Schlagwort-Archive: Verschlüsselung

Ich beim täglichen Bad in meinem Datenschatz

Zeit meines Lebens habe ich als selbsternannter Datenmessie beinahe schon leidenschaftlich Datenhamsterei betrieben, aber gleichzeitig nie ausreichend viele Gedanken an Backups verschwendet. Wenn man das weiß, erkennt man, dass ich in der großen Datenverlust-Lotterie unverschämt viel Glück gehabt habe. Schlimmer noch, die sogenannten Single Points of Failure sind mit den Jahren immer größer geworden, angesichts immer umfassenderer Datengräber, besonders in den letzten paar Jahren. Von meinen ersten 3,5 Zoll 720 Kbyte DD-Disketten in den 80er Jahren, über 700 MB CDRs in den 90ern, den 4,7 GB DVDRs in den 00er Jahren, bis zu den heutigen 16 TB HDDs, habe ich alle verfügbaren Datenträger immer sehr gerne mit meiner Sammlung vollgeschrieben. Sammlung deshalb, weil ich in weiser Voraussicht und in schöner Regelmäßigkeit die Inhalte auf den schwächelnden, alternden Datenträgern der vergangenen Generationen auf neuere übertragen habe, und die Datenmenge so kontinuierlich anstieg, die ich als meinen ganz eigenen Schatz betrachtet habe. Zuletzt lag der gesamte Krempel von unzähligen Disketten, einer vierstelligen Anzahl von CDs, einer dreistelligen Anzahl von DVDs, und einem ganzen Stapel älterer Festplatten auf nur noch drei zentralen Datenträgern. Also Daten aus über 30 Jahren Computernutzung – und für diese hatte ich keine (echten) Backups.

Selbstverständlich wusste ich als computeraffiner Mensch schon immer um die große Bedeutung von Backups. Früh brachte mein Vater mir bei, dass man von wichtigen Original-Disketten erst einmal (mindestens) eine Sicherheitskopie macht, und dann ausschließlich diese verwendet. Beim Verstehen half mir auch die Tatsache, dass Disketten oftmals relativ schnell die Grätsche machten. Datenverlust erlebte ich daher häufig, aber es war eben immer nur eine einzelne Diskette betroffen und nicht etwa ein gigantisches Archiv, das Jahrzehnte umfasste. Im Jahr 1995 unternahmen wir gemeinsam eine große Archivierungsaktion, bei der wir hunderte unserer Atari ST-Disketten in tagelanger Kleinarbeit auf DAT-Bändern sicherten. Die Aktion war ein voller Erfolg, die Backups benötigten wir jedoch nie. Bald darauf dominierte der PC unseren Alltag und der Siegeszug der optischen Datenträger begann. Selbstgebrannte CDs, selbstgebrannte DVDs, randvolle Festplatten, bald lag das Zeug kreuz und quer im Kinderzimmer herum. Die ISDN-Flatrate und die darauf folgende heimische DSL-Leitung machten es leicht, immer verrücktere, noch unnötigere Dinge herunterzuladen und “wegzubrennen”. Mit Hilfe von Tools wie GetRight, Go!Zilla oder FlashGet musste ich mir nicht einmal Mühe geben. Nur wenige Mausklicks und komplette Seitenarchive fanden auf mysteriöse Weise den Weg auf meine Festplatte – der Download lief dann über Nacht. Ob ich diese Dateien jemals anschauen würde? Wahrscheinlich nicht, aber das war zweitrangig.

Disketten wurden auf CDs übertragen, CDs auf DVDs, DVDs auf kleine Festplatten, und kleinere Festplatten auf immer größere Festplatten. Und heute sitze ich auf einem schätzungsweise 12 TB großen Berg an Daten, wie Dagobert in seinem Geldspeicher. Der Ausfall nur einer einzelnen meiner drei zentralen HDDs würde den Verlust von mindestens 15 Jahren an gesammelten Daten bedeuten. Für mich ein Katastrophenszenario, um das ich mich wirklich kümmern musste. Im Jahr 2012, als ich endlich die nötigen finanziellen Mittel besaß, besorgte ich mir einen 15 TB Netzwerkspeicher. Mit Hilfe von Robocopy und einem Batchskript synchronisierte ich sporadisch eine Auswahl der wichtigsten Ordner auf das verschlüsselte Netzwerkverzeichnis. Dies funktionierte gut, doch der Katastrophenfall trat auch in den folgenden Jahren nie ein, weshalb ich zu selbstsicher und faul wurde und meine Bemühungen reduzierte. Endlich im Jahr 2018 konnte ich mich dazu überwinden, alle meine Festplatten vollständig mit VeraCrypt zu verschlüsseln. Nun wurden Backups jedoch sogar noch viel wichtiger, denn wenn die Live-Entschlüsselung mit VeraCrypt plötzlich nicht mehr funktionierte, wäre das gleichbedeutend mit einem Festplattenausfall.

Doch die Technik gab mir erstaunlicherweise keinen Grund zur Sorge. Nach vier Jahren täglichen Gebrauchs arbeitet die Verschlüsselung immer noch einwandfrei. Im Jahr 2020 sattelte ich auf Linux um, und so lösten “rsync” und “Grsync” das bewährte Robocopy ab, und Ext4 löste NTFS ab. Erneut überraschte mich die ausgereifte Technik positiv, denn rsync konnte mühelos die mit Robocopy erstellten Backups aufgreifen und erneuern. Seit dem Sommer 2022 habe ich radikal damit begonnen, eine vernünftige Ordnung in meinem Archiv zu etablieren, habe dazu alte Strukturen aufgebrochen. Dies schuf erneut ungewohnte Herausforderungen, denn trotz meiner schlimmen Unordnung in meinem Dateisystem wusste ich bisher von den meisten Dingen nach all den Jahren wo sie lagen. Nun habe ich zwar Ordnung ins Chaos gebracht, doch muss ich paradoxerweise vieles nun tatsächlich erst suchen. Mit Hilfe von Grsync habe ich mir außerdem Jobs erstellt, die zwei komplette Festplatten auf das NAS spiegeln. Erstmals in meinem Leben bin ich nun in der Situation, dass meine wichtigsten Datengräber vollständig ausfallen könnten, ohne dass ich spürbaren Datenverlust befürchten müsste.

Nicht nur, dass auf meinem NAS vollständige Kopien der Festplatten vorliegen, auch bieten die Paritätsinformationen des RAIDs eine weitere Stufe der Redundanz, denn selbst wenn im NAS eine der Festplatten ausfällt, können die Daten noch verlustfrei wiederhergestellt werden. Und hier hört die Geschichte noch nicht auf: Mir wurde klar, dass meine Wohnung der letzte verbliebene Single Point of Failure darstellte. Ein Wohnungsbrand, Diebstahl oder ähnliches könnte weiterhin alle meine Daten auf einen Schlag vernichten. Die Lösung hierfür ist ein sogenanntes Off-Site-Backup, also eine weitere Kopie an einem weiter entfernten Ort. Und so sicherte ich den vollständigen Inhalt des Netzwerkspeichers auf einer verschlüsselten externen Festplatte und gab sie in vertrauenswürdige Hände zwecks Lagerung für den Katastrophentag X, der hoffentlich nie kommen möge.

Endlich habe ich ausreichende Ausfallsicherheit um mich wirklich sicher zu fühlen. Wenn morgen eine Festplatte quietscht und klackert und nur noch Fehlermeldungen ausspuckt, dann muss mich das nicht mehr beunruhigen: Alles ist noch da. Und ich bin dankbar, dass ich von Ausfällen verschont geblieben bin, als meine Infrastruktur noch ziemlich fahrlässigen “Mut zur Lücke” bewies. Es hätte nämlich auch ganz anders ausgehen können. Da das Thema Backups nun für mich geklärt wäre, kann ich den nächsten offenen Punkt angehen: Das Datenarchiv systematisch durchsuchen, aufräumen und objektiv nutzlosen Müll löschen. Aber Löschen bzw. Wegwerfen ist bekanntlich etwas, das jeden Messie an seine absoluten Schmerzgrenzen bringt.

Ein kleiner Schritt für einen Nerd, ein weiterer Meilenstein auf meinem Pfad in die eigene Datensouveränität: Alle meine Festplatten sind heute vollständig verschlüsselt. Ja, irgendwann habe ich es einfach gewagt, Veracrypt installiert und damit begonnen, einen Datenträger nach dem anderen zu verschlüsseln. Zunächst vorsichtshalber nur bei Festplatten, die komplett redundant gesichert sind, um es anzutesten. Nach den ersten Monaten ohne Schwierigkeiten dann schließlich durchgängig bei allen anderen Festplatten. Ich habe bei dem Thema zuvor lange mit mir gerungen, und den Grund dafür werde ich in den folgenden Absätzen gerne kurz anreißen, denn es sind Dinge, die man hierzu unbedingt wissen sollte.

Schon damals im Studium im Jahr 2007 habe ich mit dem Veracrypt-„Vorgänger“ Truecrypt ein wenig experimentiert. So erstellte ich mehrere verschlüsselte Datencontainer auf meiner Festplatte, mit einem sicheren Passwort versehen, und kopierte einige Dateien hinein. Die Container konnten schon damals relativ einfach immer bei Bedarf wie ein eigenes Laufwerk unter Windows gemountet werden, was mir grundsätzlich sehr gefiel. Erstellt habe ich sie in Größen von 1 bis 2 GB und mit allerlei Dateien gefüttert, hauptsächlich Spiele und anderen Kram, den ich ohnehin auslagern wollte. Nichts Wichtiges zum Glück. Das hat eine Weile nämlich ganz gut funktioniert. Bis der größte der Container ganz plötzlich von heute auf morgen das Passwort nicht mehr akzeptiert hat. Eine Internetsuche zu dem Problem brachte mich auf die Idee, das Headerbackup, das man zuvor angelegt hatte, wieder auf den Container einzuspielen. Das Einspielen gelang, aber das Passwort nahm Truecrypt im Anschluss trotzdem nicht an. Eine längere Internetsuche brachte keine weitere rettende Idee. Die Dateien waren natürlich alle noch da, aber ich kam nicht mehr dran, und so verabschiedete ich mich bald davon. Das Experiment war gescheitert. Heute, 12 lange Jahre später, kann ich auch nicht mehr mit hundertprozentiger Gewissheit sagen, ob ich mich vielleicht mit dem Passwort vertan hatte, oder ob der Container doch irgendwie beschädigt wurde. Aus Erfahrung weiß ich beispielsweise, dass Scandisk/Checkdisk von Windows bei mir auch gerne mal große Dateien kaputtrepariert hat. Wäre also nicht so abwegig gewesen.

Ich lernte damals, von Truecrypt doch besser Abstand zu nehmen, denn man kann sich leicht daran die Finger verbrennen. Auch heute, wenn man in Internetforen nach Problemen mit Truecrypt/Veracrypt sucht, wird man überhäuft von Meldungen über plötzlichen Datenverlust durch Fehlfunktionen und verschlüsselte Container, die sich nicht mehr öffnen lassen bzw. das Passwort einfach nicht mehr akzeptieren. Viele verzweifelte oder verärgerte Hilferufe von Nutzern, die kein Backup haben und jemanden suchen, der ihre Daten retten kann – zur Not sogar gegen viel Geld. Offenbar ist dieses Thema selbst heute noch mit großer Vorsicht zu genießen, denn wird der Container durch einen Schreibfehler beschädigt, kann es im ungünstigsten Fall passieren, dass die Gesamtheit der Dateien sich in Sekundenschnelle in unlesbaren Datenmüll verwandelt. Bei einer unverschlüsselten Festplatte hätte man hier zumindest noch die Chance, alle unbeschädigten Daten zu extrahieren. Eine Festplattenverschlüsselung bietet ein ausgezeichnetes Maß an Schutz der Daten vor fremdem Zugriff, aber macht die Datenrettung bei einem Festplattendefekt leider gleichzeitig extrem schwer, wenn nicht sogar unmöglich. Ein großer Vorteil also, der im Katastrophenfall zu einem großen Nachteil werden kann.

Festplattenverschlüsselung taugt also gar nicht für den Alltag? Viel zu unsicher? Ganz im Gegenteil! Jeder, der mit dem Gedanken spielt, seine Dateien zu verschlüsseln, sollte sich natürlich darüber im Klaren sein, dass es unverzichtbare und verzichtbare Daten gibt. Unverzichtbares wird bei mir redundant an zwei Orten gleichzeitig gelagert und verschlüsselt. Fällt ein Datenmedium aus, habe ich immer ein Backup. Wer es sich leisten kann, setzt sogar auf mehrfache Redundanz, im Idealfall räumlich getrennt. Verzichtbares kann ich logischerweise auch ohne Backup verschlüsseln. Fällt dieses Datenmedium aus, ist der Tag womöglich ruiniert, aber ich breche nicht gleich in Tränen aus. Pech gehabt, das Leben geht weiter. So handhabe ich das im Moment. Alles wird verschlüsselt, aber nur das Wichtigste wird als Backup vorgehalten. Ein bisschen Risiko ist immer im Spiel.

Wie sieht meine bisherige Erfahrung nach mehreren Monaten mit Festplattenverschlüsselung aus? Derzeit habe ich 16 vollständig verschlüsselte Festplatten im Einsatz. Davon 5 im NAS, 2 intern, und 9 extern. Das entspricht insgesamt 105 Brutto-Terabyte (rein nach Herstellerangaben). Bislang sind keine Ausfälle oder Fehler zu beklagen. Selbst das mehrfache harte „Ausstöpseln“ von USB-Datenträgern durch ein Versagen der Stromversorgung hat Veracrypt gut überstanden, obwohl es jedes Mal eine Warnmeldung ausgegeben hat. Eine Schrecksekunde gab es, als die größte Festplatte sich irgendwann nicht mehr mounten ließ. Traumatisierende Flashbacks an den großen Datenverlust von 2007 geisterten mir sofort im Kopf herum. Nach einem Neustart und einem doch noch erfolgreichen Einhängen der Platte dämmerte es mir, dass ich wohl versehentlich unter Veracrypt die falsche Partition auf dem richtigen Laufwerk mounten wollte. Es handelte sich offenbar um diese komische unzugängliche Recovery-Partition auf WD-Festplatten, die mir zur Auswahl angezeigt wurde.

Keine Probleme also bei mehr als einem Dutzend verschlüsselter Festplatten. Keine schlechte Leistung. Also alles gut? Nunja, ich rechne noch mit dem ersten Ausfall im Lauf der Zeit. Vermutlich früher als mir lieb ist. Und dann hoffe ich, dass es eine der Festplatten trifft, die von mir regelmäßig gespiegelt werden. Eine gute Datenpflege und -strategie ist dabei natürlich unerlässlich, wenn man mit sovielen Datenträgern hantiert. Veracrypt macht es mir leicht, indem es beim Anschließen einer Festplatte sofort ein Password-Prompt einblendet und unaufgefordert das Einhängen übernimmt. Bis jetzt bin ich wirklich beeindruckt wie gut es funktioniert, und es beruhigt mich sehr. Wenn ich bisher alte Festplatten entsorgen wollte, musste ich zuvor daran denken, alles komplett zu formatieren, oder falls nicht mehr möglich, die Festplatte mechanisch zu zerstören. Der Inhalt einer verschlüsselten Festplatte ist dagegen völlig unbrauchbar für andere Personen, sie enthält quasi nur unverständliches Rauschen. Ich könnte also jede meiner Festplatten einer wildfremden Person in die Hand drücken, und meine Daten wären trotzdem sicher. Viel zu wenige Menschen machen sich Gedanken über den Inhalt ihrer weggeworfenen Festplatten, und was man davon noch problemlos rekonstruieren könnte.

Aus meiner Sicht war es mittlerweile wirklich an der Zeit, künftig ausschließlich mit verschlüsselten Daten zu arbeiten. Festplattenverschlüsselung ist heute absolut kein Hexenwerk mehr, die Möglichkeiten besser als je zuvor, der Aufwand hält sich stark in Grenzen. Ja, man muss beim Booten mehr Passwörter eingeben (oder Keyfiles angeben), aber die Vorteile überwiegen die Nachteile bei weitem. Es ist fahrlässig, seine Daten offen herumliegen zu lassen. Davon wird mindestens jeder ein Lied singen können, dessen Laptop einmal gestohlen wurde, oder der bereits Opfer einer Hausdurchsuchung geworden ist. Besser kein Risiko eingehen. Aber kostet das Lesen und Schreiben auf eine verschlüsselte Festplatte denn nicht viel mehr Performance? Nein, überhaupt nicht, denn AES-Verschlüsselung wird hardwareseitig in Echtzeit unterstützt. Es macht keinen Unterschied. Und mit Veracrypt bekommt man eine leistungsfähige, sichere und offene Softwarelösung, die zudem auch nichts kostet.

Ich kann also jetzt endlich guten Gewissens einen weiteren Punkt auf meiner Datenschutz-Checkliste streichen und werde mich hoffentlich im kommenden Jahr schon um den nächsten kümmern.

Auf meiner einsamen, digitalen Reise hin zu mehr Datenschutz und Privatsphäre habe ich in den vergangenen Tagen einen weiteren Meilenstein erreicht. Der letzte, noch fehlende Anstoß war ein Artikel auf einem bekannten IT-Newsportal, in dem von aktuellen Vorgängen bei Yahoo berichtet wurde, demzufolge dort weiterhin E-Mails aller Nutzer von Yahoo-Mail systematisch durchsucht und dadurch gewonnene Erkenntnisse unter anderem für Werbekunden ausgewertet würden. Bei Googlemail bzw. Gmail darf man davon ausgehen, dass es dort genauso gehandhabt wird, auch wenn sie es womöglich nicht öffentlich zugeben. Auch wurde in dem kritischen Beitrag Bezug genommen auf einen etwas weiter zurückliegenden Test vieler bekannter E-Mail-Anbieter, in dem Yahoo-Mail und Gmail sehr schlecht abgeschnitten hatten. Die Testsieger waren verständlicherweise allesamt keine Freemail-Anbieter, sondern Anbieter von 1-Euro-E-Mail-Konten, die im Gegenzug uneingeschränkten Datenschutz, unberührte Privatsphäre, Anonymität, Verschlüsselung, völlige Werbefreiheit, Backups, und noch einiges mehr bieten.

Angefangen hatte das Thema für mich mit den NSA-Enthüllungen anno 2013, nachdem der US-amerikanische, verschlüsselnde E-Mail-Anbieter Lavabit von der US-Regierung aufgefordert wurde, die Schlüssel für den Zugang zu den E-Mails von Edward Snowden herauszugeben. Der Gründer der Firma konnte seinen dadurch kompromittierten E-Mail-Service daraufhin nicht mehr guten Gewissens weiterführen, da der Schutz der Kunden nicht mehr garantiert war. Lavabit wurde praktisch von heute auf morgen geschlossen. Aber inzwischen gibt es auch in Europa einige positive Beispiele von E-Mail-Anbietern, die ihre Nutzer nicht ausspähen und ihre Daten nicht heimlich verwursten, darunter Posteo.de, Mailbox.org und Protonmail. Dass diese Anbieter monatlich eine kleine Aufwandsentschädigung erwarten, kann man natürlich nun als Ausschlusskriterium ansehen, oder als erleichternde Gewissheit, dass man ausnahmsweise mal nicht mit seinen Daten bezahlt. Denn zwar hat sich auch in meinem Kopf über Jahrzehnte hinweg die Vorstellung festgesetzt, dass E-Mails nichts kosten dürfen, aber andererseits sollten wir uns auch endlich von der Vorstellung verabschieden, dass amerikanische Tech-Riesen uns Datenschutz und Privatsphäre schenken würden, denn das werden sie niemals. Daran verdienen sie schließlich nichts.

Umso schwerer wog in meinem Fall die Tatsache, dass ich meine beiden wichtigsten E-Mail-Konten schon seit 15 bzw. 13 Jahren ausgerechnet bei den beiden größten Verlierern besagten Tests von E-Mail-Anbietern hatte: Yahoo und Google. Und diesmal beschloss ich endlich, diese Accounts in den Müll zu werfen. Dafür biss ich in den vermeintlich sauren Apfel und meldete mich bei Posteo an. Für den Preis eines Schokoriegels im Monat bekommt man dort drei sichere E-Mail-Adressen, Kalender- und Adressbuch-Synchronisation, einen umfangreichen Umzugsservice und unbegrenzten „Nachsendeantrag“, mit dem man mehrere Altkonten bei unterschiedlichen Anbietern problemlos nach Posteo übertragen kann, und man so einen gemütlichen, stressfreien Übergang hat. Und natürlich erhalte ich die Gewissheit, dass meine Daten immer mir gehören, und nicht irgendwohin abwandern. Man erhält im Paket Verschlüsselung auf mehreren Ebenen: Transportwegeverschlüsselung (logisch), Ende-zu-Ende-Verschlüsselung der Kommunikation (optional, lässt sich verschiedentlich konfigurieren), und vollständige Kontenverschlüsselung (optional an- und abschaltbar). Eigentlich kann man sich nicht mehr wünschen.

Und was soll ich sagen: Es war gar nicht so schlimm wie ich dachte, dass es sein würde. Mein neues Konto habe ich jetzt mit gerade mal 20 Euro für mehr als eineinhalb Jahre finanziell abgesichert. Adressbuch, Kalender und E-Mails kann ich jetzt endlich guten Gewissens zwischen Smartphone, Tablet und PC synchronisieren, ohne dass ich Skynet, äh Verzeihung, „Don’t Be evil!“ Google vertrauen muss. Meine Yahoo- und Gmail-Accounts nutze ich nicht mehr, und diese werde ich schrittweise stilllegen bzw löschen. Dafür muss ich allerdings zuvor noch gefühlte 500 Accounts bei allen möglichen Internetdiensten ändern, bei denen die alten Adressen leider noch hinterlegt sind. Angefangen habe ich damit bereits, aber es wird wohl eine Mammutaufgabe werden.

Ich bin froh, dass ich endlich mal aus meiner Komfortzone ausgebrochen bin, um einen neuen Schritt und eine wichtige Veränderung zu wagen. Ein Verbleib bei den bisherigen beiden Anbietern konnte ich inzwischen kaum noch vor mir selbst verantworten. Wenn dieser Beitrag für manche Menschen ganz verdächtig nach Werbung für Posteo riecht, dann stimme ich demjenigen zu, dass man das tatsächlich so auslegen könnte. Aber ich bekomme von Posteo definitiv kein Geld, sondern im Gegenteil, bezahle welches. Ich möchte mit dem Beitrag eigentlich nur andere Menschen dazu animieren, sich selbst Gedanken zu dem Thema zu machen, so wie ich es getan habe. Für mich ist inzwischen klar, dass Yahoo-Mail und Gmail in die Tonne gehören. Es mag vielleicht nicht allen klar sein, aber wir entscheiden in diesem Augenblick durch unsere Internetnutzung, ob wir in den nächsten Jahren ein Zeitalter der Datensouveränität und -kontrolle oder ein Zeitalter des Datendiebstahls und der Datenopfer einläuten. Wir könnten alle unsere Daten natürlich weiterhin an jeden Anbieter verschenken, der sie haben will, der sie dann wiederum weiterverschenkt an seine Kunden. Oder wir entscheiden endlich selbst, wer welche Daten haben darf, was mit unseren Daten passieren darf – und vor allem was NICHT. Aber um das zu erreichen, müssten wir umdenken, und das scheint vielen Menschen heute nicht mehr zu gelingen.

Vor einigen Tagen machte eine Schlagzeile auf diversen IT-Newsportalen (und darüber hinaus) die Runde: Google hat drei kinderpornografische Bilder im E-Mail-Account eines Nutzers gefunden und sofort die Behörden alarmiert. Der Mann wurde verhaftet. Bravo! Das böse KiPo-Schlagwort scheint nur wenig Spielraum für Diskussionen zu lassen, denn zum Glück hat Google dieses Subjekt der Polizei ausgeliefert. Der wird in seinem Leben sicher keine E-Mails mehr schreiben. Man müsste doch eigentlich schon ziemlich einen an der Waffel haben, sollte man wenig Begeisterung für diese Aktion übrig haben. Mit dem Schutz der Kinder lässt sich natürlich alles rechtfertigen.

Was auf den ersten Blick wie eine gute Sache klingt, ist bei genauerem Hinsehen eigentlich eine Katastrophe. Es ist zwar nicht so, als könnte man sich das nicht schon selbst denken, aber die Gewissheit zerstört dann auch das letzte bisschen Illusion: Google durchsucht die E-Mails und sämtliche Anhänge seiner Nutzer. Und wenn dort etwas Verdächtiges entdeckt wird, werden entsprechende Schritte eingeleitet. Es ist davon auszugehen, dass konkurrierende E-Mail-Anbieter das genauso handhaben. Und wenn sie es bisher nicht getan haben, werden sie jetzt nach Bekanntwerden von den Politikern garantiert mit einigen gutgemeinten Worten dazu veranlasst. Das ist aber nicht besser, als wenn die Post im großen Umfang unsere Briefe öffnet und liest, oder den Inhalt von Paketen inspiziert, bevor sie wieder zugeklebt und uns zugestellt, oder einbehalten werden. Ja, ich weiß, beim Zoll wird das so gemacht, was ich ebenfalls nicht gutheißen kann. Und eigentlich wurde vor Monaten schon bekannt, dass auch die NSA regelmäßig Pakete öffnet, etwa von Cisco-Routern, um die Hardware zu kompromittieren. Also eigentlich können wir uns auch vom Postgeheimnis (das auf Grund seiner vielen Einschränkungen ohnehin irgendwie wirkungslos ist) schonmal verabschieden. Für E-Mails gibt es so etwas aber gar nicht erst – der Inhalt unserer elektronischen Post darf von allen Anbietern in jedem Maße ausgewertet werden, sogar für Werbezwecke. Das ist doch sehr beruhigend. Nicht.

Was ich mich zwischen all der Aufregung ernsthaft frage: Googles Interesse daran, die E-Mails und E-Mail-Anhänge seiner Nutzer zu scannen und auszuwerten, steht in direktem Konflikt zu deren langfristigen Plänen, irgendwann einmal Ende-zu-Ende-Verschlüsselung für den E-Mail-Dienst Gmail anzubieten. Denn wenn die Informationen zwischen Absender und Empfänger nirgends entschlüsselt werden können, kann natürlich auch nichts gescannt und mit irgendwelchen Datenbanken abgeglichen werden. Also entweder lässt Google es gar nicht erst so weit kommen, dass Verschlüsselung sich durchsetzen kann, oder sie führen auch nur eine billige Fake-Verschlüsselung ein, so wie das bei der De-Mail der Fall ist. Die Nutzer werden in falscher Sicherheit gewogen, ihre Daten aber sind immer für Dritte einsehbar.

Kürzlich wollte ich in einem Artikel darüber informieren, wie ich mich vor einigen Wochen endgültig von dem amerikanischen Cloudspeicher-Anbieter Dropbox gelöst habe, da Dropbox die Nutzerdaten nicht verschlüsselt, und außerdem von Gesetzes wegen verpflichtet ist, Nutzerdaten ohne Widerworte an US-Geheimdienste auszuhändigen. Meinen Account habe ich mir 2009 angelegt, um mit Kommilitonen Quelltexte und Vorlesungsskripte auszutauschen, und ich fand die Idee wirklich sehr nützlich. Heute sind meine Ansprüche an solche Dienste jedoch andere, Datenschutz ist mir wichtiger geworden, und Dropbox geht absolut nicht mit der Zeit, sei es wegen vorauseilenden Gehorsams gegenüber der Obrigkeit, oder aus ganz anderen Gründen. Eine Alternative musste schnell her.

Nun dachte ich mir, dass die Zeiten kaum besser sein könnten, um sich nur die Rosinen unter den Cloud-Anbietern herauszupicken, doch ich irrte mich. Längst satteln die Anbieter auf Sparpolitik und auf Bezahlangebote um – aus ehemals 50 GB kostenlos wurden 5 GB für nicht unter einem Zehner im Jahr. Die Auswahl wurde jetzt schon deutlich kleiner, erst recht, wenn man auf Verschlüsselung Wert legte. Also doch wieder mit eingekniffenem Schwanz zurück zu Dropbox und sich stattdessen selbst um die Verschlüsselung kümmern? Da machte mich ein gütiger Arbeitskollege rechtzeitig auf Wuala aufmerksam. Beinahe hätte ich diesen Anbieter wirklich jedem empfohlen, aber nur wenige Wochen nach meiner Registrierung für einen Kostenlos-Account wurden ebendiese abgeschafft. Wuala bietet jetzt auch nur noch knauserige 5 GB für teures Geld im Jahr an. Als Kostenlosnutzer darf ich meinen Account weiterhin unentgeltlich nutzen – aber wer weiß wie lange noch. Wuala ist auf Dauer also auch nicht die Lösung, obgleich es damit natürlich trotzdem noch besser ist als Dropbox.

Auch Whistleblower Edward Snowden hat vor einigen Wochen von Dropbox abgeraten, was mich in meiner Meinung nachhaltig bestärkt. Stattdessen empfiehlt er sehr zu meiner Verwunderung den ebenfalls in den USA ansässigen Anbieter Spideroak. Spideroak verschlüsselt die Nutzerdaten, so dass ausschließlich jener Zugriff darauf haben kann. Aber ich frage mich auch hier, wie sich das – ohne Backdoor – mit dem berüchtigten amerikanischen Patriot Act unter einen Hut bringen lassen soll. Wahrscheinlich müsste ich mir jetzt vorstellen wie unwahrscheinlich es ist, dass Edward Snowden in diesem Fall naiver ist als ich, aber ich traue Spideroak trotzdem nicht.

Vorerst bin ich mit meinem verschlüsselten Cloudspeicher relativ zufrieden. Jetzt fehlt noch eine einfache Möglichkeit, meinen E-Mail-Verkehr zu verschlüsseln. Und wenn ich mich hierfür von Gmail verabschieden muss, werde ich das irgendwann auch in Angriff nehmen.

threemaFür dieses Jahr hatte ich mir vorgenommen, mir über Sicherheit und Privatsphäre im Netz ein bisschen mehr Gedanken zu machen, und nicht mehr weiter mit dem Strom zu schwimmen. Zur Not muss man eben auch mal die bequemen ausgetretenen Pfade verlassen, um das Richtige zu tun. Es muss sich etwas ändern, wenigstens in kleinen Schritten. Im Klartext bedeutet das, dass ich im Kontext der Kommunikation künftig auf echte Verschlüsselung setzen werde. Hmm, „Klartext“ ist ein witziges Wort in so einem Satz. Und ich meine damit echte Ende-zu-Ende-Verschlüsselung und nicht diese fahrlässige Möchtegern-Verschlüsselung der unsicheren De-Mail.

Nun, wie der Zufall es wollte, ergab sich jüngst eine passende Gelegenheit, meine Kommunikationsmöglichkeiten zu erweitern und gleichzeitig einen ersten Schritt hin zu Verschlüsselung zu machen. Im Moment geistert die Meldung durch alle Medien: Facebook kauft WhatsCrap für 19 Fantastilliarden Dollar. Ganz genau. Zwei Datenkraken haben sich endlich gefunden und werden bald die Lebensgeschichten sämtlicher Nutzer gebündelt via Standleitung direkt an die datenhungrigen Geheimdienste übertragen. Ist doch praktisch, werden sich die Fans sagen, denn bald gibt es das inoffizielle NSA-Rootkit für Android und iOS als Kombi-App.

Rückblende. Einige Jahre zuvor wurde mir von Freunden empfohlen, mir doch diesen tollen neuen Messenger zu installieren, damit ich bei den coolen Gruppenchats mitmachen könnte. WhatsApp sei ja quasi die bessere SMS und auch noch kostenlos. Ich weigerte mich. In den folgenden Wochen hörte ich aus vielen Gesprächen die Unlust im Freundeskreis heraus, mich immer extra per teurer SMS anzuschreiben, wo jeder „normale“ Mensch längst dank WhatsApp Bescheid wusste. Hätte ich da ein schlechtes Gewissen haben müssen? Auf meine gutgemeinten Hinweise, dass man mit jedem Smartphone auch bequem E-Mails an mich schreiben kann, wurde mir vorgeworfen, ich sei doch total von gestern, und niemand nutze mehr E-Mail, schon gar nicht auf dem Smartphone. Ich begann zu zweifeln, abwechselnd an mir und am Verstand meiner IT-fernen Mitmenschen.

In den Monaten darauf verfolgte ich gespannt die Berichterstattung über die datenschutztechnisch äußerst bedenkliche Messenger-App. Das fängt schon damit an, dass die Entwickler nicht einen Finger krumm machen, wenn man sie darauf hinweist, dass die Nachrichten unverschlüsselt versendet werden. Probleme werden dort lieber verheimlicht und totgeschwiegen als die Nutzer aufzuklären. Dass WhatsApp das gesamte Adressbuch im Klartext an deren Server überträgt, um die Kontaktliste abzugleichen, das mag sein größtes Feature sein, aber gleichzeitig auch das größte Problem, denn vielleicht will das nicht jeder. Vielleicht vor allem die Leute nicht, die in diesen Adressbüchern stehen. Kleiner Denkanstoß: Wenn ich als WhatsApp-Verweigerer in den Smartphone-Adressbüchern von 30 WhatsApp-Nutzern stehe, und man davon ausgehen kann, dass Menschen die sich kennen sich in der Regel gegenseitig in ihr Adressbuch eintragen, dann kann WhatsApp ohne Schwierigkeiten ziemlich genaue Rückschlüsse darüber ziehen, wer so alles in meinem Adressbuch stehen wird. WhatsApp kennt mich längst, ich muss dafür nicht einmal einen Account anlegen. Bei Facebook wird das ähnlich funktionieren.

Ich fühlte mich in meiner Abwehrhaltung gegen WhatsApp bestätigt. Jetzt wollte ich erst recht nicht mehr dabei sein, obwohl ich regelmäßig gefragt wurde, ob ich nicht doch aus Gründen der Einfachheit mitmachen wollte. Manchmal bekam ich zur Belohnung für mein Sicherheitsbewusstsein ein genervtes Augenrollen oder ein ungläubiges Kopfschütteln. „Ich schreibe schon lange keine SMS mehr.“, erzählte mir eine Freundin, die mir damit wohl androhen wollte, dass ich ohne WhatsApp von ihr niemals Textnachrichten bekäme. WhatsApp-Fans schließen die anderen schon wie selbstverständlich aus, der gesellschaftliche Druck steigt. Wenn du nicht drin bist, bist du weg.

Aber um die Wahrheit zu sagen, suche ich eigentlich schon lange wieder nach einem brauchbaren Instant Messenger, der sowohl mobil als auch am Schreibtisch nutzbar ist. Am besten einen, der viele Nutzer hat, und der nicht Facebook oder WhatsApp heißt. Am besten einen, der Nachrichten richtig verschlüsselt. Interessiert bemerkte ich dieser Tage den Eindruck einer leichten Abwanderungsbewegung weg von WhatsApp, als Reaktion auf die Übernahmemeldung. Eine Kombination aus Schadenfreude, geballter Berichterstattung und dem Bedürfnis nach Kommunikation machte mich auf Threema aufmerksam. Threema ist das bessere, sicherere und weniger amerikanische WhatsApp. Drei Gründe, die mir 1,60 EUR allemal wert waren, und seitdem gehöre ich zu den Nutzern. Die Konkurrenz zu unterstützen, gibt mir außerdem ein gutes Gefühl.

Sicherlich, meine Kontaktliste ist mit zwei Personen in den ersten 24 Stunden nicht besonders gut gefüllt. Ich habe keine Wunder erwartet, aber ich bin zuversichtlich, dass sich das schnell ändert, und das ohne mein gesamtes Adressbuch an die Betreiber zu verschicken. Aber selbst wenn ich das wollte, würden nur Hashes dort abgelegt, was in jedem Fall besser ist, als das was der unverdiente Platzhirsch macht. Wenn es bald noch einen brauchbaren Desktop-Client für das Protokoll gibt, dann werde ich bestimmt eine Weile dabei bleiben. Nützlich ist so ein Messenger in jedem Fall, vorausgesetzt eine nicht unerhebliche Menge deiner Freunde ist darüber erreichbar. Da hilft vermutlich nur abwarten. Und wenn aus Threema am Ende doch nichts wird, installiere ich mir WhatsApp trotzdem nicht.