Der ehemalige Geheimdienstmitarbeiter und inzwischen im russischen
Exil lebende Whistleblower Edward Snowden ist auch Monate nach seiner
Flucht aus den USA immer noch für eine Überraschung gut.
Seine jüngsten von der britischen Tageszeitung The Guardian
veröffentlichten Enthüllungen zeichnen ein mehr als düsteres Bild.
Dem US-Geheimdienst NSA und dem britischen Dienst GCHQ ist es
augenscheinlich gelungen, bisher sicher geglaubte
Verschlüsselungsverfahren zu unterwandern.
Bankdaten, Patientenakten, E-Mail-Verkehr, alle Kommunikation im
Internet ist für die Geheimdienste lesbar.
Der Wissenschaftsjournalist Stefan Fuchs hat sich mit dem KIT
-Sicherheitsexperten und Kryptologen Professor Jörn Müller-Quade über
die politischen und wissenschaftlichen Konsequenzen dieser weltweiten
Spionageaktivitäten unterhalten.
Herr Professor Müller-Quade, bisher sind wir davon ausgegangen, dass
die Gefährdung des Internet als einer Public Domain, als einer
gesellschaftlichen freien Ressource, mehr von Privatunternehmen und
deren Profitinteressen ausgehen könnte.
Inzwischen haben die neuesten Enthüllungen aus der Quelle des Ex-US
-Geheimdienstmitarbeiters Edward Snowden bewiesen, dass es eine
zweite, vielleicht noch viel schwerwiegendere Front gibt.
Staatliche Institutionen wie der amerikanische NSA und der britische
Geheimdienst haben systematisch wohl die Verschlüsselungstechniken für
E -Mails, Bankdaten und Patientendaten ausgetrickst.
Ist damit die Möglichkeit einer Privatsphäre im Internet überhaupt im
elektronischen Verkehr, in der elektronischen Kommunikation nicht
endgültig ausgehebelt?
Es ist tatsächlich so, dass bei dem Ausmaß der Enthüllungen, die von
Edward Snowden jetzt gezeigt wurden, wir davon ausgehen können, dass
wir im Internet keine Privatsphäre haben.
Allerdings fühlen sich manche Leute vielleicht erst peinlich berührt,
wenn wirkliche Menschen etwas über sie erfahren.
Natürlich werden diese riesigen Datenmengen nicht von Menschen
gesichtet, sondern von Maschinen nach Mustern durchsucht.
Das heißt, wenn jemand Angst vor Peinlichkeit hat, dann kann es
tatsächlich sein, dass er nicht wichtig genug ist, als dass die NSA
ein Dossier anlegen würde, das sich je Menschen angucken.
Es hat natürlich auch ökonomische Auswirkungen, wenn man daran denkt,
dass Unternehmen ja von Technologie heute profitieren.
Wenn technologische Daten auf diese Weise ausspioniert werden, hat das
natürlich auch einen großen ökonomischen Schaden.
Ja, da sehe ich tatsächlich neben dem Schaden für meine persönliche
Freiheit eines der Hauptprobleme.
Die amerikanische und die englische Regierung haben sich nicht stark
genug davon distanziert, keine Industrie- und Wirtschaftsspionage zu
betreiben.
Und man kann sich überlegen, dass mit Zugriff auf Google-Anfragen man
im Prinzip schon weiß, welche Patentrecherchen Unternehmen machen.
Und mit Zugriff auf Metadaten kennt man im Prinzip die Kundendateien.
Das heißt, man weiß, wie gut es dem Unternehmen geht, wie viele Kunden
es hat und welche Kunden es hat.
Man weiß im Prinzip auch, wer Übernahmekandidaten sind.
Und man hat wirtschaftspolitisch und industriepolitisch einen ganz
anderen Blick, der ganz andere Entscheidungen ermöglicht.
Lassen Sie uns ein bisschen im Detail anschauen, wie das jetzt
funktioniert hat.
Da gibt es im Grunde zwei Dinge, die wichtig sind, die es ermöglicht
haben für diese Geheimdienste, diese Privatsphäre auf diese Weise zu
durchbrechen.
Auf der einen Seite sind gängige industrielle
Verschlüsselungsprogramme augenscheinlich durch Einfluss auf diese
Unternehmen, die sie herstellen, auf die Softwarehersteller mit
Hintertüren versehen worden.
Das heißt, der Kunde, der solche Verschlüsselungsprogramme benutzt,
weiß gar nicht, dass es da geheime Eingangstüren gibt, die diesen
Geheimdiensten bekannt sind.
Das bedeutet aber, dass die Softwaresicherheit ganz entscheidend
infrage gestellt wurde.
Tatsächlich gibt es da zwei verschiedene Angriffspunkte.
Das eine, meines Erachtens das interessantere, ist, wenn das Verfahren
an sich Schwächen hat.
Aber der wahrscheinlich häufiger gewählte und wahrscheinlich letztlich
einfachere Zugriff ist, wenn die Software, meistens dann Closed
Source, proprietäre Software, gar nicht das tut, was man eigentlich
denkt, was sie tun sollte und dadurch ganz, sage ich jetzt mal
kryptographisch, triviale Hintertürchen hat.
Interessanter wird es tatsächlich, wenn Standards beeinflusst werden
und damit die Verfahren an sich Schwächen haben und dass das der NSA
gelungen ist, ohne dass das früher verdächtig wurde oder breit
diskutiert wurde, ist tatsächlich Hut ab ein guter Schachzug gewesen.
Diese Hintertüren, wie auch immer sie da in diese
Softwareverschlüsselungsprogramme reinkommen, haben natürlich neben
dieser Frage, dass staatliche Institutionen diese Hintertüren benutzen
können, um uns auszuspionieren, haben die natürlich auch noch einen
anderen Nachteil.
Es könnten ja auch Hacker diese Hintertüren finden und benutzen.
Tatsächlich wurde das schon diskutiert, dass eigentlich jetzt die
Regierung eine Mitverantwortung dafür trägt, dass wir weniger sicher
unterwegs sind im Internet als eigentlich möglich.
Das heißt, Regierungen haben ihre Schutzpflicht verletzt und sind
eigentlich Mitschuld auch an der Misere mit den Hackern, denn ich
denke sichere Systeme, sichere Betriebssysteme, sichere Software waren
nie wirklich ein Interesse, wo die Regierungen sehr stark daran
interessiert waren und wo sie sehr stark hinterher waren.
Der andere Aspekt, dass in der Kryptografie sozusagen
wissenschaftliche Durchbrüche möglich waren, das ist davon die Rede,
dass also Champagnerkorken knallten bei den Geheimdiensten, weil
solche gewaltige Fortschritte in der kryptoanalytischen Technik bisher
nicht so vorstellbar waren.
Ist das nicht eine ganz neue Herausforderung für die Kryptografie?
Natürlich gibt es jetzt neue Herausforderungen für die Kryptografie.
Es ist tatsächlich für unsere Wissenschaft auch fast ein bisschen
peinlich, dass es gelingen konnte, unsichere Standards zu
verabschieden, dass es gelingen konnte, bestimmte Parameter, gerade
bei der elliptischen Kurvenkryptografie, so zu wählen, dass vielleicht
die resultierenden Kurven sehr unsicher sind und inhärente Schwächen
haben.
Ich denke, dass da in der Kryptografie noch einiges gearbeitet werden
muss.
Die größere Herausforderung sehe ich aber eigentlich darin, dass man
den gesamten, man sagt Technology Stack, sichern muss.
Das heißt, eigentlich muss sich die Software auch darauf verlassen
können, dass die Isolationsannahmen, dass bestimmte Geheimnisse eben
im System bleiben und nicht nach draußen gehen.
Inwieweit haben die neuen Techniken, die man entwickelt hat, unter
anderem um in der Elementarteilchenphysik die großen Datenmengen aus
den Teilchenbeschleunigern zu analysieren, also die berühmten Big Data
Techniken, inwieweit haben die eine Rolle gespielt bei diesem Loch,
was sich jetzt auftut, augenscheinlich in kryptografischen Techniken?
Ich denke, bei dem Loch in den kryptografischen Techniken ist diese
Rolle nicht so groß, sondern diese Big Data Techniken sind das
Spionagewerkzeug schlechthin, wenn man mal die Daten im Klartext
vorliegen hat.
Man kann anlasslose Massenüberwachung machen und Muster suchen und
verdächtige Personen finden, selbst wenn man vorher gar nicht so genau
spezifiziert hat, was eigentlich genau verdächtig ist.
Lassen Sie uns ein bisschen jetzt über die ethischen Grundlagen des
Ingenieurs im Bereich dieser Software, dieser
Verschlüsselungstechniken sprechen der US-Sicherheitsguru Bruce
Schneier vom Berkman Center for Internet and Society in Harvard.
Er spricht davon, dass die NSA und der englische Geheimdienst und
vielleicht sind ja auch noch andere unterwegs, durch die Umnutzung des
Internets zu einer globalen Beobachtungs- und Bespitzelungsplattform
einen Gesellschaftsvertrag letztlich gebrochen haben.
Er ruft die Engineering Community dazu auf, also die Macher des
Internets, die Freiheit des Internets zurückzuerobern.
Ich zitiere, wir Ingenieure haben das Internet möglich gemacht, einige
von uns haben dazu beigetragen, seinen freiheitlichen Charakter zu
untergraben.
Jetzt müssen diejenigen von uns, denen die Freiheit wichtig ist, dazu
beitragen, diese Freiheit wieder herzustellen.
Ist das ein Aufruf, dem Sie sich persönlich auch anschließen können?
Natürlich kann ich das nur unterstützen.
Das liegt aber auch ein bisschen daran, dass bei uns in der
Kryptografie diese Trennlinie zwischen der konstruktiven Kryptografie
und der Kryptoanalyse und wo man jetzt mithelfen könnte, sehr sehr
deutlich ist.
Ich glaube, dass im Allgemeinen dieser Aufruf sehr schwierig zu
befolgen ist, weil man sich überlegen muss, wenn Sie Kameras
entwickeln und Kameras, die besonders gute Partybilder im Dunkeln
machen, erlauben wahrscheinlich auch eine viel bessere Überwachung.
Da sind die Dinge häufig Dual Use und selbst in der Kryptografie, muss
man zugeben, gibt es auch diesen Dual Use Aspekt.
Nämlich, wenn man an das Verbrechen denkt.
Eigentlich wollen wir ja, dass Verbrecher letztlich nicht sich gegen
Strafverfolgung wehren können.
Das heißt, wenn man mich fragen würde, ob ich perfekt anonymes Geld
haben wollte oder perfekte Verschlüsselung, dann könnte ich sagen,
dass das eine sehr schwierige Frage ist, weil es manche Leute gibt,
denen ich genau das wünsche und andere Leute, vor denen ich Angst
haben würde, wenn sie das hätten.
Jetzt haben Sie ja bei Castell, also bei diesem Kompetenzzentrum für
Internetsicherheit, eine Reihe von Thesen aufgestellt.
Unter anderem auch die Privatsphäre, ein ganz wichtiges Element, sie
fördert die Sicherheit.
Daher muss es, so heißt es in einer dieser Thesen, unsere IT
-Infrastruktur es jedem ermöglichen, die Grenzen seiner Privatsphäre
selbst und sinnvoll zu setzen.
Das ist aber jetzt durch diese Techniken und dieses Vorgehen der
Geheimdienste letztlich unmöglich geworden.
Ja, die These, die wir da aufstellen, ist natürlich auch ein Wunsch.
Und wenn wir sehen, dass das im Moment sehr, sehr schwierig ist, dann
ist es umso wichtiger, diesen Wunsch klar zu formulieren.
Und dieser Wunsch hat zwei Aspekte.
Einmal muss es prinzipiell möglich sein.
Und zum anderen, und das ist auch ein Hintergrund der These, sollte es
sehr einfach einstellbar sein.
Viele Leute haben in manchen Bereichen überhaupt kein Problem, da mit
Privatsphäre aufzugeben und in sozialen Netzwerken unterwegs zu sein.
In anderen Bereichen hingegen wollen sie geschützt sein.
Wie man jetzt aber sein System konfigurieren muss, damit genau das
passiert, ist leider noch sehr unklar.
Und es gibt auch anscheinend viele Leute in der Industrie und in den
Diensten, die kein Interesse daran haben, dass das einfach wird.
Wie erklären Sie sich die doch sehr verhaltene Reaktion der Politik,
auch hier in Deutschland, auf diese Enthüllungen?
Eigentlich steht das Briefgeheimnis ja im Verfassungsrang, also der
Schutz des Briefgeheimnisses ist Verfassungsinhalt.
Soll, was für die gute alte Snail-Mail galt, für die elektronische
Post jetzt plötzlich nicht mehr gelten?
Ist da irgendwie eine Grenze überschritten?
Ich denke, dass die Politik in einer sehr, sehr misslichen Lage ist.
Einerseits profitieren sie davon, dass die Dienste relativ gute Arbeit
machen und dass eben tatsächlich bestimmte Bedrohungen verhindert
werden können.
Und andererseits sollten die Politiker sehr, sehr deutlich machen,
dass sie hinter uns als Bürger und hinter unserer Privatsphäre stehen,
hinter der Industrie stehen, die Angst vor Ausspionierung durch
ausländische Dienste hat.
Aber es ist eben eine Gratwanderung.
Ich denke, dass wir jetzt keine Aufregung brauchen, die schnell
abeppt, sondern tatsächlich langfristige Dinge ansteuern sollten,
langfristige Ziele ansteuern, die uns unsere Souveränität im digitalen
Zeitalter zurückgibt.
Was könnte das sein?
Beispielsweise könnte es ein Betriebssystem geben, das Linux basiert
ist, das Open Source ist, das irgendwo bei staatlichen Stellen,
beispielsweise bei der BSI, hinterlegt ist, wo aufgrund der Prozesse
sichergestellt ist, dass der lauffähige Code, den man sich dann
runterladen kann, tatsächlich der Code ist, der auch wirklich von dem
hinterlegten Source-Code stammt.
Ich denke, dass dort Hintertürchen einzubauen, schon mal erheblich
schwieriger ist.
Wir müssen erstmal vielleicht daran denken, wie wir diese anlasslose
Massenüberwachung schwieriger machen.
Und dann müssen wir eben auch überlegen, ob es vielleicht einzelne
Techniken gibt, wie beispielsweise die Kommunikation im
Behördenbereich oder im Firmenbereich, wo man dadurch, dass man eben
viele Vertrauensverhältnisse mal in Frage stellt, ein bisschen neu
anfängt, neu überlegt, die Dinge von Grund auf so entwickelt, dass wir
uns sicher sein können, dass wir geschützt sind.
Herr Professor Quade, wir sind am Ende des Gesprächs angekommen,
wollen aber vielleicht noch ein Fazit ziehen.
Man hat ja sowas schon geahnt, sagen wir mal, in den letzten Jahren
haben sich viele einzelne Puzzlesteine gezeigt.
Wenn wir das aber jetzt anschauen, das Bild, das Internet tatsächlich
als ein orwellisches Überwachungsinstrument umgemünzt, das Internet,
von dem viele glaubten, es ist ein Element, das emanzipatorisch wirkt.
Haben Sie sowas sich vorstellen können, noch vor kurzer Zeit?
Ja, das klingt jetzt ein bisschen paradox, aber wir genießen die Zeit
etwas, denn wir haben vor vielen Dingen schon vorher gewarnt und das
wurde immer ein bisschen wie absurde Verschwörungstheorien abgetan.
Jetzt aber ist deutlich, dass das wahre Ausmaß der Überwachung
tatsächlich die Warnungen von damals sogar übersteigt.
Wir sehen das etwas mit Genugtuung, natürlich recht gehabt zu haben,
aber ich glaube, der Hauptgrund, warum wir es spannend finden, ist,
dass wir eben jetzt auch Dinge hinterfragen müssen, die wir vorher
tatsächlich immer als gegeben angenommen haben.
Wir haben Verschlüsselungssysteme ersonnen, die eben sicher sind, wenn
das Betriebssystem sicher ist.
So etwas werden wir in Zukunft so nicht mehr tun können.
Wir müssen das ganze System betrachten und es gibt unheimlich viel zu
tun in unserer Branche.