OPSEC-Grundlagen: operative Sicherheit

OPSEC steht für „Operational Security“, auf Deutsch operative Sicherheit. Gemeint sind alle Gewohnheiten und Maßnahmen, mit denen du verhinderst, dass Informationen über dich nach außen dringen und sich zu einem Bild zusammensetzen lassen. OPSEC ist der Teil der Anonymität, den keine Software für dich erledigt.

Warum Technik allein nicht reicht#

Tor verbirgt deine IP-Adresse. Was du schreibst, wo du dich anmeldest und welche Spuren du hinterlässt, kontrolliert es nicht. Die bekanntesten Enttarnungen zeigen das deutlich:

• Ross Ulbricht (Silk Road): Ein Steuerfahnder fand 2013 per Google-Suche einen frühen Forenbeitrag, in dem der Nutzer „altoid“ für Silk Road warb. Derselbe Nutzer hatte an anderer Stelle seine private Gmail-Adresse mit seinem echten Namen veröffentlicht.
• Alexandre Cazes (AlphaBay): Die automatischen Willkommens-E-Mails des Marktplatzes nutzten seine private Hotmail-Adresse als Absender.
• Harvard 2013: Ein Student schickte über Tor eine Bombendrohung – aus dem Uni-WLAN. Die Ermittler fragten schlicht, wer sich zu dieser Zeit im Netz der Uni mit Tor verbunden hatte. Der IT-Sicherheitsexperte Bruce Schneier fasste es so zusammen: Nicht Tor ist gescheitert, sondern der Nutzer.

Die Fälle analysiert der Artikel OPSEC-Fehler: bekannte Fälle und ihre Lehren.

Das Grundprinzip: Kompartimentierung#

Das wichtigste Prinzip der OPSEC ist die strikte Trennung von Lebensbereichen, auch Kompartimentierung genannt. Eine anonyme Identität darf mit deiner echten an keiner Stelle in Berührung kommen:

Zehn Grundregeln#

1. Erstelle ein Bedrohungsmodell. Kläre, wovor du dich schützt, bevor du Maßnahmen ergreifst. → Ein Bedrohungsmodell erstellen
2. Halte Identitäten getrennt. Ein einziger gemeinsamer Benutzername kann alles verbinden.
3. Gib so wenig preis wie möglich. Jede Angabe über Wohnort, Beruf, Alter oder Gewohnheiten verkleinert den Kreis möglicher Personen.
4. Entferne Metadaten. Fotos und Dokumente verraten oft Gerät, Ort und Autor. → Metadaten aus Dateien entfernen
5. Halte Software aktuell. Angriffe zielen oft auf bekannte Lücken in veralteten Programmen.
6. Öffne Downloads nur offline. Dokumente können beim Öffnen Inhalte nachladen und deine IP-Adresse verraten.
7. Verändere den Tor Browser nicht. Erweiterungen und eigene Einstellungen machen dich unterscheidbar.
8. Vertraue niemandem blind. Gegenüber im Netz können Betrüger oder Ermittler sein.
9. Denke an die physische Welt. Ein unverschlüsseltes Gerät, ein Ausdruck oder ein Gespräch kann mehr verraten als jede Netzwerkverbindung.
10. Bleib konsequent. Ein einziger Fehler kann jahrelange Vorsicht zunichtemachen – Anonymität lässt sich nicht nachträglich wiederherstellen.

OPSEC mit Augenmaß#

OPSEC bedeutet nicht, paranoid zu werden. Für die meisten Menschen reichen sichere Passwörter, Zwei-Faktor-Authentifizierung, aktuelle Software und ein gesundes Misstrauen. Strengere Maßnahmen lohnen sich, wenn viel auf dem Spiel steht: für Journalisten und ihre Quellen, für Menschen in autoritären Staaten oder für Betroffene von Stalking.

Werkzeuge, die gute OPSEC erleichtern, sind etwa das Live-System Tails, ein Passwortmanager und verschlüsselte Messenger. Wie du deine Spuren im Alltag reduzierst, erklärt Digitale Spuren vermeiden.