Einführung

Es liegt in der Natur der modernen digitalen Kommunikation, dass wir selten direkt mit den Empfängern interagieren. Es mag den Anschein haben, dass Sie und Ihre Gesprächspartner Nachrichten privat austauschen, aber in Wirklichkeit werden die Nachrichten über einen zentralen Server übertragen und möglicherweise dort gespeichert.

Natürlich möchten Sie nicht, dass Ihre Nachrichten von dem Server gelesen werden, der für die Übermittlung zwischen Ihnen und dem Empfänger verantwortlich ist. Dann könnte Ende-zu-Ende-Verschlüsselung (oder E2EE) die Lösung für Sie sein.

Bei der Ende-zu-Ende-Verschlüsselung handelt es sich um eine Methode zur Verschlüsselung von Nachrichten zwischen Empfänger und Absender, sodass nur dieser die Daten entschlüsseln kann. Es stammt aus den 90er Jahren, als Phil Zimmerman Pretty Good Privacy (besser bekannt als PGP) einführte.

Bevor wir darüber sprechen, warum Sie E2EE benötigen und wie es funktioniert, schauen wir uns an, wie unverschlüsselte Nachrichten übertragen werden.

Wie werden unverschlüsselte Nachrichten versendet?

Werfen wir einen Blick darauf, wie eine typische Smartphone-Messaging-Plattform funktioniert. Sie installieren die App und erstellen ein Konto, das es Ihnen ermöglicht, mit anderen Benutzern zu kommunizieren, die dasselbe getan haben. Sie schreiben einen Text, geben den Spitznamen des Empfängers ein und senden die Nachricht dann an den zentralen Server. Der Server erkennt, an wen Sie die Nachricht adressiert haben und leitet sie an den Empfänger weiter.

Interaktion zwischen den Benutzern A und B. Um Nachrichten miteinander auszutauschen, müssen sie Daten über den Server (S) übertragen.

Sie sind höchstwahrscheinlich mit dem Client-Server-Modell vertraut. Der Client (Ihr Telefon) verfügt über eingeschränkte Funktionalität – die Hauptberechnungen werden auf dem Server durchgeführt. Das bedeutet auch, dass der Server als Vermittler zwischen Ihnen und dem Empfänger fungiert.

In den meisten Fällen werden die Daten zwischen A<>S und S<>B in der Leitung verschlüsselt. Ein Beispiel für eine solche Verschlüsselung ist das kryptografische Protokoll Transport Layer Security (TLS), das häufig zum Sichern von Verbindungen zwischen einem Client und einem Server verwendet wird.

TLS und ähnliche Sicherheitslösungen verhindern, dass Nachrichten auf dem Weg zwischen Client und Server abgefangen werden. Diese Maßnahmen verhindern Man-in-the-Middle-Angriffe, die Nachricht kann jedoch weiterhin vom Server gelesen werden. Hier kommt die Notwendigkeit einer Ende-zu-Ende-Verschlüsselung ins Spiel. Wenn die Daten von A mit einem kryptografischen Schlüssel von B verschlüsselt würden, wäre der Server nicht in der Lage, sie zu lesen oder darauf zuzugreifen.

Wenn keine Ende-zu-Ende-Verschlüsselung vorhanden ist, speichert der Server Ihre Nachrichten möglicherweise zusammen mit Millionen anderen in einer Datenbank. Da es immer wieder zu groß angelegten Datenschutzverletzungen kommt, kann ein Mangel an Verschlüsselung katastrophale Folgen für Endnutzer haben.

Wie funktioniert Ende-zu-Ende-Verschlüsselung?

Durch die Ende-zu-Ende-Verschlüsselung wird sichergestellt, dass niemand – nicht einmal der Server, der Sie mit anderen Benutzern verbindet – auf Ihre Daten zugreifen kann. Wir sprechen über alles, von reinem Text und E-Mails bis hin zu Dateien und Videoanrufen.

Durch die Ende-zu-Ende-Verschlüsselung werden Daten in Apps wie WhatsApp, Signal und (wahrscheinlich) Google Duo geschützt, sodass nur die Absender und vorgesehenen Empfänger sie entschlüsseln können. Die Ende-zu-Ende-Verschlüsselung beginnt mit einem sogenannten Schlüsselaustausch.

Wie funktioniert der Schlüsselaustausch im Diffie-Hellman-Protokoll?

Die Idee eines Diffie-Hellman-Schlüsselaustauschs wurde von den Kryptographen Whitfield Diffie, Martin Hellman und Ralph Merkle vorgeschlagen. Es handelt sich um ein revolutionäres kryptografisches Protokoll, das es Parteien ermöglicht, in einer offenen, anfälligen Umgebung einen gemeinsamen geheimen Schlüssel zu generieren.

Mit anderen Worten: Die Schlüsselgenerierung kann auf unsicheren Ressourcen erfolgen (auch mit der Möglichkeit, den Kanal abzuhören), ohne dass sich dies auf nachfolgende Nachrichten auswirkt. Im Informationszeitalter ist dies besonders wertvoll, da die Parteien für die Kommunikation keine Schlüssel physisch austauschen müssen.

Der Austausch selbst beinhaltet die Verwendung großer Zufallszahlen und kryptografischer Magie. Wir werden nicht auf Details eingehen. Nutzen wir stattdessen die beliebte Farbanalogie. Nehmen wir an, Alice und Bob befinden sich in verschiedenen Hotelzimmern an gegenüberliegenden Enden des Flurs und möchten gemeinsam eine bestimmte Farbe streichen. Sie wollen nicht, dass jemand anderes weiß, um welches es sich handelt.

Leider wird der Boden von Spionen überwacht. Nehmen wir an, dass Alice und Bob die Zimmer des anderen nicht betreten können und daher nur auf dem Flur interagieren können. Für den Flur können sie eine allgemeine Farbe wählen, beispielsweise Gelb. Dann nehmen sie eine Dose gelbe Farbe, gießen sich ein Stück davon und kehren in ihre Zimmer zurück.

In ihren Zimmern müssen sie der gelben Farbe eine geheime Farbe beimischen – eine, von der niemand etwas weiß. Alice verwendet Blau und Bob verwendet Rot. Es ist wichtig, dass Spione diese geheimen Farben nicht kennen. Nun verlassen Alice und Bob mit ihren Blau-Gelb- und Rot-Gelb-Mischungen die Räume – das Ergebnis der Mischung ist den Spionen bekannt.

Alice und Bob tauschen offen Mischungen aus. Es spielt keine Rolle, dass Spione es sehen – sie können den genauen Farbton der hinzugefügten Farben nicht bestimmen. Denken Sie daran, dass dies nur eine Analogie ist – die tatsächliche Mathematik hinter diesem System macht es noch schwieriger, die geheime „Farbe“ herauszufinden.

Alice nimmt Bobs Mischung, Bob nimmt Alices Mischung und sie gehen zurück in die Räume. Jetzt mischen sie noch einmal ihre geheimen Farben ein.

• Alice mischt ihren geheimen blauen Farbstoff mit Bobs rot-gelber Mischung und erzeugt so eine rot-gelb-blaue Farbe.

• Bob mischt seinen geheimen roten Farbstoff mit Alices blau-gelber Mischung und erzeugt so eine blau-gelb-rote Farbe.

Beide Kombinationen haben die gleichen Farben und sehen daher gleich aus. Alice und Bob haben erfolgreich eine einzigartige Farbe erhalten, die den Spionen unbekannt war.

Dies ist das Schema zum Erstellen eines gemeinsamen Geheimnisses in einer offenen Umgebung. Der Unterschied besteht darin, dass es sich in Wirklichkeit nicht um Korridore und Farben handelt, sondern um unsichere Übertragungskanäle, öffentliche und private Schlüssel.

Nachrichtenaustausch

Das daraus resultierende gemeinsame Geheimnis können die Parteien als Grundlage für eine asymmetrische Verschlüsselung nutzen. Beliebte Implementierungen beinhalten normalerweise zusätzliche Methoden für eine robustere Sicherheit, aber das sind alles Abstraktionen für den Benutzer. Sobald Sie eine In-App-Verbindung mit E2EE hergestellt haben, kann die Ver- und Entschlüsselung nur auf Ihren Geräten durchgeführt werden (vorbehaltlich schwerwiegender Software-Schwachstellen).

Es spielt keine Rolle, ob Sie ein Hacker, ein Telekommunikationsbetreiber oder sogar ein Polizeibeamter sind. Wenn die Anwendung tatsächlich eine Ende-zu-Ende-Verschlüsselung verwendet, erscheint jede abgefangene Nachricht wie ein unverständliches Durcheinander von Bytes.

➟ Möchten Sie mit der Verwendung von Kryptowährungen beginnen? Kaufen Sie Bitcoin auf Binance!

Vor- und Nachteile einer Ende-zu-Ende-Verschlüsselung

Nachteile der Ende-zu-Ende-Verschlüsselung

Die Ende-zu-Ende-Verschlüsselung hat nur einen Nachteil, und ob das überhaupt ein Nachteil ist, hängt ganz von Ihrer Sichtweise ab. Für einige ist der Wert von E2EE gerade deshalb irrelevant, weil auf Nachrichten ohne den entsprechenden Schlüssel nicht zugegriffen werden kann.

Gegner argumentieren, dass E2EE von Kriminellen genutzt werden kann, da sie wissen, dass Regierungen und Technologieunternehmen ihre Nachrichten nicht entschlüsseln können. Sie glauben, dass gesetzestreue Menschen ihre Korrespondenz und Telefongespräche nicht geheim halten müssen. Diese Meinung teilen viele Politiker, die sich für Gesetze einsetzen, die es ermöglichen, über Hintertüren auf die Kommunikation der Bürger zuzugreifen. Dies macht natürlich den Zweck der Ende-zu-Ende-Verschlüsselung zunichte.

Es ist zu beachten, dass Anwendungen, die E2EE verwenden, nicht 100 % sicher sind. Nachrichten werden bei der Übertragung zwischen Geräten verschlüsselt, sind aber an Endpunkten wie einem Laptop oder Smartphone zugänglich. Dies ist an sich kein Nachteil der Ende-zu-Ende-Verschlüsselung, sollte aber beachtet werden.

Die Nachricht liegt vor und nach der Entschlüsselung im Klartext vor.

E2EE stellt sicher, dass niemand Ihre Daten während der Übertragung lesen kann. Aber auch andere Bedrohungen sind weiterhin relevant:

• Ihr Gerät könnte gestohlen werden: Wenn Sie keinen Sicherheitscode festgelegt haben oder ein Angreifer diesen umgeht, kann er Zugriff auf Ihre Nachrichten erhalten.

• Ihr Gerät ist möglicherweise kompromittiert und enthält möglicherweise schädliche Software, die vor und nach dem Senden Zugriff auf Nachrichten hat.

Ein weiteres Risiko besteht darin, dass sich jemand durch einen Man-in-the-Middle-Angriff Zugriff auf den Kanal zwischen Ihnen und Ihrem Gesprächspartner verschafft. Dies kann zu Beginn eines Gesprächs passieren – wenn Sie Schlüssel austauschen, können Sie sich nicht sicher sein, ob der Gesprächspartner echt ist. So können Sie, ohne es zu wissen, einem Angreifer ein Geheimnis mitteilen. Der Angreifer empfängt Ihre Nachrichten und verfügt über den Schlüssel, um sie zu entschlüsseln. Ebenso kann er Ihren Gesprächspartner täuschen, was bedeutet, dass er Nachrichten übermitteln, lesen und nach eigenem Ermessen ändern kann.

Um einen solchen Angriff zu verhindern, implementieren viele Anwendungen verschiedene Sicherheitscodes. Hierbei handelt es sich um eine Zahlenfolge oder einen QR-Code, den Sie über einen sicheren Kanal (idealerweise offline) mit Ihren Kontakten teilen können. Wenn die Zahlen übereinstimmen, können Sie sicher sein, dass ein Dritter Ihre Interaktionen nicht verfolgt.

Die Vorteile der Ende-zu-Ende-Verschlüsselung

Wenn E2EE ohne die oben genannten Schwachstellen verwendet wird, ist es zweifellos eine sehr wertvolle Möglichkeit, den Datenschutz und die Sicherheit zu verbessern. Wie das Onion-Routing handelt es sich um eine Technologie, die von Datenschutzaktivisten auf der ganzen Welt gefördert wird. Die Ende-zu-Ende-Verschlüsselung lässt sich problemlos in die von uns gewohnten Apps integrieren und steht somit jedem zur Verfügung, der ein Mobiltelefon nutzen kann.

Es ist falsch, E2EE als ein Tool zu betrachten, das nur für Kriminelle und Whistleblower nützlich ist. Es ist erwiesen, dass selbst die scheinbar sichersten Unternehmen anfällig für Cyberangriffe sind, was dazu führt, dass Angreifer unverschlüsselte Benutzerinformationen erhalten. Der Zugriff auf Benutzerdaten wie sensible Nachrichten oder Ausweisdokumente kann katastrophale Folgen für das Leben von Menschen haben.

Wenn ein Unternehmen, dessen Benutzer durch E2EE geschützt sind, gehackt wird, können Hacker keine nützlichen Informationen über den Inhalt von Nachrichten extrahieren (sofern die Implementierung der End-to-End-Verschlüsselung stark ist). Bestenfalls können sie die Metadaten abrufen. Aus Sicht des Datenschutzes stellt dies immer noch ein Problem dar, es ist jedoch wichtig, dass der Inhalt der Nachrichten unbekannt bleibt.

Abschluss

Zusätzlich zu den obigen Kommentaren ist anzumerken, dass es eine wachsende Zahl frei verteilter End-to-End-Tools gibt. Apples iMessage und Google Duo werden mit den Betriebssystemen iOS bzw. Android gebündelt, während zunehmend datenschutz- und sicherheitsorientierte Software verfügbar wird.

Lassen Sie uns noch einmal betonen: Ende-zu-Ende-Verschlüsselung ist keine magische Barriere gegen alle Formen von Cyberangriffen. Allerdings können Sie damit mit relativ geringem Aufwand aktiv das Risiko, dem Sie sich online aussetzen, deutlich reduzieren. Zusätzlich zu Tor, VPNs und Kryptowährungen können E2EE-Instant-Messenger eine wertvolle Ergänzung Ihres digitalen Datenschutzarsenals sein.

➟ Sie haben noch Fragen zur Ende-zu-Ende-Verschlüsselung? Besuchen Sie die Ask Academy, um sie mit der Community zu besprechen!