GOpenCNR und das Fernmeldegeheimnis

Wofür diese Seite gilt

GOpenCNR überträgt die Kommunikation seiner Mitglieder; Ihr Verkehr darin steht deshalb unter dem Fernmeldegeheimnis. Diese Seite beschreibt, was das praktisch bedeutet: was jeder Teil des Netzes sehen kann, was niemand tun darf und wer gebunden ist. Sie wird zusammen mit dem GOpenCNR-Datenschutzhinweis gelesen, der alles aufführt, was wir verarbeiten und wie lange, und mit den GOpenCNR-Nutzungsbedingungen.

„Wir“ ist Gelhaus Solutions, die GOpenCNR als Tier 0 betreibt. Unsere Angaben stehen im Impressum.

Das Wichtigste in Kürze

• Zwischen Agenten-Routern ist Ihr Verkehr Ende zu Ende verschlüsselt. Hubs leiten Chiffrat weiter, das sie nicht lesen können; die Schlüssel entstehen auf Ihrem Router und verlassen ihn nie.
• Niemand sieht Inhalte ein. Weder wir noch ein Hub- oder Transitbetreiber.
• Hubs führen Zähler, keine Aufzeichnungen. Sie zählen, wie viel, nie, wer mit wem kommuniziert hat. Feingranulare Zähler werden 90 Tage aufbewahrt, danach nur noch Tagessummen bis 12 Monate.
• Stichproben von Datenflüssen gibt es nur in einem offenen Missbrauchsfall: höchstens 7 Tage, ein Paket von 1.000, Quelle, Ziel, Port und Größe, nie Inhalte, gelöscht spätestens mit dem Abschluss des Falls.
• Wo ein Hub mehr sehen kann, sagt Ihr Gerät es Ihnen. Gehostete Router und Router ohne Agenten sind als das gekennzeichnet, was sie sind.
• Ihr Endpunkt ist nie öffentlich.
• Wer einen Teil des Netzes betreibt, ist gebunden, durch das Gesetz und durch eine schriftliche Verpflichtung.
• Weitergegeben wird nur nach der Richtlinie zu Behördenanfragen, und Tatsachen, die dem Fernmeldegeheimnis unterliegen, nur, wo ein Gesetz es ausdrücklich erlaubt.

Was das Gesetz schützt

Das Fernmeldegeheimnis umfasst den Inhalt Ihrer Kommunikation und ihre näheren Umstände, insbesondere die Tatsache, ob Sie überhaupt an einer beteiligt waren, auch bei erfolglosen Verbindungsversuchen (§ 3 TDDDG). Es bindet uns als Betreiberin eines öffentlichen Telekommunikationsnetzes und jede Person, die an der Erbringung des Dienstes mitwirkt, also auch jeden Hub-Betreiber.

Wer gebunden ist, darf sich von Inhalten und Umständen nur so weit Kenntnis verschaffen, wie es der Betrieb des Netzes und der Schutz seiner Systeme erfordern, und darf das Erfahrene für nichts anderes verwenden. Weitergeben darf er es nur, wo ein Gesetz es vorsieht und sich dabei ausdrücklich auf Telekommunikationsvorgänge bezieht. Die Pflicht besteht auch nach dem Ende einer Rolle fort, und ein Verstoß ist strafbar (§ 206 StGB).

Was ein Hub sieht

Der Verkehr zwischen Mitgliedern läuft in zwei Schichten. Der äußere WireGuard-Tunnel führt von Ihrem Router zu einem Hub, der ihn entschlüsselt. Darin läuft eine innere WireGuard-Schicht Ende zu Ende zwischen den Agenten zweier Mitglieder, und nur Mitglieder, die miteinander sprechen dürfen, erhalten die inneren Schlüssel des anderen.

Was ein Hub sehen kann, hängt davon ab, wie Sie sich verbinden, und jedes Gerät zeigt seinen Schutz, wie er ist:

• Ein Router mit dem Agenten: Ende zu Ende. Der Hub sieht die Adresse, von der Ihr Router sich verbindet, die Adressen der beiden Router in GOpenCNR sowie Größe und Zeitpunkt jedes Pakets. Inhalte kann er nicht sehen, und wir auch nicht: Die Schlüssel halten nur die beiden Router.
• Ein gehosteter Router: „verschlüsselt bis“ zum Betreiber des Hubs, „ab dort Ende zu Ende“. Ihre Telefone, Laptops und Server verbinden sich mit ihm über einfaches WireGuard; ihr Verkehr liegt daher im gehosteten Router im Klartext vor, bevor die innere Schicht beginnt. Auf dem Hub von Tier 0 sind wir dieser Betreiber; auf einem zertifizierten Hub ist es der auf der Kennzeichnung genannte Betreiber, der Ihren Verkehr als unser Auftragsverarbeiter nach der Vereinbarung für Hub-Betreiber behandelt. In beiden Fällen gilt dieselbe Regel: keine Einsicht, nichts über Zähler hinaus.
• Ein Router ohne Agenten: „Hop by hop“. Eine erzeugte Konfiguration (MikroTik, VyOS, FRR oder einfaches WireGuard mit BIRD) hat keine innere Schicht; Hubs leiten ihre Pakete daher im Klartext weiter. Sie sehen sie nicht ein und führen nur Zähler. Ein solcher Router erhält nie geschlossene Routen.

Geschlossene Präfixe laufen nur über den Hub von Tier 0 und zertifizierte Hubs, nie über Community-Hubs, Transitmitglieder oder direkte Sitzungen, und nur Mitglieder der Zielgruppe halten die inneren Schlüssel der anderen.

Dedizierte und private Hubs betreibt nur Tier 0, auf eigenen Servern.

Zähler statt Aufzeichnungen

Jeder Hub zählt je Mitglied: Bytes, Pakete und verworfene Pakete nach Grund, die Routen, die seine Filter abgelehnt haben, mit der Regel, die jede abgelehnt hat, Sitzungen, die nach Flaps angehalten wurden, und die Bandbreite, die Sie im Verhältnis zur Grenze der fairen Nutzung beanspruchen. Mit den Zählern laufen die Grenzen der fairen Nutzung, Sie sehen, was verworfen wurde und warum, und wir erkennen, wann ein Hub mehr Kapazität braucht. Sie sagen, wie viel, nie, wer mit wem kommuniziert hat, und nie, was gesagt wurde.

Sie sehen Ihre eigenen Zähler. Tier 0 sieht sie für jedes Mitglied. Der Betreiber eines Hubs sieht sie für die Mitglieder, die mit seinem Hub verbunden sind. Die Öffentlichkeit sieht nur Summen. Feingranulare Zähler werden 90 Tage aufbewahrt; danach bleiben nur Tagessummen je Mitglied, bis 12 Monate.

Stichproben in einem Fall

Hubs zeichnen keine Datenflüsse auf. Die einzige Ausnahme ist ein offener Missbrauchsfall zu Verkehr von einer gemeldeten Quelle. Dann, und nur dann, darf Tier 0 die Datenflüsse dieser Quelle stichprobenartig erfassen:

• nur bei einem offenen Fall, und erst nachdem im Fall festgehalten ist, warum die Stichprobe nötig ist;
• höchstens 7 Tage; Tier 0 beendet sie früher, sobald ihr Zweck erreicht ist;
• ein Paket von 1.000;
• erfasst werden Quelle, Ziel, Port und Größe, nie Inhalte;
• Beginn und Ende durch Tier 0, beides im Fall festgehalten, auf den Hubs, die Tier 0 betreibt;
• nur Tier 0 sieht die Stichproben, und nur im Rahmen des Falls.

Die Stichproben werden gelöscht, sobald der Fall sie nicht mehr braucht, spätestens mit seinem Abschluss. Was in ihnen gefunden wurde, bleibt beim Fall, der 12 Monate nach seinem Abschluss aufbewahrt wird. Der Inhaber der erfassten Quelle wird nach dem Ende der Stichprobe informiert, dass sie lief, wie lange und warum.

Der Rest des Netzes

• Der Route-Collector und das Looking Glass sehen Routen, nie Verkehr. Offene Routen sind öffentlich, und der Collector veröffentlicht Abzüge davon, die 2 Jahre aufbewahrt werden. Was der Collector nicht veröffentlicht (sein laufender Feed und Rohabzüge, geschlossene Routen eingeschlossen), wird 12 Monate aufbewahrt. Ein geschlossenes Präfix selbst ist öffentlich wie jedes andere (Präfix, Inhaber-Handle, Ursprungs-AS, ROA); geschlossen ist nur seine Erreichbarkeit, und die Mitglieder seiner Zielgruppe und die Routen zu ihnen werden nie veröffentlicht.
• Die Gesundheitsberichte Ihres Agenten (Zustand der Sitzungen, Latenz zu jedem Hub, Ergebnisse der MTU-Messung, verworfene Pakete nach Grund, Version des Agenten) sehen Sie, Tier 0 und der Betreiber Ihres Hubs, die Öffentlichkeit nur als Summen. Sie werden 12 Monate aufbewahrt.
• Der Resolver schreibt kein Protokoll, das eine Abfrage mit Ihrer Adresse verbindet. Protokolle, die zur Fehlersuche eingeschaltet werden, werden binnen 24 Stunden gelöscht.
• Ihr Endpunkt, die Adresse, von der Ihr Router sich verbindet, wird verschlüsselt gespeichert und nur Tier 0 und Mitgliedern gezeigt, die Sie für direktes Peering annehmen. Er erscheint nie in Exporten oder in RDAP. Das Transparenzlog enthält nur einen Hash davon, gebildet mit einem zufälligen 32-Byte-Salz, das verschlüsselt aufbewahrt und nur Ihnen und den von Ihnen angenommenen Peers ausgehändigt wird; aus dem Log lässt sich Ihr Endpunkt nicht erraten.
• Verbundene Netze (dn42 und NeoNetwork) tauschen offene Routen und den Verkehr von und zu offenen Präfixen aus, nach ihren eigenen Regeln. Geschlossene Präfixe gelangen nie zu ihnen.

Wer hinsehen darf und wie das geregelt ist

• Jede Änderung durch Tier 0 verlangt einen Passkey und erzeugt einen Audit-Eintrag, und Sitzungen von Tier 0 enden nach 30 Minuten ohne Nutzung.
• Hubs werden nur aus signierten Bundles konfiguriert, die aus der Registry erzeugt werden. Auf einem Hub wird nichts von Hand konfiguriert.
• Der Betreiber eines Hubs sieht die Sitzungen, Zähler und Ablehnungen der Mitglieder an seinem eigenen Hub und nichts über andere.
• Supportansichten sind nur lesend. Niemand meldet sich als Sie an.

Wer gebunden ist

Wer Zugang zu einem Hub, zu Funktionen von Tier 0 oder zu Verkehrsdaten erhält, verpflichtet sich vor dem ersten Zugang schriftlich auf das Fernmeldegeheimnis: jede Person mit einer Rolle in Tier 0, zertifizierte Hub-Betreiber und Transitbetreiber in ihren Vereinbarungen, Betreiber von Community-Hubs bei der Anmeldung ihres Hubs. Zertifizierte Hub-Betreiber und geprüfte Transitbetreiber verarbeiten Ihre Daten als unsere Auftragsverarbeiter nach Art. 28 DSGVO; wer außerhalb von EU und EWR und außerhalb von Staaten mit Angemessenheitsbeschluss sitzt, unterzeichnet zusätzlich die EU-Standardvertragsklauseln. Sie melden uns jeden Sicherheitsvorfall unverzüglich. Sie werden vor dem ersten Zugang eingewiesen und danach jedes Jahr erneut. Die Verpflichtung umfasst, was diese Seite beschreibt: keine Einsicht, nichts über Zähler hinaus, keine Weitergabe, wenn kein Gesetz sie ausdrücklich erlaubt, und die sofortige Meldung jeder möglichen Offenlegung.

Weitergabe

Gerichte und Behörden erhalten Daten nur nach der Richtlinie zu Behördenanfragen: deutsche Anordnungen sowie Europäische Herausgabe- und Sicherungsanordnungen nach Prüfung, andere ausländische Ersuchen nur im Weg der deutschen Rechtshilfe. Sie werden informiert, wenn das Gesetz es nicht verbietet, und sobald es das nicht mehr tut. Jede Anfrage wird im halbjährlichen Transparenzbericht gezählt.

Für Tatsachen, die dem Fernmeldegeheimnis unterliegen, setzt das Gesetz die Grenze: Sie werden nur weitergegeben, wo eine gesetzliche Vorschrift es vorsieht und sich dabei ausdrücklich auf Telekommunikationsvorgänge bezieht (§ 3 Abs. 3 TDDDG). Die Anzeigepflicht nach § 138 StGB hat Vorrang. Die eine freiwillige Herausgabe nach der Richtlinie zu Behördenanfragen, zur Abwehr einer gegenwärtigen Gefahr für Leib oder Leben, erfasst Ihre Verkehrsdaten nie. Darstellungen sexuellen Missbrauchs von Kindern melden wir immer der Polizei oder dem Bundeskriminalamt, mit dem, was wir außerhalb der Verkehrsdaten haben; Verkehrsdaten erhalten sie nur aufgrund einer gesetzlichen Anordnung.

Ohnehin gibt es wenig weiterzugeben. Inhalte werden nirgends gespeichert, der Verkehr zwischen Agenten ist mit Schlüsseln verschlüsselt, die wir nicht halten, und Hubs führen Zähler statt Aufzeichnungen.

Wenn etwas schiefgeht

Wenn Sie glauben, dass Ihr Verkehr oder Ihre Daten in GOpenCNR offengelegt wurden, schreiben Sie sofort an contact@gplatform.org. Sicherheitsmeldungen können auch über die GOpenCNR-Sicherheits- und Offenlegungsrichtlinie eingehen.

Jede Verletzung des Schutzes personenbezogener Daten in GOpenCNR melden wir der Bundesnetzagentur und der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (§ 169 TKG), und wir benachrichtigen Sie direkt, wenn eine Verletzung Sie voraussichtlich schwerwiegend beeinträchtigt. Erhebliche Sicherheitsvorfälle melden wir der Bundesnetzagentur und dem Bundesamt für Sicherheit in der Informationstechnik (§ 168 TKG), und wo Sie sich gegen eine Gefahr schützen können, sagen wir Ihnen, wie.

Aufsichtsbehörde für personenbezogene Daten, die zur Erbringung des Telekommunikationsdienstes von GOpenCNR verarbeitet werden, ist die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Graurheindorfer Straße 153, 53117 Bonn (§ 29 TDDDG). Für alles Übrige ist es Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

Änderungen

Diese Seite ändert sich, wenn GOpenCNR sich ändert. Jede Fassung wird im Dokumentenarchiv aufbewahrt.