Kasachstan schafft sich Hintertüren per Gesetz

Die Republik Kasachstan zwingt ihre Bürger per Gesetz, auf internetfähigen Geräten eine Hintertür zu installieren, die eine Überwachung erlaubt. Am 1. Januar wird es einem Bericht zufolge in Kraft treten. Wie der größte Provider des Landes, Kazaktelekom, in einem Schreiben informiert, müssen Anwender auf Desktops wie Mobilgeräten ein „Zertifikat der nationalen Sicherheit“ installieren.

Kazaktelekom feierte 2014 20-jähriges Bestehen (Bild: Kazaktelekom).

Dieses Zertifikat ermöglicht es Regierungsbehörden, jede verschlüsselte Verbindung einzusehen und abzufangen sowie auf Browserhistorie, Usernamen und Passwörter jedes Nutzers zuzugreifen. Den Providern wurde dazu die Aufgabe übertragen, zu überwachen, ob ihre Kunden dieses Zertifikat installiert haben. Die Überwachungssoftware liegt angeblich für Android und iOS, OS X und Windows vor.

Bisher sind kaum Details zu dem Gesetz bekannt. Aktuell findet sich die Mitteilung auch nicht mehr im Pressezentrum von Kazaktelekom – sie ist aber etwa noch in Googles Cache zu finden. Aufgrund der bisherigen Fakten fällt das vernichtende Urteil von Sicherheitsexperten jedoch einhellig aus.

So sagte Sicherheitsforscher Kenneth White gegenüber ZDNet, das System wäre wahrscheinlich eine Art „Superfish auf Landesebene“ – womit er sich auf Lenovos Adware-Programm Superfish bezog, das ebenfalls ein sich selbst signierendes Root-Zertifikat installierte, mit dem sich verschlüsselter Traffic entschlüsseln ließ. Zertifikate werden normalerweise von vertrauenswürdigen Stellen ausgegeben. Ein untergeschobenes Zertifikat hebelt das System aus.

White fuhr fort: „Es gibt da eine Vielzahl offensichtlicher ethischer Probleme mit staatlicher Zwangsüberwachung. Aber ich habe den Verdacht, dass die politischen Kräfte hinter dieser Maßnahme die technischen Hürden und die zu erwartenden Gegenreaktionen massiv unterschätzt haben.“ Im günstigsten Fall müsste ein Teil der Kasachen künftig mit deutlich erhöhten Sicherheitsrisiken leben.

Krypton-Security-Gründer und CCC-Mitglied Khalil Sehnaoui nannte das Vorgehen „dumm“ und eine Gefahr für die Privatsphäre. Immerhin sei Linux zum Glück ausgenommen.

Für die Organisation Privacy International mit Sitz in London sagte Richard Tynan, es handle sich um eine „besorgniserregende Entwicklung“, wenngleich leider „allzu vertraute“. „Dies spiegelt ziemlich genau das britische Gesetz wider, das Service-Provider zwingen soll, eine Hintertür zur Kommunikation ihrer Nutzer zu schaffen, und Ende-zu-Ende-Verschlüsselung komplett verbietet.“ Wenn ein aufgezwungenes Zertifikat in die Hände von Kriminellen falle, könnten diese sämtliche Kommunikation entschlüsseln. „Die Sicherheit eines ganzen Landes zu unterminieren ist unnötig und unangemessen.“

Kasachstan gilt als eher internetfeindlicher Staat, mit Tendenz zur Verschlechterung, wie Freedom House anmerkt. Beispielsweise gibt es in der früheren SSR ähnlich wie in China ein Gesetz, das Verbreitung von Gerüchten verbietet. Unruhen werden wiederholt als Anlass für teilweise Netzsperren genommen, und Berichte über Kasachen, die für die Terrorgruppe Islamischer Staat kämpfen, werden als Propaganda zensiert. Zudem sind laut einem Gerichtsurteil vom September 2014 Tools verboten, die die IP-Adresse eines Nutzers verschleiern.

[mit Material von Zack Whittaker, ZDNet.com]

Tipp: Wissen Sie alles über Edward Snowden und die NSA? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.