„Wir waren sicher eine treibende Kraft“

ITD: Herr Duric, welche Auflagen muss eine Kommunikationslösung für Regierungen und KRITIS-Unternehmen erfüllen?
Duric: Das kommt auf den Kontext an. In der Regierung und in Ministerien gibt es viele Informationen, die als vertraulich eingestuft werden. Die Anforderungen für die Kommunikation entsprechender Informationen sind in jedem Land ein wenig unterschiedlich. In Deutschland gibt es dafür z.B. die Stufen „Verschlusssache – Nur für den Dienstgebrauch“ (VS-NfD) als niedrigste Klassifizierung bis hin zu „Streng Geheim“. Mit Wire haben wir derzeit eine Freigabeempfehlung des Bundesamts für Sicherheit in der Informationstechnik (BSI) für VS-NfD-Informationen. Für eine solche Freigabe muss man dem BSI als Anbieter ein sehr detailliertes Sicherheitskonzept vorlegen und die Voraussetzungen des VS-Anforderungsprofils für sichere Messenger erfüllen. In KRITIS-Unternehmen sieht die Lage anders aus. Zwar kann es auch in diesem Kontext durchaus VS-NfD-Informationen geben, aber das ist hier deutlich seltener der Fall als in einem Ministerium. Jedoch werden Betreiber kritischer Dienste und Anlagen künftig von der erneuerten EU-Richtlinie zur Netzwerk- und Informationssicherheit (NIS II) erfasst. Die NIS II verpflichtet mindestens 30.000 Unternehmen in Deutschland zu strengen IT-Sicherheitsmaßnahmen und insbesondere zu einem ganzheitlichen IT-Risikomanagement. Das betrifft u.a. auch den Bereich der Kommunikation. In Artikel 21 der Richtlinie heißt es z.B., dass gesicherte Audio- und Videokommunikationssystem verwendet werden müssen. Außerdem sollen Unternehmen für Notfälle ein Backup-System für die Kommunikation zur Verfügung haben, damit sie auch bei Ausfällen – wie etwa einem Ransomware-Angriff oder dem Ausfall eigener On-Premises-Dienste – noch handlungsfähig sind. Besonders wichtig für Kunden in beiden Bereichen sind die Kernwerte, die wir in unserem Unternehmen leben: kompromisslose Sicherheit bei gleichzeitig guter Benutzbarkeit, ein hoher Schutz der Privatsphäre und die andauernde Verbesserung der Sicherheit, analog der wissenschaftlichen Forschung in diesem Bereich.

ITD: Was sind noch häufige Stolpersteine bei der Audio- und Videoübertragung, Chatkommunikation und dem Dateienaustausch gerade in großen Gruppen?
Duric: In vielen Fällen die Sicherheit. Einige Anbieter behaupten, dass sie Ende-zu-Ende-Verschlüsselung einsetzen. Oft ist das aber mit einem Sternchen versehen, so gilt Ende-zu-Ende-Verschlüsselung etwa nicht für alle Arten von Kommunikation, sondern nur für Eins-zu-eins-Gespräche, nicht aber für Gruppen. Oder die Verschlüsselung muss sogar jedes Mal wieder neu aktiviert werden. Das bringt in der Praxis nur wenig Zugewinn an Sicherheit. Aber auch bei Lösungen, die Ende-zu-Ende-Verschlüsselung automatisch aktiviert haben, muss man genauer hinschauen. Für viele Anwendungsfälle ist es z.B. wichtig, dass der Messenger auf mehr als nur einem Gerät genutzt werden kann. Das entspricht einfach der Erwartung an moderne Kommunikationslösungen. Tools zur Echtzeitkommunikation setzen bei der Verschlüsselung aktuell in der Regel auf den Double-Ratchet-Algorithmus. Auch Whatsapp verwendet diese Verschlüsselung. Die Sicherheit ist solide, das Problem ist die Performance. Denn Gruppenkonversationen waren beim Design dieses Algorithmus nicht von Anfang an mitgedacht. Wer eine verschlüsselte Nachricht an eine Gruppe sendet, sendet in Wahrheit zeitgleich Eins-zu-eins-Nachrichten an alle Mitglieder der Gruppe. Wenn dann ein reges Gespräch stattfindet, kommt es zu Performance-Engpässen. Genau das wollten wir mit Messaging Layer Security (MLS) ändern.

ITD: Was genau verbirgt sich dahinter?
Duric: Mit MLS haben wir mit vielen Partnern aus der Industrie unter dem Dach der Internet Engineering Task Force (IETF) den weltweit ersten offenen Standard für sichere Kommunikation geschaffen, den Anbieter von Kommunikationslösungen implementieren können. Der Standard wird von einer breiten Koalition getragen und wurde auch von unabhängigen Forschungsinstituten wie der Universität Oxford auf seine Sicherheit hin überprüft. Messaging Layer Security wurde von Anfang an für die sichere Kommunikation in großen Gruppen entwickelt. An verschlüsselten Videokonferenzen können heute etwa 75 bis 100 Teilnehmer teilnehmen. Mit MLS können künftig Tausende gleichzeitig an einem Videoanruf teilnehmen.

ITD: Inwieweit hat Wire an MLS mitgewirkt?
Duric: Unser Unternehmen war im Jahr 2016 einer der Initiatoren hinter MLS. Alles begann mit einem informellen Meeting in einem Berliner Restaurant am Rande einer Tagung der IETF. Wir haben den Prozess mit verschiedenen Mitarbeitern intensiv begleitet und den Standard dementsprechend mitentwickelt. Wir haben außerdem die Open Source Community in der Entwicklung von MLS-Projekten unterstützt – und haben bereits eine MLS-Implementierung, basierend auf einer frühen Version des Standards, an einen wichtigen Kunden ausgeliefert. Sie sehen: Wir waren sicher eine treibende Kraft in dem Prozess.

Dies ist ein Artikel aus unserer Print-Ausgabe 7-8/2023. Bestellen Sie ein kostenfreies Probe-Abo.

ITD: Wie darf man sich die Zusammenarbeit verschiedener großer Firmen an solch einem Standard vorstellen? Wie läuft das in der Regel ab?
Duric: Für die Entwicklung von MLS haben wir das Dach der IETF genutzt, die ja für Standardisierungsprozesse von Internet-Technologien zuständig sind. Die Zusammenarbeit in der IETF ist in der Regel sehr vertrauensvoll und genuin am technischen Fortschritt orientiert. Viele der Firmen, die an dem Prozess teilgenommen haben, stehen untereinander im Wettbewerb. Aber in der Arbeitsgruppe arbeiten in der Regel die Techniker der verschiedenen Unternehmen zusammen, sodass keine Konkurrenzsituation aufkommt. Klar ist man mal unterschiedlicher Meinung, das wird dann in der Regel im Konsensverfahren gelöst. Und alle haben vor allem eins im Kopf: die bestmögliche Implementation.

ITD: Welche weiteren Innovationen im UCC-/Messaging-Bereich stehen anno 2023 an oberster Stelle?
Duric: Wir arbeiten eng mit der EU-Kommission zusammen, um die Implementierung des Digital Markets Acts (DMA) zu unterstützen. Ganz konkret sieht Artikel 7 des DMA vor, dass Unternehmen mit marktbeherrschender Stellung Schnittstellen für kleinere Anbieter bieten müssen. Auf diesem Weg wird es dann ab 2024 endlich Bewegung im Bereich „Interoperabilität“ geben. Ein Wire-Nutzer könnte dann also z.B. einer Freundin, die Whatsapp nutzt, eine Ende zu Ende verschlüsselte Nachricht senden – und umgekehrt. Ab 2024 müssen Whatsapp, iMessage und der Facebook-Messenger das für Eins-zu-eins-Gespräche ermöglichen, ab 2025 gilt die Verpflichtung dann auch für Gruppengespräche.

Bildquelle: Wire