Auswirkungen unsicherer Netzwerke: was wirklich offenliegt

Eine Sache unterscheidet diese Einheit von den übrigen: ein großer Teil dessen, was die Menschen an den Auswirkungen unsicherer Netzwerke fürchten, trifft heute nicht mehr zu, und was sie fürchten sollten, benennt fast niemand.

Dieser Beitrag versucht, beides in eine Reihe zu bringen, denn ein schlecht beschriebenes Risiko führt zu den falschen Vorsichtsmaßnahmen – meist zu vielen in der nutzlosen Richtung und zu keiner einzigen in der Richtung, auf die es ankommt. Wer diese Wirkungen richtig einordnet, spart sich Aufwand und gewinnt zugleich Schutz.

Der Beitrag vertieft die Empfehlung sensible Daten im öffentlichen WLAN.

Auswirkungen unsicherer Netzwerke: was sieht, wer das Netz betreibt

Die richtige Frage lautet nicht „ist das Netz sicher?“, sondern „was sieht, wer es betreibt?“.

Die beiden letzten Zeilen sind der Kern dieser Einheit: die Anmeldeseite des Netzes ist der einzige unverschlüsselte Teil der Verbindung, und genau dort fragen manche Netze Daten ab.

Die vierte Zeile muss man ehrlich einschränken: der Inhalt ist geschützt, die Liste der Websites, die Sie aufrufen, lässt sich jedoch zu einem guten Teil rekonstruieren. Das sagt viel – welche Banken Sie nutzen, welche Dienste, welche Interessen Sie haben –, ohne dass eine einzige Zeile mitgelesen würde.

1. Vertraulichkeit: das Profil, nicht die Inhalte

Praktisches Beispiel

Zwei Stunden Arbeit im WLAN eines Hotels. Der gesamte Datenverkehr ist verschlüsselt.

Vorfallszenario

Wer das Netz betreibt, liest nichts von dem, was Sie tun. Er kann aber ein Profil bilden: welche Dienste Sie nutzen, wie häufig, zu welchen Zeiten, wie lange.

Für die meisten Menschen hat das keine praktischen Folgen. Gewicht bekommt es für alle, die besondere Gründe für Vertraulichkeit haben – eine laufende Verhandlung, eine heikle berufliche Tätigkeit, eine persönliche Lage, die sie lieber nicht beobachtbar machen möchten. Ein einzelner Abend in einem fremden Netz sagt dabei wenig aus; erst die Wiederholung über Wochen macht aus einzelnen Beobachtungen ein Muster, und genau das ist der Unterschied zwischen einer Momentaufnahme und einem Profil.

Die ernsthafte Preisgabe der Vertraulichkeit liegt hier woanders, und sie führt nicht über das Netz: es ist das, was Sie auf der Anmeldeseite eintippen. Das steht im Klartext und geht unmittelbar an die Stelle, die diese Seite aufgesetzt hat.

Warnzeichen

• die Anmeldeseite verlangt neben der E-Mail-Adresse auch ein Passwort;
• die Anmeldeseite verlangt mehr Angaben, als zur Identifizierung nötig sind;
• die Registrierung bietet an, sich mit einem bestehenden Konto aus einem sozialen Netzwerk anzumelden.

Empfohlenes Verhalten

Auf der Anmeldeseite so wenige Angaben wie möglich und niemals echte Zugangsdaten.

2. Integrität: das verbleibende Risiko

Praktisches Beispiel

Ein Download, gestartet aus dem Netz eines Flughafens.

Vorfallszenario

Seit die Verschlüsselung überall gilt, ist das Verändern des Datenverkehrs unterwegs weitgehend ausgeschlossen: der Browser erkennt die Veränderung und weist den Inhalt zurück.

Zwei Durchlässe bleiben:

Die Anmeldeseite, die unverschlüsselt ist und deshalb alles enthalten kann – auch die Aufforderung, ein Zertifikat oder ein Programm zu installieren, das „für die Verbindung nötig“ sei. Kein echtes Netz braucht so etwas.

Downloads von unverschlüsselten Websites, inzwischen selten, auf älteren Portalen aber noch anzutreffen.

Hinzu kommt ein dritter Fall, der nicht den Datenverkehr betrifft, sondern das Gerät: in einem gemeinsam genutzten lokalen Netz können andere verbundene Geräte versuchen, Ihres zu erreichen. Sind Dateifreigaben oder Dienste aktiv, die Anfragen aus dem Netz annehmen, ist das eine reale Berührungsfläche.

Warnzeichen

• Aufforderungen, Zertifikate oder Programme zu installieren, um ins Netz zu kommen;
• Zertifikatswarnungen auf mehreren verschiedenen Websites im selben Netz;
• das System fragt, ob das Gerät im Netz auffindbar sein soll.

Empfohlenes Verhalten

Auf die Frage des Systems mit „öffentliches Netzwerk“ antworten und niemals etwas installieren, was ein Netz verlangt.

3. Verfügbarkeit: begrenzt, aber real

Praktisches Beispiel

Das Netz des Hotels sperrt einzelne Dienste oder ist so langsam, dass sie unbrauchbar werden.

Vorfallszenario

Wer das Netz verwaltet, entscheidet, was hindurchgeht. In den meisten Fällen handelt es sich um gewöhnliche Beschränkungen – gesperrte Dienste, die viel Bandbreite verbrauchen, Filter auf Inhalte – und nicht um Feindseligkeit.

Die praktische Auswirkung betrifft eher die Bequemlichkeit als die Sicherheit. In einem Fall wird sie erheblich: bricht die Verbindung zu einem wichtigen Dienst mitten in einem Vorgang ab, lohnt es sich, dessen Ergebnis zu prüfen, bevor Sie ihn wiederholen. Eine zweimal ausgelöste Zahlung ist kein Sicherheitsvorfall, aber ein Ärgernis, das Sie mit einem kurzen Blick in die Übersicht des Dienstes vermeiden.

Empfohlenes Verhalten

Für Vorgänge, die keine Unterbrechung vertragen, die mobilen Daten des Telefons.

Das Risiko, das niemand benennt: das Gerät, das sucht

Es gibt eine Preisgabe, die schon vor dem Verbinden geschieht und an die fast niemand denkt.

Ein Gerät mit aktiver automatischer Verbindung sucht fortwährend nach den Netzen, die es kennt. Dafür sendet es unter bestimmten Bedingungen deren Namen aus.

Das hat zwei Folgen:

Es verrät, wo Sie gewesen sind. Die Liste der gespeicherten Netze erzählt von Gewohnheiten: der Name des Netzes zu Hause, der im Büro, der eines Hotels, der eines Lokals. Zusammengenommen sind sie eine Spur.

Es macht das maßgeschneiderte Netz möglich. Wer beobachtet, nach welchen Netzen Ihr Gerät sucht, kann eines mit genau diesem Namen aufstellen. Das Gerät erkennt es wieder und verbindet sich von selbst – ohne nachzufragen.

Deshalb wiegen zwei ganz schlichte Einstellungen schwerer als viele aufwendige Vorkehrungen: die automatische Verbindung ausschalten und öffentliche Netze nach der Nutzung aus der Liste löschen.

Wer stärker betroffen ist als andere

Das Risiko verteilt sich nicht gleichmäßig. Einige Gruppen sind strukturell stärker ausgesetzt, und es lohnt sich zu prüfen, ob Sie sich darin wiedererkennen.

Wer beruflich viel reist. Dutzende verschiedene Netze im Monat, viele davon in unbekannten Umgebungen, oft mit Geräten, auf denen betriebliches Material liegt. Das ist das Profil mit der höchsten kumulierten Belastung.

Wer gewohnheitsmäßig außer Haus arbeitet. Gemeinsam genutzte Räume, Cafés, Bibliotheken. Die Preisgabe hängt hier weniger am Netz und mehr an der räumlichen Umgebung.

Wer Daten Dritter verwaltet. Freiberuflerinnen und Freiberufler, Beratende, alle, die Informationen von Kundschaft oder Patientinnen und Patienten verarbeiten. Nicht weil das technische Risiko größer wäre, sondern weil die Folgen Menschen treffen, die dieses Netz nicht ausgesucht haben.

Wer eine Rolle hat, die besonderes Interesse weckt. Journalistinnen und Journalisten, Anwältinnen und Anwälte, Forschende, Menschen mit erheblicher betrieblicher Verantwortung. Hier hört die gezielte Beobachtung auf, theoretisch zu sein.

Jugendliche und ihre Geräte. Sie verbinden sich erfahrungsgemäß mit jedem verfügbaren offenen Netz, mit aktiver automatischer Verbindung und ohne die Anmeldeseiten zu bewerten. Das ist das Profil, bei dem eine gute Einrichtung mehr bewirkt als jede Ermahnung.

Für alle anderen – die meisten Menschen, an den meisten Tagen – ist die tatsächliche Preisgabe in einem öffentlichen Netz gering, und genau das beschreiben die Zeilen der vorangegangenen Tabelle. Sich in einer dieser Gruppen wiederzuerkennen heißt nicht, öffentliche Netze zu meiden; es heißt nur, dass sich dieselben zwei Einstellungen bei Ihnen häufiger auszahlen als bei anderen.

Was die Verschlüsselung tatsächlich gelöst hat

Das darf man ruhig anerkennen, denn es ist der Grund, warum diese Empfehlung heute weniger einschränkend ausfällt als vor zehn Jahren.

Vier ernste Risiken, alle weitgehend geschlossen durch eine Technik, die heute von Haus aus aktiv ist.

Was bleibt, ist anderer Natur: es ist kein Problem der Verschlüsselung, sondern eines falsch platzierten Vertrauens. Und deshalb ist die Gegenmaßnahme nicht technisch, sondern eine Frage des Verhaltens – prüfen, mit welchem Netz Sie sich verbinden, und seiner Anmeldeseite nichts übergeben.

Die Preisgabe, die nicht über das Netz läuft

Es gibt eine Gruppe von Auswirkungen, die zu dieser Empfehlung gehört, mit Technik aber nichts zu tun hat – und die in der Praxis die häufigste von allen ist: die räumliche Umgebung.

Wer ein öffentliches Netz nutzt, hält sich fast immer in einem öffentlichen Raum auf. Und in einem öffentlichen Raum gilt:

Nichts davon ist eine Frage der Verschlüsselung, eines VPN oder der Einrichtung. Es sind ausnahmslos Fragen des Platzes und der Aufmerksamkeit.

Und sie treten mit weit höherer Wahrscheinlichkeit ein als jede Methode, die der Beitrag über die Angriffe beschreibt: dass in einem Zug jemand Ihren Bildschirm mitliest, ist nahezu gewiss; dass jemand Ihren Datenverkehr abfängt, ist fernliegend.

Die Gegenmaßnahmen sind schlicht, und keine verlangt ein Hilfsmittel: sich mit dem Bildschirm zur Wand setzen, am tragbaren Rechner eine Sichtschutzfolie verwenden, die Vorschau der Benachrichtigungen ausschalten, das heikle Telefonat verschieben und – für vertrauliche Videoanrufe – einen geschlossenen Raum suchen oder den Termin verlegen.

Das sei ausdrücklich gesagt, weil diese Empfehlung genau hier am häufigsten missverstanden wird: das Hauptrisiko beim Arbeiten in einem Café ist nicht das Netz des Cafés.

Bezug zum Framework Cyber Welfare

Den Ausschlag gibt hier digitales Bewusstsein: die Auswirkungen unsicherer Netzwerke lassen sich nur einordnen, wenn Sie wissen, welcher Teil der Verbindung überhaupt ungeschützt ist.

Referenzstufe: FL2 – Einsteiger.

Zusammenfassung

• Der Inhalt des Datenverkehrs ist nicht mehr lesbar; die Liste der Websites zu einem guten Teil schon.
• Der einzige unverschlüsselte Teil ist die Anmeldeseite des Netzes: dort bündelt sich das Risiko.
• Ein Gerät mit automatischer Verbindung sucht nach den bekannten Netzen und kann sich mit einer Kopie verbinden.
• Vier historische Risiken sind weitgehend geschlossen: was bleibt, ist eine Frage des Vertrauens, nicht der Verschlüsselung.

Konkreter Schritt für heute. Öffnen Sie die Liste der auf dem Telefon gespeicherten Netze. Löschen Sie alle Netze von Lokalen und Hotels, in die Sie nicht zurückkehren: jedes ist ein Name, mit dem sich das Gerät von selbst wieder verbinden würde.

Wenn Sie Ihren Stand insgesamt einordnen möchten, können Sie die Selbstbewertung der digitalen Resilienz machen.

Verwandte Inhalte

• sensible Daten im öffentlichen WLAN – die Empfehlung, aus der dieser Beitrag hervorgeht
• Folgen einer Anmeldung im öffentlichen Netz – die konkreten Auswirkungen
• Angriffe im öffentlichen WLAN – die Methoden, die diese Durchlässe ausnutzen
• öffentliches WLAN sicher nutzen – die Einstellungen, die die Preisgabe schließen

Einen Begriff nachschlagen

Kurze Einträge aus dem Cyber-Welfare-Glossar, für alle, die bei einem einzelnen Begriff verweilen möchten:

• Man-in-the-Middle-Angriff
• Browser-Fingerabdruck

Machen Sie den ersten Schritt: Das Programm „Schützen Sie Ihre digitale Privatsphäre“ begleitet Sie kostenlos, eine Empfehlung nach der anderen.