Regelmässig benutzen wir das Internet, um sensible Daten auszutauschen, etwa bei Online-Zahlungen oder bei E-Mails mit vertraulichem Inhalt. Wir verlassen uns dabei auf die bestehenden Sicherheitsvorkehrungen und -technologien. Doch weil die Cyberkriminalität in den letzten Jahren markant gestiegen ist, schwindet das Vertrauen der Nutzerinnen und Nutzer in den digitalen Datenaustausch. Im Rahmen des Forschungsprojekts «Digitales Vertrauen» wollen Informatik-Professoren der ETH Zürich und der Universität Bonn Sicherheitssysteme entwickeln, denen man hundertprozentig vertrauen kann.

Digitale Technologien machen unseren Alltag zwar effizienter, doch ihre Nutzung setzt beim User viel Vertrauen voraus: Wir vertrauen dem Kartenleser an der Supermarktkasse, dem elektronischen Formular einer Behörde, dem Anbieter eines Online-Shoppings oder -Bankings. Normalerweise lehren uns unsere Erfahrung und unser Wissen, wem wir unter welchen Umständen vertrauen können. Doch auf diese «Antennen» können wir uns beim Nutzen des Internets nur bedingt verlassen. Das bestätigen auch die Zahlen: Zwischen 2011 und 2016 sind die Meldungen von Cyberkriminalität in der Schweiz von 5330 auf 14 033 angestiegen. Die Digitalisierung hat auch die Kriminalität verändert: Kriminelle Methoden werden raffinierter, und die Reichweite der Betrüger wird grösser, da sie auf einen Schlag eine grosse Zahl möglicher Opfer erreichen können.

Täuschen und betrügen

Um an Geld oder kostbare Daten zu gelangen, erfinden Betrügerinnen und Betrüger immer neue Methoden. Mit Hilfe einer Malware (Schadsoftware) werden Userinnen und User beispielsweise dazu verleitet, ihre Zugangsdaten für Konten auf täuschend echten Websites einzutragen oder auf eine gefälschte E-Mail zu reagieren. Neben diesen als Phishing bezeichneten Angriffen gibt es auch Methoden, bei denen die Daten etwa auf dem Weg zwischen Kunde und Bank abgefangen werden. Spyware (Spionagesoftware) kann sogar allein durch den Besuch einer dubiosen Website auf dem Computer installiert werden. Die Angreifer versuchen dabei, an jene Daten zu gelangen, mit denen sie eine fremde Identität im Netz glaubwürdig vortäuschen können.

Unsichere Zertifikate

Worauf vertrauen wir eigentlich, wenn wir von unserer Telekommunikations-Gesellschaft per Mail eine Telefonrechnung erhalten – und sie bezahlen? Auf den Namen unserer Telekommunikations-Gesellschaft als Absender? Darauf, dass wir wissen, bei dieser Gesellschaft einen Handyvertrag abgeschlossen zu haben? Vordergründig alles richtig, aber ohne es uns bewusst zu sein, verlassen wir uns in erster Linie darauf, dass unsere Telekommunikations-Gesellschaft eine seriöse Verschlüsselungstechnik benutzt. Beim sicheren Austausch von Daten im Internet müssen die Daten zuerst digital signiert und anschliessend mit einem spezifischen «Schlüssel» wieder geprüft werden. Die Schlüssel werden in der sogenannten Public Key Infrastructure verwaltet. 1400 Zertifizierungsstellen in aller Welt stellen digitale Zertifikate aus, die einen (öffentlichen) Schlüssel einer bestimmten Person oder Internet-Adresse zuordnen. Diese «Certificate Authorities» beglaubigen diese Zuordnung mit ihrer eigenen digitalen Unterschrift. In der Praxis haben Web-Browser wie Safari oder Internet Explorer voreingestellte Listen von solchen Zertifikaten, wobei sie sich darauf verlassen, dass die Authentifizierungen der Zertifizierungsstellen vertrauenswürdig sind.

Keine Sicherheitsgarantie

Dieses Sicherheitssystem wurde in den Anfängen des Internets entwickelt, reicht aber unterdessen nicht mehr für alle Sicherheitsbedürfnisse aus. Ein grundlegendes Problem ist, dass eine einzige kompromittierte Zertifizierungsstelle die Sicherheit des gesamten Internets untergräbt. Eine  Zertifizierungsstelle gilt als kompromittiert, wenn unberechtigt in ihr Computersystem eingedrungen wurde, um gespeicherte Daten zu manipulieren. Viele Fälle von gehackten Zertifikaten sind inzwischen bekannt geworden, darunter die Zertifikate versierter Firmen wie Microsoft, Yahoo, Skype, Mozilla und Google. Mithilfe gehackter Zertifikate gab sich zum Beispiel die amerikanische Sicherheitsbehörde NSA im Jahr 2013 als Google aus, um Bürgerinnen und Bürger auszuspionieren. Selbst wenn wir also beim Online-Banking im Browser-Fenster ein Schloss-Symbol sehen, ist dieses Sicherheits- Icon keine Garantie dafür, dass wir uns tatsächlich auf der Website unserer Bank befinden.

Vertrauensbeziehungen nutzen

Als entscheidende sicherheitsrelevante Probleme im Internet gelten heute Identität und Authentizität. Um die Probleme beim Übertragen von heiklen Daten zu beheben, haben die Informatik-Professoren David Basin, Peter Müller und Adrian Perrig von der ETH Zürich und Matthew Smith von der Universität Bonn ein neuartiges Konzept entwickelt: Vertrauensbeziehungen, die in der physischen Welt aufgebaut werden, sollen in die digitale Welt übertragen werden. Die digitale Kommunikation soll durch physische Vertrauensbeziehungen vorgängig abgesichert werden, indem die Identität des Senders einer vertraulichen Information eindeutig geklärt wird, so dass Nutzerinnen und Nutzer bei der zukünftigen Kommunikation sicher sein können, dass sie tatsächlich die Website ihrer Bank aufrufen oder die vorgeschlagenen Software-Updates wirklich bespielsweise von Microsoft stammen. Die gesicherten digitalen Vertrauensbeziehungen lassen sich umgekehrt auch nutzen, um die physische Kommunikation zu sichern, zum Beispiel um zu erkennen, ob ein Brief wirklich von der Bank, die als Absender fungiert, verschickt wurde.

Mögliche Szenarien

Die Informatik-Professoren des «Zentrums für Digitales Vertrauen» überlegen sich derzeit unterschiedliche Szenarien, wie der Aufbau eines Vertrauensverhältnisses aus der physischen Welt in die digitale Welt übertragen werden kann.

Szenario 1: Eine Steuerberaterin will sichergehen, dass sie vertrauliche E-Mails tatsächlich mit ihrem Klienten austauscht. Beim ersten Treffen imitieren sie ein Händeschütteln mit den Handys. Dabei tauschen sie kryptografische Schlüssel für die zukünftige gemeinsame digitale Kommunikation aus. Sie benötigen dafür lediglich eine App.

Szenario 2: Eine Bank möchte ihre Kundinnen und Kunden vor Phishing-E-Mails schützen und verschickt deshalb E-Mails, die mit einem Zertifikat signiert sind. Die Kundinnen und Kunden vertrauen soweit wie möglich nur Zertifikaten aus der Schweiz, das Vertrauen basiert also auf einer geografischen Information.

Szenario 3: Ein Kunde will kontrollieren können, ob Briefpost tatsächlich von seiner Bank kommt. Bei einem Besuch in der Bankfiliale fotografiert er einen Code, durch den er einen kryptografischen Schlüssel der Bank erhält. Wenn er später einen Brief von der Bank erhält, benutzt er diesen Schlüssel, um den QR-Code auf dem Brief der Bank zu lesen und so die Echtheit des Briefs zu überprüfen.

Welches Vorgehen sich am besten eignet, um den Austausch digitaler Daten zu hundert Prozent sicher zu machen, wird sich in den nächsten Jahren zeigen.

Text: Sabine Witt
Fotos: Frank Brüderli