4.1.2 Technische Absicherung

Die aufgezählten Rechtsvorschriften geben den Rahmen vor, innerhalb dessen sich die Sicherung digitaler Kommunikation zu bewegen hat. Schon die genannten Durchsetzungsschwierigkeiten allerdings zeigen, dass gesetzliche Garantien und Verbote allein nicht dafür sorgen können, dass Kommunikation als sicher und damit vertrauenswürdig angesehen werden kann. Dazu ist es vielmehr notwendig, die Vorgaben insbesondere durch technische Maßnahmen zu flankieren. Dies ist für sich genommen keineswegs neu: Schon analoge Kommunikation mittels Briefverkehrs setzte stets auf konkrete technische Vorkehrungen, um den Inhalt zu schützen.

Technische Absicherung von Vertrauen in analoge Kommunikation

Denn auch wer einen Brief verschickt, muss nicht nur darauf vertrauen können, dass der mit der Versendung beauftragte Dienst den Brief auch wie vereinbart zum Adressaten liefert. Schon seit Jahrhunderten ist dieses Vertrauen in die Integrität des Kuriers als nicht hinreichend erachtet worden – selbst wenn er den ihm übergebenen Brief stets verlässlich bei der richtigen Person abgeliefert hat. Dieser Umstand genügte gerade nicht, um ein solides Vertrauen dahingehend zu erzeugen, dass der Brief auch ungeöffnet und damit ungelesen beim Empfänger ankam. Die räumliche Distanz zwischen Versender und Empfänger machte Briefe in besonderem Maße gefährdet für Zugriffe durch Dritte und damit die Verletzung der Privatheit des Inhalts. Schon frühzeitig wurde das Vertrauen in das System der Briefzustellung deshalb durch technische Methoden abgesichert. Mithilfe von Siegeln wurden Briefe so verschlossen, dass niemand den Brief öffnen konnte, ohne das Siegel zu zerstören und somit die Handlung zu offenbaren. Noch heute werden Briefumschläge so verschlossen, dass ihr Inhalt im Normalfall nicht unbemerkt von jemand anderem als dem bezweckten Adressaten gesichtet werden kann. Zugespitzt könnte man sagen, dass der Briefverkehr viele Merkmale einer digitalen Ende-zu-Ende-Verschlüsselung aufweist: Der Versender verschließt die Nachricht oder versiegelt sie gar, und erst der vorgesehene Empfänger öffnet den Umschlag und erhält somit Zugriff auf den Inhalt.

Technische Unterstützung von Systemvertrauen in Kommunikation in der digitalen Welt

Die spezifischen Eigenschaften der digitalen Sphäre erschweren die Vertrauensbildung in die Kommunikation erheblich. Einige der Faktoren, die eine zentrale Rolle spielen, wenn sich Vertrauen zwischen Kommunikationsteilnehmerinnen und -teilnehmern herausbilden soll, lassen sich nur schwer oder gar nicht im Internet abbilden. Aspekte wie erleichterte Anonymität, flexible Identitäten, Entkörperlichung oder nur schwer durchschaubare Kontexte, vor deren Hintergrund Kommunikation stattfindet, unterminieren interpersonales Vertrauen.1 Hinzu kommt, dass viele vormals sichtbare Vorgänge, die im Zusammenhang mit Kommunikation nun digital erfolgen, im Verborgenen stattfinden und jedenfalls für den technisch durchschnittlich informierten Bürger kaum nachvollziehbar sind, was es zusätzlich erschwert, den Prozess als vertrauenswürdig zu empfinden.

Da interpersonales Vertrauen aus diesen Gründen insofern noch schwerer zu realisieren ist als bei Kommunikation, die auf analogen Wegen erfolgt, liegt es nahe, bei digitaler Übermittlung von Informationen das Vertrauen in das System noch stärker durch technische Maßnahmen abzusichern bzw. zu unterstützen. Hierbei geht es neben dem Schutz des Inhalts der Kommunikation auch um die Authentizität; also darum, dass die Identität des Absenders verifiziert werden kann und sichergestellt ist, dass die Nachricht tatsächlich von dem Absender stammt, von dem sie zu stammen scheint. Obwohl es selbstverständlich schon im analogen Zeitalter möglich war, Schriftstücke zu fälschen, ist dies durch digitale Hilfsmittel um ein Vielfaches einfacher geworden.

Um die so umrissene technische Absicherung zu erreichen, sollte auf das Zusammenspiel verschiedener Einzelmaßnahmen zurückgegriffen werden. Zu nennen sind insbesondere Verschlüsselungstechnologien, elektronische Signaturen und elektronische Identifizierungstechnologien, Passwortschutz, Zwei-Faktor-Authentifizierung sowie die Sicherung der Server, Netze und anderer IT-Infrastrukturen. Diese Maßnahmen sind teilweise durch den beschriebenen Rechtsrahmen vorgegeben und werden in den folgenden Abschnitten im Überblick erörtert. Eine Detaillierung zu diesen technischen Maßnahmen findet der interessierte Leser im Annex.

Verschlüsselung

Wichtigster Faktor für die Absicherung sensibler Inhalte, die via digitale Kommunikation übermittelt werden, ist ihre Verschlüsselung. Darunter wird die Kodierung des Inhaltes einer Nachricht in eine nicht interpretierbare Zeichenfolge mittels eines Algorithmus verstanden, sodass nur Personen, die im Besitz des digitalen Schlüssels sind, den so chiffrierten Inhalt nach Empfang der Nachricht zurück in Klartext umwandeln können.2 Öffentliche Stellen und privatwirtschaftliche Unternehmen sind aufgrund des geltenden Rechtsrahmens in gewissem Maße verpflichtet, Verschlüsselungstechnologien einzusetzen, wenn sie mit sensiblen Informationen von Bürgern bzw. Kunden umgehen und diese über digitale Kanäle übermitteln.

Digitale Verschlüsselungstechnologien unterscheiden sich dahingehend, an welchem Punkt der Übermittlung die Verschlüsselung ansetzt. Hier kann entweder Ende-zu-Ende-Verschlüsselung oder Punkt-zu-Punkt-Verschlüsselung (diese wird auch Transport- oder Leitungsverschlüsselung genannt) eingesetzt werden. Bei Letzterer werden lediglich die Netzverbindungen zwischen an das Netz angeschlossenen Geräten wie beispielsweise Servern oder den Computern der kommunizierenden Parteien verschlüsselt3 , was bedeutet, dass der Inhalt der Nachricht per Verschlüsselung zwar vor dem Zugriff unbefugter Dritter geschützt ist, wenn diese von einem Gerät zum anderen übermittelt wird, auf einer Zwischenstation (beispielsweise dem Server des E-Mail-Dienstes des Versenders oder des Empfängers) allerdings unverschlüsselt vorliegt. Im Gegensatz dazu besitzen bei der Ende-zu-Ende-Verschlüsselung lediglich die miteinander kommunizierenden Nutzer die Schlüssel, die notwendig sind, um den Inhalt der Nachricht lesbar zu machen. Die Verschlüsselung erfolgt also durch den Versender auf dessen Endgerät, und die Entschlüsselung kommt erst beim Empfänger zustande. Bei keiner der Zwischenstationen während des Versands liegt die Nachricht also unverschlüsselt vor.4 Daher gilt die Ende-zu-Ende- Verschlüsselung als wesentlich sicherer als die bloße Punkt-zu-Punkt-Verschlüsselung.

„Ende-zu-Ende-Verschlüsselung ist technisch möglich und könnte auch flächendeckend bei E-Mails durchgesetzt werden. Die Frage ist nur, wer diese Aufgabe übernimmt und hier die nötigen Ressourcen investiert.“
Prof. Dr. Norbert Pohlmann, Professor für Informationssicherheit an der Westfälischen Hochschule und Geschäftsführender Direktor des Instituts für Internet-Sicherheit if(is), Konsultation

Im Folgenden wird illustriert, in welcher Form sich digitale Kommunikationsmittel durch den Einsatz von Verschlüsselungsmethoden unterscheiden können.

  1. Messenger-Dienste. In den vergangenen Jahren sind viele Messenger-Dienste dazu übergegangen, die versendeten Nachrichten mittels Ende-zu-Ende-Verschlüsselung zu sichern. Das trifft unter anderem auf die Anwendungen Threema, Signal, SIMSme, iMessage oder WhatsApp zu. Bei der E-Mail ist sie bislang jedoch nicht Standard.5 Das liegt daran, dass diese Art der Verschlüsselung bei geschlossenen Kommunikationsplattformen wesentlich einfacher zu realisieren ist als bei einer nicht geschlossenen wie der „offenen“ E-Mail. So kann WhatsApp beispielsweise nur zur Kommunikation mit anderen WhatsApp-Nutzern verwendet werden. Deshalb kann der Anbieter der Plattform in den vollständig von ihm kontrollierten Applikationen eine Ende-zu-Ende-Verschlüsselung implementieren, ohne dass die Nutzer selbst tätig werden müssten. Daher bekommen sie von dem Einsatz der Technik im Normalfall überhaupt nichts mit und nutzen den Dienst weiter wie zuvor, als die Verschlüsselungsmethode noch nicht zum Einsatz kam.6
  2. E-Mail. Das eben genannte Vorgehen bei Messenger- Diensten ist bei der offenen E-Mail, mit der man Nachrichten an Nutzer senden kann, die einen anderen Dienstleister nutzen als der Versender selbst (beispielsweise kann eine E-Mail unproblematisch von einem Nutzer mit einem Gmail-Account an einen Nutzer mit einem Account bei GMX geschickt werden), nicht möglich – jedenfalls so lange, wie sich die verschiedenen Anbieter nicht auf einen gemeinsamen Standard zur Verschlüsselung einigen, was allerdings schon aufgrund ihrer großen Anzahl sowie der unterschiedlichen geschäftlichen Interessen unwahrscheinlich erscheint.7 Zwei Standards, die genutzt werden können, um Ende-zu-Ende-Verschlüsselung auch bei E-Mails zu erreichen, sind OpenPGP und S/MIME. Beide Methoden können aber nur eingesetzt werden, wenn ein Nutzer sich seinen öffentlichen Schlüssel vor dem ersten Einsatz beglaubigen lässt. Daraus wird andererseits zugleich deutlich, dass das System der Ende-zu-Ende-Verschlüsselung mittels OpenPGP und S/MIME davon abhängig ist, dass diese Beglaubigung organisatorisch sichergestellt ist. Zudem müssen beide Kommunikationspartner denselben Standard einsetzen. Das Fraunhofer-Institut für Sichere Informationstechnologie hat basierend auf dem Verschlüsselungsstandard S/MIME unter dem Namen „Volksverschlüsselung“ eine Infrastruktur und eine Software zur sicheren Ende-zu-Ende-Verschlüsselung entwickelt.8 Dieses Verfahren setzt insbesondere auf Benutzerfreundlichkeit.
  3. Verschlüsselnde Mail-Systeme: De-Mail und E-Postbrief. Systeme zur Erhöhung der Sicherheit sind auch der von der Deutschen Post 2010 eingeführte E-Postbrief9 sowie die sogenannten De-Mail-Dienste. Beide Systeme sind plattformbasiert. Sicherheit wird dadurch hergestellt, dass auf den Übermittlungswegen konsequent Transportverschlüsselung eingesetzt wird. De-Mail-Dienste werden von Anbietern von E-Mail-Diensten bereitgestellt, die besonderen Anforderungen an die Sicherheit, Vertraulichkeit und Integrität genügen, wie sie das im Mai 2011 in Kraft getretene De-Mail-Gesetz vorgibt. Erfüllt ein Diensteanbieter die angeführten Kriterien, kann er sich beim Bundesamt für Sicherheit in der Informationstechnik, das für die Aufsicht zuständig ist, als De-Mail-Anbieter akkreditieren lassen.10 In § 5 Absatz 3 bestimmt das Gesetz, dass der Anbieter Vertraulichkeit, Integrität und Authentizität der mit dem Dienst an einen anderen akkreditierten Diensteanbieter versendeten Nachrichten dadurch zu gewährleisten hat, dass eine Transportverschlüsselung eingesetzt wird und dass der Inhalt der Nachricht während der Übermittlung verschlüsselt sein muss. Eine Ende-zu-Ende-Verschlüsselung ist hingegen nicht vorgeschrieben. Nach entsprechender Kritik kündigten die akkreditierten De-Mail-Anbieter im März 2015 jedoch an, künftig eine auf PGP basierende Ende-zu-Ende-Verschlüsselung als Option für alle Nutzer anzubieten.11 Auch der E-Postbrief-Dienst der Deutschen Post setzt grundsätzlich nicht auf eine Ende-zu-Ende-Verschlüsselung beim Versand der Nachrichten. Im Normalfall werden sie allerdings während des Transports verschlüsselt. Darüber hinaus wird zugesichert, dass die E-Postbriefe auch verschlüsselt im Posteingang des Nutzers, also auf dem entsprechenden Server, abgelegt werden.12 Überdies wurde 2013 auch beim E-Postbrief die Möglichkeit der Ende-zu-Ende-Verschlüsselung mit dem ausdrücklichen Ziel eingeführt, damit den gesetzlichen Anforderungen an vertrauliche Kommunikation mit Berufsgeheimnisträgern wie beispielsweise Ärzten oder Anwälten Genüge zu leisten. Diese sollten mit dieser Option in die Lage versetzt werden, elektronische Kommunikationsmittel in der geschäftlichen Korrespondenz zu nutzen, ohne gegen ihre Verschwiegenheitspflicht nach § 203 des Strafgesetzbuches zu verstoßen.13 Sowohl De-Mail-Dienste als auch der E-Postbrief sind geschlossene Systeme.
  4. Portallösungen. Immer mehr Unternehmen wie beispielsweise Banken, Versicherungen oder auch Stromanbieter verzichten hingegen darauf, vertrauliche Dokumente mittels E-Mail oder verwandter Kommunikationsmittel an ihre Kunden zu verschicken, sondern setzen stattdessen auf sogenannte Portallösungen. Diese kommen auch in der öffentlichen Verwaltung im Kontakt zu den Bürgern immer häufiger zur Anwendung.14 Dokumente wie Rechnungen, Kontoauszüge oder Baugenehmigungen werden auf den Servern des Unternehmens bzw. der Behörde gespeichert. Der Nutzer bekommt im Normalfall eine E-Mail zugesandt, mit der er darüber informiert wird, dass ein neues wichtiges Dokument zur Einsicht oder zum Abruf über das Webportal des Anbieters vorliegt. Zumeist enthält die Nachricht selbst auch den entsprechenden Link zum Portal, auf dem sich der Nutzer anmelden kann, um gesicherten Zugriff zum Dokument zu erhalten. Ob die Dokumente auf dem Server des Anbieters selbst ebenfalls verschlüsselt gespeichert sind, hängt vom Unternehmen bzw. der Behörde und im Zweifel auch von der Sensibilität der in dem Dokument enthaltenen Informationen ab.

Elektronische Signatur und elektronischer Identitätsnachweis

Nicht um den Inhalt digitaler Kommunikation selbst vor dem Zugriff unbefugter Dritter zu schützen, sondern um die Identität des Urhebers einer Nachricht nachvollziehen zu können und um ihre Integrität zu verifizieren, wird auf elektronische Signaturen und damit zusammenhängend auf einen elektronischen Identitätsnachweis zurückgegriffen. Unter elektronischen Signaturen versteht man solche Daten, die anderen elektronischen Daten beigefügt oder mit ihnen verknüpft sind (§ 2 Nr. 1 SigG). Sie dienen der Authentifizierung des Urhebers der Nachricht bzw. des übermittelten Dokuments und garantieren dessen Unverfälschtheit, indem sie nachträgliche Veränderungen erkennbar machen.15 Damit verfolgen sie den Zweck, die Rechtssicherheit sowohl bei der digitalen Kommunikation mit Unternehmen im Bereich des E-Commerce als auch mit öffentlichen Stellen im E-Government zu erhöhen.

Passwortschutz und Zwei-Faktor-Anmeldung

Für die Absicherung digitaler Kommunikation darf die Bedeutung des Passwortschutzes nicht unterschätzt werden. Denn Passwörter schützen unmittelbar vor dem Zugriff unbefugter Dritter auf die Inhalte von Kommunikation, sei es, weil diese auf den Servern von E-Mail-Diensten oder sonstigen Dienstleistern gespeichert sind oder auf der Festplatte des Nutzers. Zusätzlich zum reinen Passwortschutz setzen immer mehr Online-Dienste auf die sogenannte Zwei-Faktor-Anmeldung, um E-Mail-Postfächer oder andere Webportale, auf denen sensible Informationen der Nutzer gespeichert sind, vor Fremdzugriffen zu schützen. Bei diesen Verfahren wird zusätzlich zum Passwort eine weitere Abfrage, z. B. nach einer TAN16 , durchgeführt.

Sicherung der informationstechnischen Systeme

Um sichere digitale Kommunikation zu ermöglichen, müssen die Anbieter der Kommunikationsmittel – seien es private Unternehmen wie E-Mail-Dienste oder aber öffentliche Stellen, die mit Bürgern auf elektronischem Wege kommunizieren – dafür Sorge tragen, dass die eingesetzte IT-Infrastruktur vor Angriffen durch Hacker geschützt ist. Das gilt insbesondere für die Server, auf denen die sensiblen Informationen entweder kurzzeitig oder über einen längeren Zeitraum gespeichert sind, und ist dann umso entscheidender, wenn die Kommunikationsinhalte dort unverschlüsselt abgelegt werden. Zu den technischen Sicherheitsmaßnahmen gehört zum Beispiel die Verwendung von Antiviren- Software, Firewalls und sogenannten Intrusion Detection Systems. Zudem sollten die installierten Software- und Hardwarekomponenten stets auf dem aktuellen Stand gehalten werden.17

„Als Laie ist es nicht notwendig, alle technischen Details der Verschlüsselung zu verstehen. Dies ist ja auch in anderen Bereichen wie etwa beim Fliegen oder Bahnfahren nicht der Fall. Viel mehr zählt die intuitive Checkliste zum Vertrauen, die etwa danach fragt, wie kompetent ist der Anbieter, welche Motive hat er, wie ist seine Reputation.“
Prof. Dr. Bernd Blöbaum, Institut für Kommunikationswissenschaft der Universität Münster; Sprecher des DFG-Graduiertenkollegs „Vertrauen und Kommunikation in einer digitalisierten Welt“, Konsultation

 

„Was ich schade fände, ist, wenn der Nutzer meint, er könne nichts tun. Am Ende ist es wie bei jedem Konsumgut: Wenn man etwas nicht mehr nutzt, reagiert der Markt darauf und muss dann etwas ändern. Die Menschen sollten auch ein bisschen mehr darauf achten, welche digitalen Kommunikationsdienste sie nutzen. Man nimmt ja an dem ganzen System teil, und daher glaube ich, wenn auch vom Nutzer selbst gefordert werden würde, dass digitale Kommunikationsmittel transparenter und einfacher handhabbar sein müssen, die Internetsicherheit auch zunehmen würde.“
Marion Grether, Direktorin des Museums für Kommunikation Nürnberg, Konsultation

  1. Helen Nissenbaum, Will Security Enhance Trust Online, or Supplant It?, in: R. Kramer und K. Cook (Hg.), Trust and Distrust Within Organizations: Emerging Perspectives, Enduring Questions, New York 2004, S. 155, 161f. []
  2. Vgl. Wikipedia, Verschlüsselung, https://de.wikipedia.org/wiki/Verschl%C3%BCsselung. []
  3. Vgl. Wikipedia, Leitungsverschlüsselung, https://de.wikipedia.org/wiki/Leitungsverschl%C3%BCsselung. []
  4. Andy Greenberg, Hacker Lexicon: What Is End-to-End Encryption?, Wired.com, 25. November 2014, https://www.wired.com/2014/11/hacker-lexicon-end-to-end-encryption/. []
  5. Wikipedia, End-to-end encryption, https://en.wikipedia.org/wiki/End-to-end_encryption. []
  6. WhatsApp hat die Ende-zu-Ende-Verschlüsselung für alle Nutzer im April 2016 eingeführt, vgl. Spiegel Online, WhatsApp verschlüsselt Kommunikation vollständig, 6. April 2016, http://www.spiegel.de/netzwelt/apps/whatsapp-messenger-fuehrt-ende-zu-ende-verschluesselung-ein-a-1085636.html. []
  7. So beruhte z. B. das Geschäftsmodell von Gmail bis vor Kurzem darauf, dass der Inhalt von E-Mails gescannt wird, damit dem Nutzer passende Werbung angezeigt werden kann. Ende-zu-Ende-Verschlüsselung würde dies vereiteln; vgl. Florian Rötzer, Bei jeder Mail wird mitgelesen, Telepolis, 2. April 2004, https://www.heise.de/tp/features/Bei-jeder-Mail-wird-mitgelesen-3434025.html. []
  8. Vgl. https://volksverschluesselung.de. []
  9. E-Post, Ist ein E-Postbrief auch ohne Ende-zu-Ende-Verschlüsselung sicher?, https://www.epost.de/privatkunden/hilfe/brief-fax/sicher-digital-kommunizieren/ist-ein-epostbrief-auch-ohne-ende-zu-ende-verschluesselung-sicher.html. []
  10. Siehe die Liste akkreditierter Anbieter unter https://www.bsi.bund.de/DE/Themen/DigitaleGesellschaft/EGovernment/DeMail/Akkreditierte_DMDA/Akkreditierte_DMDA.html. []
  11. Spiegel Online, De-Mail bekommt durchgehende Verschlüsselung, 9. März 2015, http://www.spiegel.de/netzwelt/netzpolitik/de-mail-bekommt-ende-zuende-verschluesselung-a-1022472.html. []
  12. Siehe E-Post, Ist ein E-Postbrief auch ohne Ende-zu-Ende-Verschlüsselung sicher?, https://www.epost.de/privatkunden/hilfe/brief-fax/sicher-digital-kommunizieren/ist-ein-epostbrief-auch-ohne-ende-zu-ende-verschluesselung-sicher.html. []
  13. Jürgen Seeger, Ende-zu-Ende-Verschlüsselung für E-Postbrief, Heise Online, 2. März 2013, https://www.heise.de/newsticker/meldung/Ende-zu-Ende-Verschluesselung-fuer-E-Postbrief-1815160.html. []
  14. Vgl. z. B. den am 1. Januar 2017 in Kraft getretenen § 41 Absatz 2a des Verwaltungsverfahrensgesetzes, der die Bekanntgabe von Verwaltungsakten über öffentlich zugängliche Netze regelt. []
  15. Heckmann, S. 42. []
  16. TAN: transaction authentification number, Transaktionsnummer. []
  17. Für einen Überblick über zu treffende Maßnahmen siehe Wikipedia, Informationssicherheit, https://de.wikipedia.org/wiki/Informationssicherheit. []