piwik no script img

Spionagesoftware für UnrechtsstaatenPegasus ist kein Einzelfall

Christian Rath
Kommentar von Christian Rath

Pegasus ist der Traum aller Ge­heim­dienst­le­r:in­nen – und ein Alptraum für Oppositionelle.

Unbemerkt mit Pegasus im Inneren des Smartphones Foto: Israel Sebastian/getty

D ie Spähsoftware Pegasus ist der feuchte Traum aller Po­li­zis­t:in­nen und Geheimdienstler:innen. Mit ihr kann auch verschlüsselte Kommunikation mühelos überwacht werden. Mit ihr kann der Staat die Kontrolle von Smartphones übernehmen, meist ohne dass die Betroffenen auch nur einen falschen Link anklicken müssen.

Autoritäre Regime wie Saudi-Arabien und Aserbaidschan nutzen die Spähsoftware der israelischen Firma NSO. Auch das EU-Land Ungarn griff gerne zu. Und wie nun ein internationales Medienkonsortium herausfand, wird die Software nicht nur zur Aufklärung und Verhinderung von Terrorismus und Kindesmissbrauch eingesetzt, sondern auch gegen Oppositionelle, Jour­na­lis­t:in­nen und Aktivist:innen.

Es ist als Erstes die Verantwortung der israelischen Firma und der israelischen Regierung, mit wem NSO Geschäfte macht und machen darf. Schon die Vorstellung, dass ein Staat wie Saudi-Arabien eine Spähsoftware gegen „Terroristen“ und „Kriminelle“ einsetzt, ist mehr als beunruhigend. Schließlich sind Diktaturen schnell bei der Hand, ihre Geg­ne­r:in­nen zu Terroristen und Kriminellen zu erklären.

Erforderlich wäre ein internationales Exportverbot von Sicherheitstechnik an Unrechtsregime. Allerdings kann niemand Israel zwingen, einen derartigen Vertrag zu unterzeichnen. Europa sollte sich daher erst einmal selbst in die Pflicht nehmen. NSO ist schließlich nicht das einzige Unternehmen, das Sicherheitstechnik herstellt und an autoritäre Regime verkauft.

Immerhin hat die EU auf langjährigen Druck von Nichtregierungsorganisationen im März die Dual-Use-Verordnung verschärft. Bei der Exportgenehmigung von Überwachungstechnik muss nun auch die Menschenrechtslage im Empfängerstaat berücksichtigt werden. Organisationen wie Reporter ohne Grenzen halten das alles für zu vage. Die EU habe die Exportinteressen über die Menschenrechte gestellt.

Die Informationen über die Anwendung von Pegasus gegen Oppositionelle könnten nun helfen, hier nachzuschärfen. Denn jetzt kann wirklich niemand mehr behaupten, man habe nicht gewusst, was mit dieser Technik in den Empfängerländern (auch) gemacht wird.

Deutschland sollte von den hiesigen Sicherheitsfirmen nun sofort verlangen, dass sie Geschäfte mit allen rechtsstaatlichen und demokratischen Problemstaaten unterlassen.

Auch für die EU sind die Enthüllungen über Ungarn wichtig. Es laufen ja verschiedene Rechtsstaatsverfahren gegen Ungarn, die aber nicht so recht vorankommen. Wenn sich belegen lässt, dass Budapest die Spähsoftware auch gegen Oppositionelle und kritische Medien eingesetzt hat, kann und muss dies in diese Verfahren ein­fließen.

taz lesen kann jede:r

Als Genossenschaft gehören wir unseren Leser:innen. Und unser Journalismus ist nicht nur 100 % konzernfrei, sondern auch kostenfrei zugänglich. Texte, die es nicht allen recht machen und Stimmen, die man woanders nicht hört – immer aus Überzeugung und hier auf taz.de ohne Paywall. Unsere Leser:innen müssen nichts bezahlen, wissen aber, dass guter, kritischer Journalismus nicht aus dem Nichts entsteht. Dafür sind wir sehr dankbar. Damit wir auch morgen noch unseren Journalismus machen können, brauchen wir mehr Unterstützung. Unser nächstes Ziel: 40.000 – und mit Ihrer Beteiligung können wir es schaffen. Setzen Sie ein Zeichen für die taz und für die Zukunft unseres Journalismus. Mit nur 5,- Euro sind Sie dabei! Jetzt unterstützen

Christian Rath
Rechtspolitischer Korrespondent
Geboren 1965, Studium in Berlin und Freiburg, promovierter Jurist, Mitglied der Justizpressekonferenz Karlsruhe seit 1996 (zZt Vorstandsmitglied), Veröffentlichung: „Der Schiedsrichterstaat. Die Macht des Bundesverfassungsgerichts“ (2013).
Mehr zum Thema

32 Kommentare

 / 
  • Ja, da fühle ich mich schon manchmal hinter dem Mond, wenn der Nachbar auf dem Bahnsteig auf sein Dings schaut und mir mitteilt, dass der Anschlusszug in Ffm wohl nicht mehr zu erreichen ist.



    Was ich am Laptop tippe, wird bestimmt ebenso umfassend registriert, welche Themen ich google, welche Filme ich anschaue, mit wem ich Emails austausche und was darin steht.



    Ich frage mich, wie man Demos und Waldbesetzungen organisieren kann, wenn die Staatsmacht jeden Schritt besser mitbekommt als meine Verbündeten.

    • @Zeit und Raum:

      "Ich frage mich, wie man Demos und Waldbesetzungen organisieren kann, wenn die Staatsmacht jeden Schritt besser mitbekommt als meine Verbündeten."

      Tja. Wie haben wir das früher an der Startbahn bloß gemacht, so mit hinterher zu verbrennenden Zettelchen und Zeichensprache vielleicht, so ganz ohne die "unverzichtbaren" Devices von heute?

      • 4G
        4813 (Profil gelöscht)
        @Bouncereset:

        Oder wir im Osten 1989?



        Wo gefühlt jeder Dritte ein Spitzel war.

  • „Der Lauscher an der Wand hört seine eig'ne Schand.“ (Oma)

  • "Deutschland sollte von den hiesigen Sicherheitsfirmen nun sofort verlangen, dass sie Geschäfte mit allen rechtsstaatlichen und demokratischen Problemstaaten unterlassen."



    Eine bestenfalls naive Forderung: "Deutschland" macht doch schon Geschäfte mit rechtsstaatlichen und demokratischen Problemstaaten. Auf solchen kritischen Gebieten wie Militärtechnik -bspw. mit der Türkei und oh auch Saudi-Arabien! Da fragt doch jeder Hersteller zurecht : "Warum dürfen wir dann nicht?"



    Aber es kann ja sein ich habe das falsch verstanden. Ist "verlangen" hier als Appell an die moralische Eigenverantwortung gemeint? "Es wäre schön wenn..."? Also mündigen Steuerzahlern und Arbeitgebern die letzte Entscheidung selber zu lassen."Wir" sind ja immerhin ein freier demokratischer Rechtsstaat!



  • Das Problem ist aus meiner Sicht viel tiefgehender. Es geht nicht nur um Saudi Arabien oder UNgarn. Wenn ich das richtig verstehe reicht es, in einem der Länder mit seinem Handy eingeloggt zu sein. So kann jeder Reisende betroffen sein, und nicht nur die, die in dem jeweiligen Land leben. Meine Freiheitsrechte (Briefgeheimnis) sind grundsätzlich in Gefahr und letztlich erwarte ich von meiner Regierung dass die sich darum kümmert. Software rausbringen, die mein Handy regelmäßig säubert, qua INternet - updates mich beschützt und nicht Gefährdung zulässt. Ich kaufe mir ein Handy, PC ... für viel Geld. Mein "Besitz" ist durch Schadsoftware ständig bedroht und meine Daten gefährdet, gesammelt, ggf. abgehört. Unser Staat macht nix! Ich würde mir eine neutrale (ggf. aber nur als Übergang eine staatliche) Stelle wünschen, die sich um die individuelle Datensicherheit und Hardwaresicherheit kümmert und das international robust vertritt. Bürgerschutz und Vorsorge vor EDV-Unwettern sozusagen.



    Gleichzetig lese ich, dass wenn Autofahren eingeschränkt werden würde in Berlin Herr Amthor (CDU) von eingeschränkten Rechten fabuliert. Völlig falsche Schwerpunkte!

    Dass zu diesem Thema Abhörsicherheit auch weitgehend lasch Bericht erstattet wird und das Problem Richtung Diktaturen und Autokratien gelenkt wird ist extrem fragwürdig! Wehret den Anfängen, wobei NSA und KOnsorten da schon längst viel weiter sind.

  • Da Pegasus auch dann funktioniert, wenn man das Handy auch nur eingeschaltet hat, frage ich mich, ob obskure Betriebssysteme wie Lineage OS oder Sailfish OS immernoch sicher genug sind. Sind es doch gerade solche, die NGOs oder unterdrückte Medien verwenden, um nicht erspäht werden zu können. Wie auch im PC-Bereich TAILS zu verwenden oder den TOR-Zugang oder einen tor-unterstützten Firefox-Browser zu verwenden.

    • @Troll Eulenspiegel:

      "Da Pegasus auch dann funktioniert, wenn man das Handy auch nur eingeschaltet hat"



      Was diesen Punkt angeht ist die mediale Darstellung oft leider etwas sehr verkürzt. Auch die von Pegasus eingesetzten Zero-Click Exploits funktionieren nicht völlig voraussetzungsfrei, sondern benötigen eine Sicherheitslücke im OS. Sobald diese bekannt wird, etwa weil sie auch jemand außerhalb der Black Hat-Szene entdeckt oder sie aus einer gesicherten Pegasus-Binary reverse engineered werden kann, kann man sie auch schließen.



      Und natürlich kann man auch von "obskuren" Betriebssystemen keine absolute Sicherheit erwarten. Die gibt es sowieso niemals und vA Schwachstellen die im Kernel oder auf Treiberebene lokalisiert sind kommen dort ganz genauso zum Tragen wie in nicht-obskuren Distributionen.

  • Zitat: "Erforderlich wäre ein internationales Exportverbot von Sicherheitstechnik an Unrechtsregime. ... Europa sollte sich daher erst einmal selbst in die Pflicht nehmen."

    Es sollte dann aber auch europäischen Unternehmen und Privatpersonen untersagt sein sich direkt oder indirekt an solchen Unternehmen zu beteiligen oder diese mit Krediten oder vergleichbaren Geschäften zu finanzieren, sofern diese sich nicht den EU-Vorgaben unterwerfen. Sofern Zuwiderhandlungen aufgedeckt werden, sollten Geldgeber pauschal mit regresspflichtig sein.

  • Laut Amnesty International, welche die Recherchen zu Pegasus technisch unterstützte, wurde z.B. der vom Saudiarabischen Königshaus ermordete Journalist Kashoggi über sein Umfeld mit Pegasus abgehört - vermutlich zur Vorbereitung der Tat.



    www.amnesty.ch/de/...zivilgesellschaft#



    Die NSO Group bezeichnete die fundierten Recherchen und Veröffentlichungen als falsch und stellt sich als "Lebensretter" (Schutz vor Terrorismus, Kriminalität etc.) dar.



    www.theguardian.co...so-and-governments



    Leider ist das Argument keine Ausnahme, sondern in allen Demokratien weltweit die übliche Ausrede. Ich sag jetzt nur Staatstrojaner in der EU und lass die NSA mal außen vor. Seehofer setzte sich kürzlich auch noch damit durch, mit der Quellen-TÜK plus auch gespeicherte Chats und Daten auf den Endgeräten abgreifen zu dürfen und erweiterte den Kreis der Berechtigten (vorher nur BKA) auf Verfassungsschutz, BND und MAD. Da können wir uns jetzt ja alle beruhigt zurück lehnen. Denen geht kein:e Terrorist:in mehr durch die Lappen, ne. Oder wir sind optimistisch und hoffen auf erfolgreiche Verfassungsklagen.



    www.haufe.de/compl...230132_463812.html

  • "Du bist ja von Vorgestern" höre ich oft. Denn ich verwende kein Facebook, Whatsapp und was es sonst noch gibt. Auch einem Apple- oder Googlekonto konnte ich mich bisher verweigern - und ich lebe noch.



    Wenn sich aber Staatsgangster einfach in unsere Kommunikation einklinken und unsere Handys übernehmen können, dann ist ein viel umfangreicheres Umdenken notwendig.



    Gesetze helfen da nicht weiter - wir werden unser Verhalten dahingehend ändern müssen, als ob ständig jemand mithört und mitliest.....

    • 9G
      97760 (Profil gelöscht)
      @m.d.bichlmeier:

      Ehrlich gesagt stehen im Kleingedruckten der von Ihnen genannten Firmen dermaßen viele penetrante Sachen, daß es keinen Spaß mehr macht.

  • "und ein Alptraum für die freie Gesellschaft."

    Dieser Albtraum ist aber bereits Realität. Es wird nur gerade hier in unseren westlichen Wohlfühlländern gerne ignoriert, dass Unternehmen wie Facebook, Google und andere, selbst kleinere Firmen, die irgendwie mit Daten zu tun haben, weitaus mehr Daten und Informationen über die Menschen besitzen, als westliche Staaten je haben werden. Die große Gefahr unserer freiheitlichen Gesellschaft geht (derzeit) nicht vom Staat aus, sondern von wirtschaftlichen Entitäten.

  • Wer bestimmt eigentlich, welches Land ein "Unrechtsstaat" ist? Zählt der Autor nach den zahllosen völkerrechtswidrigen Kriegen und Putschs die USA dazu? Die sind zumindest die Erfinder der digitalen Ausspähung von Freund und Feind. Ausserdem ist die gesamte "Kundenliste" von NSO noch gar nicht bekannt. Vielleicht können wir noch einige Überraschungen erwarten.

  • 4G
    4813 (Profil gelöscht)

    Was soll man da sagen. Ich habe ja immer meine Kollegen belächelt, die statt WhatsApp Telegramm benutzt haben und statt Zoom irgendwas mit Open Source.



    Und jetzt wird mir bestätigt, dass es immer einen Weg gibt, an allen Datenschutzmaßnahmen vorbei .



    Leute, wenn ihr eine Revolution plant, nehmt die Post und verschlüsselt per Hand.



    Was hilft ist eine funktionierende Demokratie und Gesetzgebung, die die Ausbeutung von Daten reglementiert. Daten schützen kann man nicht, wenn Daten Gold wert sind.

    Gesundheitsdaten kann man schützen, wenn man u.a. private Krankenversicherungen abschafft.

    • @4813 (Profil gelöscht):

      Nun ist aber die Einsicht, dass sich mit schwerem Gerät und der passenden Truppenstärke auch Fort Knox ausrauben lässt, noch keine rationale Begründung dafür die eigene Haustür unverschlossen zu lassen.



      Und ich wüsste auch nicht, dass noch von Hand durchführbare Verschlüsselungen existieren die in kryptographischen Sinne als sicher gelten könnten. Die einzig relevante Hürde diese zu brechen, bestünde darin, sie einmal durch eine Texterkennung zu schicken oder ggf. abtippen zu müssen

      • 4G
        4813 (Profil gelöscht)
        @Ingo Bernable:

        Ich sprach auch vom Fort Knox. Nämlich ihren Gesundheitsdaten, die Gold wert sind, wenn die Krankenversicherung privatwirtschaftlich betrieben wird - wie in Deutschland.



        Der beste Datenschutz ist es, wenn Daten nichts wert sind.

        • @4813 (Profil gelöscht):

          Ja, Gesundheitsdaten gehören ausschließlich in die Hände der Patient*innen und das auch nicht per App im Smartphone, sondern analog oder verschlüsseslt auf separatem Medium. Aber aus Vorfällen wie dem Vastaamo-Hack Konsequenzen für das eGK-System das seit 2019 sowohl Daten als auch Schlüssel (immerhin getrennten) zentral speichert zu ziehen scheint zu viel erwartet. Der informationelle Super-GAU dürfte bei einer derartigen Architektur nur eine Frage der Zeit sein.

      • 4G
        4813 (Profil gelöscht)
        @Ingo Bernable:

        Ach ne, dann wissen sie nicht alles.

        Komischerweise hab ich mein Haus in einem Dorf, in dem die meisten Haustüren nicht abgeschlossen sind.

        Außer...

        • @4813 (Profil gelöscht):

          "dann wissen sie nicht alles."



          Würde ich auch nie behaupten, bin aber immer gern bereit zu lernen. Also lassen sie hören...

          • 4G
            4813 (Profil gelöscht)
            @Ingo Bernable:

            Alter Falter, man fragt sich, wie lebenstauglich die Jugend von Heute ist.



            In meiner Diktaturzeit hat man zum Beispiel harmlose Codeworte genutzt um sich zu verabreden.



            Das war Ende zu Ende Verschlüsselung vom Feinsten. Wenn allerdings das Betriebssystem korrumpiert war, dann war man trotzdem am Arsch.

            Oder als ich meiner Freundin einmal Äpfel innerhalb von Ostberlin geschickt habe, waren alle durchgeschnitten, als sie ankamen.



            Dabei sollte das romantisch sein.

            Ihre Gesundheitsdaten liegen beim Arzt und sie haben keinen Einfluß darauf, ob der die verkauft, ob sie geklaut oder sonstwas damit passiert.



            Wie naiv kann man sein, zu glauben, man hat seine Daten im Griff.

            • @4813 (Profil gelöscht):

              "Wie naiv kann man sein"



              Welche meiner Aussagen sie zu einem derart pauschalen wie vernichtenden und übrigens auch unhöflichen Urteil veranlasst kann ich leider nicht nachvollziehen. Zumal ich auch oben explizit darauf hinwies, dass kein(!) System absolute Sicherheit garantieren kann.



              Und ausgerechnet Codewörter als vermeintlich bessere Alternative vorzuschlagen zeugt nicht gerade von einem besonders tiefgehenden Verständnis der Materie. Wenn ein Geheimdienst ihre so getroffenen Verabredungen mit dem gleichen Ressourceneinsatz belauscht der für die Ausspähung und Auswertung der mit Pegasus gehackten Smartphones aufgewendet wurde, dürfte der damit zu erreichende Sicherheitszugewinn ausgesprochen mager ausfallen. Solche Ansätze fallen unter 'security through obscurity' eine "Ende zu Ende Verschlüsselung vom Feinsten" ist es aber definitiv nicht.



              "Ihre Gesundheitsdaten liegen beim Arzt und sie haben keinen Einfluß darauf, ob der die verkauft, ob sie geklaut oder sonstwas damit passiert."



              Das gilt aber völlig unabhängig davon ob er diese Daten im PC oder im Aktenschrank verwahrt. Grund genug also sich eine*n vertrauenswürdige*n Ärtzt*in zu suchen. Die Zentralisierung der Gesundheitsdaten ist freilich nochmal ein Thema für sich (s.o.).

  • Grundsätzlich müßten Cyberwaffen als Kriegswaffen gelten, darüber muß international dringend Einigkeit hergestellt werden. Denn die Cyberangriffe eskalieren gerade. Es herrscht dort der wilde Westen. Keiner weiß, was da als nächstes kommt. Es gab Angriffe auf Kraftwerke, Pipelines, Wasserwerke. Das kann so nicht auf Dauer weitergehen.

    Im deutschen Kriegswaffenkontrollgesetz ist leider von Software keine Rede (es gibt eine genaue Liste): www.gesetze-im-int...kontrg/anlage.html

    Ich bezweifle übrigens, daß aktuelle Verschlüsselung (z.B. AES) gebrochen werden kann, selbst durch israelische Spezialisten mit Militärhintergrund. Leider kann man einfach Tastatureingaben mitlesen o.ä., sobald man Adminzugriff auf ein Gerät hat. An der Stelle ist quasi noch nichts verschlüsselt.

    Das Einschalten von Kamera und Mikrofon, auch unbemerkt, ist selbst geübten Laien möglich.

    Draufkommen muß die Malware allerdings immer noch irgendwie - entweder per E-Mail usw. ("Social Engineering", "Phishing") oder per Schwachstelle ("Vulnerability"). Es ist also zu empfehlen, alle Software aktuell zu halten. Leider läuft z.B. auf 90% aller Android-Telefone veraltete Software. Damit sind die natürlich angreifbar. Bei Apple ist es deutlich besser, aber nicht perfekt.

    Möglich ist auch die Infektion per Update - dazu müßte ein Angreifer aber Hilfe vom Anbieter haben, diesen infiltrieren oder selbst populäre Software herstellen.

    Diverse israelische Softwarefirmen haben einen Hintergrund im militärischen Geheimdienstbereich. Mit so einer Ausbildung kann man natürlich eine Menge machen. Die Liste auf Wikipedia ist aufschlußreich: en.wikipedia.org/wiki/Unit_8200

    • @kditd:

      Die Hersteller von Smartphone die Android nutzen sollten mindestens 3-4 besser 5 Jahre Android Update für das System und 8 Jahre Sicherheitsupdates bieten.

      Das sollte gesetzlich vorgeschrieben sein. Es kann ja nicht sein, das man ständig ein neues Handy kaufen muss. Vor allem da aktuell herausgebrachte Modelle immer preislich überteuert sind.

      Das ist auch nicht im Sinne von Klimaschutz.

      Technisch möglich wäre es sicherlich. Mein Kumpel hat GTA Vice City gespielt auf seinem Samsung Galaxy 5 mit einem Emulator. Da könnte garantiert auch Android 10-11 drauf laufen, rein von den technischen Voraussetzungen her.

  • "NSO ist schließlich nicht das einzige Unternehmen, das Sicherheitstechnik herstellt und an autoritäre Regime verkauft."

    Ganz und gar nicht. Ganz nah "bei uns": FinFisher [1].

    Es steht auch noch zu befürchten, dass nicht nur die Bösewichte Böses damit treiben. Die Gesetzgebung hierzulande ist derzeit alles andere als beruhigend.

    @ZMX52: What to do about it? Das Mindeste ist eine Spende an einen der vielen Vereine hier, die sich dagegen abrackern. Digitalcourage. CCC. You name it.

    Ohne Druck der Gesellschaft läuft gar nichts.

    [1] de.wikipedia.org/wiki/FinFisher

  • What are you going to do about it?

    Richtig, garnix. Der Punkt ist doch, dass sich kein Journalist mehr sicher sein kann, ganz egal, welche Gesetze die EU beschließt. Irgendwo auf der Welt wird es immer Unternehmen geben, die Tools wie Pegasus herstellen. Investigativer Journalismus wird tendenziell abnehmen.

    Das grundsätzliche Problem ist, dass Digitaltechnik an sich sakrosankt ist - sie ist der heilige Fortschritt, den man nicht generell in Frage stellen darf. Wir benutzen das Zeug wie Siebenjährige, ernsthafte gesellschaftliche Debatten über Nutzen und Risiken finden nach wie vor nicht statt. Inzwischen geht's nicht mehr ohne, es ist ja auch so praktisch und bietet so viele Chancen und Möglichkeiten - da steht auf verlorenem Posten, wer die harten Nebenwirkungen thematisieren will.

    Um es nochmal klar zu sagen: Wir werden auch den letzten Rest an Privatsphäre verlieren, und wir werden weiterhin die Demokratie demolieren, bis nihts mehr davon übrig ist. Gerade so, wie wir auch unsere natürlichen Lebensgrundlagen in die Grütze fahren.

    • @zmx52:

      Vor noch gar nicht so langer Zeit gab es bei Autos keine Knautschzone, keine Gurte und erst recht keine Airbags, dafür aber etwa starre Lenksäulen die im im Falle eins Unfalls zu schrecklichen Verletzungen und sehr vielen Toten führten. Die Konsequenz dieser Umstände war aber nicht sich wieder auf das gute, alte Pferdefuhrwerk zu besinnen, sondern die Technik und die gesetzliche Anforderungen an diese so weiterzuentwickeln, dass sie sicherer wurde.



      Pegasus war wohl 2016 schon einmal in den Schlagzeilen, seinerzeit hat Apple die kritische Schwachstelle in iOS wohl relativ schnell geschlossen. Entsprechend muss man nun klären welche Lücken die aktuelle Version ausnutzt und diese ebenfalls schließen. Die teils in den Medien kolportierte Darstellung, dass praktisch keinerlei Gegenmaßnahmen möglich wären, scheint mir technisch wenig fundiert und stark übertrieben.



      Die Sorge um zunehmend erodierende Privatsphäre und Datenschutz teile ich, allerdings ist dies zuvorderst ein gesellschaftliches und weniger ein technisches Problem.

      • @Ingo Bernable:

        Vergleiche zwischen Autos und IT gibt es schon ewig lange, meist im Zusammenhang mit der Frage, inwieweit man die jeweilige Technik verstehen können sollte, um sie verantwortungsvoll nutzen zu können. "Mein Auto kann ich ja auch nicht reparieren", heißt es dann immer. Das mag zwar sein, dennoch ist ein Auto auch für den Laien erheblich transparenter als ein Smartphone: Der jeweilige Zweck der einzelnen Komponenten ist sicht- und erfahrbar. (Fast) jedem ist klar, wozu ein Getriebe da ist, warum man nicht im 4. Gang anfahren kann, warum man überhaupt schalten muss. Tut das Auto nicht das, was es soll, kriegt man das i.d.R. schnell mit, oft auch die Ursache. Man ist an der Technik einfach näher dran, auch wenn man sich für Technik nicht interessiert.

        Bei IT ist das anders. Das geht schon bei der Frage los, was ein Computer überhaupt ist. Eine Waschmaschine ist ein technisches Gerät für die automatische Reinigung von Textilien, ein Computer ist... (bitte vervollständigen).

        Der eigentliche Punkt ist aber: Dinge, die unbedingt vertraulich bleiben müssen, dürfen nicht mit IT-Systemen in Berührung kommen. Denn es ist schlicht nicht möglich, Vertraulichkeit sicherzustellen. Mag hier und dort eine Lücke geschlossen werden, andere Lücken bleiben oder neue tun sich auf (wegen des technischen Fortschritts!). Ohnehin machen IT-Konzerne mit unseren Daten, was sie wollen, und seit Edward Snowden ist auch klar, dass sie verpflichtet sind, mit der NSA zusammenzuarbeiten.

        In einer Welt, in der ein Leben ohne Smartphone kaum noch möglich ist, ist das ein echt fieses Problem. Man kann wählen, ob man am gesellschatlichen Leben teilnehmen oder sein Leben mit IT-Konzernen und Behörden (gelegentlich auch mit Hackern und Schurkenstaaten) teilen will. Daran wird kein Gesetz etwas ändern.

        • @zmx52:

          Analoge Daten sind ebenso angreifbar wie digitale, mit brute force, social engineering oder ggf. auch rubber-hose cryptanalysis.



          Bei allen Problemen die es völlig unbestritten in der IT-Sicherheit gibt sehe ich hier aber auch die Erwartungshaltung als Teil des Problems. Einerseits soll es nicht nur höchste, sondern absolute Sicherheit sein; gegen Kriminelle genauso wie gegen staatliche Zugriffe. Andererseits soll ein solch hohes Schutzniveau mit der Standardlösung von der Stange der IT-Konzerne kommen. Wenn sie einen Tresorraum für eine Bank bauen wollten würden sie dafür ja vermutlich auch kein billiges Zylinderschloss aus dem Baumarkt nehmen sondern etwas das für die Aufgabe adäquat ist. Umgekehrt würde meinem Haustür einem mit Rammbock und Schneidladungen anrückenden SEK-Trupp höchstens einige Sekunden lang standhalten, als Sicherheitsrisiko sehe ich sie trotzdem nicht.



          Um Missverständnisse zu vermeiden: es geht mir absolut nicht darum gegen mehr IT-Sicherheit zu argumentieren, sondern gegen eine Sichtweise des 'Alles oder Nichts'. Wer ein erhöhtes Sicherheitsbedürfnis hat kann sich auch als Privatperson zB ein vollverschlüsseltes SELinux ggf. mit separatem IDS/IPS aufsetzen (lassen). Absolute Sicherheit wird man auch damit nicht bekommen, aber eben doch erheblich mehr als mit einer uU veralteten Default-Installation.

          • @Ingo Bernable:

            Die staatlich genutzten Spionageprogramme wie Pegasus werden auf den Endgeräten eingeschleust und schneiden schon beim eintippen bzw. nach dem empfangen und entschlüsseln von sicher verschlüsselten Nachrichten mit. Das ist quasi die Abhörwanze, die vor der Digitalisierung in analogen Räumen wie Wohnung oder Büros oder in analogen Telefonen angebracht wurde. Da nutzt das teuerste Schloss an der Wohnungstür nix, wenn die Lauscher schon auf der Bettkante sitzen ...

            • @Nina Janovich:

              Um in ihrem Bild zu bleiben: auch der Lauscher auf der Bettkante muss da ja irgendwie hingekommen sein. Selbst eine Pegasus-Software kann nicht durch Wände gehen oder sich aus dem Nichts materialisieren. Vergitterte Fenster und eine solide Tür sind demnach also doch nicht die schlechteste Wahl.



              Was sie weiter beschreiben ist jener Ansatz der in DE unter dem Label Quellen-TKÜ verhandelt wird, aber auch die ist darauf angewiesen Schadcode auf das betroffene Gerät zu laden und dort auszuführen. Deshalb gilt es ganau das zu verhindern.

    • 9G
      92293 (Profil gelöscht)
      @zmx52:

      Da kann man nur davon träumen ohne digital staff durch die Welt zu reisen