News Hasskriminalität-Gesetz: Lambrecht rudert bei Passwort-Abfrage zurück

[DKK007]

Diese ganzen Biometrie-Sachen im Smartphone waren alle schon nach wenigen Tagen umgangen.

https://www.ccc.de/de/updates/2013/ccc-breaks-apple-touchid
https://www.chip.de/news/Hacker-gre...-anApples-Face-ID-ausgetrickst_126939359.html

Schützen tut nur ein Alphanumerisches Gerätepasswort mit mindestes 12 Stellen.
Pin mit 4 oder 6 Ziffern lässt sich schnell knacken.
https://www.heise.de/mac-and-i/meld...te-offenbar-neues-iPhone-knacken-4639886.html

D.h. einfaches Löschen deines Verlaufs vor Kontrolle reicht aus und keine Behörde kann jemals an deine Daten kommen.

Ist halt die Frage wie schnell die Jungs vom SEK beim Zugriff sind.

 

[ascer]

@DKK007
(1) ändert das noch immer nichts an per Passwort verschlüsselten Apps,
(2) ändert es nichts an sicheren Services, siehe Post #22 und #21. So lassen sich auch Gruppenkommunikationen sicher realisieren.
und
(3) muss man ja nicht auf unsichere Biometrie vertrauen.

Ist halt die Frage wie schnell die Jungs vom SEK beim Zugriff sind.

Die Frage ist viel eher, ob man sensible Daten nicht einfach nach Erhalt/Verarbeitung löscht. Ich laufe doch nicht mit meinem Chatverlauf von 5 Jahren in der Hosentasche rum. Genausowenig wie ich mit meinem ganzen Vermögen in der Tasche spazieren gehen würde.

Insbesondere wenn ich sensible Daten habe, werden die nach Verwendung/Kenntnisnahme halt gelöscht. Wenn sensible Informationen sicher gespeichert werden sollen, kommen die für die Langzeitspeicherung in ein hidden-verycrypt-volume. Dann macht da auch der SEK-Beamte nichts mehr.

Das schweift aber auch - schon wieder - vollkommen vom ursprünglichen Thema ab: keine Behörde der Welt wird Beamte beim Ottonormalbürger vorbeischicken um Daten manuell abzugreifen. Das können die der Ressourcen halber auch gar nicht.

Woran die interessiert sind, ist der Zwang von Dienstanbietern per Gesetz auf Vorhaltung von Passwörtern/Private Keys. Dann können sie automatisiert Daten abgreifen und jederzeit die Nachrichten entschlüsseln, ohne physischen Kontakt mit einem Individuum und das und nur das können die Ressourcentechnisch auch realisieren.
Automatisierte Massenüberwachung.

 

[DKK007]

@DKK007
(1) ändert das noch immer nichts an per Passwort verschlüsselten Apps,

Aber auch die haben halt oft Lücken.


Löschen ist allerdings auch relativ. Bei Datenbanken werden Einträge oft einfach nur als gelöscht markiert und sind noch vorhanden.
Bei Dateien hängt es von Dateisystem und Faktoren wie TRIM ab.

Ist besonders nett, wenn alle Interessanten Dateien dann die "gelöscht"-Markierung im Auswertetool tragen.
Da kann man dann von Vorsatz ausgehen.

 

[ascer]

@DKK007 du greifst auch absichtlich nach jedem noch so irrelevanten Strohhalm, oder?

Lücken sind doch das gleiche wie alte Hash-Algorithmen. Lücken wird es immer geben, aber derzeit ist der Dienstanbieter verpflichtet, Nutzerdaten sicher und Passwörter unzugänglich zu speichern. Insofern hat man sogar rechtlichen Anspruch darauf. D.h. der Dienstanbieter muss eben auf sichere Hash-Algos umstellen, Sicherheitslücken ganz normal patchen, wie jeder andere auch.

Hier geht es doch um den Gesetzentwurf, der das absichtliche Installieren und Vorhalten einer "General-Backdoor" bedeuten würde.

Löschen ist halt auch relativ. Bei Datenbanken werden Einträge oft einfach nur als gelöscht markiert und sind noch vorhanden.
Bei Dateien hängt es von Dateisystem und Faktoren wie TRIM ab.

Manche Software tut das, ja.
Die Rede war ja aber von sicheren Applikationen. Signal & Threema z.B. wipen Daten. Veracrypt speichert Daten in einem verschlüsselten Container, der bei Erstellung mit Zufallszahlen gefüllt wird. Da ist nichts rekonstruierbar nach einem Löschvorgang.

Und nochmal: es geht hier um das Gesetz. Ob z.B. Software wie Windows95 unsicher ist, interessiert den Endanwender dank DSGVO ja nicht. Am Ende haftet der Dienstanbieter, wenn er unzureichende Methoden verwendet, um die Datenschutzbestimmungen zu erfüllen.
Diesen Schutz würde das derzeitige Gesetz aushebeln, weil dann jeder Dienstanbieter, auch die guten, sicheren, die "General-Backdoor" vorhalten müssten.

 

[P220]

Aus "Schweren" wird dann in 3 Jahren "allen"...
Immer dasselbe von immer von denselben Leuten.

Am Ende kassierts ein Gericht ein.

 

[ascer]

@P220 auf jeden Fall, das hat man ja schon bei der Vorratsdatenspeicherung gesehen. Selbst wenn in bestimmten Positionen seriöse Leute sitzen würden, ist das ein Grundsatzproblem: ist der Präzedenzfall erstmal geschaffen, bekommt man das Unheil nicht wieder in Pandoras Büchse zurück.

Deshalb bin ich ebenfalls ganz vehement gegen solche Vorgänge. Briefgeheimnis, Datenschutz, ... sollte alles unantastbar sein. Schutz der Privatsphäre ist ein hohes Gut und die Kosten dafür sollte eine Demokratie sich stets leisten.

 

[new Account()]

Du kannst die Message ja wunderbar in AES verschlüsseln und das Passwort mit dem pub key einzeln für jeden in der Gruppe. Das machen auch sichere Messenger. Deshalb musst du z.B. bei Threema ja auch mit Smartphone und Tablet eine Gruppe joinen und kannst deine Nachrichten zwischen den Devices nicht automatisiert syncen, weil sie unterschiedliche private keys haben.

Äh ne, das ist nicht der Grund, warum man nicht automatisch syncen kann.

Der Grund warum man nicht automatisch syncen kann ist einfach, dass es nicht implementiert wurde (Nachrichten werden nicht auf dem Server gespeichert, mehrere Geräte sind nicht ins Schlüsselaustauschverfahren konzipiziert worden).

Fehlender Sync sind lediglich unnötige Einschränkungen von Threema.

 

[ascer]

Äh ne, das ist nicht der Grund, warum man nicht automatisch syncen kann.

Fehlender Sync sind lediglich unnötige Einschränkungen von Threema.

Nein bzw. nicht direkt: das war ja eine bewusste Designentscheidung von Threema zugunsten von erhöhter Sicherheit.

Man wollte ja, dass Nachrichten niemals, auch nicht verschlüsselt, auf dem Server liegen. Und man wollte, dass nicht jeder Benutzer, sondern jedes Device seinen eigenen private key hat, damit der immer unique ist und ausschließlich lokal existiert.
Eins von beiden bräuchte man ja aber, um technisch einen Sync zu realisieren.

Man könnte theoretisch natürlich z.B. mehrere Geräte einem Nutzeraccount zuordnen und sich die Geräte des Nutzers untereinander peer-to-peer synchronisieren lassen...aber wenn ich die blog posts noch Richtung in Erinnerung habe, wollte man solche Lösungen auch nicht wegen (a) Aufwand und (b) weil man auch die zusätzlichen Informationen des Nutzers nicht verfügbar machen wollte.
Wobei ich diesbezüglich stark (a) vermute...(b) kann Threema ja theoretisch immer reverse-engineeren, auch wenn das Aufwand ist (etwa Nutzungszeit, IP-Adresse, Nicknames, ... von Geräten abgleichen am Threema Server).

 

[P220]

Ist halt die Frage wie schnell die Jungs vom SEK beim Zugriff sind.

Auch die müssen "Hausdurchsuchung" rufen bevor die dir die Tür eintreten. 😋

 

[new Account()]

Man wollte ja, dass Nachrichten niemals, auch nicht verschlüsselt, auf dem Server liegen.

Und man wollte, dass nicht jeder Benutzer, sondern jedes Device seinen eigenen private key hat, damit der immer unique ist und ausschließlich lokal existiert.

Inwiefern erhöht das die Sicherheit?
Bei ersterem müsste man annehmen, dass die Verschlüsselung unsicher wäre.
Bei letzterem müsste man annehmen, dass der Benutzer selbst seine Geräte nicht unter Kontrolle hat - was ja das Argument schon zum Absurdum führt.

Imho Ausreden gegenüber dem erhöhten Aufwand.

 

[ascer]

@new Account() ich denke auch, dass das Augenmerk auf dem Aufwand lag...aber ganz an den Haaren herbeigezogen ist das nicht.

Bei ersterem müsste man annehmen, dass die Verschlüsselung unsicher wäre.

Es muss ja nicht die Verschlüsselung selbst unsicher sein, es reicht ja das bei einer Sicherheitslücke möglich wäre, die verschlüsselten Daten runterzuladen. Weder Betreiber noch Angreifer haben dann ja überhaupt die Möglichkeit oder gar Motivation irgendwas in Richtung Entschlüsselung, Backdoors, ... zu versuchen, wenn es sowieso gar nicht die Möglichkeit gibt, die Daten überhaupt vom Server abzurufen.
Mehr Sicherheit geht halt serverseitig nicht, das finde ich schon konzeptionell nicht schlecht.

Bei letzterem müsste man annehmen, dass der Benutzer selbst seine Geräte nicht unter Kontrolle hat - was ja das Argument schon zum Absurdum führt.

Nicht nur. Es gibt hierbei ja den einen edge case des Schlüsselaustauschs: wenn da eine Backdoor, Sicherheitslücke, ... wäre, dann würde das wieder einen Angriffspunkt bieten. Unwahrscheinlich, aber theoretisch möglich. Wenn man da konzeptionell nur 1:1 end-to-end erlaubt und jedes Gerät seinen eigenen, unique private key + account bekommt, dann gibt es diesbezüglich schlicht gar keinen Angriffspunkt.

Läuft natürlich am Ende auch wieder auf geringere Entwicklungskosten / eine Sorge weniger im internen Software-Security-(Penetration)-Testing hinaus...

 

[Apocalypse]

Auch die müssen "Hausdurchsuchung" rufen bevor die dir die Tür eintreten. 😋

Ach was, der Chatverlauf wird mittels finalen Rettungsschuss befreit. Alles für die Kinder. Ich bin immer noch am Kopfschütteln.

 

[jabba.]

Hab die Rede der Dame im Bundestag gesehen.
Da hat sie schön behauptet das würde alles eh so nicht stimmen.
Die anderen haben aber aus dem Gesetzentwurf zitiert...
Wirkt irgendwie mehr als komisch.
Die Frau ist unheimlich.

 

[Mainsurfer]

Ich behaupte einmal, der Artikel gibt den geplanten Gesetzestext leider nur verkürzt wieder. In diesem wird wahrscheinlich stehen, dass die Account-Provider Zugriff (!) gewähren müssen. Dies geht dann ganz einfach durch Rücksetzung des Passworts. Da muss niemand etwas "knacken"

 

[Fred_VIE]

Solange Politiker die "Hasskriminalität" dazu benutzen Kritik an der Politik auszublenden, ist mir klar, dass es mit Hass recht wenig zu tun hat. Außer natürlich, es ist verboten Politiker zu hassen, welche gegen den Volkswillen agieren. Was solln wir tun, uns bedanken?

Es sollte Politikern verboten sein, gegen den Volkswillen zu agieren, anstatt das Volk für berechtigte Kritik mit Strafen zu belegen.

Es gab schon Politiker, die diese angebliche Hasskriminalität gegen Kritik eingesetzt haben. Da sagt man einfach nur die Wahrheit, nämlich, dass man der Meinung ist, dass ein bestimmter Politiker ein Volksverräter ist und schon wird das Konto stillgelegt oder es steht sogar die Polizei vor der Tür.

Wenn Politiker Gesetze gegen das Volk durchsetzen, dann sind sie Volksverräter und damit müssen sie imho leben oder sie müssen halt damit aufhören, das Volk zu verraten. Sie können natürlich gerne auch ihren Politposten an den Nagel hängen.

 

[Chillaholic]

Offenbar hat man im Justizministerium bisher den Inhalt der Kirik nicht verstanden.

 

[bensel32]

"Hasskriminalität" ist Neusprech!

Echt dumm, wenn man nicht weiß, woher dieses Wort stammt. Als Tipp: Geschichte, Bürgerrechtsbewegung, 50er Jahre, USA Strafrecht 80er, Hate Crime, Deutschland 2001(vor 19 Jahren!).

Ergänzung (29. Januar 2020)

Was ist denn nun Hasskriminalität genau? Mord, Massenmord, Terrorrismus, Vergewaltiger usw. Oder einfach alle Kriminalität. Und man hat das Wort Kriminalität einfach um das unötige Wort Hass erweitert.

Hasskriminalität ist ein Oberbegriff. In Deutschland werden damit Straftaten in Verbindung gebracht, die aus blinden Hass heraus begangen werden. Zum Beispiel wenn man einen Homosexuellen schlägt nur weil man was gegen Homosexuelle hat.
Das kann auf folgende Beispiele zutreffen: "politischen Einstellung, Nationalität, Volkszugehörigkeit, Rasse, Hautfarbe, Religion, Weltanschauung, Herkunft, sexuellen Orientierung, Behinderung, äußeren Erscheinungsbild oder gesellschaftlichen Status"

Stammt übrigens von bzw. aus Wikipedia. Hat genauso lange gedauert es zu finden, wie das schreiben deiner Frage.

 

[savage.]

Echt dumm, wenn man nicht weiß, woher dieses Wort stammt. Als Tipp: Geschichte, Bürgerrechtsbewegung, 50er Jahre, USA Strafrecht 80er, Hate Crime, Deutschland 2001(vor 19 Jahren!).

Schön das wir das Wort schon so lange kennen. Hält dummerweise die Regierung nicht davon ab beste Beziehungen zu Ländern zu unterhalten in dennen Schwule, Frauen und minderheiten undrückt oder getötet werden. Vieleicht haben die Amerikaner das Handy von Frau Merkel nur wegen Hate Crime abgehört.

 

[Schaby]

Hasskriminalität ist ein Oberbegriff. In Deutschland werden damit Straftaten in Verbindung gebracht, die aus blinden Hass heraus begangen werden. Zum Beispiel wenn man einen Homosexuellen schlägt nur weil man was gegen Homosexuelle hat.

Hm ja, was ist dann mit Liebes-, Entäuschungs-, Frust-, Gier-, Wutkriminalität usw? Das gibt es dann alles! Ich habe an anderer Stelle schonmal geschrieben, dass es in allen Bereichen Hass als Antrieb für Verbrechen gibt. Deswegen ist das Wort Hasskriminalität einfach nur eine dumme Phrase. Klingt unheilvoll, aber vom Sinn her ziemlich Blöd.

 

[bensel32]

@Schaby
kannst du dich vorher mal mit dem Thema auseinandersetzen bzw. dich informieren? Ist doch einfacher als irgendwas in die Welt zu posaunen.