Friedhelm Greis zitiert BKA-Chef Jörg Ziercke bei Golem.de:
Es brauche daher „gesetzliche Regelungen“, dass der Staat beispielsweise bei der Nutzung des Tor-Netzwerkes durch Kriminelle Strafverfolgung betreiben könne, sagte Ziercke und fügte hinzu: „Insofern ist das im Ergebnis dann kein Zielkonflikt mehr, wenn man tatsächlich die Verschleierung aufgrund gesetzlicher Regelungen mit den entsprechenden Instrumenten wieder aufheben kann.“ Dies gelte „in ganz bestimmten, herausragenden Fällen“. Zugleich forderte Ziercke: „Es muss stärker verschlüsselt werden, es muss eine sichere Kommunikation sein.“
Ich wünschte mir das Zitat wäre grob unvollständig oder aus dem Kontext gerissen. Aber die Hoffnung muss ich nach Jahren ähnlicher Äußerungen von Herrn Ziercke und seiner Kollegen wohl fahren lassen. Es zeigt, welche Sicherheit die Polizeivertreter dem Bürger zubilligen wollen. Es soll nur eine Anonymität auf Widerruf, eine Verschlüsselung nach Gutsherrenart geben.
Die Begründung warum die gesetzgeberisch als sicher definierten De-Mail auf den Servern der Provider entschlüsselt werden müsse — zum Virenschutz — spottete jeder Beschreibung. Die Wahrheit ist wohl: Es ist eine Verhandlungsmasse, die zur Disposition steht. Sollten die Bürger tatsächlich einmal anfangen ihre Geheimnisse der staatlich sanktionierten De-Mail anzuvertrauen, dann möchte Herr Ziercke gerne hineingucken können. Natürlich nur nach Richtervorbehalt. Erst einmal. (Dass die Deutschen das jemals tun wollen, ist bei dem BTX-Nachfolger De-Mail jedoch vorerst nicht zu vermuten.)
Das grundlegende Missverständnis ist wohl die Verwechslung von „Innerer Sicherheit“ mit „IT-Sicherheit“. Eine IT-Sicherheit, die sich mal eben aufheben lässt, ist gar keine IT-Sicherheit. Die marktüblichen Sicherheitsprodukte sind so löchrig, dass ein paar absichtlich zugefügte Löcher das Kartenhaus zusammenkrachen lassen.
Welche IT-Sicherheit bliebe unter der Prämisse der Inneren Sicherheit? Nun: Zum ersten müsste Systeme wie Tor abgeschafft werden, da — Sicherheitslücken mal ausgeschlossen — kein Betreiber eines Tor-Servers Auskunft geben kann, wer welche Kommunikation getätigt hat. Whatsapp und Co müsste ihre Schnittstellen für den Kommunikationstransfer an die Behörden beschleunigen. Threema darf mit neuen Schnittstellen weitermachen oder sollte aus den deutschen App-Stores gelöscht werden.
Aber das sind nur die oberflächlichen Maßnahmen. Denken wir nur mal an lange bekannten aber oft erst im NSA-Erwachen eingeführten perfect forward secrecy. Das Prinzip verhindert nämlich, dass verschlüsselte Kommunikation nachträglich aufgehoben werden kann. Deutsche Anbieter, die auf dem Server entschlüsseln und auch eine von der Bundesnetzagentur zertifizierte Abhörschnittstelle betreiben, dürfen natürlich weitermachen mit dieser übertriebenen Sicherheit.
Doch wie halten wir den Rest ab? Das wird ganz schön kompliziert. Der De-Mail-light Verband E-Mail made in Germany setzt ja schon auf rein deutsche Zertifizierungsstellen, aber das reicht nicht. Denn auch der Zugriff auf die privaten Schlüssel hebt ja die perfect forward secrecy nicht auf. Aber das sind lästige Details. Vielleicht kann man zu den IT-Mindeststandards der Digitalen Agenda auch gleich Höchstsicherheitsgrenzen festlegen. In einem separaten Zusatzprotokoll, von dem nicht jeder wissen muss.
Was könnte die Innere Sicherheit den Bürgern stattdessen anbieten? Ein Staats-VPN. Der Bürger loggt sich mit Ausweis und Einzugsermächtigung ein und er bekommt dafür vollkommene Anonymität versprochen. Es sei denn er tut was schlimmes. Oder kennt jemanden, der etwas Schlimmes tut, vorhat oder tun könnte.
Innere Sicherheit und IT-Sicherheit — die beiden Prinzipien sind nicht mal entfernte Cousins. Neben dem staatlichen Gewaltmonopol auch ein staatliches Verschlüsselungsmonopol einzurichten — und nur das wäre die Konsequenz — ist gleichbedeutend damit die Verschlüsselung für die Rechtschaffenen abzuschaffen. Denn wer mit der Sicherheit nicht übertreit, muss den Behörden nicht teure Sonderlösungen einrichten.
