Juristen interpretieren die Technik - heute: DHCP, SSID, IP-Adresse

Durch die Verwendung des im Router integrierten (abschaltbaren) DHCP-Servers hat der Benutzer ja gerade weithin sichtbar seinen Willen erklärt, anderen eine interne IP-Adresse zur Nutzung des Netzzugangs zuteilen zu wollen. Der Router drängt die Information, dass er verfügbar ist, allen "Empfangsgeräten" durch Beaconing regelrecht auf und teilt dann einem WLAN-Gerät gezielt eine IP-Adresse mit.

Stellt sich natürlich die Frage, wie es mit irrtümlichen Willenserklärungen aussieht, oder ob der Betroffene aus dem Fenster gerufen hat, der Laptop-Benutzer solle es lassen. Details dieser Art gehen im Nachrichtendschungel gerne mal verloren.

Fakt ist jedoch, dass das Gericht einen standardisierten Protokollablauf zur Zuteilung einer IP-Adresse als "Abhören" uminterpretiert.

Weiter steht bei heise:

Außerdem habe sich der Angeklagte gemäß § 44 des BDSG strafbar gemacht, in dem er sich unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind, verschafft habe. Hierunter fallen nach Ansicht des Gerichts auch IP-Adressen, da diese jederzeit zurückverfolgt und einer bestimmten Person zugeordnet werden können. Durch Zugriff auf den Router habe der Angeklagte personenbezogene Daten in Form einer IP-Adresse abgerufen.

Das ist zumindest interessant. Die IP-Adresse wird als personenbezogenes Datum anerkannt, und in der Tat kann der "Täter" die IP-Adresse, die dem Internetanschluss zugeteilt ist, leicht in Erfahrung bringen. Zum Beispiel durch einen Aufruf von showmyip.com.

Doch IP-Adressen erfährt man auf vielen Wegen der normalen Benutzung des Netzes, z.B. durch den Betrieb eines Webservers, oft schon beim Empfang einer E-Mail, aber auch beim Chatten mit anderen — und für Nutzer eines internen Netzwerkes ist die durch NATting mehrfach genutzte Adresse ja gar nicht mehr so personenbezogen.

Das möchten Gerichte und Strafverfolgungsbehörden aber allzu oft anders sehen; man muss diese Entscheidung also auch im Kontext der ausartenden Maßnahmen gegen die Menschen betrachten, die nur durch Feststellung einer IP-Adresse verdächtig geworden sind. Was bekanntlich auch mal die falschen trifft.

Dieser Blogbeitrag betrachtet den Sachverhalt genauer und kritisiert, dass das Gericht undifferenziert von "der IP-Adresse" spricht, und nicht nach interner und externer Adresse unterscheidet. Allerdings sind die Betrachtungen dort auch nicht so ganz rund, z.B. empfiehlt der Autor:

Es ist dringend anzuraten, das eigene Netz zu schützen und keine anderen Netze zu nutzen - nicht zuletzt, weil sich die Fälle häufen in denen scheinbar freie WLAN-Netze angeboten werden, der Betreiber aber dies nur nutzt, um die Login-Daten der Eingeloggten abzufangen.

Eine Empfehlung, der ich mich nicht anschließen kann. Das Recht wird nicht nur durch Gesetzgeber und Juristen geprägt, es muss auch gelebt werden. Offene WLANs sind ein Stück Kulturgut und kein böses neues Technik-Voodoo gegen Recht und Ordnung. (Die Gefahr durch Passwort-Abgreifer lässt sich durch normale Verschlüsselung vermeiden, wer die nicht nutzt handelt ohnehin fahrlässig.)

Wenn sich niemand mehr traut, einen Zugang zum Gemeingut Internet zur Verfügung zu stellen, verlieren wir viele Möglichkeiten und viel Komfort, vor allem aber ein wichtiges Argument: Was keiner benutzt, muss nämlich auch nicht geschützt werden, man kann es sogar ohne großen Widerstand verbieten.

Zudem handelt es sich hier nur um die Entscheidung eines Amtsgerichtes, wegen der man nicht gleich einknicken muss.

Der Autor empfiehlt außerdem, den SSID-Broadcast abzuschalten. Hierzu muss man sagen, dass das vielleicht die Willenserklärung fraglich macht, aber nur trügerische Sicherheit schafft.

Zum einen ist ein Netz ohne SSID-Broadcast immer noch abhörbar.

Zum anderen ist es nicht wirklich versteckt und birgt sogar eine neue Gefahr: Der Autor hält den Einsatz solcher Sniffer für einen

Gebrauch des Netzwerkes über den normalen bzw. zu erwartenden hinaus

Nun benutzen viele technisch versierte aber zur Suche nach offenen Netzen regelmäßig einen Sniffer wie Kismet, weil dieser mehr Informationen anzeigt, z.B. solche, die man manchmal zur händischen Konfiguration unter Linux benötigt. Für einen Techniker ist das ganz normal — hier kriminelle Absichten zu unterstellen wäre absurd. Nun ist es aber so, dass Kismet die "versteckte" SSID relativ schnell eben doch anzeigt.

Außerdem muss bei "versteckter" SSID die Suchanfrage eines Gerätes, dass sich mit dem Netz verbinden will, die SSID enthalten. Und das kann dem Benutzer dort zum Verhängnis werden, wo tatsächlich Kriminelle auf ihn warten und einen präparierten Access Point bereithalten, der just die durch die Suchanfrage erfahrene aussendet.

Für viele scheint übrigens das hier die wahre Begründung des Urteils zu sein (aus der heise-Meldung):

Diese Handlung sei zudem in Bereicherungsabsicht geschehen, denn es war das Ziel des Angeklagten, über das offene Funknetz kostenfrei auf das Web zuzugreifen. Dabei habe er billigend in Kauf genommen, dass der Geschädigte möglicherweise über keine Flatrate verfügte und seinen Internetanschluss nach Volumen oder Zeit abrechnen musste.

Doch "Bereicherungsabsicht" hin oder her, die Verantwortung liegt hier nun mal beim Betreiber des Netzes. Entweder er stellt sein Netz zur Verfügung oder eben nicht. Es ist mit einem gewissen Aufwand auch möglich, die Nutzung durch Außenstehende in Volumen oder Bandbreite zu beschränken. Aber der Benutzer ist auf keinen Fall "schuld", wenn er einen ihm angebotenen Dienst in Anspruch nimmt.