path: root/updates/2019/encrypted-messengers.md

title: CCC gegen Angriff des Innenministeriums auf verschlüsselte Kommunikation
date: 2019-06-11 20:42:46 
updated: 2019-06-14 16:47:27 
author: linus
tags: update, pressemitteilung, verschlüsselung, bmi

Gegen die Bestrebungen des Innenministeriums, verschlüsselte Kommunikationsdienste per Gesetz zur Schwächung ihrer Sicherheit zu zwingen, wendet sich ein breites Bündnis aus Experten für IT-Sicherheit und Innere Sicherheit, Wirtschaftsverbänden, Bürgerrechtlern und Forschern in einem heute veröffentlichten offenen Brief. Der Chaos Computer Club (CCC) gehört zu den Erstunterzeichnern.

<!-- TEASER_END -->

AN: Bundesministerium des Innern, für Bau und Heimat

IN KOPIE: Auswärtiges Amt,

Bundesministerium der Justiz und für Verbraucherschutz,

Bundesministerium für Wirtschaft und Energie,

Bundesamt für Sicherheit in der Informationstechnik

**Betreff: Geplanter Eingriff in Verschlüsselung von Messenger-Diensten
hätte fatale Konsequenzen**

Sehr geehrte Damen und Herren,

das Bundesministerium des Innern, für Bau und Heimat plant [laut
Medienberichten](https://www.spiegel.de/plus/horst-seehofer-greift-whatsapp-an-a-00000000-0002-0001-0000-000164076162)
eine Gesetzesänderung, um es deutschen Polizei- und Sicherheitsbehörden
künftig leichter zu machen, Zugriff auf die digitale Kommunikation von
Verdächtigen zu erhalten. Dafür sollen Anbieter von Messenger-Diensten
wie beispielsweise Whatsapp, Threema oder iMessage gesetzlich
verpflichtet werden, ihre Verschlüsselungstechnik so umzubauen, dass
Behörden bei Verdachtsfällen die gesamte Kommunikation von Nutzer:innen
mitschneiden können.

Wir warnen ausdrücklich vor einem solchen Schritt und fordern eine
sofortige Abkehr von diesem oder ähnlichen politischen Vorhaben auf
deutscher wie europäischer Ebene. Die vorgeschlagene Reform würde das
Sicherheitsniveau von Millionen deutscher Internet-Nutzer:innen
schlagartig senken, neue Einfallstore für ausländische
Nachrichtendienste und Internetkriminelle schaffen sowie das
internationale Ansehen Deutschlands als führender Standort für eine
sichere und datenschutz-orientierte Digitalwirtschaft massiv
beschädigen. Statt bereits seit Jahren überholte Reform-Ideen
umzusetzen, sollte das Bundesministerium des Innern, für Bau und Heimat
aus unserer Sicht einen neuen sicherheitspolitischen Weg einschlagen und
Vorschläge entwickeln, die die Arbeit der Polizei- und
Sicherheitsbehörden verbessern, ohne dabei aber die Sicherheit von
IT-Systemen und privater Kommunikation in Deutschland insgesamt
verschlechtern.

Unsere Kritik im Detail:

## Die deutsche Kryptopolitik

Ende Mai wurde bekannt, dass das Bundesministerium des Innern, für Bau
und Heimat plant, die bestehende TKG-Regulierung auf verschlüsselte
Messenger wie WhatsApp, Signal, Threema, Wire oder Telegram auszuweiten.
Konkret bedeutet dies: Die Betreiber dieser Dienste müssen ihre Software
so umgestalten, dass die Inhalte der Nachrichten unverschlüsselt an
Sicherheitsbehörden weitergegeben werden können. Sollten die Betreiber
dies ablehnen, so würden ihre Dienste in Deutschland gesperrt. Wie eine
technische Umsetzung der Hintertüren in den Messengern aussehen könnte,
beschreiben Vertreter:innen des britischen GCHQ in ihrem “Ghost
Proposal”.^[\[1\]](#ftnt1){#ftnt_ref1}^ Dieser Vorschlag wurde erst vor
Kurzem von einer internationalen Allianz aus Wirtschaft, Wissenschaft
und Zivilgesellschaft in einem offenen Brief stark
kritisiert.^[\[2\]](#ftnt2){#ftnt_ref2}^

Der BMI-Vorschlag konterkariert 20 Jahre erfolgreiche Kryptopolitik in
Deutschland.^[\[3\]](#ftnt3){#ftnt_ref3}^ In den Eckpunkten der
deutschen Kryptopolitik aus dem Jahre 1999^[\[4\]](#ftnt4){#ftnt_ref4}^
einigte sich die damalige Bundesregierung auf ein Prinzip, das unter der
Maxime “Sicherheit durch Verschlüsselung und Sicherheit trotz
Verschlüsselung” bekannt wurde. Dieser Grundsatz wurde seitdem mehrfach
von Seiten der nachfolgenden Bundesregierungen bestätigt. Noch 2014
wollte Deutschland sogar zum “Verschlüsselungsstandort Nr.
1”^[\[5\]](#ftnt5){#ftnt_ref5}^ in der Welt aufsteigen. Ein Bruch mit
diesen Bekenntnissen würde der IT-Sicherheit Deutschlands in Verwaltung,
Wirtschaft und Gesellschaft nachhaltig schaden.

## Auswirkungen auf die IT-Sicherheit

Die geplante Verpflichtung der Messenger-Betreiber würde dazu führen,
dass die Betreiber eine Schwachstelle in ihre Software einbauen müssten.
Das erfordert einen tiefen Eingriff in die bestehenden komplexen
Softwaresysteme der Betreiber. Diese Schwachstelle könnten von
Nachrichtendiensten und Kriminellen ausgenutzt werden, um an sensible
Informationen von Individuen, Behörden und Firmen zu kommen. Aktuelle
Beispiele^[\[6\]](#ftnt6){#ftnt_ref6}^ zeigen, dass die Absicherung
eines Messengers schon komplex genug ist, ohne dass dort zusätzlich
gezielt Schwachstellen eingebaut werden und so die IT-Sicherheit
zusätzlich gefährdet wird.

Gleichzeitig würde dieser Schwachstelle-Einbau es Mitarbeiter:innen bei
den Betreibern ermöglichen, Kommunikationsinhalte einsehen zu können,
was aktuell nicht möglich ist. Hierdurch erhöht sich nicht nur das
Missbrauchspotenzial. Eine zentrale Ablage der dazu benötigten
kryptographischen Schlüssel^[\[7\]](#ftnt7){#ftnt_ref7}^ würde auch ein
primäres Ziel für Angreifer:innen darstellen, der im Fall eines
erfolgreichen Angriffs zur Offenlegung der Kommunikation aller (!)
Nutzer:innen führen könnte (Single-Point-of-Failure).

Hinzu kommt, dass die neue Version des jeweiligen Messengers mit
Hintertür als Softwareupdate eingespielt werden müsste. Hier würden dann
entweder alle deutschen Nutzer:innen oder ausgewählte deutsche
Nutzer:innen dieses mit der Hintertür versehene Update eingespielt
bekommen. Dieser Vorgang würde das Vertrauen der Verbraucher:innen in
Sicherheitsupdates erschüttern und sich damit nachhaltig negativ auf die
IT-Sicherheit in Deutschland auswirken.

Sollten die Messenger-Betreiber die vorgesehene Maßnahme nicht umsetzen,
sollen laut Plan des Innenministeriums ihre Dienste in Deutschland
gesperrt werden. Das wäre auch die einzige Möglichkeit, wie die
zuständigen Behörden mit Messengern umgehen könnten, deren
Verschlüsselung ohne einen zentralen Betreiber auskommt und in die daher
keine Hintertüren per Regulierung implementiert werden könnten (z. B.
Pretty Good Privacy, Off-The-Record). Das würde unweigerlich dazu
führen, dass es innerhalb Deutschlands keine sichere
Messenger-Kommunikation mehr geben könnte. Eine technische Umsetzung
wäre aber, vor allem für quelloffene Messenger wie Signal, faktisch
unmöglich zu realisieren. Es würde eine dedizierte und stark in die
Freiheitsrechte eingreifende IT-Infrastruktur brauchen, um das Umgehen
dieser Sperren auszuschließen (inklusive Blockieren von Virtuellen
Privaten Netzwerken \[VPNs\] und The Onion Router \[TOR\]), da
Kriminelle die ersten wären, die dies versuchen
würden.^[\[8\]](#ftnt8){#ftnt_ref8}^

Betroffen wären davon allerdings nicht “nur” deutsche Behörden (u. a.
Polizei, Feuerwehr, THW), Firmen und Bürger:innen im Allgemeinen,
sondern auch Berufsgeheimnisträger:innen (z. B. Rechtsanwälte,
Geistliche, Ärzte, Journalisten und Abgeordnete) und andere besonders
schützenswerte Personengruppen.

Mittlerweile argumentieren auch vermehrt ehemalige Geheimdienstchefs,
dass gemessen an den Kosten, der Nutzen von umfassender Verschlüsselung
(ohne Hintertüren) im Zeitalter von Cyber-Kriminalität, Datenlecks und
Spionage den Verlust der Überwachungsfähigkeit mehr als aufwiege. Die
strategischen Interessen wie die Stabilität des IT-Sektors und des
IT-Ökosystems wiegen hier schwerer als die taktischen Interessen der
Strafverfolger, so zum Beispiel der ehemalige NSA-Chef Michael Hayden
und der ehemalige Chef des britischen Inlandsgeheimdienstes
MI5.^[\[9\]](#ftnt9){#ftnt_ref9}^

## Empirischer Erkenntnisstand und Alternativen

Den Eckpunkten der Kryptopolitik folgend hat sich die Bundesregierung im
Jahr 1999 entschieden, keine Schwächung der Verschlüsselung (inklusive
Einbau von Hintertüren) vorzunehmen, sondern Schadsoftware
(“Bundestrojaner”) zur Beschaffung von Daten vor/nach Verschlüsselung
einzusetzen. Dieser Maßnahme wurde vom Bundesverfassungsgericht aus
nachvollziehbaren Gründen hohe Hürden gesetzt. Anstatt auf Basis der
bereits existierenden Überwachungsmaßnahmen eine dringend notwendige
Bedarfsanalyse und die bereits vor vielen Jahren vom
Bundesverfassungsgericht geforderte
Überwachungsgesamtrechnung^[\[10\]](#ftnt10){#ftnt_ref10}^
durchzuführen, soll nun eine Regulierung implementiert werden, die mehr
als 20 Jahre wissenschaftliche Erkenntnisse in der
IT-Sicherheitsforschung ignoriert.^[\[11\]](#ftnt11){#ftnt_ref11}^

Die oft angeführte These, dass Geheimdienste und
Strafverfolgungsbehörden aufgrund von Verschlüsselung keinen Zugriff
mehr auf relevante Daten haben (Going Dark), ist bisher nicht empirisch
belegt.^[\[12\]](#ftnt12){#ftnt_ref12}^ Im Gegenteil haben die
technologischen Entwicklungen der letzten Jahrzehnte dazu geführt, dass
Strafverfolger:innen mehr Daten zur Verfügung stehen als je
zuvor.^[\[13\]](#ftnt13){#ftnt_ref13}^ Strafverfolgungsbehörden
dokumentieren bisher kaum, in wie vielen Fällen verschlüsselte
Kommunikation tatsächlich zu einem Erliegen von Ermittlungen geführt
hat. Auch liegt keine vollständige Übersicht vor, welche alternativen
Möglichkeiten zur Erhebung der notwendigen Daten in Deutschland bereits
legal sind und wo sich noch weiße Flecken
befinden.^[\[14\]](#ftnt14){#ftnt_ref14}^

## Internationale Spillover-Effekte

Sollte dieser Vorschlag umgesetzt werden, hätte dies auch weit über die
deutschen Grenzen hinaus negative Strahlkraft. Autoritäre Staaten würden
sich auf diese Regulierung berufen und entsprechende Inhaltsdaten von
den Messenger-Betreibern anfordern mit dem Verweis darauf, dass dies in
Deutschland – und damit technisch – möglich sei. Hiervon wäre dann die
Kommunikation von Menschenrechtsaktivist:innen, Journalist:innen und
anderen verfolgten Personengruppen massiv betroffen – Personengruppen,
die die deutsche Außen- und Entwicklungshilfepolitik bisher zu schützen
versucht hat und jährlich in Milliardenhöhe fördert. Deutschland muss
sich seiner Verantwortung in der Welt auch in diesem Bereich bewusst
sein. Mit einer bewussten Schwächung von sicheren Messengern würde
Deutschland seine außenpolitische Glaubwürdigkeit als Verfechter eines
freien und offenen Internets auf Spiel
setzen.^[\[15\]](#ftnt15){#ftnt_ref15}^ Das Netzwerkdurchsetzungsgesetz
dient hier als mahnendes Beispiel dafür, welche Auswirkung eine deutsche
Gesetzgebung in der Welt entfalten kann.^[\[16\]](#ftnt16){#ftnt_ref16}^

## Wirtschaftsstandort Deutschland

Verwaltung, Wirtschaft und Verbraucher:innen müssen sich darauf
verlassen können, dass bei der Nutzung digitaler Produkte und
Dienstleistungen die Voraussetzungen zum Schutz ihrer Daten und zur
Integrität ihrer Systeme erfüllt sind. Gerade für Unternehmen spielt das
bei der Wahl ihres Produktionsstandortes eine große Rolle. Sie siedeln
sich dort an, wo sie ihre Geschäftsgeheimnisse und Kundendaten geschützt
wissen.

Sabotage und Wirtschaftsspionage verursachten in den Jahren 2016/2017
alleine im Industriesektor einen Schaden von 43 Mrd.
Euro.^[\[17\]](#ftnt17){#ftnt_ref17}^ Es ist davon auszugehen, dass eine
Schwächung der Verschlüsselung diese Zahlen weiter in die Höhe treibt,
da eingebaute Hintertüren auch von ausländischen Nachrichtendiensten und
Kriminellen missbraucht werden können. Wenn Deutschland ein
innovationsfreundlicher und wettbewerbsfähiger Wirtschaftsstandort sein
möchte, müssen technische Hintertüren, die Zugriffe für Dritte
ermöglichen, weiterhin ausgeschlossen bleiben.

Dazu kommt, dass Deutschland auch ein Standort für
IT-Sicherheitsunternehmen u. a. mit Fokus auf
Verschlüsselungstechnologien ist. Die Vertrauenswürdigkeit dieser
Unternehmen im Speziellen würde durch das geplante Vorhaben massiv
gefährdet. Damit würde Deutschland als Standort für die
IT-Sicherheitsindustrie auch als Ganzes geschwächt werden, was den
industriepolitischen Zielen Deutschlands und Europas direkt
widerspricht.

Wir warnen ausdrücklich vor dem geplanten Vorhaben des
Bundesministeriums des Innern, für Bau und Heimat zur Regulierung von
Messenger-Diensten und fordern eine sofortige Abkehr von diesem oder
ähnlichen politischen Vorhaben auf deutscher wie europäischer Ebene.
Darüber hinaus wäre eine offizielle Einschätzung folgender Stellen
erforderlich:

-   des Bundesministeriums für Wirtschaft und Energie (Fokus: möglicher
    Schaden für die deutsche Industrie sowie die Digitalwirtschaft)
-   des Auswärtigen Amts (Fokus: Spillover-Effekte, v. a. in autoritären
    Staaten, Ansehensverluste Deutschlands als etablierter Rechtsstaat)
-   des Bundesministeriums der Justiz und für Verbraucherschutz (Fokus:
    Vertrauensverlust von Verbraucher:innen)
-   und des Bundesamts für Sicherheit in der Informationstechnik (Fokus:
    Gefährdung der IT-Sicherheit in Deutschland für Staat, Wirtschaft
    und Gesellschaft)

Mit freundlichen Grüßen

[**Die
Unterzeichner**](https://docs.google.com/document/d/17F-OxKJtR8DM9O8jiEfUhxDGguBnJoZ2-lvp9614CyM/mobilebasic)

------------------------------------------------------------------------

## Links und Fußnoten

-   [\[1\]](#ftnt_ref1){#ftnt1} [Ian Levy, Crispin Robinson: Principles
    for a More Informed Exceptional Access
    Debate](https://www.lawfareblog.com/principles-more-informed-exceptional-access-debate)
-   [\[2\]](#ftnt_ref2){#ftnt2} [Coalition Letter: Open Letter to
    GCHQ](https://newamericadotorg.s3.amazonaws.com/documents/Coalition_Letter_to_GCHQ_on_Ghost_Proposal_-_May_22_2019.pdf)
-   [\[3\]](#ftnt_ref3){#ftnt3} [Sven Herpig, Stefan Heumann: Encryption
    Debate in
    Germany](https://carnegieendowment.org/2019/05/30/encryption-debate-in-germany-pub-79215)
-   [\[4\]](#ftnt_ref4){#ftnt4} [Die Raven Homepage: Eckpunkte der
    deutschen
    Kryptopolitik](https://hp.kairaven.de/law/eckwertkrypto.html)
-   [\[5\]](#ftnt_ref5){#ftnt5} [Die Bundesregierung: Digitale Agenda
    2014 -
    2017](https://www.bmwi.de/Redaktion/DE/Publikationen/Digitale-Welt/digitale-agenda.pdf?__blob%253DpublicationFile%2526v%253D3)
-   [\[6\]](#ftnt_ref6){#ftnt6} [Jürgen Schmidt: Kritische
    Sicherheitslücke gefährdet Milliarden
    WhatsApp-Nutzer](https://www.heise.de/security/meldung/Kritische-Sicherheitsluecke-gefaehrdet-Milliarden-WhatsApp-Nutzer-4186365.html)
    und [Marius Mestermann: Ernster iPhone-Bug: Apple schaltet
    FaceTime-Gruppenanrufe
    ab](https://www.spiegel.de/politik/deutschland/nachrichten-am-morgen-die-news-in-echtzeit-a-1249669.html)
-   [\[7\]](#ftnt_ref7){#ftnt7} Es handelt sich hierbei um eine mögliche
    Implementierung dieser Hintertüren. Es gibt auch andere
    Implementierungsmöglichkeiten, die technisch jedoch nicht weniger
    problematisch sind.
-   [\[8\]](#ftnt_ref8){#ftnt8} [Matthias Schulze: Überwachung von
    WhatsApp und Co. Going
    dark?](http://percepticon.de/2019/06/04-going-dark/)
-   [\[9\]](#ftnt_ref9){#ftnt9} [Michael Hayden: The Pros and Cons of
    Encryption](https://www.youtube.com/watch?v%253D6HNnVcp6NYA)
    and [The Guardian: Ex-MI5 Chef warns against crackdown on encrypted
    messaging
    apps](https://www.theguardian.com/technology/2017/aug/11/ex-mi5-chief-warns-against-crackdown-encrypted-messaging-apps)
-   [\[10\]](#ftnt_ref10){#ftnt10} [Constanze Kurz:
    Überwachungsgesamtrechnung: Vorratsdatenspeicherung ist der Tropfen,
    der das Fass zum Überlaufen
    bringt](https://netzpolitik.org/2015/ueberwachungsgesamtrechnung-vorratsdatenspeicherung-ist-der-tropfen-der-das-fass-zum-ueberlaufen-bringt/)
-   [\[11\]](#ftnt_ref11){#ftnt11} [Danielle Kehl, Andi Wilson, Kevin
    Bankston: DOOMED TO REPEAT HISTORY? Lessons from the Crypto Wars of
    the
    1990s](https://static.newamerica.org/attachments/3407-doomed-to-repeat-history-lessons-from-the-crypto-wars-of-the-1990s/Crypto%252520Wars_ReDo.7cb491837ac541709797bdf868d37f52.pdf)
-   [\[12\]](#ftnt_ref12){#ftnt12} [Matthias Schulze, Going Dark?
    Dilemma zwischen sicherer, privater Kommunikation und den
    Sicherheitsinteressen von
    Staaten.](http://www.bpb.de/apuz/259141/going-dark?p%253Dall)
-   [\[13\]](#ftnt_ref13){#ftnt13} [Peter  Swire, The FBI Doesn’t Need
    More Access: We’re Already in the Golden Age of
    Surveillance](https://www.justsecurity.org/17496/fbi-access-golden-age-surveillance/)
    und [Matthias Schulze: Clipper Meets Apple vs. FBI—A Comparison of
    the Cryptography Discourses from 1993 and
    2016](https://www.cogitatiopress.com/mediaandcommunication/article/view/805)
-   [\[14\]](#ftnt_ref14){#ftnt14} [Sven Herpig: A Framework for
    Government Hacking in Criminal
    Investigations](https://www.stiftung-nv.de/sites/default/files/framework_for_government_hacking_in_criminal_investigations.pdf)
-   [\[15\]](#ftnt_ref15){#ftnt15} [Matthias Schulze: Verschlüsselung in
    Gefahr](https://www.swp-berlin.org/publikation/verschluesselung-in-gefahr/)
    und [Cathleen Berger: Is Germany (involuntarily) setting a global
    digital
    agenda?](https://medium.com/@_cberger_/is-germany-involuntarily-setting-a-global-digital-agenda-21c7eb735e26)
-   [\[16\]](#ftnt_ref16){#ftnt16} [Reporter ohne Grenzen: Russland
    kopiert Gesetz gegen
    Hassbotschaften](https://www.reporter-ohne-grenzen.de/russland/alle-meldungen/meldung/russland-kopiert-gesetz-gegen-hassbotschaften/)