„Hacker*innen können ohne grosse Probleme auf die Aufnahmen von Über­wa­chungs­ka­meras zugreifen.“

Das Lamm: Hernâni Marques, welche tech­ni­schen Möglich­keiten stehen Betreiber*innen von Über­wa­chungs­ka­meras heute zur Verfügung?

Hernâni Marques: Man muss hierbei zwei Ansätze unter­scheiden. Der erste Ansatz ist es, jemand Bestimmtes zu suchen, etwa Terrorist*innen. Deren Daten können dann in das System einge­speist werden, um die Personen ausfindig zu machen. Das funk­tio­niert mit einer recht guten Über­ein­stim­mungs­wahr­schein­lich­keit. Wenn man genau weiss, wen man sucht, dann ist es relativ einfach, diese Person auch zu finden — sofern sie sich im Wissen darum nicht bemüht, sich zu verschleiern. Eine leichte Maskie­rung kann bereits reichen, um sich den Such­mu­stern zu entziehen.

Und der zweite Ansatz?

Der andere Ansatz ist derje­nige der Massen­über­wa­chung: das Suchen nach Mustern, also etwa Leuten, die ein wenig links oder rechts aussehen. Das funk­tio­niert jedoch noch erstaun­lich schlecht. Denn diese program­mierten Muster dürfen weder zu genau noch zu ungenau sein. Hier liegt das Problem: Es gibt immer entweder zu viele falsch posi­tive – oder zu wenig Treffer.

Flächen­deckende Massen­über­wa­chung ist also tech­nisch noch nicht möglich, und eine gesetz­liche Grund­lage ist auch nicht vorhanden. Also alles gut?

Nein, natür­lich nicht. Die massive Zunahme der Video­über­wa­chung im öffent­li­chen Raum ist ein weiteres Puzzle­stück des flächen­deckenden Über­wa­chungs­ap­pa­rats. Es gibt mitt­ler­weile kaum mehr einen Bereich, in dem man sich mit Sicher­heit unbe­ob­achtet bewegen kann. Das ist ein Problem. Man sollte drin­gend einmal die Grund­satz­frage stellen, was noch frei­heit­lich ist daran, jeder­zeit beschattet zu werden. Um es zynisch zu sagen: Früher hat man sich wenig­stens noch die Mühe gegeben, den Leuten verdeckt zu folgen. Heute passiert das alles auto­ma­tisch – und vor den Augen der Öffentlichkeit.

Weshalb ist das denn ein Problem? Ich habe nichts zu verbergen, und der Schweizer Staat ist ja vergleichs­weise vertrauenswürdig.

In der Vergan­gen­heit hat man schon versagt in der Schweiz. Man denke nur an die Fichen-Affäre. Ich sehe keinen Grund zur Annahme, dass es jetzt besser ist. Dieser Staat hat keinen Vertrau­ens­vor­sprung verdient. Und wenn man bedenkt, dass man in der Schweiz eigent­lich kaum ein Problem mit Krimi­na­lität hat, ist das Ausmass der betrie­benen Über­wa­chung schon sehr frag­würdig. Ich erwarte, dass inner­halb der näch­sten 10 bis 15 Jahre mehrere Skan­dale ans Tages­licht kommen werden. Immer wenn sich irgendwo derart viele Daten sammeln, passiert etwas. Minde­stens Pannen sind zu erwarten.

Wenn wir jetzt trotzdem davon ausgehen, dass die Daten bei den Zürcher Verkehrs­be­trieben (ZVV) und Co. vertrau­lich und entspre­chend den Vorgaben behan­delt werden: Heisst das, dass unsere Daten sicher sind? Sind die unknackbar für Unbefugte?

Tech­nisch ist es sicher möglich, darauf zuzu­greifen. Da kann man noch so lange sagen, dass es recht­liche Vorschriften dafür gibt, wer das Video­ma­te­rial ansehen darf und wer nicht.

Also konkret: Können Hacker*innen auf die Video­bilder der Kameras am Zürcher Central zugreifen?

Ja, sicher. Solche Daten sind kaum abzu­si­chern. Also wenn jemand mit den entspre­chenden Fähig­keiten Lust hat, mal zu sehen, was da so läuft, dann ist das nicht so eine grosse Sache. Und auch beim Zugriff auf allfäl­lige Daten­spei­cher geht es nicht darum, ob das möglich ist, sondern darum, wieviel Aufwand ein*e Angreifer*in gewillt ist, auf sich zu nehmen. Es ist wichtig, den Leuten immer wieder klar zu machen, dass sich die IT-Land­schaft in einem deso­laten Zustand befindet. Beim Chaos Computer Club haben wir noch alte Hefte aus den 80er Jahren rumliegen, der Anfangs­zeit des Inter­nets. „Daten­schleuder“ heissen die. Darin haben Leute Texte darüber veröf­fent­licht, was sie grad alles gehackt haben. Man war eupho­risch, das war ein rich­tiges Eldo­rado. Und heute sind wir wieder am genau glei­chen Punkt ange­langt. Es ist eine Katastrophe.

Also sind wir alle naiv?

Ja. Wir spei­chern immer mehr persön­liche Daten – und das auf Systemen, die gar niemand im Griff hat. In die Grund­lagen der IT wird nicht inve­stiert, statt­dessen werden immer mehr Geräte ans Internet ange­schlossen. Mit einem Laptop am Haupt­bahnhof könnte man all die Daten, die dort erhoben werden, einfach so absaugen. Das ist absurd.

Aber sind denn all diese Kameras mit dem Internet verbunden?

Nicht alle, aber viele haben eine IP-Adresse, und dann kann man die Geräte anzapfen. Es sind ja auch schon völlig skur­rile Dinge passiert. In Deutsch­land hat mal eine Gruppe unglaub­lich viele Kameras, so im Hundert­tau­sender Bereich, ange­zapft – und die dann verwendet, um Angriffe auf Websites auszu­üben. Also man könnte mit Über­wa­chungs­ka­meras theo­re­tisch Angriffe auf das E‑Voting ausüben. Das ist völlig absurd, skurril, und niemand versteht das – aber es funk­tio­niert trotzdem.

Kameras sind ja trotzdem nur die Spitze des Eisbergs. Wie sieht es den eigent­lich etwa mit Handys aus, die ja konstant Daten sammeln?

Handys können ganz einfach als Mittel der Über­wa­chung einge­setzt werden, etwa für die Stand­ortermitt­lung, aber auch als Wanzen, welche die Umge­bungs­ge­räu­sche aufzeichnen. Es gibt einen guten Grund dafür, dass die Bundesrät*innen bei Sitzungen ihr Handy nicht mit ins Sitzungs­zimmer nehmen. (lacht) Und das sind ja auch eher die Leute, die solche Prak­tiken voran­treiben. Die ganze Handy-Infra­struktur ist prak­tisch darauf ausge­richtet, dass die Handys abge­hört werden können. Ein Beispiel: Die Verschlüs­se­lung des Mobil­funk­stan­dards GSM ist offen­sicht­lich absicht­lich beson­ders schwach, damit Geheim­dienste darauf zugreifen können. Man hätte schon damals bei seiner Einfüh­rung stär­kere Verschlüs­se­lungs­ver­fahren gekannt. Aber die Tele­fon­in­fra­struktur ist tradi­tio­nell eine staats­nahe Infra­struktur, und dann spielen neben der Privat­sphäre der Benutzer*innen noch ganz andere Inter­essen mit.

Ist das nicht para­noid? Wir werden ja kaum alle jeder­zeit über­wacht. Dafür ist die Daten­menge viel zu gross.

Natür­lich sollte man nicht para­noid werden. Tatsache ist aber: Wenn man einmal wirk­lich nicht abge­hört werden will, dann sollte man das Handy am besten zuhause lassen oder minde­stens nicht mit ins Zimmer nehmen. Den Akku raus­zu­nehmen, funk­tio­niert auch. Das Handy einfach abzu­schalten, reicht aber nicht. Auch wenn das Handy ausge­schaltet ist, kann via Computer im Computer auf das Mikrofon zuge­griffen werden. Man kann es einfach nicht anders sagen: Handys sind Wanzen. Und das Bundes­ge­setz betref­fend die Über­wa­chung des Post- und Fern­mel­de­ver­kehrs (BÜPF) sowie das Bundes­ge­setz über den Nach­rich­ten­dienst lassen das sogar explizit zu. Wie das mit einem frei­heit­li­chen Staat einher­gehen soll, geht mir nicht in den Kopf.