NSA-Mitarbeiter nutzen den selben Krypto-Chatdienst wie Hacker und Aktivisten

Neue Snowden-Dokumente​, die der Spiegel veröffentlicht hat, enthüllen, dass die Behörde intern mit Jabber kommuniziert. Die Mitarbeiter des US-Geheimdienst greifen unter anderem für Strategie-Chats scheinbar gerne auf den selben Messaging-Dienst zurück, mit dem Hacker und Aktivisten ihre Kommunikation vor der Massenüberwachung zu schützen suchen.

Eines der nun veröffentlichten Dokument beschreibt einen geheimen Krypto-Dienst im Rahmen des ​Scarletfever-Programm, der Teil der übergeordneten Longhaul-Initiative zu sein scheint, mit der Verschlüsselungsformate grundsätzlich geknackt und mehr Daten gesammelt werden sollen. Zum Ende des Dokuments findet sich eine überraschende kleine Randbemerkung: „Jabber Chat Room: TBD". Das Akronym TBD (to be discussed) verweist also knapp darauf, mit welchem Programm die Agenten das Thema chattend vertiefen wollen.

Der Begriff „Jabber" kann sich dabei auf verschiedene Dienste beziehen. Der Begriff meint entweder den ​ursprünglichen Jabber.org-Messagingservice, der 1999 als Projekt von Ehrenamtlichen initiiert wurde, oder allgemein das Extensible Messaging and Presence Protocol (XMPP)—ein ​weitverbreitetes​, quelloffenes Protokoll, das eine Erweiterung des Ur-Jabbers darstellt. Er kann sich aber auch auf Ciscos ​kommerzielle Jabber XPC-Plattform​ beziehen, die vor dem Hintergrund einer Nutzung durch die ​US-Regierung​ entwickelt wurde. Alle Jabber-Varianten werden als Implementationen von XMPP bezeichnet.

XMPP ist als offenes Protokoll unter ​Hackern​ und Aktivist​en beliebt, da Open Source-Plattformen im Vergleich zu zentralen Diensten als besserer Schutz gegen Überwachung gelten. Zu letzteren Spionage-anfälligeren Diensten gehören Programme wie Skype, oder auch Google Hangouts, ein Service, der 2013 scharfer Kriti​k ausgesetzt war, nachdem Google in dem Chat ein Ende der Verwendbarkeit von XMPP ankündigte.

In XMPP-Dienste lässt sich einfach Ende-zu-Ende-Verschlüsselung aktivieren, was sie zum liebsten Tool zahlreicher um ihre Privatsphäre besorgter Internetnutzer macht. Eine der beliebtesten Applikation ist dabei zum Beispiel O​ff-the-Record Messaging (OTR), das generell als sehr abhörsicher gilt.

Nichtsdestotrotz weisen einige Sicherheitsexperten dar​auf hin, dass die Plugin-Sicherheit bei XMPP-basierten Diensten alles andere als perfekt ist. Wenn Verschlüsselung nur als Plugin zuschaltbar ist, statt serienmäßig eingebaut zu sein, dann muss der Code grundlegend immer als relativ anfällig gelten—denn die Kommunikation könnte mitgelesen werden, wenn die Nutzer vergessen, das Plugin einzuschalten.

Die gesamte XMPP-Community sprach sich deshalb für eine obligatorische Implikation in Clients aus. In diesem Jahr hat Peter Saint-Andre—der jabb​er.org betreibt—ein Online-Manifest veröffentlicht, in dem er Entwickler dringend bat, Verschlüsselung direkt in ihre Systeme einzubauen und unverschlüsselte Verbindungen abzulehnen. Das Manifest hat die Unterstützung von hochrangigen XMPP-Advokaten, wie beispielsweise Jabbers ursprünglichem Schöpfer, Jeremie Miller.

Die NSA-Dokumente aus dem Spiegel, von denen die meisten bis ins Jahr 2012 zurückreichen, beweisen gleichzeitig auch, dass ein paar ziemlich alte Verschlüsselungstechniken dem Geheimdienst immer noch massives Kopfzerbrechen bereiten. Auch PGP, eine E-Mailverschlüsselung aus dem Jahr 1991, bereitet der NSA bis heute Probleme: Neben PGP-verschlüsselten E-Mails heisst es in den Dokumenten schlicht: „Keine Entschlüsselung für diese PGP-verschlüsselte Nachricht verfügbar".

Jabber/XMPP, ein ähnlich altertümliches Protokoll, scheint sich ebenso gut zu schlagen. So gut sogar, dass die NSA es selbst benutzt, um unter anderem diejenigen abzuhören, die mit den selben Krypto-Maßnahmen versuchen, der Behörde einen Schritt voraus zu sein.