Abo
  • Services:
Anzeige
2013 gab es viele schlechte Nachrichten zur Verschlüsselung.
2013 gab es viele schlechte Nachrichten zur Verschlüsselung. (Bild: CCC/Piraten)

E-Mail mitlesen, leicht gemacht

Anzeige

Kurz nach den ersten Enthüllungen durch Edward Snowden zur Massenüberwachung durch die NSA und andere Geheimdienste schloss der bis dahin weitgehend unbekannte E-Mail-Provider Lavabit plötzlich seinen Dienst. Es stellte sich heraus, dass Snowden Lavabit, der eine angeblich vollkommen sichere Verschlüsselung angeboten hatte, für seinen E-Mail-Versand verwendete. Die US-Behörden zitierten Lavabit-Gründer Lavar Levinson vor eine Grand Jury. Dort sollte er auch die Master-SSL-Schlüssel aushändigen. Damit hätten die Behörden nicht nur Zugriff auf den gesamten künftigen E-Mail-Verkehr aller Lavabit-Kunden gehabt, sondern auch den bisherigen Datenverkehr zum E-Mail-Provider entschlüsseln können. Levinson hatte dem FBI angeboten, für 3.500 Dollar ein eigenes Programm für das Herauslesen der Daten zu schreiben und diese an das FBI weiterzuleiten.

Die US-Bundespolizei wollte hingegen direkten, eigenen Zugriff auf die Lavabit-Server und lehnte Levisons Vorschlag ab. Lavabit stellte daraufhin seinen Dienst komplett ein und die Schlüssel wurden für ungültig erklärt. Die drei Sicherheitsforscher auf dem 30C3 fragen sich aber, wie viele solcher Gerichtsbeschlüsse an andere Provider ausgehändigt wurden, die das bis heute nicht publik gemacht haben. Meist stehen die Provider unter einer Schweigepflicht und nur wenige gehen an die Öffentlichkeit.

Mangels Folgenlosigkeit ein Archiv für Geheimdienste

Hätte Lavabit für den Schlüsseltausch Diffie-Hellman statt RSA verwendet, wäre zumindest der bisherige Datenverkehr sicher gewesen, merkten Heiniger, Lange und Bernstein an und betonen nochmals, wie wichtig Folgenlosigkeit oder Perfect Forward Secrecy, PFS, sei. Damit lässt sich zwar immer noch ein Server nachahmen und aktueller Datenverkehr abgreifen. Bereits versendete Daten lassen sich jedoch nicht mehr rekonstruieren.

Als sich der NSA-Skandal ausweitete, erhielten wir einen Artikel des freien Autors Michael Kliewe, der die fehlende Verschlüsselung zwischen E-Mail-Providern bemängelte. Zwar hätten die meisten großen Anbieter bereits seit längerem Client-to-Server-Verschlüsselung im Angebot. Zwischen Providern würden aber E-Mails weiterhin unverschlüsselt versendet. Auf Rechercheanfrage von Golem.de wiegelten die Provider ab, das sei schwierig, da TLS beim Konkurrenten nicht umgesetzt sei.

Sichere E-Mail, das Sommermärchen

Kurz darauf verkündeten die Telekom und United Internet, die unter anderem Web.de und GMX betreiben, dass der E-Mail-Verkehr zwischen den beiden Internetkonzernen ab Anfang 2014 verschlüsselt werde.

Die Reaktion des CCC kam prompt: SSL zwischen Providern sei noch lange keine Garantie dafür, dass E-Mails wirklich von Client zu Client lückenlos verschlüsselt werden. Vielmehr werde den Nutzern der E-Mail-Dienste verschwiegen, dass eine Verschlüsselung der Verbindung zwischen den Anbietern noch nicht bedeute, dass die E-Mails dort auch verschlüsselt abgelegt würden. Außerdem ist SSL zwischen Providern noch nicht Pflicht. Im Zweifel werde die Verschlüsselung immer noch deaktiviert, sagte Linus Neumann vom CCC auf dem 30C3. Der CCC hatte die Ankündigung bereits als "Sommermärchen von der sicheren E-Mail" bezeichnet.

De-Mail oder die elektronische Postkarte

Auf dem 30C3 kritisierte Neumann auch De-Mail nochmals deutlich. Mit De-Mail sollen rechtsverbindliche elektronische Nachrichten, ein Identifizierungsdienst und eine gesicherte Onlinedokumentenablage ermöglicht werden. Die angeblich "sicheren" E-Mails des staatlich geförderten E-Mail-Systems werden auf den Mailservern der Unternehmen entschlüsselt. Unter anderem mit dem Argument, die kostenpflichtigen E-Mails müssten auf Viren untersucht werden. Neumann fragt sich, warum jemand unter seinem richtigen Namen infizierte E-Mails versenden würde - und noch dazu 39 Cent dafür zahlt. Vielmehr wolle der Staat gar kein vollkommen verschlüsseltes E-Mail-System, sagte Neumann. "Keine Regierung ist so blöd, ihren Bürgern ein abhörsicheres System zur Kommunikation zu bieten."

Neumann kritisiert auch, dass sich ein Nutzer zwar einmalig persönlich registrieren muss, dann aber Provider wie Telekom oder United Internet die Verwaltung der elektronischen Signatur des Benutzers übernehmen. Der Nutzer müsse sich dann darauf verlassen, dass die Provider dabei keine Fehler machen.

Doch alle Kritik prallte bisher an der Bundesregierung ab. Sie will an der unsicheren De-Mail festhalten. Mehr noch: Das E-Government-Gesetz vom März 2013 wurde so abgeschwächt, dass es keine lückenlose Verschlüsselung mehr fordert, etwa bei der Übermittlung sensibler Gesundheits-, Sozial- und Steuerdaten. "Immer nach der Devise: so nutzerfreundlich wie möglich und so sicher wie nötig", schrieb das Bundesinnenministerium dazu.

 Kaputte Chipkarten, verseuchte HardwareDie elektronischen Hintertüren der NSA 

eye home zur Startseite
chris m. 04. Jan 2014

ich habs einfach so gelesen :D

chris m. 04. Jan 2014

die kryptokatzlypse

Julius Csar 03. Jan 2014

Bei mir hängt es nach Betreten der Seite ebenfalls für eine kurze Zeit (beim Browser...



Anzeige

Stellenmarkt
  1. Detecon International GmbH, Dresden
  2. WKM GmbH, München
  3. TADANO FAUN GmbH, Lauf an der Pegnitz / bei Nürnberg
  4. MICHELFELDER Gruppe über Baumann Unternehmensberatung AG, Raum Schramberg


Anzeige
Top-Angebote
  1. (alle Angebote versandkostenfrei, u. a. CoD: Infinite Warefare Legacy Edition 25,00€)
  2. 59,00€
  3. (u. a. PlayStation 4 + Horizon Zero Dawn + 2 Controller 269,00€, iRobot Roomba 980 nur 777€)

Folgen Sie uns
       


  1. Service

    Telekom verspricht kürzeres Warten auf Techniker

  2. BVG

    Fast alle U-Bahnhöfe mit offenem WLAN

  3. Android-Apps

    Rechtemissbrauch ermöglicht unsichtbare Tastaturmitschnitte

  4. Electro Fluidic Technology

    Schnelles E-Paper-Display für Video-Anwendungen

  5. Heiko Maas

    "Kein Wunder, dass Facebook seine Vorgaben geheim hält"

  6. Virtual Reality

    Oculus Rift unterstützt offiziell Roomscale-VR

  7. FTP-Client

    Filezilla bekommt ein Master Password

  8. Künstliche Intelligenz

    Apple arbeitet offenbar an eigenem AI-Prozessor

  9. Die Woche im Video

    Verbogen, abgehoben und tiefergelegt

  10. ZTE

    Chinas großes 5G-Testprojekt läuft weiter



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
XPS 13 (9365) im Test: Dells Convertible zeigt alte Stärken und neue Schwächen
XPS 13 (9365) im Test
Dells Convertible zeigt alte Stärken und neue Schwächen
  1. Prozessor Intel wird Thunderbolt 3 in CPUs integrieren
  2. Schnittstelle Intel pflegt endlich Linux-Treiber für Thunderbolt
  3. Atom C2000 & Kaby Lake Updates beheben Defekt respektive fehlendes HDCP 2.2

Calliope Mini im Test: Neuland lernt programmieren
Calliope Mini im Test
Neuland lernt programmieren
  1. Arduino Cinque RISC-V-Prozessor und ESP32 auf einem Board vereint
  2. MKRFOX1200 Neues Arduino-Board erscheint mit kostenlosem Datentarif
  3. Creoqode 2048 Tragbare Spielekonsole zum Basteln erhältlich

Tado im Langzeittest: Am Ende der Heizperiode
Tado im Langzeittest
Am Ende der Heizperiode
  1. Speedport Smart Telekom bringt Smart-Home-Funktionen auf den Speedport
  2. Tapdo Das Smart Home mit Fingerabdrücken steuern
  3. Mehr Möbel als Gadget Eine Holzfernbedienung für das Smart Home

  1. Re: Meine Erfahrung als Störungssucher in Luxemburg

    Sharra | 22:13

  2. Mehr Techniker einstellen?

    ImAußendienst | 22:10

  3. Re: Unsichtbare(!!!) Overlays....

    Cok3.Zer0 | 22:02

  4. Re: Habe nach meinen Umzug knapp ein halbes Jahr...

    Kleba | 21:42

  5. Re: 1400W... für welche Hardware?

    Braineh | 21:33


  1. 12:31

  2. 12:15

  3. 11:33

  4. 10:35

  5. 12:54

  6. 12:41

  7. 11:44

  8. 11:10


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel