BY:Landesparteitag 14.1/Anträge/Antragsfabrik/SoA-05

Sonstiger Antrag 05

Dies ist ein Sonstiger Antrag (im Entwurfsstadium) für den Landesparteitag 2014.1. Bitte hilf mit diesen Antrag zu verbessern und zu erweitern.

Antragstitel Digitale Kommunikation zwischen Menschen standardmäßig verschlüsseln Antragsteller Tobias Rudert Antragstyp Sonstiger Antrag Antragstext Der Landesparteitag möge folgenden Antrag beschließen: Angesicht der in den letzten Jahren aufgedeckten Geheimdienst-Skandale und der zunehmenden Bedeutung digitaler Kommunikation zwischen Menschen setzen wir uns für einen besseren Schutz dieser Kommunikation ein. Daher fordern wir eine gesetzliche Verpflichtung, persönliche Kommunikation standardmäßig bestmöglich End-to-End zu verschlüsseln. Dazu müssen die beteiligten Computersysteme asynchrone Verschlüsselung bereitstellen und automatisch verwenden. Wer Software kommerziell vertreibt, soll folgende Anforderungen erfüllen müssen: 1. Für einen Benutzer angelegte Benutzerkonten müssen standardmäßig mit individuellen kryptographischen Schlüsseln erstellt werden. 2. Bei einer Kommunikationsverbindung zwischen Menschen mittels darauf ausgelegter Software müssen diese Schlüssel spätestens bei der ersten Übertragung von Inhalten an den anderen Endpunkt der Verbindung genutzt werden. 3. Bei jeder weiteren Kommunikation muss die Verschlüsselung erneut verwendet werden. Ebenso müssen Schlüssel von Kommunikationspartnern standardmäßig für die weitere Kommunikation verwendet werden. 4. Die Benutzeroberfläche der Software muss den Sicherheitsgrad im Bezug auf die Identität des Kommunikationspartners und den Verschlüsselungsstatus der Kommunikationsverbindung berücksichtigen. Diese Vorgaben definieren das Standardverhalten der betroffenen Systeme. Dem Benutzer steht es frei, die verwendete Verschlüsselung abzuschalten, zu modifizieren oder zu erweitern bzw. zu verstärken. Mindestanforderungen über die verwendbaren bzw. anzubietenden Verschlüsselungsverfahren, Parameter und Schlüsselstärken werden unabhängig davon geregelt. Dabei ist auf die Unabhängigkeit der verantwortlichen Stelle zu achten. Antragsbegründung Für eine deutlich bessere Absicherung der alltäglichen Kommunikation im Internet fehlen derzeit nur 3 Schritte: alle Teilnehmer müssen standardisierte Verschlüsselungsverfahren einsetzen und dazu passende Schlüssel vorhalten diese Schlüssel werden standardmäßig und frühestmöglich im Rahmen der Kommunikation mit übertragen die Schlüssel werden vom Empfänger importiert und für die weitere Kommunikation verwendet Praktisches Umsetzungsbeispiel: bei der Installation des Betriebssystems werden für den Benutzer PGP-Schlüssel erstellt. Diese werden beim Login automatisch über das Benutzerpasswort entschlüsselt. Der öffentliche PGP-Schlüssel wird etwa an alle versendeten E-Mails angehängt. Der Empfänger importiert den Schlüssel automatisch. Bei wechselseitiger Kommunikation ist damit der Inhalt der Nachrichten nach der ersten E-Mail End-to-End verschlüsselt. Dieses Vorgehen stellt nicht sicher, dass sich Angreifer gleich zu Beginn in die Kommunikation einklinken und die gesendeten Schlüssel fälschen, Empfänger oder Absender faken, geänderte Schlüssel vorgaukeln oder Metadaten analysieren. Im Vergleich zu unverschlüsselter Kommunikation zeigen sich jedoch einige Vorteile: die übertragenen Inhalte sind geschützt vor passivem Mitschneiden der Kommunikation eine einfache Manipulation der Inhalte oder des Senders ist nicht mehr möglich Unabhängigkeit von Verschlüsselung durch den Dienstanbieter (z. B. bei E-Mail), auch wenn der Anbieter oder seine Verschlüsselung kompromittiert wurden das Nutzen von Kommunikationsverschlüsselung wird deutlich einfacher, wenn auch andere diese standardmäßig verwenden Mit der Vorgabe, den Verschlüsselungs- und Vertrauensstatus in der Benutzeroberfläche zu berücksichtigen begegnet man auch der Gefahr von ungerechtfertigtem Vertrauen seitens der Benutzer. Beispielsweise legen viele heutige Browser großen Wert darauf, den Status von HTTPS-Verbindungen deutlich zu präsentieren und kritisch zu bewerten - etwa wenn eine Webseite unverschlüsselte Elemente enthält. Durch die Beschränkung auf kommerziell vertriebene Software erreichen wir einen sehr großen Teil der Nutzerbasis, ohne damit insbesondere kleineren Open-Source-Projekten zur Last zu fallen. Dieser Antrag konzentriert sich auf Standalone-Programme, eine Ausweitung auf Online-Dienste und die Betrachtung von Kommunikationshardware mit eingebetteter Software (z. B. VoIP-Telefone) ist für die Zukunft geplant. Letztlich läuft die Vorgehensweise darauf hinaus, standardmäßig so früh wie möglich zu verschlüsseln, auch wenn Identität und Authentizität des Kommunikationspartners nicht verifiziert wurden. Das Konzept ähnelt dem Prinzip der opportunistischen Verschlüsselung [1]. Möchte ein Anbieter, Nutzer oder eine nutzende Organisation ein höheres Sicherheitsniveau anstreben oder zusätzliche Maßnahmen ergreifen, so ist dies jederzeit möglich. Der Anbieter der Software hat die Möglichkeit, hierfür Konfigurationsmöglichkeiten zur Verfügung zu stellen. Ein Blick in die IT-Geschichte zeigt, dass komplizierte oder kompliziert zu bedienende Systeme sich fast nie durchgesetzt haben. Es lohnt sich also, Inhalte standardmäßig zu verschlüsseln und diesen Vorgang zu automatisieren. Obwohl die technischen Möglichkeiten dazu seit Jahrzehnten vorhanden sind, wird der allergrößte Teil der digitalen Kommunikation gar nicht oder nur durch den Anbieter verschlüsselt. Mit dem angestrebten Vorgehen wird zumindest die massenhafte Überwachung und Analyse von Inhalten deutlich erschwert. Insgesamt ergeben sich aus diesem Vorgehen folgende Vorteile besserer Support und bessere Werkzeuge für Verschlüsselung dezentrale und von einzelnen Anbietern unabhängige Technik Verbreitung von und mehr Bewusstsein für Verschlüsselung Umdrehen des Netzwerkeffektes für Verschlüsselungsstandards grundsätzlicher Schutz für Kommunikationsinhalte erhebliche Zunahme des verschlüsseltem Netzwerkverkehrs Erschwerung von massenhafter Analyse von Verkehrsinhalten Die Betrachtung in diesem Antrag ist bewusst technisch neutral. Um Erkenntnissen der Crypto-Forschung und dem technischen Fortschritt gerecht zu werden, sollen Mindestanforderungen für mögliche bzw. bereitzustellende Verschlüsselungstechniken von einer neutralen Stelle festgelegt werden. Beispielsweise könnten das BSI oder der Bundesdatenschutzbeauftragte hierfür in Frage kommen. Schlussendlich bleibt zu sagen, dass diese Maßnahme natürlich nur ein einzelner Schritt hin zu mehr Sicherheit ist. Ausgehend von der aktuell sehr unbefriedigenden Situation stellt diese Maßnahme aber für einige Szenarien eine klare Verbesserung dar. Verweise: [1] https://en.wikipedia.org/wiki/Opportunistic_encryption Datum der letzten Änderung 10.09.2014