Das Internet ohne Kryptografie

HTTP (HyperText Transfer Protocol) wurde Anfang der 1990er-Jahre ohne Verschlüsselung entwickelt. Jede Anfrage und jede Antwort wird als menschenlesbarer Text über das Netzwerk übertragen.

Das bedeutet, dass jeder Router, Internetanbieter oder Angreifer zwischen Ihnen und dem Server Ihre Anmeldedaten, persönlichen Informationen und den Inhalt jeder von Ihnen besuchten Seite lesen kann.

Bei einem Man-in-the-Middle-Angriff (MITM) positioniert sich ein Angreifer zwischen zwei miteinander kommunizierenden Parteien und leitet den Datenverkehr weiter, wobei er ihn möglicherweise liest oder verändert. In einem unverschlüsselten Netzwerk erfordert dies keinen besonderen Aufwand.

Der Angreifer kann alle Daten sehen, schädliche Inhalte in Antworten einschleusen oder Formulareingaben unbemerkt ändern, etwa das Ziel einer Banküberweisung.

Öffentliche WLAN-Netzwerke sind gemeinsam genutzte Broadcast-Medien. In einem typischen offenen WLAN ohne Verschlüsselung kann jedes verbundene Gerät die Pakete aller anderen Geräte mit Tools wie Wireshark mitschneiden.

In der Zeit vor der flächendeckenden Nutzung von HTTPS konnte man in einem Café mit einem Packet Sniffer Sitzungen stehlen, E-Mails lesen und Passwörter von Dutzenden Nutzern in der Umgebung abfangen.

FTP (File Transfer Protocol) überträgt sowohl Benutzernamen als auch Passwörter im Klartext. Ein einziger Paketmitschnitt während der Anmeldung legt die vollständigen Zugangsdaten offen.

Trotzdem waren FTP-Server noch bis weit in die 2000er-Jahre verbreitet, und einige existieren noch heute. SFTP (SSH File Transfer Protocol) und FTPS (FTP over TLS) sind sichere Alternativen, die sowohl Zugangsdaten als auch Daten verschlüsseln.

DNS übersetzt Domainnamen in IP-Adressen. Ohne DNSSEC (DNS Security Extensions) sind DNS-Antworten nicht authentifiziert und können gefälscht werden.

Ein Angreifer könnte einen DNS-Cache vergiften, um Nutzer, die „mybank.com“ eingeben, auf einen vom Angreifer kontrollierten schädlichen Server umzuleiten und ihre Zugangsdaten abzufangen, bevor sie an die echte Bank weitergeleitet werden.

SMTP, das Protokoll zum Versenden von E-Mails, wurde 1982 ohne jegliche Sicherheitsmechanismen entwickelt. E-Mails durchlaufen auf dem Weg zum Empfänger mehrere Server (Mail-Relays), und jeder Zwischenstopp kann die Nachricht lesen oder verändern.

Ohne TLS für SMTP-Verbindungen und Ende-zu-Ende-Verschlüsselung wie PGP ist eine E-Mail im Grunde eine Postkarte: Jeder, der sie in die Hände bekommt, kann lesen, was darauf geschrieben steht.

Im Jahr 2010 veröffentlichte ein Entwickler Firesheep, eine Firefox-Erweiterung, die den Diebstahl von Sitzungs-Cookies in offenen WLAN-Netzwerken automatisierte. Mit einem Klick konnte man sich bei den Facebook-, Twitter- oder Amazon-Konten anderer Personen anmelden.

Für Firesheep waren keine technischen Kenntnisse erforderlich. Das Tool fing unverschlüsselte Sitzungs-Cookies ab, die über WLAN übertragen wurden, und zeigte dem Angreifer eine Liste der Konten an, deren Sitzungen übernommen werden konnten.

Bevor HTTPS zum Standard wurde, übermittelten frühe E-Commerce-Websites Kreditkartennummern in unverschlüsselten HTTP-POST-Anfragen. Angreifer, die den Netzwerkverkehr überwachten, konnten Kreditkartennummern in großem Umfang abfangen.

Beim frühen Online-Shopping mussten Nutzer darauf vertrauen, dass die Website seriös war und niemand sie überwachte. Beide Annahmen waren häufig falsch und führten Ende der 1990er-Jahre zu massiven Betrugsverlusten.

In einem unverschlüsselten Netzwerk konnten Angreifer den gesamten Datenverkehr lesen, Sitzungs-Cookies stehlen und sich als Nutzer ausgeben, schädliche Skripte in Webseiten einschleusen, Passwörter und Zugangsdaten abfangen sowie Nutzer per MITM auf Phishing-Websites umleiten.

Auch Überwachung im großen Stil war trivial. Ein Angreifer mit Zugriff auf einen wichtigen Internetknoten konnte Millionen von Nutzern gleichzeitig überwachen, ohne entdeckt zu werden.

HTTPS verschlüsselt den Datenverkehr mithilfe von TLS und verhindert so Abhören, Manipulation und Identitätsdiebstahl. Googles Ankündigung aus dem Jahr 2014, dass HTTPS als Signal für das Suchranking dienen würde, beschleunigte die Verbreitung erheblich.

Im Jahr 2024 sind mehr als 95 % des Webverkehrs verschlüsselt. Let's Encrypt, 2016 gestartet, stellte allen Website-Betreibern kostenlose TLS-Zertifikate zur Verfügung und beseitigte damit die Kostenhürde für die Einführung.

Die Geschichte der unverschlüsselten Internetkommunikation zeigt, warum Sicherheit mehrere Ebenen erfordert. Selbst wenn eine Schutzmaßnahme versagt, sollten andere den Schaden begrenzen.

Moderne Netzwerke kombinieren TLS, DNSSEC, Certificate Transparency, HSTS und authentifizierte Verschlüsselung zu sich überschneidenden Schutzmechanismen, bei denen die Schwäche einer Maßnahme durch die Stärke einer anderen ausgeglichen wird.

Testen Sie Ihr Verständnis für die Gefahren unverschlüsselter Kommunikation.

Ohne Kryptografie ist jede Kommunikation im Internet für jeden sichtbar, der sich zwischen Absender und Empfänger befindet. MITM-Angriffe, Session-Hijacking, der Diebstahl von Zugangsdaten und DNS-Poisoning waren in unverschlüsselten Netzwerken trivial.

HTTPS und TLS verwandelten das Internet von einem Broadcast-Medium in ein System, in dem private Kommunikation möglich ist. Der Wechsel von HTTP zu HTTPS ist eine der wichtigsten Sicherheitsverbesserungen in der Geschichte des Internets.