Quelle: Potsdamned #3

Dass die Überwachung und Datensammelwut auf vielen verschiedenen Ebenen, durch staatliche wie private Akteur_innen Alltag ist, ist kein Geheimnis. Es fragt sich, was es für Möglichkeiten gibt, die eigene Privatsphäre und die Informationen über die eigenen Aktivitäten zu schützen. TOR stellt eine Möglichkeit dar, die eigene Identität im Internet zu verschleiern und ich möchte dieses Programm auf den folgenden Seiten vorstellen. Dies tue ich, weil ich einige Erfahrungen mit der Nutzung des Programms gemacht habe und es für sehr empfehlenswert halte und nicht, weil ich bei diesem Thema ausgewiesener Experte wäre. Ich empfehle deshalb und ohnehin, sich mit dem Thema, über diesen Text hinaus, etwas näher zu beschäftigen und sich auch auf den unten angegebenen Webseiten ein wenig umzusehen, wo es noch viel mehr Informationen zu TOR etc. gibt. Der Nutzen anonymer Kommunikation im Internet ist schließlich recht groß.

Es ist anfangs etwas „Theorie“ nötig, bitte davon nicht abschrecken lassen!

Worum geht’s eigentlich?

Hat jemand Zugang zu einem gewissen Teil der Kommunikation einer Person oder Gruppe, kann er_sie sich ein ziemlich genaues Bild über Alltag, Interessen oder Aktivitäten der Person oder Gruppe machen. Große Teile unserer persönlichen, politischen und sonstigen Kommunikation managen wir über das Internet. Im Internet kann man Nachrichten und Dateien verschlüsseln (z.B. per PGP/GnuPG) oder über eine verschlüsselte Verbindung kommunizieren (z.B. per SSL), was selbstverständlich jeweils sinnvoll bis notwendig ist. Was aber transparent bleibt, ist, dass man zu einem bestimmten Zeitpunkt eine bestimmte Zeit lang mit einer bestimmten Person bzw. mit einem bestimmten Internet-Angebot, etwa einer Website, kommuniziert hat. Aus diesen so genannten Metadaten (also den Umständen, nicht dem Inhalt) einer Kommunikation, lassen sich ebenfalls ziemlich viele Rückschlüsse auf Personen und Personenzusammenhänge ziehen. Wenn Person X mit Person Z kommuniziert, ist zumindest schon einmal klar, dass diese beiden Personen in Kontakt miteinander stehen. Wenn Person Y eine bestimmte Website aufruft, ist entsprechend klar, dass sie sich mit hoher Wahrscheinlichkeit für das darauf präsentierte Thema interessiert. Wesentlich spannender wird es dann, wenn man die Kommunikation über einen längeren Zeitraum verfolgen kann. Bezüglich der Kommunikation politischer Gruppierungen kann man über reine Metadatenanalyse herausfinden, wie groß die Gruppierung ist, wie intensiv die Kommunikation ist, welchen Personen ggbf. eine „zentrale Rolle“ zukommt und so weiter…

Das in diesem Artikel vorgestellte Programm TOR bietet eine Möglichkeit (unter anderen) an, die eigene Identität im Rahmen der Internetnutzung zu verschleiern.1 Es wird ganz kurz auf die „Funktionsweise des Internets“ eingegangen, schließlich darauf, wie TOR funktioniert, wie man es installiert und schließlich, warum es auch nicht, wie nichts, was mit dem Internet zu tun hat, „absolute Sicherheit“ versprechen kann.

Kleiner Einblick in die Funktionsweise des Internets

Beim Aufbau einer Internet-Verbindung bekommt man von dem ISP (Internet Service Provider) eine IP-Adresse zugeordnet. Diese hat die Funktion, dass jede_r Internetnutzer_in, bzw. jeder mit dem Internet verbundene Rechner, eindeutig identifizierbar ist, dass also keine Verwirrung stattfindet und alle Datenpakete, die im Internet hin und her geschickt werden, an den richtigen Ort gelangen. Die IP-Adresse ist sozusagen eine Art Postadresse für Internet-Aktivitäten. Die Nebenwirkung dessen ist, dass also auch jede_r Internetnutzer_in aus der Perspektive der Überwachung des Nutzer_innenverhaltens eindeutig identifizierbar und damit mit ihren_seinen Internet-Aktivitäten in Verbindung zu bringen ist.

Die_der Administrator_in einer Website hat zumeist Einsicht in die IP-Adressen, von denen die Website aufgerufen wurde. Er kann, je nach dem, nachvollziehen, wann, wie oft und wie lange ein_e bestimmte User_in auf die Website zugegriffen hat. (Das ist in den meisten Fällen noch nicht so problematisch, da die meisten admins damit nicht allzu viel anfangen können.)

Aber auch der ISP speichert – derzeit bis zu 6 Monate und ab 1.1.2009 durch das Gesetz zur Vorratsdatenspeicherung (S. www.vorratsdatenspeicherung.de) 24 Monate die IP-Adressen, die ein bestimmter Anschluss aufruft und kann diese durch den Vertrag, den man abgeschlossen hat, einer Person eindeutig zuordnen und damit recht viel Mist bauen bzw. dem Staat beim Mist bauen kräftig unter die Arme greifen.

Und was macht TOR?

Das Programm TOR („The Onion Router“) versucht das Problem nun auf folgende Art und Weise zu lösen: Eine Verbindung mit dem Zielcomputer, etwa der Server, auf dem die Website gehostet ist, wird nicht direkt, sondern über TOR-Server hergestellt – das sind Server (d.h. Computer, die einen „Dienst“ anbieten), auf denen spezielle TOR-Server-Software installiert ist. Von diesen, die jede_r selbst einrichten kann (S. die Website des TOR-Projekts) gibt es wenige Tausend. Die Verbindung wird über 3 Server hergestellt, die nach dem Zufallsprinzip aus der Liste eines Verzeichnisservers ausgewählt werden. Tendenziell „sicher“ i.S. der Nicht-Nachvollziehbarkeit des User_innenverhaltens wird die Verbindung dadurch, dass jeder node nur „weiss“, von welchem Computer innerhalb der TOR-Verbindung das Datenpaket kam und zu welchem Rechner es als nächstes geht, nicht aber die ganze Verbindung nachvollziehen kann. Dies wird durch jeweils auf die einzelnen Rechner abgestimmte Verschlüsselungen gewährleistet. Dies kann man sich wie eine Zwiebel(s.o.: „The Onion Router“) vorstellen, von der jeder TOR-Server jeweils eine neue Hautschicht abschält – also entschlüsselt, um „herauszufinden“, wie das Datenpaket weiterzuleiten ist.

Alle 10 Minuten wird schließlich der Pfad gewechselt, eine neue Verbindung über 3 TOR-Server wird hergestellt.

Installation

Zur Installation lädt man sich von der Download-Seite des TOR-Projekts (http://www.torproject.org/download.html.de) ein TOR-Paket herunter. Das enthält TOR, Vidalia – eine ziemlich komfortable grafische Oberfläche für das Programm, mit der man schnell Einstellungen ändern kann – und Privoxy2. Es lohnt sich, alle 3 Programme zu installieren.

Schließlich ist es noch empfehlenswert, den Browser Firefox zu benutzen. Der Plugin (ein Zusatzprogrämmchen) Torbutton vereinfacht schließlich die Nutzung von TOR beim Surfen, indem er die erforderlichen Einstellungen im Browser vornimmt und einen kleinen Button bereitstellt, mit dem man TOR im Browser ganz einfach „an-“ und wieder „ausschalten“ kann.

Mit dem Aufrufen der Website http://check.torproject.org kann man schließlich checken, ob die TOR-Verbindung funktioniert. Mit dem Aufrufen von http://torstatus.blutmagie.de, wo Informationen über alle TOR-Server aufgeführt sind, kann man schließlich noch einige Informationen zu dem exit node herausfinden, den man gerade verwendet.

In vielen Fällen ist eine Verbindung über TOR erheblich langsamer als eine Standard-Internet-Verbindung. Meines Erachtens lohnt es sich aber zum Schutz der eigenen Daten, einen Mangel an Komfort in Kauf zu nehmen.

Nett, aber wie alles andere mit Vorsicht zu geniessen…

Selbstverständlich ist, bei allem Anonymitätsluxus, auch die TOR-Software nicht perfekt und löst alle Probleme. Zu beachten ist etwa, dass TOR keine durchgehende Verschlüsselung(was, wie gesagt, etwas anderes ist als Anonymisierung) des Inhalts an sich anbietet. So können etwa die Betreiber_innen eines exit nodes (so heißt der letzte TOR-Server, bevor die Daten an das eigentliche Ziel gelangen), die keinesfalls autorisiert sein müssen, um diesen node bereitzustellen, Passwörter und sonstige Inhalte mitschneiden, wenn sie Lust dazu haben(womit selbstverständlich in den meisten Fällen auch die Anonymität nicht mehr gewährleistet wäre). Es sollte daher immer darauf geachtet werden, dass etwa email-Passwörter nur über eine SSL-Verschlüsselung(im Eingabefenster des Browsers muss https:// statt http:// stehen) eingegeben werden.

Auch anderweitig kann die Anonymität, die TOR gewährleistet, ausgehebelt werden. Viele Websiten legen etwa Cookies auf dem Rechner ab, von dem aus sie aufgerufen werden.3 Auch über Flash-Animationen und Java Script lässt sich prinzipiell die durch TOR hergestellte Anonymität aushebeln.4

Das dezentrale Anonymisierungskonzept – also die Gewährleistung der Anonymität durch die zufällige Auswahl von 3 Servern hat eindeutig seine Stärken. So wird die Sicherheit über ganz viele kleine Server gewährleistet und damit nicht von einzelnen Instanzen garantiert, die damit „absolut vertrauenswürdig“ sein müssten. Andererseits würde die Anonymität wiederum ausgehebelt, wenn jemand, die_der an den Aktivitäten der User_innen interessiert ist, Zugang zu einem Großteil der (eigentlich räumlich breit gestreuten) Server hat. So stellt u.a. das neue Gesetz zur Vorratsdatenspeicherung eine Gefahr für TOR dar, weil ein in Deutschland stehender TOR-Server danach juristisch ein Telekommunikationsdienst ist und damit auch User_innendaten speichern und den Strafverfolgungsbehörden auf deren Wunsch rausrücken müsste. Über die Auswertung aller Daten der TOR-Server wäre es dann theoretisch möglich, die vormals anonymen TOR-Verbindungen zurückzuverfolgen.

Die Speicherung ist ab Anfang Januar gesetzlich vorgeschrieben und wie es um die anonyme Internetnutzung in Zeiten der Vorratsdatenspeicherung bestellt ist, wird sich vermutlich im Laufe des nächsten Jahres zeigen. Es ist auf viel zivilen Ungehorsam und Protest zu hoffen und einige juristische Auseinandersetzungen sind zu erwarten. Und nichtsdestotrotz lohnt es sich nach wie vor, TOR zu nutzen, zumal ein Großteil der Server auch nicht in Deutschland steht.

1TOR kann für zahlreiche verschiedene Internetanwendungen genutzt werden, etwa Instant Messaging, email, und einfaches Websurfen. In diesem Artikel wird das Programm aber nur am Beispiel des Websurfens vorgestellt.

2Dazu noch ein Mini-Exkurs in die Funktionsweise des Internets: Wenn man einen Hostnamen (bspw. www.inforiot.de) in das Eingabefenster des Browsers eingibt, muss diese erst für den Computer „übersetzt“ werden. Er „weiss“ erst, wohin es geht, wenn dieser Hostname in die jeweilige IP-Adresse aufgelöst wird. Dafür ist das sogenannte DNS (Domain Name System) verantwortlich, welches aus verteilt im Internet stehenden Servern besteht. Das Problem: Bin ich nur mit TOR online, so ist zwar die Verbindung anonymisiert, die DNS-Abfrage und damit die Information, dass ich auf einer bestimmte Seite war, bleibt aber für die Betreiber_innen der DNS-Server nachvollziehbar, was sich etwa staatliche Behörden auch zu Nutze machen können. Zur Behebung dieses Problems springt Privoxy ein und anonymisiert auch die DNS-Abfrage. Nebenbei hat das Programm noch eine ganze Menge nützlicher Zusatzfunktionen u.a. zum Schutz der Privatsphäre, die aber an anderer Stelle nachgelesen werden sollten (www.privoxy.org).

3 Cookies sind individualisierte kleine Dateien, die manchmal aus Sicherheitsgründen, oft aber auch aus Interesse der Nachvollziehbarkeit des Nutzer_innenverhaltens, etwa um bei nächsten Aufruf der Website dem_der Nutzer_in persönlich zugeschnittene Produkte anzubieten, automatisch abgespeichert werden.

4 Mit ein paar Einstellungen im Browser lassen sich Cookies aber verhindern bzw. kontrollieren, und um Cookies Flash und Java Script unter Kontrolle zu halten, gibt es nette kleine Add-ons(kleine Zusatzprogramme, etwa NoFlash und Flashblock bzw. NoScript) für den Firefox auf der Website des Mozilla-Projekts (www.mozilla.org)