'Das Chlorhühnchen der E-Mail-Überwachung'

Die Pflicht zur Herausgabe ist nicht an die Größe des Unternehmens gebunden. Jeder geschäftsmäßige Provider muss im Zweifelsfalls in der Lage sein, angefragte Informationen vollständig und zeitnah herauszugeben. Oft wird angenommen, dass nur größere Provider, die eine sogenannte Sina-Box einsetzen müssen, Kommunikationsinhalte auf Anfrage der Behörden herausgeben müssen.

Doch das ist falsch: "Die Größe eines Providers hat nichts damit zu tun, ob er zu einer Telekommunikationsüberwachung verpflichtet ist", erklärt Heinlein. Denn die Anschaffung der Sina-Box soll nur die Übertragung der abgehörten Informationen vereinfachen und absichern. Angeschafft werden muss das Gerät von Providern, die eine bestimmte Anzahl von Verträgen mit Kunden überschreiten. Vor einigen Jahren waren das noch 100.000, heute liegt die Grenze bei 10.000 Verträgen.

Die Sina-Box wurde in den 90er Jahren entwickelt, unter anderem um einen sicheren Austausch zwischen Bundesbehörden an den beiden Standorten der Bundesregierung in Berlin und Bonn zu gewährleisten. Das Konzept für die "Sichere-Internetzwerk-Architektur" (Sina) wurde von der Bundesregierung ausgeschrieben, der Hersteller Secunet gewann diese Ausschreibung und stellt die Geräte seitdem her.

Doch dass die Sina-Box tatsächlich maßgeblichen Einfluss auf die Überwachung von E-Mails hat, ist ein Missverständnis: "Die Sina-Box ist quasi das Chlorhühnchen der Telekommunikationsüberwachung - sie ist Teil des Problems, aber eben nur ein kleiner Teil davon, so wie das Chlorhühnchen nur ein kleiner Teil der Probleme bei TTIP ist", sagt Heinlein.

Im Internet kursieren zahlreiche Missverständnisse rund um die Sina-Box - aber das Gerät erhält keinen direkten Zugriff auf die Systeme der Provider, auch ein Fernzugriff durch Behörden ist damit nicht möglich. Es findet auch keine Speicherung von Daten auf dem Gerät selbst statt. Die Box dient lediglich dazu, per VPN eine verschlüsselte Verbindung zu den Strafverfolgungsbehörden aufzubauen, wie das Unternehmen auch in eigenen FAQ darstellt [PDF].

So soll gewährleistet werden, dass Daten aus staatlich angeordneten Überwachungsmaßnahmen weder manipuliert noch von Fremden eingesehen werden können. Die gleichen Geräte werden auch zum Beispiel von deutschen Botschaften im Ausland verwendet, um eine sichere Kommunikation zu ermöglichen.

Verschlüsseltes VPN-Gateway

Die Sina-Boxen nutzen zur Absicherung ein Ipsec-VPN. Die Verbindung ist mit AES-256 verschlüsselt, der Schlüsselaustausch wird mit dem Elliptic-Curve-Diffie-Hellman (ECDH) abgesichert und bietet Forward Secrecy, ältere Nachrichten können also selbst dann nicht entschlüsselt werden, wenn ein Angreifer in den Besitz des geteilten Geheimnisses kommt. Das kleinste Gerät kostet nach Angaben des Herstellers rund 5.000 Euro und ist unter anderem als Desktopvariante umgesetzt. Größere Geräte bieten mehr Bandbreite, können in ein 19-Zoll-Server-Rack montiert werden und kosten ungefähr das Doppelte.

Hersteller Secunet sagt im Gespräch mit Golem.de, dass die erforderlichen Integrationsleistungen für Provider recht gering ausfallen würden. "Die Public-Key-Infrastruktur für die Geräte wird von der Bundesnetzagentur bereitgestellt", sagte Patrick Franitza von Secunet im Gespräch mit Golem.de. Das bestätigt die Bundesnetzagentur auf Anfrage von Golem.de.

Die Behörde schreibt außerdem: "In der Regel sind IP-Adressen für die Sina-Box und die an dem jeweiligen Telekommunikationsvorgang beteiligten Komponenten anzugeben. Die Dienstleistung der Bundesnetzagentur zur Teilnahme am Verfahren sowie der Betrieb der zentralen Public Key Infrastructure für die Sina-Boxen der Teilnehmer ist kostenlos." Die Anschaffung einer Sina-Box und die Integration in die eigenen Systeme ist für die Provider, die die Nutzergrenze überschreiten, aber nur der erste Schritt, denn die notwendigen Anpassungen der eigenen Infrastruktur kosten enorm viel Geld und Zeit.