Wissenswertes zum Thema Verschlüsselung
Grundgesetz Artikel 10, Absatz1: “Das Briefgeheimnis sowie das Post- und Fernmeldegeheimnis sind unverletzlich.“
Das im Grundgesetz verbriefte Recht auf Briefgeheimnis scheint noch nicht allen PC-Nutzern bewusst zu sein. Was beim Verschicken eines Briefes selbstverständlich ist, scheint auch beim Versand von E-Mails Gültigkeit zu haben. Das Symbol der elektronischen Post, ein Briefumschlag, suggeriert leider falsche Sicherheit: Eine E-Mail ist in Wirklichkeit nicht viel sicherer als eine Postkarte. Die Information kann auf dem Weg zum Adressaten gelesen, manipuliert oder missbraucht werden.
Wer denkt, dass dies die große Ausnahme ist, irrt. So ist längst bekannt, dass ein von den USA, Kanada, Großbritannien, Australien und Neuseeland unterhaltenes Spionage-System namens Echelon Daten über Privatpersonen, Wirtschafts- und Wissenschafts-Organisationen sammelt. Aber auch die Daten auf der Festplatte sind keineswegs sicher. Wer im Internet surft, ist mit einem globalen Netzwerk verbunden – und ein Datenzugriff ist also in beiden Richtungen möglich. Die Erfolgschancen eines Cracker-Angriffs hängen oft nur vom Geschick der Datendiebe ab. Richtig verschlüsselte Daten sind aber selbst dann noch sicher, wenn sie in fremde Hände fallen.
In den USA ist die Verwendung von Verschlüsselungstechnologie gesetzlich eingeschränkt. Schlüssel dürfen nur bis zu einer gewissen Größe ins Ausland exportiert werden. Außerdem müssen „Hintertürchen“ für polizeiliche und geheimdienstliche Kontrolle offen bleiben. Diskussionen über die Notwendigkeit solcher Zugriffsmöglichkeiten finden immer wieder auch hierzulande statt.
Welche Daten sollten Sie künftig verschlüsseln? Eigentlich alle, die Sie auch nicht einer Postkarte oder einem Unbekannten anvertrauen würden. Zum Beispiel: Kreditkarteninformationen, Bilanzen, Kostenvoranschläge, Angebote bei Ausschreibungen, persönliche Dokumente oder den privaten E-Mail-Verkehr mit der Freundin. Für den richtigen Einsatz eines Verschlüsselungsverfahrens ist es hilfreich, sich etwas Hintergrundwissen anzueignen. So lassen sich kryptographische Verfahren in vier Hauptgruppen unterteilen.
Symmetrische Verfahren
Bei der symmetrischen Verschlüsselung wird zum Ver- und Entschlüsseln der Daten der selbe Schlüssel angewandt. Das Verfahren setzt also voraus, dass sowohl der Versender als auch der Empfänger einer verschlüsselten Nachricht über den gleichen Schlüssel verfügen. Der Nachteil liegt auf der Hand: Die Verschlüsselung funktioniert nur zuverlässig, wenn alles Inhaber ihren Schlüssel entsprechend sicher aufbewahren. Ebenso kann der Schlüssel bereits bei der Übergabe an den Empfänger in falsche Hände geraten.
Nachdem die heutigen Computer sehr schnell Schlüssel “erraten“ können, spielt auch die Schlüsselgröße eine große Rolle. Das inzwischen veraltete, symmetrische DES-Verfahren benutzt einen 56-Bit-Schlüssel; entsprechend gibt es 256, also genau 72.057.594.037.927.936 mögliche Schlüssel (mehr als 72 Billiarden). Trotzdem kann schon ein normaler Mehrzweckcomputer den gesamten „key space“ innerhalb von Tagen prüfen. Spezialiserte Computer vermögen dies innerhalb von Stunden.
Konsequenterweise benutzen modernere Verschlüsselungsverfahren wie Blowfish und IDEA sämtlich 128-Bit-Schlüssel, was bedeutet, dass es 2128 (340.282.366.920.938.463.463.374.607.431.768.211.456) mögliche Schlüssel gibt. Eine solch astronomisch hohe Anzahl an Kombinationsmöglichkeiten erfordert eine entsprechende Rechenleistung, um den Schlüssel zu „knacken“. Der DES-Nachfolger, das so genannte AES (Advanced Encryption Standard)-Verfahren unterstützt neben 128- auch 192- und 256-Bit-Schlüssel. Der technische Wettlauf geht weiter.
Asymmetrische Verfahren
Um das Sicherheitsrisiko des Schlüsselaustausches beim symmetrischen Verfahren zu vermeiden, greift man auf asymmetrische Verfahren zurück, die auch als Public-Key-Verfahren bekannt sind. Hier existieren zwei verschiedene Schlüssel: ein öffentlicher Schüssel, auf den alle Personen zugreifen können und ein privater Schlüssel, den man unter keinen Umständen weitergeben sollte. Für die Verschlüsselung einer Nachricht bedient man sich des öffentlichen Schlüssels des Empfängers, und nur dieser kann sie mit seinem privaten Schlüssel wieder zugänglich machen.
Die Verschlüsselung mit öffentlichem Schlüssel beruht auf sogenannten Falltür-Algorithmen bzw. Einweg-Hashes. Das sind Funktionen, die leicht zu berechnen sind, während es umgekehrt praktisch unmöglich ist, aus dem Ergebnis die Ausgangswerte zu ermitteln. Beruht ein Verfahren z.B. auf der Bildung einer Zahl aus Primfaktoren, so enthält der öffentliche Schlüssel eine aus zwei großen Primfaktoren zusammengesetzte Zahl.
Das Verschlüsselungsverfahren benutzt dann diese Nichtprimzahl zum Verschlüsseln der Nachricht – und zum Wiederherstellen der Nachricht ist die Kenntnis der Primfaktoren erforderlich. So ist die Entschlüsselung möglich, wenn Sie den privaten Schlüssel haben, der einen der Faktoren enthält, aber praktisch unmöglich, wenn Sie ihn nicht haben.
Wie beim symmetrischen erhöht sich beim asymmetrischen Verfahren die Sicherheit mit der Größe des Schlüssels. Angesichts der heutigen Verfahren zur Faktorisierung großer Zahlen werden im Regelfall öffentliche Schlüssel mit 1024 Bits empfohlen. Bekannte Vertreter von Public-Key-Verfahren sind RSA und die ElGamal-Verschlüsselung.
Hybride Verfahren
Solche Verfahren versuchen die Vorteile der symmetrischen und asymmetrischen Verschlüsselung zu verbinden. Dazu wird die eigentliche Nachricht mit einem symmetrischen Sitzungsschlüssel verschlüsselt, welcher von einem Zufallsgenerator erzeugt wird. Dieser Sitzungsschlüssel erfährt anschließend eine weitere Verschlüsselung - mit dem öffentlichen Schlüssel des Empfängers der Nachricht.
Der so verschlüsselte Schlüssel und die symmetrisch verschlüsselte Nachricht werden automatisch zusammengefasst. In dieser Form werden die so doppelt verschlüsselten Daten dann versendet. Beim Empfänger angekommen, wird dessen geheimer Schlüssel zum Entschlüsseln des Sitzungsschlüssels benutzt, der dann wiederum zum Entschlüsseln der eigentlichen Nachricht verwendet werden kann. Die wohl bekanntesten Vertreter der hybriden Verschlüsselungsverfahren dürften PGP (Pretty Good Privacy) und GnuPG sein.
Steganographie
Bei der Steganographie handelt es sich im strengen Sinn um kein kryptographisches Verfahren. Hier werden Botschaften in Trägerdateien, zum Beispiel in digitale Bilder, eingewoben, ohne dass dies für das menschliche Auge erkennbar ist. Weiß man jedoch, dass ein geheimer Austausch von Informationen mittels Steganographie erfolgt, lassen sich diese – durch einen Vergleich mit der Originaldatei – relativ leicht extrahieren.
Fazit
Gute und sichere kommerzielle Standard-Software für Verschlüsselungen, wie sie z.B. bei Banken eingesetzt werden, ist für Privatanwender im Regelfall zu teuer. Von evtl. „Schnäppchen aus der Ramschkiste“ ist abzuraten, nachdem Verschlüsselungs-Algorythmen immer wieder geknackt werden - und somit „verbrannt“ sind. Sinnvolle Alternative ist „Standard-Freeware“ wie GnuPG (www.gnupg.de/). Es handelt sich dabei um Open-Source-Software, d.h. der Quellcode wird offen gelegt. Dies bietet einen zusätzlichen Schutz, dass die Software keine Hintertüren oder General-Schlüssel-Funktionen enthält, die Unbekannten eine Entschlüsselung ermöglichen. Ferner wird das zugehörige GNU Privacy Guard Projekt in Deutschland vom Bundesminsterium für Wirtschaft und Technologie unterstützt.
