linksunten Archiv

Der Heartbleed-Bug wirft einmal mehr die Frage auf, wie wir als Aktivist_innen unsere private Kommunikation absichern können. Nicht erst seit der NSA-Affäre wissen wir, dass inländische und ausländische Geheimdieste ein großes Interesse daran haben, mit wem wir über was sprechen. Der Heartbleed-Bug hat erschreckend demonstriert, dass wir bei der Absicherung unser Strukturen die Losung doppelt hält besser berücksichtigen sollten. Wir euch mit diesem Artikel eine leicht zu bedienende Möglichkeit vorstellen, mit Gefährt_innen über den ganzen Globus hinweg in Echtzeit chatten zu können, ohne dass dies von der NSA oder den Betreibern der Server mitlesbar wäre. Die Zauberformel dahinter ist denkbar einfach: Jabber mit OTR.

Was ist dieses Jabber?

Viele deutschsprachige Aktivist_innen nutzen bereits seit Jahren Jabber, um sich in Echtzeit zu unterhalten. Jabber ermöglicht es mit Leuten, die gleichzeitig mit euch online sind, Nachrichten auszutauschen. Die älteren unter uns kennen das Prinzip wahrscheinlich noch aus Zeiten von ICQ und MSN. Massenhaft eingesetzt, wird die Idee von Echtzeit-Chats derzeit bei Facebook. Letzters nutzt übrigens die gleiche Technik wie Jabber (XMPP).

Im Endeffekt ist das Prinzip denkbar einfach: Ihr legt euch bei einem Server eures Vertrauens einen Jabber-Account an. Dafür müsst ihr euch in der Regel nur einen Benutzernamen und ein Passwort ausdenken. Eine E-Mail-Adresse ist meist nicht notwendig. Durch seinen dezentralen Aufbau seid ihr nicht auf einen zentralen Anbieter wie Facebook, Microsoft oder Google angewiesen. Auch linke Tech-Kollektive bieten Jabber-Server an. So zum Beispiel Systemli, der Chaos Computer Club, Immerda und Riseup.

Anschließend könnt ihr Bekannte als Freund_innen hinzufügen und dann sofort mit diesen Nachrichten austauschen. Dies funktioniert auch zwischen Leuten, die sich auf unterschiedlichen Servern registriert haben.

Neben dem simplen Chat ermöglicht Jabber auch Konferenz-Räume, in denen mehrere Leute gleichzeitig miteinander schreiben können. Auch das Versenden von Dateien ist möglich. Letzeres ist jedoch nicht zu empfehlen, da die Dateien eventuell unverschlüsselt (!) versendet werden.

Privatsphäre durch OTR

OTR ist eine Abkürzung für Off-the-Record-Messaging und ermöglicht genau dies. Es kann als Plugin für gängige Chat-Programme installiert werden und sorgt anschließend für eine end-to-end-Verschlüsselung der Nachrichten eines Gesprächs. Dadurch können selbst die Betreiber der Server nicht mitlesen, worüber ihr euch unterhaltet. Angesichts der Gefahr von Spitzeln, die an diese zentrale Stellen eingeschleust werden können oder Sicherheitslücken in der Verbindung zum Server wie Heartbleed eine war, stellen dann kein Problem mehr dar.

OTR nutzt dabei zur Verschlüsselung einige ausgefeilte Tricks. Dadurch sind die Gespräche nicht nur so gut verschlüsselt, dass auch die NSA sich die Zähne daran ausbeißt. Es wird zusätzlich sichergestellt, dass die Daten im nachhinein nicht entschlüsselt werden können. Außerdem kann OTR während des Gesprächs sicherstellen, dass euer/eure Gesprächspartner_in auch die Person ist, als die sie sich ausgibt. Und zu allerletzt garantiert OTR nach einem Gespräch eine glaubwürdige Abstreitbarkeit euer Aussagen.

Das hört sich alles ziemlich kompliziert an, ist aber in der Praxis sehr einfach zu benutzen. OTR erkennt automatisch, ob euer gegenüber auch OTR hat und verschlüsselt dann das Gespräch von selbst. Auch um den Austausch der Schlüssel müsst ihr euch nicht kümmern. Alles läuft automatisch im Hintergrund ab. Den einzigen Schritt, bei dem ihr selbst Hand anlegen müsst, ist die Authentifizierung eures gegenübers. Nur in diesem Fall könnt ihr wirklich sichergehen, dass ihr nicht gerade mit einem Bullen schreibt oder Opfer einer Man-in-the-Middle-Attacke werdet.

Auch hierfür hat OTR eine denkbar einfache Lösung entwickelt: Ihr stellt eurem Gesprächspartner einfach eine Frage, deren Antwort nur er kennen kann. Antwortet dieser korrekt, könnt ihr im in der Zukunft vertrauen. Dieser Schritt ist nur einmalig notwendig, jedoch von beiden Leuten. Bei den Fragen solltet ihr darauf achten, dass selbst Geheimdienste, die im Zweifel gut über euer Privatleben Bescheid wissen, die Antwort nicht kennen. Ihr solltet dabei die Frage immer selbst bestimmen und euch nicht von der anderen Person ein Thema vorgeben lassen. Im Zweifel könnt ihr auch einfach im persönlichen Gespräch eine Antwort ausmachen.

Und wie komme ich an das ganze?

Für Linux- und Windows-Nutzer_innen ist Pidgin zu empfehlen. Dies unterstützt neben Jabber noch eine Vielzahl weiterer Chat-Protokolle. Ihr könnt dann also andere Chat-Programme einfach runterschmeißen. Pidgin für Windows gibt es hier. Zusätzlich müsst ihr das OTR-Plugin installieren. Unter Linux können Pidgin und OTR einfach über die Paketverwaltung installiert werden. Häufig ist zumindest Pidgin auch bereits vorinstalliert. Unter Ubuntu heißen die Pakete pidgin und pidgin-otr. Eine Anleitung gibt es bei ubuntuusers.

Pidgin gibt es leider nicht für Mac. Die Entwickler von pidgin empfehlen das sehr ähnlich Adium. Leider ist die OTR-Version von Adium ein wenig veraltet. Ihr könnt zwar auch verschlüsselt schreiben, die Authentifizierung ist aber leider nur durch einen Abgleich der Fingerprints möglich. Für das in einigen Monaten kommende Adium 1.6 wurde jedoch OTR kompeltt neugeschrieben und wird dann auch die leichte Authentifzierung per Frage und Antwort ermöglichen.

Die Grenzen von Jabber und OTR

Wenn ihr authentifizierte OTR-Gespräche führt, könnt ihr ziemlich sicher sein, dass weder die Betreiber der Server noch die NSA den Inhalt euer Gespräche mitlesen kann. OTR verschlüsselt jedoch nur den Inhalt euer Gespräche. Es kann weiterhin nachvollzogen werden, mit wem ihr schreibt. Leider funktioniert OTR nicht bei Offliche-Nachrichten und in Konferenz-Räumen.

Zusätzlich zu OTR sind eigentlich zu allen Jabber-Servern die Verbindung mit SSL verschlüsselt. Von GAUs wie dem Heartbleed-Bug mal abgesehen, verhindert bereits SSL ziemlich zuverlässig das Mitlesen der Kommunikation. Dadurch werden auch eure Verbindungsdaten (wer kommuniziert mit wem?) vor Bullen und Geheimdiesten geschützt. Die Betreiber der Server haben darauf jedoch genauso Zugriff wie auf Gespräche, die nicht über OTR geführt werden.

Wollt ihr eure Verbindungsdaten zusätzlich verschleiern, könnt ihr euch über TOR mit dem Jabber-Server verbinden. Durch die wenigen Daten, die Jabber versenden und empfangen muss, ist ein Geschwindigkeitsverlust durch TOR kaum spürbar. Nur der Verbindungsaufbau dauert deutlich länger. Unter anderem Riseup bietet den Jabber-Server auch als Hidden Service im Tor-Netzwerk an.