Zur Fachtagung Domain pulse, einer gemeinsamen Veranstaltung der Domainnamen-Registerbetreiber von Deutschland (DENIC), Österreich (nic.at) und der Schweiz (SWITCH) zu Domainnamen und der Weiterentwicklung des Internets, trafen sich am 18. und 19. Februar 2019 Vertreter von Registerbetreibern, Registrierungsstellen, Hosting-Anbietern und Domainnamen-Dienstleistern sowie zahlreiche weitere Internet-Spezialisten und -Interessierte aus den drei Ländern und darüber hinaus im Rathaus in Bern.
Cyber-Sicherheit oder doch eher -Unsicherheit?
«Jeder hier im Publikum ist 87 Cents wert», beginnt Jamie Woodruff sein Referat. Dem sogenannten ethischen Hacker gelang es schon, mithilfe von Kniffen und Tricks (z.B. verkleidet als Pizza-Bote) in die sichersten Systeme einzudringen. Die sind wegen den menschlichen Bedienern unsicher, oder wenn die Betreiber die Default-Passwörter ihrer Sicherheitssysteme nicht ändern oder Software nicht aktualisieren, weiss er aus eigener Erfahrung. Und zeigt als Beweis ungeschützte Übertragungen von Überwachungskameras aus einem Kernkraftwerk, bei denen es reicht, wenn man die IP-Adresse kennt.
Während «hacken» vor 15 Jahren noch mehrheitlich politisch motiviert war, geht es heute fast nur noch um Geld: Mit Ransomware werden Unternehmen und Privatpersonen erpresst, wobei das auch Laien ohne spezielles Wissen in Auftrag geben können. Die Möglichkeiten sind gross, und ebenso die Vorgehensweisen.
Jamie sucht heute im Auftrag von Unternehmen nach Sicherheitslücken in ihren Systemen. Solche Schwachstellen führt er auch gleich im Saal vor, indem er die Mobiltelefone von zwei Freiwilligen hackt, und anderen ihre letzten Kreditkartenbuchungen vorliest und Kreditkartennummer und Ablaufdatum zeigt.
Seine Tipps, um die Sicherheit zu erhöhen: Unternehmen sollen ihre Mitarbeitenden in Sachen Cyber-Sicherheit schulen. Sie müssen darauf aufmerksam gemacht werden, wie sie mit ihrem Büro-Computer umgehen und worauf sie dabei achten müssen.
Internet Governance
Braucht das Internet (mehr) staatliche Vorgaben? 20 Jahre seit dem Ruf nach Menschenrechte und Redefreiheit im Internet meint Prof. Dr. Wolfgang Kleinwächter der Universität Aarhus: «Das Pendel schwingt zurück». Es brauche eine neue Sicht auf die Regulierung. Völkerrecht, Menschenrechte, Strafrecht und Zivilrecht müssen in die Online-Welt gebracht werden. Denn Stabilität ist ebenso wichtig wie Flexibilität. Angesichts der verschiedenen regionalen Entwicklungen und Forderungen erinnert Prof. Kleinwächter daran, dass wir nicht auf ein europäisches Internet hinarbeiten müssen, sondern dass wir ein globales Internet brauchen.
Mein Namensvetter, Botschafter Thomas Schneider, Vizedirektor des BAKOM, sieht in der Digitalisierung enorme Chancen, aber auch Risiken. Gibt es einen neuen Krieg mit neuen Technologien? Er plädiert für Spielregeln zur besseren Zusammenarbeit in der digitalen Welt. Es brauche einen guten Kompromiss zwischen der totalen Freiheit und der totalen Kontrolle. Wichtig sei aber vor allem, dass die einzelnen Länder eine gemeinsame Lösung ausarbeiten.
Steigerung der Widerstandsfähigkeit des Internets
Dr. Samaneh Tajalizadehkhoob stellt das Domain Abuse Activity Reporting (DAAR) von ICANN vor. Dabei werden einmal täglich rund 200 Millionen Domainnamen unter den klassischen generischen Top Level Domains auf Phishing, Malware, Botnet und Spam hin überwacht. Ein Hauptproblem bei der Angreifbarkeit des Internets sieht sie bei kleineren Registraren und Internetdienstleistern, bei denen das Know-How und/oder die finanziellen Mittel zur Missbrauchsüberwachung fehlen.
Henriette Vignal-Schjøth, Hostmaster der dänischen Top Level Domain .dk, kann gute Erfolge v.a. bei der Bekämpfung von Fake Webshops vorweisen. Diese bieten beliebte Produkte wie zum Beispiel Turnschuhe, Sonnenbrillen oder Handtaschen zu reduzierten Preisen an, um beim Bezahlvorgang die Daten des Käufers abzugreifen, ohne dass eine Bestellung getätigt wird. So wird bei der Registrierung eines dänischen Domainnamens die Identität des Käufers überprüft. Handelt es sich dabei um eine Person in Dänemark, verfügt diese zwingend über eine NemID, eine Art digitale Identitätskarte. Ausländische Registrierende werden aufgrund verschiedener Kriterien analysiert (Risk Assessment) und basierend darauf vor oder gleichzeitig mit der Freigabe des Domainnamens ein Identitätsnachweis angefordert oder auf einen solchen Nachweis verzichtet. Natürlich werden auch Hinweise aus der Bevölkerung entgegengenommen. Zudem erfolgt eine sehr enge Zusammenarbeit mit der Polizei, die eine Übertragung von betroffenen Domainnamen an die Polizei beantragt.
Michael Hausding von SWITCH berichtet von der Überwachung der Top 1’000 .ch-Domainnamen bezüglich ihrer Internet-Resilienz, und vergleicht diese mit den Top 500 weltweiten Domainnamen. Hier liegen die Schweizer klar zurück. Über die Hälfte der Webserver und ungefähr ein Viertel der Mailserver sind nicht sicher konfiguriert. Verbessern lässt sich dies, indem Sicherheit einfacher zugänglich wird, z.B. mit dem kostenlosen Zertifikat von Let’s Encrypt, indem eine Selbstregulierung durch die Branche oder allenfalls eine Regulierung durch den Gesetzgeber erfolgt, oder indem finanzielle Anreize geschaffen werden, beispielsweise tiefere Preise für gut geschützte Domainnamen. Um die Sicherheit zu erhöhen, möchte SWITCH automatisch DNSSEC für alle neu registrierten Domainnamen verwenden, um diese zu signieren.
Mike Hotz vom Cybercrime Kompetenzzentrum der Kantonspolizei Zürich sieht die Rolle der Polizei im Internet bei der aktiven Prävention durch Suchen und Kontrollieren von Fake Webshops und anderen verdächtigen Webseiten. Er ist stolz darauf, dass die Kantonspolizei Zürich das zurzeit einzige Kompetenzzentrum ist, das vom Bakom als Stelle zur Bekämpfung von Cybercrime nach Art. 15 der Verordnung über Internet Domains (VID) anerkannt ist. Sie haben bereits über 5’000 Fake Webshops blockiert. Diese sind häufig daran erkennbar, dass sie
- frei gewordene Domainnamen verwenden, die häufig überhaupt nichts mit dem Angebot zu tun haben;
- keine Verschlüsselung einsetzt, d.h. nur über http:// erreichbar sind;
- auch diverse ausländische Währungen aufführen;
- über kein Impressum verfügen;
- durchgestrichene und stark ermässigte Preise enthalten; und
- häufig Übersetzungsfehler aufweisen oder in schlechter Sprache geschrieben sind.
Die Kantonspolizei stellt dann jeweils einen Löschantrag, was zum Sperren der Domain und einer Halterabklärung führt. Erfolgt dieser Halternachweis nicht innerhalb der dreissigtägigen Frist, wird der Domainname gelöscht. Sein Wunsch wäre, dass der Domainname danach zur Kantonspolizei umgeleitet würde und beim Aufrufen einen Hinweis anzeigt, der auf den unterbundenen Phishing-Versuch hinweist.
Alle Referenten sind der Meinung, dass eine «Smart Regulation» des Internets nötig sei.
E-Voting in der Schweiz
Am zweiten Tag des Domain pulse folgen zwei Referate zum E-Voting in der Schweiz. Dieses wird seit 15 Jahren und schon in über 200 Fällen von gewissen Kantonen (AG, BE, BS, FR, GE, LU, NE, SG, TG und VD) für ihre im Ausland (in einem sog. Wassenaar-Staat) lebenden Bürger eingesetzt. Die Bundeskanzlei möchte E-Voting nun vorantreiben, um das elektronische Abstimmen als dritten Stimmkanal neben der Urne und der brieflichen Stimmabgabe auch für Inlandschweizer einzuführen. Dabei setzt sie auf den Wahlspruch «Sicherheit vor Tempo». Ausgerechnet jetzt hat der Kanton Genf angekündigt, sein E-Voting-System CHVote aus finanziellen Gründen nicht mehr weiterzuführen.
Der E-Voting-Gegner Jorgo Ananiadis beginnt seine Ansprache mit der Aussage, er sei kein E-Voting-Experte, aber politisch engagiert. Er wolle nur sicherstellen, dass das Stimmgeheimnis geschützt wird. In diesem Fall hätte er kein Problem mit E-Voting. Aber er will nicht, dass plötzlich 50% oder 100% der Stimmbevölkerung elektronisch abstimmt, das sei ihm dann doch zu riskant und gehe zu schnell. Deshalb unterstützt er das E-Voting-Moratorium, das E-Voting während fünf Jahren «verbieten» will. Die Initiative sei nötig, weil alle Eingaben im Parlament bisher abgelehnt wurden, und weil es beim E-Voting Überprüfbarkeit und Transparenz brauche, was bisher nicht gewährleistet sei.
In seinem Referat listet Jorgo Ananiadis die Probleme und Risiken auf, die seiner Meinung nach bestehen. Dass E-Voting nur in der Theorie sicher sei, denn Computer und das Internet generell seien unsicher, und ebenso sei kein Verlass auf die Benutzer. Er befürchtet Wahlmanipulation, einen Verlust des Abstimmungsgeheimnisses, einen Verlust der Glaubwürdigkeit wegen Unüberprüfbarkeit und ein generelles Misstrauen in den Staat. Je nach Abstimmungen reichen schon ein paar Promille manipulierte Stimmen, um das Resultat zu drehen. Und E-Voting ist ihm zu technisch. Es müsse wie bei der Briefwahl möglich sein, dass jeder beliebige 10-Jährige von der Strasse geholt werden könne zum Nachzählen, um zu bestätigen, welche Seite gewonnen hat.
Der E-Voting-Befürworter Christian Folini tritt mit Ritterhelm an, um den lautstarken Gegnern zu begegnen. Er führt zuerst die Gründe auf, die für E-Voting sprechen. Einerseits ist der elektronische Stimmkanal für Auslandschweizer wichtig, bei denen die Abstimmungsunterlagen per Post oftmals zu spät eintreffen, um die ausgefüllten Stimmzettel noch rechtzeitig zurückzuschicken, ja teilweise sogar erst Wochen nach der Abstimmung. Da Auslandschweizer genauso stimmberechtigt sind wie Inlandschweizer, stellt dies demokratiepolitisch ein Problem dar. Etwa 10% aller Schweizer leben im Ausland. Obwohl nur knapp 175’000 von ihnen in ein Stimmregister eingetragen sind (dies ist eine Voraussetzung, um an Wahlen und Abstimmungen teilnehmen zu können), entspricht dies der Stimmbevölkerung des Kantons Thurgau. Die Auslandschweizer oft weltoffener abstimmen als Inlandschweizer, stören sich vor allem rechte Parteien an ihrer Beteiligung an Abstimmungen. In einer Online-Petition haben im Herbst 2018 über 12’000 Auslandschweizer die Einführung der elektronischen Stimmabgabe für alle Auslandschweizer bis 2021 gefordert.
Weiter ist E-Voting dringend nötig für Menschen mit Behinderungen. Gerade Sehbehinderte müssen ihren Assistenten vertrauen, dass sie die Stimme so eintragen wie sie dies wünschen. So hat die Post ihr E-Voting-Angebot auch für Behinderte nach WCAG 2.0 auf Stufe AA zertifiziert. Aber auch Menschen mit anderen körperlichen Behinderungen vereinfacht E-Voting die Teilnahme an Wahlen und Abstimmungen.
Ausserdem könnten pro Abstimmung rund 100’000 ungültige Stimmen verhindert werden, und bei Wahlen noch viel mehr. So setzen viele Leute ein Kreuzchen auf den Wahlzettel oder schreiben falsche unzulässigen Text statt «Ja» oder «Nein» darauf. Bei der elektronischen Stimmabgabe wäre dies nicht möglich.
Und Christian Folini weist darauf hin, dass auch bei der Briefwahl viele Risiken bestehen. Schon jetzt wird Maschinen vertraut, welche vielerorts die Stimmen auszählen und die Wahlresultate liefern. Viele Gemeinden gleichen die eingegangenen Stimmkuverts nicht mit dem Stimmregister ab, und auch die korrekte Zustellung der mit B-Post und nicht per Einschreiben verschickten Stimmunterlagen kann nicht garantiert werden. Auch bei der Rücksendung lässt sich nicht feststellen, ob der ausgefüllte Stimmzettel bei der Gemeinde eintrifft und gezählt wird. Beim E-Voting hingegen bestätigt das System die erfolgreiche Abgabe der Stimme per Zahlencode, der mit einem Code in den Stimmunterlagen identisch sein muss. Neben dieser individuellen Identifizierbarkeit erfolgt auch eine universelle Identifizierbarkeit: Alle eingesetzten Systeme müssen mittels verschlüsselter und signierter Log-Files das korrekte Funktionieren beweisen. Dies erlaubt auch eine Nachprüfung bzw. ein Nachzählen durch andere Softwares.
Aber Christian Folini hält auch Tipps bereit, wie auch Laien die Sicherheit bei E-Voting schon jetzt verbessern können:
- Die Geräte auf dem neuesten Stand und möglichst «sauber» halten;
- Sicherheitswarnungen ernst nehmen;
- die Internetadresse vollständig von Hand abtippen; und
- die Bestätigungscodes prüfen.
Versiertere Nutzer können zudem:
- einen separaten Browser ohne jegliche Add-ons verwenden;
- den Cache leeren; und
- das Sicherheitszertifikat überprüfen.
Experten können ausserdem:
- die Hashes der Javascript-Dateien prüfen;
- TCPDump laufen lassen;
- den Quellcode lesen und Fehler suchen und melden;
- am Intrusionstest teilnehmen (siehe nächster Absatz); und
- sich an der Vernehmlassung beteiligen.
Ab dem 25. Februar 2019 führt die Post während eines Monats einen Intrusionstest ihres E-Voting-Systems durch, bei dem Hacker versuchen, die Stimmabgabe zu manipulieren. Für diesen Test haben sich bereits 2’000 Interessierte registriert, davon drei Viertel aus dem Ausland. Der Quellcode ist schon jetzt durchgesickert und wurde von mehreren Experten als schlecht befunden. Er muss nach dem Intrusionstest auf jeden Fall noch gesäubert werden. Die Zukunft von E-Voting in der Schweiz hängt stark von diesem Test ab. Sollte der Quellcode wirklich so schlecht sein, wird das System x-fach gehackt und eine Weiterführung infrage gestellt. Für den Fall, dass dies nicht geschieht, haben die E-Voting-Gegner schon jetzt damit begonnen, den Intrusionstest zu diskreditieren und so seine Glaubwürdigkeit in Frage zu stellen.
Bei der abschliessenden Abstimmung im Saal stimmte eine deutliche Mehrheit (45 Ja, 24 Nein, 16 Enthaltungen) für die schweizweite Einführung von E-Voting.
Ausblick
Der nächste Domain pulse findet am 20./21. Februar 2020 in Innsbruck in Österreich statt.
 |
lic. iur. Thomas Schneider arbeitet als Community Manager, selbstständiger Webdesigner und Rechtsberater für Internetrecht und insbesondere Domainnamen. Er hat im Jahr 1998 seinen ersten Domainnamen registriert und besitzt in der Zwischenzeit über 100 schweizerische und internationale Domainnamen. |
