Eine kostenlose Erweiterung für den Chrome-Browser soll das Verschlüsseln von Dateien einfacher machen. miniLock  heißt die Erweiterung, die Nadim Kobeissi entwickelt hat. Auf das lästige Verwalten und Speichern von Schlüsseln, wie es zum Beispiel bei der E-Mail-Verschlüsselung mit PGP zum Einsatz kommt, wird dabei verzichtet.

Der Bedarf für ein Programm zur einfachen Verschlüsselung ist auf jeden Fall da: Nach dem abrupten Aus für TrueCrypt fehlt derzeit eine Software, deren Quellcode offen einsehbar ist und dessen eingesetzte Technik Spezialisten überzeugt - und die sich gleichzeitig möglichst einfach auf diversen Plattformen einsetzen lässt. miniLock beschränkt sich im Gegensatz zu TrueCrypt allein auf das Absichern einzelner Dateien.

So funktioniert das asymmetrische Verschlüsselungsverfahren von miniLock : Öffnet man die Browser-Erweiterung, fragt miniLock nach einer E-Mail-Adresse und einem langen, wirklich langen Passwort. Wer nur ein Dutzend Zeichen eintippt, bekommt als besseres Beispiel "signora humanness misspent hubcap orang maddest receptionist" vorgeschlagen.

Das war es schon. Nun können Dateien zur Ver- oder Entschlüsselung in das Programm geschoben werden. Will man jemandem eine verschlüsselte Datei schicken, kann man sich dessen öffentlichen Schlüssel - die sogenannte miniLock ID - schicken lassen und bei der Verschlüsselung eintragen.

Kobeissi hat Lehrgeld bezahlt

Seine eigene, 44 Zeichen lange ID muss man sich nicht merken, sie wird auch nirgendwo gespeichert. Wer seine ID braucht, um sie jemandem mitzuteilen oder um eine Datei zu entschlüsseln, kann dazu auf irgendeinem Computer die miniLock-App einrichten, sein Passwort eingeben, seine 44 Zeichen ablesen.

Kobeissi hat bereits Erfahrung mit Verschlüsselungssystemen: Vor drei Jahren hat der in Kanada lebende Programmierer ein Chatprogramm für den Browser namens Cryptocat vorgestellt - damals flogen ihm kurz darauf Sicherheitsmängel um die Ohren . Mittlerweile enthält Cryptocat einige wichtige Verbesserungen. Mit miniLock will Kobeissi es diesmal von Anfang an besser machen.

So steht der Sourcecode von miniLock nicht nur für jeden einsehbar offen im Web , er wurde bereits vor Veröffentlichung des Programms einem ersten unabhängigen Sicherheitscheck unterzogen. Die Berliner IT-Sicherheitsfirma Cure53 hat sich das Programm angesehen und dabei keine ernsten Fehler gefunden. Stattdessen loben die Hacker den sparsamen und gut strukturierten Code.

Experte lobt Ansätze von miniLock

Der Kryptografieexperte Matthew Green  hebt zwei Ideen des Programms hervor: Zum einen die kurzen öffentlichen Schlüssel, die sich einfach austauschen lassen und die auf eine Visitenkarte passen. "Das ist nicht revolutionär, aber es zeigt Schwächen in Systemen wie der PGP-Verschlüsselung, die einfach ältere Krytopgrafie nutzen", sagt Green.

Zum anderen der Verzicht auf Schlüssel, die abgespeichert werden müssten. Dies könnte allerdings kritisiert werden, weil es auf die Eingabe von Passwörtern setzt, so Green. Ebenso könne kritisiert werden, dass miniLock auf einen Browser aufbaut. "Das sind große, komplexe Programme, die anfälliger für Angriffe von außen sein können."

Dafür lasse sich miniLock  einfach auf verschiedenen Plattformen installieren. Krypto-Experte Green: "Was die Benutzbarkeit angeht, ist das wahrscheinlich ein guter Kompromiss." Kobeissi setzt auf Googles Chrome-Browser, weil sich die Erweiterungen, sogenannte Browser Apps, digital signieren lassen und diese auch nicht mehr so einfach wie früher Plug-ins in anderen Browsern angreifen lassen.

Auch wenn miniLock einen öffentlich überprüfbaren Quellcode hat und offenbar einiges richtig macht: Wie bei jedem neuen Krypto-Programm, sollte man wirklich kritische Daten dem Programm vorerst lieber nicht anvertrauen.