Ende-zu-Ende-Verschlüsselung 101

Wenn Sie seit Mai 2013 das Internet genutzt haben, haben Sie wahrscheinlich gehört, dass Sie verschlüsselte Kommunikation verwenden sollten. Die Enthüllung von Edward Snowden, dass die National Security Agency alle unsere Anrufe, SMS und E-Mails protokolliert, löste einen rasanten Anstieg der Entwicklung und Nutzung von Verschlüsselungs-Apps und -Diensten aus. Nur wenige Jahre später wird Verschlüsselung in der täglichen Kommunikation weit verbreitet eingesetzt. Wenn Sie eines dieser Verschlüsselungstools verwenden, haben Sie wahrscheinlich auch den Ausdruck „End-to-End-Verschlüsselung“ oder „E2EE“ gehört. Der Name scheint recht einfach zu sein: Ende-zu-Ende bedeutet, dass Inhalte von einem Endpunkt (im Allgemeinen Ihrem Telefon oder Computer) zu einem anderen Endpunkt (dem Telefon oder Computer des beabsichtigten Empfängers Ihrer Nachricht) verschlüsselt werden. Doch welches Maß an Sicherheit verspricht das für Sie als Anwender?

Seit Beginn der Trump-Regierung hat die Zoll- und Grenzschutzbehörde der USA (CBP) ihre Eingriffe in die Privatsphäre von Reisenden verstärkt. Das CBP fordert, dass sowohl US-Bürger als auch Besucher sich in ihre Telefone und Laptops einloggen und diese dem CBP zur Überprüfung übergeben. Sie haben außerdem verlangt, dass Reisende ihre Passwörter angeben oder sich bei ihren Social-Media-Konten anmelden. Reisenden, die sich nicht daran halten, droht die Einreiseverweigerung.

Gestern veröffentlichte Wikileaks eine Fülle durchgesickerter CIA-Dokumente, darunter Erkenntnisse über Sicherheitslücken und Exploits, für die die CIA bezahlte und die sie vor der Öffentlichkeit geheim hielt. Nachdem diese Informationen nun durchgesickert sind, kennt nicht mehr nur die CIA diese Schwachstellen, sondern jeder. Die New York Times und andere haben fälschlicherweise berichtet, dass die CIA die Verschlüsselung in Apps wie Signal und WhatsApp gebrochen habe, während die CIA in Wirklichkeit gezielt die Android-Geräte bestimmter Personen ins Visier genommen und kompromittiert hat.

Kurz gesagt, diese Enthüllung bestätigt die Bedeutung der Verwendung von Ende-zu-Ende-verschlüsselter Kommunikation, die staatliche Akteure daran hindert, eine breit angelegte Rasterfahndungsüberwachung durchzuführen. E2EE ist immer noch wichtig.

Viele Berichte rund um Vault 7 haben den Eindruck erweckt, dass verschlüsselte Apps wie Signal kompromittiert wurden. Tatsächlich liegt der Kompromiss auf Geräteebene – am Endpunkt. Es gibt keinen Grund zu der Annahme, dass die Verschlüsselung selbst nicht funktioniert.

Zunächst ist es wichtig zu verstehen, dass eine Nachricht, die Sie lesen können, im Klartext vorliegt, also nicht mehr verschlüsselt ist. Bei der Ende-zu-Ende-Verschlüsselung sind Sie und Ihr Gerät sowie Ihr Empfänger und sein Gerät die schwachen Glieder der Sicherheitskette. Wenn Ihr Empfänger Ihre Nachricht lesen kann, kann sie auch jeder lesen, der Zugriff auf sein Gerät hat. Ein verdeckter Ermittler könnte Ihre Nachricht über die Schulter Ihres Empfängers lesen, oder die Polizei könnte das Gerät Ihres Empfängers beschlagnahmen und es aufbrechen. Wenn das Risiko besteht, dass eines dieser unglücklichen Ereignisse eintritt, sollten Sie es sich zweimal überlegen, bevor Sie etwas senden, das Sie den Behörden nicht mitteilen möchten.

Diese besondere Einschränkung ist auch für die jüngsten „Vault 7“-Enthüllungen relevant, die zeigen, dass Apps wie Signal, WhatsApp und Telegram möglicherweise nicht nützlich sind, wenn ein Angreifer (wie die CIA) physischen Zugriff auf Ihr Gerät oder das Gerät Ihres Kontakts erhält und es entsperren kann. Viele Berichte rund um Vault 7 waren etwas irreführend und erweckten den Eindruck, dass die Apps selbst kompromittiert wurden. In diesem Fall liegt die Kompromittierung auf Geräteebene, also am Endpunkt. Die Verschlüsselung selbst ist immer noch gut.

Da Sie die Sicherheitsbedingungen des Empfängers Ihrer Nachricht nicht kontrollieren können, sollten Sie die Möglichkeit in Betracht ziehen, dass jede Nachricht, die Sie ihm senden, gelesen werden könnte. Auch wenn es selten vorkommt, gibt es Fälle, in denen staatliche Behörden gezielt Menschen direkt überwachen. In diesen Fällen arbeiten die Opfer möglicherweise mit mit Schadsoftware infizierten Geräten, die ihre gesamte ein- und ausgehende Kommunikation protokollieren sollen. Diese Kompromittierung funktioniert auf Endpunktebene und macht E2EE gegenüber diesen spezifischen Gegnern nutzlos. Da es schwierig ist zu wissen, ob Sie (oder der Empfänger Ihrer Nachricht) das Ziel dieser Art von Angriff sind, ist es immer am besten, standardmäßig keine allzu sensiblen Informationen über digitale Kommunikation zu versenden. Derzeit scheinen solche Angriffe selten zu sein, aber man sollte niemals unnötige Risiken eingehen.

Das Dritte, was Sie über E2EE wissen sollten, ist, dass es Ihre Metadaten nicht unbedingt schützt. Je nachdem, wie die Kommunikation übertragen wird, können in den Protokollen weiterhin Zeit und Umfang der Kommunikation sowie Absender und Empfänger angezeigt werden. Protokolle können auch den Standort von Absender und Empfänger zum Zeitpunkt der Kommunikation anzeigen. Obwohl dies normalerweise nicht ausreicht, um jemanden ins Gefängnis zu bringen, kann es nützlich sein, Verbindungen zwischen Menschen nachzuweisen, die Nähe zu Tatorten festzustellen und Kommunikationsmuster zu verfolgen. All diese Informationen sind nützlich, um bei direkter Überwachung größere Verhaltensmuster zu ermitteln.

Wenn also eine Ende-zu-Ende-Verschlüsselung nicht unbedingt den Inhalt Ihrer Kommunikation schützt und dennoch nützliche Metadaten preisgibt, welchen Sinn hat sie dann?

Eines der wichtigsten Dinge, die E2EE tut, ist sicherzustellen, dass Ihre Daten niemals in lesbarer Form auf die Server anderer gelangen. Da die Ende-zu-Ende-Verschlüsselung in dem Moment beginnt, in dem Sie auf „Senden“ klicken, und so lange anhält, bis sie das Gerät Ihres Empfängers erreicht, muss ein Unternehmen – wie Facebook –, wenn es wegen Ihrer protokollierten Kommunikation vorgeladen wird, keinen Klartextinhalt aufgeben. Dies versetzt die Behörden in die Lage, wenn sie an den Inhalt Ihrer Kommunikation gelangen wollen, müssen sie viel Zeit und Ressourcen aufwenden, um die Verschlüsselung zu knacken. In den Vereinigten Staaten kann Ihr Recht auf ein zügiges Verfahren dazu führen, dass diese Beweise für Staatsanwälte unbrauchbar werden, da sie sie möglicherweise nicht schnell genug entschlüsseln können, um einem Richter zu gefallen.

Ein weiterer Einsatzzweck von E2EE besteht darin, die Schleppnetzüberwachung durch die National Security Agency und andere Strafverfolgungsbehörden erheblich zu erschweren. Da es in der Mitte keinen Punkt gibt, an dem Ihre unverschlüsselte Kommunikation abgegriffen werden kann, werden stattdessen dieselben verschlüsselten Textblöcke abgegriffen, die per Vorladung verfügbar sind. Die Rasterfahndungsüberwachung erfolgt im Allgemeinen dadurch, dass alle verfügbaren Daten gesammelt und einer automatisierten Sortierung statt einer individuellen Analyse unterzogen werden. Durch den Einsatz von Verschlüsselung wird das algorithmische Durchsuchen von Inhalten verhindert, was diesen Prozess deutlich erschwert und in der Regel nicht lohnenswert macht.

Zusätzlich zur Datenerfassung durch die NSA verfügen Strafverfolgungsbehörden auf Bundes- und Landesebene im ganzen Land über Mobilfunksimulatoren, die als „IMSI-Catcher“ oder „Stingrays“ bekannt sind, und nutzen diese häufig. IMSI-Catcher geben sich als Mobilfunkmasten aus, um Ihr Telefon dazu zu bringen, identifizierende Informationen, einschließlich Ihres Standorts, preiszugeben. Mobilfunksimulatoren erfassen und protokollieren auch Ihre Kommunikation. Wie bei anderen Abhörmethoden bedeutet die Verschlüsselung, dass die abgerufenen Daten weitgehend nutzlos sind, es sei denn, die Strafverfolgungsbehörde ist bereit, sich die Mühe zu machen, sie zu entschlüsseln.

Zusätzlich zur Ende-zu-Ende-Verschlüsselung zum Schutz des Inhalts Ihrer Nachrichten während des Versands können Sie eine Festplattenverschlüsselung verwenden, um Ihre Informationen zu schützen, während sie auf Ihrem Gerät gespeichert sind. Eine ordnungsgemäße Festplattenverschlüsselung bedeutet, dass alle Informationen auf Ihrem Gerät ohne Ihren Verschlüsselungsschlüssel (normalerweise eine Passphrase) nicht entschlüsselbar sind, wodurch ein gehärteter Endpunkt entsteht, der viel schwieriger zu kompromittieren ist. Obwohl die Verschlüsselung Ihrer Endpunkte nicht unbedingt einen Schutz vor einigen der heimtückischeren Überwachungsmethoden wie Malware bietet, kann sie verhindern, dass Angreifer, die in den Besitz Ihrer Geräte gelangen, nützliche Daten von ihnen entwenden.

Ende-zu-Ende-Verschlüsselung ist keineswegs ein magischer Schutzschild gegen die Überwachung durch Nationalstaaten oder böswillige Einzelpersonen, aber Vault 7 zeigt, wie ihre Verwendung dazu beitragen kann, einen verfahrenstechnischen Wandel von der Rasterüberwachung hin zu ressourcenintensiven gezielten Angriffen zu erzwingen. In Kombination mit gesundem Menschenverstand, verschlüsselten Geräten und anderen Sicherheitspraktiken kann E2EE ein leistungsstarkes Tool sein, mit dem Sie Ihre Angriffsfläche deutlich reduzieren können. Die konsequente, gewohnheitsmäßige Verwendung der Ende-zu-Ende-Verschlüsselung kann viele Bedrohungen auf niedrigerer Ebene zunichte machen und kann sogar dazu führen, dass einige Angreifer auf höherer Ebene entscheiden, dass sich ein Angriff auf Sie einfach nicht lohnt.

US-Regierung bezeichnet Host von NoBlogs.org als „globalen Terroristen“

Ein Leitfaden für Demonstratoren zu verstärkten Bannern

Eine Geschichte über Anarchisten, die Massenüberfälle ertragen