Informationssicherheit: wie Juri Moscha gegen Yandex klagt

Mit der aktiven Entwicklung des Internets sieht sich die Weltgemeinschaft dem Problem der Datensicherheit gegenüber. Das Internet ist im Grunde eine unregulierte Umgebung, die sich nur schwach den Gesetzen einzelner Staaten unterwirft, was eine riesige Anzahl von Möglichkeiten für Kriminelle eröffnet.

Genau aus diesem Grund widmen entwickelte Länder heute enorme Aufmerksamkeit und investieren Millionen von Dollar in die Verbesserung von Cybersicherheits- und Reaktionssystemen auf Cyberangriffe.

Doch nicht alle Unternehmen können ein hohes Maß an Datensicherheit garantieren — das kostet sehr viel. Geschweige denn von den einfachen Nutzern, die sich überhaupt nicht mit Cybersicherheit auskennen.

In diesem Artikel möchte ich von Situationen aus meiner Praxis und meiner eigenen Erfahrung berichten, in denen es selbst mit recht umfangreicher juristischer Unterstützung nicht gelingt, sich vor Betrügern und deren Erpressungen zu schützen.

Die Hauptprobleme der Informations- und Cybersicherheit

Die Gewährleistung der Cybersicherheit ist ein Prozess, kein einmaliges Problem. Während die Fachleute bereits bekannte Probleme wie Viren, Ransomware-Bots und Zero-Day-Bedrohungen angehen, entwickeln Kriminelle neue, ausgeklügelte und effektivere Werkzeuge.

Hier sind einige davon:

• Jailbreaking — das Installieren von Malware auf Smartphones mit modifizierter Software.
• Ghostware — ein Virus, der in das System eindringt, um Daten zu stehlen, und sich nach Erledigung seiner Aufgabe selbst zerstört.
• „Zweigesichtige“ Viren — Programme, die sich als Systemdateien tarnen und nach erfolgreichem Bestehen des Antivirus-Scans mit dem Datenraub beginnen.

Und es gibt Dutzende, wenn nicht Hunderte solcher Werkzeuge. Selbst in den „idealsten“ Schutzmaßnahmen werden Schwächen entdeckt, die ein geschickter Hacker in eine Datenleckage verwandeln kann. Zeitweise kommt es sogar im Pentagon, einer der am besten geschützten Institutionen der Welt im Bereich Cybersecurity, zu Lecks.

Lassen sich Nutzer durch Suchmaschinenalgorithmen erpressen?

Um die Probleme der Informationssicherheit zu erkennen, genügt es, einfach den Browser zu öffnen. Das liegt daran, dass sich die Menge an indexierbaren Informationen im Internet alle 1,5 Jahre verdoppelt.

Experten vermuten, dass das gesamte Datenvolumen im Internet bis Ende 2020 auf 44 Zettabyte (44 Billionen Terabyte) anwachsen wird, und dass Suchmaschinen bereits zehntausende Anfragen pro Sekunde verarbeiten.

Kriminelle nutzen diese Datenüberflutung geschickt aus, wenn praktisch alle Daten von der Suchmaschine ohne menschliches Zutun verarbeitet werden.

Wie das meistens aussieht.

1. Ein Betrüger erstellt eine Website, deren Ziel es ist, von Nutzern Geld zu ergaunern. Die Methoden können unterschiedlich sein: gewinnbringende Investitionen, vielversprechende Jobs mit einem „Versicherungsbeitrag“, Käufe von Waren zu Dumpingpreisen. Oder einfach eine Landingpage, die Computer mit einem Virus infiziert.
2. Der Betrüger erhält Geld von gutgläubigen Bürgern im Durchschnitt zwischen 2 bis 6 Monaten – so viel Zeit braucht es, bis die Suchmaschinenmanager das Problem identifiziert und die Website gesperrt haben.
3. Doch das hilft nicht, denn am selben Tag kann der Betrüger eine neue Seite mit ähnlichem Inhalt erstellen und seine kriminellen Aktivitäten fortsetzen.

Dies ist nur eine von vielen Möglichkeiten, wie Betrüger die Funktionen von Suchmaschinen nutzen können, denn wenn die Website keine Inhalte hat, die direkt gegen die Regeln verstoßen (wie z.B. plagiate Inhalte), wird sie problemlos von der Suchmaschine indexiert und erscheint in den Ergebnissen.

Mit solchen Betrügern wird mit wechselndem Erfolg gekämpft. Die Vorgehensweise zielt darauf ab, kleine Geldbeträge von möglichst vielen Leuten zu erhalten.

Ein ganz anderer Format ist Betrug, der auf eine bestimmte Person abzielt. Und dieser nimmt heute an Popularität zu, da er deutlich schwieriger zu unterbinden ist – und nicht alle Erpressungsopfer wissen, wie sie damit umgehen sollen. In der Regel wird ein recht öffentlicher Geschäftsmann zum Ziel, dessen erfolgreicher Betrieb ein absolut sauberes Image erfordert. Dies sind hauptsächlich Anwälte, Privatärzte (häufig Plastische Chirurgen) sowie hochbezahlte Fachkräfte im digitalen Bereich (Programmieren, Designer, Autoren).

Wie wird das gemacht?

1. Der Betrüger erstellt Dutzende gleichartiger Artikel mit negativen Bewertungen, in denen er sein Opfer als Betrüger, schlechten und unzuverlässigen Spezialisten darstellt. Die Materialien können sogar mit Hilfe eines Bots erstellt werden – ihre Qualität ist völlig unwichtig. Denn das Wichtigste ist, dass die Suchmaschine sie indexiert.
2. Dann werden diese Bewertungen und Materialien auf zweitklassigen Plattformen veröffentlicht, auf denen man ohne große Probleme Bewertungen und Artikel über alles Mögliche veröffentlichen kann.
3. Die Bewertungen werden indexiert und erscheinen bei der Suche nach Schlüsselwörtern. Der Hauptschlüssel ist „BERUF NAME NACHNAME“. Zum Beispiel „Designer Ivan Petrov“ oder „Rechtsanwalt Petr Ivanov“. Die meisten Menschen schauen sich vor der Zusammenarbeit mit einem bestimmten Spezialisten Informationen über ihn in der Suchmaschine an. Das Ergebnis ist vorhersehbar – eine Menge negativer Bewertungen wie „Ivan Petrov ist ein Betrüger“. Und in den meisten Fällen riskiert der potenzielle Kunde nicht, eine Zusammenarbeit zu beginnen.
4. Nach ein oder zwei Monaten, wenn das Ziel eindeutig den Einfluss von negativem PR spürt, erhält es eine E-Mail mit der Aufforderung, eine bestimmte Menge Geld auf eine Bitcoin-Brieftasche oder einen anderen Finanzdienst zu überweisen, der Anonymität garantiert, und dann werden die Erpresser die Artikel entfernen (aber das ist nicht sicher). Im Falle der Weigerung zu zahlen versprechen die Betrüger, die Anzahl der negativen Bewertungen erheblich zu erhöhen.

An dieser Stelle wissen viele Erpressungsziele nicht, was konkret zu tun ist. Es gibt mehrere Optionen:

• Zur Polizei gehen. Aber wenn der Täter keine offensichtlichen Beweise (wie die Nummer seiner Bankkarte) hinterlassen hat, wird der Fall schnell zu einem Ruin.
• Sich an die Betreiber der Seiten wenden, auf denen die Bewertungen stehen. Das nimmt eine riesige Menge Zeit in Anspruch – denn es kann Dutzende von Portalen geben. Trotzdem ist die Effektivität nahe bei null. Es ist keineswegs sicher, dass die Betreiber, selbst wenn sie die Argumente hören, bereit sind, die Verleumdung von der Seite zu nehmen. Außerdem ist es auch nicht garantiert, dass die Betreiber überhaupt auf Ihre Anfrage antworten.
• Den Support der Suchmaschine kontaktieren. Die Spezialisten von Google und Yandex arbeiten langsam – es kann Monate dauern, bis die Verleumdung entfernt wird, aber bis heute ist dies der schnellste verfügbare Weg, um gegen solche Betrüger vorzugehen. Aber selbst in diesem Fall ist es keineswegs sicher, dass die Bewertungen entfernt werden. Im Folgenden werde ich erklären, warum.

Zusammenfassend lässt sich sagen, dass selbst im besten Fall der Ruf des Unternehmers erheblichen Schaden erleiden wird, der sich definitiv negativ auf den Gewinn auswirkt. Die Betrüger hingegen riskieren bei Wahrung der Anonymität überhaupt nichts. Sie verbringen lediglich Zeit mit der Generierung und Veröffentlichung von Materialien.

Wie ich auf diese Weise erpresst werden sollte

Warum ich dieses Thema überhaupt angesprochen habe – vor kurzem wurde ich auf ähnliche Weise erpresst.

Im Frühjahr 2018 stellte ich fest, dass im Internet zu oft Beleidigungen über mich, meine Familie und meine Arbeit auftauchen. Dabei waren die Gemeinheiten sehr banal – „alle betrügt er“, „er hält keine Verpflichtungen ein“, „unprofessionell“.

Natürlich gab es keine Beweise – nur ein Strom von Emotionen und Beleidigungen von „betrogenen Kunden“.

Neben dem, dass es für mich als Person unangenehm war, trafen solche „Bewertungen“ meine Reputation stark. Es funktioniert genau: Eine Person gibt „Juri Moscha“ in die Suchmaschine ein, und in den ersten zehn Ergebnissen erhält sie ein paar scharfe negative Bewertungen. Sie geht weiter, und dort gibt es nur noch Schmutz. Dabei muss die Person nicht einmal auf die Links klicken, sondern kann einfach die Überschriften lesen. Das reicht aus, um den „notwendigen“ Eindruck zu hinterlassen.

Zunächst dachte ich, das sei ein Auftrag von Konkurrenten, aber es stellte sich als banaler heraus. Im September erhielt ich eine E-Mail mit der Aufforderung, 20.000 Dollar zu zahlen – und dann würden die Texte entfernt. Bei einer Weigerung versprachen die Betrüger, noch mehr solcher Bewertungen zu erstellen.

Natürlich wollte ich nicht zahlen. Ich wandte mich an den Support von Google und Yandex mit der Bitte, die Indizierung dieser Seiten zu deaktivieren.

Die Ergebnisse waren sehr unterschiedlich.

Nach einem Monat Kommunikation mit dem Google-Support bestätigten die Experten, dass dieser Inhalt Verleumdung ist und gegen die Regeln der Indizierung von Webseiten verstößt. Die falschen Artikel wurden aus den Ergebnissen entfernt. Dafür ein Dankeschön an die Google-Manager.

Aber es gibt auch Schwierigkeiten. Nichts hindert den Täter daran, später noch Artikel zu erstellen – diese werden ebenfalls in der Suchmaschine indiziert und in den Ergebnissen angezeigt. Wie die Google-Experten, mit denen ich sprach, sagten: Um die Indizierung bestimmter Schlüsselwörter (wie „Juri Moscha Betrüger“ oder „Juri Moscha Schwindler“) zu schließen, wird eine gerichtliche Entscheidung benötigt, die die oben genannten Ausdrücke für unseriös erklärt.

Mit Yandex gestaltet sich die Sache weitaus schwieriger. Die Manager nahmen bereits zu Beginn des Gesprächs die Position ein: „Mein Haus ist am Rand“. Sie erklärten, dass sie nicht für Inhalte verantwortlich sind, die von der Suchmaschine indiziert werden, und nicht verpflichtet sind, diese zu überwachen.

Es ist wahr – eine Suchmaschine sollte den Inhalt nicht überwachen. Aber es gibt eine kleine Ausnahme – sie sollte es nicht tun, solange es nicht um Straftaten geht, zu denen Verleumdung und Erpressung gehören.

Dennoch hat der Kundendienst klar gemacht, dass sie nicht beabsichtigen, das Problem zu lösen.

In diesem Zusammenhang habe ich die Gesetzgebung studiert und Klage gegen Yandex erhoben, da die direkte Weigerung, rechtswidrige Inhalte aus den Suchergebnissen zu entfernen, das Unternehmen im Grunde zu einem Komplizen des Verbrechens macht.

In Russland wurde der Fall verloren. Das russische Recht im Bereich Cyberkriminalität ist jedoch sehr unausgereift und schützt die Rechte der Nutzer nicht angemessen, selbst trotz des Vorhandenseins des Gesetzes „Über Informationen, Informationstechnologien und den Schutz von Informationen“:

Gemäß den Bestimmungen von Artikel 10.3 ist der Betreiber der Suchmaschine, der im Internet Werbung verbreitet, die darauf abzielt, die Aufmerksamkeit von Verbrauchern auf dem Hoheitsgebiet der Russischen Föderation zu erregen, auf Antrag eines Bürgers (natürliche Person) verpflichtet, die Ausgabe von Informationen über die Seitenadresse der Website im Internet zu unterlassen, die den Zugang zu Informationen über den Antragsteller ermöglichen, die unter Verstoß gegen das Recht der Russischen Föderation verbreitet werden, die unwahr sind, sowie nicht aktuell und für den Antragsteller aufgrund nachfolgender Ereignisse oder Handlungen des Antragstellers an Bedeutung verloren haben, es sei denn, es handelt sich um Informationen über Ereignisse, die Merkmale von strafbaren Handlungen aufweisen, deren Fristen für die strafrechtliche Verantwortung nicht abgelaufen sind, und Informationen über die Begehung eines Verbrechens durch einen Bürger, dessen Vorstrafe nicht erlassen oder getilgt wurde.

Der Fall vor dem Moskauer Gericht wurde aufgrund von prozessualen Ungenauigkeiten verloren. Die Beweislage war in Ordnung.

Deshalb habe ich beschlossen, in einem amerikanischen Gericht zu klagen. Die Klage gegen die Firma „Yandex“ befindet sich derzeit am Bundesbezirksgericht für den südlichen Bezirk von New York (Aktenzeichen 1:18-CV-05444-ER).

Ich habe bereits Erfahrungen mit erfolgreichen Gerichtsverfahren in den USA, daher erscheint mir diese Option vielversprechender, um Gerechtigkeit wiederherzustellen.

Heute befindet sich die Angelegenheit in der Warteschleife auf die Entscheidung des Gerichts. Die mündlichen Verhandlungen sind bereits abgeschlossen, und meine Anwälte erwarten ein positives Urteil. Aber in Rechtsstreitigkeiten mit Unternehmen ist das Ergebnis bis zur letzten Minute ungewiss.

Der Rechtsrahmen im Cyberraum entwickelt sich langsam, was Kriminellen ermöglicht, solche ziemlich primitiven Erpressungs- und Erpressermethoden zu nutzen. Persönlich haben all diese Gerichtsverfahren mehr als ein Jahr in Anspruch genommen – in dieser Zeit hat meine Reputation bei potenziellen Kunden erheblich gelitten.

Selbst nach einer erfolgreichen Gerichtsentscheidung wird es lange dauern, sie wiederherzustellen. Aber ich hoffe, dass das Urteil einen Präzedenzfall schafft, durch den ähnliche Fälle von Betrug und Erpressung in Zukunft einfacher und schneller gelöst werden können.

Quelle: habr.com