Abo
  • Services:
Anzeige
2013 gab es viele schlechte Nachrichten zur Verschlüsselung.
2013 gab es viele schlechte Nachrichten zur Verschlüsselung. (Bild: CCC/Piraten)

E-Mail mitlesen, leicht gemacht

Anzeige

Kurz nach den ersten Enthüllungen durch Edward Snowden zur Massenüberwachung durch die NSA und andere Geheimdienste schloss der bis dahin weitgehend unbekannte E-Mail-Provider Lavabit plötzlich seinen Dienst. Es stellte sich heraus, dass Snowden Lavabit, der eine angeblich vollkommen sichere Verschlüsselung angeboten hatte, für seinen E-Mail-Versand verwendete. Die US-Behörden zitierten Lavabit-Gründer Lavar Levinson vor eine Grand Jury. Dort sollte er auch die Master-SSL-Schlüssel aushändigen. Damit hätten die Behörden nicht nur Zugriff auf den gesamten künftigen E-Mail-Verkehr aller Lavabit-Kunden gehabt, sondern auch den bisherigen Datenverkehr zum E-Mail-Provider entschlüsseln können. Levinson hatte dem FBI angeboten, für 3.500 Dollar ein eigenes Programm für das Herauslesen der Daten zu schreiben und diese an das FBI weiterzuleiten.

Die US-Bundespolizei wollte hingegen direkten, eigenen Zugriff auf die Lavabit-Server und lehnte Levisons Vorschlag ab. Lavabit stellte daraufhin seinen Dienst komplett ein und die Schlüssel wurden für ungültig erklärt. Die drei Sicherheitsforscher auf dem 30C3 fragen sich aber, wie viele solcher Gerichtsbeschlüsse an andere Provider ausgehändigt wurden, die das bis heute nicht publik gemacht haben. Meist stehen die Provider unter einer Schweigepflicht und nur wenige gehen an die Öffentlichkeit.

Mangels Folgenlosigkeit ein Archiv für Geheimdienste

Hätte Lavabit für den Schlüsseltausch Diffie-Hellman statt RSA verwendet, wäre zumindest der bisherige Datenverkehr sicher gewesen, merkten Heiniger, Lange und Bernstein an und betonen nochmals, wie wichtig Folgenlosigkeit oder Perfect Forward Secrecy, PFS, sei. Damit lässt sich zwar immer noch ein Server nachahmen und aktueller Datenverkehr abgreifen. Bereits versendete Daten lassen sich jedoch nicht mehr rekonstruieren.

Als sich der NSA-Skandal ausweitete, erhielten wir einen Artikel des freien Autors Michael Kliewe, der die fehlende Verschlüsselung zwischen E-Mail-Providern bemängelte. Zwar hätten die meisten großen Anbieter bereits seit längerem Client-to-Server-Verschlüsselung im Angebot. Zwischen Providern würden aber E-Mails weiterhin unverschlüsselt versendet. Auf Rechercheanfrage von Golem.de wiegelten die Provider ab, das sei schwierig, da TLS beim Konkurrenten nicht umgesetzt sei.

Sichere E-Mail, das Sommermärchen

Kurz darauf verkündeten die Telekom und United Internet, die unter anderem Web.de und GMX betreiben, dass der E-Mail-Verkehr zwischen den beiden Internetkonzernen ab Anfang 2014 verschlüsselt werde.

Die Reaktion des CCC kam prompt: SSL zwischen Providern sei noch lange keine Garantie dafür, dass E-Mails wirklich von Client zu Client lückenlos verschlüsselt werden. Vielmehr werde den Nutzern der E-Mail-Dienste verschwiegen, dass eine Verschlüsselung der Verbindung zwischen den Anbietern noch nicht bedeute, dass die E-Mails dort auch verschlüsselt abgelegt würden. Außerdem ist SSL zwischen Providern noch nicht Pflicht. Im Zweifel werde die Verschlüsselung immer noch deaktiviert, sagte Linus Neumann vom CCC auf dem 30C3. Der CCC hatte die Ankündigung bereits als "Sommermärchen von der sicheren E-Mail" bezeichnet.

De-Mail oder die elektronische Postkarte

Auf dem 30C3 kritisierte Neumann auch De-Mail nochmals deutlich. Mit De-Mail sollen rechtsverbindliche elektronische Nachrichten, ein Identifizierungsdienst und eine gesicherte Onlinedokumentenablage ermöglicht werden. Die angeblich "sicheren" E-Mails des staatlich geförderten E-Mail-Systems werden auf den Mailservern der Unternehmen entschlüsselt. Unter anderem mit dem Argument, die kostenpflichtigen E-Mails müssten auf Viren untersucht werden. Neumann fragt sich, warum jemand unter seinem richtigen Namen infizierte E-Mails versenden würde - und noch dazu 39 Cent dafür zahlt. Vielmehr wolle der Staat gar kein vollkommen verschlüsseltes E-Mail-System, sagte Neumann. "Keine Regierung ist so blöd, ihren Bürgern ein abhörsicheres System zur Kommunikation zu bieten."

Neumann kritisiert auch, dass sich ein Nutzer zwar einmalig persönlich registrieren muss, dann aber Provider wie Telekom oder United Internet die Verwaltung der elektronischen Signatur des Benutzers übernehmen. Der Nutzer müsse sich dann darauf verlassen, dass die Provider dabei keine Fehler machen.

Doch alle Kritik prallte bisher an der Bundesregierung ab. Sie will an der unsicheren De-Mail festhalten. Mehr noch: Das E-Government-Gesetz vom März 2013 wurde so abgeschwächt, dass es keine lückenlose Verschlüsselung mehr fordert, etwa bei der Übermittlung sensibler Gesundheits-, Sozial- und Steuerdaten. "Immer nach der Devise: so nutzerfreundlich wie möglich und so sicher wie nötig", schrieb das Bundesinnenministerium dazu.

 Kaputte Chipkarten, verseuchte HardwareDie elektronischen Hintertüren der NSA 

eye home zur Startseite
chris m. 04. Jan 2014

ich habs einfach so gelesen :D

chris m. 04. Jan 2014

die kryptokatzlypse

Julius Csar 03. Jan 2014

Bei mir hängt es nach Betreten der Seite ebenfalls für eine kurze Zeit (beim Browser...



Anzeige

Stellenmarkt
  1. Evangelischer Oberkirchenrat Stuttgart, Stuttgart
  2. T-Systems International GmbH, Leinfelden-Echterdingen, München, Frankfurt am Main
  3. T-Systems International GmbH, verschiedene Standorte
  4. T-Systems International GmbH, Leinfelden-Echterdingen


Anzeige
Top-Angebote
  1. 70,02€
  2. 99,90€ + 4,95€ Versand (Vergleichspreis 124€)
  3. 229,00€ zzgl. 5€ Versand (USK 18)

Folgen Sie uns
       


  1. Hauptversammlung

    Rocket Internet will eine Bank sein

  2. Alphabet

    Google-Chef verdient 200 Millionen US-Dollar

  3. Analysepapier

    Facebook berichtet offiziell von staatlicher Desinformation

  4. Apple

    Qualcomm reduziert Prognose wegen zurückgehaltener Zahlungen

  5. Underground Actually Free

    Amazon beendet Programm mit komplett kostenlosen Apps

  6. Onlinelexikon

    Türkische Behörden sperren Zugang zu Wikipedia

  7. Straßenverkehr

    Elon Musk baut U-Bahn für Autos

  8. Die Woche im Video

    Mr. Robot und Ms MINT

  9. Spülbohrverfahren

    Deutsche Telekom "spült" ihre Glasfaserkabel in die Erde

  10. Privacy Phone

    John McAfee stellt fragwürdiges Smartphone vor



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Mario Kart 8 Deluxe im Test: Ehrenrunde mit Ballon-Knaller, HD Rumble und Super-Turbo
Mario Kart 8 Deluxe im Test
Ehrenrunde mit Ballon-Knaller, HD Rumble und Super-Turbo
  1. Hybridkonsole Nintendo verkauft im ersten Monat 2,74 Millionen Switch
  2. Nintendo Switch Verkaufszahlen in den USA nahe der Millionengrenze
  3. Nintendo Von Mario-Minecraft bis zu gelben dicken Joy-Cons

Bonaverde: Von einem, den das Kaffeerösten das Fürchten lehrte
Bonaverde
Von einem, den das Kaffeerösten das Fürchten lehrte
  1. Google Alphabet macht weit über 5 Milliarden Dollar Gewinn
  2. Insolvenz Weniger Mitarbeiter und teure Supportverträge bei Protonet
  3. Jungunternehmer Über 3.000 deutsche Startups gingen 2016 pleite

Noonee: Exoskelett ermöglicht Sitzen ohne Stuhl
Noonee
Exoskelett ermöglicht Sitzen ohne Stuhl

  1. Re: Top stabile Server Distro

    ArcherV | 00:27

  2. Re: Wie wärs mit öffentlichen Verkehrsmitteln?!

    Fotobar | 30.04. 23:51

  3. Re: Abgehoben

    theonlyone | 30.04. 23:31

  4. Re: 1 Dollar Gehalt

    theonlyone | 30.04. 23:24

  5. Re: Ähnlichkeit...

    User_x | 30.04. 23:12


  1. 13:08

  2. 12:21

  3. 15:07

  4. 14:32

  5. 13:35

  6. 12:56

  7. 12:15

  8. 09:01


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel