Es dürfte wenig überraschen, dass die Regierungen, gleich wie demoktratisch und rechtsstaatlich, am Liebsten alles über ihre Bürger*innen wüssten. Und wenn nicht sie, dann die „unter Aufsicht“ stehenden Geheimdienste. Und so darf es auch nicht überraschen, wenn wieder und wieder neue Überwachungsversuche ans Tageslicht kommen.

So ist aktuell bekannt geworden, dass Regierungen, darunter die der USA, in einem geheimen Vorgang von Apple und Google die Meta-Daten zu Push-Notifications abgefragt haben. Bei Meta-Daten sind immer noch viel zu viele Menschen der Meinung, dass diese kein echtes Schadpotential haben. Und am Ende sage ich Euch, warum ich glaube, dass wir echt gef*t sind.

In diesem Fall haben Sie das aber sehr wohl.

Stellen wir uns vor, dass die Entwickler einer App sorgfältig gearbeitet haben und dafür Sorge tragen, dass Push-Notifications keinen lesbaren Daten enthalten. Das ist z. B. bei Apple auch so in den Design-Guides festgelegt, weil Push-Notifications nicht verschlüsselt sind. Dummerweise sind da aber Informationen, ohne die die Benachrichtigungen gar nicht funktionieren, darunter unter anderem:

• die übermittelnde App
• ein Zeitstempel
• der Account für den die Nachricht ist

Damit Notifictions Euer Handy erreichen, müssen sie wohl bei Apple, als auch Google durch eine zentrale Infrastruktur laufen, die die Nachrichten an die Zielgeräte zustellen. Und hier kann dann auf die Daten zugegriffen werden. Dazu wurden Apple und Google gezwungen, im Geheimen entsprechende Vorkehrungen zu treffen. Das Problem bei der „Lawful Inception“, wie man das nennt, ist aber: Gibt es eine solche Schnittstelle zum Schnüffeln, steht sie nicht nur den vermeintlich Guten zur Verfügung.

Wenn man Berichten wie z. B. von Reuters glaubt, ist es mit dem Abfangen der Daten schon gelungen, Nutzer verschlüsselter Dienste wie Telegram ausfindig zu machen. Und das ist auch relativ Easy: Wenn ich Zugang z. B. einer Gruppe habe, kann ich sehen wer aus der Gruppe heraus über neue Nachrichten benachrichtigt wird. Ich kann also genau sehen, wer wann mit wem kommuniziert hat. Damit weiß ich noch nicht WAS kommuniziert wurde, kann aber von hier aus weiterarbeiten und zum Beispiel Geräte beschlagnahmen und dann auswerten.

Das Problem ist, dass dabei nicht mal Inhalt mitgesendet werden muss. Signal z. B. sendet im Grunde nur ein Signal das das Handy auffordert, eine Nachricht direkt beim Signal-Server abzuholen. Aber auch damit weiß ich, dass eine Nachricht vorliegt.

Aktuell wissen wir noch nicht genug über dieses neue Problem, um es abschließend bewerten zu können. Aber:

Das größte Problem ist, dass das Handling, also Anzeigen / Nicht-Anzeigen bei den meisten Apps direkt im Endgerät erfolgt. Das bedeutet also, dass wenn Ihr Notifications abschaltet, diese trotzdem an Euer Handy gesendet werden – sie werden halt nur nicht angezeigt.

Das macht es praktisch unmöglich, sich zu wehren oder das Ausspähen zu verhindern. Auch die Kombination von Metadaten-armen Apps wie Threema mit VPN nutzt Euch nix, weil die Notification nicht an die IP-Adresse Eures Gerätes geht, sondern über Apple und Google an Euren Account. Das einzige, das wirklich helfen würde wäre, wenn die Benachrichtigungen an der Quelle abgeschaltet und / oder nicht über zentrale Instanzen bei Apple und Google gehen.

An ersterem werden gute App-Developer ganz schnell arbeiten. Zweiteres werden Apple und Google aber aus eigenen Interessen nicht zulassen. Denn machen wir uns nix vor: Auch die Infrastrukturbetreiber möchten gerne wissen, was Ihr treibt…