Crypto für alle – hall of shame

Im Juni 2013 hat Edward Snowden der Welt die Augen geöffnet. Was ist seitdem passiert? In guter Näherung nichts. Das hat zum Teil damit zu tun, dass es keine einfache Lösung des Problems gibt; außerdem vermutlich damit, dass der Staat sich in einem Zielkonflikt befindet: Wenn die Kommunikation der Deutschen so gesichert wird, dass die NSA nicht mehr rankommt, dann können natürlich auch deutsche Behörden die Bürger nicht mehr abhören. Das größte Hindernis dürfte aber das Desinteresse an der Lösung des Problems sein, das sich überwiegend aus dem Mangel an Fachkompetenz und dem Unterschätzen der Bedrohung für die freiheitliche Demokratie erklärt.

Es ist es technisch und auch politisch unverzichtbar, dass das Wissen über IT-Sicherheit in der Bevölkerung dramatisch gesteigert wird und dass über diesen Wissenszuwachs jedenfalls weite Teile der Bevölkerung in die Lage versetzt werden, ihre Privatsphäre angemessen zu schützen – und in ihrer Eigenschaft als Wähler die politischen (In)Aktivitäten brauchbar einzuschätzen.

Ich schwöre, dass ich meine Kraft dem Wohle des deutschen Volkes widmen, [...] Schaden von ihm wenden, das Grundgesetz und die Gesetze des Bundes wahren und verteidigen, [...] werde.

Liegt hier kein Schaden vor? Können die Deutschen sich noch auf die ihnen vom Grundgesetz garantierten Rechte verlassen? Kommt die politische Führung dieses Landes ihren Pflichten nach?

Aber es sind nicht nur die Bundesregierung, der Bundestag und die Parteien insgesamt, die hier auf professionelle Weise versagen, denn dieses Problem kann nicht allein von der Politik gelöst werden. Wir brauchen in einigen Jahren etwa zehn Millionen Nutzer von Kryptografie. Das ist offensichtlich nur dann zu erreichen, wenn sich alle daran beteiligen, von denen man das – rechtlich oder moralisch – erwarten darf.

Eskalation ←

Alle, die auf die eine oder andere Art als verantwortlich dafür angesehen werden können, die Situation zu entschärfen, hatten genug Zeit, aus Einsicht aktiv zu werden. Geklappt hat das nur bei einer sehr überschaubaren Gruppe von Aktivisten, die Demonstrationen organisieren, Wissen vermitteln oder Petitionen anstoßen.

Es sieht danach aus, dass bei der Masse derjenigen, die wir für einen quantitativen Erfolg brauchen, äußerer Druck erforderlich ist, damit sie endlich aktiv werden. Das ist in erster Linie die Ausgabe der Presse, die bei diesen Leuten und Organisationen vorstellig werden muss. Um das zu erleichtern, pflege ich hier eine Liste derjenigen Personen und Organisationen, die ihrer Pflicht bisher nicht nachkommen. Dabei muss man natürlich differenzieren: je größer die Verpflichtung und je besser die Möglichkeiten, desto größer die Schuld.

Einige Organisationen auf der folgenden Liste habe ich kontaktiert. Man kann natürlich fragen, warum die ausgerechnet mit mir reden sollten. Mal ganz abgesehen davon, dass die von entsprechenden Anfragen nicht gerade überrollt werden und es grundsätzlich fragwürdig ist, seriöse Anfragen einfach zu ignorieren, gehöre ich zu denen, die qualitativ und quantitativ am meisten tun und entsprechend oft in den Medien landen. Wenn man nicht mal mit mir reden will (obwohl man nichts tut!), mit wem denn dann?

Was sollen sie tun? ←

Das ist fallweise verschieden:

Das absolute Minimum ist, dass sie auf ihrer Kontaktseite "Werbung" für das Thema Kryptografie machen, damit sich nach und nach das öffentliche Bewusstsein dahingehend wandelt, dass (fast) niemand mehr glaubt, ihn betreffe das nicht: Erhöhung der Sichtbarkeit des Themas Kryptografie
Hochschulen müssen aktiv werden

In dem Zusammenhang natürlich auch die hochschulübergreifenden Organisationen, insbesondere die der auf die eine (Kompetenz) oder andere (Einsicht) Art besonders betroffenen Fachgebiete: Informatik, Mathematik, Elektrotechnik, Politologie, Philosophie.
Schulen (mit Oberstufe) müssen aktiv werden

In dem Zusammenhang natürlich auch die schulübergreifenden Organisationen, insbesondere die der Informatik- und Mathematik-Lehrer.
Die Berufsverbände der Berufsgeheimnisträger (Anwälte, Steuerberater, Seelsorger, Journalisten, Banker, Mediziner) müssen sowohl für Sichtbarkeit sorgen, als auch ihre Mitglieder dabei Unterstützen, sich die Technik anzueignen und sie korrekt einzusetzen.
Die Onlinewirtschaft (inklusive der Unternehmen, die einen Großteil ihrer Leistung online erbringen wie etwa Banken) hat ein vitales Interesse daran, dass das Vertrauen in die Sicherheit digitaler Transaktionen erhalten bleibt.
Die Entwickler kryptorelevanter Software haben großen Einfluss darauf, wie viele Leute sich mit Kryptografie befassen.

inakzeptabel ←

Kategorie	Organisation / Person	Kontaktanlass	Reaktion	Situation	Datum / Stand	Kommentar
Politik ←	SPD Bundesgeschäftsstelle		keine		- / 20.01.2014	Bitte um Sichtbarkeit
	CDU Bundesgeschäftsstelle		keine		- / 20.01.2014	Bitte um Sichtbarkeit
	fast alle Landesverbände der Piratenpartei		überwiegend keine		- / 20.01.2014	Bitte um Sichtbarkeit (meine Mail); die Bundespartei hat das umgesetzt, allerdings schlecht; mehrere Landesverbände haben die Umsetzung angekündigt
	der Rest	Ich habe nicht alle angeschrieben, aber das kann man nicht als Voraussetzung dafür ansehen, etwas zu tun. Eine Partei kritisiert lauthals die Kanzlerin, ist aber nicht per OpenPGP erreichbar? Lächerlich. Einen positiven Ansatz gibt es auf der Bundesebene der Linkspartei.
	Berliner Landesverbände	Ich habe die im Berliner Abgeordnetenhaus vertretenen Parteien auf den Berliner Crypto-Stammtisch hingewiesen und dorthin eingeladen (außer der CDU; die war leider nicht sinnvoll elektronisch erreichbar). Keine Reaktion. Entweder sieht man dort kein Problem, oder man möchte es jetzt noch nicht lösen, oder man beabsichtigt das aus, ähem, der eigenen Fachkompetenz heraus zu leisten.
	Bundestag	Hat nichts mit meinen Aktivitäten zu tun, spricht aber Bände: Wie der Bundestag die Nutzung von OpenPGP ein Jahr lang verhindert hat
Hochschulen ←	Mir sind keine nennenswerten Aktivitäten an Hochschulen bekannt. Von wem darf Deutschland die Qualifizierung der Bevölkerung erwarten, wenn nicht von den Informatik- und Mathematik-Lehrstühlen? Wo soll sich denn etwas ändern, wenn nicht dort? Oder soll sich (in der Breite der Bevölkerung) gar nichts ändern? Das kann doch niemand vom Fach bei klarem Verstand für richtig halten. Ich habe im Herbst 2013 an einer der Berliner Universitäten etwa 60 Professoren der beiden Fachbereiche angeschrieben. Ich habe nur um Kleinigkeiten gebeten. Ich habe sechs Antworten erhalten, davon nur eine positiv im erbetenen Sinn – und weil das Schicksal an dem Tag einen Clown gefrühstückt hatte, ist derjenige gerade auf Forschungssemester in Südamerika... Ein Jahr später reagiert an einer anderen Universität von knapp 100 angeschriebenen Naturwissenschafts-Professoren genau einer. Positive Reaktionen gibt es dort allerdings bei den Geisteswissenschaftlern. Was gut funktioniert, ist, den Erstsemestern gleich zu Beginn des Studiums die Technik zu verpassen. Die Lösung des Problems wird offensichtlich nicht Einsicht sein, sondern Gruppenzwang.
	Fakultätentag Informatik	Beschluss: Kultur des sicheren Netzes: praktische Hilfe für die Aktivisten	keine		02.12.2013 / 20.01.2014	Verweis auf die schlechte Resonanz bei Informatik-Professoren; Bitte um Unterstützung
	Fraunhofer Gesellschaft		keine		11.2013 / 20.01.2014	Verweis auf die schlechte Resonanz bei Informatik-Professoren; Bitte um Unterstützung
	20 Verfassungsrechtler	Verfassungsrichter als Krypto-Promotoren	keine	genau eine (mein Engagement lobend, aber ablehnend)	13.06.2013	Bitte um Herstellung eines geeigneten Kontakts (oder Tipps dafür) nach Karlsruhe
Schulen ←	Mir sind keine nennenswerten Aktivitäten an Schulen bekannt. Es gibt in Berlin eine Kooperation mit Informatiklehrern, aber dabei ist bisher nicht viel herausgekommen (nicht die Schuld der Beteiligten). Gegenbeispiel: Von den 14 (im Herbst 2013) angeschriebenen Kieler Schulen mit Oberstufe hat nur eine reagiert. Das Ministerium auch nicht. In Berlin sieht es ähnlich aus, nur dahingehend noch schlimmer, dass sogar persönliche Kontaktausnahme zumeist zu keiner Reaktion führt. Auch von den Berliner Bezirkselternausschüssen hat kein einziger geantwortet.
Verbände ←	BITKOM		keine		11.11.2013 / 20.01.2014	Einladung zum Berliner Crypto-Stammtisch (vor der Fokussierung auf Schulen)
	Deutscher Anwaltverein		keine		31.10.2013 / 20.01.2014
	Rechtsanwaltskammer Berlin	öffentliche Erklärung zu Überwachung	Absurder Verweis auf das 2016 kommende elektronische Anwaltspostfach.		04.12.2013 / 20.01.2014	mein Vorschlag Deshalb braucht man also das von mir geschilderte System (gemeint ist OpenPGP...) nicht. Warum sollte der Anwalt auch mit dem Bürger kommunizieren können? Der Bürger kann sich dann ja De-Mail zulegen. Irgendwann wird er ja Gefallen daran finden. Das ersetzt zwar OpenPGP nicht, aber Sachkompetenz ist in der Justiz ja optional.
	Berliner Anwaltsverein	öffentliche Erklärung zu Überwachung	keine		04.12.2013 / 20.01.2014	mein Vorschlag
	Steuerberaterkammer Berlin	öffentliche Erklärung zu Überwachung	keine		04.12.2013 / 20.01.2014	mein Vorschlag
Onlinewirtschaft ←	mittelbare Phishingopfer: Banken, Kreditkartenunternehmen, Paypal usw.	Fast jeden Tag bekommt man Mails von Banken und anderen Unternehmen, deren Kunde man lustigerweise gar nicht ist, und soll wegen des Vorfalls XY irgendwas mit seinen Zugangsdaten machen. Wie lange geht das schon so, zehn Jahre? Vor acht Jahren habe ich mich an den Bankenverband und einzelne Institute gewendet, weil Banken damals (heute immer noch?) wohl in der besten Position waren, die Masse der Kunden für Kryptografie zu interessieren. Aber das Interesse, das Thema Phishing ein für allemal zu erledigen, ist "nicht sehr ausgeprägt".
Software / Entwickler ←	Enigmail		Ablehnung		26.10.2013 / 20.01.2014	die Anfrage Diese Haltung macht mich fassungslos.
Crypto-Community ←	Websitebetreiber, die auf ihre OpenPGP-Nutzung hinweisen	In knapp einem Jahr habe ich über 500 Website-Betreiber angeschrieben (Privatleute, Unternehmen und sonstige Organisationen), die auf (zumeist) ihrer Kontakt- oder Impressumsseite darauf hinweisen, dass man sie auch mit OpenPGP erreichen könne. In den meisten Fällen (ca. 75%) ist das ein einfacher Hinweis der Art Hier ist mein PGP-Zertifikat, die Minderheit stellt weitere Informationen dazu bereit (nie umfassend, oftmals wenig hilfreich). Etwa 25% der fraglichen Seiten enthalten zudem richtige Fehler (zumeist falsch formatierte Zertifikate im Text), worauf ich sie hingewiesen habe. Für die meisten anderen gab es Anmerkungen bezüglich verbesserungswürdiger Aspekte, die man nicht wirklich als Fehler bezeichnen würde. Man darf wohl voraussetzen, dass alle diese Leute umfassend mit dem Problem vertraut sind, dass man OpenPGP mit kaum jemandem nutzen kann, und ein beachtliches Interesse daran haben dürften, dass sich das ändert. Jeder Websitebetreiber kann mit nahezu null Aufwand (und der außerdem nur einmalig) einen relevanten Beitrag dazu leisten, dass sich die Situation ändert. Ich habe auf meine entsprechende Sammlung an Vorschlägen, speziell natürlich auf die Vorschläge für Website-Betreiber hingewiesen. Obwohl es keiner Diskussion bedürfen sollte, dass man so etwas macht, liegt die Reaktionsquote unter 10%. Wieso sollen sich die "normalen" Leute für Kryptografie interessieren, wenn schon den Kryptografie-Nutzern fast alles egal ist?