Der Recherchekompass
[ home | anleitungen | recherchen | hilfe | sitemap | index | suchen ]

Verschlüsselte Botschaften Die Kryptografiedebatte

Bei der Kryptodebatte ging es um die Frage, ob und in welchem Umfang die Nutzung kryptografischer Verfahren gesetzlich beschränkt werden solle. Diese Frage wurde in vielen demokratischen Industrieländern kontrovers diskutiert. Auch in Deutschland fand eine intensive Auseinandersetzung statt, an der sich die Bundesressorts mit unterschiedlichen Positionen, die Wirtschaft sowie zahlreiche gesellschaftliche Gruppen beteiligten. Es ging also um das Für und Wider einer staatlichen Regelung des Einsatzes von Kryptografie. Die Positionen bestanden in:

• Pro:
  Diese Seite setzte sich dafür ein, dass nur solche kryptografischen Produkte erlaubt sein sollten, die durch staatliche Stellen oder staatlich akkreditierte Institutionen zugelassen sind. Entscheidend für eine Erlaubnis wäre auch gewesen, dass für die verwendeten Schlüssel entweder als Nachschlüssel (key escrow) hinterlegt werden oder eine Rekonstruktion der Schlüssel (key recovery) möglich ist.

• Contra:
  Diese andere Seite setzte sich nicht nur gegen jegliche Reglementierung ein, sondern forderte zudem, dass der Einsatz kryptografischer Verfahren staatlich unterstützt werden sollte, da durch die unbefugte Ausspähung, Manipulation oder Zerstörung von Daten erhebliche wirtschaftliche Schäden entstehen können.

War die eine Seite besonders an der erfolgreichen Verfolgung bereits begangener Straftaten interessiert, so kam es der anderen Seite insbesondere auf die Verhütung von Straftaten an. Glaubte man diese Diskussion zu Gunsten der Prävention abgeschlossen, so ist nach den Terrorangriffen von New York und Washington vom 11. September 2001 die alte, längst überwunden geglaubte Debatte über die Reglementierung der Nutzung von Kryptografie wieder in die Schlagzeilen geraten.

 

• Argumentationen der Kryptodebatte

  Im Vorfeld der Kryptodebatte wurde wiederholt gefordert, die Verwendung von Kryptografie staatlich einzuschränken. In diesem Rahmen wurden bereits detaillierte Überlegungen zu gesetzgeberischen Maßnahmen diskutiert. Da polizeiliche Ermittlungen bereits massiv durch den Einsatz kryptografischer Verfahren behindert worden ist, hegte man die Hoffnung, mit Hilfe einer Reglementierung diesen Formen des Verbrechens besser begegnen zu können.

  Da ein totales Kryptoverbot von vornherein keine Chancen beim Bundesverfassungsgericht (und wohl auch keine Mehrheit im Bundestag) gehabt haben dürfte, wurde eine Reglementierung ins Auge gefasst, die im wesentlichen die beiden, hier näher betrachteten, Punkte beinhaltete:

  • Es sollten nur ausdrücklich erlaubte Verschlüsselungsverfahren benutzt werden dürfen.
  • Die benutzten Schlüssel sollten zwangsweise bei einer neutralen Stelle hinterlegt werden.
  Folgt man der Argumentation namhafter Juristen, dann dürfte aber auch diese Form der Regulierung vor dem Bundesverfassungsgericht nur wenig Chancen gehabt haben.

  Beim Aufbau des Internets spielten Sicherheitsgesichtspunkt nur eine untergeordnete Rolle, man konzentrierte sich auf die Funktionalität. So ist ein Netzwerk entstanden, in dem die Information offen ausgetauscht werden. Das heißt, jeder den Netzwerkverkehr beobachten. Vergleichbar damit, dass es einem möglich ist alle Telefongespräche der Nachbarschaft abzuhören, sobald man den Hörer abnimmt und eine bestimmte Taste drückt. Wer das Medium Internet benutzt, und das ist praktisch jedermann, kann also nicht davon ausgehen, dass dieses Werkzeug mindestens ebenso sicher funktioniert, wie die klassische "gelbe Post" oder das Telefon. Was bedeuten würde:

  1. Informationen sind nur denen zugänglich für die sie bestimmt sind und nicht auch unbefugten Dritten (Vertraulichkeit).
  2. Informationen gelangen unverändert an ihre Bestimmung und werden nicht unberechtigt und unbemerkt von Dritten geändert oder gar gefälscht (Integrität).
  3. Absender und Empfänger einer Nachricht sind wirklich diejenigen, die sie zu sein vorgeben (Authentizität).

  Da das Internet in seiner Grundstruktur für die Gewährleistung dieser drei Punkte geben kann, muss sich jeder einzelne Benutzer selbst dazu befähigen die für ihn erforderliche Sicherheit zu erreichen. Das Mittel, dass hierfür zur Verfügung steht, sind Verfahren der Kryptografie, wie sie in den vorangegangenen Abschnitten beschrieben wurden. (Kryptologie: Verschlüsselte Botschaften) Natürlich stehen sie dadurch auch Elementen zur Verfügung, deren Aktivitäten darauf ausgerichtet sind einzelnen oder der Gemeinschaft zu schaden.

  Wenn schon nicht die Nutzung der Kryptografie verhindern, so sollte die Kryptoregulierung dazu dienen, die Erkennung und Aufklärung von Verbrechen zu erleichtern, in dem es den Behörden der Strafverfolgung ermöglicht wird verschlüsselten Datenverkehr "mitzuhören". Leider sind die Möglichkeiten die Kryptoregulierung zu umgehen sehr einfach:

  • Einfach weiter nutzen:
    Einer Bitfolge kann nicht ohne weiteres angesehen werden, ob es sich um sie verschlüsselt wurde, oder ob es sich (z.B.) um eine Zufallszahlenfolge, eine Reihe von Messwerten oder eine Datei in einem unbekannten Format handelt.
  • Überschlüsseln:
    Wird eine unerlaubt verschlüsselte Nachricht zusätzlich mit einem "erlaubten" Verfahren nochmals verschlüsselt, so ist dieser Umstand nicht erkennbar.
  • Steganografie:
    Hierbei wird eine Botschaft in einer anderen Information versteckt, sie ist dann nicht ohne weiteres als geheime Botschaft zu erkennen. Die Verwendung von Steganografie wurde in der Kryptoregulierung nicht behandelt und wäre somit erlaubt. [1]

  Die Kryptoreglementierung ist also sehr leicht zu umgehen und eine Gefahr der Strafverfolgung ist nur sehr gering, da der Nachweis schwer zu führen ist. Auf der anderen Seite schwächt sie den dringend nötigen Schutz der Kommunikation ehrlicher Unternehmen und Privatleute. Im einzelnen wurden Argumente vor allem zu den folgenden Bereichen genannt:

  • Meinungsfreiheit
    Im Artikel 5 des Grundgesetzes (GG) der Bundesrepublik Deutschland wird das Recht auf freie Meinungsäußerung festgeschrieben, in der rechtlichen Praxis wird diese Grundrecht auch weitestgehend umgesetzt. Daher muss niemand Konsequenzen aus seiner Meinungsäußerung befürchten, solange nicht die Rechte Anderer eingeschränkt werden. Wer also nur seine Meinung frei äußern will, kann dies tun ohne sie zu verschlüsseln. Aber ersten ist nicht jede Information eine Meinung und außerdem muss jeder auch die Freiheit haben seine Meinung nicht jedem zukommen zu lassen. Insgesamt bietet eine Diskussion auf Basis der Meinungsfreiheit für beide Seiten nur eine schwache Argumentation.

  • Privatsphäre
    In Artikel 10 des Grundgesetzes wird die Unverletzlichkeit des Brief-, Post- und Fernmeldegeheimnis garantiert. Ausnahmen müssen durch ein Gesetz geregelt werden, hier das TKG (Telekommunikationsgesetz). Zudem wird in Artikel 13 die Unverletzlichkeit der Wohnung garantiert. Auch hier: Ausnahmeregelung nur durch Gesetz. Hieraus ergeben sich zwei Konsequenzen:
    1. Der Staat ist aufgefordert für die Einhaltung dieses Grundrechtes einzutreten und für die Gewährleistung zu sorgen. Also auch im Internet. Da mit Nichten möglich dies staatlicherseits bei bestehender Technik zu gewährleisten, muss der Bürger befähigt werden dies durch eigene Leistung zu ermöglichen.
    2. Das TKG erlaubt, unter bestimmten Voraussetzungen, die Aufhebung des Brief-, Post- und Fernmeldegeheimnis und dies gilt auch für Datennetzwerke. Allerdings wird die Nachrichtenübermittlung reglementiert, nicht aber die Nachricht selber. Verschlüsselung ist aber Teil der Nachricht und somit nicht Gegenstand im TKG.
    Aus dem Brief-, Post- und Fernmeldegeheimnis lässt sich sehr wohl eine Verpflichtung des Staates zur Gewährleistung des selben ableiten. Aus den Gesetzen der Einschränkung ist aber keine direkte Präzedenz für die Kryptoregulierung herzuleiten.

  • Datensicherheit [2]
    Schutz der Daten ist kein abstraktes Recht, sondern kann ein wirtschaftlicher Faktor werden, wenn es sich um Daten handelt, die das Interesse anderer Wirtschaftsakteure wecken. Die Gefährdung liegt in Verlust von Spezialwissen, welches bei unzulänglichem Schutz an Konkurrenten gelangen kann. In diesem Fall wird Datensicherheit zu einer existentiellen Notwendigkeit. Aber auch die Absicherung geschäftlicher Transaktionen ist gefährdet, wenn neben Vertraulichkeit auch Authentizität und Integrität nicht in ausreichendem Maße gewährleistet werden können. Das Gefährdungspotential ist real, denn ist der Wert einer Information hoch genug werden auch die Mittel bereitstehen sie zu beschaffen, alles eine Frage der Zeit. Mit Kryptoregulierung lässt sich Datensicherheit bis zum gesetzlich erlaubten Maße gewährleisten, aufgrund der inhärent Problematik wird diese Schwelle vielfach nicht rechtzeitig hoch genug sein können.

  • Datenschutz [2]
    Zweck des Bundesdatenschutzgesetzes (BDSG) ist es, den einzelnen davor zu schützen, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht (Artikel 2, GG) beeinträchtigt wird. Hierdurch werden Unternehmen, wie Behörden dazu verpflichtet personenbezogene Daten unberechtigte Einsichtnahme, Auswertung oder Veränderung zu verhindern, sowohl für sich selber als auch für andere. Aus dem BDSG geht hervor, dass eine Übermittlung derartiger Daten nur im Sinne des Gesetzes erlaubt ist. Es ist ableitbar, dass eine Übermittlung geschützt erfolgen muss, was gemäß der diskutierten Kryptoregulierung möglich ist. Allein ist der Datenschutz daher kein Argument in der Kryptodebatte, allerdings kann sein Gewicht je nach technischer Umsetzung steigen, da sich das Risiko erhöhen kann (siehe unten).

  • Ökonomie
    Für die Wirtschaft hat eine Kryptoregulierung ein vielfältige Auswirkung: Zum Ersten besteht das Risiko der Abwanderung von Know-how durch Industriespionage, zum Zweiten leidet die Reaktionsfähigkeit oder Kostensituation, da vertrauliche Informationen über teure oder zeitraubende Kanäle übermittelt werden müssen. Des weiteren lassen sich neuere Geschäftsideen nicht umsetzen, weil die erforderliche Sicherheit für notwendigen Transaktionen und das Vertrauen der Kundschaft fehlt, hier gelangen ausländische Konkurrenten ohne Regulierung in einen Vorteil der kaum wieder aufholbar ist. Letztlich leidet die eigene Kryptoindustrie, da Innovationen von ihr gar nicht mehr oder nur, durch eine langwierige Genehmigungsprozedur, verzögert auf den Markt gebracht werden könnten. Nutzen wird die Kryptoregulierung dort, wo sie der legalen Wirtschaft die illegale Konkurrenz vom Halse schafft und Schäden durch Diebstahl, Betrug oder Vandalismus verhindert. Die Auswirkungen der Kryptoregulierung auf die Wirtschaft hat viele Facetten und kann auf unterschiedlichste Weise ausgelegt und als Argument genutzt werden. Welcher Einfluss tatsächlich ausgeübt wird, müsste explizit geprüft werden. Unstrittig dürfte aber sein, dass ein Ausgleich der wirtschaftlichen Nachteile nur durch erheblichen politischen Kraftaufwand möglich wäre.

  • Kriminalität
    Es wurde bereits erwähnt, das die Umgehung einer Kryptoregulierung ohne großen Aufwand und Risiko möglich ist (siehe oben). Andererseits verschafft sie besonders der organisierten Kriminalität neue Betätigungsfelder. Sie kann die wegen der Reglementierung nicht oder nur schwach verschlüsselt übertragenen Daten abhören und für ihre Taten nutzen, z.B. für Kreditkartenbetrug, den unbefugten Zugriff auf Bankkonten oder die Erpressung anhand intimer Informationen über Gesundheit oder Verhalten der Betroffenen. Schlimmer noch: Kriminelle könnten sich der hinterlegten Schlüssel bemächtigen, da keine der gegenwärtig bekannten Techniken genügend Sicherheit bietet diese sicher zu verwahren.

    Am Ende hilft solch eine Kryptoreglementierung genau denen, die sie hätte bekämpfen sollen.

  Dass durch eine Reglementierung erhebliche zusätzliche Kosten entstanden wären, liegt auf der Hand. Und dies nicht nur für die Überwachung, sondern auch für die Einrichtung der dazu erforderlichen Infrastruktur, neues Personal müsste die Einhaltung der Verbote überwachen, Institutionen zur Hinterlegung der Schlüssel müssten eingerichtet und geschützt werden. Die hierfür notwendigen Mittel wären anderswo, auch bei der Polizei, sinnvoller einzusetzen.

  [seitenanfang] [verweise]

   

• Eckpunkte der deutschen Kryptopolitik

  Im Oktober 1997 verabschiedete das Bundeskabinett den "Fortschrittsbericht der Bundesregierung Info 2000: Deutschlands Weg in die Informationsgesellschaft", der folgende Passage enthielt:

  Es wurde innerhalb der Bundesregierung Einvernehmen erzielt, in dieser Legislaturperiode auf eine gesetzliche Regelung des Inverkehrbringens und der Nutzung von Kryptoprodukten und -verfahren zu verzichten, so dass es bei der uneingeschränkten Freiheit der Nutzer bei der Auswahl und dem Einsatz von Verschlüsselungssystemen bleibt. Die Bundesregierung wird die weitere Entwicklung auf dem Gebiet der Kryptografie vor allem im Kontext der europäischen und internationalen Zusammenarbeit aufmerksam verfolgen und ggfs. weitere Maßnahmen zur Umsetzung ihrer Ziele einleiten.

  In den Eckpunkten der deutschen Kryptopolitik vom Juni 1999, wird festgestellt, dass der Einsatz von kryptografischen Verfahren für die Kriminalprävention von erheblicher Bedeutung ist, denn dadurch wird die Authentizität und Integrität des Datenverkehrs wie der Schutz der Vertraulichkeit gewährleistet. Es wird auch ausgeführt, dass hierdurch natürlich auch Straftäter begünstigt werden. Insgesamt werden die nachfolgendend aufgeführten Punkte als Eckpunkte der Bundesregierung zur Kryptopolitik festgelegt:

  1. Die Bundesregierung beabsichtigt nicht die freie Verfügbarkeit von Verschlüsselungsprodukten in Deutschland einzuschränken. Sie sieht in der Anwendung sicherer Verschlüsselung eine entscheidende Voraussetzung für den Datenschutz der Bürger, für die Entwicklung des elektronischen Geschäftsverkehrs sowie für den Schutz von Untemehmensgeheimnissen. ...

  2. Die Bundesregierung strebt an, das Vertrauen der Nutzer in die Sicherheit der Verschlüsselung zu stärken. ...

  3. Die Bundesregierung hält aus Gründen der Sicherheit von Staat Wirtschaft und Gesellschaft die Fähigkeit deutscher Hersteller zur Entwicklung und Herstellung von sicheren und leistungsfähigen Verschlüsselungsprodukten für unverzichtbar. ...

  4. Durch die Verbreitung starker Verschlüsselungsverfahren dürfen die gesetzlichen Befugnisse der Strafverfolgungs- und Sicherheitsbehörden zur Telekommunikationsüberwachung nicht ausgehöhlt werden. ...

  5. Die Bundesregierung legt großen Wert auf die internationale Zusammenarbeit im Bereich der Verschlüsselungspolitik. ...

  Bereits 1998 kommt die Enquete-Kommission des Deutschen Bundestages "Zukunft der Medien in Wirtschaft und Gesellschaft - Deutschlands Weg in die Informationsgesellschaft" zu diesen Einsichten. Insbesondere vertritt die Kommission die Auffassung:

  "alle Maßnahmen und Hemmnisse, die einer breiten Nutzung von Verschlüsselungsverfahren entgegenwirken, vermieden und abgebaut werden müssen. Darüber hinaus sollte die breite Nutzung kryptografischer Verschlüsselungsmethoden aktiv unterstützt und gefördert werden. In diesem Zusammenhang sind Bund und Länder aufgefordert, geeignete Verschlüsselungsmethoden systematisch in ihrem elektronischen Datenverkehr einzusetzen."

  An anderer Stelle, auch in 1998, macht die Kommission ihre Ansicht noch deutlicher, in dem sie ausführt: "... Eine Beschränkung des Gebrauchs von Verschlüsselungstechniken ist nach derzeitigem Erkenntnisstand daher abzulehnen."

  Auch wenn der letzte Stand der Debatte eine breite Basis besitzt, so darf nicht übersehen werden, dass insbesondere die beiden Letzten der Eckpunkte die Wiederaufnahme der Diskussion offen lassen, so wird sogar eine Überprüfung nach zwei Jahren festgelegt. Für die internationale Zusammenarbeit wird der Schwerpunkt zwar auf den Einsatz von internationalen Standards und interoperablen Systeme gelegt, aber insgesamt werden alle Optionen offengehalten, um sich einer europäischen Gesamtlösung nicht in den Weg zu stellen.

  [seitenanfang] [verweise]

Eine Reglementierung von Verschlüsselung und speziell die zwangsweise Hinterlegung von Schlüsseln hätte sich als stumpfe Waffe im Kampf gegen das organisierte Verbrechen erwiesen, Kriminelle bräuchten diese Art der Verschlüsselung gar nicht. Und nebenbei: Welcher Kriminelle würde sich davon abhalten lassen, Kryptografie zu verwenden, nur weil es verboten ist? Dagegen schwächt Kryptoreglementierung den nötigen Schutz der Kommunikation ehrlicher Unternehmen und Privatleute.

Gerade wegen der schrecklichen Taten vom 11. September 2001 in New York, ist es positiv zu werten, dass diese Ereignisse nicht zu einem Aufleben der Kryptografiedebatte geführt haben. (Im Gesetzentwurf des Terrorismusbekämpfungsgesetzes findet sich die Zeichenkette "krypto" nicht, vielmehr wird die Verschlüsselung zur Sicherung personenbezogener Daten eingesetzt.) Daraus kann geschlossen werden, dass die inhaltliche Diskussion zu diesem Thema als beendet betrachtet werden kann. Dies darf aber niemanden dazu verleiten, zu denken, dass das Thema auch abschließend behandelt worden ist, denn oftmals wechseln nur die Leute, aber die Argumente nicht. Angesichts des immer stärker zusammen wachsenden europäischen Wirtschaftsraumes ist eine Weiterführung der Diskussion, die in einer einheitlichen Regelung münden muss dringend erforderlich. Es ist wünschenswert, dass dabei die heutige - für Deutschland geltende - Regelung (nämlich keine Beschränkung) eine verlässliche Basis für ganz Europa (und mehr) werden wird.