Kollateralschaden durch die Hintertür: ein bisschen Verschlüsselung gibt es nicht

- Falk Borgmann

Ende 2020, hat der Europäische Rat offiziell seine Unterstützung zu einem Vorhaben beschlossen, mit dem Sicherheitsbehörden die Möglichkeit erhalten sollen, verschlüsselte Daten zu lesen.

„Sicherheit durch Verschlüsselung und Sicherheit trotz Verschlüsselung“ – so lautet die offizielle Devise. Dabei ist der Text der sogenannten Entschließung des Europäischen Rates mit der Nummer 12863/20 sehr vage. Im besonderen Fokus befinden sich Messenger-Dienste, da sie im Verdacht stehen, häufig durch Kriminelle genutzt zu werden. Für Ermittlungsbehörden würde damit der lang gehegte Wunsch in Erfüllung gehen, sich in private verschlüsselte Kommunikationen einzuklinken und mitzulesen. Allerdings sind andere Datenservices nicht explizit ausgeschlossen.

Genau darum muss es an dieser Stelle aber gehen, denn es ist ein Unterschied, ob ein Kommunikationskanal Ende-zu-Ende verschlüsselt ist oder aber ob beispielsweise Daten auf einem Cloudspeicher verschlüsselt wurden. Unabhängig davon, dass es bei letzterem Szenario ohnehin fahrlässig wäre, diesen Service einem Cloudprovider anzuvertrauen, denn Unternehmen sollten ihre Verschlüsselung nach Möglichkeit immer autark und in Eigenregie organisieren – vergleichbar mit der Verwaltung einer Banking-PIN im privaten Bereich. Im Lichte der genannten EU-Rat-Initiative wird das in Zukunft sogar noch wichtiger sein.

Grundlegende Idee des Papiers ist es, Serviceprovider und Softwarehersteller in die Pflicht zu nehmen, die eine Verschlüsselung als integrierten Teil ihres Angebotes offerieren. Man ist vor allem daran interessiert, was in den beliebten Messengern wie WhatsApp, Telegram oder Threema produziert wird. Aber auch Dienste wie Slack oder MS-Teams, die eher im Bereich der Unternehmenskommunikation eingesetzt werden, wären nicht ausgeschlossen – weil momentan explizit eben nichts ausgeschlossen wird.

Von dem oft zitierten „Generalschlüssel“, der angeblich für Sicherheitsbehörden gefordert wird, steht übrigens nichts in der besagten Entschließung. Ein solcher wird gegenwärtig nur in die Vorlage hineininterpretiert. Der Hintergrund dieser Interpretation ist aber durchaus substanziell, da es technisch keine sinnvolle Alternativen zu einer „Schlüsselkopie“ gibt, um das vorgegebene Ziel zu erreichen. Eine Verschlüsselung beruht heute immer auf einem sogenannten Key-Verfahren. Man verwendet einen Schlüssel (Key), um Daten zu verschlüsseln und man verwendet auch einen Key, um Daten zu entschlüsseln. Dabei ist zwischen der symmetrischen und der asymmetrischen Verschlüsselung zu unterscheiden.

Bei symmetrischen Verfahren arbeiten beide Teilnehmer einer Kommunikation mit dem gleichen Schlüssel. Also können beide Parteien auch Daten verschlüsseln und wieder lesbar machen. Bei der asymmetrischen Verschlüsselung werden zwei unterschiedliche Schlüssel verwendet, die aber zusammengehören. Der eine Schlüsselteil ist dabei öffentlich einsehbar (ein sogenannter Public Key) und wird zum Verschlüsseln von Nachrichten verwendet. Auf diese Weise unlesbar gemachte Daten können nur durch den Empfänger, der über das geheime Gegenstück (den Private Key) verfügt, wieder lesbar gemacht werden. Egal welches Verfahren man betrachtet, es ist in jedem Fall ein passender Key erforderlich, um eine Verschlüsselung aufzuheben. Also muss der entsprechende Schlüssel immer besonders gut geschützt werden.

Bei vielen Hackerangriffen auf IT-Systeme, die ihre Daten oder ihre Kommunikation durch eine Verschlüsselung schützen, handelt es sich deshalb auch um Angriffe auf den Schlüssel selbst. Für Sicherheitsbehörden gibt es theoretisch auch andere Möglichkeiten, in eine Kommunikation einzudringen, die Ende-zu-Ende verschlüsselt ist. Dazu könnte zum Beispiel entsprechende Spionagesoftware gezielt auf ein bestimmtes Endgerät gespielt werden, um die Daten bereits vor deren Verschlüsselung abzufangen oder auf diese Weise den geheimen Key zu kopieren. Das ist jedoch nicht nur rechtlich problematisch, sondern auch nicht trivial zu realisieren: Für die Sicherheitsbehörden würde sich deshalb ein paradiesischer Zustand ergeben, wenn sich ihnen nun per Gesetz ein viel bequemerer Weg eröffnen würde. Es ist vorgesehen, die Serviceprovider und Softwarehersteller ganz einfach dazu zu verpflichten, von jedem privaten Schlüssel eine Kopie zu erstellen und treuhänderisch zu verwalten, bis eine Ermittlungsbehörde einen rechtlich legitimierten Zugriff auf die entsprechenden Daten verlangt.
Sollte das so umgesetzt werden, dann könnte man dieses Modell auch als Jackpot für Hacker bezeichnen. Denn wenn sich Unberechtigte Zugang zu diesen Schlüsseln verschaffen können, dann wäre nichts mehr sicher, was einmal mit diesen Keys geschützt war. Ein bisschen schwanger gibt es auch beim Thema Datensicherheit nicht: Entweder man kann Daten lesen oder man kann sie nicht lesen.

Bei einer sicheren Ende-zu-Ende-Verschlüsselung wird der Datenstrom genau an zwei Stellen ver- oder entschlüsselt: bei dem Gerät, das Daten versendet und beim empfangenden Endgerät (Beispiel: zwei Mobiltelefone bei Verwendung eines sicheren Messengers). Liebe Politik, baut man in so ein Verfahren eine Sollbruchstelle mit einer vorhandenen Schlüsselkopie außerhalb des Ende-zu-Ende-Systems ein, sollte man sich nicht wundern, wenn genau diese Stelle alsbald massiven Angriffen ausgesetzt sein wird. Egal ob Geheimdienste oder Kriminelle – man möchte sich besser nicht ausmalen, wie die Konsequenzen aussehen könnten. Die Notwendigkeit, Sicherheitsbehörden mit entsprechenden Werkzeugen und Befugnissen in der digitalen Welt auszustatten, um Kriminalität oder Terrorismus zu bekämpfen, ist gerechtfertigt und nicht bestreitbar. Jedoch ist das besagte Vorhaben in seiner technischen Konsequenz als hoch problematisch und sehr riskant einzuordnen.

Hinzukommt, dass bisher nicht differenziert ist, um welche Anwendungen von Verschlüsselung es überhaupt gehen soll, das heißt nur um Messenger oder doch auch um Datenspeicher eines Cloudproviders? Es bleibt nur zu hoffen, dass sich die Politik hier nicht nur bei den Geheimdiensten informiert, bevor Gesetze mit der potenziellen Nebenwirkung einer grundlegenden Demokratiegefährdung verabschiedet werden. Denn nichts anderes wird geschehen, wenn allzu leichtfertig die Tür für das Schaffen von Werkzeugen geöffnet wird, die eine nahezu uneingeschränkte Überwachung ermöglichen. Im schlimmsten Fall werden diese Werkzeuge zu kaum kontrollierbaren Waffen, die sich effizient und wirkungsvoll gegen demokratische Gesellschaften richten lassen.

Teilen