Heute wird im Innenausschuss des Deutschen Bundestags über das „Recht auf Verschlüsselung“ diskutiert. In Anbetracht der nach wie vor alarmierenden Lage bei IT-Sicherheit und Datenschutz in Deutschland stellt sich die Frage, wieso über ein solches Recht überhaupt noch Diskussionsbedarf besteht:

• Deutsche Alleingänge in der Verschlüsselung gehen regelmäßig und zielsicher schief, siehe De-Mail [1, 2, 3] und beA [1, 2].

• Im Fokus der Gesetzgebungsverfahren liegt regelmäßig nicht etwa die Stärkung von Verschlüsselungstechnologien, sondern deren gezielte Schwächung, etwa durch Staatstrojaner oder Hintertüren bei Betreibern.

Der CCC wendet sich in Anbetracht dieser Schieflage mit einer schriftlichen Stellungnahme an die Ausschussmitglieder (pdf).

Unsere Forderungen im Einzelnen:

• Verschlüsselung muss die Regel werden, nicht die Ausnahme:
  Ein Recht auf Verschlüsselung muss nicht nur grundsätzlich gewährt, sondern auch aktiv ausgebaut und vorangetrieben werden.

• Verbot von Schwächung und Angriffen:
  Von staatlicher Seite bieten sich zwei grundsätzliche Möglichkeiten, in verschlüsselte Kommunikation einzugreifen:

  1. Das Ausnutzen bekannter Schwachstellen. Diese Schwachstellen müssen dann aber geheimgehalten werden und können auch von Dritten in potentiell allen IT-Systemen ausgenutzt werden.
  2. Verpflichtung der Anbieter: Wenn Diensteanbieter und Betreiber gezwungen werden, ihre Anwendungen mit Hintertüren zu versehen, wird das Vertrauen der Nutzer und Nutzerinnen in die IT grundsätzlich erschüttert.

• Verpflichtung zur Meldung von Sicherheitslücken:
  Werden Behörden Sicherheitslücken bekannt, sollen diese im Rahmen von Responsible-Disclosure-Verfahren behoben und veröffentlicht werden.

• Unabhängiges BSI:
  Der CCC wiederholt in diesem Zusammenhang seine Forderung nach einem kompromisslosen und unabhängigen BSI. Solange das BSI dem Innenministerium untersteht, kann es seinem Auftrag nicht kompromisslos gerecht werden, weil die demselben Ministerium unterstellten Behörden konträre Interessen verfolgen.

• Verwendung von frei verfügbaren, offenen Protokollen:
  Als Irrweg haben sich Versuche erwiesen, Verschlüsselung halbherzig, mit sogenannten Kompromissen, Ausnahmen und „besonderen Anforderungen“ individuell umzusetzen. Diese Versuche scheitern an ihrer Komplexität, ihren offenkundigen Schwächen und nicht zuletzt auch ihrer Sinnlosigkeit. Nur frei verfügbare, überprüfbare und offene Protokolle sollen genutzt werden dürfen. Die Verwendung von Verschlüsselungsverfahren, die nicht durch die internationale Forschungsgemeinschaft geprüft wurden, muss ausgeschlossen sein.

• Weiterentwicklung:
  Werden neue Kommunikationssysteme konzipiert, sind Verschlüsselungsverfahren nach Stand der Technik von Anfang an zu berücksichtigen. Die Entwicklung und regelmäßige Prüfung frei verfügbarer, offener Protokolle ist zu fördern.

Der CCC veröffentlicht seine Stellungnahme im Volltext: Chaos Computer Club (2019): Kompromisslose Verschlüsselung stärken (pdf)