Crypto Wars: EU will Ende-zu-Ende-Verschlüsselung abschaffen
In der heutigen Zeit sind praktisch alle Daten digital. Das bietet natürlich enorme Vorteile in der Geschwindigkeit der Verarbeitung. Ihre Auswertung und Verknüpfung kann im Gesundheitsbereich helfen, Krankheiten zu erkennen oder im Katastrophenschutz Unwetter vorauszusagen. Cyberkriminelle können aber durch die Digitalisierung auch in alle Geschäfts- und Lebensbereiche vordringen. Man denke in diesem Zusammenhang nur an KRITIS.
Zentrale Rolle innerhalb der Digitalen Transformation
Die Verknüpfung von Daten ermöglicht es im Negativbeispiel auch Schwachstellen von Unternehmen gezielt auszunutzen oder die Gewohnheiten und den Lebenswandel eines Menschen auszuspionieren. Der sicheren Datenspeicherung und -übertragung kommt daher eine zentrale Rolle innerhalb der Digitalen Transformation zu. Je nach Sensibilität der Daten sollte diese Ende-zu-Ende sein, also nur Sender und Empfänger Einblick haben. Unter der Vision #securingdigitalfreedom setzt sich die FTAPI Software GmbH entsprechend seit ihrer Gründung für die Sicherheit und Wahrung der digitalen Identität von Unternehmen und Personen ein und ist innovativer Vorreiter für sicheren Datentransfer inklusive Ende-zu-Ende-Verschlüsselung.
Der Wiener Terroranschlag ist nun für die Regierungen in Europa Gelegenheit zum Ausbau der Überwachung. Onlinedienste sollen Zweitschlüssel bei Behörden hinterlegen müssen. Das geht aus dem geheimen Entwurf einer geplanten Deklaration des EU-Ministerrats hervor, die der ORF veröffentlicht hat. Zwar betont das Dokument zunächst die Bedeutung der Verschlüsselung und gelobt, sie zu fördern, doch dann wird nach “innovativen Ansätzen” und technischen Lösungen zur Brechung der Verschlüsselung verlangt.
Der europäische Cloud Act
In allgemeinverständliches Deutsch übersetzt bedeutet das Dokument, dass die Regierungen alle Dienstebetreiber dazu zwingen wollen, Hintertüren in ihre Verschlüsselung einzubauen. Darüber besteht offenbar bereits Einstimmigkeit im Rat der EU-Minister. Der Resolutionsentwurf heißt offiziell “Sicherheit durch Verschlüsselung und Sicherheit trotz Verschlüsselung”.
Nun gibt es in diesem Zusammenhang aber eine interessante Randnotiz: Am 16. Juli 2020 erklärte der Europäische Gerichtshof (EuGH) das bisher für den Datenverkehr zwischen Europa und den USA geltende Abkommen, den so genannten EU-US Privacy Shield, für ungültig. Begründung des EuGH: In den USA können die Unternehmen mithilfe des Cloud Act dazu verpflichtet werden, die – auch in Europa – generierten User-Daten US-Behörden wie der NSA oder dem FBI zur Verfügung zu stellen. Das sei aber mit dem geltenden EU-Datenschutz, insbesondere im Rahmen der Datenschutzgrundverordnung (DSGVO), nicht vereinbar. Der Rechtsschutz der europäischen Anwender könne nicht gewährleistet werden. Schafft sich die EU mit dem Resolutionsentwurf nicht ihren eigenen Cloud Act?
Datenschutz komplett unterlaufen
Verständlicherweise laufen Vertreter aus Wissenschaft, Wirtschaft und Politik Sturm gegen das Vorhaben. Sie sehen den Datenschutz und die Sicherheit im Internet und anderen digitalen Anwendungen komplett unterlaufen.
Die Gesellschaft für Informatik (GI) etwa fordert die deutsche EU-Ratspräsidentschaft, die Kommission und das Parlament auf, sich dem Versuch “vehement entgegenzustellen”, Ende-zu-Ende-Verschlüsselung aufzuweichen. Die Initiative gefährde nicht nur die informationelle Selbstbestimmung der Bürger, sondern auch den Schutz von Betriebs- und Geschäftsgeheimnissen der Unternehmen, warnte GI-Präsident Hannes Federrath. Die Bundesregierung müsse sich auf ihre Position besinnen, wonach sie eine “gezielte Schwächung oder Regulierung von Verschlüsselungstechniken” nicht verfolge.
DSGVO verpflichtet zur Verschlüsselung
“Das Grundrecht auf Verschlüsselung ist wichtig für unsere Demokratie – so wie es das Postgeheimnis in der analogen Welt war.” Geheime Kommunikation lasse sich weder mit einem Generalschlüssel noch mit einem Verschlüsselungsverbot wirksam verhindern. Kriminelle könnten etwa auf unbeobachtbare Kommunikation mit Steganographie ausweichen. Die DSGVO verpflichte explizit zum Einsatz kryptographischer Lösungen. Und auch der Bundesdatenschutzbeauftragte Prof. Ulrich Kelber betonte, dass er sich seit jeher vehement gegen Hintertüren bei Verschlüsselungen ausgesprochen hat.
Verschlüsselung habe sich zwar “zu einem massiven Problem für die Ermittlungsbehörden entwickelt”, meint der Bundesverband IT-Sicherheit (TeleTrusT). Prinzipiell helfe sie aber “die Werte auf unseren IT-Systemen angemessen zu schützen und damit sicher und vertrauenswürdig in die digitale Zukunft zu gehen”. Verschlüsselung auszuhöhlen bedeute, “die ohnehin träge Digitalisierung in der EU zu gefährden”, gibt Karsten aus dem Vorsitz des Verbands zu bedenken. Es gelte, das Vertrauen in IT zu fördern, nicht zu mindern.
Ohnehin können Pädokriminelle, Terroristen oder die organisierte Kriminalität schlicht auf Messenger setzen, die keine entsprechenden Hintertüren enthalten. Daher ist derzeit kaum abzusehen, wie die Ende-zu-Ende-Verschlüsselung ohne Methoden wie Staatstrojaner ausgehebelt und gleichzeitig deren eigentliche Funktion noch aufrechterhalten werden soll.
