Der Rat der Europäischen Union ruft dazu auf, Lösungen zum Brechen verschlüsselter Telekommunikationsdaten zu finden. So steht es in einem Dokument, welches das Generalsekretariat des Rates an die Mitgliedstaaten versandt hat. Die zuständigen Behörden sollen demnach „Schwächen bei Algorithmen und Implementierungen“ untersuchen, um mögliche „Fehler“ ausnutzen zu können. Hierzu müssten sie mit dem „aktuellen Stand der Technik im Bereich der Verschlüsselung“ vertraut sein und in „spezielle Hard- und Software mit angemessener Rechenleistung“ investieren. Dann könnten verschlüsselte Dateien oder verschlüsselte Kommunikation durch Brute-Force-Angriffe (etwa mithilfe von Wörterbüchern) geknackt werden.
Weil bei vielen Anwendungen Verschlüsselung standardmäßig implementiert ist, stehen Strafverfolgungsbehörden dem Rat zufolge zunehmend vor Problemen. Auch Abhörmaßnahmen würden sich aufgrund der Verwendung von Ende-zu-Ende-Verschlüsselung schwierig gestalten. Beim „European Cybercrime Centre“ (EC‑3), das zur Polizeiagentur Europol in Den Haag gehört, soll deshalb eine „Entschlüsselungsplattform“ („decryption platform“) zur forensischen Untersuchung kryptierter Daten eingerichtet werden. Von einem dort eingerichteten „Werkzeugkasten“ (toolbox“) sollen die Mitgliedstaaten Gebrauch machen, bis sie eigene VerschlüsselungsexpertInnen ausgebildet haben. Auch dabei soll Europol helfen.
Kommission verspricht Gelder für Forschung und Stellen
Gestern hat die Europäische Kommission ihren elften Fortschrittsbericht auf dem Weg zur Sicherheitsunion veröffentlicht, der auch neue Maßnahmen gegen Verschlüsselung vorschlägt. So soll der Zugang zu verschlüsselten Kommunikationsdaten erleichtert und Fähigkeiten zu deren Entschlüsselung erweitert werden. Europol erhält hierzu 19 neue Stellen, allerdings ist unklar, ob das zusätzliche Personal sämtlich in der „Entschlüsselungsplattform“ beim EC‑3 arbeiten soll.
Die Kommission will auch in neue Forschungen investieren und dafür das Forschungsrahmenprogramm „Horizon 2020“ nutzen. Einzelne Mitgliedstaaten könnten auch Gelder beim Inneren Sicherheitsfonds (ISF) der Europäischen Union beantragen. Eine halbe Million Euro soll im nächsten Jahr in die Ausbildung nationaler ExpertInnen fließen, entsprechende Inhalte sollen von der EU-Polizeiakademie CEPOL entwickelt werden. Die Steuerung könnte die „European Cybercrime Training and Education Group“ (ECTEG) übernehmen, die von Europol in 2001 gegründet wurde und bei der auch das Bundeskriminalamt (BKA) seit 2008 beteiligt ist.
Unter dem ISF könnten außerdem nationale Kompetenzzentren („national expertise points“) finanziert werden, um andere Mitgliedstaaten Kenntnisse zum Umgehen oder Brechen von Verschlüsselung zur Verfügung stellen. Europol soll hierzu die Koordinierung übernehmen.
Deutsche oder französische Lösung?
An mehreren Stellen betont die Kommission, dass Verschlüsselungstechniken nicht abgeschwächt oder korrumpiert werden sollen. Damit setzt sie auf die „deutsche Lösung“, die sich nicht gegen Verschlüsselung an sich wendet, sondern den vermehrten Einsatz von Trojanern fordert. Frankreich hatte hingegen den Einbau von Hintertüren in Verschlüsselungssoftware oder Geräte gefordert. Der französische Vorschlag wird unter anderem von Großbritannien, Italien, Ungarn und Polen unterstützt.
Das eingangs erwähnte Ratsdokument wird bezüglich der Fähigkeiten zur Entschlüsselung konkreter als das Papier der Kommission. So sollen die Mitgliedstaaten auch die Unterstützung von „Privatunternehmen“ suchen, um die „Entschlüsselungsfähigkeiten“ der zuständigen Behörden zu verbessern. Auch EU-Organe wie die Kommission werden aufgerufen, „einen offenen Dialog mit dem Privatsektor zu intensivieren“. Als erster Schritt könnten „einfache Formen von Verschlüsselungsmethoden“ geknackt werden, etwa schwache Schlüssel oder Passwörter. Dabei könnte es auch helfen, wenn ErmittlerInnen Hinweise zu „Passphrasen, Phrasensegmente, Zeichensatz, Passwortlänge“ erhielten. Bleibt die Passwortsuche erfolglos, müssten „intelligentere Analysen“ und eine „dynamische Aggregation der Rechenleistung“ entwickelt werden, um die Passwortmuster von Tatverdächtigen zu rekonstruieren.
Nutzt das BKA Zero Days?
Das Kommissionspapier geht unter anderem auf ein Treffen zurück, das Europol am 18. September mit den Behörden der Mitgliedstaaten ausgerichtet hat. Vermutlich hat daran auch das BKA teilgenommen und seine „Zentrale Stelle für IT im Sicherheitsbereich“ (ZITiS) vorgestellt, die ebenfalls Methoden zur Entschlüsselung entwickelt. Ob dabei wie vom Rat gefordert Schwachstellen („Zero Day Exploits“) genutzt werden, will die Bundesregierung während der laufenden Jamaica-Verhandlungen nicht bestätigen.
Die Vorschläge des Rates und der Kommission werden nun auf EU-Ebene weiter diskutiert. Unter anderem ist das noch recht junge „Europäische Justizielle Netz für Cyberkriminalität“ (EJCN) daran beteiligt. Anfang Dezember findet das nächste offizielle „EU Internet Forum“ statt, bei dem sich die Behörden mit Internetdienstleistern wie Microsoft, Google und Facebook zur Entfernung von anstößigen Inhalten und dem Zugang zu elektronischen Beweismitteln“ austauschen. Auch dort steht das Thema „Verschlüsselung“ auf der Agenda.