Angesichts zunehmender \u00dcberwachung der Kommunikation durch den Staat, global agierender Cyber-Krimineller und der voranschreitenden Vernetzung selbst banalster Ger\u00e4te stellt sich die Frage, ob die Kommunikation noch sicher zu gestalten ist und die Gesellschaft sich mit zunehmender Beobachtung und die Absicherung gegen wirtschaftlichen Schaden der Versicherungsbranche \u00fcberl\u00e4sst. <\/p>\n
Dabei ist die Fragestellung zentral, warum es PGP und X.509-Zertifikate nicht geschafft haben, von der breiten Masse der Anwender verwendet zu werden, obwohl die L\u00f6sungen grunds\u00e4tzlich von jedem Menschen als sinnvoll erachtet und teilweise kostenlos zur Verf\u00fcgung gestellt werden.<\/span><\/p>\n Wir pr\u00e4sentieren hier ein Modell, das eine weitestgehend sichere Kommunikation erm\u00f6glicht und welches derart massentauglich ist, dass eine regelrechte Bewegung ausgel\u00f6st werden kann. Dazu bedarf es einer offenen Diskussion. Dieser Artikel wird daher \u201eleben\u201c und damit \u00fcber die Zeit einige Ver\u00e4nderungen und Anpassungen erfahren.<\/span><\/p>\n Dazu muss man wissen, dass jedwede Diskussion \u00fcber Datenverschl\u00fcsselung und Verschl\u00fcsselungsalgorithmen immer auf \u201eunterirdischem Niveau\u201c gef\u00fchrt wird und dass es eine \u00fcberw\u00e4ltigende Anzahl an Zeitgenossen nur auf das Zerlegen jeglicher Argumente abgesehen hat.<\/span><\/p>\n Im Ergebnis bleibt es dann beim heutigen Stand: elektronische Kommunikation zwischen Menschen zu mehr als 99% im Klartext \u2013 und das in einer Zeit, in der so mancher Jugendliche mit einem Smartphone in der Hand geboren worden zu sein scheint.<\/span><\/p>\n Jeder ist sich dar\u00fcber im Klaren, dass man seine Wohnung oder sein Auto abschlie\u00dfen muss, um es Dieben nicht zu einfach zu machen. W\u00e4hrend im t\u00e4glichen Leben jeder einen gewissen Aufwand treibt, sich und sein Eigentum zu sch\u00fctzen, scheint auf dem Gebiet der elektronischen Kommunikation die Erwartung vorzuherrschen, Sicherheit sei zum Nulltarif zu haben und man brauche als Nutzer nichts zu tun. DAS IST EIN IRRTUM!! Auch als Nutzer elektronischer Medien ist man gehalten, ein Minimum an eigenem Aufwand f\u00fcr den eigenen Schutz zu treiben. Wer dazu nicht bereit ist, dem geb\u00fchrt auch kein Mitleid, wenn Kriminelle ihn ausnehmen.<\/span><\/p>\n Vielfach h\u00f6rt man \u201edie Sache ist so kompliziert, dass man sie nicht versteht\u201c. Das stimmt nicht. Es gibt viele Leute, die regelm\u00e4\u00dfig zu Selbstverteidigungskursen gehen, um sich gegen b\u00f6se Wichte zu sch\u00fctzen. Effektive Selbstverteidigung ist wesentlich komplizierter als viele elektronische Schutzma\u00dfnahmen. \u201eZu kompliziert\u201c ist lediglich eine Ausrede, die eigene Tr\u00e4gheit zu verstecken.<\/span><\/p>\n Auch hei\u00dft es oft \u201eich habe nichts zu verbergen\u201c. Da sollten Sie nicht zu sicher sein! Was gestern noch lustig und harmlos erschien, hat so manchen den Job oder den Partner gekostet oder nach Drehen des politischen Windes einen kostenlosen Aufenthalt in gesiebter Luft nach sich gezogen. Man hat vor seinen Angeh\u00f6rigen vielleicht nichts zu verbergen, aber sicherlich vor Menschen, die man nicht pers\u00f6nlich kennt.<\/span><\/p>\n Vor der Technik wirft man sinnvollerweise einen Blick auf die gesellschaftspolitischen Rahmenbedingungen. Geschichte wiederholt sich \u00f6fter als man denkt. Kurz nach dem 2. Weltkrieg war das Briefgeheimnis aus gutem Grund ein unver<\/span>zichtbarer Bestandteil jeder ernst zu nehmenden Verfassung.<\/span><\/span><\/p>\n Artikel 10 des Grundgesetzes garantiert das Briefgeheimnis. Beschlagnahmte Briefe d\u00fcrfen grunds\u00e4tzlich nicht durch Polizei oder Staatsanwalt ge\u00f6ffnet werden, sondern nur durch einen Richter. Als verschlossene Sendung gilt \u00fcbrigens auch die Postkarte.<\/span><\/span><\/p>\n 1949 lautete der Artikel 10 des Grundgesetzes: \u201eDas Briefgeheimnis sowie das Post- und Fernmeldegeheimnis sind unverletzlich. Beschr\u00e4nkungen d\u00fcrfen nur auf Grund eines Gesetzes angeordnet werden.\u201c<\/span><\/span><\/p>\n Der zweite Satz wurde freudig zum Anlass genommen, am Grundrecht wie mit einer Kettens\u00e4ge zu modellieren. Seit 1968, als Teil der Notstandsgesetze, lautet Art. 10 GG:<\/span><\/span><\/p>\n \u201e (1) Das Briefgeheimnis sowie das Post- und Fernmeldegeheimnis sind unverletzlich.<\/span><\/span><\/p>\n (2) Beschr\u00e4nkungen d\u00fcrfen nur auf Grund eines Gesetzes angeordnet werden. Dient die Beschr\u00e4nkung dem Schutze der freiheitlichen demokratischen Grundordnung oder des Bestandes oder der Sicherung des Bundes oder eines Landes, so kann das Gesetz bestimmen, da\u00df sie dem Betroffenen nicht mitgeteilt wird und da\u00df an die Stelle des Rechtsweges die Nachpr\u00fcfung durch von der Volksvertretung bestellte Organe und Hilfsorgane tritt.\u201c<\/span><\/span><\/p>\n Laut [1] wurden im Jahr 2010 alleine durch deutsche Geheimdienste 37 Millionen E-Mails und Verbindungsdaten analysiert. Die \u201eNachpr\u00fcfung durch von der Volksvertretung bestellte Organe und Hilfsorgane\u201c ist offensichtlich nicht gew\u00e4hrleistet.<\/span><\/span><\/p>\n Mit der NSA ist zudem ein Ableger des U.S.-Verteidigungsministeriums mit der systematischen Generierung von Profilen \u00fcber die gesamte Menschheit betraut. Diese Organisation muss sich nicht an die europ\u00e4ische oder deutsche Gesetzgebung halten. Sie hatte im Gegenteil in der Vergangenheit sogar Schwierigkeiten, sich an die Gesetze des eigenen Landes zu halten. Die Geheimdienste anderer Staaten werden logischerweise analog zur NSA verfahren.<\/span><\/span><\/p>\n Offensichtlich verf\u00fcgen Privatpersonen und Firmen \u00fcber Informationen, die relevant f\u00fcr das Verteidigungsministerium der USA und anderer L\u00e4nder sind (JA, SIE LESEN RICHTIG! ES IST DAS MILIT\u00c4R), obgleich eine Vielzahl versendeter Nachrichten auf vorteilhafte Weise als \u201ebanal\u201c charakterisiert werden kann.<\/span><\/span><\/p>\n Der j\u00fcngeren Leserschaft ist mittlerweile sogar der Schutz der Privatsp\u00e4re fremd. Worte wie \u201edas Briefgeheimnis sowie das Post- und Fernmeldegeheimnis sind unverletzlich\u201c rufen heute Verwunderung und Unglaube hervor, wenngleich diese Erkenntnis aus den bittersten Erfahrungen mehrerer Generationen gewonnen wurde.<\/span><\/span><\/p>\n Es ist rechtlich einwandfrei f\u00fcr EU-B\u00fcrger und f\u00fcr in der EU ans\u00e4ssige Firmen, ihre Kommunikation gegen das massenhaftes Abh\u00f6ren zu sichern und das wird, vorbehaltlich grundlegender politischer Verwerfungen, auch so bleiben.<\/span><\/span><\/p>\n Sicher kommunizieren kann man auf elektronischem Wege nur, wenn man die Nachrichten verschl\u00fcsselt und zudem wei\u00df, dass man mit dem richtigen Partner kommunziert. Zwar lassen sich auch aus vielen nicht oder nur schwer verschleierbaren Daten wie Verbindungen oder Standorten erhebliche Informationsgewinne erzielen, aber die wesentlichen sch\u00e4dlichen Auswirkungen des Aussp\u00e4hens lassen sich durch Verschl\u00fcsselung weitestgehend beseitigen. Trotz aller in den Medien berichteten bedenklichen F\u00e4llen bleibt jedoch bislang die breite Reaktion der Gesellschaft aus. Verschl\u00fcsselt werden zwar zunehmend Webseiten, aber fast alle anderen Bereiche tauschen Daten unverschl\u00fcsselt aus.<\/span><\/span><\/p>\n Au\u00dfer den emotionalen Einfl\u00fcssen arbeiten auch konzeptionelle Probleme am fehlenden Sicherheitsbewusstsein mit, sind wom\u00f6glich sogar der gr\u00f6\u00dfere Hemmschuh, den es zu \u00fcberwinden gilt. Es gibt heute gute L\u00f6sungen zur Verschl\u00fcsselung von Nachrichten jedweder Art. Offenbar hat sich jedoch keine davon als massentauglich erwiesen.<\/span><\/span><\/p>\n X.509-Zertifikate zum Beispiel: Salopp ausgedr\u00fcckt sollen die Leute Zertifikaten vertrauen, weil irgendjemand, den sie auch nicht kennen und schon gar nicht vertrauen, diese signiert hat (eine Signatur ist ein nicht f\u00e4lschbarer Zusatz, der die Echtheit der Daten best\u00e4tigen soll; im klassischen Sinn ein Dienstsiegel mit Unterschrift, aber eben elektronisch). Obwohl immer wieder vorgeschoben, ist mit Zertifikaten i.d.R. auch keine Rechtssicherheit verbunden. Nicht alle Ausste<\/span>ller erf\u00fcllen die Voraussetzungen des Signaturgesetzes aus dem Jahre 2001, und l\u00e4ngst nicht alle Zertifikate dieser Aussteller fallen in diese Kategorie. Au\u00dferdem ist das Verfahren kostspielig: wenn man selbst eine Webseite betreibt, sind die Kosten des Zertifikats nicht selten so hoch wie die f\u00fcr den Webhoster, und das f\u00fcr Nichtstun. Diese Lizenz zum Gelddrucken, an dem alle gro\u00dfen Unternehmen irgendwie beteiligt sind, zusammen mit dem aufw\u00e4ndigen Drumherum schr\u00e4nkt den Nutzerkreis auf Serverbetreiber ein; Privatpersonen halten sich \u2013 mit Recht und nicht aus Tr\u00e4gheit, kann man vermerken \u2013 fern. Die neuen Personalausweise mit Chip w\u00e4ren eine M\u00f6glichkeit gewesen, das Problem aus der Welt zu schaffen. Die Regierung h\u00e4tte durchaus einen Coup landen k\u00f6nnen. Es zeigt sich wieder einmal, dass der Anwender letztlich f\u00fcr seine eigene Sicherheit verantwortlich ist. <\/span><\/span><\/span><\/p>\n Das Konzept ist somit durchaus zum Absichern von Betriebssystemen und verschl\u00fcsseltem Websurfen auf kommerziellen Seiten geeignet und dort auch erfolgreich im Einsatz, kann jedoch prinzipbedingt nirgends sonst punkten. Vertrauen im Bereich der E-Mails ist hingegen v\u00f6llig sinnlos, weil lediglich der Verkehr zwischen privatem Rechner und dem Server verschl\u00fcsselt wird und an zentraler Stelle immer mitgelesen werden kann \u2013 und zwar massenhaft, und im Bereich der Streaminganwendungen (Telefonie, Chats, usw) tut sich mehr oder weniger nichts, wenn auch einige Anbieter inzwischen propriet\u00e4re L\u00f6sungen anbieten (WhatsApp, Telegram, Threema, usw.). <\/span><\/span><\/p>\n PGP verfolgt einen grundlegend massentauglicheren Ansatz: Anwender erzeugen sich ihre Schl\u00fcsselpaare einfach selbst. Man beh\u00e4lt dabei den privaten Teil der Schl\u00fcssels f\u00fcr sich und sch\u00fctzt ihn m\u00f6glichst vor Diebstahl. Der \u00f6ffentliche Teil der Schl\u00fcssels kann beliebig unter Freunden, Bekannten oder sogar \u201eNicht-Freunden\u201c herumgereicht werden. Jeder, der den \u00f6ffentlichen Schl\u00fcssel eines Anwenders \u201eBob\u201c kennt, kann Bob eine verschl\u00fcsselte Nachricht schicken. Nur Bob kann diese entschl\u00fcssen. Bob kann verschl\u00fcsselt antworten, sodass nur die beiden Kommunikationspartner die Daten entschl\u00fcsseln k\u00f6nnen. Ein wirklich tolles Prinzip!<\/span><\/span><\/span><\/p>\n Um die in den 1990-ziger Jahren in den USA geltenden Exportbeschr\u00e4nkung zu umgehen, wurde der Quellcode 1995 in dem Buch \u201ePGP Source Code and Internals\u201c vom Autor Phil Zimmermann ver\u00f6ffentlicht. Als man ihm den Prozess machen wollte, wurde schnell klar, dass die Beh\u00f6rden das Verfahren nicht knacken konnten, wodurch PGP zum Erfolg wurde. Seitdem wendet man in den USA die sehr erfolgreiche Methode des \u201eBashing\u201c, um neue Verschl\u00fcsselungsverfahren in Grund und Boden zu \u201ediskutieren\u201c.<\/span><\/span><\/p>\n J\u00fcrgen Schmidt von heise.de charakterisiert den Zustand von PGP in [3] in diesem Sinne besonders unzutreffend: \u201e… <\/i>PGP ist technisch veraltet, schon auf PCs schwer zu bedienen und auf Smartphones ein nahezu hoffnungsloser Fall. Allein die Existenz dieses Dinosauriers blockiert die Entwicklung neuer, innovativer E-Mail-Verschl\u00fcsselungstechniken.<\/i><\/span><\/span><\/p>\n Das zentrale Problem aller Verschl\u00fcsselungskonzepte – die Verwaltung der Schl\u00fcssel – schiebt PGP komplett auf den Anwender ab. Er muss sich nicht nur um seine eigenen Schl\u00fcssel k\u00fcmmern, sondern sogar um die aller Leute, denen er Mails schicken will. Das Resultat: Mehr als die H\u00e4lfte der PGP-verschl\u00fcsselten Mails, die mich in den letzten Monaten erreichten, kann ich nicht lesen. Irgendwer kann sie entschl\u00fcsseln – aber nicht ich. Sie wurden n\u00e4mlich mit gef\u00e4lschten Schl\u00fcsseln erstellt, die irgendein Scherzkeks auf meinen Namen ausgestellt und auf die Key-Server geladen hat… <\/i><\/span><\/span><\/p>\n Wie gute Ende-zu-Ende-Verschl\u00fcsselung heute aussehen muss, demonstriert Apple mit iMessage: Millionen von iPhone-Besitzern wissen nicht einmal, dass sie ihre Kurznachrichten verschl\u00fcsseln. Das Chat-Programm TextSecure zeigt, wie man das in Bezug auf Offenheit und Sicherheit noch verbessern kann und dass es keinen Multi-Milliarden-Dollar-Konzern braucht, um das umzusetzen.<\/i><\/span><\/span><\/p>\n Wir brauchen auch f\u00fcr E-Mail solche massentauglichen Verschl\u00fcsselungssysteme. Doch statt weiter zu versuchen, den lahmenden Dinosaurier PGP aufzup\u00e4ppeln, sollte man ihn lieber aussterben lassen. Das schafft Raum f\u00fcr Neues – es ist h\u00f6chste Zeit, die Arbeit an zeitgem\u00e4\u00dfen Nachfolgern aufzunehmen.\u201c<\/i><\/span><\/span><\/p>\n Schmidt hat Recht \u2013 und wieder auch nicht. PGP als solches ist nicht technisch veraltet, im Gegenteil. Sein Einsatzspektrum ist aber auf Datenverschl\u00fcsselung wie beispielsweise in E-Mails beschr\u00e4nkt und umfasst keine Stromverschl\u00fcsselung wie in Telefonaten oder Messenger-Anwendungen. PGP ist schwer zu bedienen, ja, aber nur, weil sich insbesondere ein de facto Monopolist aus den USA sich standhaft weigert, die Schnittstellen sinnvoll zu unterst\u00fctzen (wir erw\u00e4hnten schon die Verstrickung in das gewinntr\u00e4chtigere X.509-Gesch\u00e4ft; es werden selbst freie X.509-Versionen blockiert, auf die auch Privatleute aufspringen k\u00f6nnten, weil der Kostenfaktor entf\u00e4llt). PGP \u00fcberl\u00e4sst die Schl\u00fcsselverwaltung dem Anwender \u2013 wie wir noch nachweisen werden, eine sehr sinnvolle Strategie f\u00fcr eine allgemeine Sicherheit, die lediglich modernisiert werden m\u00fcsste. PGP kann zwar die Gesamtbed\u00fcrfnisse nicht erf\u00fcllen, aber die T\u00fcr von einem zumindest f\u00fcr E-Mails sehr brauchbaren Verfahren, das relativ leicht massentauglich aufger\u00fcstet werden k\u00f6nnte, zuzuschlagen bedeutet nichts anderes, als die T\u00fcr f\u00fcr die Massen zuzuschlagen, zumal die anderen von Schmidt erw\u00e4hnten Verfahren nicht in der Lage sind, die L\u00fccke zu f\u00fcllen.<\/span><\/span><\/p>\n Gesucht wird ein massentaugliches Verschl\u00fcsselungssystem. Nur f\u00fcr E-Mails und Websites wird das heute nicht mehr ausreichen, auch Telefonie, Streaming und Messenger-Dienste m\u00fcssen enthalten sein. Chat k\u00f6nnte eine ausbauf\u00e4hige Basis sein. Quelloffen muss die API auf jeden Fall sein. Die eierlegende Wollmilchsau kann es jedoch nicht sein. Perfekte Sicherheit und einfachste Bedienung auf m\u00f6glicherweise von Trojanern verseuchten Endger\u00e4ten schlie\u00dfen sich jedenfalls gegenseitig aus.<\/span><\/span><\/p>\n Nach nahezu 20 Jahren intensiver Erfahrungen mit der Diskussion \u00fcber Datenverschl\u00fcsselung und Verschl\u00fcsselungsalgorithmen lassen sich eine Reihe ern\u00fcchternder Erkenntnisse festhalten:<\/span><\/span><\/p>\n \u00d6ffentliche Diskussionen und Diskussionen zwischen Experten werden IMMER auf \u201eunterirdischem Niveau\u201c gef\u00fchrt<\/span><\/span><\/p>\n<\/li>\n 99% der Beitr\u00e4ge haben ausschlie\u00dflich das Zerlegen jeglicher Argumente zum Ziel<\/span><\/span><\/p>\n<\/li>\n L\u00f6sungen sind grunds\u00e4tzlich \u201eSnakeoil\u201c (betr\u00fcgerische Machenschaften)<\/span><\/span><\/p>\n<\/li>\n Es bleibt (au\u00dfer nat\u00fcrlich bei den Angreifern, die irgendwie immer \u00fcber die neueste Technik verf\u00fcgen) alles wie gehabt: Heute wird \u2013 wie vor 20, 40 oder 60 Jahren immer noch mehr als 99% der elektronischen Kommunikation zwischen Menschen im Klartext abgewickelt.<\/span><\/span><\/p>\n<\/li>\n<\/ul>\n<\/ul>\n Die \u00e4u\u00dferst w\u00fcnschenswerte Diskussion \u00fcber ein massentaugliches Verschl\u00fcsselungssystem wird unvermeidbar auf die \u00fcbelste Art und Weise torpediert werden. \u00dcblicherweise treten Personen wie Bruce Schneier erst dann auf, wenn etwas Unerw\u00fcnschtes zum Mainstream wird. Viele Menschen wissen nicht dass Schneier beim U.S. Verteidigungsministerium (DoD) gearbeitet hat, dem die NSA untersteht. Bei wikipedia.org kann man seit einigen Jahren nat\u00fcrlich nichts mehr dr\u00fcber nachlesen. Nicht nur seit Isaac Newton wei\u00df man dass der Apfel – aus welchem Grund auch immer – nicht weit vom Stamm f\u00e4llt.<\/span><\/span><\/p>\n Die Abwehr b\u00f6swilliger Kommentare ist bei Verschl\u00fcsselungsprojekten erfahrungsgem\u00e4\u00df eine zeitintensive, jedoch notwendige Arbeit. Alleine schon deshalb ist es erforderlich, sich zu organisieren.<\/span><\/span><\/p>\n Aus den meisten Kommentaren lassen sich jedoch fast immer verwertbare Erkenntnisse gewinnen, so auch aus den Kommentaren zum obigen Artikel:<\/span><\/span><\/p>\n \u201eDie einzige Instanz, die an Privatsph\u00e4re interessiert ist, ist die Person, um deren Privatssph\u00e4re es geht und deshalb geh\u00f6rt auch da die Schl\u00fcsselverwaltung hin. Die im Artikel beschriebenen Probleme sind einfach zu umgehen, in dem Sie die Schl\u00fcsselserver au\u00dfen vorlassen und Ihren Nachrichten standardm\u00e4\u00dfig einfach Ihren \u00f6ffentlichen Schl\u00fcssel anh\u00e4ngen und das Ganze signieren.<\/i>\u201c<\/i><\/span><\/span><\/p>\n \u201eWenn man erfolgreiche und beliebte Software analysiert, wird man folgende Aspekte festellen:<\/i><\/span><\/span><\/p>\n 1. Software muss einfach sein! …<\/i><\/span><\/span><\/p>\n 2. Jeder sollte Software bedienen k\u00f6nnen! Flache Lernkurve! Software dient nicht dem Selbstzweck eine Technik umzusetzen. Sie dient dazu benutzt zu werden.<\/i><\/span><\/span><\/p>\n 3. Technik muss in den Hintergrund! …“?<\/span><\/i><\/span><\/span><\/p>\n 4. Gute Softwarentwickler m\u00fcssen sich auch Gedanken \u00fcber den Benutzer machen und nicht nur um technische Aspekte. …\u201c<\/i><\/span><\/span><\/p>\n \u201eSinnvoll ist eine M\u00f6glichkeit, sich die Public Keys direkt beim Adressaten abzuholen, und das k\u00f6nnten die Mailer unauff\u00e4llig im Hintergrund abwickeln. Im schlimmsten Fall dauert es einen Tag l\u00e4nger, bis die Mail da ist, das ist aber auch alles. Im Vergleich zur Flaschenpost fr\u00fcherer Zeiten immer noch schnell genug.\u201c<\/i><\/span><\/span><\/p>\n Zweifelsfrei hat sich die aktuell verf\u00fcgbare Verschl\u00fcsselungssoftware nicht durchgesetzt und sogar den breiten Einsatz von Datenverschl\u00fcsselung verhindert. Einige der Schw\u00e4chen sind jedoch durchaus erkannt worden und die Dinge scheinen l\u00f6sbar zu sein. Ein aktuelles Beispiel zeigt sogar dass sie l\u00f6sbar sind:<\/span><\/span><\/p>\n Wenngleich es Telekommunikationsanbietern in Europa verboten ist, Ende-zu-Ende zu verschl\u00fcsseln, bietet seit kurzem der bekannte Dienst WhatsApp genau dies an (wir beschr\u00e4nken die Diskussion hier auf WhatsApp, weil es der gr\u00f6\u00dfte und bekannteste Dienst ist. Telegram, Threema und andere bieten die End-2-End-Verschl\u00fcsselung schon l\u00e4nger an, Threema sogar im Gruppenmodus, was die anderen Anbieter noch nicht angedacht haben. WhatsApp als Begriff in diesem Paper kann daher jederzeit mit einem der anderen Systeme ausgetauscht werden). In einem neueren Beitrag des gleichen Redakteurs (J\u00fcrgen Schmidt) [4] steht zu lesen:<\/span><\/span><\/p>\n \u201eVerschl\u00fcsselung f\u00fcr die Massen: WhatsApp wird mit einem Schlag zum meistgenutzten Krypto-Messenger. Jetzt m\u00fcssen wir zeigen, dass uns Privatsph\u00e4re wichtig ist: „Ohne Ende-zu-Ende-Verschl\u00fcsselung machen wir es nicht mehr“, fordert J\u00fcrgen Schmidt.<\/i><\/span><\/span><\/p>\n WhatsApp bringt uns funktionierende Ende-zu-Ende-Verschl\u00fcsselung, die auf technisch h\u00f6chstem Niveau arbeitet und dabei nicht einmal weh tut. Man muss nichts zus\u00e4tzlich installieren, keine Schl\u00fcssel erzeugen, zertifizieren oder herunterladen \u2013 es funktioniert einfach.<\/i><\/span><\/span><\/p>\n Wenn ich meiner Freundin eine WhatsApp-Nachricht schicke, wird die selbst WhatsApp nicht mehr lesen und auch nicht speichern k\u00f6nnen. Wenn das BKA oder FBI bei WhatsApp vorbei kommt und sagt: „Wir wollen jetzt die Nachrichten des J\u00fcrgen Schmidt der letzten Jahre haben“, kann WhatsApp nur mit den Schultern zucken: „Haben wir nicht, bekommen wir auch nicht mehr rein.“ …\u201c<\/span><\/i><\/span><\/span><\/p>\n Ob Anfragen durch Beh\u00f6rden tats\u00e4chlich wie in dem (vermutlich nicht sonderlich ernst gemeinten) Szenarium abgefr\u00fchst\u00fcckt werden, bleibt abzuwarten.<\/span><\/span><\/p>\n Es ist jedoch tats\u00e4chlich technisch m\u00f6glich, dass Massen von Menschen abh\u00f6rsicher kommunizieren k\u00f6nnen und dabei noch nicht einmal von der Verschl\u00fcsselungsmaschinerie Kenntnis haben. Wesentlich ist dabei der Begriff Ende-zu-Ende- oder end-2-end-Verschl\u00fcsselung, d.h. die Nachricht wird bei Erzeuger verschl\u00fcsselt und erst beim Konsumenten wieder entschl\u00fcsselt, dazwischen aber nicht (!).<\/span><\/span><\/p>\n Bissige, wenn auch ernst zu nehmende Kommentare auf den Beitrag [4], haben beispielsweise diesen Inhalt:<\/span><\/span><\/p>\n \u201e– Nicht jeder nutzt Facebook\/WhatsApp. An manchen Stellen (Schulen, Beh\u00f6rden) ist eine Nutzung geradezu verboten.<\/i><\/span><\/span><\/p>\n – Die WhatsApp Software schn\u00fcffelt noch genau so in meiner Privatsph\u00e4re herum wie zuvor. Meine Kontakte und Bilder werden gelesen und abgeglichen.<\/i><\/span><\/span><\/p>\n – Steht in den Nutzungsbestimmungen immer noch, dass die WhatsApp Software mein Mikrofon nutzen darf wann immer sie „will“? Dann ist diese Software sowieso schon unten durch und die Nutzung in vielen Szenarien (Praxen, Beh\u00f6rden, …) illegal.<\/span><\/i><\/span><\/span><\/p>\n – Die ach so tolle Verschl\u00fcsselung ist Closed Source. Keiner wei\u00df wer wirklich mitlesen kann. Wo ist der private key? Viele Fragen sind offen, ganz im Unterschied zu richtigen Messengern, die ordentlich verschl\u00fcsseln.\u201c<\/i><\/span><\/span><\/p>\n Abgesehen vom Closed Source-Vorwurf wird hier eine weitere Baustelle angesprochen, ohne dass die Kommentatoren das bemerken, und diese hat gar nichts mit Verschl\u00fcsselung zu tun. Ein Problem ist n\u00e4mlich das weiterhin unzureichende Rechtemanagement der Betriebssysteme, das gar keine andere M\u00f6glichkeit l\u00e4sst, den Anwendungen Rechte an Systemressourcen zu geben, die sie zum Teil gar nicht ben\u00f6tigen. Die Windows-Welt k\u00fcmmert sich selbst in den neuesten Versionen nicht oder nur marginal um eine Rechteverwaltung aus Sicht der Nutzerinteressen, und selbst Linux tut sich schwer, Nutzerfreundlichkeit mit funktionierenden Anwendungen zu vereinbaren und wird durch Ableger wir Android eher stark aufgeweicht als verbessert. Eine eigenartige Geisteswelt spiegeln die Kommentare allerdings doch wider: man misstraut den Verschl\u00fcsslern, dass sie gesicherte Nachrichten doch verraten k\u00f6nnten, denkt sich aber nichts dabei, die Nachrichten gleich ganz unverschl\u00fcsselt zu senden.<\/span><\/span><\/p>\n Die hohe politische Brisanz des Themas wird in [5] deutlich:<\/span><\/span><\/p>\n \u201eWarum WhatsApps neueste Funktion Terroristen gelegen kommen d\u00fcrfte …<\/i><\/span><\/span><\/p>\n WhatsApp ist jetzt komplett verschl\u00fcsselt.<\/i><\/span><\/span><\/p>\n<\/li>\n Experten loben das System als sehr sicher.<\/i><\/span><\/span><\/p>\n<\/li>\n F\u00fcr Ermittler erschwert das die Arbeit weiterhin.<\/i><\/span><\/span><\/p>\n<\/li>\n<\/ul>\n \u2026 \u201eDie Verschl\u00fcsselung von WhatsApp macht unsere Ermittlungen auf jeden Fall schwieriger\u201c, erkl\u00e4rt Georg Ungefuk, Staatsanwalt bei der Zentralstelle zur Bek\u00e4mpfung der Internetkriminalit\u00e4t. Diese sei ohnehin auch bisher schon kompliziert gewesen, wie Ungefuk ausf\u00fchrt. Wenn die in Hessen sitzende Internetkriminalit\u00e4tsbeh\u00f6rde eine Information von WhatsApp ben\u00f6tigt, muss sie Rechtshilfe bei Kollegen in den USA beantragen. Ein langwieriger und formal aufw\u00e4ndiger Prozess, der \u00fcber mehrere Beh\u00f6rden, Landes- und Bundesministerien l\u00e4uft.<\/i><\/span><\/span><\/p>\n … Sicher ist jedoch, dass Kriminelle zum Leidwesen der Ermittler schon jetzt zahlreiche Methoden haben, um ihre Spuren digital zu verschl\u00fcsseln. WhatsApp ist nun eine mehr.<\/i><\/span><\/span><\/p>\n …Oder wie er (WhatsApp-Chef Jan Koum) in seinem Blog ganz pers\u00f6nlich und pathetisch schreibt: \u201eIch bin w\u00e4hrend der Herrschaft der Kommunisten in der Sowjetunion aufgewachsen und die Tatsache, dass Menschen nicht frei sprechen konnten, ist einer der Gr\u00fcnde, warum meine Familie nach Amerika ausgewandert ist. Heute verwenden mehr als eine Milliarde Menschen WhatsApp, um mit ihren Freunden und ihrer Familie auf der ganzen Welt in Kontakt zu bleiben. Jetzt kann jeder einzelne von ihnen frei und sicher auf WhatsApp sprechen.\u201c \u201c<\/i><\/span><\/span><\/p>\n Es ist ein Leichtes sich vorzustellen, welcher Druck auf einem kleinen Unternehmen oder auf einer kleinen Gruppe \u201eNerds\u201c lastet, die sichere Kommunikation f\u00fcr Alle anbieten m\u00f6chte. Die Frage ist nur, weshalb diese Aufregung bei den politischen Instanzen herrscht. Methoden, sich in der Kommunikation durch Verschl\u00fcsselung wirksam abzusichern, gab es schon immer, und man darf wohl davon ausgehen, dass der Bachelor-Abschluss \u201eTerrorist\u201c neben Waffen-, Bomben- und Infiltrationskunde auch ein Pflichtnebenfach \u201eKommunikationsabsicherung\u201c beinhaltet. <\/span><\/span><\/p>\n Kommen wir nun etwas n\u00e4her an ein technisches Konzept. Das hat mit zwei Problemen zu k\u00e4mpfen: WhatsApp kann sich m\u00f6glicherweise erlauben, die Gesetze einer Reihe von L\u00e4ndern zu brechen. Eine ernst zu nehmende Peer-to-Peer-Verschl\u00fcsselung ruft jedoch unweigerlich die Beh\u00f6rden auf den Plan. Sp\u00e4testens wenn Terroranschl\u00e4ge mit einem derartigen Dienst in Verbindung gebracht werden, zeigt sich ob es von vornherein eine geheime Vereinbarung mit den Beh\u00f6rden gegeben hat. Es geht somit um viel mehr als um die Technik. Ohne einen Stab von Rech<\/span>tsanw\u00e4lten ist ohnehin nicht viel zu machen.<\/span><\/span><\/span><\/p>\n Die Technik ist wichtig. Eine neue Technik gegen Bestehendes einzuf\u00fchren ist schon ein Problem an sich, aber gl\u00fccklicherweise ist die Zeit dazu derzeit \u00e4u\u00dferst g\u00fcnstig. Im Rahmen der Entwicklung m\u00f6glicher Quantencomputer sind eine Reihe \u00e4u\u00dferst lautstarker Trommler unterwegs, die jedem, der es h\u00f6ren will, und auch denen die es nicht h\u00f6ren wollen verk\u00fcnden \u201eRSA & Co sind tot!<\/b>\u201c. Ob nun berechtigt oder nicht, der eine oder andere, der noch weniger Ahnung von der Sache hat als die Trommler, ger\u00e4t in Panik, und damit ist der Weg f\u00fcr Neues schon halbwegs planiert. Die Erfahrung lehrt jedoch dass Organisation und Anwendbarkeit mindestens genauso wichtig sind.<\/span><\/span><\/p>\n Technik:<\/span><\/span><\/span><\/p>\n Eigenschaft<\/span><\/span><\/span><\/p>\n<\/td>\n Wichtigkeit<\/span><\/span><\/span><\/p>\n<\/td>\n Kommentar<\/span><\/span><\/span><\/p>\n<\/td>\n<\/tr>\n Public Key Verfahren<\/span><\/span><\/span><\/p>\n<\/td>\n notwendig<\/span><\/span><\/span><\/p>\n<\/td>\n Public Key wie bei PGP ist die Basis einer optimalen L\u00f6sung<\/span><\/span><\/span><\/p>\n<\/td>\n<\/tr>\n Schl\u00fcsselverwaltung lokal<\/span><\/span><\/span><\/p>\n<\/td>\n notwendig<\/span><\/span><\/span><\/p>\n<\/td>\n Jeder soll f\u00fcr seine Schl\u00fcssel selbst sorgen (wie bei PGP). Zentralen Stellen vertraut niemand.<\/span><\/span><\/span><\/p>\n<\/td>\n<\/tr>\nEin Wort an die Nutzer<\/h3>\n
Laws and Emotions<\/span><\/h3>\n
Das Versagen aktueller L\u00f6sungen<\/h3>\n
\n
\n
Ein schwacher Lichtblick ?<\/span><\/h3>\n
\n
Wie muss eine massentaugliche L\u00f6sung konzipiert sein?<\/h3>\n
\n
\n \n \n \n \n \n \n \n \n \n \n \n