Privacy Browsing

Mein neu gelebtes Self-Hosting von E-Mails, RSS-Feeds & Jabber auf einem eigenen Server kommt bei mir die Frage nach weiterer Privatheit meiner Daten auf: Welche Anwendungen senden welche Daten von mir wohin? Um diese Frage zu beantworten, habe ich nach langer Rescherche ein paar Dinge umgestellt.

Die Wahl des Browsers selbst

Ich habe mich einen Abend mal mit dem Sniffer Wireshark hingesetzt und geguckt, was so Status Quo ist. Erst dann ist mir so richtig aufgefallen, dass es wahr ist, was man über Chrome sagt: Das Tool sendet permanent Daten im Hintergrund an IP-Adressen, die laut WHOIS zu Google gehören. Beim Surfen wird weiterhin auch nicht nur die Hauptseite abgerufen, sondern etliche Third-Party-Seiten. Das muss alles ja nicht mehr sein…

Ich setze als Browser jetzt die Portable Edition von Mozilla Firefox ein, die wie versprochen die Privatspäre schützt und nach Abschlatung des Auto-Updates keine Server mehr kontaktiert, die nicht explizit angesurft wurden.

Ebenso gibt es auch eine mobile Version für Android, die mittlerweile gut funktioniert. 🙂

Die besten Plugins für mehr Privatsphäre

Auf verschiedenen Seiten wird immer die Kombination aus diesen drei Add-Ons empfohlen, die sich bei mir in zwei Wochen Praxiseinsatz auch bewährt haben:

  • Adblock Edge beseitigt nicht nur Werbung, sondern reduziert auch Tracker
  • NoScript verhindert die ungewünschte Ausführung von JavaScript, mit der auch viel spioniert wird
  • Ghostery blockt weitere Tracker gezielt ab und hat ein umfangreiches Verzeichnis dafür
  • HTTPS Everywhere (mit deaktiviertem „SSL Observatory“) erzwingt die Verwendung der verschlüsselten Seite, sofern es eine gibt

Alle diese Plugins, bis auf NoScript, funktionieren auch in der mobilen Version genausogut.

Die Wahl der Suchmaschine

Wem vertraut man seine intimsten Interessen an und wen kann man alles fragen, was man einen anderen Menschen so nie fragen würde, um nicht unwissend zu erscheinen? Genau… Google! … Aber sollte man? Vor allem, wenn Google keine Geheimnisse für sich behalten kann? Ich beantworte diese Frage mittlerweile doch lieber mit „Nein“.

Ich habe als meine Standard-Suche im Browser jetzt DuckDuckGo statt Google eingestellt. Die Betreiber versprechen, die Suchanfragen nicht zu speichern und keine Profile anzulegen. In wie weit das stimmt, ist natürlich eine Vertrauensfrage. Da ich mit Analyse des Netzwerk-Verkehrs (siehe folgender Abschnitt) mit deaktiverten Privacy-Addons keine Tracker oder Anfragen an andere IPs bei Durchführung einer Suche festgestellt habe, habe ich keinen Grund dafür, das nicht zu glauben.

Bei Google hingegen ist es wohl kein Geheimnis, dass hier Daten gespeichert und verkauft werden. Also hiermit eine klare Empfehlung, seine Suchmaschine auf DuckDuckGo.com zu wechseln.

Analyse von Traffic & aufgerufenen Seiten

Allen voran ist das klassiche Mittel den Netzwerk-Verkehr mit einem Analyse-Tool wie Wireshark mitzuschneiden und da mal reinzugucken. Als FritzBox-Besitzer (und das sind wir quasi ja alle), lässt sich das sogar für ein gesamtes Netzwerk über die Seite http://fritz.box/html/capture.html bewerkstelligen. Es gibt aber auch noch einfachere und übersichtlichere Möglichkeiten, die ich im Folgenden vorstellen möchte.

Das Plugin Lightbeam für Firefox trackt in einer wirklich übersichtlichen, graphischen Darstellung, welche Webseite welche Dritt-Webseite nachgeladen hat und bietet die Option, diese Seiten ebenfalls zu blockieren. Und es ist wirklich erschreckend, wie eine Seite mit „Social Sharing Buttons“ etliche Seiten nachläd. Nach dieser Erkenntnis habe ich diese Buttons aus meinem Blog wieder entfernt.

Normalerweise halte ich nicht so viel von Personal Firewalls, aber das neue Tool GlassWire ist optisch so gut gelungen und bietet eine so schicke Übersicht darüber, welche Programme wohin Verbindungen aufbauen, dass ich es einfach empfehlen muss. Es ist sogar aktuell noch kostenlos, aber schon voll funktional.

Anbei ein Screenshot:

glasswire

Disconnect.me vs Ghostery

Nils hat mich auf das Browser-Addon „Disconnect.me“ hingewiesen, welches eine Alternative zu Ghostery sein will. Ich habe mir das mal kurz angeschaut und mein Eindruck ist folgender:

  • Beim Start von Firefox mit diesem Plugin werden jedes Mal zu 3 URLs Verbindungen aufgebaut und Daten übertragen: publicsuffix.org, mxr.mozilla.org & cs9.was.edgecastcnd.net (Teil eines CDN; damit unbekannt).
    Die Seiten erscheinen harmlos, doch mag ich keine unerwarteten Datenübertragungen. Aktualisierung einer öffentlichen Liste ließe sich schließlich auch manuell oder über Update des Plugins durchführen; für diesen Verkehr gibt es also keinen Grund. Die anderen weiter oben empfohlenen Addons zeigen auch kein solches Verhalten.
  • Während Tracker von Facebook & Twitter geblockt wurden, lässt das Plugin interessanterweise die Tracker von Google bzw. Social Media Buttons von Google Plus außen vor. Bei Ghostery tauschen auf derselben Seite auch keine Verbindungen mehr dazu auf. Das könnte nun ein Bug oder Absicht sein. Wenn es ein Fehler im Plugin sein sollte, ist dieser schon über ein Jahr alt, weil er schon in einem anderen Blog bemängelt wurde.

Mir reichen diese beiden Punkte aus, um Disconnect.me kein Vertrauen zu schenken. Entweder wird alles korrekt gefiltert oder nicht. Sonst wiederholt sich das AdBlock Plus „Acceptable Ads“ Debakel.

Einsatz von Proxys

Damit auch der Provider nicht mehr mitbekommt, welche Seiten man sich so ansieht, kann man den Verkehr durch einen Proxy schicken. Hier setze ich den (noch) kostenlosen Dienst ZenMate ein. Dann taucht aus Sicht des ISP nur die IP des ZenMate-Zugangsknotens auf. Das lässt sich nicht so gut verkaufen. 😉

Natürlich hat ZenMate dann in diesem Fall die gesamte Historie und könnte bei unverschlüsselten Verbindungen dann mitlesen. Letztendlich muss man immer irgendwem Vertrauen, wenn man keine Ende-zu-Ende-Verschlüsselung zu eigenen Diensten aufbauen kann.

Weiterführende Informationen

Auf der Seite BasicInternetSecurity.org gibt es noch ein ausführliches Handbuch zum Thema.