Mittwoch, 18. September 2013

E-Mails verschlüsseln

Seitdem dank Edward Snowden bekannt wurde, dass amerikanische und britische Geheimdienste wie die National Security Agency (NSA) und die Government Communications Headquarters (GCHQ) unsere E-Mails und Datenströme auslesen, speichern und auswerten (und uns niemand davor schützt), suchen Privatleute und Unternehmen nach Möglichkeiten, die Vertraulichkeit ihrer Internetkommunikation irgendwie selbst zu gewährleisten. Als eine Möglichkeit, Kriminellen und Geheimdiensten das Spionieren und Überwachen zu erschweren, wird E-Mail-Verschlüsselung empfohlen. Aber wie geht das und bringt das überhaupt was?

Implementierung von E-Mail-Verschlüsselung

Die, die in größeren Unternehmen arbeiten, müssen sich über die Einrichtung von Verschlüsselungsfunktionen wenig Gedanken machen. Der Administrator kriegt den Auftrag, richtet die Verschlüsselung zentral ein, es gibt ein Rundschreiben mit einer Anleitung und fertig. Aber was macht man als Privatperson oder Freiberufler? Hier werden einige Möglichkeiten vorgestellt, die theoretisch geeignet sind.

E-Mails verschlüsseln mit PGP


Ein Programm, das derzeit überall zur Verschlüsselung empfohlen wird, heißt Pretty Good Privacy (PGP). Mit PGP kann man eine Nachricht signieren, verschlüsseln oder beides. Die Signatur bescheinigt, dass die Nachricht wirklich von dem angegebenen Absender ist (Authentizität) und nach der Signierung nicht verändert wurde (Integrität). Bei der Verschlüsselung werden Nachricht und - falls vorhanden - die Signatur - komprimiert verschlüsselt.

PGP basiert auf einer Public-Key-Infrastruktur (PKI). Das bedeutet: Mithilfe einer PGP-Software erzeugt man für seine E-Mail-Adresse einen öffentlichen und einen privaten Schlüssel. Hat man mehrere E-Mail-Adressen, muss man das für jede einzelne tun. Den öffentlichen Schlüssel muss man vorher den Leuten schicken, von denen man verschlüsselte Post haben will, den privaten Schlüssel hält man geheim. Und umgekehrt schicken einem die ihren öffentlichen Schlüssel, die verschlüsselte E-Mails bekommen möchten.

Eine kommerzielle Version von PGP wird von Symantec, einer amerikanischen Firma, als Symantec Desktop Email Encryption angeboten. Gnu Privacy Guard (GnuPG) ist eine freie PGP-Software, die es als Gpg4win auch für Windows gibt. (Links alle unten)

E-Mails verschlüsseln bei Microsoft Outlook (Office 2010)


Bei Microsoft Outlook (Office 2010) findet man die Signierungs- und Verschlüsselungsfunktionen in einem geöffneten Nachrichtenfenster, wenn man den Reiter Optionen anklickt, dann im Feld Verlauf (die Feldnamen stehen im unteren Bereich der Felder im Menüband) auf den kleinen Pfeil rechts unten klickt und so die weiteren Optionen öffnet. Es erscheint ein Fenster Eigenschaften. Hinter dem Button Sicherheitseinstellungen... verbirgt sich ein Fenster Sicherheitseigenschaften, in welchem man die Sicherheitseigenschaften angeben kann (z. B. Nachrichten und Anlagen verschlüsseln, die Nachricht digital signieren etc.).

Allerdings funktioniert das Verschlüsseln und Signieren laut Microsoft Online-Hilfe nur, wenn man eine digitale ID von VeriSign hat. Der entsprechende Dienst von Verisign gehört inzwischen dem amerikanischen Unternehmen Symantec. Die digitale ID für sichere E-Mail heißt nun Symantec Digital ID for Secure Email. Eine Testversion kann man 25 Tage lang kostenlos ausprobieren. Ansonsten kostet sie pro Jahr 22,95 US-Dollar.

E-Mails verschlüsseln in Mozilla Thunderbird


Wer Mozilla Thunderbird als E-Mail-Programm benutzt, kann seine E-Mails mit der Verschlüsselungssoftware Gnu Privacy Guard und der Erweiterung Enigmail verschlüsseln. Anleitungen gibt es überall im Internet (siehe auch die Links unten).

Elektronischer Dokumentenaustausch mit regify


Von regify, einem Unternehmen mit Sitz in Luxemburg, gibt es einen Service namens regimail (registered electronic mail). Als potenzieller Anwender registriert man sich bei einem der regify-Provider und nutzt den Service über das Webportal des Providers oder lädt sich die regify-Client-Software herunter. Die Software gibt es als Addins für Microsoft Outlook, Lotus Notes und Thunderbird auf Windows, als eigenständige Software für Windows, MacOS und Linux sowie als App für iPhone/iPad, Android- und BlackBerry-Geräte. Die Schlüsselverwaltung für die regify-Nachrichten liegt bei einem regify-Clearing-Service. regimail funktioniert mit jeder normalen E-Mail-Adresse. Für Privatanwender gibt es kostenlos regimail Private - der Service erlaubt bis zu 10 nicht kommerzielle Versendungen pro Monat, bei denen man eine Werbeeinblendung in Kauf nehmen muss.

Schreiben, verschlüsseln und als Anhang versenden, z. B. mit Crypditor


Anstatt eine E-Mail direkt in Outlook oder einem anderen E-Mail-Programm zu schreiben, kann man sie auch in einer Datei verfassen, diese abspeichern, verschlüsseln und als Anhang einer E-Mail versenden. Den Schlüssel zum Entschlüsseln sollte man dem Empfänger dann aber über andere Wege zukommen lassen. Crypditor ist ein kostenloser Texteditor mit Verschlüsselung von ProtectCom, einem Münchner Unternehmen, das hauptsächlich Produkte zur PC- und Netzwerküberwachung anbietet. Der Editor speichert die Information in der Programmdatei selbst. Diese kann verschickt oder auf einen USB-Stick gespeichert werden und ist nur mit dem Passwort lesbar.

Anonymität wahren


Beim Versenden einer E-Mail sind normalerweise Absender und Empfänger über die IP-Adresse erkennbar. Verhindern kann man das durch die Nutzung eines Anonymisierungsnetzwerks wie Tor (steht für "The onion router") oder eines PrivacyDongle-USB-Sticks.

Und hilft E-Mail-Verschlüsselung tatsächlich?

Die Verschlüsselung von E-Mails ist meiner Einschätzung nach nur scheinbar sicher. Selbst verschlüsselte E-Mails sind vermutlich weniger sicher als Postkarten, weil Postkarten, soweit man weiß, bisher von Kriminellen oder Geheimdiensten in Deutschland noch nicht in großem Maßstab digitalisiert und als Big Data ausgewertet werden.

Warum ich die E-Mail-Verschlüsselung für nur scheinbar sicher halte:
  • Man kann davon ausgehen, dass Verschlüsselungen, die jetzt als sicher gelten, spätestens in ein paar Jahren geknackt werden können. Wahrscheinlich lenkt man durch die Verschlüsselung erst recht die Aufmerksamkeit von Kriminellen und Geheimdiensten auf sich.
  • Amerikanische Behörden können außerdem amerikanische Unternehmen unter Druck setzen, damit diese die Schlüssel, die sie verwalten, herausgeben. Einige Serviceanbieter haben aus diesem Grund ihre Dienste bereits eingestellt, um nicht in so eine Lage gebracht werden zu können.
  • Andere Unternehmen sollen Snowden zufolge der NSA sowieso direkten Zugriff auf das Backend, also auf das System selbst, gegeben haben und mit ihr freiwillig oder gezwungenermaßen kooperieren. Beispielsweise sollen Windows-Betriebssysteme schon seit Windows 98 von der NSA mit speziellen Zugriffsystemen versehen worden sein.
  • Im Grunde genommen weiß man bei keiner Software, auch nicht der Verschlüsselungssoftware und auch bei keinem (Sicherheits-) Update, was man sich wirklich auf den Rechner holt und ob vielleicht ein Trojaner (Schnüffelprogramm) dabei ist. 
  • Trojaner lesen mit, bevor überhaupt verschlüsselt wird.
Ich kann nicht beurteilen, welche Auswirkungen die immerhin bekannte Mitarbeit der NSA an der Internetstandardisierung, an einer Sicherheitserweiterung des Linux-Kernels und den Sicherheitsfunktionen von Google's Android-System hat, und ob dadurch Verschlüsselung zur Gewährleistung von Privatsphäre sowieso zwecklos geworden ist.

Wenn es um Leben oder Tod, um Existenz oder Pleite geht, sollte man sich meiner Einschätzung nach lieber nicht auf E-Mail-Verschlüsselung verlassen.

Die Frage ist, was bleibt: persönliche Botengänge?


PS:
Von manchen Experten und Journalisten (so auch im Artikel "Der Jedermann-Code") wird Verschlüsselung empfohlen, um Kriminellen, Industriespionen und Geheimdiensten das Ausspionieren bzw. Überwachen schwer zu machen, in der Hoffnung, die sähen dann ein, dass es sich nicht lohnt, ständig das ganze Internet zu belauschen.
Das halte ich ehrlich gesagt für naiv - und für freundliche Werbung für die interviewten Kryptografen. Meiner Meinung nach wird es die Spione und Überwacher (bzw. deren Entwickler) nur anspornen, sich zu verbessern. Man sollte sich als Anwender lieber bewusst sein, dass alles, was man im Internet, oder in Anwesenheit eines mit Strom versorgten Rechners (der gelegentlich Kontakt zu anderen Rechnern oder Datenträgern hat), oder in Anwesenheit eines Smartphones im Raum tut, ausspioniert werden kann.
Ich glaube, dass es internationale Vereinbarungen geben muss und dass gleichzeitig durch Hardware-/Software-Strukturmaßnahmen dafür gesorgt werden muss, dass Internetunternehmen anderer Länder deutsche/europäische Daten in Deutschland/Europa routen und auf Servern speichern müssen (wo das für die Dienstleistung notwendig ist) und unsere Daten nach unseren Gesetzen behandelt werden müssen. Mag sein, dass das auch naiv ist, aber ich sehe keine andere Möglichkeit, damit das Internet nicht zu dem Überwachungsmonstrum wird, das sich möglicherweise manche von Anfang an gewünscht haben - was wir vor lauter blindem Idealismus nur zu dumm waren zu erkennen.

Quellen und Interessantes 
um Eingestellt von Keine Kommentare :
Labels: , , , , , , , , , ,

E-Mails so vertraulich wie Postkarten? Schön wär's!

Unverschlüsselte E-Mails seien so sicher wie Postkarten, heißt es in letzter Zeit oft. Wer sie benutze, brauche sich über Überwachung und Verletzung seiner Privatsphäre nicht wundern. Aber stimmt das?

E-Mail-VerschlüsselungNach den Enthüllungen des Whistleblowers Edward Snowden bezüglich der Aktivitäten der amerikanischen und britischen Geheimdienste National Security Agency (NSA) und Government Communications Headquarters (GCHQ), heißt es von manchen Seiten lapidar, unverschlüsselte E-Mails seien schon immer nur so sicher wie Postkarten gewesen. Und wer die beiden - Postkarte oder unverschlüsselte E-Mail - benutze, habe mehr oder weniger selbst Schuld, wenn er oder sie ausspioniert würde.

Wer seine Privatsphäre vor Kriminellen, Geheimdiensten und anderen im Internet schützen wolle, müsse eben E-Mails verschlüsseln - empfahl auch der Minister, der ein Supergrundrecht erfand, statt sich für den Schutz unserer tatsächlichen Grundrechte stark zu machen.

Abgesehen davon, dass man auch bei der Anwendung von Verschlüsselungstechniken nicht vor Ausspionierung und Überwachung sicher ist, fuchst mich diese Gleichsetzung von unverschlüsselten E-Mails mit Postkarten und der gleichzeitigen Unterstellung, beider Verwendung sei schon immer leichtsinnig bis dumm gewesen.

Von wem konnten denn Postkarten vor der Digitalisierung gelesen werden? Vom Briefkastenleerer, dem Sortierpersonal bei der Post, dem eigenen Briefträger und dem eigenen Müllmann - die ja alle nichts Besseres zu tun hatten, als unsere Postkarten zu lesen, die man oft selbst nicht entziffern konnte. Schon der neugierige Nachbar, ein Privatdetektiv, die Mafia oder ein Geheimdienst hätten eine gewisse kriminelle/spezielle Energie aufwenden müssen, um die Postkarten aus dem Briefkasten zu fischen und zu lesen - und er oder sie hätte nicht gewusst, von wem sie kommen, weil Postkarten üblicherweise keinen Absender enthalten. Und der einzige zusätzliche Schritt, den verschlossene Briefe gegenüber Postkarten nötig machen, ist, dass man Briefumschläge über Wasserdampf öffnen und nach dem Lesen wieder verschließen muss.

Wenn unverschlüsselte E-Mails so sicher wie Postkarten wären, dann wären sie für die normale Alltagskommunikation bei uns ausreichend privat! Zumindest wenn man davon ausgeht, dass (bis jetzt nach meinem Kenntnisstand in Deutschland) auch moderne Postsortiermaschinen nicht heimlich Daten speichern und irgendjemandem gewollt oder ungewollt zugänglich machen, der sie dann mit Algorithmen durchsucht. Spione interessieren sich nicht für Postkarten, sagt auch Peter Welchering in seinem Artikel "Die digitale Tarnkappe - eine Bauanleitung" dem Sinn nach (alle Quellen und Links unten).

Anders sieht das bei Informationen in digitaler Form, wie beispielsweise bei E-Mails, aus. Es war zwar immer klar, dass jemand mit den nötigen Kenntnissen und der notwendigen kriminellen/speziellen Energie theoretisch fremde Datenströme und E-Mails auslesen kann. Doch warum sollte das jemand tun? Als normaler Bürger musste man sich bisher keine Sorgen machen, dass Postkarten ausgelesen, als Daten gespeichert und diese nach Begriffen und Mustern durchsucht werden würden. Man geriet nicht in den Fokus von Fahndern, wenn man eine Postkarte erhielt, auf der zufällig ein Wort verwendet wurde, das ein Terrorist als Codewort benutzt hatte, dessen Cousine ein Meerschweinchen mit dem gleichen Namen wie das eigene hat. Postkarten zu versenden oder zu erhalten, war ziemlich ungefährlich, außer man schrieb in Leuchtschrift darauf: "Die PIN für mein Bankkonto Nr. 123456 beim Kreditinstitut in Kleinkleckersdorf lautet 98165432".

Für die meisten von uns war es daher überraschend, dank Edward Snowden zu erfahren, dass unsere E-Mails und andere (Internet-) Aktivitäten mehr oder weniger flächendeckend von Nachrichtendiensten befreundeter Staaten ausgelesen, gespeichert und mit Algorithmen ausgewertet werden, und dass unsere Regierung das offensichtlich in Ordnung findet und die Hände in den Schoß legt, weil es ja nicht in Deutschland, sondern auf Servern im Ausland passiert. Endlich kein Ärger mehr mit der Vorratsdatenspeicherung, denkt sich vielleicht der ein oder andere Politiker, da man sich die Hände ja nicht selbst schmutzig machen muss. 

Die empfohlene E-Mail-Verschlüsselung ändert nichts daran, dass unser Recht auf Privatsphäre ausgehebelt wird, ganz abgesehen davon, dass angesichts der ganzen Überwachungswut und -duldung auch das Recht auf informationelle Selbstbestimmung, die Pressefreiheit und die Souveränität der Bundesrepublik Deutschland in Gefahr sind.

Die Empfehlung, E-Mails zu verschlüsseln, wiegt nur in falscher Sicherheit, denn
  • Verschlüsselungen können geknackt werden.
    Manche Verschlüsselungen sind bereits entschlüsselbar und wir wissen es nur nicht, bei anderen ist es nur eine Frage der Zeit. 
  • Trojaner, die leicht über Software auf den Rechner gelangen können, lesen mit, bevor verschlüsselt wird. 
  • Amerikanische Unternehmen können von ihren Behörden zur Herausgabe geheimer Schlüssel gezwungen werden (wenn sie nicht sowieso mit ihnen kooperieren (müssen)). 
Abgesehen davon, dass man mit der Verschlüsselung nur die Aufmerksamkeit auf sich zieht.

Für mich stellt sich bei dem Thema vor allem die Vertrauensfrage: Soll man wirklich glauben, dass das Internet für unsere Regierung ein Neuland ist oder freut sie sich über die vom deutschen Gesetz freie Zone, in der man die Daten der eigenen Bürger von Dritten sammeln, auf Vorrat speichern und auswerten lassen kann?

Quellen und Interessantes 

um Eingestellt von Keine Kommentare :
Labels: , , , , , , , , , , ,

Donnerstag, 11. Juli 2013

Plausible Deniability - glaubhafte Abstreitbarkeit

Zum ersten Mal habe ich von dem Begriff "Plausible Deniability" im Presseclub "Vorsicht Freund hört mit" am 7. Juli 2013 gehört, bei dem es um die intensiven Abhöraktivitäten von Geheimdiensten wie der National Security Agency (NSA) und der Government Communications Headquarters (GCHQ) sowie weitere Offenlegungen, die wir dem Whistleblower Edward Snowden zu verdanken haben, ging.

"Plausible Deniability" sei ein Konzept, das die plausible Leugbarkeit ermöglicht. Nein, ich kannte Prism nicht, kann man beispielsweise sagen, wenn einem der Projektname Prism wohlweislich nicht mitgeteilt wurde. Das bedeutet jedoch nicht, dass man nichts von einer flächendeckenden Ausspionierung von Daten wusste oder von dem, was der ausländische Geheimdienst sonst so tat. Es wurde vielleicht in Gesprächen ein anderer Name, z. B. ein Codename, verwendet, oder man fragte bewusst nicht nach, um sich später in eine Wolke der Unwissenheit hüllen zu können.

Als ich recherchierte, stellte ich fest, dass "Plausible Deniability" tatsächlich gar nichts Neues ist, bei Wikipedia gibt es längliche Ausführungen zur "Glaubhaften Abstreitbarket". "Plausible Deniability" ist ein Konzept der "Spurenvermeidung" in der Politik, die in den USA in den 1950er Jahren entwickelt wurde: Führungsstrukturen und Befehlsketten werden so gestaltet, dass sie bei Bedarf gut abgestritten werden können, so dass beispielsweise ein Politiker nicht zur Verantwortung gezogen werden kann.

Wenn ich nun lese, dass die Kanzlerin bei Fragen der Wochenzeitung DIE ZEIT zum Thema Prism gesagt habe, sie habe vom US-Spionageprogramm "durch die aktuelle Berichterstattung Kenntnis genommen" und auf die Verantwortung des Kanzleramtsministers für Geheimdienste hinweist, erinnerte das doch unwillkürlich an das Konzept "Plausible Deniability" und irgendwie auch an Bill Clinton's "I did not have sexual relations with that woman". Hat sie möglicherweise nur den Namen Prism nicht gekannt?

Wenn ich desweiteren lese, dass Bundesinnenminister Friedrich sich dahingehend äußert, dass das deutsche Rechtssystem nicht betroffen sei, wenn Datenströme über ausländische Server laufen und die Daten deutscher Bürger und Unternehmen außerhalb von deutschem Boden ausspioniert werden, dann sieht er offensichtlich nicht den Gesprächsbedarf mit ausländischen Regierungen zu eben diesem international zu behandelnden Thema, nicht den Diskussionsbedarf mit eigenen Bürgern und nicht die Notwendigkeit, Bürger-/Menschenrechte, Wirtschaft (Stichwort Industriespionage) und Demokratie zu schützen. Die öffentlich geäußerte Empörung der amtierenden Regierungspolitiker anlässlich der Offenlegungen von Edward Snowden beziehen sich meines Wissens nur auf die verwanzten Botschaften und EU-Gebäude, nicht auf die Ausspionierung der ganz normalen Menschen.

Das ist nicht gut. Die zunehmende Digitalisierung schafft immer neue Möglichkeiten, uns zu überwachen. Es darf aber nicht sein, dass das angebliche "Neuland" zum rechtsfreien Raum für die Politik wird, die die Verantwortung abschiebt, weil Verbindungen und Server außerhalb von deutschem Boden liegen und fremde Geheimdienste die Drecksarbeit erledigen, während man selbst seine Hände in Unschuld wäscht. Unsere Regierung muss offenlegen, was sie wann wusste und billigend in Kauf nahm. Wir müssen sicher sein, dass nicht mit Hilfe von Digitalisierung, länderübergreifenden Netzen und "Plausible Deniability" mal eben Bürger- und Menschenrechte und die Demokratie ausgehebelt werden können.
Anzeige


Quellen und weiterführende Informationen
um Eingestellt von 1 Kommentar :
Labels: , , , , , , , , , , ,
Abonnieren Posts ( Atom )