Google’s Wlan-Gate Skandal und das eigentliche Problem

Wie schon die gesamten letzten Wochen ist Google einmal wieder in der Mitte der Mediendiskussion. Google hatte im Rahmen des Google Streetview Programms nicht nur aufgezeichnet welche Netzkennungen wo verwendet werden, sondern es wurden auch Nutzdaten aufgezeichnet.

Vorab möchte ich sagen, dass ich Google hier nicht in Schutz nehmen möchte oder gut finde, was Google sich erlaubt hat. Vielmehr möchte ich einmal das generelle Problem unabhängig von Google etwas mehr beleuchten, da bisher die meisten Medien sich nur auf Google bezogen obwohl das Problem deutlich komplexer ist.

Schauen wir einmal auf die SSID (=Wlan-Kennung) selber an. Laut einigen Datenschützern soll es sich bereits dabei um „persönliche Daten” handeln. Es mag ja sein, dass hier jemand persönliche Informationen einträgt. Der springende Punkt ist dabei meiner Meinung nach ein vollkommen anderer. Welche SSID ein Wlan-Netzwerk verwendet kann jeder Besitzer komplett frei wählen. Es obliegt ihm ob er seinen Namen oder ein x‑beliebiges anderes Wort angibt. Der Betreiber eines Wlan-Netzes ist nicht einmal dazu gezwungen die SSID öffentlich auszusenden. Praktisch alle halbwegs moderne Router besitzen die Möglichkeit die SSID zu unterdrücken. Bei einer AVM FritzBox schimpft sich die Einstellung „Name des Funknetzes (SSID) bekannt geben”. Jeder Betreiber eines Wlan-Netzes kann also selber wählen, ob er eine SSID aussendet und wenn ja welche.

Bleiben wir noch etwas bei der SSID und den Medien. Man hörte in den letzten Wochen im Zusammenhang mit der Aufzeichnung der SSID samt Geo-Position immer nur von Google. Unternehmen wie zum Beispiel Skyhook Wireless bieten unter anderem auch für Deutschland ihre Datenbanken mit Wlan-Kennungen an um darüber die Position eines Nutzers zu bestimmen. Bekannte Unternehmen wie Motorola, Nokia und Apple setzen bei ihren Smartphones auf die Datenbanken von Skyhook.  Warum wir nur auf Google eingeschlagen, während die gleichen Daten bereits von anderen Firmen seit längerem erfasst und regelmäßig aktualisiert wurden? Ein guter Bericht über Skyhook findet sich übrigens bei Techchannel.de.

Tatsächlich keinen Gefallen getan hat sich Google allerdings mit den rund 600GB an Nutzdaten die während des Scan-Vorgangs mit erfasst wurden. Eine Datenmenge mit der eine einzige aktuelle Festplatte locker zurecht kommt, was eventuell erklärt, warum es erst so spät aufgefallen ist.

Doch um welche Daten handelt es sich genau? Innerhalb einer Sekunde wurden von Google insgesamt 5 Wlan-Frequenzen gescannt und die während der Zeit übertragenen Daten gespeichert. Das bedeutet, dass von einem Wlan Netz circa 0,12 Sekunden Daten aufgezeichnet wurden.

Allerdings gibt es hier ein nur selten in den Medien erwähnten Knackpunkt. Der normale Besitzer eines Wlan-Routers hat sein Funknetz zum Beispiel mittels WPA2 verschlüsselt und damit sind die Daten unbrauchbar. Falls das eigene Wlan-Netz nicht gesichert ist, sollte man es dringendst nachholen wobei man auf WPA2 setzen sollte und nicht mehr auf die unsichere WEP-Verschlüsslung.

Bleiben also noch die ungesicherten öffentlichen Wlan-Netze. Genau hier liegt das Problem begraben. Hier werden tatsächlich zum Teil Klartext-Informationen wie Zugangsdaten aufgezeichnet die im Zweifel ausgewertet werden können. Aber auch hier gibt es ein „aber”. Verschlüsselte Verbindungen wiederum sind ebenfalls erst einmal bei einem einfachen aufzeichnen des Datenstroms sicher, wobei es auch hier durchaus Angriffs-Szenarien gibt.

Das wirkliche Problem liegt meiner Meinung nach hier abseits von Google. Wer über ein öffentliches Wlan Netz im Internet surft sollte sich im klaren sein, dass jede andere Person den kompletten Datenstrom aufzeichnen kann. Loggt man sich zum Beispiel bei einer Internetseite ein, die keine verschlüsselte Verbindung verwendet, so werden die Zugangsdaten im Klartext übertragen und können aufgezeichnet werden. Auch beim abrufen von eMails sollte bei einem öffentlichen Wlan-Netz entsprechend aufgepasst werden. In vielen Fällen wird hierzu eine einfache, unverschlüsselte Verbindung zum SMTP, POP3 oder IMAP Server aufgebaut. Auch hier gilt, dass die Zugangsdaten im Klartext übertragen werden und aufgezeichnet werden können. So kann durchaus eine fremde Person kompletten Zugriff auf das eigene eMail-Postfach erhalten. In vielen Fällen wäre auch hier eine verschlüsselte Verbindung problemlos einzurichten und das abgreifen der Daten wäre damit deutlich erschwert.

Meiner Meinung nach sollte anstatt einfach nur Stumpf jetzt auf Google einzuschlagen eher allgemein die Bevölkerung über die Gefahren bei unverschlüsselten öffentlichen Wlan-Netzen sensibilisiert werden. Diese bergen eine Gefahr, die vielen absolut nicht bewusst ist. Es würde einfach mehr Sinn machen auf das generelle Problem hinzuweisen …