Müssen VPN-Anbieter MITLOGGEN? | HACKER trifft RECHTSANWALT #002

echt jetzt selberch damit ich dann da immer wieder neu starten kann ohne dass irgendwas auf mein System eindringt wenn ich Straftaten begehe also können und dürfen sind ja bekanntlich zwei verschiedene Dinge was darf ich jetzt als Privatperson im legalen Rahen machen um mich vor solchen Angriffen dann auch zu schützen so dann herzlich willkommen zurück für euch ist jetzt über eine Woche vergangen für uns ist es ja vielleicht 10 Minuten her dass wir die er Folge aufgenommen haben bin gespannt auf euer Feedback und auch hier wieder der Aufruf gerne unten in die Kommentare schreiben welche Fragen ihr an meinen Gast Mark habt hallo Mark herzlich willkommen zurück also genau genommen bist du ja mein Gast hier heute ja aber ich bin natürlich auch gerne dein Gast Gast auf meinem YouTube-Kanal ich bin bei ihm in der Kanzlei und ich würde sagen ohne lange Umschweife legen wir direkt los in der heutigen Folge steht alles im Zeichen der Anonymität und der Vertraulichkeit und was würde da besser passen als der der heutige Sponsor dieses Videos ne natürlich kein kein Sponsoring ich habe euch ja versprochen keine VPN Werbung auf meinem Kanal weil sie ja mein Ansicht nach zumindest mit teilweise dubiosen Werbeversprechen umherchmeißen nicht alle ich möchte jetzt hier auch keinen nennen und dazu direkt meine erste Frage man hört ja immer dass vpnanbieter nicht mitloggen also das ist etwas was als Werbeversprechen oftmals so auf die Webseite geschrieben wird und auch wenn man irgendein Youtube Sponsoring hat dann bekommt man das oftmals gesagt hey sag doch bitte dass wir nicht mit und da wäre jetzt meine Frage und auch die Frage der Community ist das wirklich so also dürfen VPN-Anbieter in Deutschland sagen wir loggen nicht mit oder gibt's da irgendwelche rechtlichen Bestimmungen die sagen nein ihr müsst mitloggen also können und dürfen sind ja bekanntlich zwei verschiedene Dinge ein VPN-Anbieter kann natürlich alles mögliche mitloggen vieles was er vielleicht auch nicht darf deswegen so Werbeaussagen würde ich da jetzt nicht so ernst nehmen gerade auch bei ausländischen Anbietern in Deutschland oder in in Europa ist es so der EGH verbietet die anlasslose und unterschiedslose Vorratsdatenspeicherung das heißt also in Deutschland dürfen diese VPN Anbieter oder auch ISPs nicht einfach alles mögliche mitloggen und mitschneiden zu Abrechnungszwecken kann das erlaubt sein aber das spielt ja hier keine Rolle denn VPN Anbieter oder entsprechende Angebote sind ja meistens Abos da macht ja Abrechnung überhaupt keinen Sinn jetzt kann es so sein dass ein Staatsanwalt ein Verdacht hat gegen eine Person und deswegen eine TKÜ also eine Telekommunikationsüberwachung anordnet Paragraph 100A Strafprozessordnung da also aufgrund von dieser Anordnung dürfen dann Verbindungsdaten mitgelogt werden und das kann natürlich auch nicht nur den ISP sondern auch den VPN Anbieter treffen dann gibt's noch einen weiteren eine weitere Vorschrift das ist der 100k Strafprozessordnung danach kann es bei entsprechender Anordnung sein dass auch die Nutzungsdaten mitgeloggt werden können und das gilt natürlich auch für den vpnanbieter das heißt also wer hier Beschuldigter ist in einem Ermittlungsverfahren z.B je nach es muss eine schwere Straftat sein also Terrorismusverdacht oder sowas da klingt sich der Staatsanwalt ein und ordnet beim entsprechenden vpnanbieter an dass auch die Nutzungsdaten mitgeloggt werden das heißt also hier gibt es keine Sicherheit äter okay also können wir festhalten dass wenn ein VPN-Anbieter sagt er logt nicht mit das rein rechtlich tatsächlich möglich ist dass er nicht mitlogt außer natürlich dieser Sonderfall es kommt eine Anordnung so eine TKÜ aber natürlich auch von meiner Seite aus noch mal deswegen mache ich ja keine Werbung für vpnanbieter technisch können wir das relativ schwierig jetzt erstmal nachvollziehen von außen also wir müssten uns schon ich hat ja schon mein VPN Eder angeschrieben möchte gerne dass ich Werbung auf seinem meinem Kanal für ihn mache und ich habe dann zurückgeantwortet ja unter der Bedingung dass ich mir euren Quellcode anschauen kann ja ich würde auch so eine Geheimhaltungsvereinbarung und so weiter unterschreiben dass ich dann nicht irgendwie was kopiere oder sonstiges so eine NDA aber so vom Grundsatz her dass ich für mich als nachvollziehbar technisch nachvollziehbar als Informatiker überprüfen kann und sehe die loggen wirklich nicht mit weil solange das nicht nachvollziehbar ist oder nachgewiesen werden kann ist es für mich einfach nur ein werbe versprechen und das solltet ihr eben auch im Hinterkopf behalten dass euch da jetzt nicht von diesen ganzen Werbeversprechen Blenden lasst es ist viel dran ja wir haben jetzt gelernt dass es durchaus möglich ist zu sagen wir loogen nicht mit es ist in Deutschland erlaubt aber es ist eben nicht zwangsläufig tatsächlich dann auch gelebte Realität ja jetzt kann es ja sein dass man von irgendeinem unbekannten Täter z.B eine drohmail erhält ja ich habe das auch schon in meinem E-Mail Postfach gehabt und viele meiner Youtube Kollegen ebenfalls da schreibt dann irgendjemand vielleicht sogar eine Morddrohung was er dann auch schon eine Straftat darstellt und da wäre jetzt meine Frage was kann die Polizei denn dann überhaupt machen also gibt es Mittel und Wege den Täter dann zu ermitteln oder wie sieeh das dann der Praxis aus natürlich gibt es da Mittel und Wege zu ermitteln von wem diese E-Mail abgeschickt wurde wir merken in unseren Fällen dass die Polizei schon richtig gut da drin geworden ist sich die Metadaten genauer anzuschauen in den Metadaten steht alles mögliche drin unter anderem die IP-Adresse und nachdem es ja in Europa in Deutschland keine Vorratsdatenspeicherung gibt also man nicht quasi für die letzten sechs Monate irgendwelche IP-Adressen zuordnen kann sondern man nur wenige Tage Zeit hat ist es natürlich hier Eile geboten in der die Polizei schauen muss dass sie an den is herantritt um dann die Auskunft zu bekommen zu welchem Anschluss gehört das wenn sich hier ergeben sollte dass ein VPN dahinter steht dann wird natürlich schon sehr sehr schwi schwierig kommt so ein bisschen drauf an wo sitzt der VPN und sitzt der im Ausland muss es eventuell über ein Rechtshilfeverfahren gehen dann funktioniert natürlich nichts schnell das heißt also wenn sich jemand über ein VPN einwählt um dann so eine E-Mail zu schreiben oder gegebenenfalls üb tornetzwerk oder so dann gibt es im Prinzip praktisch keine Möglichkeit herauszufinden wer die E-Mail abgeschickt hat ich sage jetzt mal praktisch keine dann wenn es gibt ja auch noch andere Behörden bei uns die andere Möglichkeiten und andere Befugnisse zur Verfügung haben und die können auch noch Dinge die wir jetzt hier beide nicht erzählen wollen aber im im Prinzip im Großen und Ganzen bei der 0815 betrugs-mail oder so Morddrohung ist eine andere Geschichte ist ein anderes Delikt aber äh bei Betrugsversuchen und so da im gibt's im Prinzip kaum Ermittlungsmöglichkeiten nur wenn man sich im Prinzip nur die E-Mail anschaut okay ja das ist auch noch mal ganz wichtig zu betonen dass wenn man sich jetzt z.B über das tornetzwerk bewegt dass es dann schon sehr sehr schwierig für die Polizei ist da irgendetwas heraus zu finden das ist jetzt kein Aufruf bitte ich habe hier ein rechtsarbeit neben wir sitzen das ist kein Aufruf zu einer straftart ihr dürft jetzt nicht ins Internet gehen und irgendwelche irgendwelche Webseiten attackieren oder mitm tornetzwerk jetzt darauf zuugehen außerdem zum Thema Fehler habe ich auch noch eine ganz lustige Anekdote es gibt ja hin und wieder mal so ein paar kidies die das erste Mal mit nmap so einem Netzwerkscanner in Berührung kommen und sich denken jo dann schieß wir einfach mal los und gucken mal was denn so alles da rausgefunden wird und die gehen dann auf eine Webseite eben mit ihrem normalen Internet ohne VPN ohne Tor ohne alles und gucken sich die Webseite an nachts um 1 uh so und nachts um 105 Uhr kommt dann auf einmal ein nmap Scan der dafür sorgt dass das System im Hintergrund weil es nicht dafür ausgelegt ist jetzt auf einen wirklich groß angelegten Scan vernünftig zu reagieren dann einfach abstürzt so da kann die Polizei dann auch eins und eins zusammenzählen ja also wenn man die Logdateien dann analysiert dann sieht man ja vorher schon da war um 1:05 Uhr jemand online der ist wieder runter ist wieder offline gegangen und dann kam 5 Minuten später ein nmap Scan über Tor oder über irgendwelche anderen Netzwerk also passt auf keine Straftaten begehen und meistens wenn es dann eben in solchen Fällen wir z.B auch beim im Darknet gab ja schon Fälle wo dann Leute weil sie ganz ursprünglich Maline E-Mailadresse verwendet haben als Backup z.B und dass man die dann darüber herausbekommen hat weil die in der Anfangszeit Fehler gemacht haben aber ich wiederhol jetzt einmal und dann nie wieder in diesem Video keine Straftaten begehen diese Tools nicht dazu einsetzen um irgendwelche Infrastrukturen anzugreifen vielen Dank eine Sache möchte ich da noch ergänzen und zwar nach unserer Erfahrung machen die Täter laufend irgendwelche Fehler also du hast ja gefragt was passiert wenn man sich nur die E-Mail eine eine droh E-Mail anschaut und was kann man daraus ermitteln nach unsere Erfahrung ist rund um den Einsatz von E-Mailadressen werden so viele Fehler gemacht dass die Polizei immer wieder hier Anhaltspunkte hat wir hatten z.B einen Fall im Prinzip so eine Art 0815 Identitätsdiebstahl da hat der Täter dem Opfer auch immer E-Mails geschrieben und hier hat die Polizei sehr schnell die Metadaten ausgelesen und äh dann die Auskunft vom Service Provider geholt dass hier eine bestimmter ein bestimmter Hausanschluss in Deutschland derjenige war von dem aus der Täter die E-Mails geschickt hat da konnte dann auch schnell jemand ermittelt werden der dort bei bei Mami und Papi am am abendessenstisch sitzt und da irgendwelche droh e-ails verschickt und das hat auch ganz gut funktioniert also sowas geht in der Regel immer weil es immer irgendwelche Fehler gibt irgendwelche Spuren die die Polizei ermitteln kann natürlich wenn man sich richtig viel Mühe macht und das komplett durch durchdenkt da reden wir jetzt aber auch davon dass keine macadressen und sonst wie irgendwie zurückführbar sind im Bereich der organisierten Kriminalität kann man natürlich dann schon es den Ermittlungsbehörden so schwer wie möglich machen aber gerade so in dem Bereich der mittleren Kriminalität ist es gar nicht so da werden immer wieder Ermittlungsansätze für die Polizei sichtbar und das führt uns jetzt eigentlich schon zur finalen Frage die wie ich finde jetzt aus der Sicht des Opfers ziemlich relevant ist nämlich was kann ich denn jetzt z.B selber machen also darf ich überhaupt den Täter selbst versuchen zu ermitteln indem ich beispielsweise ihm eine E-Mail schicke mit einem kleinen Bildchen was eingeblendet ist was eben so ein Pixel groß ist und z.B von meinem Server irgendwie nachgeladen wird und dann kann ich darüber vielleicht die IP-Adresse ermitteln oder ich versuche den die Person selber zu hacken also quasi so eine Art hackback zu starten was kann man da machen was darf ich jetzt als Privatperson im legalen Rahen machen um um mich vor solchen Angriffen dann auch zu schützen nun also schützen tust du dich ja nicht vor solchen Angriffen du möchtest dann rausfinden wer ist der Täter wer steckt da dahinter wenn du einen kleinen Pixel verschickst dann ist ja die Information die du zurückbekommst letztlich eine IP-Adresse und das kannst du als Privatperson durchaus machen die Polizei dürfte sowas nicht echt jetzt wenn du wenn du das selber machst dann ist es im Prinzip ein dsgvo Verstoß da kann man jetzt drüber reden die dsgvo kommt ja für dich als Privatperson nicht zur Anwendung in der sogenannten haushaltsausnahme die sie nach Rechtssprechung ist davon aber eigentlich Internetaktivität ausgenommen also wenn du jetzt im Prinzip ein privates Fotoalbum anlegst und jetzt nicht alle gefragt hast wir lassen jetzt mal Bildrechte beiseite und dann verwendest du und dann schreibst du irgendwie Onkel Herbert hier beim Geburtstag dann verwendest du ja personenbezogene Daten aber zu privaten Zwecken das ist von der dsgvo ausgenommen wenn du jetzt da so einen ähm Pixel verschickst dann hat es ja mit privaten Zwecken irgendwo schon noch was zu tun aber irgendwo auch nicht mehr äh es gibt jetzt hier keine Rechtsprechung zu dem Fall die ich jetzt hier aus der Schublade ziehen könnte für dich aber im Prinzip ist es ein dsgvo Verstoß ähm das heißt also der Täter könnte dich anzeigen Wirte aber nicht ähm das heißt also als Privatperson kannst du sowas schon versuchen und ähm das Bundesverfassungsgericht ist bei der Verwertbarkeit von Beweisen unter dem Aspekt relativ großzügig also das könnte man schon versuchen was Du hier aber auch noch gerne hättest hackback ja der weiß was du was du da so vorhättest will ich gar nicht dran denken Moment Anzeige ist raus ähm dann da muss man natürlich sehr aufpassen es gibt natürlich die sogenannten hackerpagraphen im im StGB und alles was da so in die Richtung geht von ausspelen von Daten Datenveränderung Computersabotage gibt's eine ganze Reihe von Straftaten die wir uns gerne auch mal gemeinsam anschauen können was da so gibt oder was ist man da so für spannende Fälle dazu bilden könnte da muss man aufpassen da würde man sich genauso auch strafbar machen Notwehr wäre das ja nicht mehr notwehr ist im Prinzip nur ein gegenwärtiger menschlicher Angriff und eine Verteidigungshandlung die dem entgegenwirkt aber meistens ist ja der Angriff oder ja der Cyberangriff wie auch immer er gestaltet ist ist ja schon vorbei und dann möchte man ja im Prinzip die Rolle der Polizei übernehmen sich dann so ein Schlapphut auf und möchte ja dann quasi ermitteln wer ist der Täter so einfach geht's dann nicht also du kannst nicht in einen fremden Computer eindringen oder irgendwie was weiß ich ein Trojaner verschicken oder so um dann für die Polizei zu ermitteln das machen übrigens auch unsere Hacker mit denen wir hier das Büro Teilen nicht die halten sich da auch an Recht und Gesetz ja jetzt haben wir so viel über Verschlüsselung gesprochen Anonymität im Internet und auch Straftaten zum Teil wie man die gegebenenfalls auch auch man sich davor schützen kann als Privatperson und da wäre jetzt so als leichte ausstiegsfrage noch vielleicht nutzt du Linux also in der Kanzlei nutzen wir natürlich Windows wie soll es anders sein allein schon wegen den komischen anwaltsprogrammen die gefühlt aus den unzern sind nicht nur Gefühl s sind wirklich aus den 9un0ern aber ich benutze auch Linux im Rahmen von meiner VM damit ich dann da immer wieder neu starten kann ohne dass irgendwas auf mein System eindringt wenn ich Straftaten beehe Scherz also Straftaten begehe ich natürlich nicht aber ich möchte natürlich immer hier eine sichere Lösung haben und nicht dass irgendwas auf meinem System hier Rums schwirt gerade über den Tour Browser habe ich natürlich nicht die gleichen Sicherheitsmerkmale oder Sicherheitsmechanismen wie ich das sonst hier in unserem System hätte ja das wird den lieben nux auf meinem discord Server ja bestimmt friedenstellen als Antwort dass auch auch Anwälte gibt die tatsächlich Linux nutzen ähm wie ich ja auch nicht nur Linux sondern in Kombination mit Windows und gerade als penester ist es mein Ansicht nach eigentlich schon fast verpflichtend dass man sich mit Windows auseinandersetzt weil eben die Corporate Welt nun mal so funktioniert die meisten Rechner laufen auf Windows zumindest die Arbeitsplatzrechner von den Personen die dann auch möglicherweise gefischt werden das sind ja die Mitarbeiter in der Regel im Regelfall und von daher eigentlich eine super Lösung dass du da sagst hey du nutzt auch Linux um eben ermittel eigene Ermittlungen quasi auch anzustellen und dein System clean zu halten ich kann dir da übrigens die Linux Distribution CSI Linux ja klischeename aber die ist wirklich sehr gut empfehlen da habe ich jetzt auch ein Video im Rahmen meines Adventskalenders zu erstellt Link ist unten in der Videobeschreibung da könnt ihr euch auch gerne mal reinlesen da gibt's auch Zertifizierungen in dem Bereich und ich persönlich finde diese Distribution sehr gut weil sie ein hohes Maß an Sicherheit bietet viele osind Tools schon integriert hat und mit den Worten würde ich sagen beenden wir die Folge vielen Dank lieber Mar hat mir wieder sehr viel Spaß gemacht und falls ihr Fragen habt unten in die Kommentare schreiben wir sehen uns im nächsten Video bis dann und ciao