Digital Twin

Digital Twin

Das Netzweltblog

Die Wissenschaftler erobern das Internet zurück

| 3 Lesermeinungen

E-Mails lassen sich schon heute sicher verschlüsseln. CERN- und MIT-Forscher machen mit der fehlenden Nutzerfreundlichkeit nun ein Geschäft. An ihm zeigt sich, wie günstig Sicherheit zu haben ist.

© ProtonmailWürden Sie diesen jungen Herren ihr Privatestes anvertrauen? Diese Frage stellt sich gar nicht. Denn um E-Mails zu verschicken, muss man sie nicht ausspionieren können.

CERN, die europäische Kernforschungseinrichtung in der Schweiz, ist berühmt für den weltweit größten Teilchenbeschleuniger. Eine Milliarde Schweizer Franken haben die mehr als 3000 Wissenschaftler zur Verfügung, um Protonen aufeinander zu jagen. Berühmt ist der Name CERN allerdings auch für seinen Beitrag zum Internet. Folgt man der Idee, dass das Internet der Vernetzung von Forschungseinrichtung diente, fällt der Blick auf Tim Berners-Lee, der ab 1989 am interoperablen Hypertext arbeitete und im Folgenden das „WorldWideWeb“ nicht nur begrifflich prägte. Ausgehend vom CERN übersprangen die Daten per Internet erstmals Ländergrenzen.

Nun führen aktuell CERN-Wissenschaftler, unterstützt von MIT-Forschern, die Fäden wieder zusammen. Ein E-Maildienst soll wieder Schwung in den von Spähangriffen getrübten Vernetzungsgedanken bringen. Vollständige Verschlüsselung, leichte Anwendung; das Versprechen ist gewaltig: Keine Installationen, alles läuft im Browser. Kein Hantieren mit Krypto-Schlüsseln. Keine Verfolgung der digitalen Spuren von Nutzern. In transatlantischer Zusammenarbeit hat man sich auch auf einen passenden Namen geeinigt: „Protonmail“.

Der Ansatz ist nicht grundsätzlich neu. Tatsächlich gab es schon ein ganz ähnlich abgesichertes E-Mail-System, das Ladar Levison im Alleingang betrieb, ehe sein Unternehmen Lavabit im Herbst vergangenen Jahres so sehr unter Druck amerikanischer Sicherheitsdienste geriet, dass er es schloss und vorsorglich alle Nutzerdaten löschte. Diese Erfahrung lehrte, dass der technische Aufwand solcher Systeme zwar kompliziert, aber sogar von Einzelpersonen zu stemmen ist. Auf der anderen Seite kann Protonmail nun damit punkten, schon ein funktionierendes System zu haben. Wer sich beeilte, konnte beim derzeit laufenden Crowdfunding bereits einen Account zum Vorzugspreis ergattern.

Damit steht fest, dass dieser Dienst nicht droht, schon während seiner Entwicklung im Sande zu verlaufen. Hemlis, das vollverschlüsselte Instant-Messaging-Projekt der Pirate-Bay-Gründer, scheint dieses Schicksal gerade zu erleiden. Protonmail wird sich statt mit existenziellen Fragen eher mit den üblichen Kritiken auseinanderzusetzen haben: Denn wenn es um Fragen der Daten- und Kommunikationsverschlüsselung geht, schrillen viele Alarmglocken, wenn neben Sicherheit aber sogleich auch Einfachheit und Nutzerfreundlichkeit beworben werden.

Denn wer seinen Krypto-Schlüssel, der geheim bleiben muss, im Browser verwaltet, zudem von einer Software, die hauptsächlich auf einem externen Server ausgeführt wird, der spielt den größten Schwachstellen solcher Systeme in die Hände. Was jedoch nichts daran ändert, dass die End-zu-End-Verschlüsselung auch so funktioniert, sofern nicht jemand anderes aufgrund welcher Motivation auch immer versucht, diese Kommunikation zu stören, um Zugriff auf sie zu erhalten. Die Antwort ist pragmatisch: Zumindest gegen Massenüberwachung sei der E-Mail-Dienst immun, sagt Jason Stockman aus dem dreiköpfigen Team von Protonmail. Darüber hinaus gelten wichtige Regeln.

Viele Vorzüge muss man den Entwicklern wie so oft schlicht glauben. Sie haben ihren Server physisch unter Kontrolle, und mit „speziellen Verfahren“ sichern sie die darauf laufende Software gegen Eingriffe und Änderungen von außen ab, sagen sie. Die E-Mails werden mit dem Standard-Verfahren PGP verschlüsselt, zusätzlich die Transportwege mit SSL. Als kleine Annehmlichkeit bekommt der Nutzer einen Selbstzerstörungsmechanismus für E-Mails mit an die Hand. Dass dieser nur solange funktioniert, wie empfangene E-Mails nicht kopiert werden, versteht sich von selbst. Doch verweist diese Option auf einen wichtigen Punkt: Für gewöhnlich, kein Mailanbieter handhabt es anders, bleiben E-Mails über Jahre auf Servern gespeichert. Die Kommunikationsarchive der meisten Person liegen angreifbar im Internet bereit.

Bei allen technischen Fragen und Kritiken, die der Mailservice aufwerfen wird, steckt hinter der Initiative aber auch eine bedeutende Botschaft. Rudimentäre Sicherheit im Internetzeitalter ist heute weder besonders aufwendig noch sagenhaft teuer. Die Protonmail-Entwickler starteten ihr Projekt als private Initiative. Erst das Angebot für andere erfordert finanzielle Mittel, die sich im Rahmen halten. Mit 100.000 Dollar könne jedes gesteckte Ziel erreicht werden, sagen die Entwickler. Nun, acht Tage vor Ende des Crowdfundings, steht der Zähler bei mehr als 350.000 Dollar. Ab einer Million Dollar kann der Mailservice für jeden kostenlos angeboten werden. Allenfalls erweiterter Speicherplatz würde dann in Rechnung gestellt werden müssen.

Die zweite Botschaft ist noch interessanter: Spricht man sich von vornherein von ökonomischen Kalkülen, Datenhandel und Interoperabilität mit staatlichen Stellen frei, bleibt Vertrauen als wichtige Säule eines Geschäftsmodells übrig, auch in der digitalen Gesellschaft. Als im CERN das Internet mitentwickelt wurde, war Vertrauen selbstverständlich. Durch die Enttäuschungen, durch Datenhandel-Geschäftsmodelle und Geheimdienst-Spähangriffe, ist dies nun ins Bewusstsein getreten – und muss nun als Feature wieder nachgerüstet werden. Die wichtigste Hilfestellung für das Netz bietet nun einmal mehr wieder das Netz selbst. Drei junge Entwickler machen den Unterschied, der sich vom Einheitsbrei aller Netzgiganten, die sich so gern mit dem Netz verwechseln, unterscheidet.

0

3 Lesermeinungen

  1. Ich installiere eine kostenlose OpenPGP - Software auf meinem Rechner innerhalb von vier Minuten
    inkl. der Einrichtung eines Schlüssels und der Nutzbarkeit durch ein Emailprogramm.

    Das ist eine End-to-End-Verschlüsselung, die – nach Snowden, Assange und dem Sicherheitsberater von Greenwald – hochseriös ist und den Geheimdiensten beliebige Kopfschmerzen bereitet, denn ich kann die Schlüsselstärke auf Wunsch sehr, sehr hoch einstellen.

    Ich hörte, das sei auf US-Betriebssystemen wie Microsoft („NSA-Partner“ seit 11.09.2007), Google (1.4.2009) oder Apple (Okt. 2012) eher schwierig.

    (Mag sein, dass die NSA hier (wie dort) die Schlüsselerzeugung korrumpiert hat, bei Linux müssen sie es aber (quell-)öffentlich tun.)

    Auf meinem kostenlosen, quelloffenen Linux geht das aber blitzschnell.
    Auch das Installieren selbst inkl. Officepaket: Kinderleicht, 25 Minuten …

    Wir brauchen keine neuen Erfindungen: Was wir brauchen – und das ist DER Skandal schlechthin – liegt seit 20 Jahren kostenlos vor uns.

    „Europa! Habe den Mut, dich deines eigenen Betriebssystems zu bedienen!“, Immanuel Linus Kant *1724 Königsberg

    Ich möchte nur hinzusetzen: Seriös, schnell, komfortabel, sicher, intelligenter – einfach sexy: Linux!

    • Das Betriebssystem ist nur eine Komponente eines sicheren Email Systems
      Das Verschlüsseln der Nachricht ist nur eine wichtige Komponente eines sicheren Email Systems. Weitaus interessanter sind für Abhörer meist aber die Metadaten (wer mit wem?). Diese Daten müssen beim üblichen Betrieb (auch bei Linux) offen ausgetauscht werden. Man kann die Metadaten auch verschlüssseln wenn man einem zentralen Verwalter wie z.B. DE Mail traut. Das war schon beim LOTUS Office System vor 20 Jahren möglich. Seit etwa 20 Jahren kann man auch mit Standard Windows verschlüsselte Emails verschicken und den geheimen Schlüssel auf einer Smartcard generieren und speichern. Otto Normalverbaucher kann auch ohne Mühe verschlüsselte Dokumente als Anhang verschicken. Das ist das geringste Problem. Das zentrale Problem bei großen Systemen, die mit Schlüsseln arbeiten, ist die Verwaltung (über Jahrzehnte) und das sichere Speichern der Schlüssel. Das ganze sollte noch benutzerfeeundlich sein und auf vielen Plattformen verfügbar sein. Dabei hilft LINUX nicht. Ein weit verbreiterter Irrtum ist auch, dass quelloffener Code sicher ist.

    • In zwei von drei Punkten gebe ich Ihnen Recht:
      1. Verschlüsselung des Mailinhalts ist nur EINE wichtige Komponente. Aber keine der unwichtigeren …

      2. Meta-Daten sind ebenfalls wichtig. DE Mail zu vertrauen, hebelt ja wieder die Inhaltsverschlüsselung aus? Die entschlüsseln doch routiniert mit lächerlichen Argumenten! Allerdings vielleicht hülfe die Kombination: Meine Daten als eigenschlüsseltes Attachment und dann per DE Mail?

      3. Ich unterliege nicht dem „weitverbreiteten Irrtum, dass quelloffener Code sicher ist“. Aber: NUR quelloffener Code KANN überhaupt sicher sein. Geheimcode wie bei Microsoft und Apple (in relevanten Teilen) bedeutet immer, dass ich dem Hersteller vertrauen muss. Das hat sich als Einfallstor erwiesen – Microsoft ist seit dem 11.9.07, Google seit 14.1.09 und Apple seit dem Oktober 2012 „NSA-Partner“.

      Bei Quelloffenheit müssen Manipulationen öffentlich erfolgen. Jederzeit nachprüfbar.

      Dass das der einzelnen Behörde, Unternehmen, noch weniger dem einzelnen Nutzer in der Regel derzeit nicht möglich ist, halte ich für lösbar. Es würde beispielsweise ausreichen, jährlich ein Tausendstel dessen, was man für Microsoft-Lizenzen ausgibt, als „Preis für das Finden einer Sicherheitslücke“ auszuloben, um Universitäten, Softwareunternehmen etc. zu motivieren, ständig nach Fehlern zu forschen. Dieser Preis könnte locker mit 1 Mio Euro / Jahr angesetzt werden.

      Zwar versucht Microsoft nun wieder Linux nachzuäffen und bieten in „Transparenz-Centern“ ebenfalls Einblick in den Code an: Das aber ist ineffektiv, lächerlich und undankbar. Während ich durch die Beschäftigung mit dem Quellcode offener Software mich relevant weiterqualifiziere, lande ich bei Geheimsoftware in einer intellektuellen Sackgasse: Das Wissen, was ich erlange, hat nur einen Abnehmer, Microsoft.

Kommentare sind deaktiviert.