Anhang

Zehn Tipps für den digitalen Selbstschutz

Glossar

Anmerkungen

Dank

Diagnose Totalüberwachung

Am 6. Juni 2013 hat sich unsere Sicht auf das Internet dramatisch verändert. An diesem Tag veröffentlichten die Washington Post und der britische Guardian erste Dokumente, die der ehemalige Geheimdienstmitarbeiter Edward Snowden gesammelt und auf drei tragbaren Computern ins Ausland mitgenommen hatte. Schon diese ersten Veröffentlichungen offenbarten die atemberaubenden globalen Überwachungsaktivitäten des amerikanischen Computergeheimdienstes NSA. Seither wird die Welt immer wieder durch neue Enthüllungen in Atem gehalten.

Es ist nicht mehr zu leugnen: Nicht nur die Geheimdienste autoritärer »Schurkenstaaten«, auch westliche Nachrichtendienste überwachen unsere Kommunikation, und sie sammeln viele Daten über unser Verhalten. Ihre Grenzen werden dabei in erster Linie von den eigenen Fähigkeiten bestimmt, weniger durch Gesetze und schon gar nicht durch moralische Grundsätze. Sie handeln gemäß einer Devise, die dem Minister für Staatssicherheit der verflossenen DDR, Erich Mielke, zugeschrieben wird: »Um wirklich sicher zu sein, muss man alles wissen.«

Solange es Geheimdienste gibt, streben sie nach Informationen, von denen sie annehmen, dass sie für ihre Regierungen nützlich sein könnten. Bisweilen ist die Informationssammlung auch Selbstzweck und dient dem eigenen Machtgewinn. Auch in der alten, analogen Welt galt für die Geheimdienste nicht das Gebot der Mäßigung – die Grenzen der Nachrichtensammlung waren wie heute überwiegend praktischer Natur. Aber weil es viel mühsamer war, Daten zu sammeln, zu kopieren und auszuwerten, konzentrierte man sich auf »lohnende« Ziele. Das alltägliche Leben der allermeisten Menschen wurde weder registriert noch überwacht. Lediglich in Überwachungsstaaten wie der DDR hatten Geheimdienste die Aufgabe, die Menschen auch in ihrem Alltag soweit wie möglich auszuforschen. Dass dabei riesige Datensammlungen entstanden, zeigen die vielen Kilometer Aktenregale, die in der Stasi-Unterlagenbehörde zu besichtigen sind.

Trotzdem waren selbst die in autoritären Regimen angehäuften Informationsbestände ein Klacks gegen die Datenmassen, die Geheimdienste heute aus der Digitalkommunikation erlangen und in elektronischen Speichern ablegen. Die NSA sieht in der Informationsgesellschaft ein »goldenes Zeitalter«, wie ein im Internet zu findendes Strategiepapier¹ belegt – vermutlich sehen das andere Nachrichtendienste ähnlich.

Dabei haben die Geheimdienststrategen im Blick, wie sich die Informationstechnik weiterentwickelt. Das Zauberwort heißt »ubiquitous computing« – allgegenwärtige Datenverarbeitung. Digitale Informationen entstehen vielfach auch dann, wenn die Betroffenen davon nichts mitbekommen: Technische Daten, die für den Betrieb der Geräte, für den Aufbau von Verbindungen und für viele Dienstleistungen erforderlich sind. Wenn wir den Fernseher einschalten, mit dem Auto oder mit öffentlichen Verkehrsmitteln unterwegs sind oder beim Bezahlen an der Supermarktkasse erzeugen eingebaute Computerchips solche »Metadaten«. Selbst wenn wir keinen PC benutzen und das Handy zu Hause bleibt, hinterlassen wir so immer mehr digitale Spuren. Einen erheblichen Beitrag zur Datenanhäufung leisten die vermeintlich »kostenlosen« Internetangebote, die wir in Wirklichkeit mit unseren Daten finanzieren. Viele Dienste rechnen sich nur, weil sie unser Verhalten und die Interessen registrieren und die Daten zur möglichst treffsicheren Platzierung personalisierter Werbebotschaften verwenden. Je zahlreicher die angehäuften Nutzerdaten sind, aus denen die Unternehmen Verhaltensund Interessenprofile ableiten können, desto besser.

Von dem immer weiter perfektionierten Tracking und Targeting, der möglichst umfassenden Verfolgung des Nutzers im Netz, profitieren auch die Geheimdienste. Die aus kommerziellen Gründen eingesetzten Mittel zur elektronischen Wiedererkennung von Nutzern liefern auch ihnen Erkenntnisse über persönliche Interessen und Verhaltensweisen. Internetunternehmen bestellen das Feld für staatliche Überwachung. Wie wir inzwischen wissen, ernten Nachrichtendienste die privatwirtschaftlich bestellten Datenfelder großflächig ab – sei es mit legalen Mitteln, sei es unter Ausnutzung technischer Schwachstellen bei Google, Facebook & Co.

Die im Verborgenen agierenden Nachrichtendienste setzen gewaltige Ressourcen ein, um die bei der digitalen Kommunikation angehäuften Datenbestände auszulesen, zu kombinieren und zu bewerten. Im Mittelpunkt steht dabei natürlich nicht mehr die »Wanze«, die unter dem Bett oder Schreibtisch einer Zielperson versteckt wird. Es geht vielmehr um die Bildung umfassender Kommunikations-, Verhaltens- und Bewegungsprofile von jedermann. Angestrebt wird die Datengewinnung »from anyone, anytime, anywhere«, also die totale Überwachung, wie die NSA unumwunden zugibt. Der Dienst sieht sich dabei als Maschine, als Teil eines »Netzwerks von Sensoren, die interaktiv messen, reagieren und sich in Echtzeit gegenseitig alarmieren.« Die Überwachung beschränkt sich nicht auf Verdächtige. Erfasst wird jeder, der elektronisch kommuniziert oder sich digitaler Hilfen bedient. Wo Gesetze im Wege stehen, wird versucht, sie im eigenen Sinne umzudeuten und sie zu umgehen. Oder man hält sich nicht an sie.

Dabei sind sich die Nachrichtendienstler durchaus bewusst, dass Unternehmen, Staaten und Nutzer versuchen, sich zu schützen. Um die befürchtete »Erblindung« zu vermeiden, setzt man alles daran, die Datenverschlüsselung und andere Schutzmechanismen auszuhebeln. Während Nachrichtendienste offiziell vor Hackern und feindlichen Mächten warnen, die unsere Daten aus dem Cyberspace bedrohen, suchen sie nach unbekannten Lücken in der Hard- und Software und nutzen sie aus. Zugleich wird daran gearbeitet, die gegen Datenmissbrauch und andere virtuelle Bedrohungen gerichtete Datenverschlüsselung zu schwächen.

Die Instrumente

Die zur elektronischen Überwachung verwendeten Instrumente sind vielfältig, ihre Bezeichnungen phantasievoll: PRISM, X-Keyscore, Mainway, Co-Traveller, Tempora, Stellar, Wind, Turbulance, Marina, Pinwale … Eine im Sommer 2013 veröffentlichte Übersicht² kommt auf zwanzig Überwachungsprogramme, die allein von der NSA betrieben werden sollen. Mitgezählt wurden dabei nur die Programme, die bis dahin öffentlich bekannt waren. Dass es darüber hinaus weitere Programme gibt, ist inzwischen belegt.

Die Zusammenhänge der verschiedenen Komponenten des global angelegten Überwachungssystems werden durch jede neue Enthüllung deutlicher: Zunächst geht es um die möglichst umfassende Abschöpfung von »Metadaten« (Mainway) und die Erfassung und Filterung von Kommunikationsinhalten (Tempora). In einem (logisch) weiteren Schritt werden Kommunikationsvorgänge besonders ausgewertet, die aufgrund bestimmter Muster, wegen der beteiligten Kommunikationspartner oder der Verwendung bestimmter Begriffe auffällig erscheinen (X-Keyscore). Schließlich werden gezielt Daten bei Internet- und Telekommunikationsunternehmen angefordert, die man durch die Abhöraktivitäten nicht bekommen konnte. Diese Aufgabe erledigt PRISM.

Es ist sehr wahrscheinlich, dass die global erfassten Metadaten und »verdächtige« Inhalte von den Diensten langfristig gespeichert werden. So lassen sie sich bei Bedarf flexibel – nach jeweiligem Informationsinteresse – auswerten. Wie umfangreich die weltweite Kommunikation aktuell überwacht und registriert wird, lässt sich allein anhand der auf Snowden zurückgehenden Veröffentlichungen nicht zuverlässig bestimmen. Zwar heißt es in einer NSA-Präsentation, die Inhalte würden »nur« drei Tage gespeichert, bei den Metadaten betrage die Speicherungsfrist regelmäßig dreißig Tage.³ Allerdings stammt diese Information aus dem Jahr 2008. Seither haben sich die Speichertechniken immens verbessert, und es wäre naiv anzunehmen, die Nachrichtendienste würden sich die Möglichkeiten zur noch umfangreicheren Erfassung und Speicherung entgehen lassen. Nicht mehr bestritten wird, dass die NSA die bei den US-Telefongesellschaften abgeschöpften Metadaten fünf Jahre bevorratet hat.⁴ Dass die nicht aus den USA stammenden Metadaten von der NSA früher gelöscht werden als die Metadaten amerikanischer Nutzer, ist kaum vorstellbar.

PRISM: Eine neue Sicht auf die Welt

Von den vielen Codewörtern für Überwachungsprogramme, die durch die Snowden-Papiere bekannt wurden, hat sich keines so tief ins öffentliche Bewusstsein gegraben wie PRISM. Dabei ist bis heute nicht wirklich klar, ob es sich dabei um eine Abkürzung handelt oder um einen Eigennamen, das englische Wort für »Prisma«. Die Bezeichnung ist jedenfalls gut gewählt, wenn man sich die Funktionsweise eines Prismas vergegenwärtigt: Es bricht einen Lichtstrahl und leitet ihn um. Je nach Wellenlänge ist der Brechungswinkel der Komponenten, aus denen sich das Licht zusammensetzt, unterschiedlich, so dass eine farbliche Aufspaltung des Spektrums der Lichtquelle stattfindet. Damit lässt sich etwa die Art der Lichtquelle bestimmen. PRISM überträgt dieses Prinzip auf Informationen, die in großer Anzahl und anscheinend zufällig im Internet übertragen werden und auf Servern landen. Aus dem »Rauschen« der Metadaten sollen durch Filterung und Verknüpfung Strukturen erkennbar werden, die sich mit »bloßem Auge« nicht wahrnehmen lassen.

Im Zentrum von PRISM steht die Auswertung von Daten, die die NSA von großen US-Internetunternehmen erlangt, mit denen der Nachrichtendienst Kooperationsabkommen abgeschlossen hat. An Bord war – so die Dokumente – fast alles, was in der US-Internet-Branche Rang und Namen hat: Microsoft, Google, Yahoo!, Facebook, YouTube, Skype, AOL und Apple. Die NSA und das FBI – so eine ursprünglich streng geheime Präsentation – hätten sich Zugang zu den zentralen Servern von neun führenden US-Internet-Unternehmen verschafft. Auf diese Weise extrahiere der Dienst Audio- und Video-Chats, Fotos, E-Mails, Dokumente und Verbindungsprotokolle, berichtete die Washington Post am 6. Juni 2013.⁵ Das Überwachungssystem, das unter dem Codewort »PRISM« betrieben werde, besitze einzigartige Fähigkeiten. Die NSA sei »stolz darauf, Geheimnisse zu stehlen und Codes zu brechen, und dabei Unternehmenspartnerschaften erreicht zu haben, die ihr helfen, den Datenverkehr umzuleiten oder Hindernisse zu umgehen«.

Auch wenn sich die öffentlichen Stellungnahmen zum Funktionsumfang und zum Einsatzbereich von PRISM widersprechen, bestehen an der Existenz des Programms heute keine ernsthaften Zweifel mehr. Der Bundesregierung verdanken wir den Hinweis, dass es angeblich sogar zwei Programme gibt, die unter diesem Namen laufen. Kurz nach den ersten Medienberichten hatte sie nämlich bestritten, jemals irgend etwas von PRISM gehört zu haben. Diese Behauptung wurde allerdings angezweifelt, nachdem Medien darüber berichtet hatten, die Bundeswehr gehöre zu den Nutzern von PRISM – in Afghanistan. Regierungssprecher Steffen Seibert dementierte mit einer kreativen Argumentation: Es gebe zwei verschiedene Systeme namens »PRISM« – das System der NSA und ein anderes Programm der Internationalen Schutztruppe in Afghanistan (ISAF). Die beiden Programme seien »nicht identisch«, sagte Seibert.⁶ Verblüffend – und widersprüchlich – ist dabei, dass die Bundesregierung einerseits jegliches Wissen um die Existenz von PRISM bestritt, aber zugleich auf die Nicht-Identität beider Programme hinwies. Wie konnte der Regierungssprecher ohne Kenntnis von »PRISM 1« sicher sein, dass »PRISM 2« ein ganz anderes Programm sei? Auch auf Nachfragen der Opposition beharrte die Bundesregierung darauf, nichts von dem NSA-PRISM gewusst zu haben: Es handele sich bei dem in Afghanistan genutzten PRISM um das »Planning Tool for Resource, Integration, Synchronisation and Management«, ein Programm zur »Aufklärungssteuerung« der NATO/ISAF-Verbände. Deutsche Kräfte hätten hierauf keinen direkten Zugriff.⁷ Kurze Zeit später berichtete die NSA schließlich von einem weiteren (dem dritten!) Programm namens PRISM. Danach soll das Codewort eine Abkürzung sein für »Portal for Real-time Information Sharing and Management (PRISM)«, ein Programm der für die IT-Sicherheit zuständigen NSA-Abteilung.⁸

Hier soll nicht weiter der Frage nachgegangen werden, ob wirklich diverse NSA-Programme unter dem Codewort PRISM existieren oder ob es sich bei diesen Behauptungen um Desinformation handelt. Wenn im Folgenden von PRISM die Rede ist, dann von dem System zum Datenabruf bei Telekommunikations- und Internetunternehmen.

Die Snowden-Dokumente legen nahe, dass es regelrechte Abkommen mit den Internetunternehmen gegeben hat, in denen diese zusagten, die NSA mit den gewünschten Informationen zu versorgen.⁹ Dies erschien glaubwürdig, denn die Kooperationsbeziehungen amerikanischer Geheimdienste mit Kommunikationsunternehmen reichen Jahrzehnte zurück – und sie sind seit langem bekannt.¹⁰ In den 1970er Jahren hatte die NSA mit den wichtigsten Telekommunikationsunternehmen Vereinbarungen geschlossen, in denen diese sich verpflichteten, Kopien sämtlicher – auch inneramerikanischer – Telegramme an den Dienst zu liefern.¹¹ Die Zusammenarbeit zwischen der NSA und den Telekommunikationsunternehmen setzt sich bis in die Gegenwart fort, wie wir heute wissen. Für die Glaubwürdigkeit der Meldungen über enge Kooperationsbeziehungen von NSA und Internetunternehmen sprechen zudem Mitteilungen anderer Whistleblower, etwa des ehemaligen technischen NSA-Direktors William Binney, die sich auf die Zeit unmittelbar nach den Anschlägen von 2001 beziehen.¹²

Trotzdem wiesen die in der NSA-Präsentation genannten Unternehmen die Behauptungen über die vertragsmäßigen Kooperationsbeziehungen vehement zurück. In den Tagen nach der ersten Snowden-Veröffentlichung gaben die betroffenen Unternehmen nahezu gleich lautende »Dementis« heraus. Diese waren geschickt formuliert, ihre Wortwahl ist verräterisch: So schreiben etwa Google-Gründer Larry Page und der Chefjustiziar des Unternehmens David Drummond im offiziellen Google-Firmen-Blog vom 7. Juni 2013¹³: »Erstens sind wir keinem Programm beigetreten, das der US-Regierung … einen direkten Zugang zu unseren Servern geben würde. Tatsächlich hat die US-Regierung keinen direkten Zugang oder eine ›Hintertür‹ zu den in unseren Rechenzentren gespeicherten Informationen. … Zweitens stellen wir Regierungen Benutzerdaten nur in Übereinstimmung mit dem Gesetz zur Verfügung. …. Presseberichte, dass Google offenen Zugang zu unseren Benutzerdaten bietet, sind falsch.«

Die Formulierungen der Google-Chefetage erweisen sich – ebenso wie ähnliche Erklärungen anderer beschuldigter Unternehmen – als ziemlich schwaches Dementi. Wenn etwa behauptet wird, es gäbe »keinen direkten Zugang zu unseren Servern« provoziert dies die Frage, ob es denn indirekte Zugänge gibt. Betreibt etwa die NSA Server, auf denen die für sie interessanten Daten landen? Zudem wäre es mit dem »Dementi« durchaus vereinbar, dass das Unternehmen der NSA auf freiwilliger Basis technische Schnittstellen zur Überwachung zur Verfügung gestellt hat, denn eine entsprechende Verpflichtung hierzu hat das Unternehmen bisher nicht. Wenn weiter ausgeführt wird, Benutzerdaten würden »nur in Übereinstimmung mit dem Gesetz zur Verfügung« gestellt, ist auch dies keine wirkliche Entwarnung. US-Unternehmen müssen schon dann Daten herausgeben, wenn vorstellbar ist, dass Terroristen entsprechende Dienste nutzen könnten. Besonders schwach sind die gesetzlichen Begrenzungen, wenn die Daten aus dem Ausland stammen.

Dass »offizielle« staatliche Anfragen – unabhängig von ihrer Rechtsgrundlage – nur einen Teil des tatsächlichen nachrichtendienstlichen Zugriffs auf die Daten abdecken, kann heute niemand mehr ernsthaft bestreiten. Britische und amerikanische Nachrichtendienste erheben auch außerhalb ihrer gesetzlich geregelten Inlandsaktivitäten Daten, etwa indem sie Transatlantikkabel anzapfen. Sie dringen in Computersysteme ein und überwachen interne Netze von Unternehmen und ausländischen Regierungen. Die NSA und der britische Computergeheimdienst GCHQ verfügen über derartige Fähigkeiten und sie setzen sie auch ein. So konnten etwa Eingaben europäischer, asiatischer, südamerikanischer oder afrikanischer Nutzer bei US-Suchmaschinen, E-Mails und in sozialen Netzwerken wie Facebook abgefangen und protokolliert werden. Die riesigen Schattendatenbanken haben aus Sicht der Geheimdienste den unschätzbaren Vorteil, dass sie sich auch ohne Kooperationsbereitschaft der Internetunternehmen auswerten lassen.

Die Bemühungen von Unternehmen und Nutzern, ihre Daten durch Verschlüsselung gegen heimliches Mitlesen zu schützen, wurden von den Nachrichtendiensten frühzeitig als Bedrohung erkannt. Die Unternehmen fühlten sich auf der sicheren Seite, weil sie ihren internen Datenverkehr überwiegend über besondere, extra für diesen Zweck angemietete Leitungen und nicht über das leicht zu überwachende öffentliche Internet abwickelten. Damit lagen sie allerdings falsch: Um das drohende »Erblinden« zu verhindern, investierten die NSA und der britische GCHQ große Summen in Forschungsvorhaben und in Kooperationsbeziehungen zu privaten Dienstleistern. Offenbar eine ertragreiche Investition, folgt man den stolzen Bekundungen in den streng geheimen Fortbildungsmaterialien für den Spionagenachwuchs. So ist es der NSA offenbar gelungen, in die internen Netze verschiedener Internetunternehmen einzudringen.¹⁴ Damit bekamen sie vollen Zugriff auf die bei den Unternehmen gespeicherten Daten. Erleichtert wurde ihnen das Überwachungsgeschäft dadurch, dass die Datenübertragung zwischen den Servern in den internen Netzen unverschlüsselt erfolgte. So konnten die NSA und der GCHQ sich ein umfassendes Bild von den Nutzeraktivitäten machen, vorbei an den »offiziellen« PRISM-Mechanismen. Suchanfragen, E-Mails, elektronische Landkarten und Routenplaner, Office-Dokumente, Kalender und Kontaktlisten: Alles konnte in Echtzeit registriert und ausgewertet werden.

Die Berichte, dass es den Geheimdiensten gelungen war, in die abgeschotteten internen Kommunikationsstrukturen von Google & Co. einzudringen, führten zu heftigen Reaktionen der amerikanischen Internetwirtschaft. In einer gemeinsamen Erklärung¹⁵ forderten Apple, Facebook, Microsoft, Google, Twitter, AOL, Yahoo und LinkedIn eine drastische Reduktion der staatlichen Überwachung. Insbesondere solle der Datenzugriff auf bestimmte Benutzer begrenzt werden. Alle staatlichen Überwachungsaktivitäten müssten einer unabhängigen Kontrolle unterworfen werden. Zudem verlangten die Unternehmen das Recht, Angaben über die Anzahl und Natur staatlicher Anfragen zu veröffentlichen.

Diese Intervention der Big Player der US-Internetwirtschaft beeindruckte die US-Regierung offenbar stärker als die Proteste ausländischer Regierungen – vielleicht auch deshalb, weil Google, Facebook und Twitter Barack Obama in den Präsidentschaftswahlkämpfen 2008 und 2012 massiv unterstützt hatten. Zudem waren die Berichte über die ungezügelten NSA-Abhöraktivitäten für die US-Internetwirtschaft nicht gerade geschäftsfördernd. Analysten berechneten die zu erwartenden Schäden für die amerikanischen Internetfirmen auf einen hohen zweistelligen Milliarden-Dollar Betrag. So bezifferte eine von der unabhängigen Washingtoner Information Technology and Innovation Foundation (ITIF) im August 2013 vorgelegte Studie den für US-Cloud-Anbieter durch die Snowden-Affäre innerhalb von drei Jahren zu erwartenden Umsatzverlust auf 22 bis 35 Milliarden. US-Dollar.¹⁶ Zahlen aus dem Frühjahr 2014 deuten an, dass die tatsächlichen Verluste sogar noch größer sind.

Metadaten als neue Goldader

Wenn von Überwachung die Rede ist, denken wir zunächst an Inhalte: An Telefonate, die belauscht und aufgezeichnet werden, an kopierte Briefe, Telefaxe oder E-Mails. Heute findet diese Inhaltsüberwachung in größerem Umfang statt als jemals zuvor. Wichtiger ist aber inzwischen die Auswertung der sogenannten Metadaten. Dieser Begriff umschreibt alle Daten, die bei der digitalen Kommunikation anfallen – mit Ausnahme der Inhalte. Zu den Metadaten gehören insbesondere die Verbindungsdaten der Telekommunikation (wer hat mit wem wann telefoniert), die Standortdaten von Mobilfunkgeräten, die Adressen angesteuerter Webseiten. Metadaten fallen bei jeder elektronischen Interaktion an. Ohne sie gäbe es kein digitales Mobilfunknetz und kein Internet.

Die Metadaten haben auch aus Sicht der Überwacher ein unschätzbares Potential:

– Sie können vollautomatisch erfasst und ausgewertet werden,

– das Datenvolumen ist nicht annähernd so groß wie dasjenige der Inhaltsdaten,

– aus ihnen können umfassende Beziehungs- und Verhaltensprofile abgeleitet werden.

Zudem können Metadaten immer effizienter verknüpft und bewertet werden. Angesichts drastisch gesunkener Preise für Speicherchips können gewaltige Datenmengen im schnellen Hauptspeicher von Computersystemen verarbeitet werden. In-Memory-Datenbanken, bei denen alle Operationen im Hauptspeicher ablaufen, sind um Dimensionen schneller und leistungsfähiger als klassische Datenbanksysteme. Bei den älteren Systemen wurden die Daten auf externen Speichermedien gehalten und nur temporär in den Hauptspeicher übertragen, was sehr viel mehr Zeit in Anspruch nahm und die Auswertung verlangsamte. Mit der neuen Technik können Verknüpfungen praktisch in Echtzeit vorgenommen werden – ein für private Datenjäger und für Nachrichtendienstler gleichermaßen paradiesischer Zustand: Daten aus unterschiedlichen Quellen werden zusammengeführt und auf Auffälligkeiten untersucht. Im Trefferfall werden auch die Inhalte nach Möglichkeit ebenfalls in Echtzeit analysiert. Metadaten gelten deshalb zu Recht als ergiebigste »Goldader« der Überwacher.

Sie geben Aufschluss über unsere Gewohnheiten und Freunde, und sie verraten unseren Aufenthaltsort. Aus ihnen kann abgeleitet werden, wer sich für welche Inhalte interessiert. Nachvollziehen lässt sich auch, wer ärztlichen Rat in Anspruch nimmt oder bei einer Suchtberatungsstelle Hilfe sucht. Aus gutem Grund stehen die Metadaten deshalb in Europa unter dem Schutz des Fernmeldegeheimnisses. Nicht so in den USA: Hier beschränkt sich das Fernmeldegeheimnis auf die Kommunikationsinhalte. US-Gerichte vertreten bis heute die Position, dass die Nutzer von den Unternehmen nicht die Geheimhaltung der Metadaten erwarten (»no reasonable expectation of privacy«).

Seit 2001 fordern und erhalten das FBI und die NSA sämtliche Metadaten von den wichtigsten US-Telefongesellschaften. Zunächst erfolgte die Herausgabe ohne gerichtliche Genehmigung. Seit einigen Jahren erlässt der für die Genehmigung von Überwachungsmaßnahmen zuständige FISA-Court entsprechende Anordnungen. Da die Anordnungen gesetzlich auf 90 Tage begrenzt sind, werden die Datenanforderungen jeweils kurz vor Fristablauf erneuert. Nach offiziellen Angaben bleiben die gesammelten Metadaten mindestens fünf Jahre bei der NSA gespeichert.¹⁷ Zeitweise umfasste die inneramerikanische Metadatensammlung auch E-Mails und sonstige Verkehrsdaten aus Internetdiensten.¹⁸

Vertreter der US-Administration verheimlichten bis zu den Presseveröffentlichungen im Juni 2013¹⁹ die Existenz der umfassenden inneramerikanischen Metadatensammlung. So antwortete der Geheimdienstkoordinator (Director of National Intelligence) James R. Clapper noch während eines Hearings des Kongress-Geheimdienstausschusses am 12. März 2013 auf die Frage von Senator Ron Wyden, ob die NSA irgendwelche Daten über hunderte Millionen Amerikaner gesammelt habe, mit dem so klaren wie unwahren Statement »No, Sir.«²⁰ Wyden hakte nach: »Wirklich nicht?« Antwort: »Es gibt Fälle, in denen solche Daten vielleicht versehentlich gesammelt werden könnten, aber nicht bewusst«. Wegen dieser offensichtlichen Fehlinformation hat der Republikaner James Sensenbrenner im Dezember 2013 eine formale Beschwerde bei Generalstaatsanwalt Eric Holder eingelegt.²¹ Die bewusste Falschaussage gegenüber einem parlamentarischen Ausschuss ist auch nach US-Recht strafbar.

Noch robuster als beim Sammeln inneramerikanischer Metadaten geht die NSA bei der Erfassung von Metadaten von Nicht-Amerikanern vor. Ohne gerichtliche Anordnung überwacht werden auch US-Bürger, bei denen angenommen wird, dass sie sich im Ausland aufhalten. Rechtlich weitgehend ungeschützt sind die Daten, die »Non-US-Persons« auf Servern in den USA ablegen, und die, deren Kommunikationsverbindungen über US-Netzkonten geleitet werden.

Die NSA profitiert auch massiv von den Überwachungsaktivitäten ausländischer Nachrichtendienste. Der bedeutsamste Datenlieferant ist der britische Computergeheimdienst GCHQ, der viele der im Rahmen des Programms Tempora von ihm erfassten Daten an die NSA weitergibt. Auch andere befreundete Nachrichtendienste versorgen die NSA mit Daten-Rohmaterial.

Zu den Datenlieferanten der NSA gehört auch der Bundesnachrichtendienst (BND). Anfang Juni 2013 berichteten die Medien darüber, dass der BND massenhaft in Deutschland gesammelte Verbindungsdaten der Telekommunikation an die NSA weitergegeben habe – die Rede war von 500 Millionen Metadaten in einem Monat.²² Das entsprechende Programm laufe bereits seit 2007. Die Bundesregierung bestätigte zwar, dass der BND am Standort Bad Aibling Metadaten an die NSA weitergegeben habe. Der BND gehe aber davon aus, dass die in den Medien genannten Datenübermittlungen der Fernmeldeaufklärung in Afghanistan zuzuordnen seien. Dies habe die NSA zwischenzeitlich bestätigt. »Der BND arbeitet seit über 50 Jahren erfolgreich mit der NSA zusammen, insbesondere bei der Aufklärung der Lage in Krisengebieten, zum Schutz der dort stationierten deutschen Soldatinnen und Soldaten und zum Schutz und zur Rettung entführter deutscher Staatsangehöriger.«²³ Vor der Weiterleitung würden diese Daten in einem gestuften Verfahren um eventuell darin enthaltene personenbezogene Daten deutscher Staatsbürger bereinigt. Bemerkenswert ist an diesem Eingeständnis nicht nur, dass der BND millionenfach vertrauliche Daten auf fremdem Territorium sammelt. Noch bedenklicher ist es, dass der deutsche Auslandsnachrichtendienst diese Daten in großem Umfang an die NSA weiterleitet. Angesichts der riesigen Datenmengen, die übermittelt werden, ist nicht vorstellbar, dass der BND im Einzelfall prüft, ob die Voraussetzungen für eine Datenübermittlung vorliegen.

Auch der Hinweis der Bundesregierung, dass vor der Übermittlung diejenigen Daten, die deutsche Kommunikationsteilnehmer betreffen, vor der Übermittlung herausgefiltert würden, beruhigt nicht wirklich. Denn weder Telefonnummern noch die E-Mail-Kennungen ermöglichen eine sichere Unterscheidung nach Staatsangehörigkeit und Land. Wie soll es dem BND etwa möglich sein, die Daten eines deutschen Nutzers herauszufiltern, der in seinem Mobiltelefon eine ausländische Simkarte benutzt oder Kunde bei einem internationalen E-Mail-Anbieter ist, dessen Domainname auf ».com« und nicht auf ».de« endet? Zudem werden die Daten von Bürgern anderer EU-Staaten offenbar nicht aus dem Bestand ausgefiltert – jedenfalls ist davon in der Antwort der Bundesregierung nicht die Rede. Da die übrigen mit der NSA »befreundeten« Nachrichtendienste – wie die Snowden-Papiere belegen – ähnlich wie der BND verfahren, gelangen so massenweise Daten von Bürgern aus ganz Europa in die »Obhut« des amerikanischen Dienstes.

Datamining weltweit

Was nützen Datenberge, die niemand erschließen kann? Je mehr Daten gesammelt werden, desto wichtiger werden die Instrumente, mit denen sie sich auswerten lassen. Die früher für aussichtslose Fälle gebrauchte Metapher von der Suche der Nadel im Heuhaufen stimmt in Zeiten von »Big Data« offenbar nicht mehr. Heute gilt – nicht nur bei den Geheimdiensten – die Devise: Je mehr Daten, desto besser. So wird der stellvertretende US-Justizminister James Cole mit der Aussage zitiert »Wenn Sie eine Nadel im Heuhaufen finden wollen, brauchen Sie einen Heuhaufen«.²⁴ Der bis April 2014 amtierende NSA-Chef Keith B. Alexander hatte dieselbe Metapher schon 2008 verwendet, als es um die Erfassung von Daten aus dem Irak ging: »Statt nach einer einzigen Nadel im Heuhaufen zu suchen sollten wir den ganzen Heuhaufen nehmen. Alles sammeln, markieren, speichern… Was immer du brauchst, kannst du darin suchen.«²⁵

Bei dem unter der Bezeichnung X-Keyscore bekannt gewordenen Programm handelt es sich um ein solches »mächtiges Werkzeug zur Analyse abgehörter Daten«.²⁶ Eine NSA-Präsentation aus dem Snowden-Fundus beschreibt X-Keyscore als Instrument, mit dem sich beliebige Daten – Metadaten und Inhalte – verknüpfen und auswerten lassen. Die Auswertung von Nutzereingaben könne sogar in Echtzeit erfolgen. Dies setzt allerdings voraus, dass auf den überwachten IT-Systemen entsprechende Software zur Echtzeit-Überwachung läuft. Im Regelfall dürfte es sich dabei um Systeme handeln, die mittels »Trojanern« manipuliert wurden. X-Keyscore kann sehr umfangreiche, unterschiedlich strukturierte und auf weltweit verteilten Servern gespeicherte Datenmengen verknüpfen und aufbereiten. Die Datenhaltung erfolgt auf vernetzten LINUX-Servern, die am Ort der Abhöreinrichtungen stehen. Diese Systeme können zusammengeschaltet und über eine Web-Schnittstelle ausgewertet werden. Sofern die Verarbeitungs- oder Übertragungskapazitäten für die Auswertung der Datenströme in Echtzeit nicht ausreichen, kann das System die Verarbeitungstiefe reduzieren und sich darauf beschränken, ungewöhnliche Muster (»Anomalien«) zu erkennen. Der Rest wird zwischengespeichert, um ihn später einer genaueren Analyse zu unterziehen.

X-Keyscore kann aus den Datenmassen anhand unterschiedlichster Suchkriterien die für Nachrichtendienste interessanten Daten herausfiltern. Als Kriterien nennt die NSA-Darstellung E-Mail-Adressen, Autorenangaben und andere Eigenschaften von Dokumenten, Telefonnummern, Suchbegriffe der Web-basierten Suchmaschinen und Landkartendienste. Auch nach bestimmten Verhaltensmustern könnten die Daten selektiert werden, etwa nach der Verwendung einer für eine Region untypischen Sprache. So wäre es z. B. möglich, Nutzer mit deutschen IP-Adressen zu identifizieren, die auf arabisch kommunizieren.

Auf besonderes Interesse der NSA stoßen offenbar Virtual Private Networks (VPN), die Behörden und Firmen zur Abschottung ihrer internen Kommunikation verwenden. VPN nutzen zwar das Internet zur Datenübertragung, die übertragenen Daten sind aber verschlüsselt. Zwischen den im VPN zusammengeschlossenen Systemen bestehen »virtuelle Datentunnel«, die auf dem Transportweg nicht überwacht werden können. Wie wichtig der NSA die Identifikation der an VPN angeschlossenen Computer ist, belegen die Schulungsunterlagen zu X-Keyscore. Danach kann das Programm die Verwendung von VPN lokalisieren (Beispiel aus den Snowden-Dokumenten: »Show me the VPN startups in country X, and give me the data so I can decrypt and discover the users«). Schließlich können auch die genauen Eigenschaften bestimmter IT-Systeme (»Fingerprints«) in X-Keyscore geladen werden. Diese technischen Fingerprints liefern Ansatzpunkte dafür, wie sich die entsprechenden Computer überwachen und per Trojaner infiltrieren lassen.

Zu welchen Konditionen die NSA das System X-Keyscore befreundeten Geheimdiensten zur Verfügung stellt, ist nicht öffentlich bekannt. Zu den Kunden zählen jedenfalls auch das deutsche Bundesamt für Verfassungsschutz (BfV) und der Bundesnachrichtendienst (BND). Das BfV testet die Software nach Mitteilung der Bundesregierung, um die im Rahmen der gesetzlichen Befugnisse nach dem G10-Gesetz erlangten Daten aus der Individualüberwachung der Telekommunikation aufzubereiten. Seit 2007 setzt zudem der BND das Programm in seiner Außenstelle in Bad Aibling ein und führt Tests in zwei weiteren Außenstellen durch.²⁷

Der britische Datenstaubsauger

Großbritannien ist eine der größten Drehscheiben für den internationalen Datenverkehr. Viele Transatlantikkabel verlaufen über das Vereinigte Königreich oder nahe der britischen Küsten. Der Computergeheimdienst GCHQ verschafft sich unter dem Codewort »Tempora« systematisch Zugang zu Glasfaserkabeln, die Europa mit den Vereinigten Staaten und mit anderen Weltregionen verbinden.²⁸ Für die Überwachung der Unterseekabel nutzt der GCHQ seine Zugangsmöglichkeiten zu den Relaisstationen, in denen die übertragenen Signale verstärkt werden. Die Betreiber der Stationen sind zur Zusammenarbeit mit dem britischen Geheimdienst verpflichtet. Außerdem ist es den Briten offenbar gelungen, auch in Küstennähe verlaufende Verbindungen anzuzapfen. Ob der GCHQ sich dabei – wie öffentlich spekuliert wird – im Wege der »Amtshilfe« amerikanischer Spezial-U-Boote bedient, die nach Einschätzung von Geheimdienstexperten in der Lage sind, Unterwasserkabel anzuzapfen²⁹, ist nicht belegt.

Nach den veröffentlichten Unterlagen hat sich der Geheimdienst Zugang zu mehr als 200 Glasfaserkabeln verschafft, jedes mit einer Übertragungskapazität von 10 Gigabit pro Sekunde. Auf diese Weise könnten 21 Petabytes pro Tag abgefischt werden, was in etwa der 192-fachen Informationsmenge aller Bücher der British Library entspricht.

Wenig bescheiden bezeichnet der GCHQ wesentliche Komponenten seines erfolgreichen Überwachungsprogramms als »Mastering the Internet« und »Global Telecoms Exploitations«. Die Datensammlung umfasst Telefonate, E-Mails, Facebook-Einträge und weitere Angaben darüber, wie sich Internetnutzer im Netz bewegen, etwa welche Webseiten sie aufrufen. Nach Einschätzung von Edward Snowden handelt es sich bei Tempora »um das größte Programm zur verdachtslosen Überwachung in der menschlichen Geschichte … Sie (die Briten) sind schlimmer als die Vereinigten Staaten.«³⁰ Mit seinen gewaltigen Überwachungskapazitäten ergänzt das vom GCHQ ausgelegte Tempora-Schleppnetz in idealer Weise das von der NSA betriebene Programm PRISM, das auf die Daten von Internetunternehmen zugreift.

Auch die Medienberichte über Tempora sind inzwischen im Wesentlichen bestätigt. So beteuerte GCHQ-Direktor Sir Iain Lobban bei einem öffentlichen Hearing des Geheimdienstausschusses des britischen Parlaments: »Wir verschwenden unsere Zeit nicht damit, die große Mehrzahl der Telefonate abzuhören oder E-Mails zu lesen«, aber leider täten »Terroristen und Kriminelle uns nicht den Gefallen«, nur eine bestimmte Methode der Kommunikation zu verwenden. Deshalb bliebe den Diensten gar nichts anderes übrig, als wahllos alles abzugreifen, was sie kriegen können. Das Internet sei ein »riesiges Heufeld, und von den uns zugänglichen Teilen des Felds versuchen wir so viel wie möglich Heu zu ernten, soweit wir der Auffassung sind, dass sich dort Nadeln oder Teile von Nadeln finden lassen, die uns interessieren und unsere Mission voranbringen könnten.«³¹ Die Auswertung der Daten finde aber in engen rechtlichen Grenzen statt. Schließlich durfte eine Ehrenerklärung des Geheimdienstchefs für seine Mitarbeiter nicht fehlen: Beim GCHQ würden ausschließlich Menschen arbeiten, die nicht in E-Mails oder Telefonaten unschuldiger Menschen stöbern wollen. Geheimdienstmitarbeiter würden eher den Job quittieren als Unschuldige auszuspionieren. Ob er da wohl richtig liegt?

Die gewaltige »Heuernte« teilt der GCHQ freizügig mit der NSA. Die Tatsache, dass dafür erhebliche Mittel – mehr als 100 Millionen britische Pfund jährlich – von der NSA an den GCHQ überwiesen werden³², spricht dafür, dass es sich hier um eine Auftragsarbeit für die amerikanische Seite handelt. Zumindest ist es ein Kooperationsprojekt zu beiderseitigem Nutzen, wobei die NSA bestimmt, wo es langgeht. Die NSA-Leute hatten offenbar sehr klare Vorstellungen davon, was die Briten liefern sollten. Soweit diese Erwartungen erfüllt wurden, waren die Amerikaner bereit, sich dafür finanziell erkenntlich zu zeigen.

Nichts bleibt geheim

Über viele Jahre war es verhältnismäßig einfach, den Datenverkehr im Internet abzuhören. Die Datenübertragung erfolgte fast durchgängig unverschlüsselt. Jeder, der Zugang zu den Datenströmen hatte, konnte die Daten mitlesen oder kopieren. Bei der Entwicklung des Internets waren die Entwickler der Maxime gefolgt, das Netz möglichst robust zu gestalten, so dass es selbst bei Ausfällen vieler Netzkonten oder anderer Komponenten noch funktioniert. Vertraulichkeit war kein Thema, zumal das Netz in seinen Anfangsjahren ganz überwiegend zur Kommunikation der Wissenschaftscommunity genutzt wurde. Die Forscher setzten dabei auf die Ehrlichkeit aller Beteiligten und dachten nicht an die Möglichkeit, dass ihre Kommunikation einmal flächendeckend von Nachrichtendiensten überwacht werden könnte. Weil das Internet inzwischen zur Plattform für kommerzielle und staatliche Aufgaben wurde, rückt das Thema Sicherheit immer stärker in den Vordergrund. Zur gestiegenen öffentlichen Aufmerksamkeit für die IT-Sicherheit tragen die sich häufenden Meldungen über Daten- und Identitätsdiebstahl bei. Neue Schutzkonzepte und Instrumente sollen den Datenmissbrauch verhindern. Dabei geht es insbesondere um die Abschottung interner Netze vom Internet und um die verschlüsselte Datenübertragung.

Zwar waren die Kampagnen von Datenschützern und Netzaktivisten, die Nutzer zum besseren Schutz ihrer Daten anzuhalten, zunächst nicht allzu erfolgreich. Nur wenige private Internetnutzer installierten zusätzliche Software, um ihren E-Mail-Verkehr zu verschlüsseln: Im Dezember 2013 wurden gerade einmal vier Prozent aller E-Mails verschlüsselt übertragen.³³ Anders liegen die Dinge bei Unternehmen, die sich um die Vertraulichkeit ihrer Betriebs- und Geschäftsgeheimnisse sorgen. Längst werden nicht nur E-Banking-Daten verschlüsselt, sondern auch viele andere Alltagstransaktionen. Im Dezember 2013 waren bereits 23 Prozent aller über das Web übertragenen Datenpakete verschlüsselt³⁴, mit stark zunehmender Tendenz. Es ist absehbar, dass sich die verschlüsselte Kommunikation zum Standard entwickelt, nicht zuletzt wegen der Berichte über geheimdienstliche Überwachungsaktivitäten. Von den Bemühungen der Internetwirtschaft, kommerzielle Daten besser zu schützen, profitieren auch die privaten Internetnutzer. Sie können heute viele Internetangebote verschlüsselt in Anspruch nehmen.

Die Bemühungen um mehr IT-Sicherheit machen es nicht nur Betrügern und bösartigen Hackern schwer, sie verändern auch die Rahmenbedingungen für die geheimdienstliche Überwachung. Solange nur sehr wenige Internetnutzer ihre Daten verschlüsselten, konnten Nachrichtendienste die kryptierten Daten aussondern und gezielt an der nachträglichen Entschlüsselung arbeiten. Das Verfahren, alles im Klartext mitzulesen und nur die verschlüsselte Kommunikation besonders unter die Lupe zu nehmen, funktioniert aber nicht mehr, wenn immer mehr Daten verschlüsselt übertragen werden. Die Nachrichtendienste sind sich darüber im Klaren, dass leistungsstarke, einwandfrei implementierte Verschlüsselungsverfahren einen effektiven, auch für sie kaum überwindbaren Schutz der Daten gewährleisten. Deshalb haben sie in den letzten Jahren viel Geld investiert, um die Verschlüsselung zu unterlaufen. Die NSA und der GCHQ starteten unter den Codewörtern BULLRUN, Edgehill und Muscular verschiedene Initiativen, um die Bemühungen von Internet-Anbietern und Nutzern zum kryptographischen Schutz ihrer Daten zu durchkreuzen. Ein großer Teil der Mittel floss dabei in die Kassen von IT-Unternehmen, die Produkte zur kommerziellen Datenverschlüsselung anbieten. Als Gegenleistung lieferten diese Unternehmen Knowhow und Technik, mit der sich die von ihnen entwickelten Schutzmechanismen umgehen lassen. So bestätigte Art Coviello, Chef des Unternehmens RSA, eines der weltweit wichtigsten Hersteller von Verschlüsselungstechnik, mit der NSA zusammengearbeitet zu haben. Sein Unternehmen habe – ebenso wie andere US-Technikunternehmen – zum Wohle der Verteidigung des Landes schon seit langem mit der NSA kooperiert. Dies sei »kein Problem« und im übrigen schon lange bekannt. Der von RSA jahrelang als Standardeinstellung in seinen Produkten angebotene schwache Verschlüsselungsalgorithmus sei auf Verlangen der US-Regierung verwendet worden: »Die US-Regierung verlangte diesen Algorithmus. Sie war damals unser größter Kunde, und wir taten, was der Kunde wünschte.«³⁵ Der angesehene amerikanische Kryptologie- und Security-Experte Bruce Schneier warf der US-Regierung vor, ihre Aktivitäten zur Kompromittierung der Datenverschlüsselung seien Verrat am Internet und seinen Nutzern. Fundamentale gesellschaftliche Vereinbarungen seien gebrochen worden. Auch den ethischen Beteuerungen der IT-Konzerne könne man nicht trauen.³⁶

Lange Zeit wurde in Exportbestimmungen die maximale Schlüssellänge in für das Ausland bestimmten Geräten und Diensten begrenzt. Die US-Regierung wollte so die Stärke der Verschlüsselung künstlich einschränken und der NSA das Mitlesen der verschlüsselten Daten ermöglichen. Eine weitere, 1993 von der US-Regierung gestartete Gesetzesinitiative lief unter dem Stichwort »Clipper-Chip«. Die Anbieter von Mobilfunkgeräten sollten dazu verpflichtet werden, bestimmte Verschlüsselungschips einzubauen, zu denen die NSA bei Bedarf einen Nachschlüssel bekommt.³⁷ Sowohl der Clipper-Chip als auch die Export-Begrenzungen wurden Ende der 1990er Jahre stillschweigend aufgegeben. Die Gründe liegen auf der Hand: Die Vorgaben waren leicht zu umgehen, und sie führten zudem dazu, dass im Internet zunehmend Verschlüsselungssysteme aus anderen Ländern verwendet wurden, auf die US-seitig kein Einfluss genommen werden konnte. Damals entschied sich die US-Regierung dafür, fortan auf raffiniertere Methoden zu setzen, insbesondere auf die Manipulation der zur Verschlüsselung verwendeten Programme. Seither ging es vor allem darum, digitale Systeme mit Schwachstellen und Hintertüren zu versehen, die von den Diensten bei Bedarf geöffnet werden können. Die NSA und der GCHQ haben sich dies einiges kosten lassen – von jährlich 250 Milliarden US-Dollar ist in den Snowden-Papieren die Rede.

Wie wir jetzt wissen, waren NSA und GCHQ hier ziemlich erfolgreich. So berichtete die New York Times, der NSA sei es gelungen, in die verschlüsselten Kommunikationssysteme von großen Fluggesellschaften, das Netz eines für Nuklearfragen zuständigen ausländischen Ministeriums und in die Netzwerke von Internetdiensten einzudringen, indem sie deren virtuelle private Netzwerke (VPN) geknackt hätte. Bis 2010 sei der GCHQ in dreißig VPNs eingebrochen, der Dienst strebe zudem an, weitere 300 Zielsysteme zu infiltrieren. Wenn man bedenkt, dass in einem VPN tausende Rechner einer Firma oder einer staatlichen Stelle zusammengeschaltet sein können, ist dies ein ambitioniertes und zugleich gefährliches Projekt. Bereits in einem Dokument aus dem Jahr 2010 rühmen sich die Dienste, auch verschlüsselte Internettelefonate abhören zu können. Ferner komme man bei der Entschlüsselung des Standardverfahrens zur Verbindungssicherung im Internet, dem SSL-Standard, immer schneller voran.³⁸

Ein Weg zu den nur auf dem Verbindungsweg verschlüsselten Daten besteht für die NSA darin, von den Unternehmen die Herausgabe der für die Chiffrierung verwendeten Schlüssel zu verlangen. Von besonderem Interesse sind hier die Trust-Center. Sie sind die wohl wichtigsten Vertrauensanker für die Sicherheit von Verfahren zur Datenverschlüsselung und für die elektronische Signatur digitaler Daten. Wenn Trust-Center mit dem Geheimdienst zusammenarbeiten, kompromittieren sie weite Teile der Sicherheitsinfrastrukturen. Die Trust-Center generieren die SSL-Schlüssel und geben sie an die Betreiber von Websites weiter. Wenn ein Geheimdienst den Hauptschlüssel erfährt, kann er damit die verschlüsselt übertragenen Daten mitlesen.

Nach Medienberichten hat die NSA versucht, an diese Hauptschlüssel heranzukommen. Einige Konzerne hätten deren Herausgabe verweigert. Während Facebook und Google entschieden bestritten, ihre Schlüssel herausgegeben zu haben, wollten sich AOL, Apple, AT&T, Yahoo und Verizon dazu nicht äußern.³⁹ Nach anderen Medienberichten soll Microsoft der NSA dabei geholfen haben, die Verschlüsselung von Daten seiner Nutzer zu umgehen. So habe das Unternehmen bereits vor dem Start des neuen Mail-Portals Outlook.com sichergestellt, dass die NSA stets auf die dort verarbeiteten Informationen zugreifen kann. Die Kooperation betreffe auch den Microsoft-Cloud-Dienst SkyDrive und den Sprachtelefoniedienst Skype, den Microsoft 2011 übernommen hatte. Nach der Übernahme durch Microsoft seien Abhörschnittstellen in den Dienst eingebaut worden.⁴⁰ Dies wäre insbesondere deshalb pikant, weil Skype bis dahin als nahezu abhörsicher galt. Microsoft-Vertreter erklärten, dass man auch bei den genannten Diensten gesetzliche Vorgaben zu beachten habe. Gemeint sind damit wohl die Vorgaben des Communications Assistance for Law Enforcement Act (CALEA), der die Anbieter öffentlicher Telekommunikationsdienste dazu verpflichtet, den US-Sicherheitsbehörden über eine automatisierte Schnittstelle den Zugriff auf die Kommunikation zu ermöglichen, und FISA, das Gesetz zur Überwachung der Auslandskommunikation.

Viele Schlüssel gewinnt die NSA zudem offenbar, indem sie in die internen Systeme der Unternehmen oder anderer Institutionen eindringt. Alle – legal oder auf Umwegen – erlangten Schlüssel sollen in einer Datenbank landen, auf die die NSA-Mitarbeiter bei Bedarf automatisiert zugreifen können. Sofern der benötigte Schlüssel noch nicht bekannt sei, ergehe eine Anfrage an einen »key recovery service«, eine Art elektronischen Schlüsseldienst, der dann versuche, den fehlenden Schlüssel zu erlangen⁴¹ – eine Umschreibung von Cyber-Angriffen gegen diejenigen, die ihre Daten zu schützen versuchen.

⁴²