Polizei knackt PGP-Verschlüsselung

Nachrichten auf offenbar angepassten BlackBerry-Smartphones, die mit PGP verschlüsselt sind, können geknackt werden. Das zumindest behauptet die niederländische Polizei. Die soll im Rahmen von Ermittlungen gegen organisierte Verbrecherbanden die Ende-zu-Ende-Verschlüsselung geknackt haben. Auf diese Weise so geben die Ermittler an, hätten sie nun Zugriff auf 3,6 Millionen verschlüsselter Nachrichten von Verbrecherbanden. Ein Unternehmen hatte offenbar einen BlackBerry Enterprise Server betrieben und darüber Blackberry-Smartphones verwaltet, die mit PGP verschlüsselt wurden. Diese Geräte sollen unter anderem in die Hände von Kriminellen gelangt sein.

Es soll sich insgesamt um 7 TB Daten handeln, davon sei ein Teil mit der Verschlüsselungssoftware Pretty Good Privacy (PGP) gesichert. Die Daten sollen sich auf einem in Kanada gehosteten Server befunden haben. Allerdings wurden diese nicht auf einem Server von BlackBerry, wie das Unternehmen mitteilt. Auch seien die Veränderungen an den Geräten nicht von dem Hersteller autorisiert gewesen.

Niederländische und kanadische Behörden ermitteln demnach schon seit rund einem Jahr gegen Kunden das Unternehmen Ennetcom. Den Server beschlagnahmte die Polizei in Toronto bereits im vergangenen Jahr. Den niederländischen Kollegen liegt seit September 2016 eine Kopie der Daten vor.

Die speziell angepassten Blackberry-PGP-Smartphones bot Ennetcom für einen Preis von rund 1500 Euro pro Gerät an. Aus “Sicherheitsgründen” waren zum Teil Kamera und Mikrofon entfernt worden. Die mutmaßlich kriminellen Kunden von Ennetcom sollen die Smartphones für verschlüsselte Kommunikation genutzt haben, um der Überwachung durch Strafermittler zu entgehen. Die Kriminellen wiederum sollen in Bereichen wie Auftragsmord, bewaffneter Raubüberfall, Drogenhandel und Geldwäsche tätig gewesen sein.

Das zum niederländischen Justizministerium gehörende Netherlands Forensic Institute nutzte eine spezielle forensische Suchmaschine namens Hansken, um unverschlüsselte Metadaten von Blackberry-Nachrichten zu analysieren. Bis Ende 2016 konnte die niederländische Polizei mehr als 1000 Nutzer von Ennetcoms Blackberry-Smartphones identifizieren.

Wie es den Ermittlern jedoch gelungen ist, die eigentlichen Nachrichten zu entschlüsseln, ist nicht bekannt. Bereits im Januar hatten die niederländischen Behörden erklärt, sie hätten eine Technik des israelischen Unternehmens Cellebrite benutzt, um die Verschlüsselung zu knacken. Blackberry dementierte daraufhin einen Hack seiner auf Smartphones eingesetzten PGP-Verschlüsselung. Motherboard verweist in diesem Zusammenhang auf einen Schriftsatz eines kanadischen Gerichts von September 2016. Darin heißt es, die niederländische Polizei könne die Nachrichten entschlüsseln, weil sie wahrscheinlich auf dem beschlagnahmten Server den benötigten Entschlüsselungsschlüssel gefunden habe.

[Update vom 15.03. 2017, 11.00:] Ein BlackBerry-Unternehmenssprecher teilt schriftlich mit, dass in diesem Fall, die Technologie von BlackBerry nicht betroffen sei. Das Unternehmen teilt zu dem Bericht folgendes mit:

“Wir vertrauen darauf, dass BlackBerry die sicherste Kommunikationsplattform der Welt für Regierungen, Militär und Unternehmenskunden ist. Dennoch können wir in diesem Fall keinen Kommentar abgeben, weil uns keine Details über die Geräte oder die Art, wie diese konfiguriert, verwaltet oder anderweitig geschützt wurden vorliegen, noch liegen uns Details darüber vor, welcher Natur diese Nachrichten sind, die angeblich entschlüsselt wurden. Derzeit prüfen wir rechtliche Schritte gegen Ennetcom. BlackBerry war nicht an der unautorisierten Veränderung der BlackBerry-Geräte oder dem Einsatz des BES-Servers beteiligt. Der Bericht, dass BlackBerry-Server in Toronto oder anderen BlackBerry-Niederlassungen beschlagnahmt oder kopiert wurden, ist falsch.”

Ennetcom hingegen versucht in einer Mitteilung auf der eigenen Webseite klarzustellen, dass das kanadische Gericht lediglich in vier Fällen eine Durchsuchung angeordnet habe, und dass die Daten, die mit dem Server sicher gestellt wurden, nur 48 Stunden zurückreichen. Die Webseite enthält über die Stellungnahme hinaus, keine weiteren Informationen über das Unternehmen, allerdings versucht Ennetcom auch deutlich zu machen, dass auch Unternehmen und Regierungsorganisationen die Lösung genutzt hätten.

[mit Material von Stefan Beiersmann, ZDNet.com]

Tipp: Was wissen Sie über Blackberry? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.