Kryptographie: “Snowden hat viele Augen geöffnet”

Das Interesse an Kryptographie ist größer als je zuvor. Populäre Anbieter wie WhatsApp haben mittlerweile Verschlüsselungsmechanismen in ihre Angebote integriert, sodass Millionen von Nutzern sicher kommunizieren können, ohne sich um die technischen Details kümmern zu müssen. “Snowden hat hier sicher viele Augen geöffnet. Überall ist die Botschaft aber noch nicht angekommen”, sagt der Sicherheitsexperte Simon Metzler beim Security Forum gegenüber der futurezone. Mit der steigenden Nachfrage nach sicheren Daten und Kommunikationskanälen steigt der Druck auf die Anbieter, entsprechende Lösungen zu liefern. Allerdings ist die Einrichtung solcher Systeme nicht immer einfach.

“Man muss die mathematischen Verfahren nicht im Detail verstehen, aber die entsprechende Software oder Programmbibliotheken richtig verwenden. Die Standardeinstellungen sollten immer hinterfragt werden. Hier sind auch die Hersteller von entsprechenden Produkten gefordert, die einfacher konfigurierbare Systeme liefern sollten. Viel zu oft wird aber der Hauptsache-es-funktioniert-und-verursacht-keine-Supportkosten-Ansatz gewählt”, sagt Metzler.

Schuss ins Knie

Für normale Nutzer ist es nach wie vor oft schwierig, Verschlüsselungssysteme richtig zu implementieren. Auch das Verschlüsseln von E-Mails ist immer noch deutlich komplizierter als die Verwendung von Messaging-Diensten wie Signal, bei denen dem Nutzer ohne Zutun sichere Kommunikationskanäle zur Verfügung gestellt werden. “Kryptographie ist mehr als nur reine Verschlüsselung. Bei E-Mails haben wir nach wie vor das Problem des sicheren Schlüsselaustausches und der Usability. Hierfür müssten sich alle auf einen neuen Standard einigen. Der Grat zwischen Sicherheit und Nutzerfreundlichkeit ist zudem schmal. Hier müssen immer Kompromisse gemacht werden”, sagt Metzler.

Dass Behörden und einige Politiker wiederholt Hintertüren in Verschlüsselungsverfahren fordern, hält Metzler - wie viele seiner Kollegen - für ein weiteres Hindernis für sichere Kryptographie: “Wenn ein System geschwächt wird, dann wird es für alle geschwächt. Damit schießen wir uns ins eigene Knie.” Zudem gebe es verschiedene Wege, Verschlüsselung zu umgehen, etwa wenn Daten direkt von einem Endgerät abgesaugt werden.

Unsichere Zukunft

“In Zukunft werden wir auch ganz neue Probleme bekommen. Eine per App gesteuerte Heizung etwa braucht einen Chip, der heutige Kryptoverfahren bewältigen kann. Dass dieser Chip von heute aber auch die Verfahren, die wir in 20 Jahren als sicher betrachten, bewältigen kann, ist unwahrscheinlich”, sagt Metzler. Was die grundsätzliche Sicherheit der kryptographischen Verfahren angeht, gibt es Zweifel, ob neue Erkenntnisse in Sachen Hardware - Stichwort Quantencomputer - oder effizientere Algorithmen eine Bedrohung werden können. “Bei symmetrischen Verfahren, bei denen ein geheimer Schlüssel verwendet wird, haben wir Alternativen in der Schublade. Bei asymmetrischen Verfahren, also dort, wo wir einen geheimen privaten Schlüssel und zusätzlich einen zugehörigen öffentlichen Schlüssel haben, sind die Möglichkeiten aber begrenzt, wenn die heutigen Methoden geknackt werden”, sagt Metzler.

Die Verwendung von elliptischen Kurven statt Primfaktorzerlegung als Basis für Verfahren etwa ist bis heute umstritten, weil die Sicherheit nicht bewiesen ist. Trotz dieser wenig rosigen Aussichten empfehlen Experten sowohl Firmen als auch Privatpersonen, möglichst aktuelle und begutachtete Verschlüsselung zu verwenden. “Ich habe mir schon im Studium gesunde Paranoia angeeignet. Meine Festplatten sind allesamt verschlüsselt. Ich verwende sowohl privat als auch geschäftlich Passwortmanagerlösungen”, sagt Metzler.

Dieser Artikel ist im Rahmen einer Kooperation zwischen futurezone und FH Oberösterreich entstanden.

Beim Security Forum, das alljährlich im April an der FH OÖ Fakultät für Informatik, Kommunikation und Medien in Hagenberg stattfindet, halten Experten aus dem In- und Ausland Vorträge zu aktuellen Themen der IKT-Sicherheit. Organisiert wird die Veranstaltung vom Hagenberger Kreis zur Förderung der digitalen Sicherheit, dem Studentenverein der FH OÖ-Studiengänge „Sichere Informationssysteme“.