Der IT-Sicherheitsblog

Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) spricht in dieser Pressemitteilung schon ein wirklich wichtiges Thema an, mit dem fast jeder schon so seine Erfahrungen gemacht hat: Eine E-Mail wird an den falschen Adressaten geschickt, weil die automatische Adressvervollständigung des E-Mail-Programms einen Fehler gemacht und man es nicht bemerkt hat.

Der Text des ULD suggeriert, dass die Verschlüsselung einer E-Mail hier hilft: „Gerät eine E-Mail, die man nur für den berechtigten Empfänger verschlüsselt hat, an die falsche Adresse, ist es halb so schlimm: Immerhin kann der Fehladressat den Inhalt nicht entschlüsseln, sondern lediglich Betrefftext und die Kommunikationsabsicht feststellen.“

Das hier zugrundeliegende Kommunikationsmodell ist längst überholt: Man tippte den Mailtext in einen Editor und kopierte ihn dann in die Zwischenablage. Danach wurde die Zwischenablage mit PGP verschlüsselt und dann der verschlüsselte Text in die eigentliche Mail eingefügt. Da wurde in der Tat der Empfänger zweimal ausgewählt: einmal beim Verschlüsseln und einmal beim Adressieren der E-Mail.

Heute ist das anders, da sich das E-Mail-Programm um die Verschlüsselung der E-Mails kümmert. Die Verschlüsslung erfolgt automatisch ohne weiteres Zutun des Absenders, wenn das Häkchen für die Verschlüsslung gesetzt wird. Und da alles automatisch geschieht, erfolgt die Auswahl des Schlüssels über die E-Mail-Adresse des Empfängers. Ist die E-Mail-Adresse falsch, dann wird auch der falsche Schlüssel genommen. Konsequenz: der falsche Empfänger („Fehladressat“) kann die E-Mail sehr wohl entschlüsseln. Nur wenn der falsche Empfänger zufällig keinen Schlüssel hat, hilft die Warn- oder Fehlermeldung.

Eine Frage bleibt noch: wie verschlüsselt eigentlich das ULD seine E-Mails? Mit GnuPG, das ist schon klar, aber wie ist die Integration der Verschlüsslung in den E-Mail-Workflow? Über die Zwischenablage?

Heute Morgen in der S-Bahn in München: zwei Kabel kommen aus der Decke der S-Bahn. Wird da gerade die Firmware der S-Bahn gepatcht? Hat sich da jemand in den Zug gehackt, um die Steuerung zu übernehmen? Oder werden hier schon die gestern beschlossenen Digitalen Stromzähler in der S-Bahn ausgelesen?

Alles falsch. Auch in den Nahverkehrszügen soll von der Bahn WLAN angeboten werden. Die Vorbereitungen hierzu laufe aber offensichtlich schon länger. Bis zum Jahresende soll erstmal in allen ICE auch in der zweiten Klasse kostenloses WLAN angeboten werden. Erst vor wenigen Tagen wurde eine Vereinbarung zwischen der Deutschen Bahn und Verkehrsminister Dobrindt unterzeichnet. Der Empfang im ICE steht und fällt mit der Verfügbarkeit des Mobilfunks entlang der Strecke. Und da gibt es noch viele schwärze Löcher, d.h. kein Empfang.

Und deshalb fahren Techniker alle Strecken ab, um den Mobilfunkempfang zu vermessen. Ein Koffer mit sechs Samsung (?) Smartphones misst die Signalstärke des GPS/UMTS/LTE entlang der Strecke. Also doch Wardriving, aber nicht nach versteckten WLAN-Netzen sondern nach Mobilfunk-Empfangsstärke.

Offensichtlich gehen die beiden Kabel zu Antennen auf oder unter dem Dach der S-Bahn. Und die Handys zeichnen die Signalstärke getrennt nach Providern und Funktechnik auf. Wahrscheinlich sind deshalb auch die SIM-Karten nicht im Handy sondern auf einer Zusatzplatine.

Laut Aussagen der Techniker reisen solche Koffer schon länger durch Deutschland. Nachdem die Fernverkehrsstrecken vermessen sind, werden jetzt die Nahverkehrsstrecken vermessen.