Das OPSEC-Wiki (Ein Leitfaden für persönliche Online-Sicherheit)

Diese Übersetzung wurde maschinell erstellt und noch nicht von einer Person überprüft. Sprichst du diese Sprache? Überprüfe sie.

Autor:in: Jacob Mehnert

[summary]Diese Ressource soll Nutzern helfen, die entscheidenden Konzepte der operativen Sicherheit (OPSEC) zu verstehen und persönliche Informationen im digitalen Zeitalter zu schützen.[\summary]

Operative Sicherheit (OPSEC) ist ein Prozess, der kritische Informationen identifiziert, um festzustellen, ob feindliche Aufklärungsdienste freundliche Aktionen beobachten können. Zudem wird ermittelt, ob von Gegnern erlangte Informationen für diese hilfreich sein könnten, woraufhin ausgewählte Maßnahmen ausgeführt werden, um die Ausnutzung freundlicher kritischer Informationen durch Gegner zu eliminieren oder zu reduzieren.

Während das US-Militär den Begriff ursprünglich während des Vietnamkriegs prägte, wurde die Bezeichnung inzwischen von Cybersicherheitsexperten übernommen, um Konzepte zu beschreiben, die sich auf den Schutz digitaler Systeme, Netzwerke, Geräte und Daten vor Cyberbedrohungen sowie auf die Aufrechterhaltung der digitalen Sicherheit konzentrieren.

[quote|format=featured]Zu argumentieren, dass dir das Recht auf Privatsphäre egal ist, weil du nichts zu verbergen hast, ist nicht anders, als zu sagen, dass dir das Recht auf freie Meinungsäußerung egal ist, weil du nichts zu sagen hast.

- Edward Snowden[\quote]

Einer der häufigsten logischen Fehlschlüsse in Bezug auf Online-Privatsphäre ist der Glaube, dass man sich keine Sorgen um die Online-Privatsphäre machen muss, wenn man nichts zu verbergen hat. Obwohl es wahr sein mag, dass du vielleicht nichts zu verbergen hast, hat es reale Konsequenzen, wenn man Unternehmen erlaubt, deine Daten zu sammeln.

Am 25. November 2022 wurde Randal Quran Reid aufgrund von zwei Fällen von Diebstahl und Kreditkartendiebstahl in Baton Rouge und Jefferson Parish verhaftet. Bei Reids Verhaftung wurde jedoch eine entscheidende Tatsache ignoriert: Er war noch nie in Louisiana gewesen.

Was passiert war: Eine Gesichtserkennungssoftware namens Clearview AI wurde von der Polizei verwendet und hatte Reid fälschlicherweise markiert, nachdem sein Gesicht verglichen und festgestellt wurde, dass es mit einem Verdächtigen übereinstimmte, der von einer Überwachungskamera aufgezeichnet wurde. Es stellte sich außerdem heraus, dass Clearview AI über eine umfangreiche Gesichterdatenbank verfügte, die aus Bildern stammte, die auf Websites wie Facebook und LinkedIn hochgeladen wurden.

Obwohl er nie in Louisiana war, wurde Reid eine Woche lang in Polizeigewahrsam gehalten und musste mehrere tausend Dollar an Anwaltskosten zahlen, um freizukommen. Reids Fall war kein isolierter Vorfall, bei dem dieselbe Software jemanden fälschlicherweise markierte. Es gab mindestens vier weitere Fälle von Verwechslungen, und dies sind nur die Fälle, die der Öffentlichkeit weithin bekannt wurden. Viele Menschen haben nicht das Geld oder die angemessenen Ressourcen, um diese Anschuldigungen zu bekämpfen, sodass ihre Namen und Geschichten niemals einer breiten Öffentlichkeit bekannt werden.

Bis Juli 2017 konnte jeder Amazon-Ring-Mitarbeiter auf jedes Video eines Ring-Nutzers zugreifen, selbst wenn dies für seine spezifische Arbeit nicht erforderlich war. Diese Videos waren nicht nur für Amazon-Mitarbeiter frei zugänglich, sondern ein Drittanbieter aus der Ukraine hatte bis Juli 2017 ebenfalls Zugriff auf diese Videos sowie die Freiheit, sie herunterzuladen und zu speichern.

Es sollte auch selbstverständlich sein, dass Amazon-Mitarbeiter diesen Zugriff missbrauchten. Die FTC berichtete, dass ein Ring-Mitarbeiter Tausende von Videos von mindestens 81 Nutzerinnen angesehen hatte. Der Mitarbeiter soll gezielt nach Kamera-Feeds gesucht haben, die darauf hindeuteten, dass sie in den privatesten Bereichen verwendet wurden, wie „Hauptschlafzimmer“, „Hauptbadezimmer“ und eine Kamera mit dem Namen „Spy Cam“. Es wird angenommen, dass der Mitarbeiter sich die Videos mindestens eine Stunde am Tag ansah. Als Ergebnis dieses Vorfalls wurde Amazon der FTC gemeldet, was Amazon dazu zwang, einen Vergleich in Höhe von 5,8 Millionen Dollar zu zahlen.

Ähnlich verhielt es sich im April 2023: Es wurde festgestellt, dass Tesla auf die Kameras in den Autos ihrer Kunden zugreifen konnte. Es wurde auch festgestellt, dass Tesla-Mitarbeiter Videos und Bilder, die von diesen Kameras gesammelt wurden, miteinander teilten. Ein ehemaliger Tesla-Mitarbeiter beschrieb sogar, dass die Kameras selbst dann Videos aufzeichneten, wenn das Auto ausgeschaltet war, und dass das Auto sogar den Standort meldete, an dem es sich befand.

Der ehemalige Mitarbeiter beschrieb, wie die Autos Kunden beim Wäschewaschen und bei anderen Aktivitäten im Haus der Kunden aufnahmen.

Eine der häufigsten Methoden, mit denen Unternehmen ihre Umsätze optimiert haben, ist gezielte Werbung basierend auf Browserdaten, die von Nutzern gesammelt werden. Im Jahr 2020 wurde festgestellt, dass Orbitz, eine beliebte Online-Reiseagentur und Reise-Metasuchmaschine, Mac-Nutzern höhere Preise für Hotelzimmer anzeigte als denjenigen, die einen Windows-PC verwendeten. Orbitz gab später zu, dass sie dieses Nutzermerkmal verwendeten, um Mac-Nutzern teurere Zimmer anzubieten, und entfernte dieses „Feature“ später.

Zusätzlich zu dem spezifischen Gerät, das du möglicherweise verwendest, können Werbetreibende auch persönlichere Daten von der Website sammeln, die du gerade besuchst. Im Jahr 2021 wurde dem Unternehmen Signal verboten, sowohl auf Facebook als auch auf Instagram Werbung zu schalten, weil sie die ihrer Meinung nach ehrlichste Werbekampagne durchgeführt hatten. Der Kern der Kampagne bestand darin, Instagram und seine Muttergesellschaft Facebook mit ihrer Fähigkeit zu konfrontieren, Daten von Nutzern zu sammeln, indem sie diese Nutzer mithilfe der Werbetechnologie-Tools von Instagram gezielt ansprachen.

Einige der verwendeten Daten waren grundlegende Informationen, die vom Alter und Standort des Nutzers bis hin zu detaillierteren Punkten reichten, wie etwa, ob sie auf der Suche nach einem neuen Zuhause waren, Single waren oder sich sehr für Energy-Drinks interessierten.

Selbst wenn das Unternehmen, das deine Daten sammelt, keine Hintergedanken bei der Verwendung dieser Daten hat, bedeutet dies nicht, dass die Daten nicht zum Ziel für andere mit Hintergedanken werden können. Im November 2022 wurden Kundendaten des australischen Unternehmens Medibank, die sich auf Ansprüche für psychische Gesundheitsbehandlungen bezogen, von russischen Hackern im Dark Web veröffentlicht.

In der Woche vom 6. November 2022 veröffentlichte die Hackergruppe nach und nach Dateien, die die persönlichen Daten verschiedener Versicherungsnehmer enthielten. Im Laufe der Woche wurden die Daten von Hunderten von Patienten der Öffentlichkeit zugänglich gemacht, mit der Hauptabsicht, Medibank dazu zu bringen, ein Lösegeld zu zahlen, damit der Datenleck stoppt.

Obwohl Medibank die besten Absichten hatte, die Patientendaten zu schützen, und obwohl Medibank die Daten nicht absichtlich für Hintergedanken verwendete, wurden die Daten dennoch zum Ziel von Hackern und der breiteren Öffentlichkeit preisgegeben.

Glücklicherweise kannst du durch die Änderung einiger Gewohnheiten und die Verwendung der richtigen Technologie deine Daten schützen und deine Privatsphäre und Anonymität verbessern. Es ist wichtig anzumerken, dass einige dieser Schritte eine kleine Herausforderung für deine Surfgewohnheiten darstellen werden, da das moderne Internet so konzipiert wurde, dass es nicht privat ist. Während dir dieses Wiki hilft, die Ressourcen zu verstehen, die du benötigst, um deine Anonymität online zu wahren, musst du auf Bequemlichkeit verzichten.

Das Erstellen eines Bedrohungsmodells ist die Grundlage für die Verbesserung deiner Online-Privatsphäre. Es ist der erste Schritt zur Sicherung deiner Daten. Identifiziere, was du schützen möchtest, verstehe potenzielle Bedrohungen und Risiken, lege deine Sicherheitsziele fest und finde Schwachstellen in deinen Online-Aktivitäten. Ein auf deine Situation zugeschnittenes Bedrohungsmodell ermöglicht es dir, deine digitalen Vermögenswerte proaktiv zu schützen. Erfahre in unserer Anleitung, wie du ein Bedrohungsmodell erstellst.

Viele Menschen konsolidieren ihre Konten und Dienste bei einem einzigen, nicht auf Privatsphäre ausgerichteten E-Mail-Anbieter wie Gmail. Dies führt oft dazu, dass Passwörter für verschiedene Konten wiederverwendet werden, wodurch eine riesige Menge persönlicher Informationen mit dieser E-Mail verknüpft wird. Diese Praxis wird problematisch, wenn ein Datenleck Passwörter und E-Mails offenlegt, wodurch alle mit der E-Mail verknüpften Konten anfällig für Hackerangriffe werden. Eine kompromittierte E-Mail bedeutet kompromittierte zugehörige Dienste.

Die Lösung ist die Dezentralisierung von Konten mithilfe mehrerer E-Mail-Adressen mit einem einzigen Passwortverwaltungssystem. Entscheide dich für einen Passwort-Manager, der nicht webbasiert ist und Online-Registrierung oder Cloud-Synchronisierung vermeidet, um die Anonymität zu wahren. Die Top-Empfehlungen sind KeePassXC oder GNU Pass.

Eines der wichtigsten Dinge, die du beim Schutz deiner Daten berücksichtigen solltest, ist der E-Mail-Dienst, den du verwenden möchtest. Dies sind in der Regel entweder permanente E-Mail-Adressen oder temporäre Wegwerf-E-Mail-Adressen. Unabhängig davon, welche du verwendest, solltest du dich über das TOR-Netzwerk anmelden, da du eine neue Identität zum Surfen anfordern kannst.

Permanente E-Mail-Adressen sind alle E-Mail-Dienste, die du auf absehbare Zeit nutzen möchtest, wie z. B. für Korrespondenz oder Benachrichtigungen für Konten, die mit dieser E-Mail verknüpft sind. Drei gute Dienste, die sehr zu empfehlen sind, sind Tutanota, Mailfence und Proton Mail für eine permanente E-Mail-Adresse.

Temporäre E-Mail-Adressen sind solche, die du nur für kurze Zeit nutzen möchtest. Ein Beispiel wäre das Einlösen eines Gutscheins oder eines Online-Angebots. Für temporäre E-Mail-Adressen solltest du Guerrilla Mail, TempmailO.com oder TempMail.org verwenden.

Webbrowser dienen Unternehmen als umfassende Datensammlungstools. Die besten Optionen für die Privatsphäre sind GNU IceCat und Firefox, da sie bei der Installation robuste Sicherheitskonfigurationen bieten.

GNU IceCat bietet von Anfang an das sicherste Setup. Es gibt jedoch einen Kompromiss: Es unterstützt kein JavaScript, was es für Dienste, die auf JavaScript angewiesen sind, wie YouTube, ungeeignet macht.
Firefox ist benutzerfreundlicher und ebenso sicher, erfordert jedoch einige Anpassungen für eine verbesserte Privatsphäre. Konfiguriere es so, dass Cookies beim Schließen des Browsers gelöscht werden und deaktiviere das automatische Ausfüllen für Kreditkarten- und Adressdaten.

Im Gegensatz dazu sollten Browser wie Google Chrome besser vermieden werden. Chrome priorisiert die Datennachverfolgung aus Profitgründen und bietet standardmäßig oft keine Privatsphäre.

Wenn du deine Online-Privatsphäre sicherst, ist die Wahl deiner Suchmaschine von großer Bedeutung. Anstatt herkömmliche Suchmaschinen zu verwenden, die die Privatsphäre gefährden, empfehlen wir, Alternativen zu erkunden. DuckDuckGo, StartPage und SearX sind nennenswerte Optionen.

DuckDuckGo hat strenge Datenschutzrichtlinien, die das Nachverfolgen oder Speichern persönlicher Daten vermeiden.
StartPage kombiniert Google-Ergebnisse mit verstärkten Datenschutzvorkehrungen.
SearX, eine Open-Source-Metasuchmaschine, ermöglicht das Ausführen einer persönlichen Instanz und bietet so die volle Kontrolle über Suchanfragen und Daten.

Diese Alternativen stellen deine Privatsphäre in den Vordergrund und wahren die Vertraulichkeit deiner Online-Suchaktivitäten.

Bei der Auswahl eines Instant-Messaging-Dienstes (IM) solltest du denjenigen Vorrang geben, die eine Ende-zu-Ende-Verschlüsselung verwenden. Vermeide Plattformen ohne Verschlüsselung wie SMS, da diese anfällig für Abhörversuche durch Mobilfunkanbieter oder Hacker sind. Eine robuste Wahl mit Verschlüsselung ist Signal. Es bietet verschlüsseltes Instant-Messaging sowie sichere Telefon- und Videoanrufe. Die Zentralisierung von Signal birgt jedoch potenzielle Risiken wie Hintertüren oder Besitzerwechsel, die der Privatsphäre gleichgültig gegenüberstehen. Alternativen sind föderierte Dienste wie Element oder Peer-to-Peer-Optionen wie Briar und Jami, die verschiedene Ansätze zum Schutz deiner Privatsphäre bieten.

In einer Zeit, in der der Schutz der Online-Privatsphäre und -Sicherheit von größter Bedeutung ist, ist die Integration eines Virtual Private Network (VPN) ein entscheidender Schritt zur Abschirmung deiner digitalen Präsenz. Ein VPN baut eine sichere, verschlüsselte Verbindung zwischen deinem Gerät und dem Internet auf und stellt sicher, dass deine Online-Aktivitäten vertraulich bleiben und vor neugierigen Blicken geschützt sind, einschließlich Hackern, ISPs und staatlicher Überwachung. Mit einem VPN kannst du inkognito im Internet surfen, auf geografisch begrenzte Inhalte zugreifen und deine Datennutzung in öffentlichen WLAN-Netzwerken stärken. Egal, ob sich deine Sorgen um die Online-Privatsphäre drehen oder du deine Cybersicherheit stärken möchtest, ein VPN erweist sich als unverzichtbares Werkzeug, das dir eine verbesserte Kontrolle über deine digitalen Spuren und ein ruhiges Gewissen in unserem vernetzten Bereich gibt. Erfahre, wie du dein eigenes VPN über dieses umfassende Wiki erstellst.

Anna Brading. „Amazon's Ring Cameras Were Used to Spy on Customers.“ Malwarebytes, 1. Juni 2023, www.malwarebytes.com/blog/news/2023/06/a....
Hill, Kashmir, und Ryan Mac. „'Thousands of Dollars for Something I Didn't Do.'“ The New York Times, 31. März 2023, www.nytimes.com/2023/03/31/technology/fa....
Hill, Kashmir. „Another Arrest, and Jail Time, Due to a Bad Facial Recognition Match.“ The New York Times, 29. Dezember 2020, www.nytimes.com/2020/12/29/technology/fa....
Hunter, Meghan. „Fact or Fiction: Do Airlines Raise Your Ticket Price Based on Your Browser History?“ Million Mile Secrets, 9. April 2021, millionmilesecrets.com/guides/are-airlin....
„Medibank Mental Health Data Posted on Dark Web as Russian Hackers Vow to 'Keep Our Word.'“ The Guardian, 13. November 2022, www.theguardian.com/australia-news/2022/....
Stecklow, Steve, et al. „Special Report: Tesla Workers Shared Sensitive Images Recorded by Customer Cars.“ Reuters, 6. April 2023, www.reuters.com/technology/tesla-workers....
Wodinsky, Shoshana. „Signal Tries to Run the Most Honest Facebook Ad Campaign Ever, Immediately Gets Banned.“ Gizmodo, 4. Mai 2021, gizmodo.com/signal-tried-to-run-the-most....