Themen
Tipp des Monats
Machen Sie in nur zehn Minuten den IT-Sicherheitscheck von Deutschland sicher im Netz. Der Test liefert Handlungsempfehlungen, mit denen Sie die eigene IT-Sicherheitslage verbessern können.
Newsletter
Um neue Beiträge regelmäßig zu erhalten, können Sie hier unseren Newsletter abonnieren:
Datenschutz bei der Nutzung von IPv6
In vielen Kommentaren zur Einführung von IPv6 kam immer wieder das Thema “Datenschutz” zur Sprache – eigentlich das einzige Thema zur Einführung von IPv6, das regelmäßig von der Presse aufgegriffen wird, u. a. weil sich der ehemalige Bundesdatenschutzbeauftragte dazu geäußert hatte. Die Schwierigkeit liegt darin, dass es durchaus unterschiedliche Anforderungen an die Nutzung von IPv6-Adressen gibt: Der durchschnittliche Privatanwender will automatisch geschützt sein, der technisch versierte Privatanwender will bewusst die Vorteile von IPv6 nutzen (siehe Kommentar „IPv6 und der Datenschutz“). Und Firmen wollen mit einigen Diensten im Internet erreichbar sein, andere Teile ihrer Netze aber schützen.
Grundsätzlich ändert sich durch die Einführung von IPv6 nichts am Kommunikationsmodell des Internets. In den Datenpaketen sind jeweils Ziel- und Quell-Adresse enthalten, die sich ihren Weg durch das Internet suchen und den Weg zurück für die Antwort ermöglichen. In diesem Sinne ist ein Äquivalent zur “Rufnummernunterdrückung” bei Telefonie nicht möglich – im Normalfall steht keine Infrastruktur zur Verfügung, die Pakete anonym weiterleitet.
Eine IPv6-Adresse besteht aus mehreren Teilen, hier sollen drei Teile unterschieden werden:
- Der oberste Teil der Adresse ist das Netzwerk-Präfix, das durch den Internet-Provider festgelegt wird. Für Firmen können das z. B. die obersten 56 oder 48 Bits der 128 Bits langen IPv6-Adresse sein. Unter diesem Adressbereich ist man im Internet erreichbar.
- Der untere Teil von insgesamt 64 Bits ist der Interface Identifier und unterscheidet die einzelnen Netzwerkkarten bzw. Rechner in den lokalen (Teil-)Netzen.
- Im mittleren Bereich stehen, je nach Umfang des Netzes bzw. des Internetanschlusses, 8 oder 16 Bits zur Verfügung, um das eigene, lokale Netz zu strukturieren. Ein großer Vorteil: Schon zu einem einfachen DSL-Privatanschluss bekommt man nicht mehr nur eine IPv4-Adresse zugewiesen, sondern einen ganzen IPv6-Netzbereich, den man selbst aufteilen kann.
Sollen Server oder Arbeitsplatzrechner (z. B. für Fernwartung) aus dem Internet erreichbar sein, so hilft der große Adressbereich von IPv6, an alle Rechner eine eindeutige und feste Adresse zu vergeben. Aber in vielen Fällen muss auf einen Arbeitsplatzrechner nicht von außen und damit unter einer festen Adresse zugegriffen werden, sondern er initiiert die Verbindung, bspw. zu einem Webserver. Wenn nun ein Webseiten-Betreiber davon ausgehen kann, dass sich die IPv6-Adresse für einen Rechner nie ändert, so kann er seine Nutzer daran wiedererkennen – was nicht unbedingt im Interesse der Nutzer ist. Allerdings gibt es auch andere Verfahren zur Wiedererkennung von Nutzern, unabhängig von der IP-Adresse (siehe Blogbeitrag Cookie-Management).
Besonders problematisch ist die Wiedererkennbarkeit der IPv6-Adresse beim Einsatz von Mobilgeräten: Würden diese Geräte eine feste, eindeutige IPv6 Adresse (oder Adressteile) verwenden, könnte man nicht nur ein bestimmtes Gerät wiedererkennen, sondern aufgrund der engen Bindung zwischen Nutzer und Gerät direkt auf den Nutzer selbst schließen. Darüber hinaus könnten zusätzliche Informationen über ihn mittels der verwendeten Zugangsnetze erfasst werden: Es wäre erkennbar (am Netzwerk-Präfix), ob ein Smartphone gerade zuhause (über WLAN) verwendet wird oder unterwegs eine Mobilfunkverbindung genutzt wird.
Eine Möglichkeit zur Vermeidung von festen IPv6-Adressen ist die Verwendung von Privacy Extensions. Der untere Teil der IPv6-Adresse (Interface Identifier) wird vom Endgerät selbst zufällig ausgewählt und mit den anderen Bestandteilen zu einer eindeutigen IPv6-Adresse zusammengesetzt. Diese Adresse wird nur temporär (z. B. einen Tag lang) verwendet, am nächsten Tag wird eine neue Adresse erzeugt – und so kann man am nächsten Tag nicht wiedererkannt werden. Übrigens kann die alte IPv6-Adresse sogar noch weiter verwendet werden, da eine Netzwerkkarte ja mehrere IPv6-Adressen gleichzeitig nutzen kann. Eine ausführliche Erläuterung über die Nutzung von Privacy Extensions findet sich im Artikel IPv6: Privacy Extensions einschalten.
Durch die Nutzung von Privacy Extensions wird es also einem Außenstehenden erschwert, einzelne Nutzer anhand ihrer Zugriffe zuzuordnen. Auch die Analyse interner Strukturen, wie bspw. die Anzahl der Arbeitsplätze, wird erschwert. Dem steht der Nachteil gegenüber, dass man im Fehlerfall auch selbst nicht direkt eine Adresse einem Rechner zuordnen kann. Wenn also in einem Logfile erkennbar wird, dass der Zugriff von einer bestimmten IPv6-Adresse immer einen Fehler hervorruft, führt das bei der Verwendung von Privacy Extensions zu einer langen Suche nach dem Rechner.
Eine Lösung bietet auch hier das strukturierte Vorgehen bei der Einführung von IPv6 – die Aufteilung eines Netzes in verschiedene Subnetze und Sicherheitszonen: Server kommen in getrennte Netze, sie bekommen feste, bekannte Adressen, da sie ja von außen stabil erreicht werden sollen. Wird ein Proxy oder eine entsprechende Sicherheitskomponente eingesetzt (z. B. zum Zugriff auf das Web), so sind die Adressen der Arbeitsplatzrechner sowieso hinter der Adresse des Proxy verdeckt. In diesem Fall kann man darüber nachdenken, feste Adressbestandteile zu verwenden, die im Idealfall sogar die Fehlersuche unterstützen (z. B. Raum, Organisationsteil). Greifen dagegen Arbeitsplatzrechner oder Mobilgeräte direkt auf das Internet zu, sollte man Privacy Extensions nutzen. Die Chancen stehen gut, dass das Betriebssystem diese in der Standardkonfiguration schon automatisch nutzt.
Sichere Einführung von IPv6 (Teil 1): Warum Unternehmen auf IPv6 umstellen sollten
Sichere Einführung von IPv6 (Teil 2) Erste Schritte für Ihr Unternehmen
Sichere Einführung von IPv6 (Teil 3) Eigenschaften von IPv6
Sichere Einführung von IPv6 (Teil 4) Sicherheitsmechanismen von IPv6
Bild: © Günther Menzl / Fotolia.com
Jens Tiemann, Fraunhofer FOKUS

Jens Tiemann arbeitet als wissenschaftlicher Mitarbeiter im Kompetenzzentrum Öffentliche IT (ÖFIT), dem Think Tank für Öffentliche IT am Fraunhofer-Institut FOKUS. Seine besonderen Forschungsschwerpunkte liegen im Bereich des Internet-Zugangs, Future Internet und selbstorganisierender Systeme. Ziel seiner Arbeit ist die Entwicklung von Roadmaps für die sicherheitsbezogene Konsolidierung gewachsener Netzinfrastrukturen und Technologien im öffentlichen Raum.
Jens Tiemann hat an der TU Berlin Elektrotechnik studiert. Er ist Co-Autor des IPv6-Migrationsleitfadens und des IPv6-Profils für die öffentliche Verwaltung der Bundesstelle für Informationstechnik (BIT) im BVA, außerdem vertritt er das Fraunhofer FOKUS im Deutschen IPv6-Rat.

Neueste Kommentare