Encrochat, Sky ECC, …

Wer seine Kommunikation vertraulich oder gar geheim halten will, vielleicht weil er sich am Rande der Legalität bewegt, sollte sich ganz grundsätzlich gesagt sein lassen: Es gibt keine sicheren Kommunikationswege. Erst recht nicht mit Diensten, die man nicht selbst vollständig unter Kontrolle hat.

Es ist völlig egal, was die Betreiber derartiger Dienste behaupten: Früher oder später wird einem motivierten Angreifer der Einbruch in die Kommunikation gelingen. Das steht so fest wie das Amen in der Kirche. Ganz besonders, wenn es sich beim Angreifer um einen staatlichen Akteur (Polizei, Nachrichtendienst, …) handelt.^{1, 2}

Das ist fatal. Denn im Regelfall gelingt es dem Angreifer nicht nur die tagesaktuelle Kommunikation mitzulesen, sondern er erlangt auch Zugriff auf Daten aus der Vergangenheit. Damit kann er dann auch Aktivitäten rekonstruieren, die eigentlich schon längst der Vergessenheit anheim gefallen sein sollten.

Wer sich mit Kryptographie (Lehre von der Verschlüsselung) etwas länger als der durchschnittliche Laie beschäftigt, spricht in diesem Zusammenhang niemals von "sicher". Sondern immer nur von "stark" (oder "schwach"). Das hat einen guten Grund: Es gibt nämlich keine beweisbar sichere Verschlüsselung.³ Es gibt nur starke Verschlüsselung. Als solche wird ein Verfahren bezeichnet welches a) gut untersucht — hierfür ist die Offenlegung des Verfahrens notwendig! — und bei dem b) aus der Untersuchung keine Möglichkeit öffentlich bekannt wurde, die ein Brechen des Verfahrens ermöglicht.

Damit sollte das strukturelle Problem deutlich werden: Die Untersuchung stellt immer nur eine Momentaufnahme dar. Schon morgen kann sich ihr Ergebnis grundlegend geändert haben. Und: Nicht jede Schwachstelle wird auch öffentlich bekannt. Was ist, wenn eine Schwachstelle gefunden aber geheim gehalten wurde?

Deswegen suchen manche Nutzer ihr Heil in der Nutzung propritärer (nicht offen gelegter) Verfahren. Das kann man tun, es erfordert aber jede Menge Vertrauen in den Anbieter des Verfahrens. Wie wird sicher gestellt, daß dieser Anbieter nicht mit Behörden zusammen arbeitet? Weiß dieser Anbieter wirklich, was er tut? — Speziell die Antwort auf die zweite Frage hat in der Vergangenheit schon oft für unangenehme Überraschungen gesorgt. Auch große Firmen haben sich hier nicht unbedingt mit Ruhm bekleckert.

¹ Vorsicht nicht nur vor institutionellen Angreifern! Auch der 13-jährige computerbesessene Bengel aus der Nachbarschaft kann ein nicht zu unterschätzendes Risiko darstellen. Der wird vielleicht nicht gleich zur Polizei laufen, kann aber trotzdem an Informationen gelangen, die er besser nicht hätte.

² Im Bereich der institutionellen, staatlichen Akteure wurde im April 2017 eine neue Behörde installiert.

Um die ZITiS — Zentrale Stelle für Informationstechnik im Sicherheitsbereich ist es zwar auffällig ruhig, mittlerweile dürfte die Behörde allerdings arbeitsfähig sein. Sie begreift sich als Dienstleister für andere Sicherheitsbehörden mit den Aufgabenschwerpunkten digitale Forensik, Telekommunikationsüberwachung, Kryptoanalyse, Big-Data-Auswertung, technische Fragen zur Kriminalitätsbekämpfung, Gefahren- und Spionageabwehr.

³ Es gibt eine Ausnahme: Das OTP (One-Time-Pad). Dieses ist rein theoretisch beweisbar sicher. Theoretisch. Denn in der Praxis ergeben sich mit dem OTP eine ganze Reihe ganz anderer Schwierigkeiten, die seine praktische Verwendbarkeit extrem einschränken. Deswegen spielen das OTP und davon abgeleitete Verfahren nur in ganz wenigen Spezialfällen überhaupt eine Rolle. (Manche Anbieter kryptographischer Verfahren werben manchmal mit Aussagen wie "fast so sicher wie ein OTP". Das ist i.d.R. einfach Quatsch und ein deutlicher Hinweis auf die Unseriösität des Anbieters. Finger weg!)