Sicherer Datenaustausch mit Perfect Forward Secrecy

E-Mails schreiben, Facebook checken, Online-Bankgeschäfte tätigen. Bei nahezu allem, was wir im Internet machen, können Geheimdienste wie die NSA offenbar mitlesen. Das ist spätestens seit den Enthüllungen des Whistleblowers Edward Snowden bekannt. Selbst die ziemlich sichere HTTPS-Verschlüsselung schützt nicht garantiert vor Mitlesern. Eine Variante aber verspricht nahezu völlige Sicherheit: Perfect Forward Secrecy. Eingesetzt wird sie bisher kaum.

Eigentlich ist das Surfen mittels HTTPS verschlüsselten Webseiten sicher. Eigentlich. Doch Geheimdienste wie die amerikanische NSA und der britische GCHQ sammeln selbst verschlüsselte Daten auf Vorrat, um diese später zu knacken und zu analysieren. Dafür müssen die Spione zwar erst an den geheimen Schlüssel kommen, den Browser und Server für die Kommunikation ausgetauscht haben, um die getarnten Daten lesbar zu machen. Haben Sie den irgendwann, könnte sich der abgefangene Datenmüll in verwertbare Informationen verwandeln.

Nachträgliche Entschlüsselung unmöglich

Perfect Forward Secrecy (etwa: perfekte vorwärts gerichtete Geheimhaltung) verspricht, diese Sicherheitslücke zu schließen. Bei Perfect Forward Secrecy (PFS) wird das sogenannte Diffie-Hellmann-Verfahren angewandt. Dabei wird der Sitzungsschlüssel nicht „über die Leitung“ zwischen den Kommunikationspartnern übertragen. Stattdessen einigen sich beide Partner auf einen gemeinsamen, nur für die Dauer der Sitzung gültigen Schlüssel. Nach Ende der Kommunikation wird dieser zerstört. Eine nachträgliche Entschlüsselung soll nicht möglich sein. Einzige Sicherheitslücke bei Perfect Forward Security sind sogenannte Man-in-the-Middle-Angriffe. Diese eher aufwändigen Attacken können die aktive Kommunikation manipulieren und beiden Partnern einen eigenen Schlüssel aufzwingen und so mitlesen.

Lesen Sie auch: Das können das neue iPad 5 und das iPad mini 2

Ob man PFS-geschützt surft, kann jeder selbst mit dem Test der SSL Labs https://www.ssllabs.com/ssltest/ herausfinden. Bei Googles Browser Chrome genügt ein Klick auf das Schloss vor dem „https“ in der Browserzeile. Hier stehen die Kürzel ECDHE_ und DHE_ für Perfect Forward Secrecy.

Noch ist PFS wenig verbreitet

Bisher wird PFS allerdings nur von einigen Browsern und Servern angewandt. Der Seitenaufbau mit Diffie-Hellmann dauert etwas länger, was Anbietern von Webseiten ein Dorn im Auge ist. Internetriesen wie Apple, Twitter, Microsoft, Facebook, AOL, Hotmail, Arcor, T-Online, Strato und 1&1 verzichten laut Untersuchungen von Netcraft und der Zeitschrift c’t auf dieses Plus an Sicherheit. Google, Gmail, Web.de, GMX und Posteo bieten dagegen PFS. Auf Browserseite ist die Kompatibilität deutlich besser: Chrome, Opera und Firefox bevorzugen PFS sogar.

Lesen Sie auch: Tor-Netzwerk: Online-Parallelwelt in Angst und Schrecken

Dennoch schützt Perfect Forward Secrecy nicht völlig vor Spionage: Die Technik verschlüsselt nämlich nur die Kommunikation über die Leitungen. Auf Servern werden Daten meist unverschlüsselt gespeichert und sind theoretisch lesbar. Abhilfe schaffen hier Programme wie Pretty Good Privacy (PGP) und GNU Privacy.