Messenger-App Signal: Moxies Mittelfinger - DER SPIEGEL

Moxie Marlinspike, Entwickler der WhatsApp-Alternative Signal, hat vorgeführt, wie sich ein von der Polizei genutztes Ermittlungswerkzeug sabotieren lässt. Was als Punk-PR funktionieren mag, könnte noch nach hinten losgehen.

Cellebrite: Werkzeuge zum Auslesen beschlagnahmter Smartphones

Foto: Issei Kato / REUTERS

Ein ausgestreckter Mittelfinger ist ein unmissverständliches Signal, selbst wenn der Finger gar nicht gezeigt, sondern nur blumig umschrieben wird.

Auftritt Moxie Marlinspike: In einem am Mittwoch veröffentlichten Blogpost, den man getrost als Punk-PR bezeichnen kann, zeigt der Entwickler der populären Messenger-App Signal einer IT-Forensik-Firma aus Israel den wortgewordenen Mittelfinger. Cellebrite heißt die Firma, bekannt ist sie vor allem bei Strafverfolgern, in erster Linie für ihre Lösungen zum Entsperren und Auslesen beschlagnahmter Smartphones, was auch Signal-Chats beinhalten kann. Die werden zwar Ende-zu-Ende-verschlüsselt übertragen, sind also aus der Ferne nicht auslesbar, aber wenn Ermittler direkt an der Quelle mitlesen können, ist der Schutz dahin.

Für Marlinspike, der sich den kompromisslosen Einsatz für die Signal-Nutzerinnen und -Nutzer auf die Fahne geschrieben hat, wird es an dieser Stelle daher persönlich. Die Kundenliste von Cellebrite, so beginnt Marlinspike seinen Blogpost, beinhalte »autoritäre Regime in Belarus, Russland, Venezuela und China, Todesgeschwader in Bangladesch, die Militärjunta in Myanmar und Unterdrücker in der Türkei, den Vereinigten Arabischen Emiraten und anderswo«. So weit, so düster.

Vom Laster gefallen

Doch dann ändert sich der Tonfall und der Blogpost wird plötzlich zum Schelmenstück: »Durch einen wirklich unglaublichen Zufall war ich neulich spazieren, als vor meinen Augen ein kleines Paket vom Laster fiel. Als ich näherkam, wurde langsam der triste Firmenschriftzug erkennbar: Cellebrite. Im Paket fanden wir die aktuelle Version der Cellebrite-Software.« Darunter stellte Marlinspike das Foto einer Cellebrite-Tasche, die unverpackt, unbeschädigt und sauber auf einer Straße liegt.

Damit kam der unkonventionelle App-Entwickler zum Kern: Er habe die Software untersucht, schreibt er, und darin Schwachstellen gefunden, die es seiner Darstellung nach erlauben, das Forensikwerkzeug zu hacken und beliebig zu manipulieren. Eine Smartphone-App könne so programmiert werden, dass sie die Ergebnisse jeder Cellebrite-Analyse komplett verfälscht, also eventuelles Beweismaterial auf einem beschlagnahmten Gerät unbrauchbar macht, behauptet er.

Ein Beweisvideo hat er gleich dazu veröffentlicht, untermalt mit Szenen und Zitaten aus dem Spielfilm »Hackers« von 1995, wie etwa »mess with the best, die with the rest« (in der deutschen Fassung heißt es »Leg dich mit den Besten an, und du stirbst wie alle dann«).

Details verrate er Cellebrite »natürlich« gern, schreibt Marlinspike – aber nur, wenn die israelische Firma ihrerseits alle Schwachstellen aufdecke, die sie zum Auslesen von Geräten nutzt, »jetzt und in Zukunft«.

Der Blogpost schließt mit einem Absatz, der angeblich rein gar nichts mit dem zuvor Beschriebenen zu tun hat und besagt, dass künftige Versionen der Signal-App regelmäßig Dateien in ihren Speicher laden werden: »Diese Dateien werden niemals für etwas innerhalb von Signal benutzt und interagieren niemals mit Signals Software oder Signal-Daten, aber sie sehen hübsch aus und Ästhetik ist wichtig in Software«. Frei übersetzt: Marlinspike droht damit, Signal so umzubauen, dass die App im Falle eines Falles das Auslesen des Smartphones per Cellebrite-Software sabotiert.

So unterhaltsam der Blogpost ist und so sehr er in Teilen der Hacker-Community gefeiert wird: So ein Hackback könnte auch nach hinten losgehen. Marlinspike hat nach Ansicht ihm wohlgesinnter Experten spätestens mit der angekündigten Integration einer nicht nachverfolgbaren Kryptowährungs-Bezahlfunktion in Signal eine Zielscheibe auf die App gemalt. »Das lädt alle möglichen Arten von Regierungsuntersuchungen und Regulierungseinmischungen geradezu ein«, schrieb zum Beispiel der Kryptografie-Experte Bruce Schneier.

Hinzu kommt, dass Marlinspike die Nutzung von Signal durch Kriminelle schlichtweg akzeptiert, wie er auch im SPIEGEL-Interview im Februar andeutete. Seine Begründung: Verbrecher hätten immer Zugang zu verschlüsselten Kommunikationsmethoden, weil sie nötigenfalls die dazu nötigen Umwege gehen würden, während normale Nutzerinnen und Nutzer eine möglichst simpel zu bedienende Technik bräuchten, um abhörsicher zu kommunizieren.

US-Politiker nutzen Signal, aber schützt das vor Einmischung?

Nun also auch noch die Drohung, ein bei Ermittlern beliebtes Werkzeug zu sabotieren und die Strafverfolgung damit zu erschweren – es scheint, als bettele Marlinspike geradezu darum, vom US-Kongress einbestellt zu werden.

Auch wenn die US-Politik bisher nur die großen Onlineplattformen im Blick hat und versucht, sie zu schärferen Maßnahmen gegen den Missbrauch beispielsweise durch Kindesvergewaltiger zu bewegen: Signal ist in diesem Jahr deutlich gewachsen (wie deutlich, will man nicht sagen) und könnte mittlerweile die Relevanzschwelle mancher Abgeordneter und Senatoren erreicht haben.

Bisher freut er sich, dass – wie er im Februar sagte – viele Politiker bis ins Weiße Haus die App selbst nutzen. Aber sich darauf zu verlassen, dass sie alle genug Spaß verstehen, um die Sticheleien gegen Cellebrite als Scherz abzutun, könnte riskant sein.

Let's block ads! (Why?)

Messenger-App Signal: Moxies Mittelfinger - DER SPIEGEL
Read More