Bild: Brian A Jackson – Shutterstock
Update 14.07.2014: Vielen Dank an Hauke Laging für die Hinweise:
PGP-Verschlüsselung: Einige der im Artikel aufgelisteten Einschränkungen der PGP-Verschlüsselung lassen sich mit der Nutzung von OpenPGP beseitigen: OpenPGP verfügt wie S/MIME über die Möglichkeit der E-Mail-Signatur und funktioniert unabhängig von dem manipulierten RSA-Algorithmus. Mit dem Thunderbird-Plugin Enigmail lässt sich das Zertifikat ebenfalls in einer E-Mail mitsenden, was den Schlüsselaustausch erleichtert.
S/MIME: Bei der S/MIME-Verschlüsselung muss der User auf die Integrität und die Sicherheit von Zertifizierungsstellen vertrauen.
TOR-Anonymisierung: In der Legende zur TOR-Grafik ist die Farbkodierung fehlerhaft: Verschlüsselte Verbindung sind grün dargestellt und unverschlüsselte Verbindungen rot markiert.
Spätestens seit den Snowden-Leaks über die weltweite Überwachung durch Geheimdienste nimmt Datenverschlüsselung in der Debatte um Datenschutz und Privatsphäre immer größeren Raum ein. Die Verschlüsselung der eigenen Daten gilt als eines der wenigen wirksamen Mittel, mit denen der Nutzer seine Kommunikation und sein Surfverhalten zumindest teilweise vor Geheimdiensten und Unternehmen schützen kann.
Zum Snowden-Jahrestag beteiligten sich zahlreiche Unternehmen, darunter Google, Dropbox und tumblr, an der Online-Kampagne Reset the Net. Ziel war es, möglichst viele User von der Nutzung von Verschlüsselungsmethoden zu überzeugen und damit Geheimdiensten die Massenüberwachung so schwierig wie möglich zu machen.
PGP, die Nutzung des TOR-Netzwerks sowie VPN-Clients sind gängige Verschlüsselungsformen. In einem Überblick haben wir ihre Funktionsweise und Beschränkungen zusammengestellt:
Asymetrisches Verfahren bei PGP-Verschlüsselung (Bild: Netzpolitik)
Die PGP-Verschlüsselung (pretty good privacy) ist derzeit der Standard für End-to-End Verschlüsselung von E-Mails. Für diese Verschlüsselung wird ein Public-Key-Verfahren verwendet. Sender und Empfänger besitzen jeweils einen öffentlichen und einen privaten Schlüssel, mittels derer die Nachricht ver- und entschlüsselt wird. Die Verschlüsselung erfolgt dabei asymmetrisch, d.h. Sender und Empfänger verwenden unterschiedliche Schlüssel.
Ein Großteil der PGP-Lösungen basiert auf dem OpenPGP-Standard. Die Open-Source-Lösung bietet den Vorteil, dass der OpenPGP-Standard stetig weiterentwickelt und für die meisten Systeme verfügbar ist. Doch birgt das auch den Nachteil, dass der Funktionsumfang der vielen Erweiterungen oft über den des OpenPGP-Standards hinausgeht. Ein reibungsloser Austausch von Daten und Schlüsseln unterhalb der OpenPGP-Lösungen ist somit nicht immer garantiert. Zudem ist die PGP-Verschlüsselung nicht nur laut seines Erfinders Phil Zimmermann kompliziert anzuwenden. Beide Seiten müssen PGP-Verschlüsselung anwenden und gegenseitig Schlüssel tauschen, was dazu führt, dass PGP-Verschlüsselung nicht massentauglich und nur wenig verbreitet ist.
Eine angenehme Lösung verspricht Google mit einem Chrome-Plugin. Statt der umständlichen Konfiguration von E-Mail-Clients und -Accounts erfolgt die Ver- und Entschlüsselung mit nur wenigen Klicks über eine Javascript-Bibliothek im Browser. Derzeitig befindet sich das Plugin noch in der Testphase. Zwei Einschränkungen trüben jedoch den vermeintlichen Nutzen:
Insgesamt kann eine PGP-Verschlüsselung sinnvoll sein, wenn sensible Nachrichteninhalte verschlüsselt werden sollen. Sie bietet jedoch keinen hundertprozentigen Schutz:
Die S/MIME-Verschlüsselung stellt eine sinnvolle Alternative zur PGP-Verschlüsselung dar. Wie bei PGP wird bei S/MIME ein asymetrisches Verschlüsselungsverfahren angewendet. Zusätzlich zur reinen Verschlüsselung kommt beim S/MIME-Verfahren noch ein Zertifikat zum Einsatz, das die Identität eines Users bezeugt. Ein User kann zwischen vier Zertifikatsklassen wählen, um seine E-Mails als vertrauenswürdig zu klassifizieren – angefangen bei einem reinen Nachweis über die Existenz der angegebenen E-Mail-Adresse bis hin zur persönlichen Identitätsprüfung anhand von Originaldokumenten bei einer Zertifizierungsstelle.
Das S/MIME-Verfahren bietet gegenüber der PGP-Verschlüsselung einige Vorteile:
Nachteile:
Da S/MIME ebenso wie die PGP-Verschlüsselung auf einem asymetrischen Verschlüsselungsverfahren basiert, gelten hier die gleichen Sicherheitsbegrenzungen. Zusätzlich kommt noch hinzu:
Eine andere Möglichkeit ist die Nutzung des freien TOR-Netzwerkes zur Anonymisierung der eigenen IP-Adresse. Surft ein User im TOR-Netzwerk, wird eine zufällige Route durch das Internet gewählt. Über mehrere Server, die jeweils nur Vorgänger und Nachfolger, nie aber die gesamte Kette kennen, wird der User-Weg verschleiert. Der letzte Server (Exit Node) stellt dann die Verbindung zur gewünschten Internetseite her.
Weg einer User-Verbindung durch das TOR-Netzwerk (Bild: TUVPN)
Das TOR-Browser-Bundle lässt sich relativ leicht einrichten, dafür muss der User im Alltag einige Einschränkungen in Kauf nehmen:
Auch die Nutzung des TOR-Netzwerkes ist nicht zu 100% sicher:
Die Nutzung von VPN-Tunneln ist eine weitere Alternative, die eigenen digitalen Spuren zu verwischen. Wie bei der TOR-Nutzung wird der eigene Internet-Traffic über einen fremden Server geleitet, wodurch Rückschlüsse auf die eigene IP-Adresse erschwert werden.
VPN-Verfahren mit vorgeschalteter Firewall (Bild: Uni Basel)
Besonders sinnvoll erweisen sich VPN-Tunnel bei der Nutzung öffentlicher WLAN-Hotspots. Die feste Definition eines VPN-Servers reduziert das Risiko, dass sich Smartphone, Tablet oder Laptop automatisch mit einem manipulierten WLAN-Hotspot verbinden und User-Eingaben via man-in-the-middle-Attacken abgefangen werden können.
Die Einrichtung von VPN-Clients ist dank nützlicher Tools und Anleitungen mittlerweile relativ einfach, doch gehen mit der VPN-Nutzung auch einige Nachteile einher:
Die Nutzung des VPN-Verfahrens garantiert jedoch auch keinen hundertprozentigen Schutz vor Geheimdienstüberwachung. So hat die NSA Router in Internetknotenpunkten infiltriert, um von dort, die via VPN-Verbindung übertragenen Daten abzugreifen.
Alle genannten Maßnahmen können bei Ausschluss der beschriebenen Störfaktoren zu einer sicheren Interaktion über das Internet führen, gewährleisten aus den genannten Gründern jedoch keine hundertprozentige Sicherheit. Edward Snowden hat daher ein Video erstellt, in dem er seine konkreten Empfehlungen zusammenfasst.