Das EU-Parlament verabschiedet ein Gesetz, das Whatsapp und anderen führenden Messengern vorschreibt, eine plattformübergreifende Kommunikation zu ermöglichen. Das scheint für Nutzer eine großartige Entwicklung zu sein, könnte aber auch ihre Sicherheit und Privatsphäre gefährden.

Das Europaparlament hat am Dienstag zwei Gesetze verabschiedet, die große Tech-Konzerne wie Facebook, Google, Amazon und Apple mit monatlich mehr als 45 Millionen aktiven Nutzern unter schärfere Aufsicht stellen und den Verbraucherschutz stärken sollen. Der Digital Services Act (DSA) soll die Verbreitung von Hassreden und illegalen Inhalten einschränken, der Digital Markets Act (DMA) soll die Wahlfreiheit der Nutzer erhöhen und den Wettbewerb fairer machen. Das bedeutet unter anderem, dass die plattformübergreifende Kommunikation zwischen den führenden Messengern ermöglicht werden muss.

Aus Sicht der Nutzer ist dies zunächst eine sehr gute Nachricht, auch wenn den Unternehmen eine zweijährige Übergangszeit gewährt wurde und kleinere Messenger-Anbieter wie Threema oder Signal die Wahl und nicht die Pflicht haben, sich an der plattformübergreifenden Kommunikation zu beteiligen. Doch die unterschiedlichen Dienste unter eine Decke zu bekommen, ist alles andere als unkompliziert, und am Ende könnte darunter die Sicherheit und Privatsphäre der Nutzer leiden.

Sicherheit auf Basis des kleinsten gemeinsamen Nenners

Die Kommunikation an sich ist nicht das Problem, allerdings haben Experten große Zweifel, dass dies mit einer sicheren Ende-zu-Ende-Verschlüsselung möglich ist, die gewährleistet, dass die Nachrichten von Dritten nicht ausgelesen werden können. Nadim Kobeissi, Kryptograf und Gründer der dezentralen Veröffentlichungsplattform Capsule Social, sagte "The Wire", es sei unklar, wer den Austausch öffentlicher Verschlüsselungsschlüssel verwalten und wie kryptografische Metadaten zwischen Unternehmen ausgetauscht würden.

Steven Bellovin, Internetsicherheitsforscher und Professor für Informatik an der Columbia University, sagte "The Verge", es gäbe keine Möglichkeit, unterschiedliche kryptografische Architekturen in Einklang zu bringen. Eine Kompatibilität unterschiedlicher Verschlüsselungsdesigns könne nur auf Basis des kleinsten gemeinsamen Nenners erfolgen. Das bedeutet im Prinzip, alle Funktionen, die nicht alle anderen teilnehmenden Messenger bieten, müssten über Bord geworfen werden. Bellovin nennt als Beispiel verschlüsselte Gruppenchats.

DMA stellt hohe Anforderungen

Artikel 7 des DMA sieht eine "abgespeckte" Kommunikation allerdings nicht vor. Im Gegenteil heißt es darin, dass zwischen den großen Messengern innerhalb von zwei Jahren Ende-zu-Ende verschlüsselte Gruppenchats ermöglicht werden müssen. In vier Jahren verlangt das EU-Gesetz dies sogar für Telefonate und Videogespräche.

Eine Möglichkeit wäre, die Nachrichten an einer Stelle zu entschlüsseln und dann wieder zu verschlüsseln. Für Sicherheitsexperten ist das aber ein absolutes No-Go, denn wo immer dies stattfinden würde, wäre es für Kriminelle oder Behörden möglich, eine Kommunikation mitzuverfolgen.

Der ehemalige Facebook-Ingenieur und Sicherheitsexperte Alec Muffett sagte "The Verge", es sei falsch, zu glauben, dass Apple, Google, Facebook und andere Technologieunternehmen identische und austauschbare Produkte herstellten, die sich problemlos kombinieren ließen. Eine Schwachstelle in einem Dienst bedrohe alle anderen, warnt er. Am Ende sei die Gesamtsicherheit nur so stark, wie das schwächste Glied.

Ungelöstes Identitätsmanagement

Ein Grundprinzip der Verschlüsselung sei, dass sie auf Basis fester kryptologischer Identitäten erfolge, sagte Facebooks ehemaliger Sicherheitschef, Alex Stamos, der Website. Ein gutes Identitätsmanagement sei essenziell für die Sicherheit. "Wie teilen Sie Ihrem Telefon mit, mit wem Sie sprechen möchten, und wie findet das Telefon diese Person?" Für eine gemeinsame Ende-zu-Ende-Verschlüsselung sei es zwingend notwendig, jedem teilnehmenden Dienst in Sachen Identitätsmanagement blind zu vertrauen. Dies sein ein "Privatsphäre- und Sicherheitsalptraum".

Bellovin erklärte die Problematik auf Twitter mit einem Beispiel: "Twitter kennt mich als @SteveBellovin, Apple kennt mich unter meiner Apple ID, einer persönlichen E-Mail-Adresse. Signal kennt mich unter meiner Telefonnummer, Google kennt mich unter meiner offiziellen Universitäts-E-Mail-Adresse. Facebook kennt mich nicht… Sie erhalten eine Nachricht von Whatsapp-Nutzer StevenBellovin: Wer ist es? Bin ich es? Ein Angreifer? Oder jemand anderes mit dem gleichen Namen?"

Metas Whatsapp-Chef Will Cathcart sieht durchaus die Vorteile in Interoperabilität, "aber wenn sie nicht sorgfältig durchgeführt wird, könnte dies zu einer tragischen Schwächung der Sicherheit und Privatsphäre in Europa führen", twitterte er.

Threema und Signal sind raus

Threema sieht dies ähnlich. "Auch wenn sie gut gemeint ist, würde Interoperabilität eine Verminderung von Sicherheit und Datenschutz auf das niedrigste Niveau der beteiligten Dienste bedeuten, weshalb wir nicht mitmachen werden", kommentierte der Dienst auf Twitter einen entsprechenden ZDF-Beitrag.

Auch Signal sieht durch eine plattformübergreifende Kommunikation die Sicherheit seiner Nutzer gefährdet. "Das Ziel von Signal ist es, private und sichere Kommunikation für alle und jeden bereitzustellen", heißt es in einer Stellungnahme des Dienstes. "Die Zusammenarbeit mit iMessage und Whatsapp würde letztendlich die Privatsphäre von Signal und seinen Benutzern verschlechtern. Andere Apps, die nicht die gleichen Datenschutzstandards wie Signal haben, hätten Zugriff auf große Mengen von Benutzerdaten. Diese Daten könnten dann auf eine Weise verwendet oder verkauft werden, die nicht mit der Mission und den Werten von Signal übereinstimmt."

Schwierig, aber möglich

Eine Organisation, die plattformübergreifende Kommunikation gut findet, ist Matrix. Sie fördert die Entwicklung eines sicheren Open-Source-Kommunikationsstandards. In einem langen Blogeintrag skizziert Mitbegründer Matthew Hodgson, wie das Problem durch eine Art Schnittstellen-Brücken zwischen den Plattformen gelöst werden könnte.

"Unter dem Strich sollten wir keine Angst vor Interoperabilität haben, nur weil wir uns an eine kaputte Welt gewöhnt haben, in der nichts miteinander verbunden werden kann", schreibt Hodgson. "Es gibt nachvollziehbare Wege, das Problem so zu lösen, dass es den Benutzer befähigt und informiert – und der DMA hat der Industrie nun die Möglichkeit gegeben, zu zeigen, dass es funktionieren kann.

Auch die Electronic Frontier Foundation (EFF) hält eine plattformübergreifende Messenger-Kommunikation für wünschenswert, weist aber auf "schwierige Sicherheitsprobleme für verschlüsselte Nachrichtenübermittlung" hin. Sie fordert größte Sorgfalt. Man müsse dafür sorgen, dass die Interoperabilität nicht als Ausrede für Sicherheitsminderungen diene, dürfe aber auch nicht zulassen, dass vorgeschobene Sicherheitsbedürfnisse dazu dienten, ein Unternehmen vom Wettbewerb auf dem Markt abzuschirmen.