Wenn du Windows nutzt, ist dir wahrscheinlich(neues Fenster) zumindest ansatzweise(neues Fenster) bewusst(neues Fenster), dass dein Laptop dich ausspioniert(neues Fenster). Diese Woche haben wir eine konkrete Erinnerung daran erhalten, wie invasiv(neues Fenster) das allgegenwärtige Betriebssystem von Microsoft in Bezug auf die Privatsphäre(neues Fenster) wirklich ist.
Peter Stokes, ein 19-Jähriger, der im Verdacht steht, Mitglied der berüchtigten kriminellen Hackergruppe Scattered Spider(neues Fenster) zu sein, wurde von Finnland an die Vereinigten Staaten ausgeliefert und beschuldigt, “Company F, einen Einzelhändler für Luxusschmuck”, gehackt zu haben.
Was den Fall jedoch so interessant macht, ist die Art und Weise, wie er gefasst wurde.
Windows als Spyware
Laut der Strafanzeige(neues Fenster) des FBI nutzte Stokes ein VPN, um seine Online-Aktivitäten auszublenden. Dies gilt weithin als vernünftige Option, da ein VPN deine echte IP-Adresse vor den von dir besuchten Websites und deine Online-Aktivitäten vor deinem ISP ausblendet. Doch er machte einen fatalen Anfängerfehler: Er benutzte Windows.
Die Behörden identifizierten Stokes mithilfe von Microsoft-Aufzeichnungen, die seinen Computer mit der verdächtigen Nutzung von ngrok in Verbindung brachten, einem Tunneling-Tool für die Webentwicklung, das verwendet wurde, um “die Netzwerkverteidigung von Company F zu umgehen und einen dauerhaften unbefugten Zugriff auf das Rechenzentrum von Company F zu aktivieren”.
Microsoft konnte den Computer von Stokes dank seines Global Device Identifier (GDID) identifizieren, einer “Kennung auf Geräteebene, die entwickelt wurde, um eine Installation eines Windows-Betriebssystems auf einem Gerät eindeutig zu identifizieren”.
Mit anderen Worten: Jede Installation von Windows verfügt über eine GDID, mit der Microsoft ein Gerät identifizieren kann (einschließlich virtueller Geräte), und um Telemetriedaten zu erfassen(neues Fenster). Eine Neuinstallation von Windows erstellt eine neue GDID für dieses Gerät, löscht die alte jedoch nicht aus den Systemen von Microsoft, sodass sie weiterhin zur Identifizierung eines Geräts verwendet werden kann.
Microsoft gab diese Informationen anschließend an Dritte weiter.
Wie das FBI die von Microsoft bereitgestellten Informationen nutzte
Diese Beweise allein reichten nicht aus, um das Verbrechen mit Stokes zu verbinden, aber die Kenntnis der GDID lieferte dem FBI einen Verlauf der IP-Adressen, auf die sein Gerät im Laufe der Zeit zugegriffen hatte. Um zu beweisen, dass diese IPs tatsächlich Peter Stokes gehörten, glichen die Ermittler diesen IP-Verlauf mit Anmeldungen bei Konten ab, die bekanntermaßen ihm gehörten, darunter Apple, Snapchat, Facebook und seine Anmeldung für das Spiel Growtopia.
Das Verbinden der GDID mit Konten, von denen bekannt ist, dass sie Stokes gehören, half laut der Anzeige zu beweisen, dass die zum Hacken des Juweliers verwendete GDID zu einem Gerät im Besitz von Stokes gehörte.
Dass eine der auf diese Weise ermittelten IP-Adressen zu einem New Yorker Hotel gehörte, das laut Ermittlern mit der Inneneinrichtung übereinstimmt, die auf einem Snapchat-Selfie zu sehen ist, auf dem sich Stokes mit einem Bündel 100-Dollar-Scheine das Gesicht verdeckt, wird seinem Fall wohl kaum helfen.
Was bedeutet das für den Rest von uns?
Zunächst einmal muss betont werden, dass das System in diesem Fall wie vorgesehen funktioniert hat.
Stokes sieht sich mit Anklagen unter anderem wegen Verschwörung, Cyber-Eindringlingen und Betrugsdelikten konfrontiert, die im Zusammenhang mit Lösegeldzahlungen von über 100 Millionen Dollar bei mehr als 100 Einbrüchen in Unternehmen seit 2022 stehen. Die Nutzung von Microsoft-Daten durch das FBI erfolgt im Rahmen der gesetzlichen Vorgaben, die Gerichtsbeschlüsse und Vorladungen erfordern.
Doch die GDID wirft wichtige Fragen zur Einwilligung der Benutzer auf und dazu, wer eigentlich die Hardware besitzt, für die du bezahlst. Du wirst nie gebeten, der GDID auf deinem Gerät zuzustimmen, und es gibt keine einfache Möglichkeit, sie zu entfernen. Selbst eine komplette Neuinstallation von Windows ist nur eine Teillösung.
In der gesamten umfangreichen Online-Dokumentation von Microsoft wird die GlobalDeviceId nur ein einziges Mal erwähnt, vergraben(neues Fenster) in einem äußerst obskuren technischen Dokument, das wahrscheinlich nie jemand lesen wird.
Es stimmt jedoch, dass auch alle anderen großen kommerziellen Betriebssysteme wie macOS, Android und iOS Geräte mit an Sicherheit grenzender Wahrscheinlichkeit für ihre Hersteller eindeutig identifizieren können. Das Bedauerliche daran ist, dass die meisten von uns diese Situation einfach hinnehmen.
Für diejenigen, die das nicht tun, besteht der einzige praktische Weg zur Vermeidung darin, Open-Source-Betriebssysteme wie Linux zu verwenden.
