Five Eyes – unsere „Freunde“ wollen ungehindert mithören

Five Eyes Staaten und deren Geheimdiensten

Bye bye Verschlüsselung

Die fünf Freunde USA, Großbritannien, Kanada, Australien und Neuseeland, seit langem unzertrennlich in der gemeinsanen Spionage, machen Ernst. So fordern diese sogenannten „Five Eyes Staaten“ die  Online-Dienste-Anbieter nachdrücklich auf, die Verschlüsselungsmethoden ihrer Kommunikationsplattformen zugänglich machen. Das heisst: wer den staatlichen Spionen nicht „freiwillig“ eine Hintertür zum Abhorchen offen lässt, muss mit Zwangsmaßnahmen rechnen. Wer und was im Internet „privat“ oder „geheim“ bleiben darf, regeln dann nicht mehr Gesetze, Bürgerrechte und Maßnahmen zur  IT-Sicherheit der jeweiligen Staaten, sondern die Geheimdienste der fünf Staaten.

Das Vorspiel

An den Gedanken, dass US-amerikanische Routerhersteller dazu gezwungen werden, Hintertüren in ihre Netzwerkgeräte einzubauen, haben wir uns gewöhnt. Denn schließlich gibt es genügend andere Lösungen, auf die wir ausweichen können. Auch das Spionagenetz Echelon hat dank Verschlüsselungstechnologien seinen Schrecken über die Jahre ein wenig eingebüßt. Doch jetzt geht es genau diesen an den Kragen.

Bisher mag das kein so großes Problem gewesen sein, denn die USA galten als verlässlicher Partner und Garant der freiheitlich-rechtlichen Grundordnung. Und Großbritannien stand als wichtiger Eckpfeiler fest in der EU. Aber diese Sicherheit ist nun entfallen. Da ist es auch kein Trost zu wissen, dass das Internet in Zeiten des kalten Krieges ursprünglich mal als Kommunikationsnetzwerk gedacht war, das sich nicht so leicht kontrollieren und korrumpieren lässt. Denn was jetzt auf uns zukommt, lässt selbst den Cloud Act wie einen Treppenwitz erscheinen.

Five Eyes schießt übers Ziel hinaus

Noch vor wenigen Jahren bereitete die schiere Masse an Daten, welche durch die Netze strömte, ein Problem bei der Verbrechensbekämpfung. Daher entdeckten die Aufklärungsbehörden kriminelle und terroristische Aktivitäten im Internet meistens in Verbindung mit der klassischen Aufklärungsarbeit. Jedoch erlauben moderne, lernfähige Systeme inzwischen eine automatisierte Auswertung der Online-Kommunikation. Und das eröffnet ungeahnte Möglichkeiten.

Doch selbst wenn wir den Beteiligten nur die allerbesten Absichten unterstellten, nämlich Desinformation, Extremismus,  Terrorismus oder organisierter Kriminalität effektiv bekämpfen zu wollen, bleibt eine Frage offen: Warum soll die Kommunikation jedes Bürgers und Unternehmens weltweit für die Geheimdienste der „Five Eyes“ einfach offen wie ein Buch lesbar sein? Das Problem ist nämlich, dass sich nicht nur die (vermeintlich) Guten über Hintertüren freuen, sondern auch wirklich „bösen Jungs“ garantiert mit Begeisterung eine Verwendung dafür finden. Und das ist allein technisch einfach nicht zuende gedacht.

Das Dilemma

Insbesondere Anbieter aus dem Five Eye Gebieten stehen hier vor mehren Problemen. Ein wichtiges ist sicherlich, dass Anbieter zwar weiterhin verschlüsselte Kommunikation anbieten dürfen. Sie dürfen auch gerne eigene Verfahren für den staatlichen Zugriff entwickeln, aber diese müssen für die Behörden „verhältnismässig“, das heisst: einfach zu handhaben sein. Die Lösungen könnten zum Beispiel „Schlüsselhinterlegung“ oder „Überwachungsschnittstellen“ lauten. Beides Verfahren, die Löcher in die IT-Sicherheit schießen, egal ob von staatswegen oder nicht.

Darüber hinaus die Einstellung der Five Eyes zum Thema „Privatheit (Privacy)“ des Einzelnen. Dieses Bürgerrecht sehen sie nämlich nicht mehr als absoluten Wert. Das heisst im Klartext, unterm Strich entscheidet die jeweilige Regierung bzw. Regierungsbehörde, wie „privat“ die Kommunikation auf einer Plattform sein darf. Und das bedeutet in letzter Konsequenz, dass es sowohl den Grundpfeilern der demokratischen Welt an den Kragen geht, als auch der freien Wirtschaft. Denn eines ist ebenfalls klar: wenn man Infrastrukturen zur Überwachung schafft, werden diese auch intensiv genutzt und kaum wieder zurückgebaut.

Ihre Maßnahmen

Zunächst scheint es so, als ob wir hier in Deutschland noch einigermaßen sicher kommunizieren können. In jedem Fall können Sie selbst eine Menge tun, um Ihre Unternehmenskommunikation weiterhin vertraulich zu führen. Hier sind die wichtigsten Maßnahmen:

Alle sozialen Netzwerkplattformen wie WhatsApp, Facebook, DropBox & Co. meiden.

Eigentlich waren diese Plattformen schon immer für die sichere Unternehmenskommunikation tabu. Denn dort sind Sie schlichtweg ungeschützt. Doch spätestens jetzt sollten Sie diese Anwendungen aus dem Repertoir endgültig streichen. Nutzen Sie sichere Cloudlösungen wie zum Beispiel „DropIn“ mit Serverstandort in Deutschland.

Nutzen Sie eine E-Mail Transportverschlüsselung im Industriestandard.

Das Zauberwort heisst hier  „TLS“. Die BB-ONE.net setzt diese Technologien für die Mailkommunikation grundsätzlich, also standardmäßig ein.

Nutzen Sie Dateiverschlüsselung beim Zugriff und auf Festplattenebene.

Sobald Ihr Hosting-Dienstleister diese Services anbietet, sollten Sie nachrüsten. In jedem Fall gehören die unsicheren Zugriffswege FTP und SFTP endgültig abgeschaltet. Für immer. Nutzen Sie mindestens SSH/SCP. Und fragen Sie auf jeden Fall nach, welche Dateiverschlüsselungsverfahren es auf Festplattenebene gibt. Bei der BB-ONE.net wird es in Kürze ein solches Serviceangebot für Serverkunden geben. Dann ist nicht nur der verschlüsselte, sichere Zugriff auf die Server garantiert, sondern auch Ihre vertraulichen Unternehmensdaten sind auf den Festplatten der Server verschlüsselt hinterlegt.

Nutzen Sie quelloffene Systeme.

Das klingt zunächst abwägig, aber die sogenannten Open Source Lösungen sind schwieriger zu korrumpieren. Denn hier arbeiten weltweit Entwickler an den Projekten, welche darauf achten, dass es eben keine versteckten Hintertüren gibt. Sicherheitslücken werden von der sogenannten Open Source Community schneller entdeckt und eben so schnell geschlossen.