Selbstverteidigung – Verschlüsselung als Mittel gegen die Überwachung - Prof. Dr. Norbert Pohlmann

D. Petersen, N. Pohlmann:,
“Selbstverteidigung – Verschlüsselung als Mittel gegen die Überwachung”,
iX – Kompakt,
Heise-Verlag,
2014

Nach dem Heartbleed-Desaster ist es nicht damitgetan, alle Web-Passwörter und Zertifikate zu ändern, denn Webbrowser können selbst dann auf unsichere Weise kommunizieren, wenn das grüne Zertifikatssymbol erscheint und der Server keine SSL-Lücke mehr aufweist.

Die noch vor Jahresfrist angenommene Vertrauenswürdigkeit des Internets hatte sich schon vor der OpenSSL-Katastrophe als Illusion erwiesen. Seit 2013 ist allgemein bekannt, dass die Geheimdienste praktisch den gesamten Internet-Datenverkehr ausspionieren – vornehmlich in Gestalt der „Five Eyes“: Die Hauptakteure dieser Allianz sind die National Security Agency (NSA) der USA und das britische Government Communications Headquarters (GCHQ), in zweiter Linie gesellen sich Australiens Defence Signals Directorate (DSD), das Communications Security Establishment Canada (CSEC) und Neuseelands Government Communications Security Bureau (GCSB) hinzu.
Wer der Five-Eyes-Allianz möglichst wenig preisgeben will, sollte auf Datensparsamkeit, weniger Cloud- und damit lokalere Dienste sowie Verschlüsselung achten. Datensparsamkeit bedeutet zum Beispiel, dass nicht jedes Handy-Foto samt exakter Geolokalisierung und Personenmarkierung direkt auf Servern von Facebook landen sollte. Die weit verbreiteten Cloud-Dienste, als Rechenwerke oder einfach nur Dateiserver genutzt, liegen meist in Ländern der Five-Eyes-Allianz oder sind ihnen gesetzlich unterstellt. So kann die NSA Dropbox als amerikanisches Unternehmen gemäß dem Patriot Act verpflichten, ihr alle hochgeladenen Dateien preiszugeben. Gleichzeitig müssen die Firmen jegliche Zusammenarbeit mit der NSA dementieren.
Bei den Verschlüsselungsverfahren ist grob zwischen symmetrischer und asymmetrischer Kryptografie zu unterscheiden, die unterschiedlichen Zwecken dienen. Die symmetrische Verschlüsselung verwendet zum Ver- und Entschlüsseln denselben Schlüssel. Dieses schnelle Verfahren kann große Datenmengen schützen. Da die Schlüssel geheimgehalten oder höchstens zwischen bekannten Kommunikationspartnern ausgetauscht werden, eignen sich symmetrische Verfahren gut zur Festplatten- oder Archivverschlüsselung. TLS/SSL verwendet ebenfalls symmetrische Kryptografie, beispielsweise beim Übertragen von Web-Inhalten per HTTPS. Allerdings muss hier vorab der Schlüsselaustausch sicher erfolgen (mittels asymmetrischer Verschlüsselung und Schlüsselaustausch, siehe unten).
Für TLS/SSL sind diverse symmetrische Verschlüsselungsverfahren in Gebrauch, die sich hinsichtlich ihrer Aktualität und IT-Sicherheit voneinander unterscheiden (siehe Tabelle „Gängige symmetrische Kryptoverfahren“).