Feedback — Vorratsdatenspeicherung — Ring — Chatkontrolle — Pageasus — Uber Hack — Twitter
Heute mal – Überraschung! – eine Sendung die sich weitgehend um Überwachung dreht. Denn es ist Murmeltiertag und wir haben wieder mal ein Urteil des EuGH, dass sich gegen die deutsche Vorratsspeicherung ausspricht. Die darauffolgenden Reaktionen hatten wir auch schon alle mal und so dreht sich das Thema ein weiteres Mal im Kreis. Wir verlieren aber weder unsere Fassung noch unseren Humor.
Für diese Episode von Logbuch:Netzpolitik liegt auch ein vollständiges Transkript mit Zeitmarken und Sprecheridentifikation vor.
Bitte beachten: das Transkript wurde automatisiert erzeugt und wurde nicht nachträglich gegengelesen oder korrigiert. Dieser Prozess ist nicht sonderlich genau und das Ergebnis enthält daher mit Sicherheit eine Reihe von Fehlern. Im Zweifel gilt immer das in der Sendung aufgezeichnete gesprochene Wort. Formate: HTML, WEBVTT.
Transkript
Shownotes
Feedback
Panzerschloss
- logbuch-netzpolitik.de: Kommentar von Freitag
Online-Apotheken
- logbuch-netzpolitik.de: Kommentar von Sten Bert
- logbuch-netzpolitik.de: Kommentar von Moritz
- bvdva.de: Rechtliche Grundlagen – Bundesverband Deutscher Versandapotheken | Starker Partner jeder Online-Apotheke
Vorratsdatenspeicherung
- curia.europa.eu. Urteil
- netzpolitik.org: Vorratsdatenspeicherung: Nein zum milliardenfachen Datenhorten
- tagesschau.de: Verstoß gegen EU-Recht: EuGH kippt anlasslose Vorratsdatenspeicherung | tagesschau.de
- spiegel.de: Vorratsdatenspeicherung: Deutsche Regelung verstößt gegen EU-Recht – EuGH-Urteil – DER SPIEGEL
- sueddeutsche.de: Urteil: EuGH verwirft Vorratsdatenspeicherung in Deutschland – Politik – SZ.de
- heise.de: Nach EuGH-Urteil: Bayern drängt auf Vorratsspeicherung von IP-Adressen
- deutschlandfunk.de: Nach EuGH-Urteil – Bundesinnenministerin Faeser weiter für Vorratsdatenspeicherung | deutschlandfunk.de
- deutschlandfunk.de: Bundesinnenministerin Faeser – "Wir müssen die IP-Adressen für die Ermittlungsbehörden verfügbar haben" | deutschlandfunk.de
- netzpolitik.org: Kampf gegen die Vorratsdatenspeicherung: „Jetzt erst recht!“
- netzpolitik.org: Freude und Zoff: Reaktionen auf das Vorratsdatenspeicherungs-Urteil
- de.wikipedia.org: Quick Freeze – Wikipedia
Internet im Iran
- snowflake.torproject.org: Snowflake ❄️
- signal.org: Run a Proxy
- support.signal.org: Security check
- netzpolitik.org: Proteste gegen Regierung: Iran schaltet Instagram, WhatsApp und weite Teile des Internets ab
- edition.cnn.com: Iran’s sweeping internet blackouts are a serious cause for concern – CNN
Videoüberwachung bei Demonstrationen
- blog.fiff.de: Videoüberwachung am 1. Mai 2019 in Berlin-Grunewald: Berufung gegen Urteil des VG Berlin
- mdr.de: Schilder im Chemnitzer Zentrum markieren "Überwachungsfreie Zone" | MDR.DE
Ring-Videos: Amazon gibt ohne Beschluss an Polizei weiter
- youtube.com: Mark Rober – YouTube
- golem.de: Ring Deutschland gibt Daten ohne Gerichtsbeschluss weiter
- netzpolitik.org: Überwachungskameras von Ring: Amazon gibt Aufnahmen ohne richterlichen Beschluss an deutsche Polizei
- futurezone.at: Amazon macht eine TV-Show mit Videos von Türklingel-Kameras
- youtube.com: EXPLODING Glitter Bomb 4.0 vs. Package Thieves – YouTube
Chatkontrolle
- patrick-breyer.de: UNO-Menschenrechtskommissar warnt vor Chatkontrolle – Patrick Breyer
- documents-dds-ny.un.org: ODS HOME PAGE
- netzpolitik.org: Client-Side-Scanning: UN-Menschenrechtskommissar erteilt Chatkontrolle deutliche Absage
- heise.de: EU-Chatkontrolle: Bundesrat hat gravierende grundrechtliche Bedenken
Pegasus-Untersuchungsausschuss
- netzpolitik.org: Staatstrojaner-Untersuchungsausschuss: Die EU-Kommission verschweigt, wie oft sie gehackt wurde
- netzpolitik.org: Staatstrojaner Pegasus: Polnische Regierung versetzt EU-Abgeordnete
Uber Hack
- bleepingcomputer.com: Uber hacked, internal systems breached and vulnerability reports stolen
- theverge.com: Uber blames Lapsus$ hacking group for security breach – The Verge
Twitter Whistleblower
- spiegel.de: Twitter: Whistleblower Peiter Zatko warnt bei Senatsanhörung vor Sicherheitsmängeln – DER SPIEGEL
- cnn.com: Peiter Zatko hearing
Zum Thema VPN, welche Länder bieten sich denn an um einen privaten VPN Server zu betreiben?
Also sowohl was Latenz als auch die rechtlichen Rahmenbedingungen angeht.
Kanada.
Ist halt ziemlich weit weg. Mein Nextcloud Server z.b. steh in DE und da hab ich ja dann schon einen ordentlichen Ping overhead.
Wäre auch daran interessiert was man am besten bzgl. VPN machen sollte. Verstehe das Linus nicht sagen will welchen Anbieter er nutzt (außer zu sagen das man die »günstigen« kommerziellen Anbieter nicht nehmen kann), aber er könnte doch vielleicht sagen worauf man achten sollte. Oder vielleicht eine Reihe von Möglichkeiten auflisten die Ähnliches anbieten, ohne eine bestimmte davon zu empfehlen und dadurch lässt man Hörerinnen die Wahl?
Bin zufällig selbst zur Zeit gerade dabei wegen VPNs zu recherchieren, bin aber leider noch nicht weit gekommen. Hab ein (englischsprachiges) Video auf YouTube gefunden, welches Probleme mit den meisten VPN Anbietern und VPNs insgesamt auflistet und wie man sich einen eigenen VPN mit einem VPS basteln kann:
https://www.youtube.com/watch?v=gxpX_mubz2A
oder:
https://invidious.namazso.eu/watch?v=gxpX_mubz2A
Nur dann bleibt Lukas’ Frage oben, wo den VPS anmieten? Und dazu verwendet die Anleitung im Video ein Bash Installationsskript dass man erst selber auditen sollte bevor man es einfach ausführt.
Habe auch in der Linux Community gefunden das das Problem wohl VPN-anbieter sind die OpenVPN oder WireGuard nicht richtig für Sicherheit und/oder Privacy konfigurieren, verstehe aber nicht genau was das bedeutet. Angeblich machen es nur eine Handvoll Anbieter »richtig« und es werden folgende genannt:
Mullvad (Schweden)
https://mullvad.net/de/
AirVPN (Italien – Webseite nur auf englisch)
https://airvpn.org/
OVPN (Schweden – aber auch in 32 anderen Standorten Weltweit inkl. Deutschland):
https://www.ovpn.com/de
Njalla (St. Kitts und Nevis – Webseite nur auf englisch):
https://njal.la/vpn/
Kann selber nicht für irgendeinen davon geradestehen, aber vielleicht hilft es anderen sich ein Bild zu machen.
Über Mullvad hab ich auch schon viel gutes Gehört. Die nehmen die Privatsphäre ihrer nutzer Ernst. Alleine das man es mit Bargeld in einem Umschlag bezahlen kann ist schon ein Statement.
Und der Mozilla VPN ist auch ein whitelabel Mullvad.
Aber da ich den VPN Server auch nutzen will um aus der Ferne auf meinen Homeserver zuzugreifen fallen die kommerziellen Anbieter raus.
Hi,
ja, das würde mich auch interessieren. Auf was muss ich beim kommerziellen Anbieter achten oder wie mache ich das selbst.
Gruß
Klaus
Wer einen eigenen VPN betreiben will, dem würde ich von Wireguard als primäre Lösung abraten: Es ist erstaunlich einfach, den Verbindungsaufbau in einem Router zu erkennen und zu unterbinden (wird von vielen Firmen und Hotels sogar schon gemacht)
Die stabilere Lösung ist da IPsec z.B. über Strongswan (schön mit Zertifikaten und so…). Das ist zwar deutlich komplizierter beim Einrichten, sollte aber von Firmen und Hotels erlaubt sein, weil die Business-Kunden darüber sicher mit der Firmeninfrastruktur kommunizieren…
Ich selbst würde auch keine Server im Ausland mieten, da man als Ausländer in vielen Ländern der Welt nur minderwertige Rechte besitzt (z.B. Bespitzelung durch dortige Inlands-Geheimdienste erlaubt)…
Wenn’s um deutsche Strafverfolgung geht, wäre ein AWS o.ä. Server gut geeignet, um in der Menge unterzutauchen (wo ja schon ein beträchtlicher Anteil des weltweiten Traffics im Amazon Net stattfindet)… Einfach täglich nen neuen Server starten, automatisch das VPN aufsetzen, und am Ende des Tages löschen…
Habt ihr den Uber Artikel gelesen, bevor er in der Sendung besprochen wurde? Ihr behauptet es hätte keine MFA gegeben und er hätte per social Engineering das Passwort bekommen. Das ist im Artikel anders dargestellt:
„As the Uber account was protected with multi-factor authentication, the attacker allegedly used an MFA Fatigue attack and pretended to be Uber IT support to convince the employee to accept the MFA request.
MFA Fatigue attacks are when a threat actor has access to corporate login credentials but is blocked from access to the account by multi-factor authentication. They then issue repeated MFA requests to the target until the victims become tired of seeing them and finally accept the notification.“
Eigentlich ein smarter Angriff. Jedenfalls wert das mal im Detail zu erwähnen, damit in Zukunft nicht weitere Leute darauf reinfallen.
Grüße
David
MFA Fatigue (Attack)
Sehr schön, damit hat das, was ich täglich im Job erlebe, einen Namen. Ich erhalte mehrfach täglich ungefragt (also nicht von mir ausgelöst) MFA-Anfragen auf mein Handy, weil Teams oder OneDrive das plötzlich brauchen.
Nur eine Frage der Zeit, bis da jemand eine Angreifer-Anfrage aus Gewohnheit autorisiert.
Ich darf Tim beruhigen: Täglich grüßt das Murmeltier ist 5 Jahre vor meiner Geburt erschienen und ich kenne den Film trotzdem. Zumindest in der Altersgruppe Mitte 20 ist er eigentlich auch jedem ein Begriff.
Ich bin natürlich davon ausgegangen, dass es so ist, aber man weiß ja nie :)
Linus beschreibt VDS so als ob jede einzelne TCP Verbindung gespeichert wird. War das tatsächlich jemals der Plan oder Gesetz? Ich habe nur in Erinnerung dass „wer bzw welcher Anschluss hat wann welche IP Adresse gehabt“ gespeichert werden sollte.
Für Leute mit Raspi im Netz gibt es auch die Möglichkeit, Snowflake auf den Pi laufen zu lassen
https://community.torproject.org/relay/setup/snowflake/standalone/
und von Kuketz:
https://www.kuketz-blog.de/raspberry-pi-menschen-mit-snowflake-helfen-internet-zensur-zu-umgehen/
Wie immer guter Podcast. Vielen Dank für die Produktion. Allerdings hätte man diesmal auch erwähnen können, dass Starlink nun auch im Iran aktiviert werden soll und dies ist wahrscheinlich der Zugangsweg, den der Iran am wenigsten blockieren kann. Natürlich macht es Sinn Musk ab und zu zu kritisieren und seine Ziele und Methoden zu hinterfragen, aber man sollte dann auch so fair sein und ihn erwähnen, wenn seine Technik einmal hilft. Wobei der Aufbau von Starlink Antennen auch nicht ungefährlich sein dürfte, abgesehen davon, dass man sie irgendwie ins Land bringen muß. Trotzdem werden sich hier in Zukunft neue Möglichkeiten der Zensur-Umgehung eröffnen, gerade dann wenn Smartphones immer häufiger direkt mit einem Satellitennetzwerk kommunizieren können. Ja, ja ich weiß, es ist auch nicht ohne die Kontrolle über das Internet in die Hand von privaten Firmen zu legen, aber wenn man sieht was Politikern im Iran, in China und Russland so einfällt, weiß ich auch nicht, was besser ist. Die Diskussionen zur Proxies und VPN werden also relevant bleiben.
Hat man bei der „Entwicklung“ der Vorratsdatenspeicherung eigentlich die analogen Wege der Informationsübermittlung wie Brief / Paket / Fax absichtlich nicht berücksichtigt? Denn die bösen Buben können bestimmt ausdrucken…
Oder traut man sich da nicht ran, weil „Briefgeheimnis“ versteht ja jeder, und Internet ist eh böse?
Danke für euren immer erheiternden bis verzweifelten Podcast.
Das Murmeltier-Genre (man könnte auch sagen: die Time-Loop-Rom-Com) erfreut sich nach wie vor großer Beliebtheit, stellvertretend seien hier die wunderbaren Filme „Palm Springs“ und „The map of tiny perfect things“ genannt.
Um sinnvoll Statistiken über den eignen Beitrag zum TOR Netzwerk zu bekommen kann z.B. die Seite hier genutzt werden : https://metrics.torproject.org/rs.html#search/ , braucht aber scheinbar eine gewisse Laufzeit um Daten zu aggregieren.
„Quick Freeze“ brächte nichts, sagt Ronen Steinke.
https://www.sueddeutsche.de/meinung/buschmann-vorratsdatenspeicherung-quick-freeze-1.5664730
Pascal hatte hier einen guten Link: https://www.kuketz-blog.de/raspberry-pi-menschen-mit-snowflake-helfen-internet-zensur-zu-umgehen/
Dort gibt es auch Grafiken, um das Schema zu erklären. Was ich nicht verstehe: Es gibt einen (zentralen?) Broker um den Erstkontakt zwischen Snowflake-Client und Snowflake-Proxy herzustellen. Kann dieser Broker nicht einfach von Zensurbehörden geblockt werden? Warum geht das nicht?
Zum Thema Iran: Mahsa Amini starb nicht weil sie das Kopftuch nicht trug, sondern nicht korrekt: https://www.nd-aktuell.de/artikel/1167015.iran-kopftuch-falsch-getragen-tot.html
Der Unterschied ist wichtig, weil es wohl verbreitet bei Frauen insbesondere in Teheran ist, das Kopftuch leger zu tragen.
Zitat Tim: „Leute überwachen sich heutzutage schon selbst. Nicht nur die Influencer im Restaurant“
Spätestens wenn sich irgendwo was sparen lässt, fallen bei den meisten alle Schranken zum Thema Datenschutz und Privacy. Versicherungen zum Beispiel sind da ganz vorne mit dabei. Krankenkassen versprechen Rückzahlungen gegen Übermittlung der Fitnessdaten. Autoversicherungen bieten Apps an, die das eigene Fahrverhalten überwachen und versprechen Rabatte wenn man nachweislich vorschriftsmäßig fährt (https://www.huk.de/service/apps.html).
Wäre mal Interessant wie die Versicherungen mit den Daten im Detail umgehen. Mal abgesehen davon das über sllche Mechanismen das Solidaritätsprinzip immer mehr ausgehebelt wird, da ja nicht jeder gewillt oder in der Lage ist, mit solchen Daten zu dienen und zu befürchten ist, das Versicherer nur noch Personen versichern, die laut ihren Daten kein Risiko darstellen.
Autoversicherungen unterliegen – im Gegensatz zu gesetzlichen Krankenversicherungen – nicht dem Solidaritätsprinzip.
> Wäre mal Interessant wie die Versicherungen mit den Daten im Detail umgehen.
Ganz ehrlich? Ich vermute (keine Kenntnis der Branche) es läuft wie folgt: Die Apps messen ein paar triviale Parameter (Beschleunigung, Geschwindigkeit), die man dann naiv auswertet.
Der Rest dürfte dem Prinzip folgen „wer sich darauf einlässt fährt entweder schon immer vorsichtig oder macht es nun“.
Für die Zukunft plant man das ganz große AI-Projekt, in dem dann auch nicht mehr rauskommt, als dass die Leute, die mehrmals die Woche über 200km/h fahren, ein höheres Risiko darstellen.
Ich kenne übrigens jemanden, der einen solchen Tarif hat. Wenn ich mir ansehe, welche Einschränkungen man da für wie wenig Ersparnis hinnimmt, finde ich das nicht besonders interessant.
Bei der debatte um die 20 jahre alte doktorarbeit zu quick freeze musste ich an ein anderes beispiel denken, dass ich einfach mal zum zeutvergleich teile :)
In 2015 hat ignacio fernandez-hernandez über seine phd thesis ein authentifizierungsschema für die galileo satelliten nachrichten vorgeschlagen, was seit ende letzten jahres in erprobung ist.
6 jahre von konzept bis anpassung der tatsächlich ausgesendeten signale!
und das ist rocket science :D
aber ich bin mir sicher, dass beim quick freeze „more research needed“ ist :D
– Wir sind das Cantina-Kabinett! Wenn ihr Gesetzeswünsche habt, ruft sie einfach!
– Macht das selbe Gesetz nochmal!
– Alles klar, das selbe Gesetz nochmal! Und los!
(ich lasse das mal als Introvorschlag für die nächsten Runden hier)
Hab mich heute telefonisch bei einem Vertretungsarzt krank schreiben lassen. Da dieser aber meine Versicherungskarte nicht hat, hab ich bei meiner Krankenkasse anrufen müssen, damit diese meine Versicherungsdaten an Praxis die faxt!
Geht noch weiter, ich fragte die Dame von der KK ob sie mir eine neue Gesundheitskarte incl. NFC schicken könnte, diese wird ja für die apps für eRezept und eAkte benötigt. Ja, kann sie machen, ich müsste dann mit der Karte zur Geschäftstelle gehen und mich verifizieren, damit ich sie auch nutzen kann.
Als nächstes kommt ausserdem nach eAu und eRezept noch der elektronische Medikationsplan (eMP). Dann brauch der bundeseinheitliche Medikationsplan auch nicht mehr per Fax verschickt werden, haha.
Die Vermutung von Linus, das sich Jemand 20 Jahre lang daran abarbeitet die VDS einzuführen ist sicher falsch! 1:13 Ich bin mir sicher, es werfen sich immer wieder neue Vertreter für die VDS an die Publikumsfront weil – wir sind ja die Guten – es ist technisch möglich – wir haben nichts zu verbergen – wenn DAS (VDS) eingeführt ist, ist jedwede Kriminalität gebannt – usw. usf. Es mag Leute geben, die 20 Jahre lang eine VDS einführen wollen. Die Akteure, die die VDS-Einführung immer wieder neu auf Tableau heben, sind frisch, unverbraucht und von ihrer guten Mission voll überzeugt. Das liegt auch daran, das alle Implikationen einer solchen Einführung nicht so offensichtlich sind wie Wasser, das partout nicht den Berg hochfließen will.
Hallo ihr zwei,
ich höre immer fleißig euren Podcast und finde ihn sehr inspierierend und lerne immer viel.
Ich habe eine Frage zum Thema Kryptos, ihr seid ja eher kritisch gegenüber der Technologie: was haltet ihr von der scheinbar neuen und besseren Währung Mobile Coin, die mir von meinem Signal Messenger angepriesen wird?
Würde mich sehr freuen, wenn ihr den kurz in LNP mit aufnehmen könntet.
Vielen Dank für eure tolle Arbeit :)
Linus schlug in der Sendung vor, Orbot zu installieren, dieses als VPN zu nutzen und den Signal-Traffic dann darüber zu leiten (Sofern ich das richtig verstand). Das Problem hier ist, dass Signal nur UDP-Traffic macht. Tor wiederum „versteht“ nur TCP-Traffic. Das heißt, die Signalanrufe würden immer an Tor vorbei ins Netz gehen. Orbot ist hier also keine Hilfe. Man könnte mit einem Tunnel arbeiten. Das ist fehleranfällig, man gibt wiederum einen Teil der Anonymität auf und ist auch langsam. Für Telefonate insgesamt eine schlechte Idee.
Bezüglich Snowflake würde ich Linus raten, einfach ein wenig zu warten. Die Nutzer:innen kommen nicht sofort nach dem Aktivieren des Plugins. Zu Anfang des Ukrainekrieges sah ich bei mir meist eine zweistellige Anzahl an Nutzer:innen. Mittlerweile ist die Zahl einstellig in einem Zeitraum von 24 Stunden geworden. Meines Wissens funktionieren die Bridges im Iran recht gut, sind stabiler und schneller. Daher werden vermutlich viele eher auf Bridges setzen.
hallo (ihr beiden).
meint ihr wirklich, „quick freeze“ sei so eine gute idee?
linus hatte imho 7 tage genannt. das wäre doch trotzdem eine vds der kompletten bevölkerung (von 7 tagen), oder liege ich da falsch?
mal dahingestellt, ob „quick freeze“ überhaupt was bringt.
auf den richterInnen-vorbehalt würde ich mich nicht verlassen wollen, ihr kennt die storys über deren zuverlässigkeit sicher.
ich würde mir wünschen:
bei flatrates sollte den providern VERBOTEN werden, unnötige daten zu speichern, ein aus- und verwertungsverbot o.ä..
wenn das unbedingt (für den sicheren betrieb der systeme) nötig ist, lässt sich das nicht sinnvoll pseudo- oder anonymi-sieren?
wie gesagt, ich verlasse mich ungerne auf die zusagen vom provider/polizei. linus hat ja auch sein vpn erwähnt, was sicher nicht grundlos läuft (100% nachvollziehbar).
eure sendung macht seit jahren immer wieder spaß (trotz der themen), besonderer danke an linus!
grüße, jado
> linus hatte imho 7 tage genannt. das wäre doch trotzdem eine vds der kompletten bevölkerung (von 7 tagen), oder liege ich da falsch?
Danke, diesen Hinweis wollte ich gerade auch noch machen. Das ist der Dammbruch, der Rest kann dann schnell per Salamitaktik kommen.
Zum Thema eRezept: (falks noch nicht bekannt: ) Der/das BdFI erteilt sein Einvernehmen zu dem von der gematik vorgeschlagenen Verfahren nicht und geht davon aus dass es das BSI auch nicht tut: https://www.bfdi.bund.de/SharedDocs/Downloads/DE/DokumenteBfDI/Stellungnahmen/2022/gematik-eRezept.html?nn=251880
Zum Thema VPN dda… Als treuer und eifriger LNP Hörer weiß ich natürluch, das sich Linus in einer weit vergangenen LNP Folge für ein VPN Anbieter ausgesprochen hat. Wen es wirklich interessiert, muss dann wohl nochmal nach hören
Ist jetzt nicht mein oberstes Anliegen, aber ich finde, dass Marc Rober allgemein als so humorvoll und wholesome gilt, etwas merkwürdig. Klar, Diebstahl ist uncool, aber haben wir nicht alle gelernt, dass das meistens eine soziale Komponente hat? Sich als Multimillionär vor Publikum über (evtl. arme) Leute lustig zumachen, die es nötig haben anderen Pakete zu klauen, hat für mich einen komischen Beigeschmack. Ansonsten wie immer alles supi!