Abo
  • Services:
Anzeige
2013 gab es viele schlechte Nachrichten zur Verschlüsselung.
2013 gab es viele schlechte Nachrichten zur Verschlüsselung. (Bild: CCC/Piraten)

E-Mail mitlesen, leicht gemacht

Anzeige

Kurz nach den ersten Enthüllungen durch Edward Snowden zur Massenüberwachung durch die NSA und andere Geheimdienste schloss der bis dahin weitgehend unbekannte E-Mail-Provider Lavabit plötzlich seinen Dienst. Es stellte sich heraus, dass Snowden Lavabit, der eine angeblich vollkommen sichere Verschlüsselung angeboten hatte, für seinen E-Mail-Versand verwendete. Die US-Behörden zitierten Lavabit-Gründer Lavar Levinson vor eine Grand Jury. Dort sollte er auch die Master-SSL-Schlüssel aushändigen. Damit hätten die Behörden nicht nur Zugriff auf den gesamten künftigen E-Mail-Verkehr aller Lavabit-Kunden gehabt, sondern auch den bisherigen Datenverkehr zum E-Mail-Provider entschlüsseln können. Levinson hatte dem FBI angeboten, für 3.500 Dollar ein eigenes Programm für das Herauslesen der Daten zu schreiben und diese an das FBI weiterzuleiten.

Die US-Bundespolizei wollte hingegen direkten, eigenen Zugriff auf die Lavabit-Server und lehnte Levisons Vorschlag ab. Lavabit stellte daraufhin seinen Dienst komplett ein und die Schlüssel wurden für ungültig erklärt. Die drei Sicherheitsforscher auf dem 30C3 fragen sich aber, wie viele solcher Gerichtsbeschlüsse an andere Provider ausgehändigt wurden, die das bis heute nicht publik gemacht haben. Meist stehen die Provider unter einer Schweigepflicht und nur wenige gehen an die Öffentlichkeit.

Mangels Folgenlosigkeit ein Archiv für Geheimdienste

Hätte Lavabit für den Schlüsseltausch Diffie-Hellman statt RSA verwendet, wäre zumindest der bisherige Datenverkehr sicher gewesen, merkten Heiniger, Lange und Bernstein an und betonen nochmals, wie wichtig Folgenlosigkeit oder Perfect Forward Secrecy, PFS, sei. Damit lässt sich zwar immer noch ein Server nachahmen und aktueller Datenverkehr abgreifen. Bereits versendete Daten lassen sich jedoch nicht mehr rekonstruieren.

Als sich der NSA-Skandal ausweitete, erhielten wir einen Artikel des freien Autors Michael Kliewe, der die fehlende Verschlüsselung zwischen E-Mail-Providern bemängelte. Zwar hätten die meisten großen Anbieter bereits seit längerem Client-to-Server-Verschlüsselung im Angebot. Zwischen Providern würden aber E-Mails weiterhin unverschlüsselt versendet. Auf Rechercheanfrage von Golem.de wiegelten die Provider ab, das sei schwierig, da TLS beim Konkurrenten nicht umgesetzt sei.

Sichere E-Mail, das Sommermärchen

Kurz darauf verkündeten die Telekom und United Internet, die unter anderem Web.de und GMX betreiben, dass der E-Mail-Verkehr zwischen den beiden Internetkonzernen ab Anfang 2014 verschlüsselt werde.

Die Reaktion des CCC kam prompt: SSL zwischen Providern sei noch lange keine Garantie dafür, dass E-Mails wirklich von Client zu Client lückenlos verschlüsselt werden. Vielmehr werde den Nutzern der E-Mail-Dienste verschwiegen, dass eine Verschlüsselung der Verbindung zwischen den Anbietern noch nicht bedeute, dass die E-Mails dort auch verschlüsselt abgelegt würden. Außerdem ist SSL zwischen Providern noch nicht Pflicht. Im Zweifel werde die Verschlüsselung immer noch deaktiviert, sagte Linus Neumann vom CCC auf dem 30C3. Der CCC hatte die Ankündigung bereits als "Sommermärchen von der sicheren E-Mail" bezeichnet.

De-Mail oder die elektronische Postkarte

Auf dem 30C3 kritisierte Neumann auch De-Mail nochmals deutlich. Mit De-Mail sollen rechtsverbindliche elektronische Nachrichten, ein Identifizierungsdienst und eine gesicherte Onlinedokumentenablage ermöglicht werden. Die angeblich "sicheren" E-Mails des staatlich geförderten E-Mail-Systems werden auf den Mailservern der Unternehmen entschlüsselt. Unter anderem mit dem Argument, die kostenpflichtigen E-Mails müssten auf Viren untersucht werden. Neumann fragt sich, warum jemand unter seinem richtigen Namen infizierte E-Mails versenden würde - und noch dazu 39 Cent dafür zahlt. Vielmehr wolle der Staat gar kein vollkommen verschlüsseltes E-Mail-System, sagte Neumann. "Keine Regierung ist so blöd, ihren Bürgern ein abhörsicheres System zur Kommunikation zu bieten."

Neumann kritisiert auch, dass sich ein Nutzer zwar einmalig persönlich registrieren muss, dann aber Provider wie Telekom oder United Internet die Verwaltung der elektronischen Signatur des Benutzers übernehmen. Der Nutzer müsse sich dann darauf verlassen, dass die Provider dabei keine Fehler machen.

Doch alle Kritik prallte bisher an der Bundesregierung ab. Sie will an der unsicheren De-Mail festhalten. Mehr noch: Das E-Government-Gesetz vom März 2013 wurde so abgeschwächt, dass es keine lückenlose Verschlüsselung mehr fordert, etwa bei der Übermittlung sensibler Gesundheits-, Sozial- und Steuerdaten. "Immer nach der Devise: so nutzerfreundlich wie möglich und so sicher wie nötig", schrieb das Bundesinnenministerium dazu.

 Kaputte Chipkarten, verseuchte HardwareDie elektronischen Hintertüren der NSA 

eye home zur Startseite
chris m. 04. Jan 2014

ich habs einfach so gelesen :D

chris m. 04. Jan 2014

die kryptokatzlypse

Julius Csar 03. Jan 2014

Bei mir hängt es nach Betreten der Seite ebenfalls für eine kurze Zeit (beim Browser...



Anzeige

Stellenmarkt
  1. AGRAVIS Raiffeisen AG, Münster
  2. SQS Software Quality Systems AG, Frankfurt, Köln, München, deutschlandweit
  3. Bayerische Versorgungskammer, München
  4. LuK GmbH & Co. KG, Bühl


Anzeige
Hardware-Angebote
  1. 629€ + 5,99€ Versand
  2. 18,01€+ 3€ Versand

Folgen Sie uns
       


  1. Drei

    Netzanbieter warnt vor Upgrade auf iOS 11

  2. Microsoft

    Zusatzpaket bringt wichtige Windows-Funktionen für .Net Core

  3. Olympus Tough TG5 vs. Nikon Coolpix W300

    Die Schlechtwetter-Kameras

  4. Elektroauto

    Elektrobus stellt neuen Reichweitenrekord auf

  5. Apple

    Xcode 9 bringt Entwicklertools für CoreML und Metal 2

  6. Messenger

    Wire-Server steht komplett unter Open-Source-Lizenz

  7. Smart Glass

    Amazon plant Alexa-Brille

  8. Google

    Das Pixelbook wird ein 1.200-Dollar-Chromebook

  9. Breko

    Bürger sollen 1.500 Euro Prämie für FTTH bekommen

  10. Google

    Neue Pixel-Smartphones und Daydream View geleakt



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Zukunft des Autos: "Unsere Elektrofahrzeuge sollen typische Porsche sein"
Zukunft des Autos
"Unsere Elektrofahrzeuge sollen typische Porsche sein"
  1. Concept EQA Mercedes elektrifiziert die Kompaktklasse
  2. GLC F-Cell Mercedes stellt SUV mit Brennstoffzelle und Akku vor
  3. ID Crozz VW stellt elektrisches Crossover vor

Wireless Qi: Wie die Ikealampe das iPhone lädt
Wireless Qi
Wie die Ikealampe das iPhone lädt
  1. Noch kein Standard Proprietäre Airpower-Matte für mehrere Apple-Geräte

Edge Computing: Randerscheinung mit zentraler Bedeutung
Edge Computing
Randerscheinung mit zentraler Bedeutung
  1. Software AG Cumulocity IoT bringt das Internet der Dinge für Einsteiger
  2. DDoS 30.000 Telnet-Zugänge für IoT-Geräte veröffentlicht
  3. Deutsche Telekom Narrowband-IoT-Servicepakete ab 200 Euro

  1. Re: CO2 Ausstoß dieses Akkus bei der Produktion?

    My1 | 13:19

  2. Re: Könnte man bei uns so gar nicht hinstellen.

    Skankhunt42 | 13:18

  3. Re: Backup - My Ass!!

    Walter Plinge | 13:18

  4. Re: Kontrollzentrum GPS deaktivieren?

    johnDOE123 | 13:15

  5. Re: Kaum Handlungssequenzen... Warum steht das bei -?

    countzero | 13:15


  1. 12:59

  2. 12:29

  3. 12:00

  4. 11:32

  5. 11:17

  6. 11:02

  7. 10:47

  8. 10:32


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel