TLS-Zertifikat: Gesamter Internetverkehr in Kasachstan kann überwacht werden

In Kasachstan müssen Internetnutzer ab sofort ein spezielles TLS-Zertifikat installieren, um verschlüsselte Webseiten aufrufen zu können. Das Zertifikat ermöglicht eine staatliche Überwachung des gesamten Internetverkehrs in dem Land.

Artikel veröffentlicht am 19. Juli 2019, 17:52 Uhr, Moritz Stückler

Der kasachische Präsidentenpalast in der Hauptstadt Nursultan (Bild: Hanno Böck)

Bereits 2015 gab es Pläne, ein staatliches TLS-Root-Zertifikat in Kasachstan einzuführen. Damals wurde die Umsetzung nach starkem Protest allerdings nicht weiter forciert. Das hat sich nun geändert: Seit dem 17. Juli 2019 müssen Internetprovider in Kasachstan ihre Nutzer auf die notwendige Installation eines neuen TLS-Zertifikats namens Qaznet hinweisen. Versuchen die Nutzer, ohne das Zertifikat Webseiten aufzurufen, werden sie automatisch auf eine entsprechende Webseite mit dem Download-Link des Zertifikats umgeleitet. Zuerst hatte das Onlinemagazin ZDnet berichtet.

Der kasachische Mobilfunkprovider Kcell gibt auf seiner Webseite in englischer Sprache Auskunft über die angeblichen Hintergründe dieser Maßnahme: Die Nutzer würden durch das Zertifikat vor Identitätsdiebstahl, Hackern und anderen digitalen Gefahren geschützt. Auch das zuständige kasachische Ministerium nennt diese Gründe in einer entsprechenden Mitteilung. Tatsächlich ermöglicht dieses Zertifikat dem Inhaber, den Inhalt des gesamten TLS-verschlüsselten Internetverkehrs nach dem sogenannten Man-in-the-Middle-Prinzip zu analysieren und zu modifizieren. Damit kann theoretisch eine vollständige Überwachung und Zensur des Internets vorgenommen werden. Mit dieser weltweit bisher einmaligen Maßnahme schafft Kasachstan eine Vorlage für andere autoritäre Staaten. So kommentiert der Autor und Experte für Industriespionage James Mulvenon auf Twitter: "Wenn die Welt immer mehr die chinesische und russische Interpretation von Souveränität und Grenzen im Internet akzeptiert, wird das immer häufiger zur Norm werden."

Was machen Mozilla und Google?

Sowohl bei Mozilla als auch bei Google wird darüber diskutiert, wie die Browser-Hersteller mit der neuen Situation umgehen sollen. Sowohl in Firefox als auch in Chrome könnte das Zertifikat blockiert werden. Damit riskieren aber beide Firmen politische Konsequenzen der kasachischen Regierung. Bisher scheint es lediglich einen Konsens darüber zu geben, dass Nutzer visuell besser auf diese potenzielle Sicherheitslücke hingewiesen werden sollen.