Wie man die eigene Privatsphäre beim Surfen schützen kann

Es folgt ein Artikel, der als kleine Hilfe für neue und unerfahrenere Internetnutzer gedacht ist. Erfahrene Anwender dürfen diesen Weblog-Eintrag ruhig ignorieren.

Anlass dieses Artikels ist für mich die Meldung, dass Google nun also den Werbebanner-Anbieter "DoubleClick" aufkaufen darf. Die EU hat grünes Licht gegeben, wie beispielsweise Zeit.de berichtet.

Zeit.de schildert, welche Folgen dies für die Privatsphäre aller Internetnutzer hat. In einem Satz ausgedrückt: Surft man auf eine Webseite, die Werbebanner eingebunden hat, so wird die eigene IP-Adresse auch an den Anbieter dieser Werbebanner weitergeschickt. Das war schon immer so. Durch den Zusammenschluss von Google und DoubleClick entsteht jedoch potenziell eine sehr große Datenbank, in der aufgezeichnet wird, welche Webseiten sich Internetnutzer alles anschauen.

Der Banner-Anbieter ist hierbei nicht die Firma, für die geworben wird. Ein Werbebanner von "BMW" wird also nicht von Servern des Automobilherstellers geladen. Nein, Werbebanner werden häufig von spezialisierten Werbebanner-Vermarktern zentral geladen. Ruft man also die Webseite "Nachrichtenseite.irgendwas" auf, und enthält diese Nachrichtenseite Werbebanner, so werden diese Werbebanner nicht von "Nachrichtenseite.irgendwas" geladen, sondern beispielsweise von "ad.doubleclick.net", dem zentralen Server des Werbebanner-Anbieters DoubleClick. Wer also beispielsweise oben verlinkten Zeit.de-Artikel aufruft und dort Werbebanner sieht, der hat mit seinem Besuch auf Zeit.de zugleich dem Werbebanner-Anbieter DoubleClick unwissentlich mitgeteilt, dass man den Zeit.de-Artikel gelesen hat. Wechselt man nun auf eine andere Nachrichtenseite und hat diese Seite auch Werbebanner von DoubleClick eingebunden, so erkennt DoubleClick wieder, dass Sie sich diese Nachrichtenseite ansehen und dass Sie die gleiche Person sind, die sich zuvor den Zeit.de-Artikel angeschaut hat. DoubleClick verfolgt Sie anhand Ihrer IP-Adresse und anhand von Cookies. Cookies sind kleine Info-Schnippchen, die Ihr Browser automatisch im Hintergrund von DoubleClick annimmt und speichert und an DoubleClick zurücksendet, wenn Sie beispielsweise eine neue Webseite aufrufen.

Google und DoubleClick konnten bislang schon häufig über viele Webseiten hinweg nachverfolgen, welche Webseiten die Surfer sich anschauen. DoubleClick über ihre auf vielen unterschiedlichsten Webseiten eingebundenen Werbebanner. Google über Statistik-Skripte, die viele unterschiedliche Website-Betreiber auf ihren Webseiten einsetzen. Nun könnten also die Datenbanken von Google und DoubleClick wegen der genehmigten Übernahme von DoubleClick durch Google zusammengeführt werden und der einzelne Surfer würde dann so über noch mehr und noch unterschiedlichere Webseiten besser und detaillierter verfolgt werden.

Jeder Internetsurfer kann jedoch mit relativ einfachen Mitteln Maßnahmen gegen dieses Ausschnüffeln durch Google und Werbebanner treffen. Hier einige Tipps dazu:

• Um der Gefahr, die von Werbebannern für Ihre Privatsphäre ausgeht, zu entgehen, können Sie besondere Werbebanner-Blockierer einsetzen. Verwenden Sie den Browser "Firefox", so empfiehlt sich die Installation des kostenlosen Firefox-Add-Ons "AdBlock Plus".
• Ich gehe jedoch einen anderen Weg, um der Aufzeichnung meines Surfverhaltens zu entgehen: Ich verwende zum normalen Surfen inzwischen beinahe immer "Tor". Mit "Tor" verbindet man sich quasi nicht direkt mit einer Webseite, die man ansurft, sondern man macht zuvor mehrere "Sprünge" über verschiedene Tor-Server. So weiß der Website-Betreiber, dessen Webseite man aufruft, nicht, wer da eigentlich seine Webseite aufruft. Das heißt: Die eigene IP-Adresse wird beim Surfen über das Tor-Netz verschleiert. Auch der eigene Provider weiß nicht, welche Webseiten man ansurft. Komfortabel zu bedienen ist "Tor" mittels der grafischen Oberfläche "Vidalia". Verwendet man außerdem "Privoxy", so werden zusätzlich die Werbebanner auf Webseiten geblockt. Tor, Vidalia und Privoxy kann man komfortabel als ein Paket bei der Electronic Frontier Foundation kostenlos herunterladen. Mit im Paket ist außerdem ein Firefox-Add-On namens "Torbutton", mit dessen Hilfe man in Firefox die Benutzung von Tor schnell ein- und anschalten kann.
  Zum Benutzen von Tor geht man also wie folgt vor: Die Software "Privoxy" lässt man am besten immer im Hintergrund laufen. Privoxy ist technisch gesehen ein Proxy-Server, der auf dem eigenen Rechner läuft. Anschließend startet man Vidalia. Vidalia liefert eine komfortable grafische Oberfläche zur Bedienung und Einstellung von Tor. Vidalia startet dann automatisch im Hintergrund den eigentlichen Tor-Prozess. Das kann etwas dauern. Tor muss nämlich erst Kontakt aufnehmen zum Tor-Netzwerk, also zu Tor-Servern. Über Vidalia kann man sich beispielsweise diese Tor-Knoten ansehen, indem man auf "Netzwerk betrachten" klickt. Vidalia zeigt außerdem an, wann Tor erfolgreich gestartet ist, also Kontakt zu Tor-Servern aufgenommen hat. Nun kann man in Firefox den Torbutton aktivieren. Torbutton zeigt in Firefox rechts unten ein Feld mit der Beschriftung "Tor Disabled" (Tor deaktiviert) oder "Tor Enabled" (Tor aktiviert) an - man klickt darauf, um Tor so für Firefox nutzbar zu machen (enabled) oder die Nutzung von Firefox über Tor wieder zu deaktivieren (disabled). Wird "Tor Enabled" angezeigt, läuft der Datenverkehr von Firefox zunächst über Privoxy und dann über Tor und das Tor-Netzwerk und man surft anonym.
• Vergessen Sie nicht spätestens bei jedem Neustart von Firefox, am besten jedoch ruhig mehrmals beim Surfen, die Cookies zu löschen. Trotz AdBlocker, NoScript (mehr dazu weiter unten) und Tor speichern Webseiten Cookies in Ihrem Browser und können Sie so wiedererkennen oder gar über mehrere Webseiten hinweg Ihr Surfverhalten aufzeichnen. Man kann die Annahme von Cookies im Browser auch ganz abstellen oder manuell einstellen, welche Websites Cookies setzen dürfen. Oftmals sind Cookies jedoch nötig, um Webseiten korrekt nutzen zu können. Jede Webseite, auf der man sich anmelden muss oder auf der man Einstellungen vornehmen kann, benötigt beispielsweise Cookies. Wer nicht manuell Cookies löschen möchte: In den Einstellungen von Firefox kann man festlegen, dass Firefox beim Beenden automatisch alle Cookies löschen soll. Außerdem gibt es zur Cookie-Verwaltung natürlich auch kostenlose Add-Ons für Firefox. Da ich jedoch zur Cookie-Verwaltung kein extra Add-On verwende, möchte ich hier auch keines empfehlen. Sie werden sicherlich fündig auf der zentralen Add-On-Sammelseite von Firefox.
• Wenn Sie Firefox verwenden, sollten Sie jedoch ein bestimmtes Add-On unbedingt installieren - und zwar: "NoScript". NoScript unterbindet bei jeder Webseite zunächst einmal alle auf der Webseite aktiven Skripte und Plug-Ins (JavaScript, Java, Flash). Es ergibt keinen Sinn, beispielsweise über das Tor-Netzwerk im Internet zu surfen, wenn man im Browser JavaScript oder Java oder Plug-Ins wie "Flash" aktiviert hat, weil diese aktiven Internetinhalte dann doch direkt - am Tor-Netz vorbei - Kontakt aufnehmen mit der angesurften Website und Ihre durch die Nutzung von Tor gewonnene Anonymität so wieder zunichte machen. Gute Webseiten funktionieren auch ohne aktive Skripte und Plug-Ins. Wenn man jedoch merkt, dass die Webseite mit den ausgeschalteten Skripten nicht richtig funktioniert, kann man wahlweise im Einzelfall auf das kleine "NoScript"-Symbol rechts unten im Firefox-Browser klicken und auswählen, ob man der Webseite temporär (das heißt für die jeweilige Browser-Sitzung) oder dauerhaft erlauben will, Skripte auszuführen. Sinn ergibt der Einsatz von NoScript allerdings nur, wenn man nur ganz wenigen Webseiten dauerhaft erlaubt, Skripte auszuführen. Denn mittels vieler Skripte ist es möglich - ähnlich wie mit den Werbebannern - Ihr Surfverhalten über viele Webseiten hinweg zu protokollieren. So verwenden viele Website-Betreiber beispielsweise Skripte von "Google-Analytics". Google-Analytics liefert dem Website-Betreiber Daten über seine Besucher. Außerdem speichert Google diese Daten zentral. NoScript verhindert, dass die Skripte von "Google-Analytics" Ihren Besuch auf der Webseite registrieren. NoScript zeigt bei jeder Webseite an, von welchen Domains alles Skripte auf der jeweils anzuzeigenden Webseite eingebunden werden. Man kann mit NoScript manuell auswählen, von welcher Domain Skripte geladen werden sollen. Eine Webseite will nämlich oftmals von mehreren, unterschiedlichen Domains Skripte nachladen. Im Zweifelsfall muss man mehreren Domains temporär erlauben, Skripte zu laden und auszuführen, damit die anzuzeigende Webseite korrekt mit allen aktiven Elementen angezeigt wird. Bei in Webseiten eingebundenen Flash-Filmen ersetzt NoScript das Flash-Element mit einem Platzhalter direkt auf der Webseite. Hier reicht es oft aus, einfach auf den Platzhalter zu klicken, um das einzelne Flash-Element, beispielsweise einen Film, nachzuladen. Nochmals der Hinweis: Haben Sie JavaScript, Java oder Flash und ähnliche aktive Seiteninhalte aktiviert, so surfen Sie nicht mehr anonym. Aktivieren Sie diese aktiven Seiteninhalte jedoch nur temporär, so sind Sie zumindest nur im Rahmen einer einzelnen Browser-Sitzung eventuell über mehrere Websites hinweg verfolgbar.
• Zum anonymen Abrufen von E-mails (also so, dass der Mailprovider meine IP-Adresse nicht kennt) nutze ich inzwischen auch einen Mailprovider, der eine anonyme Einrichtung von Mailkonten ermöglicht (beispielsweise Gmail/Google-Mail) und Tor. Haben Sie also bereits das oben erwähnte Paket aus "Tor/Vidalia/Privoxy" installiert, können Sie beispielsweise auch für den kostenlosen Mail-Client "Thunderbird" zusätzlich noch das kostenlose Thunderbird-Add-On "Torbutton" installieren und dann E-mails auch via Tor-Netz abholen und abschicken. Dabei sollten Sie jedoch unbedingt einen Mailprovider verwenden, der das E-mail-Passwort zum Abholen und zum Versenden von E-mails verschlüsselt überträgt. In den Einstellungen von Thunderbird sollten sie bei diesen Postfächern bei den "Server-Einstellungen" "SSL" auswählen und bei den SMTP-Einstellungen ebenfalls "SSL" oder "TLS". Welche Verschlüsselungsart Ihr Mailprovider verwendet, müssen Sie im Zweifelsfall erfragen. Gmail/Google-Mail verwendet "SSL" zum Abholen von E-mails (also "SSL" auswählen bei den "Server-Einstellungen" in Thunderbird) und "TLS" zum Verschicken von E-mails (also bei den SMTP-Einstellungen von Thunderbird "TLS" auswählen) von E-mails. Bietet Ihr Mailprovider keine Möglichkeit zum verschlüsselten Übermitteln des E-mail-Postfach-Passwortes an, sollten Sie ernsthaft überlegen, einen anderen Mailprovider zu suchen. Auf jeden Fall sollten Sie niemals Mails über das Tor-Netzwerk abrufen oder verschicken, wenn Ihr Passwort nicht verschlüsselt übertragen wird. Denn das Tor-Netz verschleiert zwar im Internet Ihre Herkunft, ist aber selbst nicht sicher. Jeder Betreiber eines Tor-Knotens kann den Datenverkehr, der über seinen Knoten läuft, abhören. Das trifft aber letztlich auch auf das normale Internet zu. Insofern sollte man zum Abholen und Abschicken von E-mails immer die Passwörter verschlüsselt übertragen.
• Neben diesen technischen Vorkehrungen sollte man sich außerdem angewöhnen, im Internet bei Anbietern irgendwelcher kostenlosen Dienstleistungen möglichst keine persönlichen Daten, wie beispielsweise E-mail-Adressen, zu hinterlassen. Hinterlassen Sie nämlich bei unterschiedlichen Anbietern beispielsweise die gleiche E-mail-Adresse, werden Sie dadurch ebenfalls "verfolgbar". Wenn Sie also beispielsweise bei Ebay und Skype die gleiche E-mail-Adresse angeben, so kann Ebay und Skype (theoretisch) einmal anhand Ihrer Ebay-Daten sehen, wer Sie sind und anhand Ihrer Skype-Kontakte sehen, mit wem Sie so alles wie häufig, wann und wie lange Kontakt haben. Denn Ebay und Skype gehören zur selben Firma. Häufig ist für Sie als Nutzer also nicht sichtbar, wer mit wem welche Daten austauscht. Zum Ebay-Skype-Verbund gehört beispielsweise auch noch der Internetbezahldienst "PayPal". Es gibt im Internet viele solcher Diensteanbieter-Netzwerke. So kann es häufig vorkommen, dass Sie einerseits Dienstleistungen dieser Anbieter nutzen, bei denen Sie Ihre Identität offen legen müssen, beispielsweise, weil Geldtransaktionen im Spiel sind (Ebay, PayPal etc.). Dass Sie andererseits aber auch kostenlose Angebote dieser Diensteanbieter nutzen, bei denen Sie nicht unbedingt Ihre persönlichen Daten preisgeben müssten (beispielsweise zur Nutzung der Chat- oder reinen Internettelefoniefunktion von Skype). Die Maxime muss also sein: Da, wo man nicht unbedingt seine Identität preisgeben muss, sollte man dies auch nicht tun.
• Legen Sie sich im Internet verschiedene Identitäten zu, die sie getrennt nutzen. Nutzen Sie beispielsweise zum Besuch oder zur Beteiligung in einem Internet-Forum eine andere E-mail-Adresse und Identität als auf Ihrer Homepage. Verwalten Sie Ihre Identitäten notfalls, indem Sie sich notieren, auf welchen Internetseiten sie welche Daten über sich hinterlegt haben. In solch einer Notiz-Datei könnten Sie auch beispielsweise die Passwörter notieren, die Sie für unterschiedliche Internetdienste oder Internetangebote nutzen. Dies ist eine besserere Lösung, als beispielsweise bei vielen Diensten Passwörter zu verwenden, die Sie sich leicht merken können (und die deshalb mit hoher Wahrscheinlichkeit auch von anderen geknackt werden können) oder gar immer das gleiche Passwort zu verwenden. Natürlich ist es keine schlechte Idee, diese Notiz-Datei dann auf der eigenen Festplatte zu verschlüsseln und vorsichtig mit dieser wertvollen Datei umzugehen.
• Geben Sie bei Internetdiensten, wo der Anbieter Daten über Sie wissen will, so wenig Daten wie möglich an, möglicherweise auch ruhig falsche oder erfundene Daten. Werden Sie nach einer E-mail-Adresse gefragt, an die beispielsweise nichts weiter als eine Bestätigungsmail mit einem Aktivierungslink gesandt werden soll, können Sie dazu auch sogenannte "Wegwerf-Mailadressen" verwenden. Das sollten Sie natürlich nur tun, wenn Sie auf weiteren Mailverkehr mit dem Diensteanbieter verzichten können und der Diensteanbieter keine sonstigen wichtigen Daten über Sie gespeichert hat. Der Gebrauch von Wegwerf-Mailadressen ist nämlich mit einem Risiko verbunden. Die üblichen Anbieter von Wegwerf-Mailadressen schützen nämlich diese Einmal-E-mail-Postfächer nicht vor dem Zugriff Dritter. Nutzen Sie also Wegwerf-Mailadressen nur, wenn es keine Folgen hat, wenn andere Einblick in dieses Einmal-Postfach bekommen. Ein typischer Anbieter von Wegwerf-Mail-Adressen ist beispielsweise Wasteland.RFC822.org. Bei Wasteland kann man ohne Anmeldung einfach einen Namen für sein E-mail-Postfach wählen, beispielsweise aschvwl@wasteland.rfc822.org. Zum Abrufen der dort eingetroffenen E-mails gibt man einfach aschvwl in das Eingabefenster bei Wasteland ein und kann die eingegangenen E-mails lesen. Jeder, der den Namen des Postfaches, also "aschvwl" kennt, kann also so auch den Posteingang sehen!

Damit die oben genannten Ratschläge einmal konkreter anschaulich werden in ihrer kombinierten Wirkungsweise, schildere ich mal, wie ich sie selbst anwende: Ich nutze zum Bloggen hier eine extra E-mail-Adresse (steht oben rechts im Blog unter "Kontakt"), die ich sonst nirgendwo im Internet verwende. Man kann sich zudem anonym bei Gmail/Google-Mail anmelden. Macht man dies zudem via Tor, kennt Google auch nicht die IP-Adresse von mir. Der Nachteil von Gmail/Google-Mail ist allerdings, dass Google alle E-mails mitliest, die man via Gmail empfängt oder versendet. Deshalb sollte man Gmail nur zum Empfang und Versenden von verschlüsselten E-mails nutzen. Wie das mit dem Verschlüsseln von E-mail geht, kann man beispielsweise bei Kai Raven nachlesen. Die Bedienung dieses Weblogs hier bewerkstellige ich zudem auch via Tor und bei abgeschaltetem JavaScript (nur bei der Einrichtung des Weblogs - Layout etc. - muss JavaScript leider aktiviert sein. Wer hier maximale Privatsphäre will, sollte das Layout seines Weblogs also beispielsweise in einem Internetcafé einrichten.).

Fazit: Man kann Google-Dienste nutzen, ohne sich "nackig" zu machen für Google. Schöner wäre es natürlich, wenn Google auf die Speicherung persönlicher Daten verzichten würde. Vielleicht findet sich ja bald jemand, der Google wegen dieser vermutlich in Deutschland illegalen Speicherwut vor Gericht zerrt. Aber auch bei einer öffentlichen Verlautbarung Googles, dass sie nichts speichern, hätte man als Nutzer kaum eine Möglichkeit, den Wahrheitsgehalt dieser Aussage zu überprüfen. Die große Verbreitung von Werbebannern auf vielen Internetseiten (hier drohen auch bald vermutlich juristische Auseinandersetzung mit den Anbietern und Nutzern solcher Werbebanner) und vor allem jetzt der oben erwähnte Zusammenschluss von Google und DoubleClick macht zudem den Einsatz von Tor und NoScript, oder zumindest von NoScript und einem Werbebanner-Blocker, immer nötiger und sinnvoller, auch wenn man keine Dienste von Google nutzt.

Die geringen Kosten für das Speichern digitaler Daten und die Möglichkeit, riesige Datenberge innerhalb von Sekunden mittels dafür spezialisierter Software zu durchforsten nach aussagekräftigen Mustern, macht es für Google und Co. attraktiv, jedes Datenfitzelchen aufzuzeichnen, das Sie als Internetnutzer hinterlassen. Wenn Sie als Internetnutzer dann irgendwo auf einer Webseite einmal Ihren Klarnamen oder Adressangaben (einschließlich E-mail-Adresse) hinterlassen und nichts gegen die oben dargestellte Verfolgung Ihres Surfverhaltens tun, ist Ihre Privatsphäre massiv verletzt.

Noch eine Anmerkung: Die Speicherwut privater Anbieter ist unschön. Ich finde es jedoch unpassend, sie gleichzusetzen mit beispielsweise staatlicher Speicherwut oder staatlichen Zugriffsmöglichkeiten. Gegen die Speicherwut privater Anbieter kann man sich als Verbraucher nämlich besser zur Wehr setzen als gegen staatliche Übergriffe auf die Privatsphäre - und sei es, dass man bestimmte Dienste privater Anbieter schlicht und einfach nicht nutzt. Staatliche Behörden haben jedoch die Möglichkeit, Zugriff zu nehmen auf die bei Google und Co. gespeicherten Daten. Staatliche Behörden können dann diese Daten leicht in Verbindung bringen mit Ihrer tatsächlichen Identität, indem sie die bei Google und Co. gespeicherten IP-Adressen zu Ihrem Provider tragen und vom Provider mitgeteilt bekommen, welche reale Person sich hinter diesen IP-Adressen verbirgt. Wenn also zwar Google und Co. nicht ohne weiteres herausfinden können, wer Sie sind, so könnten staatliche Stellen jedoch theoretisch Ihr ganzes Surfverhalten offenlegen. Die beschlossene Vorratsdatenspeicherung macht es möglich, dass die Polizei und die Geheimdienste dank der allgegenwärtigen Speicherung von IP-Adressen durch Google und durch viele andere Internetdiensteanbieter und dank der Daten Ihres Providers, noch nach sechs Monaten ziemlich genau nachvollziehen könnten, welche Internetseiten Sie sich in den letzten sechs Monaten alles angeschaut haben. Auch wenn die Daten Ihres Providers in falsche Hände geraten und diese falschen Hände ebenfalls Zugriff auf die Daten von Google und Co. hätten, wäre der "Daten-GAU" da. Natürlich wäre dies ein krimineller Datenklau und auch das gerade beschriebene Vorgehen von Geheimdiensten und Polizei wäre kaum grundgesetzkonform, aber die Erfahrung lehrt, dass Dinge passieren, obwohl sie verboten sind. Also heißt es, sich zu schützen.

Noch Fragen offen oder Kritik oder Ergänzungen? Dann einfach einen Kommentar hinterlassen.
Die Nutzung der Kommentarfunktion hier bei "Blogspot" ist übrigens auch ohne eingeschaltetes Javascript möglich. Und anonym (ohne Anmeldung) kommentieren kann man auch. Wenn Sie zudem das oben erwähnte Vidalia/Tor/Privoxy-Paket einsetzen, bleibt auch Ihre IP gegenüber Blogspot/Google verborgen.

Technorati-Tags: Tor, Vidalia, Privoxy, Torbutton, NoScript, AdBlock Plus, Google, Google-Analytics, Gmail, Google-Mail, DoubleClick