Das Ende von TrueCrypt?

TrueCrypt hat sich im Laufe der Jahre einen Namen gemacht als Werkzeug, um verschlüsselte Container auf normalen unverschlüsselten Laufwerken abzubilden, die dann als normale Ordner oder Laufwerke gemountet werden können. Das geschieht technisch sehr zuverlässig, auch wenn die TrueCrypt-Macher eher eine Politik des Versteckens lebten. Es gab kaum Informationen über sie, ebenso gab es zwar die Beteuerung, dass TrueCrypt Open Source sei, die proprietäre „TrueCrypt-Lizenz“ dies aber nicht in der Eindeutigkeit hergab, wie das z.B. von der Open-Source-Foundation gefordert wird.

Wie auch immer: Ein externes Audit-Team sammelte letztes Jahr einen Haufen Geld, um ein externes Audit der Software zu bezahlen. Und auch wenn dieses Audit noch nicht beendet ist, zeigte es doch schon nach den ersten Analysen, dass die Software das tut, was sie versprach und nach allgemeiner Untersuchung auch keine größeren Sicherheitslöcher oder Backdoors enthielt und enthält. Die Version 7.1a ist daher das, was man nach heutiger Aussage noch als sicher und funktionsfähig bezeichnen kann.

Was nun nicht mehr für die Version 7.2 gilt, die seit gestern im Umlauf ist. Und auch nicht mehr für zukünftige Versionen, die es wohl nicht mehr geben wird, weil das TrueCrypt-Projekt sich seit gestern als beendet erklärt und die eigene Software als unsicher bezeichnet.

Ist TrueCrypt tatsächlich plötzlich unsicher geworden?

Ohne jetzt einer tiefen Software-Analyse vorzugreifen, die ich auch gar nicht vornehmen könnte: Wohl kaum. Die plötzliche Einstellung des Projektes riecht eher so, als ob das Projekt mehr oder weniger hastig eingestampft werden musste. Da kann es mehrere Gründe dafür geben, die allesamt unbestätigt und Vermutungen von mir sind:

• Es gab möglicherweise Druck, die Software im jetzigen Umfang nicht mehr zu veröffentlichen oder weiterzuentwickeln. Dafür spricht, dass die Macher verkündet haben, dass das Projekt eingestellt wurde, dennoch aber eine neue Version 7.2 veröffentlichten, die einen kleinen, aber feinen Unterschied zur vorherigen Version 7.1a hat: Es können mit der neuen Version keine neuen verschlüsselten Container erstellt werden und zudem meldet die Software beim Start, dass sie nicht sicher sei. Das macht niemand, der an seine Software glaubt, selbst wenn er sie einstellen muss.
• Die TrueCrypt-Macher empfehlen auf der TrueCrypt-Projektseite allen Ernstes unter anderem Bitlocker als Alternative, das ist das eingebaute Laufwerkverschlüsselungssystem von Windows. Das zwar wohl auch stark verschlüsseln kann, dem aber kaum zu trauen ist, wenn es darum geht, etwas wirklich geheimzuhalten. Das fängt damit an, dass Bitlocker über Gruppenrichtlinien konfiguriert werden kann, mit mehreren privaten Schlüsseln zu verschlüsseln und endet damit, dass Bitlocker auf einem Rechner mit TPM-Chip diesen nutzt. Es ist mir herzlich egal, was Sicherheitsleute darüber sagen, aber für mich (und viele andere) ist das ein No-Go. Es ist davon auszugehen, dass Bitlocker zwar stark verschlüsselt, diese Verschlüsselung aber für (US-)Behörden keinen nennenswerte Hürde darstellt. Wenn die TrueCrypt-Macher einfach so plötzlich Bitlocker empfehlen, ist das daher keine Empfehlung, sondern ein deutlicher Hinweis.
• Wer erwartet, dass sich die TrueCrypt-Macher über die wahren Beweggründe erklären, kennt die Realität nicht. Es ist davon auszugehen, dass wenn Punkt 1 eingetreten sein könnte, das über einen so genannten „National Security Letter“ oder eine ähnliche Ansprache erfolgt ist. Diese Ansprachen haben als eminentesten Punkt die Regel, dass über die Ansprache selbst unter Strafandrohung nicht geredet werden darf. Der Schritt der TrueCrypt-Macher ähnelt, wenn man eine behördliche Ansprache in Erwägung zieht, der Vorgehensweise des Betreibers des ehemaligen Maildienstes Lavabit, der nicht der behördlich angeordneten Übergabe seiner privaten Schlüssel entsprach, sondern seinen Maildienst kurzerhand einstellte.

Sicherlich ist das alles vor allem eine große Verschwörungstheorie, über die man vortrefflich streiten kann. Mit rechten Dingen geht es hier nicht mehr zu. Aber dass TrueCrypt jetzt einfach plötzlich über Nacht unsicher geworden sei, nicht argumentiert wird, warum das so sei und dann plötzlich auch noch Bitlocker empfohlen wird, das einer der Hauptgründe für viele ist, bisher eben TrueCrypt einzusetzen, halte ich für fragwürdig. Hier stinkt es.

Es bleibt abzuwarten, wie sich die Fragezeichen im TrueCrypt-Ende auflösen und wie die Entwicklung von TrueCrypt weitergeht bzw. ob sich ein Nachfolgeprojekt entwickelt. Zum jetzigen Zeitpunkt sagen kann man nur:

1. Bei TrueCrypt 7.1a bleiben, Finger weg von der beschnittenen Version 7.2. Keine Panik vor der Panikmache.
2. Schon mal ganz sicher nicht auf Bitlocker oder anderen Verschlüsselungsmechanismen wechseln, die von kommerziellen Anbietern von Betriebssystemen oder Verschlüsselungsprogrammen mitgeliefert werden. 😉
3. TrueCrypt-Installationspakete nur aus vertrauenswürdigen Quellen beziehen und immer prüfsummenchecken. Golem.de hat z.B. die aktuellen 7.1a-Versionen gesichert und stellt sie zur Verfügung, ebenso die relevanten Prüfsummen.
4. Und auch eines gilt immer für Verschlüsselungscontainer: Den Inhalt sollte man an anderer, sicherer Stelle nochmal gesichert haben, wenn einem die Daten lieb sind. Und das gilt auch für die Verschlüsselungssoftware selbst, denn auch diese sollte man als Kopie nochmal parat haben.