Abgesagter Vortrag bringt Universität in Erklärungsnot

Denn im Juli vergangenen Jahres sagten die Sicherheitsforscher Alexander Volkynkin und Michael McCord einen geplanten Vortrag auf der Blackhat-Konferenz kurzfristig ab. Eigentlich wollten sie zeigen, wie sie mit 3.000 US-Dollar teurem Equipment die IP-Adresse von Tor-Nutzern herausfinden können. Beide Forscher arbeiten für das Computer-Emergency-Response-Team (Cert) von Carnegie Mellon, das zwar zur Universität gehört, aber offenbar zu einem großen Teil durch Regierungsgelder finanziert wird. Das Cert unterstützte nach Aussage eines angeblichen früheren Mitarbeiters im Blog von Matthew Green zu seiner Zeit dort häufiger Auskunftsersuchen von Polizei- und Justizbehörden. Viele Mitarbeiter würden zudem über eine Klassifizierung verfügen, um Dokumente mit der Geheimhaltungsstufe "Top Secret" lesen zu können.

Bislang ist aber unklar, ob das Projekt als reine Forschungstätigkeit durchgeführt wurde oder ob die Forscher direkt im Auftrag der Regierung nach Wegen suchten, Tor-Nutzer zu identifizieren. Beides wäre problematisch: Einen entsprechenden Gerichtsbeschluss zu bekommen, dürfte schwierig sein - weil der Betrieb von Tor-Nodes zur Identifizierung einzelner Nutzer notwendigerweise zahlreiche unbescholtene Nutzer treffen würde. Außerdem wäre es zumindest diskussionswürdig, wenn ein Universitätsinstitut Aufgaben der Polizeibehörden direkt ausführt.

Forschungsprojekte brauchen ethische Rahmenbedingungen

Die zweite Option ist gleichermaßen kritisch zu sehen: Denn ein großflächiges Forschungsprojekt, von dem notwendigerweise eine große Anzahl von Tor-Nutzern betroffen ist, ist ethisch nur schwer zu rechtfertigen, wenn Nutzer davon keine Kenntnis bekommen. Auch das soziale Netzwerk Facebook musste sich viel Kritik anhören, als bekanntwurde, dass ohne Wissen der Nutzer verschiedene wissenschaftliche Experimente auf der Plattform durchgeführt wurden. Ein Sprecher der Universität wollte auf eine entsprechende Anfrage von Motherboard keine Auskunft zu Details der Operation geben.

Tor-Direktor Roger Dingledine behauptet in einem Blogpost, weitere Informationen über den Angriff erhalten zu haben. Dingledine zufolge habe die Carnegie-Mellon-Universität eine Million US-Dollar erhalten, um das Projekt durchzuführen. Belege für diese Behauptung führt er jedoch nicht an. Er fordert eine Beschränkung der wissenschaftlichen Forschung, um entsprechende Vorfälle in Zukunft zu verhindern. Doch diese Forderung dürfte in der Praxis nur schwer durchzusetzen sein - denn dann müsste wiederum bestimmt werden, was "legitime Sicherheitsforschung" ist und was nicht. Gerade in der IT-Security-Community dürften entsprechende Vorstöße zu Auseinandersetzungen führen.