Deep Packet Inspection
Deep Packet Inspection ist ein Verfahren, bei dem Netzwerkgeräte nicht nur schauen, wohin Daten unterwegs sind, sondern auch, was in ihnen steckt. Die Technik wird für Sicherheit, Netzsteuerung und in manchen Ländern auch für Zensur eingesetzt.
Alles, was du im Internet verschickst, wird in kleine Häppchen zerlegt. Diese Häppchen heißen Pakete. Jedes Paket hat einen Adressteil, vergleichbar mit dem Umschlag eines Briefes, und einen Inhaltsteil, also den Brief selbst. Normale Netzgeräte lesen nur den Umschlag und leiten das Paket weiter. Deep Packet Inspection geht weiter: Die Geräte öffnen auch den Inhaltsteil und prüfen, was darin steht. Der deutsche Name wäre etwa „tiefe Paketprüfung“, gebräuchlich ist aber die englische Bezeichnung.
Zwischen Virenschutz und Überwachung
Für Firmen und Behörden ist die Technik nützlich. Ein Schadprogramm sieht auf dem Umschlag oft harmlos aus. Erst im Inhalt erkennt man das Muster, an dem es sich verrät. Sicherheitssysteme in Unternehmensnetzen arbeiten deshalb fast immer mit Deep Packet Inspection. Auch Netzbetreiber nutzen sie, um zu erkennen, welche Art von Daten gerade fließt.
Genau diese Fähigkeit macht die Technik aber politisch heikel. Wer den Inhalt lesen kann, kann ihn auch bewerten. Ein Anbieter könnte Videos eines bestimmten Dienstes gezielt ausbremsen und einen anderen bevorzugen. Das widerspricht dem Prinzip der Netzneutralität, also der Regel, dass alle Daten gleich behandelt werden. In der EU ist eine solche Bevorzugung stark eingeschränkt.
In autoritären Staaten dient dieselbe Technik der Zensur. Sie erkennt unerwünschte Inhalte und blockiert sie, bevor sie ankommen. Deep Packet Inspection ist damit ein gutes Beispiel für eine Technologie, deren Bewertung fast vollständig davon abhängt, wer sie einsetzt und wozu.
Was das Gerät im Datenstrom sucht
Ein DPI-System sitzt an einer Stelle, durch die der Verkehr ohnehin fließt, etwa an der Grenze eines Firmennetzes. Es setzt die Pakete gedanklich wieder zu ganzen Nachrichten zusammen. Dann vergleicht es diese Nachrichten mit einer Liste bekannter Muster, sogenannter Signaturen. Findet sich ein Treffer, wird das Paket verworfen, gemeldet oder verlangsamt.
Reine Musterlisten stoßen jedoch an Grenzen, denn Angreifer verändern ihren Code laufend. Deshalb kommen zunehmend Lernverfahren zum Einsatz. Ein Modell wird mit sehr vielen Beispielen für normalen und für auffälligen Verkehr trainiert. Danach kann es auch bislang unbekannte Angriffe erkennen, weil sie statistisch aus dem Rahmen fallen.
Eine große Hürde ist die Verschlüsselung. Der weit überwiegende Teil des Webverkehrs ist heute verschlüsselt, der Inhalt also für Zwischenstationen unlesbar. Manche Systeme umgehen das, indem sie die Verbindung aufbrechen und neu aufbauen. Andere werten nur äußere Merkmale aus, etwa Paketgrößen und zeitliche Abstände. Erstaunlich oft lässt sich schon daraus ableiten, welcher Dienst genutzt wird.
Firewall im Schulnetz, Streit im Bundestag
Am häufigsten begegnet dir die Technik als Firewall, also als Schutzwall zwischen einem internen Netz und dem Internet. In Schulnetzen sorgt sie dafür, dass bestimmte Seiten und Spiele nicht erreichbar sind. In Firmen verhindert sie zusätzlich, dass vertrauliche Dateien nach außen abfließen. Produkte dieser Art werden oft als „Next-Generation Firewall“ verkauft.
In den Nachrichten taucht der Begriff meist in Debatten über Überwachung auf. Wenn über Netzsperren, Vorratsdatenspeicherung oder Chatkontrolle diskutiert wird, steht technisch oft Deep Packet Inspection dahinter. Datenschützer kritisieren, dass hier Inhalte unbeteiligter Menschen mitgelesen werden. Ein verbreiteter Irrtum ist übrigens, dass Verschlüsselung die Technik vollständig aussperrt. Sie versteckt den Inhalt, nicht aber das Verhaltensmuster einer Verbindung.