Löschdienste sind nicht gleich: was ein Sicherheitsexperte anders macht

01Gleiches Etikett, sehr verschiedene Arbeit

Die europäische Verordnung über digitale Dienste (DSA) verpflichtet Hostingdienste, Meldeverfahren einzurichten, über die Personen oder Einrichtungen rechtswidrige Inhalte melden können. Eine Qualifikation der meldenden Stelle verlangt das Verfahren nicht. Wer heute ein Gewerbe anmeldet, kann morgen Löschungen anbieten.

Die Folge sieht man in Erstgesprächen nicht. Freundlich sind alle, und alle sagen, es gehe. Der Unterschied zeigt sich nach einigen Wochen: Das angeblich gelöschte Video ist unter einer neuen Adresse zurück, der Name erscheint weiter in der Suche, oder es gibt nur die Auskunft „in Bearbeitung“ ohne eine Liste dessen, was tatsächlich verschwunden ist.

Zwei Anbieter können beide ehrlich sagen, sie meldeten Inhalte. Der eine sucht Ihren Namen bei Google und meldet, was er findet. Der andere ermittelt die Verbreitung über Bilder, Hashwerte und die Infrastruktur der Seiten, wählt je Plattform die tragfähige Grundlage und kontrolliert jede Adresse nach. Für Sie zählt, welcher der beiden Wege es ist.

02Die Struktur entscheidet, nicht der Fleiß

Vier Fragen trennen die Anbieter: Wie wird gefunden, wie wird gemeldet, wie wird die Löschung bestätigt, wie fallen erneute Uploads auf. Hängt das an Handarbeit, entstehen mit jeder weiteren Adresse Lücken. Ist es als Ablauf gebaut, werden tausend Adressen nach demselben Maßstab bearbeitet wie zehn.

Rechts in der Tabelle arbeiten nicht weniger Menschen, sie arbeiten an anderer Stelle. Die Wiederholung übernimmt ein Programm, die Entscheidungen trifft ein Mensch: ob es wirklich um Sie geht und welche Grundlage bei dieser Plattform trägt.

03Wie Verbreiter sich verstecken

Wer geleakte Aufnahmen oder Hetzbeiträge verbreitet, ist selten unbeholfen. Dasselbe Video liegt auf mehreren Spiegelseiten, der Server steckt hinter einem Content Delivery Network, und nach einer Meldung öffnet dieselbe Seite unter neuer Domain. Titel werden geändert, Bilder beschnitten, damit die Namenssuche nichts findet.

Hier hilft Erfahrung aus der IT-Sicherheit. Der Gründer von SARAZIM LLC kommt von Palo Alto Networks, einem Unternehmen für Netzwerksicherheit. Wer jahrelang verfolgt hat, wie Angreifer eindringen und ihre Spuren verwischen, liest eine Seite von der anderen Seite: Wo liegt sie, wer leitet den Verkehr durch, wer verwaltet die Domain.

Im Alltag zeigt sich der Unterschied, wenn es hakt. Antwortet eine ausländische Seite nicht, bleibt die Handarbeit stehen. Der sicherheitstechnische Weg folgt der Seite zu ihrer Infrastruktur und sucht dort die nächste zuständige Stelle. Ein CDN selbst löscht in der Regel nichts, weil es den Inhalt nicht speichert; sein Wert liegt darin, dass die Meldung beim tatsächlichen Hoster ankommt.

04Fünf Zertifikate: was sie verlangen

Der Gründer von SARAZIM LLC hält fünf internationale Sicherheitszertifikate: CISSP, CISM, CEH, OSCP und GIAC GASAE. Sie sind etwas anderes als Siegel, die sich Löschdienste gegenseitig verleihen. Ausgestellt werden sie von Organisationen der IT-Sicherheit, und sie setzen entweder nachgewiesene Berufspraxis oder eine beaufsichtigte Prüfung voraus, beim OSCP eine praktische.

Bei CISSP und CISM genügt das Bestehen der Prüfung nicht. Die Berufserfahrung muss nachgewiesen werden, beim CISSP zusätzlich durch eine Bestätigung einer bereits zertifizierten Person oder, ersatzweise, durch ISC2 selbst mit Beschäftigungsnachweis. CEH und OSCP prüfen die Gegenseite: Wie arbeitet ein Angreifer. Beim OSCP gibt es keine Ankreuzfragen; man greift fast einen ganzen Tag lang reale Prüfsysteme an und dokumentiert anschließend jeden Schritt.

05Was Zertifikate beim Löschen bedeuten

Ehrlich gesagt: Kein Zertifikat löscht ein Video. Ob eine Plattform einen Inhalt entfernt, entscheidet sich an der Begründung und den Belegen der einzelnen Meldung. Die Zertifikate sagen etwas über die Person, die die Arbeit anlegt, nicht über das Ergebnis eines bestimmten Falls.

Die Managementzertifikate stehen dafür, dass jemand gelernt hat, mit vertraulichen Daten umzugehen und Risiken zu steuern. Die Angriffszertifikate stehen dafür, dass jemand die Strukturen lesen kann, in denen sich Verbreiter verstecken. Erst wenn darauf ein selbst entwickeltes Meldesystem aufsetzt, wird daraus ein messbarer Unterschied in Tempo und Genauigkeit.

06Ihre Daten schützen gehört zur Arbeit

Wer einen Löschdienst beauftragt, gibt das Heikelste aus der Hand: Fotos des eigenen Gesichts, die Adressen der Aufnahmen, Name, Telefonnummer, manchmal die ganze Vorgeschichte. Manche Anbieter verlangen sogar das Originalvideo. Wie diese Daten gespeichert und wann sie gelöscht werden, erklären nur wenige.

Aus Sicht der IT-Sicherheit ist das kein Nebenthema. SARAZIM LLC nimmt keine Videos entgegen. Die Suche läuft mit zwei oder drei Fotos über Gesichtserkennung; Aufnahmen selbst werden nicht aufbewahrt, gespeichert werden nur die für den Abgleich nötigen Metadaten und Hashwerte. Wer eine Verbreitung beenden soll, darf keine neue Stelle schaffen, an der etwas abfließen kann.

071.000 Adressen: Handarbeit gegen Programm

Manuelles Melden sieht so aus: Adresse suchen, auf der Seite das Meldeformular finden, Name und Grund eintragen, Bildschirmfoto anfertigen, absenden, zur nächsten Adresse. Jede Plattform hat ein anderes Formular, deshalb wird man auch mit Übung kaum schneller. Bei 1.000 Adressen ist das in der Praxis rund eine Woche Arbeit für eine Person.

Das Problem ist nicht nur die Zeit. Wer tausendmal dasselbe tut, macht Fehler: eine Adresse übersprungen, der falsche Grund gewählt, ein Beleg vergessen. Und während der Woche verbreitet sich der Inhalt weiter. Sind die ersten tausend gemeldet, liegen oft schon neue Fundstellen vor.

SARAZIM LLC arbeitet mit einem automatisierten Meldesystem, das der Gründer selbst entwickelt hat. Bei rufschädigenden Beiträgen kann es 800 bis 1.000 und mehr Meldungen pro Stunde einreichen. Das System erledigt Finden, Aussortieren, Zuordnen, Formulieren, Einreichen und Nachprüfen nach festen Regeln. Menschen entscheiden, was eine Maschine nicht entscheiden soll.

08Genauigkeit vor Tempo

Automatisierung heißt nicht, dieselbe Meldung tausendfach zu verschicken. Das wäre der sichere Weg zum Misserfolg. Der DSA verlangt von Online-Plattformen, die Bearbeitung von Meldungen auszusetzen, wenn jemand häufig offensichtlich unbegründete Meldungen einreicht, nach vorheriger Warnung und für einen angemessenen Zeitraum.

Eine tragfähige Meldung enthält nach dem DSA eine hinreichend begründete Erläuterung, die genaue URL, Name und E-Mail-Adresse der meldenden Stelle und eine Erklärung, dass die Angaben nach bestem Wissen richtig und vollständig sind. Deshalb ist das System von SARAZIM LLC auf Genauigkeit gebaut: Die Identität bestätigt ein Mensch, die Grundlage wird je Plattform gewählt, und eingereicht wird über die Meldewege der jeweiligen Plattform.

Lehnt eine Online-Plattform ab, muss sie nach dem DSA mindestens sechs Monate lang eine kostenlose, elektronische interne Beschwerde ermöglichen. Ein sorgfältiger Dienst nutzt diesen Weg mit einer verbesserten Begründung, statt dieselbe Meldung erneut abzuschicken. Aus dieser Arbeitsweise ergibt sich die veröffentlichte Löschquote von 98,2 Prozent.

09Erneute Uploads überwacht ein Programm

Mit der Löschung ist es nicht vorbei. Ein verbreitetes Video liegt bereits auf fremden Telefonen und Servern und taucht Wochen später unter neuer Adresse wieder auf. Bei Handarbeit erfahren Sie davon erst, wenn Sie es selbst finden und erneut anrufen. Dann hat es sich schon wieder verteilt.

SARAZIM LLC hält den Hashwert der zuerst gefundenen Datei und das Gesichtsprofil fest und sucht in jeder Runde, ob dieselbe Datei oder dasselbe Gesicht neu auftaucht. Ein Mensch kann nicht täglich suchen, ein Programm schon. Beschnittene oder neu kodierte Fassungen findet die Gesichtssuche auch dann, wenn der Hashwert nicht mehr übereinstimmt.

Für die Google Suche gibt es eine Ergänzung: Bei Anträgen auf Entfernung persönlicher sexueller Bilder bemüht sich Google nach eigenen Angaben, auch Duplikate in der Suche zu finden und zu entfernen. Der Inhalt selbst bleibt dabei auf der Website. Deshalb gehört die Meldung an der Quelle immer dazu.

10Fünf Fragen an jeden Anbieter

Aus der Werbung lässt sich der Unterschied nicht ablesen. Stellen Sie im Erstgespräch diese Fragen. An den Antworten erkennen Sie, ob hinter dem Angebot Handarbeit oder ein gebauter Ablauf steht.

Vorsicht bei Anbietern, die „alles geht“ oder „100 Prozent“ versprechen und den Weg nicht erklären können. Über die Löschung entscheidet die Plattform. Ein seriöser Dienst sagt zuerst, was realistisch ist und was nicht.

Wo die Grenze zur Rechtsberatung liegt

Das Rechtsdienstleistungsgesetz versteht unter Rechtsdienstleistung jede Tätigkeit in konkreten fremden Angelegenheiten, sobald sie eine rechtliche Prüfung des Einzelfalls erfordert. Außergerichtlich ist sie nur zulässig, soweit ein Gesetz sie erlaubt. Abmahnung, Unterlassungsforderung oder die Einschätzung, ob eine Äußerung in Ihrem Fall strafbar ist, gehören deshalb zu einer Anwältin oder einem Anwalt. SARAZIM LLC ist keine Kanzlei.

Finden, Melden über die Verfahren der Plattformen, die Spur durch Hoster, CDN und Registrar und die laufende Überwachung sind die Arbeit von SARAZIM LLC: im Durchschnitt mehr als 52.142 Löschungen pro Monat, mehr als 914 abgedeckte Plattformen, eine veröffentlichte Löschquote von 98,2 Prozent.