Client-Side-ScanningBerühmte IT-Sicherheitsforscher:innen warnen vor Wanzen in unserer Hosentasche

Das Who-is-Who führender IT-Sicherheitsforscher:innen und Kryptologen stellt sich in einer gemeinsamen Studie gegen Technologien, welche die Geräte von Nutzer:innen nach bestimmten Dateien durchsuchen. Solche Pläne wie von Apple und der EU seien gefährlich für IT-Sicherheit und Demokratie.

Befürworter argumentieren, dass sie doch nur die Bilder auf Darstellungen von Kindesmissbrauch scannen wollen – doch die Technologie kann mehr. (Symbolbild) – Alle Rechte vorbehalten IMAGO / Panthermedia

Weltweit bekannte IT-Sicherheitsforscher:innen und Erfinder von Verschlüsselungssystemen kritisieren in einer gemeinsamen Studie mit dem Titel „Wanzen in unserer Hosentasche“ alle Pläne für Inhalte-Scanner auf den Geräten von Endnutzer:innen. Dieses so genannte Client-Side-Scanning (CSS) sei eine Gefahr für Privatsphäre, IT-Sicherheit, Meinungsfreiheit und die Demokratie als Ganzes.

Bei der Überwachungstechnologie CSS werden die Endgeräte einer Person auf bestimmte Dateien durchsucht, bevor die Dateien zum Beispiel für die Kommunikation verschlüsselt werden. Groß geworden war die Debatte um die Überwachungstechnologie nachdem Apple angekündigt hatte, die Endgeräte seiner Nutzer:innen auf Darstellungen von Kindesmissbrauch zu scannen. Nach großen Protesten hatte das Unternehmen die Pläne verschoben. Auch in der Europäischen Union gibt es Pläne in diese Richtung. Im Juni hatte die EU Anbietern von E-Maildiensten und Messengern erlaubt, nach bestimmten Dateien zu suchen.

Die Wissenschaftler:innen, unter ihnen Koryphäen wie Bruce Schneier, Carmela Troncoso, Whitfield Diffie und Ronald L. Rivest, kritisieren in ihrer 46-seitigen Studie, dass CSS von Haus aus ernsthafte Sicherheits- und Datenschutzrisiken für die gesamte Gesellschaft schaffe, während die Unterstützung, die es den Strafverfolgungsbehörden bieten kann, bestenfalls problematisch sei. Es gebe zahlreiche Möglichkeiten, wie die clientseitige Überprüfung versagen, umgangen und missbraucht werden könne.

Gefährlich für die IT-Sicherheit

Die Pläne, wie beispielsweise dem von Apple, sehen vor, CSS auf allen Geräten zu installieren und nicht nur heimlich auf den Geräten von Verdächtigen. Hierzu sagen die IT-Experten: „Ein flächendeckender Einsatz bedroht jedoch die Sicherheit gesetzestreuer Bürger ebenso wie die von Gesetzesbrechern.“

Technisch gesehen ermögliche CSS eine Ende-zu-Ende-Verschlüsselung, aber das sei fraglich, wenn die Nachricht bereits nach gezielten Inhalten gescannt würde. Die Studie sagt hierzu: „Da CSS staatlichen Stellen Zugang zu privaten Inhalten verschafft, muss es wie Abhören behandelt werden. In Rechtsordnungen, in denen Massenüberwachung verboten ist, muss auch CSS verboten werden.“

Die Tatsache, dass CSS zumindest teilweise auf dem Client-Gerät ausgeführt werde, sei nicht, wie die Befürworter behaupten, ein Sicherheitsmerkmal. Es sei vielmehr eine Schwachstelle: „Da die meisten Benutzergeräte Schwachstellen aufweisen, können die Überwachungs- und Kontrollmöglichkeiten von CSS von vielen Gegnern missbraucht werden, von feindlichen staatlichen Akteuren über Kriminelle bis hin zu den Intimpartnern der Benutzer.“ Außerdem sei es aufgrund der Undurchsichtigkeit mobiler Betriebssysteme schwierig zu überprüfen, ob die CSS-Maßnahmen nur auf Material abzielen, dessen Illegalität unbestritten ist.

Deswegen würde die Einführung von CSS noch stärker in die Privatsphäre eingreifen als frühere Vorschläge zur Schwächung der Verschlüsselung.

Schwächung von Meinungsfreiheit und Demokratie

Für die Autor:innen der Studie ist klar: CSS ist eine gefährliche Technologie. Selbst wenn sie zunächst zur Suche nach Inhalten mit Kindermissbrauchsdarstellungen eingesetzt würde, also nach Inhalten, die eindeutig illegal sind, gäbe es einen enormen politischen und gesellschaftlichen Druck, ihren Anwendungsbereich auszuweiten. Einmal eingeführt, gäbe es kaum noch eine Möglichkeit, sich gegen die Ausweitung zu wehren oder den Missbrauch des Systems zu kontrollieren.

Auch Apples Pläne kommen schlecht weg. So schreibt Ross Anderson, einer der Autoren der Studie in seinem Blog: „Wir hatten nicht vor, den Vorschlag von Apple zu loben, aber wir kamen zu dem Schluss, dass er wahrscheinlich das Beste war, was man tun konnte. Dennoch kam er nicht annähernd an ein System heran, das ein vernünftiger Mensch für vertrauenswürdig halten könnte.“

Die IT-Expert:innen lehnen die Technologie, egal wie sie letztlich umgesetzt wird, als ganzes ab: „Eine solche Massenüberwachung kann zu einer erheblichen Beeinträchtigung der Meinungsfreiheit und sogar der Demokratie selbst führen.“

9 Ergänzungen

  1. Und grundlegend sehe ich den Zweck dieses ClientSide Scanning darin eine Funktion zum Scannen, Hashen und Bewerten von Inhalten von der Zentralen Plattform (Cloud) auf jedes Endgerät zu verlagern. Was mag das die Firmen an CPU-Zeit u.a. Ressourcen auf deren Servern einsparen? Upload-filter sind ja auch umstritten.

    Heißt: Statt Uploadfilter an Zentraler Stelle die ggf. nur bei Verdächtigen(verschärft) eingesetzt werden müßten bekäme jeder Client einen. Das klingt zwar wie „Wehret den Anfängen“ ist es aber nicht weil das Bild (und die potentielle Straftat) dafür schon existieren müssen – und begangen sind. Das hilft genau niemandem nicht Opfer geworden zu sein, nur der Polizei bei Nachfolgender Ermittlung. Das ist nicht verhältnismäßig. Das ist eher Anlaßlose Digitale Rasterfahndung auf Allen Endgeräten. Oder nennt man es Schleppnetz-fahndung?
    Egal. Der Ansatz ist doch klar „Im trüben Fischen und schauen was dabei raus kommt“. So werden Potentielle Verdächtige Generiert was mich doch sehr an Abmahnwellen und deren Industrie erinnert. Also Pre-Crime!? Paßt auch nicht weil Verbrechen bereits begangen (Bild eines Mißbrauchs). Also Pre-Justice (Vor-gerichtliche Beweissicherung?) anlaßlos weil massenhaft, auf allen Mobilen Endgeräten. Kann das Legal sein?

    Da Uploadfilter auch ein Problem sind… Könnte die Polizei bitte Back-to-the-Roots gehen und nur den Verdächtigen bespitzeln aber alle anderen in Ruhe lassen. Gut, das heißt Quellen-TKÜ also Staatstrojaner. Das trifft dann aber idealerweise nur den Täter, ggf. noch dessen Umkreis.

    Warum ein Kindesmißbraucher mit einem Internet- und Cloud-verbundenem Smartphone Bilder machen sollte von einer Tat von der er wissen sollte das sie Falsch ist – das hat bisher noch keiner erklärt. Täter= Dumm!???

    1. „Legal“
      Da ist nichts dran legetim. Es sind ja im Grunde nur Umgehungen der Gesetze, die zum Schutz der Menschen gemacht wurden, was die Verfassung wohl mit einschließt. Die entstehenden Probleme geht man nicht wirklich an. Verfahrenstricks, wenn man so will.

      Die ganzen Clouddienste, die Untätigkeit bei der Regulierung zum Datenabfluss nach Privatwirtschaft, und bestimmt auch demnächst Endgeräte mit Scan-„Features“, das alles ersetzt den Zugriff des Staates, da der Staat auf die zugreifen kann. Die Balance mit dem Gesetz, wie es ursprünglich gedacht war, ist längst nicht mehr gegeben. Das ändern ein paar partielle Lichtblicke wie die DSGVO auch nicht.

      „Täter= Dumm!???“
      Das gibt erfolgsmeldungen und hebt die Quote, wenn man Dumme fängt. Hat sich seit dem Mittelalter nicht geändert.

    2. Blühende Landschaften, zu fürchten haben:
      – Kriminelle.
      – Verräter.
      – Die Bösen.

      Über wacht werden prinzipbedingt:
      – Alle

      Verdict:
      – ERROR

      Diese Ideenkette, um es nicht Argumentation zu nennen („für Urheber“, „gegen Big Tech“), findet man auch in der Anticheatingszene von Computerspielen als immer wiederkehrenden Maulwurf. Es sind dann typischerweise Entwickler, die zunächst die Idee anpreisen, aber allzuoft auch die „Eltern“, im Sinne von Leuten die oftmals durchaus auch mit kommerziellen Absichten Server betreiben, die meinen oder zumindest bewerben, dass ein Client-side-anti-cheat eine gute Idee wäre. Dateisystem scannen und so :). Nie nicht alle, sicherlich, aber es kommt immer wieder, und einige finden es gut.

  2. Wieso warnen ?
    Es wäre längst Zeit dass die Justiz handelt! Die müsste man auffordern zu handeln!
    Aber wenn sie keiner anschreibt von den Politikern , werden sie untätig bleiben.
    Die EU Klagt zwar gegen Google, aber wie sieht es da mit den anderen aus ?
    Sind sie auch Datenlieferanten an die Grossen ?
    https://www.scss.tcd.ie/Doug.Leith/Android_privacy_report.pdf

    Warum wir immer noch nicht erfahren dürfen , wer die Daten bekommt , welche es genau sind , wieso EU Recht gebrochen werden darf, oder wo die Hintertüren im Gesetzt stehen ? Etwa in schwammigen AGBs , wieso Telekom Handyshops etc keine sicheren handies mit e OS oder gleich eigenem OS anbieten ? Wieso sie kleine Hersteller mit Librem 5 nicht unterstützen ??
    https://www.heise.de/news/Schlimmer-als-Google-Welche-Daten-alternative-Android-Hersteller-sammeln-6219469.html

    https://winfuture.de/news,97368.html
    Lebt er heute noch ?

    https://www.lumigon.com/lumigon-t3/
    Und was ist damit passiert?

  3. Ich halte diese „Theoretisch kann jeder ein Täter sein“-Mentalität für ziemlich paranoid. Vorher klagt man noch Konzerne wie Google an, weil diese angeblich alles Mögliche mit den Daten machen würden und im nächsten Schritt will man dann selbst die komplette Kontrolle. Denn nichts anderes ist das. Massenüberwachung.

    Erst wird nach illegalen Inhalten gescannt, dann insgeheim nach noch mehr. Wer will sich dagegen wehren? Wenn Apple das erst einmal implementiert hat, tritt das FBI denen sicher die Türe ein und fragt erst nett, ob man nicht vielleicht noch ein oder zwei Sachen mehr auf die Blacklist zum Warnen hauen kann. Und wenn die nichts machen, wird man halt ungemütlicher. Die Technik ist ja da – dann kann man das ja machen.

    Vielleicht gibt’s dann irgendwann einen Skandal. Dann landen die Journalisten, die drüber berichten, auch auf dieser Blacklist. Dann schaut man sich dessen Handys mal genauer an und die derjenigen, die sich darüber informieren. Gut, das klingt weit gegriffen, aber man versteht, was ich meine. Das ist alles, aber bestimmt nicht im Interesse der Freiheit.

    Ich mag behaupten, dass man mit sowas aufpassen sollte. „Wehret den Anfängen“ klingt theatralisch, aber was ist die Alternative als jetzt sein Veto einzulegen und dagegen zu sein, vielleicht auch dem eigenen Abgeordneten bei einem Gesprächstermin mal darauf anzusprechen oder eine E-Mail zu schreiben? Man muss nämlich nicht meinen, dass Waffen nicht genutzt werden würden, sobald diese verfügbar sind. Diesen Fehler hat die Menschheit schon ein bisschen zu oft gemacht. Und digitale „Waffen“, das kann man das schon nennen. Näher an die einzelne Person kommt man nämlich nicht mehr ran.

  4. Wenn ich als technisch relativ ahnungsloser Oldie lese, es gäbe „Pläne, CSS auf allen Geräten zu installieren“, dann frage ich in die Runde der weniger Ahnungslosen: ´
    Muss man es hinnehmen, dass andere (Google, Apple …) bestimmen, welche Software man auf seinem Smartphone hat?
    Habe neulich einen Artikel gelesen „Wie ich seit 15 Jahren ohne Google lebe und warum das wichtig ist“. Leider reichen meine Kenntnisse bei Weitem nicht aus, alle dort genannten Tipps umzusetzen.
    Warum bieten Smartphone-Hersteller kein handy z.B. mit dem Betriebssystem CalyxOS an?
    Ich bin nicht in der Lage, das selber zu installieren und wenn es dann Probleme geben sollte … , was dann?

  5. Selbst wenn CSS auf allen Handys augerollt würde – oder sonst irgendein Staatstrojaner, könnte man immer noch ein offline-Gerät benutzen und darauf ver- und entschlüsseln. Es wäre also eine völlig überzogene Maßnahme, die viele Menschen treffen würde aber keine Straftäter.

    1. Ich bin ja fest davon überzeugt, dass man auf „Mitnahme-Effekte“ setzt. So können vielleicht schon in 10 Jahren Sony, Universal und Warner die Handys von Milliarden Menschen auf Urheberrechtsverstöße durchsuchen lassen. Aber zu diesem Zweck würde man das nie durchbekommen, also ist es eben gegen Missbrauchsbilder gerichtet – vorerst.

Wir freuen uns auf Deine Anmerkungen, Fragen, Korrekturen und inhaltlichen Ergänzungen zum Artikel. Unsere Regeln zur Veröffentlichung von Ergänzungen findest Du unter netzpolitik.org/kommentare. Deine E-Mail-Adresse wird nicht veröffentlicht.