Kritik an Microsoft: Windows vertraut Zertifikat der Thai-Diktatur

Der Software-Konzern Microsoft ist aufgrund seines Umgangs mit einem neuen SSL-Zertifikat aus Thailand in die Kritik geraten. Dem Unternehmen wird vorgeworfen, leichtfertig Nutzer einem Risiko auszusetzen. Kein anderer Anbieter bringt dem fraglichen Zertifikat Vertrauen entgegen.
Infografik: Wie funktionier SSL?
Dass die Regierung Thailands ausgerechnet zum jetzigen Zeitpunkt ein eigenes Root-Zertifikat an den Start bringt, ist für die Menschenrechtsorganisation Privacy International kein Zufall. Der Vorgang passt vielmehr in die zuletzt wieder vorangebrachten Versuche, die Internet-Nutzung stärker zu kontrollieren. Als Besitzer eines in einer Region breit eingesetzten Root-Zertifikats hätte man letztlich natürlich auch leichter Zugriff auf diverse verschlüsselte Verbindungen.

Für den Nutzer kommt es letztlich darauf an, ob er dem Anbieter eines Zertifikates Vertrauen entgegenbringen will. Das regelt im Zweifelsfall eine entsprechende Warnmeldung, die von Browsern ausgegeben wird. Damit die Anwender aber nicht bei allen möglichen Seitenbesuchen von Nachfragen genervt werden, übernehmen die Hersteller einen Teil dieser Vertrauensprüfung, indem entweder das Betriebssystem oder der Browser selbst eine Liste von Zertifikat-Vergabestellen mitbringen, denen man im Wesentlichen vertrauen kann.

Microsoft hat sich entschlossen, auch das Zertifikat aus Thailand in diesen Datensatz mit aufzunehmen, berichtete The Verge. Der Konzern ist damit unter den großen Anbietern der Einzige, der dies tut. Sowohl Apples MacOS als auch Chrome und Firefox sehen es nicht als vertrauenswürdig an und warnen den Nutzer entsprechend. Diesem steht es dann natürlich frei, trotzdem mit seiner Nutzung fortzufahren - aber immerhin wird er informiert.

Microsoft sieht kein Problem

"Man sollte einem Zertifikat, das von einem Land ausgestellt wird, das bereits vielfach durch Menschenrechtsverletzungen auffiel und nicht besonders viel von Bürgerrechten und Meinungsfreiheit hält, nicht leichtfertig Vertrauen schenken", kritisierte Eva Blum-Dumontet von Privacy International das Verhalten der Redmonder.

Thailand hatte unter anderem im Jahr 2014 während des Militärputsches den Zugang zu diversen ausländischen Social Networks blockiert. Dabei ging es weniger darum, dort geteilte Informationen zu zensieren. Vielmehr sollte unterbunden werden, dass die Menschen des Landes über verschlüsselte Verbindungen kommunizieren, auf die man keinen Zugriff hat. Es gibt aber auch zahlreiche Fälle, in denen Menschen verhaftet wurden, weil die den König auf Social Media-Kanälen kritisierten.

Microsoft ist sich hingegen keiner Schuld bewusst. In die White List werden demnach nur Root-Zertifikate aufgenommen, die erfolgreich einen Review-Prozess durchlaufen haben, an dem auch externe Stellen beteiligt sind. Privacy International habe in seiner Stellungnahme die veröffentlichten Review-Ergebnisse nicht zur Bewertung herangezogen.