Startseite

Microsoft kann Verschlüsselung aushebeln

Mit einem versteckten Update kann Microsoft scheinbar sichere Verbindungen aushebeln, wie die Zeitschrift "c't" aufdeckt. Damit können Nutzer getäuscht und vertrauliche Dokumente ausgespäht werden.

Von Christoph Fröhlich

  Die Fachzeitschrift "c't" erhebt schwere Vorwürfe gegen den Konzern Microsoft

Die Fachzeitschrift "c't" erhebt schwere Vorwürfe gegen den Konzern Microsoft

Seit den ersten Enthüllungen von Whistleblower Edward Snowden steht der IT-Riese Microsoft in der Kritik, Geheimdiensten das Mitlesen und Sammeln von privaten Daten zu ermöglichen. So soll der Windows-Hersteller etwa den Zugriff auf vermeintlich sichere Internet-Telefonate des Microsoft-Diensts Skype und E-Mails des Nachrichtendiensts Outlook.com erlauben. Nun erhebt die Computer-Fachzeitschrift "c't" einen weiteren schweren Vorwurf: Angeblich kann das Unternehmen mit einer bislang weitgehend unbeachteten Funktion des Windows-Betriebssystems den Zugriff auf verschlüsselte Internetverbindungen der User ermöglichen - etwa im Auftrag der NSA.

Heimliche Updates

Konkret geht es um sogenannte SSL-Verbindungen (secure sockets layer), die etwa beim Onlinebanking oder beim E-Mail-Anbieter zum Einsatz kommen. Liegt eine solche Verbindung vor, steht statt "http" ein "https" in der Browserzeile. Zusätzlich ist ein Schloss zu sehen. Doch mit Sicherheit hat das nichts zu tun: "Auf die Verschlüsselung von Windows kann man sich nicht wirklich verlassen", schreibt die Zeitschrift. Denn Microsoft könne dem Betriebssystem "jederzeit und unsichtbar für den Anwender neue Zertifikate unterschieben", so "c't".

Mit einem Zertifikat zeigt eine Webseite dem Browser an, dass sie echt ist. Fehlt ein solcher Beleg, erscheint eine Warnung, in der es heißt: "Dieser Verbindung wird nicht vertraut." Jeder Browser hat eine Liste von vertrauenswürdigen Stammzertifikaten, der Internet Explorer nutzt die von Windows.

Mit einer speziellen Update-Funktion kann Microsoft die systemeigene Liste der Stammzertifikate offenbar jederzeit aktualisieren. Der Nutzer bemerkt von dem Update-Vorgang nichts. "Der Import geschieht unsichtbar im Hintergrund durch einen Systemprozess für das ganze System", schreibt "c't". Die Funktion sei seit einigen Jahren bei allen Windows-Versionen standardmäßig aktiviert. Doch was bedeutet das für die Nutzer?

Auch Safari- und Chrome-User betroffen

Um das zu erklären, muss man etwas ausholen. Ausgestellt werden die Zertifikate, die die Echtheit der Webseiten belegen, von vertrauenswürdigen Zertifizierungsstellen, den sogenannten Certificate Authorities (CA). Dazu gehören neben Microsoft etwa die Deutsche Telekom, aber auch Regierungsbehörden, der US-Mobilfunkanbieter Verizon oder das Kreditunternehmen Visa. Es gibt eine öffentlich einsehbare Liste mit allen für Windows 8 zertifizierten CAs, allerdings ist unklar, ob diese wirklich vollständig ist.

Denn Microsoft betreibt zudem ein "Root Certificate Program", für das sich einzelne CAs bewerben können, um in die Liste aufgenommen zu werden. Der Prozess wird laut Microsoft streng überwacht, auch die CAs würden regelmäßig überprüft. Dennoch kann Microsoft theoretisch zusätzliche CAs "selektiv und quasi unsichtbar" auf einzelnen PCs nachinstallieren, schreibt "c't". So könnte mit den dynamisch nachgeladenen CA-Zertifikaten beispielsweise der komplette SSL-verschlüsselte Netzwerkverkehr von Behörden mitgelesen, verschlüsselte E-Mails kompromittiert oder Trojaner so getarnt werden, dass sie als legitime Treiber-Software durchgehen und so den User ausschnüffeln.

Nicht nur Nutzer des Internet Explorers sind von dieser Hintertür betroffen. Auch Apples Safari und Googles Chrome-Browser greifen laut "c't" auf die Krypto-Infrastruktur des Betriebssystems zurück. Einzig Mozilla hat mit Firefox eine eigene Krypto-Bibliothek. Folglich können keine Zertifikate eingeschleust werden.

Nur bedingter Schutz möglich

Zwar lassen sich die automatischen Updates ausschalten, technisch nicht versierten Nutzern wird davon allerdings abgeraten. Beim Betriebssystem Windows 8 kann das etwa zu Problemen beim Surfen führen, da Microsoft bei seiner neuesten Software nur noch einen sehr reduzierten Satz an CA-Zertifikaten mitliefert. Bei bestimmten Webseiten kann es deshalb zu Fehlermeldungen kommen. Um sich vor der Hintertür zu schützen, gibt es laut "c't" nur eine radikale Möglichkeit: den Wechsel des Betriebssystems. Sinnvoll ist das für die meisten Nutzer aber nicht.

Trotzdem kann man die eigene Privatsphäre verbessern, etwa mit dem Einsatz von Verschlüsselungs-Tools für Dateien und E-Mails und sicheren Online-Backup-Lösungen. In dieser Übersicht stellt stern.de empfehlenswerte Dienste vor.

Stern Logo Das könnte Sie auch interessieren

Was tun gegen ständige Lärmbelästigung in der Straße durch Lokal
Hallo, was kann man dagegen unternehmen wenn jedes Wochenende eine große Afterwork Studenten Party in dem Tanzlokal nebenan stattfindet. Es findet jedes mal eine massive Ruhestörung vor. Es geht meistens von 23:00 bis 03:00 Morgens. Unsere Lebensqualität ist momentan arg eingeschränkt. Wir wussten schon als wir hierher gezogen sind das es ab und zu etwas lauter sein kann. Aber das es jetzt solche extremen Ausmaße nimmt konnten wir nicht ahnen. Bei der Polizei ist dieses Party/Lokal wegen Ruhestörung bekannt. Nur leider unternimmt niemand etwas dagegen. Wir wohnen jetzt 5 Jahre in der Wohnung neben dem Lokal. Aber wir sind jetzt am überlegen deshalb nächstes Jahr wenn es finanziell möglich ist umzuziehen. Was kann man solange tun? Fenster im Sommer geschlossen halten ist unzumutbar. Beschweren beim Lokal Besitzer sowie bei der örtlichen Stadt die sowas genehmigt bringt auch nichts. Wenn es heißt war um wir dort hin gezogen sind, leider ist Heilbronn momentan eine reine Studentenstadt , das heißt als wir hierher gezogen sind waren damals nicht viele für uns preiswerte Wohnungen verfügbar, außerdem wurden damals schon sehr viele Wohnung nur an Studenten vermietet. Das heißt , uns ist nichts anderes übrig geblieben die günstigste Wohnung zu nehmen. Wie oben beschrieben hatten wir kein Problem damit das ab und an eine Veranstaltung stattfindet. Nur , es findet jetzt jedes Wochenende etwas sehr lautstarkes statt.
Ionisiertes Wasser oder Osmosewasser ?
Klar
Liebe Sternchen Community. Vor kurzem war ich bei einem Arzt und er hatte Azidose bzw. eine latente Übersäuerung festgestellt. Daraufhin habe ich viel recherchiert und einige Bücher gelesen. Erst bin ich auf die basische Ernährung gestoßen, die sehr effektiv sein soll, allerdings auch schwierig immer im Alltag zu praktizieren ist. Dann habe ich zufällig einen guten Bericht über ionisiertes Wasser bzw. basisches Wasser gefunden und mir auch ein Buch gekauft, "trink dich basisch" und "jungbrunnenwasser" da wird sehr positiv davon gesprochen. Insbesondere soll es auch das stärkste Antioxidanz sein mit Wasserstoff. Außerdem soll es den Körper basischer und Wiederstandsfähiger machen. Darmmileu und Blutmileu werden günstig beinflusst, heißt es. Sogar Haarausfall soll verhindert werden, weil die Hauptursache davon ist wohl Mineralienmangel, wegen Übersäuerung (pH Wert im Blut und Körper), weniger wegen der Genetik. Und noch einige weitere Vorteile hat es wohl, wie Obst und Gemüse wieder zu erfrischen. Und der Kaffee und Tee schmeckt wohl besser. Und noch einiges mehr.. Stimmt das? Allerdings habe ich "ionisiertes Wasser" gegoogled und bin auf einige Berichte gestoßen, die negativ davon sprechen. Meistens scheinen es Umkehrosmose Wasser Verkäufer zu sein, die so schlecht davon schreiben. Ich habe mal gehört Umkehrosmosewasser ist schädlich, weil es die Osteoporose verstärkt. Einige nennen es auch Osteoporosewasser, weil es wie destilliertes Wasser keine Mineralien mehr hat und deshalb Mineralien aus dem Körper zieht. Also ist es bestimmt nicht gut Osmosewasser zu trinken. Ich würde gerne mal ionisiertes Wasser probieren. Naja, aber hat jetzt jemand echte Erfahrung damit gemacht? Hat wer so einen "Wasserionisierer" zu Hause? Welches Wasser trinkt Ihr? Würde mich interessieren, weil die schon recht teuer sind. Aber vielleicht kaufe ich mir einen mit Ratenzahlung, wenn ich mir sicher bin. Im Moment braucht es etwas Aufklärung... Bitte nur seriöse Kommentare. Liebe Grüße KLAR

Partner-Tools