Hacker, Krypto-Kröten und Spione

Erfahrene Onliner wissen, wie wichtig die Privatsphäre in einem Medium ist, dessen grundlegende Sicherheitsstandards aus einer Zeit stammen, als dort ein paar Wissenschaftler vertraut plauschten. Spätestens seit Händler und Banken ihre Geschäfte, Weltkonzerne ihre interne Organisation und Behörden Bürgerkontakte übers Internet abwickeln, geht es nicht mehr nur um die Beruhigung einiger Paranoiker.

Vertrauen ins Netz kann heute allein ein Forschungszweig schaffen, den lange Zeit vor allem Militärs und Geheimdienste vorantrieben: Die Kryptologie liefert elektronische Briefumschläge, die keine Macht der Welt – außer dem Empfänger – öffnen kann, digitale Unterschriften, die vertrauenswürdiger sind als alle realen und Geld, das nicht einmal die Bundesbank fälschen könnte.

Doch ausgerechnet Geheimdiensten und Verbrechensbekämpfern geht die Krypto-Technik in der Hand von Otto Normalbürger zu weit. So kommt es, daß sogar deutsche Politiker in der “Krypto-Debatte” spätestens seit letzem Jahr heftig über die Details abstrakter Mathematik streiten.

“Das größte Risiko im Internet sind allzu naheliegende, schlecht oder gar nicht verschlüsselte Paßwörter”, sagt Christian Carstensen, der neben seinem Chemiestudium eine Sicherheitsberatungsfirma betreibt. Schlimmer noch: Daten, die durchs Netz reisen, werden dank uralter Konventionen völlig unkodiert von einem Rechner zum anderen weitergereicht, bis sie beim Empfänger ankommen. So wandern nicht nur sämtliche E-Mails, sondern auch die meisten Paßwörter für den Zugang zu fremden Rechnern klar lesbar um die Welt – und lassen sich an jeder Zwischenstation mitlesen und fälschen.

Die Zahl der Angriffe von Hackern, die solche Schwächen ausnutzen, wächst mit dem Netz: Das Computer Emergency Response Team (CERT) des Deutschen Forschungsnetzes, eine Koordinationsstelle für die Sicherheit im deutschen Internet, verzeichnete im letzten Jahr weit über 300 Notfälle – mehr als dreimal so viele wie im Vorjahr. Das US-Pendant verbuchte 1996 schon über 2500. “Im Einzelfall können gleich Hunderte Rechner betroffen sein”, sagt CERT-Mitarbeiter Wolfgang Ley.

Die Einbrecher stöbern nicht nur in der unverschlüsselten E-Post. Sie stehlen, wie im letzten Jahr in den USA, 100000 unverschlüsselte Kreditkarten-Nummern oder den geheimen, aber dennoch unverschlüsselten Programmcode einer Software-Firma im Wert von vielen hunderttausend Mark. Sie ändern das Ergebnis eines Krebstests von “negativ” auf “positiv”, oder fälschen eine E-Mail, die zur Entlassung eines mutmaßlichen Kokain-Dealers aus dem Gefängnis führt. Mit konsequenterem Einsatz von Krypto-Technik ließen sich viele dieser Schäden verhindern.

Die weltbesten Hacker aber, sagen Hacker und Sicherheitsexperten, sitzen in den technischen Abteilungen der Geheimdienste, die sich nach Ende des Kalten Krieges neue Betätigungsfelder erschließen. “Industriespionage ist ein großes Problem. Ich bin überzeugt, daß die Auslandskommunikation zu fast 100 Prozent abgehört wird”, sagt Computer-Sicherheitsexperte Markus Gaulke, der vor allem Banken berät. Am eifrigsten – auch darüber herrscht Einigkeit – sind die amerikanischen Dienste: Als sich etwa das Airbus-Konsortium gegen die Boeing-Konkurrenz für einen arabischen Großauftrag bewarb, soll elektronische Aufklärung für die Verhandlungen entscheidend gewesen sein.

Gleich mehrmals haben die Krypto-Freaks im Internet inzwischen gezeigt, daß die erlaubten 40-Bit-Schlüssel nicht nur von der amerikanischen National Security Agency (NSA) spielend zu knacken sind – Experten schätzen im Bruchteil einer Millisekunde. Studenten, die brachliegende Rechenzeit ihrer Universität ausnutzten, brauchten dafür dreieinhalb Stunden. RSA Data Security, die Firma der Erfinder des gleichnamigen Verschlüsselungsverfahrens, hat sogar Kopfgeld auf Algorithmen ausgesetzt: 10000 Dollar gewann ein Team, das einen 56-Bit-DES-Schlüssel knackte. Für die weitere Hatz wurde gar der größte Computer der Welt verdrahtet: Der Initiative “Distributed. Net” mit Tausenden von Teilnehmern fiel bereits die 56-Bit-Variante eines RSA-eigenen Algorithmus zum Opfer. Nun soll ein 64-Bit-Schlüssel fallen. 90 Bit gelten für die nächsten 20 Jahre noch als sicher.

Obwohl solche Erfolge sich immer nur auf einzelne Schlüssel beziehen, zeigen sie doch, wie schnell der wissenschaftliche Fortschritt “sichere” Standards einholt. Ron Rivest, das “R” in RSA, lernte das bereits 1994. Damals überreichte man ihm eine 17 Jahre zuvor von ihm persönlich asymmetrisch verschlüsselte Phantasie-Botschaft im Klartext: “The magic words are Squeamish Ossifrage.” Ursprünglich hatte das Krypto-Genie prophezeit, daß die Entschlüsselung seines Codes erst gegen Ende unseres Universums gelingen könnte. Doch inzwischen waren neue Angriffsmethoden für seinen asymmetrischen Algorithmus entdeckt worden.