Die für Whistleblower nötige Denkweise zur Anonymität

Die Anonymität beim Whistleblowing hat ein anderes Gewicht als gewöhnliche anonyme Beiträge.

Die Gegenseite kann eine Organisation sein, die keine Informationen verlieren will. Sie kann interne Protokolle, Zugriffsrechte, Verteilungshistorien von Dokumenten, Überwachungskameras, Ein- und Ausgangsaufzeichnungen, Geräteverwaltung und E-Mail-Verläufe besitzen.

Beim Whistleblowing muss mehr geschützt werden als nur der Name.

Wer hatte mit den Materialien zu tun? Wer kannte diese Tatsache? Wer konnte sich zu dieser Zeit bewegen? Wer konnte dieses Dokument herausgeben? Aus solchen Bedingungen wird der Kreis der Hinweisgeber eingegrenzt.

Beim Whistleblowing wird die Herkunft der Information zum Problem

Beim Whistleblowing ist der Inhalt selbst ein starker Hinweis.

Zum Beispiel Materialien, die nur eine bestimmte Abteilung sehen kann, Protokolle einer begrenzten Besprechung, E-Mails, die an wenige Personen verteilt wurden, Fotos, die nur vor Ort aufgenommen werden konnten. Selbst wenn solche Informationen anonym gesendet werden, wird die Frage wichtig: "Wer konnte sie besitzen?"

Beim Whistleblowing wird der Kandidatenkreis auch dann über die Herkunft der Information enger, wenn der Kommunikationsweg verborgen wird.

Das ist der große Unterschied zu gewöhnlichen anonymen Beiträgen. Bei einem Beitrag in einem anonymen Forum sind oft die IP-Adresse oder das Konto der postenden Person das Hauptproblem. Beim Whistleblowing enthalten jedoch die Materialien und Tatsachen selbst Informationen darüber, "wer davon wissen konnte".

Wenn zum Beispiel nur fünf Personen ein bestimmtes Material sehen können, bleiben die Kandidaten auch bei verborgenem Kommunikationsweg diese fünf Personen. Wenn sich außerdem Veröffentlichungszeitpunkt, Version des Materials, Schreibstil und Sendezeit überlagern, wird der Kreis noch enger. Beim Whistleblowing ist es wichtig, Anonymität nicht nur über Kommunikation zu denken.

Organisationen besitzen interne Protokolle

Die Organisation, die beim Whistleblowing zur Gegenseite wird, besitzt mehr Informationen als externe Dritte.

Zugriffsverläufe auf Dateiservern, Cloud-Ansichtsverläufe, Druckerprotokolle, Ein- und Ausgangsaufzeichnungen, E-Mail-Protokolle, Überwachungskameras, Bedienprotokolle von Arbeitsgeräten und Ähnliches.

Deshalb reicht es beim Whistleblowing nicht, nur den Moment der externen Übermittlung zu schützen.

Man muss vor dem Berühren des Materials, vor dem Kopieren, vor dem Senden und bis nach der Veröffentlichung denken.

Interne Organisationsprotokolle sind einzeln nicht immer ein entscheidender Beweis. In Kombination werden sie jedoch stark. Personen, die eine Datei geöffnet haben, Personen, die gedruckt haben, Personen, die zu dieser Zeit einen Raum betreten haben, Personen, die eine E-Mail erhalten haben, Geräte, in die ein USB-Stick gesteckt wurde. Wenn diese in dieselbe Richtung weisen, wird der Kandidatenkreis enger.

Wichtig beim Whistleblowing ist nicht nur der Moment, in dem man auf die Sendetaste drückt. Material ansehen, Notizen machen, Fotos aufnehmen, drucken, kopieren, sich beraten lassen, nach der Veröffentlichung reagieren. Auch das Verhalten davor und danach wird in einer Zeitlinie betrachtet.

Vor Anonymität zuerst Sicherheit und Beratungsstellen bedenken

Beim Whistleblowing gibt es nicht nur Anonymität, sondern auch rechtliche und sicherheitsbezogene Risiken.

Arbeitsvertrag, Geheimhaltungspflichten, Hinweisgebersysteme, Beweissicherung, Vergeltung, Verleumdung, Schutz personenbezogener Daten und Ähnliches können eine Rolle spielen.

Die Artikel auf dieser Website sind keine Rechtsberatung.

Bei Hochrisiko-Hinweisen prüft man zuerst passende Beratungsstellen, etwa vertrauenswürdige Anwältinnen oder Anwälte, Arbeitsberatungsstellen, Redaktionen oder Organisationen, die mit Meldungen im öffentlichen Interesse vertraut sind.

Whistleblowing wird umso gefährlicher, je stärker man aus dem Impuls heraus handelt.

Zeit, die man vorher zum Nachdenken nimmt, wird zu einer Schutzmaßnahme.

Beim Whistleblowing kann man nicht sagen: "Weil ich das Richtige tue, ist alles in Ordnung." Auch bei Informationen von öffentlichem Interesse ändern sich die Risiken je nach Umgang mit Materialien, personenbezogenen Daten, Geheimhaltungspflichten, Beweissicherung und Wahl des Einreichungsziels. Die Artikel auf dieser Website sind ein Einstieg in die Beurteilung und keine Rechtsberatung.

Bei hohem Risiko sucht man eher zuerst eine vertrauenswürdige Beratungsstelle, statt sofort zu veröffentlichen. Man wählt zur Situation passende Gegenüber, etwa Anwältinnen oder Anwälte, Stellen mit Erfahrung im Hinweisgeberschutz, Redaktionen, die Quellenschutz verstehen, oder Unterstützungsorganisationen. Auch die Wahl der Beratungsstelle selbst ist Teil der Anonymität.

Werkzeuge allein schützen nicht

Werkzeuge wie Tor, SecureDrop, GlobaLeaks, OnionShare und VPN können nützlich sein.

Beim Whistleblowing macht ein Werkzeug allein Anonymität jedoch nicht vollständig.

Werkzeuge sind ein Teil des Ganzen.

Beim Whistleblowing denkt man einschließlich Bedrohungsmodell, Beratungsstellen, Auswahl der Materialien, Einreichungsziel und veröffentlichter Inhalte.

Mechanismen wie SecureDrop und GlobaLeaks sind als Eingänge für Hinweise wichtig. Wenn man jedoch vom Arbeitsplatzgerät darauf zugreift, Material mit Metadaten sendet oder Inhalte herausgibt, die nur man selbst wissen konnte, wird der Kandidatenkreis über andere Wege enger. Dasselbe gilt für Tor und VPN. Selbst wenn ein Teil des Kommunikationswegs geschützt wird, bleiben Dateien, Inhalt, Zeitpunkte und interne Organisationsprotokolle zurück.

Bevor man ein Werkzeug verwendet, legt man fest, was es schützen soll. Soll der Verbindungsursprung schwerer sichtbar werden? Soll der Übergabeeingang sicherer werden? Soll die Aktivität von der Klarnamenumgebung getrennt werden? Wenn der Zweck unklar ist, kann die Situation entstehen, dass man ein Werkzeug nutzt, aber der wichtige Teil nicht geschützt ist.

Veröffentlichte Informationen und Beratungsinformationen trennen

Beim Whistleblowing muss nicht alles in den Veröffentlichungstext aufgenommen werden. Man trennt Informationen für die Veröffentlichung, Informationen nur für Beratungsstellen und Informationen, die als Beweis gesichert werden.

Veröffentlichung ist eine starke Handlung. Einmal herausgegebene Informationen bleiben in Screenshots, Weiterveröffentlichungen und Archiven zurück. Beim Whistleblowing gestaltet man nicht nur, was man herausgibt, sondern auch, was man nicht herausgibt.

Zusammenfassung

Die für Whistleblower nötige Anonymität besteht nicht nur darin, den Namen zu verbergen.

Man muss auch bedenken, wer die Materialien sehen konnte, wer von der Information wusste und wer zu diesem Zeitpunkt handeln konnte.

Organisationen können Protokolle zu Dateizugriff, Cloud-Verlauf, Druck, Ein- und Ausgang, E-Mail und Geräteverwaltung besitzen.

Beim Whistleblowing ordnet man Bedrohungsmodell, Sicherheit, rechtliche Risiken und Einreichungsziel, bevor man Anonymisierungswerkzeuge nutzt.

Vor dem impulsiven Senden innezuhalten ist die erste Verteidigung.

Verwandte Werkzeuge

Verwandte Artikel