Sichere Kommunikation 2. August 2013 von

PGP und der Kampf um Verschlüsselung

Bild-10356

Schon Mitte der neunziger Jahre warnte der PGP-Entwickler Phil Zimmermann, dass E-Mail-Kommunikation einfach, automatisch und unbemerkt großflächig überwacht werden kann. Heute kann jeder Bürger Verschlüsselungstechniken einsetzen, dennoch sind die Auseinandersetzungen darüber nicht abgeklungen.

Auf der einen Seite: Die USA und ihre Spionageagentur NSA, die einen ungesunden Appetit auf die Daten der Weltbevölkerung entwickelt hat. Sie will die Kommunikation per Telefon und Internet überwachen, speichern und auswerten. Ihr Herausforderer: Ein Hacker, der das Menschenrecht auf freie Kommunikation in das Zeitalter digitaler Vernetzung retten will. Er hat ein Programm geschrieben, das es den Menschen erlaubt, über digitale Netzwerke verschlüsselte Informationen auszutauschen, ohne sich vor staatlicher Überwachung fürchten zu müssen.

Es kommt zum Kampf zwischen Daten-David und Überwachungs-Goliath. Am Ende geht Goliath in die Knie: Das Programm des Hackers wird erlaubt, verbreitet sich über das Internet rund um den Globus und erlaubt es der Weltbevölkerung wieder, unkontrolliert miteinander zu kommunizieren. Pech gehabt, NSA.

Das mag klingen wie der Plot eines Cyber-Thrillers, aber die zugrundeliegenden Ereignisse haben wirklich statt gefunden – vor gut zwanzig Jahren. Damals entwickelte der amerikanische Programmierer Philip Zimmermann das Programm Pretty Good Privacy (PGP) – und zwar aus Gründen, die im Lichte der jetzt bekannt gewordenen Spionage-Aktivitäten der NSA und europäischer Geheimdienste beängstigend aktuell wirken. PGP erlaubt es Nutzern, ihre Online-Kommunikation so zu verschlüsseln, dass sie nicht ohne Weiteres von ungebetenen Dritten mitgelesen werden können.

Von Clipper über Echelon zu PRISM

Zimmermann, eigentlich ein stiller und unpolitischer Mensch, hatte das Programm geschrieben, als 1991 Pläne der amerikanischen Regierung bekannt wurden, Datenkommunikation abzuhören. Per Gesetz sollten Telekommunikationsunternehmen verpflichtet werden, in ihre Anlagen eine fest installierte Hintertür einzubauen, die es der Polizei und Geheimdiensten erlauben würde, Zugang zu Telefonaten und Datentransfers zu erhalten. Auch wenn das Gesetz nach einem öffentlichen Aufschrei nicht vom US-Senat verabschiedet wurde – Zimmermann sah kommen, was inzwischen beängstigende Realität geworden ist: dass die amerikanischen Dienste nichts unversucht lassen würden, um die internationale digitale Kommunikation abzuschöpfen.

Wie recht er behalten sollte, zeigen in diesen Tagen wieder die Enthüllungen, nach denen die amerikanische Regierung versucht hat, Internetfirmen zu zwingen, ihre Schlüssel für SSL-Datenverbindungen offenzulegen und so Zugang zu verschlüsselter Datenkommunikation zu bekommen. Versuche der US-Behörden, die Online-Kommunikation abzuhören, gibt es allerdings seit mehr als zwei Jahrzehnten. Auf den 1991 gescheiterten Versuch folgte der ebenfalls nicht erfolgreiche Clipper Chip, das Echelon-Programm, schließlich die Programme um PRISM.

Das zeigt, dass US-Geheimdienste unter mehreren verschiedenen Regierungen kontinuierlich darauf hin gearbeitet haben, die internationalen Datennetzwerke flächendeckend abhören zu können. Dank Edward Snowden wissen wir, dass dies unter Präsident Obama nun gelungen ist – in einer Zeit, in der die ehemalige Außenministerin Hillary Clinton weltweit Reden über „Internet-Freiheit” hielt.

Der Beginn von PGP

Philip Zimmermann sah diese Entwicklung voraus. Darum schrieb er Anfang 1991 in wenigen Wochen die Software PGP – Pretty Good Privacy – und stellte sie kostenlos über das Usenet bereit, durch das es sich zunächst unter Hackern in der ganzen Welt verbreitete. Die starke Verschlüsselung des Programms aber fiel unter die Exportkontrolle. Die USA hatten ebenso wie weitere Staaten seit dem kalten Krieg entsprechende Regelungen für kryptografische Verfahren eingeführt, so dass der amerikanische Zoll es als „Munition” klassifizierte und gegen Zimmermann wegen Verstoßes gegen das amerikanische Waffenexportgesetz vorging.

Die Ermittlungen zogen sich fünf Jahre hin, erst 1996 wurden sie schließlich eingestellt. Zimmermann gründete ein Unternehmen, das PGP als kommerzielles Produkt vertrieb. PGP Inc. wurde später vom IT-Unternehmen Network Associates, dann von Symantec unternommen und ist bis heute als verlässliches Verschlüsselungs-Werkzeug im Einsatz.

Zimmermanns knapper Text „Why do you need PGP?”, Mitte der 90er Jahre verfasst, ist aus heutiger Sicht von geradezu hellseherischer Klarheit: „E-Mails können viel zu leicht abgefangen und nach interessanten Schlüsselworten durchsucht werden. Das kann ganz einfach, routinemäßig, automatisch und unbemerkt in großem Maßstab getan werden. Schon jetzt werden Übersee-Telegramme auf diese Weise von der NSA großflächig durchsucht”, stellte Zimmermann fest.

Ein Werkzeug alleine hilft nicht

Dennoch haben sich Zimmermanns PGP oder die kostenlose OpenPGP-Variante bei den meisten Internet-Nutzern bislang nicht durchsetzen können. Es setzt voraus, dass alle Kommunikationsteilnehmer das Programm benutzen und die digitalen Schlüssel zum Öffnen der Nachrichten auf dem Rechner haben. Dem alternativen Standard S/MIME geht es ähnlich. Gegen das jetzt bekannte großflächige Absaugen von Verbindungsdaten – wer mit wem wann Nachrichten austauscht – helfen allerdings auch diese Programme nicht. Hier setzten weitere Techniken wie TOR an: Die Software macht jeden angeschlossenen Computer zu einem Knoten in einem Netzwerk, das der Anonymisierung von Verbindungsdaten dient.

Diese Art von Selbstschutz fürchten Dienste wie die NSA offenbar am meisten: Wer TOR oder PGP verwendet, ist für die Behörde von vornherein verdächtig. Selbst wenn sie solche Botschaften (noch) nicht lesen kann, speichert sie sie länger als andere Daten. Wer wiederum die TOR-Software verwendet, der wird bis auf weiteres „nicht als Bürger der Vereinigten Staaten behandelt”, sodass Überwachungs-Einschränkungen wegfallen.

Den jüngsten, zum Überwachungssystem „XKeyscore” bekannt gewordenen Informationen nach sollen Geheimdienste sogar gezielt suchen können, wo Nutzer Verschlüsselungstechnik einsetzen – „Zeige alle Nutzungen von PGP im Iran” wird dort als eine mögliche Anwendung beschrieben. So scheint es, dass Nutzer vor einer schlechten Alternative stehen, solange Verschlüsselung nicht breit genutzt wird: Wer nicht verschlüsselt, kann jederzeit abgehört werden; wer es aber tut, könnte im Zweifel besondere Aufmerksamkeit auf sich ziehen. Wer sie einsetzt, müsse etwas zu verbergen haben, so die Logik der Geheimdienste. Die Geschichte von David und Goliath ist so schnell noch nicht zu Ende.

Zum Thema bei iRights

Zum Thema im Internet

1 Kommentar