Tipps und Tricks für mehr Computer- und Internetsicherheit (Teil 2)

Spätestens seit Beginn der Enthüllungen über Datenspionage der US-amerikanischen und britischen Geheimdienste durch den ehemaligen Geheimdienstmitarbeiter Edward Snowden ist das Thema Cybersicherheit in aller Munde. Aber nicht nur von Seiten der staatlichen Datenschnüffler droht die Privatsphäre durchlöchert zu werden. Nahezu wöchentlich werden Cyberangriffe auf Unternehmen bekannt. Bereits einfache Maßnahmen wie die Wahl eines sicheren Passwortes versprechen zumindest einen grundlegenden Schutz vor Angriffen dieser Art.
Wer die Hinweise zur Wahl eines sicheren Passwortes vom letzten Beitrag beherzt hat, den dürften die kürzlichen Berichte über 16 Mio. gestohlene Zugangsdatensätze relativ kalt gelassen haben.
Dennoch, wer prüfen möchte ob sie / er betroffen ist, kann dies nach wie vor beim Bundesamt für Sicherheit in der Informationstechnik (BSI) tun:

https://www.sicherheitstest.bsi.de/

Seit dem letzten Beitrag scheint sich die Häufigkeit von Kundendatendiebstählen vervielfacht zu haben. Hier eine kleine Übersicht ausschließlich größerer Vorfälle:

„Hetzner Online AG“ (06.06.2013; Anzahl k.A.),
„Apple Entwickler-Webseite“ (18.07.2013; Anzahl k.A.),
„Ubuntu-Forum“ (21.07.2013; 1,82 Millionen),
„OVH“ (23.07.2013; Anzahl k.A.),
„Vodafone Deutschland“ (12.09.2013; Anzahl 2 Millionen),
„Adobe“ (04.10.2013; Anzahl 150 Millionen),
„Sky Deutschland“ (06.11.2013; Anzahl k.A.),
„Snapchat“ (01.01.2014; Anzahl 4,6 Millionen),
„Yahoo“ (30.01.2014; Anzahl k.A.),
„happyshops.com“ (04.02.2014; Anzahl k.A.),
„Barclays Bank“ (09.02.2014; Anzahl 27.000).

Warum ist es sinnvoll eMails zu verschlüsseln?

Vielleicht ein paar Vorbemerkungen zu dem nächsten Thema „eMail-Verschlüsselung“, das bei einigen sicherlich noch die Frage nach der Sinnhaftigkeit aufwerfen dürfte:

„Wer interessiert sich schon für meine Korrespondenz?“, „Ich habe doch nichts zu verbergen.“, „Sollen die doch alles mitlesen.“
Vorgenannte Formulierungen sind derzeit vielerorts zu hören.
Sie sind sicherlich auch ein Ergebnis massenhafter Rezeption der Enthüllungen durch Edward Snowden und sollen hier beispielhaft verstanden werden. Logischerweise gab es auch schon zuvor Anwender, die ein professionelles oder individuelles Bedürfnis nach einem höheren Maß an Datensicherheit hatten.
Unlängst hörte ich in der Diskussion den Beitrag eines Geheimdienstexperten, der mutmaßte die Dienste könnten für sie irrelevant erhobene Daten (nennen wir es mal „Beifang“) an Wirtschaftsunternehmen veräußern.
Marktforschungsunternehmen beispielsweise haben einen völlig anderen Fokus und interessieren sich möglicherweise auch für Informationen der schlichten Alltagskommunikation. Eine derartige „Zweitvermarktung“ der durch die Dienste erhobenen Daten rückte nun also auch „Otto Normal“ in das Zentrum der Aufmerksamkeit.

Ein anderer Gedanke dreht sich um die Hersteller der Betriebssysteme und deren Produkte (also beispielsweise „Windows“, „Mac OS“, „Linux“). Warum eigentlich wird der Anwender im Rahmen der Installation / des ersten Startens seines Computers nicht durch einen entsprechenden Dialog geleitet, der in der Einrichtung eines verschlüsselten eMail-Kontos mündet? Dazu äußerte sich erst kürzlich Steve Wozniak in einem Interview am Rande der diesjährigen CeBIT. Immerhin bieten zunehmend viele Betriebssysteme auch die Verschlüsselung der lokalen Festplatte an (die einen nennen es „Bitlocker“ (Microsoft), die anderen „FileVault“ (Apple)).

Die Antwort auf diese Frage könnte in dem Einfluss der US-Regierung auf die Softwareentwickler begründet liegen. Wie wir durch Snowden erfahren haben, übe die US-Regierung einen enormen Druck auf die Softwarehäuser aus, zwinge sie teilweise zum Einbau sog. „Hintertüren“ die den Strafverfolgungsbehörden das Mitlesen gewährleiste (Beispielhaft steht hierfür unter anderem das Unternehmen „Silent Circle„). Diese Intention verträgt sich offenkundig nicht mit der flächendeckenden Verschlüsselung von eMail-Korrespondenz. Ein Schelm wer Böses dabei denkt…
Dabei – so offenbarten es jüngere Veröffentlichungen Snowdens – stellen gewisse (bisher für ausreichend erachtete) Formen der Verschlüsselung für die Dienste gar keine unüberwindbare Hürde dar. Vielmehr scheinen sie das Mitlesen derzeit nur zu erschweren. Die angeblichen „Supercomputer“ der entsprechenden Dienste benötigten dazu schlicht etwas mehr Zeit. Hier hängt es sicherlich auch von der Wahl des Verschlüsselungsalgorithmus ab, ob die besagten Dienste (Rechenaufwand vorausgesetzt) „spicken“ können. Doch dazu weiter unten im Text.

Erst einmal könnte sich einem die Frage aufdrängen, ob man sich durch die Verschlüsselung eigener eMail-Korrespondenz nicht erst auffällig verhalte und somit in das Raster der Dienste gerate. Snowdens Enthüllungen geben an dieser Stelle insofern Antwort, als das Filtermechanismen von PRISM gezielt verschlüsselte Kommunikation aufspüren können sollen. Die Antwort auf die zuvor formulierte Frage müsste derzeit wohl mit einem vorsichtigen „Ja“ beantwortet werden. Erst die zunehmende Verbreitung von eMail-Verschlüsselung wird diesen Effekt abmildern. Entsprechende Tendenzen sind jedoch bereits erkennbar. So verzeichnete beispielsweise das TOR-Netzwerk („The Onion Router“; wir kommen noch dazu) seit Bekanntwerden von Snowdens Enthüllungen einen starken Zulauf.

Landläufig wird immer gesagt, eine eMail sei offen lesbar wie eine Postkarte. Ich möchte an dieser Darstellung festhalten und ergänzen:
Diese Tatsache an sich wäre ja noch nicht so schlimm, sofern sich das mögliche Mitlesen auf den Kreis derer beschränkte, die unmittelbar für die Zustellung der „Postkarte“ verantwortlich sind. An dieser Stelle also ein kleiner Rückgriff auf das in dem vorherigen Beitrag Erwähnte. Historisch bedingt handelt es sich bei dem Internet um eine Struktur mit dezentralem Aufbau. Daraus folgt nun für unsere eMail / „Postkarte“, dass sie keineswegs den direkten Weg zu ihrem Adressaten nehmen wird. Auf ihrem Weg dorthin wird sie über verschiedene „Relais“ geleitet. Dieses sog. „Routing“ kann ganz unterschiedlich sein und variiert von Anschluss zu Anschluss. In jedem Fall passiert dies ganz ohne den Einfluss des Versenders. Wir haben es also mit einer ganzen Reihe von „Briefträgern“ (um im Bild zu bleiben) zutun. Während echte Briefträger sich den Inhalt unserer Postkarte nur bedingt merken können, wird von deren „digitaler Entsprechung“ einfach eine Kopie des Inhaltes angelegt. Diese kann auch später noch bequem gelesen werden oder mit entsprechenden Suchfiltern überzogen werden.
Die erste wichtige Etappe unserer Beispielmail ist unser eigener eMail-Provider. An dessen SMTP-Server (Short Mail Transfer Protocol) wird unsere Mail angeliefert und von dort (neuerlich über Routing) an den eMail-Provider des Adressaten weitergeleitet. Von dort aus erfolgt der Empfang der eMail durch den Adressaten gewissermaßen rekursiv zu dem beim Versand beschriebenen Prozedere. Spätestens unserem eMail-Provider sollten wir also ein hohes Maß an Vertrauen entgegenbringen können. Eine Kopie unserer Mail lagert definitiv auf seinem Server. Selbst dann, wenn ich statt des moderneren IMAP auf das ältere POP3-Protokoll wechsele und dort das Herunterladen und Löschen der Mail vom Server einstelle, bleibt meist eine Kopie auf dem Server zurück.
Wir halten also fest: Offen lesbare Kopien unserer Mail finden sich auf unserem Rechner, unserem Mailserver, dem Mailserver des Adressaten, dessen Rechner und einer unbestimmten Anzahl von „Relais“. Nutzen wir für den Versand ein öffentliches WLAN kommen weitere Stationen hinzu. Besonders tückisch sind dabei unverschlüsselte WLANs. Sie ermöglichen es Dritten (im selben Netzwerk eingelogten Usern) unseren „Traffic“ zu „sniffen“. Zu diesem Mitlesen unseres gesamten Datenverkehrs (nicht nur der eMails) gehört nicht viel. Ein Laptop mit entsprechender, frei zugänglicher Software genügt.

Wer damit leben kann, braucht an und für sich ab hier nicht weiter zu lesen.

OpenPGP (Pretty Good Privacy) und Alternativen zum Verschlüsseln von eMails nutzen

Wer sich mit dem Gedanken anfreunden kann, künftig seine eMail-Korrespondenz zu verschlüsseln, sollte zuvor ein paar Überlegungen anstellen. Grundsätzlich erfolgt die Auswahl meines Mailprogrammes, der Verschlüsselung und die des Providers unabhängig voneinander (wenn man mal von Lösungen wie der „epost“ absieht).
Stellt sich also zunächst die Frage nach dem Provider. Für den Anfang macht es Sinn, sich einen neuen Account anzulegen, mit dem man dann alles ungestört ausprobieren kann, während der bestehende eMail-Account unbeeinflusst bleibt.
Bereits im vergangenen Sommer echauffierte sich die EU-Justizkommissarin Viviane Reding über die Aushöhlung des „Safe Harbor“-Abkommens (von 1998), eine Vereinbarung die Europäern einen gewissenhaften Umgang mit deren Nutzerdaten durch US-Unternehmen garantieren sollte. Mehreren Studien (aus den Jahren 2004 und 2008) zufolge sei ein Umgang mit Kundendaten europäischer Kunden (so wie es der hiesige Datenschutz vorsieht) amerikanischer Unternehmen mitnichten gewährleistet. So blieben denn auch die frappierenden Ergebnisse der durch das australische Unternehmen „Galexia“ durchgeführten Studie von 2008 (durch die EU-Kommission) schlichtweg unveröffentlicht.

„Safe Harbor“ in seiner derzeitigen Ausprägung gestattet es US-Unternehmen (wie z.B. „Facebook“, „Google“, „Yahoo“, etc.pp.) Daten europäischer Nutzer an amerikanische Behörden weiter zu reichen.

Vor diesem Hintergrund könnte also die Auswahl eines geeigneten eMail-Providers auf einen europäischen oder deutschen Anbieter (z.B. web.de, oder gmx.de) fallen. Beide beispielhaft genannten Anbieter fühlen sich dem bundesdeutschen Datenschutz verpflichtet und betreiben wohl auch eine Anzahl von Servern im Inland. Wer weiß das heute – im Zeitalter von Clouds&Co. – schon noch so genau…

Nach der Anmeldung generieren wir uns einen OpenPGP (Pretty Good Privacy) Schlüssel, was von Betriebssystem zu Betriebssystem und entsprechender Anwendung etwas variieren kann.
Ich werde an dieser Stelle nicht wiederholen, was andere bereits vor mir viel besser beschrieben haben und verweise insofern auf die am Ende des Textes verlinkten Anleitungen Dritter zur jeweils systemspezifischen Einrichtung von OpenPGP (resp. „GnuPG“).Natürlich ließe sich hier auch trefflich über die Nutzung anderer Verschlüsselungsalgorithmen diskutieren. Ich habe mich hier direkt auf den für meine Begriffe Quasi-Standard kapriziert, da dieser bereits 1998 auf den im Jahre 1991 von Phil Zimmermann entwickelten Algorithmus aufbauende Standard auch erfrischend weit weg ist von staatlicher Einflussnahme.

Funktionsprinzip von PGP By xaedes & jfreax & Acdx (Own work) [CC-BY-SA-3.0], via Wikimedia Commons — Funktionsprinzip von PGP
By xaedes & jfreax & Acdx (Own work) [CC-BY-SA-3.0], via Wikimedia Commons

Die Grundidee von PGP basiert auf einem Schlüsselpaar aus privatem und öffentlichem Schlüssel. Während der Absender zur Verschlüsselung den öffentlichen Schlüssel seines Adressaten nutzt, benötigt dieser zum Entschlüsseln seinen privaten Schlüssel (sog. „asymmetrisches Verfahren“, da unterschiedliche Schlüssel beteiligt sind). Dies impliziert also, dass beide Kommunikationspartner sich ein Schlüsselpaar angelegt und ihre öffentlichen Schlüssel ausgetauscht (z.B. durch Signatur) haben.

Wer noch einen Schritt weiter gehen möchte und auch zeitliche und evtl. finanzielle Aufwendungen nicht scheut, mag sich mal mit der Einrichtung eines eigenen Mailservers befassen. Software Lösungen wie „ownCloud“ oder „Baikal“ bieten dafür komfortable Grundlagen, die sich auch von versierten Dilettanten einrichten lassen. Beide Server unterstützen neben dem reinen Mailserver auch Synchronisationsdienste wie WebDAV (Dateiablage), CalDAV (Kalender) und CardDAV (Adressbuch). Im Grunde reicht zu Beginn ein ausgedienter PC mit Linux-Distribution (der Serveranwendung) und einer DSL-Anbindung. Die Erreichbarkeit von aussen stellt dabei DDNS (dynamisches DNS) sicher.

Instant-Messaging-Verbindungen verschlüsseln

Einen Großteil der digitalen Alltagskommunikation stellt indes das Shortmessaging (oder schlicht Texting) dar. Auf den Facebook-Messenger oder MSN möchte ich hier gar nicht erst zu sprechen kommen. Der Platzhirsch WhatsApp ist in der Vergangenheit wegen der de facto trivialen Verschlüsselung, der einfachen Übernahme von Accounts und der hintergründigen Übertragung sämtlicher Kontaktdaten des Smartphones an einen US-amerikanischen Server in die Kritik geraten. Zuletzt verlor das Unternehmen durch den Verkauf an Facebook viele Anwender. Großer Vorteil bleibt dagegen noch immer die Plattformvielfalt und die damit einhergehende, weite Verbreitung.

Nun stellen sich mittlerweile deutlich sicherere Alternativen dar.
„Xabber“ (Android), „MyEnigma“ (Android und iOS) und „Threema“ (Android und iOS) seien hier auszugsweise genannt. Wer also auch diesen Bereich seiner Kommunikation diskret gestalten möchte, der hat dazu nun Gelegenheit. Ungleich schwerer als die Installation könnte sich das Überreden des Freundeskreises darstellen.

Zum Abschluss noch etwas Lustiges aus dem Postillon, zum Thema „NSA“ und Überwachung. Viel Spaß beim Lesen:
http://www.der-postillon.com/2014/03/flug-mh370-offenbar-einziges-objekt-auf.html