Googles End-to-End-Verschlüsselung ist nicht so, wie es scheint

FUD zu nennen, mag ein bisschen schwierig sein, aber es gibt sicherlich viel Verwirrung über die am 3. Juni 2014 angekündigte Google Chrome-Erweiterung mit dem Namen End-to-End. Nach der Freigabe ermöglicht die Erweiterung die End-to-End-Verschlüsselung von E-Mail-Nachrichten. Hört sich einfach an, oder? Aber hier beginnt die Verwirrung, denn die meisten Menschen hatten den Eindruck, dass Google Mail-Nachrichten bereits verschlüsselt waren. Und sie sind. So in etwa …

Ist Google Mail nicht bereits verschlüsselt?

Der einfachste Weg, um die aktuelle Verschlüsselung von Google Mail zu erklären, besteht darin, über die E-Mail-Nachricht nachzudenken, die vom Computer des Absenders zum vorgesehenen E-Mail-Empfänger geleitet wird. Während der Übertragung werden digitale Nachrichten über TLS ( Transport Layer Security ) verschlüsselt. Dieses Protokoll bietet Sicherheit zwischen den Client / Server-Anwendungen, die über das Internet miteinander kommunizieren.

Das Missverständnis kommt ins Spiel, wenn die Nachricht beim Absender, Vermittlungsserver oder Empfänger in Ruhe ist. An diesen Punkten wird die Nachricht nicht verschlüsselt. Ein anderes Mal wird die Nachricht nicht verschlüsselt, wenn das E-Mail-Programm des Empfängers keine HTTPS-Nachrichten (unter Verwendung von TLS) akzeptiert. Aus diesem Grund sagen Experten, dass die aktuelle Google Mail-Verschlüsselung nicht "End-to-End" ist.

Google verfolgt die Anzahl der gesendeten Google Mail-Nachrichten, die während der Übertragung verschlüsselt werden, sowie die Anzahl der Nachrichten, die von Google Mail-Benutzern empfangen werden, die auch während der Übertragung verschlüsselt werden. Wie im folgenden Bericht gezeigt, sind bis zu 50 Prozent der Google Mail-Nachrichten nicht verschlüsselt.

End-to-End-Verschlüsselung ist nicht neu

Interessanterweise gibt es echte End-to-End-E-Mail-Verschlüsselungsanwendungen, die jedoch keineswegs populär sind. Zwei Beispiele sind PGP und GnuPG. PGP ist insofern besonders interessant, als sein Erfinder Phil Zimmermann bei der Gründung von PGP ernsthafte Probleme mit der US-Regierung hatte. Der Grund? PGP war zu effektiv.

Die Frage ist, ob es möglich ist, E-Mails End-to-End zu verschlüsseln. Warum werden sie nicht von Menschen verwendet? Die Antwort: Wenn Convenience und Sicherheit aufeinander treffen, gewinnt in der Regel Convenience. Derzeit ist das Einrichten der E-Mail-Verschlüsselung kompliziert und mit erheblichem Aufwand verbunden. Bis vor kurzem waren die Leute auch nicht so besorgt, ihre E-Mails zu verschlüsseln. (Weitere Informationen zu Datenschutz und Sicherheit finden Sie unter Was Sie über Ihren Datenschutz online wissen sollten.)

Eine weitere Schwierigkeit bei der End-to-End-E-Mail-Verschlüsselung besteht darin, dass beide Parteien eine kompatible Verschlüsselungssoftware benötigen. Wenn die Programme nicht kompatibel sind, wird die E-Mail-Nachricht nicht entschlüsselt. Anstatt zu riskieren, dass keine E-Mails gelesen werden, kümmern sich die meisten Absender nicht um die Verschlüsselung.

Was ist Google End-to-End?

Google-Entwickler sind sich der oben genannten Probleme bewusst und haben einen benutzerfreundlichen Verschlüsselungsprozess entwickelt: "Eine Chrome-Erweiterung, mit der Sie signierte Nachrichten im Browser mit OpenPGP verschlüsseln, entschlüsseln, digital signieren und überprüfen können." Dadurch würde die neue Version der E-Mail-Verschlüsselung von Google in die Kategorie "End-to-End" aufgenommen.

Die Verschlüsselungserweiterung von Google stieß sofort auf Interesse bei der Datenschutz-Community. Wenn End-to-End das tut, was Google sagt, verhindert die Erweiterung, dass Google den Nachrichtentext überprüft, was Google jetzt tut, und berücksichtigt eine Einnahmequelle. In einem Blogbeitrag vom 11. Juni bietet Jim Ivers, Chef-Sicherheitsstratege für Covata, Informationen und Erklärungen an.

"Ich gehe davon aus, dass Google gewillt ist, mit verschlüsselten Daten zu handeln, um Kunden im Google-Ökosystem zu halten, da es den Anschein hat, dass sie sich um die Privatsphäre ihrer E-Mails sorgen", schreibt Ivers.

Was Google End-to-End nicht ist

Verschlüsselungsexperten haben bereits auf die Reifen der Erweiterung gekickt, und mehrere potenzielle Probleme sind aufgetreten. Da es sich um eine Chrome-Erweiterung handelt, müssen für den Verschlüsselungsprozess sowohl der Absender als auch der Empfänger Chrome-Webbrowser verwenden. Bei der letzten Überprüfung wurde Chrome von weniger als 50 Prozent der Internetnutzer verwendet.

Andere Probleme sind, dass Google End-to-End auf Mobilgeräten nicht unterstützt wird. anscheinend bleiben anhänge auch vorerst unverschlüsselt. Alles in allem gibt es genug negative Punkte, um Experten Anlass zu geben, an einer groß angelegten Annahme zu zweifeln.

Einige nützliche Tipps zur Verschlüsselung

Die gesamte Idee hinter der Verschlüsselung ist die Wahrung der Privatsphäre zwischen Absender und Empfänger. Was sollte der Absender beachten, wenn die Person, die die verschlüsselte E-Mail erhält, diese unverschlüsselt weiterleitet? Wenn die Nachricht wichtig genug ist, möchte der Absender möglicherweise bestimmte Steuerelemente aktivieren, mit denen der Empfänger die Nachricht nur anzeigen, aber nicht drucken, kopieren oder speichern kann.

"Die Lektionen sind klar: Hüten Sie sich vor großen Anbietern von Ökosystemen, die Geschenke haben, lesen Sie die Details sorgfältig durch, um die zahlreichen Einschränkungen und Ausnahmen zu berücksichtigen, und betrachten Sie die Verschlüsselung ganzheitlich", schreibt Ivers. Dies ist ein guter Rat, insbesondere wenn Sie berücksichtigen, wie viel in der neuen Verschlüsselungserweiterung von Google fehlt. Das Wichtigste, was bei der Einführung von Ende-zu-Ende-Verschlüsselung fehlt, ist natürlich die Bequemlichkeit.

Bequemlichkeit ist der Schlüssel

Google hofft, dass sein neuer Chrome-Dienst die End-to-End-Verschlüsselung für seine Nutzer zu einer einfachen Option macht. Trotzdem ist Google realistisch. Stephan Somogyi, Produktmanager für Sicherheit und Datenschutz, sagte: "Wir wissen, dass diese Art der Verschlüsselung wahrscheinlich nur für sehr sensible Nachrichten oder für diejenigen verwendet wird, die zusätzlichen Schutz benötigen."

Laut Google war End-to-End noch ein Alpha-Build und nur für die Entwickler-Community verfügbar. Sobald das Unternehmen der Ansicht ist, dass die Erweiterung bereit und fehlerfrei ist, wird sie im Chrome Web Store verfügbar sein. Es ist eine unvollständige Lösung für die Sicherheit, aber es ist noch sicherer. Die Frage ist, wird sich jemand die Mühe machen, es zu installieren?