Umfassende Internet-Überwachung an Schweizer Schulen

Bild: Notebook mit überwachendem Auge auf BildschirmIn der Schweiz erfolgt der Internet-Zugang an Schulen üblicherweise über das staatliche Telekommunikations-Unternehmen Swisscom. Im Rahmen der Initiative «Schulen ans Internet» verbindet Swisscom nach eigenen Angaben 6’800 Schulen mit 100’000 Lehrern und einer Million Schülern mit dem Internet – und diese werden dabei jederzeit umfassend überwacht, wie Philippe Wampfler in seinem «Schule Social Media»-Weblog aufgedeckt hat.

Die Überwachung – in erster Linie soll verhindert werden, dass Schüler beliebige Inhalte abrufen können – betrifft auch verschlüsselte Verbindungen und erfolgt durch das amerikanische Unternehmen Zscaler über eine eigene Cloud in der Schweiz.

MITM-Angriff für Überwachung von verschlüsselten Verbindungen

Da verschlüsselte Verbindungen nicht gefiltert werden können, nutzt Swisscom einen Man-in-the-Middle-Angriff (MITM-Angriff) um die Verschlüsselung auszuhebeln, wie die Beratungsstelle für digitale Medien in Schule und Unterricht (imedias) schreibt. Sie setzt dafür gefälschte Zertifikate ein und verhindert, dass die Browser der Lehrer und Schüler mit Warnmeldungen auf den MITM-Angriff hinweisen (Anleitung als PDF, weitere Informationen beim Volksschulamt des Kantons Zürich). So kann Swisscom mit einem Proxy-Server unbemerkt auch verschlüsselte Verbindungen überwachen und beispielsweise den Zugriff auf unerwünschte Inhalte blockieren.

imedias beschreibt das umfassende Filtern und Überwachen als «Ergänzung zu pädagogischen Massnahmen» und weist darauf hin, auch damit könne ein vollständiger Schutz vor Pornografie nicht gewährleistet werden.

An Schulen, die eine Internet-Benutzungsordnung nach Empfehlungen des Nationalen Programms zur Förderung von Medienkompetenzen «Jugend und Medien» verwenden, liest sich der Hinweis auf die Internet-Überwachung wie folgt (PDF):

«Den Nutzern ist bekannt, dass die Schule durch den Netzwerk-Administrator und das Lehrerkollegium ihrer Aufsichtspflicht gegenüber minderjährigen Schülerinnen und Schülern durch regelmässige Stichprobenkontrollen des Datenverkehrs nachkommt. Dazu ist die Schule berechtigt, den Datenverkehr in Protokolldateien zu speichern, aus denen Datum und Art der Nutzung und der Nutzer festzustellen sind.»

Ob damit allen Lehrern und Schülern bewusst ist, dass Ihr schulischer Internet-Zugang einschliesslich verschlüsselter Verbindungen jederzeit umfassend überwacht wird? Und wozu muss für Stichproben-Kontrollen in Bezug auf Schüler der gesamte Internet-Zugang umfassend überwacht und mittels Vorratsdatenspeicherung gesichert werden?

Aus datenschutzrechtlicher Sicht wirkt die umfassende Internet-Überwachung an Schweizer Schulen fragwürdig und sachlich gesehen erscheint sie unverhältnismässig.

Bild: Flickr / Mike Licht, NotionsCapital.com, «Internet Surveillance», CC BY 2.0 (generisch)-Lizenz.


Nachtrag: Swisscom erklärte inzwischen gegenüber der Neuen Zürcher Zeitung (NZZ), man beschränke die Überwachung auf verschlüsselte Google-Suchen. Beat Döbeli Honegger sieht in der Überwachung ein «schulisches Content-Filter-Dilemma».

7 Kommentare

  1. Sind Man-in-the-Middle Angriffe in diesem Fall legal? Auch wenn die Schule einen Vertrag mit Swisscom hat, sind ja auch andere betroffen. Neben Lehrern und Schülern auch die Anbieter der Dienste, deren Zertifikate gefälscht werden.

    Das CA-System muss spätestens seit dem DigiNotar-Fall als kompromitiert und nur noch sehr beschränkt sicher gelten, aber dass ein halbstaatlicher Akteur im Auftrag der staatlichen Schulen Zertifikate fälscht, ist trotzdem ein Starkes Stück.

    1. Ich habe nicht die geringsten Zweifel, dass dies eine strafbare Verletzung des Fernmeldegeheimnisses darstellt. Selbst wenn es vom Kunden so gewünscht wird, ändert dies nichts am Tatbestand, weil nicht alle Benützer explizit zugestimmt haben.

      Man könnte es mit einer Telefonzelle auf dem Schulgelände vergleichen, welche zum angeblichen Schutz der Kinder abgehört wird. Das geht auch dann nicht, wenn ein Plakat an der Türe darauf aufmerksam macht.

  2. Das Fälschen von Zertifikaten ist im Prinzip nichts anderes als eine Urkundenfälschung, darauf stehen gemäss StGB mehrjährige Gefängnisstrafen. Es ist zu hoffen, dass ein Staatsanwalt, der dieses liest, hiermit nun gegen die Verantwortlichen der Swisscom eine entsprechende Strafuntersuchung einleitet!

  3. In der Root-Zertifikats-Liste in meinem Firefox befinden sich sowieso Swisscom-Root-Zertifikate. Da frage ich mich als Swisscom-Kunde, ob da nicht ein Interessenkonflikt besteht, und ob die Browser-Hersteller wirklich Root-Zertifikate von ISPs mitausliefern sollten.

  4. An der ganzen Sache stört mich ausserdem, dass Swisscom nun offenbar die Infrastruktur für man-in-the-middle betriebsbereit im Hause hat. Falls der unsägliche Bundestrojaner legalisiert werden sollte, werden sie diese Technologie dann auf allgemeiner Basis anwenden können. Orwell war da viel harmloser!

  5. Eigentlich habe ich gedacht, dass die Schule auf das Leben vorbereiten soll. Wie alt muss man sein, um in der Wirklichkeit leben zu dürfen? Ist der Lehrkörper wirklich der Meinung, dass Informationen – auch wenn sie sexueller Natur sind oder Gewalt beinhalten – junge Leute «verderben» können? Haben wir so wenig Vertrauen in junge Menschen? Ich war Lehrer und weiss deshalb auch, dass gerade Heranwachsende heikle Themen sehr kritisch unter die Lupe nehmen und hinterfragen. Und auch, dass sie ein sehr starkes Gerechtigkeitsempfinden haben, das dann leider mit dem «Erwachsen» werden abnimmt.

Schreiben Sie einen Kommentar

Ihre E-Mail-Adresse wird nicht veröffentlicht. Felder mit * sind Pflichtfelder.