Warum diese Seite? Warum machen die das? Dürfen die das? Weitere Rechtsaspekte Netzzusammenbruch? Helfen Sie! Historie Impressum Datenschutzerklärung

Uns war zu Beginn unserer Forschungen mind. eine Hochschule in Deutschland bekannt, die andere WLANs auf Ihrem Gelände mithilfe von sogenannten Deauthentication Paketen behindert. Das bedeutet, dass die Systeme der Hochschule so konfiguriert sind, dass diese andere WLAN Accesspoints (z.B. ein mobiler Hotspot des Telefons oder ein LTE Router) durch das Senden besonderer Pakete behindern. Diese Pakete sorgen dafür, dass der Nutzer dieses WLAN Accesspoints immer wieder von seinem eigenen WLAN getrennt wird und keine stabile Verbindung aufbauen kann. Diese uns bekannte Hochschule behauptet, dass auch andere Hochschulen so vorgehen.
Dieser Behauptung wollen wir mit unserer Forschung genauer auf den Grund gehen!
Es geht auf dieser Seite um WLAN Systeme, die autark sind (z.B. Smartphones, LTE Hotspots), also nicht an die vorhandenen Hochschulnetzwerke angeschlossen sind. Diese Seite wird eine Übersicht über Befragungen bieten, die sich aus Anfragen mithilfe von FragDenStaat.de (oder anderen Quellen) speist, welche Hochschulen solch ein Verhalten aufweisen. Wir werden versuchen jede Hochschule in Deutschland anzufragen. Auskunftsverweigerungen (z.B. wegen "Sicherheitsbedenken") werden so interpretiert, dass WLANs behindert werden und mit einem * gekennzeichnet. Das Ziel ist das Herstellen einer Übersicht, Öffentlichkeit über dieses Thema und das Anregen von Veränderung in der IT der Hochschullandschaft (dort wo erforderlich).
Sie sind Anwalt oder Journalist und wollen uns unterstützen? Melden Sie sich!

Die folgenden Erklärungen versuchen so wenig technisch wie möglich zu sein, damit es möglichst viele Personen verstehen können. Aber es ist nunmal ein technisches Thema.
Uns sind konkret vor allem zwei Argumente bekannt und es drängt sich eine Vermutung auf:

1. Sicherstellung der Servicequalität des eigenen Hochschul-WLANs
Jedes weitere Gerät mit WLAN nutzt die gleichen Frequenzen und verringert daher die Bandbreite/Geschwindigkeit=Servicequalität dieses WLANs. Das gilt für Endgeräte genauso, wie für zusätzliche Accesspoints. Bei parallel nebeneinander existierenden Accesspoints ist dies besonders qualitätsmindernd, wenn sich die WLAN Kanäle der verschiedenen Accesspoints besonders ungünstig unterscheiden, also andere Kanäle verwenden, als das Hochschul-WLAN. Bei gleicher Kanalwahl zwischen Hochschul-WLAN und anderem Accesspoint, ist die Qualitätsminderung eher gering, da alle Geräte (egal ob Handy oder Accesspoint) nach dem gleichen Protokoll funktionieren und erst anfangen zu senden, wenn kein anderer sendet (CSMA/CA). Da sich bei unterschiedlicher und ungünstiger Kanalwahl die Geräte jedoch nicht "hören" können, ist dies besonders problematisch. Um allen Nutzern des Hochschul-WLANs eine bestmögliche Servicequalität bieten zu können, werden durch einige Hochschulen alle fremden Accesspoints behindert, damit der Aufsteller diese nicht nutzen kann und dann abschaltet.

2. Sicherheitsaspekte
Das "Problem" ist die Art und Weise wie vor allem bei dem für Hochschulen angebotenen Eduroam der Login in das WLAN Netzwerk funktioniert. Das ist nicht wie wohl bei den meisten zu Hause, wo der Zugang mit einem einzigen Passwort gewährt wird. Bei Eudroam nutzt jeder ein eigenes individuelles Login/Passwort. Üblicherweise ist das der Hochschullogin der entsprechenden Hochschule, der direkt im z.B. Handy eingetragen wird.
Es gibt ein Angriffsszenario, bei dem ein Angreifer einen eigenen Accesspoint aufstellt, der den gleichen Namen verwendet (z.B. Eduroam), wie die Hochschule. Dieser Angreifer möchte an die Logindaten des Hochschullogins herankommen. Endgeräte wie Handys versuchen sich im Allgemeinen immer mit dem Accesspoint zu verbinden, der das stärkste Funksignal hat. Dafür hat der Angreifer mit einer entsprechenden Antenne und Signalstärke natürlich gesorgt. Das Endgerät verbindet sich nun mit dem "falschen" Accesspoint (man nennt solche Accesspoints dann auch Rogue Accesspoints¹) und sendet diesem unter Umständen die im Endgerät hinterlegten Zugangsdaten des Hochschullogins. Unter Umständen ist hier deshalb wichtig, weil dies nur dann geschieht, wenn das Endgerät unsicher konfiguriert ist. Es ist dann unsicher konfiguriert, wenn es im Rahmen der Anmeldung am Accesspoint keine Prüfung vornimmt, ob der Accesspoint "echt" ist. Das geht, indem es ein Zertifikat prüft, welches der Accesspoint vorlegen muss (auch der Angreifer). Die Accesspoints von Hochschulen haben dieses (geheime) Zertifikat und können sich so als "echt" ausweisen. Der Angreifer nicht. Dieser legt ein anderes oder gefälschtes Zertifikat vor. Ist das Endgerät also so eingestellt, dass eine Zertifikatsprüfung stattfindet, besteht keinerlei Gefahr.

3. Vermutung: Psychologische Gründe
Die IT Dienstleister von Hochschulen haben in unserer heutigen digitalen Zeit einen erheblichen Stellenwert. Nichts geht mehr ohne Vernetzung und Internet. So kann es sein, dass diese Dienstleister in der alleinigen Entscheidungsfunktion sind, wie die endlichen Ressourcen zwischen den verschiedenen Anforderungsgebern aufgeteilt werden sollen. Das erzeugt ein nicht unerhebliches Machtelement. Je nach Persönlichkeit des Entscheidungsträgers entsteht damit eine Machtkonzentration, die ohne fachlich kompetente Kontroll- und Regelinstanzen natürlich auch zu Machtmissbrauch mit allen seinen Folgen führen kann. Wir sehen die Annahme, alle anderen WLANs (außer dem eigenen) behindern zu können/dürfen, als eine solche Form des Machtmissbrauches, selbst wenn die Intention, bestmögliche Sicherheit und Servicequalität liefern zu wollen, durchaus positiv zu werten wäre. Hier liegt es im Interesse aller Beteiligten, Hochschulstrukturen so zu definieren, dass Entscheidungen nicht durch Einzelpersonen, sondern durch demokratisch legitimierte und fachlich kompetente Personen von Betroffenen dieser Entscheidungen getroffen werden. So kann ein optimaler Interessensausgleich hergestellt werden und gleichzeitig entlastet es den IT Dienstleister, selbst Entscheidungen treffen zu müssen.

¹Ein Rogue Accesspoint wird allgemeinhin eigentlich nur dann so bezeichnet, wenn dieser auch eine Verbindung in das Netzwerk der Hochschule herstellt. Da jedoch die Ermittlung, ob eine solche Verbindung tatsächlich besteht schwer fällt, findet man die Interpretation, dass alle Accesspoints im geografischen Bereich der Hochschule als Rogue (und damit ungewollt=feindlich) eingestuft werden.

Vorbemerkung: Wir sind Forscher aus dem Informatikbereich, kein Rechtsgelehrten.
Wie immer in solchen Fällen gilt, wo kein Kläger da kein Richter. Uns sind in Deutschland bisher keine Urteile bekannt, die diese Frage beantworten würden. Daher folgt nun unsere (sicherlich laienhafte) Rechtsauffassung zu diesem Thema.
1. Zum Aspekt Servicequalität
Wir rechnen es den betroffenen Hochschulen durchaus positiv an, dass diese eine bestmögliche Qualität liefern wollen. Es ist jedoch auch so, dass die für WLAN verwendeten Frequenzen JEDEM (der Allgemeinheit) zur Verfügung gestellt wurden. Die dafür verantwortliche staatliche Stelle ist die Bundesnetzagentur, die dies im Rahmen des TKG mit Allgemeinzuteilungen tut. In Ihrer Allgemeinzuteilung legt die Bundesnetzagentur fest, wie die Frequenz genutzt werden darf. Für WLAN ist (unter anderem) folgendes festgehalten:
Aussendungen, die absichtlich bestimmungsgemäße WLAN - Nutzungen stören oder verhindern, wie z.B. Aussendungen von Funksignalen und/oder Datenpaketen, die die Abmeldung oder Beeinflussung von WLAN- Verbindungen anderer Nutzer gegen deren Willen zum Ziel haben, sind nicht gestattet.
Die oben genannten Frequenzbereiche werden auch für andere Funkanwendungen genutzt. Die Bundesnetzagentur übernimmt keine Gewähr für eine Mindestqualität oder Störungsfreiheit des Funkverkehrs. Es besteht kein Schutz vor Beeinträchtigungen durch andere bestimmungsgemäße Frequenznutzungen. Insbesondere sind bei gemeinschaftlicher Frequenznutzung gegenseitige Beeinträchtigungen nicht auszuschließen und hinzunehmen.
Damit ist anzunehmen, dass die Hochschulen gegen die Allgemeinzuteilung verstoßen, wenn diese andere WLAN Signale behindern. Eine eigene Anfrage bei der Bundesnetzagentur bestätigt diese Annahme. Da es sich bei den Behinderungen der Hochschule um die Ausnutzung einer Design Schwachstelle im WLAN Protokoll (WPA2) handelt, sind andere Frequenznutzer nicht betroffen. So lassen sich DECT Telefone, Bluetoothkopfhörer, Smartwatches, kabelllose Mäuse und Tastaturen, Herzfrequenzgurte, Schrittzähler, Türöffner von Autos und viele mehr nicht behindern. Wenn der Qualitätsanspruch der Hochschule so hoch ist, dann wäre eine Alternative auf ein lizenziertes Frequenzband (z.B. Mobilfunk über 5G) zu wechseln, wo der Betreiber alleinig bestimmen kann, wer dieses nutzt.

2. Zum Aspekt Sicherheit
Es geht auf dieser Seite um WLAN Systeme, die autark sind (z.B. Smartphones, LTE Hotspots), also nicht an die vorhandenen Hochschulnetzwerke angeschlossen sind. Es wird damit argumentiert, dass erforderliche technischen Mittel genutzt werden müssen, um das Netzwerk abzusichern (§ 109 TKG). Das wird dann so interpretiert, dass wenn die Technik es zulässt, eben auch behindert werden darf, um die andere Accesspoints zu behindern. Dies ist für uns in mehrfacher Hinsicht bei sachgerechter technischer Betrachtung nicht nachvollziehbar.
Zum einen kann ein Accesspoint weltweit aufgestellt werden. Also auch im Supermarkt. Ein Handy würde auch dort dann die Logindaten preisgeben, sofern es unsicher konfiguriert ist.
Zum anderen wird ein ernsthafter Angreifer eine Funktion in seinem Accesspoint aktivieren (PMF), die solche Behinderungen nicht mehr möglich machen. Das Handy wird sich trotz laufender Behinderung durch das Hochschul-WLAN am Accesspoint anmelden und dann die Logindaten preisgeben, sofern es unsicher konfiguriert ist.
Eigentlich geht es also nicht primär um die Sicherheit eines Netzwerkes, sondern um die Absicherung eines Endgerätes, sofern dies unsicher konfiguriert ist. Wie wenig hilfreich hier Behinderungen sind, die auf das Gelände der Hochschule begrenzt sind, ist klar. Viel schlimmer ist eigentlich, dass dadurch das eigentliche Sicherheitsproblem der unsicheren Konfiguration des Endgrätes verdeckt wird. Der Nutzer wird in Sicherheit gewogen.
Die Sicherheit des Netzwerkes der Hochschule (oder genauer der Dienste darin) ist (als Folge des Bekanntwerdens der Logindaten eines unsicher konfigurierten Gerätes) nur dann gefährdet, wenn für den WLAN Zugang auch der Hochschullogin verwendet wird. Wenn mit diesem Hochschullogin auf alle Dienste der Hochschule zugegriffen werden kann, sind diese Dienste bzw. die Daten der Dienste gefährdet. Alternativ ließen sich die Dienste auch mit einem zweiten Faktor absichern (wie z.B. durch einen TAN Generator). Das Behindern anderer WLANs trägt daher keinerlei Substanz zur Sicherheit bei. Wenn also eine Hochschule mit diesem Punkt argumentiert, ist davon auszugehen, dass diese den Stand der Technik: verschiedene Dienste-verschiedene Logins oder Zweifaktorauthentifizierung nicht umsetzt und ihre Mitglieder somit nicht nach Stand der Technik schützt.
Wir haben auch bereits gehört, das Zertifizierungen (z.B. BSI Grundschutz oder ISO 27001) es erfordern, dass andere WLAN Signale behindert werden. Das sieht jedoch auch das BSI (welches die Vorgaben für diese Zertifizierung macht) laut einer Anfrage nicht so.

3. Ausnahmegenehmigung/Erlaubnis
Laut Aussage der Bundesnetzagentur stellt diese keinerlei Ausnahmegenehmigungen aus. Ihr ist auch keine weitere Behörde bekannt, die solche Genehmigungen ausstellt. Es fehlt an einer gesetzlichen Grundlage, die eine solche Ausnahme zulassen würde. Es ist eben eine Frequenzzuteilung für alle.
Quelle bei FragDenStaat.de
Ebensowenig gestattet oder verbietet es die Bundesnetzagentur, dass administrative Maßnahmen (z.B. Nutzerordnungen) die Frequenznutzung einschränken. Sie ist dafür nicht zuständig und die Rechtslage ist ihr unbekannt.
Quelle bei FragDenStaat.de

Wir sehen noch weitere Aspekte rechtlich kritisch.
Den Verstoß gegen die Allgemeinzuteilung der Bundesnetzagentur hatten wir bereits zuvor genannt.

Zusätzlich sehen wir eine Verletzung der Persönlichkeitsrechte, wenn Besucher oder Mitglieder der Hochschule keine eigenen Hotspots betreiben können. Einige Hochschulen haben organisatorische Regelungen, die es deren Mitgliedern verbieten (oder Einschränkungen vorsehen) eigene WLANs zu betreiben. Wir beziehen und mit diesen eigenen WLANs explizit auf autarke, nicht mit dem Hochschulnetz verbundene WLANs. Bei Einschränkungen der Nutzung solcher autarker WLANs sehen wir einen Eingriff in die Wissenschaftsfreiheit, da nicht mehr vollständig freie Entscheidungen in der Auslegung eines Systems und dessen Architektur getroffen werden können. Zusätzlich beziehen sich diese Einschränkungen nur auf das WLAN Protokoll. Andere Funkprotokolle, wie Bluetooth, DECT usw., werden nicht eingeschränkt. Die freie Nutzung der Frequenz, wie durch die Bundesnetzagentur rechtlich vorgesehen, wird durch die Hochschulen dadurch eingeschränkt.

Da die Bundesnetzagentur klargestellt hat, dass technische Maßnahmen, wie das Aussenden von Deauthenticationpaketen, gegen die Allgemeinzuteilung vertoßen, sind damit auch administrative/organisatorische Regeln wohl als rechtswidrig anzusehen. Diese Regelsätze unterlaufen den Sinn den das TKG mit der Allgemeinzuteilung bezwecken möchte. Rechtlich kann man somit eine Gesetzesumgehung/Rechtsumgehungsgeschäft sehen.

Als letzten Punkt sehen wir noch die mögliche Strafbarkeit nach § 303b StGB:
Wer eine Datenverarbeitung, die für einen anderen von wesentlicher Bedeutung ist, dadurch erheblich stört, dass er[...]Daten in der Absicht, einem anderen Nachteil zuzufügen, eingibt oder übermittelt[...]wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.

und § 202b StGB:
Wer unbefugt sich oder einem anderen unter Anwendung von technischen Mitteln nicht für ihn bestimmte Daten (§ 202a Abs. 2) aus einer nichtöffentlichen Datenübermittlung oder aus der elektromagnetischen Abstrahlung einer Datenverarbeitungsanlage verschafft, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft, wenn die Tat nicht in anderen Vorschriften mit schwererer Strafe bedroht ist.
Die Relevanz ergibt sich hier daraus, dass der Angriff auf ein anderes WLAN nur funktioniert, wenn dabei die MAC Adresse (eine eindeutige ID jedes WLAN Gerätes) des Anzugreifenden erfasst wird und dann durch den Angreifer selbst genutzt (und damit das Fälschen der eigenen MAC Adresse) wird.

Wenn wir wie zuvor argumentieren, dann kommen (fast reflexhaft) Aussagen, dass dann das Netz nicht mehr benutzbar wird und dann wird mit der DSGVO argumentiert und man muss alle Möglichkeiten nutzen, die man hat. Nun sind ja bereits einige Antworten auf unsere Anfragen eingegegangen, von durchaus auch großen Hochschulen, die zeigen, dass dem wohl nicht ganz so ist.
Wir empfinden es als logisch, dass Mitglieder einer Hochschule ein funktionierendes WLAN nutzen wollen. Das wollen wir auch. Rein rechtlich sehen wir jedoch darauf keinen Anspruch, weil ein frei verfügbares durch jeden zu verwendendes Frequenzband genutzt wird. Die WLAN Spezifikation ist so definiert, dass jeder eine Chance auf Nutzung hat. Die Annahme einer Hochschule, hier mehr Rechte haben zu können, ergibt sich aus keiner uns bekannten Rechtsvorschrift.
Viele Hochschulen haben auch organisatorisch geprägte Einschränkungen für Mitarbeitern durch Regeln und Ordnungen. Diese sind für Besucher natürlich nicht bindend. Es entstehen dann Situationen, wo jemand in der Rolle Privatperson auf dem Gelände etwas tun darf, in der Rolle Mitarbeiter jedoch nicht. Helfen dann solche Regelungen wirklich oder nerven Sie nur?
Wir können uns daher gut vorstellen, dass es im Sinne aller sein wird, wenn GEMEINSAM entwickelte (aber rechtlich nicht durchsetzbare) Leitfäden an Hochschulen existieren, die es ALLEN erlauben auf die Frequenzen zuzugreifen. Diese Regelungen sollten dann aber auch demokratisch ausgehandelt werden und keine Diktatur einzelner Personen sein.
Wir empfehlen daher, der Dinglichkeit nach sortiert:
1. Die Trennung des Hochschullogins von den Zugangsdaten für den WLAN Zugang. Hier ist die RWTH Aachen mit ihrem EGM (Endgerätemanager) als Beispiel zu nennen.
2. Das verwendete WLAN Kanalraster optimieren. Sofern das Raster 1,6,11 verwendet wird, wäre es durchaus möglich mal 1,5,9,13 zu versuchen, um die verfügbaren Frequenzen auch voll auszunutzen. Das macht zum Beispiel das Leibniz Rechenzentrum so.
3. Einführung einer Zweifaktorauthentifizierung für einige oder alle Dienste der Hochschule und damit Abkehr von der Einpassword Politik. Das KIT zeigt, wie es gehen kann.
4. Transparenz schaffen über das Anrecht auf die Nutzung der Frequenz für jeden, die damit verbundenen Probleme und die Grundannahme, dass ein Mitarbeiter immer zuerst kooperativ sein wird.
5. Erstellen eines Leitfadens WLAN Nutzung (keine Ordnung oder Regel) mit der BITTE sich einen Kanal zuweisen zu lassen, damit eine möglichst gute Frequenzabdeckung erfolgen kann.

Helfen Sie uns und geben Sie Hinweise oder stellen Sie selbst Anfragen bei FragDenStaat.de!
Nutzen Sie im Betreff Ihrer Anfrage bei FragDenStaat.de: WLAN der [HIER DER HOCHSCHULNAME]
Als Text können sie folgenden verwenden:
Sind die WLAN Systeme (z.B. die Eduroam zur Verfügung stellen) der Hochschule so eingestellt, dass diese z.B. durch eine Rogue Accesspoint Containment Funktion andere WLAN Signale mithilfe von Deauth/Deassociationspaketen stören?
Wenn ja warum und welche Einstellungen liegen vor?
Wenn nein warum?

Wenn Sie uns Bescheid (siehe Impressum) geben, kommt die Hochschule hier auf die Seite. Dafür müssen Sie aber auch eine belastbare Quelle liefern. Wir fühlen uns dem Informantenschutz verpflichtet!
Sollten Sie technisch versiert sein, dann können Sie Messequipment aufbauen und die Behinderungen nachweisen oder nachweisen, dass diese nicht existieren. Fragen Sie vielleicht auch mal nach Hilfe bei einem Erfa-Kreis des Chaos Computer Clubs in der Nähe. Sollten Behinderungen nachgewiesen worden sein, können Sie eine Funkstörung bei der Bundesnetzagentur melden. Wir raten, das nicht selbst zu tun, sofern Sie Mitglied eben jener Hochschule sind, von der Sie annehmen, dass diese ursächlich für die Störungen ist. Dafür könnte man nach aktuellem Recht noch abgemahnt werden, sofern Sie dem Arbeitgeber vorher nichts gemeldet haben. Uns ist jedoch bewusst, dass besonders in stark hierarchisch organisierten Einrichtungen, das Hinweisgeben und dann nicht als Nestbeschmutzer dastehen schwierig ist. Letztlich ist natürlich auch davon auszugehen, dass die Einstellungen des WLANs der Hochschule natürlich auch den Verantwortlichen bekannt sind, Sie daher also nichts Neues melden könnten, was unbekannt wäre. Der Whistleblowerschutz in Deutschland wird sich erst 2021 grundlegend ändern.

07.05.2020:
- Wiederaufnahme der Anfragen
19.03.2020:
- Pausieren der Anfragen, wegen Corona
Januar 2020:
- unser fristlos entlassener Forschender kündigt bei seinem bisherigen Arbeitgeber und geht einer neuen Beschäftigung nach (und wirkt weiter hier mit)
28.12.2019:
- englische Üersetzung hinzugefügt
24.11.2019:
- Historie hinzugefügt
07.11.2019:
- einer unserer Forschenden, wird von seinem bisherigen Arbeitgeber (wegen Mitwirkens an dieser Forschungswebseite) fristlos entlassen und legt Kündigungsschutzklage ein
17.09.2019:
- Webseite aufgesetzt, erste Anfrage wird gestellt

Impressum

(und inhaltlich verantwortlich nach § 5 TMG, § 55 RStV)

Marcel Langner
Kuckucksweg 1A
15741 Bestensee
Deutschland
Tel: 033763-149978
Fax: 033763-149992
info@MeineHochschuleBehindertDasWLAN.de

Haftungausschluss

Haftung für Inhalte

Die Inhalte unserer Seiten wurden mit größtmöglicher Sorgfalt erstellt. Für die Richtigkeit, Vollständigkeit und Aktualität der Inhalte können wir jedoch keine Gewähr übernehmen. Als Diensteanbieter sind wir gemäß § 7 Abs.1 TMG für eigene Inhalte auf diesen Seiten nach den allgemeinen Gesetzen verantwortlich. Als Diensteanbieter sind wir jedoch nicht verpflichtet, übermittelte oder gespeicherte fremde Informationen zu überwachen oder nach Umständen zu forschen, die auf eine rechtswidrige Tätigkeit hinweisen. Zu diesen übermittelten fremden Informationen zählen insbesondere die durch Nutzer gestellten Anfragen nach dem Informationsfreiheitsgesetz sowie die Antworten der jeweiligen Einrichtungen. Die Verpflichtung zur Entfernung oder Sperrung der Nutzung von Informationen nach den allgemeinen Gesetzen bleiben hiervon unberührt. Eine diesbezügliche Haftung ist jedoch erst ab dem Zeitpunkt der Kenntnis einer konkreten Rechtsverletzung möglich. Bei Bekanntwerden von entsprechenden Rechtsverletzungen werden wir diese Inhalte umgehend entfernen.

Haftung für Links

Unser Angebot enthält Links zu externen Webseiten Dritter, auf deren Inhalte wir keinen Einfluss haben. Deshalb können wir für diese fremden Inhalte auch keine Gewähr übernehmen. Für die Inhalte der verlinkten Seiten ist stets der jeweilige Anbieter oder Betreiber der Seiten verantwortlich. Die verlinkten Seiten wurden zum Zeitpunkt der Verlinkung auf mögliche Rechtsverstöße überprüft. Rechtswidrige Inhalte waren zum Zeitpunkt der Verlinkung nicht erkennbar. Eine permanente inhaltliche Kontrolle der verlinkten Seiten ist jedoch ohne konkrete Anhaltspunkte einer Rechtsverletzung nicht zumutbar. Bei Bekanntwerden von Rechtsverletzungen werden wir derartige Links umgehend entfernen.

Öffentlicher PGP Schlüssel des Kontaktes zuvor

Wir fühlen uns dem Informantenschutz verpflichtet!

Datenschutzerklärung

Einleitung

Mit der folgenden Datenschutzerklärung möchten wir Sie darüber aufklären, welche Arten Ihrer personenbezogenen Daten (nachfolgend auch kurz als "Daten“ bezeichnet) wir zu welchen Zwecken und in welchem Umfang verarbeiten. Die Datenschutzerklärung gilt für alle von uns durchgeführten Verarbeitungen personenbezogener Daten, sowohl im Rahmen der Erbringung unserer Leistungen, als auch insbesondere auf den Webseiten, in mobilen Applikationen sowie innerhalb externer Onlinepräsenzen (nachfolgend zusammenfassend bezeichnet als "Onlineangebot“).

Verantwortlicher

Marcel Langner
Kuckucksweg 1A
15741 Bestensee
Deutschland
Tel: 033763-149978
Fax: 033763-149992
info@MeineHochschuleBehindertDasWLAN.de

Maßgebliche Rechtsgrundlagen

Im Folgenden teilen wir die Rechtsgrundlagen der Datenschutzgrundverordnung (DSGVO), auf deren Basis wir die personenbezogenen Daten verarbeiten, mit. Bitte beachten Sie, dass zusätzlich zu den Regelungen der DSGVO die nationalen Datenschutzvorgaben in Ihrem bzw. meinem Wohn- und Sitzland gelten können.

Berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f. DSGVO) - Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.

Nationale Datenschutzregelungen in Deutschland: Zusätzlich zu den Datenschutzregelungen der Datenschutz-Grundverordnung gelten nationale Regelungen zum Datenschutz in Deutschland. Hierzu gehört insbesondere das Gesetz zum Schutz vor Missbrauch personenbezogener Daten bei der Datenverarbeitung (Bundesdatenschutzgesetz – BDSG). Das BDSG enthält insbesondere Spezialregelungen zum Recht auf Auskunft, zum Recht auf Löschung, zum Widerspruchsrecht, zur Verarbeitung besonderer Kategorien personenbezogener Daten, zur Verarbeitung für andere Zwecke und zur Übermittlung sowie automatisierten Entscheidungsfindung im Einzelfall einschließlich Profiling. Des Weiteren regelt es die Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses (§ 26 BDSG), insbesondere im Hinblick auf die Begründung, Durchführung oder Beendigung von Beschäftigungsverhältnissen sowie die Einwilligung von Beschäftigten. Ferner können Landesdatenschutzgesetze der einzelnen Bundesländer zur Anwendung gelangen.

Sicherheitsmaßnahmen

Wir treffen nach Maßgabe der gesetzlichen Vorgaben unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeiten und des Ausmaßes der Bedrohung der Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Zu den Maßnahmen gehören insbesondere die Sicherung der Vertraulichkeit, Integrität und Verfügbarkeit von Daten durch Kontrolle des physischen und elektronischen Zugangs zu den Daten als auch des sie betreffenden Zugriffs, der Eingabe, der Weitergabe, der Sicherung der Verfügbarkeit und ihrer Trennung. Des Weiteren haben wir Verfahren eingerichtet, die eine Wahrnehmung von Betroffenenrechten, die Löschung von Daten und Reaktionen auf die Gefährdung der Daten gewährleisten. Ferner berücksichtigen wir den Schutz personenbezogener Daten bereits bei der Entwicklung bzw. Auswahl von Hardware, Software sowie Verfahren entsprechend dem Prinzip des Datenschutzes, durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen.

Kürzung der IP-Adresse: Bei der Speicherung der IP-Adresse wird diese gekürzt gespeichert. Bei diesem Verfahren, auch als "IP-Masking" bezeichnet, wird das letzte Oktett, d.h., die letzte Zahl einer IP-Adresse, gelöscht (die IP-Adresse ist in diesem Kontext eine einem Internetanschluss durch den Online-Zugangs-Provider individuell zugeordnete Kennung). Mit der Kürzung der IP-Adresse soll die Identifizierung einer Person anhand ihrer IP-Adresse verhindert oder wesentlich erschwert werden.

SSL-Verschlüsselung (https): Um Ihre via meines Online-Angebots übermittelten Daten zu schützen, nutzen wir eine SSL-Verschlüsselung. Sie erkennen derart verschlüsselte Verbindungen an dem Präfix https:// in der Adresszeile Ihres Browsers.

Bereitstellung des Onlineangebotes und Webhosting

Um unser Onlineangebot sicher und effizient bereitstellen zu können, nehmen wir die Leistungen von einem Webhosting-Anbieter in Anspruch, von deren Servern (bzw. von ihnen verwalteten Servern) das Onlineangebot abgerufen werden kann. Zu diesen Zwecken können wir Infrastruktur- und Plattformdienstleistungen, Rechenkapazität, Speicherplatz und Datenbankdienste sowie Sicherheitsleistungen und technische Wartungsleistungen in Anspruch nehmen.

Zu den im Rahmen der Bereitstellung des Hostingangebotes verarbeiteten Daten können alle die Nutzer unseres Onlineangebotes betreffenden Angaben gehören, die im Rahmen der Nutzung und der Kommunikation anfallen. Hierzu gehören regelmäßig die (gekürzte) IP-Adresse, die notwendig ist, um die Inhalte von Onlineangeboten an Browser ausliefern zu können, und alle innerhalb des Onlineangebotes oder von Webseiten getätigten Eingaben.

E-Mail-Versand und -Hosting: Die von uns in Anspruch genommenen Webhosting-Leistungen umfassen ebenfalls den Versand, den Empfang sowie die Speicherung von E-Mails. Zu diesen Zwecken werden die Adressen der Empfänger sowie Absender als auch weitere Informationen betreffend den E-Mailversand (z.B. die beteiligten Provider) sowie die Inhalte der jeweiligen E-Mails verarbeitet. Die vorgenannten Daten können ferner zu Zwecken der Erkennung von SPAM verarbeitet werden. Wir bitten darum, zu beachten, dass E-Mails im Internet grundsätzlich nicht verschlüsselt versendet werden. Im Regelfall werden E-Mails zwar auf dem Transportweg verschlüsselt, aber (sofern kein sogenanntes Ende-zu-Ende-Verschlüsselungsverfahren eingesetzt wird) nicht auf den Servern, von denen sie abgesendet und empfangen werden. Wir können daher für den Übertragungsweg der E-Mails zwischen dem Absender und dem Empfang auf unserem Server keine Verantwortung übernehmen. Für Ende-zu-Ende Verschlüsselung finden Sie einen PGP Key im Impressum.

Erhebung von Zugriffsdaten und Logfiles: Wir selbst (bzw. unser Webhostinganbieter) erhebt Daten zu jedem Zugriff auf den Server (sogenannte Serverlogfiles). Zu den Serverlogfiles können die Adresse und Name der abgerufenen Webseiten und Dateien, Datum und Uhrzeit des Abrufs, übertragene Datenmengen, Meldung über erfolgreichen Abruf, Browsertyp nebst Version, das Betriebssystem des Nutzers, Referrer URL (die zuvor besuchte Seite) und im Regelfall (gekürzte) IP-Adressen und der anfragende Provider gehören.

Die Serverlogfiles können zum einen zu Zwecken der Sicherheit eingesetzt werden, z.B., um eine Überlastung der Server zu vermeiden (insbesondere im Fall von missbräuchlichen Angriffen, sogenannten DDoS-Attacken) und zum anderen, um die Auslastung der Server und ihre Stabilität sicherzustellen.

Recht auf Beschwerde bei der zuständigen Aufsichtsbehörde

Als Betroffener steht Ihnen im Falle eines datenschutzrechtlichen Verstoßes ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu. Zuständige Aufsichtsbehörde bezüglich datenschutzrechtlicher Fragen ist die Landesdatenschutzbeauftragte des Bundeslandes, in dem sich unser Sitz befindet. Der folgende Link stellt eine Liste der Datenschutzbeauftragten sowie deren Kontaktdaten bereit.

Recht auf Datenübertragbarkeit

Ihnen steht das Recht zu, Daten, die wir auf Grundlage Ihrer Einwilligung oder in Erfüllung eines Vertrags automatisiert verarbeiten, an sich oder an Dritte aushändigen zu lassen. Die Bereitstellung erfolgt in einem maschinenlesbaren Format. Sofern Sie die direkte Übertragung der Daten an einen anderen Verantwortlichen verlangen, erfolgt dies nur, soweit es technisch machbar ist.

Recht auf Auskunft, Berichtigung, Sperrung, Löschung

Sie haben jederzeit im Rahmen der geltenden gesetzlichen Bestimmungen das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten, Herkunft der Daten, deren Empfänger und den Zweck der Datenverarbeitung und ggf. ein Recht auf Berichtigung, Sperrung oder Löschung dieser Daten. Diesbezüglich und auch zu weiteren Fragen zum Thema personenbezogene Daten können Sie sich jederzeit über die im Impressum aufgeführten Kontaktmöglichkeiten an uns wenden.

Legende

Die folgende Tabelle erläutert die möglichen Eintragungen in den Spalten Deauth? und Regeln?
Die Frage, die wir den Hochschulen stellen, zielt eigentlich auf eine ja oder nein Antwort. Sollte die Hochschule keine Behinderungen anderer WLANs vornehmen, antwortet Sie natürlich mit nein. Sie hat in diesem Fall auch keinen Grund, etwas anderes zu sagen. Sollte eine Hochschule die Aussage mit Hinweisen auf Sicherheitsaspekte verweigern, wird zum einen klar, dass das Senden von solchen Paketen als "Sicherheitsfunktion" angesehen wird (was es nicht ist, siehe oben) und zum anderen kann dann auch davon ausgegangen werden, dass diese Funktion auch eingesetzt wird, weil die Hochschule ja alle Sicherheitsvorkehren treffen will. Das trifft besonders zu, wenn mit § 109 TKG argumentiert wird. Sie verrät sich mit einer Aussageverweigerung also selbst.
Die Liste der Hochschulen und die Anzahl Studierender haben wir aus Wikipedia und dem Hochschulkompass entnommen.

Deauth?	Regeln?
nein: Es finden keine Deauthentication Aussendungen durch die Hochschule auf andere statt.	nein: Es gibt keine zusätzlichen Regeln für den Umgang mit WLANs in der Hochschule.
nicht mehr: Es fanden in der Vergangenheit Deauthentication Aussendungen durch die Hochschule auf andere statt, jedoch aktuell nicht mehr.	sanft: Es gibt zusätzliche Regeln für den Umgang mit WLANs in der Hochschule, diese beschränken sich jedoch lediglich auf eine Anzeigepflicht oder Empfehlungen der Hochschule.
twin: Es finden Deauthentication Aussendungen auf WLANs durch die Hochschule statt, die die gleiche(n) SSIDs besitzen, wie die Hochschule sie verwendet.	mittel: Es gibt zusätzliche Regeln für den Umgang mit WLANs in der Hochschule, mit leichten Einschränkungen z.B. bei der Kanalwahl.
ja: Es finden Deauthentication Aussendungen auf alle anderen WLANs durch die Hochschule statt (auch als "Ultima Ratio Sicherheitsmaßnahme"). ja*: Die Auskunft wurde durch die Hochschule verweigert. Es finden vermutlich Deauthentication Aussendungen auf andere WLANs durch die Hochschule statt.	streng: Es gibt zusätzliche Regeln für den Umgang mit WLANs in der Hochschule, die eine Genehmigungspflicht beinhalten. streng*: Die Auskunft wurde durch die Hochschule verweigert. Es gibt vermutlich zusätzliche Regeln für den Umgang mit WLANs in der Hochschule, die eine Genehmigungspflicht beinhalten.
kAP (keine AussagePflicht): Die Hochschule hat keine rechtliche Pflicht eine Aussage zu tätigen und beruft sich darauf.	kAP (keine AussagePflicht): Die Hochschule hat keine rechtliche Pflicht eine Aussage zu tätigen und beruft sich darauf.
KV: KommunikationsVerweigerung der Hochschule.	KV: KommunikationsVerweigerung der Hochschule.
?: Unklar, z.B. weil die Hochschule nicht mehr existiert.	?: Unklar, z.B. weil die Hochschule nicht mehr existiert.
leer: Status unbekannt	leer: Status unbekannt

Progressbar:
grün = Anzahl der Hochschulen, die mit nein für Deauth in der Tabelle gelistet sind
rot = Anzahl der Hochschulen, die mit ja, ja* oder twin für Deauth in der Tabelle gelistet sind und somit gegen die Regeln der Bundesnetzagentur verstoßen.
orange = Anzahl der Hochschulen, die angefragt wurden aber noch nicht geantwortet haben
schwarz = Anzahl der Hochschulen, die sich darauf berufen, dass keine rechtliche Pflicht zur Aussage besteht. Üblicherweise weil das IFG nicht in Landesrecht umgesetzt wurde.

Datenbank als .csv