VPN, TOR, Usenet, OCH und jDownloader

accC

gesperrt
Registriert
14 Juli 2013
Beiträge
3.384
Zunächst möchte ich klarstellen, dass ich diesen Thread nicht aus eigener Motivation heraus eröffne, sondern dass ich von einem Nutzer, der offensichtlich nicht zu großes Aufsehen erregen möchte, via privater Nachricht angeschrieben und gefragt wurde.

Da ich das Thema für interessant halte und glaube dass auch andere Nutzer von den Fragen und hoffentlich auch Antworten Dritter profitieren können, habe ich mich entschlossen nicht einfach via PN zu antworten, sondern das Thema hier öffentlich zu diskutieren. Ich denke auch, dass das besser ist, da ich sicherlich kein Experte bin und auch nicht die Weisheit mit Suppenkellen gefressen habe. Insofern bitte ich gleich, dass auch mir Fehlbarkeit zugestanden wird und sollte ich an der ein oder anderen Stelle schlicht falsch liegen, hoffe ich natürlich darauf, dass ich korrigiert werde.



-Ist das Risiko erwischt zu werden für einen leecher im usenet deutlich geringer als die Nutzung von OCH´s und Jdownloader?

Pauschal kann man das nicht oder zumindest nicht zufriedenstellend beantworten. Die Antwort ist: Es hängt davon ab.
Um genauer zu sein hängt von den äußeren Umständen ab, unter denen man online ist. Wenn man noch genauer werden möchte, wird es schon schwierig, alle Möglichkeiten, Rechtlichen Situationen und Faktoren zu beachten.

der technische Aspekt
Ob im Usenet oder beim Download von OCHs hinterlässt man zunächst seine IP. Das heißt, jeder der die IP mit einem timestamp sieht, kann dich mehr oder weniger identifizieren.
Sowohl Usenetprovider, als auch einige OCHs werben mit der Anonymität, die sie ihren Nutzern versprechen. Angegeben wird, dass keine IPs gespeichert werden. Das hieße: Selbst wenn ein Angreifer an die Server der Dienste (OCH/ Usenet) käme, würde er dort keine Hinweise auf Up- und Downloader finden können. So viel zur Theorie des Nicht-Loggens. Natürlich muss man sich nun fragen, ob wirklich das drin ist, was drauf steht, ob ein Provider also wirklich nicht loggt oder ob es nur eine (Werbe)Lüge ist. Klar ist: Ganz ohne Logging können weder OCHs noch Usenetprovider ihre Dienste betreiben. Bspw. Downloadlimits können bei Free-Usern nur auf Basis von IPs realisiert werden und das widerspricht der Möglichkeit des Nicht-Loggens. Auch Usenetprovider müssen zumindest in gewissen Situationen Logging betreiben. Ich persönlich würde unter keinen Umständen den Werbeversprechen dieser Anbieter trauen, allein schon, weil genügend Fälle bekannt sind, in denen Wasser gepredigt (kein Logging versprochen) und Wein getrunken (aktives Logging auf den Servern) wurde.

Ich habe bislang geglaubt das bei Nutzung von Tor und VPN´s der Jdownloader sicher ist, bzw. nehme an das dies auch zukünftig noch so ist.
Ich weiß nicht genau, ob und wie sich der jDownloader-Traffic über das TOR-Netzwerk tunneln lässt. Da TOR von Haus aus nicht auf Geschwindigkeit ausgelegt ist, schätze ich, dass du mittels TOR keinen vernünftigen Download - besonders nicht im großen Stil - durchführen können wirst. Für "normale" Seitenbesuche kannst du natürlich TOR verwenden.

prinzipielle Sicherheit bei TOR
Zum TOR-Netzwerk allgemein kann ich sagen, dass es nicht in jedem Fall sicher ist. Mit hinreichendem Einfluss im Netzwerk, das heißt beispielsweise als giftiger Exitnode, kann ein Angreifer deine Sicherheit gefährden. Genauso sieht es aus, wenn man im Besitz "hinreichend vieler" Knoten innerhalb des Netzwerks, über die der Traffic springt, bist, auch dann kann man die Sicherheit, die das TOR-Netzwerk verspricht aushebeln. - Auch wenn immer noch die Sicherheit von TOR propagiert wird und ich in den Augen einiger hier Gotteslästerei betreibe, unter Laborbedingungen ist das TOR-Netzwerk als nicht mehr sicher einzustufen.
Gleichzeitig sollte jedoch klar sein, dass man hier nicht gezielt gegen bestimmte Nutzer vorgehen kann und ein solcher Angriff weder vom Laien noch mit akzeptablen Mitteln in der Praxis durchführbar ist. Die Abmahnanwälte Deutschlands verfügen definitiv (noch) nicht über die dazu nötigen Mittel. Trotzdem ist eine 100%ige Sicherheit durch das TOR-Netzwerk nicht gegeben.

VPNs sind auch nicht besser
Natürlich hinterlässt du selbst bei VPNs deine IP-Adresse. Die Betreiber versprechen hier ebenfalls, dass sie deine IP nicht speichern und nach außen heraus geben sie sie (nachweislich) nicht, aber ob "kein loggen" wirklich "kein loggen" ist, steht in den Sternen. Auch hier gibt es immer wieder Negativbeispiele. Viele VPN-Betreiber haben in ihren AGB Regelungen getroffen, dass sie deine Daten bei Terrorismusverdacht, KiPo usw. an Behörden weiter geben. - Damit mich keiner falsch versteht, die Verfolgung von KiPo halte ich für sinnvoll und die Behörden sollten in diesen Fällen vollste Untersützung erfahren! - Trotzdem ist natürlich klar: Wenn der VPN-Betreiber die Daten an Behörden geben kann, dann muss er sie auch speichern. Da er nicht im Voraus weiß, ob ein Nutzer Kathenbilder oder KiPo verbreitet, ist natürlich auch klar, dass er grundsätzlich erst mal alle Daten loggen muss um sie dann ggf. weiterzugeben. Das widerum wiederspricht allerdings der Aussage, es würde nicht geloggt. Um es also zusammen zu fassen: Ein VPN kann in der Theorie natürlich sicher sein, prinzipiell ist aber auch hier zur Vorsicht geboten. Es gilt eben genau das Gleiche, wie oben bei OCH und Usenet-Betreibern.

Natürlich unter Verwendung von Gehirn und Vorsicht bei der Accounterstellung, Anbieterauswahl, etc.
Stimmst Du hier überein? Oder sollte ich mich lieber komplett auf das usenet verlassen für die nächste Zeit?
Technisch gesehen können VPN, OCH, Usenet-Provider dir eine gewisse Sicherheit garantieren, auch das TOR-Netzwerk kann dir in der Praxis eine gewisse Sicherheit garantieren, theoretische Angriffsmodelle und Schwachstellen, die immer wieder auftreten können, kann man aber nie wirklich ausschließen. Solange es keinen zuverlässigen Datenaustausch auf (vermutlich) Layer 2 gibt, der ohne Paketadressierung oder Identifikation von beteiligten Kommunikationspartnern auskommt, kann allerdings keine 100%ige Sicherheit gewährleistet werden.

- wenn ich auf das usenet setze, ist dann ein zusätzlicher VPN Anbieter überhaupt notwendig der beim saugen mitläuft, oder kann ich mir das Geld für z.B. openVPN sparen?
Die Antwort im Hinblick auf technische Aspekte kannst du dir aus den vorherigen Aussagen zusammenreimen: Ist der Usenet-Provider oder der OCH vertrauenswürdig genug oder kannst du dem VPN-Betreiber nicht signifikat eher vertrauen, als dem Betreiber des jeweiligen Dienstes, dann kannst du auf den VPN verzichten, da er dir keine weitere Sicherheit bringt. In den anderen Fällen, ist der Einsatz eines VPNs zwar eine weitere Hürde, man kann sie aber nicht prinzipiell als ausreichend betrachten.

der rechtlichen Aspekt
Bisher bin ich nur auf Technik eingegangen. Jetzt kommen wir mal zum "praktischen" Teil. Bisher bin ich davon ausgegangen, dass ein Angreifer, also beispielsweise ein Strafverfolgungsbehörde Zugriff auf die Server erhält und entweder IP-Loggs und/ oder Kundendaten vorhanden sind oder eben nicht. Jetzt kommen wir zu dem Punkt, an dem wir uns fragen, ob eine Behörde rechtlich überhaupt an entsprechende Daten kommen kann und darf und ob sie dann gegen dich vorgehen können.
Zunächst einmal sitzen viele OCH und auch Usenetprovider im Ausland. Je nachdem, wo der Anbieter sitzt, kann es für einen Rechteinhaber schwer werden, überhaupt gegenüber dem Anbieter seine Rechte geltend zu machen. OCHs und Usenetprovider operieren zunächst legal. Lediglich die Anbieter von Raubmordkopien nutzen den Service illegal. Je nach Land und Gesetzeslage kann es also sein, dass trotz prinzipieller Kooperation bei der Strafverfolgung nicht einfach Server beschlagnamt oder Nutzerdaten herausgegeben werden müssen, selbst wenn diese vorliegen würden.
Zunächst müsste ein Rechteinhaber also Zugriff auf die Server eines Anbieters erhalten, um ggf. vorhandene IP-Logs zu erhalten oder der Serviceprovider müsste zur Herausgabe der Daten gezwungen werden. Denkbar und möglich ist das. Rapidshare ist, trotzdem es heftigen Widerstand geleistet hatte, ja nicht grundlos nach Jahren aus dem Geschäft mit der Szene verdrängt worden, bevor es sich letztlich selbst abgeschafft hat. Um zum Punkt zu kommen: Natürlich ist es rechtlich möglich, dass Behörden an Nutzerdaten kommen, nicht unbedingt immer einfach, aber oft genug.
Interessant zu erwähnen ist auch, dass nicht unbedingt der Serviceprovider rechtlich fassbar sein muss, sondern im Zweifelsfall auch direkt auf Ebene der Rechenzentren vorgegangen werden kann. Stehen die Server eines OCH in Deutschland, kann man u.U. Server direkt im Rechenzentrum beschlagnahmen, auch wenn der Betreiber des OCH für Behörden ungreifbar irgendwo auf den Cayman Islands säße.

Jetzt wird es aber interessant(er), denn selbst wenn ein Rechteinhaber nun deine Daten hat, heißt auch das nicht, dass er beliebig gegen dich vorgehen kann.
Hier kann man prinzipiell zwei Gruppen unterscheiden: Uploader und Downloader
Im Fall der Downloadern kann man noch mal unterscheiden, nämlich ob es "einfach gelagerte Fälle" sind oder nicht.
Zunächst zu den Uploadern: Diese kann man für gewöhnlich strafrechtlich verfolgen und in Haftung ziehen. Dabei können dann Schäden in quasi beliebiger Höhe geltend gemacht werden.
Bei den Downloadern wird es allerdings schwer bis unmöglich Schadensansprüche gelten zu machen in einigen Fällen sogar schlicht unrentabel.
Zunächst sollte man vielleicht eine andere als die oben getroffene Unterscheidung bei Downloadern treffen: Einen Anspruch gegen einen Downloader kann man nur geltend machen, wenn man zweifelsfrei den Downloader identifizieren kann. In der Regel bekommt man bei IP-Logs jedoch nur den Anschlussinhaber heraus, dieser muss aber nicht immer der Rechteverletzer sein.
Kann der Anschlussinhaber glaubhaft machen, dass auch andere für die Rechtsverletzung in Frage kommen, dann liegt es beim Kläger (Rechteinhaber), nachzuweisen, wer genau die Rechtverletzung begangen hat. Das ist allerdings in allen mir bekannten Fällen weder gelungen noch möglich. Insbesondere gilt: Der Anschlussinhaber haftet weder für volljährige Haushaltsmitbewohner noch für seine Kinder, wenn eine entsprechende Belehrung stattgefunden hat. In letzter Zeit gab es wohl auch viele Urteile, die die Vailität von IP-Logs bei den Providern, in Frage gestellt haben oder bei denen die Korrektheit dieser Logs widerlegt werden konnte. Hier hatten einfach Fehler bei der Zuweisung von IP und Zeit zu einem Kunden vorgelegen.
Würde nun trotz all dieser Schwierigkeiten der Schadensverursacher eindeutig ermittelt werden, so wäre die Unterscheidung von oben relevant, also ob es sich um einen einfach gelagerten Fall handelt oder nicht. In einfach gelagerten Fällen ist es üblich, dass lediglich 100 Euro Anwaltsgebühr plus der Lizensierungswert des Werkes geltend gemacht werden können. Als Beispiel nehmen wir Farbenspiel von Helene Fischer. Der Lizensierungswert liegt bei 13,99 Euro, also den Kosten einer CD. In einem einfach gelagerten Fall können also höchstens 113,99 Euro Schaden (100 Euro Anwaltsgebühr, 13,99 Euro CD Preis) geltend gemacht werden.
Störerhaftung wäre dann noch interessant, wenn also nicht ermittelt werden kann, wer den Schaden verursacht hat, aber der Anschlussinhaber selbst dafür (sicher) nicht in Frage kommt. Allerdings wird Störerhaftung immer häufiger von Gerichten verneint. Ganz aktuell ist beispielsweise ein Fall, von dem Christian Solmecke in einem Youtube-Beitrag berichtet:

An dieser Stelle möchte ich jedoch klarstellen, dass ich kein Jurist bin und nur das wiedergeben kann, was ich aus diversen Quellen mitbekomme und auch nur so, wie ich es verstanden habe. Nur weil ich irgendwo irgendwas gehört habe, heißt das nicht, dass ich den Sachverhalt korrekt und vollständig wahrgenommen und verstanden habe und es heißt schon zwei mal nicht, dass ich dann nach Monaten noch in der Lage bin ihn korrekt wiederzugeben. Für eine genauere Klärung wäre wohl ein Jurist mit Spezialisierung auf Urheberrecht notwendig und auch der würde vermutlich keine verbindliche Aussage treffen wollen/ können. Daher bitte ich, meine Ausführungen mit entsprechender Vorsicht zu genießen und nicht blind an deren Gültigkeit zu glauben.

Meine Devise wäre: doppelt hält besser, wobei ich als Hoster Premiumize.me nutze und nicht wirklich sicher bin ob ich da zusätzlich zum saugen noch einen VPNmitlaufen lassen sollte.
Nun Premiumize.me kenne ich nicht, weder aus eigener Erfahrung, noch vom Hören-Sagen. Ich kann dir also nichts zur Vertrauenswürdigkeit des Anbieters sagen. Die für dich entscheidende Frage ist wohl, ob du dem Betreiber hinreichend vertraust, dass du auf einen VPN verzichten möchtest oder ob du ein zusätzliches Netz spannen möchtest, dem du eben auch nur beschränkt vertrauen kannst. Hier nehme ich einfach mal die Sicht eines BWL'ers an: Rechne dir aus, welche Konstellation dir den geringsten Schaden verursacht:
Ich persönlich stelle mir häufig die Frage, warum viele Leute sich so verweigern Geld für ein Werk auszugeben, gleichzeitig aber bereitwillig an allen Ecken und Enden Geld heraus werfen, um möglichst sicher und anonym illegal Werke beziehen zu können.

Wenn ich mir für 20E/Monat einen VPN miete und dann noch jeden Monat 15E für einen Premium-Account ausgebe, dann kann ich auch legal für 30 Euro die CD kaufen und komme sogar noch günstiger weg.


Zum surfen auf einschlägigen Seiten wird selbstverständlich TOR weiter benutzt.
Dazu habe ich ja bereits alles Nötige gesagt.


Sollte ich den Beitrag in absehbarer Zeit abändern:
- Version 1.1 | Stand: 2014-11-13.00.06
- Version 1.2 | Stand: 2014-11-13.01.26
 
Zurück
Oben