US-Regierungsbehörden fordern von Internetfirmen Herausgabe von Nutzerpasswörtern

Die US-Regierung verlangt offenbar von großen Internetfirmen, gespeicherte Nutzerpasswörter offenzulegen, wie zwei mit solchen Anfragen vertraute Brancheninsider gegenüber CNET erklärten. Das würde eine weitere Stufe der Überwachung darstellen, die bisher nicht bekannt war.

Sollten Regierungsbehörden das Passwort einer Person herausfinden, das normalerweise in verschlüsselter Form gespeichert ist, könnten sie sich an einem Nutzerkonto anmelden, um vertrauliche Kommunikation mitzulesen oder sich sogar als die Person auszugeben. Ein einmal erhaltenes Passwort könnte zudem Zugriff auf passwortgeschützte Geräten geben, falls der Nutzer es mehrfach verwendet hat.

„Ich habe sie auf jeden Fall nach Passwörtern fragen sehen“, sagte eine Quelle aus der Internetbranche, die anonym bleiben will. „Wir haben das abgelehnt.“

Ein zweiter Informant, der bei einem großem Silicon-Valley-Unternehmen gearbeitet hat, bestätigte, dass dort Anfragen der Regierung nach gespeicherten Passwörtern eingegangen seien. Firmen überprüften diese Anfragen wirklich sehr genau, betonte er. „Oft gilt: ‚Nur über meine Leiche‘.“

Einige der Regierungsanfragen verlangen den Quellen von CNET zufolge nicht nur die Herausgabe der Nutzerpasswörter, sondern auch der Verschlüsselungsalgorithmen und des sogenannten Salt. Bei Letzterem handelt es sich um eine zufällige Zeichenfolge aus Buchstaben und Ziffern, die eine Umkehrung des Verschlüsselungsprozesses und damit die Ermittlung des Passworts erschwert. In manchen Fällen sei auch Zugriff auf die vertraulichen Antworten auf Sicherheitsfragen gefordert worden, die mit einem Nutzerkonto verknüpft sind, um es zusätzlich abzusichern. Das FBI lehnte jeden Kommentar ab.

Ein Microsoft-Vertreter wollte sich auf Nachfrage nicht dazu äußern, ob sein Unternehmen solche Anfragen der Regierung erhalten hat. Auf die Frage, ob Microsoft Passwörter, Salt-Zeichenfolgen oder Algorithmen offenlege, antwortete er aber: „Nein, das tun wir nicht, und wir können uns keine Umstände vorstellen, in denen wir sie mitteilen würden.“

Google schweigt ebenfalls dazu, ob es diese Art Anfragen gegeben hat. Ein Sprecher betonte jedoch, dass man „niemals“ ein verschlüsseltes Nutzerpasswort herausgegeben habe. Das Unternehmen verfüge zudem über eine Rechtsabteilung, die regelmäßig Anfragen zurückweise, bei denen es um Beweisausforschung gehe oder die anderweitig problematisch seien. „Wir nehmen die Privatsphäre und Sicherheit unserer Nutzer sehr ernst“, sagte der Sprecher.

Eine Yahoo-Sprecherin erklärte: „Wenn wir eine Anfrage von Strafverfolgungsbehörden nach dem Passwort eines Nuzers erhalten, lehnen wir diese mit der Begründung ab, dass sie dadurch übermäßig breiten Zugang zu den persönlichen Informationen unserer Nutzer erhielten. Wenn von uns die Herausgabe von Daten verlangt wird, kommen wir dem nur in der striktesten Auslegung des Gesetzes nach.“

Einige Einzelheiten bleiben unklar, etwa seit wann es solche Anfragen gibt und ob sie stets nur auf Einzelpersonen oder auch ganze Passwortdatenbanken abzielen. Auf Grundlage des Patriot Act wurde in der Vergangenheit schon Einblick in gesamte Datenbanken mit Telefonverbindungsnachweisen verlangt. Kritiker gehen schon länger von einer umfangreicheren Verwendung aus. „Die Befugnisse der Regierung sind praktisch grenzenlos“ unter diesem Gesetz, sagte der demokratische Senator Ron Wyden, Mitglied des Geheimdienstkomitees des US-Senats, diese Woche auf einer Veranstaltung in Washington.

[mit Material von Declan McCullagh, News.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de