Artikel

Bullshit made in Germany 2

Bullshit made in Germany 2

2011-2013: nichts. Und dann waren natürlich die De-Mail-Anbieter unglücklich. Die hatten bis dahin dann eben ihr ganzes Geld ausgegeben, um da eine De-Mail-Infrastruktur hinzustellen. Es gab einen sehr schönen Artikel auf heise von Detlef Borchers, glaube ich, geschrieben. Nachdem der CCC dann einige Gutachten zu diesem Thema verfasst hatte, wurden Journalisten eingeladen nach Frankfurt zum De-Mail-Center, wo dann gezeigt wurde, dass draußen solche Perimeter-Sperren sind gegen Bulldozer-Angriffe. Also, da wurde richtig Geld in die Hand genommen, um das sicher zu machen. Aber irgendwie wollte es keiner haben. Weil dieser schöne sichere, nachweisbare Geschäftsverkehr für jedermann – keiner ist darauf angesprungen. Ich kannte niemanden, der irgendwie De-Mail hatte oder so. Und was musste man machen? Ja, klar, es musste ein neues Gesetz her. Und zwar diesmal Gesetze, die De-Mail irgendwie zum Standard machen, indem es zur einfachsten und günstigsten Methode wird gegenüber einer Reihe von teureren und eventuell sogar überlegenen Methoden. Aber man will natürlich, dass letztendlich dann die niedrigste Einstiegsschwelle dann diejenige ist, auf die sich die Menschen einpendeln. Und das wurde dann 2013 mit den E-Government und dem E-Justice-Gesetz gemacht. Und das waren die Gesetze, zu denen ich dann auch in die Ausschüsse geladen wurde als Vertreter für den CCC.

2013: E-Government-Gesetz Beim ersten ging es um das E-Government-Gesetz. Und dann habe ich dieses Gesetz-Ding bekommen, das war auch das erste Mal, dass ich so etwas – sage ich mal – mir mit der Bürde angeschaut habe, mich ernsthaft qualifiziert zu einem Gesetzestext äußern zu müssen. Und das auch noch in einem Ausschuss, wo mir Hans Peter Uhl gegenüber sitzt.

(Publikum lacht)

Und ich dachte, “oh, das wird schwierig, das wird schwierig”. Und dann habe ich diesen Gesetzestext bekommen. Und jetzt ist es so, die hatten in diesem Fall ein Problem. Sie standen jetzt wirklich vor einem Problem. Denn, so wie sie ihr schönes De-Mail-Gesetz formuliert hatten, genügte De-Mail nicht den Ansprüchen an Sicherheit, die sie in anderen Gesetzen für den Transfer von bestimmten Daten definiert hatten. Da stand drin, so und so, wenn das und das übertragen wird, muss das ordentlich verschlüsselt sein. Und jetzt mussten sie irgendwie einen Fix finden, weil ihr schönes De-Mail gar nicht passte, gar nicht ging! Also, es hätte gegen das Gesetz verstoßen, De-Mail zur Übertragung dieser Daten zu nutzen, weil es offenkundig nicht sicher genug ist. Aber es gibt natürlich für jedes technische Problem eine juristische Lösung. Und dann finden sich so schöne Sätze wie, “das Senden von Sozialdaten durch eine De-Mail-Nachricht an die jeweiligen akkreditierten Dienstanbieter – ba, ba, ba – zur kurzfristigen automatisierten Entschlüsselung zum Zweck der Überprüfung auf Schadsoftware – und so weiter – ist kein Übermitteln”.

(Publikum lacht, Applaus)

E-Government-Gesetz 2 Ja, Problem gelöst – eine Entschlüsselung verstößt nicht gegen das Verschlüsselungsgebot! Das ist das, was dieser lange Satz, vor dem ich euch schonen möchte, heißt. Ungefähr so war dann auch mein Gesicht, weil ich mir tatsächlich nicht sicher war, ob ich den Satz richtig verstanden habe, aber es war dann tatsächlich so. Und dann kam ich also in diesen Innenausschuss und sagte, ja, hallo, ich habe mir das mal angeguckt, was Sie da geschrieben. Und ich halte das für gefährlich, was Sie tun. Sie sollten… das waren so meine Hauptargumente, man muss ja so argumentieren, dass die das vielleicht interessant finden, was man sagt, und zuhören. Ich wollte ihnen ja helfen! Also, dann habe ich gesagt, guckt mal, wenn ihr das jetzt macht, dann sind diese ganzen unverschlüsselten, sensiblen E-Mails auf den vier – oder jetzt sind es sogar nur drei – De-Mail-Servern, wo ihr dann euren Perimeter Schutz drumherum gebaut habt, das wusste ich zu dem Zeitpunkt nicht.

Was meint ihr denn, wie attraktiv diese Dinge als Angriffsziel werden für Angreifer? Wo ich weiß, der Inhalt dieser Nachricht ist so vertraulich, dass die Menschen 39 Cent ausgeben, um sich in Sicherheit zu wahren. Und das halte ich dann so aus Security-Perspektive durchaus für problematisch. Und dann wurde interessanterweise – das muss ich vielleicht noch kurz erklären: Wenn man in so einen Ausschuss geht und da als Sachverständiger hinkommt, ich dachte, dass diesem Wort irgendwie eine Bedeutung beikommt. Ich habe mich geehrt gefühlt. Ich dachte, super, die haben meinen Sachverstand anerkannt und mich deshalb eingeladen. In der Regel ist das so, dass da ein Theater stattfindet mit Leuten, die natürlich eingeladen werden, um das zu sagen, was sie dort sagen. Und da werden irgendwelche Berichter von irgendwelchen Verbänden eingeladen. Letztendlich ist das eine Gruppierung von Lobbyisten, die dann da letztendlich so dann drängt und sagt, das finden wir toll, das müssen wir unbedingt machen. Und dann wurde wörtlich von einem Sachverständigen gesagt, “dass in der Hacker-Szene die Überzeugung besteht, es gibt keinen Server auf dieser Welt, den ich nicht knacken kann, und deren Lieblingsobjekte die Geheimdienste, NASA und so weiter sind”. Das mag schon sein!

Die Hacker sollen erstmal hacken Wie gesagt, das war vor Snowden – wenige Wochen. Aber danach kann man nicht einen vernünftigen Standard für einen Alltagsaustausch der Kommunikation etablieren. Der gute Mann hat natürlich das Thema verfehlt – Alltagsaustausch in der Kommunikation ist eine Facebook-Nachricht! Da brauche ich jetzt nicht noch eine De-Mail zu implementieren. Also habe ich gesagt, na ja, Freunde, passt auf, ich mache euch einen Vorschlag. Jeder E-Mail-Client unterstützt sogar S/Mime. Und ihr habt den Leuten doch gerade diese Personalausweise andrehen wollen, die sie auch nicht haben wollen. Und in diesen Personalausweisen ist eine Smart-Card, und da könntet ihr so ein Zertifikat drauf haben. Und dann könnten die Leute damit richtig schön ihre De-Mails verschlüsseln und signieren. Dann hättet ihr zwei Fliegen mit einer Klappe geschlagen. Und hättet zusätzlich auch noch ein sicheres De-Mail-System. Übrigens, kleiner Seiten-Hint, den habe ich denen aber nicht erzählt, sie hätten sich in dem Moment natürlich auch die ganze De-Mail-Sache knicken können. Weil, sobald jemand in der Lage ist, sein Dokument vernünftig zu signieren, ist es auch völlig egal, womit er es mir zusendet. Die kryptographische Signatur unter einem Dokument ist genau für diesen Zweck da. Dann wurde gesagt, dann mussten sie also jetzt irgendwie meinen Vorschlag der Ende-zu-Ende-Verschlüsselung ad absurdum führen und loswerden. Und dann sagten sie, ja, aber geht das auch auf dem Smartphone? Da habe ich gesagt: Ja!

(Publikum lacht, Applaus)

Ende-zu-Ende-Verschlüsselung ist zu umständlich Und es stimmt, das ist übrigens ein Tipp: S/Mime, S/Mime-Zertifikat schön auf das iPhone laden. Gut, ich bin ja immer freundlich und auch aufrichtig zu den Menschen. Dann habe ich gesagt, dass ich das nicht für eine gute Idee halte. Und dann wurde gefragt, ja, mit der Ende-zu-Ende-Verschlüsselung, das müsste ich jetzt mal erklären, wie macht man das denn, wenn man dann in der Türkei in einen Internet-Shop geht, im Urlaub, und seine Ende-zu-Ende-verschlüsselte De-Mail abholen möchte? Die richtige Antwort ist natürlich, man macht es nicht!

(Publikum lacht, Applaus)

Na ja, ich habe dann so erzählt, und mir war auch klar – wenn erst mal so ein Gesetz an dem Punkt ist, in diesen Ausschüssen zu sein, dann, wie gesagt, das ist eigentlich nur so eine Theater-Veranstaltung, die da stattfindet. Und mir war klar, das Ding kriege ich auch nicht mehr gestürzt. Ich habe jetzt da meine Rolle ernst genommen und irgendwie versucht, Sachverstand anzuwenden. Aber das Ding war verloren. Übrigens, der junge Mann, der mir diese Frage stellte – als ich dann aus dem Ausschussraum raus ging und am Fahrstuhl stand, kam er zu mir und sagte: “Ich weiß, Sie haben Recht. Aber so ist das eben!” Und ich dachte, na ja, okay, mmh, mmh, was willst du machen?

2013: E-Justice-Gesetz Wir erinnern uns, in diesen Innenausschuss – weil ich dachte, ja, das sind ja Leute, die interessieren sich für innere Sicherheit, denen erzähle ich einen vom Cyber-War und vom Cyber-Crime, damit kriege ich deren Gehör. Was mir da so ein bisschen gar nicht aufgefallen war, ist, dass ich mich die ganze Zeit so auf “sicher” konzentriert habe, und nicht auf “nachweisbar”. Das ist denen auch aufgefallen, deswegen haben sie ein zweites Gesetz noch gemacht, das E-Justice-Gesetz. Wo sie sagten, in dem Fall müssen wir jetzt die ganzen Strafprozessordnungen umschreiben, so dass wir bei gerichtlicher Kommunikation in diesen Abläufen irgendwie De-Mail anwenden können. Und wie gesagt, jetzt ging es um nachweisbar. Also es geht darum, dass die De-Mail dann auch das Papier, auf dem sie ausgedruckt wird, wert ist. Und ich dachte wieder, oh, schwierig, jetzt sogar Jura-Text über Gesetze selber, das wird dann bestimmt nochmal schwieriger. Und die Sätze waren auch echt nochmal viel länger.

E-Justice-Gesetz 2 Und da wurde dann gesagt: Auch wenn es sich bei De-Mail um ein Transportmedium, bei der qualifizierten elektronischen Signatur – erkläre ich gleich – hingegen um ein dokumentenbezogenes Sicherungsmittel handelt, ist im Beweisrecht eine Gleichbehandlung beider Instrumente geboten, weil es sich bei der De-Mail-Nachricht auch um ein elektronisches Dokument im Sinne von § 371 handelt und die Absenderbestätigung dazu führt, dass die Nachricht mit einer qualifizierten elektronischen Signatur des Providers versehen wird.

(Publikum lacht, Applaus)

Steht da so, das ist jetzt sogar geltendes Recht!

qualifizierte elektronischen Signatur Vielleicht mal kurz zur Erklärung, das Wort, was da gerade vorkam, die “qualifizierte elektronische Signatur”, das ist also eine tatsächliche, richtige kryptographische Signatur, die Dokument-gebunden angebracht wird. Das heißt, ich nehme einen Text, eine E-Mail oder sonst was, mache ein bisschen Magie und habe aufgrund von asymmetrischer Kryptographie die Möglichkeit, dass mein Empfänger feststellen kann, dass das Dokument, was ich ihm signiert gesendet habe, a) von mir signiert wurde und b) auf dem Weg nicht verändert wurde. Das ist ein sehr entscheidender Bestandteil von asymmetrischer Kryptographie, findet bei PGP sehr viel Anwendung, findet aber auch bei den anderen asymmetrischen Verschlüsselungsverfahren, da wird es genauso gemacht. Man signiert etwas, das gesamte SSLCA-Modell ist darauf aufgebaut, dass eine andere vertrauenswürdige Instanz signiert, dass diese Person sie ist. Und die signiert dann wiederum ihren Text. Und da kann man dann so eine Trust-Chain aufbauen, und das ist wunderbar. Also ich bin froh, dass es das gibt. Und jetzt wurde also gesagt, wir bauen diese Funktion zu signieren in den neuen Personalausweis rein. Geht auch mit anderen Sachen. Man kann das, wie ich dann lernte, auch bei seiner Bank irgendwie beantragen. Dann kriegt man auf den Smart-Card-Chip in seiner EC-Karte irgendwie ein Zertifikat, wunderbar! Das heißt, es geht irgendwie so ab, ich nehme ein Dokument, stecke meinen Personalausweis oder meine Signatur-Karte in ein Lesegerät, gebe den Geheimcode ein, um das Zertifikat da drin freizuschalten, bringe die Signatur an, und dieses Dokument ist dann von mir signiert – und mit gutem Recht genauso viel wert eine Signatur mit Tinte.

Ist das ungefähr klar? Also genau, man kann damit signieren. Nun muss man sich überlegen, welchen Sinn Signaturen haben. Natürlich geht es darum, was eine bestimmte Person gemacht hat. Juristisch gesehen geht es aber um einen Identitätsbeleg gegenüber Dritten. Wenn mir jemand etwas unterschrieben hat, beispielsweise einen Vertrag, dann kann ich zu einem Dritten gehen, zum Beispiel zu einem Richter, und kann sagen, dass diese Person sich nicht an den Vertrag gehalten hat etc. Der Begriff dafür ist eine “Dokumentierte Willensbekundung”, die ich mit einer Signatur versehen muss.

Eine andere Funktion des Personalausweises ist es den Menschen zu erleichtern die Identität zu lesen; Man muss also nicht mehr auf den Personalausweis schauen, sondern man kann ihn an ein Lesegerät halten, gibt kurz den Code ein und dann überträgt der Ausweis die Daten, die in ihm gespeichert sind. Das dient natürlich nur zur einmaligen Identitätsfeststellung, weil derjenige weiter nichts bekommt. Er bekommt nur einmal die Daten der Person und ein Zeichen, dass der Ausweis nicht gefälscht ist. Es gibt also Ausweis zeigen und Unterschreiben.

qualifizierte elektronischen Signatur 2 Nun schauen wir uns mal an, was wir mit De-Mail machen. Bei De-Mail gehe ich also einmal hin, zur Post oder irgendwo anders, wo ich meinen Ausweis zeigen kann, und bekomme eine De-Mail-Adresse. Dann ist jede De-Mail, die ich schreibe, ein signiertes Dokument und gleichwertig mit der qualifizierten digitalen Signatur, was natürlich das hier absolut zum Absurdum führt. Um das mal mit einem Brief zu vergleichen, die Gerichtsfestigkeit einer De-Mail: Ich gehe irgendwann mal zur Post und zeige meinen Ausweis, schreibe einen Brief, werfe ihn in einen Briefkasten und schreibe hinten meinen Absender drauf. Dann kommt Magie und die Post unterschreibt jeden Brief für mich und ich wandere dann dort hin, wo ich hin muss. Das hat natürlich den Nachteil, dass jemand anderes zu dem Briefkasten gehen und etwas einwerfen kann. Blöd. Naja, ich dachte, wenn die Richter das hören, werden die kreidebleich.

...immer diese Geheimniskrämerei Nur dann sagte Dr. Wolfram Viefhues: “Klageschriften kann man auch per Postkarte einreichen, eine Klageschrift, die im Briefumschlag ist, ist auch nicht in Geheimschrift abgefasst, sondern in Klartext.” Mit anderen Worten: Ich soll den Ball mal ein bisschen Flacher spielen. Ich habe ihn dann mal darauf hingewiesen, dass wir demnächst auch Klagen über die web.de-Grußkarte, Facebook- oder Twitter-Nachricht einreichen können.

(Publikum lacht, Applaus)

Sie haben sich wirklich mit Händen und Füßen gegen diese Ende-zu-Ende-Verschlüsselung gewehrt und das Hauptargument war immer, dass es zu kompliziert sei. Ich möchte nochmal klarstellen, dass die Tatsache, dass viele Menschen keine Ende-zu-Ende-Verschlüsselung benutzen ist meines Erachtens zu großen Teilen darin begründet, dass es einfach nicht per default in jedem Email-Client drin ist. Vor allem PGP ist selten per default integriert, S/MIME hat sich noch nicht so herumgesprochen, aber es wird einfach nicht per default gemacht. Mit De-Mail hätte man die einmalige Gelegenheit gehabt, das richtig schön zu machen, dem Bürger sein eigenes Zertifikat zu geben und damit den Anteil der Verschlüsselten Kommunikation, die der Staat nicht lesen kann, schön signifikant zu erhöhen. Damit habe ich glaube ich auch erklärt, warum das nicht getan wurde.

(Publikum lacht, Applaus)

Vorherige:

Bullshit made in Germany.

Nächste:

Bullshit made in Germany 3.

Leave a Comment (0) ↓

Leave a Comment