Datenschutz & Sicherheit
Wenn das Leben von Chats und Apps abhängt
„Sie haben mich festgehalten und etwa 12 Stunden lang verhört. In meinem Handy haben sie auf irgendeine Art und Weise den Chat mit meinem Bruder gefunden, wo ich mich deutlich äußerte, dass Russland Unrecht tut. Sie nahmen meine biometrischen Daten auf, meine Fingerabdrücke, zogen mich aus und fotografierten meinen Körper. Zwei Mal. Einer von ihnen drohte mir, dass er mir einen Elektroschocker in den Hintern stecken würde“, sagt Ari.
So erzählt die heute 39-jährige trans Frau, wie sie bei ihrem Fluchtversuch am russischen Grenzübergang misshandelt wurde. Es war ihr erster Versuch, aus einem kleinen Dorf im Norden der Region Luhans’k zu fliehen. Unweit der russischen Grenze gelegen, fand es sich mit dem Beginn des Krieges gegen die gesamte Ukraine unter russischer Besatzung wieder. In der Region fanden aktive Kampfhandlungen statt, Geschützfeuer war zu hören. Ari wollte über Russland und später Estland nach Schweden gelangen, um dort internationalen Schutz zu beantragen.
Damals hatte sie noch nicht mit der Hormontherapie begonnen, ihr Aussehen entsprach ihren Dokumenten. Als die russischen Grenzschützer Ari verhörten und misshandelten, wussten sie nichts von ihrer Transidentität. „Das wäre wahrscheinlich auch lebensgefährlich gewesen“, sagt sie.
Sie störten sich daran, dass Ari vor vielen Jahren bei den ukrainischen Streitkräften war und unterstellten ihr, sie wolle in Russland Sabotageakte verüben. Mitarbeiter des russischen Geheimdienstes FSB seien angerückt, um ihr Handy zu durchsuchen. Sie haben den Chat mit ihrem Bruder und andere Daten wiederhergestellt, obwohl Ari sie im Vorfeld gelöscht und das Handy anderweitig bereinigt hatte. Schließlich ließen sie sie gehen. Nach Russland einreisen durfte sie nicht.
„Es gab überhaupt keine Informationen darüber, wie man fliehen kann. Kurz nach der Invasion haben die Besatzer die gesamte Region vollständig vom Internet abgeschnitten und den Mobilfunk abgeschaltet“, erinnert sich Ari im Gespräch mit netzpolitik.org.
Beim zweiten Fluchtversuch einige Wochen später fuhr Ari dann doch ins Zentrum des Kriegsgeschehens, in der Hoffnung, dort auf einen offiziellen Evakuierungsbus zu treffen. Doch diese fuhren nicht mehr, diese Information war veraltet. Gescheitert und auf dem Rückweg nach Hause musste sie nochmals unzählige Checkpoints passieren, an denen lokale Separatisten und russische Soldaten kontrollierten. Aris Handy wurde erneut überprüft, doch diesmal hatte sie es auf Werkeinstellungen zurückgesetzt. An einem Kontrollpunkt wurde sie wieder genötigt, sich zu entkleiden. Russische Soldaten zwingen die Menschen dazu, um sie vermeintlich nach nationalistischen Tätowierungen abzusuchen.
Erzwungene Nacktheit sowie Androhung von Vergewaltigung sind nur einige Formen sexualisierter Gewalt, die russische Besatzer gegen die ukrainische Zivilbevölkerung einsetzen.
Erst beim dritten Anlauf gelang ihr die Flucht auf von der ukrainischen Regierung kontrolliertes Gebiet. Sie war eine von etwa 100 Personen, die mutige Busfahrer auf eigene Faust über Felder und vorbei an russischen Checkpoints evakuiert haben. Unabhängig überprüfen lassen sich Aris Schilderungen nicht.
„Mobiltelefone wurden sehr streng kontrolliert“

Dass russische Militärs an Checkpoints nicht nur Dokumente kontrollieren, sondern auch Handys durchsuchen, ist aus anderen besetzten und ehemals besetzten Gebieten wie Kherson bekannt. „Auch Mobiltelefone wurden sehr streng kontrolliert“, sagt Marina Usmanova, Menschenrechtsaktivistin und Gründerin der NGO „Insha“ – was auf ukrainisch so viel wie „die Andere“ heißt. Seit 2014 setzt sich die NGO für die Rechte von queeren Menschen in Kherson ein. Die Stadt liegt im Süden der Ukraine und zählte einst rund 300.000 Einwohner*innen.
Usmanova selbst konnte vor dem Einmarsch der Besatzungstruppen, der sich mit Beginn der Vollinvasion mit rasender Geschwindigkeit ereignete, fliehen. Aus ihrem Berliner Exil stand sie im engen Kontakt mit der Community. Rund 300 queere Personen habe Insha finanziell und logistisch bei der Flucht aus dem damals besetzten Kherson unterstützt, erzählt sie.
„Die meisten, die wir bei der Ausreise unterstützt haben, haben das Handy entweder versteckt oder, denn das Leben ist kostbar, kein Smartphone mitgenommen“. Wollten Menschen aus der Stadt in Richtung ukrainisch kontrolliertes Territorium ausreisen, mussten sie an Dutzenden russischen Checkpoints vorbei.
Eine der empfohlenen Strategien war laut Usmanova, alte Tastenhandys mitzunehmen, auf denen Apps wie Facebook oder Instagram gar nicht laufen können. „Damit die Militärs es wirklich nicht schaffen, etwas auszugraben. Denn aus Smartphones haben sie alles ausgegraben, was auch immer man zuvor gelöscht hat“. Wie genau die Besatzer gelöschte Dateien und Apps wiederherstellen, sei unklar. Mitarbeiter des russischen Geheimdienstes FSB seien mitunter daran beteiligt, so die Vermutung.
Wegen schwuler Dating-App im Folterkeller
Selbst innerhalb der Stadt und auf den Straßen war man vor solchen Kontrollen nicht sicher. Bei den Handydurchsuchungen haben die Militärs Kontakte geprüft, mit wem man schreibt, in welchen Gruppen bei Facebook man ist und welche Telegram-Kanäle man abonniert hat, sagt Usmanova. „Es gab viele Fälle, in denen Menschen in den Folterkeller gerieten oder Probleme bekamen, weil sie Grindr auf ihrem Handy hatten.“
In einem Bericht hat Insha, gemeinsam mit der Menschenrechtsorganisation Projector, Verbrechen des russischen Militärs gegen queere Menschen im besetzten Kherson dokumentiert. „Russische Soldaten suchten gezielt nach Angehörigen der LGBTIQ-Community“, heißt es darin. Die Besatzer hätten bei Kontrollen Männer gezwungen, sich auszuziehen und ihre Smartphones nach queeren Dating-Apps durchsucht, bestätigt der Bericht.
Einige dokumentierte Menschenrechtsverletzungen können als Kriegsverbrechen und Verbrechen gegen die Menschlichkeit eingestuft werden, so die juristische Analyse von Projector. Die NGO hat ihren Sitz in der Nachbarstadt Odessa und bietet Betroffenen rechtliche und soziale Unterstützung an. Acht solcher Opfergeschichten stellt der Bericht näher vor.
„Wir hatten schon fast keine Hoffnung mehr, Oleksii jemals lebend wiederzusehen“
Einer von ihnen ist Oleksii Polukhin. Der damals 22-jährige wurde an einem Checkpoint in Kherson aufgehalten, bevor die russischen Besatzer ihn in eine Folterkammer verschleppten.
In Kherson pflegte ein Aktivist damals eine interaktive Karte mit Standorten russischer Checkpoints. Sie sollte den Einwohner*innen helfen, sich sicher in der Stadt zu bewegen und den Kontakt zu russischen Soldaten möglichst zu vermeiden. Doch Polukhin wurde an einem mobilen Checkpoint aufgehalten, den die Besatzer anlässlich der Feierlichkeiten zum Tag des Sieges am 9. Mai, einem für die russische Propaganda wichtigen Tag, aufstellten.
Bei der Durchsuchung seines Handys fanden sie Fotos und Videos von russischen Militärfahrzeugen, die Polukhin sammelte, um sie an ukrainische Streitkräfte weiterzugeben. Außerdem stießen sie auf mehrere LGBTI-Gruppen in Telegram. Polukhin ist LGBTI-Aktivist und engagierte sich unter anderem bei Insha. In aller Öffentlichkeit zwangen sie ihn, sich zu entkleiden. Sie entdeckten ein Tattoo mit dem ukrainischen Wappen und der Flagge auf seinem Unterarm.
64 Tage hielten ihn die Besatzer in Gefangenschaft. Zum ersten Verhör mit einem FSB-Offizier zwangen sie ihn, ein rotes Kleid anzuziehen. Im Verhör forderten sie von Polukhin Adressen von anderen LGBTI-Aktivist*innen und Organisationen. Insgesamt wurde er fünf Mal verhört. „Man wurde dort von morgens bis abends geschlagen. Ich habe einmal den Verhörraum geputzt, dort war sehr viel Blut“, erzählte Polukhin der Ukrainischen Helsinki-Vereinigung für Menschenrechte.
„Drei Tage lang wurden die Gefangenen in den Flur gebracht, bekamen eine blau-gelbe Flagge und ein Teppichmesser und mussten sie in Stücke schneiden, die sie schlucken konnten. Aber nur so, dass das Stück nicht kleiner als eine Handfläche war. So habe ich etwa die Hälfte der Flagge gegessen“, sagte Polukhin weiter.
„Ehrlich gesagt hatten wir schon fast keine Hoffnung mehr, Oleksii jemals lebend wiederzusehen“, erinnert sich Marina Usmanova.
Sexualisierte Gewalt in russischer Gefangenschaft
Die Folterkammer, in der Polukhin gefangen gehalten wurde, war ein ehemaliges Untersuchungsgefängnis der ukrainischen Polizei. Russische Militärs wandelten es zur größten Folterkammer der Stadt um, die nach Khersons Befreiung als eine der berüchtigten Folterzellen von Kherson bekannt wurde. Sexualisierte Gewalt war hier laut ukrainischen Angaben an der Tagesordnung. Um etwa duschen zu dürfen, wurden die Gefangenen laut Polukhin zu sexuellen Handlungen gezwungen.
Andere Foltermethoden umfassten Waterboarding, schwere Schläge mit Knüppeln und Stöcken sowie Elektroschocks und Stromschläge an Genitalien, heißt es im Bericht. Die Khersoner Staatsanwaltschaft gibt gegenüber netzpolitik.org an, bislang Kenntnis von 305 Personen zu haben, die hier rechtswidrig gefangen gehalten und brutal misshandelt wurden. Bei 24 Personen von ihnen wurde die Folter durch Stromschläge an Genitalien offiziell bestätigt. Die Dunkelziffer liegt aber viel höher. Insgesamt gehen die Ermittlungsbehörden von rund 500 Menschen aus, die in dieser Folterkammer waren. Die Identität der weiteren Opfer wird noch ermittelt.
Ein Urteil gegen einen russischen Militärangehörigen, der Polukhin und andere Gefangene in dieser Folterkammer misshandelt hat, erging im vergangenen Herbst. Der 22-jährige Ruslan Alikhamov aus Wolgograd von der russischen Nationalgarde war so etwas wie ein Wachmann in der Anstalt. Er wurde wegen Folter und Beihilfe zum Mord vom Stadtgericht Kherson zu lebenslanger Haft verurteilt. Das Verfahren und die Urteilsverkündung fanden in seiner Abwesenheit statt. Das Urteil ist laut Projector noch nicht rechtskräftig. Gegen sechs weitere Angeklagte laufen derzeit Gerichtsverfahren, in denen Polukhin als Opfer anerkannt ist.
Misstrauen gegenüber Strafverfolgungsbehörden ist groß
Polukhin blieb in Kherson, bis die russischen Militärs nach der achtmonatigen Besatzung der Stadt auf die andere Seite des Flusses Dnipro vor den ukrainischen Befreier*innen flüchten mussten. Heute lebt er in der Westukraine. Er war der erste queere Überlebende russischer Verbrechen, der über die grausame Behandlung öffentlich erzählte. Er ist auch einer der wenigen, die Aussagen bei Behörden machten.
Aus Misstrauen gegenüber ukrainischen Strafverfolgungsbehörden und aus Angst vor queerfeindlicher Diskriminierung sehen viele Betroffene von einer Anzeige ab. Hinzu kommt, dass nicht alle Opfer sexualisierter Gewalt bereit sind, Anzeige zu erstatten.
Wir sind communityfinanziert
Unterstütze auch Du unsere Arbeit mit einer Spende.
„Viele Menschen wollen darüber überhaupt nicht sprechen“, sagt Usmanova. „Ich persönlich kenne mehr als ein Dutzend queerer Personen, die in diesem Folterkeller waren. Oleksii haben sie über zwei Monate lang festgehalten, andere wurden dort zu einem kurzen Gespräch hingebracht, eingeschüchtert und wieder freigelassen. Andere wiederum wurden geschlagen und mehrere Tage dort festgehalten“.
Die Khersoner Staatsanwaltschaft sagt hingegen auf Anfrage: „Derzeit liegen keine Informationen über die Inhaftierung und Folter von LGBT-Personen an diesem Ort vor.“ Denn Verbrechen gegen queere Personen erfasst die Staatsanwaltschaft nicht gesondert von anderen Verbrechen. Derzeit ermittelt sie lediglich in zwei Fällen mutmaßlicher Kriegsverbrechen, in denen „Anzeichen für Straftaten gegen Menschen aus der LGBT-Community festgestellt“ wurden. Einer davon ist der gewaltsame Einbruch von vier bewaffneten russischen Soldaten in die Büroräume von Insha, der von Videokameras aufgezeichnet wurde.
Der schwierige Kampf um Gerechtigkeit
Bei den Verbrechen sehe man „keine systematische Verfolgung von Personen aufgrund ihrer Zugehörigkeit zur LGBT-Community“, so die Behörde. Handydurchsuchungen und Identifizierung über soziale Netzwerke zielten ihr zufolge nicht speziell darauf ab, queere Personen zu finden. „Solche Maßnahmen wurden hauptsächlich mit dem Ziel durchgeführt, patriotisch gesinnte Bürger, Informationen über die Unterstützung der ukrainischen Streitkräfte und die Beteiligung an Partisanenbewegungen aufzuspüren.“ Auch die Generalstaatsanwaltschaft der Ukraine führt nach eigenen Angaben keine Statistik darüber, wie viele queere Personen von sexualisierter Gewalt durch russische Besatzer betroffen waren oder sind.
Die NGO Projector argumentiert dagegen, dass Gewalt gegen LGBTI-Personen charakteristisch für die russische Invasion und Kriegsführung ist. Die Organisation arbeitet mit Hochdruck daran, die systematische Verfolgung von queeren Menschen nachzuweisen. Aktuell begleiten die Jurist*innen 19 Fälle im Rahmen ihrer Projekte, sagt Yelyzaveta Barashkova von Projector. In neun von ihnen wurden bereits Strafverfahren eingeleitet, die Ermittlungen laufen noch. Gleichzeitig betont Barashkova, dass die Datenbank mit möglichen Zeugen und Opfern von Verbrechen wesentlich umfangreicher sei. Sie umfasse aktuell 153 Personen.
Den Jurist*innen geht es darum, zunächst eine Rechtsprechung auf nationaler Ebene zu etablieren, die die Gräueltaten gegen queere Menschen als Kriegsverbrechen anerkennt und ahndet. Diese kann dann in Zukunft als Grundlage für internationale Prozesse dienen, beispielsweise vor dem Internationalen Strafgerichtshof in Den Haag, sollte sich das Ausmaß solcher Verbrechen in der Ukraine bestätigen.
„Ich habe meine Chats in Telegram jeden Tag gelöscht“
Der andere von zwei Fällen, in denen die Staatsanwaltschaft wegen Verbrechen gegen queere Personen ermittelt, ist der von Mileriia Afanasiievska. Als einzige trans Frau lebte sie in der kleinen Stadt Oleschky, am gegenüberliegenden Ufer des Dnipro, bevor die russische Armee einmarschiert ist. Afanasiievska kann ihre Geschichte erzählen, weil sie, wie Ari, geschafft hat zu fliehen. Denn anders als die Stadt Kherson befindet sich Oleschky – wie der Großteil der Region – nach wie vor unter russischer Besatzung und erlebt aktuell eine humanitäre Katastrophe.

„Jeden Tag habe ich meine Chats in Telegram gelöscht und den Cache geleert. Besonders wenn ich aus dem Fenster gesehen habe, dass russische Soldaten vorbeigingen, habe ich das mehrmals pro Minute gemacht“, erzählt Afanasiievska. Unter der Besatzung herrschte eine bedrückende Atmosphäre der Angst und Zensur. „Ich habe gleich verstanden, dass ich mir auf die Zunge beißen muss, bei dem, was ich sage“. Wenn sie mit Verwandten aus dem ukrainisch kontrollierten Gebiet telefonierte, passte sie auf, nichts über Raketeneinschläge, Soldaten oder Politik zu sagen. „Wir unterhielten uns, als gäbe es keinen Krieg“.
Der Terror, das Verschwinden und Foltern von Aktivist*innen, Journalist*innen und Lokalpolitiker*innen zwang die Menschen dazu, sich auch in persönlichen Offline-Gesprächen mit Unbekannten zu zensieren.
Wenn Afanasiievska aus dem Haus ging, habe sie immer ihr altes Tastenhandy mitgenommen, ohne SIM-Karte, wie sie erzählt: Für den Fall, dass sie auf der Straße kontrolliert und ihr Mobiltelefon überprüft würde. Solche und andere Maßnahmen wie das Löschen von Chats waren essenziell für das Überleben. „Das war nicht nur für mein eigenes Überleben wichtig, sondern auch für das Überleben meines Nachbarn, meines Bekannten und anderer Menschen aus meiner Stadt, mit denen ich chattete.“
Nicht nur private Kommunikation, auch das Konsumieren von Nachrichten konnte laut Afanasiievska zum Verhängnis werden. Bestimmte pro-ukrainische Kanäle lokaler Bloger*innen auf Telegram, die die Bevölkerung über Raketeneinschläge und militärische Vorgänge informierten, seien den Besatzern besonders ein Dorn im Auge gewesen. „Ich habe Geschichten gehört, dass man, zum Beispiel, für die Gruppe „Nikolaevsky Vanyok“ erschossen wird, weil ihnen nicht gefällt, was dort geschrieben wird“, erzählt Afanasiievska.
„Erst jetzt bin ich dieses Gefühl der Paranoia losgeworden“
Länger als ein Jahr lang hat Afanasiievska es geschafft, unbemerkt und unversehrt zu bleiben – bis russische Soldaten in das Haus gegenüber einzogen. Eines Tages stürmten sie in ihren Hof, weil sie nach Wasser zum Duschen suchten. Als sie ihre Stimme hörten, fragten die Soldaten, ob sie eine Frau sei. Dann beschimpften und schlugen sie sie schwer. Dabei habe sie mehrere Zähne verloren, erzählte Afanasiievska in früheren Interviews. Laut der Khersoner Staatsanwaltschaft werde aktuell wegen eines möglichen Kriegsverbrechens gegen unbekannte russische Militärs ermittelt, die eine Person aus der LGBTI-Community mit Maschinengewehren bedroht und körperliche Verletzungen zugefügt haben.
Nachdem russische Truppen im Juni 2023 den Staudamm in Nova Kakhovka gesprengt und dabei Afanasiievskas Haus überflutet haben, beschloss sie nach Berlin zu fliehen, wo sie heute wohnt. „Ich lebe nun schon seit drei Jahren in Deutschland. Erst jetzt bin ich dieses Gefühl der Paranoia losgeworden.“ Langsam kehre das Gefühl zurück, dass sie am Telefon über alles sprechen kann, ohne ihre Aussagen zu zensieren. Bei ihrer Mutter ist das anders. Diese ermahne sie immer wieder, sie solle beim Telefonieren aufpassen, was sie über Russland sagt. „Meine Mutter leidet unter diesem Trauma, dieser Paranoia und panischer Angst, dass jemand wieder in das Haus stürmen könnte.“
Von vielen Kriegsverbrechen gegen queere Menschen, die sich weiterhin unter russischer Besatzung befinden, gibt es nach wie vor keine Kenntnis.
Datenschutz & Sicherheit
Post-Quantum ohne aufgeblähte Handshakes: Let’s Encrypts neuer Weg
Let’s Encrypt hat erstmals einen konkreten Fahrplan für quantensichere Zertifikate vorgelegt. Die Zertifizierungsstelle will dafür auf sogenannte Merkle Tree Certificates (MTCs) setzen, statt bestehende X.509-Zertifikate einfach mit größeren Post-Quantum-Signaturen zu versehen. Eine Testumgebung soll Ende 2026 starten, ein produktionsreifes Angebot 2027 folgen. Neu ist weniger das Bekenntnis zur Post-Quantum-Kryptografie als die Festlegung auf einen bestimmten technischen Weg.
Weiterlesen nach der Anzeige
Let’s Encrypt zählt zu den weltweit wichtigsten Zertifizierungsstellen für automatisiert ausgestellte TLS-Zertifikate. Die Debatte um quantensichere Kryptografie läuft seit Jahren, drehte sich bislang aber vor allem um den Schlüsselaustausch. Dahinter steht die Sorge, dass Angreifer verschlüsselten Datenverkehr heute mitschneiden und später mit Quantencomputern entschlüsseln könnten. Die Absicherung von Zertifikaten und Signaturen galt lange als weniger dringlich, weil ein Angreifer dafür schon während der laufenden Kommunikation einen leistungsfähigen Quantencomputer bräuchte. Mit den inzwischen vom US-Standardisierungsinstitut NIST verabschiedeten Verfahren und den Migrationsplänen von Google und Cloudflare rückt nun auch die Authentifizierung in den Vordergrund.
Festlegung mit Signalwirkung
Künftig sollen Merkle Tree Certificates der bevorzugte Weg sein, um das Web-PKI quantensicher zu machen. An den nötigen Standards arbeitet Let’s Encrypt bereits in der IETF-Arbeitsgruppe PLANTS mit – die Ausstellung der MTCs wird zudem über eine ACME-Erweiterung abgewickelt. Die Entscheidung wiegt schwer, denn mit Hunderten Millionen aktiven Zertifikaten prägt die Organisation die technische Entwicklung der Web-PKI maßgeblich.
Dabei steht Let’s Encrypt nicht allein. Cloudflare und Chrome testen MTCs bereits in einem Feldversuch gegen echten Internet-Traffic, und Chrome hat den Ansatz zu seinem bevorzugten Weg für quantensichere Zertifikate im öffentlichen Web erklärt.
Hinter der Wahl steckt ein handfestes Problem quantensicherer Signaturen: Sie brauchen deutlich mehr Platz als heutige Verfahren. Let’s Encrypt verweist auf ML-DSA-44, einen der NIST-Standards. Dessen Signaturen sind mit rund 2.420 Bytes etwa 38-mal größer als die heute verbreiteten ECDSA-P256-Signaturen (64 Bytes). Würde man Zertifikate und Zertifikatsketten unverändert auf solche Verfahren umstellen, würden einzelne TLS-Handshakes auf über 10 Kilobyte anschwellen. Das würde Verbindungen verlangsamen und in manchen Netzen sogar die Fehlerrate erhöhen.
Wie Merkle Tree Certificates funktionieren
Merkle Tree Certificates gehen deshalb einen anderen Weg: Statt jedes Zertifikat einzeln zu signieren, fasst die Zertifizierungsstelle viele Zertifikate in einem Merkle-Baum zusammen. Signiert wird nicht jedes einzelne Zertifikat, sondern nur die Wurzel des Baums. Clients erhalten anschließend einen kompakten Nachweis darüber, dass ein bestimmtes Zertifikat zu diesem Baum gehört.
Weiterlesen nach der Anzeige
Das Prinzip kennen viele Administratoren aus anderen Bereichen – etwa Git-Repositories, Certificate-Transparency-Logs oder Blockchains. Einzelne Objekte werden dort nicht jeweils separat abgesichert, sondern über einen Baum auf einen gemeinsamen kryptografischen Anker zurückgeführt.
Kleinere Handshakes trotz größerer Signaturen
Nach Angaben von Let’s Encrypt schrumpfen die Authentifizierungsdaten im TLS-Handshake dadurch deutlich. Browser sollen dafür regelmäßig sogenannte Landmarks aktualisieren, die als Referenzpunkte für die Prüfung dienen. Im Regelfall genügt dann eine Signatur, ein öffentlicher Schlüssel und ein Merkle-Nachweis. So lässt sich der zusätzliche Ballast quantensicherer Signaturen weitgehend vermeiden.
Auch die Certificate Transparency profitiert von dem Ansatz. Heute stellt eine Zertifizierungsstelle ein Zertifikat zunächst aus und veröffentlicht es danach in separaten Transparenzprotokollen. Bei MTCs gehört die Transparenz dagegen zum Zertifikatsmodell selbst: Weil jedes Zertifikat Teil eines veröffentlichten Merkle-Baums ist, kann es gar nicht erst außerhalb dieser Struktur existieren. Ausstellung und Protokollierung rücken damit zusammen.
Bekannte Technik, lange Übergangsphase
Neuland ist die Technik für Let’s Encrypt nicht. Die Organisation betreibt seit 2019 eigene Certificate-Transparency-Logs, die ebenfalls auf Merkle-Bäumen basieren. Mit dem Betrieb solcher Strukturen im großen Maßstab hat sie also bereits Erfahrung.
Für Nutzer ändert sich vorerst nichts. Bestehende Zertifikate stellt Let’s Encrypt weiterhin wie gewohnt aus und verlängert sie automatisch. Die Umstellung hängt zudem von mehreren Faktoren ab: Neben der Standardisierung durch die IETF müssen Browser, Kryptobibliotheken, ACME-Clients und die Root-Programme der Browserhersteller die neuen Verfahren unterstützen.
Beim Schlüsselaustausch drängt die Zeit
Bei der Authentifizierung lässt sich die Umstellung also noch in Ruhe vorbereiten – beim Schlüsselaustausch drängt Let’s Encrypt dagegen zur Eile. Hier greift das Szenario „heute mitschneiden, später entschlüsseln“ (auch „harvest now, decrypt later“ genannt), weshalb jede Verbindung ohne quantensicheren Schlüsselaustausch ein Risiko darstellt.
Server-Betreibern rät Let’s Encrypt deshalb, hybriden Post-Quantum-Schlüsselaustausch (X25519MLKEM768) zu aktivieren. Große Browser und Betriebssysteme unterstützen das Verfahren bereits; es auf dem Server einzuschalten, sei eine der wirkungsvollsten Maßnahmen, die man in diesem Jahr ergreifen könne.
Festlegung auf einen Migrationspfad
Die Ankündigung markiert damit weniger den Start quantensicherer Zertifikate als die Festlegung auf einen konkreten Migrationspfad. Setzt sich MTC durch, dürfte das eine der größten strukturellen Änderungen der Web-PKI seit Certificate Transparency und dem ACME-Protokoll werden. Die Details hat Let’s Encrypt in einem Blogeintrag zur Post-Quantum-Zukunft veröffentlicht.
(fo)
Datenschutz & Sicherheit
Cloud and AI Development Act: EU-Kommission greift bei US-Cloud-Anbietern kaum durch
„Über Geld spricht man nicht“ heißt es hierzulande gerne. Außer mit dem Finanzamt natürlich. In der Steuerverwaltung landen Informationen über Einkünfte, in der Sozialverwaltung landen Informationen über Phasen von Arbeitslosigkeit oder Wohngeld-Auszahlungen, in der Gesundheitsverwaltung landen Informationen über Krankheitsverläufe. Sensible Informationen, die viel über unser Leben verraten.
Und was macht die öffentliche Verwaltung damit? Sie schiebt die Daten zunehmend in die Cloud. Die gehört meistens Microsoft, Google, Amazon oder Oracle. Ob direkt oder über einen Subunternehmer – Verwaltungen greifen meist auf Dienste US-amerikanischer Cloud-Anbieter zurück.
Sind die Daten in einer solchen Public Cloud sicher? Und sollten Behörden in Sachen digitale öffentliche Infrastruktur auf US-Big-Tech setzen? Diese Fragen sind drängender geworden, seitdem bekannt wurde, welchen Einfluss US-Präsident Donald Trump hier ausübt und ausüben kann.
Die „geopolitische Lage“ heißt Trump
Diese „geopolitische Lage“ sei dringlich, so die Vizepräsidentin und EU-Kommissarin Henna Virkkunen bei der gestrigen Pressekonferenz zum neuen Tech Sovereignty Package. Es umfasst den Chips Act 2.0, die Open-Source-Strategie der EU und den Fahrplan für Digitalisierung und KI im Energiesektor.
Welchen Zugriff die US-Regierung künftig auf europäische öffentliche Informationen haben kann, will die Kommission mithilfe des Cloud and AI Development Acts (CADA) regulieren; das vierte Element im Packet. Doch gerade CADA scheint ein sehr zaghaftes Instrument der EU für mehr Unabhängigkeit von US-Big-Tech zu werden. Denn für einen großen Teil staatlicher Daten schließt die Kommission US-Cloud-Anbieter nicht vom europäischen Markt aus.
Nach ihrer Rechnung könnten gut 99 Prozent, mindestens aber 70 Prozent, staatlicher Daten der EU-Mitgliedsländer auf Clouds von US-Anbietern landen. Diese Zahlen beruhen auf einer Schätzung der Kommission zur Risikobewertung staatlicher Daten. EU-Mitgliedstaaten sollen nach einem vorgegebenen Stufensystem die Risiken bei der Beschaffung von Cloud-Diensten prüfen.
Zugriff auf Daten durch US-Regierung
Auf der anderen Seite des Atlantiks stehen dem Pakt Gesetze wie der Foreign Intelligence Surveillance Act (FISA), der Patriot Act und der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) gegenüber. Laut CLOUD Act sind Tech-Unternehmen mit Sitz in den USA wie Microsoft oder Google dazu verpflichtet, unter bestimmten Voraussetzungen Daten gegenüber US-Behörden offenzulegen.
Alles netzpolitisch Relevante
Drei Mal pro Woche als Newsletter in deiner Inbox.
Dazu zählen auch Daten aus der EU. Das ist unabhängig davon, ob die Daten eines US-Unternehmens auf einem Rechenzentrum innerhalb der EU gespeichert sind, so ein juristisches Gutachten der Universität Köln im Auftrag des Bundesinnenministeriums. Bestätigt hat das aber auch der Chefjustiziar von Microsoft Frankreich, Anton Carniaux. Vor gut einem Jahr erklärte er dem französischen Senat: Wenn französische Behörden Microsoft nutzen, kann die US-Regierung diese Daten einsehen. Dafür müssen die Behörden nicht einmal ausdrücklich zugestimmt haben.
Trump kann sogar öffentliche Angestellte und Beamt:innen daran hindern, ihrer Arbeit nachzugehen. Das zeigen die Fälle von Richter:innen und einem Chefankläger am Internationalen Strafgerichtshof. Trump veranlasste, dass sie Dienste von Microsoft, Paypal und Co. nicht mehr nutzen können; auch auf ihre Accounts und darin enthaltene Daten können sie nicht mehr zugreifen.
Womit hält die EU dagegen?
Anhand von vier Sicherheitsstufen, den sogenannten „Union Assurance Levels“, sollen EU-Mitgliedstaaten nun die Cloud-Dienste auf den Prüfstand stellen, die sie nutzen: Welches Risiko wäre gegeben, wenn Daten an Nicht-EU-Staaten abfließen? Oder wenn ein Dienst ausfallen würde? Für diese Risikobewertung sollen die Länder ein Jahr Zeit haben, dann müssen sie ihre Ergebnisse veröffentlichen.
Demnach müssen Cloud-Anbieter für ihre Dienste je nach Stufe bestimmte Kriterien erfüllen. Stufe 1 benötigt ein niedriges Maß an Souveränität, Stufe 4 ein hohes. Bei Daten, die weniger sensibel sind, reiche die Sicherheitsstufe 1 aus. Demnach müssten Behörden lediglich sicherstellen, diese Daten in europäischen Rechenzentren zu speichern statt in beispielsweise US-amerikanischen. Öffentliche Auftraggeber in den EU-Mitgliedstaaten sollen nur Cloud-Dienste beschaffen, die mindestens Stufe 1 erfüllen. Hier ändert sich für die großen Cloud-Anbieter aus den USA wie Amazon und Google nichts. Denn sie haben die dazu erforderlichen Niederlassungen in der EU und betreiben hier bereits eigene Rechenzentren.
Auch mit der zweiten Sicherheitsstufe würde sich für sie nichts ändern, das erklärte ein hochrangiger EU-Beamter. Die Kommission hat dabei das Risiko eines Kill Switch im Blick. Damit ist gemeint, dass Betreiber aus der Ferne das IT-System abschalten könnten. Der jeweilige Cloud-Anbieter muss bei Stufe 2 ausschließen, dass Nicht-EU-Länder wie die USA oder China den Kill Switch umlegen könnten.
Cloud-Anbieter aus den USA ausschließen?
Stufe 3 soll erfordern, dass sich Cloud-Anbieter innerhalb der EU befinden und von dort aus kontrolliert werden. Daneben sollen sie Mitarbeitende mit europäischer Staatsangehörigkeit beschäftigen. Einflussnahme durch Drittstaaten soll damit reduziert werden. Virkkunen erklärte auf der Pressekonferenz, dass es US-Cloud-Anbieter schwer haben würden, Stufe 3 zu erreichen.
Wir sind ein spendenfinanziertes Medium.
Unterstütze auch Du unsere Arbeit mit einer Spende.
Doch es gibt ein Schlupfloch: Nach Artikel 18 hat die Kommission die Möglichkeit „von den Anforderungen auf Stufe 3 abzuweichen und Drittstaaten für Cloud-Anbieter anzuerkennen“, so Denis-Kenji Kipker Research Director und Gründer des Frankfurter Cyberintelligence Institute gegenüber netzpolitik.org. Dazu dienen sogenannte Angemessenheitsbeschlüsse im Gesetz. Solche Beschlüsse beim Thema Datenschutz haben in der Vergangenheit gezeigt, dass die Kommission die USA trotz erheblicher Bedenken als vertrauenswürdigen Partner ansieht.
Die höchste Stufe soll nicht nur besonders für sicherheitssensible Bereiche gelten, sondern biete laut Kommission auch maximale Souveränität: EU-Länder sollen ihren gesamten Technologie-Stack von der Hardware bis zur Software vollständig kontrollieren. Das würde Nicht-EU-Anbieter ausschließen. Demnach dürften Cloud-Anbieter in dieser Stufe keiner Einflussnahme aus einem Drittland unterliegen.
Mitgliedstaaten entscheiden
Es bleibe „den Mitgliedstaaten vorbehalten“, wie sie bewerten, was „souveränitäts- und sicherheitskritisch“ ist. Die Kommission gibt also nicht vor, wie die EU-Länder das Stufensystem umsetzen sollen. Sie empfiehlt etwa die Bereiche Justiz, Polizei und Grenzschutz der Stufe 2 zuzuordnen. Das kritisiert die Grünenpolitikerin Alexandra Geese. „Wer akzeptiert, dass eine außereuropäische Regierung im Ernstfall Einfluss auf den Betrieb kritischer digitaler Infrastrukturen von Justiz, Polizei, nationale Sicherheit und Grenzschutz nehmen oder deren Verfügbarkeit gefährden kann, schafft institutionalisierte Abhängigkeit.“
Der Stufe 4 ordnet die Kommission den Bereich Verteidigung zu. Das würde nur etwa ein Prozent staatlicher Daten betreffen. Der Großteil von 70 Prozent sei weniger schutzbedürftig und falle damit unter Stufe 1, während 20 Prozent unter Stufe 2 und neun Prozent unter Stufe 3 fielen.
Inwieweit EU-Länder jedoch US-Cloud-Anbieter meiden und wie „das Ergebnis der Bewertung und Einordnung des Sicherheitsniveaus“ ausfällt, hänge wesentlich von ihrem „Risiko-Sicherheitskontext“ ab, so Kipker. Die Kommission spricht hier kein Vergabeverbot aus. Die Länder entschieden also selbst, ob „in einem besonders sensiblen Anwendungsfall die Wahl eines hohen Sicherheitsniveaus einen außereuropäischen Anbieter faktisch ausschließt“.
Die Kommission gibt auch nicht vor, wie die EU-Länder ihre Behörden von einem Cloud-Anbieter wie Amazon oder Microsoft zu einem europäischen Anbieter migrieren. Immerhin hätte CADA nach Inkrafttreten „unmittelbare Geltung und Anwendungsvorrang, und die Kommission könnte Verstöße über das Vertragsverletzungsverfahren nach AEUV durchsetzen“, erklärt Kipker.
Das Gesetzespaket geht nun an das europäische Parlament und die Mitgliedstaaten. Gerade von letzteren hängt ab, ob sich die Cloud-Landschaft für die Behördenarbeit in der EU tatsächlich verändert.
Datenschutz & Sicherheit
Aus für Cosmo Radio: Die ARD macht schon jetzt die Medienpolitik der AfD
Cosmo Radio ist ein einzigartiger interkulturelle Radiosender des Öffentlichen Rundfunks mit mehrsprachigen Inhalten. Er ist erfrischend anders als die austauschbaren Klangteppiche, die wir sonst zu hören bekommen. Cosmo bringt globale Sounds und unbekannte Künstler:innen. Es gibt DJ-Sets mit Reggaeton und queere Podcasts. Cosmo klingt anders. Und das Wichtigste: Cosmo gibt einer migrantischen Perspektive mehr Raum als jeder andere Sender in diesem Land.
Dieses Radioprogramm ist Ausdruck einer demokratischen Gesellschaft, die offen und selbstbewusst sagt: kurdisch, türkisch, russisch, italienisch, polnisch und arabisch gehören zu uns – genauso wie die deutsche Sprache. Cosmo zeigt, wie unsere Gesellschaft ist und nicht wie die völkischen Gleich- und Angstmacher sie haben wollen.
Ausgerechnet diesen Sender, der in NRW, Bremen und Berlin linear ausgestrahlt wird, hat der WDR im Rahmen der ARD-Sparorgie nun mit knapper Mehrheit abgeschafft. Ausgerechnet jetzt, wo die AfD in Umfragen die stärkste Partei ist. Ausgerechnet jetzt, wo die Bundesregierung schon AfD-Politik macht. Ausgerechnet jetzt, wo Demokratie und plurale Gesellschaft unter Druck stehen wie nie zuvor in der Geschichte der Bundesrepublik.
Aktuell sind wir an einem Punkt, wo es gilt, Zeichen zu setzen für eine offene, vielfältige Gesellschaft.
Politisch fatal
Die ARD hat genau das Gegenteil getan und verkauft die Abschaffung des Senders obendrauf noch als seine „Weiterentwicklung“. Sie macht damit Medienpolitik, die schon heute vor den Rechtsradikalen kuscht und deren politische Agenda in vorauseilendem Gehorsam umsetzt. Eine Bankrotterklärung. Es ist politisch fatal, den Rechtsradikalen ein schlüsselfertiges Haus hinzustellen – statt ihnen Steine in den Weg zu legen, wo es nur geht. Jede Hürde, welche die Braunen nicht später nehmen müssen, erleichtert ihren Durchmarsch, wenn sie an die Regierung kommen sollten.
Seit letztem Jahr läuft eine Petition gegen die Abwicklung von Cosmo Radio. Mittlerweile haben fast 100.000 Menschen sie unterschrieben, unter ihnen zahlreiche Prominente von Herbert Grönemeyer bis Fatih Akin. Wir sollten den willfährigen Entscheidern im WDR-Rundfunkrat jetzt richtig Druck machen!
-
Entwicklung & Codevor 3 MonatenCommunity-Protest erfolgreich: Galera bleibt Open Source in MariaDB
-
Künstliche Intelligenzvor 3 MonatenBlade‑Battery 2.0 und Flash-Charger: BYD beschleunigt Laden weiter
-
Künstliche Intelligenzvor 3 Monaten
Top 10: Der beste Luftgütesensor im Test – CO₂, Schadstoffe & Schimmel im Blick
-
Künstliche Intelligenzvor 3 MonateniPhone Fold Leak: Apple spart sich wohl iPad‑Multitasking
-
Apps & Mobile Entwicklungvor 3 MonatenMähroboter ohne Begrenzungsdraht für Gärten mit bis zu 300 m²
-
Künstliche Intelligenzvor 3 Monaten
JBL Bar 1300MK2 im Test: Soundbar mit Dolby Atmos, starkem Bass und Akku‑Rears
-
Künstliche Intelligenzvor 3 MonatenPetra‑AI: KI soll Frauen in der Perimenopause unterstützen
-
Social Mediavor 2 MonatenVon Kennzeichnung bis Plattformpflichten: Was die EU-Regeln für Influencer Marketing bedeuten – Katy Link im AllSocial Interview
