Translate

Sonntag, 1. Februar 2015

Facebook AGB: Das Katz-und-Mausspiel um die eigenen Daten

Shortly

Facebook hat seine AGB's geändert und will nun zu Werbezwecken den Nutzer über das eigene Netzwerk hinaus verfolgen, auch ohne Cookies. War dies zuvor immer schon durch den Like-Button auf anderen Homepages möglich, so soll es jetzt auch ohne diesen Button gehen. Wie das funktioniert und welche Methoden - auch für wenig technikversierte User - es gibt, um das zu unterbinden, werde ich in diesem Beitrag erklären. Das Beispiel basiert aufgrund des aktuellen Anlasses auf Facebook, kann aber auch für andere Soziale Netzwerke verwendet werden.

Was sind Cookies

Ein Cookie ist eine Datei, die beim Laden einer Webseite angelegt wird. Es beinhaltet verschiedene Informationen und sorgt zum Beispiel dazu, dass man sich nicht bei jedem Anklicken eines Links neu einloggen muss. Cookies werden auf dem Computer gespeichert und werden dann ausgelesen. Dadurch kann man einen Nutzer eindeutig identifizieren und für Werbung verwenden. Die Browser bietet jedoch eine Möglichkeit die Nutzung von Cookies einzuschränken oder ganz zu unterbinden. Weiters kann man in den Browsereinstellungen auch die Cookies löschen und auch einstellen, dass sie beim Beenden automatisch gelöscht werden.

Der Like-Button

Über die Social-Media Buttons wie der Like-Button von Facebook ist es Facebook möglich Nutzerbezogene Daten zu erfassen, besonders wenn der User bei Facebook eingeloggt ist. So kann dann der Facebook-User noch genauer analysiert werden und seine Interessen verfolgt werden.

Zwei-Klick-Button

Um dem Nachspionieren Einhalt zu gebieten, sind manche Webseiten dazu übergegangen, einen Zwei-Klick-Button einzuführen. Das heißt, der Button ist nicht aktiv und Facebook kann keine Daten sammeln. Erst wenn man auf den Button klickt wird er aktiv und ein nochmaliger Klick bestätigt das "Liken" der Seite/Text etc.

Ghostery

Ghostery ist ein Plugin für alle gängigen Browser das einem die Augen öffnen wird. Es dient dazu ungeliebte Werbung, Tracker und Co. zu blockieren. Es zeigt beim Laden einer Webseite an, wieviele Werbung/Tracker es gefunden hat und ob sie blockiert wurden. Manche Seiten laden sehr viele Dinge wo man sich echt fragt wozu.

Screenshot: Ghostery Plugin im Firefox auf ZeitOnline
Inhalte  vorsorglich geschwärzt*.

Man kann mit Ghostery generell alles blockieren oder nur bestimmte Sachen. Wenn man alles blockiert, kann man dann nachträglich noch die Einstellungen über die Schaltfläche ändern. Das ist manchmal notwendig, da sonst die Kommentarfunktionen nicht funktionieren oder wenn man eine Seite mit Werbung unterstützen will.
Kritik gibt es, da Ghostery bittet das Ghostery-Tracking zu aktivieren. Klingt als erstes paradox, dass ein Plugin, dass Tracking verhindert selbst "schnüffeln" will. Das Ghostery-Tracking ist standardmäßig deaktiviert und kann nur vom Benutzer selber aktiviert werden, ein sogenanntes Opt-In. Ghostery gibt an, dass sie diese Informationen an bestimmte Dritt-Organisationen wie Universitäten zu Forschungszwecken weitergibt bzw. die Daten selber nutzt um den Service zu verbessern. Da es ein Opt-In ist, kann jeder selber entscheiden ob er es aktiviert.
Für Smartphones und Tablets gibt es einen eigenen Ghostery-Browser, der in den jeweiligen App-Stores heruntergeladen werden kann.

Digitaler Fingerabdruck

Wie also will Facebook jetzt einen ohne Cookies und Like-Button verfolgen? Dazu hat Facebook das Werbenetzwerk Altas übernommen. Mit diesem Netzwerk sollen dann Werbungen auf anderen Webseiten geschaltet werden. Damit Atlas einen erkennen kann, braucht es entweder Cookies. Manche Nutzer deaktivieren aber Cookies, wodurch es eine neue  Lösung braucht um die Nutzer zu erkennen. Der digitale Fingerabdruck macht die Erkennung möglich.. Der digitale Fingerabdruck setzt sich aus verschiedenen Informationen zusammen die man über Java, Javascript oder Flash auslesen kann. Standardmäßig wird die IP-Adresse und der Browser (Firefox, Chrome...) übermittelt. Jedoch kann der Webserver noch aktiv weitere Dinge über Plugins (Flash, Javascript & Co.) auslesen. So kann das Betriebssystem, die installierten Plugins des Browsers und auch installierte Schriftarten ausgelesen werden. Je mehr Informationen abgefragt werden, desto eindeutiger der sogenannte digitale Fingerabdruck.
Wer wissen will, was alles an Daten gesammelt wird, kann diese zwei Seiten einmal ausprobieren:
Henning Tillmann hat sich damit intensiv auseinandergesetzt und festgestellt, dass sich die Informationen, die für den Fingerabdruck notwendig sind, nur selten ändern und somit die Nutzer sehr gut identifiziert werden können.

Welche Methoden verhindern die Verfolgung (für PC)

Ausloggen und Cookies löschen

Nicht alle Seiten erstellen einen digitalen Fingerabdruck, weshalb es ratsam ist, sich immer von allen Seiten die man besucht hat abzumelden. Weiters hilft auch die Einstellung beim Beenden des Browsers automatisch die Cookies zu löschen. Damit kann man auf Nummer sicher gehen, dass, eine Webseite einen nicht anhand bestehender Cookies identifizieren kann, wenn der Browser neu gestartet wird.

Umgehen des digitalen Fingerabdrucks

Will man also die ständige Überwachung durch den digitalen Fingerabdruck umgehen, muss man also dafür sorgen, dass die Informationen für den Fingerabdruck während des Surfens variieren, um nicht mit dem eigenen Facebook-Konto verknüpft zu werden.

Surfgewohnheit aufteilen

Als erstes sollte man seine Surfgewohnheit anpassen, in dem man für soziale Netzwerke wie Facebook einen anderen Browser verwendet. Leider reicht das noch nicht, da die IP Adresse noch gleich bleibt, sowie andere Informationen des digitalen Fingerabdrucks.
Die nächsten Beispiele sollen Möglichkeiten aufzeigen, um den sozialen Fingerabdruck nicht mit dem restlichen Fingerabdruck in Verbindung gebracht werden sollen.

Deaktivierte Plugins

Verwendet man schon einen anderen Browser, so sollte dieser Browser so wenig wie möglich Plugins installiert und standardmäßig Flash, Javascript und Java deaktiviert haben. Leider kann man mit deaktivierten Plugins nicht garantieren, dass die Webseiten auch noch 100 prozentig funktionieren, da Javascript sehr weit verbreitet und auch eingesetzt wird, um Inhalte darzustellen. Doch auch mit anderem Browser ist dann immer noch die IP-Adresse die Selbe, worüber man auch identifiziert werden kann. Jedoch kann nicht eindeutig davon ausgegangen werden, dass immer nur eine Person mit dieser IP surft. Bei einem Mehrpersonen Haushalt ist die öffentliche IP immer gleich und soviele Browser gibt es nun auch nicht bzw. muss man davon ausgehen, dass die Familienmitglieder den selben Browser verwenden.
Browser Addons die einem helfen sind zum Beispiel Quick Java oder Noscript. Diese findet man in der Addon-Suche des Browsers.

VPN + Anderer Browser

Mit einem VPN (Virtual Private Network) kann man auch seine IP Adresse verschleiern und so tun, als würde man von einem anderen Land aus surfen. Es gibt sehr viele Anbieter auf dem Markt und man sollte sie vergleichen und prüfen, welche Anforderungen man hat. So gibt es auch Anbieter die auch Apps für mobile Endgeräte bereitstellen. Ich verwende VPN Unlimited, das ich bei einer Aktion um wenige Dollar erworben habe. Hier wird zwar die IP Adresse verschleiert, dennoch können andere Informationen mittels Flash/Javascript ausgelesen werden, sofern diese aktiv sind. Benutzt man in Kombination noch einen anderen Browser als sonst, verwässert man den Fingerabdruck.

Tor-Browser

Der Tor-Browser nutzt zur Kommunikation das Tor-Netzwerk. Dieses Netzwerk besteht aus mehreren Knotenpunkten über die mit dem Internet kommuniziert wird. Die einzelnen Knotenpunkte kommunizieren verschlüsselt untereinander aber nicht mit der Ziel-Webseite. Das Torsystem anonymisiert den Weg zum eigentlichen Ziel. Dadurch dass viele verschiedene Knoten verwendet werden, wird der Fingerabdruck den man sonst normaler Weise hinterlässt verwischt. Weiters werden die Daten in gewissen Abständen automatisch gelöscht. Durch das Tor-Netzwerk erhält man auch eine andere IP-Adresse wodurch schon einmal eine der Hauptinformationen wegfällt.

Browser in the Box

Browser in the Box ist eine auf Virtual Box basierte Virtualisierungs-Software mit Linux. Somit verändert sich der Fingerabdruck dahingehend, dass ein anderes Betriebssystem und Browser (Chrome oder Firefox) verwendet wird. Der Vorteil ist, dass man keine genauen Kenntnisse über Virtualisierung benötigt, jedoch wird mit dem heruntergeladenen Paket die IP Adresse nicht verändert.

Virtuel Box + anderes Betriebssystem + anderer Browser + Tor + Foxy Proxy

Die wohl sicherste Variante ist eine Virtualisierungssoftware einzusetzen, wie sie bei Browser in the Box ebenfalls verwendet wird. Mit einer Virtualisierungssoftware wie zum Beispiel Virtual Box ist es möglich verschiedene Betriebssysteme nebeneinander zu betreiben ohne den PC neuzustarten. Diese Variante braucht viele Hardware Ressourcen, weshalb man testen sollte, ob es die Hardware im PC schafft. Wie man Virtual Box installiert und mit einem Ubuntu Betriebssystem versieht, kann man hier nachlesen. Wichtig bei den verschiedenen Betriebssystemversionen innerhalb von Virtual Box ist, dass man zusätzliche Treiber installiert, damit die Anzeige des Betriebssystem mit der Fenstergröße von Virtual Box übereinstimmt. Diese Treiber, werden in der Bezeichnung "guest addition" und/oder "virtualbox-guest" tragen.

XUbuntu: zusätzliche Treiber Einstellungen


Des weiteren sollte bei der Virtual Box selbst eingestellt werden, dass die Zwischenablage bidirektional erfolgt. Dies ermöglicht das kopieren von Informationen aus dem visualisierten in das eigentliche Betriebssystem. Dies erreicht macht im Virtual Box Fenster über Geräte -> gemeinsame Zwischenablage -> bidirektional.
Ist das Betriebssystem in Virtual Box eingereichtet und alle Aktualisierungen installiert, kann man das Tor Bundle installieren, um die IP Adresse zu verschleiern. In Linux basierten Betriebssystemen  öffnet man dazu ein Terminal und folgenden Befehl ein:
sudo apt-get install tor 
Tor läuft dann automatisch im Hintergrund nach jedem Start und auch nach der Installation. Firefox kann über das Ubuntu Sofwarecenter installiert werden. Chrome lädt man am Besten von der Google Homepage herunter. Im Terminal navigiert man dann zum Download-Ordner (cd Downloads) und führt folgenden Befehl  
sudo dpkg --install *.deb
aus (darauf achten, dass nur chrome im Ordner liegt, sonst werden alle Debian-Pakete installiert). Um auf Nummer sicher zu gehen, sollte man den Browser verwenden, den man sonst nicht verwendet, um den digitalen Fingerabdruck zu verwässern.
Nach der Installation des Browser muss man das Plugin "FoxyProxy" installieren. Hier stellt man dann die Verwendung des Tor-Netzwerkes ein. Bei der IP-Adresse muss 127.0.0.1 mit dem Port 9050 eingestellt werden. Das Häkchen bei SOCKS Proxy muss auch noch gesetzt werden. Im Allgemeinen Einstellungsreiter (im Bild "General") kann man für jeden eingestellten Proxy noch eine Farbe vergeben. Dadurch wird beim Seitenaufbau neben der Adresseleiste im Browser angezeigt, welcher Proxy verwendet wird.

FoxyProxy Einstellung für Tor
Da Tor nur periodisch die Daten löscht, kann also für eine gewisse Zeit dennoch auch ein Fingerabdruck erstellt werden. Will man dies verhindern, so kann man noch URL Patterns festlegen, für die das Tor-Netzwerk verwendet werden sollen. Diese trägt man in die Whitelist ein, das bedeutet nur Adressen, die dem eingetragenen Muster entsprechen, werden über diesen Tor-Proxy geleitet. In dem Beispiel-Bild unten sieht man ein definiertes URL-Pattern für Facebook, damit alle Facebookseiten über den Tor-Proxy laufen.

URL Pattern für FoxyProxy

Zu guter Letzt muss man im FoxyProxy noch einstellen, dass URL Patterns verwendet werden müssen. Dies ist eine Auswahlliste ganz oben im FoxyProxy selbst.

Festlegen, dass URL Pattern verwendet werden

Um zu überprüfen, dass die Einstellungen funktionieren, so trägt man noch ein URL Pattern für "wieistmeineip.de" für den Tor-Proxy im FoxyProxy ein. Am besten den Browser neustarten, da manchmal die Einstellungen im FoxyProxy nicht sofort übernommen werden. Ruft man jetzt wieistmeineip.de auf so wird die IP für den Tor-Proxy angezeigt. Öffnet man einen neuen Tab und geht auf wieistmeineip.at so wird die tatsächliche IP Adresse angezeigt.

Damit wären die Einstellungen fertig, um damit auf Facebook zu surfen und nur auf Facebook. Andere Webseiten sollte man jetzt mit einem anderen Browser innerhalb der Virtualisierungssoftware ansurfen oder generell auf das Hauptbetriebssystem wechseln. Man kann natürlich im selben Browser andere Tabs zum surfen öffnen, aber solange man bei Facebook angemeldet ist, legt Facebook auch Cookies ab, was wiederum das Identifizieren erleichtert. Verwendet man auch innerhalb der Virtualiserung einen anderen Browser unterscheiden sich die Fingerabdrucke. Weiters kann man auch auf dem Hauptbetriebssystem surfen, was auch einen anderen Fingerabdruck erzeugt.

Beim Surfen über die Virtualisierung hat sich gezeigt, dass Facebook schon viel über mich weiß. So wird mir wenn ich mich über die Virtualisierung surfe, gemeldet, dass mein Konto vorrübergehend gesperrt wurde, und ich einige Sicherheitsfragen beantworten soll um mich einloggen zu können. Das heißt Facebook weiß, dass ich normalerweise eine andere IP Adresse verwendet habe.

Ein weiterer Vorteil von Virtualisierungssoftware ist, das es auch eine Sicherheit gegen Malware, Viren und andere Schädlinge gibt. Selbst wenn es die Sicherheitseinstellungen der Virtulisierungssoftware überwinden kann, so ist immer noch ein anderes Betriebssystem als Basis vorhanden. Da die meisten Viren auf das jeweilige Betriebssystem zugeschnitten sind, kann es dann auf dem Basissystem keinen Schaden anrichten. 100 prozentige Sicherheit gibt es zwar nicht, aber ich würde sagen man ist zu 99% sicher.

Methoden für mobile Geräte

Auf mobilen Geräten ist es natürlich schwieriger, seine Identität zu verschleiern, denn eine Virtualisierung ist noch nicht wirklich vorhanden. Es gibt natürlich Überlegungen dafür aber habe ich noch nichts gehört, dass es schon eine Marktreife Version für mobile Geräte gibt. Somit bleibt einem weniger Möglichkeiten als auf dem PC.

keine Facebook-App verwenden

Das erste ist einmal nicht die Standard Facebook App zu verwenden. Vor dem Installieren der App unter Android sieht man schön aufgelistet, welche Rechte Facebook haben möchte und das sind einige. Ich glaube es war 2013 als Facebook ungefragt die E-Mail Adressen in den Kontaktdaten am Telefon auf Facebook E-Mail Adressen geändert hat und die bisherigen gelöscht hat. Das kam natürlich bei den Nutzern nicht sehr gut an, aber bei der Installation haben die Nutzer zugestimmt, der App die Rechte dafür zu geben.
Also am Besten die App nicht verwenden. Kann man nicht darauf verzichten, so kann man unter Android die Rechte der einzelnen Apps noch Einschränken, wie im nächsten Abschnitt beschrieben.

Rechte von Apps einschränken (Android)

Unter Android gibt es verschiedene Apps, die einem helfen Rechte von Apps wieder zu entfernen. Während dieses Feature in älteren Versionen Standard war, gibt es dieses in den Neuen ab Version 3 oder 4 nicht mehr.
Vorsicht: beim Einschränken der Rechte von Apps, kann es sein, dass dann die App nicht mehr richtig funktioniert.

AppGuard (derzeit nicht für Lollipop)

AppGuard ist eine kostenpflichtige App. Für 3,99 Euro kann man einen Lizenzschlüssel erwerben. Sie ist sehr übersichtlich und einfach zu bedienen. Jedoch ist sie nicht mit der neuesten Version von Android (Lollipop, Version 5) kompatibel.

Apps Ops Starter

Ist eine kostenlose App und bietet auch die Rechteverwaltung an. Sie ist nicht so übersichtlich wie AppGuard erfüllt aber auch Ihren Zweck. Die App kann über den PlayStore heruntergeladen werden.

Anderer Browser

Flash hat die Unterstützung für mobile Endgeräte eingestellt, weshalb darüber keine Informationen abgerufen werden können. Javascript funktioniert aber und die Plugins zum Blockieren für Firefox funktionieren in der mobilen Version nicht.
Zusätzlich zum Browser sollte man auch noch eine VPN-Lösung in Betracht ziehen.

Tor für Android

Tor ist auch unter Android verfügbar. Eine Anleitung zum Einrichten findet ihr hier.

Flipboard + Buffer (Update 11.3.2015)

Flipboard

Mittels Flipboard kann man Einträge von Facebook abfragen, liken und kommentieren ohne grobe Verstöße gegen die Privatsphäre. Flipboard (für Android) braucht lediglich Zugriff auf die Identität - logisch, wenn ihr euch mit einem Sozialen-Netzwerk Account anmeldet. Jedoch kann wenn ihr darüber Facebook abruft, Facebook nichts von eurem Handy Auslesen. Flipboard kann auch im Browser über die Homepage verwendet werden.

Buffer

Während ihr mit Flipboard eure Facebookeinträge lesen könnt, könnt ihr mit Buffer Beiträge auf verschiedenen Netzwerken gleichzeitig teilen. Das hat den Vorteil, dass ihr Links nicht umständlich zwischen verschiedenen Apps hin und her kopieren müsst. Facebook kann auch hier keine Daten auslesen und die Buffer App braucht keine besonderen Berechtigungen (Identität, Fotos und Medien und Daten aus dem Internet abrufen), weshalb auch hier nicht geschnüffelt wird. Buffer bietet auch für den PC Browser Erweiterung und eine Weboberfläche. Hier geht es zur Homepage.

Update Ende

Ich hab doch nichts zu verbergen

Auf den ersten Blick mag das sein, doch auch auf den zweiten? Informiert man sich über ein heikles Thema, zum Beispiel über eine Krankheit oder Operation, will man dann auch das Facebook das weiß? Bei medizinischen Daten gilt ein strenger Datenschutz, aber der hilft nichts wenn der User unbedacht im Netz surft und somit diese Information teilweise und unwissentlich preisgibt. Ist natürlich ein Extrembeispiel, aber es gibt genug andere Beispiele (politische Einstellung, sexuelle Neigungen,...) wo man nicht möchte, dass jeder das weiß.
Hinzukommt, dass auch die Geheimdienste ordentlich im Netz schnüffeln und auch Firmen zwingen Daten der Nutzer preiszugeben. Während bei der analogen Post das Briefgeheimnis gilt, soll dies bei der digitalen nicht gelten. Nur weil man es kann, heißt es nicht dass es moralisch vertretbar ist es auch zu tun. Deshalb sollte man es den Geheimdiensten auch schwerer machen Informationen zu sammeln. Und die Ausrede, man wolle Terroranschläge verhindern, zieht nicht. Die Geheimdienste konnten keine Beweise vorlegen, dass sie auch wirklich einen Anschlag mal verhindert hätten. Außerdem bezweifle ich, dass Terroristen Gmail, Facebook & Co verwenden (ansonsten sind es die dämlichsten Terroristen die man gesehen hat). Es gibt genug Möglichkeiten der Überwachung zu entgehen und es werden eigentlich nur die eigenen Bürger überwacht. Die Terroristen wie in Paris, hat man vorher schon gekannt und das durch gute alte Polizeiarbeit.

Anything Else...?

Natürlich ist nicht nur Facebook fleißig am Datensammeln und Auswerten. Jedoch gab Facebook mit seinen AGB Änderungen den Anstoß für diesen Beitrag. Somit kann man sich für verschiedene Seiten und Surfgewohnheiten andere Browser einrichten oder auf Virtualisierung zurückgreifen. So könnte man die Virtualisierung mit Browser generell für Soziale Netzwerke verwenden.

Ich verwende für Facebook nur mehr die Virtualisierungsvariante mit Tor. Facebook brauche ich nur sporadisch und bin eigentlich geistig dort schon abgemeldet. Trotz der AGB Änderungen habe ich den Account nicht gelöscht, da ich dort ein paar Kontakte habe, die ich nur in Facebook habe.

Alternative Suchmaschinen

Auch zu Google, Yahoo und Bing gibt es Alternativen, die Datenschutz groß schreiben. DuckDuckgo leitet die Suchanfragen an Google weiter, aber keine Informationen darüber wer diese Anfrage geschickt hat. Genauso Ixquick, jedoch verwenden sie laut eigenen Angaben mehrere Suchmaschinen während sie den Benutzer anonym halten.

Danke

Danke an meine bessere Hälfte, da er mir für diesen Beitrag nützliche Tipps und Links gegeben hat. :-*

Links

Seiten zur Analyse des digitalen Fingerabdrucks
https://panopticlick.eff.org/
http://browserspy.dk/
http://www.henning-tillmann.de/2013/10/browser-fingerprinting-93-der-nutzer-hinterlassen-eindeutige-spuren/

Plugin/Browser zum Blockieren von Trackern
https://www.ghostery.com/de/ 
https://www.torproject.org/projects/torbrowser.html.en

Tor-Projekt und Anleitung für Andoird
https://www.torproject.org/download/download-easy.html.en
Virtualisierungen und Anleitungen
http://download.sirrix.com/content/pages/bbdl.htm
https://www.virtualbox.org/wiki/Downloads
http://www.pcwelt.de/ratgeber/Gratis-Virtuellen-PC-mit-VirtualBox-Ubuntu-einrichten-168187.html

VPN
https://www.vpnunlimitedapp.com/

Rechteverwaltung für Android
http://www.srt-appguard.com/
https://play.google.com/store/apps/details?id=com.schurich.android.tools.appopsstarter

Alternative Suchmaschinen
https://duckduckgo.com/
https://www.ixquick.com/

IP Adressen Check
http://wieistmeineip.de/
www.wieistmeineip.at

*Anmerkung bezüglich des Leistungsschutzrechtes:
Der Inhalt wurde vorsorglich geschwärzt, da ich mir bezüglich der Rechtslage von Screenshots von Webseiten nicht sicher bin und in Deutschland auch noch das Leistungsschutzrecht eingeführt wurde. 
Eingestellt von
Labels: