Mann inhaftiert, weil er nach Verstoß gegen Bewährungsauflagen die Entschlüsselung eines Tor-Nodes verweigerte
(reddit.com)- Fall eines Betreibers eines Tor-Nodes, der die Entschlüsselung aufgrund von Bewährungsauflagen verweigerte
- Der Mann kam der Aufforderung zur Entsperrung des Geräts trotz gerichtlicher Anordnung nicht nach
- Die Verweigerung der Entschlüsselung wurde letztlich als Verstoß gegen die Bewährungsauflagen gewertet
- Für die Strafverfolgungsbehörden ist es schwer, eine Mitwirkung bei der Entschlüsselung zu erzwingen, um auf Daten zuzugreifen
- Der Fall zeigt den Konflikt zwischen persönlicher Privatsphäre und rechtlichen Pflichten
Überblick über den Fall
- Ein Betreiber eines Tor-Nodes wurde während seiner Bewährungszeit rechtlich dazu verpflichtet, Geräte und Daten zu entschlüsseln
- Der Mann bot Dienste über das Tor-Netzwerk an und wahrte dabei Anonymität
- Das Gericht verlangte Kooperation bei den Ermittlungen, unter anderem durch die Entschlüsselung digitaler Geräte
Verweigerung der Entschlüsselung und rechtliche Folgen
- Der Betreiber verweigerte die Anordnung zur Entschlüsselung und berief sich auf den Schutz der Privatsphäre
- Das Gericht wertete diese Weigerung als Verstoß gegen die Bewährungsauflagen und setzte die Strafe erneut in Vollzug
- Dadurch blieb der Zugriff auf die Daten im Gerät aus, und die Ermittlungsbehörden hatten Schwierigkeiten, relevante Beweise zu sichern
Rechtliche und technische Streitpunkte
- Der Fall zeigt die Grenzen der rechtlichen Erzwingbarkeit bei der Entschlüsselung digitaler Daten
- Er gilt als prägnantes Beispiel für den Konflikt zwischen Strafjustizsystem und Datenschutz
Implikationen
- Der Konflikt zwischen dem Recht auf Privatsphäre und rechtlichen Pflichten verschärft sich weiter
- Mit dem technologischen Fortschritt ist zu erwarten, dass ähnliche Fragen auch künftig wieder auftreten
1 Kommentare
Hacker-News-Kommentare
Laut der Geschichte auf Reddit sagte die Ehefrau, ihr Mann sei „durch ein betrügerisches Verfahren erneut von einem Bundesgericht inhaftiert“ worden. Sieht man sich jedoch PACER an, gibt es einen ausführlicheren Haftbefehl wegen Verstoßes gegen die Bewährungsauflagen, und auch im Video ist zu hören, wie ein US Marshal darauf verweist. Zu den Verstößen gehörten das Eingeständnis, Marihuana geraucht zu haben, die Nichterfüllung geplanter Restitutionszahlungen und fehlende Mitwirkung bei finanziellen Ermittlungen, Kontaktabbruch zum Bewährungshelfer, die Eröffnung mehrerer Kreditkonten sowie die Nutzung eines nicht genehmigten iPhones (für alle seine internetfähigen Geräte war nach den Entlassungsauflagen die Installation eines Keyloggers vorgeschrieben). Das wirkt alles wie ziemlich übliche Bewährungsauflagen. Warum er überhaupt erst in diese Lage geraten ist, bleibt aber weiter fraglich
Ich habe das Original dazu gesucht, wofür Rockenhaus verurteilt wurde: Nachdem er 2014 bei einem Reisebuchungsunternehmen entlassen worden war, nutzte er einen weiterhin gültigen VPN-Zugang, um die SCSI-LUNs des Server-Clusters des Unternehmens zu trennen und so die Systeme lahmzulegen. Das Unternehmen stellte ihn erneut ein, damit er die Probleme diagnostizierte und behob, entdeckte dann aber, dass er selbst die Ursache war, und entließ ihn erneut. Danach verschaffte er sich Zugang zur Disaster-Recovery-Einrichtung und zerstörte mehrere Server physisch. Die Server waren etwa 30 Tage außer Betrieb, und es entstand ein Schaden von 500.000 Dollar. (Diesen Fall räumte er ein und beendete ihn ohne Widerspruch)
Er wurde unter ein elektronisches Überwachungsprogramm gestellt, installierte aber eine VM, um die Überwachungssoftware zu umgehen, und suchte zudem nach umstrittenen Websites mit Bezug zu Pädophilie. Über seine Computernutzung log er ebenfalls, und laut Gerichtsunterlagen meldete seine Frau dies dem Bewährungshelfer. Er stand wegen eines DDOS gegen seinen früheren Arbeitgeber unter Bewährung. (Nebenbei: Eigentlich war es weniger ein DDOS als vielmehr ein direkter Angriff durch physische Zerstörung von Servern)
Ich habe das Protokoll im Reddit-Thread gelesen und mich gefragt: „Warum sollte man das als Beleg für die eigene Position vorlegen?“ Die Ehefrau hob hervor, dass ein Agent ausgesagt habe, Spice sei ein Betriebssystem, doch ein anderer Agent korrigierte vor Gericht, dass Spice eine Möglichkeit sei, auf eine entfernte VM zuzugreifen und so die Überwachungssoftware zu umgehen. Dass nach dem Download dieser Software keine Internetaktivität mehr sichtbar war, ist ebenfalls belastendes Indizienmaterial
Aus dem im Reddit-Post zitierten Protokoll geht hervor, dass ihm als wegen Computerkriminalität Angeklagtem besondere Einschränkungen für die Computernutzung auferlegt worden waren und er am Computer Restriction and Monitoring Program teilnehmen musste. In diesem Programm wird Überwachungssoftware auf seinen Computer oder andere internetfähige Geräte wie sein iPhone installiert, um seine Internetaktivitäten zu überwachen, sodass der Bewährungshelfer die Protokolle wöchentlich prüfen kann. Es wird erwähnt, dass diese Bedingungen klar schriftlich mitgeteilt werden. Die Nutzung verschlüsselter Knoten wie Tor verstößt ebenfalls gegen diese Auflagen. Die Reihenfolge ist also: Verurteilung wegen Computerkriminalität → Installation von Überwachungssoftware → Nutzung von Tor → Verstoß gegen die Überwachungsauflagen und erneute Inhaftierung
Rechte existieren auch dann, wenn jemand in der Vergangenheit Schlimmes getan hat. Die Denkweise „ist doch sowieso ein Krimineller“ ist eine sehr gefährliche schiefe Ebene in Richtung Autoritarismus, die es seit 100 Jahren gibt. Juristisch mag es viele Gründe für eine Festnahme gegeben haben, aber das FBI darf niemanden mit einem gefälschten Haftbefehl festnehmen. Rechtsstaatlichkeit hat nur dann echte Bedeutung, wenn sie für alle gleichermaßen gilt
Das zeigt, wie wichtig es ist, sich die offiziellen Unterlagen anzusehen. Der Mann installierte eine VM, um rechtliche Beschränkungen und FBI-Überwachung zu umgehen. Eher Arroganz als Mut gegenüber Autoritäten führte zu den drei Jahren Haft
Link zu den relevanten Belegen
Die Umstände wirken noch belastender als der Beitrag der Ehefrau auf Reddit. SPICE ist zwar grundsätzlich ein legitimes Tool für den Zugriff auf VMs, aber die Verteidigung konnte keinen nachvollziehbaren Grund dafür nennen, warum er es genutzt hat. Sogar das Monitoring-Unternehmen behauptete, den Zweck nicht eindeutig belegen zu können, doch insgesamt ist die Lage angesichts der direkt folgenden Suchanfragen und des Gesamtbilds schwer zu erklären
Mich interessiert, dass in der gerichtlichen Aussage nicht klar erläutert wurde, wie eine VM oder ein Remote-VM-Client zur Umgehung der Überwachung genutzt werden kann. Bei Überwachungssoftware würde ich erwarten, dass sie sämtliche Netzwerkaktivitäten erfasst und damit jeden Traffic sehen kann, auch den eines Remote-VM-Clients. Ich stelle mir das ähnlich wie Wireshark vor
Vor einem Monat erschien dazu ein sehr guter Artikel über die geheime Geschichte von TOR. Darin heißt es, das Ziel der Forscher sei gewesen, dem Militär die Vorteile eines globalen Netzwerks zu verschaffen, ohne die Schwachstellen von Metadaten in Kauf zu nehmen, und damit ein CIA-Agent Tor nutzen könne, ohne Verdacht zu erregen, müssten auch ganz normale Bürger Tor ganz selbstverständlich verwenden. Anders gesagt: Anonymität hat nur dann Bedeutung, wenn viele gleichzeitig verbunden sind, weshalb es für die breite Öffentlichkeit geschaffen wurde — und dabei fanden US Navy und Cypherpunks zusammen
Jedes Mal, wenn jemand sagt, TOR, VPN, Signal, GrapheneOS oder andere Privacy-Tools seien „tot“, sollten wir sie noch mehr und noch aktiver nutzen. Dass Privacy heute kriminalisiert wird, liegt auch daran, dass selbst die Tech-Community Unternehmen wie Apple (die ebenfalls mit der NSA kooperiert haben) oder Google gewähren ließ, während diese langsam unsere Grundrechte aushöhlten. Wenn man sich sogar an Orten wie HN von AI und teuren Lock-in-Phones blenden lässt, wie sollen normale Bürger dann noch verstehen, was Freiheit und Privatsphäre bedeuten? Wenn der Staat uns unsere Freiheiten nimmt, dann auch deshalb, weil wir selbst Entscheidungen treffen, mit denen wir sie aufgeben
Ich weiß nicht, ob du das Video gesehen hast, aber selbst wenn er ein Verbrechen begangen hat, ist die Art, wie die US Marshals ihn festnehmen, völlig überzogen
So einen Fall habe ich schon einmal gesehen.
Wenn sie es können, verhalten sich im Grunde alle Regierungsbehörden so. Selbst gewöhnliche lokale Behörden haben nicht die Ressourcen und rechtliche Macht des FBI, aber Strategie und Taktik unterscheiden sich letztlich nur wegen der verfügbaren Mittel
Sie versuchen mit aller Kraft, dich in die Enge zu treiben und dich zu einer Lüge zu bringen. Danach nutzen sie das als Hebel und drohen mit Strafverfolgung
Der CFAA ist so weit gefasst (und womöglich verfassungswidrig), dass vermutlich jeder Amerikaner ihn auf irgendeine Weise versehentlich verletzt haben könnte. Deshalb frage ich mich jedes Mal, wenn eine CFAA-Anklage auftaucht: „Ist das nicht Machtmissbrauch?“ Wir brauchen bessere, klarere Gesetze
Link mit Details
Ich persönlich habe in der Vergangenheit ähnliche Erfahrungen mit Bundesbehörden gemacht. Das war schon vor der aktuellen Regierung häufig so. Das FBI behauptete, ich hätte „durch eine bestimmte Änderung einer URL gehackt“, und ich bekam fünf Jahre Bewährung. Zu den „eindeutigen Hacking-Tools“ auf meinem Computer gehörte auch so etwas wie CCleaner. In dem Moment, als ich merkte, dass die Chance, vor Gericht gegen das FBI zu gewinnen, nur 2 % beträgt, wurde mir klar, dass etwas gewaltig falsch läuft. Sie sind korrupt und inkompetent
In dem Moment, in dem das FBI bei dir einmarschiert und Anklage erhebt, haben sie in der Regel bereits ausreichend Beweise in der Hand. Wenn du nur Bewährung bekommen hast, warst du wahrscheinlich nicht unschuldig
Ich kann bezeugen, dass Bundesbehörden sich schon lange so verhalten. Auf Reddit stand zuerst ein Kommentar wie „trumps Amerika, lmao“, kurz darauf wurde er zu „bidens Amerika“ korrigiert. So endet es dann immer bei „Amerika, lmao“ oder „eigentlich gibt es noch viel schlimmere Länder, lmao“. Währenddessen sitzt der Betroffene im Gefängnis und wird zur Witzfigur. Wenn man die Logik sieht, dass CCleaner ein „eindeutiges Hacking-Tool“ sein soll, frage ich mich immer, ob sie wirklich so dumm sind oder nur absichtlich böse tun — und ich neige immer stärker zu Letzterem
Auf Basis des Gerichtsprotokolls von 2019 erscheint der Grund für die Untersuchungshaft viel plausibler, als der Beitrag seiner Frau vermuten lässt. Das FBI behauptete, er habe einen Client namens SPICE heruntergeladen, um auf eine VM zuzugreifen, und habe danach gesucht, wie man einen Tor-Client installiert. All das geschah innerhalb von 24 Stunden, nachdem er der elektronischen Überwachung zugestimmt und die Spyware freiwillig installiert hatte. Er hatte das Wissen und die Fähigkeiten, die Überwachung zu umgehen, und es war wahrscheinlich, dass er in seiner verbleibenden Zeit in Freiheit erneut so etwas versuchen würde. Dass er den Überwachungsauflagen selbst zugestimmt hatte, ist ein Kernelement der Argumentation der Staatsanwaltschaft. Außerdem bin ich sicher, dass die CFAA-Anklage zwar nicht öffentlich einsehbar ist, aber nicht nur eine einfache firmenbezogene Angelegenheit betraf. Liest man die zugehörige Website, tauscht er ständig Anwälte aus und vertritt Verschwörungstheorien; die Gesamtdarstellung wirkt geradezu bizarr. Er scheint tatsächlich unter Wahnvorstellungen zu leiden. Man sollte mit den Behauptungen in dem Beitrag daher vorsichtig umgehen
Ich hätte nicht gedacht, dass so etwas im Land der Freiheit passieren könnte
Die Sterne sind in Wirklichkeit Fußnotenzeichen (asterisks)
Manche sind frei, andere nicht. Das erinnert an frühere Zeiten
Er hat eindeutig Unrecht begangen und wurde am Ende eben erwischt. Die Perspektive seiner Frau ist absurd. Zum Beispiel erwähnt sie nicht einmal den DDOS gegen den Arbeitgeber
Und die Heimat der Tapferen