Proton Mail: Offenlegung von Nutzerdaten führt zu Festnahme in Spanien

 (restoreprivacy.com)
1 Punkte von GN⁺ 2024-05-08 | 1 Kommentare | Auf WhatsApp teilen
  • Proton Mail, ein in der Schweiz ansässiger sicherer E-Mail-Dienst, sorgt erneut für Datenschutzkontroversen, nachdem er Informationen zur Wiederherstellungs-E-Mail eines pseudonymen Kontos bereitgestellt hat, das mit der katalanischen Unabhängigkeitsbewegung Democratic Tsunami in Verbindung steht
  • Die spanischen Behörden forderten auf Grundlage der erhaltenen Wiederherstellungs-E-Mail-Adresse weitere Informationen von Apple an; über den damit verknüpften Namen, die Adresse und die Telefonnummer kam es zur Identifizierung einer Person
  • Die Anfrage erfolgte unter Berufung auf Anti-Terror-Gesetze, doch da die wichtigsten Aktivitäten von Democratic Tsunami Proteste und Straßenblockaden waren, stehen Verhältnismäßigkeit und Rechtmäßigkeit der Maßnahme im Streit
  • Proton muss bei einer formellen Anordnung eines Schweizer Gerichts internationalen Strafverfolgungsersuchen nachkommen und entsprach allein 2023 insgesamt 5.971 Datenanfragen
  • E-Mail-Inhalte, Anhänge und Dateien sind verschlüsselt und können auch von Proton nicht gelesen werden; Konto-Metadaten wie Wiederherstellungs-E-Mails müssen Nutzer jedoch im Sinne von OPSEC selbst verwalten

Ablauf des Falls in Spanien

  • Proton Mail ist ein in der Schweiz ansässiger sicherer E-Mail-Dienst, der mit Ende-zu-Ende-Verschlüsselung und einer No-Logs-Policy wirbt
  • Der aktuelle Fall begann mit einem rechtlichen Ersuchen der spanischen Behörden zu einer Person, die sie als Mitglied der katalanischen Unabhängigkeitsbewegung Democratic Tsunami verdächtigten
  • Im Zentrum der Kontroverse steht die Wiederherstellungs-E-Mail-Adresse eines Proton-Mail-Kontos, das unter dem Pseudonym „Xuxo Rondinaire“ genutzt wurde
  • Die betreffende Person wurde verdächtigt, Mitglied der katalanischen Polizei Mossos d’Esquadra zu sein und mit internem Wissen die Bewegung Democratic Tsunami unterstützt zu haben
  • Nachdem Proton Mail die Informationen zur Wiederherstellungs-E-Mail bereitgestellt hatte, forderten die spanischen Behörden bei Apple weitere mit dieser E-Mail verknüpfte Informationen an und gelangten so zur persönlichen Identifizierung

Identifizierung über Zuständigkeiten und Tech-Unternehmen hinweg

  • Der Fall besteht aus einer Kette von Anfragen über mehrere Jurisdiktionen und Unternehmen hinweg
    • Proton Mail hat seinen Sitz in der Schweiz
    • Die spanischen Behörden erhielten die Wiederherstellungs-E-Mail eines Proton-Mail-Kontos
    • Anschließend forderten sie bei Apple weitere Informationen zu dieser E-Mail an
  • Dieser Ablauf zeigt die komplexen Wechselwirkungen zwischen Tech-Unternehmen, Nutzer-Privatsphäre und Strafverfolgungsbehörden
  • Die Anfrage erfolgte unter Berufung auf Anti-Terror-Gesetze, doch die wichtigsten Aktivitäten von Democratic Tsunami werden als Proteste und Straßenblockaden beschrieben
  • Daher bleibt die Frage, ob die Strafverfolgungsmaßnahme verhältnismäßig und gerechtfertigt war, ein zentraler Streitpunkt

Rechtliche Pflichten von Proton und frühere Fälle

  • Die Kooperation von Proton Mail unterliegt Schweizer Recht; wenn internationale Strafverfolgungsersuchen über den offiziellen Weg des Schweizer Gerichtssystems formalisiert werden, muss das Unternehmen kooperieren
  • Bereits 2021 geriet Proton Mail wegen eines rechtlichen Ersuchens in die Kritik, das zur Festnahme französischer Klimaaktivisten führte
    • Damals musste Proton nach Schweizer Recht die IP-Adressinformationen bestimmter Personen erfassen und den Schweizer Behörden bereitstellen
    • Die Schweizer Behörden teilten diese Informationen mit der französischen Polizei
  • Proton erklärte gegenüber RestorePrivacy in der Vergangenheit, dass „E-Mail-Inhalte, Anhänge, Dateien und Ähnliches stets verschlüsselt sind und nicht gelesen werden können“
  • Laut dem Transparenzbericht von Proton entsprach Proton Mail im Jahr 2023 5.971 Datenanfragen, ein leichter Anstieg gegenüber dem Vorjahr

Position von Proton

  • Proton bestätigte die zentralen Details dieses Falls und erklärte, man wisse, dass der spanische Terrorismusfall im Zusammenhang mit mutmaßlichen Drohungen gegen den spanischen König stehe
  • Zugleich teilte das Unternehmen mit, dass es sich zu konkreten Fällen grundsätzlich nicht äußere
  • Proton verwies darauf, dass es nur minimale Nutzerinformationen speichere, und führte an, dass in diesem Fall die von Apple erhaltenen Daten zur Identifizierung eines Terrorverdächtigen verwendet worden seien
  • Proton erklärt, dass es standardmäßig Privatsphäre bietet, aber nicht standardmäßig Anonymität
    • Für Anonymität seien OPSEC-Maßnahmen der Nutzer erforderlich
    • Als Beispiel nennt das Unternehmen, kein Apple-Konto als optionales Wiederherstellungsmittel hinzuzufügen
  • Das Hinzufügen einer Wiederherstellungsadresse ist nicht verpflichtend, und diese Information kann theoretisch aufgrund einer Schweizer Gerichtsanordnung herausgegeben werden

Unterschied zwischen Wiederherstellungs-E-Mail und Registrierungsverifizierung

  • Proton erklärt, dass das Hinzufügen einer Wiederherstellungs-E-Mail zu einem E-Mail-Konto optional ist
  • Tests zeigten jedoch Fälle, in denen Proton bei der Registrierung über einen VPN-Dienst und Tor eine E-Mail-Adresse zur Verifizierung verlangte
  • In der Verifizierungsbox von Proton steht, dass diese E-Mail-Adresse „nur für eine einmalige Verifizierung verwendet“ werde
  • Anders als die Wiederherstellungs-E-Mail scheint diese Verifizierungs-E-Mail nicht dauerhaft mit dem Konto verknüpft zu sein
  • Damit ist die Wiederherstellungs-E-Mail eine Information, die mit dem Konto verbunden sein kann, während die Verifizierungs-E-Mail der einmaligen Registrierungsprüfung dient

Hinweise für Nutzer aus OPSEC-Sicht

  • Auch verschlüsselte E-Mail-Dienste wie Proton Mail sind nicht vollständig vor rechtlichen oder staatlichen Anfragen geschützt
  • Nutzer, die mit sensiblen oder politischen Aktivitäten in Verbindung stehen, sollten Operation Security (OPSEC) vorrangig berücksichtigen
  • Empfohlene Maßnahmen sind:
    • Wiederherstellungs-E-Mails oder Telefonnummern vermeiden, die direkt mit der eigenen Identität oder zentralen beruflichen Aktivitäten verknüpft sind
    • Für zusätzliche Anonymitätsebenen sekundäre oder Einweg-E-Mail-Adressen sowie virtuelle Telefonnummern in Betracht ziehen
    • Wenn möglich einen VPN nutzen, um die Offenlegung der IP-Adresse zu verringern
    • Anonyme Zahlungsmittel in Betracht ziehen
    • Die rechtlichen Pflichten des Kommunikationsanbieters und dessen Richtlinien zum Umgang mit internationalen Strafverfolgungsersuchen prüfen
  • Proton Mail und ähnliche Dienste bieten auf E-Mail-Plattformen erheblichen Schutz und Ende-zu-Ende-Verschlüsselung, dennoch ist eine sorgfältige Abwägung zwischen den rechtlichen Pflichten des Diensteanbieters und den eigenen Sicherheitsanforderungen erforderlich

Verwandte Beiträge

1 Kommentare

 
GN⁺ 2024-05-08
Hacker-News-Meinungen

  • Leser scheinen verwirrt darüber zu sein, welchen Schutz ProtonMail tatsächlich bieten kann und welches Schutzniveau man von einem legalen Unternehmen erwarten darf.
    ProtonMail und Apple werden Vorladungen anfechten, wenn sie sie für ungerechtfertigt halten, aber sie haben nicht das letzte Wort und können gezwungen werden, Daten herauszugeben, auf die sie mit vertretbarem Aufwand zugreifen können.
    Letztlich müssen Nutzer selbst gestalten, welche Informationen sie einem Dienstanbieter überlassen, und dabei auch die Möglichkeit des Abhörens berücksichtigen und Man-in-the-Middle-Schwachstellen bewerten. Eine Telefonnummer oder Wiederherstellungs-E-Mail zu verknüpfen, ist ein ziemlich deutlicher Hinweis.
    Der Kernpunkt ist, zu erkennen, dass auch solche Dienste gezwungen werden können, die kleinen Informationen herauszugeben, auf die sie Zugriff haben, und dass diese Informationen zur Identifizierung nützlich sein können. Die zweite Lehre ist vielleicht, Regierungen zu wählen, die demokratische Freiheiten respektieren.

    • Ich glaube nicht, dass es nur darum geht, dass Nutzer schlicht nicht wissen, dass Unternehmen verpflichtet sein können, Daten auf Anfrage der Behörden herauszugeben.
      Die Kontroverse um Proton begann damit, dass sich der Dienst als sichere und private E-Mail vermarktete und versprach, Nutzerdaten niemals herauszugeben; tatsächlich hat er das aber bereits getan. Dass Proton allein im vergangenen Jahr bei fast 6.000 Anfragen Daten bereitgestellt hat, passt nicht zum Marketing als „E-Mail, die niemals bei den Behörden petzt“.
      Das größere Problem ist, dass Proton inzwischen nicht einmal mehr besonders bemüht zu sein scheint, sich gegen Anfragen zu wehren. Über Tuta wurde berichtet, dass es trotz Niederlagen vor Gericht weiterhin fast jede Anordnung anficht: https://techcrunch.com/2020/12/08/german-secure-email-provid...
      Die Frage ist nicht, ob ein Dienstanbieter gerichtlichen Anfragen nachkommt, sondern ob er zumindest irgendetwas dagegen unternimmt oder die Daten ohne jede Rückfrage herausgibt.
    • Genau die Formulierung „Eigenverantwortung der Nutzer“ ist das Problem. HN-Nutzer kennen sich vielleicht ein wenig aus, aber gewöhnliche Secure-E-Mail-/VPN-/Tor-Nutzer können die Ausnahmen und Fallstricke realistischerweise kaum verstehen.
      Tatsächlich dürften selbst HN-Nutzer leicht genug Fehler machen. Deshalb bin ich skeptisch, solche Produkte an normale Verbraucher zu vermarkten.
    • Nach US-Maßstäben schützen demokratische Freiheiten Menschen vor ungerechtfertigten Durchsuchungen und Beschlagnahmungen.
      Dritte per Gerichtsbeschluss zur Offenlegung von Kundeninformationen zu zwingen, ist an sich weder heute noch früher noch in Zukunft schwerlich als ungerechtfertigt anzusehen.
      Einzelne Anordnungen können ungerechtfertigt sein und sollten in solchen Fällen angefochten werden, aber das Verfahren und die Befugnis an sich sind nicht ungerechtfertigt.
    • Wenn Informationen bei Dritten gespeichert sind, können sie aufgrund einer rechtmäßigen Vorladung offengelegt werden müssen.
    • Eine Regierung zu wählen, die demokratische Freiheiten respektiert, wird wohl nie passieren. Das liegt meiner Ansicht nach in der menschlichen Natur.

  • Im Titel steht zwar Proton Mail, aber die eigentlichen Identifizierungsdaten wie Klarname und Telefonnummer wurden offenbar von Apple auf eine Auskunftsanfrage zu dieser Adresse hin bereitgestellt.
    In diesem Fall war die E-Mail-Adresse der Hinweis, aber ich frage mich, welche Informationen ausreichen würden, um einen Telekommunikationsanbieter zur Identifizierung zu bringen. Wenn etwa eine zu einem bestimmten Zeitpunkt verwendete IP-Adresse in diesem Moment über Apple per VPN geleitet wurde, könnte sie dann ein eindeutiges Identifizierungsmerkmal sein?
    Oder ließe sich ein Google-Werbe-Cookie mit anderen Geräten korrelieren, die ein ähnliches Verhalten zeigen, ähnlich wie Google Haushalte oder zugehörige Konten verfolgt?

    • Eine IP-Adresse ist nicht die Identität selbst, kann aber genutzt werden, um den Standort einzugrenzen. Regierungen und Internetanbieter dürften wohl alle historischen Aufzeichnungen darüber aufbewahren, wem welche Adresse zugewiesen war.
    • Ich frage mich, warum ProtonMail diese IP- und E-Mail-Informationen in Logs speichert.
    • Das geht am Kern vorbei. Proton Mail hat den Behörden Nutzerdaten bereitgestellt.

  • Mir gefällt nicht, dass Websites, die „privacy“ im Namen tragen, Privatsphäre und Anonymität vermischen. Privatsphäre schützt einen meiner Ansicht nach eher vor der Öffentlichkeit, nicht vor dem Staat.
    Wenn man gegen den Staat kämpft, zum Staatsfeind geworden ist oder es sogar mit böswillig agierenden staatlichen Akteuren zu tun hat, bringt bloße Privatsphäre gar nichts. Im Gegenteil: Dieses Missverständnis wird, wie in diesem Fall, zum Angriffsweg.
    Die nötigen Anonymitätsmaßnahmen enthalten womöglich keine schicke UI, keine guten Funktionen und manchmal nicht einmal eine vernünftige Vertrauenswürdigkeit. Denn solche Dinge werden geopfert, um keine Spuren zu hinterlassen.

    • Privatsphäre soll auch vor dem Staat, genauer vor Missbrauch staatlicher Macht, schützen. Das ist ein Kernelement von Privatsphäre.
      Zum Beispiel ist es ebenfalls Privatsphäre, zu verhindern, dass offengelegt wird, über welches Thema man gesprochen hat, damit dies nicht missbraucht werden kann. Staaten haben eine lange Geschichte der Verfolgung von LGBTQ-Personen, Angehörigen bestimmter Religionen oder Journalisten, die an unbequemen Enthüllungen beteiligt waren.
      Trotzdem sind Privatsphäre und Anonymität eng verwandte, aber unterschiedliche Konzepte. Vertraulichkeit in der Kommunikation bedeutet nicht immer Anonymität, kann sie aber manchmal einschließen und sollte es dann auch.
      Es ist allerdings töricht und seltsam zu glauben, ein legal betriebener E-Mail-Dienst werde Nutzer vor einer rechtmäßigen, von einem Richter gestützten Anordnung schützen.
      Die Herausgabe von Metadaten ist nicht einmal das Schlimmste. Ein Richter könnte auch anordnen, unverschlüsselt eingehende E-Mails zu kopieren, eine gerade verfasste unverschlüsselte E-Mail zu kopieren oder die Verschlüsselung beim nächsten Login zu schwächen.
      Der Dienst kann Widerspruch einlegen, und wenn er in einem Land betrieben wird, das man als Rechtsstaat bezeichnen kann, verringert allein das die Missbrauchsmöglichkeiten. Aber bei E-Mail gibt es kaum echte Privatsphäre und noch weniger Anonymität.
      Das heißt nicht, dass der Dienst nutzlos ist. Er ist nur kein Schutzschild, wenn man politische Verfolgung in einem EU-Land befürchtet oder Straftaten begeht.
    • Du sprichst so, als wäre diese Unterscheidung etabliert, aber persönlich habe ich diese Definition noch nie ausdrücklich gehört. In der Einleitung des Wikipedia-Artikels zu „privacy“ steht:
      „Das Recht, nicht unbefugt durch Regierungen, Unternehmen oder Einzelpersonen in die Privatsphäre eingegriffen zu werden, ist in vielen Ländern Teil des Datenschutz- bzw. Privatsphärerechts und in manchen Fällen der Verfassung.“
      Zumindest nach Wikipedia umfasst Privatsphäre in manchen Fällen Schutz vor dem Staat. Mich würde interessieren, woher diese Definition stammt.
    • Privatsphäre schützt in Teilen vor dem Staat, und deshalb gibt es im Westen Konzepte wie Durchsuchungsbeschlüsse bzw. richterliche Anordnungen.
      Aber dieses Konzept bedeutet nicht, dass ein Unternehmen die Spuren von Daten verbirgt, die man bereits geteilt hat. In diesem Fall war das die Wiederherstellungs-E-Mail-Adresse.
      Wenn man persönliche Informationen herausgibt, danach eine Straftat begeht und anschließend verlangt, dass die andere Person einen versteckt, fordert man keine Anonymität, sondern einen Komplizen.
    • Du scheinst Privatsphäre mit praktischer Machbarkeit zu verwechseln. In Wirklichkeit ist nichts vollkommen sicher, privat oder geschützt.
      Entscheidend ist hier die Lücke zwischen dem, was Proton Nutzern und potenziellen Nutzern versprochen bzw. beworben hat, und dem, was tatsächlich bereitgestellt werden kann. Ich weiß nicht, ob Proton das inzwischen offener erklärt, hoffe aber, dass es nicht nur in langen AGB vergraben ist, die fast niemand liest.
    • Der Öffentlichkeit ist das größtenteils egal. Das Problem ist eher die Regierung.

  • ProtonMail hat die Wiederherstellungsadresse herausgegeben, und Apple hat den mit dieser Adresse verknüpften Namen, die tatsächliche Adresse und die Telefonnummer herausgegeben.

    • Ein seltsam einseitig auf Proton fokussierter Artikel. Denn der tatsächliche Ablauf war folgender:
      „Nachdem sie diese Information erhalten hatten, fragten sie bei Apple nach Informationen zu dieser zweiten E-Mail-Adresse und erhielten Name, Wohnadresse und Telefonnummer. Anschließend fragte die Guardia Civil auch beim Telekommunikationsanbieter, der für diese Telefonnummer zuständig war, nach dem Anschlussinhaber; dieser stimmte mit dem von Apple gelieferten Namen überein. Außerdem sei bestätigt worden, dass diese Person an derselben Adresse gemeldet war, die Apple angegeben hatte.“

  • Es gibt den Rat: „Nutze nach Möglichkeit immer einen guten VPN-Dienst, um deine IP-Adresse zu verbergen.“ Wenn das VPN aber mit einem Zahlungsmittel verknüpft ist, hätte es diesen Aktivisten nicht gerettet, sondern der Polizei nur einen Zwischenschritt mehr zum Nachverfolgen gegeben.
    In der Liste empfohlener VPNs steht Mullvad nur auf Platz 9 von 10, aber soweit ich weiß, ist Mullvad der einzige Anbieter, der Zahlungsmethoden anbietet, die Anonymität wahren.

    • Für Aufgaben mit geringer Bandbreite wie das Versenden von E-Mails sollte das kostenlose Tor die erste Wahl sein.
      Man muss es aber vollständig vom Rest der eigenen Identität trennen. Man sollte also nicht per Tor eine Proton-E-Mail-Adresse erstellen und dann die übliche E-Mail-Adresse als Wiederherstellungsadresse eintragen.
    • Das gilt nur, wenn der VPN-Anbieter Logs hat.
      Die meisten behaupten, keine Logs zu haben, und PIA hat zumindest einmal auf eine Vorladung geantwortet, dass keine Logs vorhanden seien.
    • Nehmen wir an, ich kaufe ein Mullvad-Abo mit Kreditkarte und greife danach über Mullvad auf ein damit nicht verbundenes Proton-Mail-Konto zu.
      Ich sehe nicht, wie die Polizei mich über diesen Zwischenschritt hinaus finden sollte.
    • Das ist völlig falsch. Du gehst davon aus, dass alle VPNs die Online-Aktivitäten ihrer Nutzer, alle IP-Adressen und alle Websites aufzeichnen und für alle Nutzer speichern, aber das stimmt überhaupt nicht.
      Zeig mir auch nur ein seriöses VPN, das so etwas tut. Zeig mir auch einen realen Fall, in dem das passiert ist. Gute VPNs, darunter Mullvad, sind No-Log-VPNs, sodass Aktivitäten über das VPN nicht protokolliert und nicht mit Nutzern verknüpft werden können.
      Mehrere VPNs haben das nicht nur durch Audits verifizieren lassen, sondern es wurde auch vor Gericht oder in Praxistests bestätigt. Mullvad ist ein gutes Beispiel: https://restoreprivacy.com/mullvad-vpn-says-customer-data-is...
      Dass ein VPN-Konto bezahlt wurde, heißt nicht, dass das VPN Nutzeraktivitäten protokolliert. Zahlungsaufzeichnungen aufzubewahren und Nutzeraktivitäten über VPN-Server zu loggen, sind verschiedene Dinge. Und die meisten bekannten VPNs akzeptieren auch Zahlungen mit Kryptowährungen.

  • Entscheidend ist dieser Punkt:
    „Nach Schweizer Recht wurde Proton Mail gezwungen, Informationen zur IP-Adresse der betreffenden Person zu sammeln und den Schweizer Behörden bereitzustellen; diese teilten sie mit der französischen Polizei.“
    Egal welche Zusicherungen zum Schutz der Privatsphäre gemacht werden: Wenn diese Zusicherung nicht durch Kryptografie abgesichert ist, ist sie eine leere Geste. Niemand wird ins Gefängnis gehen, um die Privatsphäre von Nutzern zu schützen

    • Das war der Fall vom letzten Jahr; diesmal liegt der Kern anders
      Im Zentrum der aktuellen Kontroverse steht, dass Proton Mail der spanischen Polizei die Wiederherstellungs-E-Mail-Adresse geliefert hat, die mit dem Proton-Mail-Konto einer Person verbunden war, die das Pseudonym „Xuxo Rondinaire“ nutzte. Diese Person gehört zu den Mossos d’Esquadra, also der katalanischen Polizei, und steht im Verdacht, mit internem Wissen die Bewegung Democratic Tsunami unterstützt zu haben
      Nachdem die spanischen Behörden die Wiederherstellungs-E-Mail von Proton Mail erhalten hatten, forderten sie bei Apple weitere mit dieser E-Mail verknüpfte Informationen an, wodurch die Identität festgestellt wurde
    • Zu erwarten, dass ein legales Unternehmen Nutzer vor dem Gesetz schützt, ist absurd. Der Staat hat das Recht, diese Informationen zu erhalten
      Wer etwas verbergen will, muss einen Anbieter finden, der nicht innerhalb des gesetzlichen Rahmens operiert. Sobald es aber keine legale Transaktion mehr ist, gehen viele Annehmlichkeiten verloren. Es gibt keine Garantie, dass man die bezahlte Leistung erhält, und bei einem Verlust wichtiger Sicherheitsmerkmale ist auch kaum mit Kontowiederherstellung zu rechnen
    • Ich denke, man sollte, wie Mullvad es fordert, mit No-Logs arbeiten. Was man nicht hat, kann man nicht weitergeben
    • Proton Mail kann den Inhalt von E-Mails nicht herausgeben, sondern nur Dinge wie E-Mail-Adressen oder IP-Adressen
      Der E-Mail-Inhalt ist verschlüsselt, und Proton Mail hat keinen Zugriff darauf
    • Ich frage mich, ob das bedeutet, dass man Dienste wie E-Mail und VPN auf verschiedene Anbieter aufteilen sollte. Es klingt, als solle man E-Mail, VPN und andere Dienste nicht alle bei einem einzigen Anbieter nutzen

  • Bei solchen Fällen sollte man immer Parallel Construction im Hinterkopf behalten: https://en.m.wikipedia.org/wiki/Parallel_construction
    Es ist gut möglich, dass die Behörden diese Informationen bereits hatten. Vielleicht haben sie sogar über eine legale Überwachung des Internetanbieters Klartext-E-Mails gesehen. Der Weg über Proton/Apple ist ebenfalls schlecht, aber die tatsächliche Quelle könnte noch schlimmer gewesen sein

  • Proton Mail gibt Informationen nur heraus, wenn Schweizer Recht und Schweizer Ermittlungsbehörden es verlangen. Die Schweizer Datenschutzgesetze sind ziemlich gut
    Von keinem Unternehmen kann man realistischerweise eine strengere Datenschutzrichtlinie erwarten
    Proton Mail kann keine E-Mail-Inhalte bereitstellen, sondern nur Dinge wie E-Mail-Adressen oder IP-Adressen

    • Proton Mail kann E-Mail-Inhalte durchaus übergeben. Sie sind nur verschlüsselt, und Proton Mail besitzt den Verschlüsselungsschlüssel nicht
      Alles, was jemand gespeichert hat, kann weitergegeben werden. Diese Informationen können nützlich sein, nutzlos sein oder heute nutzlos sein und morgen nützlich werden, wenn man an den Schlüssel gelangt

  • Wenn man über Tor ein ProtonMail-Konto erstellt, wird zur Kontobestätigung eine Telefonnummer verlangt. Nutzt man eine IP, die kein Proxy ist, wird dieser Schritt übersprungen
    Am Ende wollen sie wissen, wer der Nutzer ist, und das schon seit Jahren. Ich halte es schon lange für einen Lockvogeldienst

    • Das stimmt nicht. In den meisten Fällen muss man nur ein CAPTCHA lösen. In manchen Fällen fordert das System eine zusätzliche E-Mail-Adresse an, wenn es im Netzwerk etwas Verdächtiges erkennt
      Selbst dann wird die E-Mail-Adresse nicht mit dem Konto verknüpft; gespeichert wird nur ein kryptografischer Hash der E-Mail. Da eine Hashfunktion eine Einwegfunktion ist, lässt sich aus dem Hash nicht auf die ursprünglichen Daten zurückrechnen: https://proton.me/support/human-verification
      Früher wurde Telefonverifizierung genutzt, heute nicht mehr. Telefonnummern wurden auf dieselbe Weise wie E-Mail-Adressen gespeichert, daher lassen auch sie sich nicht aus dem Hash zurückgewinnen
    • Proton ist ein großes Ziel für Spam.
      Der Grund für solche Verfahren ist Spam-Abwehr. Leider kann das missbraucht werden, und es wurde auch tatsächlich missbraucht
    • Das überrascht überhaupt nicht. Selbst wenn es anfangs nicht so beabsichtigt war, sollte man nach genügend Zeit die Möglichkeit einer Kompromittierung oder Vereinnahmung in Betracht ziehen
      Die wohl einzige Möglichkeit, E-Mail auch nur halbwegs privat zu halten, ist ein selbst gehosteter Server zusammen mit GPG-Schlüsseln. Verpasst man aber auch nur ein wenig die Sicherheitsupdates für diesen Server, kann er fast sofort kompromittiert werden
      Mehr fällt mir dazu nicht ein
      Ich habe E-Mail immer so behandelt, als würde sie grundsätzlich im Klartext übertragen. Auch mein aktueller Anbieter Fastmail kann durch Behörden kompromittiert werden. Da er in Australien sitzt, fällt er unter den Australian Privacy Act 1988, und weil die Server in New York betrieben werden, fällt er auch unter PRISM
    • Tuta ermöglicht es, über Tor anonyme Konten zu erstellen, ohne eine Telefonnummer oder Kontakt-E-Mail-Adresse zu verlangen. Vor ein paar Wochen haben sie sogar ein YouTube-Tutorial veröffentlicht, das erklärt, wie es geht: https://youtu.be/oXv3llPIfvo
      Wenn man das Konto weiterhin ausschließlich über Tor nutzt, dürften keine nachverfolgbaren Informationen zurückbleiben
    • Es ist jedes Mal anders. Es kann vom Land des Tor-Exit-Nodes abhängen, sie können auch anderes Fingerprinting einsetzen, oder sie können wie cockli die Zahl anonymer Konten pro Tag begrenzen
      Manchmal braucht man eine Telefonnummer, manchmal eine E-Mail-Adresse, und manchmal reicht ein CAPTCHA

  • Es ist nicht das erste Mal, dass eine Wiederherstellungs-E-Mail an eine Bundesbehörde weitergegeben wurde
    https://www.forbes.com/sites/thomasbrewster/2023/08/08/proto...
    Archiv: https://web.archive.org/web/20230814144638/https://www.forbe...