Wie erkennt man kriminelle Aktivitäten auf Signal oder WhatsApp?

Im heutigen digitalen Zeitalter hinterlässt jeder von uns eine digitale Spur, und verschlüsselte End-to-End-Nachrichten wie Signal und WhatsApp sind eine der besten Lösungen, um private Kommunikation zu gewährleisten. Regierungen und Sicherheitsbehörden argumentieren jedoch, dass starke Verschlüsselungssysteme sie daran hindern, kriminelle Aktivitäten wie den Austausch von Material über den sexuellen Missbrauch von Kindern (CSAM), terroristisches Verhalten, Drogen- und Menschenhandel aufzudecken. Sie fordern den Einsatz einer clientseitigen Scantechnologie, die es ihnen ermöglichen würde, CSAM zu erkennen, das in einer Ende-zu-Ende-verschlüsselten Kommunikation ausgetauscht wird, und behaupten, dass das Scannen die Verschlüsselung nicht schwächt. Ana-Maria Cretu, eine Forscherin am Security and Privacy Engineering Lab der EPFL, die sich auf die Schnittstelle zwischen maschinellem Lernen, Datenschutz und Sicherheit spezialisiert hat, erläutert die Bedenken im Zusammenhang mit dem Client-Side-Scanning im Rahmen einer vom EPFL Center for Digital Trust organisierten Diskussion.

Grob gesagt ist Verschlüsselung so, als würde man einen Brief in einen Umschlag stecken. Der Brief kann auf dem Weg vom Absender zum Empfänger nicht gelesen werden, und die Verschlüsselung zu knacken wäre wie ein Eingriff in den Umschlag, während er unterwegs ist. Beim clientseitigen Scannen bleibt die Verschlüsselung intakt, aber die Privatsphäre wird verletzt, da das Scannen dem Lesen eines Briefes während des Schreibens oder nach dem Öffnen des Umschlags gleichkommt.

Die Ende-zu-Ende-Verschlüsselung stellt sicher, dass nur die Clients an beiden Enden der Kommunikation, also der Sender und der Empfänger, eine Nachricht lesen können. «Mehr als zwei Milliarden Menschen auf der ganzen Welt nutzen Plattformen mit Ende-zu-Ende-Verschlüsselung wie Signal und Whatsapp und tauschen allein über Whatsapp täglich mehr als 100 Milliarden Nachrichten aus», sagt Cretu.

Client-seitiges Scannen und Bild-Fingerprinting

Das clientseitige Scannen bezieht sich auf das Scannen von Daten auf der Client-Seite der Kommunikation, z. B. eines Briefes oder eines Fotos, das Sie an Ihr Smartphone senden oder von diesem empfangen wollen. Bei Material über sexuellen Kindesmissbrauch würde das clientseitige Scannen Ihre Fotos scannen und sie mit einer bestehenden Datenbank für Material über sexuellen Kindesmissbrauch vergleichen. Da der Besitz dieses Materials illegal ist, haben Cybersicherheitsexperten einen Weg gefunden, die Fotos in der Datenbank durch einen Prozess zu charakterisieren, der als «Fingerabdruck» bezeichnet wird: «Der Algorithmus für den Fingerabdruck ist so konzipiert, dass er die wichtigsten Merkmale des Bildes beibehält, um effiziente Vergleiche durchführen zu können, und gleichzeitig resistent gegen einfache Bildtransformationen ist, wie z. B. die Änderung der Bildgrösse, das Zuschneiden oder die Konvertierung des Bildes in ein anderes Format», erklärt Cretu. Der Vergleich wird anhand der Fingerabdrücke der Bilder durchgeführt. Seit 2021 gibt es Bestrebungen zur Verabschiedung eines britischen Online-Sicherheitsgesetzes und einer EU-Gesetzgebung zur «Chat-Kontrolle», die den Behörden die Befugnis geben soll, Unternehmen anzuweisen, illegale Inhalte in ihrer Kommunikation zu erkennen.

Verletzung der Privatsphäre beim Scannen

Cretu sagt, dass es zu viele Probleme mit dem clientseitigen Scannen in seinem derzeitigen Zustand gibt, sowohl technisch als auch ethisch, und dass es verfrüht wäre, es einzuführen. Das Scannen würde nicht nur den Zweck der Verschlüsselung zunichte machen, sondern auch die Vertraulichkeit in Frage stellen und die Gefahr einer Massenüberwachung heraufbeschwören, die die moderne Demokratie untergraben könnte.

«Obwohl das Material über den sexuellen Missbrauch von Kindern ein wichtiges gesellschaftliches Problem ist, erfordert seine wirksame Bekämpfung andere Massnahmen als die Technologie», so Cretu abschliessend: «Eine stärkere und engere Zusammenarbeit zwischen Forschenden und politischen Entscheidungsträgern könnte dazu beitragen, wirksame Lösungen zu finden, die robust genug sind, um sicher eingesetzt werden zu können, und die dennoch die private Kommunikation schützen.»

Client-seitiges Scannen kann Inhalte fälschlicherweise markieren

Erkennungssysteme weisen Fehlerquoten auf, was bedeutet, dass Bilder vom System fälschlicherweise gekennzeichnet werden können: «Es handelt sich um Bilder, die legal sind und nicht den angestrebten Inhalt darstellen, die aber vom System fälschlicherweise als bösartig gekennzeichnet werden», erklärt Cretu. «Dazu könnten beispielsweise einvernehmliche intime Bilder, Bilder von Kindern am Strand und Bilder eines Kindes gehören, die von den Eltern mit einem Kinderarzt geteilt wurden. Wenn ein Bild markiert wird, wird es an Behörden wie Strafverfolgungsbehörden oder den Inhaltsanbieter zur manuellen Überprüfung weitergeleitet. Dies könnte Konsequenzen für die Nutzenden haben, wie z. B. die Sperrung oder Aufhebung ihres Kontos. In dieser Situation möchten die Nutzenden nicht riskieren, dass ihr E-Mail-Konto oder ihr Instant-Messaging-Konto gesperrt wird. Infolgedessen wird es wahrscheinlich zu einem Abschreckungseffekt kommen. Der wichtigste Punkt ist, dass die Privatsphäre von Millionen von Menschen verletzt werden würde.

Die Entdeckung kann umgangen werden

Cretu weist darauf hin, dass ein weiteres Problem beim Scannen darin besteht, dass es ausgetrickst werden kann, insbesondere im Zusammenhang mit Material über sexuellen Kindesmissbrauch, bei dem Kriminelle versuchen werden, ihre Aktivitäten zu verbergen. Sie sagt: «[...] alles, was wir wissen, deutet darauf hin, dass client-seitige Scanning-Lösungen bei der Erkennung von Material über sexuellen Kindesmissbrauch in Anwesenheit von Gegnern nicht effektiv wären. Wir zeigen, dass der Angreifer das Bild manipulieren kann, indem er einen Filter darauf anwendet, wodurch er sich der Entdeckung entzieht.»

Die Redefreiheit stünde auf dem Spiel

«Das Ziel der clientseitigen Überprüfung besteht heute darin, bearbeitete Kopien von Materialien zum sexuellen Missbrauch von Kindern zu erkennen. In Zukunft könnten neue Arten von Inhalten in die Liste der zu überprüfenden Inhalte aufgenommen werden», sagt Cretu, «so könnten die Regierungen den Anwendungsbereich beispielsweise auf terroristische Inhalte und andere Arten von kriminellen Aktivitäten, auf regimekritische Äusserungen oder LGBTQ+-Inhalte ausweiten, je nachdem, wo dies umgesetzt wird. Eine Möglichkeit, den Anwendungsbereich zu erweitern, besteht darin, die Datenbank zu vergrössern. Aber wer kontrolliert sie dann? Das clientseitige Scansystem könnte dazu verwendet werden, die Telefone von Privatpersonen zu Überwachungsinstrumenten zu machen, und das ist ein bisschen beängstigend.