Brief von Senator Wyden bestätigt, dass die NSA Daten von US-Bürgern bei Datenbrokern kauft

• Durch von Senator Ron Wyden veröffentlichte Dokumente wurde der Kauf von Internetprotokollen durch die NSA offengelegt; diese Protokolle können zeigen, welche Websites Nutzer besucht und welche Apps sie verwendet haben
• Wyden fordert, die Praxis zu beenden, dass Nachrichtendienste persönliche Daten von US-Bürgern bei Datenbrokern kaufen, und nur noch legale Datenverkäufe zuzulassen, die die FTC-Standards erfüllen
• Die NSA bestritt zwar den Kauf und die Nutzung von Standortdaten, die von innerhalb der USA erfassten Mobiltelefonen stammen, räumte aber den Kauf und die Nutzung kommerzieller netflow-Nichtinhaltsdaten zu inländischer Internetkommunikation sowie zu ausländischer Kommunikation mit US-IP-Adressen ein
• Bis diese Informationen veröffentlicht wurden, vergingen fast drei Jahre; die Freigabe erfolgte erst, nachdem Wyden die Nominierung eines NSA-Direktorkandidaten blockiert hatte
• Der staatliche Kauf persönlicher Daten über Datenbroker kann Gerichte und die Anforderungen an richterliche Anordnungen umgehen und so den Datenschutz von US-Bürgern sowie die Kontrolle inländischer Überwachung schwächen

---

Bestätigung des Kaufs von Internetprotokollen durch die NSA

• Aus von Senator Ron Wyden veröffentlichten Dokumenten geht hervor, dass die NSA Internetprotokolle von US-Bürgern kauft
• Diese Internetprotokolle können offenlegen, welche Websites Nutzer besuchen und welche Apps sie verwenden
• In einem Schreiben an die Direktorin des Nationalen Nachrichtendienstes, Avril Haines, forderte Wyden die Einführung einer Richtlinie, die Nachrichtendiensten den Kauf personenbezogener Daten von US-Bürgern untersagt, die von Datenbrokern rechtswidrig beschafft wurden
• Wyden erklärte: „Die US-Regierung darf keine zwielichtige Industrie finanzieren und legitimieren, die die Privatsphäre der Amerikaner offen verletzt.“

Wie Datenbroker einen Weg zur Umgehung von richterlichen Anordnungen schaffen

• Der staatliche Kauf inländischer Daten bei Datenbrokern ist bereits wiederholt vorgekommen
• Bundesbehörden und lokale Strafverfolgungsbehörden haben inländische Daten von privaten Unternehmen gekauft; das kann als Mittel funktionieren, um vom Supreme Court gesetzte Grenzen zu umgehen
• Die Regierung geht davon aus, dass die Third Party Doctrine angewendet werden kann, doch viele Apps und Dienste sammeln Daten, ohne dass Nutzer sich dessen ausreichend bewusst sind
  • Selbst scheinbar einfache Mobile Games können den Standort eines Mobiltelefons abfragen und ihn mit einer bestimmten Geräte-ID verknüpfen
  • Solche Datenerfassung kann tief in den Nutzungsbedingungen verborgen sein

Wydens Offenlegungsprozess und Forderungen

• Wyden erklärte, dass es fast drei Jahre dauerte, bis die Freigabe zur Veröffentlichung von Informationen über den Kauf inländischer Internet-Metadaten durch die NSA erteilt wurde
• Im März 2021 stellte das Verteidigungsministerium Wydens Team Informationen zur Verfügung, nachdem es um die Identifizierung von Bestandteilen des Ministeriums gebeten hatte, die personenbezogene Daten von US-Bürgern kaufen
• Anschließend beantragte Wyden im Mai 2021 die Freigabe nicht klassifizierter Informationen zur Veröffentlichung, doch das Verteidigungsministerium lehnte dies ab
• Erst nachdem Wyden die Nominierung eines NSA-Direktorkandidaten auf Eis gelegt hatte, wurde die Veröffentlichung der betreffenden Informationen genehmigt
• Wydens Schreiben fordert von jedem Bestandteil der Intelligence Community (IC) Folgendes
  • Einleitung von Untersuchungen zum Datenkauf bei Datenbrokern
  • FTC-Untersuchung der Geschäftspraktiken von Datenbrokern
  • Bereitstellung einer Liste personenbezogener Daten, die von Datenbrokern gekauft wurden

Was die NSA bestritt und was sie einräumte

• In einem Schreiben an Wyden aus dem Jahr 2023 erklärte die NSA, dass sie Standortdaten, die von Mobiltelefonen erfasst wurden, von denen bekannt ist, dass sie innerhalb der USA genutzt werden, unabhängig vom Vorliegen einer gerichtlichen Anordnung weder kauft noch verwendet
• Dieses Dementi beschränkt sich auf Standortdaten und ist keine pauschale Zurückweisung von Wydens Bedenken hinsichtlich des Kaufs von Internetprotokollen insgesamt
• Im selben Schreiben räumte die NSA ein, kommerziell verfügbare netflow-Nichtinhaltsdaten zu kaufen und zu nutzen
  • Daten, die sich ausschließlich auf inländische Internetkommunikation beziehen
  • Daten zu Internetkommunikation, bei der eine Seite eine US-Internetprotokolladresse hat und sich die andere Seite im Ausland befindet
• Dieses Eingeständnis zeigt, dass sich der Umfang inländischer Überwachung durch die NSA über den Markt der Datenbroker ausweiten kann

Section 702 und Sorgen über inländische Überwachung

• Die NSA ist bereits als Behörde bekannt, die über die Erfassung nach Section 702 Daten und Kommunikation von US-Bürgern „versehentlich“ in großem Umfang mit einsammeln kann
• In diesem Zusammenhang wird auch erwähnt, dass das FBI Section 702 wiederholt für inländische Überwachung missbraucht hat
• Unter diesen Umständen bleibt die Frage, warum die NSA überhaupt zusätzlich Daten von Datenbrokern kaufen muss
• Der Kern der Kritik ist, dass es nicht so aussieht, als sammle die NSA mehr wegen eines nachgewiesenen Bedarfs der nationalen Sicherheit, sondern weil sich schlicht ein weiterer Zugangsweg eröffnet hat
• Wenn der Kauf von Daten von US-Bürgern über Datenbroker zum Alltagsgeschäft der Regierung wird, wird eine wirksame Kontrolle der Überwachungsbefugnisse noch schwieriger

[GN⁺]

Meinungen auf Hacker News

• Dass die Regierung ohne hinreichenden Grund auf Informationen über Bürger zugreift, scheint – selbst wenn es durch Kauf geschieht – zwar vielleicht nicht dem Wortlaut, aber doch dem Geist des 4. Verfassungszusatzes zu widersprechen. Heute kann man enorme Mengen an Informationen über eine Person sammeln, ohne „Durchsuchung und Beschlagnahme“ im klassischen Sinn. Es scheint daher eine Verfassungsänderung nötig, die den 4. Zusatzartikel an die Gegenwart anpasst. Datensammlung ist eines der großen Themen unserer Zeit, aber zumindest dürften die meisten zustimmen, dass die Regierung unsere Rechte nicht legal mithilfe unserer Steuern oder Schulden umgehen sollte.

  • Das geht auf die Third-Party Doctrine zurück. Sobald man Daten an Dritte weitergibt, hat man demnach keine „berechtigte Erwartung an Privatsphäre“ mehr, also ist es keine Durchsuchung. Das ähnelt der Rechtsprechung zu Mülltonnen: Steht die Tonne noch direkt am Haus, unterliegt sie noch der eigenen Kontrolle und man hat Rechte daran; stellt man sie aber an den Straßenrand, damit sie vom Müllwagen abgeholt wird, hat man diese Rechte aufgegeben. Das heißt nicht, dass ich das gut finde – im Gegenteil, ich mag es nicht –, aber so funktioniert es nach aktueller US-Rechtsprechung. Um das zu ändern, müsste der Kongress ein neues Gesetz schaffen oder die Verfassung geändert werden; Vorstellungen darüber, „wie es sein sollte“, haben wenig Gewicht, wenn sie nicht durch Recht gedeckt sind.
  • Ich würde sagen, dass der Großteil dieser Datensammlung und -nutzung faktisch Durchsuchung und Beschlagnahme darstellt. Der Unterschied ist nur, dass sie nicht von der Regierung, sondern von privaten Unternehmen durchgeführt wird – und persönlich finde ich das sogar schlimmer, als wenn es nur die Regierung täte.
  • Leider wird der 4. Verfassungszusatz ziemlich eng ausgelegt. Es wäre gut, wenn es einen zusätzlichen Artikel gäbe, der ein konkreteres Recht auf Privatsphäre festschreibt. „Rechtswidrige“ Durchsuchungen zu verhindern bedeutet letztlich, dass man erst im Nachhinein vor Gericht ziehen muss, was nahezu bedeutungslos ist. Der 4. Zusatzartikel fühlt sich an, als hätte er nur etwa 10 % der Kraft, die er haben sollte.
  • Dass jemand der Polizei freiwillig Informationen über dich gibt, war schon immer legal, egal ob diese Person ein Unternehmen betreibt oder nicht. Ich könnte jetzt sofort die Polizei anrufen und sagen, dass lumb63 auf HN am 2024-01-30T14:14:13 einen Kommentar geschrieben hat; wenn ich genauere Informationen hätte, könnte ich auch die weitergeben. Die Polizei darf sich das legal anhören. Ich kann alles erzählen, was ich über jemanden weiß – warum sollte das illegal sein? Diese Situation hat nichts mit dem 4. Verfassungszusatz zu tun; der 4. Zusatzartikel verhindert, dass die Regierung Informationen zwangsweise an sich bringt.
  • „Rechte“ werden täglich mit Füßen getreten, sogar solche aus der Bill of Rights. Versuch mal, mit einer verdeckt getragenen Waffe eine Staatsgrenze zu überqueren, einem K-9-Polizisten nach dem Anschlagen eines Spürhunds zu sagen, dass er dein Auto nicht durchsuchen darf, oder dich auf die Meinungsfreiheit zu berufen, während du etwas verbreitest, das als Hetze gilt. So etwas wie „Rechte“ gibt es nicht wirklich; es gibt nur das, was ein Individuum an einem bestimmten Ort und zu einer bestimmten Zeit verteidigen kann.

• Mir ist nicht ganz klar, warum es so viel kontroverser sein soll, dass Behörden kommerziell verfügbare Daten kaufen. Ist nicht das größere Problem, dass diese Daten überhaupt gesammelt und gegen Bezahlung jedem angeboten werden?

  • Es gibt ein paar mögliche Gründe. Erstens ist es aus Sicht normaler Menschen grundsätzlich nicht in Ordnung, dass Unternehmen solche Informationen besitzen. Zweitens kaufen Behörden diese Informationen mit Steuergeld und vergrößern damit einen Markt, dem wir womöglich nicht zustimmen. Drittens gelten für Regierungsbehörden Regeln, und wenn diese Behörden Regeln umgehen oder Schlupflöcher suchen, schadet das dem Vertrauen in sie. Viertens – und das könnte am wichtigsten sein – haben Regierungsbehörden Befugnisse und Macht, die private Unternehmen nicht haben. Sie können Ermittlungen einleiten, Rechtsrat von Staatsanwälten einholen, Anklage erheben, Durchsuchungsbefehle beantragen, Vorladungen ausstellen, Menschen festnehmen und inhaftieren; all das ist eingriffsintensiv, teuer und kann zu vielen schlechten Folgen führen, von Anwaltskosten bis hin zu Gefängnis.
  • Die Regierung hat das Monopol auf Gewalt und muss deshalb anderen und strengeren Regeln folgen. Ich weiß nicht, wie es rechtlich aussieht, wenn die NSA private Daten kauft, aber es fühlt sich an, als widerspräche es dem Geist des Gesetzes, das die Überwachung der eigenen Bürger verhindern soll.
  • Der Staat ist besonders, weil er umfassende Macht hat, Gesetze zu schaffen, die alle betreffen. Zum Beispiel gilt „Der Kongress darf kein Gesetz erlassen, das die Meinungsfreiheit beschränkt“ aus dem 1. Verfassungszusatz für die Regierung, aber nicht für eine Regel in einer dritten Grundschulklasse, die Schimpfwörter verbietet. Wenn eine private Gruppe bestimmte Äußerungen verbietet, kann das vernünftig sein, weil man im Zweifel woanders hingehen kann; im Bereich von Gesetzen und staatlichem Handeln muss man aber viel vorsichtiger sein. Der Staat ist der einzige Akteur in der Gesellschaft mit einem Monopol auf Gewaltanwendung, und mit großer Macht sollte große Verantwortung einhergehen.
  • Die Regierung kann Informationen nutzen, um Menschen anzuklagen; Unternehmen können das nicht. Außerdem trägt die Regierung wegen staatlicher Immunität und Amtshaftungsprivilegien für böswilliges Verhalten viel weniger Verantwortung als Unternehmen.
  • Private Unternehmen können dich ohne den Segen der Regierung nicht ins Gefängnis bringen oder dir grundlegende Freiheiten nehmen; die Regierung kann das. Die Bill of Rights und die Verfassung sollen dich im Großen und Ganzen vor Übergriffen der Regierung schützen, nicht vor Privatpersonen; Probleme zwischen Privatpersonen werden hauptsächlich durch allgemeine Gesetze auf Ebene der Bundesstaaten und Kommunen geregelt. Diese rechtliche Unterscheidung gab es in den USA schon immer.

• Im Artikel hieß es zur NSA: „Wenn sie ausreichend in der Lage ist, inländische Überwachung zu betreiben, und das tatsächlich häufig tut – warum sollte sie dann Daten kaufen und damit riskieren, Teile ihrer Erfassungsmethoden offenzulegen, statt sie aus ihrem eigenen Massenüberwachungsnetz legitimer zu gewinnen?“ Ich glaube nicht, dass die NSA befürchten muss, dass Gegner die Technik des Austauschs von Geld gegen Informationen lernen. Das Hacken von Datenbrokern birgt ein größeres Risiko, eigene Methoden offenzulegen.

• Ich wünschte, die USA hätten eine Art Datenschutz wie die EU. Das EU-System ist nicht perfekt, aber ich wünschte trotzdem, es gäbe so etwas. Nach meinem Verständnis blockiert ein einzelner Senator, Chuck Schumer, im Ausschuss sinnvolle Datenschutzgesetze. Er wirkt wie eine Ein-Mann-Abrissbirne gegen die Privatsphäre. Ich habe irgendwo gelesen, dass seine beiden Töchter hochbezahlte Jobs bei Unternehmen wie Meta und Microsoft haben. Der Punkt ist: Stärkerer Datenschutz würde bedeuten, dass Unternehmen weniger Informationen verkaufen können.

  • Ich verstehe nicht, was seine Töchter mit diesem Punkt zu tun haben.

• Auch wenn es Bürgerrechte beeinträchtigt, kann man Behörden kommerzielle Datenbroker nicht völlig unbeobachtet lassen. Zumindest müssen sie in der Lage sein, das Risiko krimineller Aktivitäten im Inland einzuschätzen und zu verhindern.

  • Das ist eher ein Feature. Die größten Lobbygruppen sind Banken und Organisationen, die solche Datenbroker nutzen. Weil die Regierung sie in Ruhe lässt, kann sie sie auch selbst nutzen – und so wird es zu einem Weg, das Gesetz zu umgehen.

• Das Problem ist, dass es hier um die NSA geht. Die NSA ist keine Behörde, die US-Bürger ermitteln soll, sondern sollte für Auslands-Signalaufklärung zuständig sein. Wenn das FBI oder die CIA so etwas täten, wäre das durchaus zu erwarten, und ich bin mir nicht einmal sicher, ob das falsch wäre. Zumindest lässt sich schwer sagen, dass es schlimmer wäre als bei anderen Akteuren, die Daten zu Werbezwecken kaufen.

  • Ganz richtig ist das nicht. Die CIA wurde für die Informationsbeschaffung außerhalb der USA geschaffen und hat daher am wenigsten Grund, auf diese Daten zuzugreifen. Das FBI ist eine Strafverfolgungsbehörde und darf ohne Durchsuchungsbeschluss diese Daten weder anfassen noch einsehen; andernfalls könnte die Datenerhebung in vielen laufenden Fällen ungültig werden. Die NSA soll Kommunikationsdaten sammeln, die in die USA hinein- und aus den USA herausgehen. Vor Jahrzehnten war diese Abgrenzung völlig klar, heute ist sie es weniger. Das Sammeln von Daten über US-Bürger ist nicht unbedingt illegal, je nachdem, was mit diesen Daten gemacht wird. Der sichtbarste Teil der Snowden-Enthüllungen war, dass interne Bedrohungen von der NSA über US-Bürger gesammelte Daten für persönliche Zwecke missbrauchten.
  • Ich weiß nicht, was Ausland im Internet überhaupt bedeuten soll. Es gibt keine klare Linie zwischen Landstücken, und alles ist überall.
  • Dass die NSA US-Amerikaner in großem Umfang überwacht, hat Snowden 2013 offengelegt. 2024 gibt es keinen Vorwand mehr, überrascht zu sein.

• Es ist schwer vorstellbar, sich nur darüber aufzuregen und nicht schon darüber, dass Datenbroker all diese Informationen überhaupt verkaufen können.

  • Es ist ebenso schwer vorstellbar, sich nicht über beides gleichzeitig zu empören. Das eine ist allerdings das Ergebnis von Zehntausenden kleinen Einwilligungsverstößen durch Hunderte oder Tausende unmoralische und meist anonyme Akteure. Das andere ist ein massiver, unverhohlener Verfassungsbruch durch eine Regierungsorganisation, die von den Bürgern dafür bezahlt wird, sie zu schützen und ihnen zu dienen. Beides sollte mit den strengsten Strafen geahndet werden.

• Ich verstehe nicht ganz, wie die Daten mit einem konkreten Menschen in der realen Welt verknüpft werden. Nehmen wir mein Auto als Beispiel: Das Auto gehört mir, aber wenn du damit fährst und zu schnell bist, bekommst du den Strafzettel. Bei Daten ist es ähnlich: Es mag stimmen, dass dieser Beitrag von einem Gerät aus der realen Welt hochgeladen wurde, das auf meinen Namen registriert ist, aber das bedeutet nicht, dass ich selbst es tatsächlich benutzt habe.

  • Man kann an eine öffentliche IP-Adresse denken. Eine Standortschätzung kann IP-Adressen mit Bereichen verknüpfen, die so ungenau wie ein Land oder so präzise wie eine Stadt sein können. Kombiniert man einen groben Standort mit einigen anderen Daten, lässt sich die Zahl der realen Kandidaten für ein bestimmtes Konto stark eingrenzen [1]. Einer großen Studie zufolge reichen nur drei Merkmale aus, um 87 % der US-Bevölkerung eindeutig zu identifizieren; eine andere Studie kommt zu dem Ergebnis, dass allein diese drei Fakten 63 % der US-Bevölkerung eindeutig identifizieren können. Wenn du viel online aktiv bist, können schon die Arten, wie andere Nutzer dich auf bestimmten Websites ansprechen, dein Geschlecht oder Alter verraten. Wenn eine Website Geschlecht oder Geburtstag erhebt, kann sie diese Informationen mit Datenbrokern teilen oder an sie verkaufen. Wenn die Polizei den Standort einer potenziell problematischen Online-Handlung auf einen Haushalt eingrenzt, kann sie mit einem Durchsuchungsbeschluss tatsächlich vorbeikommen und fragen, wer zu diesem Zeitpunkt welchen Computer im Haus benutzt hat. [1] https://www.eff.org/deeplinks/2023/11/debunking-myth-anonymo...
  • Es geht darum, Korrelationen über mehrere Signale hinweg herzustellen; das wird hier erklärt: https://restoreprivacy[.]com/rtb-data-leveraged-for-user-sur...

• Facebook hat so etwas auch gemacht. Es hat alle Website-Daten gekauft, die es kaufen konnte, und weil es wusste, dass sie für Werbeschaltungen nutzbar waren, machte es den Datenkauf zu einem profitablen Geschäft. Wenn die US-Regierung oder Geheimdienste dasselbe tun, frage ich mich, ob man das „illegal“ oder falsch nennen kann. Wenn sie dafür umfassend staatliche Befugnisse eingesetzt hätten, wäre das ein Rechtsverstoß, aber sie kaufen etwas, das ohnehin bereits verfügbar ist.

• Ironisch ist, dass das nicht China oder Russland getan haben. Ich verstehe nicht, warum die Empörung so viel geringer oder fast gar nicht vorhanden zu sein scheint, wenn es die eigenen Behörden tun.

  • Weil deine Steuern nicht in Chinas Überwachungsapparat fließen. Dass sie dich überwachen, ist zu erwarten; das ist ihre Aufgabe. Unser Land hat zumindest nach außen hin behauptet, sich von ihnen dadurch zu unterscheiden, dass es seine Bürger nicht wie Feinde behandelt — natürlich nur bis zu einem gewissen Grad.