Ein Datenleck rückt eine außergewöhnliche Maßnahme in den Fokus
Japan will in einem Notfallpaket zur Cybersicherheit Internetsperren prüfen, nachdem Angreifer persönliche Daten veröffentlicht hatten, die sie bei einem Cyberangriff auf GMO Internet erbeutet hatten. Am 27. Oktober forderte das Ministerium für Innere Angelegenheiten und Kommunikation japanische Telekommunikationsanbieter auf, den Zugriff auf die Website mit den Informationen zu verhindern. Zur Begründung verwies es auf ein konkretes Risiko weiterer Schäden.
Inhalt
- Ein Datenleck rückt eine außergewöhnliche Maßnahme in den Fokus
- Was geschah, nachdem die Informationen veröffentlicht worden waren?
- Warum die Regierung den Zugriff verhindern wollte
- Wie Internetsperren andere Nutzer betreffen
- Warum frühere Vorschläge vorsichtig behandelt wurden
- Die Aufforderung wirft auch Fragen zur Transparenz auf
- Was die Sperrung der Domain verändert
- Wichtige Punkte
Die Aufforderung ging über einen Branchenverband an große Telekommunikationsanbieter. Vorgesehen war eine Maßnahme, bei der die Anbieter prüfen sollten, welche Websites Nutzer aufrufen, und Verbindungen zur betroffenen Website unterbinden sollten. Damit stehen in der Auseinandersetzung zwei Aspekte der Privatsphäre einander gegenüber: der Schutz der Menschen, deren Daten gestohlen wurden, und der Schutz von Internetnutzern vor einer Überwachung ihrer Kommunikation.
Später war die Website nicht mehr erreichbar, nachdem ihre Domain gesperrt worden war. Es wird vermutet, dass ein Anbieter in den USA diesen Schritt veranlasste. Offenbar setzten japanische Telekommunikationsunternehmen keine Sperre um.
Die Regierung will nun die rechtlichen Fragen rund um Internetsperren und weitere Möglichkeiten untersuchen, einen Missbrauch der gestohlenen Informationen zu verhindern. Einen Zeitplan für den Abschluss der Prüfung oder die Verabschiedung des Notfallpakets gibt es nicht.
Was geschah, nachdem die Informationen veröffentlicht worden waren?
Der Vorfall betraf Dienstleistungen der GMO-Internet-Gruppe im Bereich des außerbörslichen Devisenhandels, allgemein als FX bezeichnet. Kunden können dabei mit Währungen handeln und hinterlegen dafür eine Sicherheitsleistung. Im Mittelpunkt der Debatte um Internetsperren steht die Veröffentlichung persönlicher Daten, die durch unbefugten Zugriff erlangt wurden.
Die Abfolge zeigt, dass die Aufforderung der Regierung zwischen der Veröffentlichung der Informationen und der Unerreichbarkeit der Website erfolgte:
- Vor dem 27. Oktober: Unbefugte Zugriffe betrafen Dienstleistungen der GMO-Internet-Gruppe im Bereich des außerbörslichen Devisenhandels.
- 27. Oktober: Angreifer veröffentlichten persönliche Daten aus dem Vorfall. Das Kommunikationsministerium forderte japanische Anbieter auf, den Zugriff auf die Website zu sperren.
- Nach der Veröffentlichung: Die Domain der Website wurde gesperrt, sodass sie nicht mehr erreichbar war. Es wird vermutet, dass ein Anbieter in den USA eingegriffen hat.
- Nach dem Vorfall: Die Regierung plante, die Prüfung von Internetsperren in ein Notfallpaket zur Cybersicherheit aufzunehmen.
Für das Verständnis der Ereignisse ist der Unterschied zwischen einer Aufforderung und einer tatsächlich umgesetzten Sperre entscheidend. Die Anbieter wurden gebeten, eine Zugangssperre vorzubereiten. Eine Maßnahme im Zusammenhang mit der Domain der Website scheint den unmittelbaren Bedarf dafür jedoch entfallen zu lassen.
Warum die Regierung den Zugriff verhindern wollte
Persönliche Daten können ihren Inhabern auch dann noch schaden, wenn der ursprüngliche Angriff bereits vorbei ist. Nach einer Veröffentlichung lassen sie sich kopieren und weitergeben. Je nach Art der Informationen können Kriminelle sie nutzen, um betrügerische Nachrichten glaubwürdiger erscheinen zu lassen oder einzelne Personen gezielt weiter zu missbrauchen.
Das Kommunikationsministerium begründete sein Vorgehen mit einem konkreten Risiko weiterer Schäden. Das bedeutet, dass gestohlene Informationen auch nach dem Diebstahl durch ihre Nutzung oder Verbreitung Schaden anrichten können. Wenn der Zugriff auf die Veröffentlichungsseite verhindert wird, könnten weniger Menschen an die Daten gelangen, während weitere Maßnahmen eingeleitet werden.
Kabinettssekretär Kihara äußerte sich zu den Eingriffen in die Privatsphäre, die entstehen, wenn persönliche Daten im Internet veröffentlicht werden. Er sagte:
Es darf nicht zulässig sein, persönliche Daten im Internet zu veröffentlichen und damit die Rechte auf Privatsphäre zu verletzen.
Seine Aussage erläutert, warum die Regierung eingreifen wollte. Betroffene können nicht selbst alle Kopien zurückholen, und jeder weitere Download kann es erschweren, die Verbreitung einzudämmen. Für die Behörden entsteht dadurch der praktische Druck, schnell genug zu handeln, um eine weitere Verbreitung zu begrenzen.
Wie Internetsperren andere Nutzer betreffen
Bei einer Internetsperre wird der Zugang beim Telekommunikationsanbieter eingeschränkt, statt die Informationen von der Website selbst zu entfernen. Der Anbieter erkennt eine Verbindung zum betreffenden Ziel und verhindert, dass sie zustande kommt. Die Nutzer müssen dieser Einschränkung nicht zustimmen.
Um zu erkennen, welche Verbindungen unterbunden werden sollen, müssen Anbieter prüfen, welche Kommunikationsziele Nutzer ansteuern. Deshalb betrifft der Vorschlag auch Menschen, die nicht zu den Kunden gehören, die vom Vorfall bei GMO betroffen sind. Die Anbieter müssten die Verbindungen ihrer Nutzer prüfen, um diejenigen zur ausgewählten Website zu finden.
Die japanische Verfassung und weitere Gesetze schützen das Fernmeldegeheimnis. Dieser Schutz umfasst die Vertraulichkeit der Kommunikation, einschließlich Informationen über deren Ziele. Schon das Kommunikationsziel kann etwas Privates offenbaren, auch wenn der Inhalt einer Nachricht nicht geprüft wird.
Bei der politischen Abwägung geht es daher darum, unterschiedliche Menschen mit Maßnahmen zu schützen, die in verschiedene Richtungen wirken. Die Behörden wollen den Zugriff auf gestohlene Informationen einschränken. Telekommunikationsanbieter müssen zugleich ihre Verpflichtung berücksichtigen, das Fernmeldegeheimnis ihrer Nutzer zu wahren. Die geplante rechtliche Prüfung muss beiden Verantwortlichkeiten Rechnung tragen.
Warum frühere Vorschläge vorsichtig behandelt wurden
In Japan wurden Internetsperren in Ausnahmefällen für Websites mit Darstellungen sexuellen Missbrauchs von Kindern zugelassen, die in der Debatte als Kinderpornografie-Websites bezeichnet werden. Begründet wurde dies mit dem schweren und lang anhaltenden Schaden für Kinder, wenn entsprechendes Material weiter verbreitet wird, sowie mit der Notwendigkeit, Eingriffe in das Fernmeldegeheimnis zu begrenzen.
Auch Vorschläge, Internetsperren gegen Piraterie-Websites und Online-Casinos einzusetzen, wurden geprüft. Ihre Einführung wurde jedoch aufgeschoben. Diese Präzedenzfälle erklären, warum der Einsatz derselben Maßnahme nach dem Diebstahl persönlicher Daten besonders sensibel ist.
Der Vorfall bei GMO würde Internetsperren in einen anderen Zusammenhang stellen: den dringenden Versuch, nach einem Cyberangriff den Schaden einzudämmen. Die Regierung prüft, wie eine bislang nur unter außergewöhnlichen Umständen zugelassene Maßnahme bei der Reaktion auf schwerwiegende Datenlecks eingesetzt werden könnte.
Die Kritik an der Aufforderung richtet sich vor allem gegen die Frage, ob die Gefahr unmittelbar genug war und ob andere Möglichkeiten, die Veröffentlichung zu stoppen, ausgeschöpft waren. Forderungen nach klaren gesetzlichen Regeln spiegeln ein praktisches Anliegen wider: Anbieter müssen wissen, wann sie den Zugriff beschränken dürfen, welche Voraussetzungen dafür gelten und wie die Entscheidung überprüft werden kann.
Die Aufforderung wirft auch Fragen zur Transparenz auf
Die Regierung richtete die Aufforderung ohne vorherige Beratung innerhalb der Regierung oder im japanischen Parlament, der Nationalversammlung, an die Anbieter. Das Kommunikationsministerium hat zudem nicht öffentlich bestätigt, dass es diese Aufforderung gab, obwohl über die Kontaktaufnahme mit den Anbietern am 27. Oktober berichtet wurde.
Wegen dieser fehlenden Bestätigung bleibt die öffentliche Erklärung der Entscheidung unvollständig. Die Rechtsgrundlage der Aufforderung, die Gründe für ihre Dringlichkeit und die daran geknüpften Bedingungen sind entscheidend, um beurteilen zu können, ob das Vorgehen gerechtfertigt war.
Besonders heikel ist die Frage, weil private Telekommunikationsunternehmen die geplante Beschränkung hätten umsetzen sollen. Sie hätten einer Aufforderung der Regierung nachkommen und dabei zugleich die rechtlichen Schutzvorschriften für ihre Nutzer berücksichtigen müssen.
Einige halten die Aufforderung für eine angemessene Reaktion auf eine unmittelbare Gefahr für die Privatsphäre. Kritiker bezeichnen sie als überstürzt und fordern eine öffentliche Erklärung, bevor Internetsperren zu einem regelmäßigeren Bestandteil der Cybersicherheitspolitik werden. In der Auseinandersetzung geht es sowohl um den Schutz der Betroffenen als auch um das Verfahren, mit dem solche Beschränkungen genehmigt werden.
Was die Sperrung der Domain verändert
Durch die Sperrung der mutmaßlich von den Angreifern genutzten Domain war die Website unter ihrer üblichen Adresse nicht mehr erreichbar. Eine Domain ist der Name, über den eine Website aufgerufen wird. Ihre Sperrung unterbricht diesen Zugangsweg. Eine Sperre durch japanische Telekommunikationsanbieter würde hingegen Verbindungen über deren Netze einschränken.
In diesem Fall scheint die Maßnahme im Zusammenhang mit der Domain das unmittelbare Zugangsproblem gelöst zu haben, bevor eine Sperre durch japanische Anbieter umgesetzt wurde. Später hieß es, die Website sei gelöscht worden. Die konkrete Schilderung, wie der Zugriff unterbunden wurde, verweist jedoch auf die Sperrung der Domain und einen mutmaßlichen Eingriff eines Anbieters in den USA.
Der Vorfall rückt das Zusammenspiel von Internetsperren und anderen Gegenmaßnahmen in den Mittelpunkt der Prüfung durch die Regierung. Die Behörden müssen untersuchen, wie schnell die einzelnen Optionen Wirkung zeigen, welche Organisationen handeln können und wann eine über inländische Anbieter verhängte Sperre gerechtfertigt ist.
Internetsperren befinden sich im Rahmen des Notfallpakets noch in der Prüfungsphase. Im Kern geht es darum, aus einer dringenden Reaktion verständliche Regeln zu entwickeln: wann ein Eingriff gerechtfertigt ist, wer ihn genehmigt und wie die Privatsphäre der Kommunikation geschützt wird, während die Behörden versuchen, die Folgen eines schädlichen Datenlecks einzudämmen.
Wichtige Punkte
- Japan will im Anschluss an den Vorfall bei GMO Internet Internetsperren als Teil eines Notfallpakets zur Cybersicherheit prüfen.
- Das Kommunikationsministerium forderte am 27. Oktober eine Sperre, als Angreifer gestohlene persönliche Daten veröffentlichten.
- Die Aufforderung erreichte große japanische Telekommunikationsanbieter über einen Branchenverband.
- Die Domain der betroffenen Website wurde später gesperrt; eine Sperre durch japanische Anbieter wurde offenbar nicht umgesetzt.
- Für Internetsperren müssen Anbieter Kommunikationsziele prüfen. Das wirft Fragen zum Schutz des Fernmeldegeheimnisses in Japan auf.
- Das Ministerium hat die Aufforderung nicht öffentlich bestätigt. Für die rechtliche Prüfung wurde kein Zeitplan genannt.
