Außerdem nochmal mal als PDF (2,4 MB) zum Runterladen.

Auf drei Beispiele möchte ich aufmerksam machen, die auch für mich sehr interessant waren:

• Domaintools bietet eine WHOIS-Historie an. Das wusste ich nicht, kann es auch nicht oft nutzen, weil es sehr teuer ist - aber wenn man es wirklich mal braucht, ist es sehr gut, das zu kennen.
• Man kann das Verzeichnis des Open Directory Projects mit der Way Back Machine durchsuchen. Das ist eigentlich selbstverstädnlich, nur muss man auch darauf kommen. Myers hat es am Beispiel der Website Saddam Husseins gezeigt, indem er erst die Seite zum Irak im aktuellen Verzeichnis herausgesucht, dann die Adresse in die Way Back Machine eingegeben hat (die ja noch immer keine Volltextsuche besitzt), um zum alten Verzeichnis zu kommen - und sich dann Saddams Website aufzurufen (die im Unterverzeichnis Government liegt). Clever.
• Was für Nerds ist die Seite zu „Google dorks“. Dazu gibt’s keine Erklärung, weil es erstens zu lange dauern würde und ich zweitens den größten Teil selber nicht verstehe. :-( Aber ich arbeite dran.

• martinlutherking.org
• martinlutherking.tk
• 213.198.79.178/members9/~melski/martinlutherking.htm
• www.psd267.wednet.edu/~kfranz/SocialStudies/MLKJr/martinlutherking.htm

Die 213.198.79.178/etc.-Adresse ist unvollständig; wird nachgereicht, sobald Henk seine Präsentation schickt.

Erstes Beispiel: die .org-Domain wird erstellt von Stromfront, einer rechtsradikalen US-Organisation, denn jeder kann sich eine .org-Domain anmelden, die Registrierung ist „offen“. Die .tk-Seite zeigt er gar nicht, sondern charakterisiert die .tk-Registrierungsagentur als „die Kokaindealer des Webs“. „.tk“ steht für Tokelau; praktisch jeder Antragsteller bekommt dort eine Domain, es ist also höchste Vorsicht geboten. Bei der dritten URL schließlich deuten die Bestandteile „members9“ und die Tilde (~) darauf hin, dass es sich um eine private Homepage handelt. Bei der letzten schließlich zeigt die .edu-Domainendung, dass es sich um die Seite einer Bildungsinstitution handelt, denn .edu-Adressen bekommen nur Universitäten und Bildungseinrichtungen (zuerst nur die der USA und Kanadas, inzwischen auch in anderen Ländern – aber der Nachweis muss vorliegen, dass es sich um eine Bildungseinrichtung handelt). Mir fehlt der Hinweis, dass es sich auch bei der Seite mit .edu-Adresse um die Homepage eines Studenten handeln kann. Ob die dann glaubwürdiger ist als andere, muss nach anderen Kriterien beurteilt werden.

Jedenfalls sind .org-, .com- und .net-Domains niemals „geschützt“ gewesen, d.h. jeder konnte und kann sie sich registrieren lassen. Meine Anmerkung dazu: Auch die Abfragen der Domain-Inhaber führen häufig ins Leere, u.a. deshalb, weil es inzwischen so genannte Proxy(Stellvertreter-)-Dienste gibt, die nichts anderes tun, als für andere als Strohmann Domains anmelden und es damit ohne Unterstützung staatlicher Ermittler nahezu unmöglich machen, Domain-Inhaber zu identifizieren. Henk empfiehlt den „Social Engineering“-Ansatz: womöglich kommt man zum Erfolg, wenn man den technischen Admin anruft und nachfragt, wer die Domain registriert hat. Ist aber bei denjenigen, die es darauf anlegen, ihre Spuren zu verwischen, sehr unwahrscheinlich, damit zum Erfolg zu kommen. Eine gute Seite zur Abfrage von Registrierungsinformationen ist samspade.org.

Bei einer .de-Domain ist es aber noch in den meisten Fällen möglich, den Domaininhaber heraus zu bekommen, weil die Bestimmungen vorsehen, dass bei Denic (der deutschen Registrierungsagentur) verlässliche Daten hinterlegt werden, die über eine Domainabfrage bei Denic auch angezeigt werden. Allerdings ist es so, dass die Denic bzw. die privaten Anbieter, die Domains für Privatpersonen dort registrieren, bei Anmeldungen nicht verlangen, dass z.B. ein Personalausweis vorgelegt wird.

Schöner Hinweis auf Alexa Search, wo unter „Traffic Ranking“ für eine bestimmte Seite auch angezeigt wird, wer welche Websites registriert hat (etwa der Spiegel-Verlag mit spiegel.de, manager-magazin.de, wahreliebe.de und vielen anderen). Selbstverständlich können Anbieter auch diese Möglichkeit unterlaufen, wenn sie sich mit unterschiedlichen Angaben registrieren lassen. Die Chance, dennoch interessante Informationen zu bekommen, sollte man sich aber nicht entgehen lassen, denn viele Anbieter kennen die vielfältigen Möglichkeiten zur Recherche eben gar nicht.

Im nächsten Teil zeigte Henk, wie man herausfinden kann, was die Anbieter von bestimmten Informationen gerne verbergen würden. Sein spektakulärster Fall: der Calipari-Report, in dem untersucht wird, wie es dazu kommen konnte, dass italienischen Geheimdienstmitarbeiter im Irak von US-Soldaten erschossen wurde. Das Dokument wurde als PDF-Fassung mit geschwärzten Stellen veröffentlicht. Kopierte man den Text jedoch in ein Word-Dokument, verschwanden die Schwärzungen. Zum Vorschein kamen u.a. Angaben dazu, wie viele US-Soldaten (?) bis dahin im Irak ums Leben gekommen waren, Informationen also, die zu dem Zeitpunkt noch als vertraulich behandelt wurden.

Auch der Hinweis auf die Meta-Daten in Dateien (etwa in Word-Dokumenten) durfte nicht fehlen. Wie findet man zum Beispiel heraus, wer der Autor eines Dokuments ist? Indem man das Menü „Datei, Eigenschaften“ aufruft. Hat der Autor vergessen, die Informationen zu löschen, kann man dort neben dem Namen bisweilen auch die E-Mail-Adresse herausfinden. Schöne Anmerkung Henks: Sollte jemandem jemals dieses Informationen helfen, um einem Autor auf die Spur zu kommen, und der fragt, woher man die Informationen habe: nicht verraten! Denn je weniger davon wissen, desto geringer wird die Wahrscheinlichkeit, auf diese Art an verwertbare Information zu kommen. Außerdem empfiehlt Henk aus derartigen Gründen Kollegen, sich möglichst immer (auch) die elektronische Ausgaben eines Dokuments geben zu lassen.

Zusätzlich sollte man immer kontrollieren, ob ein Dokument in verschiedenen Versionen abgespeichert ist (Word bettet üblicherweise verschiedene Bearbeitungsstufen in ein Dokument ein, die nachträglich sichtbar gemacht werden können, wenn der Autor vergessen hat, sie zu löschen). Henks Beispiel für einen Geschichte, die daraus entstand, war die einer Stellungnahme (die Details habe ich leider nicht mitbekommen), in deren veröffentlichtem Text man lesen konnte, dass der Premierminister eine bestimmte Haltung unterstützt. In einer früheren Version des Dokuments ist zu lesen, dass das Kabinett sie unterstützt. Anhand der Tatsache, dass diese Passage wieder gestrichen wurde, konnte man zumindest schließen, dass das Kabinett die Unterstützung verweigert hatte. Ich komme im Moment nicht darauf, welche Aufsehen erregende Geschichte in Deutschland darauf beruhte, dass der Autor eines Dokuments vergessen hatte, die Versionen zu bereinigen. Vielleicht kann das einer der Kollegen ergänzen – oder unsere Leser, indem es jemand als Kommentar einfügt. Bitte recherchieren! (Ich kann grad’ nicht, sitze offline im Zug …)

Seine Buchempfehlung zum Thema: „Internet Forensics“, erschienen bei O’Reilly.

Henks Präsentation als PDF (1,1 Mb, Englisch).

• Fragestellung
• Quellen- und Formatanalyse
• Auswahl Erfassungswerkzeug (Robot, Survey, Script)
• Anpassung, Testlauf
• Erfassung und Ablage
• Verarbeitung und Analyse
• Story!

„Prozent is your friend“: % ist ein „Stemming“-Zeichen für Datenbankabfragen. Wenn der Programmierer gepennt hat, kann man mit der Einagbe des %-Zeichens den gesamten Datenbankinhalt auf einen Schlag abfragen.

Beispiel: PISA

Fragestellung: Langfristige Entwicklung der Schulen.

Problem: Daten werden z.T. nicht so lange gespeichert oder sind unmöglich einzeln im Nachhinein zu erfassen.

Normale Lösung: Vereinfachen, begrenzen. Das Problem daran ist die eingeschränkte Perspektive, also wenn man etwa die Rütli-Schule auswählt. CAR hilft hier bei der Langzeit-Datenextraktion und Speicherung: Welche Klassenstärke, wieviel Schüler etc. Die Daten sind auch kostenpflichitg zu bekommen, aber relativ teuer (700 Euro).

Schwierigkeit: Länder haben Bildungshoheit, so dass die Daten in x Quellen und n Formaten vorliegen. Die CAR-Lösung ist, Datenadapter zu schreiben für verschiedene Bundesländer. Sebastian führt vor, wie er einen Server des NRW-Bildunsgministeriums abfragt, bekommt durch Einsatz des %-Zeichens alle Datensätze angezeigt: Schulform, Ort, Adresse etc. Die Idee dahinter: Analyse der Vorher-/Nachher-Versprechen zur Schulpoliitk. Sebastian speichert Quelltext der Seite, lässt ihn anzeigen und demonstriert, wie man in diesen Informationen Muster erkennen kann.

Um die Daten zu extrahieren, kann man nun einen Robot einsetzen. Zur Demonstration ersetzt Sebastian bestimmte Teile eines Datenausschnitts durch Leerzeichen (mithilfe der „Suchen und Ersetzen“-Funktion des Texteditors). So kann man auf diese Art bestimmte Listen erstellen, etwa alle offenen Gesamtschulen, oder auch eine Aufschlüsselung der Kurse, die an diesem Gesamtschulen unterrichtet und belegt werden. Die Idee etwa für eine Geschichte, die man mit derartigen Daten unterstützen könnte: Wie verändern sich die Vorlieben von Schülern bei der Wahl der Sprachen, die sie lernen? Diese Daten bekäme man unter Umständen auch von der Pressestelle, aber nicht immer – und auch nicht kostenlos.

Sebastian demonstriert eine Anwendung mit dem Mac-Robot „Anthrazite“, aber diese Präsentation ist zum Bloggen zu aufwändig. In mehreren Schritten extrahiert er die Daten aus den Webseiten der 614 Bundestagsabgeordneten, um sie dann in einer Tabelle sortieren zu lassen – nach Religions- oder Ausschusszugehörigkeit und vielem mehr. Das lässt sich „von Hand“ nur noch schwer erreichen. Man kann dabei systematische Fehler machen, aber z.B. keinen Fehler beim Abtippen.

Kapau ist für derartige Analysen das beste Werkzeug, aber die Lizenz ist sehr teuer. Marcus Lindemann ergänzt, dass die dänische Organisation DICAR, mit der es eine Zusammenarbeit gibt, bei Bedarf ihr Programm zur Verfügung stellen würde, wenn es eine sinnvolle journalistische Anwendung dafür gibt.

Sebastian, der demnächst auch hier bloggen wird, wird bald eine Liste mit den Programmen hier ergänzen.

Wichtig ist ihm die Unterscheidung von Umfrageforschung und Netzwerkanalyse, da die Umfrageforschung blind für Strukturen ist, die Netzwerkanalyse aber aber get davon aus: das Gesamte ist mehr als Summe der Einzelteile.

Das Problem beim Datamining sei aber, dass das Instrument nur dann sinnvolle Ergebnisse liefert, wenn man weiß, wonach man sucht. Aber wie z.B. identifiziert man Terroristenzellen? Sind sie zentral? Bilden sie Cluster? Die Suche ohne scharfes Profil führt schnell zu false negatives und false positives - also zu Menschen, die grundlos verdächtigt werden, oder man findet eben nicht die „wahren“ Verdächtigen / Täter. Ein Beispiel dafür sind die Untersuchungen von Valdis Krebs, der Terroristennetzwerke analysiert hat. (Zu finden hier.)
Ein weiteres Beispiel ist die Analyse der Verflechtungen in der österreichischen Wirtschaft, die das Forschungsinstitut FAS erstellt hat (PDF).

Haikos bisher aufwändigste Recherche: Für Greenpeace hat er die Lobbyverknüpfungen untersucht, die bei der Debatte um REACH (Registration, Evaluation, and Authorisation of Chemicals), einer EU-Chemierichtlinie, eine Rolle spielte. Ergebnis: Er hat Akteure mit Interessenkonflikten identifiziert, bei denen es vorher nicht klar war, dass diese Konflikte bestehen. Auch sei ein sehr enger Prozess der Zusammenarbeit zwischen der EU-Kommission und der Industrie sichtbar geworden. (Ein Report von Greenpeace zu REACH ist hier zu finden, aber die Ergebnisse von Haikos Untersuchung sind noch nicht eingeflossen.)

Einwurf aus dem Publikum: Alle diese Infos sind bereits …

Haiko Lietz: Für einen, der in der Diskussion drin steckt, ist das bekannt. Aber: Man kann sich ein Bild davon machen, wie Netzwerke aufgebaut sind, wenn man nicht vor Ort ist. Außerdem sollte es einfach viel häufiger gemacht werden, damit diee Verknüpfungen offensichtlich werden.

Anmerkung von Manfred Redelfs (Greenpeace, auch Autor dieses Blogs): Es ist immer gut, Verknüpfungen zu analysieren und belastbar zu machen, statt immer nur anekdotisch berichten zu können.

Haiko: Selbstverständlich kann man derartige Infos auch zur Karriereplanung nutzen, oder Unternehmen können damit ihren Informationsfluss verbessern und zielgerichteter Infos lancieren.
Ergänzung folgt noch, ebenso Haikos Folien, die er zur Verfügung stellen wird.