Der Hackerangriff auf den Bundestag offenbarte eine schmerzliche Wahrheit. Einfachste Angriffsmethoden funktionieren selbst bei den Mächtigsten unseres Landes. Schutzmechanismen und Sicherheitslösungen sind bereits vorhanden. Wir müssen Sie eben nur nutzen.

Der Angriff auf den Bundestag ist einer von vielen Cyberattacken. Was er uns aufzeigt, ist schockierend. Denn keiner der Mächtigen unseres Landes weiß anscheinend so recht was er tun soll, wenn es um die Sicherheit in der Internetkommunikation geht. Dabei beten bekannte Stimmen aus dem Lager der Webaffinen immer das Gleiche. End-to-End Verschlüsselung und einheitlich hohe Standards bei Datenschutz und –Sicherheit für Regierung, Wirtschaft und Bevölkerung.

Betrachten wir die Reaktionen der jetzigen Opfer, sehen wir einen Spiegel unserer selbst. Eine große Begeisterung für Technik, aber nicht ausreichendes Wissen für einen souveränen Umgang. Die jetzige (technische) Krise im Bundestag ist ein guter Beweis. Diese wurde nämlich anscheinend mit einer der simpelsten Angriffstechniken bewerkstelligt über die Hacker verfügen: einer Phishingmail.

Phishing: verbreitet, gefährlich und multimedial

Jeder von uns hat eine solche Mail bereits bekommen. Meistens geht sie um die Sperrung eines Kontos oder die Verifizierung von Personalien. Doch was passiert nach dem verhängnisvollen Klick eigentlich? In vielen Fällen führt die Weiterleitung auf eine Kopie einer Log-in-Seite. Geben wir hier nun die gewünschten Daten ein, sind diese gestohlen und in den Händen der Diebe. Eine Katastrophe, wenn es sich um sensible Daten für Onlinebanking oder anderer wertvoller Inhalte handelt.

Eine zweite Vorgehensweise ist das verstecken von schadhaften Inhalten in der Signatur oder dem Anhang einer E-Mail. Hierbei wird Schadcode beim Laden oder Öffnen der Inhalte auf unseren Rechner übertragen. Diese Methode ist wesentlich perfider. Zum einen, weil das übermittelte Stückchen Schadcode für ganz unterschiedliche Zwecke erfüllen kann. Zum anderen, weil diese Anhänge zumeist ein harmloses Dateiformat tragen.

Egal, welche Methode gewählt wird. Das Schlimmste ist die Tatsache, dass die Angriffe sich nicht auf E-Mails beschränken. Auch MMS, WhatsApp und Messenger-Services wie Skype sind betroffen. Dadurch, dass alle unsere Endgeräte mittlerweile kleine Computer sind, sind sie auch zum Ausführen von Code geeignet.

Einen guten Schutz dagegen bieten Virenscanner, Firewalls und Bordmittel von Browsern und E-Mail-Programmen bereits. Doch perfekt ist dieser Schutz nicht. Selbst der verantwortungsvollste Umgang mit Links und Anhängen kann ausgehebelt werden, wie es der Fall der „Merkel-Mail" eindrucksvoll zeigt.

Die E-Mail hat ausgedient

Die einfache E-Mail als Kommunikationsmittel sollte daher überdacht, wenn nicht sogar ausgemustert werden. Die Gründe hierfür liegen in ihrer kostenlosen und offenen Natur. So ist es eben einfach auf „gut Glück" zu versuchen, gefährliche Links und Schadcode zu verteilen.

Eine E-Mail ist zudem immer ein „offener" Brief. Bei ihrem Weg passiert sie eine Reihe von Servern und Knotenpunkten und kann auf diesen abgefangen und gelesen werden. Der Vergleich mit einer Postkarte ist sehr passend. Diese ist ja auch nicht vor fremden Blicken geschützt.

Was es also braucht, ist ein Kommunikationsweg, bei dem nur der Empfänger den Inhalt lesen kann und Schadcode ausgeschlossen wird. Solche Lösungen gibt es bereits, mit ganz eigenen Vor- und Nachteilen.

End-to-End Verschlüsselung

Ein viel zitiertes Mittel zur Sicherung der Kommunikation ist die End-to-End Verschlüsselung. Als Beispiel soll uns die PGP-Methode dienen, da diese weit verbreitet ist. Bei ihr wird eine Nachricht mit einem zufällig generierten Schlüssel codiert. Dieser Schlüssel wiederum wird mit dem persönlichen „öffentlichen" Schlüssel des Empfängers unlesbar gemacht und zusammen mit der Nachricht übertragen. Die Nachricht lesen, kann dann nur jemand, der den persönlichen „geheimen" Schlüssel des Empfängers kennt. Dieser macht den zufällig generierten Schlüssel wieder lesbar, der dann die codierte Nachricht entschlüsselt.

Die Schwäche dieses an sich sehr starken Systems besteht in der hohen Komplexität. Denn die genannten Schlüssel müssen erst mal generiert, zwischen Sender und Empfänger ausgetauscht und sicher verwaltet werden. Dies setzt aber Vorbereitungen und Kenntnisse voraus, die viele Anwender einfach überfordert. Dazu kommt die Gefahr, dass PGP normale E-Mail-Technik als Basis nutzt. Links und infizierte Anhänge sind also noch immer möglich, wenn auch die Nachricht an sich nicht mehr einfach gelesen werden kann.

De-Mail, E-Post-Brief und :::(bit)kasten

Interessante Alternativen bilden andere Kommunikationsmittel. Diese haben es sich nämlich zur Aufgabe gemacht, mehr als nur eine sichere und vertrauliche Kommunikation zu ermöglichen. Da viele Dienste auch einen passenden Onlinespeicher anbieten, können erhaltene Schreiben auch rechtssicher verwahrt werden. Bedauerlicherweise sind die meisten der gängigen Lösungen aber nicht gerade anwenderfreundlich.

So werden eine Registrierung und die Generierung einer neuen individuellen Adresse vorausgesetzt. Im Rahmen dessen müssen neue Zugangsdaten verwaltet und die Adressen auch verteilt werden. Dies sorgt zwar, ähnlich wie PGP, für eine vertrauliche Übertragung, aber nicht unbedingt für mehr Sicherheit bei den Inhalten.

Anders sieht es da zum Beispiel beim E-Post-Brief aus, welcher die digitale Kommunikation mit der Briefpost verbindet. Hier werden nur Inhalte übertragen, die sich auch in gedruckter Form auf Papier wiederfinden lassen können. Denn so wird ein E-Post-Brief zugestellt, sollte der Abruf nicht online erfolgen. Der Vorteil liegt auf der Hand. Durch die Beschränkung der Inhalte und das Öffnen der selbigen in einer sicheren Webumgebung reduziert sich die Gefahr schadhaften Code aufs eigene System zu übertragen.

Ein dritter Kandidat, der :::(bit)kasten, geht noch einen Schritt weiter. Denn anstelle einer neuen Adresse stellt diese Lösung digitale Schreiben anhand der normalen Postanschrift des Empfängers zu. Kern des Ganzen ist der neue Personalausweis. Dieser wird bei der Anmeldung ausgelesen und die Postanschrift als Zuordnungsmerkmal genutzt. Dies bringt ein paar erhebliche Vorteile. So geht die Anmeldung zum Beispiel schnell, einfach und ohne neue Zugangsdaten. Denn man nutzt ja bereits die eID und den zugehörigen Pincode. Dadurch ist eine Registrierung nicht zwingend nötig.

Auch Versendern wird es leichter gemacht, sie brauchen keine Hardware-Gateways um Schreiben zu versenden, sondern übermitteln die verschlüsselten Schreiben einfach an den :::(bit)kasten. In diesem kann der Empfänger dann die Schreiben lesen, ausdrucken, speichern oder an seinen bevorzugten Postdienst (wie De-Mail oder E-Post) weiterleiten. Selbst eine Zustellung per Papierbrief ist möglich. Entweder auf Wunsch oder automatisch, wenn ein Schreiben nach einer Vorhaltezeit nicht geöffnet wurde. Der :::(bit)kasten will, ähnlich dem E-Postbrief, Schreiben garantiert zustellen.

Weiterführende Links

• Originalmeldung von Output AG
• Alle Meldungen von Output AG