Die End-zu-End Verschlüsselung (oft auch als e2ee bezeichnet) gilt als die momentan sicherste Form der Verschlüsselung. Selbst die Betreiber einer Internetseite können die end-zu-end-verschlüsselten Daten ihrer Kunden nicht lesen. Nur die Kunden selbst können dies.
Manche Internetdienstleister werben damit, dass die Daten der Kunden auf ihren Servern "End-zu-Ende-verschlüsselt" sind.
Was hat es damit auf sich?
Stell dir vor, du würdest einen Brief statt in einem Umschlag in einem Tresor verschicken. Nur Du und der Empfänger des Briefes haben die Schlüssel dazu.
Der Tresor ist so sicher, das ihn niemand unterwegs öffnen kann. Nur der Empfänger des Briefes kann dies tun, den er hat ja, genau wie Du, einen passenden Schlüssel dazu.
Das ist natürlich nur eine Metapher, beschreibt aber das Prinzip der End-zu-End Verschlüsselung ganz gut.
Technisch etwas passender wäre folgende Beschreibung.
- Du schreibst einer Person eine Nachricht in einer Messenger-App, die End-zu-End-Verschlüsselung nutzt. In dem Moment, in dem Du die Nachricht eintippst, befindet sie sich noch "bei dir zu Hause" auf deinem Handy. Sie ist noch nicht online.
- Sobald du sie abschickst, verschlüsselt die App automatisch die Nachricht. In unserer Metapher ist das der Augenblick, in dem die Nachricht in den Tresor gelegt wird. (Eine digitale Nachricht wird natürlich nicht in einen Tresor gesteckt, aber sie wird mittels komplizierter Algorithmen unleserlich gemacht. Mehr dazu in unserem Beitrag zur Kryptographie.)
- Wenn die App diese Nachricht nun verschlüsselt abschickt, kann sie niemand lesen auf ihrem Weg durch das Internet zum Empfänger, denn dazu ist ein Schlüssel nötig, der nicht mitgeschickt wird. Das gilt auch für potentielle Hacker oder sonstige Dritte, die die Daten abfangen oder sich Zugriff auf die Server des Anbieters verschaffen. Auch für sie ist der Inhalt der Daten unleserlich.
- Erst auf dem Handy des Empfängers wird sie wieder lesbar, denn nur dort befindet sich der zum Lesen notwendige Schlüssel.
Das Besondere an der End-zu-End Verschlüsselung ist also, dass sich die Schlüssel zum Lesen nur auf den Geräten der Nutzer befinden.
Dasselbe gilt auch für andere Internetdienstleister, die End-zu-End Verschlüsselung anbieten, wie zum Besipiel Cloud Anbieter. Legst du deine Daten in einer End-zu-End-verschlüsselten Cloud ab, kann der Cloudanbieter nicht wissen was er da eigentlich für dich abspeichert, und dies auch niemandem zugänglich machen. Auch Hacker, die auf dem Server einbrechen, könnten nicht erkennen, was da eigentlich gespeichert ist.
Der Unterschied zur Ruhedatenverschlüsselung
Manche Anbieter bieten auch eine sogenannte "Ruhedatenverschlüsselung" an. In der Regel nutzt man dazu die englische Bezeichnung "encryptet at rest". Hier werden die Daten erst verschlüsselt, wenn sie auf dem Server angekommen sind. Dementsprechend liegen die dazu notwendigen Schlüssel auf den Servern der Anbieter.
In manchen Fällen macht das Sinn, nämlich wenn es Teil des Angebots ist, die Daten auf den Servern in irgendeiner Form weiter zu verarbeiten. Unleserliche Daten kann man ja nicht bearbeiten. Die Daten liegen dort nur verschlüsselt, so lange sie nicht bearbeitet werden.
Der Anbieter könnte sie also theoretisch jederzeit öffnen und lesen und ggf. weitergeben. Hacker, die auf diese Server einbrechen, hätten es deutlich schwerer als bei gänzlich unverschlüsselten Daten, denn sie müssten ja erst mühevoll die passenden Schlüssel für die Inhalte auf den Servern suchen. Im Prinzip könnten sie aber mit viel Aufwand an die Daten gelangen.
Ruhedatenverschlüsselung ist dementsprechend natürlich sicherer, als die Daten unverschlüsselt abzulegen, denn dann könnte jeder Mitarbeiter oder Angreifer die Daten sofort lesen und nutzen, für was auch immer. So sicher wie die End-zu-end-Verschlüsselungen ist sie aber natürlich nicht.
Was hat es mit den Hintertüren auf sich?
Immer wieder wollen Regierungen Gesetze erlassen, die Anbieter von Messengern verpflichten sogenannten Hintertüren für Ermittlungsbehörden in die Messenger zu bauen. Dies würde praktisch bedeuten die End-zu-End Verschlüsselung komplett abzuschaffen und durch "Ruhedatenverschlüsselung" zu ersetzen (siehe oben).
Es ist durchaus möglich auch an End-zu-End-verschlüsselte Daten zu gelangen, in dem zum Beispiel das Passwort erbeutet wird, oder das Gerät der Zielperson überwacht wird.
Im ersten Fall logt sich der Angreifer mit dem gestohlenen Passwort ein, und die Software "denkt" dann, es handle sich um den Originalbesitzer, da er ja das Passwort besitzt. Gegen einen solchen Angriff kann man sich zusätzlich mit einer Zwei-Faktor Authentifizierung schützen.
Im zweiten Fall installieren Behörden oder Hacker heimlich Überwachungssoftware auf dem zu überwachenden Gerät. Mit dieser können sie alle Aktionen mitverfolgen und dementsprechend auch dem Empfänger der verschlüsselten Nachrichten digital über die Schulter schauen, wenn er sie unverschlüsselt auf seinem Gerät liest.
Beides ist allerdings mit einem erheblich größeren Aufwand verbunden.
Einfach erklärt
In unserer Wiki werden schwierige Begriffe einfach erklärt. Dabei versuchen wir unnötiges, technisches Vokabular zu vermeiden und die Zusammenhänge so zu erklären, dass sie auch verstehen kann, wer die grundlegenden technischen Zusammenhänge nicht kennt.
Diese Wiki richtet sich also nicht an Menschen, die ihrer technischen Kenntnisse vertiefen möchten, sondern dient lediglich dazu, grundlegende Zusammenhänge möglichst einfach zu beschreiben.
Man unterschätze nicht die Informationen aus den Meta-Daten.
Anbieter wie Whats-App nutzen für die einzelne Nachrichten ebenfalls eine End-zu-End-Verschlüsselung. Wieso stehen sie trotzdem immer wieder datenschutzrechtlich in der Kritik?
Der Grund sind die sogenannten Meta-Daten. Das sind Informationen über den Nutzer, die unverschlüsselt mit der verschlüsselten Nachricht zusammen gespeichert werden. WhatsApp benötigt zum Beispiel die Handynummer der User als Adresse. Daneben speichert Whats-App (und auch andere Anbieter) noch weitere Informationen, wie Datum und Uhrzeit, an der die Nachricht erstellt und verschickt wurde, sowie die IP-Adressen von Sender und Empfänger, und oft noch Daten darüber hinaus, wie zum Besispiel der Standort, von dem aus die Nachricht verschickt wurde oder von welchem Gerät aus sie verschickt wurde.
Das klingt erstmal wenig. Zum Erstellen von Profilen über unbekannte Nutzer sind das aber schon mal wichtige Ansätze, aus denen man weitere Informationen ableiten kann. Zum Beispiel welche Provider die User nutzen. Daraus kann man wiederum schließen, aus welchem Land sie stammen, was für mache User in Diktaturen gefährlich werden kann. Über den Provider kann man Informationen über Namen, Wohnort oder Ähnliches herausfinden, oder auch andere persönliche Informationen, wie z.B. die Bankverbindung oder sonstige Zahlungsanbieter, über die der User den Provider bezahlt. Hat man erstmal den Namen herausgefunden, kann man auf Social Media sich ein Bild davon machen, was die Person noch sonst so über sich sich Preis gib.
Man hinterlässt zwar überall nur kleine Schnipsel an Information, aber folgt man diesen wie Hänsel und Gretel den Brotkrumen im Wald, hat man irgendwann genug Informationen zusammen, um sich ein sehr konkretes Bild des vorher unbekannten Users zu machen.
Und WhatsApp gibt von vorneherein mehr Informationen über die Meta-Daten preis, als konkurierende Messenger wie Signal oder Threema.