Archiv der Kategorie: Privatsphäre

ProtonMail revisited

Vor einigen Monaten hatte ich über ProtonMail berichtet. Seinerzeit hatte man über eine CrowdFunding-Kampagne Geld eingesammelt, insgesamt war aber noch nicht viel zu sehen.

Inzwischen kann man ProtonMail nutzen. Kostenlos. Theoretisch. Praktisch erhielt ich gerade auf der ProtonMail-Website die Meldung, ich könne mich für einen Account bewerben. Man würde mich dann kontaktieren, wenn alles vorbereitet wäre.

Der Source-Code von ProtonMail 2.0 wurde offengelegt und steht als Open Source zur Verfügung. Man bemüht sich seitens ProtonMail um Transparenz.

Der Sitz der eigentlichen Gesellschaft ist in der Schweiz, das Datacenter, das die Anwendung hostet, ist ebenfalls in der Schweiz angesiedelt. Damit unterliegt die gesamte Verarbeitung ausschliesslich Schweizer Gesetzgebung und man kann nach heutigem Stand der Dinge davon ausgehen, dass die Schweiz die Vertraulichkeit der Daten nicht angreift, sondern schützt. Man hat in den letzten 10 Jahren unter großem Druck das Bankgeheimnis , das den Ruf der Schweiz als Hort der Vertraulichkeit mit begründet hat, sehr aufweichen müssen. Es ist zwar nicht auszuschliessen, das dies eines Tages auch in Bezug auf Datensicherheit und Datenschutz versucht wird, aber man muss kein großer Prophet sein, um vorherzusagen, dass das nur mit großem Kampf möglich wäre.

ProtonMail speichert Mails auf dem Server grundsätzlich mit starker Verschlüsselung. Der Zugang zum Mail-Account ist doppelt gesichert. Das erste Passwort bringt einen auf den Server und ermöglicht den Abruf der verschlüsselten Mail. Entschlüsseln kann man nur mit dem 2. Passwort, das ProtonMail zu keiner Zeit mitgeteilt wird. ProtonMail selbst kann die E-Mails nicht entschlüsseln, d.h. es kann auch kein Administrator die Mails lesen. Zero-Knowledge-Privacy ist der Begriff für solchermaßen gestaltete Systeme.

ProtonMail - Posteingang (Web)
ProtonMail – Posteingang (Web)

Für den Zugriff auf ProtonMail stehen verschiedene Optionen zur Verfügung. Ein Web-Interface, eine iOS-App für iPhone und iPad, und eine Android-App für die Google-Betriebssystemwelt. Alle Varianten befinden sich noch im Beta-Stadium.

ProtonMail Maileditor (Web)
ProtonMail Maileditor (Web)

ProtonMail ist kein geschlossenes E-Mail-System, sondern kann grundsätzlich mit allen anderen Diensten auch E-Mails austauschen. Das macht den Umgang mit dem Account zu einer bequemen Angelegenheit.

Der Absender einer Mail hat die Möglichkeit, die Gültigkeitsdauer der Mail einzuschränken. Wenn die Mail an einen anderen ProtonMail-Empfänger geht, gibt es sogar eine „Selbstzerstörungsoption“. Das wirkt auf den ersten Blick ein wenig wie James Bond oder Mission Impossible, ist aber eine Funktionalität die es selbst bei ganz einfachen SMS gibt. Auch dort läßt sich – wenn es das Telefon und der Provider unterstützen – eine maximale Gültigkeitsdauer angeben.

Bye bye Wuala, Wuala goodbye

Jetzt ist es also soweit, Wuala wird zum 30.9.2015 read-only und zum 15.11.2015 alle dort gespeicherten Daten löschen. Ich habe diesen Dienst sehr geschätzt:

  • ein starker Client für die Synchronisierung von Daten mit meinem PC und meinem Telefon
  • zuverlässige Verschlüsselung der Daten bereits auf auf dem Client
  • bezahlbarer Speicherplatz

Wuala hat über mehrere Jahre bei mir im Hintergrund ganz hervorragende Dienste geleistet, und Daten quasi in Echtzeit in die Cloud gesichert. Die meisten Cloud-Dienste erwarten einen Daten-Striptease von ihren Kunden. Die eigene Festplatte gehört heutzutage ja schon fast zur Intimsphäre.

Wuala als Zero-Knowledge-Privacy-Anbieter war da anders. Es werden dort sozusagen nur gut verpackte, blickdichte  Datenpakete abgelegt. Zwar mit einem Label dran und mit Sichtfenstern für explizit autorisierte Voyeure, aber privat bleibt dort eben privat.

Ursprünglich wurde Wuala vom französischen Festplattenanbieter LaCie ins Leben gerufen. Verteilte Datenspeicherung in Rechenzentren in Deutschland, Frankreich und der Schweiz waren ein herausragendes Merkmal, um sehr weitgehend sicherzustellen, dass die Daten sicher vor dem Zugriff von Hackern und auch des eigenen Personals abgelegt wurden. Das Unternehmen fusionierte im Jahr 2014 mit dem amerikanischen Unternehmen Seagate – richtiger ist wohl: Seagate hat LaCie „geschluckt“.

Wuala stellt den Dienst zum 15. November 2015 komplett und endgültig ein, die Daten werden dann gelöscht. Mit dem Zero-Knowledge-Anbieter Tresorit hat man einen Partner gefunden, der bestehenden Wuala-Kunden eine neue Heimat bieten will. Die Preise für Privatnutzer sind für das 1. Jahr durchaus attraktiv. Zwar kostet das Jahresabo bei Tresorit 90 Euro, allerdings bekommt man dafür auch 100 GB privaten Speicherplatz.

Übrigens bietet auch SecureSafe für Wuala-Kunden einen attraktiven Tarif für den Umstieg an.

OpenPGP – sichere E-Mail-Kommunikation ist viel einfacher als man meint

PGP ist die Abkürzung von Pretty Good Privacy, einem Verschlüsselungsprogramm, das von Philip R. Zimmermann Anfang der 90er-Jahre des letzten Jahrtausends entwickelt wurde. PGP unterstützt eine asymmetrische Verschlüsselung bestehend aus einem öffentlichen Schlüssel und einem privaten Schlüssel. Ein Adressat verfügt stets über beide Schlüssel.

Die Verschlüsselung einer Nachricht erfolgt mit dem öffentlichen Schlüssel. Dieser Schlüssel ist nicht geheim und kann von jedem benutzt werden, der eine Nachricht an den Adressaten verschlüsseln möchte. Diese Nachricht kann mit dem öffentlichen Schlüssel nicht mehr entschlüsselt werden. Man benötigt zwingend den zum öffentlichen Schlüssel passenden privaten Schlüssel. Da beide Schlüssel auf eine bestimmte Weise mathematisch verbunden sind, hört man oft auch den Begriff „Schlüsselpaar“.

Mit PGP als Software konnte man solche Schlüsselpaare erzeugen und Nachrichten ver- und entschlüsseln. Die Handhabung der Software war orientiert an einer Kommandosprache. Eine grafische Benutzerschnittstelle existierte nicht. Das machte den Umgang mit PGP zu einem Unterfangen, das eine gewisse Expertise im Umgang mit Computern vorraussetzte. Ich habe seinerzeit PGP benutzt, aber es war mehr ein Ausprobieren, als eine ernsthafte Nutzung. Es gab noch ein weiteres Problem. Der Empfänger einer solchen Nachricht musste ebenfalls in der Lage sein, das Programm zu benutzen. Der Kreis der Personen, die das leisten konnten, war relativ klein und ich wollte niemandem davon schreiben.

Hier beginnen sich die Zeiten zu ändern. Wurden früher die Experten als Spinner abgetan, die davor warnten, dass E-Mails mitgelesen werden konnten, hat sich die Sichtweise bei vielen Menschen gewandelt, seit klar ist, dass es nicht nur technisch machbar ist, sondern dass es von vielen Staaten systematisch in einem Ausmaß betrieben wird, das sich nur die wenigsten vorstellen wollten.

Man möge sich bitte nichts vormachen, die Verschlüsselung einer E-Mail bedeutet nicht, dass niemand die E-Mail lesen kann. Selbstverständlich muss man davon ausgehen, dass der Inhalt auf irgendeine Weise bekannt werden kann. Aber es ist schon ein Unterschied, ob ich einem Kurier eine Postkarte mit dem Vermerk „streng vertraulich“ mitgebe, oder ob es ein dicker, lichtdichter Umschlag ist, der fest verschlossen und versiegelt ist. Einen Siegelbruch zu kaschieren ist schon erheblich aufwändiger als einfach nur eine Postkarte abzuschreiben.

OpenPGP ist kein Programm, sondern ein Datenformat bzw. Protokoll, das im RFC 4880 beschrieben ist. Das soll Softwareentwickler in die Lage versetzen, Programme zu entwickeln, die untereinander Daten austauschen können und sich verstehen.

GnuPG (GNU Privacy Guard) ist eine Software, die dem OpenPGP-Standard folgt.

GnuPG ist wie der Urahn PGP ein kommandozeilenorientiertes Werkzeug, das für sich genommen wohl nur Menschen mit ausgeprägten Nerd-Genen erfreuen wird. Es ist zu kompliziert für die alltägliche Verwendung.

Aber HALT. GnuPG ist der Kern einer hervorragenden Lösung zur E-Mail-Verschlüsselung. Schließlich hat niemand behauptet, dass die Kommandozeilenbefehle von einem Menschen eingegeben werden müssen. Das kann auch eine Software übernehmen.

Eine solche Software ist das Thunderbird-Add-On Enigmail.

Sie müssen nur eine geeignete Version von GnuPG für Ihr Betriebssystem installieren und für Thunderbird Enigmail installieren und dann haben Sie ein E-Mail-Programm, das mit Verschlüsselung umgeht, als gäbe es nichts anderes.

Die Free Software Foundation hat in der letzten Woche eine Anleitung  in deutscher Sprache herausgebracht, die man kaum besser schreiben kann.

Bild: Free Software Foundation Inc., #EMailSelfDefense
Bild: Free Software Foundation Inc., #EMailSelfDefense

Unter #EMailSelfDefense wird Schritt für Schritt beschrieben, wie man OpenPGP installiert, die Schlüssel erzeugt und testet. Der Text ist geschrieben wie die Bedienungsanleitung zu Ihrer Waschmaschine. Verständlich und einfach gehalten, trotz der komplexen Materie.