Zunächst: In jeder Sicherheitsdiskussion muss abgewogen werden, gegen welches Risiko man sich schützen möchte. Es gibt - insbesondere in technischen Systemen - keine allumfassende Sicherheit gegen alle Risiken. Wirksame Sicherheitsmassnahmen erfordern stets die Identifikation des Risikos, und sie lassen sich in ihrer Wirksamkeit auch überprüfen.
Ein Beispiel für eine spezifische Sicherheitsmaßnahme ist der Sicherheitsgurt im Auto: Er kann verhindern, dass man bei einer Frontalkollision mit dem Auto durch die Windschutzscheibe fliegt. Bei einem Seitenaufprall jedoch kann man dennoch schwer verletzt werden, und der Gurt kann schlimmstenfalls sogar verhindern, dass man sich selbst befreien kann. Die Wirksamkeit von Sicherheitsgurten lässt sich durch Statistik be- oder widerlegen. Entweder, die Schwere der Verletzungen bei Frontalkollisionen ist seit der Einführung der Gurtpflicht zurückgegangen, oder eben nicht.
Allgemeine Sicherheitsmassnahmen hingegen sind Sicherheitstheater. Sie dienen nicht dazu, einen bestimmten Schadenfall zu verhindern, sondern sie dienen der Beruhigung von Menschen, die Angst haben. Das typische Beispiel für Sicherheitstheater ist das seit einigen Jahren erforderliche Ausziehen der Schuhe bei der Sicherheitskontrolle in Flughäfen. Abgesehen davon, dass die Anzahl der Terrorschläge auf Flugzeuge gemessen an der Anzahl der Flugbewegungen extrem gering ist, ist auch die Möglichkeit, Sprengstoff in Schuhen zu verstecken, nur durch einen erfolglosen Versuch verbürgt.
Das private Verschlüsseln von Emails, wie es derzeit propagiert wird, fällt für mich in den Bereich von Sicherheitstheater.
Hier ein paar Argumente:
- Die Rechner, auf denen wir im Internet arbeiten und auf denen wir verschlüsseln, sind frei programmierbar. Virenschutzsoftware und Open-Source-Programme bieten keinerlei Gewährleistung für Fehlerfreiheit. Gezielte Angriffe auf jeden Computer sind jederzeit möglich, und sie werden auch durchgeführt. Nach einem erfolgreichen Angriff muss im Prinzip das gesamte System als kompromittiert gelten, und wirksame Verifikationsmöglichkeiten existieren nicht.
- Der Glaube, durch Verschlüsselung könne man "den Geheimdiensten" "ihre Arbeit" "erschweren", ist irrig. Verschlüsselung ist ein esoterisches Thema. Zu glauben, dass das globale Internet-Email-System sich vollständig oder auch nur zu nennenswerten Teilen auf Ende-zu-Ende-Verschlüsselung mit bewussten Anwendern umstellen liesse, ist komplett unrealistisch. Mit privater Verschlüsselung begibt sich der Einzelne einfach in die Gruppe derjenigen, die Verschlüsseln. Das allein macht vielleicht noch nicht verdächtig, und im Zweifelsfall werden die Dienste bei einem Verdacht dann eben andere Massnahmen zur Aufklärung aufbringen.
- Private Verschlüsselung wiegt diejenigen, die es tun, in falscher Sicherheit. Vertrauenswürdige Computer gibt es nicht, und was man ein mal in einen Computer, der mit einem öffentlichen Netz verbunden hat, eingegeben hat, ist potenziell öffentlich und sollte im Zweifelsfall auch öffentlich sein können. Das gilt für private Kommunikation, und das gilt erst recht in konspirativen Strukturen, in denen sehr sorgfältige und individuelle Planung der Nutzung öffentlicher Netze notwendig ist.
- Auch, wenn Krypto-Befürworter stets die Wirksamkeit Ihrer Verschlüsselungstheorien behaupten, und auf die Endgültigkeit der Mathematik verweisen, so bleibe ich skeptisch. Zum Einen, weil ich nicht überprüfen kann, ob das Verschlüsselungsprogramm wirklich das tut, was ich von der Mathematik verstanden habe (was ohnehin begrenzt ist), zum Anderen, weil immer wieder kryptographische Verfahren gebrochen werden. Dabei ist für mich die fehlende praktische Verfikationsmöglichkeit ausschlaggebend.
Meine Konsequenz ist, dass ich keinen gesonderten Aufwand treibe, um mich gegen einen Feind zu schützen, den ich nicht kenne. Wer mit mir kommunizieren will, kann mir eine Klartext-Email schreiben, mich anrufen. mir einen Brief schreiben oder mich treffen. Mir ist wichtig, dass ich erreichbar bin und dass ich Leute erreichen kann.
TL;DR
Das Internet ist öffentlich und somit nicht der richtige Ort für Konspiration.
Das Internet ist öffentlich und somit nicht der richtige Ort für Konspiration.
Das Internet ist die Erweiterung Deines Computers, aber dadurch ist Dein Computer Teil des Internets.
Grob zusammengefasst: Ich habe nichts zu verbergen, keine Ahnung von Mathe, und jede Sicherheitsmaßnahme lässt sich überwinden.
ReplyDeleteDann hätte ich einen Tipp, mit dem sich jede Menge Geld einsparen lässt: Bau das Schloss aus Deiner Wohnungstür aus. Das hast Du nämlich auch nicht verstanden, jeder soll sich gefälligst in Deiner Wohnung umsehen können, und Einbrecher haben bisher jedes Schließsystem überwinden können.
Ein sehr schönes Beispiel. Die Sicherheit eines handelsüblichen Schlosses ist nämlich auch nicht höher als die einer unverschlüsselten E-Mail. Im Gegenteil, der Aufwand, sich Zutritt zur Wohnung zu verschaffen, dürfte in den meisten Fällen geringer sein als der Aufwand für den Zugriff auf den Übertragungsweg einer E-Mail.
DeleteWeshalb die Frage berechtigt ist, warum so gerne Aufwand für Mailverschlüsselung betrieben wird, die Sicherung der Wohnung gegen unbefugten Zutritt aber höchst stiefmütterlich behandelt wird. Ich glaube kaum, dass die Antwort darauf lauten würde "so lange nur keiner meine Mails lesen kann ist mir egal, ob regelmäßig jemand meine Wohnung durchschaut". Wahrscheinlicher dürfte "darüber habe ich noch nie nachgedacht" sein ... weil auch die Entscheidung zur Mailverschlüsselung gerade nicht das Ergebnis eines rationalen Abwägungsprozesses ist.
Zunächst mal habe ich ein Sicherheitsschloss und eine stabile Wohnungstür.
DeleteDie Antworten auf die Frage:
1. Unwissenheit. Die wenigsten Nicht-Nerds dürften mal gesehen haben, wie effektiv Lockpicking oder weit rabiatere Methoden sind, um Schlösser zu öffnen. Dagegen werben Sicherheitsunternehmen mit schwer verfizierbaren Angaben, mit Angst und selbst behaupteten Expertentum. Abhilfe schaffte - wie auch bei Krypto - Aufklärung und Bürgerbeteiligung
2. Ein Klassiker: Gelegenheit macht Diebe. Ich schreibe Privatnachrichten nicht als Postkarte, meine Pin nicht auf die EC-Karte und lasse die Wohnungstür nicht auf, selbst wenn die Eintrittswahrscheinlichkeit gering ist. Die Rsikomatrix kennt nämlich zwei Achsen: die zweite ist die Auswirkung des Schadens. Das führt zu
3. Die Vogel-Strauß-Taktik des Autors ist insofern gefährlich, weil die Faktenlage überhaupt nicht geklärt ist. WAS der Geheimdienst mit Daten macht, WER vielleicht doch betroffen ist, obwohl er/sie nichts getan hat. Ohne gesicherte Erkentnisse braucht man sich nicht auf Riskobewertungen stützen. Falscher Sicherheit entsteht hier also gleichermaßen
4. Ich halte es auch unzulässig, hier die Bereiche der gezielten Überwachung (Observierung, Ermittlung), der VDS/Pauschalüberwachung und Maßnahmen wie zur Flughafensicherheit gleichzusetzen. Sie finden unter komplett unterschiedlichen Vorzeichen statt und unter völlig verschiedenen Wahrnehmungsstufen für den Betroffenen.
5. Entscheidend für die Bewertung eines Sicherheitsgurtes sind nicht die konstruierbaren Fallbeispiele, sondern die statistisch typischen eintretenden Unfallszenarien.
Danke für einen kontroversen Beitrag zur eher einseitig geführten Verschlüsselungsdebatte. Eine Anmerkung:
ReplyDelete"und im Zweifelsfall werden die Dienste bei einem Verdacht dann eben andere Massnahmen zur Aufklärung aufbringen" ist richtig, die Einschränkung hast du aber schon gebracht mit "bei einem Verdacht". Es gibt zwar keine Beweise - wie auch - aber eine begründete Vermutung, dass gute Verschlüsselung die verdachtslose Erfassung sämtlicher Korrespondenz erschwert und damit Ressourcen bindet, die sonst zur weiteren Ausdehnung der Überwachung genutzt würden.
Die Meinung, dass das Internet ausschließlich als öffentlicher Raum betrachtet werden sollte, klingt für mich nach Resignation, nicht nach einem wünschenswerten Zustand. Warum sollten wir dann nicht sämtliche Kommunikation (auch unsere Gespräche in der stillen Kammer) als öffentlich betrachten und freiwillig allen zugänglich machen?
Es hat weniger etwas mit Resignation als mit Anerkennung der Tatsachen zu tun, wenn ich das Internet als öffentlichen Raum bezeichne und die Teilnehmergeräte mit einschließe. Die Systeme und Verfahren, aus denen das Internet besteht, sind unsicher, und das ist die sinnvollere Grundannahme. Darauf aufbauend und mit konkreten Bedrohungsszenarien im Blick lassen sich Nutzungsszenarien entwickeln, die bestimmte Bedrohungen minimieren oder ausschliessen. Es geht eben um den "Default", und der ist "nicht sicher".
ReplyDeleteWas dabei "wünschenswert" wäre, interessiert mich dabei weniger als das, was wir haben. Wir haben ein Internet, das nicht als Netz für die Kommunikation zwischen Menschen entwickelt wurde. Der Mensch kommt im Sprachwortschatz, der die Technik des Netzes beschreibt, praktisch nicht vor. Wenn man so möchte, ist es ein Netz, das eigentlich für die Computern entwickelt wurde. Ein besseres, globales Kommunikationssystem, das zuverlässig funktioniert und vielleicht auch so etwas wir eine Grundsicherheit bietet, existiert mit dem Internet nicht und es wird noch einige Jahre oder Jahrzehnte dauern, es zu bauen. Wir können die Ansprüche an diese nächste Generation der Netze jetzt formulieren, aber dazu müssen wir erst einmal verstehen, was der Stand der Dinge ist und was die Bedürfnisse sind.
"Das typische Beispiel für Sicherheitstheater ist das seit einigen Jahren erforderliche Ausziehen der Schuhe bei der Sicherheitskontrolle in Flughäfen. Abgesehen davon, dass die Anzahl der Terrorschläge auf Flugzeuge gemessen an der Anzahl der Flugbewegungen extrem gering ist, ist auch die Möglichkeit, Sprengstoff in Schuhen zu verstecken, nur durch einen erfolglosen Versuch verbürgt."
ReplyDeleteIch kann den Unterschied zum Sicherheitsgurt nicht erkennen. Es ist doch so: Es gibt Bedrohungen (Sprengstoff) und Schwachstellen (Versteck im Schuh). Aus beiden wird ein Szenario: Täter schmuggelt Sprengstoff. Zusätzlich gibt es zu schützende Güter. In dem Fall das Flugzeug und seine Insassen.
Bei einer Risikobewertung analysierst du, wie wahrscheinlich die Bedrohung ist und wie schwer du die Schwachstelle einschätzt. Daraus ermittelst du die Eintrittswahrscheinlichkeit. Anschließend ergreifst du Maßnahmen, die entweder wirksam die Wahrscheinlichkeit reduzieren (Verhinderung des Szenarios) oder den Schutzbedarf des Flugzeugs mindern (billiges unbemanntes Modellflugzeug verwenden ;)).
Hier hat man sich entschieden, dass Röntgen eine wirksame Maßnahme wäre, Sprengstoff an Bord zu vermeiden.
Bei der Mailverschlüsselung geht es so: Bedrohung (Daten werden im Internet mitgelesen), Schwachstelle (SMTP Protokoll) = Szenario (Vertraulichkeit und Integrität gehen verloren). Maßnahmen: Verschlüsselung senkt die Eintrittswahrscheinlichkeit, alternativ: nur noch Daten versenden, deren Inhalt nicht vertraulich ist und deren Veränderung keinen Schaden hervorruft.
Falls du mit dem bisherigen übereinstimmst, beschreibt dein Blogartikel eigentlich nur die Frage: Wie effektiv ist die Maßnahme Verschlüsselung. Denn dass sie notwendig ist, habe ich glaube ich dargelegt, wenn man nicht die Variante (keine E-Mail mehr) vorzieht.
Zu zwei deiner Argumente:
Das "Rechner ist kompromittiert", würde aber auch bedeuten, dass auf keinem Rechner mehr Daten überhaupt verarbeitet werden dürfen. Denn der Keylogger läuft ja auch, wenn ich den Brief nur schreibe, nicht erst, wenn ich ihn maile.
"Verschlüsselung ist esoterisch" - selbst wenn ich nicht all meine Kommunikation verschlüssele, kann ich doch exemplarisch für mich relevante Dinge verschlüsseln. Und wenn ein Admin mit einem Dienstleister ein Passwort digital übermittelt, dann scheint mir das doch durchaus gängig? Ob die Geheimdienst das spannend finden, können wir wohl nur mutmaßen und sowieso nicht beeinflussen.
Du endest damit, dass du deshalb keinen gesonderten Aufwand treibst. Vielleicht ist meine gesamte Überlegung hinfällig und du hast dich einfach für Maßnahme 2 entschieden. Du verarbeitest auf keinem deiner Computer wichtige Daten. Vielleicht hast du nichts zu verbergen ;)