Digitale Kompartimentierung: Getrennte Identitaeten ohne Metadaten zu lecken

Du oeffnest den Tor Browser fuer die Forschungs-Persona, aber die Systemuhr zeigt GMT-3 und das Tastaturlayout ist pt-BR ABNT2. Drei Requests spaeter erzaehlt der Fingerprint die Geschichte: Brasilianer, Linux, Zeitzone Sao Paulo, Monitor 2560x1440. Kompartimentierung gebrochen vor dem ersten Login. Das Basilisk-Team erlebt das taeglich: Identitaeten zu trennen ist kein falscher Name im Formular, sondern jedes Bit, das die Maschine verlaesst, muss dieselbe kohaerente Geschichte fuer diese Persona erzaehlen. Dieser Beitrag geht den ganzen Stack durch, von Hardware ueber DNS bis Zahlung, ohne Illusionen und mit Befehlen, die du heute ausfuehren kannst.

Bedrohungsmodell-Stufen, bevor du etwas installierst

Beginne mit dem Bedrohungsmodell, nicht mit dem Werkzeug. Eine oeffentliche Bug-Bounty-Persona auf LinkedIn braucht nicht die Isolation eines Forschers, der eine staatliche APT-Gruppe verfolgt, und den einfachen Fall zu ueberkonstruieren verschwendet die Disziplin, die du fuer den schweren brauchst. Definiere drei Stufen: oeffentliche Persona (dir zuordenbar), professionelle Persona (pseudonym, mit Arbeitgebern verknuepfbar) und Forschungs-Persona (nicht zuordenbar). Liste pro Stufe Gegner, Faehigkeiten und Verluste auf. Ohne das installierst du Qubes und loggst dich trotzdem aus dem falschen Qube in dein persoenliches Gmail ein. Nutze die Vorlage in persoenliches Bedrohungsmodell auf einer Seite.

Das Kernprinzip ist Unlinkability: kein beobachtbares Attribut darf zwei Personas verbinden. Attribute sind nicht nur Namen und E-Mails; es sind Zeitzone, Locale, Browser-Fingerprint, Exit-IP, Schreibstil, Posting-Zeitplan, Zahlungswege und sogar Hardware-Seriennummern. Ein einziges geteiltes Attribut zwischen zwei Personas ist ein Join-Key, mit dem ein Analyst sie zu einer zusammenfaltet. Behandle jede Persona als Attributmenge und pruefe die Schnittmenge; alles in der Schnittmenge, das leer sein sollte, ist ein zu schliessendes Leck.

Hardware- und Geraeteisolation

Hardware ist die erste Grenze. ThinkPad X1 mit Coreboot, ein MacBook im Lockdown Mode oder ein dediziertes Framework: die Regel ist, dass ein Geraet keine Personas kreuzt. Nutzt du denselben Laptop fuer Banking und offensive Forschung, toetet die Kompromittierung eines Endes beide. Wenn das Budget keine drei Maschinen erlaubt, nutze Qubes OS mit Disposable Qubes pro Persona oder Whonix in dedizierter VM. Trenne physisch ein Burner-Phone fuer SMS und 2FA von Wegwerf-Konten; melde die Wiederherstellung eines Forschungskontos nie auf deinem Alltagstelefon an, denn die Wiederherstellungsnummer ist selbst ein dauerhafter persona-uebergreifender Identifikator.

OS- und VM-Isolation: Tails, Whonix, Qubes

Die drei amnestischen und kompartimentierenden Systeme loesen verschiedene Probleme. Tails ist per Design amnestisch: von USB booten, keine Spur auf der Platte, alles ueber Tor routen, ideal fuer eine einzelne Hochrisiko-Session. Whonix trennt eine Gateway-VM (Tor) von einer Workstation-VM, sodass die Workstation ihre echte IP selbst bei Kompromittierung nie lernt. Qubes OS ist der Alltagstreiber fuer Kompartimentierung: jede Persona ist ein farbcodierter Qube mit eigener NetVM, und sys-whonix routet ausgewaehlte Qubes ueber Tor. Der Vergleich in Tails, Whonix oder Qubes waehlt pro Szenario; kurz: Qubes fuer kompartimentierten Alltag, Tails fuer einzelne amnestische Sessions.

Browser-Fingerprint und die Entropie-Falle

Browser verdienen ein eigenes Kapitel. Firefox mit getrennten Profilen reicht nicht: Cookies, Cache und Fingerprinting lecken zwischen Fenstern und lassen sich von einer entschlossenen Seite korrelieren. Nutze Mullvad Browser oder Tor Browser fuer die Forschungs-Persona, Brave mit Profilen fuer die professionelle und Safari fuer die persoenliche, jeweils in eigener VM oder mindestens in Firefox Multi-Account Containers. Deaktiviere WebRTC, normalisiere die Aufloesung per Letterboxing und halte den User-Agent identisch zur Tor-Masse. Installiere nie eigene Extensions in der nicht-zuordenbaren Persona: jedes Add-on addiert Entropie, und Entropie ist genau das, was ein Fingerprint-Skript in eine eindeutige ID verwandelt. Zu Tor lies Echte Anonymitaet mit Tor, bevor du annimmst, drei Hops loesen alles.

Netzwerk und DNS: wo die meisten ausrutschen

Netzwerk und DNS sind das klassische Versagen. Eine Forschungs-Persona, die ueber dieselbe Heim-IP wie die persoenliche herausgeht, hebt die Trennung in 30 Sekunden Korrelation auf. Nutze Mullvad oder IVPN mit WireGuard in getrennten VMs, oder route die Forschungs-Persona standardmaessig ueber Tor. Sende DNS-over-HTTPS zum Resolver des VPN-Anbieters, nie dem des ISP. In Qubes konfiguriere sys-vpn und sys-whonix als getrennte NetVMs pro Qube, damit ein Leck im einen den anderen nicht erreicht. Pruefe mit dnsleaktest.com und, verlaesslicher, mit tcpdump auf dem physischen Interface, bevor du vertraust: VPN-Marketing luegt, das Paket, das die NIC verlaesst, nicht.

Metadaten-Hygiene: die unsichtbare Ferse

Metadaten sind, wo eine makellose Persona stirbt. Du kannst perfekte Netzisolation haben und trotzdem ein PDF mit deinem echten Namen im Author-Feld oder ein Foto mit EXIF-GPS deines Balkons veroeffentlichen. Vor jeder Veroeffentlichung: exiftool -all= ueber die Datei, PDFs mit qpdf linearisieren und Eigenschaften in LibreOffice pruefen. Office-Dokumente tragen persistente GUIDs ueber Versionen hinweg, die Dateien derselben Maschine leise verknuepfen. Siehe Metadaten-Hygiene fuer den Reinigungs-Workflow pro Dateityp und verdrahte mat2 als automatischen Schritt vor jedem Upload, damit Reinigung Standard ist und nicht etwas, an das du dich erinnerst.

Kommunikation und Zahlung folgen dem Kompartiment

Kommunikation muss derselben Grenze gehorchen. Signal mit deiner privaten Nummer auf der Forschungs-Persona ist operativer Selbstmord; nutze SimpleX Chat oder Session mit Identitaeten pro Persona, installiert in getrennten Android-Profilen oder GrapheneOS Work Profiles, und kreuze Kontakte nie zwischen Personas, nicht einmal durch eine verirrte Benachrichtigung. Waehle den Messenger nach Bedrohungsmodell mit dem technischen Vergleich. Zahlung ist die vergessene Achse: eine Karte, ein PayPal oder eine KYC-Boerse bindet eine Persona dauerhaft an eine Rechtsidentitaet. Finanziere VPS und Relays der Forschungs-Persona mit Monero, denn eine einzige nachvollziehbare Zahlung enttarnt alles stromaufwaerts.

Haeufige Fehler

Die wiederkehrenden Fehler sind langweilig und toedlich. Sich 'nur einmal' aus dem Forschungs-Qube in ein persoenliches Konto einloggen; ein Profilbild ueber Personas hinweg wiederverwenden, das die Rueckwaertssuche sofort verknuepft; aus zwei Personas nach einem Zeitplan posten, der zu deiner echten Zeitzone und deinem Schlafmuster passt; dieselben Schreibmarotten und Signaturphrasen tragen; und einen Passwortmanager alle Personas synchronisieren lassen, sodass ein Bruch die ganze Karte zeigt. Jeder ist ein geteiltes Attribut, und geteilte Attribute sind das Einzige, was ein Analyst braucht. Der Werkzeugstapel ist nicht die Kontrolle; die Routine, die die Mengen disjunkt haelt, ist es.

Monatliches Audit und Checkliste

Betreibe Trennung als Routine, nicht als einmaliges Projekt. Liste monatlich jede Persona, jedes Konto, jedes Geraet und jede IP auf und suche nach Ueberschneidungen, indem du OSINT auf dich selbst richtest, gemaess Ethisches OSINT mit Spiderfoot nach innen. Verbindet das Ergebnis zwei Personas, die isoliert sein sollten, existiert die Schwachstelle und ist jetzt ausnutzbar. Checkliste: ein Geraet oder Qube pro Persona; eigene Exit-IP pro Persona; passende Locale, Zeitzone und Tastatur pro Persona; keine geteilten Avatare, Usernames oder Wiederherstellungsnummern; Metadaten vor jedem Publish gesaeubert; Zahlungen unverknuepfbar; Kontakte nie gekreuzt. Gruen auf allen acht, oder das Kompartiment ist Theater.

Ein durchgespieltes Beispiel: eine Forschungs-Persona aufsetzen

Setz es konkret zusammen. Erzeuge einen neuen Qubes-Qube namens research-alpha, faerbe ihn rot, haenge ihn an eine frische sys-vpn, die auf einem in Monero gekauften Mullvad-WireGuard-Endpunkt terminiert, und setze Zeitzone und Locale des Qube passend zum behaupteten Ort der Persona. Installiere darin Mullvad Browser ohne Extensions, registriere ein dediziertes ProtonMail, das nur aus diesem Qube erreicht wird, und erzeuge eine SimpleX-Identitaet mit selbst gehostetem Relay. Finanziere nichts von einer Karte, die deinen Namen beruehrt.

Bevor die Persona ueberhaupt postet, laeuft tcpdump auf der Host-NIC, um zu bestaetigen, dass der einzige Ausgang der VPN-Endpunkt ist, dann linearisiere und saeubere jede Datei mit mat2. Erst wenn alle beobachtbaren Attribute konsistent sind, geht research-alpha live; die Disziplin ist vorgezogen, denn ein Leck am ersten Tag ist unwiederbringlich. Genau diese Reihenfolge, zuerst Netz und Attribute pruefen, dann veroeffentlichen, trennt eine echte Persona von einem Kostuem, das der erste ernsthafte Analyst in Minuten aufloest. Dokumentiere zudem jeden Schritt in einem verschluesselten Runbook, das nur der Persona gehoert, damit du bei jeder Rotation exakt dieselbe kohaerente Konfiguration reproduzierst und nicht aus dem Gedaechtnis improvisierst, wo genau die stille Inkonsistenz entsteht, die zwei Kompartimente verbindet.

FAQ

Brauche ich wirklich getrennte Hardware, oder reichen VMs? VMs reichen gegen entfernte Web-Gegner, aber ein Kernel- oder Hypervisor-Escape oder physische Beschlagnahme besiegt Software-Isolation; getrennte Hardware ist die Kontrolle, wenn der Gegner Code auf dem Host ausfuehren oder das Geraet halten kann. Fuer die meisten Forscher gibt Qubes starke Isolation ohne drei Laptops, physische Trennung addierst du nur fuer die hoechste Stufe. Ist VPN plus Tor besser als Tor allein? Nur wenn du das Vertrauen verstehst, das du verschiebst; ein VPN-vor-Tor-Setup versteckt Tor-Nutzung vor deinem ISP, verlagert aber Vertrauen aufs VPN, also waehle nach dem Beobachter, den du wirklich besiegst, nicht durch Werkzeugstapeln aus Bequemlichkeit.

Wie verhindere ich, dass der Schreibstil Personas verknuepft? Variiere Satzlaenge und Wortschatz bewusst, meide Signaturphrasen und Emoji-Gewohnheiten und erwaege, Forschungs-Persona-Text in einer anderen Sprache zu entwerfen und dann zu uebersetzen, denn Stilometrie-Werkzeuge greifen konsistente Eigenheiten. Und was ist mit Zeitzonen-Lecks in Metadaten und Postingzeiten? Setze die VM jeder Persona auf eine Zeitzone, die zum behaupteten Ort passt, plane Posts fuer die Wachstunden dieser Region statt deiner eigenen und lass nie einen 3-Uhr-lokalzeit-Burst den Menschen hinter drei 'unabhaengigen' Konten verraten.

Fazit

Kompartimentierung ist kein Produkt, das du installierst, sondern eine Disziplin, die du betreibst. Der Fehlermodus ist nie die Kryptografie; es ist eine geteilte Zeitzone, ein wiederverwendeter Avatar, eine nachvollziehbare Zahlung oder ein fauler Login aus dem falschen Qube. Waehle deine Stufen, isoliere Hardware und Netzwerk pro Persona, normalisiere jedes beobachtbare Attribut, saeubere Metadaten standardmaessig und auditiere die Schnittmenge deiner eigenen Personas monatlich mit denselben OSINT-Werkzeugen, die ein Gegner nutzen wuerde. Praktisches Takeaway: kartiere heute eine Persona auf einem Blatt mit drei Spalten, Geraet, Netzwerk, Identitaet, und markiere jede Zelle, die sie mit einer anderen teilt; jede markierte Zelle ist technische Schuld, in zwei Wochen zu schliessen.