Wireless-Netze mit offenen Risiken
WLAN-Hotspots der Gattung IEEE 802.11b gibt es in deutschen Hotels seit 2001. Für 24 Stunden WLAN zahlten Geschäftsgäste anno 2001 im Kempinski Vier Jahreszeiten München zunächst 150 DM. Dieser Hotspot war von Anfang an technisch sehr professionell durchgestylt, aber in einigen anderen Hotels passierten Fehler, die man nicht wiederholen sollte: Ein großes Hotel in Stuttgart etwa ließ kurz nach der Jahrtausendwende die ersten WLAN-11b-Access-Points von einem WLAN-Gerätehersteller direkt an das Ethernet (und somit auch Internet) des Hotels anschließen. Schnell hatten technisch versierte Hotelgäste per WLAN-Laptop aus der Lobby den vollen Zugriff auf die hotelinternen Daten und Dokumente, auf die Zimmerbelegung und die Gästelisten.
Fahrlässige Hotspots in Hotels
Diese Security-Schlamperei kam auch anderen Hoteliers zu Ohren. Irgendwann mussten die WLAN-Provider dann immer erst einen gesonderten DSL-, SDSL- oder VDSL-Anschluss und ein gesondertes Ethernet-Kabelnetz im Hotel verlegen, an dem sie dann die WLAN-Sender für die Gäste installieren durften. Komplette physikalische Trennung von Hotelnetz und Gäste-WLAN hieß dann die Parole – obwohl man die Netze auch schon damals rein virtuell hätte trennen können.
Ein großes Hotel in München (nicht das oben genannte Kempinski) hatte einige Dutzend WLAN-Access-Points eines weltbekannten Technikherstellers in den Doppeldecken verbaut. Kurz nach der Fertigstellung merkte der Autor dieser Story bei einem Test, dass er mit seinem WLAN-Laptop aus der Lobby den anderen Hotelgästen in den Konferenzräumen auf die Festplatte schauen konnte. Der Grund: Die verbauten Access Points waren nicht in der Lage, den Querverkehr zwischen den im WLAN angemeldeten Laptops zu unterbinden. Dutzende WLAN-Geräte wurden daraufhin wieder abmontiert und durch eine andere Marke ersetzt, bei der man den internen Querverkehr zwischen den Geräten direkt im Access-Point abschalten kann.
Zeitbombe im Telemediengesetz
WLAN-Sicherheit und die saubere Trennung von internem Netz und Gästezugang wird aller Voraussicht nach ein Massenthema werden. Denn bislang hat die deutsche Gesetzgebung mit der Störerhaftung viele Unternehmen, Gewerbetreibende und Amateure davon abgehalten, ein offenes Funknetz zur Verfügung zu stellen. Tatsächlich hätten wir in Deutschland de facto eine nahezu durchgehende WLAN-Versorgung. Es gibt ja schon mehrere Millionen private Funknetze. Würde jeder private WLAN-Betreiber sein Netz auch für Gäste öffnen, dann hätten wir auf einen Schlag fast flächendeckend kostenloses Internet (zumindest in den dichter besiedelten Regionen). Just diese Öffnung hat in Deutschland bislang aber nicht stattgefunden, eben weil wir seit 2010 einen Innovationsverhinderer namens WLAN-Störerhaftung hatten.
Störerhaftung bedeutet: Der (kleine und private) WLAN-Netzbetreiber haftet für sogenannte „Störer“, die er mitunter gar nicht kennt und von deren Treiben er überhaupt nichts bemerkt. Er muss – anders als die großen Provider – Abmahnungen und Strafen für das Fehlverhalten seiner Gäste befürchten, etwa wenn diese Musik und Filme verbotenerweise downloaden, pädophile Inhalte versenden oder beleidigende E-Mails schreiben, für Drohungen, Erpressungen, Stalking und weitere Straftaten.
Die deutsche Hotellerie hat unter der WLAN-Störerhaftung wohl mehr gelitten als jede andere Branche; sie erklärte am 11. Mai in Windeseile:
- „Der Deutsche Hotel- und Gaststättenverband (DEHOGA Bundesverband) und der Hotelverband Deutschland (IHA) begrüßen diese überfällige Entscheidung der Großen Koalition ausdrücklich. Um die Chancen der Digitalisierung im Interesse der Gäste vollumfänglich nutzen zu können, gehörte die unsägliche WLAN-Störerhaftung auch in Deutschland endlich beseitigt. Für die Hotels, Restaurants und Cafés bedeutet die nun verabredete umfassende Haftungsbefreiung der WLAN-Betreiber den lange erwarteten Befreiungsschlag.“
Störerhaftung stört das WLAN-Wachstum
Was geschehen war? Am 11. Mai 2016 hatten die Regierungsparteien CDU, CSU und SPD beschlossen, die Störerhaftung für öffentliche WLAN-Hotspots wieder abzuschaffen. Dieser Schritt war von vielen Seiten seit Langem gefordert worden.
„Es ist absurd, dass wir uns seit über sechs Jahren diese Störerhaftung in Deutschland leisten. […] Das ist ein Sonderfall, den kein anderes Land in der Welt hat. Das ist auch der Grund, warum wir kaum offene WLANs in Deutschland haben“, wettert Markus Beckedahl, Gründer der Digitalkonferenz re:publica und Chefredakteur von netzpolitik.org in einem Interview mit dem WDR. Bereits ein Gesetzentwurf der Bundesregierung vom 18. November 2015 erkannte immerhin das Problem der WLAN-Haftungsängste:
- „In Hotels und zunehmend auch in Innenstädten, Cafés, Flughäfen und Wartebereichen im Allgemeinen wird die Verfügbarkeit des Internets über WLAN mittlerweile vorausgesetzt. In Deutschland ist diese weitaus weniger verbreitet als in vielen anderen Ländern. […] Insbesondere das Abmahnrisiko verbleibt […] beim WLAN-Betreiber, weshalb vor allem kleinere Unternehmen wie Cafés oder Hotels trotz des damit verbundenen Wettbewerbsnachteils oft auf die Bereitstellung von WLAN-Internetzugängen und damit auf potentielle Kunden verzichten.“
Ein völlig unverschlüsselter Gastzugang garantiert dem Surfgast zwar ein sehr bequemes Einbuchen in einen offenen WLAN-Hotspot. Der WLAN-Betreiber trägt dabei aber ein hohes Risiko, denn er kann für das Verhalten seiner WLAN-Gäste abgemahnt oder bestraft werden, solange die WLAN-Störerhaftung in Deutschland noch nicht endgültig abgeschafft ist. Der Screenshot stammt aus einer AVM Fritz!Box 7390, Hardware-Baujahr 2009, Software-Stand Mai 2016. Das heißt: Sogar betagte WLAN-Router aus dem Consumer- und Office-Marktsegment können dank Firmware-Updates zeitgemäße Gastzugänge anbieten. (Bild: Harald Karcher)
Der EU-Generalanwalt macht Druck
Am 16. März 2016 brachte eine Verlautbarung des Gerichtshofes der Europäischen Union mehr Handlungsdruck in den deutschen Parteienstreit:
- „Nach Ansicht von Generalanwalt Szpunar ist der Betreiber eines Geschäfts, einer Bar oder eines Hotels, der der Öffentlichkeit ein WLAN-Netz kostenlos zur Verfügung stellt, für Urheberrechtsverletzungen eines Nutzers nicht verantwortlich. Zwar könne der Betreiber durch eine gerichtliche Anordnung verpflichtet werden, diese Rechtsverletzung zu beenden oder zu verhindern, doch könne weder die Stilllegung des Internetanschlusses noch seine Sicherung durch ein Passwort oder die allgemeine Überwachung der Kommunikation verlangt werden“.
Nach Ansicht des EU-Generalanwaltes Maciej Szpunar greift diese Haftungsbeschränkung, wenn „drei kumulative Voraussetzungen erfüllt sind: 1. Der Anbieter von Diensten hat die Übermittlung nicht veranlasst. 2. Er hat den Adressaten der Übertragung nicht ausgewählt. 3. Er hat die übermittelten Informationen nicht ausgewählt oder verändert.“
Nun die entscheidende Passage: Der EU-Generalanwalt ist der Auffassung, dass
- „diese Haftungsbeschränkung auch für eine Person wie Herrn McFadden gilt, der als Nebentätigkeit zu seiner wirtschaftlichen Haupttätigkeit ein WLAN-Netz betreibt, das der Öffentlichkeit unentgeltlich zur Verfügung steht. Nach Ansicht des Generalanwalts ist es nicht erforderlich, dass diese Person gegenüber der Öffentlichkeit als Anbieter von Diensten auftritt oder für ihre Tätigkeit bei potenziellen Kunden ausdrücklich Werbung macht.“
Diese Haftungsbeschränkung stehe „nicht nur einer Verurteilung des Vermittlers zur Leistung von Schadensersatz entgegen, sondern auch seiner Verurteilung zur Tragung der Abmahnkosten und der gerichtlichen Kosten im Zusammenhang mit der von einem Dritten begangenen Verletzung des Urheberrechts.“
Schwarz auf Weiß
Dieser Beitrag erschien zuerst in unserer Magazinreihe „Kommunikation und Netze“. Einen Überblick mit Download-Links zu sämtlichen Einzelheften bekommen Sie online im Pressezentrum des MittelstandsWiki.
Änderungsantrag: Abschaffung beschließen
Bei den Zitaten handelt es sich zwar noch nicht um finale Gesetze oder Urteile, aber um richtungsweisende „Schlussanträge des Generalanwalts in der Rechtssache C-484/14“ des Tobias McFadden, der ein Geschäft für Licht- und Tontechnik unweit von München betreibt, in dem er ein öffentlich zugängliches WLAN-Netz bereitstellt. Ein Streit mit der Sony Music Entertainment Germany GmbH über einen rechtswidrigen Download eines Dritten über McFaddens kostenlosem WLAN-Hotspot war vor dem Landgericht München I gelandet. Dieses hat sich Rat beim Gerichtshof der EU eingeholt. Die Antworten des Generalanwalts Szpunar vom 16. März 2016 auf den Einzelfall McFadden haben der deutschen Politik nun eine WLAN-freundliche Richtung vorgegeben.
Die frohe Kunde vom Ende der Störerhaftung löste in weiten Kreisen Deutschlands Freude aus. Bitkom-Hauptgeschäftsführer Dr. Bernhard Rohleder kommentierte noch am selben Tag: „Die Neuregelung macht den Weg frei für den Ausbau von WLAN-Hotspots in Cafés, Restaurants, Geschäften oder anderen öffentlich zugänglichen Einrichtungen.“ Zudem erleichtere sie Kommunen das Angebot öffentlicher WLAN-Bereiche.
Die Grünen jubelten auf ihrem GrünDigital-Blog darüber, „dass die Union ihre jahrelange Blockade in Sachen Störerhaftung nun offenbar endlich beendet hat. Es war mehr als überfällig, ein Konstrukt zu beseitigen, das in der Vergangenheit zu einer erheblichen Rechtsunsicherheit für die Anbieter und Nutzer von Funknetzen geführt hat.“ Laut SPD-Blog hat sich die Regierungskoalition
- „darauf verständigt, mit einer Änderung des Telemediengesetzes klarzustellen, dass WLAN-Anbieter als Accessprovider anzusehen sind und dass diese die Haftungsprivilegierung für Accessprovider beanspruchen können und keinen weiteren Prüfpflichten unterliegen. […] Da das deutsche Recht keine Unterscheidung zwischen gewerblichen oder privaten Anbietern kennt, gilt diese Klarstellung für alle Betreiber, die ein freies WLAN anbieten.“
Die sogenannte Haftungsprivilegierung für Access Provider galt bisher nämlich nur für größere WLAN-Betreiber: etwa für die Deutsche Telekom, für Telefónica oder Vodafone (vormals Kabel Deutschland). Deren WLAN-Hotspots sind aber meist kostenpflichtig und außerdem nicht wirklich flächendeckend.
Es bleibt zum Zeitpunkt dieses Beitrags nur zu hoffen, dass die Politik das Konzept nicht in letzter Sekunde wieder verwässern wird. Die ursprüngliche Freude ist bereits deutlich gedämpft. Der Antrag der Koalition vom 31. Mai 2016 nämlich, mit dem der §8 TMG (Telemediengesetz) entsprechend geändert werden soll, beschränkt sich auf die Ausdehnung des Providerprivilegs: Cafés, Frisörsalons, Hotels, Arztpraxen und alle anderen, „die Nutzern einen Internetzugang über ein drahtloses lokales Netzwerk zur Verfügung stellen“ (Entwurf eines Zweiten Gesetzes zur Änderung des Telemediengesetzes), sind damit als Diensteanbieter für Rechtsverstöße Dritter in ihrem WLAN prinzipiell nicht verantwortlich. Damit zeichnet sich aber auch ab, dass sie nicht vor Unterlassungsansprüchen sicher wären – und genau diese sind die Grundlage der grassierenden WLAN-Abmahnungen, wie netzpolitik.org und heise online ebenso rasch erkannt haben wie die Abmahnkanzleien.
Das Gastgewerbe steht in den Startlöchern
Viele Top-Hotels haben schon seit Jahren langfristige WLAN-Verträge mit bekannten Access Providern abgeschlossen, weil sie die technischen und rechtlichen Probleme eines Hotel-Funkhotspots mit ständig wechselnden Surfgästen nicht selber tragen wollen.
Im Gegenzug zahlen einige Spitzenhotels noch immer bis zu 30 Euro pro Nacht und belegtem Zimmer an ihren WLAN-Provider, obwohl sie Ihren Gästen heutzutage kaum noch WLAN gesondert auf die Rechnung schreiben können, schon gar nicht auf der Executive-Etage, wo sogar der Schampus rund um die Uhr im Zimmerpreis enthalten ist. Solche Altverträge schmerzen auch Manager teurer Hotels, die bei sich zu Hause für 30 Euro doch einen ganzen Monat lang schnelles Internet samt WLAN-Router-Miete bekommen.
Laut DEHOGA wollen die Koalitionsparteien den Ausschluss der Störerhaftung für offenen WLAN-Zugriff sogar „ohne technische Hürden wie eine Zugangsverschlüsselung oder eine Vorschaltseite […] ermöglichen.“ Der WLAN-Router muss also technisch nicht viel können.
Alte Verträge und neue Gästenetze
Also könnte der Hotelier nach Wegfall der Störerhaftung sogar den billigsten und technisch einfachsten WLAN-Router für seine Gäste installieren – sofern er aus seinem langfristigen WLAN-Provider-Vertrag herauskommt. In solchen Verträgen haben etliche Hotels nämlich schon vor Jahren unterschrieben, dass weder das Hotel selber, noch dessen Gäste ein anderes als das vom Provider betriebene WLAN innerhalb der Hotelmauern nutzen dürfen. Theoretisch darf der Gast in solchen Hotels nicht einmal den kleinen WLAN-Hotspot seines LTE-Smartphones einschalten. Im wirklichen Leben bringen aber viele Veranstalter und Aussteller ihre eigenen Router in die Hotels mit, um etwa in Konferenzen und Foyer-Ausstellungen eigenes WLAN zu betreiben. Die Hotels müssten das eigentlich kontrollieren und verbieten, schauen aber meist nicht so genau hin, in der Hoffnung, dass der offizielle Provider des Hotels die „fremden“ WLAN-Funker nicht bemerkt oder zumindest stillschweigend duldet.
Während rein private WLANs in der Regel durch die WPA2-Verschlüsselung recht zuverlässig gegen unerwünschte Eindringlinge abgeschottet sind, ist ein offenes WLAN – ohne Verschlüsselung und ohne Vorschaltseite – natürlich im Gegenteil genau dazu gedacht, dass jeder Surfgast ruckzuck ohne technische Probleme ins Netz kommen kann.
Weniger Haftung, mehr Sicherheitsrisiken
Dem frischgebackenen WLAN-Betreiber ist daher zu raten, durch eine strikte Trennung der beiden Netze den Surfgast klar von seinen eigenen Rechnern, Smartphones und Tablets fernzuhalten. Manche WLAN-Router, etwa viele Fritz!Boxen von AVM, bieten zu diesem Zwecke schon ab Werk einen weitgehend vorkonfigurierten „Gastzugang“ an, der das Gäste-WLAN vom internen Netz virtuell trennt.
Viele Fritz!Box-Modelle bieten einen vorkonfigurierten Gastzugang für einen (wahlweise offenen oder verschlüsselten) WLAN-Hotspot, der die Surfgäste virtuell relativ sicher vom restlichen Firmen- oder Heimnetz abschottet. Hier ein Screenshot aus dem jüngsten LTE-to-WLAN-Router Fritz!Box 6810 LTE, Hardware-Baujahr Ende 2015, Software-Stand Mai 2016. (Bild: Harald Karcher)
Doch auch der Gast selber sollte vorsorgen. Viele Netzexperten, so auch Markus Beckedahl, empfehlen jedem, der „in einem fremden Netzwerk unterwegs ist, auf seinem Handy, auf seinem Rechner, eine sogenannte VPN-Software zu installieren, ein Virtual Private Network, um eine verschlüsselte Verbindung quasi durch das offene oder geschlossene Netzwerk nach draußen zu bekommen.“ Ansonsten besteht eine Restgefahr, dass man im offenen WLAN von anderen WLAN-Usern abgehört oder manipuliert wird. VPN-Passthrough wird aber nicht von allen WLAN-Routern unterstützt.
Laute Freude bei den WLAN-Herstellern
Mit dem Wegfall der Störerhaftung dürften sich bald viele Privatleute, Vereine, Praxen, Gemeinden, Handwerker und Ladengeschäfte trauen, in Eigenregie einen kostenlosen WLAN-Hotspot für Gäste, Freunde oder Kunden anzubieten. Dürfen sich die Hersteller deshalb auf mehr Umsatz mit WLAN-Routern (oder mit Security-Lösungen) freuen?
Jan Koch von TP-LINK freut sich, dass es in Deutschland nach dem Wegfall der Störerhaftung bald mehr offene WLAN-Hotspots geben wird, warnt aber auch vor erhöhten Sicherheitsrisiken. Rechts im Bild seine Kollegin und Marketing-Leiterin Ramona Hieß. (Bild: Harald Karcher)
Jan Koch, Technical Presales Consultant, TP-LINK Deutschland, kommentierte am 12. Mai 2016 durch Versand einer Presseinfo:
- „Als Hersteller von WLAN-Geräten freuen wir uns, dass es in Deutschland künftig mehr offene WLAN-Hotspots geben wird. Jedoch gerade als Netzwerkexperten warnen wir auch vor den Risiken, die entstehen, wenn das WLAN-Netz für Gäste nicht ausreichend vom eigenen Heimnetz getrennt ist. Stichworte sind hier etwa unbefugter Zugriff ins private Netzwerk oder Virenbefall. Besitzer von Cafés oder Ladengeschäften sollten also auf Nummer sicher gehen, zum Beispiel mit Lösungen unserer Partner wie Socialwave, Hotsplots oder Freefii.“
Am bequemsten ist der WLAN-Gastzugang ganz ohne jede Anmeldung. Eine andere Möglichkeit ist die Anmeldung per Passwort, NFC oder QR-Code. Dieser Screenshot der QR-Codes für Funkzellen auf 2,4 und 5 GHz stammt aus einer AVM Fritz!Box 7390, Hardware-Baujahr 2009, Software-Stand Mai 2016. (Bild: Harald Karcher)
Andreas Zießnitz, Product Manager WLAN beim deutschen WLAN-Marktführer AVM aus Berlin, kommentierte gegenüber teltarif.de:
- „WLAN wird mit dem Wegfall der Störerhaftung im Herbst noch stärker zum kabellosen Standard – auch unterwegs. Aus anderen Ländern kennt man die Vorzüge der einfachen Hotspot-Nutzung. Abgesehen davon können Cafés oder Arztpraxen ihren Besuchern mit einer Fritz!Box bereits jetzt ganz einfach einen WLAN-Gastzugang anbieten, der unabhängig und sicher isoliert vom eigenen Netzwerk ist. Fritz!Box bietet Betreibern von WLAN-Hotspots dabei viele Optionen: Wahlweise nutzen Gäste den Zugang ohne weitere Anmeldung. Alternativ ist eine Anmeldung per Passwort, QR-Code oder sogar NFC-Chip möglich. Auch eine Vorschaltseite mit Logo des Betreibers ist setzbar. Über die Fritz!Box-Oberfläche kann er nachvollziehen, wann und womit der Gastzugang benutzt wurde.“
Das Schweigen der Enterprise-Anbieter
Die Hersteller von teuren Enterprise-WLAN-Access-Points, etwa Aruba, Cisco, HP, Lancom Systems oder Zebra Technologies, haben offenbar keine spontanen Kommentare zur Abschaffung der Störerhaftung an die Presse verschickt. Die professionellen WLAN-Hotspot-Provider ebenfalls nicht. Vielleicht werden diese Profianbieter mit komplexen Produkten ja nicht so viel profitieren, wenn die juristischen und damit auch die technischen Hürden eines offenen WLAN-Hotspots bald vereinfacht werden.
Aus Sicht der gesamten Wirtschaft jedoch „ist das eine überaus gute Nachricht, denn jahrelang war Deutschland im Vergleich zu anderen Ländern eine echte Hot-Spot-Wüste“, lobt etwa Oliver Süme, Vorstand Politik & Recht beim eco-Verband der Internetwirtschaft e.V., die Abschaffung der WLAN-Störerhaftung.
