Security through Obscurity bezeichnet den Ansatz, sich zum Schutz eines Systems auf die Geheimhaltung seines Designs oder seiner Implementierung zu verlassen statt auf solide Sicherheitsmaßnahmen.
Was Security through Obscurity bedeutet
Typische Beispiele sind geheim gehaltene proprietäre Verschlüsselungsalgorithmen, Admin-Oberflächen unter ungewöhnlichen URLs, auf Nicht-Standard-Ports verlegte Dienste, undokumentierte Netzwerkprotokolle oder Passwörter, die nur dadurch „geschützt“ sind, dass sie an einem unerwarteten Ort liegen. Die Annahme dahinter: Angreifer finden nicht heraus, wie das System funktioniert.
Warum der Ansatz als Hauptschutz scheitert
In der Kryptografie wurde die Idee schon 1883 durch das Kerckhoffs-Prinzip verworfen: Ein System soll sicher bleiben, selbst wenn alles außer dem Schlüssel öffentlich bekannt ist. Claude Shannon fasste es später als „der Feind kennt das System“ zusammen. Auch die NIST-Leitlinien zur Serversicherheit halten fest, dass die Sicherheit nicht von der Geheimhaltung der Implementierung abhängen darf. Reale Fälle bestätigen das:
- Die geheime CSS-Verschlüsselung von DVDs wurde 1999 geknackt (DeCSS);
- die proprietäre Chiffre Crypto-1 der MIFARE-Classic-Karten für Nahverkehr und Zutritt wurde 2008 per Reverse Engineering rekonstruiert und gebrochen;
- versteckte Dienste auf ungewöhnlichen Ports finden Massen-Portscanner wie Masscan und Suchmaschinen wie Shodan binnen Minuten.
Firmware und Closed-Source-Software lassen sich immer durch Reverse Engineering analysieren; Geheimhaltung verzögert einen entschlossenen Angreifer also nur. Schlimmer noch: Sie verhindert unabhängige Prüfungen, die Schwächen früher aufdecken würden.
Wann Verschleierung akzeptabel ist
Als zusätzliche Schicht ist Verschleierung nicht nutzlos. SSH auf einen anderen Port zu legen, reduziert das Rauschen automatisierter Bots, und wer Softwareversionen nicht preisgibt, erschwert Angreifern die Arbeit ein wenig. Die Faustregel: Verschleierung darf echte Kontrollen wie starke Authentifizierung, Patchen und Verschlüsselung mit öffentlichen, gut untersuchten Algorithmen ergänzen, aber niemals ersetzen.
