Bundesamt für Sicherheit in der Informationstechnik

WWW und Mail: Kommunikation im Internet

Schnell zum Abschnitt

« zur Übersicht

4. WWW und Mail: Kommunikation im Internet

Das Internet stellt einen Zusammenschluss von Rechnern über Kommunikationsmedien wie das schon besprochene Festnetz dar. Zum Datenaustausch wird dabei der Kommunikationsstandard TCP/IP (Transmission Control Protocol / Internet Protocol) verwendet. Jeder Rechner erhält zur eindeutigen Identifizierung eine Adresse, die IP-Adresse. Diese ist, beim heute eingesetzten IPv4, eine 32 Bit lange Zahl, die zur besseren Lesbarkeit als vier durch Punkte voneinander getrennte Zahlen von 0 bis 255 dargestellt wird.

Aufgrund der Begrenztheit des Adressraums hat allerdings nicht jeder über das Internet kommunizierende Rechner dauerhaft eine nur ihm zugeordnete Adresse. Vielmehr sind sogenannte statische IP-Adressen häufig für Institutionen typisch, während gelegentliche Nutzer des Internet wie Privatpersonen dynamische IP-Adressen verwenden. Solche dynamischen IP-Adressen werden dem Internet-Nutzer erst bei Beginn einer Sitzung durch einen Internet-Service-Provider zugewiesen und können sogar innerhalb einer Sitzung gewechselt werden.

Die Identifizierung eines Rechners, und damit einer den Rechner benutzenden Person, ist bei der Verwendung dynamischer IP-Adressen nur schwer möglich.

4.1. Kommunikationsinstanzen und Datenfluss beim WWW-Zugriff

Bei der Nutzung des Internet kann man verschiedene Kommunikationsinstanzen unterscheiden:

Der Client oder Teilnehmer

Der Teilnehmer nutzt über den Client verschiedene Dienste des Internet, wie den WWW-Zugriff oder E-Mail, von seinem lokalen Rechner aus. Er ist der Empfänger der im Internet abgerufenen Inhalte.

Der Access-Provider

Der Access-Provider oder Zugangsvermittler stellt die Schnittstelle zur Nutzung der Internet-Dienste zur Verfügung. Er betreibt weiterhin die notwendige Internet-spezifische Infrastruktur, wie z. B. Router und Name-Server.

Der Service-Provider

Der Service-Provider oder Diensteanbieter stellt die verschiedene Internet-Dienste für den Teilnehmer zur Verfügung.

Der Content-Provider

Der Content-Provider oder Inhaltsanbieter ist für die Inhalte von bspw. WWW-Angeboten verantwortlich. Diese stellt er mit der Hilfe von Service- und Access-Providern im Internet zur Verfügung.

Schema-Darstellung des Internets Abb. 12: Schema-Darstellung des Internets

Das "Surfen" im World Wide Web wird dabei auf die folgende Weise, schematisch dargestellt in Abbildung 12, technisch realisiert.

Soll ein Web-Inhalt durch den Client aufgerufen werden, wird der Client i. d. R. über das öffentliche Telefonnetz zuerst eine Verbindung zu seinem Access-Provider herstellen. Dort meldet er sich mit seiner Benutzerkennung und einem Passwort am Terminalserver an. Bei diesem Vorgang wird auf dem Terminalserver ein Datensatz angelegt, der den Login-Namen, das Datum und die Uhrzeit der Anmeldung sowie die zugewiesene IP-Adresse enthält.

Nach dem Abschluss des Anmeldevorgangs schickt der Client eine Anfrage an den Proxy des Access-Providers. Diese Anfrage (Request) in Form der Adresse einer Web-Seite (URL: Uniform Resource Locator) wird vom Proxy zuerst vollständig gespeichert. Wenn eine Adressumsetzung stattfindet, speichert der Proxy, welche ankommende IP-Adresse durch welche neue IP-Adresse ersetzt wird. Der angefragte Web-Server sieht dann nur die neue IP-Adresse und erfährt nicht die Original-IP-Adresse des Clients. Sofern eine Auflösung der über die innerhalb des Requests aufgeführte URL in eine IP-Adresse des zu erreichenden Web-Servers erforderlich ist, wird diese Information von einem DNS-Server bezogen. Die Anfrage des Clients wird über das Internet an den zu erreichenden Web-Server gesandt.

Die Anfrage wird durch den Web-Server mit weiteren Daten in einer Log-Datei gespeichert. Die gespeicherten Informationen entsprechen dabei vom Umfang her meist dem Common Logfile Format gemäß World Wide Web Consortium (W3C).

Die angefragte Seite wird nun vom Web-Server über das Internet an den Proxy gesendet, der wiederum die Seite an den Client übergibt, wo sie mit Hilfe eines Browsers dargestellt wird. Der Proxy speichert die empfangene Antwortseite im Cache, um weitere Anfragen von anderen Clients schneller bedienen zu können.

4.2. Welche Daten werden auf Internet-Servern gesammelt?

Bereits bei der Darstellung des Web-Seiten-Abrufs durch einen Client wurde das temporäre oder dauerhafte Speichern von Kommunikationsdaten angesprochen. Hier noch einmal die Zuordnung von Kommunikationskomponente und gespeicherten Daten nach [KÖHN2000] im Detail.

Terminal-Server

Der Terminal-Server speichert den Login-Namen, das Datum und die Uhrzeit der Anmeldung sowie die dem Client zugewiesene IP-Adresse.

Proxy

Der Proxy speichert eine evtl. durchgeführte Adressumsetzung, d. h. er ermöglicht eine Zuordnung von im Internet bekannter IP zu der dynamischen IP eines Clients, die wiederum vom Terminal-Server gespeichert wird und die Zuordnung zu einem Login-Namen ermöglicht.
Weiterhin wird die abzufragende URL sowie die zugehörige Web-Seite gespeichert.

Web-Server

Der Web-Server speichert die Anfrage eines Clients innerhalb einer Log-Datei. Mindestens werden bei Verwendung des Common Logfile Formats die folgenden Informationen erfasst:

  • IP-Adresse des Clients
  • Login-Name des Clients (sofern am Client aktiviert)
  • Username des Teilnehmers incl. Passwort bei der Verwendung einer Authentisierung am Web-Server
  • Anfrage des Browsers an den Web-Server im Volltext (Request)
  • Status der Anfrage, die dem Client vom Web-Server übermittelt wird
  • Länge der übertragenen Webseite in Byte.

Darüber hinausgehend werden häufig noch weitere Daten gespeichert:

  • die Browserversion des Clients
  • Angaben zum verwendeten Betriebssystem
  • Angaben zur Konfiguration des Rechners (Cookies zugelassen, aktive Inhalte zugelassen).

4.3. Datenspeicherung beim Client

Neben den Daten, die auf den Komponenten des Internets anfallen, werden ebenfalls auf den Client-Systemen Daten gespeichert. Mögliche Speicherorte sind:

  • der Browser-Cache,
  • die Liste der zuletzt besuchten Adressen (History) und
  • Verzeichnisse des Betriebssystems mit temporären Dateien.

Während diese Informationen durch Browser und Betriebssystem des Clients mit dem Ziel der Unterstützung des Benutzers sowie der effizienteren Nutzung des Internets gesammelt werden, gibt es andere Mechanismen, mit deren Hilfe festgestellt werden soll, welchen Weg Teilnehmer durch die Webseiten auf Web-Servern nehmen.

Cookies

Cookies sind Einträge in der Datei COOKIES.TXT oder im Verzeichnis COOKIES auf dem Rechner des Teilnehmers. Sie werden von Web-Servern generiert und beim nächsten sich anschließenden Zugriff des Teilnehmers auf den die Cookies erzeugenden Web-Server wieder an diesen übermittelt.

Auszug einer COKKIES.TXT-Datei Abb. 13: Auszug einer COKKIES.TXT-Datei

Abbildung 13 zeigt den Inhalt einer COOKIES.TXT-Datei, erzeugt von einem Netscape 4.5 Browser. Jede Tabellenzeile steht dabei für ein Cookie. Die Bedeutung der Spalten ist wie folgt:

  1. domain: Domäne, die das Cookie erzeugt hat und lesen kann
  2. flag: eine logische Variable, die angibt, ob alle Computer der unter 1. benannten Domain lesenden Zugriff auf das Cookie haben
  3. path: Pfad der Domain, in der das Cookie gültig ist
  4. secure: eine logische Variable, die angibt, ob ein Zugriff auf das Cookie nur über eine SSL-Verbindung möglich ist (verschlüsselte Abfrage)
  5. expiration: Gültigkeitsdauer des Cookies, angegeben im UNIX-Format
  6. name: Name des Cookies
  7. value: Wert bzw. Inhalt des Cookies.

Cookies sind entweder persistent und werden somit dauerhaft auf einem Rechner gespeichert oder nicht persistent und werden nach dem Beenden des Browsers wieder gelöscht.

Aus datenschutzrechtlicher Sicht sind im Grunde genommen hauptsächlich persistente Cookies kritisch zu betrachten, da sie geeignet sind, das Verhalten von Internetnutzern aufzuzeichnen und diese Aufzeichnungen in Form von ASCII-Dateien (die eben erwähnte Datei COOKIES.TXT) auf dem Client festzuhalten. Aufgrund dieser Aufzeichnungen ist dann der Cookie-erzeugende Web-Server bspw. in der Lage, gezielt Werbung einzublenden.

Bsp.: Der Server eines Online-Buchversands hat beim Aufruf einer Seite mit Angeboten zu Reiseführern durch den Teilnehmer ein Cookie gesetzt, das das Stichwort "Reiseführer" enthält. Beim nächsten Besuch der Web-Seite des Buchversands wird das Cookie durch den Server abgefragt und nach Auswertung des Inhalts eine Banner-Werbung mit Aktionspreisen für Reiseführer angezeigt.

Weiterhin ist zu bemängeln, dass der Cookie-Mechanismus bei der Standard-Konfiguration moderner Browser wenig transparent ist. Der Internet-Nutzer wird nicht über Inhalte, Zweck, Umfang und Speicherdauer oder Zugriffsmöglichkeiten informiert. Erst über einen durch den Teilnehmer vorzunehmenden Eingriff in die Konfiguration des Browsers besteht die Möglichkeit, sich Cookies vor deren Akzeptieren durch den Client anzusehen.

Eine populäre Anwendung für den Einsatz von Cookies ist das Speichern von Benutzernamen und Passworten für das Nutzen diverser Online-Angebote. Neben der damit sicherlich erreichten Bequemlichkeit bei der Authentisierung vor der Nutzung eines Online-Angebots ist jedoch zu bedenken, dass die durch Cookies übermittelte Information grundsätzlich ohne Zugriffsbeschränkung und Verschlüsselung auf der Festplatte gespeichert wird und somit durch unberechtigte Dritte grundsätzlich ausgelesen werden kann.

Session IDs

Session IDs sind vom World Wide Web Consortium im W3C Working Draft WD-session-id-960221 spezifiziert. In ihrer Funktion sind sie mit temporären Cookies vergleichbar. Beim Zugriff auf eine Web-Seite wird dem Teilnehmer eine bestimmte Nummer zugewiesen, die als Teil der aufgerufenen Adresse beim Verfolgen von Links im eigenen Angebot mitgeführt und in der Anzeige der Adresse des Browsers dargestellt wird. Die Gültigkeit dieser Nummern wird zeitlich begrenzt, indem bei der Generierung ein Zeitstempel einfließt. Durch Verwendung einer Hashfunktion, die aus der aufgerufenen Adresse in Verbindung mit einer vom Web-Server gewählten Zufallszahl die Session ID bildet, sind die IDs grundsätzlich nicht vorhersagbar.

Bsp.: Aufruf einer Seite beim Online-Buchversand Amazon.de ergab die Anzeige:
http://www.amazon.de/exec/obidos/tg/stores/browse/-/gateway/301128/302-6535785-4742452

Suche nach dem Stichwort "reisen" ergab die folgende URL:
http://www.amazon.de/exec/obidos/search-handle-form/302-6535785-4742452

Aufruf eines Suchergebnisses führte zur Anzeige von:
http://www.amazon.de/exec/obidos/ASIN/3251004565/o/qid=976540809/sr=8-2/302-6535785-4742452

Wechsel zum Musikbereich:
http://www.amazon.de/exec/obidos/tg/stores/browse/-/music/290380/302-6535785-4742452

Die fett markierte Ziffernkombination ist offensichtlich eine Session ID.

Web-Bugs

Als Web-Bugs oder Clear GIFs bezeichnet man in der Regel 1 Pixel große, transparente Bilder. Diese Bilder werden weder vom Rechner des Teilnehmers noch von dem des Anbieters sondern von einem dritten Server geladen.

Bei jedem Zugriff auf die Seite des Anbieters wird dabei auch das Bild des Dritten vom Teilnehmer geladen, wodurch nicht nur auf dem Rechner des Web-Seiten-Anbieters sondern auch auf dem Server, der den Web-Bug bereit hält, Einträge in einer Log-Datei erzeugt werden. Diese Einträge können, wie schon im vorhergehenden Kapitel beschrieben, die IP-Adresse des Clients, Referer, Datum und Uhrzeit etc. enthalten.

Abgesehen davon, dass somit für den Teilnehmer nicht ersichtliche Protokolldaten auf einem Internet-Server entstehen, kann der Web-Bug bzw. der zu ihm gehörende Web-Server selbst Cookies setzen, die nicht an den ursprünglichen Web-Server sondern an den den Web-Bug vorhaltenden Server zurückgesendet werden. Dem Teilnehmer wird dies bei den unterschiedlichen Browser-Einstellungen nicht auffallen.

Abb. 14: Mögliche Konfiguration der Cookie-Einstellungen bei Netscape 4.7 Abb. 14: Mögliche Konfiguration der Cookie-Einstellungen bei Netscape 4.7

Werden, wie in Abbildung 14 dargestellt, alle Cookies akzeptiert, ist ein Erkennen des vom Web-Bug initiierten Cookies nur noch über die aktivierte Warnmeldung möglich. Ob der Teilnehmer jedoch unter der Vielzahl der von bspw. einem Online-Shop versendeten Cookies erkennt, ob alle Cookies nur zurück an den Server des Online-Shops gesendet werden, ist zweifelhaft. Selbst die Einstellung "Nur an den ursprünglichen Server zurückgesendete Cookies akzeptieren" hilft nicht gegen Web-Bugs: Sie verhindert nur, dass ein Cookie vom Web-Server A nicht an den Web-Server B gesendet wird. Der den Web-Bug vorhaltende Server ist jedoch der Absender des Cookies und somit berechtigt, es auch wieder abzufragen.

4.4. Datensammler im Netz

In den vorhergehenden Abschnitten wurde dargestellt, wo bei einem Seitenabruf im Internet Daten gespeichert werden. Diese Informationen liegen jedoch verteilt auf den unterschiedlichsten Servern vor und sind für Dritte nicht einfach abrufbar. Soll ein Bewegungsprofil für einen Internet-Nutzer erstellt werden, müssen diese verteilten Informationen zusammengeführt werden. Grundsätzlich kann man zwei aktuelle Methoden zur Datensammlung unterscheiden, nämlich das Verwenden von Cookies und Bannerwerbung sowie das Verwenden von Internet-Diensten unter Ausnutzung von Sicherheitslücken bei den Betreibern.

Doubleclick: Daten sammeln mit Cookies und Banner-Werbung

Viele Internet-Seiten enthalten Werbe-Banner der Firma Doubleclick, einem der größten Anbieter von Bannern. Wird ein solches Banner zum ersten Mal geladen, setzt der das Banner vorhaltende Server (siehe Abschnitt zu Web-Bugs) ein Cookie, das den Teilnehmer von nun an identifiziert. Bei der Anforderung jedes weiteren Banners, egal von welcher Seite, wird das Cookie wieder an Doubleclick verschickt, weil alle Banner der gleichen Domäne angehören. An der URL des angeforderten Banners kann der Server sehen, auf welcher Seite die Banner-Werbung platziert ist. Die Werbefirma erhält dementsprechend nacheinander Informationen, auf welche Web-Seiten der Teilnehmer zugegriffen hat. So lässt sich ein Profil des Teilnehmers erstellen, dass seine Interessen um so genauer beschreibt je länger er sich im Netz bewegt. Grundsätzlich kann man zwar bemängeln, dass größtenteils vom Internet-Nutzer unbemerkt Bewegungsprofile erzeugt, vorgehalten und ausgewertet werden, was fehlt ist jedoch die eindeutige Zuordnung zu einer existierenden Person.

Nach [USAT2000] befinden sich die cookie-setzenden Banner von Doubleclick auf 11.500 Web-Seiten (Stand Januar 2000). Weiterhin plant die Firma eine Verkettung der Cookie-Informationen mit den Datensätzen der Direktmarketing-Firma Abacus Direct Corp., die von Doubleclick übernommen wurde. Die Datenbank von Abacus soll Namen, Adressen und Informationen über das Kaufverhalten von 90 % der US-amerikanischen Haushalte umfassen. So ist zu vermuten, dass sich für die gesammelten Cookies in vielen Fällen doch ein Personenbezug herstellen lässt.

Der finger-Daemon

Viele ISP´s verwenden UNIX als Basisplattform für ihr Diensteangebot und somit für die zugrunde liegende technische Infrastruktur bestehend aus Terminal-Server, Proxy, Web-Server und Mail-Server. Auf Unix-Systemen werden Benutzerinformationen in einer Datei namens passwd gespeichert. Diese Datei enthält Login-Namen, Benutzernamen und die verschlüsselten Passwörter.

Diese Informationen werden vom System jedesmal geprüft, wenn sich ein Nutzer anmeldet, wenn ein Nutzer Mail erhält oder ein Nutzer sich ausloggt. Mit dem Werkzeug finger sind diese Informationen grundsätzlich öffentlich zugänglich.

finger dient dazu, entfernten Hosts Benutzerinformationen zur Verfügung zu stellen. Der auf Unix-Systemen ablaufende Prozess wird finger-Daemon genannt. Dieser Prozess wartet auf lokale oder entfernte Anfragen nach Benutzerinformationen. Auf Client-Seite steht das finger-Kommando jedoch nicht nur für Unix-Systeme zur Verfügung. Seit Windows NT 4.0 besitzt dieses Betriebssystem einen eigenen finger-Client, für andere Betriebssysteme wie Windows 95/98, OS/2 oder MAC-OS ist entsprechende Freeware vorhanden.

Ist der Dienst auf einem Server aktiv, erhält man die folgende Ausgabe (hier beispielhaft von einem Unix-Prompt aus gestartet):

UNIX(r) System V Release 4.0 (artus)
login: kelter
Password:
Last login: Wed Nov 15 11:37:53 from kelter
artus% finger -l kelter
Login name: kelter In real life: Harald Kelter BSI
Directory: /usr1/kelter Shell: /bin/csh
On since Nov 16 11:13:43 on pts/3 from kelter
25 seconds
No unread mail
No Plan.

Auslesbar sind also der Login-Name, der wirkliche Name, das Home-Verzeichnis sowie Informationen zum Status des Postfachs.

In der einschlägigen "Hacker-Literatur" wird beschrieben, dass viele Systemadministratoren der Außenwelt einen unbeschränkten Systemzugriff erlauben. Das sollte es externen Nutzern ermöglichen, nicht nur spezielle, sondern alle Nutzer eines ISP´s zu identifizieren. Möglich wird dies mit dem Kommando:

finger @<Domäne>, Bsp.: finger @bsi.bund.de

Ein kurzer Test bei vier Internet Service Providern ergab jedoch, dass alle getesteten Provider den finger-Daemon gesperrt hatten und somit Kundendaten nicht auslesbar waren.

« zur Übersicht » nächstes Kapitel

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK