Grund für das Ende von TrueCrypt

Vor einigen Tagen schon gab es einiges an Verwirrung um die Verschlüsselungssoftware "TrueCrypt", welche für private und kommerzielle Zwecke frei verfügbar war. Auch hat Snowden im Rahmen seiner Enthüllungen angemerkt, dass er TrueCrypt genutzt hat.

Es kam die völlig überraschende Meldung auf der TrueCrypt Projektseite (welche noch immer hier zu sehen ist), nach der TrueCrypt "nicht mehr sicher" sei und man empfehlen würde, auf den BitLocker von Microsoft umzustellen. Das hat deshalb überrascht, weil gerade ein unabhängiges Audit über die Software gelaufen ist und hier festgestellt wurde, dass das Projekt überraschend gut ist und bislang keine versteckten Hintertüren gefunden werden konnten.

Weil das Projekt von einer anonymen Gruppe betrieben wurde, gibt es auch keine offiziellen Ansprechpartner, welche konkret über die Gründe der Einstellung Auskunft geben können. Es gab/gibt Mutmaßungen, dass hier Behörden Druck ausgeübt hatten und gleichzeitig auch unterbinden, dass über den Druck gesprochen wird. Das gab es real in der Vergangenheit immer wieder, so dass sich Hersteller in aller Regel entschieden hatten, eine Kanarienvogel-Meldungen auszugeben. Das bedeutet, dass es eine Warnung gibt, die Nutzern zu verstehen gibt, dass das Angebot auf behördlichen Druck beendet wurde - ohne es klar zu verraten (um keine rechtlichen Probleme zu erhalten!). Dazu muss man nur an das Ende des Email-Anbieters Lavabit denken!

Hier wurde der - aus meiner Sicht - bedeutende Schritt der Abschaltung von TrueCrypt noch gar nicht diskutiert. Mittlerweile hat sich wohl auch einer der TrueCrypt Entwickler zu Wort gemeldet und ausgesagt, dass schlicht das (persönliche) Interesse an der Weiterentwicklung verloren gegangen ist. Ist es aber nicht trotzdem denkbar, dass hier wirklich Druck von Außen aufgebaut wurde? Immerhin wird nicht geholfen, dass das Projekt zu einem echten Open Source Projekt wird und von Dritten weiterentwickelt werden kann.

In der Tat ist ein National Security Letter eine Möglichkeit, und in Zeiten von Snowden, Guantanamo und LavaBit ist ein National Security Letter immer das Erste, an das man denkt. Allerdings stellt sich mir die Frage, warum der National Security Letter ausgestellt worden sein sollte und vor allem, gegen wen? Die Entwickler von TrueCrypt sind meines Wissens anonym, das bedeutet, dass die NSA erstmal hätte herausfinden müssen, wer genau dahintersteckt. Wenn einige Hinweise stimmen, wonach mindestens ein Mitglied des Teams außerhalb der USA lebt, stellt sich die Frage, warum sich dieser an so einen National Security Letter halten sollte.

Aber davon abgesehen finde ich keine Antwort auf die wichtigste Frage: Warum sollte ein National Security Letter nur gegen TrueCrypt ergehen? TrueCrypt ist bei Weitem nicht das einzige Festplattenverschlüsselungsprogramm, nur das Verbreiteste. Die NSA hat durch das Ende von TrueCrypt nichts gewonnen. Die Nutzer nutzen einfach die alte Version weiter, viele Fans sind zudem motiviert, einen Nachfolger zu programmieren.

Bei LavaBit ging es um Daten, an die die NSA heranwollte. LavaBit wollte die Daten nicht herausgeben und löschte kurzerhand alles. Aber bei TrueCrypt gab es keine Daten, an die die NSA hätte herankommen wollen. Und eine Backdoor einzuschleusen wäre angesichts des laufenden Audits ein zum Scheitern verurteilter Versuch, das muss die NSA gewußt haben, denn die sind vielleicht paranoid und unangemessen neugierig, aber die sind nicht blöd.

Daher glaube ich nicht an die National-Security-Letter-Theorie, sondern daran, dass das Team einfach keine Lust oder keine Zeit mehr hatte. Oder sie sahen Sicherheitsprobleme, die sich nicht beheben konnten oder wollten.