User:Rillke/cu/sandbox

Das grundlegende Dokument für alles, was den Datenschutz bei den Wikimedia-Projekten betrifft ist die Datenschutzerklärung (rechtlich verbindliche Version auf Englisch).

Um die Wikimedia-Projekte vor unerwünschten Bearbeitungen zu schützen wurde neben anderen, wie beispielsweise AbuseFilter, die Möglichkeit geschaffen, dass bestimmte Personen die IP-Adresse und den UserAgent-String von angemeldeten Benutzern ermitteln können. Diese Personen haben sogenannte Checkuser-Rechte und werden Checkuser-Berechtigte oder kurz Checkuser genannt. Die Namen der Checkuserberechtigten auf dem Wikimedia-Projekt „Wikimedia Commons“ befinden sich in der Liste Commons:Commons:List of checkusers (automatisch generierte, aktuelle Liste), hinzu kommen

• die amtierenden Ombudsmänner (Mitgliederliste)
• die amtierenden Stewards (Mitgliederliste), welche sich allerdings lokal zu einem Checkuser machen müssen, bevor sie Zugriff auf die Daten erhalten
• Mitarbeiter der Wikimedia Foundation („Staff“, Mitgliederliste)
• der „Gründer“ der Wikimedia Foundation („Founder“, Mitgliederliste), der sich lediglich das Logbuch ansehen kann

Wobei die Stewards laut den Regelungen die Checkuser-Rechte erteilen und wegnehmen können.

Stewards sollen in Wikis, die eigene Checkuser-Berechtigte haben, nicht selbst als Checkuser tätig werden sollen. Die Checkuser müssen sich an die Regeln der Checkuser-Richtlinie halten. Auf Commons sollen die Checkuser gegenseitig ihre Aktivitäten kontrollieren. Ein Verzeichnis ihrer Tätigkeiten ist nicht öffentlich zugänglich.

Wer kann Checkuser-Rechte auf Wikimedia Commons erhalten?

Die Mindestanforderungen an Kandidaten sind in den beiden Dokumenten „Wie man CheckUser wird“ und „Was ist ein CheckUser?“ beschrieben:

Kandidaten sind

• höchst vertrauenswürdige Administratoren
• mindestens 18 Jahre alt und in ihrer Heimat volljährig
• gegenüber der Wikimedia Foundation identifiziert

Damit die Wahl durch die Community erfolgreich ist, werden mindestens

• 25 Pro-Stimmen und
• eine Zustimmungsrate von 80% zum Kandidaten benötigt.

Welche Aktionen eines Benutzers erzeugen einen Logbucheintrag, der von einem CheckUser eingesehen werden kann?

• Erstellung eines Benutzerkontos (AddNewAccount)
• Automatisches Erstellen eines Benutzerkontos durch CentralAuth; das passiert, wenn man noch kein Bentzerkonto auf Commons hat und sich global angemeldet nach Commons begibt (AuthPluginAutoCreate)
• Wenn eine e-Mail durch einen Bentzer über Special:EmailUser versendet wird (EmailUser)
• Nachdem eine Änderung an Seiteninhalten [inkl. Verschiebungen, Uploads] vorgenommen wurde, welche in den Letzten Änderungen angezeigt wird (RecentChange_save)
• Beim Zusenden eines neues Passwortes (User::mailPasswordInternal)

Quelle: API Hook Abfrage; Quellcodeauswertung; Einige Hooks werden nur zur Verwaltung der Extension verwendet; etwa um alte Einträge aus der Datenbank zu löschen.

Die gesammelten Daten werden 3 Monate aufbewahrt.

Was kann man mit diesen Rechten für zusätzliche Daten (im Vergleich zum Admin/normalen Benutzer) ermitteln?

• Auf Special:CheckUser bzw. Special:CheckUserLog können die folgenden Informationen abgerufen werden:

• 
  Benutzer einer bestimmten IP-Adresse
• 
  IP-Adressen eines Benutzers
• 
  Bearbeitungen, Logbucheinträge eines Benutzers mit IP-Adressen und UserAgents
• 
  Bearbeitungen, Logbucheinträge einer IP mit Benutzernamen (falls angemeldet) und UserAgents
• 
  Das CheckUser-Logbuch, in dem alle Aktionen aller CheckUser aufgezeichnet werden.

Wann dürfen diese ermittelt werden?

• Um Vandalismus zu bekämpfen.
• Um die missbrächliche Verwendung von Sockenpuppen aufzudecken.
  • Generell sind Zweitaccounts zulässig, so dass der alleinige Besitz noch keine Verletzung der Richtlinien darstellt.
  • Erst wenn diese Zweitaccounts z.B. zur Manipulation von Abstimmungen benutzt werden, liegt eine missbräuchliche Verwendung vor.
• Um Störungen des Projekts zu vermeiden.
• Das CheckUser Tool darf nur verwendet werden, um Schaden vom Projekt abzuwenden.
• Daten dürfen nicht ermittelt werden, um politische Kontrolle auszuüben, Benutzer unter Druck zu setzen oder sie zu bedrohen.
• Der überprüfte Benutzer kann, muss aber nicht vorher benachrichtigt werden. Ebenso kann der Checkuser-Berechtigte die Community informieren, muss es aber nicht tun.
• Anfragen der Community beantworten einige CheckUser auf Commons:Requests for checkuser

Was kann man über diese Daten über die Person hinter dem Benutzerkonto erfahren?

Das hängt vom Verhalten des Benutzers ab. In den meisten Fällen lässt sich der Internetdienstanbieter und der ungefähre Aufenthaltsort (im Maßstab "München" oder "Hamburg") feststellen.

Verwendet der Nutzer VPN und Proxys, ist es sogar schwierig festzustellen, wo er sich aufhält. Editiert er dagegen von seinem Arbeitsplatz aus, ist u.U. eine Assoziation von Unternehmen und Benutzer möglich. Wenn das Arbeitsplatznetzwerk so konfiguriert ist, dass XFF-Header an die Anfragen angefügt werden, ist sogar der Einzelarbeitsplatz identifizierbar.

Ausschlaggebend sind die Informationen, die die IP-Adresse gibt. Auf http://whois.domaintools.com/ und ähnlichen Seiten können die „Besitzer“ der IP-Adressen herausgefunden werden. http://geoiptool.com/ und Server-Lösungen wie geoiplookup erlauben eine räumliche Einordnung von IP-Adressen.

Über die UserAgent-Strings - diese werden beispielsweise vom Browser an die Anfrage angehängt - lässt sich ermitteln, welchen Browser und (meist auch) welches Betriebssystem der Benutzer benutzt hat. Man spricht von UserAgents, weil es nicht nur Browser gibt, die Anfragen an Server senden, sondern beispielsweise auch andere Server oder Suchrroboter.

Kann der Besuch von Wikimedia Commons von einem CheckUser festgestellt werden?

Falls es der erste Besuch ist und der besuchende Benutzer global angemeldet ist, aber noch kein Benutzerkonto auf Wikimedia Commons hat, wird ein Benutzerkonto automatisch erstellt. Dies erzeugt einen für einen CheckUser einsehbaren Eintrag mit den üblichen Informationen. Darüber hinaus sind Datum, Uhrzeit und Projekt auch öffentlich auf Special:CentralAuth einsehbar.

Ein Checkuser-Berechtigter auf Commons hat sich nicht an geltende Regeln gehalten?

Falls die Datenschutzrichtlinie der Wikimedia Foundation verletzt wurde, kannst Du Dich direkt an die Wikimedia Foundation wenden oder einen Steward auf das Problem aufmerksam machen.

Wenn es nur eine vage Vermutung ist, sprich den Checkuser-Berechtigten am besten an und frage, bevor Du dich an einen anderen Checkuser-Berechtigten oder ein Forum wendest.