Cross Domain Adressenhandel besser als Online Durchsuchung

Während sich unsere Sicherheitsexperten und auch die Politiker um die Zulässigkeit von Online Untersuchungen auf privaten PCs streiten, hat die Web 2.0 Technologie die Streitenden längst links überholt. Content wird heutzutage weltweit in Servern gelagert, wenn es sein muss gut verschlüsselt und in Ländern in denen es keine Rechtshilfeabkommen gibt. Auch Privatpersonen lagern immer mehr Daten in Google, MySpace, Youtube und Co aus.

Wesentlich interessanter als sensitive Daten auf dem PC sind Internet Benutzerprofile, die über die IP Adresse eindeutig Personen zugeordnet werden können. Wertet man nicht nur das Amazon Profil bzgl Büchern und CDs aus, sondern greift auf die Profile mehrerer Internet Domains zu, so erhält man ein ziemlich umfassendes Bild über die Interessen und Gewohnheiten einer Person, was z.B. Google geschäftlich in großem Umfang nutzt. Aber auch kleiner Spezialunternehmen sind im Cross Domain Handel mit IP Adressen und Benutzerprofilen tätig. Der Benutzer surft z.B. anonym auf einer Gesundheits-Website nach Symptomen einer Krankheit. Er hat sich aber auch bei einem Nachrichtendienst mit seinem Namen angemeldet. Kauft nun ein Adressenhändler zusätzlich zum Kundenprofil von der Gesundheits Website auch die Adressen vom Nachrichtendienst auf, so kann er über die IP Adresse die Kunden eindeutig identifizieren. Sammelt er die Profildaten von mehreren Sites ein, so kann er ganz detaillierte Kunden Profile erstellen, die natürlich für gutes Geld verkauft werden. Profiling Verfahren werden seit langem in der realen Welt von Adresshändlern angelegt und verkauft. Mit dem Internet erreicht dieses Profiling natürlich eine ganz andere Dimension. Viele der Blogs und Foren bei denen man sich heute registrieren muss, sind Honey Pots für den Adresshandel. Normalerweise werden IP Adressen dynamisch zugewiesen und sind nur eine begrenzte Zeit gültig – damit wird das Cross Domain Profiling zumindest etwas erschwert. Der Default Wert für die Gültigkeitsdauer der dynamischen IP Adresse ist jedoch häufig auf “Dauernd” gesetzt, d.h. die Adresse ist quasi statisch.  Das sollte man zumindest auf z.B. 12 h Gültigkeitsdauer ändern.  

In USA dürfen Polizei und FBI dieses Cross Profiling nicht benutzen – hoch lebe der Datenschutz. Unternehmen ist Cross Profiling jedoch erlaubt! Das FBI kauft deshalb diese Informationen gezielt von privaten Profilern. Spionage wird also wie so viele andere staatliche Deinstleistungen outgesourced. Das wäre doch auch mal eine gute Idee für Herrn Schäuble, da sowieso in Russland und Indien wohl bessere IT Experten als im BMFT sitzen.