BSI 2005 über BlackBerry E-Mail Push-Dienst: „Britische Behörden haben Zugriff auf das gesamte Nachrichtenaufkommen“

- - in Überwachung - 16 Ergänzungen
Deckblatt: Sicherheitsaspekte des E-Mail-Push-Dienstes „BlackBerry“
Deckblatt: Sicherheitsaspekte des E-Mail-Push-Dienstes "BlackBerry"
Deckblatt der BSI-Analyse: Sicherheitsaspekte des E-Mail-Push-Dienstes „BlackBerry“

Das gesamte Nachrichtenaufkommen des E-Mail-Push-Dienstes von BlackBerry wird zwangsweise über Großbritannien geleitet und steht den örtlichen Sicherheitsbehörden zur Verfügung. Das schrieb das Bundesamt für Sicherheit in der Informationstechnik vor acht Jahren in einem internen Papier, das wir in Volltext veröffentlichen. Die britischen Behörden konnten demnach schon damals unter „sehr weit gefassten Voraussetzungen“ auf alle Nachrichten zugreifen, unter anderem auch ganz offiziell zur Wirtschaftsspionage.

Heute Vormittag berichteten wir über die Ablehnung unserer Informationsfreiheits-Anfrage nach einem BSI-Papier über die Sicherheit von BlackBerry-Produkten. Die für IT-Sicherheit zuständige Bundesbehörde verweigerte unsere Anfrage, weil die Antwort „nachteilige Auswirkungen auf die internationalen Beziehungen haben“ könnte. Das lassen wir nicht gelten und haben weiter gegraben.

Wie wir herausfinden konnten, hat die WirtschaftsWoche zum damaligen Bericht von Jürgen Berke mindestens in der Print-Ausgabe auch den Inhalt der BSI-Analyse gedruckt. Wir haben diese wieder ausgegraben und zitieren hiermit in Volltext aus dem Papier mit dem Titel „Sicherheitsaspekte des E-Mail-Push-Dienstes ‚BlackBerry'“ mit Stand vom 20. September 2005:

1. Die Übertragungssicherheit beruht vollständig auf proprietären Mechanismen der Firma RIM. Der zur Verschlüsselung verwendete mathematische Algorithmus wird zwar als sicher angesehen, für die Qualität der Implementierung, der Schlüsselerzeugung und des Schlüsselmanagements liegt jedoch keine unabhängige Evaluierung vor.

2. Das gesamte Nachrichtenaufkommen wird zwangsweise über ein Mobile Routing Center (MRC) im Ausland geleitet (für Europa nach Großbritannien, Egham bei London). Damit sind dort alle Verbindungsdaten (Absender, Empfänger, Uhrzeit) sowie die (verschlüsselten) Kommunikationsinhalte verfügbar. Nach britischem Recht können die örtlichen Sicherheitsbehörden unter sehr weit gefassten Voraussetzungen (unter anderem zum Wohl der britischen Wirtschaft) Zugang zu diesen Daten Daten erhalten (RIP-Act 2000). Im Falle von (aus britischer Sicht) ausländischem Nachrichtenverkehr dürfen diese sogar ohne Personenbezug aufgeklärt werden.

3. Es ist nicht möglich, eine eigene, von RIM unabhängige Verschlüsselung zum Schutz der Kommunikationsinhalte zu realisieren. So lassen sich Mail-Anhänge, die vom Nutzer (zum Beispiel mit PGP oder Chiasmus) verschlüsselt wurden, mit BlackBerry nicht übertragen. Eine Verschlüsselung des Übertragungsweges (…) scheitert an der speziellen Blackberry-Infrastruktur.

4. Der im Unternehmensnetz installierte Synchronisationsserver BES (Blackberry Enterprise Server) wird mit einer Software der Firma RIM betrieben und benötigt hoch privilegierten Zugriff auf die Mail/Messaging-Server des Unternehmens. Er kann somit auf den gesamten dort gespeicherten Datenbestand zugreifen.

5. Alle Verfahren, Softwarekomponenten und Protokolle sind proprietär und werden von RIM als Firmengeheimnis behandelt. Das tatsächliche Betriebsverhalten des Systems lässt sich daher nicht überprüfen. Kritisch ist in diesem Zusammenhang, dass auf rund der verschlüsselten Übertragung nicht nachvollziehbar ist, welche Nachrichten zwischen Blackberry Enterprise Server und Mobile Routing Center ausgetauscht werden.

Das Fazit des Bundesamtes lautete:

Bei dieser Sicherheitseinschätzung können ausschließlich die potentiellen Möglichkeiten, die Blackberry zur nachrichtendienstlichen Informationsbeschaffung bietet, betrachtet werden. Ob und inwieweit diese Möglichkeiten tatsächlich genutzt werden, entzieht sich der Kenntnis des BSI und ist nicht Gegenstand dieser Einschätzung. Aus Sicht des BSI ist Blackberry auf Grund der oben dargestellten unsicheren Architektur für den Einsatz in sicherheitsempfindlichen Bereichen der öffentlichen Verwaltung und spionagegefährdeten Unternehmen nicht geeignet.

Zur Einordnung verweisen wir gerne noch auf ein paar weitere Meldungen der letzten Jahre:

Kann uns wer sagen, ob wir (oder die WirtschaftsWoche) jetzt die internationalen Beziehungen beschädigen?

Deine Spende für digitale Freiheitsrechte

Wir berichten über aktuelle netzpolitische Entwicklungen, decken Skandale auf und stoßen Debatten an. Dabei sind wir vollkommen unabhängig. Denn unser Kampf für digitale Freiheitsrechte finanziert sich zu fast 100 Prozent aus den Spenden unserer Leser:innen.

Über die Autor:in

Andre ist seit 2008 bei netzpolitik.org, seit 2012 festangestellt. Er beschäftigt sich vor allem mit investigativer Recherche. Andre hat Sozialwissenschaften an der Humboldt-Universität zu Berlin studiert und Abschlüsse in Bachelor und Master zu netzpolitischen Themen gemacht. Er ist Gründungsmitglied der Vereine Digitale Gesellschaft, Gesellschaft für Freiheitsrechte und netzpolitik.org, Mitglied im Chaos Computer Club sowie Beobachter bei European Digital Rights. Nebenbei arbeitet er als System-Administrator.

Kontakt: E-Mail (OpenPGP), Mastodon, FragDenStaat

Veröffentlicht 20.08.2013 um 15:45
Kategorie
Schlagworte
Weitere Artikel
Eingang Dienstgebäude des BSI
Technologie

Umsetzung der NIS2-Richtlinie: Gesetz für IT-Krisenfälle in der Kritik

Der Gesetzentwurf der Bundesregierung zur Umsetzung der NIS-2-Richtlinie fand bei Experten in der heutigen Anhörung im Innenausschuss keine Gnade und erntete breite Kritik. Er hat auch eine klaffende Lücke: Es fehlt ein IT-Schwachstellenmanagement. Die Ampel verabschiedet sich von gleich zwei Versprechen aus dem Koalitionsvertrag.

Lesen Sie diesen Artikel: Gesetz für IT-Krisenfälle in der Kritik

16 Ergänzungen

  1. interessanter Weise hat die Bundesregierung doch vor nicht allzu langer Zeit „einige“ Blackberry 10 Geräte (Achtung andere Arbeitsweise als die alten Geräte <2013) beschafft …

  2. Zu Eurer abschließenden Frage habe ich keine Antwort aber eine Gegenfrage: Wollte jemand von Euch noch mal über einen Flugplatz unter britischer Juristiktion reisen? Wenn ja, dann etwas mehr Zeit einplanen (ca. 9h) und keinen Geräte mitnehmen oder lieber gleich Passwort und Krypto entfernen… >;->

  3. Viele der o.g. Aussagen treffen so nicht auf die BES10 und Blackberry 10 Infrastruktur zu. Blackberry 10 Geräte können darüber hinaus mit einer speziellen Kryptokarte extrem sicher gemacht werden. Die bb Infrastruktur ist vom dod freigegeben sowie die Kryptokarten Geräte zur Beschaffung durch das Innenministerium. Was ist dieser Artikel basierend auf Infos von vor 7 Jahren? Bestimmt eines: nicht auf dem neusten Stand… Nennen Sie mir bitte einen sichereren MDM als den aktuellen BES.

  4. dod freigabe könnte auch bedeuten backdoor eingebaut…. liegt nahe, da die Briten ja sogar ihre eigenen Politiker ausspähen.

  6. Wenn eine Regierung Daten will, dann bekommt sie die auch, was auch immer für ein System verwendet wird!

  7. Auch wenn es eine Bestätigung seitens eines öffentlichen Dienstes ist, eine Nachricht ist es dennoch nicht.

    Es ist allerdings heuchlerisch wegen der proprietären Implementierung zu schlussfolgern, dass der Einsatz von RIM Produkten unsicher sei, wo doch so viel ausländische, proprietäre Hard- und Software im öffentlichen Dienst und von Unternehmen benutzt werden. So sind die oben genannten Mail Server meist doch auch proprietär und teils nicht evaluiert.

    Die Unfähigkeit verschlüsselte Nachrichten anzunehmen liegt allerdings eher an der unternehmerischen Praxis und den Datenschutzkultur in den U.S.A, wo Firmen ihre Mitarbeiter ungerne unbeobachtet lassen.

    1. Sie sagen ja nicht es ist unsicher weil es proprietär ist. Sie sagen man kann es nicht feststellen, was absolut korrekt ist. (Nebenbei: Im Zweifel ist es dann unsicher.)
      Das gilt für alle andere Hard- und Software genau so, es wird halt nicht zu jedem Ding ein Bericht geschrieben.

  8. http://www.heise.de/ix/meldung/Technische-Details-zum-Merkel-Phone-2-0-1815368.html

    „Früher hatte sich das BSI gegen den Einsatz von BlackBerry-Geräten bei Behörden ausgesprochen, da damals Mails, Kontakt- und Termindaten über die Infrastruktur des Herstellers vom und zum Smartphone gelangten. Sie waren dabei zwar verschlüsselt, es wurden jedoch immer wieder Befürchtungen laut, Geheimdienste könnte Zweitschlüssel besitzen. Mit BlackBerry 10 ist wie bei anderen Mobil-Plattformen der direkte und bei Bedarf verschlüsselte Zugriff auf die Unternehmensserver möglich.“

  9. Da fällt mir ein, dass es ja vor ein paar Jahren Krawalle in einigen Großstädten Englands gab, bei denen Barrikaden errichtet und High Street Läden geplündert wurden. Damals hieß es, viele Täter kommunizierten über das interne Nachrichtensystem von Blackberrys, und deshalb könne man nicht herausfinden, ob und wann sich Leute zu kriminellen Verhandlungen verabreden. Die Tätersuche fand dann auch fast ausschließlich im Nachhinein über die Aufnahmen von Überwachungskameras statt. Wie kann das sein, wenn jetzt herauskommt, dass die Briten die gesamte Blackberry Kommunikation seit 2005 abschnorcheln können? Habe ich da etwas falsch verstanden, oder ist das nur ein Indiz dafür, dass die Abhörung überhaupt nicht zur Verhinderung von Kriminalität beträgt? Immerhin dauerten die Krawalle damals mehrere Tage an und die Polizei ermittelte, von den Medien supportet, mit harter Hand gegen die meist jugendlichen Rioters. Man hätte doch mit der Aussage, wir können durch die Überwachung der Blackberry-Kommunikation die Täter finden, wunderbar für die Überwachung mobiler Endgeräte Lobbyismus treiben können. Warum also hat die britische Polzei dies nicht getan?

  10. Kann uns wer sagen, ob wir (oder die WirtschaftsWoche) jetzt die internationalen Beziehungen beschädigen?

    Naja, es ist schon ein Unterschied, ob ihr etwas sagt, oder ob Regierungskreise etwas verlautbaren lassen.

  11. Mal ’ne dumme Frage: Haben wir Deutschen eigentlich auch irgendwelche Technologie, mit der wir andere bespitzeln, oder lassen wir uns einfach immer nur von den anderen bespitzeln?

    hmmm… Vielleicht können wir das auch nur besser geheim halten? … Hmm — nee!

  12. Ich finde es schade, dass man olle Kamellen raussuchen muss um einem Unternehmen im wahrsten Sinne des Wortes „ans bein zu pinkeln“. Warum einen Bericht vor 7 Jahren jetzt neu durchkauen, wenn viele Parameter einfach nichtmehr gegeben sind? Ist erstaunlich wie unsolide und offensichtlich die Presse im allgemeinen eine Hetzjagd auf BlackBerry veranstaltet mit „Indizien“ die einfach nichtmehr gegeben oder schlichtweg falsch sind. Sowas ist wirklich aus Sicht des Journalismus „traurig“. Besonders, dass hier nicht konkret gesagt wird, welche Versionen und welche Systeme betroffen sind. Alles schwammig und wie gesagt total veraltet.
    Ich frage mich nur, wo da der Vergleich zum Rest ist? Wie sicher sind denn alle anderen? Warum setzt die deutsche Regierung BlackBerry ein und vor allem warum hat BlackBerry international angesehen Sicherheitszertifikate, obwohl BB so unzuverlässig ist?

    1. „Besonders, dass hier nicht konkret gesagt wird, welche Versionen und welche Systeme betroffen sind. Alles schwammig und wie gesagt total veraltet.“

      Wie sieht denn das neue System aus?

      „Warum setzt die deutsche Regierung BlackBerry ein“

      Weil irgendein geschniegelter Kofferträger die schönste Powerpoint Präsentation hatte?

      „warum hat BlackBerry international angesehen Sicherheitszertifikate, obwohl BB so unzuverlässig ist?“

      Das muss ja bei unseren heutigen Schlipsträgermentalitäten auch nichts mehr bedeuten.

Dieser Artikel ist älter als ein Jahr, daher sind die Ergänzungen geschlossen.