überwachungssoftware für Diktaturen - Made in US, Europe oder auch Deutschland - z.B. FinFisher

Wikileaks berichtet über den Verkauf westlicher Überwachungstools an Diktaturen. Westliche Technologiefirmen verkaufen Software an Diktatoren, die sie im eigenen Land gar nicht einsetzen könnten, z.B. Zugang zu Handys, E-Mail-Konten und anderen Computerdaten. Hier die Seite von WikiLeaks: Mass interception of entire populations is not only a reality, it is a secret new industry spanning 25 countries. Das Wallstreet Journal berichtet von guten Geschäften in Syrien: U.S. Firm Acknowledges Syria Uses Its Gear to Block Web. Hier noch ein detaillierter Artikel dazu: Global surveillance supermarket offered to dictators, der auch die französische Firma Amesys erwähnt, die offenbar ein wichtiger Lieferant für Muammar Gaddafi war.

August 2012:
Ein Artikel bei Bloomberg berichtet über eine deutsche Software die bei repressiven Regimen sehr beliebt ist: Cyber Attacks on Activists Traced to FinFisher Spyware of Gamma. Es geht um eine Software die nur an Regierungsbehörden verkauft wird und mit deren Hilfe Rechner von Dissidenten infiziert und übernommen werden. Die Software kann dann Dateien übertragen, Screenshots machen, Passworte stehlen (sehr beliebt sind die Webmail-Passworte) und auch Skype-Gespräche aufzeichnen. Die Funktionalitäten sind vergleichbar mit denen von Flame / sKYWIper.

Weitere sehr interessante Informationen zu dieser kommerziellen Spyware gibt es einige Zeit später in der NY Times unter dem Schlagwort FinSpy. How Two Amateur Sleuths Looked for FinSpy Software. Wenig später in London: Großbritannien will Export von Spionage-Software reglementieren. Hier ein Link zur globalen FinFisher Präsenz.

Finfischer-Überwacher bei der Arbeit Quelle: Finshisher-Promotion-Video, verlinkt von heise.de

Sept. 2013:
Eine Präsentation von FinFisher taucht im Internet auf und zeigt, welche Überwachungstricks sie Meistbietenden verkaufen. Die "Süddeutsche Zeitung" berichtet unter Berufung auf neue Dokumente der Enthüllungsplattform Wikileaks, dass Trovicor, Utimaco, Atis, Elaman und Gamma Group (FinFisher) autoritär regierten Ländern ihre Überwachungstools anbieten.

Nov. 2015:
FinFisher schafft es mal wieder in die Presse: Researchers Find 'Impossible to Trace' Spyware in 32 Countries, auch z.B. in Kazakhstan, Bangladesh, Ethiopia, Bahrain.

Feb. 2018:
FinFisher bekommt den Auftrag für den Bundestrojaner in Deutschland. D.h. nach Kasachstan, Turkmenistan und anderen eher fragwürdigen Kunden jetzt bei der Arbeit in der Bundesrepublik.

(Nov. 2012) über den Hersteller von FinSpy: Briefkastenfirmen der Gamma Group enttarnt. Hier ein Artikel zu einem anderen Zero-Day Händler: Revuln. Sie spezialisieren sich auf Verwundbarkeiten in SCADA Software.

Nov. 2012:
Vupen prahlt gerade mit Windows 8 Hack den sie jetzt meistbietend im Angebot hätten. Der Angriffscode soll sämtliche Schutzfunktionen aushebeln die Windows 8 einem Exploit entgegenzusetzen hat: etwa die Adressverwürfelung (Address Space Layout Randomization, ASLR), die Microsoft in der jüngsten Windows-Ausgabe auf weitere Systembereiche ausgeweitet und mit einer verbesserten Randomisierung ausgestattet hat. Auch die Datenausführungsverhinderung (Data Execution Prevention, DEP) und der ROP-Schutz werden angeblich ausgehebelt, genauso wie die Sandbox-ähnliche Protected Mode des Internet Explorer. Den Exploit macht das Unternehmen seiner zahlenden Kundschaft zugänglich.

Ebenfalls Nov. 2012:
Studie über Zero-Days: Eine Untersuchung auf der Basis von öffentlich verfügbaren Daten zu real-world Exploits (11 Mio Rechner), Verwundbarkeiten und Malware Incidents 2008-2011. Ergebnis: Sie finden 18 Zero-Days, davon 11 die bisher nicht als Zero-Days erkannt worden waren (d.h. es war nicht klar, dass der Exploit bereits existierte als die Verwundbarkeit noch nicht öffentlich bekannt war). Die Zero-Day Verwundbarkeiten waren im Schnitt 312 Tage ausgenutzt worden, zum Teil aber bis 2,5 Jahre. Nach der Veröffentlichung explodierten regelmäßig die Angriffe die auf dieser Verwundbarkeit beruhten.

Feb. 2013:
Ein Artikel sagt, der Malware-Industrial Complex macht uns alle unsicherer im Netz (bzw. hier auf deutsch: Die Entstehung des "Malware-Industrial Complex"). Der Artikel meint, dass die neue Cyberwar-Strategie der US-Regierung den globalen Markt für IT-Sicherheitslücken noch weiter anheizen wird. Auf den globalen Hackerkonferenzen wie Black Hat und Defcon waren die Enthüllungen der letzten Konferenzen nicht mehr so spektakulär wie in den Jahren zuvor. Das könnte damit zusammenhängen, dass ein Sicherheitsforscher beim Verkauf an einen der Dealer der die Exploits an staatliche Behörden weiterverkauft, gut Geld verdienen kann. Und natürlich gibt es großes Interesse dieser Käufer, dass unsere alle Geräte NICHT gepatcht werden, sonst werden ihre teuer gekauften "Cyberwaffen" ja wirkungslos.

Juli 2013:
Einen sehr guten Überblick über die Anbieter und die Käufer gibt der Artikel Nations Buying as Hackers Sell Flaws in Computer Code. Sie berichten auch über die Bug Bounty-Programme der großen Firmen wie Google und Facebook für Ethical Hackers, erwähnen aber, dass die Beträge die von den Regierungen zu holen sind ("auf der "dunklen Seite"), deutlich höher sind: "The military establishment", he [Mr. Soghoian of the A.C.L.U] said, "created Frankenstein by feeding the market."

Sept. 2013:
Im Rahmen der PRISM-Veröffentlichungen werden jetzt Zahlen bekannt: Die NSA gab 2011 $25 Mio für Zero-Day Verwundbarkeiten aus um damit 231 Angriffe auf Rechner in anderen Staaten auszuführen und mittlerweile 85000 Rechner infizieren und steuern könnten, für, Zitat:

". . . virtual or physical access to create and sustain a presence inside targeted systems or facilities." The document adds:

"System logs and processes are modified to cloak the intrusion, facilitate future access, and accomplish other operational goals". . . . "The United States is moving toward the use of tools short of traditional weapons that are unattributable - that cannot be easily tied to the attacker - to convince an adversary to change their behavior at a strategic level

Nov. 2013:
Privacy International hat eine Datenbank mit Unternehmen zusammengetragen, die Überwachungstechnik anbieten: Surveillance Industry Index. Der Report listet 338 Unternehmen aus 36 Ländern, welche Technik sie anbieten, wozu sie in der Lage ist und - in einigen Fällen - an welche Regierungen sie verkauft wurde. Dafür haben sie unter anderem die auf Wikileaks veröffentlichten Spy Files ausgewertet sowie Material der Omega Research Foundation, insgesamt 1203 Dokumente zu 97 verschiedenen Überwachungstechniken. Diese Programme werden zur Überwachung der Bevölkerung eingesetzt, können natürlich auch für Industriespionage verwendet werden.

Feb. 2014:
Die kanadische Organisation Citizenlab hat eine Reihe von Artikeln über Hacking Team's RCS spyware geschrieben, die vor allem von kleineren Ländern eingesetzt wird, um unliebsame Journalisten zu überwachen. Die Kundenliste liest sich ungefähr so: Azerbaijan, Colombia, Egypt, Ethiopia, Hungary, Italy, Kazakhstan, Korea, Malaysia, Mexico, Morocco, Nigeria, Oman, Panama, Poland, Saudi Arabia, Sudan, Thailand, Turkey, UAE, und Uzbekistan. Hacking Team ist ein italienisches Unternehmen. Dies zeigt, dass nicht nur in den high-tech Ländern die Überwachungsindustrie zu blühen beginnt. Das ist ein Trend, der uns alle unsicherer machen wird.

Im Nov. 2014 werden Handbücher von Hacking Team veröffentlicht, die detaillierte Hintergründe über das Geschäft der Überwachung von Bürgern gibt. Die Firma hat sowohl die Behörden von demokratischen Ländern, aber auch Diktaturen als Kunden. Die Firma hat ähnliche Tricks für das Einfügen von Malware in die Datenströme der Opfer auf Lager wie die NSA, ist aber vor allem stolz auf die einfache Bedienbarkeit der Spionagewerkzeuge.

Aug. 2014:
Einem unbekannten Hacker ist es gelungen, bei Gamma International einzudringen und mit 40 GB Daten wieder abzuziehen. Der hier verlinkte Artikel gibt einen guten Überblick über die bisherigen Aktivitäten von und gegen den Produzenten von FinSpy und FinFisher. Jetzt wird es wohl auch für eine Weile möglich sein, dass endlich die Anti-Malware Programme diese Spionage-Programme entdecken, zumindest bis den Leuten von Gamma wieder was ganz Neues eingefallen ist wie sie der Entdeckung entgehen können. Ein herber Schlag für die Firma und ein Lichtblick für Dissidenten, die auf diese Weise ausgespäht werden sollen.

Juli 2015:
Jetzt hat es die italienische Firma Hacking Team erwischt, sehr unangenehm für die Firma. Unbekannte haben 400 GB Daten veröffentlicht, viele interne Memos, Kundenlisten, Kundenmails: Überwachungssoftware-Hersteller Hacking Team versucht Schadensbegrenzung. Die Daten legen offen, dass Hacking Team sehr wohl auch an Diktatoren verkauft. Jetzt sind die Anti-Malware Hersteller schnell am Arbeiten und müssen ihre Produkte nachbessern. Hacking Team hat alle ihre Kunden aufgefordert, die Nutzung der Software einzustellen, sonst fliegt die Überwachung mit dem nächsten Update der Anti-Malware auf.

Jan. 2016:
Einer der Händler in Exploits bietet 100 000 USD für eine ausnützbare Schwachstelle in Flash. Flash bleibt eines der beliebtesten Einfallstore für Angriffe auf PCs.

Okt. 2016:
Hacking team defectors ist ein toller Artikel über den moralischen Verfall eines Unternehmens. Dem Entwickler des Codes der dann bei dem Journalisten gefunden wurde war erklärt worden, dass die Programme nur bei regulären Polizeiorganisationen in demokratischen Staaten eingesetzt wurden, aber dann waren die Hauptabnehmer undemokratische Staaten, die ihre kritischen Journalisten überwachen wollen. Dies hat das Personal kräftig erschüttert und hat zu Kündigungen geführt, die vom Management mit Strafanzeigen und Überwachung durch den italienischen Geheimdienst beantwortet wurden. Die Ex-Angestellten betonen, dass sie mit den Leaks nichts zu tun haben, aber bei diesem Artikel verstehe ich, wie ein Mitarbeiter zu einem Whistleblower werden kann. Hier der Wikipedia-Eintrag zu Hacking Team)

Grundsätzliches zum Problem des Handels mit Schadsoftware zum Einsatz gegen Bürger

Empfehlenswert zu diesem Thema ist Bruce Schneier: The Vulnerabilities Market and the Future of Security. Als Händler zählt er auf:

. . . Forbes published a profile of a company called Vupen, whose business is selling zero-day exploits. Other companies doing this range from startups like Netragard and Endgame to large defense contractors like Northrop Grumman, General Dynamics, and Raytheon.

Bruce Schneier fasst seine Bauchschmerzen mit dieser Entwicklung folgendermaßen zusammen:

This is why the new market for vulnerabilities is so dangerous; it results in vulnerabilities remaining secret and unpatched. That it's even more lucrative than the public vulnerabilities market means that more hackers will choose this path. And unlike the previous reward of notoriety and consulting gigs, it gives software programmers within a company the incentive to deliberately create vulnerabilities in the products they're working on - and then secretly sell them to some government agency. . . . .

As the incentive for hackers to keep their vulnerabilities secret grows, the incentive for vendors to build secure software shrinks. As a recent EFF essay put it, this is 'security for the 1%.' And it makes the rest of us less safe.

29.02.2012 - Angriffe gegen die Energieversorgung

Diese Inhalte finden sich jetzt im Artikel zu SCADA.

19.02.2012 - Cloud-Speicher und Security

Drobox und bessere Alternativen, z.B. Wuala (weiter unten dann: iCloud)

Der Standard brachte vor einiger Zeit einen Überblick über Cloud Speicherdienste. Der Artikel vergleicht Dropbox mit SugarSync, Wuala, Box, Skydrive, Amazon Cloud Drive, Ubuntu One, Teamdrive, SparkleShare, Picasa, Google Docs und Google Music und natürlich Apples iCloud. In dem Standard Artikel geht es hauptsächlich um Features, wie viel freien Speicher es kostenlos gibt, etc.

Im Economist wird ein anderes Thema behandelt: Keys to the cloud castle - es geht darum, wer bei verschlüsselten Diensten eigentlich die Schlüssel in der Hand hat. Die meisten der Services betonen, dass die Daten bei ihnen naütrlich sicher sind, übertragen mit HTTPS und dann (oft) verschlüsselt gespeichert. Der Artikel weißt darauf hin, dass es darum geht, wer die Schlüssel für die Daten hat. Dropbox bietet viele Services an und kann z.B. den Datenzugriffa auch dann wiederherstellen, wenn der Benutzer sein Passwort vergessen hat. Das bedeutet, dass der Schlüssel bei Dropbox liegt und nicht beim Benutzer selbst. Zitat aus dem Artikel:

"What Dropbox provides is more than adequate for most users. Those with a more stringent need for privacy - most often because they are breaking either a just or unjust law - need to take responsibility for their own privacy, not count on a remote, third party service to provide it."

Es ist natürlich Blödsinn, dass der Grund für den Privatsphärewunsch zumeist Gesetzesübertretungen sind, es gibt noch viele andere legitime Gründe für den Schutz der Privatsphäre (das habe ich an anderer Stelle ausführlich erklärt). Aber natürlich ist es eine gute Idee, den Schutz selbst in die Hand zu nehmen, z.B. indem ich die Dateien vor der Synchronisation mit einem Tool wie TrueCrypt verschlüssele, oder ein Werkzeug wie EncFS, SecretSync, oder BoxCryptor verwende, das für die Integration mit Dropbox entwickelt wurde.

Wann immer ich erwarte, dass ich mehr tun kann als nur Synchronisieren, so kann ich nicht erwarten dass ich exklusiven Zugriff zu den Inhalten habe. D.h. alle Webmail-Anbieter, wie Gmail, GMX, und Hotmail, alle Dokument-Kollaborationsdienste wie Google Docs, und alle "Sharing-Dieste" wie Flickr, Youtube, Facebook, aber auch kommerzielle Services wie Salesforce.com haben Zugriff zu den Daten.

Es gibt aber auch Datei-Synchronsierungsdienste, die nur für die Synchronisation zwischen meinen Geräten gedacht sind, z.B. das europäische System Wuala. Hier ist ein Artikel der die Sicherheitskonzepte von Dropbox vs. Live Mesh, SpiderOak, SugarSync, Wuala vergleicht. Wuala hat 2 Vorteile: die Daten bleiben in Europa und werden bereits auf dem lokalen Gerät verschlüsselt. Aber auch SpiderOak gilt es recht sicher. D.h. SpiderOak und Wuala bieten Sicherheitsfeatures, bei denen der Benutzer in voller Kontrolle seiner Dateien ist, auch die Administratoren haben keinen Zugriff. (Warum die Speicherung in Europa und durch eine europäische Firma einen großen Unterschied machen kann erkläre ich weiter unten.) August 2012: Dropbox bietet jetzt Zweifaktor-Authentifizierung an, aber das ist ja nicht das einzige Problem dieses Diensts.

April 2014:
Als neue und sicherere Lösung wird die Dropbox-Alternative Seafile 3.0 sehr gut besprochen. Herausforderung ist jedoch, dass der Nutzer sich den Cloud Server selbst einrichten muss, allerdings stehen nicht nur Linux, sondern auch Windows und sogar Raspberry Pi Versionen zu Auswahl. Letztere klingt sehr interessant.

Apple iCloud

Die polizeilichen Trainingsunterlagen enthalten Vordrucke, die der Ermittler nur noch ergänzen muss Quelle: heise.de

Wie sicher ist iCloud?: Zitat: "iCloud sichert Ihre Inhalte, indem sie verschlüsselt über das Internet gesendet, in verschlüsseltem Format gesichert und sichere Token zur Authentifizierung verwendet werden. Nicht verschlüsselt gesichert werden allerdings unter anderem E-Mail und Notizen." Hier die Details von Apple, was alles verschlüsselt wird - die Frage, was bleibt unverschlüsselt, die steht nur implizit im Text.

April 2012:
Die Futurzone berichtet über einen Artikel in ArsTechnica: Apple hat Zugriff auf iCloud-Daten. "Apple mag die Daten der iCloud zwar auf ihren Laufwerken verschlüsseln - doch sie behalten den Key", meint Rich Mogull, CEO der Sicherheitsfirma Securosis gegenüber Ars Technica.

Für mich ist die Lehre: Alle US-Clouddienste haben mit hoher Wahrscheinlichkeit einen Nachschlüssel.

Noch ein Artikel zu einem ähnlichen Thema: Apple und Google entsperren Smartphones für Strafverfolger. Hier geht es nicht um die Daten die in der iCloud gespeichert werden, sondern um das entsperren des iPhones. Auch hier gibt es offenbar Hintertürchen.

Der Spiegel schreibt ziemlich kritisch: Apple kann verschlüsselte iCloud-Daten einsehen und zitiert aus den Nutzungsbedingungen:

"Sie erklären sich damit einverstanden, dass Apple, ohne Ihnen gegenüber zu haften, auf Ihre Kontoinformationen und Ihre Inhalte zugreifen, diese nutzen, aufbewahren und/oder an Strafverfolgungsbehörden, andere Behörden und/oder sonstige Dritte weitergeben darf, wenn Apple der Meinung ist, dass dies vernünftigerweise erforderlich oder angemessen ist, wenn dies gesetzlich vorgeschrieben ist oder wenn Apple einen hinreichenden Grund zu der Annahme hat, dass ein solcher Zugriff, eine solche Nutzung, Offenlegung oder Aufbewahrung angemessenerweise notwendig ist, ...".

Mai 2012:
Techrepublic hat sich die Terms of Service von Google Drive durchgelesen und ist leicht beunruhigt, bzw. verstört. Dort steht:

When you upload or otherwise submit content to our Services, you give Google (and those we work with) a worldwide license to use, host, store, reproduce, modify, create derivative works (such as those resulting from translations, adaptations or other changes we make so that your content works better with our Services), communicate, publish, publicly perform, publicly display and distribute such content. The rights you grant in this license are for the limited purpose of operating, promoting, and improving our Services, and to develop new ones.

Der Autor fragt sich, warum eigentlich Derivative Works wie Übersetzung für die Dateien die die Nutzer auf Google Drive speichern notwendig sein könnten. Die Einschränkung auf "limited purpose . . . of improving our service" klingt schon besser, aber warum muss das so weitgehend formuliert sein. Er verweist dann auf den entsprechenden Absatz in den Microsoft SkyDrive Bedingungen und die klingen ein bisschen weniger gefährlich.

Patriot Act

Vor einiger Zeit gab es Berichte über die Möglichkeit des US-Zugriff auf Europas Daten im Rahmen von Cloud Services. Daten die US-Firmen in der EU gespeichert haben sind im Zugriff des US-Behörden. Hier noch mehr Details in einer Zusammenfassung auf ZDNet. Dort wird dann auf weitere Details verlinkt, z.B. findet sich dort:

"The Act also applies to companies based in the U.S., whether they are headquartered there - such as Apple, Google or Microsoft - or are a subsidiary of a larger non-US company. For example, although the BBC has its headquarters in London, it also has studios and offices in the U.S., making these U.S.-based offices vulnerable to the Act."

Nov. 2012:
Im Rahmen der Beschlagnahme der Daten auf MegaUpload gab es ein paar sehr prägnante Äußerungen aus dem USA: Megaupload and the Government's Attack on Cloud Computing. Die EFF weißt darauf hin, dass einige Betroffene von der Datenbeschlagnahme, die ihre Daten zurückhaben wollen, auf einen sehr komplexen und aufwändigen Rechtsablauf hingewiesen wurden (mehrere Reisen zu Hearings in Virginia). Zitat aus der Regierungsstellungnahme:

. . . the government argues that both the contract between Megaupload and Mr. Goodwin (a standard cloud computing contract) and the contract between Megaupload and the server host, Carpathia (also a standard agreement), "likely limit any property interest he may have" in his data. (Page 4). . . . Apparently your property rights "become severely limited" if you allow someone else to host your data under standard cloud computing arrangements. This argument isn't limited in any way to Megaupload -- it would apply if the third party host was Amazon's S3 or Google Apps or or Apple iCloud.

Das ist eine interessante juristische Position der US-Behörden: Sie können bei einem Hosting bei einem US-Unternehmen nicht nur jederzeit auf die Daten lesend zugreifen, sondern sie können diese auch jederzeit beschlagnahmen ("likely limit any property interest he may have").

Security Requirements und andere Studien

Das Fraunhofer Institut hat Mai 2012 eine Studie zu Cloud-Sicherheit veröffentlicht: Sicherheitsmängel bei Cloud-Speicherdiensten. Sie kommen zu folgendem Schluß: Die Sicherheit von Cloud-Speicherdiensten ist oft mangelhaft. Neben technischen Mängeln fanden die Tester auch Schwächen in der Benutzerführung. Das kann dazu führen, dass vertrauliche Daten sich mithilfe von Suchmaschinen finden lassen. Außerdem erklären sie, nach welchen Kriterien solche Dienste beurteilt werden sollten. Weil fast alle dieser Dienste (noch) in den USA liegen, gehen sie auch noch ausführlich auf die Problematik Safe Harbour ein (Seite 39). Hier der Link zur Studie.

Vom deutschen Bundesamt für Sicherheit im Informationswesen (BSI) gibt es ein umfangreices PDF zu Security und Cloud Services: Eckpunktepapier Sicherheitsempfehlungen für Cloud Computing Anbieter. Eine ENISA-Studie hilft bei Risikoabschätzung für Cloud Computing.

12.02.2012 - Problemfeld SCADA und ICS

Diese Texte stehen jetzt in meinem Artikel zu SCADA und ICS

21.01.2012 - Risiko Smart Meter und Smart Grid

Smart Meter und Smart Grid hängen zusammen, aber sollten von der Risikobetrachtung her separat analysiert werden. Warum in der Zukunft ein Smart Grid benötigt wird, kann ich nachvollziehen. Durch die zunehmende dezentrale Stromerzeugung werden die Stromlieferanten vor ziemliche technische Probleme gestellt. Hier nur 1 Beispiel: wenn z.B. lokal in einem Dorf die Bauern große Flächen für Solarzellen nutzen so liefern diese Solarzellen, je nach Implementierung 1 oder auch 3 Phasen in das lokale Verbrauchsnetz. Viele Verbraucher, z.B. Heißwasserbereiter, hängen auch nur an 1 Phase. D.h. es kann in so einem Netz leicht vorkommen, dass auf einer Phase des Umspannwerks ein hoher Verbrauch, auf einer anderen Phase ein hoher Bedarf ist. So etwas kann leicht zu Instabilitäten im Netz führen. Um dies auszugleichen muss der Stromlieferant über solche Situationen zeitnah informiert sein. Daher müssen alle diese Komponenten miteinander Daten austauschen können. Dies wird Smart Grid genannt.

Smart Meter leuchten mir deutlich weniger ein. Das Schlagwort beschreibt den Ersatz der derzeitigen Ferrariszähler durch kleine billige Computer gemeint, die dann nicht nur den Stromverbrauch eines Haushalts zeitnah zurückmelden können, sondern auch Steuerungsfunktionen bis hin zum Abschalten des Zählers aus der Ferne enthalten. Diese intelligenten Zähler müssen hauptsächlich deswegen eingeführt werden, weil eine EU-Richtlinie dies verlangt. Beführworter propagieren, dass die Verbrauchen durch die Möglichkeit, zeitnah über ihren augenblicklichen Stromverbrauch informiert zu sein, weniger Strom verbrauchen werden.

Diese Systeme sollen auch die Stromanbieter in die Möglichkeit versetzen, variable Tarife anzubieten, die eine Stromnutzung zu Zeiten schwachen Stromverbrauchs belohnen. Manchmal wird in diesem Zusammenhang das Argument gebracht, dass dann die Waschmaschine um 1 Uhr Nachts gestartet werden kann, aber dieses Argument ist selbst manchen Beführwortern peinlich, da es in Miethäusern ganz klar ist, dass dieses Argument Unsinn ist. Insgesamt ist mit Einsparungen im einstelligen Prozentbereich zu rechnen (was die höheren Kosten nicht wirklich rechtfertigt, eine Kampagne zum Vermeiden von Stand-By bei Unterhaltungselektronik kann ähnliche Einsparungen bringen).

Gefährdung von Datenschutz und Privatsphäre
Problematisch an den Smart Metern sind zum Einen die möglichen Gefährdungen der Privatsphäre dadurch dass die Stromlieferanten (und möglicherhweise noch andere Interessierte, es gibt bereits Begehrlichkeiten) dann wissen, wann die Bewohner einer Wohnung zu Hause sind, wann sie duschen, etc, sondern auch, weil diese Zähler sehr billig sein sollen und daher, so wie es bis jetzt aussieht, stark an der Security gespart wird.

Ein Vortrag beim letzten Chaos Computer Congress, hat aufgezeigt, was man mit einem ungesicherten Smart Meter alles tun kann und wie viele Informationen sich aus dem Stromverbrauch eines Haushalts gewinnen lassen. Dabei geht es nicht nur darum, dass leicht zu sehen ist, ob eine Wohnung bewohnt ist, sondern jedes einzelne Haushaltsgerät hat spezifische Verbrauchsprofile. So kann man z.B. einen Herd deutlich von einem Kühlschrank, einer Kaffemaschine und einem Fernseher unterscheiden. Bei genügender Auflösung ist es, wie auf dem Chaos Computer Congress gezeigt wurde, sogar möglich, zu sehen, welche Fernsehsendung jemand anschaut.

Gefährdung der Integrität des Stromnetzes und der Stromversorgung
In diesem Abschnitt geht es jetzt um die Möglichkeit von böswilligen Manipulationen der Zählernetze, die schlimmstenfalls zu einem provozierten großflächigen Stromausfall führen können. Wie so etwas aussehen könnte, das findet sich auf diesen 2 Videos, die das Thema Manipulation von Smart Metern zu Thema haben: Urban hack attack und Delta Lloyd "Hackman". Zum Glück ist dies bisher alles nur fiktional.

Wer sich wirklich gruseln will, dem sei die umfangreiche Studie des deutschen Bundestages über die Auswirkungen eines längerdauernden, flächendeckenden Stromausfalls empfohlen. Der Text ist sehr umfangreich und detailliert. Er legt dar, wie ziemlich schnell die Situation für die Bevölkerung sehr unangenehm wird: ohne Strom bricht ziemlich schnell auch die Wasserversorgung, Bargeldversorgung, Lebensmittelversorgung, Abwasserentsorgung und ähnliche Dienste zusammen. Die Gesundheitsversorgung hält noch gute 48 Stunden, dann geht auch dort der Diesel für die Notstromaggregate aus. Dort wird dann nicht nur das Essen knapp, sondern irgendwann müssen die Maschinen abgestellt werden.

Einige historische Blackouts Quelle: cybersecurityaustria.at Hier weitere Beispiele

Österreich ist bisher von längeren großflächigen Stromausfällen weitgehend verschont geblieben, in Deutschland hat es aber 2005 und 2006 einige größere Ausfälle gegeben (siehe die Liste rechts). Die Allianz Versicherung warnt aber, dass das nicht so bleiben muss: Allianz: Stromausfälle könnten sich häufen.

Grundsätzlich gibt es viele Möglichkeiten, ein solches komplexes System wie die Stromversorgung anzugreifen: Smart Meter als Einfallstor für Angreifer. Bereits 2010 hat das FBI vor Manipulationen von Smart Metern gewarnt (der Artikel hat Links zu einem Bericht über die Fälle in Puerto Rico).

In Deutschland hat sich mittlerweile das BSI (Bundesamt für Sicherheit in der Informationstechnik) dieser Problematik angenommen und hat entsprechende Schutzprofile für solche Geräte entworfen, die zu Anforderungen an zukünftige Geräte werden sollen (hier ein Artikel dazu: Intelligente Stromzähler: Entwurf für Schutzprofil zur Diskussion gestellt).

In Österreich liegen die Initiativen bisher leider noch außerhalb der Politik. Der private Verein Cyber Security Austria nimmt sich in Österreich dieses Themas an. Dort gibt es eine Reihe von Unterlagen, u.a. eine Studie zu Smart Metering and mögliche Auswirkungen auf die nationale Sicherheit (pdf). Der empfehlenswerte Text enthält viele weiterführende Links auch auf die internationale Situation und listet die verschiedenen Bedrohungen auf. Der Text ist voll von weiterführenden Links, d.h. es gibt viel Lesestoff zu diesen Themen.

Die komplexen Strukturen der zukünftigen Smart Grids Quelle: MIT Studie zu Future Grids (Link siehe im Text)

Eine kurze Studie des Center for Strategic and International Studies "The Electrical Grid as a Target for Cyber Attack" (pdf) analysiert in wieweit die Stromversorgung Ziel von Sabotageangriffen sein kann (sie berühren auch die wichtige Unterschiedung zwischen Spionage, Sabotage und Cyberkrieg.

Die ganzen Angriffsmöglichkeiten und die dramatischen Folgen klingen so, als wäre das ein spannender Stoff für einen Terroristen/Spionage/Desaster Thriller.

März 2012:
Jetzt gibt es den Krimi zum diesem Thema: BLACKOUT - Morgen ist es zu spät. Ich habe bei den technischen Aspekten des Buches mitgearbeitet.

Hier noch ein interessantes Kapitel aus einer MIT Studie zu Future Grids (pdf). Hier finden sich viele recht technische Hintergründe zu den Komponenten der Smart Grids (und ein Hinweis, dass die möglichen Bedrohungen weit über Datenschutz-Verletzungen hinaus gehen).

Feb. 2012:
Die Arbeiterkammer (AK) und die Mietervereinigung in Österreich fordern: "Zwangseinführung von Smart Metern aussetzen".

Juni 2012:
Der europäische Datenschutzbeauftragte Peter Hustinx warnt vor den Möglichkeiten massives Data Mining mit den Smart Meter Daten zu betreiben.

Juli 2012:
In Österreich tut sich was bei dem Thema Smartmeter: "Smart Meter-Daten wecken Begehrlichkeiten" berichtet die Futurezone.

Sept. 2012:
Smart Meter Hacking Tool Termineter ist als Open Source verfügbar: Open Source Smart Meter Hacking Framework can Hack into the Power Grid. Ein ähnliches Tool mit dem Namen OptiGuard sollte ein einer Konferenz vorstellt werden, wurde aber auf wohl deutlichen Wunsch eines Netzoperators nicht wie geplant auf einer Konferenz vorgestellt: Researcher releases smart meter hacking tool

Nov. 2012:
Wireless meters tell snoopers when you are not home. Hier geht es um eine in den USA eingesetzte drahtlose Übertragung der Verbrauchsdaten durch automated meter reading (AMR). Es sind bereits ein Drittel der Zähler in den USA umgestellt. Alle 30 Sekunden übertragen die Geräte ihre Daten an Mitarbeiter des Energie-Unternehmens, die an den Gebäuden vorbeigehen oder -fahren. Die Forscher haben mittels einer 1000 $ Ausrüstung diese Daten von bis zu 500 Geräten im Abstand von bis zu 300 Metern abhören können. Bei dieser Ablesefrequenz ist klar zu sehen, welchen Wohnungen unbewohnt sind.

Dez. 2012:
Der jährliche Kongress des Chaos Computer Clubs hat sich auch mit dem Thema Smartmeter beschäftigt: 29C3: Hacker erwarten gespannt die neue Smart-Meter-Generation (für die Österreicher: der Artikel beschreibt die Situation in D. wo das Bundesamt für Informationssicherheit (BSI) sog. Schutzprofile ausarbeitet. Wie das in Ö implementiert werden wird, ist wohl derzeit noch offen.

Hier die Links zu den Unterlagen: Version 1.1.7 der Protection Profiles für Smart Meter Gateways und Version 1.0 der Protection Profiles der in Smart Meter Gateways enthaltenen Security Modules (beides PDFs).

In den Secorvo News vom Dez. steht:

Die Funktionalitäts- und Interoperabilitätsanforderungen wurden in der Technischen Richtlinie TR-03109 (Version 1.0, Release Candidate) spezifiziert. Alle drei Dokumente sollen zusammen mit dem Referentenentwurf der Rechtsverordnung nach § 21i EnWG Anfang 2013 von der EU notifiziert und damit für die Entwicklung von Komponenten der so genannten "intelligenten Energienetze" rechtlich bindend werden.

Kritisiert wird, dass damit alle wichtigen Sicherheitsaspekte von der Authentifikation bis zur verschlüsselten Übermittlung systematisch geklärt sind, aber Datenschutz, z.B. Erforderlichkeit, Zweckbindung oder Datensparsamkeit werden ausgeklammert. Vermutlich wollten sich die Forscher vom BSI nicht noch eine 2. Baustelle antun.

Die Planungen in D. klingen ganz OK, dann wäre zumindestens dort ein Angriffsszenario wie im Buch Blackout weniger wahrscheinlich. Zur Lage in Österreich (und darüber hinaus, vor allem Deutschland) hier ein Interview mit Herbert Saurugg vom Verein für Cyber Security Austria (CSA) "Ein Blackout in naher Zukunft ist realistisch". Er ist sehr skeptisch was die Stabilität der Energieversorgung betrifft, seiner Meinung nach finden zu viele Veränderungen gleichzeitig statt, ohne dass entsprechende Beeinflussung ausreichend untersucht werden. Er glaubt auch nicht daran, dass Millionen Smart-Meter sicher (genug) gemacht werden können.

06.01.2012 - Externalitäten, z.B. bei der Gesichtserkennung / Face Recognition

Ein Artikel in Slate 'Opt-in' settings don't absolve internet companies behandelt das Thema "Externalitäten". Darunter versteht man, wenn Kosten nicht vom Verursacher getragen werden, z.B. wenn eine Entscheidung, z.B. für die Nutzung einer bestimmten Technologie, Auswirkungen auf andere Menschen hat, die sich gar nicht für diese Technologie entschieden haben. (An anderer Stelle schreibe ich mehr über dieses und andere Konzepte der Informationssicherheit und bringe z.B. als Beispiel, dass das Transportieren von Spam-Emails für die Allgemeinheit hohe Kosten verursacht, die nicht vom Spam-Versender getragen werden.)

Der Slate-Artikel bringt ein Beispiel aus den Nicht-IT-Bereich das zeigen soll, dass die Entscheidung Einzelner (heute Opt-In genannt) für eine bestimmte Technologie sich auf alle anderen Menschen auswirken kann. Wenn eine große Zahl von Menschen in einer Wohngegend sich für den Individualverkehr mit PKWs entscheiden, so wird der öffentliche Nahverkehr in dieser Gegend mangels Nachfrage reduziert, was Auswirkungen auch auf die hat, sie sich nicht für PKW-Nutzung entschieden haben.

Der Artikel erklärt, dass wir es bei der Gesichtserkennenung mit der gleichen Problematik zu tun haben. Google und Facebook führen jetzt (Ende 2011) die automatische Gesichtserkennung flächendeckend bei ihren Social Networks ein. In bester Facebook-Manier dort natürlich erst mal für alle automatisch aktiviert, Google etwas vorsichtiger, der Benutzer muss sich aktiv dafür entscheiden (Opt-In). (Google's Executive Chairman Eric Schmidt warnte noch Anfang 2011 vor dieser Technologie und nannte sie "too creepy even for Google").

Der Artikel in Slate erklärt jetzt, dass die Entwicklung der vergleichsweise harmlosen und freiwilligen Nutzung der Gesichtserkennung in Social Networks dazu geführt hat, dass diese Technologie zu dieser Perfektion entwickelt wurde und nun auch für alle Diktaturen zur Verfügung steht, die damit automatisiert die Fotos und Videos der regierungskritischen Demonstranten auswerten können. Natürlich hätte diese Technologie trotzdem entwickelt werden können, aber im Gegensatz zu den 40er bis 70er Jahre, wo Forschungsaktivitäten im militärischen Bereich die IT-Entwicklung stark angetrieben haben wird Forschung heute weitgehend durch die Nachfrage im Konsumentenbereich vorangetrieben und finanziert und das Militär verwendet die "Abfallprodukte". D.h. die schnelle Perfektionierung der Gesichtserkennung (die noch vor einem Jahrzehnt als in weiter Ferne gesehen wurde) verdanken wir (und die Diktatoren der Welt) vermutlich sehr wohl der Nachfrage aus dem Social Networking, mit allen den dort verbundenen Problemen für die Privatsphäre.

Personal Finance Management
Ein anderes Beispiel für Externalitäten liegt im Bereich Personal Finance Management (PFM). Darunter werden Softwarelösungen wie Quicken oder Microsoft Money verstanden, die dem Benutzer einen besseren Überblick über seine Einnahmen, Ausgaben, etc. ermöglichen soll. Seit 2011 wird solche Software auch verstärkt im Bankenbereich als Zusatzfunktion des Internet-Bankings angeboten. Dies hat für den Kunden den Vorteil, dass er die Rohdaten nicht erst mühsam in ein separates (und oft kostenpflichtiges) Softwarepaket eingeben (oder importieren) muss, sondern die Software wertet einfach die Kontenbewegungen der Giro-, Spar- und Kreditkarten-Konten aus und stellt sie in mehr oder weniger hübscher Form dar.

Für die Bank ergeben sich optimalerweise 2 Vorteile: die Kunden werden durch die Möglichkeit der automatischen Auswertung angehalten, weniger oft mit Bargeld zu zahlen um auf diese Weise dem System detailliertere Daten zur Verfügung zu stellen. Außerdem ergibt sich damit für die Bank die Möglichkeit, erheblich mehr über ihren Kunden zu erfahren. Hier tritt jetzt der Opt-In Effekt ein: Theoretisch haben die Banken immer Zugriff auf die Kontenbewegungen der Kunden, aber die meisten Banken haben (derzeit) noch keine Software um diese Kontenbewegungen systematisch und automatisch auszuwerten. Die Beschaffung einer solchen Software lohnt für eine Bank auch nur dann, wenn eine nennenswerte Zahl der Kunden von der Bargeldnutzung auf die konsequente Nutzung der Bankomat- oder Kreditkarten umschwenkt.

Und hier entsteht die Externalität: einige Kunden haben kein Problem damit, dass die Bank analysieren kann, wieviel sie wofür ausgeben und freut sich sogar, wenn die Bank dann entsprechende Sonderangebote oder Loyalty Programme anbietet (Opt-In) - anderen graut es bei dieser Vorstellung. Die begeisterten Nutzer dieser Dienste (die sich ihre Privatsphäre über die kostenlosen Auswertungen oder Loyality Programme "abkaufen" lassen) führen aber dazu, dass sich für die Banken diese Software "rechnet" und flächendeckend eingesetzt werden kann. Natürlich lernt die Bank über die Kunden die im Supermarkt mit Bargeld zahlen deutlich weniger, aber trotzdem deutlich mehr als wenn die Bank die Software nicht einsetzen würde.

Das ist sehr ähnlich zur Problematik der Gesichterkennung: durch diejenigen die ihre Privatsphäre bereitwillig teilen (oder opfern) entstehen Lösungen für die bessere Beobachtung oder Analyse auch der anderen (die sich dem nur mit erheblichem Aufwand wirklich entziehen können, wer kommt heute ganz ohne Bankkonto aus?).