Ich möchte Sie mitnehmen auf eine Reise durch die Zeit,
in die Vergangenheit, ins Jahr 2017.
Ich weiß nicht, ob Sie sich erinnern
aber Dinosaurier bewohnten die Erde.
Ich war in der Sicherheitsforschung,
und hatte ungefähr fünf oder sechs Jahre damit verbracht,
zu erforschen, wie APTs,
das ist die Abkürzung für "advanced persistent threats",
das sind staatliche Akteure,
Spionage betreiben, gegen Journalisten und Aktivisten,
Juristen und Wissenschaftler
und allgemein gegen Menschen, die sich gegen Macht aussprechen.
Ich war schon eine ganze Weile dabei,
als ich herausfand, dass einer meiner Kollegen,
mit dem ich die ganze Zeit zusammen gearbeitet hatte,
angeblich ein Serienvergewaltiger ist.
Das Erste, was ich tat, war
jede Menge Artikel darüber zu lesen.
Und im Januar 2018
las ich einen Artikel über einige seiner vermeintlichen Opfer.
Was mich am meisten betroffen machte, war,
wie verängstigt sie waren.
Sie hatten richtig Angst,
sie hatten Klebeband über ihre Handykameras geklebt
und über ihre Laptops,
und sie waren besorgt, dass er ein Hacker war
und er sich bei ihnen einhacken
und ihre Leben zerstören würde.
Deshalb hatten sie für eine sehr lange Zeit geschwiegen.
Also war ich wütend.
Und ich wollte nicht, dass sich irgendwer jemals wieder so fühlt.
Also tat ich, was ich normalerweise tue, wenn ich wütend bin:
Ich tweetete.
(Lachen)
Und zwar tweetete ich, dass,
wenn du eine Frau bist, die von einem Hacker sexuell missbraucht wurde,
und wenn dieser Hacker angedroht hat, sich in deine Geräte einzuhacken,
dann kannst du mich kontaktieren
und ich würde sicherstellen,
dass deine Geräte eine komplette, kriminaltechnische Überprüfung erhalten.
Danach ging ich in die Mittagspause.
(Lachen)
Zehntausende Retweets später,
(Lachen)
hatte ich unbeabsichtigt ein Projekt ins Rollen gebracht.
Jeden Morgen wachte ich auf und meine Inbox war voll.
Voll mit Geschichten von Männern und Frauen,
die mir das Schlimmste erzählten, was ihnen jemals zugestoßen war.
Ich wurde von Frauen kontaktiert, die von Männern ausspioniert wurden,
von Männern, die von Männern bespitzelt wurden
von Frauen, die von Frauen bespitzelt wurden
aber die breite Mehrheit, die mich kontaktierte,
waren Frauen, die von Männern sexuell missbraucht worden waren,
und welche ihnen nun nachspionierten.
In einem besonders interessanten Fall
ging es um einen Mann, der mich ansprach,
weil sein Freund ihn als schwul geoutet hatte,
und das vor seiner extrem konservativen koreanischen Familie.
Somit liegt das Problem nicht nur bei Männern, die Frauen ausspionieren.
Ich bin hier um zu erzählen,
was ich aus diesem Erlebnis gelernt habe.
Was ich gelernt habe ist, dass Information durchsickert.
So wie Wasser.
Es gelangt an unerwünschte Orte.
Der Mensch ist das Leck.
Ihre Freunde geben Auskünfte über Sie.
Ihre Familien geben Auskünfte über Sie.
Sie gehen auf eine Party,
jemand markiert Sie als 'anwesend'.
Und das ist eine Art und Weise,
wie Täter Informationen über Sie erhalten,
die Sie ihnen vorenthalten würden.
Es ist nicht ungewöhnlich, dass Täter Freunde und Familie aufsuchen,
um Auskunft über ihre Opfer zu erhalten,
unter dem Vorwand um deren 'mentale Gesundheit' besorgt zu sein.
Ich begegnete einer Art von Durchsickern,
die Kompromittierung von Konten genannt wird.
Ihr Gmail-Konto,
Ihr Twitter-Konto,
Ihr Instagram-Konto,
Ihr iCloud,
Ihre Apple ID,
Ihr Netflix, Ihr TikTok --
Ich musste herausfinden, was TikTok ist.
Hat es einen Benutzernamen,
dann war es kompromittiert.
Der Grund hierfür ist, das dein Täter nicht immer dein Täter ist.
Häufig teilen Menschen in Beziehungen ihre Passwörter miteinander.
Außerdem können Leute, die sehr vertraut miteinander sind,
die sehr viel von einander wissen,
Sicherheitsfragen des Partners erraten.
Oder sie schauen sich gegenseitig über die Schulter,
um die Handy-Passwörter zu sehen.
Sie haben regelmäßigen Zugang zum Handy,
oder auch Zugriff zum Laptop.
Und das bereitet jede Menge Möglichkeiten
um Kontos zu bearbeiten,
was unglaublich gefährlich ist.
Die gute Nachricht ist: Wir haben einen Rat für Leute,
um ihre Konten vor Übergriffen zu schützen.
Wie schon bekannt besteht der Rat aus folgendem:
Benutzen Sie starke, einzigartige Passwörter für alle Ihre Konten!
Benutzen Sie stärkere und einmalige Passwörter
als Antworten für Ihre Sicherheitsfragen,
damit jemand, der den Namen Ihres Haustieres aus Ihrer Kindheit kennt,
Ihr Passwort nicht zurücksetzen kann.
Zuletzt, nutzen Sie die höchste Stufe
an Zwei-Faktor-Authentifizierung, die Sie nutzen können.
Selbst wenn der Täter an Ihr Kennwort kommt,
kann er, ohne den zweiten Faktor,
nicht auf Ihr Konto zugreifen.
Eine weitere Empfehlung:
Sehen Sie sich die Sicherheits- und Datenschutztabs
für die meisten Ihrer Konten an.
Viele Konten haben ein Sicherheits- oder Datenschutztab,
welches Ihnen sagt, welche Ihrer Geräte eingeloggt sind
und von wo.
Zum Beispiel bin ich jetzt hier
und logge mich in mein Facebook aus La Quinta ein,
wo dieses Treffen stattfindet.
Und wenn ich mir beispielsweise
meine Facebook-Anmeldungen ansehen würde,
und sehen würde, dass sich jemand in Dubai einloggt,
wäre es verdächtig,
denn ich war seit langer Zeit nicht mehr in Dubai.
Aber manchmal ist es wirklich ein RAT.
Wenn man mit RAT "Remote Access Trojaner" meint.
Und wenn wir RAT sagen,
meinen wir meistens Stalkerware.
Einer der Gründe, wieso kompletten Zugang zu Ihrem Gerät zu bekommen
für Regierungen verlockend ist,
ist der gleiche Grund, wieso dies auch
für ehemalige oder gewalttätige Partner verlockend ist.
Wir tragen Ortungsgeräte den ganzen Tag in unserer Tasche herum.
Wir tragen Geräte mit uns, die alle unsere Kennwörter,
alle unsere Kommunikationen beinhalten,
unsere end-to-end verschlüsselten Kommunikationen eingeschlossen.
Alle unsere Emails, alle unsere Kontakte,
alle unsere Selfies sind an einem Ort,
an dem auch oft unsere finanziellen Informationen sind.
So ist der komplette Zugriff auf das Mobiltelefon einer Person
vergleichbar mit komplettem Zugang zu den Gedanken einer Person.
Stalkerware ermöglicht uns diesen Zugang.
Also fragen Sie vielleicht, wie das geht?
Stalkerware funktioniert so,
dass es ein handelsübliches Programm ist,
welches ein Täter kauft
und auf dem Gerät installiert, welches er ausspionieren will,
meistens weil sie direkten Zugang haben
oder ihr Opfer dazu bringen können, es selbst zu installieren,
indem sie etwa sagen:
"Das hier ist ein sehr wichtiges Programm,
dass du auf deinem Gerät installieren solltest."
Dann bezahlen sie die Stalkerware-Firma
für den Zugang zu einem Portal,
welches ihnen alle Informationen von diesem Gerät gibt.
Man bezahlt dafür etwa 40 Mäuse im Monat.
So ist diese Art der Spionage auffallend billig.
Wissen diese Firmen,
dass ihre Mittel
als Mittel des Missbrauchs genutzt werden?
Absolut.
Wenn man sich einmal die Marketing-Unterlagen für Cocospy,
ein solches Produkt, ansieht,
steht auf der Webseite,
dass Cocospy Ihnen ermöglicht, ihre Frau mit Leichtigkeit zu bespitzeln,
"Sie müssen sich keine Sorgen darüber machen, wo sie hingeht,
mit wem sie redet und welche Webseiten sie besucht."
Das ist ziemlich verstörend.
HelloSpy, ein weiteres solches Produkt,
hatte eine Marketing-Seite, auf der im Marketingtext überwiegend
über die Häufigkeit des Betrügens berichtet wurde
und wie wichtig es ist, Ihren Partner beim Betrügen zu erwischen,
mit einem Bild eines Mannes,
der offensichtlich seine Partnerin gerade beim Betrügen erwischt hat,
und sie geschlagen hat.
Sie hat ein blaues Auge und Blut im Gesicht.
Ich glaube nicht, dass es noch infrage steht,
auf wessen Seite sich HelloSpy in diesem Fall stellt
und wem sie ihr Produkt verkaufen wollen.
Wenn man Stalkerware auf dem Computer oder auf dem Handy hat,
kann es ziemlich schwer werden, zu wissen, ob es da ist oder nicht.
Und einer der Gründe dafür,
ist wegen der Antiviren-Firmen,
die Stalkerware oft nicht als schädlich anerkennen.
Sie erkennen es nicht als Trojaner
oder als etwas Anderes wovor man normalerweise
gewarnt werden würde.
Es gibt einige Ergebnisse vom Anfang dieses Jahres von VirusTotal.
Ich glaube, dass ein Beispiel, welches ich mir anschaute,
das Ergebnis erzielte, dass 7 von 60 der Plattformen
die Stalkerware, die ich testete, erkannten.
Hier ist eine weitere Probe, bei der es mir gelang, 10 --
10 von 61 zu bekommen.
Das sind immer noch sehr schlechte Ergebnisse.
Er ist mir gelungen, einige Antiviren-Firmen zu überzeugen,
Stalkerware als schädlich zu markieren.
Das heißt, alles was Sie machen müssen,
wenn Sie Angst haben, dass Stalkerware auf Ihrem Computer sein könnte,
ist, das Programm herunterzuladen,
eine Untersuchung durchzuführen, und es sagt Ihnen:
"Hey, da ist ein potenziell ungewolltes Programm auf Ihrem Gerät".
Es gibt Ihnen die Möglichkeit, dieses zu entfernen,
aber entfernt es nicht automatisch.
Und einer der Gründe dafür ist,
dass so Missbrauch funktioniert.
Oft sind sich die Opfer von Missbrauch nicht sicher,
ob sie den Täter warnen wollen,
indem sie ihren Zugriff sperren.
Oder sie haben Angst, dass der Täter zur Gewalt greifen wird
oder vielleicht noch gewalttätiger werden wird,
als es bisher der Fall war.
Kaspersky war eine der ersten Firmen,
die sagten, sie würden anfangen, das hier ernst zu nehmen.
Und im November dieses Jahres
veröffentlichten sie einen Bericht, in dem sie sagten,
dass, seit sie angefangen hätten, Stalkerware bei ihren Nutzern zu erkennen,
hätten sie einen Zuwachs von 35% gesehen.
Ähnlich veröffentlichte Lookout die Aussage,
dass sie dieses Problem viel ernster nehmen würden.
Zu guter letzt veröffentlichte auch eine Firma namens Malwarebytes
eine solche Aussage und sagte, sie hätte,
in der Zeit, in der sie danach suchte,
2500 Programme gefunden, die als Stalkerware bezeichnet werden konnten.
Im November half ich endlich, eine Koalition zu starten,
genannt Coalition Against Stalkerware,
die sich aus Akademikern zusammensetzt,
aus Menschen, die diese Arbeit in der Praxis durchführen --
die, die Menschen helfen, von ihren gewalttätigen Partnern zu entkommen --
und Antiviren-Firmen.
Und unser Ziel ist es, Menschen über diese Programme zu informieren,
aber auch Antiviren-Firmen dazu zu bringen,
die Normen ihres Verhaltens
zu dieser sehr verstörenden Software zu verändern,
sodass ich bald hier vor Ihnen stehen könnte
und über das hier reden könnte,
und sagen könnte, dass das Problem gelöst wurde
und dass alles, was Sie dafür machen müssen, ist, sich Antivirenprogramme
herunterzuladen, für die es normal sein wird, Stalkerware zu identifizieren.
Das ist meine Hoffnung.
Dankeschön.
(Applaus)