Der digitale Weltkrieg, den keiner bemerkt

2

TOTALER BLACKOUT

Als Steven und ich in unserem Zimmer im Benidorm Palace Hotel in Rio zum ersten Mal die Snowden-Dokumente sehen, zittern wir vor Aufregung. »Jetzt werden wir selbst lesen, was immer geheim bleiben sollte«, denken wir. Wir schließen uns ein und klappen die Laptops auf.

Aber statt drauflos zu tippen, starren wir auf Grafiken und Beschreibungen mit Kürzeln wie »PSTN«, »MYSQL«, »CNE«, »Sigad«, »Thuraya« und »CERF Call«. Wenn man eine neue Welt betritt, macht man als Erstes die frustrierende Erfahrung, wie unwissend man ist. So ähnlich wie nach dem ersten Arbeitstag in einem neuen Job: Man kann sich noch so gut vorbereiten und noch so gut Bescheid wissen, in erster Linie weiß man anschließend nur, was man alles noch nicht weiß. Routineaufgaben, die Namen der Kollegen, Beziehungen untereinander, der Umgangston.

Nach einer Weile wird uns klar, dass es sich bei den Abkürzungen um technische Begriffe handelt, die sich entweder auf Codes beziehen oder auf eine Technik, die benutzt wurde. Die genaue Bedeutung erschließt sich nur aus dem Kontext.

Wie kompliziert das ist, verstehen wir, als wir einen Text lesen, in dem niederländische Geheimdienstexperten ihren amerikanischen Kollegen etwas präsentieren. Der Text lässt keinen Zweifel daran, dass die Amerikaner schwer beeindruckt sind, es ist von einem »sehr hohen Niveau« die Rede. Aber worin genau bestehen diese Fähigkeiten der Niederländer?

Im Dokument heißt es, dass sie »MYSQL-Datenbanken« via »CNE-Zugang« hereinholen. Wir müssen wieder googeln. MYSQL ist offenbar eine Anwendung, um Datenbanken zu erstellen und zu verwalten. Dort werden alle Nachrichten der Nutzer gespeichert, ebenso wie deren Log-in-Zeiten, IP-Adressen und Passwörter. Mithilfe dieser Daten kann der Dienst anschließend nach den wahren Identitäten der Nutzer suchen. CNE ist das Akronym für Computer Network Exploitation, ein anderer Begriff für Hacken. Eigentlich steht dort also, dass der AIVD sich Zugang zu einer Webplattform verschafft und die gesamte Datenmasse absaugt, um zu erfahren, wer im Forum aktiv ist. Unserer Meinung nach ist das ein Verstoß gegen geltendes Recht und damit wieder einer von vielen losen Fäden, denen wir nachgehen und die wir überprüfen müssen.

Aber das ist noch nicht alles. Der AIVD benutzt die Datenbank auch für andere Zwecke. »Sie prüfen«, schreibt die NSA, »ob sie die Daten der Webforen mit anderen Social-Media-Daten verknüpfen können und suchen nach neuen Data-Mining-Methoden.« Data-Mining. Wieder ein neuer Fachbegriff. Darunter versteht man die systematische Datenanalyse, das Erkennen von Verhaltensmustern der Nutzer. Auf diese Weise kann der Dienst herausfinden, wer auf den Foren aktiv ist – wichtiger noch: wer sich hinter den Benutzernamen verbirgt.

In großen Datenbeständen lässt sich das beispielsweise durch Querverbindungen ermitteln: Es kann sein, dass sich ein Nutzer jedes Mal gleichzeitig bei Facebook und in einem bestimmten Forum anmeldet. Auf Facebook unter seinem richtigen Namen, im Forum unter einem Benutzernamen. Je mehr Daten, desto deutlicher die Muster.

Als wir dieses Dokument nach unserer Rückkehr im NRC veröffentlichen, wird eine Frage besonders heftig in der Öffentlichkeit diskutiert: Darf der AIVD das überhaupt machen? Nach Ansicht von Datenschutzfachleuten und Juristen darf er es nicht. Der Dienst erfasst dabei nämlich auch die Daten unbescholtener Bürger. Der AIVD ist allerdings ganz anderer Meinung. Ein Jahr später wird die Aufsichtsbehörde des AIVD nach einer eigenen Untersuchung zu dem Schluss kommen, dass der Dienst in mehreren Fällen »unrechtmäßig« gehandelt hat.

Der Artikel auf der Titelseite und die sich daran anschließende Diskussion ist ein typisches Beispiel für Artikel, die ich in diesen Monaten geschrieben habe. Sie beschäftigen sich vor allem mit der Frage nach der Rechtmäßigkeit und den Folgen für unschuldige Bürger. Anders ausgedrückt: Ist dieses Vorgehen gesetzeskonform? In welchem Ausmaß verletzt es die Privatsphäre? Aus journalistischer Sicht handelt es sich dabei um relevante Fragen, die jedoch gleichzeitig zu kurz greifen und daher unbefriedigend sind. Sie beschäftigen sich nämlich nicht mit den tiefer liegenden Ursachen, sondern mit dem, was von der Norm abweicht, und nicht mit dem, was üblich ist. Durch diese Fragen finden wir nicht heraus, wie das Internet organisiert ist, warum es so attraktiv für Geheimdienste ist und warum Internetnutzer dadurch gefährdet sind.

Diese Art der Berichterstattung, die sich vor allem mit Ausnahmen beschäftigt, ist natürlich eine Berufskrankheit, denn Journalisten berichten gern über alles, was neu ist und sich verändert. Es ist neu, dass der AIVD Webforen ausspäht. Und wenn es obendrein auch noch ungesetzlich ist, dann ist es erst recht ein Skandal. Zu Skandalen haben viele Menschen und auch Politiker eine Meinung. Anschließend folgen Maßnahmen – also weitere Nachrichten – und eventuell führt es zu politischen Konsequenzen – noch mehr Nachrichten.

Dabei geht es auch um gesellschaftliche Akzeptanz. Aufgrund der Dokumente, die ich gelesen und der Gespräche, die ich geführt habe, begreife ich allmählich, wie verletzlich dieses Internetnetzwerk an vielen verschiedenen Stellen ist. Und dass alles, was damit verbunden ist – Telefonie, Laptops, Sicherheitskameras – von anderen nachverfolgt werden kann.

Das World Wide Web übt eine magnetische Anziehungskraft aus: Organisationen, Unternehmen, Regierungen docken sich nur allzu gern ans Internet an, um dort ihre Dienste anzubieten. Die Folge davon sind weitere Schwachstellen und weitere Interessen, die geweckt werden; ganz oben auf der Liste stehen dabei die Sicherheitsdienste.

Aber ist es eigentlich für irgendjemand von Bedeutung, wie das Internet tatsächlich funktioniert und welche Auswirkungen es auf unsere Gesellschaft hat? Denken wir nur mal an den berühmten Kurzfilm, den Frans Bromet 1998 gedreht hat. Mit seiner unverkennbaren, nasalen Stimme befragt er Passanten, ob sie gern ein Handy hätten, seinerzeit noch eine absolute Neuheit. Die Antworten sind eindeutig: Niemand will ein Handy. »Ich finde die Vorstellung, dass ich ständig erreichbar bin, nicht besonders angenehm«, entgegnet eine Passantin. Kurz darauf kommt das Handy auf den Markt und wenig später das Smartphone. Es wurde ein unglaublicher Erfolg. Ähnlich verhält es sich mit allen digitalen Neuheiten: Nach anfänglichem Zaudern werden die Bedenken rasch über Bord geworfen – und das hat inzwischen zu einer breiten Akzeptanz geführt, beispielsweise was digitalisierte Patientenakten betrifft.

Während ich zu Hause oder in einem gesicherten Raum der Redaktion die NSA-Dokumente lese und die technischen Fachbegriffe zu verstehen versuche, habe ich immer wieder den Eindruck, ein stockfinsteres Zimmer zu betreten. Irgendwo in der Dunkelheit muss ein unsichtbarer Kampf in einem Gewirr aus Kabeln und Drähten toben.

Ständig tauchen neue Fragen auf: Wie hackt man eigentlich? Wie kann der AIVD von seinem Sitz in Zoetermeer aus in ein weit entferntes Webforum eindringen? Oder: Was bedeutet dieses Ausspähen für die Beziehung zwischen Bürger und Regierung, für die Demokratie? Das Projekt lässt mich nicht mehr los, stelle ich fest, wenn ich eine Runde jogge oder noch lange nach Mitternacht im Bett Gedanken wälze.

In den Gesprächen, die ich in den darauffolgenden Monaten und Jahren führe, geht es immer wieder um einen Vorfall, der sich im Jahr 2011 in den Niederlanden abgespielt hat.

Die Geschichte fängt mit Aart Jochem an. Der 46-jährige IT-Experte berät die Regierung in nationalen Krisensituationen und ist keiner, der sich ständig Sorgen macht. Er führt ein Team von IT-Fachleuten in einer Behörde mit dem unmöglichen Namen GOVCERT, das Government Computer Energy Response Team.

In den 1980er-Jahren studiert Aart Jochem Computertechnik an der HTS in Den Haag. Anschließend macht er an der TU Delft seinen Doktor in Elektrotechnik und Computerarchitektur. Der erste Mac kommt auf den Markt, und Ruud Lubbers ist Premierminister.

2007 beginnt Aart bei GOVCERT; dort geht es recht geruhsam zu, ab und zu werden Sicherheitsratschläge an die Ministerien ausgegeben. Aart Jochem ist ein vertrauenerweckender, ruhiger Spezialist. Kollegen schätzen sein freundliches Wesen, seinen Innovationsdrang und seine umfassenden Kenntnisse auf dem Gebiet der Computersicherheit. Sie spüren bei ihm noch den Idealismus der 1980er- und 1990er-Jahre: dass die Technik vor allen Dingen dazu dienen soll, den Menschen freier zu machen.

In den vier Jahren, acht Monaten und 30 Tagen, die er für GOVCERT arbeitet, hat er bisher noch nie das Gefühl gehabt, dass ihm die Dinge entgleiten. Jedenfalls nicht bis zu diesem Mittwochabend, dem 31. August 2011. Er nimmt an einem Elternabend in der Schule seiner Kinder in Alphen am Rhein teil und...