Abo
  • Services:

E-Mail mitlesen, leicht gemacht

Kurz nach den ersten Enthüllungen durch Edward Snowden zur Massenüberwachung durch die NSA und andere Geheimdienste schloss der bis dahin weitgehend unbekannte E-Mail-Provider Lavabit plötzlich seinen Dienst. Es stellte sich heraus, dass Snowden Lavabit, der eine angeblich vollkommen sichere Verschlüsselung angeboten hatte, für seinen E-Mail-Versand verwendete. Die US-Behörden zitierten Lavabit-Gründer Lavar Levinson vor eine Grand Jury. Dort sollte er auch die Master-SSL-Schlüssel aushändigen. Damit hätten die Behörden nicht nur Zugriff auf den gesamten künftigen E-Mail-Verkehr aller Lavabit-Kunden gehabt, sondern auch den bisherigen Datenverkehr zum E-Mail-Provider entschlüsseln können. Levinson hatte dem FBI angeboten, für 3.500 Dollar ein eigenes Programm für das Herauslesen der Daten zu schreiben und diese an das FBI weiterzuleiten.

Stellenmarkt
  1. Hays AG, Metropolregion Nürnberg
  2. matrix technology AG, München

Die US-Bundespolizei wollte hingegen direkten, eigenen Zugriff auf die Lavabit-Server und lehnte Levisons Vorschlag ab. Lavabit stellte daraufhin seinen Dienst komplett ein und die Schlüssel wurden für ungültig erklärt. Die drei Sicherheitsforscher auf dem 30C3 fragen sich aber, wie viele solcher Gerichtsbeschlüsse an andere Provider ausgehändigt wurden, die das bis heute nicht publik gemacht haben. Meist stehen die Provider unter einer Schweigepflicht und nur wenige gehen an die Öffentlichkeit.

Mangels Folgenlosigkeit ein Archiv für Geheimdienste

Hätte Lavabit für den Schlüsseltausch Diffie-Hellman statt RSA verwendet, wäre zumindest der bisherige Datenverkehr sicher gewesen, merkten Heiniger, Lange und Bernstein an und betonen nochmals, wie wichtig Folgenlosigkeit oder Perfect Forward Secrecy, PFS, sei. Damit lässt sich zwar immer noch ein Server nachahmen und aktueller Datenverkehr abgreifen. Bereits versendete Daten lassen sich jedoch nicht mehr rekonstruieren.

Als sich der NSA-Skandal ausweitete, erhielten wir einen Artikel des freien Autors Michael Kliewe, der die fehlende Verschlüsselung zwischen E-Mail-Providern bemängelte. Zwar hätten die meisten großen Anbieter bereits seit längerem Client-to-Server-Verschlüsselung im Angebot. Zwischen Providern würden aber E-Mails weiterhin unverschlüsselt versendet. Auf Rechercheanfrage von Golem.de wiegelten die Provider ab, das sei schwierig, da TLS beim Konkurrenten nicht umgesetzt sei.

Sichere E-Mail, das Sommermärchen

Kurz darauf verkündeten die Telekom und United Internet, die unter anderem Web.de und GMX betreiben, dass der E-Mail-Verkehr zwischen den beiden Internetkonzernen ab Anfang 2014 verschlüsselt werde.

Die Reaktion des CCC kam prompt: SSL zwischen Providern sei noch lange keine Garantie dafür, dass E-Mails wirklich von Client zu Client lückenlos verschlüsselt werden. Vielmehr werde den Nutzern der E-Mail-Dienste verschwiegen, dass eine Verschlüsselung der Verbindung zwischen den Anbietern noch nicht bedeute, dass die E-Mails dort auch verschlüsselt abgelegt würden. Außerdem ist SSL zwischen Providern noch nicht Pflicht. Im Zweifel werde die Verschlüsselung immer noch deaktiviert, sagte Linus Neumann vom CCC auf dem 30C3. Der CCC hatte die Ankündigung bereits als "Sommermärchen von der sicheren E-Mail" bezeichnet.

De-Mail oder die elektronische Postkarte

Auf dem 30C3 kritisierte Neumann auch De-Mail nochmals deutlich. Mit De-Mail sollen rechtsverbindliche elektronische Nachrichten, ein Identifizierungsdienst und eine gesicherte Onlinedokumentenablage ermöglicht werden. Die angeblich "sicheren" E-Mails des staatlich geförderten E-Mail-Systems werden auf den Mailservern der Unternehmen entschlüsselt. Unter anderem mit dem Argument, die kostenpflichtigen E-Mails müssten auf Viren untersucht werden. Neumann fragt sich, warum jemand unter seinem richtigen Namen infizierte E-Mails versenden würde - und noch dazu 39 Cent dafür zahlt. Vielmehr wolle der Staat gar kein vollkommen verschlüsseltes E-Mail-System, sagte Neumann. "Keine Regierung ist so blöd, ihren Bürgern ein abhörsicheres System zur Kommunikation zu bieten."

Neumann kritisiert auch, dass sich ein Nutzer zwar einmalig persönlich registrieren muss, dann aber Provider wie Telekom oder United Internet die Verwaltung der elektronischen Signatur des Benutzers übernehmen. Der Nutzer müsse sich dann darauf verlassen, dass die Provider dabei keine Fehler machen.

Doch alle Kritik prallte bisher an der Bundesregierung ab. Sie will an der unsicheren De-Mail festhalten. Mehr noch: Das E-Government-Gesetz vom März 2013 wurde so abgeschwächt, dass es keine lückenlose Verschlüsselung mehr fordert, etwa bei der Übermittlung sensibler Gesundheits-, Sozial- und Steuerdaten. "Immer nach der Devise: so nutzerfreundlich wie möglich und so sicher wie nötig", schrieb das Bundesinnenministerium dazu.

 Kaputte Chipkarten, verseuchte HardwareDie elektronischen Hintertüren der NSA 
  1.  
  2. 1
  3. 2
  4. 3
  5. 4
  6. 5
  7.  


Anzeige
Hardware-Angebote
  1. bei Alternate kaufen
  2. bei Caseking kaufen
  3. täglich neue Deals bei Alternate.de
  4. und 25€ Steam-Gutschein erhalten

chris m. 04. Jan 2014

ich habs einfach so gelesen :D

chris m. 04. Jan 2014

die kryptokatzlypse

Julius Csar 03. Jan 2014

Bei mir hängt es nach Betreten der Seite ebenfalls für eine kurze Zeit (beim Browser...


Folgen Sie uns
       


Ubitricity ausprobiert

Das Berliner Unternehmen Ubitricity hat ein eichrechtskonformes System für das Laden von Elektroautos entwickelt. Das Konzept basiert darauf, dass nicht die Säule, sondern der Kunde selbst für die Stromzählung sorgt.

Ubitricity ausprobiert Video aufrufen
Shift6m-Smartphone im Hands on: Nachhaltigkeit geht auch bezahlbar und ansehnlich
Shift6m-Smartphone im Hands on
Nachhaltigkeit geht auch bezahlbar und ansehnlich

Cebit 2018 Das deutsche Unternehmen Shift baut Smartphones, die mit dem Hintergedanken der Nachhaltigkeit entstehen. Das bedeutet für die Entwickler: faire Bezahlung der Werksarbeiter, wiederverwertbare Materialien und leicht zu öffnende Hardware. Außerdem gibt es auf jedes Gerät ein Rückgabepfand - interessant.
Von Oliver Nickel


    Sonnet eGFX Box 650 im Test: Wenn die Vega 64 am Thinkpad rechnet
    Sonnet eGFX Box 650 im Test
    Wenn die Vega 64 am Thinkpad rechnet

    Die eGFX Box 650 von Sonnet ist ein eGPU-Gehäuse, das dank 650-Watt-Netzteil auch mit AMDs Radeon RX Vega 64 läuft. Die Box ist zwar recht leise, dennoch würden wir den Lüfter gerne steuern.
    Ein Test von Marc Sauter und Sebastian Grüner

    1. Razer Core X eGPU-Box kostet 300 Euro
    2. eGFX Breakaway Box 650 Sonnets Grafik-Gehäuse läuft mit Vega 64
    3. XG Station Pro Asus' zweite eGPU-Box ist schlicht

    Live-Linux: Knoppix 8.3 mit Docker
    Live-Linux
    Knoppix 8.3 mit Docker

    Cebit 2018 Die Live-Distribution Knoppix Linux-Magazin Edition bringt nicht nur die üblichen Aktualisierungen und einen gegen Meltdown und Spectre geschützten Kernel. Mir ist das kleine Kunststück gelungen, Knoppix als Docker-Container zu starten.
    Ein Bericht von Klaus Knopper


        •  /