Menschen, die identifiziert werden, scheitern selten an einem raffinierten Angriff auf die Verschlüsselung. Sie werden über Verknüpfungen identifiziert: derselbe Benutzername, dieselbe E-Mail, dieselbe IP, dieselben Schreibgewohnheiten. Operational Security (OpSec) ist die Disziplin, diese Verknüpfungen zu beseitigen. Dies ist eine praktische Checkliste für alle, die einen Server betreiben und Wert auf Privatsphäre legen, sei es aus Sicherheitsgründen, geschäftlich oder aus Prinzip.
1. Entscheiden Sie, vor wem Sie sich verbergen
Ein Konkurrent, ein Stalker, eine feindliche Regierung und ein gelangweilter Scraper erfordern ganz unterschiedliche Abwehrmaßnahmen. Schreiben Sie zuerst Ihre Bedrohung auf und investieren Sie dann Aufwand dort, wo es zählt. „Alle“ ist kein Bedrohungsmodell.
2. Identitäten getrennt halten
Verwenden Sie für jedes Projekt einen eigenen Benutzernamen, eine eigene E-Mail-Adresse und ein eigenes Passwort. Übernehmen Sie niemals ein Pseudonym aus einem privaten oder älteren Konto. Ein einziges gemeinsames Detail genügt, um die Punkte zu verbinden.
3. Melden Sie sich nie ungeschützt von zu Hause an
Ihre Heim-IP-Adresse ist das stärkste Identifikationsmerkmal, das Sie haben. Greifen Sie über ein VPN oder Tor auf den Server zu, und zwar konsequent. Eine einzige direkte Anmeldung von Ihrem Heimanschluss wird in den Protokollen des Anbieters und in der auth.log Ihres Servers dauerhaft festgehalten.
4. Zahlen Sie auf eine Weise, die zu Ihrer Bedrohung passt
Karten- und Banküberweisungen sind an Ihren Namen gebunden. Coins unterscheiden sich in ihrer Rückverfolgbarkeit, und Börsen verlangen einen Ausweis. Lesen Sie die Grundlagen zur Krypto-Privatsphäre und laden Sie das Konto mit Coins auf, die zu Ihrem Ziel passen.
5. Achten Sie auf Ihre Metadaten
- Dokumente und Bilder enthalten Autorennamen und GPS-Daten. Entfernen Sie diese vor der Veröffentlichung.
- WHOIS-Einträge legen Domaininhaber offen, sofern der Datenschutz nicht aktiviert ist. Siehe Domain anonym kaufen.
- TLS-Zertifikate sind öffentlich. Ein Zertifikat für einen Namen, den Sie anderswo verwenden, verknüpft beide miteinander.
6. Halten Sie das öffentliche Erscheinungsbild des Servers minimal
Schließen Sie jeden nicht benötigten Port, verbergen Sie Softwareversionen und nutzen Sie einen Standard-Virtual-Host, der bei einer Anfrage an die nackte IP nichts verrät. Die Schritte behandelt die Anleitung zu UFW und fail2ban.
7. Vermischen Sie keine Clearweb- und versteckten Dienste
Wer eine öffentliche Website und einen Onion-Dienst auf derselben Maschine betreibt, ermöglicht Korrelation über Timing, Verfügbarkeit und Software-Banner. Verwenden Sie getrennte Server.
8. Gehen Sie sorgfältig mit E-Mail um
Mail-Header zeigen die sendende IP. Senden Sie über ein Relay und nicht vom Ursprungsserver, und lesen Sie E-Mail selbst hosten: Dos and Don'ts.
9. Sichern und verschlüsseln
Ein unverschlüsseltes Backup in Ihrem privaten Cloud-Konto macht alles zunichte. Nutzen Sie verschlüsselte Backups und bewahren Sie die Schlüssel getrennt von den Daten auf.
10. Denken Sie an Ihre eigenen Gewohnheiten
Zu denselben Uhrzeiten posten, dieselben Formulierungen verwenden und dieselben Tippfehler machen – all das identifiziert eine Person. Seien Sie sich dessen bewusst und sprechen Sie nicht über Ihr Projekt an Orten, die mit Ihrem echten Namen verbunden sind.
Keine Konfiguration macht Sie unsichtbar, und kein Host kann das versprechen. Ziel ist, die Identifizierung aufwendig zu machen und die oben genannten einfachen Fehler zu vermeiden. Zu den Grenzen lesen Sie wie anonym anonymes Hosting wirklich ist.