Nach Ausschöpfung aller rechtlichen Optionen hat Riseup vor kurzem enschieden, zwei verdeckten Durchsuchungsbefehlen des FBI nachzukommen, anstatt Widerstand gegen die Vollstreckung zu leisten (was zur Inhaftierung von Riseup Birds und/oder Auflösung der Organisation Riseup geführt hätte). Der erste Durchsuchungsbefehl betraf die öffentliche Adresse eines internationalen DDoS-Erpresserrings. Der zweite richtete sich gegen einen Account, der Ransomware nutzte, um Geld zu erpressen.
Erpressung
ist eindeutig ein Verstoß sowohl gegen den Wortlaut als auch den Sinn
des sozialen Vertrags [1], den wir mit unseren Nutzer_innen schließen:
Wir halten euch den Rücken frei, solange ihr nicht ausbeuterische,
frauenfeindliche, rassistische oder hetzerische Ziele verfolgt.
Es
gab eine „gag order“ („Maulkorb-Anordnung“), die uns bis jetzt verbot,
auch nur die Existenz der Durchsuchungsbefehle offenzulegen. Dies ist
auch der Grund, weshalb wir unseren „Canary“[2] nicht aktualisieren
konnten.
Wir haben Maßnahmen ergriffen, um sicherzustellen, dass
Riseup nie wieder Zugang zum Klartext der Emails hat, die ein_e
Nutzer_in gespeichert hat. Von heute an werden alle neuen
Riseup-Email-Accounts mit einem persönlichen verschlüsselten Speicher
auf unserem Server ausgestattet, der nur für euch zugänglich ist. In der
nahen Zukunft werden wir damit beginnen, alle bestehenden Accounts in
dieses neue System zu überführen (für technische Details siehe [3]).
Um
das absolut klar zu machen, diese Art der Verschlüsselung ist keine
„Ende-zu-Ende“-Verschlüsselung eurer Nachrichten. Mit dem neuen System
von Riseup werdet ihr auch weiterhin dem Server vertrauen müssen, auf
dem ihr euch anmeldet. Für eine volle „Ende-zu-Ende“-Verschlüsselung
müsst ihr, wie zuvor, einen Mailclient nutzen der OpenPGP unterstützt
(und nicht webbasiert ist).
Wir arbeiten daran, im kommenden Jahr ein
verständlicheres „Ende-zu-Ende“-Verschlüsselungsystem herauszubringen,
aber bis das fertig ist, setzen wir persönlich verschlüsselten
Speicherplatz ein.
Solidarische Grüße,
Die Riseup Birds
Fragen
F: Seid ihr von Strafverfolgungsbehörden kompromittiert?
A:
Nein. Wir haben niemals die Installation von Hardware- oder
Software-Überwachungsystemen in irgendeinem von uns kontrollierten
System gestattet; die Strafverfolgungsbehörden haben nicht unsere Server
mitgenommen; haben nicht und hatten niemals Zugriff auf diese. Wir
würden eher aufhören Riseup zu sein, bevor wir das zuließen.
F: Könnte die Regierung euch nicht zwingen, das zu sagen?
A:
Erzwungene Aussagen sind im US-Rechssystem sehr selten. Üblicherweise
finden sie nur im Bereich des Verbraucherschutz' statt, wo die Regierung
erfolgreich Aussagen erzwungen hat (z.B. verpflichtende Warnungen vor
Zigaretten). Wie dem auch sei, nein, sie zwingen uns nicht, irgendetwas
zu sagen.
F: Warum habt ihr euren „Canary“ nicht aktualisiert?
A:
Im Winter 2016 wurde der „Canary“ nicht rechtzeitig aktualisiert. Der
„Canary“ war so breit angelegt, dass jeder Versuch, einen neuen
herauszugeben, ein Verstoß gegen die „Gag-Order“ bzgl. der Ermittlung
gegen einen DDoS-Erpresserring und eine Ransomware-Operation gewesen
wäre. Dies ist nicht wünschenswert, weil es, wenn eine Reihe von
kleineren Dingen passiert, dazu führt, dass die Nutzer_innen annehmen
müssen, etwas großes sei passiert.
F: Warum erwähnt der neue „Canary“ nicht „Gag Order“, FISA-Gerichtsanordnungen, National Security Letters usw.?
A:
Unsere ursprüngliche „Canary“-Strategie hat unseren Nutzer_innen
geschadet, indem es sie unnötig in Aufruhr versetzt hat, weil
nebensächliche Dinge passiert sind. Ein „Canary“ soll den Nutzer_innen
ernsthafte Bedrohungen signalisieren, doch es besteht die Gefahr, dass
den Nutzer_innen falsche Dinge vermittelt werden oder ohne guten Grund
allgemeine Furcht und Verwirrung gestiftet wird. Der aktuelle „Canary“
ist auf bedeutende Ereignisse beschränkt, die die Sicherheit der
Nutzer_innen von Riseup gefährden könnten.
1 https://riseup.net/tos
2 https://riseup.net/canary
3 https://0xacab.org/riseuplabs/trees
Hm...
Ich weiß jetzt nicht, ob das US-(Un)rechtssystem das richtige "Rechtssystem" ist. Vielleicht wäre es gescheiter in eine Region außerhalb der wertewestlichen Zugriffsmöglichkeit Server zu verlagern, zumal in den kommenden Monaten mit massiven Änderungen zu rechnen sein dürfte, wie sich hier
https://heise.de/-3623229
bereits andeutet.
Nochmal zu den Fakten
Wieder einmal ein Kommentar, der Unfug verbreitet. Von wegen "entgegen ihrer ursprünglichen Aussage". Also zur Richtigstellung:
riseup haben in der aktuellen Situation völlig im Einklang mit ihren vorherigen Ankündigungen gehandelt. Es wurden keine Daten von Aktivist*innen gefährdet. Sie sind was Transparenz und Berechenbarkeit angeht sehr engagiert und erklären sich mehr als viele andere Serverprojekte. Ihr Verhalten in diesem Fall deckt sich mit dem anderer Serverprojekte in vergleichbaren Situationen. Sie haben für die Zukunft Vorkehrungen getroffen, damit sich nicht wiederholen kann, was diesmal geschehen ist.
Im Einzelnen: (Alle folgenden Zitate aus dem Englischen weil's das Original ist und die deutschen Übersetzungen in einzelnen Punkten ungenau)
1. riseup erklären in ihrem Riseup & Government FAQ, dass sie eher den Stecker ziehen würden, als soziale Bewegungen und Aktivist*innen zu gefährden und dass sie alles in ihrer Macht stehende tun werden, um deren Daten zu schützen, abgesehen von langwieriger Inhaftierung ("We will do everything in our power to protect the data of social movements and activists, short of extended incarceration. We would rather pull the plug than submit to repressive surveillance by our government, or any government.")
2. Der letzte Punkt des FAQ antwortet auf die Frage, was denn mit Kinderpornographie, Drogen, Korruption etc. sei und stellt klar, dass riseup Privatsphäre zu bestimmten Zwecken herstellt und nicht um zu tun, was immer man wolle. Derartige Aktivitäten würden dazu führen, dass das Kollektiv die betreffenden Konten schließen würde und unter Umständen sogar bereit wäre mit Strafverfolgungsbehörden zu kooperieren, wenn es sonst hieße, die Server und die gesamte Organisation zu gefährden ("We would close the accounts of people doing those things and the collective may even decide to cooperate with law enforcement rather than set all the servers on fire and destroy the organization, and your email.")
3. In ihren Nutzungsbedingungen (Terms of Service) erklären sie ebenfalls klar und deutlich, dass ihre Dienste nicht zur Belästigung oder Misshandlung anderer eingesetzt werden dürfen, nicht zur Verbreitung von Schadsoftware oder DOS-Attacken oder um sich unberechtigten Zugriff auf Computersysteme zu verschaffen und auch nicht durch Verbreitung von Material, dessen Herstellung Gewalt oder sexuelle Übergriffe für andere verursacht. (Abschnitt 4., "Refraining from certain activities" - ebenfalls auf deutsch erhältlich)
4. riseup bemühen sich sowohl auf ihrer Webseite als auch in ihren regelmäßig erscheinenden Newsletters sehr um Transparenz. Wie die obigen Beispiele zeigen, positionieren sie sich auch zu unangenehmen Fragen öffentlich und erklären ihr Vorgehen offen. Diese Informationen werden sogar in zig Sprachen übersetzt, u.a. ins deutsche. Das ist mehr als die meisten Serverprojekte leisten (können). Das soll nicht heißen, dass andere Serverprojekte schlecht wären, denn diese Transparenz ist ein beträchtlicher zusätzlicher Aufwand, während die meisten Projekte mit wenig Personen bereits gewaltige technische Herausforderungen zu bewältigen haben und diesen eben Priorität einräumen. Es soll einfach aufzeigen, wie haarstreubend die aktuellen Vorwürfe gegen riseup sind.
5. Riseups Vorgehen steht im Einklang mit ihren Ankündigungen und mit dem Vorgehen anderer Projekte in vergleichbaren Situationen. Auch andere Projekte haben in den letzten 20 Jahren angesichts der Gefahr, sämtliche Server an Strafverfolgungsbehörden und damit die komplette Kommunikationsstruktur vieler Menschen, Gruppen und Projekte zu gefährden, Daten an Ermittlungsbehörden herausgegeben. In Sonderfällen sogar Daten von Aktivist*innen (meines Wissens nach Absprache).
6. Unter anderem deshalb fordern eigentlich alle linken Serverprojekte (u.a. riseup) ihre Nutzer*innen eindringlich dazu auf, auch ihnen nicht zu vertrauen, sondern die eigenen Daten so gut es geht selbst zu schützen. D.h. Mails auf eigene Rechner herunterladen und auf Servern löschen. Ende-zu-Ende Verschlüsselung einsetzen (PGP).
7. Eine weitere Maßnahme die unter linken Serverprojekten und innerhalb der breiteren Sicherheitscommunity hochgehalten wird, um die Daten der Nutzer*innen auch gegebüber Ermittlungsbehörden zu schützen, ist es, Daten gar nicht erst zu erheben oder zugänglich zu haben. riseup haben in der Vergangenheit neben anderen viel dazu beigetragen, dass nicht nur ihre sondern auch die Server anderer Projekte keine oder möglichst wenig Verkehrsdaten mittschneiden. Als Konsequenz aus dem jetzigen Geschehen haben sie nun auch ein System programmiert, das Inhaltsdaten serverseitig verschlüsselt und so vor direkten Zugriffen schützt. Wirklich sicher bleibt weiterhin nur Ende-zu-Ende Verschlüsselung wie PGP, für die jede*r selbst verantwortlich ist (weil serverseitige Verschlüsselung sich auch serverseitig umgehen lässt), aber zumindest können Server, die ein solches Verfahren implementiert haben in juristischen Auseinandersetzungen zu Recht darauf verweisen, dass sie keinen Zugriff auf die Inhalte haben. Hoffen wir, dass auch andere Serverprojekte, die bisher ebenfalls noch keine derartige Lösung installiert hatten, dieses System nun schnell implementieren. riseup haben den Code wie üblich zur freien Verfügung gestellt, damit er überprüft werden kann und damit andere ihn nutzen können.
So, und jetzt mal ganz im Ernst: Leute!! Alle diese Informationen sind frei zugänglich! Sogar auf deutsch! Sie stehen sogar im selben Dokument, aus dem ihr (falsch) zitiert!!! Wieso muss euch das jetzt extra nochmal jemand detailliert auseinanderklamüsern (und glaubt mir, ich tue das nicht für euch, sondern für Leute die den Unfug glauben, den ihr verbreitet)!?!?
Können wir uns bitte endlich mal darauf einigen, zumindest wenn es um schwerwiegende Dinge geht wie z.B. Spitzel- oder Verratsvorwürfe: Erst informieren, gegebenenfalls nachfragen wenn etwas unklar ist und nur dann, wenn sich ein Verdacht erhärtet und bestätigt hat und belegen lässt, erst dann schwerwiegende Vorwürfe formulieren!! Ok?? Was ihr (und mit euch viel zu viele andere) da mit solchen unbegründeten Vorwürfen und Behauptungen treibt entwertet die Arbeit und missbraucht die Zeit von zig Menschen - nicht nur der Administrator*innen, sondern auch der Übersetzer*innen, und schließlich derjenigen, die euren Scheiß dann in Kommentarbereichen richtig stellen müssen, damit die Gerüchteküche nicht von neuem losbrodelt. Hört damit auf und fangt endlich an, elementare Solidarität zu üben. Und das heißt in Fällen wie diesem: lest und fragt!!!