Die Key-Hinterlegung soll den Staat vor einem Krypto-Missbrauch schützen Industrie und Politik streiten in Deutschland über die Grenzen der Verschlüsselung

Das vertrauliche Daten und Nachrichten nur verschlüsselt durch das Internet geschickt werden sollten, liegt auf der Hand. Kryptographie gibt jedem die Möglichkeit zur unsichtbaren Kommunikation – auch kriminellen Kräften. Sollte deswegen die Hinterlegung der Schlüssel, das „Key Recovery“, zur Pflicht werden?

E-Mail liegt oft lange Zeit gut einsehbar auf Computern, ob beim Provider oder den diversen Vermittlungsrechnern (Router) auf dem Weg. Zudem steht fest, daß die internationalen Geheimdienste, allen voran die amerikanische National Security Agency (NSA), Konversation per E-Mail systematisch abhören und nach verdächtigen Inhalten überprüfen. Die NSA speichert zudem nicht nur die Nachrichten suspekter Personen, sondern lauscht ebenfalls Gesprächen in den Etagen deutscher Wirtschaftskonzerne. Aber auch der Bundesnachrichtendienst BND soll sich längst Abzweigungen zu den wichtigsten Internet-Leitungen gelegt haben, die die Bundesrepublik durchqueren, um so im Cyberspace verabredeten Verbrechen auf die Spur zu kommen.

Um weiterhin vertrauliche Dokumente austauschen zu können, nutzen zwei Gruppen die Möglichkeit der diskreten Übermittlung von Daten mittels kryptographischen Methoden. Zum einen sind dies Bürger, die keine Lust verspüren ihre privaten Mitteilungen einem offenen, unsicherem Medium anzuvertrauen. Sie vergleichen die sogenannte Kryptographie mit dem Briefumschlag der Post, der den Inhalt vor neugierigen Blicken schützt. Die andere Gruppe setzt sich aus den Vertretern eines aufblühenden Wirtschaftszweiges zusammen, ein Zweig, der über das Internet zukünftig Produkte an den Verbraucher vertreiben will. Ob Versandhandel, Banken, Kaufhäuser oder Pizza-Service – die Aufnahme einer geschäftlichen Beziehung im Cyberspace muß auf einer sicheren Technik fußen. Transaktionen über das Netz unterliegen den selben Bedingungen wie in der Realwelt: Dokumente müssen authentisch sein, daß heißt der Autor muß eindeutig bestimmbar sein, der Inhalt darf nur seinen rechtmäßigen Empfänger zugänglich sein und schließlich muß die Integrität der versandten Information gewährleistet sein. Nur die in der Diskussion stehenden kryptographischen Verfahren gewährleisten die Forderungen der Wirtschaft und befriedigen das Sicherheitsbedürfnis des einzelnen Bürgers. Durch das Gesetz zur Digitalen Signatur ist in Deutschland eine der Grundlagen für den elektronischen Handel geschaffen worden. Eine besondere Rolle kommt dabei den Trust Centern zu, die die Zusammengehörigkeit von Schlüssel und Besitzer zertifizieren. Bislang stellen beispielsweise Banken die Schlüssel für den sicheren Datenaustausch mit dem Kunden selber her und zertifizieren ihn in einem nächsten Schritt. Ob die Trust Center in naher Zukunft tatsächlich die notarielle Rolle als dritte Partei einnehmen werden, die sie sich selbst wünschen, bleibt abzuwarten. Noch warten die bestehenden Trust C enter auf größeren Kundenandrang, erst mit der massenhaften Verbreitung des E-Commerce dürften diese Zertifikationsinstanzen an Einfluß gewinnen.

Trotz massiver Einwände seitens der Wirtschaft überlegt die Bundesregierung aber noch immer, ob und wie die generelle Verschlüsselung von Nachrichten reglementiert oder gar verboten werden soll. Zur Diskussion stehen mehrere Ansätze:

• Verschlüsselung wird generell verboten.
• Es darf nur mit solchen Algorithmen verschlüsselt werden, die von staatlichen Stellen genehmigt wurden. In diese Algorithmen werden bei der Entwicklung „Hintertüren“ eingebaut, um den Behörden im Bedarfsfall die Entschlüsselung der Texte zu ermöglichen. In den USA nannte sich dieser Versuch „Clipper-Chip“
• Die Länge geheimer Schlüssel werden auf einen Maximalwert begrenzt, um das „Knacken“ chiffrierte Daten auch ohne den geheimen Schlüssel zu ermöglichen.
• Alle Anwender kryptographischer Techniken werden aufgefordert, Kopien ihrer geheimen Schlüssel bei einer staatlichen oder quasi-staatlichen Stelle zu hinterlegen. Dies ist das sogenannte „Key Recovery“ oder auch „Key Escrow“ -Verfahren.

Ein Forderung nach einem gänzlichen Verbot von Verschlüsselung spricht kein Behördenvertreter mehr offen aus, denn mittlerweile hat es sich auch bis nach Bonn rumgesprochen, daß Kryptographie nur in den Ländern verboten ist, die ihre Herrschaftsansprüche durch eine Totalüberwachung der elektronischen Kommunikation sicherstellen wollen.

Das Innenministerium unternahm mehrere Anläufe, Verschlüsselung an bestimmte Verordnungen zu binden. Innenminister Manfred Kanther forderte im April letzten Jahres ein eigenes Krypto-Gesetz, in welchem festgelegt werden sollte, wer wie stark verschlüsselt darf. Er hatte „eine gewaltige Herausforderung für die Strafverfolgungsbehörden“ ausgemacht. „Terroristen, Hehlerbanden, Anbieter harter Pornographie, Drogenschmuggler und Geldwäscher“, könnten, so Kanther, „künftig ihr Vorgehen durch kryptographische Verfahren schützen“. Nur wenn der Staat zukünftig verschlüsselte Botschaften auch wieder entschlüsseln könne, wäre die nationale Sicherheit auch in Zukunft gewährleistet. Nach den Plänen von Kanthers Behörde sollte jedwede kryptographische Hard- oder Software vom Staat genehmigt, die Schlüssel zur Entzifferung bei einer unabhängigen Institution gespeichert werden. Jeder, der nicht genehmigte Schlüssel benutzt, hätte danach mit dem Besuch des Staatsanwalts rechnen müssen. Weder Industrie noch Internet-Nutzer konnten sich mit diesen Plänen anfreunden, das Vorhaben scheiterte im Ansatz.

Mitte des Jahres schlug Staatssekretär Eduard Lintner, CSU, vor, Krypto-Verfahren an eine „freiwillige“ Prüfung durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) zu binden. Als Gegenleistung für die Hinterlegung der Schlüssel auf freiwilliger Basis sollte das werbeträchtige BSI-Zertifikat ausgestellt werden. Datenschützer und Netzbewohner wollen diesen Vorstoß nicht ernst nehmen. Sie wiesen darauf hin, daß das BSI aus der „Zentralstelle für das Chiffrierwesen“ hervorgegangen ist und als „ziviler Arm des BND“ gilt, zumindest aber zu eng mit Geheimdienst und Sicherheitsbehörden verflochten ist, als das ein Vertrauen in die sichere Schlüsselhinterlegung gewährleistet wäre.

Breite Ablehnung

Die Reaktionen auf alle Vorstöße der Reglementierung von Kryptographie waren einheitlich ablehnend. Der Vorsitzender des Bundesverbands der Datenschutzbeauftragten, Gerhard Kongehl, erklärte: „Werden die Pläne von Bundesminister Kanther tatsächlich umgesetzt, wird es in Deutschland keine sicheren Datenaustausch geben.“ Die zentrale Hinterlegung der Schlüssel hielt der Verband für ein großes Sicherheitsrisiko: „Der Anreiz, an diese Schlüssel heranzukommen, dürfte so groß sein, daß gängige Sicherheitsmaßnahmen nicht ausreichen werden, um die mit einer zentralen Schlüsselhinterlegung verbundenen Risiken auf ein erträgliches Maß zu reduzieren.“ Vertreter der Wirtschaft drückten es knapper aus: „Die Kryptographieregelung wird von der Wirtschaft nicht begrüßt“, stellte der Konzernbeauftragte für Datenschutz der Daimler-Benz AG, Alfred Büllesbusch, klar.

Was in der laufenden Diskussion meist gar nicht oder nur unzureichend berücksichtigt wird, sind die technischen Grenzen jedweder Regulierung von Kryptographie. Genehmigt die Regierung nur Verfahren, die mit einer kurzen Schlüssellänge arbeiten, kann diese Verschlüsselung auch vom regulären Benutzer, dem versierten Computeranwender am heimischen PC, entschlüsselt werden. Im Internet ist ein Bildschirmschoner erhältlich, der nebenbei einen 40-bit Schlüssel knackt (www.counterpane.com).

Bei dritten Instanzen hinterlegte Schlüssel können mißbraucht werden. Bundesjustizminister Edzard Schmidt-Jortzig gab bereits 1995 zu bedenken: „Die Erfahrung lehrt, daß jede Abhörmöglichkeit für öffentliche Stellen innerhalb kurzer Zeit auch von nichtautorisierten Stellen genutzt werden kann. Übertragen auf neue Infonetze bedeutet dies, daß ein Abhörprivileg für öffentliche Stellen im Zweifelsfall nicht eingeführt werden sollte.“ Auf jeden Fall würden die Datenbanken dieser „Trusted Third Parties“ ein Angriffspunkt für Datenspione sein. Eine Studie von führenden Kryptographie- und Computerexperten erteilte den Key Recovery Plänen der US-amerikanischen Regierung eine Abfuhr. Ronald L. Rivest, Bruce Schneier, Matt Blaze und andere Wissenschaftler weisen darauf hin, daß der Aufbau einer Schlüssel-Infrastruktur nicht nur mit enormen Kosten verbunden sei, sondern zudem zum Mißbrauch einlädt und keine Kontrolle für den Nutzer existiere. Sie bezweifeln, daß es überhaupt möglich ist, eine international funktionierende Hinterlegung geheimer Schlüssel aufzubauen. Zu diesem Ergebnis kommt auch die Business Software Alliance, eine Organisation von Software-Herstellern, welcher beispielsweise auch Microsoft, Novell und Symantec angehört, deren jüngst veröffentlichter Report die Kosten einer solchen Schlüssel-Infrastruktur auf jährlich 7.7 Milliarde US-Dollar veranschlagt.

Der organisierten Kriminalität stehen mehrere Mittel zur Verfügung, ein Verbot von Kryptographie zu umgehen. Zum einen können Nachrichten doppelt verschlüsselt werden. Dazu verschlüsselt der User zunächst mit einem unerlaubten, aber sicheren Verfahren, packt diese Nachricht dann in einen genehmigten Algorithmus ein, der so getarnt unbeschwert durch das Netz reisen kann. Ein anderer Wissenschaftszweig, die Steganographie, bietet zudem die Option, Nachrichten in Bildern zu verstecken. So transportiert, fällt dem Beobachter gar nicht auf, daß es sich nicht nur um ein Bild, sondern auch um eine getarnte Textübermittlung handelt. Der Bundesverband deutscher Banken stellte in einer Stellungnahme zu einer eventuellen Kryptoregulierung dar, daß diese auf dem Trugschluß aufbaut, „daß die Kreise, die aufgrund ihrer kriminellen Tätigkeiten Gegenstand von Abhörmaßnahmen sein können, die den Behörden bekannte Schlüssel verwenden“.

Key Recovery Center

Wer Nachrichten und Firmendaten verschlüsselt, will bei Bedarf jederzeit Zugriff auf den originären Datensatz haben. Was aber passiert, wenn der eigentliche Schlüsselinhaber nicht verfügbar ist – sei es, weil er auf Geschäftsreise ist, sich im Urlaub befindet, krank oder gar aus der Firma ausgeschieden ist? Genau hier setzt ein Projekt an, welches Key Recovery Center (KRC) in Deutschland durchsetzen will. An der Fachhochschule Rhein Sieg hat ein Team um Hartmut Pohl ein KRC der Firma TIS (Trusted Information Systems, www.tis.com) zu Testzwecken installiert. Das von Hartmut Pohl getestete KRC gibt Firmen die Möglichkeit, die elektronischen Schlüssel für ihre wichtigsten Dokumente an einem sicheren Ort zu speichern – in ihrer eigenen Firma. Die KRC-Software läuft auf jedem handelsüblichen PC unter UNIX und arbeitet schon jetzt mit allen Microsoft-Produkten zusammen. Der Anwender verschlüsselt dafür seine Daten und speichert sie zusammen mit dem benutzten Schlüssel auf seinem Server oder überträgt sie zu seinem Kommunikationspartner. Der benutzte Schlüssel wird dabei mit einem öffentlichen Schlüssel des KRC verschlüsselt. Daraufhin legt der Anwender folgende Hinweise im KRC ab:

• Die laufende Nummer der (übertragenden oder gespeicherten) Dokumente.
• Eine Adressangabe (Pointer) auf dem vom Anwender benutzten und gespeicherten Schlüssel.

• Die Senderadresse mit Identifizierungs- und Authentifizierungsinformation des Anwenders. Damit weist sich der Anwender bei erneutem Bedarf nach dem Schlüssel als Berechtigter aus.

• Identifizierungsinformation und Authentifizierungsinformation weiterer Zugriffsberechtigter. Damit werden die Zugriffsberechtigten identifiziert, die die Schlüssel ebenfalls erhalten dürfen.

Pohl betont, daß das KRC keine geheimen Schlüssel direkt speichert, sondern nur einen Adressanzeiger, den sogenannten Pointer. „Damit kann der Anwender die Sicherheitsmaßnahmen für seine Schlüssel selbst festlegen und skalieren, wie es ihm beliebt. Er ist nicht auf die Sicherheit des KRC angewiesen.“

Tritt der Fall ein, daß ein berechtigte Partei den Schlüssel wieder benötigt, stellt ihm das KRC den korrekten Schlüssel zur Verfügung, indem es diesen aus dem Speicher des Endanwenders ausliest und entschlüsselt. Das Key Recovery Center stellt, so Pohl, nicht die benötigten Dokumente zur Verfügung und erhält auch keinen Zugriff auf die Dokumente. Anwender identifizieren sich gegenüber dem KRC mit ihrer digitalen Signatur, mit Zertifikaten sowie weiteren Authentifizierungsinformationen, gleichermaßen identifiziert sich das Key Recovery Center gegenüber den Endanwendern.

Pohl konnte in der KRC-Software bislang keine Hintertür zum Abhören entdecken, rät aber trotzdem zur Vorsicht. „Das KRC sollte nicht an offene Netze wie das Internet angeschlossen werden“, sagt er, „denn dann kann auch ein Trojanisches Pferd nichts ausrichten“.

Mittlerweile existieren unterschiedliche praktische Umsetzungen und einige wenige kommerzielle Lösungen für Key Recovery Strukturen (eine ausführliche Liste hat die Kryptoexpertin und Key Recovery Befürworterin Dorothy Denning unter bereit gestellt).

Die Bezeichnung „Key Recovery“ für das von Hartmut Pohl getestete System sorgt für Verwirrung: Im Fall des KRC der Firma TIS geht es weniger um eine zentrale Schlüsselhinterlegung bei einer Behörde, sondern um die Wiedererlangung verschlüsselter Daten, dem Data Recovery.

Das neueste Paket des Quasi-Standards für Verschlüsselung von E-Mail, PGP (Pretty Good Privacy), bietet in der Business- wie in der freien Version eine Funktion zum Key Recovery an. Was für Firmen als bequem und nützlich gilt, ist in den Augen vieler privater PGP-Nutzer der Pferdefuß des Programms. Denn so würde einer wichtigen Voraussetzung für die weltweite Durchsetzung von Key Recovery Vorschub geleistet: Eine bereits eingeführte Software. PGP-Gründer Phil Zimmermann wehrt sich gegen den Vorwurf auf Umwegen eine Key Recovery Infrastruktur zu unterstützen. Er nennt den Mechanismus in PGP 5.53 nicht Key Recovery, sondern Company Message Recovery (CMR). Hitzig wird seitdem gestritten, ob es sich dabei nur um eine andere Bezeichnung für Key Recovery handelt. Eines steht fest: In der Zukunft muß zwischen Key Recovery, Message Recovery und Data Recovery unterschieden werden. Während beim Key Recovery ein Zugriff auf den geheimen Schlüssel des Benutzers erfolgt, versucht man beim Message Recovery die Kommunikationsinhalte durch technische Hintertüren, ohne Zugriff auf den Schlüssel des Benutzers, zu erhalten. Das Data Recovery erlaubt dagegen den Zugriff auf dauerhaft gespeicherte Daten einer Firma oder Behörde.

Frankfurter Allgemeine Zeitung v. 10.12.1996

Wem gebe ich meinen Schlüssel?

Trust-Center sollen die zukünftige Kommunikation im Internet organisieren

Noch immer boomt das Internet. Täglich schließen sich mehr Leute an das weltumspannenden Computernetz an, knüpfen Kontakt zu Gleichgesinnten, suchen Informationen oder gleiten über die bunten Bilder des World Wide Web (WWW). Online sein ist in, eine elektronische Adresse auf der Visitenkarte gehört teilweise schon zur Grundausstattung eines Großstadtbewohners, besser noch die eigene Homepage. Wo viele Menschen aufeinandertreffen, hofft die Wirtschaft auf ihr Geschäft, denn auch das virtuelle Dorf will versorgt sein. Der Traum der Kaufleute: Morgens liest der Kunde die Zeitung am Bildschirm und erledigt seine Bankgeschäfte, mittags kauft er einen Anzug, bestellt gleich ein paar Schuhe mit und abends wird die Pizza zum Fernsehen ebenfalls über das Netz geordert. Mit den Daten fließt dann, so die Hoffnung, viel Geld durch die Drähte.

Zwei Faktoren verhinderten bislang allerdings, daß aus dem Internet eine finanzielle Quelle wurde. Zum einen wehren sich die Ureinwohner des Netzes gegen die Kommerzialisierung, sie sehen den Sinn des weltweiten Datenaustausches in der freien, globalen Kommunikation. Virtuelle Einkaufszentren hält man für nutzlose Konsumtempel. Zum anderen scheitern Geschäfte über den Computer an der fehlenden Identifikation des Partners. Wer weiß denn, ob sich hinter der E-Mail Adresse wirklich der verbirgt, der er vorgibt zu sein? Und wie kann man dem elektronischen Kunden seine Zahlungsfähigkeit ansehen? Und warum sollte dieser seine Kreditkartennummer preisgeben, wenn sie offen durch die Leitungen reist? Damit sich digitaler Einkauf samt dazugehörigem Geldverkehr etabliert, gründen sich in der Bundesrepublik jetzt sogenannten „Trust-Center“. Diese überprüfen die Identität des Partners, so daß sich die beide sicher sein können, daß der jeweilige Gegenüber ihr Vertrauen verdient. In Meppen und bei der Telekom in Siegen legte man dieses Jahr den Grundstein für Trust-Center.

Im Mikroelektronik Anwendungszentrum (www.maz.de) in Hamburg-Harburg baut man zur Zeit ebenfalls ein solches Trust-Center (www.trustcenter.de) auf. „Um die Rolle dieses Institution zu verstehen, muß man die ihnen zu Grunde liegenden Techniken begreifen“, sagt Michael Hortmann, Projektleiter beim MAZ. Grundlage vertrauenswürdiger Transaktion im Netz ist die Verschlüsselung von Nachrichten, die Kryptographie. Früher hauptsächlich im militärischen Bereich eingesetzt, benutzen heute immer mehr Menschen Verschlüsselungsprogramme, damit kein Unbefugter ihre Nachrichten lesen kann, wenn sie um die Welt reisen. Kryptographie entspricht also einem Briefumschlag. Wirklich gute -weil nicht entschlüsselbare- Programme für den PC, wie PGP („Pretty Good Privacy“), arbeiten mit zwei „Schlüsseln“. Jeder Benutzer verfügt über zwei Schüssel; einer davon, der „öffentliche Schlüssel“, ist jedermann zugänglich, während der zweite „private Schlüssel“ niemand anderem bekannt sein darf. Wollen Kunde und Anbieter über das Internet ein Geschäft eingehen, verschlüsselt jeder seine Nachricht mit dem öffentlichen Schlüssel des Partners und schickt sie in die Weiten des Netzes. Dazu hat er zunächst den Schlüssel des Partners angefordert und bekommen. Die Verschlüsselung aufheben kann nur der Besitzer des zugehörigen geheimen Schlüssels. Nun kommt schon bei geselligen Privatleuten nach einiger Zeit ein enorm großes Schlüsselbund zustande, denn von jeder Person, mit der ungestört kommuniziert werden soll, muß der öffentliche Schlüssel angefordert und zudem sichergestellt werden, daß er authentisch vom Partner stammt. Wenn Behörden und Unternehmen das Internet in Zukunft vermehrt nutzen, dürfte ihr Schlüsselbund groteske Ausmaße annehmen.

Die entstehenden Trust-Center wollen Ordnung in das drohende Chaos bringen, indem sie die Schlüssel ihre Klienten verläßlich verwalten. Die besonders wichtige Zuordnung des öffentlichen Schlüssel zum einzelnen Teilnehmer sei, so meint zumindest Hortmann, nur auf diesem Wege zu gewährleisten. Ein Beispiel: Wenn man seiner Bank vertrauliche Daten übermitteln möchte, sollte man sicher sein, daß der benutzte öffentliche Schlüssel auch tatsächlich der Bank gehört und nicht jemandem, der deren Identität nur vorspiegelt. Diese vertrauenswürdige Zuordnung leistet das Trust-Center durch ein digitales Zertifikat, vergleichbar einem Paß, welcher nachweist, daß Person und Schlüssel zusammen gehören. Die Kosten sind für ein breites Publikum tragbar, ein Zertifikat der niedrigsten Sicherheitsstufe wird etwa zehn Mark jährlich kosten. Hortmann und die MAZ wünschen sich ein „Massenpublikum“ als Klientel, was aber nur zu erreichen sei, „wenn genügend Firmen und Behörden mitmachen, die als Kommunikations- und Vertragspartner für viele begehrt sind“. Erste Schritte in Richtung einer globalen Kooperation sind bereits vollzogen, denn das MAZ steht in Verhandlungen mit Netscape, der Firma, die das gängigste Programm zum surfen im WWW, den sogenannten Browsern, vertreibt. Für den sicherheitsbewußten Anwender vor dem heimischen PC soll der verwirrende Umgang mit den Schlüsseln damit einfacher gemacht werden, denn der Netscape-Browser verwaltet die Schlüssel selbständig.

Die Idee zur Einrichtung der Trust-Center findet ihren Grund aber nicht nur im Willen der Wirtschaft, endlich Gewinne aus dem Internet zu ziehen. Vielmehr soll damit auch eines der Hauptprobleme der Verschlüsselung von Daten gelöst werden. Weltweit sehen Regierungen Kryptographie in erster Linie als gefährliche Waffe in Händen von Verbrechern. Nachrichten, die mithilfe von PGP codiert sind, kann selbst der amerikanische Geheimdienst mit seinen Hochleistungsrechner kaum noch knacken – ein Horrorszenario für die Staatsschützer. Die USA schlugen deshalb jüngst eine Regelung vor, die Anwendern zwar die Verschlüsselung ihrer Briefe gestattet, die öffentlichen wie geheimen Schlüssel müßten aber, geht es nach den Vorstellungen der Clinton-Administration, unabhängigen Einrichtungen ausgehändigt werden. In Bonn ist ein Kryptographie-Gesetz in Vorbereitung, welches dem amerikanischen Vorbild maßgeblich ähnelt.

Im Netz selber laufen die Menschen Sturm gegen jedwede Pläne, welche die Codierung ihrer Daten einschränken. Die große Mehrheit hält eine digitale Signatur nur dann für vertrauenswürdig, wenn niemand außer dem Inhaber Zugang zu einer Kopie des geheimen Schlüssels hat. Zudem glaubt man, daß die Regierungen mit der Vergabe und dem Entzug von Lizenzen für Verschlüsselungsverfahren den Markt regulieren werden und nur die Verfahren zulassen, die mit einigem Aufwand doch zu entschlüsseln sind. Ihr weiterer Verdacht: Der Umstand, daß zum ersten Mal in der Geschichte jedermann ungekürzt und unzensiert publizieren kann, stört die Machthaber. Die Apologeten des freien Datenflusses finden Unterstützung von juristischer Seite. Johann Bizer, Rechtsexperte für die Verschlüsselung von Daten, zieht aus den Grundrechten den Anspruch jedes Bürgers, unbehelligt vom Staat seinen individuellen Schutzbemühungen nachzugehen. Beides, ein Verbot von Verschlüsselung ebenso wie die Einführung von Lizensierungsverfahren, die den Sicherheitsbehörden einen Zugriff auf private Schlüssel ermöglichen, verletzen nach Ansicht Bizers die im Grundgesetz verankerten Grundrechte. Für den Staat stellen sich die entscheidenen Fragen anders, wobei Justizminister Edzard Schmidt-Jortzig den Kern des Problems trifft. Nicht ohne weiteres entschlüsselbare Verfahren seien sowohl für den Ausbau der kommerziellen Nutzung wie für die Wahrung der Privatsphäre ohne Zweifel nötig, meint der FDP-Politiker. Andererseits müsse wie bei Brief und Telefon die Möglichkeit bestehen, im Rahmen einer richterlichen Anordnung die Nachrichten einzelner Sender oder Empfänger zu überwachen. Zugleich gibt er zu: „Die bisherige Praxis zeigt, daß Verdächtige, die sich der Gefahr der Abhörung bewußt sind, eh auf andere Kommunikationswege ausweichen und nicht etwa verschlüsse lte Nachrichten versenden.“

Im MAZ tritt man der Diskussion auf eigene Art entgegen. Hortmann will das Managment der Schlüssel so regeln, daß die privaten Schlüssel der Teilnehmer gar nicht im Trust-Center gespeichert sind. „Falls ein Kunde die Verwahrung seines geheimen Schlüssels wünscht, und das kann durchaus sinnvoll sein, schlagen wir eine Speicherung von Teilschlüsseln bei verschiedenen Trust-Centern oder Notaren vor.“ Auch die anderen Trust-Center in der Republik ziehen es vor, keine geheimen Schlüssel zu speichern. Den Überlegungen der Bundesregierung, elektronische Kommunikation an die Abgabe beider Schlüssel zu binden, steht der Mathematiker an der Universität Bremen skeptisch gegenüber. Er fordert mindestens zwei voneinander unabhänige Institutionen, die Teilschlüssel erhalten. Eine technische Rafinesse soll die Neugier der Abhörer zusätzlich bremsen. Hortmann schlägt vor, die Verschlüsselung so konfigurieren, daß sich bei Herausgabe des Schlüssels an eine Behörde nur ein gewisses „Zeitfenster“ für das Abhören öffnet.

Die Meinungsfreiheit im Zeitalter des Internet

Internet Online 2/1996

Der Mythos lebt: Auf fernen Rechnern lagern Abbilder nackter Menschen, Rezepte für Rauschmittel, gar Anleitungen zum Bombenbau – frei zugänglich für jeden der einen Computer und ein Modem sein eigen nennt. Noch immer gilt das Internet als rechtsfreier Raum, als virtueller Ort mit selbstgeschaffenen Gesetzen. Nutzten bislang vor allem Randgruppen -von den Kanälen der bedruckten und audiovisuellen Medien weitgehend ausgeschlossen- das Netz als Plattform für ihr Anliegen, surft heute der „Otto-Normalverbraucher“ über die bunten Bilder des World Wide Web.

Das anarchische Chaos ist geblieben, ein Chaos, durch welches sich Regierungen auf dem gesamten Globus bedroht fühlen. Reagiert wird auf unterschiedliche Weise. China filtert und zensiert seit Anfang des Jahres die über das Internet eingehenden Daten systematisch. Der afrikanische Kontinent ist bisher ein ignorierter Vorort in globalen Dorf, die nur knapp 300 Tausend Hosts stehen fast allesamt in der Republik Südafrika, in den anderen Ländern sind die Zugangsbedingungen extrem erschwert und werden vom Staat kontrolliert. In der westlichen Hemissphäre bleibt unklar, wie das wild wuchernde Netz in den rechtstaatlichen Griff zu kriegen ist. Kopien von Texten und ganzen Büchern können binnen Sekunden um die Welt geschickt, pornographische Bilder ausgetauscht und Straftaten vorbereitet werden. Ohne einen rechten Ausweg aus dieser Lage zu beschreiten, überlegte die Staatsgewalt kurzzeitig, die Anbieter von Internet-Diensten (Provider) für den Inhalt der über ihre technischen Infrastruktur laufenden Daten verantwortlich zu machen. Die Logik griff zu kurz, denn die Post wird auch nicht verklagt, weil sie Pornographie transportiert. Nicht erst seit dem Gutachten von Professor Ulrich Sieber, 45, ist klar, daß die Provider nicht dafür verantwortlich sind, wenn sich ihre Kunden illegale Bilder aus dem internationalen Netzverbunde holen. Uneinigkeit herrscht aber in der Frage, inwieweit ein Anbieter intervenieren muß, wenn er Kenntnis davon erhält, daß irgendwo im Internet strafbare Inhalte zu finden sind. Eine Reihe weiterer Fragen schließt sich dann an: Muß er sich aktiv informieren und wieviel Zeit muß er darauf verwenden? Welcher Strafbestand wird erfüllt, wenn er nicht handelt? Mitwisserschaft bei Straftaten oder sogar Beihilfe?

Strafrechtsexperte Sieber stellt sich hinter die Provider und den einzelnen Nutzer: „Wenn wir keinen Überwachungsstaat wollen, müssen wir mit der Möglichkeit des internationalen Mißbrauchs leben.“ In Bonn verschiebt die Regierung das Problem in den Bereich des Presserechts, welches durch das Prinzip der Selbstkontrolle geprägt ist. Nicht die Einsicht, daß Zensur in einem demokratischen Staat nicht stattfinden sollte, sondern die Kapitulation vor einer mit nationalen Gesetzen nicht zu regelnden Materie ließ die Politiker diesen Schluß ziehen. Zudem sieht auch die Bundesregierung ein, daß der Anteil potenitell rechtswidriger Inhalte im Internet „deutlich weniger als ein Prozent“ beträgt. Verschiedene Provider begriffen die Chance, weitgehend unabhängig von staatlicher Einflußnahme eine eigene „Gerichtsbarkeit“ aufzubauen. „Internet-Medienrat“ oder „Internet Content Task Force“ (ICTF), heißen die Projekte, die entstanden. Die ICTF will sich hauptsächlich mit dem News-Dienst im Internet auseinandersetzen, hier vermutet man das größte illegale Potential im Netz. Dabei sollen vorhandenen Informationen über die Herkunft von News erfasst und so eine Datenbank erstellt werden, mit der auch nachträglich ermittelt werden kann, wer einen Artikel verschickt oder wer die Identität des wahren Autors verschleiert hat. Weiterhin klassifiziert die ICTF vorhandenen oder neu eingerichtete Newsgroups, so daß Gruppen, die nach Ansicht der Experten des Gremiums ausschließlich oder überwiegend der Verbreitung rechtswidriger Informationen dienen, von der weiteren Distribution ausgeschlossen werden können. Im Netz selber werden diese Aktivitäten eher argwöhnisch betrachtet. Der Vorwurf: Die selbsternannten Kontrolleure ziehen ihre Legitimation nicht aus der Cybercommunity, ihre de-facto Exekutivgewalt sei ebenfalls selbstverliehen. An den Nutzern vorbei sei hier eine Kontrollinstitution geschaffen worden, deren Entscheidungen nicht schon deswegen richtig seien, weil sie von sogenannten Experten gefällt werden. Zudem sei nicht zu verhindern, daß in einer Newsgroup der eine Drogenabhängige nach Hilfe sucht und zugleich der andere ein Rezept für Ecstasy. Der Mitbegründer der „Electronic Frontier Foundation“, John Perry Barlow, tritt aus diesem Grunde dafür ein, daß im Internet jeder behaupten kann, was er will: „Man kontrolliert Ideen nicht mit dem Versuch, ihre Äußerung zu untersagen“, behauptet er.

Eine erste Feuertaufe mußte das ICTF schon über sich ergehen lassen. Vor kurzem erhielten die freiwilligen Kontrolleure ein Fax der Bundesanwaltschaft, in welchem die obersten Ankläger darauf hinwiesen, daß die in Deutschland verbotene Zeitschrift „Radikal“ beim holländischen Provider XS4ALL verfügbar ist. Es wurde die Empfehlung ausgesprochen, den Zugang zu der holländischen Adresse zu sperren. Die Anwälte der ICTF folgten dem Anliegen und gaben ihrerseits die Empfehlung an die dem ECO (Electronic Commerce Forum) angeschlossenen Provider weiter. Mit mehr oder weniger großer Kooperationsbereitschaft folgten die Anbieter der Aufforderung zur Sperrung. Die Konsequenz: XS4ALL ist von Deutschland aus nicht mehr erreichbar, zugleich rückte die Bundesrepublik in einer inoffiziellen Rangliste der weltbesten Zensurstaaten auf Platz drei hinter China und Singapur. Und: Die ICTF sieht sich momentan einer Flut von Hinweisen ausgesetzt, die illegales Material im Netz aufdecken. Theoretisch müsste der Verein für jede dieser Hinweise Prüfungen durchführen und -wie im Falle von XS4ALL- die Provider benachrichtigen. Offentsichtlich ist die ICTF nicht in der Lage, diesen enormen Arbeitsaufwand zu leisten und hat deswegen zunächst die Bundesanwaltschaft aufgefordert, eine Klärung auf gerichtlichem Wege herbeizuführen.

Alteingesessene Netzbewohner weisen in der Diskussion immer wieder darauf hin, daß sich die bisherigen Probleme gut innerhalb der virtuellen Gemeinschaft lösen ließen. Allergisch reagieren die Pioniere vor allem auf jedwede Aktivität von staatlicher oder privater Seite, die den freien Fluß von Daten verhindert. Die freie Meinungsäußerung sei Prämisse jeder Kommunikation im Internet. Kontrollgremien wie der „Internet Medienrat“ behaupten dagegen, daß das im Cyberspace selbst entwickelte System des Miteinander – „Netiquette“ genannt- gegen die Grundordnung der realen Gesellschaft verstößt. Sofern die Teilnehmer auf Mißbrauchsfälle selbst mit Sanktionen reagieren, beschneidet man die Betroffenen ihrer grundlegenden Rechte – insbesondere den Anspruch auf eine faire und unabhängige Überprüfung der ergriffenen Maßnahmen. Ob dies ein durch die virtuellen Gemeinschaft nicht getragenes Kontrollgremium wie der „Internet Medienrat“ zu leisten vermag, wird aber von anderer Seite ebenfalls bezweifelt.

Fest steht: Sein exponentielle Wachstum ließ das Internet von der gesellschaftlichen Randerscheinung zum festen Bestandteil des kulturellen Alltags werden. Indem es Teil der Gesellschaft wurde, kann es sich gewisser rechtlicher Reglementierungen kaum noch entziehen. Das im Netz entwickelte normative Gefüge stimmt dabei in Teilen nicht mit dem Rechtssystem Deutschlands und dem anderer Staaten überein. Erst dies zwingt die Politiker zum Handeln.

Jörg Auf dem Hövel