{"id":223,"date":"2008-02-10T10:28:56","date_gmt":"2008-02-10T09:28:56","guid":{"rendered":"http:\/\/www.burks.de\/burksblog\/2008\/02\/10\/security-by-obscurity-im-bundestag-2\/"},"modified":"2008-02-10T10:28:56","modified_gmt":"2008-02-10T09:28:56","slug":"security-by-obscurity-im-bundestag-2","status":"publish","type":"post","link":"https:\/\/www.burks.de\/burksblog\/2008\/02\/10\/security-by-obscurity-im-bundestag-2","title":{"rendered":"Security by obscurity im Bundestag"},"content":{"rendered":"

Der Bundestag bietet an<\/a>, den Abgeordneten verschl\u00fcsselte E-Mails senden zu k\u00f6nnen. Das h\u00f6rt sich gut an, funktioniert aber nicht: Kaum ein Abgeordnetenb\u00fcro wei\u00df damit umzugehen. Bei technischen Fragen geht man zudem nach dem Motto vor: Security by obscurity.<\/em> <\/p>\n

Die rot-gr\u00fcne Bundesregierung hat am 22. Januar 2002 die Telekommunikations-\u00dcberwachungsverordnung (TK\u00dcV<\/a>) erlassen. Seitdem wird die Kommunikation aller Bundesb\u00fcrger komplett \u00fcberwacht. Die Technik – eine Echtzeit-Schnittstelle<\/a> – muss von den Telekommunikationsanbietern eingerichtet und selbst finanziert werden. Nur kleine Provider sind davon ausgenommen. Wer seine elektronische Kommunikation verschl\u00fcsselt, kann nat\u00fcrlich nicht belauscht werden. Was liegt also n\u00e4her, auch bei vertraulichen Nachrichten an einen Abgeordneten des Bundestages kryptografische Verfahren zu verwenden. <\/p>\n

Es scheint zun\u00e4chst einfach zu sein: Unter der \u00dcberschrift „Senden verschl\u00fcsselter E-Mails an Mitglieder oder Mitarbeiter des Deutschen Bundestages“ kann sich jeder \u00fcber die Grundlagen asymmetrischer Kryptografie<\/a> informieren. Man wird auch hinreichend \u00fcber die Methode aufgekl\u00e4rt: <\/p>\n

„F\u00fcr die Verschl\u00fcsselung von E-Mails muss der jeweilige Absender den \u00f6ffentlichen Schl\u00fcssel des Empf\u00e4ngers in seinen E-Mail Client einbinden. Der \u00f6ffentliche Schl\u00fcssel f\u00fcr die jeweilige E-Mail Adresse der Abgeordneten und Verwaltungsmitarbeiter ist automatisch in jeder signierten E-Mail des Abgeordneten oder Mitarbeiters enthalten. Gegebenenfalls bitten Sie Ihren Kommunikationspartner im Deutschen Bundestag Ihnen eine signierte E-Mail zu senden, um ihm verschl\u00fcsselt antworten zu k\u00f6nnen.“ <\/p>\n

Vor das Verschl\u00fcsseln hat die Verwaltung des Bundestags eine hohe H\u00fcrde gestellt: Die E-Mail-Adressen, die man ben\u00f6tigt, um seinen eigenen \u00f6ffentlichen Schl\u00fcssel an die Abgeordneten zu senden, werden nicht verraten, sondern stattdessen jeweils ein Kontaktformular<\/a> angeboten. Viele Abgeordnete haben zwar eine Website, die muss man aber in jedem Fall einzeln und m\u00fchsam selbst recherchieren. Ob das zu erwartende System vorname.nachname@bundestag.de funktioniert, erf\u00e4hrt man auch nicht.
\n\"S\/MIME\"<\/p>\n

Selbst bei J\u00f6rg Tauss<\/a> (SPD), der bei Internet-Themen als relativ kompetent gilt, ist von einem \u00f6ffentlichen Schl\u00fcssel nichts zu sehen. (Daf\u00fcr begegnet man aber auf seiner Website dem „Regenzauber“, gegen Spam das @ verklausuliert (a) zu schreiben, wodurch man gezwungen ist, die E-Mail-Adresse m\u00fchsam von Hand einzutippen, statt im Quellcode zum Beispiel schlicht Unicode<\/a> zu benutzen, um es den Spambots<\/a> nicht ganz so einfach zu machen )<\/p>\n

Man muss also zuerst die real existierende E-Mail-Adresse erfragen, auf eine signierte Antwort hoffen, das Zertifikat des Bundestags in den eigenen E-Mail-Client implementieren, die Signatur der empfangenen E-Mail \u00fcberpr\u00fcfen, den darin enthaltenen Schl\u00fcssel einbinden, dann mit einem eigenen Zertifikat signieren und mit dem \u00f6ffentlichen Schl\u00fcssel des Abgeordneten verschl\u00fcsseln – und hoffen, dass der Empf\u00e4nger die gleiche Methode anwendet und dann endlich auch verschl\u00fcsselt schreiben kann. <\/p>\n

Der Bundestag verwendet nicht die Open-Source-Methode GNU Privacy Guard (GnuPG<\/a>) oder gar die kommerzielle Version Pretty Good Privacy (PGp<\/a>) wie etwa das Bundesverfassungsgericht<\/a>, sondern verschl\u00fcsselt \u00fcber Secure\/Multipurpose Internet Mail Extensions (S\/MIME<\/a>). <\/p>\n

Diese Methode hat ihre T\u00fccken: Benutzerfreundlich ist sie nicht, denn kaum ein Computer-Laie wird wissen, wie er oder sie an ein S\/Mime-Zertifikat<\/a> kommen kann und wie das anzustellen sei. Au\u00dferdem vertragen sich bei den meisten g\u00e4ngigen E-Mail-Programmen die beiden Verschl\u00fcsselungs-Methoden nicht. Thunderbird<\/a> zum Beispiel arbeitet zuerst die S\/Mime-Routinen ab, dann GnuPG. Wenn man eine E-Mail mit S\/Mime signiert, kann man GnuPG nicht parallel verwenden, da eine anschlie\u00dfende Verschl\u00fcsselung die Mail ver\u00e4ndern w\u00fcrde und die Signatur ung\u00fcltig w\u00e4re. Es gibt auch keine M\u00f6glichkeit, f\u00fcr bestimmte Empf\u00e4nger festzulegen, welche S\/MIME-Funktion angewendet werden soll. Es ist also immer m\u00fchsame Handarbeit angesagt. Das wei\u00df offenbar auch die Pressestelle des Bundestags, die auf Anfrage dazu etwas vage antwortet: „Der Deutsche Bundestag hat sich nur f\u00fcr eine der beiden Alternativen entschieden, da die parallele Verwendung zu technischen und organisatorischen Problemen f\u00fchren k\u00f6nnte.“ Der Bundestag hat das zus\u00e4tzliche Problem, dass er nur eine deutsche Zertifizierungsinstanz<\/a> benutzen kann. Er ist zwar Certification Authority, kann aber das – auch aus Kostengr\u00fcnden – nicht in g\u00e4ngige Browser und Mail-User-Agenten implementieren lassen. <\/p>\n

Am 19. Januar wurden 46 (von 613) nach dem Zufallsprinzip ausgew\u00e4hlte<\/a> Abgeordnete angeschrieben mit der Bitte: „Bitte schicken Sie mir eine signierte E-Mail zu.“ Nach einer Woche (!) hatten nur sieben geantwortet, von dem angeschriebenen Abgeordneten der Partei „Die Linke“ reagierte sogar niemand. Das B\u00fcro von Michael Glos<\/a> (CSU) war mit am schnellsten: Man wusste offenbar sofort, worum es ging, jedoch fehlte die Signatur. Daf\u00fcr erf\u00e4hrt man immerhin bei jeder Antwort die eigene IP-Adresse, die man beim Abschicken der E-Mail verwendet hatte – warum auch immer: „Diese Nachricht wurde im Internet des Deutschen Bundestages erfasst – Sa Jan 19 18:03:31 2008 – Externe IP-Adresse: 217.83.70.227.“ Auf Nachfrage reagierte Glos‘ B\u00fcro dann nicht mehr.
\n\"S\/MIME\"<\/p>\n

\nEine Mitarbeiterin Volkmar Vogels<\/a> (CDU) rief sogar an, um sich erkl\u00e4ren zu lassen, um welchen unverst\u00e4ndlichen Sachverhalt es sich in der fraglichen E-Mail gehandelt habe. Danach scheint das Interesse am Thema aber erloschen zu sein – eine elektronische Antwort kam nicht. Auch das B\u00fcro des Bundesinnenministers Wolfgang Sch\u00e4uble<\/a> (CDU) schwieg eisern. Zugunsten Sch\u00e4ubles muss erw\u00e4hnt werden, dass die Standard-Signatur des Autors vermutlich sehr abschreckend wirkt: „Please note that according to the German law on data retention, information on every electronic information exchange with me is retained for a period of six months.“ <\/p>\n

Gerda Hasselfeldt<\/a>, CDU\/CSU, Petra Bierwirth<\/a> (SPD), Lydia Westrich<\/a> (SPD) und Miriam Gru\u00df<\/a> (FDP) antworteten kurzfristig und korrekt signiert, jedoch nur zwei M\u00e4nner: Markus L\u00f6ning<\/a> (FDP) und Hans-Christian Str\u00f6bele<\/a> (Die Gr\u00fcnen). Das B\u00fcro Str\u00f6beles, das offenbar zus\u00e4tzlich die EDV im Bundestag bem\u00fchte, kommentierte: „Leider mussten die Techniker einr\u00e4umen, dass das System noch nicht wirklich gut funktioniert.“ Nur sieben von 47 Mitgliedern des Bundestages reagieren also auf eine E-Mail, die um das bittet, was der Bundestag selbst empfiehlt – eine traurige Bilanz. <\/p>\n

Der zweite Schritt gab auch den wenigen Abgeordneten, deren Mitarbeiter verstanden hatten, was eine elektronische Signatur ist, gro\u00dfe R\u00e4tsel auf:
\n„Um nachzupr\u00fcfen, ob nicht nur die elektronische Signatur, sondern auch die Verschl\u00fcsselung funktioniert, bitte ich Sie um eine weitere kurze Mail, die Sie bitte an mich verschl\u00fcsseln. Mein \u00f6ffentlicher Schl\u00fcssel (S\/Mime) ist in meiner Signatur enthalten.“ <\/p>\n

Nur zwei Abgeordnete – Lydia Westrich und Markus L\u00f6ning – meisterten diese H\u00fcrde und antworteten per verschl\u00fcsselter E-Mail. Das B\u00fcro von Miriam Gru\u00df gab sich M\u00fche und k\u00fcndigte an, man werde sich im Haus sachkundig machen – was aber seitdem offenbar noch nicht von Erfolg gekr\u00f6nt war. Ein Verantwortlicher f\u00fcr die Technik im Bundestag verriet per verschl\u00fcsselter E-Mail, dass es f\u00fcr Probleme dieser Art sogar eine telefonische Hotline gebe und jederzeit Hilfe, falls ein Abgeordneter darum b\u00e4te. <\/p>\n

Welche technischen Probleme Mitglieder des Bundestag daran hindern k\u00f6nnten, ihre Kommunikation zu verschl\u00fcsseln, war nicht zu erfahren. Einige Signaturen wiesen darauf hin, dass die Unterschrift ung\u00fcltig sei. Das wird vermutlich daran liegen, dass verschl\u00fcsselte E-Mails an Bundestagsabgeordnete von einem zentralen Server entschl\u00fcsselt werden – ein Prinzip, dass der Idee widerspr\u00e4che, dass nur der Empf\u00e4nger einer kodierten Nachricht diese auch lesen sollte. Wie die Sicherheit der Kommunikation zwischen dem Server des Bundestags und Empf\u00e4nger gew\u00e4hrleistet sei, dar\u00fcber wollte man keine Details preisgeben. Anna Rubinowicz-Gr\u00fcndler<\/a>, Pressereferentin im Bundestag, antwortete: „Zu IT-sicherheitsrelevanten Fragen k\u00f6nnen wir keine Ausk\u00fcnfte erteilen.“ Auf die Frage, warum ein Kontaktformular, das Signieren und den Austausch von Schl\u00fcsseln per S\/MIME nicht erlaubt, angeboten wird statt einer funktionierenden E-Mail-Adresse, verwies man darauf, dass „die in das Formular eingetragenen Daten (..) verschl\u00fcsselt \u00fcber ‚HTTPS‘ \u00fcbertragen“ werden. Das bedeutet in diesem Fall nichts, da offenbar niemand genau wei\u00df, wer im Bundestag die Mails welcher Abgeordneten lesen kann. Die mangelnde F\u00e4higkeit oder Bereitschaft der Abgeordneten, ihre E-Mails vor dem Zugriff anderer zu sch\u00fctzen zu wollen, mochte man ebenfalls nicht kommentieren: „Die Pressestelle des Deutschen Bundestages informiert \u00fcber Sachverhalte, transportiert aber keine Meinungen.“
\n\"S\/MIME\"<\/p>\n

\n\u00dcber diesen Sachverhalt kann man geteilter Meinung sein. Dass ein Abgeordneter des Bundestages keinen technischen Sachverstand besitzt, ist verzeihlich. Dass sie oder er auf auf den Sachverstand verzichtet, der ihm innerhalb des Hauses gratis angeboten wird, ist einfach nur ignorant.<\/p>\n

Dieser Artikel erscheint leicht ver\u00e4ndert am 04.02.2008 auf Telepolis<\/a>.<\/em><\/p>\n

\"image_pdf\"<\/a>\"image_print\"<\/a><\/div>
<\/div>