Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

4.16. Außendarstellung der CA 71
hinsichtlich des Einsatzes von Verschlüsselungstechnik noch kaum erschlossen ist. Daher muß es
auch die Aufgabe einer Zertifizierungsstelle sein, das Bewußtsein der Anwender für Sicherheitsrisiken
bei der elektronischen Kommunikation oder der Internet-Nutzung zu wecken und zu schärfen.
Dies kann auf eher humorvolle Weise geschehen, durch Texte wie den von ANDREAS PFITZMANN
zum „Schlüsselhinterlegungs- und Aufbewahrungsgesetz“ 15 , aber auch durch die Vorbildwirkung
der Zertifizierungsstelle und anderer Einrichtungen oder Personen.
Aus diesem Grund sollte die Zertifizierungsstelle und, wenn irgend möglich, das ganze Rechenzentrum
die Sicherheitsverfahren, deren Einsatz sie propagieren, auch selber sichtbar anwenden. (Das
ist auch eine Sache der Glaubwürdigkeit.) Ein erster Schritt in dieser Richtung könnte beispielsweise
darin bestehen, die wichtigsten WWW-Server des Rechenzentrums bzw. der UNI HTTPS-fähig
zu machen, so daß auch verschlüsselte Verbindungen zu ihnen möglich sind. (Eine Anleitung, wie
dies mit dem weit verbreiteten HTTP-Server apache durchgeführt werden kann, ist in Teil III dieses
Handbuches wiedergegeben.) Auf diese Neuerung müßte natürlich auch angemessen hingewiesen
werden (durch News-Postings in geeignete UNI-interne Newsgruppen, durch Artikel in der UNI-
Hauszeitung oder durch Hinweise auf den Einstiegsseiten der Server), damit möglichst viele Nutzer
davon erfahren.
Eine weitere Möglichkeit bestünde darin, daß die RZ-Mitarbeiter sich PGP-Schlüssel erzeugen
und in ihren Mail-Signatures darauf hinweisen, daß jetzt auch eine verschlüsselte E-Mail-
Kommunikation mit ihnen möglich ist oder daß sie ihre News-Postings mit PGP digital signieren.
(Bei Klartext-Signaturen, wie sie PGP unterstützt, bleibt der eigentliche Text weiterhin lesbar, auch
für alle Anwender, die PGP nicht nutzen, insofern wäre dies problemlos möglich und würde niemanden
daran hindern, die Postings lesen zu können.)
Positiv zu vermerken ist, daß die Sensibilität für das Thema Verschlüsselung bzw. Vertraulichkeit
bei elektronischer Kommunikation wächst, wie das folgende Zitat aus dem ötv-magazin belegt:
„Ein Einfallstor für Datenspione aller Art ist die E-Mail. Einmal versendet, kann sie von Sy-
stemverwaltern, Mitarbeitern des Providers oder den Datenfahndern der internationalen Ge-
heimdienste jederzeit mitgelesen werden. Im neuen Datenschutzgesetz sind das Archivieren
der E-Mail-Kommunikation durch die Provider und ein Zugriff der Geheimdienste vorgese-
hen. Schützen läßt sich die E-Mail-Kommunikation nur durch konsequente Verschlüsselung.
Von den vielen Verschlüsselungstechniken hat sich bis vor kurzem »Pretty Good Privacy«
(http://www.pgp.com) als besonders wirksam erwiesen.
(Aus »journalist Medienpraxis« 8/1998)“ [ötv99]
und auch die „Verbraucherschützer raten zur Verschlüsselung“, wie der Berliner TAGESSPIEGEL
zu berichten weiß [Tsp99b].
Um in der Anlaufphase gezielt Nutzer anzusprechen, die bereits PGP zur Verschlüsselung einsetzen
und die daher vermutlich am leichtesten für die Nutzung der Dienste einer Zertifizierungsstelle
gewonnen werden können, wäre eine gezielte Mail mit dem Hinweis auf das neue Angebot an alle
PGP-Nutzer der UNI denkbar. Dazu könnten von den PGP-Keyservern alle Schlüssel abgefragt
werden, die die Zeichenkette ‘UNI’ oder ‘UNI.de’ in einer ihrer Benutzerkennungen enthalten.
Die entsprechenden Adressen könnte man anmailen und die betreffenden Personen so auf das neue
15 http://www.zerberus.de/texte/ccc/ccc95/div/pfitz/satire.htm