Was man vor der Nutzung von SecureDrop prüfen sollte

SecureDrop ist ein System, das Whistleblower und Hinweisgeber nutzen, um Materialien sicherer an Redaktionen und ähnliche Stellen zu senden.

Die Nutzung von SecureDrop macht die Situation jedoch nicht automatisch sicher. Eingereichte Inhalte, Dateimetadaten, Zugriffszeit, interne Organisationsprotokolle, reales Verhalten und Vertrauenswürdigkeit des Ziels spielen eine Rolle.

Bei Hochrisiko-Hinweisen ist die Vorbereitung vor der Nutzung des Werkzeugs wichtig.

Dieser Artikel ordnet, was vor der Nutzung von SecureDrop zu prüfen ist. Bei einer tatsächlichen Einreichung sollte man immer die offiziellen Hinweise des Einreichungsziels prüfen.

Was ist SecureDrop?

SecureDrop ist eine Open-Source-Whistleblowing-Plattform, mit der Redaktionen und ähnliche Organisationen Materialien sicherer von Hinweisgebern entgegennehmen.

Auf der offiziellen SecureDrop-Website lassen sich Funktionsweise, teilnehmende Organisationen und Dokumentation prüfen.

URL : https://securedrop.org/

SecureDrop hat erst dann Bedeutung, wenn es ein vertrauenswürdiges Einreichungsziel und korrekte Nutzung gibt.

Einreichungsziel prüfen

Vor der Nutzung von SecureDrop prüft man, ob das Einreichungsziel echt ist.

Links, die in Suchergebnissen oder in sozialen Medien gefunden wurden, sollte man nicht einfach vertrauen. Man geht von der offiziellen Website der Redaktion oder Organisation zu den Hinweisen.

Bei Anonymität ist auch das Einreichungsziel Teil des Vertrauensmodells.

Man prüft nicht nur das Werkzeug, sondern auch die Gegenseite.

Dateien und Inhalt prüfen

Vor der Einreichung prüft man Dateimetadaten und Inhalt.

Office-Dokumente, PDFs, Bilder, Videos und Audiodateien können Ersteller, Firmenname, Standortinformationen, Bearbeitungsverlauf und Kommentare enthalten. Auch aus dem Textinhalt kann vermutet werden, wer Zugriff auf das Material hatte.

Bei Whistleblowing kann der Inhalt selbst der stärkste Hinweis sein.

Auch wenn Metadaten entfernt wurden, verengt sich der Kreis der Kandidaten, wenn nur wenige Personen das Material sehen konnten.

Umgebung vor dem Zugriff vorbereiten

Bei der Nutzung von SecureDrop ist auch die Umgebung des Zugriffs wichtig.

Der Zugriff aus einem Arbeits- oder Schulnetzwerk, von einem bereitgestellten Gerät oder von einem überwachten Gerät ist gefährlich. Interne Organisationsprotokolle, Geräteverwaltung, Überwachungskameras, Ein- und Ausgangsaufzeichnungen sowie Druckverläufe können eine Rolle spielen.

In Hochrisikosituationen sollte man nicht allein anhand dieses Artikels entscheiden.

Wenn rechtliche Risiken oder körperliche Gefahren bestehen, ist Beratung durch eine Anwältin, einen Anwalt oder eine vertrauenswürdige Unterstützungsstelle nötig.

Verhalten nach der Einreichung vorab festlegen

Bei der Nutzung von SecureDrop betrifft auch das Verhalten nach der Einreichung die Anonymität.

Wiederholt nachsehen, am Arbeitsplatz nach verwandten Nachrichten suchen, Kolleginnen oder Kollegen ausfragen, mit einem Klarnamenkonto in sozialen Medien reagieren. Solche Handlungen können gefährlichere Hinweise werden als das Verhalten vor der Einreichung.

Informationsweitergabe endet nicht in dem Moment, in dem sie gesendet wurde.

Man betrachtet vor der Einreichung, während der Einreichung und nach der Einreichung als einen gemeinsamen Betrieb.

Es gibt auch Alternativen zu SecureDrop

SecureDrop ist nicht die einzige Methode zur Informationsweitergabe.

Je nach Redaktion können Signal, Postversand, spezielle Formulare, persönliche Beratung oder ein anderes anonymes Einreichungssystem bereitstehen. Welche Methode besser ist, hängt von Art des Materials, Risiko, Einreichungsziel und rechtlicher Situation ab.

Bei Hochrisiko-Hinweisen wählt man nicht einfach eine Methode, mit der man senden kann, sondern eine Methode, die die Information sicher behandeln kann.

Man liest die offiziellen Hinweise des Einreichungsziels und konsultiert bei Unsicherheit vertrauenswürdige Fachleute oder Unterstützungsstellen.

Nicht nur sich selbst, sondern auch Quellen schützen

Bei der Nutzung von SecureDrop muss man nicht nur sich selbst, sondern auch mit den Materialien verbundene Personen schützen.

Aus dem Inhalt der Materialien kann rückwärts erschlossen werden, wer Zugriff hatte, wer an einer Sitzung teilnahm, wer sie erstellt hat oder wer in einer Position war, sie zu senden.

Bei Informationsweitergabe ist nicht nur der Kommunikationsweg wichtig, sondern auch der Rückschluss aus dem Inhalt.

Vor der Einreichung ordnet man, wie viele Personen das Material sehen konnten, wann das Material berührt wurde und wo es gespeichert werden konnte.

Auch diese Ordnung selbst wird zu vertraulicher Information. Deshalb sollte man darauf achten, sie nicht in einer Klarnamen-Cloud oder auf einem Arbeitsgerät zu speichern.

SecureDrop hilft beim Einreichungsweg, aber die Sicherheit des eingereichten Inhalts muss separat geprüft werden.

Zusammenfassung

SecureDrop ist ein wichtiges System, um Hinweisgeber und Redaktionen oder ähnliche Stellen sicherer miteinander zu verbinden.

Die Nutzung von SecureDrop macht die Situation jedoch nicht automatisch sicher.

Vertrauenswürdigkeit des Einreichungsziels, Dateimetadaten, Rückschluss aus dem Inhalt, Zugriffsumgebung, interne Organisationsprotokolle und reale Aufzeichnungen spielen eine Rolle.

Vor der Nutzung prüft man die offiziellen Hinweise, prüft die Materialien und ordnet, welche Handlungen zur Identifizierung der eigenen Person oder beteiligter Personen führen könnten.

Bei Hochrisiko-Hinweisen ist es wichtig, nicht zu sehr allein zu entscheiden.

Verwandte Werkzeuge

Verwandte Artikel