Wie viele unabhängige Abhängigkeiten hat Ihre Privatsphäre-Kette?

Zählen Sie die Kästen in den meisten Datenschutzdiagrammen, erhalten Sie drei oder fünf Hops, jeder mit dem Logo eines anderen Unternehmens. Zählen Sie die Organisationen, die tatsächlich auf diese Kästen einwirken könnten und die Zahl schrumpft oft auf zwei. Eine Kette trennt Vertrauen nur so weit, wie ihre Abhängigkeiten unabhängig sind, und eine Hop-Zahl misst davon nichts. Genau diese Lücke ist die ganze Frage, die es wert ist, gestellt zu werden.

Zwei Karten helfen. Die eine verfolgt, wohin Pakete gehen; die andere hält fest, wer jedes Element betreibt, bezahlt, verwaltet und zu Handlungen gezwungen werden kann. Die zweite Karte ist unspektakulär, meist unvollständig und weit eher geeignet, eine Entscheidung zu ändern.

Zeichnen Sie den Verkehrsweg, dann den Kontrollweg

Ein gemieteter Proxy vor zwei Tunneldiensten sieht aus wie drei Parteien. Notieren Sie Hosting-Anbieter, Konto im Control Panel, Rechnungsidentität und die Adresse, an der ein rechtliches Ersuchen zugestellt würde, und die drei können sich auf einen Cloud-Mandanten mit einem einzigen Wiederherstellungspostfach reduzieren. Am Verkehrsweg hat sich nichts geändert; die Beschreibung der Unabhängigkeit schon.

Kennzeichnen Sie jede Zeile als bekannt, abgeleitet oder unbekannt, und notieren Sie, worauf die Kennzeichnung beruht. Ein Markenname belegt, wer Ihnen den Dienst verkauft hat. Er belegt nicht, wem die Maschine gehört, und schon gar nicht, ob Kundendaten in derselben Datenbank liegen wie die Daten eines anderen Dienstes.

Die Disziplin zählt mehr als die Tabelle. Sobald «unbekannt» ein zulässiger Wert ist, hört das Diagramm auf, sich selbst zu schmeicheln, und beginnt zu zeigen, welche fehlende Tatsache die Schlussfolgerung kippen würde.

Was eine Hop-Zahl nicht sehen kann

Hops beschreiben Kapselung und Weiterleitung. Sie sagen nichts über gemeinsame Administration, gemeinsamen Upstream-Transit, gemeinsame Zahlungsmittel oder gemeinsame Wiederherstellungskanäle, und genau diese vier Stellen sind es, an denen zwei nominell verschiedene Dienste still zu einem werden.

Nehmen Sie ein Design, dessen erster und letzter Hop zu verschiedenen Unternehmen gehören, die aber beide hinter demselben Transit-Anbieter sitzen. Aus der Position dieses Anbieters reist ein guter Teil der Metadaten über beide Enden durch dieselbe Infrastruktur. Das ist kein Nachweis einer Identifizierung; es ist eine Abhängigkeit, die eine Hop-Zahl-Zusammenfassung vollständig auslässt.

Der umgekehrte Fehler ist ebenso verbreitet. Die Annahme, getrenntes Eigentum garantiere Trennung, ignoriert, dass Betreiber auf dieselben Arten kompromittiert, gezwungen oder schlicht nachlässig werden. Unabhängigkeit wird Punkt für Punkt festgestellt, nicht durch ein Logo verliehen.

Ein autonomes System ist eine Routinggrenze

Eine AS-Nummer kennzeichnet eine Domäne, die ihren Peers eine kohärente Routing-Sicht präsentiert. Diese Aussage betrifft Routing-Politik, nicht Unternehmenseigentum, Personal, Gerichtsbarkeit oder Trennung von Zugangsdaten. Zwei Dienste hinter verschiedenen AS-Nummern können einen Eigentümer teilen, und ein Dienst, der über mehrere AS-Nummern verteilt ist, bleibt ein Betreiber.

AS-Nummern von einem Looking Glass abzulesen ist ein vernünftiger erster Durchgang für die Transitzeile Ihrer Karte. Es ist keine Messung des Weges, den Ihr Verkehr an einem bestimmten Abend genommen hat, und sollte nicht als solche beschrieben werden. Wo der Weg unbekannt ist, schreiben Sie unbekannt.

Vier Zeilen, die für jeden Hop auszufüllen sind

Arbeiten Sie jeden Endpunkt mit denselben vier Fragen in derselben Reihenfolge durch, damit Lücken sichtbar bleiben, statt von einem selbstsicheren Zusammenfassungssatz weggemittelt zu werden.

• Wer kann die Inhalte lesen? Benennen Sie die Partei, die die Schutzschicht beendet, und welche Klartexte oder Schlüssel sie hält.
• Wer kann die Kiste betreiben? Unterscheiden Sie den Infrastrukturinhaber von demjenigen, der Konsolenzugriff hat, und prüfen Sie, ob dieser Zugriff mit einem anderen Dienst in der Kette geteilt wird.
• Wessen Aufzeichnungen könnten sie mit etwas anderem verbinden? Rechnungsidentität, Wiederherstellungsadresse, Support-Konto und Zahlungsmittel sind die üblichen Brücken.
• Wer beantwortet eine Datenanfrage? Bestimmen Sie die juristische Person und die Gerichtsbarkeit, in der sie sitzt, und fragen Sie dann, welche Daten diese Person überhaupt aufbewahrt.

Halten Sie dann fest, woher jede Antwort stammt: Anbieterdokumentation, veröffentlichte Richtlinie, direkte Beobachtung oder eine Schlussfolgerung, die Sie zogen, weil die Alternative unbequem war. Eine Zeile, die durch eine konkrete Aufbewahrungsaussage gestützt wird, ist ein stärkerer Beleg als eine Zeile, die dadurch gestützt wird, dass die Website professionell wirkte.

Wann eine gemeinsame Abhängigkeit wirklich zählt

Die Datenschutzfrage ist nie, ob es eine gemeinsame Abhängigkeit gibt, sondern was diese Abhängigkeit verbinden könnte. Gemeinsamer Administrationszugriff ist eine andere Exposition als passive Sichtbarkeit verschlüsselten Verkehrs, und Kontoverknüpfung unterscheidet sich von beidem. Benennen Sie die Beobachtung, das Privileg und die aufbewahrte Aufzeichnung, bevor Sie etwas folgern.

Die Erörterung von Beobachtern und Korrelation in RFC 6973 gibt eine brauchbare Struktur: zählen Sie auf, was jede Entität lernt, und fragen Sie dann, was die Kombination dieser Erkenntnisse ergäbe. Dass zwei Parteien ähnliche Metadaten beobachten, ist ein Grund, Korrelation zu untersuchen. Es ist keine gemessene Wahrscheinlichkeit einer Identifizierung und sollte nicht als eine dargestellt werden.

Durchgearbeitet zerfällt das Drei-Parteien-Beispiel in getrennte Befunde. Gemeinsames Hosting ohne gemeinsamen Konsolenzugriff ist eine Konzentration in der Lieferkette. Ein gemeinsames Wiederherstellungspostfach ist eine administrative Brücke. Beides ist real; nur das zweite lässt eine Kompromittierung zwei Grenzen überschreiten.

Was am Ende steht, ist kein Anonymitätszertifikat. Es ist eine belastbare Aussage darüber, wo Unabhängigkeit geprüft, wo sie angenommen wurde und welche einzelne Tatsache Ihre Meinung ändern würde. Das ist besser als ein weiterer Pfeil im Diagramm.