*das ist „Binärisch“ und bedeutet:.. 35
Shownotes
Deine E-Mails für andere mitlesbar wie eine Postkarte? Möchtest Du wirklich, dass jeder lesen kann, was Du zuletzt geschrieben hast – auch, wenn Du natürlich nichts zu verbergen hast?
In dieser Folge sprechen wir mit dem Informatiker Frank Fünfstück über sichere Kommunikation und decken dabei so einige Wahrheiten auf: Was bedeutet die Ende-zu-Ende-Verschlüsselung von Chats bei WhatsApp und ist eine SMS sicherer?
Frank erklärt uns nicht nur, welche Arten von E-Mail-Verschlüsselung es gibt, sondern auch wie Du es in der Praxis umsetzen kannst. Ob es wirklich so kompliziert ist, wie es sich anhört? Nein, ist es nicht. Sichere Kommunikation ist nicht nur für Berufsträger*innen wie Anwält*innen, Ärzt*innen oder auch Journalist*innen wichtig, die mit besonders sensiblen Informationen in Kontakt treten, sondern auch für unseren Alltag.
Hört gerne in unsere Folge rein und hinterlasst uns eure Meinung auf unseren Social-Media-Kanälen. Bei Fragen oder Anregungen schreibt uns auch gerne eine Mail an hallo@dasou.law und abonniert uns sowohl bei eurer Podcast-App als auch auf Social Media.
BSI steht für Bundesamt für Sicherheit in der Informationstechnik: https://www.bsi.bund.de/DE/Home/home_node.html
PGP – steht für Pretty Good Privacy: z.B. hier https://www.openpgp.org oder hier https://www.gnupg.org/index.de.html
S/MIME – steht für Secure/Multipurpose Internet Mail Extension
Thunderbird – ein freies E-Mail-Programm und zugleich Personal Information Manager, Feedreader, Newsreader sowie Messaging- und Chat-Client: https://www.thunderbird.net/de/
Kleopatra – ein Zertifikatsmanager und eine grafische Oberfläche für Ver- und Entschlüsselung von E-Mails: z.B. hier https://www.gpg4win.de/features-de.html
Actalis, ein Anbieter, bei dem man S/MIME-Zertifikate erwerben kann: https://www.actalis.com/s-mime-certificates
Mehr Infos zur E-Mail-Verschlüsselung findest Du in unseren Blogbeiträgen:
Transkript
Download
Sichere Kommunikation per E-Mail, SMS und WhatsApp
DaSou-Podcast-Folge mit Frank Fünfstück
Karina Filusch:Hallo und herzlich Willkommen zu dem DaSou Podcast. Mein Name ist Karina Filusch. Ich bin Datenschutz Anwältin und einmal im Monat spreche ich mit einer Expertin oder einem Experten über das Thema Datensouveränität, abgekürzt Dasou. Heute spreche ich mit Frank Fünfstück. Frank ist Informatiker und er erklärt uns heute, wie sichere Kommunikation aussieht. Also, wie kann ich sicher per E-Mail kommunizieren? Wie kann ich sicher per Messenger kommunizieren? Sind Fax und SMS sicher oder nicht? Und das ist nicht nur für uns „normale Menschen“ wichtig, sondern auch für Berufsgruppen, die vielleicht mit sensiblen Daten zu tun haben, wie zum Beispiel Ärztinnen und Ärzte, auch natürlich Rechtsanwältinnen und Rechtsanwälte, aber auch Journalistinnen können unter Umständen geheime und sensible Daten herumschicken wollen. Und da ist es relevant zu wissen, wie man es schafft, dass Daten oder Informationen von A nach B sicher gelangen, ohne dass jemand sie mitlesen kann oder sich einhacken kann oder sie womöglich sogar abfließen lassen kann. Das alles will ich mit Frank besprechen. Frank, du hast diesen Satz „ich habe nichts zu verheimlichen“ garantiert schon oft gehört. Ich höre ihnen zumindest regelmäßig in meiner Praxis. Wieso ist es wichtig dennoch verschlüsselt, also sicher zu kommunizieren, auch wenn ich eigentlich nichts zu verheimlichen habe?
Frank Fünfstück:Also grundsätzlich ist die verschlüsselte Kommunikation dazu da, letzten Endes unsere privaten Kommunikationen zu schützen. Wenn du dich mit deinem Freund oder deiner Freundin unterhältst, möchtest du eigentlich nicht, dass jemand mithört. Das mag sein, dass das alles banale Gespräche heute sind. Ob die Gespräche morgen noch banal sind und oder gegen dich verwendet werden, ist dabei tatsächlich eine ganz andere Sache. Aus meiner Sicht kann daher für den Persönlichkeitsschutz nur gelten, das verschlüsselte Kommunikation auch deine Privatsphäre schützt, und das ist für uns alle ein Grundrecht.
Karina Filusch:Jetzt haben wir beide das Wort Verschlüsselung verwendet, aber was bedeutet Verschlüsselung? Was ist das genau, also so grob erklärt?
Frank Fünfstück: Verschlüsselung kann man sich vorstellen, wie man flüstert jemanden etwas ins Ohr, was der andere nebenan nicht hören soll. Über die elektronischen Leitungen, die wir haben, ist sämtliche Kommunikation sehr einfach abzuhören, und deshalb wollen wir eigentlich unseren gegenüber immer was ins Ohr flüstern und verschlüsseln.
Karina Filusch: Geht es dabei nur um Sprache oder auch um das geschriebene Wort? Also auf welche Medien bezieht sich das alles?
Frank Fünfstück: Verschlüsselung ist vollkommen abstrakt zu sehen. Auch Sprache sind letzten Endes, wenn sie über elektronische Leitung gehen oder aufgefangen werden können, nur noch Daten. Sämtliche Sprache, die wir über unsere Leitung schicken, wird letzten Endes heute nur noch vollständig digital kodiert und transportiert und unterscheidet sich da eigentlich nicht von irgendwelchen Schriftsätzen oder Dokumenten, die wir zusätzlich verschlüsseln können.
Karina Filusch: Okay, wie funktioniert diese Verschlüsselung jetzt aus technischer Sicht? Kannst du da uns so einen groben Überblick geben?
Frank Fünfstück: Ja, da gibt es im Grundsatz zwei Verfahren, die im Moment im Wesentlichen angewendet werden. Dass ist die synchrone und die asynchrone Verschlüsselung oder symmetrische oder asymmetrische Verschlüsselung. Bei der symmetrischen Verschlüsselung gibt es sozusagen ein Schlüssel, den man sich vorstellen kann wie ein sehr, sehr langes Passwort. Mit dem Schlüssel kann man die Daten verschlüsseln und auch wieder entschlüsseln. Das heißt aber auch, jeder, der das Passwort irgendwie bei der Kommunikation abfangen konnte, kann die Daten zwischendurch lesen. Bei der asymmetrischen Verschlüsselung ist es so, dass jemand ein Schlüssel zum Zuschließen der Daten hat. Der kann mit dem Schlüssel die Daten aber auch nie wieder aufschließen, und da braucht die Gegenseite einen zweiten Schlüssel, mit dem die Daten letzten Endes aufgeschlossen werden können. Das nennt man in der Regel ein public-key-Verfahren. Das heißt, bei der Verschlüsselung wird ein Schlüssel generiert, der ein öffentlicher Schlüssel ist, und ein Schlüssel generiert, der ein geheimer Schlüssel ist. Der geheime Schlüssel ist ein Geheimnis, und der bleibt bei demjenigen, der die Daten empfangen soll, und der öffentliche Schlüssel wird in der ganzen Welt zur Verfügung gestellt. Die können damit dem letzten Endes nichts anfangen, außer die Daten selber zu verschlüsseln.
Karina Filusch:Jetzt nochmal so ein praktisches Beispiel. Auf meiner Webseite habe ich zum Beispiel mein Public-key für meine Kanzlei E-Mail Adresse öffentlich gestellt. Der kann dort runtergeladen werden und importiert werden, also bei sich in das E-Mail Programm eingepflegt werden. Und wenn du mir jetzt eine E-Mail schreiben möchtest, dann nimmst du dir diesen Public-key von meiner Webseite, schreibst mir eine E-Mail, schickst sie mir, du verschlüsselst die vorher natürlich. Du kannst sie mir verschlüsselt schicken, weil du mit diesen Public-key von mir gefunden hast auf der Webseite. Öffnen kann aber nur ich die E-Mail, weil ich meinen geheimen Schlüssel dafür habe.
Frank Fünfstück: Genauso ist es. Nur mit dem öffentlichen Schlüssel kann ich einfach nur abschließen. Also, ich kann hinter mir jeden Raum wie so eine Tür, die ins Schloss fällt und die draußen ein Knauf hat, die ziehe ich zu und damit kommen andere nicht mehr rein. Wenn man rein will, braucht man einen Schlüssel und muss den aufschließen können. Und das ist der geheime Schlüssel, den du hast. Das heißt also, Leute, die zu dir ins Haus einlädst, die haben sozusagen mit der Tür Klinke auf der Innenseite der Tür den Schlüssel in der Hand, die Tür zu öffnen, und lassen die Tür danach ins Schloss reinfallen, aber von draußen kommt dann keiner rein.
Karina Filusch:Jetzt kennen wir von WhatsApp das Wort Ende-zu Ende-Verschlüsselung. Das taucht seit ein paar wenigen Jahren auf in den Chats. Immer wenn man einen neuen Chat öffnet mit einer Person, steht dort drinnen: diese Kommunikation ist Ende-zu-Ende verschlüsselt. Was bedeutet das? Ist das etwas Gutes?
Frank Fünfstück: Ja, da muss man so ein bisschen unterscheiden zwischen den unterschiedlichen Verschlüsselungsmethoden. Also, wir haben jetzt einmal symmetrische und asymmetrische Verschlüsselung diskutiert, und dann gibt es noch eine sogenannte Transport-Verschlüsselung und eine Ende-zu Ende-Verschlüsselung. Bei der Transport-Verschlüsselung ist auf den jeweils den Endgeräten oder auf den Servern, die zwischendurch sind, nur der Datenverkehr im Netzwerk selber verschlüsselt. Bei der Ende-zu-Ende-Verschlüsselung werden nur verschlüsselte Datenpakete zwischen dem Sender und dem Empfänger, also zwischen mir und dir, vollständig verschlüsselt, so dass der Server, der unterwegs die Transportaufgaben durchführt, in diesem Datenverkehr selber nicht reingucken kann, davon also keine Kenntnis erhält. Das ist Ende-zu-Ende-Verschlüsselung. Bei Transportverschlüsselung erhält jeder Server, der dazwischen drinn ist, jedes Mal vollständigen Einblick in die Daten, die da vorhanden sind.
Karina Filusch: Das bedeutet: die Transportverschlüsselung, welche man ja aus der normalen E-Mail kennt – mittlerweile ist das ja schon Stand der Technik, dass eine ganz gewöhnliche E-Mail schon Transportverschlüsselung hat – also, dafür braucht man diesen Schlüssel nicht, über den wir vorhin schon gesprochen haben. Sondern wenn ich jetzt auf meine private Gmx, web.de, weiß ich nicht, was für welche Anbieter noch…, wenn ich auf meinen ganz normalen E-Mail Anbieter gehe und dort eine E-Mail schreibe, ist sie auf jeden Fall schon mal Transport verschlüsselt. Das ist der normale Standard, ohne dass ich irgendwelche Schlüssel brauche. Das bedeutet aber auch, dass wenn ich dieselbe Domain habe, zum Beispiel von irgendeinem Anbieter – jetzt nicht meine Kanzlei, aber vielleicht irgendeine andere oder irgendein Büro – und sagen wir mal, es gibt zwei Mitarbeiter, die sich E-Mails schicken wollen, die sitzen im selben Büro, und Mitarbeiterin A schickt Mitarbeiter B dann im selben Büro eine E-Mail, dann bedeutet das, obwohl sie ja räumlich in einem Raum sitzen, dass diese E-Mail diese ganzen Server abklappert. Und dass sie unter Umständen sogar ein Server in den USA oder sonst irgendwo passiert. Oder?
Frank Fünfstück: Genau. Also, man kann die E-Mail Wege da tatsächlich nicht genau sagen. Das bestimmt das Netz selbst im Wesentlichen. Aber auf jedem Server, wo sozusagen der Postbote einmal da ist, wird diese E-Mail ausgepackt, wird reingeguckt: an wen geht die und wie soll die weiter transportiert werden, und wird wieder eingepackt. Jeder Server, der da auf dem Weg ist, kann da tatsächlich reingucken. Und wenn die E-Mail-Accounts dann nicht bei dir privat auf irgendeinem deiner Server liegen, sondern letzten Endes irgendwie bei Outlook.com oder bei GMail liegen, dann kann auch Microsoft oder Google in diese E-Mails inhaltlich reingucken, weil die tatsächlich nicht Ende-zu-Ende verschlüsselt sind.
Karina Filusch: Ja, was ist denn jetzt, wenn ich einen Liebesbrief verschicken will per normaler E-Mail? Was mache ich denn dann? Also, wie schütze ich mich künftig besser, wenn ich Liebesbriefe oder irgendwelche Daten verschicken will? Es müssen noch nicht mal besonders sensible Daten sein, sondern ich will vielleicht nicht, dass diese Server mitlesen. Was mache ich denn dann am besten künftig?
Frank Fünfstück: Also, du kannst grundsätzlich immer nur leider den Inhalt verschlüsseln. Da kannst du dir entweder bei Actalis, zum Beispiel, ein kostenloses S/MIME Zertifikat besorgen oder du setzt oben PJP ein und kannst dir da deinen Schlüssel selber generieren. Dann kannst dann mit PJP selbst verschlüsseln. Dafür gibt’s für bestimmte Systeme entweder Onboard Möglichkeiten: der Thunderbird, zum Beispiel, kann Onboard, verschlüsseln, oder du kannst ja für Outlook ein kostenloses Tool holen. Das wird vom BSI zum Beispiel bereitgestellt und heißt „Kleopatra“. Damit kannst du dann wirksam den Inhalt deiner Daten verschlüsseln. Das Problem dabei ist tatsächlich, dass der Server an der Stelle immer noch weiß, wer dein Liebster ist.
Karina Filusch: Das heißt in einem Büro würde das funktionieren, weil man kann ja seinen Kolleginnen und Kollegen dieses Verfahren erläutern und dafür sorgen, dass man diese Schlüssel hat und sie benutzt. Was ist denn jetzt aber mit Kundinnen und Kunden im Außenkontakt? Also so ganz normale Menschen, die gerade vielleicht angefangen haben, sich mit sicherer Kommunikation zu beschäftigen und das vielleicht zu kompliziert finden. Gibt es für die auch irgendwie eine Chance, sicher zu kommunizieren?
Frank Fünfstück: Ja, die gibt es relativ gute Chancen für sichere Kommunikation. Jeder, der E-Mails schreibt, hat in der Regel unten sein ID-Feld drinnen. Da steht ja immer dran, wer ich bin und wo ich herkomme und viele hängen da mittlerweile auch ihre Visitenkarten dran. Da kann man zum Beispiel seinen öffentlichen Schlüssel mit anhängen, sodass man den öffentlichen Schlüssel insbesondere bei PGP sehr gut damit verteilen kann. Für PGP gäbe es dann auch noch zusätzlich sogenannte „Schlüssel-Server,“ die von den jeweiligen Tools immer abgefragt werden, sodass geprüft wird, ob ein öffentlicher Schlüssel vorhanden ist und da die Verschlüsselung dann genutzt werden soll. Das funktioniert relativ gut, das muss man auch nicht groß einrichten. Man müsste dazu nur seinen öffentlichen Schlüssel bei PGP selber dem Schlüssel-Server zur Verfügung stellen. Bei S/MIME ist das alles eigentlich ein bisschen einfacher. Bei S/MIME habe ich ja ein Zertifikatsanbieter, eigentlich Vertrauensdiensteanbieter, der nicht ganz so gut abgesichert ist vom Zertifikat her, sodass es nicht ganz DSGVO-konform ist. Da suchen sich die Klienten dann in der Regel auch die Zertifikate selbst raus und verschlüsseln das auf diesem Weg selber.
Karina Filusch: Das heißt, ohne PJP und S/MIME gibt es eigentlich noch keine Möglichkeit sichere E-Mails zu verschicken.
Frank Fünfstück: Das ist so. Man kann hingehen und kann versuchen die Word-Datei zu verschlüsseln. Letzten Endes kann man die umbenennen in eine Zip-Datei und die Daten dann wieder entschlüsseln, weil das nur ein interner Word-Schutz ist. Funktioniert also nur sehr beschränkt und für jemanden, der Ahnung hat, ist das sehr leicht zu knacken.
Karina Filusch: Sch! Verrate doch nicht die ganzen kleinen Hackertricks. Das ist ja böse!
Frank Fünfstück: Das ist die Wahrheit.
Karina Filusch: Okay also für alle, die eine Word-Datei jemals verschlüsselt haben und geglaubt haben, das sei super sicher: ist es nicht. Das ist ja erstaunlich, dass es so leicht zu umgehen ist. Was macht man denn jetzt, wenn man Ärztin ist oder ich als Anwältin? Oder ich denke jetzt an Journalistinnen und Journalisten, wenn die eine E-Mail verschicken wollen, zum Beispiel an einen Kontakt, der nicht will, dass man weiß, dass man mit der Journalistin oder mit einem Journalisten gesprochen hat? Gibt es da irgendwie die Chance, das zu verschlüsseln, zu verschleiern, zu verheimlichen, oder betrifft das wirklich nur die Inhalte?
Frank Fünfstück: Also die gesamte E-Mail-Kommunikation selber ist vollkommen transparent. Die Metadaten dieser E-Mails jeweils sind für sämtliche Behörden oder Whistleblower und die, die was dagegen haben, dass man whistleblowen tut, einsehbar. Alles was du da mit verfügbaren Messengern – ob die jetzt Signal heißen oder WhatsApp heißen oder Threema heißen – oder E-Mail-Kommunikation machst, ist leider vollständig transparent. Was man da macht heute ist letzten Endes so dieses „Konzept des toten Briefkastens,“ wie man das aus späten Agenten-Thrillern oder frühen Agenten-Thrillern kennt. Dafür hat die amerikanische Regierung ein Tornetzwerk entworfen, über das solche Informationen völlig verschlüsselt und anonymisiert verschickt werden können. Das ist so ein bisschen wie ein Zwiebel-Konzept. Da gibt es eine Handvoll Server, die dazwischen sind und jeweils kennt nur der erste Server den zweiten Server und der zweite Server den dritten Server, sodass der erste Server weder den dritten Server kennt und damit weder den Absender noch den Empfänger kennt. Dann muss man das tatsächlich für solche Fälle in irgendwelche Websever hochladen, die dann bei dem jeweiligen Presseunternehmen stehen.
Karina Filusch: Nochmal zur Klarstellung oder Nachfrage. Du sagtest, die ganze E-Mail Kommunikation sei transparent. Wenn ich jetzt aber ein S/MIME Zertifikat oder PJP nutze, dann ist doch der Inhalt nicht mehr transparent, oder? Sondern nur die Metadaten im Hintergrund, also wann ich wem eine E-Mail schicke?
Frank Fünfstück: Na ja, das sind nicht nur die Metadaten, wann du wem eine E-Mail schickst. Es kommt so ein bisschen drauf an, wie die Verschlüsselungseinstellung ist. Manchmal ist sogar der Betreff nicht verschlüsselt, sondern wirklich nur der Body der E-Mail, sodass man aus dem Betreff schon ein bisschen etwas lesen kann. Und aus den Metadaten der Kommunikation kann man sehr schnell sehr genau erkennen, wer wann mit wem geschrieben hat, wann Kommunikationspausen waren, also wer möglicherweise sogar mit wem eine Beziehung hat. Die sind ganz gefährlich, diese Metadaten.
Karina Filusch: Gucken wir uns vielleicht noch andere Kommunikationswege an, ob die vielleicht sicherer sind als die normale E-Mail. Wir müssen bedenken, E-Mails sind auch schon über 40 Jahre alt. Das ist vielleicht nicht mehr das bevorzugte Kommunikationsmittel meiner Generation und der Generation nach mir noch weniger. Wir kommunizieren schon anders, nämlich über Messenger. Deswegen hatten wir über Ende-zu-Ende-Verschlüsselung gesprochen. Lass uns doch mal kurz besprechen: Kann das jetzt für eine Ärztin, für eine Rechtsanwältin, für einen Journalisten der bessere Weg sein, um die Inhalte und die Kontaktperson zu schützen? Weil nicht jeder will, dass andere wissen, dass man zu einer bestimmten Ärztin geht, weil das ja auch viele Informationen über einen Preis gibt.
Frank Fünfstück: Ja, das ist spannend, was du da ansprichst. Da hat sogar die DSGVO im Artikel 4 schon festgestellt, dass selbst die Anbahnungsdaten einer ärztlichen Behandlung unter die besonderen Kategorien des Artikel 9 fallen.
Karina Filusch: Für den Hintergrund zu den Artikel 9 Daten: Das sind, wie man im normalen Sprachgebrauch sagen würde, sensible Daten. Darunter fallen Gesundheitsdaten, aber auch Daten zu sexuellen Orientierungen, sowie biometrische Daten – das sind ja nicht nur Fotos, sondern auch die Sprache -Gewerkschaftszugehörigkeiten, politische Einstellung, religiöse Einstellung und noch ein paar andere Dinge.
Frank Fünfstück: Genau, und da sagt die DSGVO sogar, dass Anbahnungsdaten unterfallen dem Schutz dieser Daten. Also sämtliche Kommunikation mit einer Ärztin, wenn du das wirklich gar nicht wissen willst oder gar nicht offenbaren willst. Wenn man jetzt zum Beispiel diese Debatte um Abtreibung in manchen europäischen Ländern oder in den USA sieht, dann sind die Metadaten der Kommunikation mit so einer Abtreibungsklinik halt sehr relevant, weil du willst dich da bewerben. Diese Daten würden in einer solcher Kommunikation dann immer anfallen, wenn man sie nicht richtig streng vertraulich irgendwo handhabt. Ein Internetprovider oder dein E-Mail-Provider, der würde immer wissen, dass du mit einer Abtreibungsklinik kommuniziert hast, und das willst du ja eigentlich nicht.
Karina Filusch: Also auch wenn ich so einen Messenger benutze?
Frank Fünfstück: Auch der Messengerdienst selber weiß, mit wem du geredet hast. Es gibt ein paar Messengerdienste, die wirklich anonym sind. Bei WhatsApp sind wir aber nicht anonym. Dahinter lassen wir ja immer unsere Telefonnummer. Damit sind wir vollständig identifizierbar.
Karina Filusch: Und wir lassen den Zugriff auf das Telefonbuch auch in der Regel zu. Ich weiß gar nicht, ob man das bei WhatsApp ausstellen kann oder nicht, aber das ist auf jeden Fall auch immer ein Problem. Wenn man die Möglichkeit hat, sollte man das auch ausstellen in den Optionen.
Frank Fünfstück: Ja das ist so. Das sind alles Informationen, die wir Meta und Facebook und damit letzten Endes der amerikanischen Regierung zur Verfügung stellen, die jederzeit benutzt werden können, sowohl für als auch gegen uns.
Karina Filusch: Also auch wenn WhatsApp diese Ende-zu Ende-Verschlüsselung benutzt – du hattest ja gesagt, das bedeutet, dass auch zwischen diesen ganzen Servern, die diese Nachricht passiert, dass die dort nicht geöffnet werden kann – aber nichts desto trotz: diese ganzen anderen Daten, die drum herum anfallen, machen die Kommunikation nicht sicher?
Frank Fünfstück: Die machen es grundsätzlich zumindest soweit erkennbar, dass Kommunikation mit jemanden stattgefunden hat. Ja, also Facebook und Meta wissen, wenn du über WhatsApp mit deiner Ärztin in Kontakt getreten bist, dass ein Kontakt da war und dass da ein Kontakt mit einer bekannten Abtreibungsklinik da war. Ja, das ist benutzbar.
Karina Filusch: Weiß WhatsApp eigentlich, was ich da schreibe, auch wenn sie es Ende-zu-Ende verschlüsseln? Sie selber können da trotzdem drauf zugreifen, oder?
Frank Fünfstück: Bei den Verschlüsselungsverfahren, soweit der WhatsApp Code ein Opensource ist, ist bekannt, dass das zumindest für die Textinhalte – also das, was du wirklich schreibst – nicht geht. Auf der anderen Seite muss man auch sagen, dass WhatsApp natürlich screent auf irgendwelche verschlüsselten Bilddateien – da sei dieses Thema Kinderpornografie mal wieder aufgegriffen, die werden ja erkannt – insofern kann es nicht sein, dass diese vollständig durchgehend Ende-zu-Ende verschlüsselt sind, weil jeder Schlüssel da einen anderen Hash erzeugen würde und die technisch eigentlich nicht erkennbar sind.
Karina Filusch: Das heißt bei WhastApp ist der Code nicht Opensource, nicht wahr?
Frank Fünfstück: Der Code für den Client ist tatsächlich Opensource, aber was sie auf dem Server machen, das ist nicht Opensource.
Karina Filusch: Okay, Opensource bedeutet, dass der Code der Öffentlichkeit zugänglich ist. Das ist notwendig, damit man das überprüfen kann, ob das, was der Anbieter verspricht, auch wirklich drin ist. Und uns ist ja auch bekannt, nicht wahr, dass irgendwie mitgelesen wird. Ich hatte schon in einer der letzten Podcastfolgen dieses Beispiel erwähnt, dass mir ein Freund geschrieben hat: „Ach, guck mal, komm her auf diesen Spielplatz! Hier sitzt ein bestimmter Politiker.“ Und hat diesen Namen des Politikers in die WhatsApp Nachricht geschrieben. Am nächsten Tag war ich bei Instagram unterwegs, und dann wurde mir genau diese Politik dann plötzlich als Kontakt vorgeschlagen. Also, das ist kein Zufall. Das ist so, weil Instagram und Facebook zum selben Konzern, zum Meta Konzern, gehören und natürlich wird da irgendwo mit gelesen und die Informationen ausgetauscht und miteinander verknüpft und gebündelt, und ich weiß auch nicht, was noch.
Frank Fünfstück: Ich denke nicht, dass da tatsächlich der geschriebene Text mitgelesen worden ist.
Karina Filusch: Ja, er hat auch ein Foto von den Politikern mitgeschickt.
Frank Fünfstück: Genau also, jetzt kommen wir tatsächlich eigentlich auf die Wahrheit. WhatsApp trägt natürlich eure Positionen mit und merkt über die App, wenn ihr euch gemeinsam nähert. Und WhatsApp kann auch diese Beziehungsdaten, dass ihr plötzlich zusammenkommt, physisch zusammenkommt, das können die auswerten über die App. Das sind Metadaten der Kommunikation, die gar nicht stattfindet, aber die werden ausgewertet und genutzt.
Karina Filusch: Was ist denn, wenn wir jetzt diese anderen Messenger benutzen, die mehr Datenschutz versprechen, zum Beispiel Signal oder Threema? Jetzt gucken wir uns vielleicht erst mal nur die beiden an. Es gibt ja noch andere. Wie sieht es bei denen aus mit der Sicherheit?
Frank Fünfstück: Threema ist ein schweizer Produkt, von dem letzten Endes auch nur der Klient Opensource, zumindest mir im Moment sicher bekannt, vorhanden ist. Auch da weiß man nicht, was auf dem Server letzten Endes passiert ist und passiert. Und ich darf daran erinnern, dass wir einen kleinen Vorfall mit einer Firma, die Krypto AG heißt, in der Schweiz hatten, die letzten Endes vom BMG und vom FBI gesteuert worden ist und schwache Kryptographie für Staaten zur Verfügung gestellt hat, die nicht im innersten Nato-Bereich waren. Zum Beispiel Argentinien im Falkan-Krieg, da dann tatsächlich entschlüsselt worden ist und damit genutzt werden konnte. Insofern weiß man das nicht genau, was die da an Daten nutzen und weitergeben. Und man kennt – also ich zumindest – müsste da die Hintergründe von Threema und deren Geldgeber tatsächlich prüfen. Ich wüsste das im Moment nicht. Bei Signal ist es so, dass wir da eine Foundation haben, also eine Opensource Foundation, und der Spenden organisiert ist. Nichtsdestotrotz, auch Signal sitzt in den USA und die USA haben halt den FISA 712, sodass da letzten Endes auch nicht ausgeschlossen werden kann bei Signal das Zugriff zumindest auf die Metadaten funktioniert. Da halte ich Zugriff auf die Inhalte tatsächlich für ausgeschlossen.
Karina Filusch: Du hälst den für ausgeschlossen? Ich habe kürzlich mal die Datenschutz Hinweise von Signal gelesen und die nutzen durchaus auch private Unternehmen, um Serverleistungen von diesen zu beanspruchen, wie zum Beispiel AWS, also Amazon-Web-Services, das wird unter anderem eingesetzt und noch andere. Inwiefern kann das dann noch sicher sein, wenn Signal das nutzt?
Frank Fünfstück: Dadurch, dass bei Signal der Sourcecode offen liegt, kann man davon ausgehen, dass die gesamte Kommunikation tatsächlich wirklich Ende-zu-Ende verschlüsselt ist. Aber die Metadaten fallen immer noch an, und die fallen immer noch in die Hände von Amazon, und die fallen in die Hände von amerikanischen und anderen Behörden, also Five eyes sei da so ein Thema.
Karina Filusch: Was ist Five eyes?
Frank Fünfstück: Es ist die Nachrichten Allianz der englischsprechenden Staaten. Dazu gehören die USA, Kanada, England, Australien und Neuseeland.
Karina Filusch: Was machen die?
Frank Fünfstück: Die tauschen untereinander global Geheimdienstinformationen aus.
Karina Filusch: Also, Signal, es ist auf jeden Fall sicherer als WhatsApp, aber auch die Metadaten schwirren im Internet irgendwo herum und können unter anderem an private Unternehmen gelangen. Was gäbe es denn noch für – ja, also jetzt bin ich natürlich ein bisschen verzweifelt. Gibt es überhaupt einen Weg, sicher zu kommunizieren, ohne dass meine Metadaten mitgelesen werden?
Frank Fünfstück: Ja, tatsächlich gibt es dafür wahrscheinlich im Moment nur das Tor-Netzwerk, was da als einigermaßen sicher gelten kann. Das Tor-Netzwerk hat halt so ein bisschen den Makel, dass es als Untergrund Internet gilt.
Karina Filusch: Aber schaffen auch so normale Leute wie ich, die jetzt so technisch so lala versiert sind – die sich zwar dafür interessieren und sich das gerne erklären lassen, aber die keine Informatikerin sind – wie kriegen die das denn in die Gänge? Also kriegen die das auch bedient?
Frank Fünfstück: Also, Tor ist relativ einfach zu bedienen. Da gibt’s für die wesentlichen Betriebssysteme einen eigenen Browser, das ist ein Firefox modifizierter, der dann immer ins Tor rein routet. Der ist ganz gut bedienbar. Das kann man sich sehr leicht installieren. Ansonsten gibt’s tatsächlich für Messenger-, E-Mail-Kommunikation, Server-Kommunikation praktisch keine Möglichkeit, vollständig anonym zu kommunizieren. Die Inhalte sind zwar verschlüsselt, aber die Transportdaten, also wer mit wem wann in welchen Größenordnungen kommuniziert hat – das ist immer transparent und sichtbar ansonsten.
Karina Filusch: Wenn ich jemanden über das Tor-Netzwerk eine Nachricht schicken will, wie funktioniert das ganz grob? Jetzt bin ich vielleicht die Anwältin, die meiner Mandantin irgendeine ganz sensible Information schicken will, oder eine Journalistin oder eine Ärztin oder so. Wie würde ich das anstellen? Wie geht das so ganz grob?
Frank Fünfstück: Du rufst ja einfach dein Tor Browser auf. Und du hast ja eine Next Cloud bei dir und hostest deine Daten bei dir selber. Und dann könntest du über den Tor Browser letzten Endes auf die Next Cloud gehen und da Dateien hochladen, und das wäre dann tatsächlich intransparent, sowohl für die Next Cloud Server als auch für den Tor Browser, wo das hingeht. Da ist der Transportweg tatsächlich nicht mehr prüfbar und sichtbar.
Karina Filusch: Wo wir jetzt gerade beim Thema Darknet waren. Das assoziiert man ja gleich damit, dass man glaubt, dass dort Unfug im Internet getrieben wird und dass sich dort nur Kriminelle herumtreiben. Also das ist zumindest die Verbindung. Das hat einen ganz schlechten Ruf. Dabei könnten das unter anderem auch nur Menschen sein, die einfach nur sicher kommunizieren wollen, weil es auf herkömmlichem, normalem Weg einfach leider nicht geht. Und da fällt mir das Beispiel Encrochat gleich ein. Was hat es denn damit auf sich?
Frank Fünfstück: Die Encrochat Handys, das waren modifizierte Anroid Geräte, die letzten Endes von den Ermittlern mit Malware infiziert worden sind, sodass die Kommunikation auf den Encrochat Geräten entschlüsselt werden konnte. Und wir haben ja vorhin über die Metadaten geredet. Auf Kundenwunsch konnten auf den Encrochat Endgeräten die GPS-, Kamera- und Mikrofonhardware des Smartphones tatsächlich physisch ausgebaut werden, sodass die Geräte also möglichst wenig Meterdaten lieferten. Und als Kommunikationsanbieter war da seinerzeit die KPN dabei, und die Endgeräte waren dabei relativ teuer.
Karina Filusch: Das ist diese KPN?
Frank Fünfstück: Ist ein französischer Telefonanbieter sowie Telekom.
Karina Filusch: Und was ist da genau passiert in diesem Encrochat Fall?
Frank Fünfstück: Die Encrochat Geräte sind im Wesentlichen von Mitgliedern der organisierten Kriminalität verwendet worden, zur Planung und Durchführung von Straftaten eingesetzt gewesen. Die französischen Behörden haben, nach meiner Kenntnis, da es geschafft, die Geräte zu infiltrieren und den Encrochat Server auch zu infiltrieren. Im Frühjahr von 2020 konnten die Endgeräte dann letzten Endes entschlüsselt werden und mitgelesen werden. Auch die ganzen Metadaten wurden erkennbar, also wer mit wem gesprochen hat.
Karina Filusch: Also hier hatten wir tatsächlich mal ein Negativbeispiel, dass es von Kriminellen missbraucht wurde. Und deswegen hat natürlich so geheime, sichere Kommunikation einen schlechten Ruf bei uns Normalos. Das ist ein bisschen schade, finde ich. Lass uns noch mal ganz kurz auf Ausweich-Kommunikation zu sprechen kommen: einmal die SMS, wie sicher ist die? Und dann höre ich ab und zu von Mandanten – ich bin im Datenschutz, im IT-Recht unterwegs, und das bedeutet, dass ich natürlich regelmäßig mit Kunden zu tun habe, die besorgt sind um ihre Daten – und ab und zu mal höre ich dann: „ich schicke ihnen mal ein Fax, weil E-Mail ist ja nicht so sicher.“ Wie sicher ist ein Fax tatsächlich, und wie sicher ist die SMS?
Frank Fünfstück: Wenn man sich die Transportwege anguckt, ist auch ein Fax letzten Endes nur noch Daten. Das sind eigentlich Sprachdaten, die über eine Telefonleitung übertragen werden. Das war früher schon ein bisschen anders kodiert, nicht für Menschen geeignete, für sondern Maschinen geeignete Töne. Das ist heute noch so. Da hat sich nichts verändert. Und auch diese Daten gehen wie eine normale E-Mail vollständig mitlesbar über jegliche Datenleitungen weg, solange das Fax nicht verschlüsselt ist. Dafür gibt es spezielle Kryptofaxe. Ansonsten sind diese Daten vollständig lesbar, die sind wie eine Postkarte. Nichts anderes ist dabei eine SMS. Die SMS aufgrund des uralten GMS-Standards ist dann auch noch sehr, sehr, sehr schlecht verschlüsselt und nicht mal leitungsgebunden, sodass der Aufwand, eine SMS mit einem Catcher abzufangen, sehr gering ist.
Karina Filusch: Kannst du noch diesen Catcher kurz erläutern? Ich kenne das jetzt aus dem Strafverfahren. Da werden diese Catcher benutzt, um zum Beispiel herauszufinden, wer mit wem telefoniert hat. Zum Beispiel, um Mordfälle aufzuklären oder wer sich wo befunden hat in dem Moment. Was sind diese Catcher aber genau?
Frank Fünfstück: Ja, die gaukeln im Prinzip deinem Telefon einen Sendemast vor und sagen „hier, ich bin der Sendemast mit der größten Leistungsstärker in deiner Nähe. Verbinde dich mit mir.“ Und schon kann ich die gesamte Kommunikation, die über diesen Sendemast geht, kurzerhand abhören. Das kriegt keiner mit, zumindest so lange, wie die Behörden das versuchen vernünftig zu machen. Und die Kommunikation dann auch in die Netze weiterleiten und nicht nur ausleiten. Die kann aber theoretisch jeder Kriminelle nutzen und bedienen. Auch das funktioniert.
Karina Filusch: Also, die Aussichten sind ja ein bisschen mau für sichere Kommunikation. Was können wir als Gesellschaft tun, dass es besser wird aus deiner Sicht?
Frank Fünfstück: Gegen die Geheimdienste und gegen die USA, über die das läuft, kann ich aus europäischer Sicht relativ wenig machen. In Europa können wir schon weiter dabeibleiben, dass die DSGVO die Zweckbindung der Daten ganz hart Art und auf wirklich eng begrenzte Zwecke durchsetzt und eine Erweiterung der Zweckveränderung der Daten eigentlich weiter verboten bleibt. Das ist aber grundsätzlich ein Vertrauensproblem, welchem sich die Gesellschaft stellen muss und das muss mit Regularien und Gesetzen so gesichert werden, dass man sagen kann „ich habe ein Vertrauen in die Kommunikation, auch in die elektronische Kommunikation.“ Ansonsten sind tatsächlich im Anonymisierungstools wie zum Beispiel das Tor-Netzwerk im Zweifel auch für E-Mails zu entwickeln und für Messengerdienste zu entwickeln, sodass es nicht mehr klar ist, wer mit wem wirklich kommuniziert hat. Dazu gehört es dann aber auch, die Transportdaten, die sogenannten Metadaten, im Transportweg soweit zu verschlüsseln, dass es nicht mehr rückverfolgbar ist.
Karina Filusch: Das heißt, wir müssen als Nutzerinnen und Nutzer auch unser Verhalten korrigieren und verbessern und es künftig besser machen und nicht die Kindergartengruppe über WhatsApp laufen lassen, sondern zumindest dort den weniger schlimmen Weg wählen und auf Signal ausweichen.
Frank Fünfstück: Das wäre wünschenswert. Sämtlicher Schutz der Kommunikation, die wir höher halten, schützt unsere Privatsphäre. Ich glaube nicht, dass wir in der Gesellschaft leben, wo wir unsere Privatsphäre vollständig aufgeben wollen.
Karina Filusch: Vor allem, dass wir sie kostenlos an ein Privatunternehmen geben. Freiwillig, ohne Geld dafür zu verlangen, an private Unternehmen geben, die im Grunde wie Spionagesoftware funktionieren. Also, da hast ja gesagt, dass sogar WhatsApp weiß, ob ich mich an einer Person befinde, meinen Standort und so weiter. Das sollten wir alle wirklich überdenken, ob wir das wirklich wollen. Was ist denn jetzt für dich DaSou, also Datensouveränität?
Frank Fünfstück: Datensouveränität für mich: Ich bin mir dessen bewusst, was ich abgebe an Informationen, und ich weiß, wer von mir was mitlesen kann, wenn ich mein Handy dabei habe oder wenn ich meine Uhr dabei habe. Ich weiß, wenn ich eine E-Mail schreibe, die unverschlüsselt ist, dass Gott und die Welt die lesen kann und wenn ich sie verschlüssle, dass dann nur noch die Inhaltsdaten verschlüsselt sind. Darauf kann ich mich einstellen, und ich kann Kommunikation im Zweifel auch mal über den klassischen alten Weg per Post machen.
Karina Filusch: Okay, haben wir noch irgendein Thema vergessen? Würdest du uns noch was auf den Weg geben? Tröstende Worte?
Frank Fünfstück: Schönen Dank für das schöne Gespräch mit dir, Karina.Karina Filusch: Ich bedanke mich auch bei dir für das Gespräch. Ich hoffe, euch hat die Folge gut gefallen. Abonniert uns gerne und hinterlasst uns auch sehr gerne eine gute Bewertung in eurer Lieblings-Podcast-App. Ihr könnt uns zum Beispiel per E-Mail erreichen unter hallo@dasou.law. DaSou ist eine Produktion der Kanzlei Filusch. Mehr Infos findet ihr auf unserer Webseite www.dasou.law. Zur Redaktion gehören Lynn Böttcher und Karina Filusch. Editiert wurde der Podcast von Christoph Hinners. Der Jingle wurde, komponiert von Mauli. Die Idee zu DaSou hatte Axel Jürs. Bei der Konzeptionierung unterstützte uns Susan Stone. Das Cover hat Hélène Baum gestaltet.