Was man über Stalkerware wissen sollte

"Kompletter Zugriff auf das Mobiltelefon einer Person ist vergleichbar mit komplettem Zugang zu den Gedanken einer Person" sagt die Cybersicherheitsexpertin Eva Galperin. In einem dringlichen Aufruf beschreibt sie die aufkommende Gefahr von Stalkerware -- Software, die darauf ausgerichtet is, Personen auszuspionieren, indem man Zugriff auf deren Geräte erhält, ohne deren Wissen -- Eva fordert von Antivirenprogramm-Hersteller, dass diese Programme als schädlich eingestuft werden, um Täter abzuschrecken und Opfer zu schützen.

Ich möchte Sie mitnehmen
auf eine Reise durch die Zeit,

in die Vergangenheit, ins Jahr 2017.

Ich weiß nicht, ob Sie sich erinnern

aber Dinosaurier bewohnten die Erde.

Ich war in der Sicherheitsforschung,

und hatte ungefähr fünf
oder sechs Jahre damit verbracht,

zu erforschen, wie APTs,

das ist die Abkürzung für
"advanced persistent threats",

das sind staatliche Akteure,

Spionage betreiben,
gegen Journalisten und Aktivisten,

Juristen und Wissenschaftler

und allgemein gegen Menschen,
die sich gegen Macht aussprechen.

Ich war schon eine ganze Weile dabei,

als ich herausfand,
dass einer meiner Kollegen,

mit dem ich die ganze Zeit
zusammen gearbeitet hatte,

angeblich ein Serienvergewaltiger ist.

Das Erste, was ich tat, war

jede Menge Artikel darüber zu lesen.

Und im Januar 2018

las ich einen Artikel
über einige seiner vermeintlichen Opfer.

Was mich am meisten
betroffen machte, war,

wie verängstigt sie waren.

Sie hatten richtig Angst,

sie hatten Klebeband über
ihre Handykameras geklebt

und über ihre Laptops,

und sie waren besorgt,
dass er ein Hacker war

und er sich bei ihnen einhacken

und ihre Leben zerstören würde.

Deshalb hatten sie
für eine sehr lange Zeit geschwiegen.

Also war ich wütend.

Und ich wollte nicht, dass sich irgendwer
jemals wieder so fühlt.

Also tat ich, was ich normalerweise
tue, wenn ich wütend bin:

Ich tweetete.

(Lachen)

Und zwar tweetete ich, dass,

wenn du eine Frau bist, die von
einem Hacker sexuell missbraucht wurde,

und wenn dieser Hacker angedroht hat,
sich in deine Geräte einzuhacken,

dann kannst du mich kontaktieren

und ich würde sicherstellen,

dass deine Geräte eine komplette,
kriminaltechnische Überprüfung erhalten.

Danach ging ich in die Mittagspause.

(Lachen)

Zehntausende Retweets später,

(Lachen)

hatte ich unbeabsichtigt
ein Projekt ins Rollen gebracht.

Jeden Morgen wachte ich auf
und meine Inbox war voll.

Voll mit Geschichten
von Männern und Frauen,

die mir das Schlimmste erzählten,
was ihnen jemals zugestoßen war.

Ich wurde von Frauen kontaktiert,
die von Männern ausspioniert wurden,

von Männern, die von Männern
bespitzelt wurden

von Frauen, die von Frauen
bespitzelt wurden

aber die breite Mehrheit,
die mich kontaktierte,

waren Frauen, die von Männern
sexuell missbraucht worden waren,

und welche ihnen nun nachspionierten.

In einem besonders interessanten Fall

ging es um einen Mann, der mich ansprach,

weil sein Freund
ihn als schwul geoutet hatte,

und das vor seiner extrem konservativen
koreanischen Familie.

Somit liegt das Problem nicht nur
bei Männern, die Frauen ausspionieren.

Ich bin hier um zu erzählen,

was ich aus diesem Erlebnis gelernt habe.

Was ich gelernt habe ist,
dass Information durchsickert.

So wie Wasser.

Es gelangt an unerwünschte Orte.

Der Mensch ist das Leck.

Ihre Freunde geben Auskünfte über Sie.

Ihre Familien geben Auskünfte über Sie.

Sie gehen auf eine Party,

jemand markiert Sie als 'anwesend'.

Und das ist eine Art und Weise,

wie Täter Informationen über Sie erhalten,

die Sie ihnen vorenthalten würden.

Es ist nicht ungewöhnlich, dass Täter
Freunde und Familie aufsuchen,

um Auskunft über ihre Opfer zu erhalten,

unter dem Vorwand um deren
'mentale Gesundheit' besorgt zu sein.

Ich begegnete einer Art von Durchsickern,

die Kompromittierung
von Konten genannt wird.

Ihr Gmail-Konto,

Ihr Twitter-Konto,

Ihr Instagram-Konto,

Ihr iCloud,

Ihre Apple ID,

Ihr Netflix, Ihr TikTok --

Ich musste herausfinden,
was TikTok ist.

Hat es einen Benutzernamen,

dann war es kompromittiert.

Der Grund hierfür ist, das dein Täter
nicht immer dein Täter ist.

Häufig teilen Menschen in Beziehungen
ihre Passwörter miteinander.

Außerdem können Leute,
die sehr vertraut miteinander sind,

die sehr viel von einander wissen,

Sicherheitsfragen des Partners erraten.

Oder sie schauen sich
gegenseitig über die Schulter,

um die Handy-Passwörter zu sehen.

Sie haben regelmäßigen Zugang zum Handy,

oder auch Zugriff zum Laptop.

Und das bereitet jede Menge Möglichkeiten

um Kontos zu bearbeiten,

was unglaublich gefährlich ist.

Die gute Nachricht ist: Wir haben
einen Rat für Leute,

um ihre Konten
vor Übergriffen zu schützen.

Wie schon bekannt
besteht der Rat aus folgendem:

Benutzen Sie starke, einzigartige
Passwörter für alle Ihre Konten!

Benutzen Sie stärkere
und einmalige Passwörter

als Antworten für Ihre Sicherheitsfragen,

damit jemand, der den Namen
Ihres Haustieres aus Ihrer Kindheit kennt,

Ihr Passwort nicht zurücksetzen kann.

Zuletzt, nutzen Sie die höchste Stufe

an Zwei-Faktor-Authentifizierung,
die Sie nutzen können.

Selbst wenn der Täter
an Ihr Kennwort kommt,

kann er, ohne den zweiten Faktor,

nicht auf Ihr Konto zugreifen.

Eine weitere Empfehlung:

Sehen Sie sich die Sicherheits-
und Datenschutztabs

für die meisten Ihrer Konten an.

Viele Konten haben ein Sicherheits-
oder Datenschutztab,

welches Ihnen sagt,
welche Ihrer Geräte eingeloggt sind

und von wo.

Zum Beispiel bin ich jetzt hier

und logge mich in mein Facebook
aus La Quinta ein,

wo dieses Treffen stattfindet.

Und wenn ich mir beispielsweise

meine Facebook-Anmeldungen ansehen würde,

und sehen würde, dass sich jemand
in Dubai einloggt,

wäre es verdächtig,

denn ich war seit langer Zeit
nicht mehr in Dubai.

Aber manchmal ist es wirklich ein RAT.

Wenn man mit RAT
"Remote Access Trojaner" meint.

Und wenn wir RAT sagen,

meinen wir meistens Stalkerware.

Einer der Gründe, wieso kompletten
Zugang zu Ihrem Gerät zu bekommen

für Regierungen verlockend ist,

ist der gleiche Grund, wieso dies auch

für ehemalige oder gewalttätige
Partner verlockend ist.

Wir tragen Ortungsgeräte den ganzen Tag
in unserer Tasche herum.

Wir tragen Geräte mit uns,
die alle unsere Kennwörter,

alle unsere Kommunikationen beinhalten,

unsere end-to-end verschlüsselten
Kommunikationen eingeschlossen.

Alle unsere Emails, alle unsere Kontakte,

alle unsere Selfies sind an einem Ort,

an dem auch oft unsere
finanziellen Informationen sind.

So ist der komplette Zugriff
auf das Mobiltelefon einer Person

vergleichbar mit komplettem Zugang
zu den Gedanken einer Person.

Stalkerware ermöglicht uns diesen Zugang.

Also fragen Sie vielleicht, wie das geht?

Stalkerware funktioniert so,

dass es ein handelsübliches Programm ist,

welches ein Täter kauft

und auf dem Gerät installiert,
welches er ausspionieren will,

meistens weil sie direkten Zugang haben

oder ihr Opfer dazu bringen können,
es selbst zu installieren,

indem sie etwa sagen:

"Das hier ist ein sehr wichtiges Programm,

dass du auf deinem Gerät
installieren solltest."

Dann bezahlen sie die Stalkerware-Firma

für den Zugang zu einem Portal,

welches ihnen alle Informationen
von diesem Gerät gibt.

Man bezahlt dafür etwa 40 Mäuse im Monat.

So ist diese Art der Spionage
auffallend billig.

Wissen diese Firmen,

dass ihre Mittel

als Mittel des Missbrauchs genutzt werden?

Absolut.

Wenn man sich einmal
die Marketing-Unterlagen für Cocospy,

ein solches Produkt, ansieht,

steht auf der Webseite,

dass Cocospy Ihnen ermöglicht,
ihre Frau mit Leichtigkeit zu bespitzeln,

"Sie müssen sich keine Sorgen darüber
machen, wo sie hingeht,

mit wem sie redet und welche
Webseiten sie besucht."

Das ist ziemlich verstörend.

HelloSpy, ein weiteres solches Produkt,

hatte eine Marketing-Seite,
auf der im Marketingtext überwiegend

über die Häufigkeit
des Betrügens berichtet wurde

und wie wichtig es ist, Ihren Partner
beim Betrügen zu erwischen,

mit einem Bild eines Mannes,

der offensichtlich seine Partnerin
gerade beim Betrügen erwischt hat,

und sie geschlagen hat.

Sie hat ein blaues Auge
und Blut im Gesicht.

Ich glaube nicht,
dass es noch infrage steht,

auf wessen Seite sich HelloSpy
in diesem Fall stellt

und wem sie ihr Produkt verkaufen wollen.

Wenn man Stalkerware auf dem Computer
oder auf dem Handy hat,

kann es ziemlich schwer werden, zu wissen,
ob es da ist oder nicht.

Und einer der Gründe dafür,

ist wegen der Antiviren-Firmen,

die Stalkerware oft nicht als
schädlich anerkennen.

Sie erkennen es nicht als Trojaner

oder als etwas Anderes
wovor man normalerweise

gewarnt werden würde.

Es gibt einige Ergebnisse
vom Anfang dieses Jahres von VirusTotal.

Ich glaube, dass ein Beispiel,
welches ich mir anschaute,

das Ergebnis erzielte,
dass 7 von 60 der Plattformen

die Stalkerware,
die ich testete, erkannten.

Hier ist eine weitere Probe,
bei der es mir gelang, 10 --

10 von 61 zu bekommen.

Das sind immer noch
sehr schlechte Ergebnisse.

Er ist mir gelungen,
einige Antiviren-Firmen zu überzeugen,

Stalkerware als schädlich zu markieren.

Das heißt, alles was Sie machen müssen,

wenn Sie Angst haben, dass Stalkerware
auf Ihrem Computer sein könnte,

ist, das Programm herunterzuladen,

eine Untersuchung durchzuführen,
und es sagt Ihnen:

"Hey, da ist ein potenziell
ungewolltes Programm auf Ihrem Gerät".

Es gibt Ihnen die Möglichkeit,
dieses zu entfernen,

aber entfernt es nicht automatisch.

Und einer der Gründe dafür ist,

dass so Missbrauch funktioniert.

Oft sind sich die Opfer
von Missbrauch nicht sicher,

ob sie den Täter warnen wollen,

indem sie ihren Zugriff sperren.

Oder sie haben Angst, dass der Täter
zur Gewalt greifen wird

oder vielleicht noch
gewalttätiger werden wird,

als es bisher der Fall war.

Kaspersky war eine der ersten Firmen,

die sagten, sie würden anfangen,
das hier ernst zu nehmen.

Und im November dieses Jahres

veröffentlichten sie einen Bericht,
in dem sie sagten,

dass, seit sie angefangen hätten,
Stalkerware bei ihren Nutzern zu erkennen,

hätten sie einen Zuwachs von 35% gesehen.

Ähnlich veröffentlichte
Lookout die Aussage,

dass sie dieses Problem
viel ernster nehmen würden.

Zu guter letzt veröffentlichte
auch eine Firma namens Malwarebytes

eine solche Aussage und sagte, sie hätte,

in der Zeit, in der sie danach suchte,

2500 Programme gefunden, die als
Stalkerware bezeichnet werden konnten.

Im November half ich endlich,
eine Koalition zu starten,

genannt Coalition Against Stalkerware,

die sich aus Akademikern zusammensetzt,

aus Menschen, die diese Arbeit
in der Praxis durchführen --

die, die Menschen helfen, von ihren
gewalttätigen Partnern zu entkommen --

und Antiviren-Firmen.

Und unser Ziel ist es, Menschen
über diese Programme zu informieren,

aber auch Antiviren-Firmen
dazu zu bringen,

die Normen ihres Verhaltens

zu dieser sehr verstörenden
Software zu verändern,

sodass ich bald hier vor
Ihnen stehen könnte

und über das hier reden könnte,

und sagen könnte,
dass das Problem gelöst wurde

und dass alles, was Sie dafür machen
müssen, ist, sich Antivirenprogramme

herunterzuladen, für die es normal
sein wird, Stalkerware zu identifizieren.

Das ist meine Hoffnung.

Dankeschön.

(Applaus)