Die Illusion der digitalen Festung

Was der Fall EncroChat über Vertrauen, Verschlüsselung und die Grenzen technischer Sicherheit verrät

Es klingt zunächst wie eine Geschichte aus einer Zeit, in der Kriminelle noch glaubten, man könne sich vor dem Staat einfach verstecken: ein Telefon ohne Kamera, Mikrofon und GPS, mit einem sogenannten Panic-PIN, der im Notfall die Daten des Geräts löschen konnte. Dazu ein verschlüsselter Nachrichtendienst und ein Preis, der deutlich machte, dass Sicherheit hier nicht als Nebenprodukt verkauft wurde.

EncroChat bot seinen Kunden nicht einfach ein Telefon an. Der Dienst wurde mit dem Versprechen von Anonymität, Diskretion und fehlender Rückverfolgbarkeit vermarktet. Europäische Ermittler fanden die Geräte seit Jahren im Umfeld schwerer Drogenkriminalität; die französischen Ermittlungen gegen die Infrastruktur des Dienstes begannen schließlich 2018.

Für seine Nutzer muss EncroChat deshalb wie eine Versicherung gegen Entdeckung gewirkt haben. Und gerade dieses Vertrauen wurde zum Problem.

Das Telefon, dem man vertraute

Die technische Konstruktion war darauf ausgelegt, möglichst wenig Angriffsfläche zu bieten. Kamera, Mikrofon und GPS waren entfernt beziehungsweise deaktiviert; das Gerät verfügte über ein speziell angepasstes Betriebssystem und verschiedene Funktionen zur schnellen oder automatischen Löschung von Nachrichten und Daten. EncroChat warb mit „perfekter Anonymität“ und „perfekter Diskretion“.

Viele Nutzer verhielten sich offenbar entsprechend. Die später gewonnenen Nachrichten dokumentierten Drogengeschäfte, Geldwäsche, Waffenhandel und Gewaltverbrechen. Europol spricht von Millionen ausgewerteten Nachrichten; bei einem erheblichen Teil konnten die Ermittler die Kommunikation in Echtzeit mitlesen.

Das Interessante daran ist nicht allein die Offenheit der Kommunikation. Es ist die psychologische Wirkung der vermeintlichen Sicherheit. Wer damit rechnet, dass jemand mitliest, formuliert vorsichtig. Wer davon ausgeht, dass sein Kommunikationsmittel praktisch unangreifbar ist, verhält sich anders. Die Technik veränderte damit nicht nur die Sicherheit der Kommunikation. Sie veränderte offenbar auch das Verhalten ihrer Nutzer.

Das ist ein Phänomen, das über EncroChat hinausweist. Sicherheit ist nicht nur eine technische Eigenschaft. Sie ist auch eine Erwartung. Ein Schloss muss nicht nur schwer zu öffnen sein. Es muss seinen Besitzer davon überzeugen, dass er die Tür offenlassen kann.

Die Verschlüsselung war nicht das Problem

Als die französischen Ermittler gegen EncroChat vorgingen, mussten sie die Verschlüsselung nicht einfach mathematisch „knacken“. Sie zielten auf eine andere Stelle des Systems.

Die französischen Behörden erhielten zunächst Zugriff auf Teile der Server-Infrastruktur. Anschließend genehmigten französische Gerichte technische Maßnahmen, mit denen Daten von mit dem EncroChat-System verbundenen Endgeräten erlangt werden konnten. Die französischen Ermittlungsmaßnahmen zielten ausdrücklich darauf, Computerdaten so zu erfassen, wie sie auf den Geräten erschienen oder dort eingegeben wurden.

Das ist ein entscheidender Unterschied.

Eine Nachricht kann auf ihrem Übertragungsweg hervorragend verschlüsselt sein. Wenn ein Angreifer jedoch das Endgerät kompromittiert, kann er die Nachricht dort erfassen, wo sie für den Nutzer bereits lesbar ist.

Europol beschrieb den Vorgang 2020 deshalb sinngemäß als ein Lesen „über die Schulter“ der ahnungslosen Nutzer.

Die Schwachstelle lag damit nicht notwendig in der mathematischen Stärke der Verschlüsselung. Sie lag in der Architektur des Gesamtsystems.

Das ist technisch weniger spektakulär als ein erfolgreicher Angriff auf eine Verschlüsselung – aber vielleicht die wichtigere Erkenntnis.

Digitale Sicherheit endet nicht bei der Verschlüsselung. Sie hängt auch davon ab, wer die Infrastruktur kontrolliert und ob die Endpunkte vertrauenswürdig bleiben.

Der Staat lernt schneller als die Unterwelt

Der Erfolg von EncroChat war deshalb zugleich ein technologischer Erfolg der Strafverfolgung. Frankreich und die Niederlande arbeiteten in einer gemeinsamen Ermittlungsgruppe zusammen, unterstützt von Europol und Eurojust. Die späteren Auswertungen führten zu Ermittlungen in zahlreichen Ländern. Nach Angaben von Europol waren bis 2023 mehr als 6.500 Verdächtige festgenommen worden; mehr als 115 Millionen Nachrichten waren analysiert worden.

Doch mit dem technischen Erfolg begann eine andere Auseinandersetzung: die juristische.

In Deutschland wurde insbesondere darüber gestritten, unter welchen Voraussetzungen die in Frankreich erhobenen und nach Deutschland übermittelten EncroChat-Daten in Strafverfahren verwendet werden dürfen. Der Bundesgerichtshof hatte bereits 2022 grundsätzlich über ihre Verwertbarkeit entschieden.

Dann griff der Europäische Gerichtshof ein.

In seinem Urteil vom 30. April 2024 im Verfahren C-670/22 stellte der EuGH klar, dass eine Europäische Ermittlungsanordnung zur Übermittlung von Beweismitteln, die bereits von einem anderen Mitgliedstaat erhoben wurden, unter bestimmten Voraussetzungen von einer Staatsanwaltschaft erlassen werden kann. Zugleich müsse eine spätere gerichtliche Kontrolle der Grundrechte der Betroffenen möglich sein. Für die Verwendung der Beweise stellte der Gerichtshof weitere Anforderungen an die Möglichkeit des Betroffenen, sich wirksam mit dem Beweismaterial auseinanderzusetzen.

Auch das Bundesverfassungsgericht befasste sich anschließend erneut mit EncroChat. Im November 2024 nahm es eine Verfassungsbeschwerde gegen die Verwertung der aus Frankreich übermittelten Daten nicht zur Entscheidung an. Das Gericht sah auf Grundlage des konkreten Verfahrens keine erkennbare Grundrechtsverletzung.

Damit ist der juristische Streit keineswegs so einfach, wie es die Formel „Massendaten ohne Anfangsverdacht“ nahelegen würde. Es geht vielmehr um die komplizierte Schnittstelle zwischen französischer Datenerhebung, europäischer Rechtshilfe, deutschem Strafprozessrecht und den Grundrechten der Betroffenen.

Gerade darin liegt die politische Bedeutung des Falls.

Je mächtiger die technischen Mittel der Strafverfolgung werden, desto genauer muss der Rechtsstaat bestimmen, wo ihre Grenzen liegen.

Nach EncroChat kam das nächste sichere System

Die organisierte Kriminalität wechselte nach dem Ende von EncroChat zu anderen Diensten. Sky ECC wurde zu einem der wichtigsten Nachfolger. Europäische Ermittler konnten auch dort einen großen Teil der Kommunikation überwachen; im März 2021 gingen belgische, französische und niederländische Behörden gegen die Plattform vor. Europol berichtete damals von rund 70.000 Nutzern, deren Informationsfluss zu diesem Zeitpunkt überwacht werden konnte.

Dann kam Anom.

Der Fall ist noch bemerkenswerter. Das FBI betrieb die Plattform selbst. Gemeinsam mit australischen Behörden wurde ein verschlüsselter Kommunikationsdienst aufgebaut und an kriminelle Gruppen weltweit verbreitet. Mehr als 12.000 Geräte gelangten in Umlauf, die von mehr als 300 kriminellen Syndikaten in über 100 Ländern genutzt wurden. Das FBI erhielt schließlich mehr als 27 Millionen Nachrichten.

Die Nutzer glaubten, sie hätten einen geschützten Kommunikationsraum gefunden. Tatsächlich kommunizierten sie auf einem System, das von den Ermittlern kontrolliert wurde. Man kann darin einen Beleg für die Naivität der organisierten Kriminalität sehen. Interessanter ist allerdings eine andere Schlussfolgerung.

Vielleicht liegt das Problem nicht darin, dass Kriminelle besonders leichtgläubig sind. Vielleicht liegt es darin, dass digitale Systeme Vertrauen so überzeugend darstellen können. Ein Telefon sieht aus wie ein Telefon. Eine Anwendung sieht aus wie eine Anwendung. Ein verschlüsselter Dienst sieht aus wie ein verschlüsselter Dienst. Wer die zugrunde liegende Infrastruktur nicht selbst kontrolliert, muss letztlich vertrauen.

Das gilt für einen Drogenhändler ebenso wie für einen normalen Nutzer. Der Unterschied besteht nur darin, dass beim Drogenhändler sehr viel mehr auf dem Spiel steht.

Was EncroChat wirklich gezeigt hat

Die Lehre aus EncroChat ist deshalb nicht, dass Verschlüsselung sinnlos wäre. Im Gegenteil: Ohne starke Verschlüsselung wäre digitale Vertraulichkeit kaum denkbar.

Die Lehre lautet auch nicht, dass es im Internet keine Anonymität geben könne.

Die interessantere Erkenntnis ist kleiner.

Digitale Sicherheit ist nicht nur eine Frage der Mathematik. Sie ist auch eine Frage des Vertrauens.

Man vertraut dem Gerät. Man vertraut dem Betriebssystem. Man vertraut dem Anbieter. Man vertraut der Infrastruktur. Und man vertraut darauf, dass niemand einen Zugang besitzt, von dem man selbst nichts weiß. EncroChat zeigt, was geschieht, wenn dieses Vertrauen an der falschen Stelle endet. Die Verschlüsselung musste nicht zwangsläufig versagen. Es genügte, dass ein anderer Teil des Systems kompromittiert wurde. Das ist die eigentliche Ironie dieses Falls.

Die Nutzer hatten keine Festung gekauft. Sie hatten einen Dienst gekauft, dessen Sicherheit von einer Infrastruktur abhing, die sie selbst nicht kontrollierten. Sie hatten also nicht Anonymität gekauft. Sie hatten Vertrauen gekauft. Und Vertrauen ist, anders als Verschlüsselung, keine mathematische Größe.