DPI: Schnüffeln auf der Paket-Ebene

2008 erlebten die drei größten britischen ISPs, BT, Virgin Media und TalkTalk, ein Waterloo in Sachen Datenschutz. Auf Druck der EU mussten deren Manager eingestehen, dass sie seit über zwei Jahren tausende ihrer Kunden mit der DPI-Technologie bespitzelt hatten und sie anhand der Analysen mit ungewollten Popups überfluteten. Fünf Vorstände mussten ihren Hut nehmen, darunter so prominente Personen, wie der frühere AT&T-Chef David Dorman und der ehemalige Coca-Cola-Präsident Steven Heyer. Danach war es weltweit still geworden um diese perfekte Abhörmethode, von der man weiß, dass sie das CIA und andere Geheimdienste für ihre Spionagetätigkeiten einsetzen.

Das Verfahren ist einfach. Im Gegensatz zu all den vielen Cookie-basierten Tracking-Methoden nutzt DPI den grundlegenden Datenverkehr auf der Paket-Ebene. Alle ein- und ausgehenden Pakete werden entsprechend ihrer Zugehörigkeit zusammengesetzt und dann deren Inhalt analysiert. Das bedeutet, die Technologie erlaubt nicht nur eine Auswertung des Surfverhaltens, sondern darüber hinaus auch die Betrachtung von E-Mails und den Dateien, die als Anlage verschickt werden sowie den IP-basierten Sprach-und Videoverkehr. Kurz gesagt: Eine Rundumabhörung – deshalb der Einsatz bei den Geheimdiensten.

Das Problem dabei ist, dass nur beim jeweiligen Internet-Provider alle gesendeten und empfangenen Datenpakete lückenlos abgegriffen werden können. Und damit kann diese Technik nur von einem ISP implementiert werden. Die Geheimdienste beschaffen sich hierfür eine richterliche Anordnung und zwingen damit die ISPs von allen Datenpaketen eines bestimmten Kunden eine Kopie an die Behörde zu schicken.

Doch da auch das Interesse der Werbung an dieser Methode sehr groß ist, wollen die ISPs an dem inzwischen milliardenschweren Online-Werbemarkt mitverdienen und sinnen auf eine Lösung. DPI ist deshalb so interessant, weil die Werbung-treibenden Unternehmen immer mehr “zielgerichtete” Anzeigen-Platzierungen fordern. Das heißt, dass man ein Sonderangebot für Katzenfutter nur demjenigen zeigen möchte, der auch eine Katze hat – nicht aber den Hundehaltern oder Haustier-freien Haushalten.

Es ist sogar sehr gut möglich, dass diese Werbeselektion von vielen Surfern gewünscht wird. “Die User erwarten heute nur noch Werbung, die für sie relevant ist – alles andere ist Spam”, sagte jüngst Mike Zaneis vor einem US-Untersuchungsausschuss. Zaneis ist der Hausanwalt des IAB, einem Interessenverband der Online-Werbe-Anbieter. Er verweist auf eine vom Verband durchgeführte Studie wonach bereits über 80 Prozent aller Online-Anzeigen zielgerichtet sind.

Doch wie zielgenau diese Anzeigen sind, ist zweifelhaft, denn trotz aller technologischen Finessen sind die Cookie-basierten Verfahren sehr ungenau, was man leicht selbst bei Surfen feststellen kann.

Zwei Firmen wollen deshalb DPI in abgewandelter Form wieder für die Werbung salonfähig machen. Eine davon ist die Alcatel-Lucent-Tochter Kindsight, die andere ist Phorm, das ist das Skandalunternehmen, mit dem die Briten gescheitert sind.

Das neue Business-Modell basiert praktisch auf der Aussage von Zaneis, denn es verlangt ausdrücklich die Zustimmung des Users, mit der Möglichkeit diese Zustimmung jederzeit zu widerrufen. Außerdem soll keine erkennbar private Kommunikation, wie E-Mails und Telefonate, ausgewertet werden. Für die Einhaltung beider Auflagen bieten die Unternehmen ein fortlaufendes Auditing durch anerkannte Consultingfirmen an.

Hierüber gibt es bereits umfangreiche Tests mit verschiedenen ISPs. In Brasilien sollen sich 10.000 Kunden von Oi freiwillig zu einem Test mit der Technologie von Phorm registriert haben. Auch der dortige ISP Telefonica testet das Verfahren mit 1000 Breitband-Kunden.

Weitere Tests mit der Kindsight-Technologie soll es bei sechs großen ISPs in Europa, Kanada und in den USA geben. Um wen es sich dabei handelt, wurde bislang nicht veröffentlicht. Insgesamt aber sollen bereits 200.000 Kunden daran beteiligt sein.