Beim Skypen nicht über Angriffe klagen

Den Verlockungen können auch die Bau- und Immobilienbranchen nicht widerstehen – so werden in Thüringen Schlösser im Wert von mehreren Millionen Euro mit Hilfe der kostenlosen Videotelefonie-Software feilge­boten, Immobilienkunden in Sachsen von „effizienten Bau­sys­temen überzeugt und im Rhein-Main-Gebiet in puncto Kapital­anlange beraten.

Doch Vorsicht: Skype soll das Adressbuch auslesen, in die USA übertragen und außerdem die Sicherheit des entsprechenden Geräts kompromittieren. Der Berliner Datenschutzbeauftragte sorgt sich um „Vertraulichkeit, Integrität und Verfügbarkeit“ von Skype. Und jedes andere verbundene Gerät ist ebenfalls gefährdet. Handelt es sich bei diesem Gerät lediglich um einen zusätzlichen Computer mit Bildschirm und Maus, könnten auf diese Weise auch die dort gespeicherten Informationen flöten gehen. Handelt es sich aber um ein ‚Cyberphysisches‘ System, einer Kombination aus Soft- und Hardware etwa zum Betrieb einer Gasheizung, kann das lebensgefährlich werden: Es gibt Computerwürmer, die sich per Skype verbreiten und dabei jedes verbundene Gerät bedrohen können. Davon gibt es im künftigen „Internet der Dinge“ reichlich: Fachleute erwarten bis 2020 zwischen 26 und 212 Mrd. solch schlauer Geräte weltweit. Und der IT-Konzern Hewlett Packard glaubt, dass 70 % dieser „intelligenten Geräte verwundbar sind. Heizungen stellen neben iTüren, iÜberwachungskameras, iKühlschränken und iAufzügen nur eine der vielen Gerätegattungen dar. Da wirkt das Skype-basierte Beratungsangebot eines Münchner Fachbetriebs für Energie- und Regeltechnik bedrohlich, wenn die Firma ihre Geräte nach dem Einbau auch noch online steuern will.

An Baden-Württembergischen Hochschulen ist das Skypen folgerichtig verboten. Die Aufsichtsbehörden drohen speziell den Ärzten, Anwälten, Steuerberatern und anderen „Geheimnisträgern“ (des Strafgesetzbuchs) mit Bußgeldern bis 150.000 € für ausgelesene Adressbücher. Passiert Maklern und Handwerkern Ähnliches, könnte sich ein Richter an den „Preisen“ bei den Geheimnisträgern orientieren. Sollte der Beklagte jedoch wegen fahrlässiger Körperverletzung verurteilt werden, könnte es richtig unangenehm werden: „Wer durch Fahrlässigkeit die Körperverletzung einer anderen Person verursacht, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft“, heißt es in § 229 des Strafgesetzbuchs. „Die tatsächliche Höhe der Straferwartung richtet sich dann nach Fragen wie der Schwere der Pflichtverletzung und den Verletzungen des Geschädigten“, erläutert der Berliner Strafverteidiger Steffen Dietrich auf seiner Internetseite.

Gefährdung durch Skype

Die „Schwere der Pflichtverletzung“ könnte dabei auch von der Naivität des Dienstleisters beeinflusst werden: „Skyped“ er mit Jedem, der ihn gerade zur Liste seiner ‚Freunde‘ hinzufügen will und klickt dabei auf Alles, was ihm der Gesprächspartner vor die Maus setzt, könnte das vom Gericht als besonders kritisch gewertet werden. Auch die Qualität des Passworts könnte zur Beurteilung herangezogen werden. Das Sicherheitsunternehmen Blue Coat will kürzlich in einer Studie herausgefunden haben, dass nur 16 % der Frauen „komplexe“ Passwörter aus willkürlichen Buchstaben und Zahlen verwenden. Und 57 % der Männer würden sich auch mit Fremden verbinden – das bedeutet: Die Beschäftigten stellen die Achillesferse der Unternehmenssicherheit dar. 60 % der Arbeitnehmer sollen Blue Coats‘ Erkenntnissen zu Folge am Arbeitsplatz keine Zugangsbeschränkungen zu den „sozialen“ Netzen haben. Für die Beschränkungen aber wären die Chefs zuständig. Das wiederum bedeutet, dass womöglich auch die Unternehmer nicht verstehen, welche Bedrohung mit der Nutzung der „sozialen“ Netze einhergeht. Von der Bedrohung betroffen sind nicht nur die Immobilienbesitzer als Kunden der Bauwirtschaft, sondern auch als Patienten, Mandanten und Mitarbeiter von Ärzten, Anwälten, Steuerberatern und Arbeitgebern – je nachdem, wer in welcher Eigenschaft grade mit wem skyped. So können „Otto und Liese Müller“ fix und ohne eigenes Zutun Opfer von Datenkriminellen werden: Je mehr ihrer Dienstleister Skype nutzen, umso aussagekräftiger könnte das Personenprofil sein, das Skype von „Liese und Otto“ erstellen kann. Und das Profil könnte Skype wiederum gestohlen werden. Der Wert des Profils würde dabei mit jedem zusätzlichen Detail steigen, das eine weitere Quelle beisteuert. Soviel zur Bedeutung der Adressbücher.

Zu diesen Personalien kommen die Inhalte – mit dem Wohlwollen des Unternehmens werden nicht nur Termine vereinbart, sondern auch die Dienstleistung selbst wird erbracht – so ist etwa der Immobilienmakler Dan Prud’homme aus dem US-Bundesstaat South Carolina begeistert von der Möglichkeit, während des Skypens mit dem Tablet durch die Immobilie spazieren zu können und den telekommunikationstechnisch verbundenen Kaufinteressenten die Immobilie so in „großartiger Detailtiefe“ präsentieren zu können. Den Skype-Nutzern sollte dabei bewusst sein, dass sich der Konzern seit 1. August 2015 vorbehält, die Kundendaten „zur Verbesserung seiner Dienste“ gebührenfrei nutzen zu dürfen.

Eine Verbesserung könnte Microsoft z. B. darin erkennen, dem Kunden zusätzliche Werbung für die neu einzurichtende Wohnung anzudienen. Diese Bedingungen gelten nicht nur für Skype, sondern auch für 80 weitere Anwendungen wie Word oder die XBox.

Gefährdung durch Analyse

Auch die Analyse von gesprochener Sprache ist aufregend: Worte lassen sich in ihre Lautbestandteile zerlegen, inhaltlich erkennen und in einen Kontext stellen: Wer ruft wen wann wo und in welcher Sprache an? 

Dabei ist Sprache mehr als nur gesprochener Text: Die Sprachwissenschaftler bezeichnen mit der „Prosodie“ die Gesamtheit derjenigen lautlichen Eigenschaften der Sprache, die nicht an den Laut als minimales Segment, sondern an umfassendere lautliche Einheiten gebunden sind. Dazu gehören auch Wort- und Satzakzent, Intonation, Satzmelodie, Tempo, Rhythmus und die Pausen beim Sprechen. Der Technik entgeht dabei nichts: Wer grundlos die Zeitformen der Verben wechselt, könnte die Unwahrheit sagenkönnte die Unwahrheit sagen. Biometrische Stimmprofile lassen sich erstellen, um die Beteiligten in der Öffentlichkeit zu identifizieren.

Weiterhin können (statische) Bilder und (dynamische) Videodaten automatisiert ausgewertet werden – Mimik und Gestik kommen hier zum Tragen. Spontane Emotionen sind vergleichsweise weniger symmetrisch an Mundwinkeln und Augenbrauen abzulesen als ein „gewolltes“ und deshalb gleichmäßiges Lächeln. Genauso lassen sich die Veränderungen der Pupille und der Lippenlinie analysieren [PDF]. Und ob wir gute oder schlechte Laune haben. Weitere Erkenntnisse könnten Analysen im Zeitvergleich erbringen. Vergleichen ließe sich aber auch das Skype-Video mit den Bildern der Überwachungskamera am Bahnhof.

Kunden als Bedrohung

Neben der Bedrohung durch Skype selbst oder den Skype-nutzenden Dienstleister gibt es noch eine Variante – auch die Kunden können zur Bedrohung werden: Wie geht etwa der Immobilienmakler mit einem angeblichen Pflichtenheft um, mit dessen Hilfe er sich auf die Suche nach einem neuen Zuhause für seinen vermeintlichen Kunden machen soll? Darin könnte sich nämlich ein Tastaturrekorder verbergen – die Folge: Jeder Tastendruck und jede Mausbewegung ließe sich anschließend verfolgen. Egal, ob der Makler nun grade ‚skyped‘ oder nicht.

An dieser Stelle kommt das „Text Mining“ zum Einsatz – Wikipedia erklärt: „Text Mining […] ist ein Bündel von Algo­rithmus-basierten Analyse­verfahren zur Entdeckung von Bedeutungsstrukturen aus un- oder schwachstrukturierten Textdaten. Mit statistischen und linguistischen Mitteln erschließt Text-Mining-Software aus Texten Strukturen, die die Benutzer in die Lage versetzen sollen, Kerninformationen der verarbeiteten Texte schnell zu erkennen.

Im Optimalfall liefern Text-Mining-Systeme Informationen, von denen die Benutzer zuvor nicht wissen, ob und dass sie in den verarbeiteten Texten enthalten sind. Bei zielgerichteter Anwendung sind Werkzeuge des Text Mining außerdem dazu in der Lage, Hypothesen zu generieren, diese zu überprüfen und schrittweise zu verfeinern.“

Hypothesen ließen sich etwa zu den Sprach- und Persönlichkeitsprofilen der Beteiligten anstellen – die Wissenschaftler Yla R. Tausczik und James W. Pennebaker sind der Ansicht, die Sprache sei der geläufigste und vertrauenswürdigste Weg, um Gedanken und Emotionen zu übersetzen, die andere verstehen könnten: „Worte und Sprache sind der besondere Stoff der Psychologie und der Kommunikation.“

In einer US-Studie wurden Facebook-Statusmeldungen untersucht. Es zeigte sich, dass sich das Geschlecht mit einer Wahrscheinlichkeit von 92 % vor­hersagen lässt – nur anhand dieser Meldungen.

Persönlichkeitsmodell aus fünf Faktoren

Die Sprache ist also ein wichtiger Teil unseres „Persönlichkeitsprofils“. Derlei Profile lassen mit Hilfe des „Fünf-Faktoren-Modells“ erkennen – nach Ansicht der Universität Bielefeld ist dieses Modell „wissenschaftlich gut abgesichert“:

1. Die Begeisterungsfähigkeit gibt Aufschluss darüber, ob eine Person lieber „im stillen Kämmerlein“ vor sich hin brütet oder eher gesellig ist und mit anderen ins Gespräch kommt. Die psychologischen Parameter heißen Introversion und Extraversion. 

2. Der Neurotizismus spiegelt den Umgang mit emotiona­len Belastungen; ist der Neuro­ti­zismus schwach ausgeprägt, handelt es sich um eine selbstsichere, ruhige Person – umgekehrt geprägte Menschen sind „emotional“ und verletzlich.

3. Die Verträglichkeit beschreibt, in wie weit eine Person ihren Mitmenschen Verständnis, Wohlwollen und Mitgefühl entgegenbringt. Personen mit niedrigen Verträglichkeits­werten beschreiben sich im Gegensatz dazu als widerstreitend, egozentrisch und misstrauisch.

4. Die Gewissenhaftigkeit beschäftigt sich mit dem Grad an Selbstkontrolle, Genauigkeit und Zielstrebigkeit, über die eine Person verfügt. Personen mit hohen Ge­wissenhaftigkeitswerten handeln organisiert, sorgfältig und überlegt. Personen mit niedrigen Gewissenhaftig­keits­werten handeln spontan und sind unzuverlässig.

5. Die Offenheit erfasst das Interesse an neuen Erfahrungen, Erlebnissen und Eindrücken. Personen mit hohen Offen­heits­werten verfügen häufig über eine rege Fantasie, neh­men ihre positiven und negativen Gefühle deutlich wahr und sind vielseitig inte­ressiert. Personen mit niedrigen Offenheitswerten neigen demgegenüber eher zu konventionellem Verhalten und vertrauen auf Bewährtes und Bekanntes anstatt zu experimentieren. Wer ein Psychogramm eines Menschen eines Menschen erstellen will, hat unterschiedliche Möglichkeiten: Er kann den Ehepartner der Zielperson befragen – oder 250 „Facebook-Likes“ auswerten. Wobei nach Meinung von Wissenschaftlern die Facebook-Likes genauere Werte liefern.

Weitere Analysen verschaffen noch tieferen Einblick in die Psyche der Zielperson: Viele Tippfehler könnten auf einen Mangel an Genauigkeit, viele Mails auf eine extravertierte Persönlichkeit schließen lassen. Häuft sich der Befehlston in den Mails, könnte dies auf eine aggressive Natur schließen lassen – damit wiederum könnten eine erhöhte Extraversion und eine reduzierte Verträglichkeit verbunden sein. Interessant ist außerdem: Das Tippen eines Menschen auf einer Tastatur ist einmalig – eine Person tippt mit zwei, eine andere mit zehn Fingern, eine langsamer, eine andere schneller, genauso variieren Tastendruck und die Verweildauer des Fingers auf der Tastatur. Sollte der Tastendruck und die Geschwindigkeit beim Tippen einer Mail besonders groß sein, könnte dies ebenfalls wieder ein Hinweis auf eine aggressive Natur sein, – die sich im Moment wahlweise mit einem Thema oder dem Empfänger der Mail besonders engagiert auseinandersetzt. 

Vor Jahren will Clayton Epp in seiner Masterarbeit an einer Kanadischen Universität herausgefunden haben, das sich Intelligenz und emotionale Zustände mit Hilfe von solcher Protokollsoftware feststellen lassen. Alles graue Theorie? Von wegen! Die NSA will wissen, was „X“ über „Y“ „denkt“. Damit könnten X und Y anschließend empfänglich sein für Manipulation, Bestechung und Erpressung. Dazu passt, dass US-Behörden Zugang zu den Daten von Skype haben sollen.

Fazit

Was aber hilft? Die „IT-Grundschutz-Kataloge“ des Bundesamts für die Sicherheit in der Informationstechnik (BSI) umfassen 4849 Seiten. Es wäre zumindest ein Versuch wert, die in Unternehmen und Behörden zu implementieren. Kleine und Mittelständische Unternehmen sollten wenigstens eine abgespeckte Version davon anwenden. Dazu müssten Aufbau- und Ablauforganisation systematisch abgeklopft und anschließend in kryptographische Verschlüsselung, physikalischen Einbruchschutz und Bildung für Alle investiert werden. Anschließend würden dann vielleicht auch die Abgeordneten nicht mehr einfach so auf alles klicken, was ihnen vor die Maus kommt. Und damit – so die selbstkritische Befürchtung des CDU-Abgeordneten Bosbach – „durch unser Verhalten den Datenabfluss“ erleichtern. Dann könnte Bundestagspräsident Norbert Lammert auf die Forderung verzichten, das „IT-Systems des Deutschen Bundestages“ „mindestens in Teilen“ neu aufzusetzen. Und wer übersNetz videotelefonieren will, hat eine große Auswahl an Programmen – für besonders sicher hält die US-Bürgerrechtsorganisation Electronic Frontier Foundation (EFF) Pidgin, Telegram und TextSecure. Edward Snowden empfiehlt zusätzlich RedPhone – das allerdings unterstützt kein Video.

Schon im antiken Griechenland haben Konzepte geholfen: Der schlaue Odysseus hat seinen Seeleuten die Ohren mit Wachs verstopft und sich selbst an den Mast seines Schiffs binden lassen, um den Sirenen zu entkommen. Ähnliches empfiehlt sich für die Sirenen des Internetzeitalters, das Skypen.