Korrelation von Kommunikationszeit und Verhaltensmustern
Kommunikationszeiten, Datenmengen, Verbindungsabstände und Posting-Zeitpunkte können mit realem Verhalten, Logs und Klarnamenaktivität korrelieren.
Bei Anonymität ist nicht nur wichtig, was gesendet wurde, sondern auch wann kommuniziert wurde.
Auch wenn Kommunikationsinhalte verschlüsselt sind, werden der Zeitpunkt einer Verbindung, die Datenmenge, Verbindungsabstände, Posting-Zeitpunkte und reale Handlungszeiten zu Hinweisen.
Wenn zum Beispiel direkt nach einem Ereignis an einem bestimmten Ort ein anonymer Beitrag erscheint und in diesem Zeitraum Kommunikation aus einem bestimmten Netzwerk ausging, wird der Kreis der Kandidaten kleiner.
Dieser Artikel ordnet ein, wie Kommunikationszeit und Verhaltensmuster mit Anonymität zusammenhängen.
Kommunikationszeit formt die Kontur von Verhalten
Kommunikationszeit bedeutet den Zeitpunkt oder Zeitraum, in dem Kommunikation auftritt.
Webzugriff, Posting, Login, Dateiversand, Nachrichtensenden, VPN-Verbindung, Tor-Verbindung und DNS-Anfrage haben mit Zeitpunkten zu tun.
| Zeitinformation | Was sichtbar wird | Hinweis für Anonymität |
|---|---|---|
| Verbindungsbeginn | Wann kommuniziert wurde | Wird mit realem Verhalten abgeglichen |
| Datenmenge | Wie viel gesendet und empfangen wurde | Material für Vermutungen zu Dateiversand oder Videonutzung |
| Verbindungsabstand | Regelmäßiges Verhalten | Gewohnheiten oder automatische Verarbeitung werden sichtbar |
| Posting-Zeitpunkt | Öffentliche Handlung | Überschneidet sich mit Klarnamen-Seite oder realen Ereignissen |
| VPN-Verbindungszeit | Nutzung einer anonymen Umgebung | Beim ISP ist die VPN-Nutzungszeit sichtbar |
Zeitinformationen zeigen für sich allein nicht auf eine Person.
Sie werden aber zu einer Achse, um andere Logs abzugleichen.
Auch bei Verschlüsselung bleibt Zeit sichtbar
HTTPS und TLS sind wichtig, um Kommunikationsinhalte zu schützen.
Sie löschen aber nicht vollständig, wann Kommunikation auftrat, welche Datenmenge anfiel oder zu welcher IP-Adresse verbunden wurde.
| Information | Durch Verschlüsselung verborgen? | Erklärung |
|---|---|---|
| Seitentext | Auf dem Kommunikationsweg geschützt | Durch HTTPS geschützt |
| Formularinhalt | Auf dem Kommunikationsweg geschützt | Erreicht den Zieldienst |
| Verbindungszeitpunkt | Nicht verborgen | Das Auftreten der Kommunikation wird beobachtet |
| Datenmenge | Nicht verborgen | Tendenzen der Datenmenge sind sichtbar |
| Ziel-IP | Nicht verborgen | Für die Paketvermittlung nötig |
Verschlüsselung und Anonymisierung sind verschieden.
Auch wenn der Kommunikationsinhalt nicht lesbar ist, werden die Tatsache der Kommunikation und ihre Zeit zu anderen Hinweisen.
Verbindung mit realem Verhalten
Kommunikationszeit verbindet sich mit realem Verhalten.
Wenn Kommunikation im selben Zeitraum wie Pendeln, Unterricht, Arbeit, Besprechungen, Veranstaltungen, Teilnahme vor Ort, Bewegung, Übernachtung, Zahlung oder Zutrittsprotokolle auftritt, wird der Kreis der Kandidaten kleiner.
| Reales Verhalten | Korrelation mit Kommunikationszeit | Hinweis |
|---|---|---|
| Direkt nach einer Besprechung | Es wirkt, als hätte ein Teilnehmer anonym gepostet | Zeit verstreichen lassen |
| Vor Ort bei einer Veranstaltung | Aufenthalt vor Ort und Posting überlappen | Auch Standortinformationen und Fotos ansehen |
| Pendelzeit | Bewegungsweg wird sichtbar | Vorsicht bei Posts zu festen Zeiten |
| Nach Nachtschicht | Arbeitsform wird sichtbar | Verbindet sich mit Berufsangaben |
| Nach Schulunterricht | Schüler oder Lehrkräfte werden eingegrenzt | Jahrgang oder Kursname nicht nennen |
Beim anonymen Posten ist ein Beitrag direkt nach einem Ereignis ein starker Hinweis.
Je unmittelbarer der Text wirkt, desto stärker wird auch die Verbindung mit dem Zeitpunkt.
Überschneidung mit Aktivitätszeiten der Klarnamen-Seite
Wenn die Aktivitätszeiten eines anonymen Kontos mit denen eines Klarnamenkontos übereinstimmen, entsteht der Eindruck derselben Person.
Wenige Minuten nach einem Beitrag auf der Klarnamen-Seite auf der anonymen Seite posten. Direkt nach einem langen anonymen Text auf der Klarnamen-Seite auf dasselbe Thema reagieren. Jeden Tag in derselben Pause beide Seiten bewegen.
| Überschneidende Handlung | Was sichtbar wird | Gegenmaßnahme |
|---|---|---|
| Abwechselndes Posten | Wirkt, als würde dieselbe Person umschalten | Zeiträume trennen |
| Gleichzeitige Reaktion auf dasselbe Thema | Interesse und Zeit stimmen überein | Auch Themen trennen |
| Gleiche Ruhezeiten | Lebensrhythmus stimmt überein | Langzeitverlauf prüfen |
| Postings nach derselben Veranstaltung | Wirkt, als wäre man am selben Ort gewesen | Abstand zum Ereignis schaffen |
Auch wenn Konten getrennt sind, bleibt Korrelation bestehen, wenn die Aktivitätszeit gleich ist.
Kommunikationslogs und Posting-Zeitpunkt
Bei Webdiensten, VPN, ISP, Arbeitsplatznetzwerken, Schulnetzwerken, Routern und DNS-Resolvern können Kommunikationslogs verbleiben.
Inhalt und Speicherdauer von Logs unterscheiden sich je nach Umgebung, aber Zeitpunkte sind in vielen Logs eine wichtige Achse.
| Beobachtungspunkt | Möglicherweise sichtbare Zeitinformation | Hinweis |
|---|---|---|
| Zieldienst | Posting-, Login- und Request-Zeitpunkt | Verbindet sich mit Konto |
| ISP | Zeiten von VPN-Verbindungen oder externer Kommunikation | Kommunikationsinhalt ist ein anderes Problem |
| VPN-Anbieter | Verbindungszeiten oder Servernutzung | Richtlinie und Logverwaltung prüfen |
| Arbeitsplatz- oder Schulnetzwerk | Kommunikationszeit des Geräts | Auf Verwaltungslogs achten |
| DNS-Resolver | Anfragezeitpunkt | Hinweis auf Zieldomain |
Bei Anonymität betrachtet man nicht nur ein einzelnes Log, sondern auch, dass mehrere Logs über Zeitpunkte abgeglichen werden.
Zeitkorrelation reduzieren
Zeitkorrelation lässt sich nicht vollständig löschen.
Starke Korrelation lässt sich aber reduzieren.
| Gegenmaßnahme | Grund | Hinweis |
|---|---|---|
| Nicht direkt nach Ereignissen posten | Schwächt den Abgleich mit realem Verhalten | Auch die Zeitlinie im Inhalt verallgemeinern |
| Nicht abwechselnd mit der Klarnamen-Seite aktiv sein | Reduziert Kontokorrelation | Auch Themen trennen |
| Feste Posting-Zeiten vermeiden | Lebensrhythmus schwerer sichtbar machen | Geplante Posts sind nicht allmächtig |
| Bei hohem Risiko Veröffentlichungsziel bedenken | Allgemeine öffentliche Verbreitung vermeiden | Auch Beratungsstellen sorgfältig wählen |
Nur die Zeit zu verschieben reicht manchmal nicht aus.
Wenn nur wenige Personen ein Ereignis kennen, bleiben Kandidaten auch dann übrig, wenn man die Zeit verallgemeinert. In diesem Fall denkt man Inhalt, Veröffentlichungsziel und Beratungsstelle neu.
Grenzen geplanter Posts und Verzögerung
Geplante Posts oder zeitverzögertes Posten helfen, Zeitkorrelation zu schwächen.
Sie sind aber nicht allmächtig. Erstellungszeit, Speicherzeit von Entwürfen, Login-Zeit, Antwortzeit nach dem Posten und Konkretheit des Inhalts bleiben.
| Gegenmaßnahme | Was geschwächt wird | Was bleibt |
|---|---|---|
| Geplanter Post | Übereinstimmung von Veröffentlichungszeit und Lebenszeit | Zeiten von Erstellung und Antworten |
| Zeit verstreichen lassen | Eindruck direkt nach dem Ereignis | Konkretheit des Inhalts |
| Posting-Häufigkeit ändern | Fester Rhythmus | Langfristige Themenkorrelation |
| Antworten verzögern | Online-Status | Personeninformationen in Antworten |
Zeitmaßnahmen werden zusammen mit Inhaltsmaßnahmen betrachtet.
Wenn Ereignisdetails unverändert geschrieben werden, kann es für Beteiligte trotz Zeitverschiebung erkennbar bleiben.
Besondere Vorsicht bei riskanten Aktivitäten vor Ort
Bei Protesten, Recherche, Felduntersuchungen oder Vorbereitung von Whistleblowing verbindet sich Kommunikationszeit leicht mit realem Verhalten.
Nötig sind Prüfungen wie nicht vor Ort posten, nicht direkt nach Bewegung reagieren, Aufnahmezeit und Hintergrund von Fotos prüfen und nicht abwechselnd mit der Klarnamen-Seite aktiv sein.
Bei riskanten Aktivitäten vor Ort sollte man nicht nur anhand eines Artikels entscheiden. Je nach Lage kann es nötig sein, vertrauenswürdige Unterstützungsstellen oder Fachleute zu konsultieren.
Zusammenfassung
Kommunikationszeit und Verhaltensmuster sind wichtige Hinweise für Anonymität.
Auch wenn Kommunikationsinhalte verschlüsselt sind, bleiben Verbindungszeitpunkt, Datenmenge, Verbindungsabstände und Posting-Zeitpunkt.
Sie können mit realem Verhalten, Klarnamenkonten, VPN-Verbindungen, Logs von Arbeitsplatz oder Schule und Aufzeichnungen des Zieldienstes verbunden werden.
Wer anonym veröffentlicht, prüft nicht nur, was geschrieben wird, sondern auch, wann kommuniziert und gepostet wird und mit welchem Verhalten es sich überschneidet.
Um Zeitkorrelation zu reduzieren, ist wichtig, nicht direkt nach Ereignissen zu posten, nicht abwechselnd mit der Klarnamen-Seite aktiv zu sein und auch nach der Veröffentlichung nicht eilig zu reagieren.
Zeit wird ebenfalls als Teil öffentlicher Information behandelt.