Öffentlichkeit ist notwendig und gleichzeitig problematisch

Die Veröffentlichung von Sicherheitslücken sieht er daher zwiespältig. Einerseits wolle man gerade die Nutzer schützen, bei denen es besonders auf Sicherheit ankomme. Andererseits würden sich die veröffentlichten Informationen gerade bei einem Thema wie Whatsapp wie ein Lauffeuer verbreiten und dann häufig für Unsicherheit sorgen. Das gleiche Problem hätten die Kollegen von der Ruhr-Universität Bochum gehabt, die die Efail-Sicherheitslücke entdeckt haben.

Die Medienlandschaft hat sich verändert

Die Medienlandschaft hat sich in den vergangenen Jahren stark verändert. Fachvorträge wie der von Rösler und seinen Kollegen fanden in den vergangenen Jahren vor einem sehr begrenzten Publikum von Spezialisten statt. Heute können die dort veröffentlichten Informationen sehr schnell ein globales Publikum erreichen - ohne dass dieses Publikum darauf entsprechend vorbereitet ist.

Dass die Bewertung von Sicherheitsproblemen keine eindeutige Sache ist, kann Rösler aus eigener Erfahrung berichten. Er habe das Problem mit den Gruppenchats gemeinsam mit seinen Kollegen an Signal-Entwickler Moxie Marlinspike gemeldet, sagte er auf seinem Ruhrsec-Vortrag. Marlinspike habe aber nicht unbedingt verständig reagiert, sondern nur geantwortet, Telegram sei viel unsicherer, weil es bei den meisten Chats keine Verschlüsselung gebe.

Auch in der Kommunikation mit Facebook habe es Probleme gegeben. "Viele der Leute, die dort die zahlreichen Sicherheitsmeldungen bearbeiten, haben vermutlich keinen Hintergrund in Kryptographie", sagt Rösler. Das von den Forschern beschriebene Problem sei daher von Ebene zu Ebene weitergegeben worden. Sie hätten nicht den Eindruck gehabt, dass das Problem dort richtig verstanden worden sei.

Für Forscher und Hacker ist die Situation also zunehmend komplex. Bei der Forschung müssen sie nicht nur die üblichen Richtlinien rund um Responsible Disclosure berücksichtigen, sondern auch, welchen weiteren Effekt die Veröffentlichung haben kann. Die Soziologin und Technikforscherin Zeynep Tufekci hatte im vergangenen Jahr die Berichterstattung des Guardian rund um eine angebliche Sicherheitslücke in Whatsapp kritisiert, weil sie gerade Nutzer, für die Sicherheit wichtig ist, dazu bringen könnte, wieder auf unsichere Kommunikationsmethoden wie SMS auszuweichen.