Horst seine Freunde

In der aktuellen c’t 6/15 gibt es einen sehr lesenswerten Artikel von Jürgen Schmidt über die Tücken von PGP. Lesenswert, weil er anschaulich beschreibt an welchen Stellen die Mail-Verschlüsselung mit PGP ein wenig hakt. Und mit „ein wenig“ meine ich tatsächlich auch nur „ein wenig“, also nicht etwa schlimm oder besorgniserregend. Liest man den Artikel aufmerksam zu Ende, so erfährt man, dass Jürgen Schmidt das genau so sieht. Leider sagt er dies nicht gleich zu Anfang sondern bläst kräftig in das PGP-ist-für-Laien-nicht-nutzbar-Horn. Und das wiederum ist nicht ganz so lesenswert. Ich finde es sogar fatal.

Was ist passiert? Von Jürgen Schmidt sind mehrere öffentliche PGP-Schlüssel im Umlauf, von denen einige gefälscht sind. Wenn ich ihm also eine Mail schicke und einfach einen beliebigen öffentlichen Schlüssel verwende, ohne mich vorher mit ihm verständigt zu haben, welcher der richtige ist, dann kann er die Mail nicht entschlüsseln. Das kann dann nämlich nur der Mensch, der die gefälschten Schlüssel in Umlauf gebracht hat. Das aber auch nur, wenn dieser Mensch in der Lage wäre die Mail überhaupt auch erst abzufangen, was nicht ganz so trivial ist. Das ist ärgerlich, aber nicht tragisch. Es zeigt lediglich, dass Verschlüsselung nur dann wirklich sicher ist und reibungslos funktioniert, wenn der Nutzer den Umgang mit den privaten und öffentlichen Schlüsseln auch wirklich verstanden hat. Wenn er also verstanden hat, dass er nur denjenigen Schlüsseln trauen kann, die er selber überprüft hat, oder die von einer Person überprüft wurde, der er wiederum zutraut die Überprüfung genau so gewissenhaft vorzunehmen wie er selbst das tun würde. Das ist dann das Web of Trust.

Jürgen Schmidt beendet den Artikel auch dementsprechend: „Der Vorfall zeigt einmal mehr, dass man PGP-Schlüssel sorgfältig checken muss. Wer das tut, kann mit PGP nach wie vor sicher kommunizieren“. Leider stimmt er im Editorial der c’t einen ganz anderen Ton an. Dort liest man Sätze wie „Doch tatsächlich ist PGP nicht die Lösung, sondern das Problem.“ Oder „Es sei Experten unbenommen, dass sie komische Codes austauschen, um Schlüssel zu checken.“ Oder auch „Doch statt weiter zu versuchen, den lahmenden Dinosaurier PGP aufzupäppeln, sollte man ihn lieber aussterben lassen.“ Und dann ist da noch der Titel des Artikels: „Gefälschte PGP Schlüssel“. In der Summe halte ich das für fatal, da es viele Laien davon abhalten wird, sich überhaupt einmal mit PGP zu befassen. Werden sie doch durch solche markigen Sätze nur zu leicht in ihrem Vorurteil bestärkt, Verschlüsselung sei nur etwas für Experten und für Laien viel zu kompliziert.

Ich möchte hier ausrufen: „Storno bitte!“. Denn erstens ist Verschlüsselung gar nicht sooo kompliziert, wenn man bereit ist, ein zwei Stunden an Selbststudium zu investieren oder einfach jemanden fragt, der sich damit auskennt. Und zweitens geht es den meisten „Laien“ bei der Verschlüsselung nicht unbedingt um maximalst mögliche Sicherheit sondern schlicht und ergreifend um die Wahrung ihrer Grundrechte. Die meisten „Laien“ verschlüsseln ihre Mails nicht etwa, weil sie etwas zu verbergen haben, sondern weil sie nichts zu verbergen haben und sich ihre Grundrechte nicht einfach so beschneiden lassen wollen. Wenn es da an der ein oder anderen Stelle im Umgang mit PGP hakt, der falsche öffentliche Schlüssel benutzt wurde, dann wurden keine Geheimnisse kompromittiert.

Vielmehr hat der „Laie“ etwas ausprobiert, dabei einen Fehler gemacht und in den meisten Fällen aus seinem Fehler anschließend gelernt. Genauso wie er im Laufe der Zeit gelernt hat, dass die Absender von Mails ebenso einfach zu fälschen sind wie bei normalen Postbriefen, dass man nicht einfach ungeprüft Anhänge öffnet und das man niemals auf Links von angeblichen Mails zur Überprüfung von Bankpasswörtern klickt. Zugegeben, das bekommt nicht jeder hin, aber es werden täglich mehr und jedem ist inzwischen bewusst, dass man für den Umgang mit „dem Netz“ sich auch ein bisschen Kompetenz erarbeiten sollte. Im übrigen sollte es doch evident sein, dass Personen, die tatsächlich vertrauliche Mails versenden wollen sich vorher gut genug informieren um die Mails auch wirklich sicher versenden zu können.

Ich wage einmal einen Vergleich. Es ist unter Kindern ein beliebter Streich die Schlüssel innen von Klotüren abzuziehen und dann die Tür von außen abzuschließen wenn ein anderes Kind aufs Klo muss. Das passiert einem allerdings nur ein paar Mal, dann hat man gelernt bei Klogang darauf zu achten, ob der Schlüssel innen oder außen steckt. Und fast jedes Kind hat auch schon einmal den Haustürschlüssel verloren und den entsprechenden Ärger dafür bekommen – manche mehr, manche weniger. Daraus lernen Kinder dann, dass man mit Schlüsseln besonders achtsam umgehen muss. Warum also sollen Erwachsene nicht den selben Lernprozess im Umgang mit PGP Schlüssel machen dürfen? Weil sie zu doof oder zu faul sind, in ihrem Leben noch irgendwas Neues zu lernen? Weil in unserer Gesellschaft alles komplett deppensicher und idiotenleicht auf Anhieb funktionieren muss? Weil es eine Zumutung ist, sich um ein paar wichtige Dinge im Leben selber kümmern zu müssen?

Ich für meinen Teil traue den Menschen mehr zu als Jürgen Schmidt. Ich finde es gut, dass er das Problem mit den ungeprüften PGP Schlüssel so drastisch schildert. Das hilft bei der Ausbildung eines bewussten Umgangs mit den Schlüsseln. Ich finde es aber fatal zu behaupten, PGP sei nur etwas für Experten und zu fordern, PGP müsse aussterben. Dem halte ich entgegen: PGP ist auch für Laien wunderbar nutzbar. Wenn man bereit ist, dafür auch hin und wieder seinen Kopf zu benutzen.

P.S.
Den Ausruf „Storno bitte!“ habe ich aus dem wunderbaren Buch „SchrottT“ von Uwe Post. Leseempfehlung.