Hushmail PGP-Erfinder Zimmermann verteidigt Datenherausgabe des Krypto-Mailproviders an die DEA

Letzten Endes ist es Sache der User, sich um die Sicherheit ihrer Mails zu kümmern, so der PGP-Erfinder Phil Zimmermann über die Datenherausgabe des Mailproviders Hushmail an US-Ermittler. Man dürfe Hushmail wegen der Aktion nicht verdammen, es sei selbstmörderisch, in so einem Fall anders zu handeln.

Hushmail bietet Maildienste an, die per default PGP-verschlüsselt zwischen Hushmail-Nutzern abgewickelt werden und warb damit, nicht einmal die eigenen Mitarbeiter könnten die Mails entschlüsseln. Dennoch gaben sie mehrere CDs mit Mailwechseln an die Drogenermittlungsbehörde DEA weiter. Das Problem: nutzt ein User die Verschlüsselung per Java-Applet, kann er prinzipiell von Hushmail ein modifiziertes Applet mit Backdoor untergeschoben bekommen.

Dafür musste Hushmail erheblich Prügel einstecken. Mit Phil Zimmermann, Erfinder der PGP-Verschlüsselung, bekommt der Provider nun einen gewichtigen Fürsprecher.

"Wenn ein Bedrohungsmodell mit einschließt, dass Regierungsinstitutionen mit aller Kraft und allen Mitteln einen Provider zur Kooperation zwingen, gibt es Wege, an den Plaintext heranzukommen. Nur weil Verschlüsselung im Spiel ist, heißt das nicht, dass man einen Talisman gegen Ermittler besitzt. Die können einen Provider zur Kooperation verpflichten."

Was in dem Fall offenbar geschehen ist und woraufhin Hushmail keine Wahl gelassen wurde. Die Betreiber hätten "das Herz am rechten Fleck", so Zimmermann, aber in manchen Situationen helfe das schlicht nicht weiter.

"Es wäre selbstmörderisch für ihr Geschäftsmodell, wenn sie das nicht getan hätten ... Es gibt gewisse Angriffe, die jenseits ihrer Abwehrmöglichkeiten sind. Sie (Hushmail) sind kein souveräner Staat."

Stattdessen hätten die Anwender beispielsweise das Applet per Checksum auf Veränderungen prüfen müssen, so Zimmermann. Hushmail gab zu, auf richterliche Anordnung gezwungen zu sein, mit den Ermittlern zu kooperieren, so weit es in ihren Möglichkeiten stehe. Dazu gehört offenbar auch das gezielte Einspielen manipulierter Applets auf die Rechner bestimmter User.

Inzwischen empfiehlt Hushmail, dass niemand den Dienst nutzen sollte, der in Aktivitäten verwickelt ist, die zu richterlichen Anordnungen zur Datenherausgabe in British Columbia führen könnte.

• 8 Kommentare zum Artikel

Habe vor einigen Jahren auch eine zeitlang Hushmail benutzt, aber das war mir dann irgendwann doch zu unsicher. Denn wie sich hier zeigte, wenn man das Verschlüsseln mit unbekannten Programmen durchführt, die zudem noch direkt aus dem Netz geladen werden, das kann nicht sicher sein. Am besten fährt man mit einem extra Offline-Recher auf dem ein Verschlüssler läuft, die verschlüsselten Mails gibt man dann per CD oder USB-Stick an einen ...

bur am 20.11.2007 20:16

Zitat: Zitat von bur  Ich kenne die Richtlinie nicht genau, wurde sie denn hier tatsächlich überflüssig scharf umgesetzt? Soweit ich gehört habe, war es tatsächlich minimal. Wenn auch trotzdem zuviel. 1. mit dem offi-pc hat man sicher nen nahezu 100% schutz, vorrausgesetzt, deine emails werden nicht iwie abgefangen und mit 2 supercomputern versucht zu entschlüsseln (falls das möglich ist) 2. Ich ...

Wandang am 20.11.2007 23:16

Zitat: Zitat von bur  Ich kenne die Richtlinie nicht genau, wurde sie denn hier tatsächlich überflüssig scharf umgesetzt? Soweit ich gehört habe, war es tatsächlich minimal. Wenn auch trotzdem zuviel. die größte abweichung zur eu richtlinie besteht meiner ansicht nach, indem man ein anonymisierungsverbot einführt. das müßte laut eu richtline nicht der fall sein. Edit: hier gibts genauere ...

Chronoton am 20.11.2007 23:58

Also ehrlich - wer glaubte den Schwachsinn mit besonders sicherer Emailadresse schon? So blöd kann ja niemand sein.Ich benutze Hushmail ständig und zwar als einzig sinnvolles - nämlich als wegwerfaccount für sinnlose Anmeldungen zum Beispiel bei Gulli oder anderen Foren.So schnell wie da mach ich nirgents anderst einen Account.Schreib mir nichtmal das passwort auf weil es länger dauert mir das aufzuschreiben als einen neuen Account zu ...

123Joseph am 21.11.2007 21:13

[...] Diskussion lesen oder Artikel kommentieren