Zusammenfassung

  • Der DULT-Protokollentwurf verlangt beim Koppeln eine überprüfbare Eigentümeridentität. Eine spätere Kennungsabfrage soll mindestens einen verdeckten Hinweis liefern: die letzten vier Ziffern einer Telefonnummer oder eine teilweise maskierte E-Mail-Adresse.
  • Kennung und Teilinformation können zusammen aber ein Gerät wiedererkennbar machen. Die Abfrage ist deshalb auf gekoppelte Geräte im getrennten Modus beschränkt; über Bluetooth ist eine Nutzerhandlung nötig, während die Nähe bei NFC als Absicht gelten kann.

Eine nützliche Auskunft braucht eine Schranke

Wer eine Warnung vor unerwünschtem Tracking erhält und den Chip findet, möchte ihn einordnen. Vier Ziffern oder ein erkennbarer Rest einer E-Mail-Adresse können zeigen, ob das Gerät zu einer bekannten Person gehört. Abschnitt 3.16 des Entwurfs verbindet beim Koppeln überprüfbare Angaben mit der Gerätekennung. Die Antwort des Kennungsdienstes muss wenigstens eine der genannten Teilinformationen enthalten. Eine vollständige Adresse und beide Hinweise zugleich werden nicht verlangt.

Gerade weil der Rest erkennbar ist, kann er missbraucht werden. Der Sicherheitsteil beschreibt eine stabile eindeutige Kennung plus partielle Eigentümerangaben als Möglichkeit, das Zubehör zu identifizieren. Beides soll daher nicht unmittelbar jedem anfragenden Gerät offenstehen. Andernfalls wird aus einer Hilfe für Menschen mit einem gefundenen Chip ein Nachschlagewerk für Menschen, die nur einen Funkspruch empfangen. Der Entwurf behandelt dieses Risiko im Design; er dokumentiert keinen konkreten Missbrauch eines benannten Produkts.

Die Abfrage setzt voraus, dass das Zubehör noch gekoppelt und vom Eigentümer getrennt ist. Bei einer Funkverbindung größerer Reichweite wie Bluetooth muss eine Nutzerhandlung vor dem Zugriff auf Kennung und Hinweis stehen. Bei NFC kann das Heranführen eines Lesegeräts als Absicht genügen. Der Datenschutzteil formuliert die physische Trennlinie ausdrücklich: NFC-Abfrage deutet auf tatsächlichen Besitz hin, aus Bluetooth-Reichweite folgt das nicht. Wer beide Wege im Produkt als denselben „Scan“ zählt, ersetzt einen Zugangsgrund durch eine Funkmessung.

Auch die Antwort des Zubehörs ist begrenzt. Gegenüber Geräten anderer Personen darf es nur nicht identifizierende Daten ausgeben. Als mögliche Konstruktion beschreibt der Entwurf verschlüsselte, nicht verknüpfbare Nutzdaten, die erst der Netzdienst des Zubehörs entschlüsselt. Dort können Anfragen gedrosselt und Betrugsversuche erkannt werden. Authentisierung und Schutz gegen Wiederholung sollen verhindern, dass eine einmal abgefangene Nachricht später zur Beobachtung wechselnder Eigentümerangaben dient. Die Entscheidung über Offenlegung liegt damit an einer kontrollierbaren Stelle beim Dienst, nicht beim Radioempfänger.

Der Eigentümereintrag hat ebenfalls eine Uhr. Nach dem Entkoppeln soll das Register mindestens 25 Tage bestehen bleiben und danach gelöscht werden. Für ein gültiges Ersuchen der Strafverfolgung nach festgelegtem Verfahren sollen verfügbare Daten herausgegeben werden. Ein solcher Rechtsweg ist etwas anderes als die maskierte Auskunft an eine Person mit gefundenem Gerät. Das „soll“ bewahrt die Stärke des im Entwurf verwendeten SHOULD; es ist keine Behauptung über geltendes Recht oder die Praxis aller Anbieter.

Der Datatracker-Eintrag führt Version 01 als aktiven Internet-Draft der Arbeitsgruppe, noch nicht als RFC. Eine öffentliche Spur einer konkreten Implementierung vom Alarm über die Handlung und Serverabfrage bis zur Löschung fehlt. Sie würde zeigen, ob die Entwurfsgrenze im Produkt tatsächlich trägt.

Quellen