Sonderfälle: Quellen, Grenzen und wann man um Hilfe bittet

In den vorherigen Lektionen wurde eine allgemeine Methode entwickelt: Benennen Sie den Gegner, wägen Sie Wahrscheinlichkeit und Auswirkung ab und wählen Sie verhältnismäßige Kontrollen. Einige Situationen kommen bei Journalisten, Anwälten und NGO-Mitarbeitern so häufig vor, dass sie besondere Aufmerksamkeit und eine konkrete Antwort auf die Frage verdienen, auf die sich der gesamte Kurs konzentriert: Wann hören Sie selbst damit auf?

Schützen Sie eine Quelle, bevor sie Sie jemals kontaktiert

Die Leitlinien der Freedom of the Press Foundation sind bezüglich des Timings unverblümt: „Die Bemühungen, Ihre Quellen zu schützen, müssen beginnen, bevor sie Sie kontaktieren.“ Wenn sich eine Quelle an Sie wendet, kann es sein, dass eine Telefonnummer, ein E-Mail-Header oder ein Eintrag in der Kontakt-App bereits irgendwo außerhalb Ihrer Kontrolle existiert. Zu den praktischen Anleitungen gehört die Verlagerung sensibler Erstkontakte zu Signal statt zu einem auf Telefonnummern basierenden Kanal, die bewusste Entscheidung darüber, was eine Tipp-Hotline oder eine Kontaktseite sammelt, und die Behandlung Ihres eigenen Adressbuchs als eigenständiger Vermögenswert – eine Liste mit der Angabe „Wer mit diesem Journalisten spricht“ ist selbst sensibel, auch ohne Nachrichteninhalt. Die gleiche Logik gilt für Anwälte, die eine Mandantenliste führen: Es kann genauso wichtig sein, wen Sie vertreten, wie das, was gesagt wurde.

Die Vertraulichkeit des Kunden ist ein Bedrohungsmodell und nicht nur eine Pflicht

Die ethische Schweigepflicht eines Anwalts und ein Sicherheitsbedrohungsmodell beschreiben dasselbe Problem aus zwei Blickwinkeln. Der Gegner könnte ein gegnerischer Anwalt sein, der einen frühen Zugang zur Strategie anstrebt, eine Regierung, die die Asylbeweise eines Mandanten vor dessen Einreichung einholt, oder einfach ein gemeinsam genutzter Bürocomputer, auf dem versehentlich auf Privilegien verzichtet werden könnte. Wenn man die Methode der vorherigen Lektion anwendet – was ist das Asset, wer will es, wie bekommt man es –, werden aus „Vertraulichkeit bewahren“ konkrete Schritte: separater Speicher für die sensibelsten Dateien, darauf achten, welcher Cloud-Dienst sie speichert (der Cloud-Sicherheitskurs an dieser Universität deckt ab, wer sonst noch auf diese Daten zugreifen könnte) und Vorsicht, bevor ein Fall über einen unverschlüsselten Kanal besprochen wird.

Gerätesuche an Grenzen

Im Leitfaden der Electronic Frontier Foundation zum digitalen Datenschutz an der US-Grenze wird erklärt, dass Grenzbeamte derzeit die Befugnis beanspruchen, die Geräte von Reisenden „mit oder ohne individuellen Verdacht“ zu durchsuchen, eine Befugnis, die umfassender ist als das, was außerhalb der Grenze gilt und rechtlich umstritten ist. Zu den konkreten Ratschlägen zur Vorbereitung gehört: Minimieren Sie Ihr Gepäck, indem Sie sensible Geräte zu Hause lassen oder Daten in einen Speicher verschieben, auf den Sie nach der Ankunft zugreifen können, anstatt Daten physisch auf dem Gerät zu speichern. Aktivieren Sie die vollständige Festplattenverschlüsselung mit einem starken, gespeicherten Passwort, anstatt sich beim Überqueren nur auf einen Fingerabdruck oder eine Gesichtsentsperrung zu verlassen. und schalten Sie Geräte aus, bevor Sie den Kontrollpunkt erreichen. Wenn ein Gerät durchsucht wird oder ein Beamter nach einem Passwort fragt, hängen Ihre Optionen laut EFF von Ihrer Staatsbürgerschaft und Ihrem Einwanderungsstatus ab – einem US-Bürger kann die Einreise nicht verweigert werden, weil er die Einreise verweigert, aber Nicht-Staatsbürger können mit anderen Konsequenzen rechnen – und das ist genau die Art von Entscheidung, die es wert ist, geplant zu werden, bevor Sie am Schreibtisch stehen, nicht währenddessen.

Wann Sie fachkundige Hilfe hinzuziehen sollten

Die Risikoanalysemethode in diesem Kurs soll dazu dienen, alltägliche Entscheidungen gut zu bewältigen. Es ist nicht dazu gedacht, die Hilfe von Experten zu ersetzen, sobald der Einsatz eine bestimmte Grenze überschreitet – ein Gegner auf Landesebene, eine aktive rechtliche Bedrohung oder eine Quelle, deren Sicherheit davon abhängt, dass alles gleich beim ersten Mal richtig gemacht wird. Drei Organisationen existieren speziell für diese Lücke. Access Now betreibt eine Digital Security Helpline, die nach eigener Aussage „schnelle Reaktion bei digitalen Sicherheitsvorfällen“ in zehn Sprachen mit einer typischen Reaktionszeit von zwei Stunden für zivilgesellschaftliche Gruppen, Journalisten und Menschenrechtsverteidiger bietet. Das digitale Sicherheitsteam der Freedom of the Press Foundation arbeitet direkt mit Nachrichtenredaktionen und Reportern an genau den oben genannten Quellenschutz- und Feldberichterstattungssituationen. Der Leitfaden „Surveillance Self-Defense“ von EFF ist die Referenz für diesen gesamten Kurs, und EFF selbst kann direkt kontaktiert werden (in seinem Grenzleitfaden ist „[email protected]“ für Rechtsverletzungen an einem Grenzübergang aufgeführt).

Eine Faustregel

Wenn die ehrliche Antwort auf die Frage „Wie schlimm sind die Konsequenzen, wenn ich versage“ aus der ersten Lektion dieses Kurses lautet, dass jemand verletzt, verhaftet oder sein Asylverfahren verloren werden könnte, dann verlassen Sie sich nicht mehr auf allgemeine Ratschläge, einschließlich dieses Kurses, und fragen Sie eine der oben genannten Organisationen. Keines von ihnen und auch kein Werkzeug kann Sicherheit versprechen. Sie können aktuelles, situationsspezifisches Wissen vermitteln, das ein für ein allgemeines Publikum geschriebener Kurs nicht bieten kann.