Wie sicher ist ein Krypto-Handy? Wie dieses funktioniert?
Dieser Guide erklärt Dir das Handy + wie Du kostenlos Dein eigenes machen kannst.
Starten wir!
Was ist ein Krypto-Handy?
Ein Krypto-Handy ist ein Smartphone oder Tastenhandy, welches für eine verschlüsselte und nicht abhörbare Kommunikation gebaut wurde. Der Empfänger braucht ein kompatibles Krypto-Handy, damit die Software eine sichere Ende-zu-Ende-Verschlüsselung aufbauen kann. Die Kommunikation kann via Kurznachrichten, Videokonferenzen oder Telefongesprächen stattfinden.
Für eine abhörsichere Kommunikation brauchst Du nicht nur ein sicheres Endgerät, sondern auch eine passende Umgebung – eine Schall-sichere Kabine ohne Wanzen.
Wie abhörsicher sind die Kryptohandys?
Ein Krypto-Handy ist in der Regel ein angepasstes Android-Smartphone mit einer regulären SIM-Karte. Android ist ein Open-Source-Projekt von Google und der Quellcode ist frei verfügbar. Weil der Quellcode frei verfügbar ist, können 1000-nde von Entwickler überprüfen, ob der Code sicher ist.
Die Kryptohandy-Hersteller „versuchen“ das Gerät noch sicherer zu machen. Die Hersteller installieren Messenger- und E-Mail-Apps, mit den ihre Kunden untereinander kommunizieren können. Die Hersteller wählen in der Regel Apps, die Nachrichten Ende-zu-Ende verschlüsselt versendet.
Brauche ich ein Krypto-Handy?
Zentrale Personen mit einem erhöhten Abhörrisiko kaufen sich solche Geräte. Dazu gehören Politiker, Banker, CEOs, Schauspieler und andere bekannte Persönlichkeiten. Auf der anderen Seite kaufen Kriminelle diese Geräte, um zwischen einander zu kommunizieren.
Möglichkeiten der Abhörung durch den Staat
Die Justiz hat bei begründeten Verdacht die Möglichkeit den Internet Service Provider wie die Telekom, Vodafone oder 1&1 zu befragen. Sie müssen alle Gespräche und Nachrichten der letzten 14 Tage speichern.
Korrekt verschlüsselte Nachrichten bleiben selbst für die Telekom unlesbar.
Vertrauen oder Mistrauen …
Das große Problem bei vielen Kryptohandy-Herstellern ist, dass diese ihren Code nicht veröffentlichen. Die Sicherheit des Kryptohandys hängt zu 100 % von der Kompetenz des Herstellers ab. Baut dieser Mist, kann jeder mithören.
Die Polizei hat ab und zu einige fähige Berater, die einen Weg in das „unknackbare“ Handy finden. Sie verwenden für den Einbruch die sogenannten 0-Day-Exploits. Ein 0-Day-Exploit ist eine Schwachstelle, die dem Hersteller noch nicht bekannt ist. Die Hersteller von Kryptohandys versprechen viel, obwohl diese nur ein „normales“ Unternehmen sind.
Ich zeige Dir eine bessere Methode im Abschnitt „Wie kann ich mein Smartphone sicher machen?“
Steffen Lippke
Vorischt Fake von Kryptohandy Marketing
Viele Kunden glauben, dass ihr Kryptohandy sicher ist, wenn die Nutzeroberfläche einen Dark-Mode mit weißer Konsolenschrift nutzt.
Die Dialoge sind gespickt von Verschlüsselungssymbolen und „kryptischen Abkürzungen“. Ist das vertrauenswürdig?
Was ist die sicherste Verschlüsselung?
Die AES-Verschlüsselung gilt seit 30 Jahren als ungebrochen sicher. Die Standardisierungsbehörde NIST wählte diese als den „Gold Standard“ für den alltäglichen Gebrauch aus. Messanger / Webseiten wie Signal und viele andere Dieste verwenden diese Transportverschlüsselung. Oft liegen die Daten aber unverschlüsselt auf dem Server des Anbieters. Du brauchst eine Ende-zu-Ende Verschüsselung!
Neben gibt es eine weitere einfache Methode, die mathematisch bewiesen unknackbar ist:
Das One-Time-Pad!
Ein One-Time-Pad ist eine Datei mit vielen echt zufällig generierten 0en und 1en – der Schlüssel. Wendest Du eine XOR-Operation zwischen der Nachricht und dem One-Time-Pad an, verschlüsselst Du den Text. Führst Du die gleiche Operation mit dem gleichen One-Time-Pad beim Empfänger aus, dann erhält der Empfänger durch die Eigenschaft der XOR-Operation den Klartext.
Weil das One-Time-Pad komplett zufällig erstellt ist, kann kein Quantencomputer oder normaler Computer in eine Million Jahren die Klar-Nachricht berechnen. Das One-Time-Pad ist gleich oder länger der zu verschlüsselnden Datei.
Der Nachteil ist, dass beide Parteien das gleiche One-Time-Pad haben müssen und diese das Pad erneuern müssen, wenn der Schlüssel aufgebraucht ist.
Wie kann ich mein Smartphone sicher machen?
Bevor wir anfangen, brauchen wir die folgenden Grundlagen: Kryptohandy-Hersteller und das Unternehmen Apple nutzen zur „besseren“ Sicherheit die Verborgenheit des Quellcodes. Diese Hersteller liefern nur den Binärcode aus, welche der Hersteller aus dem Quellcode erstellt. Binärcode ist sehr schwer zu lesen und Bugs und Schwachstellen nur schwer zu finden.
Einen offenen Quelltext kann jeder lesen. Je beliebter der Code ist, desto sicherer ist der Code, weil viele Augenpaare den Code auf Sicherheit prüfen. Deshalb bieten bekannte Open-Source-Software die höchste Sicherheit.
Sind Krypto-Handys in Deutschland legal?
Ja. In Deutschland darfst Du verschlüsselte Nachrichten senden und verschlüsselte Gespräche führen.
Ein Hersteller darf nicht SIM-Karten mit dem Gerät versenden. Jede SIM-Karte muss in Deutschland personalisiert sein (Perso notwendig). Vor 2017 konnte jeder Depp sich eine SIM-Karte kaufen und sich als eine andere Person der Telekom gegenüber ausgeben.
Erstelle Dein eigenes Kryptohandy
1. Endgerät wählen
Verwende bzw. kaufe Dir ein Android-Smartphone. Apple Geräte sind nicht geeignet, weil auf diesen kein Android läuft. „Beliebte“ Geräte sind besonders gut geeignet. Du findest exakte Anleitungen pro Gerät und offizielle ROMs, weil eine freiwillige Gemeinschaft diese pflegen.
2. Sicherung
Backupe alle Deine Daten. Hier gehts zum Guide. Die folgenden Schritte setzen das Smartphone zurück! Gehe genau nach den Geräte-spezifischen Anleitungen vor, damit Du keinen Brick / Elektroschrott erzeugst.
3. Entsperren
Entsperre zum Rooten des Geräts den Bootloader. Dieser Schritt führt dazu, dass Du keinen Support mehr vom Hersteller bekommst, solange Du die Schritte nicht vollständig rückgängig machst.
Das Entsperren des Bootloaders eines Smartphones ermöglicht es, benutzerdefinierte Betriebssysteme oder Softwaremodifikationen auf dem Gerät zu installieren. Es ist wichtig zu beachten, dass das Entsperren des Bootloaders den Garantieverlust und das Risiko von Sicherheitsproblemen mit sich bringen kann. Die genauen Schritte können je nach Hersteller und Modell variieren, aber hier sind allgemeine Schritte für einige der häufigen Android-Geräte:
- Herstellerunterstützung überprüfen: Stelle sicher, dass der Hersteller das Entsperren des Bootloaders für dein spezifisches Modell unterstützt. Manche Hersteller ermöglichen es, während andere dies möglicherweise nicht erlauben.
- USB-Debugging aktivieren: Gehe zu den Einstellungen Deines Smartphones. Öffne den Abschnitt „Über das Telefon“ und tippe mehrmals auf die Build-Nummer, bis die Entwickleroptionen freigeschaltet sind. Gehe zu den Entwickleroptionen und aktiviere „USB-Debugging“.
- OEM-Entsperrung aktivieren: In den Entwickleroptionen kannst Du auch „OEM-Entsperrung“ oder ähnliche Optionen aktivieren. Dies ist auf einigen Geräten notwendig.
- Bootloader-Entsperrcode anfordern: Einige Hersteller (wie HTC oder Sony) erfordern das Anfordern eines speziellen Entsperrcodes. Dieser wird normalerweise auf der Website des Herstellers bereitgestellt.
- Bootloader-Entsperrung durchführen: Verbinde Dein Smartphone mit dem Computer und starte es im Fastboot-Modus oder Bootloader-Modus. Verwende ADB (Android Debug Bridge) auf dem Computer, um den Bootloader zu entsperren. Der Befehl lautet oft:
fastboot oem unlockoder ähnlich. - Bestätigung am Smartphone: Dein Smartphone wird Dich wahrscheinlich nach Bestätigung des Entsperrens warnen. Folge den Anweisungen auf dem Bildschirm, um den Vorgang abzuschließen.
- Gerät neu starten: Nach erfolgreichem Entsperren des Bootloaders starte Dein Gerät neu.
4. Installieren
Installiere eine alternative ROM wie Lineage auf dem Gerät. Die ROM Lineage nutzt das sichere Betriebssystem LinuxSE (für Security Enhanced) als Grundlage.
5. Kommunikation wählen
Installiere nicht Deine normalen Apps auf dem Gerät. Je weniger Apps installiert sind, desto weniger Angriffsfläche hast Du. Du kannst Dich mit der Chat-App Signal Ende-zu-Ende verschlüsselt austauschen.
Ein Kryptohandy-Hersteller geht nicht anders vor. Sie suggerieren nur, dass sie „Experten“ sind und ihr Fach verstehen.
Manche stellen Ihre eigene Plattform als „unhackbar“ dar. In Wirklichkeit sind die Nutzer einem großen Risiko ausgesetzt, wenn die Polizei oder andere Kriminelle einen anderen Weg in das System finden.
Steffen Lippke
OneTimePad mit Android App
Es gibt verschiedene Apps im Play Store, die für die Erzeugung von One-Time Pads und die XOR-Verschlüsselung verwendet werden können. Ein Beispiel ist die App „Cryptool“ für Android. Hier ist eine einfache Anleitung zur Verwendung von Cryptool:
Schritte:
- Installiere Cryptool:
- Gehe zum Google Play Store auf Deinem Android-Gerät.
- Suche nach „Cryptool“ und installiere die App.
- Öffne Cryptool:
- Starte die Cryptool-App nach der Installation.
- Generiere einen Zufallsschlüssel:
- In Cryptool kannst Du auf „Tools“ und dann auf „Random Generator“ gehen, um einen zufälligen Schlüssel zu erstellen. Notiere dir diesen Schlüssel oder kopiere ihn.
- Gebe Deine Nachricht ein:
- Kehre zum Hauptbildschirm zurück und wähle „Encrypt/Decrypt“.
- Gebe Deine zu verschlüsselnde Nachricht ein.
- Verschlüssele die Nachricht:
- Wähle „XOR Encryption“ und füge den zuvor generierten Zufallsschlüssel ein.
- Tippe auf „Encrypt“ oder eine ähnliche Schaltfläche, um die verschlüsselte Nachricht zu erhalten.
- Sende die verschlüsselte Nachricht:
- Sende die verschlüsselte Nachricht an den Empfänger.
- Entschlüssele die Nachricht:
- Der Empfänger öffnet Cryptool und wiederholt den Vorgang, verwendet jedoch den gleichen Zufallsschlüssel, um die ursprüngliche Nachricht zu erhalten.
Cryptool ist nur eine Beispiel-App, und es gibt auch andere Apps, die ähnliche Funktionen bieten. Achte darauf, dass Du den Zufallsschlüssel sicher speicherst und mit dem Empfänger auf sichere Weise teilst.
Es ist wichtig zu beachten, dass One-Time Pads aufgrund ihrer Anforderungen an zufällige Schlüssel und der Notwendigkeit einer sicheren Schlüsselverteilung in der Praxis oft unpraktisch sind. Moderne Verschlüsselungsmethoden wie AES sind für die meisten Anwendungen sicherer und einfacher zu handhaben.
Wie kann ich noch sicher kommunizieren?
Wenn Du einen (fremden) Laptop oder anderen Desktop-Computer zur Verfügung hast, kannst Du das Betriebssystem „Tails“ verwenden.
Tails ist ein Linux-Betriebssystem, welches auf einem USB-Stick gespeichert ist. Sobald Du den Computer herunterfährst, verschwinden alle Änderungen und Spuren, die Du in der Sitzung mit Tails gemacht hast. Das Betriebssystem ist ein Live-Betriebssystem, welches die Daten nur im Hauptspeicher hält. Fällt der Strom aus, sind die Änderungen weg.
Wenn Du das nächste Mal Tails startest, ist der USB-Stick wieder in den Ursprungszustand. In Tails kannst Du Dich über den sicheren Browser Firefox in das TOR-Netzwerk einwählen. Das freie TOR-Netzwerk macht das Tracking von Nutzern nahezu unmöglich und Du kannst Teile des Internets und Darknet nutzen.
Im Darknet findest Du legitime Dienste, die Du buchst oder kostenlosen nutzen kannst, um mit anderen Personen zu kommunizieren. Dazu gehören Chat-Programme, Ende-zu-Ende verschlüsselte E-Mails mit PGP oder Datei-Sharing-Plattformen für Dokumente.
