Immer wieder fallen im Verlauf von Wahlkämpfen Schlagworte wie Personalisierung, Negativismus und Sensationalismus. Während diese Eigenschaften auf modern geführte Wahl-Kampagnen in den USA durchaus zutreffen mögen, so bescheinigen Studien deutscher Wahlforschungsinstitute für die Bundesrepublik doch recht durchwachsene Befunde. Im Zuge der Bundestagswahl 2005 haben wir uns mittels einer Inhaltsanalyse mit der Kandidatendarstellung Angela Merkels in der deutschen Qualitätspresse beschäftigt. Dabei ging es uns besonders um die Feststellung eines Wandels in der Darstellung Angela Merkels, welcher die Wähler in ihrer Wahlentscheidung beeinflusst haben könnte und um erkennbare Indizien für einen generellen Trend zur Personalisierung. / During electoral campaigns one can always hear key words like personalization, negativism and sensationalism. While these terms may represent the harsh reality of modern campaigns in the US, the results for Germany are rather ambiguous, according to prominent scientific studies. Following the chronology of the German 2005 election of the Bundestag, we tried to evaluate the presentation of candidate Angela Merkel, who ran for chancellor’s office, in the German quality press. Our main goal was the verification of a change in the way the papers presented Angela Merkel, hence possibly influencing the electorate. Furthermore, we tried to find proof of a general trend of personalization in Germany’s elections of 2005.

Zugl.: Marburg, Univ., Diss., 2006 u.d.T.: Mittendorf, Volker: Kommunikation in Wahlen und Abstimmungen

Univ., Diss.--Bern, 2005.

Es existiert eine Vielzahl an Web 2.0-Applikationen, welche es einer Gruppe von Personen ermöglichen, einen gemeinsamen Termin zu finden (z. B. doodle.com, moreganize.ch, whenisgood.net, agreeadate.com, meetomatic.com, etc.) Der Ablauf ist simpel: Ein Initiator legt eine Terminumfrage an und schickt den Link zu der Umfrage zu den potentiellen Teilnehmern. Nachdem jeder Teilnehmer der Anwendung seine Verfügbarkeiten mitgeteilt hat, kann anhand dieser Informationen ein Termin gefunden werden, der am besten passt. Maßnahmen um die Vertraulichkeit und Integrität der Daten zu schützen finden in allen bestehenden Applikationen zu wenig Beachtung. In dieser Dissertation wurde eine Web 2.0-Applikation entwickelt, welche es zulässt Terminabstimmungen zwischen mehreren Teilnehmern durchzuführen und dabei möglichst wenige Vertrauensannahmen über alle Beteiligten zu treffen. / Applications which help users to schedule events are becoming more and more important. A drawback of most existing applications is, that the preferences of all participants are revealed to the others. We propose a schemes, which are able to schedule events in a privacy-enhanced way. In addition, Dudle, a Web 2.0 application is presented which implements these schemes.

Immer wieder fallen im Verlauf von Wahlkämpfen Schlagworte wie Personalisierung, Negativismus und Sensationalismus. Während diese Eigenschaften auf modern geführte Wahl-Kampagnen in den USA durchaus zutreffen mögen, so bescheinigen Studien deutscher Wahlforschungsinstitute für die Bundesrepublik doch recht durchwachsene Befunde. Im Zuge der Bundestagswahl 2005 haben wir uns mittels einer Inhaltsanalyse mit der Kandidatendarstellung Angela Merkels in der deutschen Qualitätspresse beschäftigt. Dabei ging es uns besonders um die Feststellung eines Wandels in der Darstellung Angela Merkels, welcher die Wähler in ihrer Wahlentscheidung beeinflusst haben könnte und um erkennbare Indizien für einen generellen Trend zur Personalisierung. / During electoral campaigns one can always hear key words like personalization, negativism and sensationalism. While these terms may represent the harsh reality of modern campaigns in the US, the results for Germany are rather ambiguous, according to prominent scientific studies. Following the chronology of the German 2005 election of the Bundestag, we tried to evaluate the presentation of candidate Angela Merkel, who ran for chancellor’s office, in the German quality press. Our main goal was the verification of a change in the way the papers presented Angela Merkel, hence possibly influencing the electorate. Furthermore, we tried to find proof of a general trend of personalization in Germany’s elections of 2005.

Wie beheimatet sich Menschen in einer Stadt fühlen, hängt davon ab, wie politisch eingebunden sie sich begreifen. Die Entstehung von Mitbestimmungsformen in Chemnitz verlief – wie in vielen anderen Städten – nicht reibungslos. Auch die Inhalte variierten über die Jahrhunderte: Wollten die Bürger bis zum Ende der mittelalterlichen Stadtverfassung Anfang des 19. Jahrhunderts vor allem über die Besteuerung, die Gerichtsbarkeit und elementare Sicherheitsfragen mitbestimmen, ging es bis 1919 um die Durchsetzung des allgemeinen Wahlrechts, das Frauen einschloss, um sozialen Ausgleich und die großen Infrastrukturprojekte der Gründerzeit. Nach Rückschritten in der Zeit des Nationalsozialismus und der DDR bekam Chemnitz mit der Gemeindeordnung Sachsens von 1994 eine freiheitliche Kommunalverfassung, die auch Raum für weitere Neuerungen lässt – wie etwa Einwohnerversammlungen in den Stadtvierteln. Zwischen mehr Mitbestimmung und effizienten Entscheidungen entsteht dabei ein gewisser Gegensatz. Dieses Bändchen bringt die Hintergründe einer aktuellen Debatte auf den Tisch. / Forms and content of political participation in Chemnitz

Es existiert eine Vielzahl an Web 2.0-Applikationen, welche es einer Gruppe von Personen ermöglichen, einen gemeinsamen Termin zu finden (z. B. doodle.com, moreganize.ch, whenisgood.net, agreeadate.com, meetomatic.com, etc.) Der Ablauf ist simpel: Ein Initiator legt eine Terminumfrage an und schickt den Link zu der Umfrage zu den potentiellen Teilnehmern. Nachdem jeder Teilnehmer der Anwendung seine Verfügbarkeiten mitgeteilt hat, kann anhand dieser Informationen ein Termin gefunden werden, der am besten passt. Maßnahmen um die Vertraulichkeit und Integrität der Daten zu schützen finden in allen bestehenden Applikationen zu wenig Beachtung. In dieser Dissertation wurde eine Web 2.0-Applikation entwickelt, welche es zulässt Terminabstimmungen zwischen mehreren Teilnehmern durchzuführen und dabei möglichst wenige Vertrauensannahmen über alle Beteiligten zu treffen.:1. Einleitung 1 2. Anforderungsanalyse 3 2.1. Begriffsdefinitionen/Primärfunktionalität . . . . . . . . . . . . . . . . . . . 3 2.2. Anforderungen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5 2.2.1. Benutzbarkeit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5 2.2.2. Mehrseitige Sicherheit . . . . . . . . . . . . . . . . . . . . . . . . . 10 2.2.3. Beziehungen der Anforderungen . . . . . . . . . . . . . . . . . . . . 13 3. Abstimmungsverfahren mit mindestens einer vertrauenswürdigen Entität 15 3.1. Existierende Verfahren mit vertrauenswürdigem Serveradministrator . . . 15 3.1.1. Ohne Zugriffskontrolle . . . . . . . . . . . . . . . . . . . . . . . . . 15 3.1.2. Schutz gegen außenstehende Angreifer . . . . . . . . . . . . . . . . 16 3.1.3. Schutz gegen angreifende Teilnehmer . . . . . . . . . . . . . . . . . 18 3.1.4. Schutz gegen den Netzwerkbetreiber . . . . . . . . . . . . . . . . . 20 3.1.5. Zusammenfassung . . . . . . . . . . . . . . . . . . . . . . . . . . . 20 3.2. Neue Verfahren mit vertrauenswürdigen Teilnehmern . . . . . . . . . . . . 20 3.2.1. Allen Teilnehmern vertrauen . . . . . . . . . . . . . . . . . . . . . 22 3.2.2. Nur dem Umfrageinitiator vertrauen . . . . . . . . . . . . . . . . . 23 3.2.3. Ausblick auf Schemata ohne vertrauenswürdige Entitäten . . . . . 25 3.2.4. Zusammenfassung . . . . . . . . . . . . . . . . . . . . . . . . . . . 26 4. Abstimmungsverfahren ohne vertrauenswürdige Entitäten 29 4.1. Existierende Verfahren . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29 4.1.1. E-Voting . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29 4.1.2. Verteilte Constraint-Optimierung . . . . . . . . . . . . . . . . . . . 33 4.1.3. Spezifische Terminplanungsprotokolle . . . . . . . . . . . . . . . . . 34 4.2. Einfaches Schema für protokolltreue Teilnehmer . . . . . . . . . . . . . . . 34 4.2.1. Umfrageerstellung . . . . . . . . . . . . . . . . . . . . . . . . . . . 34 4.2.2. Stimmenabgabe . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36 4.2.3. Ergebnisveröffentlichung . . . . . . . . . . . . . . . . . . . . . . . . 36 4.3. Erweiterung des Schemas auf protokollverletzende Angreifer innerhalb der Teilnehmer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36 4.3.1. Angriffe erkennen . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40 4.3.2. Angreifer identifizieren . . . . . . . . . . . . . . . . . . . . . . . . . 43 4.4. Evaluation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45 4.4.1. Integrität . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45 4.4.2. Verfügbarkeit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 53 4.4.3. Vertraulichkeit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 53 4.4.4. Blockierende Protokollrunden . . . . . . . . . . . . . . . . . . . . . 57 4.4.5. Reaktionszeit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 62 4.4.6. Installationsaufwand . . . . . . . . . . . . . . . . . . . . . . . . . . 64 4.4.7. Flexibilität . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 64 4.5. Erweiterungen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 64 4.5.1. Teilnehmer dynamisch hinzufügen/entfernen . . . . . . . . . . . . . 64 4.5.2. Präferenzwahl . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 66 4.5.3. Stimmenupdate . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 67 5. Implementierung 69 5.1. Verfahren mit vertrauenswürdigem Serveradministrator . . . . . . . . . . . 69 5.1.1. YATA – Yet Another Terminabstimmungsapplikation . . . . . . . . 69 5.1.2. Schutz gegenüber dem Netzwerkbetreiber . . . . . . . . . . . . . . 75 5.2. Verfahren ohne vertrauenswürdigem Serveradministrator . . . . . . . . . . 77 5.2.1. Symmetrische Verschlüsselung, symmetrische Authentifikation . . . 78 5.2.2. Symmetrische Verschlüsselung, digitale Signatur . . . . . . . . . . . 80 5.2.3. Asymmetrische Verschlüsselung an den Initiator . . . . . . . . . . . 81 5.2.4. Minimal benötigtes Vertrauen in alle Entitäten . . . . . . . . . . . 83 5.3. Kryptographie mit JavaScript . . . . . . . . . . . . . . . . . . . . . . . . . 88 5.3.1. Schlüsselspeicherung . . . . . . . . . . . . . . . . . . . . . . . . . . 88 5.3.2. Blockieren der JavaScript-Berechnungen vermeiden . . . . . . . . . 94 5.3.3. Performanceverbesserung der JavaScript-Berechnungen . . . . . . . 96 5.3.4. JavaScript-Code vertrauen . . . . . . . . . . . . . . . . . . . . . . . 97 6. Zusammenfassung und Ausblick 99 Literatur xvii A. Entropie eines Verfügbarkeitsvektors xxv A.1. Beispiel . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xxv A.2. Allgemeine Berechnung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xxv B. Stimmenabgabe (min. Vertrauen) xxvii C. Ergebnisveröffentlichung (min. Vertrauen) xxix D. Schlüsseltransportmechanismus 2 nach ISO/EIC 1170-3 xxxi / Applications which help users to schedule events are becoming more and more important. A drawback of most existing applications is, that the preferences of all participants are revealed to the others. We propose a schemes, which are able to schedule events in a privacy-enhanced way. In addition, Dudle, a Web 2.0 application is presented which implements these schemes.:1. Einleitung 1 2. Anforderungsanalyse 3 2.1. Begriffsdefinitionen/Primärfunktionalität . . . . . . . . . . . . . . . . . . . 3 2.2. Anforderungen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5 2.2.1. Benutzbarkeit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5 2.2.2. Mehrseitige Sicherheit . . . . . . . . . . . . . . . . . . . . . . . . . 10 2.2.3. Beziehungen der Anforderungen . . . . . . . . . . . . . . . . . . . . 13 3. Abstimmungsverfahren mit mindestens einer vertrauenswürdigen Entität 15 3.1. Existierende Verfahren mit vertrauenswürdigem Serveradministrator . . . 15 3.1.1. Ohne Zugriffskontrolle . . . . . . . . . . . . . . . . . . . . . . . . . 15 3.1.2. Schutz gegen außenstehende Angreifer . . . . . . . . . . . . . . . . 16 3.1.3. Schutz gegen angreifende Teilnehmer . . . . . . . . . . . . . . . . . 18 3.1.4. Schutz gegen den Netzwerkbetreiber . . . . . . . . . . . . . . . . . 20 3.1.5. Zusammenfassung . . . . . . . . . . . . . . . . . . . . . . . . . . . 20 3.2. Neue Verfahren mit vertrauenswürdigen Teilnehmern . . . . . . . . . . . . 20 3.2.1. Allen Teilnehmern vertrauen . . . . . . . . . . . . . . . . . . . . . 22 3.2.2. Nur dem Umfrageinitiator vertrauen . . . . . . . . . . . . . . . . . 23 3.2.3. Ausblick auf Schemata ohne vertrauenswürdige Entitäten . . . . . 25 3.2.4. Zusammenfassung . . . . . . . . . . . . . . . . . . . . . . . . . . . 26 4. Abstimmungsverfahren ohne vertrauenswürdige Entitäten 29 4.1. Existierende Verfahren . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29 4.1.1. E-Voting . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29 4.1.2. Verteilte Constraint-Optimierung . . . . . . . . . . . . . . . . . . . 33 4.1.3. Spezifische Terminplanungsprotokolle . . . . . . . . . . . . . . . . . 34 4.2. Einfaches Schema für protokolltreue Teilnehmer . . . . . . . . . . . . . . . 34 4.2.1. Umfrageerstellung . . . . . . . . . . . . . . . . . . . . . . . . . . . 34 4.2.2. Stimmenabgabe . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36 4.2.3. Ergebnisveröffentlichung . . . . . . . . . . . . . . . . . . . . . . . . 36 4.3. Erweiterung des Schemas auf protokollverletzende Angreifer innerhalb der Teilnehmer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36 4.3.1. Angriffe erkennen . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40 4.3.2. Angreifer identifizieren . . . . . . . . . . . . . . . . . . . . . . . . . 43 4.4. Evaluation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45 4.4.1. Integrität . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45 4.4.2. Verfügbarkeit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 53 4.4.3. Vertraulichkeit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 53 4.4.4. Blockierende Protokollrunden . . . . . . . . . . . . . . . . . . . . . 57 4.4.5. Reaktionszeit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 62 4.4.6. Installationsaufwand . . . . . . . . . . . . . . . . . . . . . . . . . . 64 4.4.7. Flexibilität . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 64 4.5. Erweiterungen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 64 4.5.1. Teilnehmer dynamisch hinzufügen/entfernen . . . . . . . . . . . . . 64 4.5.2. Präferenzwahl . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 66 4.5.3. Stimmenupdate . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 67 5. Implementierung 69 5.1. Verfahren mit vertrauenswürdigem Serveradministrator . . . . . . . . . . . 69 5.1.1. YATA – Yet Another Terminabstimmungsapplikation . . . . . . . . 69 5.1.2. Schutz gegenüber dem Netzwerkbetreiber . . . . . . . . . . . . . . 75 5.2. Verfahren ohne vertrauenswürdigem Serveradministrator . . . . . . . . . . 77 5.2.1. Symmetrische Verschlüsselung, symmetrische Authentifikation . . . 78 5.2.2. Symmetrische Verschlüsselung, digitale Signatur . . . . . . . . . . . 80 5.2.3. Asymmetrische Verschlüsselung an den Initiator . . . . . . . . . . . 81 5.2.4. Minimal benötigtes Vertrauen in alle Entitäten . . . . . . . . . . . 83 5.3. Kryptographie mit JavaScript . . . . . . . . . . . . . . . . . . . . . . . . . 88 5.3.1. Schlüsselspeicherung . . . . . . . . . . . . . . . . . . . . . . . . . . 88 5.3.2. Blockieren der JavaScript-Berechnungen vermeiden . . . . . . . . . 94 5.3.3. Performanceverbesserung der JavaScript-Berechnungen . . . . . . . 96 5.3.4. JavaScript-Code vertrauen . . . . . . . . . . . . . . . . . . . . . . . 97 6. Zusammenfassung und Ausblick 99 Literatur xvii A. Entropie eines Verfügbarkeitsvektors xxv A.1. Beispiel . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xxv A.2. Allgemeine Berechnung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xxv B. Stimmenabgabe (min. Vertrauen) xxvii C. Ergebnisveröffentlichung (min. Vertrauen) xxix D. Schlüsseltransportmechanismus 2 nach ISO/EIC 1170-3 xxxi

Background: Serotonin has been implicated in impulsive behaviours such as temporal discounting. While animal studies and theoretical approaches suggest that reduced tonic serotonin levels increase temporal discounting rates and vice versa, evidence from human studies is scarce and inconclusive. Furthermore, an important modulator of serotonin signalling, a genetic variation in the promoter region of the serotonin transporter gene (5-HTTLPR), has not been investigated for temporal discounting so far. Objective: First, the purpose of this study was to test for a significant association between 5-HTTLPR and temporal discounting. Second, we wished to investigate the effect of high/low tonic serotonin levels on intertemporal choice and blood oxygen-level-dependent response, controlling for 5-HTTLPR. Methods: We tested the association of 5-HTTLPR with temporal discounting rates using an intertemporal choice task in 611 individuals. We then manipulated tonic serotonin levels with acute tryptophan interventions (depletion, loading, balanced) in a subsample of 45 short (S)-allele and 45 long (L)/L-allele carriers in a randomised double-blind crossover design using functional magnetic resonance imaging and an intertemporal choice task. Results: Overall, we did not find any effect of serotonin and 5-HTTLPR on temporal discounting rates or the brain networks associated with valuation and cognitive control. Conclusion: Our findings indicate that serotonin may not be directly involved in choices including delays on longer timescales such as days, weeks or months. We speculate that serotonin plays a stronger role in dynamic intertemporal choice tasks where the delays are on a timescale of seconds and hence are therefore directly experienced during the experiment.

Objective. Research testing the concept of decision-making styles in specific contexts such as health care–related choices is missing. Therefore, we examine the contextuality of Scott and Bruce’s (1995) General Decision-Making Style Inventory with respect to patient choice situations. Methods. Scott and Bruce’s scale was adapted for use as a patient decision-making style inventory. In total, 388 German patients who underwent elective joint surgery responded to a questionnaire about their provider choice. Confirmatory factor analyses within 2 independent samples assessed factorial structure, reliability, and validity of the scale. Results. The final 4-dimensional, 13-item patient decision-making style inventory showed satisfactory psychometric properties. Data analyses supported reliability and construct validity. Besides the intuitive, dependent, and avoidant style, a new subdimension, called ‘‘comparative’’ decision-making style, emerged that originated from the rational dimension of the general model. Conclusions. This research provides evidence for the contextuality of decision-making style to specific choice situations. Using a limited set of indicators, this report proposes the patient decision-making style inventory as valid and feasible tool to assess patients’ decision propensities.

Das Internet und darauf aufbauende Infrastrukturen haben sich als zentrale Medien zum weltweiten Abruf und Austausch von Informationen etabliert. Im Zuge dessen ist das Internet ein wichtiges Werkzeug zur globalen Vernetzung von Aktivisten und Journalisten geworden, welche dieses zudem als Plattform zur Veröffentlichung von Rechercheergebnissen und Beweismaterial verwenden. Um den Zugang zu kompromittierenden oder als unerwünscht erachteten Informationen über das Internet zu unterbinden, haben jedoch Regierungen weltweit weitreichende technische Zensurmaßnahmen implementiert. Um diesen Maßnahmen entgegenzuwirken sind Betroffene darauf angewiesen, ihre digitale Kommunikation über Geräte von Drittanbietern zu leiten, welche sich außerhalb des Einflussbereichs des Zensors befinden und deren Rolle als Umgehungsknoten für den Zensor schwer zu detektieren ist. Eine vielversprechender Ansatz zur Realisierung solcher Gegenmaßnahmen sind Friend-to-Friend (F2F) Overlay-Netzwerke. Ähnlich zu Anonymisierungsnetzwerken wie Tor und AN.ON setzen sich F2F Overlays aus den Knoten von mehreren Betreibern zusammen, wodurch ein Single Point of Failure vermieden wird. Um gegen Unterwanderung zu schützen wird jedoch die Kommunikation zwischen den Knoten in F2F Overlays auf jene Paare beschränkt, deren Betreiber sich gegenseitig vertrauen. Folglich erfordert das Aufdecken der Knoten eines F2F Overlays die Identifizierung und Kompromittierung deren Betreiber durch den Zensor mit Hilfe von Social-Engineering-Methoden. Um Anwendungsfälle wie anonymes Blogging zu unterstützen, benötigen F2F Overlays ein Routing-Protokoll, welches Datenübertragungen zwischen Knoten ohne wechselseitig vertraute Betreiber ermöglicht. Aufgrund seiner hohen Effizienz und Ausfalltoleranz gilt Routing anhand von Rooted Spanning Tree (RST) Embeddings hierfür als besonders vielversprechender Kandidat. Dabei wählen die teilnehmenden Knoten zunächst einen Knoten als Wurzel und formen, ausgehend von diesem, einen virtuellen Wurzelbaum über das F2F Overlay. Anschließend wird jedem Knoten eine virtuelle Adresse zugewiesen, welche dessen Position in dem zuvor erzeugten Wurzelbaum eindeutig repräsentiert. In F2F Overlays muss davon ausgegangen werden, dass ein Zensor, welcher einen Teil der Knotenbetreiber kompromittieren konnte, mit Hilfe eigener Knoten aktive Angriffe auf das Routing durchführt, um die Verbreitung von Inhalten zu unterbinden. Bisherige Forschung zu Routing anhand von RST Embeddings konzentriert sich jedoch primär auf die Steigerung dessen Effizienz sowie der Verbesserung dessen Robustheit gegenüber permanenter Ausfälle. In dieser Arbeit werden bisher unbekannte Angriffe auf RST-Embedding-basierte Routing-Protokolle vorgestellt, welche von bösartigen F2F-Overlay-Teilnehmern mit geringem Aufwand durchgeführt werden können. Ergänzend stellen wir anschließend Maßnahmen vor, welche derartige Routing-Protokolle inhärent robuster gegen Fehlverhalten machen. Ein wesentlicher Einflussfaktor bezüglich der Effektivität der identifizierten Angriffe ist die Tatsache, ob der gewählte Wurzelknoten ein Knoten des Angreifers ist oder nicht. Während die von uns vorgestellten Schutzmaßnahmen die Auswirkung der Angriffe auch in dem Fall begrenzen, dass der Wurzelnoten sich bösartig verhält, so erfordert das Routing von Nachrichten dabei nichtsdestotrotz erhöhten Aufwand bei gleichzeitig reduzierter Erfolgswahrscheinlichkeit. Die Wurzelwahlverfahren bisheriger RST-Embedding-basierter Routing-Protokolle können in F2F Overlays jedoch nicht auf sichere Weise umgesetzt werden, so dass ein Angreifer mit geringem Aufwand erreichen kann, dass einer seiner Knoten als Wurzel gewählt wird. Während es in F2F Overlays allgemein nicht ausgeschlossen werden kann, dass ein bösartiger Knoten als Wurzel gewählt wird, so ist es dennoch erstrebenswert, die Wahrscheinlichkeit der Wahl eines nicht-bösartigen Knotens zu erhöhen. Da bisherige Verfahren zur sicheren, verteilten Wahl eines Knotens nicht effektiv in F2F Overlays umgesetzt werden können, wird in dieser Arbeit ein neues Wurzelwahlverfahren vorgestellt. Dieses basiert auf lokalen, randomisierten Mehrheitsentscheidungen, um einen Konsens auf einen einzelnen Knoten herbeizuführen. Ergänzend dazu werden Ergebnisse einer Simulationsstudie anhand realer sozialer Graphen vorgestellt, welche belegen, dass dieser Ansatz einer Unterwanderung widersteht, wenn der Angreifer eine geringe Anzahl von Teilnehmern kompromittieren konnte. Gleichzeitig legen die Ergebnisse der Studie nahe, dass dieses Verfahren auch in F2F Overlays mit zehntausenden von Knoten in kurzer Zeit eine Einigung auf einen gemeinsamen Wurzelknoten für den Großteil der Knoten erreicht. Zur Effizienzsteigerung leiten aktuelle RST-Embedding-basierte Routing-Protokolle die Addressen anhand von Breitensuchbäumen ab. Der Aufbau derartiger Bäume erfordert jedoch, dass jeder Knoten seinem Nachbarn die eigene Hop-Distanz zum Wurzelknoten mitteilt. Dabei können Angreiferknoten gezielt inkorrekte Distanzwerte versenden, um die Anzahl der gutartigen Knoten zu maximieren, welche diese als Elternknoten wählen und folglich von anschließenden Angriffen betroffen sind. Um derartige Angriffe zu unterbinden, wird in dieser Arbeit zudem ein verteilter, selbststabilisierender Algorithmus zum Aufbau von Breitensuchbäumen vorgestellt. Dieser verwendet kryptografische Signaturen in Kombination mit Zeitstempeln, um inkorrekte sowie veraltete Distanzwerte erkennbar zu machen. Die Nutzung von RST Embeddings birgt neben Angriffen auf deren Verfügbarkeit das Risiko, dass ein interner Angreifer Informationen über die Topologie des zugrundeliegenden Netzwerkes gewinnen kann. Im Kontext von F2F Overlays ist dies problematisch, da deren Struktur dem sozialen Netzwerk deren Teilnehmern entspricht. Erlangt ein Angreifer einen Schnappschuss der Topologie eines F2F Overlays oder eines Teils davon, so kann er diesen mit der Topologie anderer sozialer Netzwerkgraphen abgleichen, um bisher unbekannte Teilnehmer aufzudecken. Das konkrete Ausmaß, in dem RST Embeddings sowie das darauf aufbauende Routing Rückschlüsse über die Topologie des Netzwerkes zulassen wurde bisher jedoch nicht untersucht. Der vierte Beitrag dieser Dissertation besteht daher aus einer detaillierten Analyse bezüglich der konkreten Informationen, welche ein interner Angreifer anhand der durch RST-Embedding-basierte Routing-Protokolle propagierten Daten gewinnen kann. / Today, the Internet plays a vital role in enabling activists and journalists to collaborate and to publish critical information on a global scale. As a consequence, governments around the globe have implemented technical censorship measures to keep citizens from accessing content that is deemed inappropriate or compromising. To address such censorship measures, a circumvention infrastructure is needed that allows affected individuals to route their online communication through third-party servers that are outside of the censor’s influence and whose use for circumvention is difficult to detect for the censor. A promising substrate to realize such an infrastructure are Friend-to-Friend (F2F) overlay networks. Similar to anonymization networks like Tor and AN.ON, F2F overlay nodes may be operated by different individuals, thus avoiding a single point of failure. To protect against infiltration, F2F overlays additionally restrict communication between participating devices to those pairs whose operators mutually trust each other. Thus, censors need to perform social engineering in order to discover operators and their nodes. To realize use cases that require communication between nodes of participants without mutual trust, such as distributed and redundant content storage or anonymous blogging, F2F overlays require a routing protocol suitable for large, dynamic networks. Among the current research on routing protocols for F2F overlays, routing based on rooted spanning tree (RST) embeddings emerged as the most promising candidate due to its high efficiency and fault tolerance. In this approach, nodes collaboratively determine a rooted spanning tree over the overlay topology and, starting from the elected root node, assign each node a virtual address that encodes its unique position in the tree. Given that a censor may compromise a fraction of the participants of an F2F overlay, it is likely that the censor will use nodes under their control to actively attack the routing protocol in order to disrupt communication. However, existing research on RST embeddings concentrates on their efficient implementation as well as resilience to permanent faults, thus leaving open in which ways such routing protocols can be attacked. Towards this end, this thesis presents previously unknown attacks that malicious participants of an F2F overlay can easily perform against state-of-the-art routing protocols. As these attacks cannot be reliably attributed to malicious nodes, we propose countermeasures that improve the inherent resilience of such protocols against misbehaving nodes. A fundamental risk that cannot completely be avoided in F2F overlays is that a malicious node may be chosen as the root node of the embedding, giving it a particularly strong position for attacks. While our proposed countermeasures limit the impact of malicious root behavior, routing in such a scenario nonetheless comes at the cost of increased routing overhead and an increased chance of routing failure. Since existing routing protocols based on RST embeddings employ insecure root election schemes, it is desirable to increase the likelihood that a benign node is chosen as root. Because existing secure protocols for node election cannot be used effectively in F2F overlays, we propose a novel root election protocol that leverages local voting algorithms to reach consensus on a single node. Simulations on real-world social graphs show that in F2F overlays, the protocol is able to reach consensus among a large fraction of nodes quickly and, in contrast to election protocols used by state-of-the-art routing algorithms, resists compromise by malicious nodes. To improve efficiency, state-of-the-art protocols embed breadth-first-search (BFS) trees for address assignment, whose formation relies on the truthful reporting of hop distances. In the presence of a benign root node, malicious nodes may deliberately propagate incorrect distance values to maximize the number of benign nodes that choose them as parent, thus increasing the impact of subsequent attacks. To defend against such misbehavior, we furthermore propose a self-stabilizing BFS formation algorithm that leverages cryptographic signatures to make incorrectly reported distances detectable. Additional to the risk of attacks aiming at the disruption of communication, RST embeddings and the routing based on them inherently leaks information about the topology of the underlying network to its participants. Such leakage is problematic in F2F overlays, as topology snapshots can be linked with graph data from further sources in order to identify participants. However, the concrete inferences malicious participants can make from the routing control data propagated by state-of-the-art protocols has not been investigated so far. The fourth contribution of this thesis therefore lies in the analysis of which information about the topology of an F2F overlay malicious participants can infer from the control data propagated by RST embedding algorithms as well as the resulting routing of messages.