Gut geschützt im Internetcafé

Alles Gute dieser Welt ist mit Urlaub verbunden. In puncto Datensicherheit ist er allerdings ein Desaster. Wir hängen an verseuchten Rechnern im Hostel oder in ungesicherten WLANs herum, verzichten auf mühsam eingeübte Verschlüsselungsroutinen, weil wir unsere dafür konfigurierten Laptops nicht dabei haben, und am Flughafen könnten Uniformierte aus "Sicherheitsgründen" unsere Smartphones durchsuchen wollen.

Vor der nächsten Reise will ich mich wappnen. Dass ich je wieder einen Urlaub offline verbringe, halte ich für illusorisch. Drei typische tückische Situationen werde ich in der Serie Digitale Defensive beleuchten: den Besuch im Internetcafé, die WLAN-Nutzung in Unterkunft oder Café, möglicher Ärger mit den Behörden an der Grenze oder bei sonstigen Kontrollen.

Warum Internetcafés problematisch sind

Nicht jeder will sein Smartphone oder Tablet mit in den Urlaub nehmen, nicht überall gibt es WLAN oder erschwingliche Mobilfunktarife. Manchmal bleibt nur der Weg ins Internetcafé oder zum öffentlichen Rechner.

Um den Zwist mit den fremden Rechnern von vornherein zu vermeiden, liegt es nahe, sein eigenes System mitzubringen. Das könnte ein sogenanntes Live-System sein wie zum Beispiel Tails. Tails ist ein kostenloses kleines Betriebssystem, das den Tor-Browser, einen E-Mail-, einen Instant-Messaging-Client und diverse andere Werkzeuge enthält. Es passt auf eine CD oder einen USB-Stick. Der Vorteil: Entfernt man den Stick oder die CD aus dem Rechner, bleiben keine Spuren und Daten zurück. Der Nachteil: Um es zum Laufen zu bringen, muss man den Rechner neu starten und ins Boot-Menü gelangen. Das ist in Internetcafés oft nicht möglich.

Also muss es ohne eigenes Betriebssystem gehen. Meist will ich im Internetcafé nur meine E-Mails checken, ein paar schreiben und vielleicht Facebook ansteuern. Dazu muss ich mich einloggen. Bei Facebook sowieso, aber auch bei meinem E-Mail-Anbieter. Denn auf einem Rechner im Internetcafé ist natürlich kein Thunderbird oder ein anderes E-Mail-Programm eingerichtet. Bleibt also die Browser-Variante. Sobald ich mein Passwort eingebe, könnten es allerdings sogenannte Keylogger aufzeichnen. Das sind kleine Programme, die jeden Tastenanschlag mitschneiden und in einer Textdatei speichern.

Mein E-Mail-Passwort ist ein Generalschlüssel

Keylogger können leicht erkennbar zwischen Rechner und Tastatur klemmen, sie können aber auch unbemerkt als Programm auf dem Rechner laufen, mitunter ohne Wissen des Cafébetreibers. Mein E-Mail-Passwort könnten Angreifer mit einem Keylogger jedenfalls leicht herausfinden.

Das wäre dramatisch, denn wer Zugang zu meinen E-Mails hat, kann ihn nutzen, andere Passwörter zurückzusetzen. Dienste wie Amazon bieten in der Regel die Passwort-vergessen-Funktion. Dort gibt man einfach die E-Mail-Adresse ein und bekommt ein neues Passwort zugeschickt. Wenn jemand Zugang zu meinen Mails hat, kann er sich mit dem neuen Passwort in mein Amazon-Konto einloggen und auf meine Kosten bestellen.

Passwörter sind daher besonders wichtig und schützenswert. Sie sind eine Art Generalschlüssel zu meiner digitalen Identität. Da ich in einem Internetcafé unmöglich jeden Rechner auf Keylogger überprüfen kann und will, muss ich mir etwas anderes überlegen. Die Abwehr von Keyloggern muss beginnen, bevor ich ins Internetcafé gehe.

Das E-Mail-Konto zweifach sichern

E-Mail-Anbieter wie Gmail, GMX, Mailbox.org und Posteo bieten mittlerweile die sogenannte Zwei-Faktor-Authentifizierung an. Um an meine E-Mails zu gelangen, muss ich zwei Komponenten richtig eingeben: mein normales Passwort und einen einmaligen Zeichencode, das Einmal-Passwort.

Es gibt verschiedene Wege, wie ich an das zweite Passwort komme. GMX sendet es zum Beispiel per SMS an mein Smartphone. Das ist ein Anfang. Im Urlaub ist aber nicht sicher, dass ich unter dieser Nummer erreichbar bin. Mailbox.org bietet stattdessen einen vorkonfigurierten Yubikey als zweiten Faktor an. Das ist eine sehr sichere Variante. Ich entscheide mich aber dagegen. Denn einen kleinen Gegenstand wie den Yubikey verliere ich im Urlaub wahrscheinlich schneller als mein Smartphone.

FreeOTP generiert meine Einmal-Passwörter

Deshalb wähle ich vor meiner Reise den Berliner E-Mail-Dienst Posteo. Dort kann ich für die Zwei-Faktor-Authentifizierung genau wie bei Gmail mein Smartphone benutzen. Die Einrichtung ist schnell erledigt: Ich logge mich zu Hause in mein Posteo-Konto ein. Anschließend klicke ich auf das Feld "Einstellungen" und wähle in der linken Spalte "Passwort und Sicherheit" aus. In dem neuen Fenster scrolle ich etwas herunter, bis ich zu dem Feld "Zwei-Faktor-Authentifizierung" gelange. Dort gebe ich mein aktuelles Passwort in das entsprechende Feld ein. 

Dann ist ein zweiter Schritt notwendig. Denn die Zwei-Faktor-Authentifizierung funktioniert nur mit einer entsprechenden App auf meinem Smartphone. Diese App wird später das Einmal-Passwort liefern. Posteo fordert mich deshalb auf, eine entsprechende App zu installieren. Zu empfehlen sind die Apps Google Authenticator und FreeOTP. Letztere ist Open-Source-Software und somit von Experten auf Fehler oder Hintertüren überprüfbar, da der Code von allen einsehbar ist.

Alle 60 Sekunden ändert sich der zweite Faktor

Ich installiere daher FreeOTP auf meinem Smartphone. Die App gibt es für Android und für iOS. Anschließend kann ich auf der Posteo-Seite ein Häkchen setzen, mit dem ich die Installation bestätige. Auf einer neuen Seite zeigt mir Posteo dann einen QR-Code. Den muss ich nur noch mit der FreeOTP-App einscannen. Damit ist die Zwei-Faktor-Authentifizierung eingerichtet.

Hier eine Anleitung in Bildern (sichtbar nur in der Desktopansicht):

Wenn ich mich nun bei Posteo einloggen will, gebe ich meine E-Mail-Adresse und mein Passwort ein. Auf einer zweiten Seite verlangt Posteo dann nach einem Einmal-Passwort. Die Einmal-Passwörter aktualisieren sich bei FreeOTP alle 60 Sekunden, und zwar auch dann, wenn das Smartphone offline ist. Ich gebe einfach das aktuelle bei Posteo ein. Selbst wenn nun ein Keylogger alles mitgeschnitten hat, nützt das den Angreifern nicht viel. Denn das Einmal-Passwort ist beim nächsten Mal ein anderes. Meine Login-Daten sind also nicht verloren.

Facebook bietet in Kombination mit dem Google Authenticator eine ähnliche Lösung an. Sie ist im Facebook-Wirrwarr allerdings schwer zu finden und versteckt sich unter "Einstellungen", "Sicherheit", "Anmeldebestätigung". Dort muss  ich bestätigen, dass mir Facebook einen Code per SMS zusendet. Den Code gebe ich in einem speziellen Feld ein. Dann muss ich auf der gleichen Ebene erst "Codegenerator" und dann das blau unterlegte "installieren" wählen. Den anschließend erscheinenden QR-Code scanne ich mit dem Google Authenticator ein. Fertig.

Aber auch dieser Weg hat seine Schwächen. Zum Beispiel, wenn ich mein Smartphone verliere oder es gestohlen wird. Dann komme ich nicht mehr an meine Mails. Zwar kann ich FreeOTP auf einem zweiten Gerät installieren und mit Posteo verbinden, aber wer nimmt schon zwei Smartphones mit in den Urlaub? Bei vielen Diensten gibt es für solche Notfälle sogenannte Backup-Codes. Diese kann ich im Notfall eingeben und komme trotzdem an meine E-Mails. Posteo bietet diesen Service bislang jedoch nicht an.

Die Crux mit der verschlüsselten E-Mail

Bin ich im Internetcafé erfolgreich eingeloggt, folgt Schritt zwei. Ich will eine verschlüsselte E-Mail schreiben. Ob aus Angst vor Überwachung oder Prinzip, ist egal. Ich tue das zu Hause, warum sollte ich im Urlaub darauf verzichten? Normalerweise nutze ich das auf PGP basierende GnuPG. Auf einem fremden Rechner kann ich die dafür nötige Software aber schlecht installieren. Also brauche ich eine Lösung, die allein im Browser funktioniert.

Viele neue E-Mail-Anbieter haben jüngst versucht, die Verschlüsselung von E-Mails einfacher zu gestalten. Posteo hilft mir in diesem Fall nicht. Der Dienst bietet seit dem Frühjahr 2015 zwar einen sogenannten Krypto-Mailspeicher an: Nutzer können mithilfe eines Schlüssels eingegangene E-Mails in ihrem Postfach verschlüsseln. Die E-Mails liegen dann selbst für Posteo nicht einsehbar auf dem Server des Unternehmens. Ausgehende Nachrichten kann Posteo aber nur mit dem Browser-Addon Mailvelope verschlüsseln. Das hat einen gewichtigen Nachteil: Es speichert alle Schlüssel im lokalen Speicher des Browsers.

Kurz zur Erklärung: Asymmetrische Verschlüsselung mit PGP erfordert einen privaten und einen öffentlichen Schlüssel, die zusammen ein Schlüsselpaar ergeben. Wer mir eine verschlüsselte Nachricht schicken will, braucht meinen öffentlichen Schlüssel. Um sie entschlüsseln zu können, brauche ich meinen privaten Schlüssel.

Im Internetcafé müsste ich meinen bestehenden privaten Schlüssel von einem USB-Stick oder einem anderen Datenträger in Mailvelope importieren. Jedes Mal ein neues Schlüsselpaar zu erstellen, wäre sinnlos. Und ich müsste Mailvelope nach jeder Sitzung deinstallieren, damit mein privater Schlüssel nicht auf dem Rechner zurückbleibt. (Im Firefox hilft derzeit nicht einmal das.) Zusammengefasst: Posteo plus Mailvelope ist für das Internetcafé keine Lösung.

Tutanota erfordert Absprachen

Etwas besser geht es beim E-Mail-Dienst Tutanota. Nachdem ich mich registriert und eine Nachricht verfasst habe, fragt mich Tutanota nach einem Passwort für die Mail. Ich gebe es ein und klicke auf "Versenden". Der Empfänger meiner Mail bekommt nun eine standardisierte Mail mit einem Link zugesandt. Klickt er auf den Link, gelangt er auf eine Website und wird aufgefordert, das eben von mir festgelegte Passwort einzugeben. Nur damit kann er die eigentliche Nachricht von mir entschlüsseln.

Hier noch einmal eine Anleitung in Bildern (sichtbar nur in der Desktopansicht):

Tutanota hat nach eigenen Angaben seine Verschlüsselung einem Stresstest unterzogen, der Code ist einsehbar, jedoch nicht so leicht wie bei echter Open-Source-Software. Der Ansatz hat Schwächen. Ich müsste schon vorher wissen, wem ich während meines Urlaubs schreiben möchte und vorab Passwörter für meine E-Mails mit den Empfängern vereinbaren – oder während des Urlaubs auf einem zweiten Kanal. Das ist eher unrealistisch. Tutanota bietet außerdem erst ab Herbst 2015 Zwei-Faktor-Authentifizierung an. Ein Keylogger hätte also leichtes Spiel mit meinem Tutanota-Konto.

Mailbox.org bringt PGP und Browser zusammen

Mailbox.org liefert von allen mir bekannten Mail-Anbietern die umfassendste Lösung. Seit Anfang Juli 2015 bietet der Berliner Dienst eine PGP-Unterstützung im Browser an. Das Schlüsselpaar zum Ver- und Entschlüsseln liegt in diesem Fall auf den Servern von Mailbox.org. Für Menschen, die ihre Schlüssel unter Kontrolle haben wollen, mag das inakzeptabel sein; im Urlaub funktioniert es wenigstens.

Nachdem ich mich bei Mailbox.org angemeldet habe, kann ich beim Verfassen einer neuen Mail in der linken Spalte unter den Sicherheitsoptionen "Verschlüsselt senden (PGP)" auswählen. Daraufhin fordert mich Mailbox.org auf, ein Passwort zu vergeben. Mit diesem Passwort wird das neu generierte Schlüsselpaar für meine Mailbox.org-Adresse auf den Mailbox.org-Servern gesichert. Ich kann aber auch ein bestehendes Schlüsselpaar auf die Mailbox.org-Server hochladen. Auch dafür brauche ich ein Passwort, mit dem mein Schlüsselpaar seinerseits gesichert wird.

Anschließend gelange ich auf eine Seite, die mir erlaubt, meinen öffentlichen Schlüssel an andere Freunde zu schicken oder umgekehrt die öffentlichen Schlüssel meiner Freunde zu importieren. Die öffentlichen Schlüssel liegen dann genauso auf den Servern von Mailbox.org. Wenn ich eine E-Mail verschicke, brauche ich nun nur noch das Schlosssymbol anzuklicken, und schon wird die E-Mail verschlüsselt gesendet. Im Test funktioniert die Verschlüsselung problemlos.

Hier noch einmal eine Anleitung in Bildern (sichtbar nur in der Desktopansicht):

Sollten meine Bekannten kein GnuPG nutzen, greift Mailbox.org auf eine ähnliche Lösung wie Tutanota zurück. Der Empfänger muss dann ein vorher ausgemachtes Passwort eingeben, um meine Nachricht lesen zu können.

Keiner dieser Wege kommt ohne Kompromisse aus. Bei Posteo gefällt mir die Zwei-Faktor-Authentifizierung, bei Mailbox.org die Verschlüsselung. Besser wäre es, wenn ich mein Notebook immer bei mir hätte und auf meine bewährten Einstellungen zurückzugreifen könnte, notfalls in einem offenen WLAN im nächstbesten Café. Das ist in vielen Fällen aber nicht möglich und im Urlaub auch oft nicht gewollt. Das Smartphone hingegen ist häufig mein Reisebegleiter. Im nächsten Teil dieser Serie versuche ich, mich in fremden Funknetzen abzusichern und mit dem Smartphone verschlüsselte E-Mails zu versenden.