Abo
  • Services:
Anzeige
2013 gab es viele schlechte Nachrichten zur Verschlüsselung.
2013 gab es viele schlechte Nachrichten zur Verschlüsselung. (Bild: CCC/Piraten)

E-Mail mitlesen, leicht gemacht

Anzeige

Kurz nach den ersten Enthüllungen durch Edward Snowden zur Massenüberwachung durch die NSA und andere Geheimdienste schloss der bis dahin weitgehend unbekannte E-Mail-Provider Lavabit plötzlich seinen Dienst. Es stellte sich heraus, dass Snowden Lavabit, der eine angeblich vollkommen sichere Verschlüsselung angeboten hatte, für seinen E-Mail-Versand verwendete. Die US-Behörden zitierten Lavabit-Gründer Lavar Levinson vor eine Grand Jury. Dort sollte er auch die Master-SSL-Schlüssel aushändigen. Damit hätten die Behörden nicht nur Zugriff auf den gesamten künftigen E-Mail-Verkehr aller Lavabit-Kunden gehabt, sondern auch den bisherigen Datenverkehr zum E-Mail-Provider entschlüsseln können. Levinson hatte dem FBI angeboten, für 3.500 Dollar ein eigenes Programm für das Herauslesen der Daten zu schreiben und diese an das FBI weiterzuleiten.

Die US-Bundespolizei wollte hingegen direkten, eigenen Zugriff auf die Lavabit-Server und lehnte Levisons Vorschlag ab. Lavabit stellte daraufhin seinen Dienst komplett ein und die Schlüssel wurden für ungültig erklärt. Die drei Sicherheitsforscher auf dem 30C3 fragen sich aber, wie viele solcher Gerichtsbeschlüsse an andere Provider ausgehändigt wurden, die das bis heute nicht publik gemacht haben. Meist stehen die Provider unter einer Schweigepflicht und nur wenige gehen an die Öffentlichkeit.

Mangels Folgenlosigkeit ein Archiv für Geheimdienste

Hätte Lavabit für den Schlüsseltausch Diffie-Hellman statt RSA verwendet, wäre zumindest der bisherige Datenverkehr sicher gewesen, merkten Heiniger, Lange und Bernstein an und betonen nochmals, wie wichtig Folgenlosigkeit oder Perfect Forward Secrecy, PFS, sei. Damit lässt sich zwar immer noch ein Server nachahmen und aktueller Datenverkehr abgreifen. Bereits versendete Daten lassen sich jedoch nicht mehr rekonstruieren.

Als sich der NSA-Skandal ausweitete, erhielten wir einen Artikel des freien Autors Michael Kliewe, der die fehlende Verschlüsselung zwischen E-Mail-Providern bemängelte. Zwar hätten die meisten großen Anbieter bereits seit längerem Client-to-Server-Verschlüsselung im Angebot. Zwischen Providern würden aber E-Mails weiterhin unverschlüsselt versendet. Auf Rechercheanfrage von Golem.de wiegelten die Provider ab, das sei schwierig, da TLS beim Konkurrenten nicht umgesetzt sei.

Sichere E-Mail, das Sommermärchen

Kurz darauf verkündeten die Telekom und United Internet, die unter anderem Web.de und GMX betreiben, dass der E-Mail-Verkehr zwischen den beiden Internetkonzernen ab Anfang 2014 verschlüsselt werde.

Die Reaktion des CCC kam prompt: SSL zwischen Providern sei noch lange keine Garantie dafür, dass E-Mails wirklich von Client zu Client lückenlos verschlüsselt werden. Vielmehr werde den Nutzern der E-Mail-Dienste verschwiegen, dass eine Verschlüsselung der Verbindung zwischen den Anbietern noch nicht bedeute, dass die E-Mails dort auch verschlüsselt abgelegt würden. Außerdem ist SSL zwischen Providern noch nicht Pflicht. Im Zweifel werde die Verschlüsselung immer noch deaktiviert, sagte Linus Neumann vom CCC auf dem 30C3. Der CCC hatte die Ankündigung bereits als "Sommermärchen von der sicheren E-Mail" bezeichnet.

De-Mail oder die elektronische Postkarte

Auf dem 30C3 kritisierte Neumann auch De-Mail nochmals deutlich. Mit De-Mail sollen rechtsverbindliche elektronische Nachrichten, ein Identifizierungsdienst und eine gesicherte Onlinedokumentenablage ermöglicht werden. Die angeblich "sicheren" E-Mails des staatlich geförderten E-Mail-Systems werden auf den Mailservern der Unternehmen entschlüsselt. Unter anderem mit dem Argument, die kostenpflichtigen E-Mails müssten auf Viren untersucht werden. Neumann fragt sich, warum jemand unter seinem richtigen Namen infizierte E-Mails versenden würde - und noch dazu 39 Cent dafür zahlt. Vielmehr wolle der Staat gar kein vollkommen verschlüsseltes E-Mail-System, sagte Neumann. "Keine Regierung ist so blöd, ihren Bürgern ein abhörsicheres System zur Kommunikation zu bieten."

Neumann kritisiert auch, dass sich ein Nutzer zwar einmalig persönlich registrieren muss, dann aber Provider wie Telekom oder United Internet die Verwaltung der elektronischen Signatur des Benutzers übernehmen. Der Nutzer müsse sich dann darauf verlassen, dass die Provider dabei keine Fehler machen.

Doch alle Kritik prallte bisher an der Bundesregierung ab. Sie will an der unsicheren De-Mail festhalten. Mehr noch: Das E-Government-Gesetz vom März 2013 wurde so abgeschwächt, dass es keine lückenlose Verschlüsselung mehr fordert, etwa bei der Übermittlung sensibler Gesundheits-, Sozial- und Steuerdaten. "Immer nach der Devise: so nutzerfreundlich wie möglich und so sicher wie nötig", schrieb das Bundesinnenministerium dazu.

 Kaputte Chipkarten, verseuchte HardwareDie elektronischen Hintertüren der NSA 

eye home zur Startseite
chris m. 04. Jan 2014

ich habs einfach so gelesen :D

chris m. 04. Jan 2014

die kryptokatzlypse

Julius Csar 03. Jan 2014

Bei mir hängt es nach Betreten der Seite ebenfalls für eine kurze Zeit (beim Browser...



Anzeige

Stellenmarkt
  1. Robert Bosch GmbH, Stuttgart-Feuerbach
  2. Elizabeth Arden GmbH, Wiesbaden
  3. Horváth & Partners Management Consultants, München, Hamburg, Berlin, Frankfurt, Stuttgart, Düsseldorf
  4. Daimler AG, Sindelfingen


Anzeige
Top-Angebote
  1. 349€ (bitte nach unten scrollen)
  2. (heute u. a. Nintendo Switch Bundles, Sony UHD-TVs, Amazon Echo Dot + Megaboom Lautsprecher für...
  3. 149€ + 5,99€ Versand

Folgen Sie uns
       


  1. GTA 5

    Goldener Revolver für Red Dead Redemption 2 versteckt

  2. Geldwäsche

    EU will den Bitcoin weniger anonym machen

  3. Soziale Medien

    Facebook-Forscher finden Facebook problematisch

  4. Streit um Stream On

    Die Telekom spielt das Uber-Spiel

  5. US-Verteidigungsministerium

    Pentagon forschte jahrelang heimlich nach Ufos

  6. Age of Empires (1997)

    Mit sanftem "Wololo" durch die Antike

  7. Augmented Reality

    Google stellt Project Tango ein

  8. Uber vs. Waymo

    Uber spionierte Konkurrenten aus

  9. Die Woche im Video

    Amerika, Amerika, BVG, Amerika, Security

  10. HTTPS

    Fritzbox bekommt Let's Encrypt-Support und verrät Hostnamen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
360-Grad-Kameras im Vergleich: Alles so schön rund hier
360-Grad-Kameras im Vergleich
Alles so schön rund hier
  1. USB-C DxO zeigt Ansteckkamera für Android-Smartphones
  2. G1 X Mark III Erste Kompaktkamera mit APS-C-Sensor von Canon
  3. Ozo Nokia hat keine Lust mehr auf VR-Hardware

E-Ticket Deutschland bei der BVG: Bewegungspunkt am Straßenstrich
E-Ticket Deutschland bei der BVG
Bewegungspunkt am Straßenstrich
  1. Handy-Ticket in Berlin BVG will Check-in/Be-out-System in Bussen testen
  2. VBB Schwarzfahrer trotz Handy-Ticket

LG 32UD99-W im Test: Monitor mit beeindruckendem Bild - trotz unausgereiftem HDR
LG 32UD99-W im Test
Monitor mit beeindruckendem Bild - trotz unausgereiftem HDR
  1. Android-Updates Krack-Patches für Android, aber nicht für Pixel-Telefone
  2. Check Point LGs smarter Staubsauger lässt sich heimlich fernsteuern

  1. Re: Völlig abgekartetes Spiel

    Ach | 00:15

  2. Kampf gegen die Finanzierung von Terrorismus

    Pjörn | 00:09

  3. Re: Warum kein Alien uns unangekündigt besuchen wird

    belugs | 00:04

  4. Re: Wenn das Bundeskartellamt...

    Spawn182 | 17.12. 23:58

  5. Re: Muhahahahaha

    Schläfer | 17.12. 23:50


  1. 14:17

  2. 13:34

  3. 12:33

  4. 11:38

  5. 10:34

  6. 08:00

  7. 12:47

  8. 11:39


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel