Experten zerpflücken Gemalto-"Untersuchung" zu SIM-Key-Hack

Gestern hat der niederländische SIM-Karten-Hersteller Gemalto die Ergebnisse seiner internen Untersuchung zu den von NSA und GCHQ (angeblich) entwendeten SIM-Karten-Verschlüsselungskeys präsentiert. Die Kernaussage dabei war: Alles halb so wild, einen Hack habe es zwar gegeben, die Folgen seien aber minimal. Das bezweifeln viele jedoch. Gemalto hat gestern versucht, Anleger wie Kunden zu beruhigen: Einen Angriff auf die Büro-Netzwerke bestätigte man, tiefer seien die Geheimdienste aber nicht vorgedrungen. Damit sollen auch die Krypto-Keys sicher sein, behauptet jedenfalls der Hersteller, der auch Weltmarktführer bei dieser Art der Chips ist.

Wie The Intercept, das auch die ursprüngliche und auf Dokumenten von Edward Snowden basierende Story veröffentlicht hatte, nun berichtet, wurde diese Gemalto-Behauptung von Sicherheitsexperten und Kryptografie-Spezialisten aber sofort in Frage gestellt.

Untersuchung in dieser Zeit "unmöglich"

Ein Punkt, der den Experten "spanisch" vorkommt, ist die Geschwindigkeit der Gemalto-Untersuchung: Das Unternehmen hat gerade einmal sechs Tage (Wochenende inklusive) benötigt, um zu den gestern präsentierten "gründlichen" Erkenntnissen zu kommen. Das sei praktisch unmöglich, so Insider, Gemalto würde die Fähigkeiten von NSA und GCHQ "schwer unterschätzen", in Systemen keine Spuren zu hinterlassen.

Christopher Soghoian, Chef-Technologe der American Civil Liberties Union, bezweifelt, dass Gemalto überhaupt selbst eine derartige Attacke aufklären kann. Matthew Green, Kryptografie-Spezialist am Johns Hopkins Information Security Institute meint zudem: "Das ist eine Untersuchung, die offenbar nur positive Aussagen produzieren soll. Das ist eigentlich überhaupt keine Untersuchung."

Auch Ronald Prins von Fox IT schließt sich seinen Kollegen an: "Eine ernsthafte forensische Untersuchung ist in einem solch komplexen Bereich in diesem Zeitraum unmöglich", so der Niederländer. "Für mich sieht das nach Schadensbegrenzung aus."

Siehe auch: NSA hat SIM-Karten-Keys, 'Game Over' für mobile Verschlüsselung