Großbritannien weist Apple an, die verschlüsselten Konten von Nutzern zu überwachen

• Britische Sicherheitsbehörden haben von Apple eine Hintertür verlangt, mit der alle verschlüsselten Daten eingesehen werden können, die von Nutzern weltweit in die Cloud hochgeladen werden

  • Die britische Regierung fordert keinen Zugriff auf bestimmte Konten, sondern eine allgemeine Zugriffsmöglichkeit
  • Berichten zufolge gibt es unter den großen demokratischen Staaten keinen vergleichbaren Präzedenzfall
  • Es werden Sorgen laut über Maßnahmen, bei denen der Staat Unternehmen aktiv dafür einspannt, auf Nutzerdaten zuzugreifen

• Apple erwägt, verschlüsselten Speicher im Vereinigten Königreich einzustellen, um seine Sicherheitszusagen einzuhalten

  • Problematisch bleibt jedoch, dass sich damit die Forderung nach einer Hintertür für Dienste außerhalb des Vereinigten Königreichs, etwa in den USA, weiterhin nicht erfüllen ließe

• Die britische Innenministerin bzw. der britische Innenminister (Home Secretary) hat Apple auf Grundlage des 2016 eingeführten Investigatory Powers Act eine technical capability notice zugestellt

  • Die rechtliche Grundlage ist eine Bestimmung, nach der Ermittlungsbehörden Unternehmen zur Mitwirkung zwingen können, wenn dies zur Beweiserhebung erforderlich ist
  • Es gibt zudem eine Regelung, nach der die Offenlegung dieser Anforderung als Straftat gilt

• Apple kann gegen die Anforderung Berufung bei einem nicht öffentlichen technischen Gremium einlegen

  • Auch während eines laufenden Rechtsmittels wäre Apple jedoch verpflichtet, die Anforderung sofort umzusetzen
  • Apple hat Einwände dagegen erhoben, dass die britische Regierung das Recht beansprucht, über die Sicherheit von Nutzern weltweit zu entscheiden

• Die britische Regierung verweigerte jede Stellungnahme zu konkreten technischen Anforderungen

  • Sie erklärte, sich nicht zu „operativen Angelegenheiten“ zu äußern

• Auch Vertreter der US-Regierung wussten über die britischen Forderungen Bescheid

  • Die Trump-Regierung und Vertreter der Nachrichtendienste vermieden jedoch eine offizielle Stellungnahme
  • Dass die britischen Anforderungen auch für nichtbritische Nutzer gelten sollen, wurde mit großer Bestürzung aufgenommen

• Im Zentrum steht Cloud-Speicher, der über Advanced Data Protection so abgesichert ist, dass nur Nutzer ihn entschlüsseln können

  • Apple begann 2022 mit der Einführung, wogegen das FBI in der Vergangenheit heftig protestiert hatte
  • Wenn dieser Schutz nicht aktiviert ist, gibt es weiterhin einen Weg, iCloud-Daten per richterlicher Anordnung für Ermittlungsbehörden zugänglich zu machen

• Apples hochgradig verschlüsselter Cloud-Speicher wird zwar nur von einem Teil der iPhone- und Mac-Nutzer verwendet, doch mit aktivierter Funktion sinkt das Risiko von Hacks, während der Zugriff für Ermittlungsbehörden deutlich erschwert wird

• In der Tech-Branche und bei politischen Entscheidungsträgern löste die Nachricht starke Reaktionen aus

  • US-Senator Ron Wyden aus dem Geheimdienstausschuss warnte, Großbritannien könne so Amerikaner im Geheimen überwachen
  • Meredith Whittaker von Signal kritisierte, Großbritannien würde damit faktisch eine globale Schwachstelle in der Verschlüsselung schaffen

• Weltweit beklagen Ermittlungsbehörden seit Langem, dass stärkere Verschlüsselung Ermittlungen zu Terrorismus, Kindesmissbrauch und ähnlichen Straftaten erschwere

  • Unternehmen halten mit Verweis auf den Schutz der Privatsphäre dagegen
  • Kritiker warnen, dass eine Hintertür von Kriminellen oder autoritären Staaten missbraucht werden könnte

• Auch Meta und Google bieten ähnlich starke Verschlüsselung für Backups an

  • Google erklärt, Android-Backups seit 2018 standardmäßig zu verschlüsseln, sodass selbst intern kein Zugriff möglich sei
  • Meta hält ebenfalls an seiner Position fest, keine Hintertür in die Backup-Verschlüsselung von WhatsApp einzubauen

• Sollte Großbritannien sich diesen Zugriff sichern, könnten auch andere Staaten, die Verschlüsselung bislang zulassen, etwa China, ähnliche Forderungen stellen

  • Daraus könnte für Apple die Frage entstehen, ob Dienste zurückgezogen oder doch Hintertüren bereitgestellt werden

• Es ist nicht das erste Mal, dass Großbritannien Apples starke Verschlüsselung kritisiert

  • 2022 hatte das Land bereits unter Verweis auf den Kinderschutz gefordert, starke Verschlüsselung zu beenden
  • Apple warnte damals, britisches Recht könne weltweit Maßnahmen zur Umgehung von Verschlüsselung erzwingen

• Apple argumentierte zudem, die britischen Anforderungen könnten auch mit Urteilen des Europäischen Gerichtshofs für Menschenrechte kollidieren

  • Das Unternehmen verwies darauf, dass dies die Verschlüsselung für Nutzer weltweit schwächen würde

• In den USA hatten Ermittlungsbehörden in der Vergangenheit zwar regelmäßig die Behinderung von Ermittlungen durch Verschlüsselung kritisiert, in jüngerer Zeit sorgen sie sich aber stärker über chinesische Hacks

  • Die US-Regierung empfiehlt der Bevölkerung inzwischen eher verschlüsselte Kommunikation statt gewöhnlicher Telefonate
  • Als FBI, NSA und CISA eine gemeinsame Empfehlung veröffentlichten, beteiligte sich Großbritannien nicht daran

[GN⁺]

Hacker-News-Kommentare

• Die britische Regierung wird Apple wahrscheinlich eher hohe Geldstrafen auferlegen, wenn das Unternehmen die Vorschriften nicht einhält, als es aus dem Geschäft zu drängen

  • Apple könnte den Advanced Data Protection-Dienst im Vereinigten Königreich einstellen
  • Der Vorschlag der Regierung ist schwach, und Menschen, die ihre verschlüsselten Daten verbergen wollen, würden einfach woandershin wechseln
  • Britische Verbraucher würden dadurch nicht vor Kriminellen geschützt werden

• Wenn Apple seine Cloud-Dienste aus dem Vereinigten Königreich abzieht, ist die Forderung britischer Sicherheitsbehörden nach einer Hintertür für den Zugriff auf verschlüsselte Nutzerdaten nicht umsetzbar

  • Es wirkt, als würden britische Geheimdienste nach einer neuen Methode suchen, Apple gut aussehen zu lassen

• Google-Sprecher Ed Fernandez beantwortete die Frage, ob die Regierung eine Hintertür verlangt habe, nicht direkt und erklärte, Google könne selbst bei einer rechtlichen Anordnung nicht auf end-to-end-verschlüsselte Android-Backup-Daten zugreifen

  • Das bedeutet nur, dass Google selbst keinen Zugriff hat; es schließt nicht aus, dass Schlüssel an staatliche Stellen weitergegeben wurden

• Die britischen Gesetze zur Schlüsseloffenlegung können Menschen mit hochentropischen Zufallsdaten zu Kriminellen machen

  • Dabei handelt es sich um die rechtliche Forderung, Schlüssel zur Entschlüsselung verschlüsselter Daten bereitzustellen

• Die gefährlichste Handlung, die die AI-Sicherheit zerstört, ist, wenn Regierungen die Mathematik der Verschlüsselung ignorieren

  • Das kann die AI-Sicherheit sowohl auf individueller als auch auf Ökosystem-Ebene zerstören

• Ich dachte, wir würden im Datenschutz-Narrativ gegen Überwachung Fortschritte machen, aber dieser Vorfall zeigt, dass das nicht der Fall ist

  • Als britischer Bürger frage ich mich, ob ich irgendetwas tun kann, um diese Situation zu verhindern

• Die USA sind das einzige Land, in dem die Freiheit vor der Regierung rechtlich ausdrücklich festgeschrieben ist

  • Die US-Verfassung spielt eine wichtige Rolle beim Schutz der Rechte der Bürger

• Seit Jahren behaupten Strafverfolgungsbehörden, dass Verschlüsselungs-Hintertüren nötig seien, um Kriminalität und Terrorismus zu verhindern

  • In den USA empfiehlt das FBI Regierungsbeamten nach dem Salt-Typhoon-Vorfall die Nutzung von end-to-end-verschlüsselten Apps wie Signal und WhatsApp
  • Die britische Regierung befindet sich in einer Situation, in der es ihr an Verständnis für Verschlüsselung mangelt