Fragen der Sicherheit von E-Mails – sicherheitsmelder.de

E-Mails sind ebenso vertraulich wie Postkarten, die irgendwo offen herumliegen. Jedermann kann sie mit relativ geringem Aufwand abfangen und lesen. Dennoch wickelt eine Vielzahl von kleinen und mittelständischen Unternehmen ihre gesamte E-Mail-Korrespondenz im Klartext ab. Nur fünf Prozent der deutschen Mails werden derzeit verschlüsselt.

Mails, Chats und Skype im Fokus

Für die sogenannten Aufklärungsdienste fremder Staaten ist das Abhören der Internetkommunikation eine bessere Fingerübung. Neben Mails samt Anhängen stehen Chat-Nachrichten, Internet-Telefonate (Skype), Suchbegriffe bei Google, Logins und Daten, die bei bestimmten Anbietern (Google, Yahoo) in der Cloud abgelegt werden, im Vordergrund des nachrichtendienstlichen Interesses.

Zugangspunkte des britischen Dienstes

Das britische NSA-Pendant Government Communications Headquarters (GCHQ) greift beispielsweise an einer ganzen Reihe von Zugangspunkten auf wesentliche Teile der europäischen Kommunikation via Internet zu. Eine wichtige Schnittstelle sind unterseeisch verlegte Glasfaserkabel, über die nahezu der komplette internationale Telekommunikations- und Internet-Datenverkehr abgewickelt wird. Selbst nationale internetbasierte Kommunikationsverbindungen bleiben nicht unbedingt im Lande, sondern verlaufen zu einem nicht unerheblichen Teil über dieses unterseeische Kabelnetz.

Von Deutschland in die Abhörstation Bude

Eines dieser Glasfaserkabel trägt die Bezeichnung Transatlantic Telecommunications Cable no. 14 (TAT-14). Beide Trassen dieser redundant angelegten Datenautobahn unter Wasser beginnen in der Nähe der niedersächsischen Stadt Norden und treffen in der Widemouth Bay (nahe Bude/Cornwall) und den Shetland-Inseln auf britischen Boden, bevor sie in Manasquan und Tuckerton (Städte in New Jersey) ihre US-amerikanischen Endstellen erreichen. Dass das GSHQ im Rahmen des globalen ECHELON-Aufklärungssystems in Bude eine als Militärstützpunkt getarnte Abhörstation betreibt, ist eine seit langem bekannte Tatsache.

Netzwerk kooperierender Unternehmen

Doch das ist keineswegs der einzige Zugangspunkt der stets in Alternativen denkenden britischen und US-amerikanischen Nachrichtendienste. Laut einem Bericht der Süddeutschen Zeitung kooperieren mindestens sechs, auch in Deutschland aktive Unternehmen mit GCHQ und NSA. Danach handelt es sich um die British Telecom, Level-3, Viatel, Interoute, Verizon und Vodafone. Über die Netze dieser Unternehmen läuft ein großer Teil der deutschen Internetkommunikation. British Telecom zählt BMW, Commerzbank und die Bundesländer Rheinland-Pfalz und Sachsen zu seinen Kunden. British Telecom und Vodafone sollen nach Angaben des Whistleblowers Edward Snowden auch schon in Bude mit technischer Unterstützung zu Diensten gewesen sein.

Direktzugriff auf Google- und Yahoo-Daten

Damit ist es aber noch nicht genug. Nach Medienberichten, die schon länger bestehendes Insiderwissen bestätigen, hat die NSA direkten Zugriff auf große Teile des Datenverkehrs der Internetkonzerne und Cloud-Anbieter Google und Yahoo. Im Rahmen des bilateralen nachrichtendienstlichen Projektes Muscular können nicht nur strukturierte Informationen über Daten, die sogenannten Metadaten, ausgelesen werden, sondern auch die Kerndaten selbst. Betroffen sind neben GoogleDocs (Produktivitäts-Apps), GoogleMaps und GMail auch die Cloud-Services.

Arbeitsteilung zwischen GCHQ und NSA

Abgefangen werden die relevanten Datensätze auf den Glasfaserverbindungsstrecken, die zwischen den weitweit verteilten Datenzentren der beiden Konzerne bestehen. Die NSA und das GCHQ gehen dabei arbeitsteilig vor. Während die Briten außerhalb des räumlichen Geltungsbereichs von US-Gesetzen die Daten beschaffen und für drei bis fünf Tage zwischenspeichern, wertet die NSA sie aus. Der US-amerikanische Dienst erhält die Rohdaten über den Zugangspunkt DS-200B, der von einem heimlich mit der NSA kooperierenden, derzeit noch unbekannten europäischen Provider betrieben wird. Das Datenaufkommen erreicht astronomische Dimensionen. Eine interne Präsentation des US-Aufklärungsdienstes vom 9. Januar 2013 weist die Erfassung von mehr als 181 Millionen Datensätzen (exakt 181.280.466) aus den Cloud-Netzwerken von Google und Yahoo innerhalb von 30 Tagen aus. Durchsucht werden die Dateninhalte auf der Grundlage von rund 100.000 Suchbegriffen, von denen nach zuverlässigen Angaben etliche auch ökonomischer Natur sein dürften.

Praxishinweise

Als Abwehroption ist nach wie vor eine komplexe Verschlüsselung der Mails alternativlos. Nachteil: Auch der Empfänger muss das gewählte Verschlüsselungsprogramm, zum Beispiel Pretty Good Privacy (PGP) nutzen. Daran scheitern letzten Endes viele Ansätze, den E-Mail-Verkehr sicherer zu gestalten.
NSA und GCHQ arbeiten fieberhaft daran, die Verschlüsselungsprogramme zu knacken. Sämtliche chiffrierten Mails werden in der Hoffnung, dass eines Tages das Codebreaking gelingt, langzeitgespeichert.
Bei der Wahl des Internetproviders sollte darauf geachtet werden, dass dieser den deutschen oder zumindest europäischen Datenschutzbestimmungen unterworfen ist. Außereuropäische Regelungen bieten häufig keinen ausreichenden Schutz.
Entscheidend ist immer die Frage, welche Inhalte und Dokumente via Internet übermittelt werden sollten und welche nicht. Analog zu den behördlichen Klassifizierungen (Verschlusssache – Nur für den Dienstgebrauch, Verschlusssache-Vertraulich. Geheim, Streng Geheim) sollte deshalb firmenintern eindeutig festgelegt werden, auf welchem Wege Dokumente und Daten übermittelt werden dürfen.
Ein Mehr an Sicherheit bieten die so genannten De-Mail-Dienste. Ob sie sich auch uneingeschränkt für unternehmenswichtige geheime oder streng geheime Inhalte eignen, ist allerdings fraglich.