Moderne Verschlüsselungsverfahren sind so sicher, dass selbst die allmächtige NSA keine Chance hat, sie zu knacken. In vielen Fällen nützt das aber nichts.
Das Buch Applied Cryptography von Brude Schneier aus dem Jahr 1996 galt lange als die Bibel der Kryptografie. Es bietet auf über 800 Seiten nicht nur eine große Sammlung an Fakten über das Thema, sondern ist auch in vorbildlicher Weise verständlich und übersichtlich geschrieben. So ist es auch kein Wunder, dass sich das Buch weltweit über 100.000 mal verkaufte, was angesichts des sehr speziellen Themas nun wahrlich nicht alltäglich ist.
Sicherheit ohne Kompromisse
Wenn es um die Sicherheit eines Krypto-Verfahrens geht, lässt Schneiers Buch keine Kompromisse zu. Dass eine Verschlüsselungsmethode selbst der milliardenschweren Dechiffrierungs-Maschinerie der NSA trotzen muss, steht für Schneier außer Frage. Meist spielen sich seine Vorstellungen sogar in noch viel höheren Sphären ab: So wird dem Leser beispielsweise vorgerechnet, dass man theoretisch einen Super-Computer bauen könnte, der eine bestimmte hochsichere Verschlüsselung an einem Tag knacken könnte – wenn es denn im gesamten Universum genügend Siliziumatome für eine solche Megamaschine gäbe. Superparanoiden, die an parallele Universen glauben, empfiehlt Schneier (wenn auch augenzwinkernd), diese Verschlüsselung gleich dreifach einzusetzen.
Solche Überlegungen ziehen sich durch das gesamte Buch. Schon in der Einführung zu Applied Cryptography heißt es: “Wenn ich einen Brief nehme, ihn in einen Tresor einschließe, den Tresor irgendwo in New York verstecke und Sie dann dazu auffordere, den Brief zu lesen, dann ist das keine Sicherheit. […] Wenn ich jedoch einen Brief nehme, ihn in einen Tresor einschließe und Ihnen den Tresor zusammen mit einem Konstruktionsplan und hundert weiteren, baugleichen Tresoren inklusive Zahlenkombination gebe, so dass Sie und die besten Tresorknacker der Welt den Schließmechanismus analysieren können und Sie dennoch den Tresor nicht öffnen und den Brief lesen können, dann ist das Sicherheit.”
Die Ansichten aus Schneiers Krypto-Bibel haben das Denken in der Kryptologie der neunziger Jahre wesentlich geprägt. Astronomische Sicherheitsstufen wurden damals zur Pflicht. Paranoia galt für Kryptografen als Berufsvoraussetzung, nicht als Krankheit. Ein Krypto-Verfahren kann gar nicht sicher genug sein, hieß die Devise. Diese Entwicklung hatte jedoch einen Nachteil: Es entstand der Eindruck, dass sichere Krypto-Verfahren automatisch eine hohe Sicherheit gewährleisten. Um in Schneiers Bild zu bleiben: Wenn selbst die weltbesten Tresorknacker einen Tresor nicht öffnen können, ist alles geregelt. Andere Aspekte wurden nicht betrachtet.
Das größte Sicherheitsrisiko sitzt vor dem Computer
Heute weiß man, dass die damalige Einschätzung viel zu optimistisch war und sich als eine Art kryptografische Utopie erwiesen hat. Dies zeigte sich spätestens, als Ende der neunziger Jahre immer mehr kryptografische Lösungen den Weg in die Praxis fanden. Nun stellten viele Experten erstaunt fest, dass bei deren Einsatz Probleme auftraten, die Schneier in seinem Buch erst gar nicht angesprochen hatte. So mussten sich die Entwickler von Verschlüsselungsprogrammen mit der Frage auseinandersetzen, wie man einen sorglosen PC-Anwender dazu bringt, seine Software überhaupt zu benutzen. Sicherheitsbeauftragte interessierten sich ohnehin weniger für Schlüssellängen und Dechiffrier-Methoden als etwa für das banale Problem, dass die Anwender ihr Passwort für die Verschlüsselungslösung aus Bequemlichkeit an den Monitor klebten.
Die Kryptografie geriet also in eine Grundlagenkrise. Was, so lautet die Frage, bringt selbst das sicherste Verschlüsselungsverfahren, wenn es nicht auf angemessene Weise genutzt wird? Das größte Sicherheitsrisiko saß dabei meist vor dem Computer.
Typisch ist folgende authentische Begebenheit: Nachdem sich der Mitarbeiter eines Unternehmens schon seit längerem darüber geärgert hatte, dass er jeden Monat sein Betriebssystem-Passwort ändern musste und dabei die fünf letzten Passwörter nicht mehr verwenden durfte (dies war natürlich eine Sicherheitsmaßnahme), ließ er sich etwas einfallen. Er schrieb ein kleines Programm, das automatisch das Passwort fünfmal änderte und anschließend das ursprüngliche wieder einstellte. So konnte er dauerhaft immer mit dem gleichen Passwort arbeiten und sparte sich die lästigen Änderungen. Auf diese Idee zur Erleichterung der täglichen Arbeit war der besagte Mitarbeiter so stolz, dass er sie im Unternehmen verbreiten wollte. Er reichte sie deshalb beim betrieblichen Vorschlagswesen ein.
Verschlüsselung ist wie Teenager-Sex
Diese Mischung aus Ahnungslosigkeit und Desinteresse der Anwender ist auch heute noch das größte Problem in der Verschlüsselungstechnik. Obwohl längst zahlreiche Programme zur E-Mail-Verschlüsselung auf dem Markt sind, werden derzeit nur etwa 4 Prozent aller Mails verschlüsselt. Oder wie es der Bundestagsabgeordnete Thomas Jarzombek formulierte: „E-Mail-Verschlüsselung ist wie Teenagersex: Alle reden darüber und jeder denkt, der andere macht es. Doch tatsächlich machen es die wenigsten und bei denen läuft es auch noch schlecht.“
Kommentare (19)