Fraunhofers Volksverschlüsselung: Zu viel versprochen?

Ein neuer Akteur versucht das Unmögliche. Die Verschlüsselung, die sicher, für Jeden verfügbar und von Jedem einsetzbar ist, soll entstehen, bald schon. Das neue Kind hört auf den vollmundigen Namen „Volksverschlüsselung“.

Der Schutz persönlicher Daten ist dem Fraunhofer SIT ein wichtiges Anliegen. Deshalb werden Nutzungsdaten auf dieser Webseite nur nach Ihrer Zustimmung und nur in pseudonymisierter Form gespeichert und ausschließlich zur Optimierung der Webseite genutzt. Wenn Sie damit einverstanden sind, klicken Sie bitte auf den Button „Ja“.

Klingt gut, ist es auch gut?

Das Fraunhofer Institut für Sichere Informationstechnologie entwickelt die Plattform, die schaffen soll, was bislang weder PGP, noch S/MIME für den Massenmarkt geschafft hat: Die Möglichkeit sichere E-Mails zu verschicken.

Das Konzept

Systeme wie PGP gibt es schon lange. Bis auf einige bekannte Probleme, beispielsweise die nicht verschlüsselten Metadaten der Nachricht, was nicht gegen die Generierung von Kommunikationsprofilen schützt, sowie verschiedentlich beobachtete Schwächen bei der Implementierung, gilt PGP als sicher. Snowden war das Verfahren sogar ein kurzes Videotutorial wert, das er den Journalisten ans Herz legte, mit denen er zusammenarbeiten wollte.

Dieser Umstand ist aber auch schon symptomatisch für das zentrale Problem: PGP und alle seine Ableger sind in Einrichtung und Handhabung kompliziert. Das gesamte Private/Public Key-Konzept leidet unter dieser Sperrigkeit im täglichen Betrieb. In seinen Nischen sicherheitsbewusster Anwender und Anwendungen haben PGP und co. sich ihren sicheren Platz erobert, zu mehr wird es aber auch nach dem hundertsten Geheimdienstskandal nicht reichen.

Auch Generationen von Kryptoparties werden daran nichts ändern. Hier will die Volksverschlüsselung ansetzen: Mit einer Anwendung, die die Nutzerschlüssel generiert, verwaltet und mit ihnen E-Mails in verschiedenen Mailumgebungen ver- und entschlüsselt.

Die Schlüssel sind personalisiert und werden nur an Anwender, die sich ausgewiesen haben, ausgegeben. Die registrierten Nutzer erhalten einen 12-stelligen ID-Code. Damit können sie ihre privaten Schlüssel in der Volksverschlüsselung-Anwendung erzeugen. Dieser soll ständig beim Nutzer bleiben, wie es in der Natur solcher Systeme liegt.

Registrierung startete auf der CeBIT

Auf der vergangenen CeBIT in Hannover begann das Fraunhofer SIT mit der Registrierung von Interessenten. Wir gingen also zum Fraunhofer-Stand, um unsere 12-stellige Identifikationsnummer abzuholen. Die Registrierung ging schnell und leicht. Vor dem Stand hatte sich eine kleine Schlange gebildet, die Interessenten zeigten ihre Personalausweise und erhielten postwendend eine Plastikkarte mit der betreffenden Zahlenfolge ausgehändigt, so auch wir.

MEINUNG: Und weiter?

Viel anfangen kann man mit der schicken Karte vorerst nicht. Ab dem zweiten Quartal soll die Infrastruktur und die Volksverschlüsselungs-App bereit sein. Immerhin, im E-Mail-Verkehr soll der S/MIME-Standard genutzt werden, der von den meisten gängigen Desktop- und Mobil-Mailclients verstanden wird. Die Deutsche Telekom ist als potenter Partner an Bord.

Begrenzter Horizont

Wer wird die Volksverschlüsselung nutzen können? Auf direktem Weg nur Windowsnutzer, denn die Anwendung wird vorerst nur für Windows erscheinen. Andere Plattformen sollen folgen, wann? Dazu will man sich nicht äußern. Lässt sich ein Dienst, der nur für eine Plattform angeboten wird, als Volksverschlüsselung vermarkten? Windows lag in den letzten Jahren stets bei einem Marktanteil von stabilen 90%, also wäre die Antwort: Ja. Volksparteien beanspruchen diesen Status schon bei viel schlechteren Wahlergebnissen.

Und wer zynisch ist, könnte auch argumentieren, die meisten kryptographisch unerfahrenen Anwender sind vermutlich Windowsnutzer, Linuxer können in der Regel PGP und die Mac-Anwender, gut, die machen nur ein paar Prozent der computerisierten Grundgesamtheit aus. Keine Probleme also? Ganz im Gegenteil!

Verkehrte Welt: Desktop first

Hört man Land auf Land ab zuletzt stets vom Mobile First-Ansatz, ist es bei der Volksverschlüsselung scheinbar genau umgekehrt. Während Microsoft, Yahoo und Google vermehrt Dienste und Interfaces mit der Priorität entwickeln, zuerst auf dem kleinen Bildschirm gut auszusehen und zu laufen, beabsichtigt man beim Fraunhofer SIT zuerst einzig die Windows-Anwendung zu entwickeln. Mac und Linux sollen folgen, auch mobil soll es weitergehen, aber das dauert: Auf der CeBIT sprach man von mindestens einem Jahr, bis sich etwas tun könnte. iOS, ja… schon… Android… das ist ja noch komplizierter. Also, das dauert noch, man sei aber dran.

In einer schriftlichen Antwort auf eine gleich lautende Anfrage hieß es:

Mit den Arbeiten an Versionen für andere Betriebssysteme haben wir noch nicht begonnen.

Schmalspur-Verschlüsselung

Was bleibt ist eine Krypto-Umgebung, die auf absehbare Zeit einzig auf Windowsrechnern vollumfänglich funktioniert. Während das am Desktop zwar keineswegs ideal, aber angesichts des noch immer gewaltigen Marktanteils von Windows noch verkraftbar ist, verliert die „Volksverschlüsselung“ durch den völligen Verzicht auf mobilen Support massiv an Glaubwürdigkeit. Da hilft es wenig, dass die erzeugten P12-Schlüssel exportiert und auf anderen Systemen eingepflegt werden können.

Das ist bereits seit ehedem gängige Kryptopraxis und wer diesen Extra-Schritt geht, hat vermutlich auch schon PGP oder S/MIME-Erfahrung, zählt also nicht zur Kernzielgruppe. Schon vor Jahren gab es funktionierende PGP- und S/MIME-Lösungen für den Mobilsektor. Sie waren nicht immer bequem, taten aber ihren Dienst. Die Probleme der schwierigen Umsetzung haben sich deren Entwicklern offenbar nicht in den Weg gestellt.

Fazit: Zu viel versprochen?

Um nicht zu ungerecht zu sein: Der Ansatz ist zu begrüßen. Alles, was die von Natur aus wenig sichere E-Mail sicherer machen könnte, ist zu begrüßen. Das vorliegende Konzept scheint jedoch in einigen Punkten wenig durchdacht, zum Teil auch schlecht kommuniziert zu sein. Wenn bekannt ist, dass man nur auf einer Plattform starten kann, sollte man dann diesen Brand benutzen?

Die Statistiken über das Verhältnis von mobiler und Desktopbasierter Zugriffe auf Kommunikationsangebote jeglicher Art sind hinlänglich bekannt: Wenn bekannt ist, dass man nicht mobil starten kann, sollte man dann überhaupt starten? Wenn man zu wenig Manpower hat, die Softwareimplementierung aber Opensource ist, sollte man dann nicht erwägen crowdzusourcen? Letztere Frage hat das Fraunhofer SIT zwischenzeitlich beantwortet: Nein. – Man ist so sehr darauf bedacht alle Rechte an der eigenen Entwicklung zu wahren, dass man sich noch nicht ein mal auf eine etablierte Softwarelizenz festlegen, sondern im Zweifelsfall lieber selbst ein Lizenzmodell entwickeln möchte. Dennoch bezeichnet das Institut die Volksverschlüsselung-Anwendung als Opensource-Software.