FBI fordert erweitertes Abhörgesetz: keine gute Idee

Die Art, wie Menschen miteinander kommunizieren, hat sich durch das Internet grundlegend verändert. Und diese Veränderungen sind noch längst nicht abgeschlossen. Immer mehr Informationen werden über das Internet auf dem Handy oder verschiedene „Peer-to-Peer“-Anwendungen, wie beispielsweise Skype, ausgetauscht. Was dem Menschen eine scheinbar größere Freiheit bietet, scheint für einige Strafverfolgungsbehörden aber zum Problem zu werden. Zuletzt forderte das FBI größere Befugnisse beim Abhören der Bürger. Insbesondere wurde gefordert, dass jede Software und jedes Kommunikationsgerät eine versteckte Schnittstelle zum Abhören der Kommunikation beinhalten müsse. Firmen die diese technischen Hintertüren nicht anbieten, würden mit Geldstrafen belegt werden. In einem Artikel mit dem Namen „CALEA II: Risks of Wiretap Modifications to Endpoints“ treten 20 renominerte Sicherheitsexperten und Kryptographen diesen Forderungen des FBI entgegen, indem sie darlegen das solche Überwachungsmaßnahmen ein enormes Sicherheitsrisiko darstellen.

Die Autoren der Studie legen erst einmal die momentane rechtliche und technische Situation dar. Erläutert wird hierbei unter anderem der „Communications Assistance for Law Enforcement Act“, kurz CALEA. Dieses Gesetz sieht vor, dass sämtliche Telekommunikationsanbieter, seien es Festnetz-, Mobilfunk-, oder Internetanbieter, ihre Infrastruktur so aufbauen müssen, dass nationale Strafverfolgungsbehörden jederzeit Zugriff auf die Kommunikation der Nutzer haben. Es werde ausgenutzt, dass alle Kommunikation durch einen Knotenpunkt läuft und von dort abgegriffen und mitgehört werden kann. Dieses alles geschehe ohne das der Nutzer etwas davon mitbekomme.

Durch neue Kommunikationsmedien sei die Überwachung allerdings nicht mehr so effektiv:

Now, however, users are increasingly mobile and use services from a variety of service providers at an increasingly large number of access points, making it more challenging to predict how a user will be connected at a given moment. As we understand the government’s problem, the geographically-limited routing facilities that had previously been the focal point of interception no longer provide access to all a target’s communications.

Doch nicht nur die geographische Unvorhersagbarkeit ist ein Problem für Behörden, auch die Nutzung von „Peer-to-Peer“-Anwendung sei ein Problem, da die Kommunikation nicht mehr über einen zentralen Punkt laufe, wo sie von den Behörden mit gelesen werden kann. Als Beispiel wird das Netzprotokoll SIP genannt, welches häufig in der IP-Telefonie Anwendung findet. Die einzige Möglichkeit solche Kommunikation zu überwachen sei es, Überwachungstechnologie direkt in die Software oder aber die Kommunikationsgeräte zu implementieren.

These technical limitations of centralized monitoring have led to suggestions that instead monitoring should be provided at the endpoints. That is, end-user software should be modified to support monitoring. When monitoring is desired, the feature is activated and the software starts delivering copies of its keys, traffic, or both to some monitoring point. This may or may not be achievable in a way that is undetectable to the user.

Dieses sei allerdings gefährlich, würde es die Sicherheit dieser Software und Geräte erheblich gefährden:

A wiretap design mandate on communications tools is, plainly put, an opportunity for increased exploitation.[…], extending CALEA to endpoint software and devices will make communications systems, products and services even more vulnerable.

Doch sehen die Autoren nicht nur ein ernstzunehmendes Sicherheitsrisiko in der direkten Überwachung des Endgeräts. Auch sei die Umsetzung nicht praktikabel, wie sie mit Blick auf Open-Source Software näher erläutern:

It is important to understand that because these systems are built on open standards, modified software without lawful intercept capability will be able to interoperate with systems with the intercept capability and with unmodified systems. To take an extreme example, say that all U.S.-made Web browsers support CALEA II, thus allowing wiretapping of any WebRTC session. Two users who desire unmonitorable communications need only download secure foreign-made versions of one of the major browsers and they can make secure calls using exactly the same infrastructure as those that must use compliant versions. We should expect that any user who is concerned about monitoring —
including many potential monitoring targets — would obtain and use an unmonitorable version of a given product or service.

Der Vorstoß des FBI, aber auch anderer Behörden außerhalb der USA die nach immer mehr Überwachung rufen, scheint ein weiterer Schritt zur totalen Überwachung der Bürger zu sein. Und wie so oft scheinen die Behörden vor lauter Gier nach Daten, die Praktikabilität, ebenso wie die Verhältnismäßigkeit ihres Vorstoßes, komplett außer acht gelassen zu haben. Der gesamte Artikel ist als pdf hier zu finden.