Der Link ist leider nutzlos ohne Login ist nix zu lesen. ?

Bei mir geht's

Sichere Schweiz, sichere Daten?

Wie gut Nutzerdaten bei Schweizer Firmen wie Threema und Protonmail geschützt sind und in welchen Fällen sie ausgeliefert werden.

Es ist schwer zu durchschauen, wie sicher digitale Kommunikation wirklich ist. Bild: Getty

Patrick Meier

Datenjournalist

ABO+25.02.2020

Feedback

Tragen Sie mit Hinweisen zu diesem Artikel bei oder melden Sie uns Fehler.

Die Cryptoleaks erschütterten das Vertrauen in den Wirtschaftsstandort Schweiz. Die Crypto AG aus Steinhausen, Zug, verkaufte seit den 70er-Jahren Verschlüsselungsmaschinen ins Ausland und ermöglichte es über eine eingebaute Hintertür den deutschen und US-Geheimdiensten, bis in die 90er-Jahre bei geheimen Gesprächen der politischen Widersacher oder auch Verbündeten mitzuhören. Die Crypto AG profitierte vom Image der Schweiz als sicheres und neutrales Land.

Auch heute noch werben in der Verschlüsselungsbranche Firmen mit diesem Image. So wirbt zum Beispiel die Threema GmbH aus Pfäffikon SZ damit, dem «strengen Schweizer Datenschutzgesetz» zu unterstehen. Threema bietet einen beliebten Messenger-Dienst an, den weltweit mehrere Millionen Kunden verwenden. Nicht anders der Schweizer E-Mail-Verschlüsselungsdienst Protonmail mit Sitz in Genf. Auf seiner Internetseite betont das Unternehmen, dass die Schweiz zu den Ländern gehört, die den «weltweit stärksten Schutz der Privatsphäre bieten», und zeigt stolz das Matterhorn.

Der Mythos des sicheren Hafens Schweiz

Die Cryptoleaks haben gezeigt, dass der sichere Hafen Schweiz offensichtlich bereits früher ein Mythos war. Und wie sieht es heute aus? Martin Steiger, Anwalt und Experte für Datenschutzfragen, findet klare Worte: «Unter Experten ist es schon lange klar, dass die Schweiz in Sachen Datenschutz höchstens ein durchschnittlicher Standort ist. Das heutige Datenschutzrecht in der Schweiz ist ein Papiertiger, da es weder von betroffenen Personen noch von Aufsichtsbehörden wirksam durchgesetzt werden kann.»

Tatsächlich sind gemäss dem Bundesgesetz betreffend Überwachung des Post- und Fernmeldeverkehrs alle Anbieter von Kommunikationsdienstleistungen in der Schweiz bei einem konkreten Verdachtsfall verpflichtet, bei einer Anfrage der Behörden alle ihnen zu diesem Zeitpunkt vorliegenden Daten auszuliefern. Solche Anfragen können von einer Staatsanwaltschaft oder dem Nachrichtendienst kommen und müssen von einem Gericht bestätigt werden.

Firmen in der Schweiz sind aber auch verpflichtet, von allen Kunden Zugangsdaten zu erheben und während sechs Monaten «auf Vorrat» zu speichern. Firmen mit weniger als 100 Millionen Franken Umsatz können sich von dieser Pflicht befreien lassen. Davon haben zum Beispiel Threema und Protonmail Gebrauch gemacht.

Im Gegensatz dazu ist die Speicherung «auf Vorrat» in der EU seit 2016 grundsätzlich nicht mehr erlaubt. Der europäische Gerichtshof hat dies als «schwerwiegenden Eingriff in die Persönlichkeitsrechte der Bürger» eingestuft. Eine Speicherung auf Vorrat ist nur noch mit Bezug zu einer schweren Straftat zulässig, zum Beispiel bei Verdacht auf Terrorismus. Dies ist aus Sicht der Verschlüsselungsbranche ein Standortvorteil der EU gegenüber der Schweiz.

Für Edward Shone, den Sprecher von Protonmail, wäre es ein Grund, den Firmensitz in die EU zu verlegen, sollte Protonmail zum Beispiel dazu verpflichtet werden, Vorratsdaten zu speichern.

Firmen verlassen sich nicht auf Gesetzgebung

Sowohl Protonmail als auch Threema stellen sich auf den Standpunkt, dass die verwendete Technologie unabhängig von der Gesetzgebung sicher sein muss. Dies erreiche man erstens durch eine konsequente Verschlüsselung und zweitens durch den Verzicht auf Datenspeicherung.

So speichert Threema gemäss eigenen Angaben «so wenig Daten wie möglich». «Wo keine Daten sind, können sie auch nicht missbraucht werden», heisst es auf der Website. Nicht einmal E-Mail-Adressen und Telefonnummern der User würden gespeichert, sondern nur eine Art eindeutiger «Fingerabdruck» davon, ein sogenannter Hash. Auch die eigentlichen Inhalte der Nachrichten könnten nicht an die Behörden ausgeliefert werden, da diese auf dem Gerät des Benutzers selbst verschlüsselt werden und nur vom Empfänger gelesen werden könnten. Und selbst die verschlüsselten Nachrichten werden laut Threema nur so lange auf den Servern des Dienstleisters gespeichert, bis die Zustellung erfolgt ist.

Was macht einen Messenger sicher?

Wie lässt sich nun aber überprüfen, ob alle diese Vorkehrungen zur Sicherheit tatsächlich eingehalten werden und nicht nur zu Werbezwecken versprochen wurden? Gemäss Martin Steiger gibt es dazu nur einen Weg: «Die Offenlegung des verwendeten Programmcodes ist eine notwendige Bedingung, um das erforderliche Vertrauen zu gewährleisten.» Zum einen können auf diese Weise externe Experten den Code überprüfen. Und zum anderen lässt sich so zeigen, ob die App tatsächlich den Code ausführt, der versprochen wurde, und nicht Hintertüren oder bewusst eingebaute Schwachstellen enthält.

Auch Threema nutzt für ihren Messenger in vielen Bereichen einen öffentlich zugänglichen Programmcode, einen sogenannten Open-Source-Code. Die Firma geht aber nicht den letzen Schritt und veröffentlicht ihren gesamten eigenen Code. Dies bedeutet, dass theoretisch eine Hintertür eingebaut werden kann und der Benutzer oder ein unabhängiger Experte keine Möglichkeit hat, das zu überprüfen. Man ist also weiterhin auf das Vertrauen in das Unternehmen angewiesen.

Threema selbst äussert sich nicht dazu, wieso die Firma nicht den kompletten Programmcode veröffentlicht. Die Vermutung liegt nahe, dass es kommerzielle Gründe sind, die verhindern, dass die Kunden die sicherste Anwendung bekommen: Eine Offenlegung des Programmcodes würde es anderen Anbietern erlauben, Klone der App Threema zu erstellen und diese dann gratis anzubieten. Dadurch würde das Geschäftsmodell von Threema gefährdet, das sich hauptsächlich auf den Verkauf der App stützt.

Welche Messenger sind sicher?

Im Vergleich zu vielen anderen Anbietern ist die Sicherheit von Threema trotz der genannten Schwäche als hoch zu bewerten. Dies sieht auch die Bundesverwaltung so, die seit letztem Jahr die App benutzt. Gemäss Auskunft des Bundesamts für Informatik und Telekommunikation steht die App allen Bundesangestellten für die Kommunikation bis zur Stufe «vertraulich» zur Verfügung. Zurzeit nutzen circa 8000 Bundesangestellte die App. Wie viel der Dienst kostet, gibt das Bundesamt nicht bekannt.

Zu den wenigen Messenger-Apps, die den kompletten Programmcode offenlegen, gehört die amerikanische Signal App. Hinter der App steht der Whatsapp-Gründer Brian Acton. Signal wird von einer gemeinnützigen Stiftung entwickelt und finanziert sich ausschliesslich über Spenden. Sie ist somit keinen kommerziellen Zwängen ausgeliefert. Die Verschlüsselungstechnologie von Signal wird inzwischen auch von anderen Anbietern wie zum Beispiel Whatsapp verwendet.

Eine Offenlegung des Programmcodes wird bei keiner der weitverbreiteten Messenger-Apps wie zum Beispiel Whatsapp oder Facebook-Messenger gemacht. Hier muss man nach wie vor dem Anbieter, in diesem Fall Facebook, vertrauen, dass verantwortungsvoll mit den persönlichen Daten umgegangen wird.

Erstellt: 25.02.2020, 14:39 Uhr

Noch ein Messenger? Ich bin ja froh, wenn meine Kontakte bei Threema bleiben...