Original-URL des Artikels: https://www.golem.de/news/sicherheitsforschung-viele-menschen-halten-uns-fuer-magier-1805-134674.html    Veröffentlicht: 31.05.2018 08:59    Kurz-URL: https://glm.io/134674

Whatsapp

"Viele Menschen halten uns für Magier"

Nachdem der Forscher Paul Rösler mit seinen Kollegen ein Problem in der Verschlüsselung von Whatsapp gefunden hatte, überschlugen sich die Meldungen vieler Medien. Wir haben mit ihm über die Verantwortung von Forschern, Medien und neue Formen von Öffentlichkeit gesprochen.

Anfang Januar sitzt Paul Rösler mit einigen Kollegen im Zug auf dem Weg von Bochum nach Zürich. Sie alle sind Forscher an der Ruhr-Universität in Bochum und wollen auf der Fachkonferenz Real World Crpyto ein neues wissenschaftliches Paper vorstellen, das sich mit Schwachstellen in der Verschlüsselung von Gruppenchats beschäftigt - bei Signal, Whatsapp und Threema. Der Titel des Vortrages: "On the end-to-end security of group chats". Klar ist: Diese Forschung richtet sich an absolute Experten.

Noch auf dem Weg bekommt Rösler eine Anfrage von dem US-Journalisten Andy Greenberg, der für Wired über IT-Sicherheit schreibt. Greenberg hat den Vortrag aufgespürt und will darüber berichten. "Ich war wirklich froh über den Bericht, der war sehr ausgewogen und gelungen", sagte Rösler im Gespräch am Rande der Ruhrsec-Konferenz an der Ruhr-Universität in Bochum. Was dann passierte, konnte er aber zu diesem Zeitpunkt noch nicht abschätzen. Denn über die Forscher brach ein wahrer Mediensturm ein.

Worum geht es bei der Sicherheitslücke?

Ein Angreifer könnte, wenn er Zugriff auf den Server von Whatsapp hätte, unbemerkt Personen in eine Gruppenkonversation aufnehmen und dann die Ende-zu-Ende verschlüsselten Inhalte mitlesen. "Dies könnte zum Beispiel relevant sein in größeren Gruppen, die ein allgemeines Zugehörigkeitsgefühl haben, in denen aber nicht jeder jeden kennt", sagt Rösler. Denkbar sei dies zum Beispiel bei Aktivistengruppen. Ohne den Server zu kompromittieren, kann diese Schwachstelle aber nicht ausgenutzt werden.

Dieses nicht unwesentliche Detail ging allerdings in zahlreichen Berichten unter. Es handelt sich um ein hochkompliziertes kryptographisches Problem - und nicht um eine einfach ausnutzbare Schwachstelle. Die Überschriften in zahlreichen, auch deutschen, Medien lautete allerdings: "Whatsapp in Gefahr: Gruppen-Chats sind unsicher", "Whatsapp und Co: Forscher zeigen, warum Gruppenchats unsicher sind" und "Sicherheitslücke bei Whatsapp: Können Fremde Gruppenchats mitlesen?"

Die Forscher waren von dem Medienecho auf ihre Entdeckung vollkommen überrascht. "Ich bin ja kein Medienprofi", sagt Rösler. Und er macht sich Gedanken, was seine Forschung bewirkt. Rösler ist besorgt wegen der teils reißerischen Berichterstattung: "Unsere Aufgabe als Forscher ist es, die Welt ein bisschen besser und sicherer zu machen. In der Wirtschaft könnten wir alle deutlich besser verdienen, aber wir haben uns für diese Tätigkeit entschieden." Doch wenn die Veröffentlichung einer für Fachleute gedachten Information so außer Kontrolle gerate und viele falsche Schlagzeilen entstünden, würden Leute stattdessen verunsichert.

Einige, glaubt Rösler, seien ohnehin von der schnellen technischen Entwicklung verunsichert. "Viele Menschen da draußen halten uns ohnehin für Magier", sagt er in Bezug auf den Beruf des IT-Sicherheitsforschers. Er habe Angst, dass Leute zwar immer mehr Technologie benutzen, aber gleichzeitig davon entfremdet würden, weil sie den Eindruck hätten, die Hintergründe ohnehin nicht zu verstehen. "Wir fahren zurzeit mit einem Auto, das sich aber noch in der Entwicklung befindet", sagt Rösler. Deswegen sei es wichtig, ausgewogen und neutral über wissenschaftliche Erkenntnisse zu berichten.

Gleichzeitig sei die Öffentlichkeit gerade für Forscher ein wichtiges Mittel: "Als Forscher weiß ich auch nicht immer, was der Effekt der von mir entdeckten Lücke in der Öffentlichkeit ist." Deswegen sei eine Veröffentlichung von Sicherheitslücken wichtig, um mit anderen Wissenschaftlern und Experten in einen Austausch zu treten und Lösungen für Probleme zu finden.

Öffentlichkeit ist notwendig und gleichzeitig problematisch

Die Veröffentlichung von Sicherheitslücken sieht er daher zwiespältig. Einerseits wolle man gerade die Nutzer schützen, bei denen es besonders auf Sicherheit ankomme. Andererseits würden sich die veröffentlichten Informationen gerade bei einem Thema wie Whatsapp wie ein Lauffeuer verbreiten und dann häufig für Unsicherheit sorgen. Das gleiche Problem hätten die Kollegen von der Ruhr-Universität Bochum gehabt, die die Efail-Sicherheitslücke entdeckt haben.

Die Medienlandschaft hat sich verändert

Die Medienlandschaft hat sich in den vergangenen Jahren stark verändert. Fachvorträge wie der von Rösler und seinen Kollegen fanden in den vergangenen Jahren vor einem sehr begrenzten Publikum von Spezialisten statt. Heute können die dort veröffentlichten Informationen sehr schnell ein globales Publikum erreichen - ohne dass dieses Publikum darauf entsprechend vorbereitet ist.

Dass die Bewertung von Sicherheitsproblemen keine eindeutige Sache ist, kann Rösler aus eigener Erfahrung berichten. Er habe das Problem mit den Gruppenchats gemeinsam mit seinen Kollegen an Signal-Entwickler Moxie Marlinspike gemeldet, sagte er auf seinem Ruhrsec-Vortrag. Marlinspike habe aber nicht unbedingt verständig reagiert, sondern nur geantwortet, Telegram sei viel unsicherer, weil es bei den meisten Chats keine Verschlüsselung gebe.

Auch in der Kommunikation mit Facebook habe es Probleme gegeben. "Viele der Leute, die dort die zahlreichen Sicherheitsmeldungen bearbeiten, haben vermutlich keinen Hintergrund in Kryptographie", sagt Rösler. Das von den Forschern beschriebene Problem sei daher von Ebene zu Ebene weitergegeben worden. Sie hätten nicht den Eindruck gehabt, dass das Problem dort richtig verstanden worden sei.

Für Forscher und Hacker ist die Situation also zunehmend komplex. Bei der Forschung müssen sie nicht nur die üblichen Richtlinien rund um Responsible Disclosure berücksichtigen, sondern auch, welchen weiteren Effekt die Veröffentlichung haben kann. Die Soziologin und Technikforscherin Zeynep Tufekci hatte im vergangenen Jahr die Berichterstattung des Guardian rund um eine angebliche Sicherheitslücke in Whatsapp kritisiert, weil sie gerade Nutzer, für die Sicherheit wichtig ist, dazu bringen könnte, wieder auf unsichere Kommunikationsmethoden wie SMS auszuweichen.  (hg)


Verwandte Artikel:
Spionage: Kanadischer Yahoo-Hacker in den USA verurteilt   
(30.05.2018, https://glm.io/134664 )
Zwangszustimmung: Erste Klage nach DSGVO gegen Google und Facebook   
(26.05.2018, https://glm.io/134602 )
Roboter: Pepper ist voller Sicherheitslücken   
(29.05.2018, https://glm.io/134648 )
Staatstrojaner aus Israel: Verint will angeblich NSO-Group kaufen   
(29.05.2018, https://glm.io/134644 )
DSGVO: Icann will Whois-Status in Deutschland gerichtlich klären   
(28.05.2018, https://glm.io/134624 )

© 1997–2019 Golem.de, https://www.golem.de/