Crypto-Backdoors sind nicht sicher

Denn auch Server von staatlichen Einrichtungen und Behörden werden immer wieder Opfer von Hackerattacken werden. Das Einbauen von Hintertüren ist aus diesem Grund nicht mit dem Konzept von Ende-zu-Ende-Verschlüsselung und hohen Ansprüchen an Datensicherheit vereinbar. Eine Hintertür ist ein zusätzlicher Zugang zu einer Software-Lösung, bei der jedoch der normale Zugriffsschutz umgangen wird. Hintertüren werden in der Entwurfs- und Entwicklungsphase einer Cloud-Lösung eingebaut und sorgen dafür, dass die darüber abgegriffenen Informationen beispielsweise an staatliche Stellen übermittelt werden.

Ein solches Hintertürsystem entspricht jedoch nicht mehr den hohen Sicherheitsanforderungen von Ende-zu-Ende-Verschlüsselungen (E2EE). Dies lässt sich an der Funktionsweise der Verschlüsselungstechnologie gut verdeutlichen: Bei der Nutzung eines Ende-zu-Ende-verschlüsselten Dienstes wird ein individueller Schlüssel noch auf dem Gerät des Nutzers generiert. Daraufhin werden die Daten verschlüsselt übertragen und sind „von außen“ nicht einsehbar. Eine Hintertür funktioniert jedoch wie ein Generalschlüssel, mit dem die Daten von einem Dritten wieder entschlüsselt werden können, ohne dass der Besitzer der Daten dies bemerkt.

Bei E2EE in einem Cloud-Speicher werden Dateien direkt auf der Festplatte des Dateibesitzers verschlüsselt, übertragen und wieder von einem Berechtigten entschlüsselt. Die Anbieter des genutzten Dienstes haben zu keiner Zeit Zugriff auf die Daten. Ein Verschlüsselungssystem mit Hintertüren bietet hingegen einen wesentlich geringeren Schutz von Daten – einzelne Dateien oder ganze Datenströme können so ausgewertet werden.

Es gibt bei E2EE schlicht und einfach keinen Mittelweg. Entweder kann nur der Besitzer auf die Dateien zugreifen oder die Sicherheit lässt sich nicht mehr durchgängig garantieren. Das Problem ist vor allem, dass Hintertüren aus technischer Perspektive Schwachstellen darstellen, die mit einer hohen Wahrscheinlichkeit irgendwann ausgenutzt werden, ob von Kriminellen oder feindlichen Geheimdiensten. Zudem sind auch die Server und Datenbanken von Behörden -keineswegs sicher: Auch diese können angegriffen -werden, wodurch Hacker in den Besitz einer riesigen Anzahl von Generalschlüsseln kommen und somit wiederum Zugriff zu Daten von Endverbrauchern oder Unternehmen erlangen könnten.

Weitere Sicherheitslücken sind ebenfalls denkbar, beispielsweise durch kriminelle Mitarbeiter, die die Generalschlüssel verkaufen oder Unternehmen mit vertraulichem Wissen erpressen. All diese Beispiele zeigen, wie vielfältig die Möglichkeiten sind, um solche Generalschlüssel zu missbrauchen.

Das bleibt natürlich auch den Unternehmen nicht verborgen. Durch die gezwungene Einführung von Hintertüren würde das Vertrauen in Cloud-basierte Infrastrukturen somit grundlegend geschwächt. Immerhin ist eine konsequente E2EE für viele Unternehmen die Prämisse, um überhaupt auf Cloud-Lösungen umzusteigen. Viele dieser Unternehmen würden vor diesem Hintergrund für die Sicherheit ihrer sensiblen Daten sicher wieder auf On-premise-Lösungen zurückgreifen.

Dies ist ein Artikel aus unserer Print-Ausgabe 1-2/2021. Bestellen Sie ein kostenfreies Probe-Abo.

Aus diesen Gründen wird ersichtlich, dass nur E2EE das notwendige Vertrauen in die Datensicherheit bei Cloud-Lösungen garantiert. Auch in der Europäischen Datenschutz-Grundverordnung (DSGVO) wird E2EE als sichere Lösung empfohlen. Zudem ist es nicht so, als wäre bei Ende-zu-Ende-verschlüsselten Lösungen keine Kontrolle vorhanden. Anbieter können ihren Nutzern zwar Vertraulichkeit, aber keine Anonymität bieten. Durch hinterlegte Zahlungsdaten sind Nutzer zweifelsfrei zuzuordnen. Zudem können verdächtige Aktivitäten festgestellt werden, auch ohne den Inhalt von Dateien zu kennen. Werden beispielsweise in regelmäßigen Abständen sehr große Datenvolumen übertragen, ist das ein gutes Indiz für Piraterie. Diese Art von Informationen kann Behörden auch bei ihrer Arbeit helfen.

Insgesamt zeigt sich bei der politischen Diskussion um Crypto-Backdoors vor allem, dass einige Politiker die Funktionsweise von Ende-zu-Ende-Verschlüsselung nur teilweise verstanden haben. Laut Sicherheitsexperte Tresorit ist es schlichtweg nicht möglich, -Einblick in einige Daten für die Strafverfolgung zu nehmen, ohne die Sicherheit des gesamten Systems zu gefährden. Somit ist der Preis für diese Hintertüren viel zu hoch: Der Einbau von Backdoors würde die -Sicherheit der Daten aller Nutzer von Cloud-Infrastrukturen gefährden. 

Bildquelle: Getty Images/iStock/Getty Images Plus