CISPA & Anonymous: Der Blackout gegen die Zensur

CISPA 2.0 trifft auf Finsternis: Anonymous (oder eine sich als Anonymous ausgebende Instanz, man weiß ja nie genau) fordert die weltweite Internet-Finsternis am heutigen Montag, dem 22. April 2013 ab 6 Uhr GMT.

CISPA (der Cyber Intelligence Sharing and Protection Act) ist die nächste Gemeinheit nach SOPA und PIPA, die in überarbeiteter Form vor zwei Tagen vom US-Repräsentantenhaus als Gesetzesentwurf akzeptiert wurde, trotz aller Proteste durch das Volk und Bürgerrechtler.
Ein Vorläufer von CISPA hatte vor einem Jahr bereits Zuspruch von der Mehrheit im Repräsentantenhaus bekommen, die überarbeitete Fassung holte sogar 92 Prozent der Demokraten ins Boot. Das Weiße Haus äußerte sich nicht ganz unkritisch gegenüber dem Gesetzesentwurf.

Die vorsichtige Instandsetzung von Gesetzen, die eine Steigerung der "Cybersicherheit" und Privatsphäre der Bürger mitbringe, sei einer von mehreren essenziellen Schritten auf dem Weg dahin. Die Administration suche jedoch weiterhin Verrbesserungen und würde die Unterstützung des Entwurfs dem Präsidenten nicht empfehlen.

Internet Blackout gefordert - 22. April 2013

Hier das Video von AnonyOps mit der Aufforderung zum Blackout, also zum Abdunkeln oder Auf-Standby-Schalten der Websites sämtlicher teilnehmenden Betreiber mit passender Warnmeldung:

http://www.youtube.com/watch?v=i_nFyavcld4

Inwieweit hinter AnonyOps wirklich Anonymous steckt, sei mal dahingestellt. So oder so ist die Abneigung der diversen, dezentralisierten Mitglieder von Anonymous gegenüber CISPA nachvollziehbar und fast schon selbsterklärend.

Die 36 neuen Kosponsoren von CISPA erhielten das 38-fache an Finanzierung im Vergleich zu den CISPA-Gegnern, insgesamt über 7 Millionen Dollar. Mitglieder des US-Repräsentantenhauses erhielten unglaubliche 67 Millionen US-Dollar von Interessengruppen, die sich an der Durchsetzung von CISPA 2.0 beteiligen wollen, so die Analyse von MapLight.

Worum geht es überhaupt bei CISPA?

Die Unterstützer von CISPA 2.0 argumentieren wie folgt: CISPA soll Unternehmen dabei helfen, sich vor einer Bedrohung aus dem Netz zu schützen. Das soll über den einfacheren Austausch über Cyberbedrohungen untereinander (d.h. zwischen Unternehmen) und mit diversen Regierungsbehörden ermöglicht werden.

In der Praxis funktioniert es in etwa so: Firmen aus dem privaten Sektor sollen die Erlaubnis bekommen, private und sensible Nutzerdaten von ganz normalen US-Bürgern zu durchsuchen und sogenannte "threat information" (bedrohungsrelevante Informationen) recht frei teilen zu dürfen - alles ohne einen gerichtlich angeordneten Durchsuchungsbefehl. Unter die durchsuchbaren Daten fallen dabei E-Mails, Textnachrichten á la SMS und Instant-Messenger, cloudbasierte Daten und Dokumente in elektronischer Form. Dabei werden existierende Gesetze wie der Wiretap Act und der Stored Communications Act, die unter anderem genau vor solchen Manövern schützen sollten, effektiv umgangen.

Es gibt wenig Transparenz, wenig individuelle Haftung für die Unternehmen und beteiligte Mitarbeiter, keine juristische Supervision. Weil es keinen Mechanismus für die Aufklärung bei solchen Maßnahmen gibt, würde ein US-Bürger noch nicht mal mitbekommen, dass seine Informationen ohne Erlaubnis und Einwilligung verbreitet wurden. Firmen dürfen bei Verdacht auf eine Cyberbedrohung "zurückhacken" und die vermeintlichen Hacker im Netz mit aggressiven Gegenmaßnahmen außerhalb des eigenen Firmennetzwerks attackieren, um an besagte bedrohungsrelevante Informationen zu kommen.

Die durch CISPA ergatterten Daten können überdies zur strafrechtlichen Verfolgung beliebiger anderer Strafteten genutzt werden, die Kinder, Menschen im Allgemeinen oder die Sicherheit des Staates gefährden.

Drei primäre Änderungen sind in der zweiten Version von CISPA zu finden, die den Gesetzesentwurf nach Angaben der Befürworter entschärft haben sollen:

• Das "Zurückhacken" soll auf die eigenen Netzwerke beschränkt werden. Die EFF (Electronic Frontier Foundation) sieht weiterhin "gigantische Schlupflöcher" in den Formulierungen, die eine aggressive Vorgehensweise bei ausreichender Bedrohung "zum Selbstschutz" weiterhin gestatten würden.
• Die Regierung soll Einblick in die Angelegenheiten erhalten, die mit der Privatsphäre von Nutzern und CISPA zusammenhängen. Das Problem hierbei: Diese Ergänzung bezieht sich nicht auf private Unternehmen, betrifft also nur einen Bruchteil der Gesamtrechnung und es gibt keinerlei Kontrollmechanismus für die Menge und das Teilen von Daten, die bei Endnutzern eingesammelt werden, ohne dass sie darüber Bescheid wissen.
• Die gesammelten Daten dürfen, und so kennen wir es von so ziemlich jeden Datenschnüffelgesetz, nur Daten mit Relevanz für die "nationale Sicherheit" sein und nur unter dem Motiv der Beibehaltung von "Cybersicherheit" gesammelt werden. Das Problem hierbei: Cybersicherheit ist kein klar definierter juristischer Begriff und könnte relativ frei ausgelegt werden, was unumgänglich zum Missbrauch durch Unternehmen mit passenden Motiven führen wird.

Welche Unternehmen unterstützen eigentlich CISPA?

Das US-amerikanische Repräsentantenhaus veröffentlichte sämtliche "Letters of Support", also Briefe mit ausdrücklicher Unterstützung für die erste und gegebenenfalls zweite Version von CISPA. Darauf finden sich Namen wie AT&T, Hewlett Packard (HP), IBM, Oracle, Symantec, McAfee, Verizon und natürlich Time Warner. Zu den aktuellen Unterstützern gehören aber auch Microsoft und Google, die in der Lobbying-Gruppe TechNet vertreten sind. Die erste Version von CISPA erhielt Zusprache von Facebook, Twitter und anderen sozialen Netzwerken, wobei Facebook mittlerweile die Unterstützung zurückzog.

Wo liegt der Unterschied zu SOPA und PIPA?

Der Unterschied von CISPA zu SOPA und PIPA ist debattierbar und schwer verschachtelt in juristischen Formulierungen. In der Praxis sieht es wesentlich ähnlicher aus: SOPA und PIPA waren darauf konzentriert, das Internet recht frei mit dem Rückenwind der Justiz zensieren zu können, unter dem Leitbild der Pirateriebekämpfung und der Wahrung von Kopierschützen. SOPA und PIPA waren allerdings auf ausländische Copyrightverbrecher ausgerichtet, während sich CISPA offiziell nur auf domestische, also US-amerikanische Cyberverbrecher konzentrieren soll. Wo ist der Unterschied zwischen Torrentmogulen, Kim Dotcom und einem Cyberverbrecher zu finden? Das ist vermutlich Auslegungssache und vielleicht auch der Grund, wieso hier eine ähnliche Idee vor einem anderen Hintergrund präsentiert wird. (Cyber-)Terrorismus und Inhalte, die für Kinder gefährlich werden könnten (Piraterie! Pornografie! Markenfeindliche Texte!) sind bereits seit Urzeiten beliebte Kampagnenthemen für die Durchsetzung von mehr Kontrolle über das Internet.

Sind wir als Europäer und EU-Bürger überhaupt betroffen?

Ebenso eine spannende Frage. Wer Internetdienste nutzt, wird mit hoher Wahrscheinlichkeit auch seine Userdaten in einem Rechenzentrum gelassen haben, das auf US-Boden steht. Wenn die Daten dort gelagert werden, kann bei all diesen flexiblen Ausdrucksformen und Auslegungsmöglichkeiten von einer mindestens "versehentlichen" Durchsuchungsmaßnahme ausgegangen werden. Größere Unternehmen haben zum Glück auch Rechenzentren vor Ort, außerhalb den Staaten trifft CISPA also nur bedingt zu, bei Cloud-Diensten ist jedoch Vorsicht geboten.

Wie gefährlich ist CISPA?

CISPA wäre eine nützliche Sache wenn Kim Jong-un sich mit seinen glorreichen Windows 95 Rechnern auf einen Nuke-Angriff einlassen, oder China eine neue große Firewall inmitten von Washingtons Rechnernetz errichten würde. Was haben private Unternehmen damit zu tun? Recht wenig, wie ihr Euch denken könnt. In einem Blogbeitrag auf Detroitnews wird CISPA zutreffend als "Corporate Insecurity Piracy Act" bezeichnet - es geht in 95 Prozent des Gesetzesentwurfs um die Rechte und Besitztümer von Unternehmen aus der Industrie. Es hindert den Bürger daran zu sehen, was diese Firmen mit den Daten machen und wie die Daten geteilt werden. Ein Torrent-Download der neuesten Folge Breaking Bad könnte mitunter als Gefährdung der nationalen Sicherheit ausgelegt werden und der herunterladende Bürger hätte noch nicht mal das Recht, die vom Provider geteilten Informationen einzusehen.

Nationale Sicherheit erweist sich in diesem Fall, wie so oft, eher als die zusätzliche Sicherheit der Corporation oder Corporate World.

Obama drohte bereits dem Entwurf ein Veto entgegenzusetzen, wenn nicht passende Sicherheitsmechanismen wie die Anonymisierung und Minimierung der erspähten Daten darin auftauchten. Das Weiße Haus sehe keinen Grund dafür, einer Corporation die Verantwortung über die Daten abzunehmen oder gar Immunität für mangelnde Schutzmaßnahmen für Kundendaten zu gewähren.

Alternativen zu CISPA 2.0?

Anstatt den Kampf für CISPA 2.0 aufzunehmen, sieht die Cyberjurismus-Ecke von Stanford die Aufgabe der Regierung und des amerikanischen Volkes eher darin, sich mit einer objektiven und informierten Perspektive das Internetrecht nochmal genauer zu betrachten. Das betreffe Cyberkriminalität und Kommunikationssicherheit, die in aktuellen Gesetzen und Gesetzesentwürfen nicht zeitgemäß behandelt seien. Im Aktualisieren der bestehenden Gesetzesbasis seien erheblich effektivere Resultate zu finden, die bedeutsamere und bedachtere Gesetze hervorbringen würden als eine Idee wie CISPA 2.0, die wenig Verbesserungen aber reichlich Verschlimmbesserungen in Form von Unklarheiten und vagen Motiven daherbringe.

Ein Begleitvorschlag für den Senat soll noch besprochen werden, ebenso steht eine Entscheidung von Obama aus, inwieweit nun das Veto gegen CISPA 2.0 ausgesprochen wird und welche Änderungen kommen würden. Zweifelsohne handelt es sich um einen unbalancierten und problematischen Entwurf.

Desweiteren führt Silicon Valley einen etwas leiseren Kampf gegen CISPA 2.0 und hat offenbar auch Microsoft und Google wieder auf der Seite, zumindest in Form der Instanz namens "TechAmerica", die eine Aufhebung des Entwurfs fordern. Unter dem Gesetzesentwurf AB1291, der im nächsten Monat angehört werden soll, verbirgt sich nämlich eine harte Ansage: Die Firmenwelt betreibe Augenwischerei in der Öffentlichkeit und will lediglich die wahren Intentionen der lukrativen Datensammlung durch Onlinedienste, Apps, soziale Netzwerke und Portale von den Verbrauchern fernhalten. Wie bei uns in der EU wird gefordert, dass Firmen eine Auflistung der gespeicherten Daten für den Konsumenten bereithalten müssen. Hinter dem Brief mit der Anti-CISPA-Aktivität stehen Namen wie Google, Facebook, Microsoft und andere Silicon Valley Größen, was sich partiell mit anderen Aussagen der Medien über deren Intentionen beißt.

Externe Links zu CISPA

• CISPA 2.0 CLEARS THE HOUSE: OUTCOME HAZY (Cyberlaw Stanford)
• Reddit opposes CISPA (Wired)
• Anonymous CISPA Blackout Day (BGR)
• CISPA Amendments Passed Out of Committee—Here’s Why The New Version Still Threatens Online Privacy (EFF)
• CISPA 2.0 aka H.R. 3523 - der komplette Text als PDF

Noch kein Fan? Folge WEBLOGIT auf Facebook oder Twitter, um nichts zu verpassen! ↵