Unter dem Titel »Wir haben versagt« hat map dazu einiges Erhellendes geschrieben. Die Kernthese: Kryptotechnologie – also etwa das Verschlüsseln von eMails – wird deswegen nicht eingesetzt, weil es keine einfachen Oberflächen und Tools dafür gibt, hinzu kommt die Arroganz der technologischen Elite. map vergleicht diese – uns? – mit der »Outer Party« in Orwells 1984:
 

Wir machen doch immer so gerne Neunzehnvierundachtzigvergleiche: Wir sind die Outer Party. Und die Proles gehen uns am Arsch vorbei. Diese DAUs, die iPhones und Facebook benutzen. Die ihre Daten an US-amerikanische Server schicken. Die Gmail oder GMX benutzen, statt ihre Mail selbst zu hosten. Unseren Ekel verbergen wir hinter zynischen Ratschlägen. Mit TOR zu surfen ist objektiv von einer »funktional kaputten« Drosselung nicht zu unterscheiden. Wir haben kein Gefühl mehr für Menschen die mit diesen grauen Kisten nur ein bisschen mit ihren Freunden reden und rumsurfen wollen, statt ihre komplette Freizeit darin zu versenken. Nicht mit GNU/Linux handverschlüsselt? Ätschbätschselberschuld.

 
Daraus folgt logischerweise der Ratschlag, dass Verschlüsselungstechnologie nur genutzt wird, wenn sie z.B. Teil alltäglicher Softwarepakete für den Mailverkehr ist. (Was, wenn es so wäre, interessante Konsequenzen dafür hätte, wie verdächtig oder unverdächtig verschlüsselte Mails etwa für Geheimdienste erscheinen.)

Ich habe hinter das »uns« oben ein Fragezeichen gesetzt, weil ich mir nicht sicher bin, ob ich mich als Teil dieser technologischen Elite sehe. Ich habe genug Informatik studiert, um so ungefähr zu wissen, wie asymmetrische Verschlüsselungen funktionieren. Ich habe zumindest eine vage Ahnung, warum Schlüssellängen und die Komplexität, um diese Schlüssel zu knacken, etwas miteinander zu tun haben, und warum es dafür schlecht wäre, wenn es Rechner geben würde, die NP-Probleme in P lösen können. Ich vermute, dass ich in der Lage wäre, auf meinem privaten Rechner PGP oder ein ähnliches Tool zu installieren, obwohl da Windows drauf läuft. Falls es ein Plugin für Thunderbird gibt, würde ich das wohl finden.

Trotzdem verschlüssele ich meine Mails nicht. Aus Faulheit. Weil ich eh davon ausgehe, dass eine permanente Überwachung durchaus im Bereich des Möglichen liegt. Weil fast alle andere es auch nicht tun und es damit wenig Sinn machen würde, einseitig zu verschlüsseln, aber eben nicht verschlüsselt zu kommunizieren. Insofern trifft trotz aller informationstechnischen Konjunktive letztlich maps Beschreibung des DAUs, der sich eben nicht darum kümmert, auf mich durchaus zu. Und ja, wenn Outlook – die nicht von mir beeinflussbare Arbeitsumgebung für meine beruflichen Aktivitäten – und Thunderbird automatisch verschlüsselt kommunizieren würden, würde ich es benutzen. Vermute ich.

Es gibt allerdings noch ein zweites Argument in der Krypto-Debatte, das ich gerne skizzieren möchte. Und das hat etwas mit dem Tausch von Wissen gegen Vertrauen zu tun.

Eine Technik, die sich im Stadium der Erfindung befindet, oder die nur von wenigen Early Adopters eingesetzt wird, ist oft eine, die von diesen verstanden wird. Im Detail, oder zumindest in groben Zügen. Die Techniknutzung vor der Phase gesellschaftlicher Diffusion hat sehr oft etwas mit Wissensgemeinschaften zu tun. Gerade, wenn es um den IT-Bereich geht und um mehr oder weniger offene Software. Manche Technologie verlässt diese Nische nicht wirklich. Kulturell bildet sich das in einem Stolz der ExpertInnen auf ihr Wissen und ihre Kompetenz ab – die oben beklagte Arroganz der technologischen Elite.

Wenn eine Technik es schafft, in die kollektiv geteilte Handlungspraxis integriert zu werden, dann – hier folge ich lose Hörnings Idee der Veralltäglichung – kommt es zum Tausch. Um eine Technik kompetent zu nutzen, muss ich jetzt nicht mehr wissen, wie sie funktioniert, sondern nur noch, wie sie gut genutzt wird. Zum Alltagswissen der Praktiken des Umgangs mit weit verbreiteten Techniken gehört die Beherrschung bestimmter Regeln, gehören Erwartungen über Ergebnisse, gehört vielleicht auch Nutzungskompetenz – aber eben nicht mehr das technische Wissen über die inneren Abläufe. Mehr und mehr wird die Technik im Lauf der Veralltäglichung unsichtbar. Sie ist eben da. Sie wird genutzt. Sie wird schon funktionieren. Aus dem Wissen darüber, wie sie funktioniert, ist in der gesellschaftlichen Vervielfachung und ständigen Wiederholung der Praxis ein Vertrauen geworden, dass sie funktioniert.

Eine weit verbreitete Technik ist also mit Vertrauen aufgeladen, dass sie das erwartete Ergebnis produzieren wird, dass die erwartete Funktion eintritt. Wenn ich mit den gewohnten Klicks und unter Nutzung der zum Umgang mit eMail gehörenden kulturellen Konventionen – die sich z.T. im Code abbilden – eine eMail losschicke, gehe ich davon aus, dass sie ankommt. Zudem gehe ich davon aus, dass sie bei ihrer EmpfängerIn ankommt, und nicht bei sonst irgendwem. Vertrauen darein, dass Technik funktioniert.

Wenn ich vor jedem Abschicken einer Mail darüber nachdenken müsste, ob sie ankommt und ob ich alles richtig gemacht habe, würde ich sehr viel länger dafür brauchen. Statt dessen gibt es viele Schritte beim Versand einer Mail, die fast unbewusst geschehen. Richtige eMail-Adresse, Mail fertig geschrieben, Anhang – danke, Thunderbird, für die Erinnerung – angehängt, abschicken. Habe ich jetzt alles? Ja, habe ich.

Manchmal funktioniert Technik nicht. Dann werden diese unproblematischen Aspekte des Mailversands sichtbar und damit problematisiert. Wir brauchen zum Teil ganz schön lange, um zum Beispiel, wenn eine Mail zurückkommt, festzustellen, wo der Fehler in der Empfängeradresse lag.

Meine These ist jetzt: Kryptographische Verfahren stellen dieses Vertrauen, das für veralltäglichte Techniknutzung extrem wichtig ist, permanent in Frage. Es ist nicht nur die Komplexität der Softwareinstallation und der Bedienung. Selbst ein reibungslos in Outlook integriertes Kryptotool würde vermutlich ständig daran erinnern, dass eMail eine unsichere Kommunikationstechnologie ist. Dass wir dazu kein Vertrauen haben.

An dieser Stelle können nun zwei Dinge passieren, die beide unerwünscht sind.

Entweder ist die Kryptosoftware so gut in Outlook oder Thunderbird integriert, dass wir sie nicht mehr bemerken. Die Schlüssel werden automatisch abgeglichen und müssen vielleicht einmal eingegeben werden. Ob eine Mail verschlüsselt verschickt wurde, ist nur daran zu sehen, dass das Briefumschlag-Icon eine andere Farbe trägt. Die Technik suggeriert problemlose Sicherheit. Das Vertrauen in den reibungslosen und erwartungsgemäßen Mailverkehr wird nicht angetastet. Veralltäglichte Kryptotechnologie – so ähnlich, wie https:// im Browser. Maximal kommt mal eine Sicherheitswarnung, die dann aber schnell weggeklickt wird.

Damit würde zwar verschlüsselt kommuniziert, ich als Nutzer oder als Nutzerin wäre aber nicht in der Lage, zu sagen, ob denn nun tatsächlich verschlüsselt kommuniziert wurde. Mit wem Outlook meine geheimen Schlüssel und Passphrasen heimlich teilt. Ob nicht doch unterwegs irgendetwas passiert mit den Mails. Vertrauen in die Technik, dass schon alles so funktioniert wie erwartet, und eben nicht unterwegs die NSA mitliest. Wenn doch, würde es nicht auffallen.

Die zweite Variante wäre eine Krypto-Implementation, die nervt. Bei der z.B. bei jedem Mailversand wieder die Passphrase eingegeben werden muss. Bei der das Vertrauen in die eingesetzte Software deutlich geringer ist. Die zugleich permanent daran erinnern würde, dass Mails ein unsicheres Kommunikationsmedium sind. Die meisten würden eine solche Technik vermutlich ziemlich schnell abschalten. Weil sie sich schlecht in Routinen und Praktiken packen lässt. Und weil sie kulturell eben ständig auf den schmalen Grat zwischen Misstrauen und Sicherheit verweist.

Das scheint mir das Dilemma zu sein, von dem – unabhängig von der technischen Grundlage – die weite Verbreitung von Kryptotechnologie abhängt. Ich halte es für fraglich, ob es eine Möglichkeit gibt, digitale Kommunikation sicherer zu machen, ohne diese Sicherheit entweder durch blindes Vertrauen in große Konzerne zu relativieren – also Sicherheit möglicherweise nur vorzuspielen –, oder aber NutzerInnen permanent aus Routinen zu reißen und damit ihr Vertrauen in alltägliche Technik zu erschüttern.

Interessant ist in diesem Zusammenhang schließlich noch der Blick auf alte, existierende Verschlüsselungstechnologien. Schlüssel und Schlösser (die sich in ihren Grundzügen seit römischer Zeit kaum geändert haben). Siegel. Urheberrechte. Briefumschläge.

All das sind Techniken, die vor allem Sicherheit suggerieren, die aber leicht geknackt werden können. Wenn sie sicherer gestaltet wären – ein Haustürschloss, das kein Schlüsseldienst geöffnet kriegt – würden sie vermutlich nur selten eingesetzt. Solange sie ein gewisses Maß an Sicherheit suggerieren, wird ihnen gerne geglaubt.

Warum blogge ich das? Um einen Gedankengang, der nicht in einen Tweet passte, etwas auszuformulieren.

Crosspost von till we