Korrelation von Kommunikationszeit und Verhaltensmustern

Netzwerk

Korrelation von Kommunikationszeit und Verhaltensmustern

Bei Anonymität ist nicht nur wichtig, was gesendet wurde, sondern auch wann kommuniziert wurde.

Auch wenn Kommunikationsinhalte verschlüsselt sind, werden der Zeitpunkt einer Verbindung, die Datenmenge, Verbindungsabstände, Posting-Zeitpunkte und reale Handlungszeiten zu Hinweisen.

Wenn zum Beispiel direkt nach einem Ereignis an einem bestimmten Ort ein anonymer Beitrag erscheint und in diesem Zeitraum Kommunikation aus einem bestimmten Netzwerk ausging, wird der Kreis der Kandidaten kleiner.

Dieser Artikel ordnet ein, wie Kommunikationszeit und Verhaltensmuster mit Anonymität zusammenhängen.

Kommunikationszeit formt die Kontur von Verhalten

Kommunikationszeit bedeutet den Zeitpunkt oder Zeitraum, in dem Kommunikation auftritt.

Webzugriff, Posting, Login, Dateiversand, Nachrichtensenden, -Verbindung, -Verbindung und DNS-Anfrage haben mit Zeitpunkten zu tun.

Zeitinformation	Was sichtbar wird	Hinweis für Anonymität
Verbindungsbeginn	Wann kommuniziert wurde	Wird mit realem Verhalten abgeglichen
Datenmenge	Wie viel gesendet und empfangen wurde	Material für Vermutungen zu Dateiversand oder Videonutzung
Verbindungsabstand	Regelmäßiges Verhalten	Gewohnheiten oder automatische Verarbeitung werden sichtbar
Posting-Zeitpunkt	Öffentliche Handlung	Überschneidet sich mit Klarnamen-Seite oder realen Ereignissen
VPN-Verbindungszeit	Nutzung einer anonymen Umgebung	Beim ISP ist die VPN-Nutzungszeit sichtbar

Zeitinformationen zeigen für sich allein nicht auf eine Person.

Sie werden aber zu einer Achse, um andere Logs abzugleichen.

Auch bei Verschlüsselung bleibt Zeit sichtbar

HTTPS und TLS sind wichtig, um Kommunikationsinhalte zu schützen.

Sie löschen aber nicht vollständig, wann Kommunikation auftrat, welche Datenmenge anfiel oder zu welcher IP-Adresse verbunden wurde.

Information	Durch Verschlüsselung verborgen?	Erklärung
Seitentext	Auf dem Kommunikationsweg geschützt	Durch HTTPS geschützt
Formularinhalt	Auf dem Kommunikationsweg geschützt	Erreicht den Zieldienst
Verbindungszeitpunkt	Nicht verborgen	Das Auftreten der Kommunikation wird beobachtet
Datenmenge	Nicht verborgen	Tendenzen der Datenmenge sind sichtbar
Ziel-IP	Nicht verborgen	Für die Paketvermittlung nötig

Verschlüsselung und Anonymisierung sind verschieden.

Auch wenn der Kommunikationsinhalt nicht lesbar ist, werden die Tatsache der Kommunikation und ihre Zeit zu anderen Hinweisen.

Verbindung mit realem Verhalten

Kommunikationszeit verbindet sich mit realem Verhalten.

Wenn Kommunikation im selben Zeitraum wie Pendeln, Unterricht, Arbeit, Besprechungen, Veranstaltungen, Teilnahme vor Ort, Bewegung, Übernachtung, Zahlung oder Zutrittsprotokolle auftritt, wird der Kreis der Kandidaten kleiner.

Reales Verhalten	Korrelation mit Kommunikationszeit	Hinweis
Direkt nach einer Besprechung	Es wirkt, als hätte ein Teilnehmer anonym gepostet	Zeit verstreichen lassen
Vor Ort bei einer Veranstaltung	Aufenthalt vor Ort und Posting überlappen	Auch Standortinformationen und Fotos ansehen
Pendelzeit	Bewegungsweg wird sichtbar	Vorsicht bei Posts zu festen Zeiten
Nach Nachtschicht	Arbeitsform wird sichtbar	Verbindet sich mit Berufsangaben
Nach Schulunterricht	Schüler oder Lehrkräfte werden eingegrenzt	Jahrgang oder Kursname nicht nennen

Beim anonymen Posten ist ein Beitrag direkt nach einem Ereignis ein starker Hinweis.

Je unmittelbarer der Text wirkt, desto stärker wird auch die Verbindung mit dem Zeitpunkt.

Überschneidung mit Aktivitätszeiten der Klarnamen-Seite

Wenn die Aktivitätszeiten eines anonymen Kontos mit denen eines Klarnamenkontos übereinstimmen, entsteht der Eindruck derselben Person.

Wenige Minuten nach einem Beitrag auf der Klarnamen-Seite auf der anonymen Seite posten. Direkt nach einem langen anonymen Text auf der Klarnamen-Seite auf dasselbe Thema reagieren. Jeden Tag in derselben Pause beide Seiten bewegen.

Überschneidende Handlung	Was sichtbar wird	Gegenmaßnahme
Abwechselndes Posten	Wirkt, als würde dieselbe Person umschalten	Zeiträume trennen
Gleichzeitige Reaktion auf dasselbe Thema	Interesse und Zeit stimmen überein	Auch Themen trennen
Gleiche Ruhezeiten	Lebensrhythmus stimmt überein	Langzeitverlauf prüfen
Postings nach derselben Veranstaltung	Wirkt, als wäre man am selben Ort gewesen	Abstand zum Ereignis schaffen

Auch wenn Konten getrennt sind, bleibt Korrelation bestehen, wenn die Aktivitätszeit gleich ist.

Kommunikationslogs und Posting-Zeitpunkt

Bei Webdiensten, VPN, ISP, Arbeitsplatznetzwerken, Schulnetzwerken, Routern und DNS-Resolvern können Kommunikationslogs verbleiben.

Inhalt und Speicherdauer von Logs unterscheiden sich je nach Umgebung, aber Zeitpunkte sind in vielen Logs eine wichtige Achse.

Beobachtungspunkt	Möglicherweise sichtbare Zeitinformation	Hinweis
Zieldienst	Posting-, Login- und Request-Zeitpunkt	Verbindet sich mit Konto
ISP	Zeiten von VPN-Verbindungen oder externer Kommunikation	Kommunikationsinhalt ist ein anderes Problem
VPN-Anbieter	Verbindungszeiten oder Servernutzung	Richtlinie und Logverwaltung prüfen
Arbeitsplatz- oder Schulnetzwerk	Kommunikationszeit des Geräts	Auf Verwaltungslogs achten
DNS-Resolver	Anfragezeitpunkt	Hinweis auf Zieldomain

Bei Anonymität betrachtet man nicht nur ein einzelnes Log, sondern auch, dass mehrere Logs über Zeitpunkte abgeglichen werden.

Zeitkorrelation reduzieren

Zeitkorrelation lässt sich nicht vollständig löschen.

Starke Korrelation lässt sich aber reduzieren.

Gegenmaßnahme	Grund	Hinweis
Nicht direkt nach Ereignissen posten	Schwächt den Abgleich mit realem Verhalten	Auch die Zeitlinie im Inhalt verallgemeinern
Nicht abwechselnd mit der Klarnamen-Seite aktiv sein	Reduziert Kontokorrelation	Auch Themen trennen
Feste Posting-Zeiten vermeiden	Lebensrhythmus schwerer sichtbar machen	Geplante Posts sind nicht allmächtig
Bei hohem Risiko Veröffentlichungsziel bedenken	Allgemeine öffentliche Verbreitung vermeiden	Auch Beratungsstellen sorgfältig wählen

Nur die Zeit zu verschieben reicht manchmal nicht aus.

Wenn nur wenige Personen ein Ereignis kennen, bleiben Kandidaten auch dann übrig, wenn man die Zeit verallgemeinert. In diesem Fall denkt man Inhalt, Veröffentlichungsziel und Beratungsstelle neu.

Grenzen geplanter Posts und Verzögerung

Geplante Posts oder zeitverzögertes Posten helfen, Zeitkorrelation zu schwächen.

Sie sind aber nicht allmächtig. Erstellungszeit, Speicherzeit von Entwürfen, Login-Zeit, Antwortzeit nach dem Posten und Konkretheit des Inhalts bleiben.

Gegenmaßnahme	Was geschwächt wird	Was bleibt
Geplanter Post	Übereinstimmung von Veröffentlichungszeit und Lebenszeit	Zeiten von Erstellung und Antworten
Zeit verstreichen lassen	Eindruck direkt nach dem Ereignis	Konkretheit des Inhalts
Posting-Häufigkeit ändern	Fester Rhythmus	Langfristige Themenkorrelation
Antworten verzögern	Online-Status	Personeninformationen in Antworten

Zeitmaßnahmen werden zusammen mit Inhaltsmaßnahmen betrachtet.

Wenn Ereignisdetails unverändert geschrieben werden, kann es für Beteiligte trotz Zeitverschiebung erkennbar bleiben.

Besondere Vorsicht bei riskanten Aktivitäten vor Ort

Bei Protesten, Recherche, Felduntersuchungen oder Vorbereitung von Whistleblowing verbindet sich Kommunikationszeit leicht mit realem Verhalten.

Nötig sind Prüfungen wie nicht vor Ort posten, nicht direkt nach Bewegung reagieren, Aufnahmezeit und Hintergrund von Fotos prüfen und nicht abwechselnd mit der Klarnamen-Seite aktiv sein.

Bei riskanten Aktivitäten vor Ort sollte man nicht nur anhand eines Artikels entscheiden. Je nach Lage kann es nötig sein, vertrauenswürdige Unterstützungsstellen oder Fachleute zu konsultieren.

Zusammenfassung

Kommunikationszeit und Verhaltensmuster sind wichtige Hinweise für Anonymität.

Auch wenn Kommunikationsinhalte verschlüsselt sind, bleiben Verbindungszeitpunkt, Datenmenge, Verbindungsabstände und Posting-Zeitpunkt.

Sie können mit realem Verhalten, Klarnamenkonten, VPN-Verbindungen, Logs von Arbeitsplatz oder Schule und Aufzeichnungen des Zieldienstes verbunden werden.

Wer anonym veröffentlicht, prüft nicht nur, was geschrieben wird, sondern auch, wann kommuniziert und gepostet wird und mit welchem Verhalten es sich überschneidet.

Um Zeitkorrelation zu reduzieren, ist wichtig, nicht direkt nach Ereignissen zu posten, nicht abwechselnd mit der Klarnamen-Seite aktiv zu sein und auch nach der Veröffentlichung nicht eilig zu reagieren.

Zeit wird ebenfalls als Teil öffentlicher Information behandelt.

Learn