All Computers Are Beschlagnahmt

Wie schütze ich meine Daten vor Einsicht durch die Behörden?

Einleitung

• Überwachungspolitik wird immer repessiver
  • Polizei bekommt immer mehr Befugnisse
  • Steigendes politisches Interesse gegen linke Politik
• Unsicherheit und Paranoia in der linken Szene
• Realistisches Bedrohungbild vermitteln
  • Angst vor Staatstrojanern aber überall schlechtes Passwort?

Fragen?

Wir sammeln nach dem Talk sämtliche Fragen.

Verstandnissfragen können gerne direkt gestellt werden!

Disclaimer zur Präsentation

Diese Präsentation ist noch in einem Beta-Status.

• Inhaltlich korrekt
  • Teilweise fehlt Kontext auf den Folien -> Kommt durch uns
• Visuell, didaktisch und technisch besteht Verbesserungspotenzial
• Natürlich sind nicht alle potenziell relevanten Themen enthalten

Ablauf

• Threat modeling [inkl. Kleingruppen] (30min)
• Bedrohungen (30min)
• kurze Pause (5min)
• Wie funktioniert Verschlüsselung [interaktiv] (20min)
• Gegegnmaßnahmen (30min)
• Fragen (10-15min)
• Praxisteil (ab 20:00)

Threat Modeling

Schema zum Anwenden

Hilft Bedrohungen zu Identifizieren und Gegenmaßnahmen zu priorisieren

Entwickelt im US-Militär Kontext, “Operational Security”

Verwendet im IT Bereich

Was ist eine Bedrohungsmodellierung?

Konzept

Nur technische Sicherheit

Mehr Gründe warum etwas schief geht (Wohlbefinden etc.)

„Holistic Security“ (ganzheitlichen Sicherheite) versucht menschliche Komponenten zu berücksichtigen

• Schrittweise wiederholbar
• Auf Aktivismus übertragbar
• Nur ein Teil von Sicherheit

Notwendigkeit

Daten sind Macht

Massenhaft produziert und erhoben

Zwangsweise mit Menschen/Institutionen geteilt

In der Breite durch Unternehmen oder gezielt durch Ermittlungsbehörden

Wer weiß was passiert kann das einfacher verhindern

Wer Schwächen kennt kann diese ausnutzen

Wer Geheimnisse kennt kann erpressen

Wenn wir kein Vertrauen in die Personen/Institutionen haben, dann sollten wir keine Daten geben

Gründe warum wir selbst wenn wir Vertrauen haben, vorsichtig sein sollten:

Macht wird Missbraucht:

Daten werden entwendet/geleakt (Bsp. sind Drohbriefe dei November 2017 an Linke Szene Lokale verschickt wurden und LKA Daten beeinhalteten,wie ED-Bilder)

Beispiel: Polizei Abfragen 2019 zu Helene Fischer

Verhältnisse ändern sich:

Gesellschaft ändert sich

Charakter der Institution verändert

Vertrauensverhältnis ändert sich

Historisches beispiel: Rosa Liste, welche zur Keiserzeit Homosexuelle Dokumentiert hat, danach Nazis * Nazis bekommen Register der Religionszugehörigkeit Niederlande 1936

Fazit: Was ich heute für unbedenklich halte, sieht morgen anders aus

Solidarität schützt:

Assoziiert mit Menschen

Eine Schwachstelle im Netzwerk ist Gefahr

Großes Rauschen

Privilegien: Kann es mir leisten mich immer auszuweisen, weil ich Deustchen Pass habe

Wichtig: Aktiv gegen Repression, Verantwortung übernehmen für die Sicherheit der Gruppe

• Daten sind Macht
• Macht wird Missbraucht
• Verhältnisse ändern sich

Schema

1. Assets
   

2. Gegner*innen
   

3. Bedrohungen
   

4. Risiken
   

5. Gegenmaßnahmen
   

1. Assets

Informationen oder (Wert-)Gegenstände

Subjektiv, eure Entscheidung

Je mehr desto besser

Aber, je mehr desto komplexer das Modell

Nach Wichtigkeit sortieren

Was wollen wir schützen?

Identitäten

• Bürgerliche Identität (Name etc.)
• Organisationsstrukturen
• Verhaltensmuster
• Gerätekennungen
• …

Gegenstände

• Dokumente
• Datenträger
• Werkzeuge
• …

Weitere Informationen

• Absichten / Ziele
• Wissensstand
• Skillsets
• …

2. Gegner*innen

Unsere GegenspielerInnen Personen / Institutionen

Vor wem wollen wir es schützen?

Privatpersonen & Gruppen

Zufällig involviert

Politische Motivation

Wirtschaftliche Motivation

Bsp.: Naziangriffe in Neukölln auf politisch Engagierte

• Umweltzerstörer*innen
• Rassist*innen
• Nationalist*innen
• Klimawandelleugner*innen

Firmen (Aktiv)

Wirtschaftliche Interessen

Großes Feld, unterschiedliche Kernkompetenzen

Verhindern, Aufklären, Verfolgen

Fallbeispiel: EDF Greenpeace, Atom Unternehmen beauftragt Sicherheitsfirma Informationen zu Greenpeace Anti-Atom Kampagne zu bekommen, diese wendet auch illegale Methoden (Hacking) an

• PR-Abteilung
• Sicherheitsabteilung
• Rechtsabteilung

Firmen (Passiv)

Infrastruktur

Sammeln und Speichern daten

• Suchmaschinen
• Soziale Netzwerke
• Telekommunikationsunternehmen
• …

Staat

Durch Monopolisierung von Gewalt/Macht immer dabei

SchuPo / BePo meist der Erstkontakt

Kriminalämter: Landes/Bundesoberbehörden

LKA und BKA haben Staatsschutzabteilungen in Berlin LKA 5 (Dezernat 52) für links

Verfassungsschutz: Inlandsgeheimdienst

Unterschiede in Absicht/Fähigkeiten

MilitärischerAbschirmDienst: Bundeswehr

Bsp.: Fall 4 - Franzözische Agent:innen versenken Greenpeace Schiff Rainbow Warrior vor Neuseeland

• Schutz-/Bereitschaftspolizei
• Kriminalamt
• Verfassungsschutz
• MAD & BND

3. Bedrohungen

Ergibt sich aus en Fähigkeiten der Gegner*innen

Welche Bedrohungen sind zu erwarten?

Fähigkeiten der Gegner*innen

Kommen wir später dazu…

4. Risiken

Zweidimensional: Wahrscheinlichkeit und Bedrohlichkeit

Wie schwerwiegend sind die Bedrohungen?

5. Gegenmaßnahmen

Wie können die größten Risiken abgewendet werden?

5. Gegenmaßnahmen

Kommen wir auch später noch dazu…

6. Wiederholung

Gegebenheiten und Risiken ändern sich, wann müssen wir unsere Abschätzung überprüfen?

• Inzwischen hat sich euer Aktionslevel geändert
• Gesetzte haben sich geändert
• …

Datum zur erneuten Überprüfung festlegen

Typische Fails

Selbstüberschätzung:

„Erwischen mich eh nicht“

Vertrauen:

Tendenziell Gefährlich, aber ohne gehts nicht

Notwendig für Handlungsfähigkeit

Abwägung

Risiko Unterschätzung:

Unterschätzung der Risiken von bereits identifizierten Gefahren

Totalüberwachung im Internet von Community theoretisch bewusst, aber bis Snowden nicht ernst genommen

Tor Exit Nodes Überwachung

Beispiel: Handys von Sprayern, zwar Aktionshandy, aber nichts gewechselt, irgendwann auf dem Schirm

Guilt by association:

Beispiel: Andrej Holm, Gentrifizierung → Militante Gruppe

Klartext:

SMS und Email wie Postkarte

Dokumentation:

Keine Pics auf dem Privathandy aus der Blockade

• Selbstüberschätzung
• Vertrauen
• Unterschätzte Risiken
• Guilt by Association
• Klartext
• Dokumentation
• Aktion wegen Risiken nicht durchführen

Gegnerische Fähigkeiten

• Durchsuchungen
• Forensik
• Persönliche Überwachung
• Vorratsdatenspeicherung, Quick-Freeze und Login-Falle
• Funkzellenabfrage, Stille SMS und IMSI Catcher
• Videoüberwachung
• TKÜ
• Staatstrojaner

Vorratsdatenspeicherung

• anlasslose, präventive Speicherung sämtlicher Verkehrsdaten (keine Inhalte)
• EUGH-Urteil (Sep. 2022): rechtswiedrig

Quick-Freez

• BKA fordert “Quick-Freez”
  • “einfrieren” von Verkehrsdaten nach richterl. Beschluss (einen Monat lang)

Login-Falle

Nur zur Begriffserklärung. Wenn ihr auf Dienste ohne Tor ec. zugrift, ist klar, dass durch die IP_adresse zuordnung möglich ist. Egal ob mit oder ohne Login-Falle.

• Login-Falle: für Dienste mit Account-Login
  • verdächtiger Account wird entsprechender Plattform gemeldet
    • Platform aktiviert Login-Falle
      • ab nächstem Login speichert Platform sämtliche Verkehrsdaten und gibt diese an Behörden weiter

Funkzellenabfrage - Was wird erfasst ?

• Zeitpunkt:
  • Einwahl/Auswahl der Geräte
  • Aus- und eingehender Anrufe
  • Anrufversuche
• Rufnummer
• Mailbox Gespräche

SIM - Identifikation durch Abfrage

https://netzpolitik.org/2023/bestandsdatenauskunft-2022-behoerden-fragen-sekuendlich-wem-eine-telefonnummer-gehoert/

SIM - Identifikation durch Abfrage

https://netzpolitik.org/2023/bestandsdatenauskunft-2022-behoerden-fragen-sekuendlich-wem-eine-telefonnummer-gehoert

Private Nummern sind IMMER kompromitiert.

Funkzellenabfrage - Anwendung

Statistik Verfahren mit angeordneten Funkzellenabfrage Länder + GBA

Funkzellenabfrage - Anwendung

Informations- Dokumentationspflicht einzelner Behörden oft gewechselt, deshalb nur gesamt Zahlen nach 2020 in Berlin: 2017 -> 474 2018 -> 628 2019 -> 612

Funkzellenabfrage - Anwendung

IMSI, TMSI, IMEI

IMSI: (International Mobile Subscriber Identity) Unique identifiere of SIM-card IMEI: (International Mobile Equipment Identity) Unique identifier o f phone-hardware (mac-address) TMSI: (Temporary Mobile Subscriber Identifier) Assigned by provider for internal identification od device for protection against eavesdropping

Stille SMS - technisches

App: snoopsnitch

• engl. auch stealth ping, silent SMS oder Short Message Type 0
• „Ein Kurzmitteilungstyp 0 bedeutet, dass das Endgerät (ME) den Empfang der Kurzmitteilung bestätigen muss, aber ihren Inhalt verwerfen kann.“ (GSM-Spezifikation 03.40 aus dem Jahr 1996)
• Sendet “leere” SMS an Rufnummer
  • dadurch keine Reaktion durchs Handy -> keine Benachichtigung
• Bei Betreibern ensteht zurückverfolgbarer Datenverkehr

Stille SMS - Anwendung

Stille SMS - Anwendung

IMSI-Catcher - Was ist das ?

Endgeräte müssen sich sofort dem Netz ggü auth.. Andersherum aber erst später. Lücke dazwischen wir zum downgrade auf 2G ausgenutzt -> 2G ciphering sehr einfach knackbar

• Simuliert Mobilfunkzelle
  • Endgeräte loggen sich bei Zelle mit stärkstem Signal ein
    • Funkzelle fordert „Identity Request“
      • Endgeräte authentifizieren sich mit IMSI, TMSI, IMEI
• Problem:
  • Authentifizierung

IMSI-Catcher - Systematik 1

IMSI-Catcher - Was ist das ?

• App: snoopsnitch
• Talk CCC 2015
• https://www.eff.org/wp/gotta-catch-em-all-understanding-how-imsi-catchers-exploit-cell-networks

• Handy mit privater SIM & IMEI macht identifizierbar & Ortbar
  • -> “Anonyme” SIM-Karte und Handy != Anonym
• Gefahr wenn anonymes Handy wiederverwenden
  • Bewegungsprofil

IMSI-Catcher - Anwenung

Videoüberwachung - öffentlicher Orte und Plätze

• Insbesondere:
  • Anlagen und Einrichtungen der Bahn, eigener Nutzungsvertrag zwischen Bahn und BuPol (Nutzung der Bahn Infrastruktur durch Polizei)
  • Orte wo es “gehäuft zu Drogenhandel, Diebstahl oder Gewalt kommt”(https://netzpolitik.org/2023/intelligente-videoueberwachung-polizei-hamburg-will-ab-juli-verhalten-automatisch-scannen/)

Videoüberwachung - öffentlicher Orte und Plätze

• Pilotversuch Berliner Südkreuz 2020
  • 2023 Schweizer Bahnhof in Schaffhausen (Kaufverhalten analysieren, Miete nach Kundenaufkommen)
  • In Mannheim 18 “KI-Kameras” zur Verhaltensanalyse („Liegen, Fallen, Taumeln, Treten, Schlagen, Schubsen, Anrempeln, Aggressive Körperhaltung und Defensive Körperhaltung“) *

Videoüberwachung öffentlicher Orte und Plätze

Alle genannten Systeme keine direkt personalisierten Erkennungs, oder Fahndungssysteme, nur “anonymisierte Identifizierung” nach Kennungs-Code

• Hamburg plant Einsatz gleichen Sytems
• “Handy-Blitzer” in Rheinlandpfalz
• Frankreich legalisiert Verhaltensscanner zu Olympia 2024

Videoüberwachung Demonstartionen

Datenauswertung: Gesichtserkennung bei G20, nicht zum identifizieren sondern zum verfolgen INPOL Datenbank (ED* Behandlungen) hat fünf Mio. Lichtbilder 40.000 Recherchen in DB 2018 ca. 1000 identifizierte 2018

• Polizei mit Kameras
• Kamerawagen
• Insbesondere hier Datenauswertungen

Video- Audioüberwachung - private Räume

Fallbeispiel verdeckte Tonaufnahmen: Auto was von Antifa-Ost benutzt wurde, wurde verwanzt Fallbeispiel verdeckte Videoaufnahmen: Bei Treffen von linksunten indymedia wurde der Eingang abgefilmt um Strukturinformationen (“Mitglieder”) zu sammeln.

• Grundlagen der Verwanzung
• prinzipiell können priv. Räume verwanzt werden, auch wenn Verdächtige nur ab und zu darin verkehren

Wohnraumüberwachung - Anwendung

Statistik Verfahren Wohnraumüberwachung

TKÜ

Was ist TKÜ?

• Telekommunikationsüberwachung
• Greift Daten beim Anbieter ab

Staatstrojaner

• Begründung Onine-Durchsuchung: verschlüsselte Festplatten
• Begründung Quellen-TKÜ: Ende-zu-Ende-Verschlüsselung

• Malware auf dem Gerät
• Rechtliche Unterscheidung in
  • Online-Durchsuchungen
  • Quellen-TKÜ (Plus)
• Technisch Unterscheidung nicht sinnvoll
  • Sobald Staatstrojaner auf dem Gerät ist, kann er auf alles zugreifen (Chats, Kalender, Kontakte, Notizen, Anrufe, ALLES))

Staatstrojaner

• Erfordern richterliche Anordung
• Geräte auch physisch schützen
  • Die Behörden dürfen auch in eure Wohnung einbrechen um Staatstrojaner auf Geräten zu installieren!

Staatstrojaner - Anwendung

Statistik Quellen-TKÜ durchgeführt

Staatstrojaner - Anwendung

Statistik Online-Durchsuchung durchgeführt

Pause

5 Minuten Pause

Anschließend interaktives Rollenspiel zu Netzwerkkommunikation

Schutz

Verschlüsselung

• Transportverschlüsselung
• Ende-zu-Ende Verschlüsselung
• Festplattenverschlüsselung

Ende-zu-Ende Verschlüsselung

Beispiele für E2EE Dienste und Verfahren:

• Signal
• PGP (hauptsächlich für E-mails)
• Matrix

Festplattenverschlüsselung

Transparent: Die Anwendungen müssen das nicht unterstützen

Die Daten auf dem physischen Speichermedium werden verschlüsselt
Damit transparent für Anwendungen
Möglich bei allen verbreiteten Betriebssystemen

Festplattenverschlüsselung

• iOS: Bei aktuellen Versionen Standard, wenn Displaysperre aktiviert
  
• Android: Bei aktuellen Versionen sollte es Standard sein, wenn Displaysperre aktiviert ist. Kontrolliert das bei euch.
  
• Linux: LUKS verwenden
  
• Windows: VeraCrypt verwenden
  
• macOS: FileVault (von Apple selbst)
  

Festplattenverschlüsselung

Sicherheit

Advanced: Security token mit PIN geht auch Data at rest encryption (vereinfacht): Die Daten sind nur Verschlüsselt, wenn das Gerät aus ist Notwendig, weil sonst die Anwendungen das unterstützen müssen Schlüssel kann aus Arbeitsspeicher gelesen werden Panik funktion sperrt die Festplatte wieder

• Für unseren Einsatzzweck: Nur sicher mit Passwort etc.
• Data at rest encryption -> Daten nur sicher, wenn Gerät aus
• Wenn entsperrt, Schlüssel im Arbeitsspeicher
• Praxistipp: Gerät aus bevor die Behörden es bekommen!
• Android und iOS haben auch eine Panik funktion

Physischer Schutz

• Schrauben mit Glitzernagelack ö.ä. versiegeln

Security tips

Phishing

Der 1. Link führt nicht auf codeberg.org Durch das @ wird der Teil davor als Nutzername verwendet. Eigentlich sollte das nicht funktionieren wenn vor dem @ ein / ist, aber das sind Unicode zeichen die kein “normales” slash sind. Mit anderer Schriftart sehen die slashes fast gleich aus! Passwortmanager Ruf die Webseite so auf, wie du sie normal aufrufen würde

Live Test

Phishing Prävention

• Klickt nicht auf komische Links !
  • Urspung hinterfragen, kann das sein ?!
• Webseite so öffnen, wie du es normalerweise tun würdest
  • Link im Passwortmanager, App, Lesezeichen, Suchmaschine, etc.

Aktionshandy

Aktionshandys einzurichten ist nicht einfach. Wahrscheinlich wird sich auf die sicherheit des Aktionshandys verlassen, deshalb holt euch wirklich Hilfe bei Einrichtung und für Tipps zur sicheren Benutzung. Trotzdem solltet ihr euch auch nicht zu sehr darauf verlassen.

• nicht Zuhause, oder an anderen personalisierbaren Orten/Netzen benutzen
• keine privaten Daten / Logins auf dem Handy
• Aktionshandys müssen korrekt eingerichtet werden !
• Kleine Fehler machen Geräte sehr leicht kompromittierbar
• Holt euch Hilfe zur Einrichtung und Benutzung!

Datenhygiene

Soll keine prinzipielle Kritik an Technologie sein.

• Wenn alle beim Treffen waren, braucht es für manches vielleicht kein Protokoll
• Habe ich vor das Handy für irgendwas zu benutzen?
• Selbstdarstellung ist schon vielen zum Verhängnis geworden

• Wenn es keine Daten gibt, kommen die Behörden auch nicht dran
  • Bester Schutz ist also Daten vermeiden
• Bsw.:
  • Brauchen wir für dieses Treffen ein Protokoll?
  • Muss das Handy mit auf die Aktion?
  • Muss ich Freunden schreiben, welche coole Aktion ich gerade gemacht habe?

Software Updates

Bsw. werden Sicherheitslücken benutzt um Handys zu entsperren, oder um sie mit einem Staatstrojaner zu infizieren

• Ja es nervt (leider)
  • … Aber es ist wichtig
• Stellt automatische Sicherheitsupdates ein
• Updates schließen Sicherheitslücken
  • Die Behörden benutzen Sicherheitslücken
• Schau, wie lange es für deine Geräte überhaupt Updates gibt

Exkurs: Passwort Sicherheit

Zwar generell empfehlenswert, aber als Schutz vor den Sicherheitsbehörden hilft es nur bedingt, außer es geht um verschlüsselte Daten. Die Sicherheitsbehörden kommen mit Gerichtsbeschluss auch ohne eure Passwörter in die Accounts.

Wir erinnern uns:

Passwörter nicht wiederverwenden

Starke Passwörter verwenden

Einen Passwort Manager benutzen

2-Faktor-Authentifizierung

Passwort Manager

Da du dir Passwörter nicht mehr selbst merken musst, ist es kein Problem wenn du für jeden Account ein eigenes, starkes Passwort verwendest

Keepass und Bitwarden sind beide Open-Source und haben Anwendungen für alle üblichen Betriebssysteme / Browser.

Keepass funktioniert Offline, Bitwarden online. Aber auch Keepass lässt sich durch Third-Party Lösungen synchronisieren, fragt uns gerne dazu!

Empfehlung Passw.manag. für Handy’s: [Android: keepassDX, Keepass2Android], [iOS: Strongbox, KeePassium] (alles Empf. aus keepassXC doc’s)

• Speichert Passwörter verschlüsselt für dich
  • Speichert auch die zuordnung zu Webseiten / Apps
    • Erschwert so auch Phishing
• Kann starke Passwörter generieren
• Ist selbt mit einem Passwort und potenziell weiteren Faktoren geschützt
• Die in Browser und Betriebssysteme eingebaute Passwortmanager sind nicht zu empfehlen
• Stattdessen: KeePass, Bitwarden

Starke Passwörter

Okay, aber zumindest ein starkes Passwort für den Passwortmanager brauche ich ja trotzdem.

Wann ist ein Passwort denn stark?

Zeit zum cracken eines Passworts

Tatsächlich kommt es sehr auf die genauen Umstände an. Die Berechnungen hier nehmen ein konkretes Szenario an. Das hier gezeigte Szenario geht von relativ guten Konditionen für die Angreifer aus.

So gehen wir von MD5 als Hashingalgorithmus aus und davon, dass die Angreifer die Hardware zur verfügung haben mit der ChatGPT trainiert wurde. Kaufpreis: ca. 9000 Eur. pro Stück für die Variante mit 40GB Speicher. 9000 * 10000 = 90.000.000 Eur. Zur Miete eher nicht günstiger. Ohne restliche Hardware, Stromkosten, etc.

Und das für ein Passwort von einer Person.

Wichtge Vorraussetzung: Das Passwort muss zufällig generiert worden sein!

Zeit zum cracken einer Passphrase

Selbes Szenario wie eben. Wir nehmen, an, dass der Angreifer weiß, dass eine Passphrase verwendet wird und entsprechend eine Wordlist-Attack verwendet.

Wichtge Vorraussetzung: Die Passphrase muss zufällig generiert worden sein! Bsw. mit Diceware.

2-Faktor Authentifizierung

Biometrie

Aktuelle Urteile sagen Beh Shoutout an Starbug vom CCC, der die ganzen Biometrie-Dinge kaputt gemacht hat.

• Behörden dürfen euch zwingen Dinge mit Biometrie zu entsperren
  • Zur herausgabe des Passworts dürfen sie das nicht
• Biometrische merkmale können auch einfach kopiert werden
  • Können nicht geändert werden

• -> Daher bietet Authentifizierung mit Biometrie keinen guten Schutz gegen Repressionsbehörden.

Fragen

Links

Anleitungen

• Beschlagnahmt.org
• Surveillance Self-Defense
• Privacy Handbuch
• Fingerabdrücke Faken CCC
• Prisma Kapitel: “Unsere eigene Sicherheit”

Initiativen

• Tacicaltech
• Electronic Frontier Foundation
• Digital Courage

Inhalte/Analysen

• Chronik des Überwachungsstaates
• Datenschmutz Wiki

Tipps

• Radical Servers
• Crypto Party
• Prism Break

Quellen

• beschlagnahmt.org
• skills for utopia (Bedrohungsmodellierung)
• datenschmutz.de
• netzpolitik.org
• fragdenstaat.de

esc-it

• Escape IT
  • https://esc-it.org
  • esc-it@systemli.org
  • PGP-Fingerprint:
    0BDB 1EB8 2477 0874 9876 DAE0 B923 BEA9 EAAF 0B15

Unterstützung

• Inhaltliche Arbeit
• Lektorat
• Gestaltung
• Didaktik
• Jurist*innen
• Forensiker*innen

Spenden

Um die Kosten für Webseite, Hardware und Material zu decken wäre esc-it über eine kleine Spende dankbar.

Feedback

Feedbackformular (ca. 5 min):

https://esc-it.org/feedback

Praxis