Warum ich »Let’s encrypt« (vorerst) nicht nutze

Ich bin heute allen Ernstes einige Male gefragt worden, warum ich hier nicht ein freies TLS-Zertifikat von »Let’s encrypt« nutze und immer noch keine HTTPS-Verbindungen anbiete.

Nun, um es nicht ständig wiederholen zu müssen, sondern einfach verlinken zu können, meine ziemlich ausführliche Antwort darauf:

1. Generell gilt: Verschlüsselung löst hier¹ exakt kein einziges Problem. (Niemand muss hier jemals persönliche Daten oder Ähnliches angeben, und wer verschlüsselt und darüber hinaus sogar anonym lesen möchte, hat Tor zur Verfügung.) Es gibt hier nur veröffentlichte, öffentlich sichtbare, mit jedem Browser unmittelbar zugängliche Ressourcen. Verschlüsselung vergrößert aber die Komplexität der Installation. Das ist in meinen Augen ein schlechter Tausch².
2. »Let’s encrypt« ist in der Beta-Phase. Wenn ich das nicht gerade tun muss, nehme ich nichts, was als »Beta« deklariert ist, sondern warte, bis die übelsten Bugs draußen sind und ein robustes Produkt entstanden ist. Ich flicke nicht gern hinter unfertigen Lösungen hinterher.
3. »Let’s encrypt« bietet mir einen vollständig automatisierbaren Prozess an. Niemand verstehe mich falsch! Ich bin stinkefaul. Ich automatisiere auch alles mögliche, aber die Skripten dafür schreibe ich selbst. Es sind kleine Skripten, oft brachial einfach, aber eben auch selbst unter den Bedingungen einer gewissen Dringlichkeit unmittelbar verständliche Skripten. Ich habe noch nie eine gute Erfahrung mit Software gemacht, die mir als »bequem«, »mühelos«, »einfach« und »automatisch« angeboten wird. Dafür habe ich es mehr als einmal erlebt, dass der Aufwand für Nacharbeiten erheblich wird, wenn mir eine Software mit derartigen Attributen angeboten wird.
4. »Let’s encrypt« verlangt von seinen Nutzern, eine relativ komplexe Installation auf dem Server aufzusetzen. Es handelt sich nicht um ein einfaches Perl-Skript, das so, wie es geliefert wird, einfach läuft. Ich habe außerordentlich große Hemmungen, die Installation eines Servers komplexer zu gestalten, als dies unbedingt erforderlich ist. Komplexität ist das genaue Gegenteil von Sicherheit, Robustheit und Zuverlässigkeit. Wie Menschen, die ebenfalls kompetent, die aber als richtige Fachleute für Computersicherheit noch eine Spur fundamentalistischer an die Sache herangehen, auf die eingeforderte Laufzeitumgebung für »Let’s encrypt« reagieren, lässt sich etwa in Fefes Blog nachlesen. Sehr geschmacksintensiv sind dort auch die Anmerkungen zu den Automatismen…
5. »Let’s encrypt« hat Sponsoren, die überhaupt nicht vertrauenswürdig sind, wenn es um Fragen der Sicherheit und Privatsphäre von Web-Nutzern geht:
   

   Die Sponsoren von Let’s Encrpyt sind unter anderem Akamai, Cisco und Mozilla. Diese haben sich zur Internet Security Research Group (ISRG) zusammengefunden, um HTTPS zum Standard im Internet zu machen. Neuerdings ist auch Facebook mit an Bord

   Cisco ist eine Unternehmung, die sich dabei erwischen ließ, vorsätzlich über das Internet zugreifbare Hintertüren in die Firmware ihrer Netzwerkhardware einzuprogrammiert zu haben. Eine Software, bei der die in meinen Augen verbrecherische und offen kundenverachtende Unternehmung Cisco auch nur in die Nähe gekommen ist, werde ich garantiert auf keinem Server installieren, über den ich die Verantwortung habe. Und dass ausgerechnet der bekannte Internetüberwacher, Datensammler, Privatsphärenverachter, Menschenvermarkter und Spammer namens Facebook daran beteiligt ist, lässt mir das Brötchen wieder hochkommen, das ich eben gegessen habe.

Wer immer noch glaubt, dass »Let’s encrypt« eine tolle Idee ist, weil es ja in diversen journalistischen Produkten – die übrigens wegen der eingeblendeten Werbung praktisch niemals selbst HTTPS für ihre Websites verwenden und wegen der Beliebtheit von Werbeblockern immer häufiger bezahlte Reklame als einen redaktionellen Artikel ausgeben – als tolle Idee angepriesen wird: Immer nur zu! Ihr seid allesamt erwachsene Menschen. Aber jammert nicht, wenn sich das als die größte Scheiße des Jahrzehnts herausstellt. Ein Gehirn wird durch Benutzung übrigens viel nützlicher.

Warum ich dieses »Let’s encrypt« nicht nutze, sollte jedenfalls klar und hoffentlich auch verständlich sein.

Nun noch etwas, was für andere vielleicht etwas unverständlicher klingt, ja, vielleicht sogar wie das wirre Gestammel eines Verschwörungstheoretikers.

In meinen Augen wäre für alle Menschen viel mehr damit gewonnen, dass man eine große Kampagne für verschlüsselte E-Mail – also für prinzipiell schützenswerte und oft empfindlich weit in die Privatsphäre oder in geschäftliche Schutzbereiche hineinreichende Kommunikation zwischen Menschen unter den Bedingungen monströser staatlicher Überwachungsapparate – macht, als dass man mit riesen Reklameaufwand und unter Beteiligung diverser Medien die Auffassung in jedes Hirn stanzt, der verschlüsselte Transport offener, für den einfachen Zugang im Web veröffentlichter Inhalte sei eine Lösung für irgendein Problem. Die Tatsache, dass diese gezielte Verschiebung der Aufmerksamkeit von einem Problem auf ein Scheinproblem ausgerechnet von Unternehmen aus genau demjenigen Staat vorgetragen wird, der mit monströsem Aufwand eine Totalüberwachung menschlicher und geschäftlicher Kommunikation im Internet durchführen will, ist dabei gewiss kein Zufall.

Eine Kampagne für verschlüsselte E-Mail wäre gleichzeitig eine Kampagne für digitale Signatur von E-Mail. Wenn E-Mails standardmäßig digital signiert sind, sind diverse Formen der Internet-Kriminalität stark erschwert, da der Absender einer E-Mail jenseits jedes vernünftigen Zweifels sichergestellt werden kann. Weder das allgemeine Phishing, noch der Versand von Schadsoftware mit gefälschtem Absender eines Geschäftspartners, Unternehmens oder oberflächlichen Bekannten noch der personalisierte Betrug der Marke »Ich sitze hier in Sevilla fest, habe meine Tasche verloren, habe keinen Ausweis mehr, kannst du mir kurz 300 Euro über Western Union rüberbeamen, damit ich zur Botschaft komme, kriegst du auch nächste Woche zurück« sind möglich, wenn die Menschen durchgehend digital signierte E-Mail verwenden und die Signaturen auch überprüfen (was sich sehr gut durch eine Mailsoftware unterstützen lässt). Hier würden also – im Gegensatz zu »Let’s encrypt« – konkrete Probleme gelöst, nämlich das Problem der gegenwärtigen Internetkriminalität.

Bei einer derartigen Kampagne für verschlüsselte E-Mail könnte die Mozilla Foundation auch gleich als Allererstes damit anfangen, dafür zu sorgen, dass ihre beliebte Mailsoftware »Thunderbird« in absehbarer Zeit nicht mehr eines Plugins bedarf, um PGP nutzen zu können. Aber die Mozilla-Foundation (die ebenfalls in den USA sitzt) setzt zurzeit lieber andere Schwerpunkte als die Verschlüsselung persönlicher Kommunikation, nämlich den verschlüsselten Transport offener verfügbarer Inhalte, der in vielen Fällen exakt null Probleme löst.

Bei mir, der ich zugegebenermaßen ziemlich das Gras wachsen höre, klingen da alle Alarmglöckchen auf einmal.

Konzentriert euch aufs Wesentliche, Leute! Konzentriert euch auch dann noch aufs Wesentliche, wenn euch eine ganze Horde von Journalisten und PR-Fratzen allmedial entgegenschreit, etwas anderes sei wesentlich. Haltet private Kommunikation verschlüsselt, und lasst euch nicht und niemals erzählen, dass der verschlüsselte Transport offener Inhalte ein Problem löst¹! Ich schreibe diesen (vielleicht etwas merkwürdigen) Text doch auch nicht mit Zaubertinte, die erst wieder lesbar gemacht werden müsste, nein, ich schreibe ihn, damit er lesbar ist. Für jeden lesbar ist.

Ach!

¹Es gibt mehrere Situationen, in denen TLS ein Problem löst. Überall, wo Daten übertragen werden, die nicht offen durch das Internet übertragen werden sollten, ist TLS eine Lösung.

²Das einzige Projekt, wo ich zurzeit ernsthaft drüber nachdenke, ist das Spamblog – denn dort gibt es immer wieder einmal Kommentare von Opfern der gängigen Betrugsmaschen, und die halte ich für schutzwürdig.