Kommentar: Truecrypt ist unsicher - und jetzt?
Sollten wir jetzt wirklich alle auf Bitlocker umsteigen, wie es die Truecrypt-Entwickler vorschlagen? Einen echten Nachfolger wird es jedenfalls so bald nicht geben - und daran sind nicht zu letzt auch die Truecrypt-Entwickler schuld.
Jürgen Schmidt - 30.05.2014
Die Nachricht schlug ein, wie eine Bombe: Truecrypt sei unsicher und man möge doch zukünftig stattdessen Microsofts Bitlocker verwenden, erklärten die Entwickler auf der Startseite des Projekts. Parallel gab's eine neue Version, die eigentlich nur noch dazu taugt, seine mit Truecrypt verschlüsselten Daten wo anders hin zu migrieren.
Mittlerweile ist einigermaßen klar, dass es sich nicht um ein Defacement der Webseiten handelt. Ich glaube auch nicht an die vielfältigen Verschwörungstheorien mit Hintertüren, National Security Letter der NSA oder ähnlichen Katastrophen-Szenarien. Ich gehe vielmehr davon aus, dass die Entwickler tatsächlich einfach den Bettel hingeworfen haben, weil sie keine Lust mehr haben und das ihre Art ist, uns zu sagen: "Ab jetzt seid ihr auf Euch gestellt."
Insbesondere wird es damit auch zukünftig keine Updates mehr geben – auch nicht im Fall von bekannt werdenden Sicherheitslücken. Nur darauf bezieht sich meiner Ansicht nach der Hinweis, dass Truecrypt unsicher sei – Kommunikation war noch nie eine Stärke des Truecrypt Teams.
Die Truecrypt-Entwickler haben uns erstklassige, kostenlose Verschlüsselungs-Software zur Verfügung gestellt. Dafür gebührt ihnen unser Dank. Sie haben damit zu einem Zeitpunkt begonnen, als kein Betriebssystem Möglichkeiten bot, Daten zu verschlüsseln und es akuten Bedarf nach unabhängiger, offener Verschlüsselungs-Software für jedermann gab. Dass sie nach über zehn Jahren keine Lust mehr auf die ermüdende Pflege eines in die Jahre gekommenen Projekts haben, ist verständlich und ihr gutes Recht.
Doch die Argumentation, es gäbe heute Bitlocker und die anderen Betriebssystem-eigenen Festplattenverschlüsslungen, greift zu kurz. Zum einen mögen sich viele beim Schutz ihrer wichtigsten Daten nicht blind einem Hersteller anvertrauen, von dem man weiß, dass er bereits aktiv mit der NSA zusammen arbeitet. Zum anderen sind all diese Lösungen an ein Betriebssystem gebunden und helfen nicht, wenn man etwa Daten mit einem USB-Stick von einem Windows-Rechner an einen Mac mitnehmen will. Es besteht also mehr denn je Bedarf für eine Plattform-übergreifende, offene Verschlüsselungslösung.
Nachfolger gesucht
Doch zum Glück könnten da jetzt – Open Source sei Dank – andere in die Bresche springen und das Projekt weiterführen – theoretisch zumindest. In der Praxis gibt es da zwei gewaltige Hürden, die mich zweifeln lassen, dass das Erfolg haben wird. Erstens ist da der historisch gewachsene, unübersichtliche Code. Die Gefahr, dass jemand, der sich damit nicht auskennt, die Situation verschlimmbessert oder sogar mit seinen Änderungen unabsichtlich Sicherheitslücken öffnet, ist tatsächlich beträchtlich.
Noch schwerer wiegt jedoch ein ganz anderes Problem: die obskuren Lizenzbestimmungen. Truecrypt ist zwar Open Source – aber die Lizenz ist ein wahres Minenfeld und verhindert viele mögliche Einsatzszenarien. So können wir etwa in Desinfec't keine Truecrypt-Unterstützung einbauen. Denn die Lizenzbestimmungen erforderten es, dass dann auch die integrierten Virenscanner im Quelltext offengelegt würden, was schlicht unmöglich ist. Hier kann man den Truecrypt-Entwicklern durchaus den Vorwurf machen, dass sie ihren potentiellen Nachfolgern eine bessere Basis in Form einer Version unter einer bewährtem Open-Source-Lizenz hinterlassen könnten.
Wer also die Aufgabe übernimmt, einen Nachfolger zu entwickeln und zu pflegen, bindet sich mit der Truecrypt-Hinterlassenschaft derzeit einen enormen Klotz ans Bein. Ich persönlich bin der Ansicht, dass es besser wäre, einen Schnitt zu machen und neu anzufangen. Man muss ja trotzdem nicht das Rad neu erfinden und alles von Scratch neu implementieren. Mit GnuPG, Open/LibreSSL, LUKS und so weiter gibt es eine ganze Reihe von vertrauenswürdigen Bausteinen, die man in einem solchen Projekt nutzbringend einbinden kann.
Was tun?
Doch egal in welche Richtung es weiter geht: Bis es eine neue, allgemein benutzbare Festplattenverschlüsselung für jedermann geben wird, werden viele Monate ins Land ziehen. Was soll man als Truecrypt-Nutzer also jetzt tun? Mein bester Rat: Tee trinken und abwarten. Ich glaube nicht an ernste Sicherheitsprobleme in Truecrypt, bis es konkrete Hinweise darauf gibt. Das professionelle Code-Review hat bislang keine Schwächen offenbart und wenn die anstehende Krypt-Analyse Probleme aufzeigen sollte, bin ich zuversichtlich, dass sich jemand findet, der die in einem Fork dieser Version fixt. Ich werde meine sensiblen Daten jedenfalls nicht Bitlocker anvertrauen, sondern die letzte vollwertige Truecrypt-Version vorläufig weiter benutzen.