Qbi's Weblog

Chihuly glass onions von Tim Hamilton

Nachdem ich von der Mail von Twitter schrieb, gab es einige Reaktionen. Unter anderem behauptete Alvar Freude, dass wir nur gehackt wurden, weil wir Tor benutzen. Constanze Kurz und ich verfassten bei Netzpolitik.org eine Antwort darauf.

Alvar schreibt in seinem Originalbeitrag:

Besonders unsinnig ist die Benutzung von Tor in der Regel dann, wenn man gleichzeitig mit Realname auf Twitter oder Facebook oder sonstwas unterwegs ist.

Diese Kritik hörte ich auch in anderen Kanälen. Viele fanden es merkwürdig bis sinnlos einen Dienst zu nutzen, bei dem man sich letztlich mit seinem richtigen Namen anmeldet. Bei Netzpolitik war dazu unter anderem zu lesen:

Doch selbst wenn jemand dort einen Namen angegeben hat, woher soll Twitter oder Facebook wissen, dass es sich tatsächlich um diese Person handelt? Es gibt keine Pflicht, sich mittels Personalausweis oder anderen Dokumenten anzumelden, und dies soll auch weiterhin so bleiben. Gerade Menschen, die Wert auf eine freiheitliche Nutzung der Netze legen, geben nicht immer ihren Realnamen an.

Nun ist es bei mir aber so, dass ich bei Twitter durchaus unter meinem wirklichen Namen schreibe und trotzdem Tor nutze. Warum mache ich das?

Zwischen mir und Twitter, Facebook oder anderen Webseiten liegt auch der Provider. Dieser kann auch erkennen und mitschneiden, welche Seiten ich besuche. Ich bin der Meinung, dass ihn das auch nichts angeht.

Wenn man davon ausgeht, dass man das Internet immer von zu Hause benutzt, so ist es sicher unwahrscheinlich, dass euer Provider eure Internetnutzung protokolliert. Sollte sich aber der Verdacht des staatlichen Hackings bestätigen, könnte es eben auch sein, dass jemand an den Provider herangetreten ist und alles mitschneiden lässt.

Aber selbst wenn das nicht der Fall ist, so benutzen viele das Internet eben nicht nur von zu Hause. Gerade in der IT-Branche wie auch bei anderen Arbeitgebern ist die private Nutzung des Internets erlaubt. Daneben gibt es Cafés, Hotels, Bahnhöfe und andere öffentliche Orte mit Internetzugang. Gerade mit Hotels habe ich einige merkwürdige Erfahrungen gemacht. Aus meiner Sicht benötigt man spätestens beim Verlassen des Hauses Schutzmaßnahmen. Das kann ein VPN, Tor oder anderes sein. Jedes Werkzeug hat seine Vor- und Nachteile.

Gerade wenn man unterwegs ist und daher verschiedene Netze benutzt, gibt man diese Informationen auch an Seiten, wie Twitter und Facebook weiter, da diese meist sehr lange, über mehrere Verbindungen genutzt werden.

Bei all diesen Szenarien bietet mir Tor Schutz vor Beobachtung von außen. Dies ist unabhängig von der Tatsache, ob ich mich irgendwo mit Realnamen anmelde oder nicht.

Heute morgen öffnete ich mein Postfach und fand eine E-Mail von Twitter vor. Darin stand, dass ich vermutlich Opfer eines staatlichen Hackerangriffs wurde.

Rein vorsorglich möchten wir Sie darüber informieren, dass Ihr Account zu einer kleinen Gruppe von Accounts gehört, die Ziel eines staatlich motivierten Hackerangriffs geworden sein könnte. Das bedeutet, dass die Hacker möglicherweise mit einer Regierung in Verbindung stehen. Wir vermuten, dass Daten und Informationen wie zum Beispiel Email-Adressen, IP-Adressen und Telefonnummern ausspioniert werden sollten.

Zunächst ging ich von Spam aus. Aber die ganze E-Mail war in gutem Deutsch verfasst. Auch die Header der Mail legten nahe, dass der Absender wirklich Twitter war.

Dann setzt Überraschung und Schock ein. Warum sollte ich Ziel eines Hackingangriffs sein und was kann ein Angreifer erkennen? Um die erste Teilfrage beantworten zu können, müsste man wissen, welcher Staat dahinter steckt. Die zweite ist schon leichter zu beantworten. Die E-Mail-Adresse, die ich für die Anmeldung bei Twitter und zur Kommunikation benutze, ist twitter@ (plus meine Domain natürlich). IP-Adressen sollten jeweils Tor-Exitknoten sein. Allerdings hatte die Twitter-App kürzlich Schluckauf. Daher sind dort vermutlich, ein paar Nicht-Tor-URLs zu finden. Ja, OPSEC ist eben schwer. Telefonnummer müsste keine zu finden sein. Denn bisher habe ich es geschafft, nie eine Nummer angeben zu müssen.

Ich werde das Mal im Auge behalten und ein Update bringen, wenn es etwas Neues gibt. Auf Twitter fand ich bisher 10 Accounts, die betroffen sind.

Update: Laut der Meldung bei der Frankfurter Rundschau bestätigte Twitter nochmals die Echtheit der E-Mail. Sie sagte, dass sie den Vorfall aktiv untersuchen und machten ansonsten keine weiteren Angaben dazu.

• TheVerge: Twitter users targeted by state-sponsored attackers
• Motherboard: Twitter Told a Bunch of Users They May Be Targets of a ‘State Sponsored Attack’
• Annalist: Post von Twitter: Du wirst staatlich gehackt
• Frankfurter Rundschau: #StateSponsoredActors: Twitter warnt vor “staatlich motiviertem Hackerangriff”
• Spiegel Online: E-Mail-Benachrichtigung: Twitter warnt Nutzer gezielt vor Hackerangriff
• Zeitleiste der Tweets bei Twitter

Die rot-rot-grüne Koalition hat sich für die laufende Legislaturperiode einige Projekte vorgenommen. Eines davon, was auch mich interessiert, ist das Transparenzgesetz. Sowohl bei InSüdthüringe.de wie auch bei der TA war zu lesen, dass es bereits im Jahr 2015 erste Vorstöße geben soll.

Diese Meldungen nahmen einige Privatbürger zum Anlass, um ebenfalls mit einer Diskussion zu beginnen. So gibt es das Twitter-Konto @ThuerTG, welches Beiträge in die Diskussion einbringt. Weiterhin liegt auf einem Pad eine Sammlung von Ideen, Gedanken etc.

Um die Diskussion etwas zu sammeln, habe ich eine Mailingliste angelegt. Dort können sich alle interessierten Personen einschreiben. Schickt einfach eine leere E-Mail an die Adresse transparenzgesetz-subscribe@kubieziel.de. Ihr bekommt dann eine E-Mail zur Bestätigung. Danach könnt ihr Beiträge verfassen und bekommt Mails von anderen. Die E-Mail-Adresse, um Mails an alle eingeschriebenen Personen zu senden, ist transparenzgesetz@kubieziel.de. Falls ihr Fragen habt, schreibt mir eine Nachricht. Ich versuche gern zu helfen.

Auf der organisatorischen Schiene ist natürlich noch einiges zu tun. Aus meiner Sicht sollte das Projekt unbedingt eine aussagekräftige Webseite bekommen. Diese ist vermutlich der erste Anlaufpunkt für jegliche Informationen zum Transparenzgesetz. Ich stelle mir vor, dass es dann dort eine Discourse-Instanz für alle Diskussionen gibt. Mal sehen, wie die Entwicklung weiter geht.