- US-Bundesermittlungsbehörden forderten Google mit zwei Gerichtsanordnungen auf, Informationen über Zuschauer bestimmter YouTube-Videos und Livestreams herauszugeben. Dadurch wächst die Sorge, dass selbst unschuldige Zuschauer ins Visier von Ermittlungen geraten könnten.
- Im Fall aus Kentucky wurden zur Suche nach dem Nutzer „elonmuskwhm“ Google-Kontoinformationen von Personen angefordert, die ein gesendetes YouTube-Tutorial angesehen hatten, sowie IP-Adressen von nicht eingeloggten Zuschauern.
- Im Fall aus New Hampshire ging die Polizei nach einer Bombendrohung davon aus, über YouTube-Livestreams überwacht worden zu sein, und verlangte eine Liste der Konten, die in einem bestimmten Zeitraum acht Streams angesehen oder mit ihnen interagiert hatten.
- Google erklärte, man prüfe bei allen Anfragen von Strafverfolgungsbehörden die rechtliche Gültigkeit und den Schutz der Privatsphäre der Nutzer und lege gegen überzogene oder unangemessene Datenanforderungen Widerspruch ein.
- Der Online-Sehverlauf kann sensible Informationen wie politische Einstellungen, Interessen oder religiöse Überzeugungen offenlegen, wodurch die Gefahr besteht, dass sich Gerichtsanordnungen zu digitalen Schleppnetz-Ermittlungen ausweiten.
Zwei Gerichtsanordnungen, die Informationen über bestimmte YouTube-Zuschauer verlangten
- US-Bundesermittler forderten Google per Gerichtsanordnung auf, Daten zu Personen herauszugeben, die bestimmte YouTube-Videos und Livestreams angesehen hatten.
- Datenschutzexperten aus Bürgerrechtsorganisationen warnen, dass diese Methode unschuldige YouTube-Zuschauer wie Kriminalverdächtige behandeln könnte und damit einer verfassungswidrigen Überermittlung nahekomme.
- Aus den Gerichtsunterlagen allein geht nicht hervor, ob Google die Daten tatsächlich übermittelt hat.
Fall Kentucky: Anfrage nach Zuschauerdaten zur Verfolgung von „elonmuskwhm“
- In dem öffentlich bekannten Fall aus Kentucky versuchten verdeckte Ermittler, eine Person zu identifizieren, die das Online-Pseudonym „elonmuskwhm“ verwendete.
- Die Ermittler gingen davon aus, dass dieser Nutzer Bitcoin gegen Bargeld gekauft habe und möglicherweise gegen Geldwäschegesetze sowie Vorschriften zu nicht lizenzierter Geldübermittlung verstoßen habe.
- Anfang Januar schickten verdeckte Ermittler dem Nutzer in einem Gespräch Links zu YouTube-Tutorials über Drohnenkartierung und Augmented-Reality-Software.
- Anschließend verlangten die Behörden von Google Informationen über Personen, die diese Videos angesehen hatten.
- Die Videos kamen zusammen auf mehr als 30.000 Aufrufe.
- Der angeforderte Zeitraum umfasste den 1. bis 8. Januar 2023.
- Für Nutzer mit Google-Konto wurden Name, Adresse, Telefonnummer und Nutzeraktivitäten verlangt.
- Für nicht eingeloggte Zuschauer wurden IP-Adressen verlangt.
- Die Ermittlungsbehörden hielten diese Daten für hilfreich, um in laufenden Strafermittlungen den Täter zu identifizieren.
Fall New Hampshire: Bombendrohung und YouTube-Livestreams
- Die Polizei von Portsmouth in New Hampshire erhielt von einem Mann eine Drohung, dass in öffentlichen Mülleimern Sprengsätze platziert worden seien.
- Nach der Durchsuchung des Orts stellte die Polizei fest, dass sie über YouTube-Livestream-Kameras eines lokalen Unternehmens beobachtet worden war.
- Bundesermittler gingen davon aus, dass es in den gesamten USA ähnliche Fälle gegeben habe, bei denen Bombendrohungen ausgesprochen wurden und die Polizei über YouTube beobachtet wurde.
- Die Ermittler verlangten von Google eine Liste der Konten und zugehörige Identifikationsdaten, die in einem bestimmten Zeitraum acht YouTube-Livestreams „angesehen und/oder mit ihnen interagiert“ hatten.
- Darunter war auch ein Video von Boston and Maine Live mit 130.000 Abonnenten.
- Mike McCormack, Gründer des Unternehmens IP Time Lapse hinter dem Account, sagte, er habe von der Anordnung gewusst und sie stehe im Zusammenhang mit einem Swatting-Vorfall, bei dem die Kameraansicht zum Ziel wurde.
Googles Position und ungeklärte Punkte
- Google-Sprecher Matt Bryant erklärte, für alle Anfragen von Strafverfolgungsbehörden gebe es strenge Verfahren, um die Arbeit der Behörden zu unterstützen und zugleich die Privatsphäre der Nutzer sowie ihre verfassungsmäßigen Rechte zu schützen.
- Laut Google werde jede Anfrage auf ihre rechtliche Gültigkeit geprüft und im Einklang mit der sich entwickelnden Rechtsprechung bewertet.
- Gegen überzogene oder unangemessene Forderungen nach Nutzerdaten gehe man vor; gegen manche Anfragen lege Google umfassend Widerspruch ein.
- Aus den Gerichtsunterlagen allein geht nicht hervor, ob Google in den beiden Fällen tatsächlich Daten herausgegeben hat.
- Das Justizministerium reagierte bis zur Veröffentlichung des Artikels nicht auf eine Bitte um Stellungnahme.
Datenschutzexperten warnen vor Verfassungswidrigkeit
- Datenschutzexperten sehen die Gefahr, dass diese Anordnungen den Schutz des First Amendment und Fourth Amendment schwächen könnten, also die Meinungsfreiheit und den Schutz vor unangemessenen Durchsuchungen.
- Albert Fox-Cahn vom Surveillance Technology Oversight Project sagte, es zeichne sich ein Trend ab, bei dem Behörden Durchsuchungsbefugnisse in digitale Schleppnetze verwandelten; das sei verfassungswidrig und beängstigend.
- Fox-Cahn sagte, niemand sollte befürchten müssen, Besuch von der Polizei zu bekommen, nur weil man Inhalte gesehen habe, die der YouTube-Algorithmus ausgespielt hat.
- Er sieht in dieser Anordnung einen ähnlich abschreckenden Effekt wie bei einem Geofence Warrant, bei dem Daten von Nutzern in der Nähe eines Tatorts verlangt werden.
- Google kündigte in einem Update im Dezember an, dass es technisch unmöglich gemacht werde, auf Geofence-Anordnungen mit Standortdaten zu reagieren.
- Zuvor hatte ein Gericht in Kalifornien einen Geofence Warrant, der mehrere dicht besiedelte Gebiete in Los Angeles umfasste, als verfassungswidrig eingestuft.
- John Davisson vom Electronic Privacy Information Center sagte, was Menschen online ansehen, könne sensible Informationen über Politik, Leidenschaften oder religiöse Überzeugungen offenlegen.
- Davisson sagte, es sei eine berechtigte Erwartung, dass Strafverfolgungsbehörden ohne triftigen Grund keinen Zugang zu solchen Informationen erhalten sollten; diese Anordnungen stellten diese Annahme jedoch auf den Kopf.
1 Kommentare
Hacker-News-Kommentare
Hier werden unterschiedliche Fälle vermischt.
Dass die Polizei wie im ersten Fall ein Video hochlädt und dann Zuschauerinformationen verlangt, ist wirklich gravierend, und ich frage mich, wie ein Gericht so etwas genehmigen konnte.
Den nächsten Fall habe ich nicht vollständig verstanden, aber es sieht so aus, als werde der Täter eines Swatting-Falls verdächtigt, einen bestimmten Kamera-Livestream gesehen zu haben, und die Polizei habe ziemlich eng eingegrenzte Bedingungen wie Zeitraum oder andere Merkmale vorgelegt; das wirkt deutlich eher gerechtfertigt.
Es wurden Informationen zu einem Video angefordert, das 30.000 Mal angesehen wurde. Selbst wenn man annimmt, dass jeder dieses Video zehnmal gesehen hat und die Zielperson tatsächlich unter den Zuschauern war — was auch nicht klar ist —, wurden die Rechte von 2.999 Personen verletzt, um eine Person zu finden.
Blackstone hätte dazu wohl etwas zu sagen[0]. Das ist buchstäblich das 30-Fache der Blackstone-Ratio, die die Gründerväter stark beeinflusst hat.
So etwas wirkt nicht gerechtfertigt.
Edit: Tippfehler
[0] https://en.wikipedia.org/wiki/Blackstone%27s_ratio
Stattdessen gab es einen offenen Kommunikationskanal zur Zielperson, und man konnte ihr mehrere YouTube-Links schicken.
Die Hypothese der Polizei lautet: Wenn man den Nutzer findet, der alle oder die meisten dieser Links angeklickt hat, ist das wahrscheinlich die Zielperson. Denn es ist unwahrscheinlich, dass ein zufälliger Nutzer zufällig all diese Videos gesehen hat.
Allerdings wirkt die Anforderung der vollständigen rohen Zuschauerliste verfassungswidrig. Sie ist zu weit gefasst und gibt der Polizei auch über Nutzer, die nur ein einziges Video gesehen haben, zu viele Informationen.
Wäre es aber eine deutlich engere Anfrage gewesen, bei der Google die Zielnutzer identifiziert und nur deren Nutzerdaten übergibt, hätte das verfassungsrechtlich möglicherweise zulässig sein können.
Andererseits sind auch enge Durchsuchungsbeschlüsse, die Informationen vieler Menschen offenlegen, verfassungsrechtlich bereits zugelassen worden. Ein typisches Beispiel ist ein Beschluss, der ein Motel auffordert, die Namen aller Gäste herauszugeben, die an einem bestimmten Datum eingecheckt oder registriert waren; das wurde mehrfach bestätigt.
Der erste Fall wirkt seltsam.
Gut, dass Google sich zumindest ein wenig dagegen wehrt. Ob sie das allerdings auch für einen Briten tun würden, der kein US-Amerikaner ist, bezweifle ich; vermutlich nicht.
„Laut Gerichtsbeschluss wies die Regierung Google an, die Namen, Adressen, Telefonnummern und Nutzeraktivitäten aller Google-Kontonutzer bereitzustellen, die das betreffende YouTube-Video angesehen hatten.“
Ich hoffe, damit wird etwas klarer, warum große Tech-/Social-Media-Unternehmen trotz vieler SIM-Swapping-Angriffe auf Telefonnummern bestehen und das als „Zwei-Faktor-Authentifizierung für mehr Sicherheit“ verkaufen.
Man kann ein VPN nutzen, und Adresse oder Name sind vielleicht nicht im Google-Konto hinterlegt, aber die Telefonnummer ist fast sicher vorhanden. Mit Android wird es noch schlimmer, weil sich wahrscheinlich auch App-/Browserverläufe herausziehen lassen.
Für große Anbieter ist Credential Stuffing ein großes Problem, und die Pflicht zu Zwei-Faktor-Authentifizierung ist eine starke Gegenmaßnahme. Bei einem gezielten Angriff würde man zwar SIM-Swapping einsetzen, aber das ist deutlich schwieriger als gewöhnliches Credential Stuffing.
Es gibt derzeit auch keine rechtliche Pflicht für Google, die Telefonnummern aller YouTube-Nutzer vorzuhalten, und Sundar kommt deswegen auch nicht ins Gefängnis.
Die Aussage, „irgendein Produktmanager bei Google habe vor zehn Jahren entschieden: Lasst uns eine Datenbank mit Telefonnummern der Nutzer aufbauen, falls es irgendwann einmal eine Massenüberwachungsanfrage von Strafverfolgungsbehörden gibt, und den Nutzern sagen, es diene der Sicherheit“, ist bei näherem Nachdenken eine ziemlich absurde Verschwörungstheorie.
— So jemanden gab es nicht.
Bitte denkt doch einmal nach. Selbst bei kleineren Organisationen, die ursprünglich nur Name und E-Mail haben: Warum sollten sie eine Telefonnummer wollen? Sie interessieren sich nicht für Identifizierung. Und selbst wenn doch, haben sie bereits E-Mail und Namen.
Den Aluhut sollte man besser absetzen.
„Laut Gerichtsbeschluss wies die Regierung Google an, die Namen, Adressen, Telefonnummern und Nutzeraktivitäten aller Google-Kontonutzer bereitzustellen, die das betreffende YouTube-Video zwischen dem 1. und 8. Januar 2023 angesehen hatten.“
Interessante Randnotiz: Auch Viacom nutzte 2008 in einem Verfahren, das YouTube in seiner Frühphase beinahe ruiniert hätte, eine ähnlich weitreichende Anfrage[1].
Diesmal kommt die Anfrage von der Regierung, und Google verfügt potenziell über deutlich mehr Daten, die es bereitstellen könnte.
[1]: https://web.archive.org/web/20100702111029/http://afp.google...
Ich tendiere immer mehr zu der Ansicht, dass Anonymität nicht mehr gewährleistet ist. Man sollte wohl davon ausgehen, dass alle wissen, was ich tue und wer ich bin.
Vielleicht ist es also besser, einfach den Klarnamen zu verwenden und die Online-Aktivitäten deutlich zu reduzieren.
Ganz akzeptiert habe ich das noch nicht, aber es fühlt sich unvermeidlich an.
Aus meiner Sicht gibt es nur eine Option: Privatsphäre und Anonymität extrem einfach zu machen. Nicht für Techniker, sondern so, dass auch Großeltern, die mit Technik nicht vertraut sind, es nutzen können.
Wir müssen Tools stark vorantreiben, die Nutzern Verschlüsselung geben, ohne dass sie sich der Verschlüsselung bewusst sein müssen, wie Signal. Die Leute wollen Privatsphäre und Sicherheit, wissen aber nicht wie, oder verstehen nicht, wodurch ihre Daten nach außen dringen.
Die Ironie ist, dass die Industrie, die dieses Problem schafft, genau der Bereich ist, an dem wir maßgeblich beteiligt sind.
Ich bin noch nicht bereit, diese bittere Pille zu schlucken, und ich bin auch nicht überzeugt, dass es so sein muss. Sicher können wir etwas tun. Und sei es, solche Dinge nicht zu bauen oder Gegenmaßnahmen zu entwickeln.
Gleichgültigkeit ist nichts anderes als Unterstützung dieser autoritären Erosion. Denn genau das ist es.
Wenn man einen HN-Account anlegt, der nur über Tor in einem Browser mit deaktiviertem JavaScript genutzt wird, und Beiträge einmal durch einen KI-Editing-Dienst laufen lässt, dürfte es ziemlich schwer sein, das zurückzuverfolgen.
Wenn man sich dagegen 16 Stunden am Tag selbst streamt, hilft ein Nickname kaum. Sobald jemand sagt: „Hey, den kenne ich“, ist das Geheimnis vorbei.
Wie bei allem ist es letztlich eine Frage des Gleichgewichts. Es hängt davon ab, wer es auf einen abgesehen hat und wie gern man online Dinge tut.
Das ist eine Frage, die man sich stellen sollte, bevor man in eine Hütte im Wald zieht und den ganzen Tag nur noch Romane schreibt. Veröffentlichen sollte man natürlich unter Pseudonym.
Anders gesagt: Man kann für den schlimmsten Fall planen, sollte aber nicht die Einschätzung und den gesellschaftlichen Wert aufgeben, dass das viel zu verbreitet, falsch und abnormal ist.
Tracking und die Unternehmen, die es betreiben, sind unglaublich umfassend und schwer zu schlagen. Zum Beispiel können schon Browseranzeigen, an denen man einfach nur vorbeiscrollt, genug sein, um einen Fingerprint zu erstellen.
„Wenn es etwas gibt, von dem man nicht möchte, dass es irgendjemand erfährt, sollte man es vielleicht von vornherein nicht tun.“
Man kann das als schreckliche Variante von „Wer nichts zu verbergen hat, hat nichts zu befürchten“ lesen, oder als brauchbare Warnung vor dem realen Zustand.
Wer es noch nicht kennt, sollte sich Invidious ansehen: https://invidious.io/
Wenn Identifizierbarkeit ein Thema ist, will man vermutlich eine öffentliche Instanz nutzen; die Liste gibt es hier: https://docs.invidious.io/instances/
Ein einigermaßen verwandter Artikel von vor ein paar Jahren:
Justice Department withdraws FBI subpoena for USA Today records ID'ing readers - https://news.ycombinator.com/item?id=27408647 - Juni 2021, 174 Kommentare
Die Polizei durchsuchte Google-Suchen, um einen Verdächtigen zu finden, und steht vor der ersten rechtlichen Anfechtung
2022-06-30 https://news.ycombinator.com/item?id=31938350
Die Anordnung war im Grunde nur eine Frage der Höflichkeit. Wenn die US-Bundesregierung wirklich etwas will, kann ich mir schwer vorstellen, welches Unternehmen sich erfolgreich dagegenstellen könnte.
Bei anderen großen Nationalstaaten dürfte es ähnlich sein. Die chinesische Regierung hätte Google wohl ebenfalls dazu gebracht zu kooperieren, indem sie zeigt, dass sie jederzeit auf alle Daten zugreifen kann; und ich gehe davon aus, dass die USA aus beliebigen Gründen jederzeit vollen Zugriff bekommen.
Trotzdem muss man anerkennen, was anzuerkennen ist: https://en.wikipedia.org/wiki/Apple%E2%80%93FBI_encryption_d...
Im Grunde hat Google der NSA immer wieder gesagt, sie solle sich verziehen, also hat die NSA einen Tunnel gegraben, Glasfaser abgehört und die unverschlüsselte Kommunikation zwischen Rechenzentren abgegriffen. Damals scheint darin ziemlich viel Wichtiges gewesen zu sein.
Innerhalb weniger Wochen nach dem MUSCULAR-Leak kommunizierten alle Google-Rechenzentren miteinander über ordnungsgemäße SSL-Terminierung.
Kennst du Aurora? Das war der Vorfall von 2009, bei dem eine chinesische Militäreinheit bei Google eindrang und Informationen über bekannte Dissidenten durchsuchte. Sie wurden schnell hinausgeworfen, und anschließend hat Google sein Sicherheitsniveau in einem in der Geschichte der Informationssicherheit beispiellosen Ausmaß erhöht.
Wenn NSA oder verschiedene Strafverfolgungsbehörden den rechtmäßigen Prozess einhalten, können sie von Google Informationen erhalten, und als Teil von Informationsaustauschabkommen mag es gelegentlich ein paar Insider bei Nachrichtendiensten geben, die Daten aus dem Inneren von Google weitergeben.
Aber die Vorstellung, die NSA könne bei Google frei auf alles zugreifen, was sie will, ist absurd.
Bearbeitung: Außerdem ist das hier nicht einmal die Bundesregierung, und Bundesstaaten und Kommunen haben noch weniger Einfluss als die ohnehin begrenzte Macht der Bundesregierung.
Ehrlich gesagt: Wenn das oben stimmt, könnte ich mich sogar darüber freuen. Ich bin allerdings voreingenommen, weil ich Diebe und Erpresser wirklich verabscheue.