Protonmail und die sichere Kommunikation untereinander

Hochsichere Kommunikation ist nicht ganz einfach und vor allem unbequem. Trotz allem kann man Kommunikation noch so verschlüsseln, dass auch jemand der mit liest wenig Zusammenhang erkennt. Dies möchte ich einmal am Beispiel ProtonMail erklären, das gleiche ist aber auch auf „normale“ E-Mail-Kommunikation über OpenPGP möglich.

Unverweigerlich dazu ist erst mal ein persönliches Treffen unter vier Augen. Dort kann z.B. schon einmal die Threema ID verifiziert werden in dem ihr gegenseitig QR-Codes von euren Smartphones scannt. (Das ist natürlich grundsätzlich auch mit Signal oder Surespot möglich, allerdings verschlüsselt nicht jeder Messenger gleich. In diesem Beitrag halte ich mich daher an das Beispiel von Threema, das zwar nicht ganz OpenSource ist, aber im Gegensatz zu anderen „made in swizerland“ tragen kann).
Das alles reicht aber noch lange nicht. Euer Smartphone läuft vermutlich mit Android und hat irgendwann nach dem Scan Zugang zum Internet, damit kann man ausgehen, dass alleine dieser Kommunikationsweg zwar verschlüsselt, aber unsicher ist.
Idealerweise habt ihr beim gleichen treffen auch public PGP-Keys für eure E-Mail Adressen ausgetauscht. Ist kein PGP-Key vorhanden ist das für Protonmail allerdings auch nicht zwingend notwendig.
Bei dem Treffen einigt ihr euch auf ein gemeinsames Kennwort, welches ihr später verwendet. Idealerweise hat dieses Passwort variable Komponenten, wird aus dem letzten gesprochenen Wort untereinander gebildet oder etwas einfacher, abgeleitet aus dem Datum oder der Uhrzeit. Allerdings darf ein Passwort natürlich nicht nur aus dieser Komponente bestehen, selbst dies wäre bereits unsicher.

Ausgehende ProtonMails können per Passwort verschlüsselt werden. Protonmail erlaubt es auch einen Hinweis zu setzen, dieser sollte allerdings sofern möglich vermieden werden.
Jetzt heißt das Zauberwort Steganografie. Sprich: das verstecken von Information in Bildern durch leichtes abändern der Pixelfarben. Das geht zum Beispiel mit dem Programm „S-Tools“ (Archivlink). Dieses benötigt euer abgesprochenes Passwort um innerhalb eines gerade zufällig aufgenommenen Fotos Informationen zu verstecken. Da dieses Passwort nun beiden bekannt ist, sollte dies kein Problem mehr darstellen. Ihr nehmt also ein Foto auf und versteckt über S-Tools euer Passwort, welches ihr für Protonmail nutzt. Das veränderte Bild geht nun über Threema an eure Kontaktperson, die wissen sollte das in dem Bild etwas sein könnte.
Der allerwichtigste Teil der Verschleierung beginnt allerdings erst jetzt. Es ist unbedingt notwendig, dass ihr in Threema über das Bild redet. Nicht über den versteckten Inhalt, sondern über das sichtbare Bild. Haltet eine ernst gemeinte Konversation über entsprechendes Bild wie es jeder normale Mensch auch tun würde.
Kurz vor dem Absenden des Bilds sendet ihr eure ProtonMail ab, beim Empfänger kommt dann eine E-Mail mit einem recht nichtssagenden „diese Nachricht ist verschlüsselt“ inkl. Link zur Passworteingabe an.
Nachdem Mail und Bild beim Empfänger angekommen sind und die Konversation über Threema abgeschlossen ist, kann der Empfänger in Aktion treten.
Mit dem gleichen Tool kann man die versteckte Information aus dem Bild wieder lesen. Dazu braucht der Empfänger allerdings euer abgesprochenes Passwort. Mit dem entschlüsselten Passwort aus dem Bild kann nun die ProtonMail gelesen werden.

Die beschriebene Methode gilt für alle Mails die ProtonMail verlassen, Mails die nur innerhalb von ProtonMail versendet werden sollten einen solchen Aufwand nicht benötigen da diese bereits genügend verschlüsselt sind.
Diese Weise garantiert nahezu die Vertraulichkeit der Informationen in der ProtonMail, allerdings kann ich keine Garantie übernehmen.
Wenn z.B. Geheimdienste an eure Informationen wollen, dann können sie das auch ohne Probleme erreichen (z.B. durch direkten Eingriff in euer Netzwerk und euren Computer). Der entscheidende Faktor ist allerdings, dies zu dem größtmöglichen Aufwand zu machen damit Eingriffe für Geheimdienste unrentabel werden. Verschlüsselt ihr z.B. grundsätzlich alles mögliche untereinander, werden Geheimdienste erst nach den Aufwendungen feststellen, dass erlangte Information irrelevant für das eigene Ziel ist und damit ist Zeit die man für andere Tätigkeiten verbrauchen könnte bereits verstrichen. Eine über beschriebene Methode verschlüsselte Frage nach einem Zeitpunkt für gemeinsames Multiplayer-Gaming wäre z.B. eine Information, die Geheimdiensten recht wenig nutzen würde. Um allerdings an diese Information zu kommen muss der Dienst allerdings schon sehr viel Aufwand betrieben haben, was simpel gesagt jede Kosten/Nutzen Rechnung völlig durcheinander wirft.