Seit gestern können Ermittler die Rechner und Smartphones von Verdächtigen mit dem Staatstrojaner infizieren und überwachen. Der zweite Bundestrojaner wurde am Nachmittag des 23.2. vom Bundesinnenministerium für den Einsatz genehmigt.
Damit hat das BKA faktisch die Möglichkeit für staatliches Hacking—obwohl die Verfassungsmäßigkeit dieses Unterfangens keineswegs gesichert ist. Das Bundeskriminalamt hat den hauseigenen Trojaner als Werkzeug entwickelt, dass die „verdeckte Infiltration von IT-Systemen im Auftrag des Staates“ übernehmen kann.
Um den Trojaner auf den Rechner eines Verdächtigen zu bekommen, hat das BKA zwei Möglichkeiten: Entweder wird der Laptop des Besitzers beispielsweise am Flughafen bei der Gepäckkontrolle kurz entführt und das Programm direkt aufgespielt, alternativ besorgen sich die Behörden unbekannte Sicherheitslücken, die sie für den Fernzugriff ausnutzen können. Solche Zero Day Exploits, die klassischerweise auch Einfallstore für Hacker darstellen, gibt es auf Schwarzmärkten—direkt von Kriminellen.
Mit dem Wortungetüm „Quellen-Telekommunikationsüberwachung“ darf das BKA zum Beispiel nun per Trojaner VoIP-Telefongespräche aufzeichnen, Chats oder auch Skype-Calls, bevor sie verschlüsselt werden. Zwar soll er nicht die gesamten Computeraktivitäten oder den Inhalt des Endgeräts wie das Smartphone einer Zielperson ausspähen, sondern nur die digitale Kommunikation, die nach außen dringt. Aber wie soll eine solche Unterscheidung technisch funktionieren? Viele Kritiker glauben: gar nicht; und eine überzeugende Antwort darauf hat das BKA bisher noch nicht angeboten.
Kann das BKA tatsächlich sicher stellen, dass Bürger nicht auch anderweitig überwacht werden? Das zumindest verbietet die Verfassung eindeutig. Zuvor hatte das Bundesverfassungsgericht staatlichen Hacking Bürger im Februar 2008 durch ein wichtiges Urteil in die Schranken gewiesen: Dabei ging es um „laufende Telekommunikationsvorgänge“—nur diese darf ein Trojaner ausspionieren, schrieben die Richter damals dem Innenministerium vor.
Ein Knackpunkt des Ganzen: Niemand weiß beispielsweise, ob der Staatstrojaner auch Tastatureingaben sehen kann. Der Einbau eines Keyloggers wäre allerdings vergleichbar damit, jemanden beim Denken zuzusehen, kritisieren Gegner. Ebenfalls nicht klar ist, ob das Programm auch bei E-Mail-Programmen eingesetzt werden kann, die eine Ende-Zu-Ende-Verschlüsselung benutzen. Denn ein Trojaner kann sehr wahrscheinlich immer mehr ausspähen als nur ein einzelnes Programm oder eben ausschließlich die Kommunikation per VoIP-Services, was dem Missbrauch Tür und Tor öffnen würde, warnen Kritiker.
Im Deutschlandfunk äußerte sich gestern der frühere Bundesinnenminister Gerhard Baum (FDP) und zweifelte die Rechtmäßigkeit des Programms in Bezug auf die Wahrung der Privatsphäre an. „Ich, der Bürger, muss mich darauf verlassen können, dass die Technik einwandfrei funktioniert und nicht gegen mich arbeitet. (…) und ich habe meine Zweifel, ob dieses staatliche Hacking vor dem Hintergrund dieses Grundrechts richtig und nachhaltig ist, nach wie vor“, sagte der Politiker in Anspielung auf ein Urteil des Bundesverfassungsgerichts 2008, das den Bürgern erstmals ein Grundrecht auf digitale Intimsphäre zusicherte.
Baum hat gemeinsam mit anderen eine Verfassungsbeschwerde (gegen das 2008 novellierte BKA-Gesetz) eingereicht, über die allerdings erst im April dieses Jahres entschieden werden soll. Neben mehr Transparenz über den Einsatz fordert Baum Datenschutzbeauftragte als Kontrollinstanz, damit das BKA nicht alleine entscheidet, ob die verfassungsrechtlichen Vorgaben erfüllt seien: „Wird der Kernbereich privater Lebensverwaltung geschützt, auf die der Staat niemals zugreifen kann? Dazu sind die Regelungen bisher viel zu schwach.“
Dieser Rolle hat sich beispielsweise der Chaos Computer Club verschrieben, welcher sich ausführlich mit dem Thema befasst hat. An der Rechtmäßigkeit des Trojanereinsatzes hegt auch das Hackerkollektiv Zweifel: „Letzten Endes ist ein Trojaner, der, sagen wir mal, Skype abhören soll, ein Raumüberwachungstrojaner, der nur zufällig nur dann angeht, wenn Skype gerade läuft. Technisch gibt es da keine großen Unterschiede.“, so Frank Rieger von CCC beim Deutschlandfunk.
Der Einsatz des Staatstrojaners steht rechtlich bislang auf sehr wackeligen Beinen. Denn der Generalbundesanwalt will den Einsatz der Spähsoftware nach einer richterlichen Genehmigung nur präventiv zur Gefahrenabwehr erlauben, und nicht zur Stravverfolgung. Damit wäre der Staatstrojaner vor allem ein Werkzeug gegen Terrorismus und andere akute Bedrohungen. Die Bundesregierung sieht das aber anders: Sie möchte das BKA auch präventiv zur Kriminalitätsbekämpfung mit der Quellen-TKÜ spionieren lassen.
Nach der generellen Billigung staatlicher Spionagesoftware 2008 ist das neu entwickelte Programm der zweite behördliche Anlauf in Sachen Bundestrojaner. Obwohl das BKA den Trojaner nach einer gewissen Verzögerung selbst entwickelt hat (das Produkt der Firma DigiTask, das das Bundesverfassungsgericht 2008 für illegal erklärt hatte, konnte man beliebig mit Modulen erweitern und die Überwachung entsprechend ausweiten), waren die Sicherheitsbehörden noch ein wenig zusätzlich einkaufen.
Man habe „ein kommerzielles Produkt der Firma FinFisher aus Gründen der Ausfallsicherheit und zur Steigerung der passgenauen Einsatzfähigkeit erworben”, wie das Innenministerium mitteilte. Dieses müsse man noch anpassen und überprüfen.
FinFisher (Teil des deutsch-britischen Unternehmens Elaman/Gamma International) ist eine höchst umstrittene Softwarefirma, die autoritären Staaten passgenaue Überwachungs-Softwarelösungen liefert, mit denen Regierungen ihre Bürger drangsalieren und verfolgen. Somit hat der Staat nun zwei Schadprogramme: Eins, das Gespräche mithört, und eins, das die Rechner anderweitig ausspioniert.
Bislang vermag niemand mit letzter Sicherheit zu sagen, was der Staatstrojaner eigentlich kann und was nicht. Konstantin von Notz von den Grünen forderte daher Einblick in den Quellcode—dieser wurde bis dato unter Verschluss gehalten. Eine frühere vom CCC untersuchte Version des Trojaners von 2011 wird inzwischen allerdings von vielen gängigen Virenprogrammen als Schadsoftware erkannt.
___________________________________________
Keine Kommentare:
Kommentar veröffentlichen
Bei Kommentaren bitten wir auf Formulierungen mit Absolutheitsanspruch zu verzichten sowie auf abwertende und verletzende Äußerungen zu Inhalten, Autoren und zu anderen Kommentatoren.
Daher bitte nur von Liebe erschaffene Kommentare. Danke von Herzen, mit Respekt für jede EIGENE Meinung.