A Cypherpunk’s Manifesto

Eric Hughes wandte sich an die Cypherpunks, deren frühe Diskussionen in Mailinglisten-Archiven erhalten sind. Sein Text trägt das genaue Datum 9. März 1993. Internetdienste haben sich seither verändert, doch die Grundfrage bleibt: Muss ein Anbieter alles wissen, was wir über seinen Dienst tun? Dieses Manifest ist nicht The Crypto Anarchist Manifesto, das Timothy C. May bereits 1988 schrieb. May beschäftigte sich stärker mit erwarteten Veränderungen politischer Macht. Hughes stellte Privatsphäre und die dafür notwendige Arbeit in den Mittelpunkt. Beide Texte stammen aus demselben Umfeld, haben aber unterschiedliche Autoren und Inhalte. [1] [2] [3] [5]

Einer Freundin erzählst du vielleicht von einer familiären Sorge; einem Kollegen sagst du nur, dass du heute früher gehst. Beide erfahren etwas Wahres, aber unterschiedlich viel. So lässt sich Hughes’ Unterscheidung zwischen Privatsphäre und völliger Geheimhaltung verstehen. Niemand muss sein ganzes Leben verstecken, um ein Gespräch schützen zu wollen. Privatsphäre bewahrt Grenzen zwischen Situationen und Menschen. Werden Nachrichten, Einkäufe und Kontakte automatisch zu einem Profil zusammengeführt, verschwinden diese Grenzen. Eine Information, die einem bestimmten Zweck dienen sollte, erreicht dann jemanden, für den sie nie gedacht war. [1]

Ein Geschäft verkauft eine Datei zum Herunterladen. Es muss die Bestellung zuordnen, die Zahlung prüfen und den Download ermöglichen. Weitere Angaben können etwa für einen Beleg nötig sein. Trotzdem sollte man diesen Zweck von der technischen Bereitstellung der Datei unterscheiden. Warum müsste dafür das gesamte Adressbuch des Telefons übermittelt werden? Daten, die der Dienst nie erhebt, können später auch nicht aus seiner Datenbank nach außen gelangen. Weniger zu sammeln ist eine eigene Schutzmaßnahme und etwas anderes als das Versprechen, bereits gespeicherte Informationen nicht zu missbrauchen. [1] [10]

Die persönliche Nachricht kann verschlüsselt sein, während der Dienst Sendezeit, Netzwerkadresse oder beteiligte Konten erfasst. Solche Begleitinformationen heißen Metadaten. Ihr Umfang hängt vom jeweiligen System ab; nicht überall wird dasselbe gesammelt. Schon regelmäßiger Kontakt kann eine sensible Information sein, ohne dass jemand einen Satz liest. Deshalb zählt nicht nur, ob eine App verschlüsselt: Wer besitzt die Schlüssel, was wird gespeichert und was lässt sich verknüpfen? Schlüssel sind hier lange Zahlenwerte, mit denen die App eine Nachricht verschlüsselt oder wieder lesbar macht. Den Inhalt zu schützen und Kommunikationsspuren zu begrenzen sind verwandte, aber verschiedene Aufgaben. [8] [4]

Verschlüsselung verwandelt eine lesbare Nachricht in Daten, die nur ein berechtigter Empfänger mit dem nötigen Schlüssel wiederherstellen können soll. Korrekte Ende-zu-Ende-Verschlüsselung schützt den Inhalt auch vor dem übertragenden Server. Eine digitale Signatur erlaubt dagegen zu prüfen, dass signierte Daten unverändert sind und die Signatur zu einem bestimmten Schlüssel passt. Sie verbirgt weder automatisch die Nachricht noch bestätigt sie den bürgerlichen Namen oder die Ehrlichkeit des Verfassers. Ein Pseudonym kann dauerhaft mit einem Schlüssel verbunden sein. Diese Aufgabenteilung erklärt, weshalb das Manifest mehrere Werkzeuge behandelt und keinen magischen Anonymitätsknopf. [4] [9]

Zwei Dienste erklären: Wir lesen deine Nachrichten nicht. Der eine speichert lesbare Kopien und beschränkt lediglich den Zugriff seiner Beschäftigten. Der andere erhält bei korrekt eingesetzter Ende-zu-Ende-Verschlüsselung verschlüsselte Daten ohne die passenden Inhaltsschlüssel. Trotz gleicher Werbung erfordern sie unterschiedliches Vertrauen. Auch der zweite Dienst kann Schwächen in App, Backups oder der Überprüfung des Gegenübers haben. Hughes’ Skepsis gegenüber bloßem Wohlwollen großer Organisationen führt zu einer konkreten Frage: Was könnte der Anbieter erfahren, wenn er seine Meinung änderte oder jemand seinen Server kompromittierte? [4] [8]

Der kurze Satz lenkt den Blick vom Wunsch auf die Arbeit an Werkzeugen. Gute Bedienbarkeit ermöglicht geschützte Nachrichten, ohne die kryptografischen Berechnungen von Hand auszuführen. Quellcode ist der Text eines Programms, den Entwickler schreiben und bearbeiten. Wird er veröffentlicht, können andere den Aufbau untersuchen und nach Fehlern suchen. Seine Verfügbarkeit beweist aber weder eine gründliche Prüfung noch, dass das heruntergeladene Programm der veröffentlichten Fassung entspricht. Zur Bewertung gehören deshalb auch Verteilung, Aktualisierungen und der Umgang mit Sicherheitslücken. Das Manifest fordert zum Entwickeln und Teilen auf; die Qualität des Ergebnisses muss gesondert geprüft werden. [1] [11]

Deine Freundin muss die verschlüsselte Nachricht empfangen können. Ist das Werkzeug zu kompliziert, wechselt sie womöglich auf einen schlechter geschützten Kanal. Nach dem Lesen kann sie den Inhalt weitererzählen oder fotografieren; Transportschutz verhindert das nicht. Hughes betont deshalb am Ende die Zusammenarbeit. Software zu verbreiten reicht allein nicht aus. Sein Optimismus über die weltweite Verbreitung von Code ist eine Zukunftserwartung, keine Garantie dauerhafter Erreichbarkeit jedes Dienstes. Neben Algorithmen zählen unsere Gesprächspartner, der Umgang mit Werkzeugen und die Rücksicht auf fremde Informationen. [1] [8] [10]

Eine Nachricht kann sicher durchs Netz reisen und trotzdem einem Fremden zugänglich werden, der ein entsperrtes Telefon liest oder das Gerät durch Schadsoftware kontrolliert. Ein Gesprächsbackup kann anders geschützt sein als die Übertragung. Selbst eine gültige Signatur kann von einem Betrüger stammen, der eine falsche Behauptung signiert hat. Das macht Verschlüsselung nicht wertlos; es zeigt ihren Zuständigkeitsbereich. Zunächst sollte man fragen, was geschützt werden soll, vor wem und auf welchem Weg diese Person daran gelangen könnte. Erst dann wählt man Werkzeuge. Das Manifest regt dazu an, ersetzt aber keine konkrete Sicherheitsbewertung. [8] [9] [10]

Bitcoin ermöglicht Wertübertragung und gemeinsame Regelprüfung ohne zentralen Verwalter des Zahlungsregisters. Seine Transaktionsgeschichte ist jedoch öffentlich. Verknüpft ein Händler eine Zahlung mit Bestellung und Kundennamen, beseitigt Bitcoin diese Verbindung nicht. Satoshi Nakamoto behandelt im Whitepaper Privatsphäre und die Verknüpfbarkeit von Transaktionen: Eine Bitcoin-Adresse ist keine Tarnkappe. Die Verbindung zu Hughes liegt in den Fragen und im Entwickeln von Werkzeugen, nicht darin, dass sein Manifest Bitcoin technisch entworfen hätte. Entscheidend bleiben konkrete Eigenschaften: Wer sieht was, wem müssen wir vertrauen und was können wir selbst prüfen? [6] [7]