1. Heute wird im Innenausschuss des Deutschen Bundestags über das „Recht auf
2. Verschlüsselung“ diskutiert. In Anbetracht der nach wie vor alarmierenden Lage
3. bei IT-Sicherheit und Datenschutz in Deutschland stellt sich die Frage, wieso
4. über ein solches Recht überhaupt noch Diskussionsbedarf besteht:
5.  
6.   * Deutsche Alleingänge in der Verschlüsselung gehen regelmäßig und zielsicher schief, siehe De-Mail [[1](//www.ccc.de/system/uploads/64/original/CCC-de-mail-2011.pdf), [2](//www.ccc.de/system/uploads/126/original/stellungnahme-demail2013.pdf), [3](//www.ccc.de/system/uploads/128/original/demail_april2013.pdf)] und beA [[1](//www.chaos-darmstadt.de/2018/beA.html), [2](//www.ccc.de/de/updates/2018/bea)].
7.  
8.   * Im Fokus der Gesetzgebungsverfahren liegt regelmäßig nicht etwa die Stärkung von Verschlüsselungstechnologien, sondern deren gezielte Schwächung, etwa durch Staatstrojaner oder Hintertüren bei Betreibern.
9.  
10. Der CCC wendet sich in Anbetracht dieser Schieflage mit einer [schriftlichen
11. Stellungnahme an die Ausschussmitglieder](//www.ccc.de/system/uploads/29
12. 4/original/CCC_Verschluesselung_staerken.pdf) (pdf).
13.  
14. Unsere Forderungen im Einzelnen:
15.  
16.   * **Verschlüsselung muss die Regel werden, nicht die Ausnahme:**  
17. Ein Recht auf Verschlüsselung muss nicht nur grundsätzlich gewährt, sondern
18. auch aktiv ausgebaut und vorangetrieben werden.
19.  
20.   * **Verbot von Schwächung und Angriffen:**  
21. Von staatlicher Seite bieten sich zwei grundsätzliche Möglichkeiten, in
22. verschlüsselte Kommunikation einzugreifen:
23.  
24.     1. Das Ausnutzen bekannter Schwachstellen. Diese Schwachstellen müssen dann aber geheimgehalten werden und können auch von Dritten in potentiell allen IT-Systemen ausgenutzt werden.
25.     2. Verpflichtung der Anbieter: Wenn Diensteanbieter und Betreiber gezwungen werden, ihre Anwendungen mit Hintertüren zu versehen, wird das Vertrauen der Nutzer und Nutzerinnen in die IT grundsätzlich erschüttert.
26.   * **Verpflichtung zur Meldung von Sicherheitslücken:**  
27. Werden Behörden Sicherheitslücken bekannt, sollen diese im Rahmen von
28. Responsible-Disclosure-Verfahren behoben und veröffentlicht werden.
29.  
30.   * **Unabhängiges BSI:**  
31. Der CCC wiederholt in diesem Zusammenhang seine Forderung nach einem
32. kompromisslosen und unabhängigen BSI. Solange das BSI dem Innenministerium
33. untersteht, kann es seinem Auftrag nicht kompromisslos gerecht werden, weil
34. die demselben Ministerium unterstellten Behörden konträre Interessen
35. verfolgen.
36.  
37.   * **Verwendung von frei verfügbaren, offenen Protokollen:**  
38. Als Irrweg haben sich Versuche erwiesen, Verschlüsselung halbherzig, mit
39. sogenannten Kompromissen, Ausnahmen und „besonderen Anforderungen“ individuell
40. umzusetzen. Diese Versuche scheitern an ihrer Komplexität, ihren offenkundigen
41. Schwächen und nicht zuletzt auch ihrer Sinnlosigkeit. Nur frei verfügbare,
42. überprüfbare und offene Protokolle sollen genutzt werden dürfen. Die
43. Verwendung von Verschlüsselungsverfahren, die nicht durch die internationale
44. Forschungsgemeinschaft geprüft wurden, muss ausgeschlossen sein.
45.  
46.   * **Weiterentwicklung:**  
47. Werden neue Kommunikationssysteme konzipiert, sind Verschlüsselungsverfahren
48. nach Stand der Technik von Anfang an zu berücksichtigen. Die Entwicklung und
49. regelmäßige Prüfung frei verfügbarer, offener Protokolle ist zu fördern.
50.  
51. Der CCC veröffentlicht seine Stellungnahme im Volltext: [Chaos Computer Club
52. (2019): Kompromisslose Verschlüsselung stärken](//www.ccc.de/system/uplo
53. ads/294/original/CCC_Verschluesselung_staerken.pdf) (pdf)