VDS & Datenschutz Technische Aspekte

Transkript

1 VDS & Datenschutz Technische Aspekte Andreas Krisch

2 European Digital Rights EDRi Dachorganisation europ. Datenschutz- und Bürgerrechtsorganisationen gegründet Mitgliedsorganisationen 18 europäische Länder Newsletter EDRi-gram seit 2003 deutschsprachige Ausgabe seit 2006 auf

3 Überblick Technische Aspekte: Kommunikations-Inhalt und Zeit Vorratsdaten Ziele der Richtlinie Datenschutz & Datensicherheit

4 Technische Aspekte: ISP-übergreifende Übermittlung zahlreiche Möglichkeiten zu Datenmanipulation Quelle: Stampfel2007

5 Technische Aspekte: (1) Envelope (MAIL, RCPT) Zustell-Informationen f. d. Mailserver kann sich von Header unterscheiden ist einzig relevante Information f. Zustellung MAIL FROM: RCPT TO:

6 Technische Aspekte: (2) Content (Header + Body) Informationen f. d. Empfänger der Nachricht ist für Zustellung irrelevant sämtliche Angaben können falsch sein From: <andreas.krisch@vibe.at> To: <hugo.hurtig@example.com> Date: Mon, 9 Mar :40: (CET) Subject: Mail-Example Ein Beispielmail zur Veranschaulichung.

7 Technische Aspekte: (3) Content (Header + Body) Envelope-Daten im Content MAIL als Return-Path und evtl. envelopefrom die Angaben im Content können falsch sein Return-Path: <andreas.krisch@vibe.at>... Received: from... by metternich.vibe.at (Postfix) (envelope-from <andreas.krisch@vibe.at>)

8 Technische Aspekte: (4) Praxis-Beispiel: SPAM Return-Path: Received: from metternich.vibe.at (EHLO metternich.vibe.at) [ ] by mx0.xxx.net (mx014) with SMTP; 08 Mar :40: Delivered-To: From: To: Subject: Discount Date: Sun, 8 Mar :40: (CET) [div. SPAM-Content]

9 Technische Aspekte: Inhalt & Zeit SPAM von Speicherung ausschließen? SPAM-Erkennung = inhaltliche Wertung Regeln f. SPAM-Erkennung? Speicherung von Inhaltsdaten ist verboten (Art. 5 (2)) Datum & Uhrzeit nicht alle Server-Uhren verfügen über selbe Zeit entscheidend f. korrekte Daten-Zuordnung!

10 Technische Aspekte: Daten Daten einer Kommunikation: Quelle: Stampfel2007

11 Rechtlicher Aspekt: Ziele d. RL Artikel 1 (1) d. RL:... um sicherzustellen, dass die Daten zum Zwecke der Ermittlung, Feststellung und Verfolgung von schweren Straftaten, wie sie von jedem Mitgliedstaat in seinem nationalen Recht bestimmt werden, zur Verfügung stehen. (RL200624EG) EuGH-Urteil:... entschied der EuGH, dass diese keine Regelung der Strafverfolgung treffe, sondern den Zweck habe, durch harmonisierte Regelungen zur Vorratsdatenspeicherung das Handeln der Telekommunikationsdienstleister im Binnenmarkt zu erleichtern. (Arndt2009) keine Daten-Nutzungspflicht!

12 Datenschutz & Datensicherheit Vorschlag: Public Key Encryption Staat erstellt Schlüsselpaar (public & private key) Provider verschlüsselt bei Speicherung (public key) Staat stellt Anfrage (IP-Adresse, Zeitpunkt,...) Provider verschlüsselt Anfrage, sucht in verschlüsselten Daten Provider übermittelt verschlüsselte Daten Staat entschlüsselt (strenge Sicherheitsauflagen!)

13 Datenschutz & Datensicherheit (1) Vorteile Public Key Encryption: Schutz vor Daten-Missbrauch bei Providern Schutz vor Daten-Missbrauch beim Staat Entschlüsselung kann beim Staat zentral erfolgen, ermöglicht nochmalige Prüfung der Rechtmäßigkeit Datenspeicherung wichtig: dezentrale Speicherung bei Providern! vermeidet missbrauchsanfälligen zentralen Datenpool

14 Quellen [Stampfel2007] The EU Data Retention Directive 2006/24/EC from a Technical Perspective, G. Stampfel et. al., Department of Distributed and Multimedia Systems, Faculty of Computer Science, University of Vienna, Austria, 2007 [Arndt2009] Urteil des EuGH über die Vorratsdatenspeicherungs-Richtlinie, F. Arndt, Deutscher Bundestag, Wissenschaftliche Dienste Nr. 04/09, 02. März 2009 [RL200624EG] Richtlinie 2006/24/EG des Europäischen Parlaments und des Rates vom 15. März 2006 über die Vorratsspeicherung von Daten, die bei der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste oder öffentlicher Kommunikationsnetze erzeugt oder verarbeitet werden, und zur Änderung der Richtlinie 2002/58/EG

15 Danke für die Aufmerksamkeit! Andreas Krisch Danke für die Spenden! European Digital Rights AISBL IBAN: BE BIC: KREDBEBB