Lavabit ist ein Anbieter eines Webmail-Service und ein US-amerikanisches Unternehmen, das verschlüsselte E-Mail-Dienste anbietet. Der Dienst wurde im Jahr 2004 von Ladar Levison gegründet und betrieben. Vom 8. August 2013 bis 20. Januar 2017 stellte Levison im Zusammenhang mit der Snowden-Affäre den Betrieb von Lavabit zeitweise ein.[2][3]
Lavabit wurde von Programmierern aus Texas als eine Antwort auf den Dienst Gmail gegründet, da Bedenken zur Wahrung der Privatsphäre bestanden. Die Seite bot ihren Benutzern die Möglichkeit, deren E-Mails in einem hohen Maße asymmetrisch zu verschlüsseln. Der Dienst wurde vom Weblog Ghacks als „der momentan wohl sicherste, private E-Mail-Dienst“ bezeichnet. Im Juli 2013 hatte Lavabit 350.000 Benutzer und bot kostenfreie sowie bezahlte Konten an, der mögliche Speicherplatz pro Benutzer betrug zwischen 128 Megabyte und 8 Gigabyte.[4][5]
Am Tag der Vereidigung von Donald Trump zum US-Präsidenten verkündete der Eigentümer Ladar Levison, dass der Dienst wieder fortgeführt werde und alle ehemaligen Benutzer ihr E-Mail-Konto weiter nutzen könnten. Außerdem erklärte er, dass der Dienst nun die Architektur Dark Internet Mail Environment (DIME) (nicht zu verwechseln mit dem mittlerweile veralteten Nachrichtenformat DIME von Microsoft) nutze, welche nicht nur die Verschlüsselung des Inhalts einer E-Mail ermögliche, sondern auch die Verschleierung ihrer Metadaten.
Am 8. August 2013 wurde Lavabit geschlossen und die Seite wurde durch eine Nachricht ersetzt, in der der Betreiber bedauert, seine Gründe für das Einstellen des Dienstes nicht darlegen zu dürfen. Er sammele Spenden, um am United States Court of Appeals for the Fourth Circuit – einem Bundesberufungsgericht – für seine ihm verfassungsgemäß zustehenden Rechte zu kämpfen.[7] Nachdem Edward Snowden, der Auslöser der Überwachungs- und Spionageaffäre 2013, den Dienst genutzt hatte, um während seines Aufenthalts im Transitbereich des Moskauer Flughafens ein Interview zu geben, erwirkte das FBI einen Durchsuchungsbeschluss sowie die Herausgabe aller SSL-Schlüssel, wodurch ein Zugriff auf sämtliche über Lavabit abgewickelte Kommunikation möglich gewesen wäre.[8] Das Unternehmen gab zunächst sämtliche Schlüssel als Ausdruck in Miniaturschrift (Schriftgröße 4pt) heraus, das Gericht ordnete dann aber eine Auslieferung in brauchbarer Form an. Bei Zuwiderhandlung wurde eine Strafe von 5.000 $ pro Tag angedroht.[8][9] Lavabit stellte daraufhin den Betrieb ein.[10][11][12]
Gleichzeitig warnte Levison davor, persönliche Daten irgendeinem Unternehmen mit physischer Präsenz in den Vereinigten Staaten anzuvertrauen. Außerdem habe er rechtliche Schritte veranlasst, um für die Wiedereröffnung von Lavabit zu kämpfen. Der Dienst hatte seinen Nutzern die verschlüsselte Speicherung der Mails auf seinen Servern und den Zugang zu den Nutzerdaten ausschließlich über deren Passwort zugesichert.[3] Durch die Schließung von Lavabit fiel ein wichtiger internationaler Anbieter für sichere E-Mail-Postfächer weg.
Im März 2016 wurde durch eine versehentliche Veröffentlichung entsprechender Gerichtsdokumente in ungeschwärzter Form durch die US-Regierung auch offiziell bekannt, dass das damalige massive Vorgehen der US-Regierung gegen Lavabit im Jahr 2013 darin begründet war, dass die US-Regierung Zugriff auf Edward Snowdens verschlüsselte E-Mail-Kommunikation erzwingen wollte.[13]
Kooperationsbereitschaft mit dem FBI
Aus den Gerichtsunterlagen von Lavabit wurde bekannt, dass Ladar Levison einer Kooperation mit dem FBI nicht grundsätzlich ablehnend gegenüberstand. Gegen eine Zahlung von 2000 US-Dollar wollte er ein Programm für das Auslesen von Daten schreiben und für weitere 1500 US-Dollar diese in den folgenden drei Monaten an das FBI übermitteln, um keinen National Security Letter zu bekommen.
Dem FBI ging das Entgegenkommen von Ladar Levison letztendlich jedoch nicht weit genug, denn man forderte eine offene Herausgabe von Metadaten, Passwörtern, E-Mail-Inhalten und SSL-Schlüsseln ohne richterliche Anordnung in Echtzeit. Mit „Echtzeit“ meinte das FBI einen direkten Netzwerkzugang zu Lavabit, um selbst sämtliche Daten ohne Levisons Zutun abgreifen zu können.[14][15][16]
Befristeter Zugang zu Mailarchiven für Lavabit-Kunden im Oktober 2013
Vom 15. bis zum 17. Oktober 2013 bestand für Lavabit-Nutzer die als befristet angekündigte Möglichkeit, ihr altes Benutzerpasswort zu ändern. Ab Freitag, dem 18. Oktober konnte mit diesem neuen Passwort für einen Zeitraum von einigen Tagen[19][20] auf das eigene Mailarchiv bei Lavabit zugegriffen werden, um es herunterzuladen und zu sichern. Hierzu wurde eine Webseite mit einem neuen SSL-Zertifikat veröffentlicht, die die sichere Einrichtung des neuen Passwortes und dann das sichere Herunterladen der Daten ermöglichte. Diese Seite ist derzeit nicht mehr erreichbar.
Alternativen zu Lavabit
Entsprechend der Warnung von Levison existieren inzwischen zahlreiche verschlüsselte E-Mail-Dienste, deren Server außerhalb der USA sitzen und damit nicht dem direkten Druck US-amerikanischer Behörden ausgesetzt sind.[21]
Statt eines sicheren E-Mail-Providers bieten sich E-Mail-Verschlüsselung mit Software und anonyme E-Mail-Dienste wie Wegwerf-Adressen als Alternativen an.[22]
↑Alex Hern: Lavabit founder offered to log users’ metadata if FBI paid him $3,500. Ladar Levison, the secure email service's founder, made the offer in an effort to safeguard passwords and prevent the FBI from mining incoming data. In: The Guardian. 9. Oktober 2013, abgerufen am 18. Juni 2024 (englisch).
