1. Selbstdatenschutz
In Zeiten, wo Krankenversicherungen Wearables subventionieren, Windows 10 im großen Stil nach Hause telefoniert und selbst Firefox in den Default-Einstellungen zu viele Informationen sammelt, könnte man den Eindruck gewinnen, dass Unternehmen ohne unsere Daten heute gar nicht mehr »überlebensfähig« sind. Dabei sind es die Unternehmen selbst, die jene fragwürdige Entwicklung des »kostenlosen« Konsums forciert haben und nun wie selbstverständlich daran festhalten. Ein zurück gibt es nicht mehr. Der Konsument hat sich längst an die »Geiz-ist-geil«-Mentalität gewöhnt und ist oftmals nicht mehr bereit für eine Dienstleistung oder ein Produkt zu bezahlen. Daher erscheint es aus Sicht der Unternehmen nur konsequent, die Daten ihrer »Kunden« zu sammeln, auszuwerten und gegebenenfalls für Werbezwecke an Dritte zu verkaufen. Das dies eine fragwürdige und gefährliche Entwicklung darstellt, scheint den meisten Menschen entweder nicht bewusst zu sein oder es ist ihnen schlichtweg egal – Hauptsache es ist kostenlos! Dabei ist die Verarbeitung unserer Daten durch Wirtschaft und Politik kein neutraler Vorgang, sondern eignet sich, Menschen zu unterdrücken und kontrollieren. Der Umgang mit persönlichen Daten drückt letztendlich aus, wie demokratisch und freiheitlich eine Gesellschaft ist.
Angesichts dieser politischen und gesellschaftlichen Relevanz erscheint die Artikelserie »Not my data!« lediglich wie ein Tropfen auf den heißen Stein. Wir können damit dem Tracking und Profiling während dem Surfen im Internet zwar weitestgehend entgehen und doch wird mit der Artikelserie nur ein kleiner Bereich dessen beleuchtet, wo Daten heute in großem Umfang gesammelt und ausgewertet werden. Ihr solltet euch daher immer bewusst sein: Die Verantwortung über die eigenen Daten trägt ein jeder selbst. Dabei spielt unser Konsumverhalten und welche Produkte bzw. Dienste wir einsetzen eine entscheidende Rolle. Denn eines sollte klar sein: Ich kann nicht Facebook nutzen, mit Windows 10 arbeiten und mein Android Smartphone mit unzähligen Apps bestücken und dann noch Datenschutz einfordern. Das funktioniert nicht – es kann nicht funktionieren. Datenschutz beginnt bei euch und in der digitalen Welt ganz entscheidend damit was ihr konsumiert.
Mit dem vorliegenden Beitrag werde ich die Artikelserie »Not my data!« beenden. Mit dem Tor-Browser seid ihr bereits in der Lage möglichst spurenarm im Internet zu surfen. Allerdings galt immer folgende Einschränkung: Wann immer die Anmeldung an ein Nutzerkonto (verknüpft mit realen bzw. privaten Daten) erforderlich ist, solltet ihr dies NICHT mit dem Tor-Browser durchführen, sondern zum zweiten Browser (JonDoBrowser) wechseln. Die korrekte Anwendung des JonDoBrowsers wird im vorliegenden Beitrag beschrieben und soll euch letztendlich in die Lage versetzen, auch eure online Dienste möglichst datensparsam nutzen zu können.
- Wir sind nur noch Datenlieferanten – Not my data! Teil1
- Das 3-Browser-Konzept – Not my data! Teil2
- Konfiguration des Tor-Browser-Bundles – Not my data! Teil3
- JonDoFox Browserkonfiguration – Not my data! Teil4
Update
November 2017: Die Artikelserie wurde das letzte Mal im November 2017 aktualisiert.2. Firefox auf Abwegen
In den vergangenen Versionen hat Mozilla verstärkt Funktionen in Firefox integriert, die sich negativ auf die Privatsphäre auswirken können. Tracking via Google Analytics auf der about:addon Seite, die Integration von Cliqz zur Sammlung der Surfaktivität oder auch die Remote-Installation von Addons sind nur einige aktuelle Beispiele. Wer seinen Firefox datensparsam nutzen möchte, der muss einige Schalter in der about:config anpassen. Noch dazu muss dieser Vorgang bei nahezu jeder neuen Firefox Version wiederholt werden, da Mozilla unablässig Funktionen integriert, die für das alltägliche Surfen vollkommen unerheblich sind, allerdings eine Anpassung an der about:config erforderlich machen. Der durchschnittliche Anwender verliert bei dieser Updatepolitik allerdings schnell den Überblick und das Vertrauen.
2.1 Einblick in »unnötige« Firefox Funktionen
Zum Betrachten von Webseiten sind folgende Firefox-Funktionen nicht relevant. Die Liste ist unvollständig und soll euch lediglich einen Eindruck davon vermitteln, wie sehr Mozilla den Firefox über die Jahre »verschlimmbessert« hat:
- Mit der Geolocation API kann die GPS-Position des Surfers relativ genau bestimmt werden. (geo.enabled = false)
- WebRTC ist eine Multimedia-Technologie, die eine direkte Telefonie und Videochats ermöglicht. (media.peerconnection.enabled = false, loop.enabled = false)
- Vorausschauendes laden von Webseiten, wenn ihr euch mit dem Mauszeiger über einem Link befindet, noch bevor ihr ihn anklickt. (network.http.speculative-parallel-limit = 0)
- [ … ]
Hinweis
Eine schöne Übersicht über viele dieser unnötigen Funktionen und wie diese in der about:config deaktiviert werden, findet ihr im Privacy-Handbuch oder auf der GitHub Seite Firefox-Debloat.2.2 JonDoBrowser
Der JonDoBrowser ist kein neuer Browser, sondern ein auf Firefox-ESR (Extended Service Release) basierter Browser, bei dem Sicherheit und Datenschutz im Vordergrund steht. Durch die Verwendung des JonDoBrowsers entfällt die mühselige Anpassung der about:config bzw. die Deaktivierung jener Funktionen, die sich negativ auf die Privatsphäre auswirken können – denn diese sind bereits initial deaktiviert. Weiterhin beinhaltet der JonDoBrowser bereits vorinstallierte Addons und einen Sicherheitsregler, den ihr bereits vom Tor-Browser kennt. Somit bietet er ein schönes Gesamtpaket, mit dem auch der durchschnittliche Anwender den Firefox ohne viele Handgriffe in einen datenschutzfreundlichen Browser verwandeln kann.
Hinweis
Wer den Zweit-Browser auf Basis von Firefox-ESR lieber selbst datenschutzfreundlich konfigurieren und mit sicherheitsrelevaten Addons ausstatten möchte, dem sei folgende Liste empfohlen:- uBlock Origin (Empfehlung: Wie ihr das Addon einstellen solltet)
- NoScript
- Cookie AutoDelete
- HTTPS-Everywhere
- Smart Referer
- CanvasBlocker
- Privacy Settings [aktiviert dort »Full Privacy«]
- Und für die Geeks: Firefox configuration hardening oder die Anpassungen vom Privacy-Handbuch (dann benötigt ihr das Addon Privacy Settings nicht mehr)
Ab Ziffer 4 könnt ihr den Artikel dann wieder weiter umsetzen.
3. JonDoBrowser
Update
14.01.2019: Der JonDoBrowser ist nicht mehr empfehlenswert, da er nicht mehr weiterentwickelt bzw. aktualisiert wird. Ihr solltet als Zweit-Browser daher einen Browser nach dem Vorbild der Artikelserie »Firefox-Kompendium« benutzen.Den JonDoBrowser nutzen wir für Online-Dienste, die eine Anmeldung erfordern. Also immer dann wenn wir uns mit einer Kombination aus Benuterznamen und Passwort (Account) einloggen bzw. anmelden müssen. Dies gilt hauptsächlich für Accounts, bei denen wir unseren Realnamen hinterlegt haben und wir darüber identifizierbar sind. Zur Verdeutlichung des »3-Browser-Konzepts« solltet ihr euch bei Bedarf nochmal die Beschreibung und die Grafik des Anwendungsbeispiels unter Ziffer 4 vom zweiten Teil der Artikelserie vor Augen führen.
3.1 Installation
Ursprünglich ist der JonDoBrowser für das anonyme Surfen in Kombination mit dem JonDo Proxy (JAP) entwickelt worden, lässt sich allerdings auch ohne den Anonymisierungsdienst verwenden. Auf der Webseite von JonDonym könnt ihr euch den JonDoBrowser je nach verwendetem Betriebssystem herunterladen und installieren. Während der Installation werdet ihr dazu aufgefordert, Java SE Runtime (Java-Laufzeitumgebung für den JonDo Proxy) zu installieren – das könnt ihr abbrechen, der Browser ist danach dennoch installiert.
Hinweis
Der JonDo Proxy wird für das 3-Browser-Konzept also nicht benötigt bzw. verwendet.3.2 Netzwerk auswählen
Der JonDoBrowser kann sich zum JonDo- und Tor-Netzwerk verbinden – für unsere Zwecke wählen wir allerdings die direkte Variante und verbinden uns ohne Umwege über einen Anonymisierungsdienst mit dem Internet.
Nach dem ersten Start des Browsers wählen wir unter der Adresszeile »Netzwerk auswählen« und klicken auf »Direkte Verbindung«.
Nach einem Neustart des Browsers seht ihr dann folgendes Willkommensfenster:
Wenn ihr mit dem JonDoBrowser surft, solltet ihr immer darauf achten, direkt mit dem Internet verbunden zu sein. Die Nutzung eines Anonymisierungsdienstes wie das Tor-Netzwerk oder die JonDo-Proxys ist beim Zweitbrowser nicht gewünscht.
3.3 about:config anpassen
Leider ist es notwendig, die about:config des JonDoBrowsers anzupassen. Wir müssen nämlich den Private-Mode deaktivieren, der bei jedem Browser-Neustart automatisch gestartet wird. Das wollen wir allerdings vermeiden, da ansonsten die Chronik und insbesondere alle (Login-)Cookies bei jedem Beenden des Browsers gelöscht werden. Zur Erinnerung: Ziel des zweiten Browser ist nicht die Anonymität zu wahren, sondern mit dem JonDoBrowser eine größtmögliche Kontrolle über die Seiten zu gewinnen – allerdings so, dass der Browser benutzbar bleibt und auch Einsteiger damit zurechtkommen.
Tippt in der Adressezeile »about:config« ein und bestätigt die angezeigte Warnung mit einem Klick auf »Ich bin mir der Gefahren bewusst!«. Anschließend sucht ihr nach dem Eintrag »browser.private« und stellt den Eintrag »browser.privatebrowsing.autostart« auf den Wert »false«:
Hinweis
Der Private-Modus kann auch die Auslieferung von Werbung und Tracker unterbinden – das machen wir allerdings über uBlock Origin.Aufgrund dieser Veränderung müssen wir unter »Extras -> Einstellungen -> Datenschutz« das Standard-Cookie-Verhalten anpassen. Wir entfernen das Häkchen bei »Cookies akzeptieren«:
Die Kontrolle der Cookies erfolgt anschließend über das Addon Cookie AutoDelete.
3.4 Sicherheitsrelger anpassen
Standardmäßig ist im JonDoBrowser das niedrigste Sicherheitslevel (gering) voreingestellt. Die niedrigste Sicherheitsstufe verfügt über keinerlei »Einschränkungen« – je höher ihr den Slider bzw. die Sicherheitsstufe stellt, werden die Daumenschrauben sukzessive angezogen. Was genau blockiert wird, könnt ihr der mitgelieferten Beschreibung entnehmen.
Empfehlung: Ihr solltet das Sicherheitslevel auf »hoch« anpassen – damit wird auf jeder Seite JavaScript grundsätzlich erstmal verboten. Mittels NoScript nehmen wir später individuell pro Seite Einfluss, ob JavaScript ausgeführt werden darf oder verboten bleibt:
Falls eine Seite überhaupt nicht funktioniert oder Darstellungsprobleme hervorruft, dann könnt ihr die nächst kleinere Sicherheisstufe ausprobieren. Denkt aber daran, das Sicherheitslevel anschließend wieder auf »hoch« zu setzen.
3.5 Weitere Addons installieren
Standardmäßig beinhaltet der JonDoBrowser (Stand November 2017) eine kleine Sammlung von Addons, die euch bei der datensparsamen Nutzung eurer online Dienste unterstützen sollen:
- HTTPS-Everywhere: Sofern verfügbar ruft das Addon direkt die HTTPS-verschlüsselte Variante einer Webseite auf.
- NoScript: NoScript erlaubt das Ausführen von JavaScript nur bei vertrauenswürdigen Domains eurer Wahl (bspw. Homebanking-Website).
- JonDoFox: Der Sicherheitsregler sollte euch bereits beim Tor-Browser begegnet sein.
- Weitere JonDoBrowser spezifische Addons
Weiterhin werden wir folgende Addons nachinstallieren:
Hinweis
Es ist übrigens nicht notwendig mehrere AdBlocker zu installieren. uBlock Origin ist vollkommend ausreichend und ersetzt jeden AdBlocker den ihr kennt. Weiterhin ist es nicht erforderlich das Plugin CanvasBlocker zu installieren, da der JonDoBrowser (wie auch der Tor-Browser) bereits einen Schutz gegen Canvas-Fingerprinting mitbringt.3.6 Addons konfigurieren
Im Folgenden sind alle notwendigen Browser-Einstellungen zusammengefasst, die ihr innerhalb des JonDoBrowsers anpassen solltet:
3.6.1 NoScript Addon
- Aussehen
- […] erlauben: Check
3.6.2 Konfiguration Browser
- Suchmaschine: StartPage HTTPS – Deutsch
- Liste bereinigen: Alle Suchmaschinen entfernen
4. Anwendung in der Praxis
Nachdem ihr alle dargestellten Anpassungen vorgenommen habt ist der JonDoBrowser einsatzbereit. Änderungen an der about:config müsst ihr wie bereits angesprochen keine mehr vornehmen, da im Profil bereits alle notwendigen Änderungen vorgenommen wurden. Im täglichen Gebrauch müsst ihr euch jetzt nur noch an die Bedienung von NoScript und dem Cookie AutoDelete gewöhnen. Die anderen Addons arbeiten entweder »geräuschlos« im Hintergrund oder sind für das Surfen im Netz nicht relevant.
Viele Webseiten erfordern JavaScript und / oder Cookies, damit sie funktionieren. Standardmäßig werden JavaScripts und Cookies blockiert. Eure Aufgabe besteht nun darin, nur jene JavaScripts und Cookies zuzulassen, die für die aufgerufene Webseite tatsächlich benötigt werden. Dies herauszufinden ist nicht immer einfach und oftmals mit Ausprobieren verbunden. Im Folgenden zwei Beispiele aus der Praxis.
4.1 ING-DiBa Online Banking
Ihr möchtet Online-Banking betreiben, was eine Anmeldung mit eurem Benutzernamen und Passwort erfordert. Nach dem Aufruf der Webseite sind sowohl Cookies, als auch JavaScript blockiert. Erst eine Freischaltung bzw. das Nachladen von JavaScript und Cookies ermöglicht eine korrekte Anmeldung.
Die Webseite der ING-DiBa stellt eine Ausnahme dar. Denn meist versuchen Webseiten JavaScripts aus unterschiedlichen Quellen nachzuladen und / oder euch Cookies von diversen Drittanbietern unterzujubeln. Für die eigentliche Funktionalität der Webseite sind diese meist entbehrlich und stellen eher ein Sicherheits- und Datenschutzrisiko dar.
4.2 Heise Forum
Das Heise-Forum ist ein beliebter Ort, um sich über die Neuigkeiten in der IT-Welt auszutauschen. Bevor ihr allerdings etwas im Forum schreiben könnt, ist zunächst eine Anmeldung mit einem Benutzerkonto erforderlich.
Die Anmeldung am Forum erfordert lediglich die Freischaltung der Cookies. Die Skripts von heise.de, yieldlab.net und ioam.de werden dafür nicht benötigt und können blockiert bleiben. Ähnlich verhält es sich auf vielen anderen Webseiten, auf denen ihr über einen Account verfügt. Für die eigentliche Funktionalität sind oftmals keine oder nur sehr wenige Skripts notwendig. Es besteht also kein Grund diese frei zu schalten bzw. die eigene IP-Adresse in einer Anfrage an die externen Quellen zu übertragen.
Hinweis
Schaltet immer nur jene Cookies oder Skripts frei, die tatsächlich für die Webseiten-Funktionalität benötigt werden.Unterstütze den Blog mit einem Dauerauftrag!
Unabhängig. Kritisch. Informativ. Praxisnah. Verständlich.
Die Arbeit von kuketz-blog.de wird vollständig durch Spenden unserer Leserschaft finanziert. Sei Teil unserer Community und unterstütze unsere Arbeit mit einer Spende.
4.3 Hardcore Variante
All diejenigen, die noch mehr Kontrolle über das Nachladen von (externen) Inhalten von (Dritt-)Seiten benötigen, sollten sich das Addon uMatrix anschauen. Das Addon ermöglicht die feingranulare Kontrolle über das Laden bzw. Nachladen von (externen) Inhalten von der aufgerufenen Webseite und externen Quellen. Standardmäßig filtert das Addon zunächst alle Zugriffe einer Seite auf Inhalte von Drittanbietern, egal ob es sich dabei um Texte, Bilder, Schriftarten, JavaScripts, iFrames oder Formulare handelt.
Hinweis
Mit uBlock Origin könnt ihr übrigens ebenfalls externe Inhalte kontrollieren bzw. das Nachladen verhindern. In einem QuickGuide beschreibt der Entwickler die UI und Bedienung – ihr solltet dort in jedem Fall vorbeischauen.5. Fazit
Wie bereits bei der Artikelserie »Your phone Your data« setze ich beim 3-Browser-Konzept auf die technische Hochrüstung gegen die voranschreitende Aushöhlung der Privatsphäre. Wenn ihr dieses Konzept in die Praxis umsetzen wollt, benötigt ihr die Bereitschaft zur Veränderung eurer Surfgewohnheit und müsst quasi zwangsläufig auf etwas Komfort verzichten. Im Austausch erhaltet ihr ein Konzept, mit dem es sich spuren- und datenarm im Internet surfen lässt. Denn nicht jeder möchte auf Schritt und Tritt im Internet verfolgt, ausgemessen und letztendlich zum Produkt gemacht werden.
Bis wir über effiziente rechtliche, technische und organisatorische Maßnahmen zur Umsetzung und Wahrung von Datenschutz verfügen bzw. sich diese in der Gesellschaft durchsetzen, müssen wir einen langen Atem haben. Wir dürfen und können auf Datenschutz nicht verzichten, auch wenn die Protagonisten der boomenden Branchen einen anderen Eindruck vermitteln. Menschen müssen lernen, dass sie ihre informationelle Selbstbestimmung und digitale Freiheit nicht für irgendwelche Unternehmensinteressen und staatliche Datensammler opfern dürfen. Die Vogel-Strauß-Taktik hilft hierbei nicht – wir sind weder hilflos, noch müssen wir dies akzeptieren. Wer will, der kann. Und wer will und nicht kann, der fragt um Rat. Alles andere sind Ausreden und der Unwillen etwas zu ändern.
Bildquellen:
JonDoFox: JonDos GmbH
Wenn du über aktuelle Beiträge informiert werden möchtest, hast du verschiedene Möglichkeiten, dem Blog zu folgen:
11 Ergänzungen zu “JonDoFox Browserkonfiguration – Not my data! Teil4”
Forum oder der Chat geeignete Anlaufstellen, um dein Anliegen zu diskutieren. Per E-Mail beantworte ich grundsätzlich keine (Support-)Anfragen – dazu fehlt mir einfach die Zeit. Kuketz-ForumAbschließender Hinweis
Blog-Beiträge erheben nicht den Anspruch auf ständige Aktualität und Richtigkeit wie Lexikoneinträge (z.B. Wikipedia), sondern beziehen sich wie Zeitungsartikel auf den Informationsstand zum Zeitpunkt des Redaktionsschlusses.Kritik, Anregungen oder Korrekturvorschläge zu den Beiträgen nehme ich gerne per E-Mail entgegen.
Hallo Thomas,
da hast du Recht. Ab Firefox 41 (Beta) forciert Mozilla ihr neues Addons/Extension Signing. In Firefox 41 lässt sich dies allerdings noch deaktivieren. Siehe Ziffer 3.1, wo ich das entsprechend ergänzt habe. Ab Firefox 42 (ebenfalls Beta) besteht aktuell keine Möglichkeit das JonDoFox Profil zu verwenden, da der entsprechende Schalter in der about:config entfernt wurde.
Im derzeit aktuellen Firefox 40.0.2 treten allerdings keine Probleme auf. Alternativ kann auch ein Wechsel auf die Firefox ESR Version erfolgen. Nachteile entstehen dadurch keine.
Hoffen wir, dass JonDo das Addon bald mit einer gültigen Signatur versieht.
Da ist ja der lang ersehnte Artikel ;-).
Auch wenn ich mich wiederhole, vielen Dank für diesen Artikel!
Jetzt verstehe ich auch warum Firefox mit JondoFox und entsprechenden Addons besser ist, als Chrome mit uMatrix (welches ich vorübergehend verwendet habe) nun ist das mein 3.ter Browser (Chrome + uMatrix), den ich für dieses 3-Browserprinzip ganz selten verwenden werde ;-).
Darf man schon fragen, welches Thema Ihr euch als nächstes vornimmt?
MFG
MadMax
Warum eigentlich 3 Browser? Warum wird nicht empfohlen den Tor-Browser für alle Seiten zu verwenden? Wenn ich mich irgendwo anmelde und dann einen Browser verwende der nichts anonymisiert, wo ist dann der Sinn dahinter? Wenn ich bei meinen Mails, Diaspora, RSS usw auf Links klicke, was ich oft mache, dann ist das ganze ja nicht mehr anonym? Warum sollte ich nur anonym surfen wollen, wenn ich nach etwas suche? Sobald ich mich aber irgendwo anmelde, wo ja bekanntermaßen noch mehr Daten hinterlegt sind, soll ich plötzlich auf Anonymität verzichten?
Ich würde vorschlagen, du liest dir die Artikelserie mal komplett durch. Da werden alle Fragen beantwortet.
Start ist hier: Wir sind nur noch Datenlieferanten – Not my data! Teil1
@woodchuck
Also, ganz ehrlich.
Wer lesen kann, kann auch die JonDoFox-Browser-Lösung verwenden.
Es steht doch alles detalliert in diesem Blog.
Das ist Quasi eine Schritt- für Schritt Anleitung.
Soll den Leuten auch noch der Hintern abgewischt werden !? =D (sorry musste sein).
MFG
Hallo Mike!
Erst mal vielen Dank! Toll, dass es Dein(en) Blog gibt!
Nun habe sogar ICH mich zu einem Kommentar bzw. einer Frage durchgerungen… ;-)
Wenn ich mich richtig entsinne, hattest Du vorher mal dazu geraten, NoScript-Berechtigungen immer nur temporär zu setzen…(!?)
Wieso widerspricht dann hier, unter Punkt 3.4.1 und Aussehen: „[…] erlauben: Check“, die Empfehlung Deiner vorherigen?
Danke schon mal!
Grüße
Im Zusammenhang mit dem JonDoBrowser sind dauerhafte Script-Ausnahmen erlaubt. Mit dem Tor-Browser Bundle hingegen nicht.
ich benutzte das konzept jetzt schon eine ganze weile und habe ich mich ganz gut daran gewöhnt. was ich mich aber noch frage: gibt es eine gute möglichkeit, links aus dem jon-do-fox-brower in den tor-browser zu bekommen? über die zwischenablage geht natürlich, ist aber etwas umständlich ;-) – erst jetzt habe ich gemerkt, wie viele feeds in meiner liste keine volltexte liefern …
Ich würde es mal über das »Lesezeichen« Menü versuchen.
Lesezeichen verwalten -> Importieren und sichern -> Lesezeichen zu / von HTML importieren bzw. exportieren
Wenn man umatrix einsetzt, braucht man überhaupt noch die anderen Addons? Oder anders ausgedrückt: Kann man (fast) alle anderen Addons durch umatrix ersetzen?
Nein. uMatrix kann als zusätzliche Schutzmaßnahme gesehen werden. Ihr könnt damit bspw. keine Addons wie CanvasBlocker, Cookie Controller oder HTTPS-Everywhere ersetzen.