Mit und ohne BES: RIM

Auf Blackberrys hält Research in Motion (RIM, [10]) alle Fäden in der Hand. Die Smartphones des kanadischen Anbieters kommunizieren grundsätzlich verschlüsselt mit ihrer Zentrale – doch hat das Konzept eine kleine Schwachstelle. Daten, die zwischen dem Blackberry Enterprise Server (BES, Abbildung 5) und den Smartphones hin- und herlaufen, sind mit dem Advanced Encryption Standard (AES) oder dem Triple Data Encryption Standard (Triple DES) End-to-End-verschlüsselt. Dieser Weg ist, geht es nach dem Hersteller, auch der zu bevorzugende für den Zugriff auf die Unternehmensdaten in der Zentrale, wo ja normalerweise auch der BES steht.

Abbildung 5: Die Blackberry-Infrastruktur setzt auf den zentralen Blackberry Enterprise Server (BES).

Allerdings bieten die Schwarzbeeren auch Support für IPsec, an weiteren VPN-Alternativen arbeitet man, erklärt Research in Motion auf Nachfrage des Linux-Magazins. Die Keys für die vom Hersteller eingebaute Standardverschlüsselung erzeugt der Admin auf dem BES und den Telefonen, sie sind damit ausschließlich im Besitz der Blackberry-Kunden, also außerhalb des Einflussbereichs von RIM.

Wer sein Blackberry ohne BES betreibt oder den eingebaute Messenger nutzt, um mit Personen außerhalb des eigenen Unternehmens zu kommunizieren, sollte sich aber keinen Illusionen hingeben. Schon länger ist bekannt, was unlängst bei den Krawallen in London für mediale Aufmerksamkeit sorgte. Die Blackberry-eigene Variante der Peer-to-Peer-Kommunikation zwischen beliebigen Blackberry-Usern gaukelt mehr Sicherheit vor, als sie bietet: Mit der eindeutigen PIN, die dem Anwenderaccount zugeordnet ist, kann ein User auch ohne BES einem anderen Nachrichten schicken (PIN-to-PIN-Kommunikation).

Nur scheinbar verschlüsselt

Die Messages scheinen zwar sicher verschlüsselt, aber weil RIM nur mit einem weltweit einheitlichen kryptographischen Key arbeitet, sprechen Webseiten wie Crackberry [11] nur von "Scrambled Messages" und betonen, das sei keine wirksame Encryption.

Nur so kann RIM den englischen Behörden volle Kooperation bei der Aufklärung zusichern und sehr wahrscheinlich auch den kompletten Datenverkehr über die eigenen Server entschlüsseln.