Peter Dorfinger, geb. 1979, ist Leiter der Forschungslinie Advanced Networking Center bei Salzburg Research. Er leitete das EU-Projekt Prism (Privacy-aware Secure Monitoring) und unterrichtet seit 2007 am Studiengang Informationstechnik & System-Management der vom Wissenschaftsministerium mitfinanzierten Fachhochschule Salzburg. Seine Themen: Internet Protokolle & Dienste im Bereich Netzwerktechnologien & Security.
STANDARD: Worum ging es in Ihrem Projekt namens Prism, das genauso wie das NSA-Überwachungsprogramm heißt?
Dorfinger: In unserem Prism ging es darum, Internetprovidern zu ermöglichen, das Netzwerk zu beobachten, um zukünftige Entwicklungen abschätzen zu können - ohne Mitarbeitern dazu den Zugriff auf sensible Daten wie Passwörter geben zu müssen. Im Vergleich zum NSA-Prism hatten wir also eigentlich das gegenteilige Ziel.
STANDARD: Was genau wird dabei beobachtet?
Dorfinger: Netzwerkanbieter müssen wissen, wie gut ihre Links ausgelastet sind, welche neuen Applikationen angewendet werden und welche Anforderungen sie haben. Wie setzt sich der Datenverkehr zusammen und welche Applikationen stehen dahinter? Die Provider beobachten dazu den Gesamtverkehr. Unser Framework wurde entwickelt, um die Informationen über den Datenverkehr zu reduzieren, sodass Mitarbeiter keine sensiblen Inhalte zu Gesicht bekommen. Um die Auslastung von Links zu erfahren, muss man nicht wissen, wer mit ihnen was kommuniziert. Mitarbeiter, die ein Netzwerk steuern, bekommen so nur jene Daten zur Verfügung gestellt, die sie für einen bestimmten Zweck benötigen, nicht mehr.
STANDARD: Wofür brauchen die Provider diese Daten?
Dorfinger: Im Netz tauchen zyklisch neue Anwendungen auf, auf die man sich einstellen muss. Mit Youtube kam etwa ein genereller Wandel des Netzverkehrs. Onlinevideos machen mittlerweile einen großen Anteil aus. Für den Provider ist nicht nur wichtig zu wissen, wie viel Verkehr er hat, sondern auch, woraus dieser besteht. Zwei Wege sind möglich: Der eine wäre, eine so hohe Bandbreite zu schaffen, dass man jederzeit alle Spitzen abdecken kann, ohne dass es zu Problemen kommt. Das ist sehr teuer. Die zweite Möglichkeit ist, bestimmte Daten wie Sprachübertragungen begünstigt zu transportieren, um das Erlebnis für den Benutzer zu verbessern. Das verzögerte Laden einer Website merkt der Nutzer vielleicht gar nicht, die Sprache ist dagegen empfindlicher auf kurzfristige Einflüsse.
STANDARD: Könnte man die Überwachung im Web nicht ähnlich reglementieren wie bei Ihrem Projekt?
Dorfinger: Im Rahmen unseres Projektes haben wir eine Methode angewandt, die vorsieht, dass hinter jeder Handlung ein Zweck steht. Ich muss mir von einer unabhängigen Stelle einen Zweck freigeben lassen und erhalte nur solche Informationen, die für diesen Zweck notwendig sind. Beim Prism der NSA gibt es diesen Zweckansatz nicht. Da geht es darum, möglichst viele Daten zu sammeln, und dann zu entscheiden, was damit gemacht wird. Bei unserem Ansatz wird immer nur das absolute Minimum an Daten zur Verfügung gestellt. Umgelegt auf das US-Prism könnte das bedeuten: Es werden Informationen gesammelt, aber alles sofort verschlüsselt, sodass wirklich niemand Zugriff hat. Erst nach einem Verdachtsfall wird auf richterlichen Beschluss ein Schlüssel für bestimmte Informationen freigegeben. Es gäbe durchaus auch hier technische Ansätze, die nicht jeden im Netz unter Kapitalverdacht stellen.
STANDARD: Eine sauberere Überwachung wäre also technisch möglich?
Dorfinger: Technisch würde es Ansätze in diese Richtung geben. Aber wer könnte den USA auferlegen, das zu machen? Anstatt nur die Bücher einer Bibliothek auszuwählen, die für sie interessant sind, liest die NSA lieber alle Bücher, um danach zu entscheiden, was darin interessant ist. Das Bedrohungspotenzial der Überwachung durch die NSA ist wesentlich höher, als dass Mitarbeiter von Providern Daten missbrauchen können.
STANDARD: Können Sie einschätzen, wie aufwändig die Technik hinter dem Prism der NSA ist?
Dorfinger: Ich hätte nicht gedacht, dass es jetzt bereits technisch möglich ist, was dort gemacht wird. Es werden gigantische Datenströme durchsucht, beobachtet, kategorisiert. Das ist höchst anspruchsvoll und bedarf einer Infrastruktur, wie es zurzeit wahrscheinlich keine zweite gibt. Es war viel Know-how versierter Forscher vonnöten, um so ein System aufzusetzen. Zudem ist es überraschend, dass man dort schon so weit ist, Forschungsergebnisse in konkreten Anwendungen einsetzen zu können.
STANDARD: Kann man der Prism-Überwachung entgehen?
Dorfinger: Ja, wenn man keine Computer und sonstige digitale Medien verwendet. Um sich im Web zu bewegen und dennoch der Überwachung zu entgehen, müsste man das Netz in einer Art verwenden, bei der man sehr viel Bequemlichkeit einbüßt. Solange die Überwachung von den USA ausgeht und kein Überwachungsknoten in Österreich existiert - zumindest weiß man offiziell von keinem -, könnte man darauf achten, dass kein Verkehr in die USA geht und vermeiden, US-Dienste und -Infrastruktur zu verwenden. Einen hohen Aufwand zu betreiben, um der Überwachung zu entgehen, würde mich allerdings in den Augen der Überwacher wiederum verdächtig machen.
STANDARD: Also mehr heimische Webdienste verwenden?
Dorfinger: Die ultimative Überwachung hätten wir erst, wenn sich alle Länder verbünden, um digitale Abbilder aller Menschen anzufertigen. Die Daten haben einen unschätzbaren Wert, und es gibt viele missbräuchliche Verwendungsmöglichkeiten. Damit wäre vielleicht mehr Geld zu verdienen, als jetzt mit Werbung im Netz gemacht wird. Ich hoffe, dass die NSA die Daten nicht verkauft.
STANDARD: Was wurde aus Ihrem Prism-Projekt?
Dorfinger: Das Projekt startete 2008 mit acht europäischen Partnern unter der Leitung von Salzburg Research und lief 27 Monate lang. Das Ergebnis ist ein Forschungsprototyp, der testweise in einem Providernetz in Italien im Einsatz war. Wir haben damit gezeigt, dass es Möglichkeiten gibt, um Netzwerkanbietern einen besseren Schutz der Privatsphäre aufzuzwingen. Das kann aber nur mit den entsprechenden gesetzlichen Regelungen funktionieren. Solange es die nicht gibt, gibt es keinen Markt dafür. Den Providern fehlt die Motivation, ein derartiges Framework einzusetzen. Der Schutz der Privatsphäre im nichtdigitalen Alltag ist relativ weit fortgeschritten. In der digitalen Welt ist man bei weitem nicht so weit. (Alois Pumhösel, DER STANDARD, 21.8.2013)