Was ist ein Warrant Canary und wie prüft man ihn mit GPG?

Kurz gesagt: Ein Warrant Canary ist eine regelmäßig erneuerte, signierte Erklärung, in der ein Dienst angibt, bestimmte geheime behördliche Anordnungen nicht erhalten zu haben — etwa Vorladungen mit Schweigeverpflichtung oder National Security Letters. Wird die Erklärung nicht mehr erneuert oder ändert sich ihr Wortlaut, werten Leser dieses Schweigen als Warnung. Sie prüfen einen Canary, indem Sie seine PGP-Signatur gegen den Schlüssel-Fingerprint des Herausgebers prüfen und sicherstellen, dass das Signaturdatum aktuell ist.

Dieser Artikel behandelt die rechtliche Idee hinter Canaries, ihre tatsächlichen Grenzen, was ein guter Canary enthält, und eine Schritt-für-Schritt-Prüfung mit GPG am Beispiel des NoctisNode-Canary.

So funktioniert ein Warrant Canary

Der Name geht auf die Kanarienvögel zurück, die Bergleute früher mit unter Tage nahmen: Solange der Vogel lebte, war die Luft sicher. Ein Warrant Canary funktioniert genauso. Der Dienst veröffentlicht eine datierte Erklärung wie „Wir haben keine geheimen Gerichtsbeschlüsse oder Schweigeanordnungen erhalten“ und erneuert sie nach einem festen Zeitplan.

Die rechtliche Idee, die vor allem aus den USA stammt, beruht auf einer Unterscheidung: Behörden können einem Unternehmen womöglich verbieten offenzulegen, dass es eine geheime Anordnung erhalten hat; es zur Veröffentlichung einer falschen Erklärung zu zwingen, ist jedoch eine andere und schwierigere Forderung. Erneuert das Unternehmen den Canary einfach nicht mehr, hat es nichts offengelegt — Leser können aus dem Fehlen aber ihre eigenen Schlüsse ziehen.

Grenzen von Warrant Canaries

Ein Canary ist ein nützliches Signal, keine Garantie. Behalten Sie diese Grenzen im Kopf, bevor Sie sich darauf verlassen.

• ▹Die Rechtstheorie ist vor Gericht weitgehend ungeprüft, und die Antwort kann von Land zu Land unterschiedlich ausfallen.
• ▹Er deckt nur ab, was er ausdrücklich aufführt. Ein Canary über geheime Anordnungen sagt nichts über gewöhnliche, öffentliche behördliche Anfragen.
• ▹Ein Ausbleiben ist mehrdeutig: Es kann eine behördliche Anordnung bedeuten oder einfach, dass die zuständige Person abwesend war oder einen Fehler gemacht hat.
• ▹Er kann Ihnen nicht sagen, was angefordert wurde, wann oder welche Kunden betroffen waren.
• ▹Er sagt nichts darüber, welche Daten existieren. Kombinieren Sie ihn mit einer klaren Logging-Richtlinie; siehe [No-Logs-VPS erklärt](/blog/no-logs-vps-explained).
• ▹Er ist nur so vertrauenswürdig wie der Signaturschlüssel und die Menschen, die ihn halten.

Was ein guter Warrant Canary enthält

Der Warrant Canary von NoctisNode

NoctisNode veröffentlicht einen PGP-signierten Klartext-Canary unter `/canary.txt`, den öffentlichen Signaturschlüssel unter `/canary-pubkey.asc` und eine Erklärung auf der Warrant-Canary-Seite. Der Canary wird jeden Monat von Hand erneuert. Wurde er länger als 35 Tage nicht erneuert, werten Sie das als Signal.

Der Fingerprint des Signaturschlüssels lautet `3804 DA83 956F B4C1 1D87 36C3 129C E677 8F20 92E9`. Vergleichen Sie immer den vollständigen Fingerprint, nie nur die letzten 8 oder 16 Zeichen.

So prüfen Sie einen Warrant Canary Schritt für Schritt

Diese Befehle funktionieren unter Debian 12/13 und Ubuntu 24.04. Installieren Sie die Tools bei Bedarf zuerst mit `sudo apt install gnupg curl`. Für zusätzliche Privatsphäre können Sie die Dateien über Tor mit `torsocks curl` abrufen, nachdem Sie die Pakete `tor` und `torsocks` installiert haben.

1. 01.Vergleichen Sie den in Schritt 2 und 4 ausgegebenen Fingerprint mit dem auf der Canary-Seite und in diesem Artikel veröffentlichten. Weicht auch nur ein Zeichen ab, brechen Sie ab: Sie haben den falschen Schlüssel.
2. 02.Suchen Sie in der Ausgabe von `gpg --verify` nach `Good signature from`. Eine Zeile `BAD signature` bedeutet, dass der Text verändert wurde oder die Datei beschädigt ist — vertrauen Sie ihr also nicht.
3. 03.Eine Zeile `WARNING: This key is not certified with a trusted signature!` ist normal, wenn Sie den Schlüssel nicht selbst signiert haben. Das Vertrauen stellt die Fingerprint-Prüfung aus Schritt 1 her.
4. 04.Prüfen Sie das Datum `Signature made` und das im Canary-Text angegebene Datum. Beide sollten aktuell sein.
5. 05.Ist die Signatur älter als 35 Tage, werten Sie das als Signal und lesen Sie die Canary-Seite auf eventuelle Ankündigungen.

# 1. Download the canary and the public key
curl -fsSLO https://noctisnode.com/canary.txt
curl -fsSLO https://noctisnode.com/canary-pubkey.asc

# 2. Inspect the key without importing it
gpg --show-keys --with-fingerprint canary-pubkey.asc

# 3. Import the key
gpg --import canary-pubkey.asc

# 4. Confirm the fingerprint of the imported key
gpg --fingerprint 3804DA83956FB4C11D8736C3129CE6778F2092E9

# 5. Verify the signature on the canary
gpg --verify canary.txt

Die 35-Tage-Prüfung automatisieren

Wenn Sie den Canary von einem Server oder per Cronjob überwachen, nutzen Sie die maschinenlesbare Statusausgabe von GPG, statt menschenlesbaren Text zu parsen. Das Skript unten schlägt fehl, wenn die Signatur fehlt, von einem anderen Schlüssel stammt oder älter als 35 Tage ist. Führen Sie es im Verzeichnis aus, das eine frisch heruntergeladene `canary.txt` enthält.

#!/bin/sh
FPR=3804DA83956FB4C11D8736C3129CE6778F2092E9
line=$(gpg --status-fd 1 --verify canary.txt 2>/dev/null | grep ' VALIDSIG ')
case "$line" in
  *"$FPR"*) ;;
  *) echo "FAIL: no valid signature from $FPR"; exit 1 ;;
esac
ts=$(echo "$line" | awk '{print $5}')
age=$(( ( $(date +%s) - ts ) / 86400 ))
echo "Canary signature is $age days old"
[ "$age" -le 35 ] || { echo "WARNING: older than 35 days"; exit 2; }

Note · Ein Ausbleiben ist ein Anlass zur Prüfung, kein Beweis für eine behördliche Anordnung. Sehen Sie auf der Canary-Seite und in den Ankündigungen des Betreibers nach und bewahren Sie eigene archivierte Kopien früherer Canaries zum Vergleich auf.

FAQ