Source: https://meinehochschulebehindertdaswlan.de/
Timestamp: 2020-02-22 09:30:02+00:00

Document:
Damit diese Seite so funktioniert, wie ich es vorgesehen habe, brauchen Sie JavaScript!
Warum diese Seite? Warum machen die das? Dürfen die das? Weitere Rechtsaspekte Netzzusammenbruch? Helfen Sie! Historie Impressum Datenschutzerklärung
Mir ist mind. eine Hochschule in Deutschland bekannt, die andere WLANs auf Ihrem Gelände mithilfe von sogenannten Deauthentication Paketen behindert. Das bedeutet, dass die Systeme der Hochschule so konfiguriert sind, dass diese andere WLAN Accesspoints (z.B. ein mobiler Hotspot des Telefons oder ein LTE Router) durch das Senden besonderer Pakete behindern. Diese Pakete sorgen dafür, dass der Nutzer dieses WLAN Accesspoints immer wieder von seinem eigenen WLAN getrennt wird und keine stabile Verbindung aufbauen kann. Diese eine mir bekannte Hochschule behauptet, dass auch andere Hochschulen so vorgehen.
Dieser Behauptung will ich genauer auf den Grund gehen!
Mir geht es auf dieser Seite um WLAN Systeme, die autark sind (z.B. Smartphones, LTE Hotspots), also nicht an die vorhandenen Hochschulnetzwerke angeschlossen sind. Diese Seite wird eine Übersicht bieten, die sich aus Anfragen mithilfe von FragDenStaat.de (oder anderen Quellen) speist, welche Hochschulen solch ein Verhalten aufweisen. Ich werde versuchen jede Hochschule in Deutschland anzufragen. Auskunftsverweigerungen (z.B. wegen "Sicherheitsbedenken") werden so interpretiert, dass WLANs behindert werden und mit einem * gekennzeichnet. Mein Ziel ist das Herstellen von Öffentlichkeit über dieses Thema und das Anregen von Veränderung in der IT der Hochschullandschaft (dort wo erforderlich).
Sie sind Anwalt oder Journalist und wollen mich unterstützen? Melden Sie sich!
Ich versuche so wenig technisch wie möglich zu erklären, damit es möglichst viele Personen verstehen können. Aber es ist nunmal ein technisches Thema.
Mir sind konkret vor allem zwei Argumente bekannt und ich habe ein Vermutung:
1. Sicherstellung der Servicequalität des eigenen Hochschul-WLANs
Jedes weitere Gerät mit WLAN nutzt die gleichen Frequenzen und verringert daher die Bandbreite/Geschwindigkeit=Servicequalität dieses WLANs. Das gilt für Endgeräte genauso, wie für zusätzliche Accesspoints. Bei parallel nebeneinander existierenden Accesspoints ist dies besonders qualitätsmindernd, wenn sich die WLAN Kanäle der verschiedenen Accesspoints besonders ungünstig unterscheiden, also andere Kanäle verwenden, als das Hochschul-WLAN. Bei gleicher Kanalwahl zwischen Hochschul-WLAN und anderem Accesspoint, ist die Qualitätsminderung eher gering, da alle Geräte (egal ob Handy oder Accesspoint) nach dem gleichen Protokoll funktionieren und erst anfangen zu senden, wenn kein anderer sendet (CSMA/CA). Da sich bei unterschiedlicher und ungünstiger Kanalwahl die Geräte jedoch nicht "hören" können, ist dies besonders problematisch. Um allen Nutzern des Hochschul-WLANs eine bestmögliche Servicequalität bieten zu können, werden durch einige Hochschulen alle fremden Accesspoints behindert, damit der Aufsteller diese nicht nutzen kann und dann abschaltet.
Das "Problem" ist die Art und Weise wie vor allem bei dem für Hochschulen angebotenen Eduroam der Login in das WLAN Netzwerk funktioniert. Das ist nicht wie wohl bei den meisten zu Hause, wo der Zugang mit einem einzigen Passwort gewährt wird. Bei Eudroam nutzt jeder ein eigenes individuelles Login/Passwort. Üblicherweise ist das der Hochschullogin der entsprechenden Hochschule, der direkt im z.B. Handy eingetragen wird.
Es gibt ein Angriffsszenario, bei dem ein Angreifer einen eigenen Accesspoint aufstellt, der den gleichen Namen verwendet (z.B. Eduroam), wie die Hochschule. Dieser Angreifer möchte an die Logindaten des Hochschullogins herankommen. Endgeräte wie Handys versuchen sich im Allgemeinen immer mit dem Accesspoint zu verbinden, der das stärkste Funksignal hat. Dafür hat der Angreifer mit einer entsprechenden Antenne und Signalstärke natürlich gesorgt. Das Endgerät verbindet sich nun mit dem "falschen" Accesspoint (man nennt solche Accesspoints dann auch Rogue Accesspoints1) und sendet diesem unter Umständen die im Endgerät hinterlegten Zugangsdaten des Hochschullogins. Unter Umständen ist hier deshalb wichtig, weil dies nur dann geschieht, wenn das Endgerät unsicher konfiguriert ist. Es ist dann unsicher konfiguriert, wenn es im Rahmen der Anmeldung am Accesspoint keine Prüfung vornimmt, ob der Accesspoint "echt" ist. Das geht, indem es ein Zertifikat prüft, welches der Accesspoint vorlegen muss (auch der Angreifer). Die Accesspoints von Hochschulen haben dieses (geheime) Zertifikat und können sich so als "echt" ausweisen. Der Angreifer nicht. Dieser legt ein anderes oder gefälschtes Zertifikat vor. Ist das Endgerät also so eingestellt, dass eine Zertifikatsprüfung stattfindet, besteht keinerlei Gefahr.
3. Vermutung: Psychologische Gründe
Die IT Dienstleister von Hochschulen haben in unserer heutigen digitalen Zeit einen erheblichen Stellenwert. Nichts geht mehr ohne Vernetzung und Internet. So kann es sein, dass diese Dienstleister in der alleinigen Entscheidungsfunktion sind, wie die endlichen Ressourcen zwischen den verschiedenen Anforderungsgebern aufgeteilt werden sollen. Das erzeugt ein nicht unerhebliches Machtelement. Je nach Persönlichkeit des Entscheidungsträgers entsteht damit eine Machtkonzentration, die ohne fachlich kompetente Kontroll- und Regelinstanzen natürlich auch zu Machtmissbrauch mit allen seinen Folgen führen kann. Ich sehe die Annahme, alle anderen WLANs (außer dem eigenen) behindern zu können/dürfen, als eine solche Form des Machtmissbrauches, selbst wenn die Intention, bestmögliche Sicherheit und Servicequalität liefern zu wollen, durchaus positiv zu werten wäre. Hier liegt es im Interesse aller Beteiligten, Hochschulstrukturen so zu definieren, dass Entscheidungen nicht durch Einzelpersonen, sondern durch demokratisch legitimierte und fachlich kompetente Personen von Betroffenen dieser Entscheidungen getroffen werden. So kann ein optimaler Interessensausgleich hergestellt werden und gleichzeitig entlastet es den IT Dienstleister, selbst Entscheidungen treffen zu müssen.
1Ein Rogue Accesspoint wird allgemeinhin eigentlich nur dann so bezeichnet, wenn dieser auch eine Verbindung in das Netzwerk der Hochschule herstellt. Da jedoch die Ermittlung, ob eine solche Verbindung tatsächlich besteht schwer fällt, findet man die Interpretation, dass alle Accesspoints im geografischen Bereich der Hochschule als Rogue (und damit ungewollt=feindlich) eingestuft werden.
Ich bin Informatiker, kein Rechtsgelehrter.
Wie immer in solchen Fällen gilt, wo kein Kläger da kein Richter. Mir sind in Deutschland bisher keine Urteile bekannt, die diese Frage beantworten würden. Daher folgt nun meine (sicherlich laienhafte) Rechtsauffassung zu diesem Thema.
1. Zum Aspekt Servicequalität
Ich rechne es den betroffenen Hochschulen durchaus positiv an, dass diese eine bestmögliche Qualität liefern wollen. Es ist jedoch auch so, dass die für WLAN verwendeten Frequenzen JEDEM (der Allgemeinheit) zur Verfügung gestellt wurden. Die dafür verantwortliche staatliche Stelle ist die Bundesnetzagentur, die dies im Rahmen des TKG mit Allgemeinzuteilungen tut. In Ihrer Allgemeinzuteilung legt die Bundesnetzagentur fest, wie die Frequenz genutzt werden darf. Für WLAN ist (unter anderem) folgendes festgehalten:
Aussendungen, die absichtlich bestimmungsgemäße WLAN - Nutzungen stören oder verhindern, wie z.B. Aussendungen von Funksignalen und/oder Datenpaketen, die die Abmeldung oder Beeinflussung von WLAN- Verbindungen anderer Nutzer gegen deren Willen zum Ziel haben, sind nicht gestattet.
Die oben genannten Frequenzbereiche werden auch für andere Funkanwendungen genutzt. Die Bundesnetzagentur übernimmt keine Gewähr für eine Mindestqualität oder Störungsfreiheit des Funkverkehrs. Es besteht kein Schutz vor Beeinträchtigungen durch andere bestimmungsgemäße Frequenznutzungen. Insbesondere sind bei gemeinschaftlicher Frequenznutzung gegenseitige Beeinträchtigungen nicht auszuschließen und hinzunehmen.
Damit ist für mich klar, dass die Hochschulen gegen die Allgemeinzuteilung verstoßen, wenn diese andere WLAN Signale behindern. Meine eigene Anfrage bei der Bundesnetzagentur bestätigt das ebenso klar und deutlich. Da es sich bei den Behinderungen der Hochschule um die Ausnutzung einer Design Schwachstelle im WLAN Protokoll (WPA2) handelt, sind andere Frequenznutzer nicht betroffen. So lassen sich DECT Telefone, Bluetoothkopfhörer, Smartwatches, kabelllose Mäuse und Tastaturen, Herzfrequenzgurte, Schrittzähler, Türöffner von Autos und viele mehr nicht behindern. Wenn der Qualitätsanspruch der Hochschule so hoch ist, dann wäre mein Vorschlag auf eine lizenziertes Frequenzband (z.B. Mobilfunk über 5G) zu wechseln, wo der Betreiber alleinig bestimmen kann, wer dieses wie nutzt.
2. Zum Aspekt Sicherheit
Mir geht es auf dieser Seite um WLAN Systeme, die autark sind (z.B. Smartphones, LTE Hotspots), also nicht an die vorhandenen Hochschulnetzwerke angeschlossen sind. Es wird damit argumentiert, dass erforderliche technischen Mittel genutzt werden müssen, um das Netzwerk abzusichern (§ 109 TKG). Das wird dann so interpretiert, dass wenn die Technik es zulässt, eben auch behindert werden darf, um die andere Accesspoints zu behindern. Dies ist für mich in mehrfacher Hinsicht bei sachgerechter technischer Betrachtung nicht nachvollziehbar.
Zum einen kann ein Accesspoint weltweit aufgestellt werden. Also auch im Supermarkt. Ein Handy würde auch dort dann die Logindaten preisgeben, sofern es unsicher konfiguriert ist.
Zum anderen wird ein ernsthafter Angreifer eine Funktion in seinem Accesspoint aktivieren (PMF), die solche Behinderungen nicht mehr möglich machen. Das Handy wird sich trotz laufender Behinderung durch das Hochschul-WLAN am Accesspoint anmelden und dann die Logindaten preisgeben, sofern es unsicher konfiguriert ist.
Eigentlich geht es also nicht primär um die Sicherheit eines Netzwerkes, sondern um die Absicherung eines Endgerätes, sofern dies unsicher konfiguriert ist. Wie wenig hilfreich hier Behinderungen sind, die auf das Gelände der Hochschule begrenzt sind, ist klar. Viel schlimmer ist eigentlich, dass dadurch das eigentliche Sicherheitsproblem der unsicheren Konfiguration des Endgrätes verdeckt wird. Der Nutzer wird in Sicherheit gewogen.
Die Sicherheit des Netzwerkes der Hochschule (oder genauer der Dienste darin) ist (als Folge des Bekanntwerdens der Logindaten eines unsicher konfigurierten Gerätes) nur dann gefährdet, wenn für den WLAN Zugang auch der Hochschullogin verwendet wird. Wenn mit diesem Hochschullogin auf alle Dienste der Hochschule zugegriffen werden kann, sind diese Dienste bzw. die Daten der Dienste gefährdet. Alternativ ließen sich die Dienste auch mit einem zweiten Faktor absichern (wie z.B. durch einen TAN Generator). Das Behindern anderer WLANs trägt daher keinerlei Substanz zur Sicherheit bei. Wenn also eine Hochschule mit diesem Punkt argumentiert, ist davon auszugehen, dass diese den Stand der Technik: verschiedene Dienste-verschiedene Logins oder Zweifaktorauthentifizierung nicht umsetzt und ihre Mitglieder somit nicht nach Stand der Technik schützt.
Ich habe auch bereits gehört, das Zertifizierungen (z.B. BSI Grundschutz oder ISO 27001) es erfordern, dass andere WLAN Signale behindert werden. Das sieht jedoch auch das BSI (welches die Vorgaben für diese Zertifizierung macht) laut meiner Anfrage nicht so.
3. Ausnahmegenehmigung/Erlaubnis
Laut Aussage der Bundesnetzagentur stellt diese keinerlei Ausnahmegenehmigungen aus. Ihr ist auch keine weitere Behörde bekannt, die solche Genehmigungen ausstellt. Es fehlt an einer gesetzlichen Grundlage, die eine solche Ausnahme zulassen würde. Es ist eben eine Frequenzzuteilung für alle.
Quelle bei FragDenStaat.de
Ebensowenig gestattet oder verbietet es die Bundesnetzagentur, dass administrative Maßnahmen (z.B. Nutzerordnungen) die Frequenznutzung einschränken. Sie ist dafür nicht zuständig und die Rechtslage ist ihr unbekannt.
Ich sehe noch weitere Aspekte rechtlich kritisch (wie gesagt ich bin Informatiker kein Rechtsgelehrter).
Den Verstoß gegen die Allgemeinzuteilung der Bundesnetzagentur habe ich bereits zuvor genannt.
Zusätzlich sehe ich eine Verletzung der Persönlichkeitsrechte, wenn Besucher oder Mitglieder der Hochschule keine eigenen Hotspots betreiben können. Einige Hochschulen haben organisatorische Regelungen, die es deren Mitgliedern verbieten (oder Einschränkungen vorsehen) eigene WLANs zu betreiben. Ich beziehe mich mit diesen eigenen WLANs explizit auf autarke, nicht mit dem Hochschulnetz verbundene WLANs. Bei Einschränkungen der Nutzung solcher autarker WLANs sehe ich einen Eingriff in die Wissenschaftsfreiheit, da nicht mehr vollständig freie Entscheidungen in der Auslegung eines Systems und dessen Architektur getroffen werden können. Zusätzlich beziehen sich diese Einschränkungen nur auf das WLAN Protokoll. Andere Funkprotokolle, wie Bluetooth, DECT usw., werden nicht eingeschränkt. Die freie Nutzung der Frequenz, wie durch die Bundesnetzagentur rechtlich vorgesehen, wird durch die Hochschulen dadurch eingeschränkt.
Da die Bundesnetzagentur klargestellt hat, dass technische Maßnahmen, wie das Aussenden von Deauthenticationpaketen, gegen die Allgemeinzuteilung vertoßen, sind damit auch administrative/organisatorische Regeln wohl als rechtswidrig anzusehen. Diese Regelsätze unterlaufen den Sinn den das TKG mit der Allgemeinzuteilung bezwecken möchte. Rechtlich sehe ich somit eine Gesetzesumgehung/Rechtsumgehungsgeschäft.
Als letzten Punkt sehe ich noch die mögliche Strafbarkeit nach § 303b StGB:
Wer eine Datenverarbeitung, die für einen anderen von wesentlicher Bedeutung ist, dadurch erheblich stört, dass er[...]Daten in der Absicht, einem anderen Nachteil zuzufügen, eingibt oder übermittelt[...]wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.
und § 202b StGB:
Die Relevanz ergibt sich hier daraus, dass der Angriff auf ein anderes WLAN nur funktioniert, wenn dabei die MAC Adresse (eine eindeutige ID jedes WLAN Gerätes) des Anzugreifenden erfasst wird und dann durch den Angreifer selbst genutzt (und damit das Fälschen der eigenen MAC Adresse) wird.
Wenn ich wie zuvor argumentiere, dann bekomme ich (fast reflexhaft) Aussagen, dass dann das Netz nicht mehr benutzbar wird und dann wird mit der DSGVO argumentiert und man muss alle Möglichkeiten nutzen, die man hat. Nun sind ja bereits einige Antworten auf meine Anfragen eingegegangen, von durchaus auch großen Hochschulen, die zeigen, dass dem wohl nicht ganz so ist.
Ich empfinde es als logisch, dass Mitglieder einer Hochschule ein funktionierendes WLAN nutzen wollen. Das will ich auch. Rein rechtlich sehe ich jedoch darauf keinen Anspruch, weil ein frei verfügbares durch jeden zu verwendendes Frequenzband genutzt wird. Die WLAN Spezifikation ist so definiert, dass jeder eine Chance auf Nutzung hat. Die Annahme einer Hochschule, hier mehr Rechte haben zu können, ergibt sich aus keiner mir bekannten Rechtsvorschrift.
Viele Hochschulen haben auch organisatorisch geprägte Einschränkungen für Mitarbeitern durch Regeln und Ordnungen. Diese sind für Besucher natürlich nicht bindend. Es entstehen dann recht merkwürdige Situationen, wo ich in der Rolle Privatperson auf dem Gelände etwas tun darf, in der Rolle Mitarbeiter jedoch nicht. Helfen dann solche Regelungen wirklich oder nerven Sie nur?
Ich kann mir daher gut vorstellen, dass es im Sinne aller sein wird, wenn GEMEINSAM entwickelte (aber rechtlich nicht durchsetzbare) Leitfäden an Hochschulen existieren, die es ALLEN erlauben auf die Frequenzen zuzugreifen. Diese Regelungen sollten dann aber auch demokratisch ausgehandelt werden und keine Diktatur einzelner Personen sein.
Ich empfehle daher, der Dinglichkeit nach sortiert:
1. Die Trennung des Hochschullogins von den Zugangsdaten für den WLAN Zugang. Hier ist die RWTH Aachen mit ihrem EGM (Endgerätemanager) als Beispiel zu nennen.
2. Das verwendete WLAN Kanalraster optimieren. Sofern das Raster 1,6,11 verwendet wird, wäre es durchaus möglich mal 1,5,9,13 zu versuchen, um die verfügbaren Frequenzen auch voll auszunutzen. Das macht zum Beispiel das Leibniz Rechenzentrum so.
3. Einführung einer Zweifaktorauthentifizierung für einige oder alle Dienste der Hochschule und damit Abkehr von der Einpassword Politik. Das KIT zeigt, wie es gehen kann.
4. Transparenz schaffen über das Anrecht auf die Nutzung der Frequenz für jeden, die damit verbundenen Probleme und die Grundannahme, dass ein Mitarbeiter immer zuerst kooperativ sein wird.
5. Erstellen eines Leitfadens WLAN Nutzung (keine Ordnung oder Regel) mit der BITTE sich einen Kanal zuweisen zu lassen, damit eine möglichst gute Frequenzabdeckung erfolgen kann.
Helfen Sie mir und geben Sie Hinweise oder stellen Sie selbst Anfragen bei FragDenStaat.de!
Nutzen Sie im Betreff Ihrer Anfrage bei FragDenStaat.de: WLAN der [HIER DER HOCHSCHULNAME]
Als Text können sie folgenden verwenden:
Wenn Sie mir Bescheid (siehe Impressum) geben, kommt die Hochschule hier auf die Seite. Dafür müssen Sie mir aber auch eine belastbare Quelle liefern. Ich fühle mich dem Informantenschutz verpflichtet!
Sollten Sie technisch versiert sein, dann können Sie Messequipment aufbauen und die Behinderungen nachweisen oder nachweisen, dass diese nicht existieren. Fragen Sie vielleicht auch mal nach Hilfe bei einem Erfa-Kreis des Chaos Computer Clubs in der Nähe. Sollten Behinderungen nachgewiesen worden sein, können Sie eine Funkstörung bei der Bundesnetzagentur melden. Ich rate, das nicht selbst zu tun, sofern Sie Mitglied eben jener Hochschule sind, von der Sie annehmen, dass diese ursächlich für die Störungen ist. Dafür könnte man nach aktuellem Recht noch abgemahnt werden, sofern Sie dem Arbeitgeber vorher nichts gemeldet haben. Mir ist jedoch bewusst, dass besonders in stark hierarchisch organisierten Einrichtungen, das Hinweisgeben und dann nicht als Nestbeschmutzer dastehen schwierig ist. Letztlich ist natürlich auch davon auszugehen, dass die Einstellungen des WLANs der Hochschule natürlich auch den Verantwortlichen bekannt sind, Sie daher also nichts Neues melden könnten, was unbekannt wäre. Der Whistleblowerschutz in Deutschland wird sich erst 2021 grundlegend ändern.
- Historie hinzugefügt
- Webseite aufgesetzt, erste Anfrage wird gestellt
- Infos über die Seiteneffekte in Folge des Betreibens eines Forschungsportals, welches sich mit dem Umgang deutscher Hochschulen mit der WLAN Nutzung/Frequenznutzung beschäftigt.
(und inhaltlich verantwortlich nach § 5 TMG, § 55 RStV)
Die Inhalte meiner Seiten wurden mit größtmöglicher Sorgfalt erstellt. Für die Richtigkeit, Vollständigkeit und Aktualität der Inhalte kann ich jedoch keine Gewähr übernehmen. Als Diensteanbieter bin ich gemäß § 7 Abs.1 TMG für eigene Inhalte auf diesen Seiten nach den allgemeinen Gesetzen verantwortlich. Als Diensteanbieter bin ich jedoch nicht verpflichtet, übermittelte oder gespeicherte fremde Informationen zu überwachen oder nach Umständen zu forschen, die auf eine rechtswidrige Tätigkeit hinweisen. Zu diesen übermittelten fremden Informationen zählen insbesondere die durch Nutzer gestellten Anfragen nach dem Informationsfreiheitsgesetz sowie die Antworten der jeweiligen Einrichtungen. Die Verpflichtung zur Entfernung oder Sperrung der Nutzung von Informationen nach den allgemeinen Gesetzen bleiben hiervon unberührt. Eine diesbezügliche Haftung ist jedoch erst ab dem Zeitpunkt der Kenntnis einer konkreten Rechtsverletzung möglich. Bei Bekanntwerden von entsprechenden Rechtsverletzungen werden ich diese Inhalte umgehend entfernen.
Ich fühle mich dem Informantenschutz verpflichtet!
Mit der folgenden Datenschutzerklärung möchte ich Sie darüber aufklären, welche Arten Ihrer personenbezogenen Daten (nachfolgend auch kurz als "Daten“ bezeichnet) wir zu welchen Zwecken und in welchem Umfang verarbeiten. Die Datenschutzerklärung gilt für alle von mir durchgeführten Verarbeitungen personenbezogener Daten, sowohl im Rahmen der Erbringung meiner Leistungen als auch insbesondere auf meinen Webseiten, in mobilen Applikationen sowie innerhalb externer Onlinepräsenzen (nachfolgend zusammenfassend bezeichnet als "Onlineangebot“).
Kürzung der IP-Adresse: Bei der Speicherung der IP-Adresse wird diese gekürzt gespeichert. Bei diesem Verfahren, auch als "IP-Masking" bezeichnet, wird das letzte Oktett, d.h., die letzte Zahl einer IP-Adresse, gelöscht (die IP-Adresse ist in diesem Kontext eine einem Internetanschluss durch den Online-Zugangs-Provider individuell zugeordnete Kennung). Mit der Kürzung der IP-Adresse soll die Identifizierung einer Person anhand ihrer IP-Adresse verhindert oder wesentlich erschwert werden.
Um mein Onlineangebot sicher und effizient bereitstellen zu können, nehmen ich die Leistungen von einem Webhosting-Anbieter in Anspruch, von deren Servern (bzw. von ihnen verwalteten Servern) das Onlineangebot abgerufen werden kann. Zu diesen Zwecken kann ich Infrastruktur- und Plattformdienstleistungen, Rechenkapazität, Speicherplatz und Datenbankdienste sowie Sicherheitsleistungen und technische Wartungsleistungen in Anspruch nehmen.
Zu den im Rahmen der Bereitstellung des Hostingangebotes verarbeiteten Daten können alle die Nutzer unseres Onlineangebotes betreffenden Angaben gehören, die im Rahmen der Nutzung und der Kommunikation anfallen. Hierzu gehören regelmäßig die (gekürzte) IP-Adresse, die notwendig ist, um die Inhalte von Onlineangeboten an Browser ausliefern zu können, und alle innerhalb meines Onlineangebotes oder von Webseiten getätigten Eingaben.
E-Mail-Versand und -Hosting: Die von mir in Anspruch genommenen Webhosting-Leistungen umfassen ebenfalls den Versand, den Empfang sowie die Speicherung von E-Mails. Zu diesen Zwecken werden die Adressen der Empfänger sowie Absender als auch weitere Informationen betreffend den E-Mailversand (z.B. die beteiligten Provider) sowie die Inhalte der jeweiligen E-Mails verarbeitet. Die vorgenannten Daten können ferner zu Zwecken der Erkennung von SPAM verarbeitet werden. Ich bitte darum, zu beachten, dass E-Mails im Internet grundsätzlich nicht verschlüsselt versendet werden. Im Regelfall werden E-Mails zwar auf dem Transportweg verschlüsselt, aber (sofern kein sogenanntes Ende-zu-Ende-Verschlüsselungsverfahren eingesetzt wird) nicht auf den Servern, von denen sie abgesendet und empfangen werden. Ich kann daher für den Übertragungsweg der E-Mails zwischen dem Absender und dem Empfang auf unserem Server keine Verantwortung übernehmen. Für Ende-zu-Ende Verschlüsselung finden Sie meinen PGP Key im Impressum.
Erhebung von Zugriffsdaten und Logfiles: Ich selbst (bzw. mein Webhostinganbieter) erhebt Daten zu jedem Zugriff auf den Server (sogenannte Serverlogfiles). Zu den Serverlogfiles können die Adresse und Name der abgerufenen Webseiten und Dateien, Datum und Uhrzeit des Abrufs, übertragene Datenmengen, Meldung über erfolgreichen Abruf, Browsertyp nebst Version, das Betriebssystem des Nutzers, Referrer URL (die zuvor besuchte Seite) und im Regelfall (gekürzte) IP-Adressen und der anfragende Provider gehören.
Als Betroffener steht Ihnen im Falle eines datenschutzrechtlichen Verstoßes ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu. Zuständige Aufsichtsbehörde bezüglich datenschutzrechtlicher Fragen ist der Landesdatenschutzbeauftragte des Bundeslandes, in dem sich mein Sitz befindet. Der folgende Link stellt eine Liste der Datenschutzbeauftragten sowie deren Kontaktdaten bereit.
Die folgende Tabelle erläutert die möglichen Eintragungen in den Spalten Deauth? und Regeln?
Die Frage, die ich den Hochschulen stelle, zielt eigentlich auf eine ja oder nein Antwort. Sollte die Hochschule keine Behinderungen anderer WLANs vornehmen, antwortet Sie natürlich mit nein. Sie hat in diesem Fall auch keinen Grund, etwas anderes zu sagen. Sollte eine Hochschule die Aussage mit Hinweisen auf Sicherheitsaspekte verweigern, wird zum einen klar, dass das Senden von solchen Paketen als "Sicherheitsfunktion" angesehen wird (was es nicht ist, siehe oben) und zum anderen kann dann auch davon ausgegangen werden, dass diese Funktion auch eingesetzt wird, weil die Hochschule ja alle Sicherheitsvorkehren treffen will. Das trifft besonders zu, wenn mit § 109 TKG argumentiert wird. Sie verrät sich mit einer Aussageverweigerung also selbst.
Die Liste der Hochschulen und die Anzahl Studierender habe ich aus Wikipedia und dem Hochschulkompass entnommen.
Deauth? Regeln?
nein: Es finden keine Deauthentication Aussendungen durch die Hochschule auf andere statt. nein: Es gibt keine zusätzlichen Regeln für den Umgang mit WLANs in der Hochschule.
nicht mehr: Es fanden in der Vergangenheit Deauthentication Aussendungen durch die Hochschule auf andere statt, jedoch aktuell nicht mehr. sanft: Es gibt zusätzliche Regeln für den Umgang mit WLANs in der Hochschule, diese beschränken sich jedoch lediglich auf eine Anzeigepflicht oder Empfehlungen der Hochschule.
twin: Es finden Deauthentication Aussendungen auf WLANs durch die Hochschule statt, die die gleiche(n) SSIDs besitzen, wie die Hochschule sie verwendet. mittel: Es gibt zusätzliche Regeln für den Umgang mit WLANs in der Hochschule, mit leichten Einschränkungen z.B. bei der Kanalwahl.
ja: Es finden Deauthentication Aussendungen auf alle anderen WLANs durch die Hochschule statt (auch als "Ultima Ratio Sicherheitsmaßnahme").
ja*: Die Auskunft wurde durch die Hochschule verweigert. Es finden vermutlich Deauthentication Aussendungen auf andere WLANs durch die Hochschule statt. streng: Es gibt zusätzliche Regeln für den Umgang mit WLANs in der Hochschule, die eine Genehmigungspflicht beinhalten.
streng*: Die Auskunft wurde durch die Hochschule verweigert. Es gibt vermutlich zusätzliche Regeln für den Umgang mit WLANs in der Hochschule, die eine Genehmigungspflicht beinhalten.
kAP (keine AussagePflicht): Die Hochschule hat keine rechtliche Pflicht eine Aussage zu tätigen und beruft sich darauf. kAP (keine AussagePflicht): Die Hochschule hat keine rechtliche Pflicht eine Aussage zu tätigen und beruft sich darauf.
leer: Status unbekannt leer: Status unbekannt
grün = Anzahl der Hochschulen, die mit nein für Deauth in der Tabelle gelistet sind
rot = Anzahl der Hochschulen, die mit ja, ja* oder twin für Deauth in der Tabelle gelistet sind und somit gegen die Regeln der Bundesnetzagentur verstoßen.
orange = Anzahl der Hochschulen, die angefragt wurden aber noch nicht geantwortet haben
schwarz = Anzahl der Hochschulen, die sich darauf berufen, dass keine rechtliche Pflicht zur Aussage besteht. Üblicherweise weil das IFG nicht in Landesrecht umgesetzt wurde.
Datenbank als .csv

References: § 303
 § 202
 § 5
 § 55
 § 7
 § 109