CCC: “Rechtsbruch durch Bundestrojaner”

Wie der Trojaner funktioniert

Wie CCC-Sprecher Frank Rieger in der FAZ vom 9. Oktober berichtet, erhielt der CCC mehrere Festplatten in brauen Umschlägen ohne Absender, vermutlich von “Betroffenen”. Der CCC habe auf allen Festplatten eine Trojaner-Software entdeckt, deren Varianten sehr ähnlich gewesen seien. Die Trojaner-Dateien seien nur “amateurhaft gelöscht” gewesen.


Bild: CCC

Die Analyse habe ergeben, dass sich die Software nach dem Start des Computers in alle laufenden Anwendungen einblende. Sie sende Signale an einen fest konfigurierten Server in den USA, um ihre Dienstbereitschaft zu signalisieren. Dieser Datenaustausch werde mit AES verschlüsselt – die Verschlüsselung sei jedoch falsch implementiert gewesen. Auch nehme die Software Befehle des Servers ohne jegliche Authentifizierung entgegen. Einzige Bedingung für die Akzeptanz eines Befehls sei es, dass er von der IP-Adresse des US-Servers zu kommen scheine.

&nbsp

Laut CCC verfügt die Software über vorkonfigurierte Funktionen:

  1. Abhören von Skype-Telefonaten,

  2. Anfertigen von Bildschirmfotos in schneller Folge sowie

  3. Nachladen eines beliebigen Programmes aus dem Netz.

Die letzte Funktion könne genutzt werden, um mögliche Features zu installieren:

  1. Raumüberwachung mit Mikrofon und Kamera des Computers,

  2. Durchsuchen der Festplatte sowie

  3. Herunterladen von Dateien auf die Festplatte.

Die letztgenannte Funktion – das Herunterladen von Dateien auf die Festplatte – sei die einzige Funktion der Software gewesen, die gegen eine spätere Analyse getarnt worden sei, so Rieger. Im Code habe sich kein Hinweis auf den Urheber der Software gefunden. Im Jahr 2008 sei jedoch ein interner Schriftverkehr einer Justizbehörde bekannt geworden. Daraus sei hervorgegangen, dass ein deutsches Unternehmen einen Trojaner zum Abhören von Skype angeboten habe, dessen Funktionsumfang sich mit dem jetzt vom CCC analysierten Trojaner decke. Rieger: “Sogar die Anmietung des Weiterleitungsservers im Ausland, um die IP-Adresse der Trojaner-Kontrollstation zu verschleiern, war im Angebot erwähnt.” Nach Angaben der Frankfurter Rundschau handelt es sich beim besagten Unternehmen um die Firma DigiTask aus dem hessischen Haiger.


Bild: FAZ

Der CCC hat den Quellcode der Trojaner-Software ins Netz gestellt. Der Code ist zudem in der FAZ vom 9. Oktober nachzulesen (Seiten 43 bis 47). Die Behörden wurden zuvor in Kenntnis gesetzt. “Gemäß unserer Hackerethik und um eine Enttarnung von laufenden Ermittlungsmaßnahmen auszuschließen, wurde das Bundesinnenministerium rechtzeitig vor dieser Veröffentlichung informiert. So blieb genügend Zeit, um die Selbstzerstörungsfunktion des Schnüffel-Trojaners zu aktivieren.”

Was das Verfassungsgericht sagt

Das Thema “Bundestrojaner” ist nicht neu. Im Februar 2008 entschied das Karlsruher Bundesverfassungsgericht, dass Online-Durchsuchungen zulässig, jedoch an strenge Auflagen gebunden sind. Die Richter führten in diesem Zusammenhang ein neues Grundrecht ein: das Grundrecht auf die Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme.

Nach diesem Urteil muss die Online-Durchsuchung durch einen Richter angeordnet werden. Sie ist nur zulässig, wenn Gefahr für Leib, Leben oder Freiheit einer Person besteht. Die Intim- und Privatsphäre (“Kernbereich privater Lebensgestaltung“) darf überhaupt nicht angetastet werden – so lange nicht der begründete Verdacht besteht, dass der Verdächtige diesen Schutz ausnutzt. Falls Daten aus dem Intimbereich zufällig erhoben werden, müssen sie sofort gelöscht werden.

Erlaubt ist demnach – nach richterlicher Anordnung – auch die sogenannte Quellen-Telekommunikationsüberwachung. Diese erlaubt den Behörden, Daten auf dem Rechner mitzuschneiden, bevor sie verschlüsselt werden – jedoch nicht dauerhaft, sondern nur für einen bestimmten Telekommunikationsvorgang.

Was der CCC fordert

Laut CCC zeigt die vorliegende Trojaner-Software, dass der Gesetzgeber nachbessern muss. Schon die vorkonfigurierten Funktionen des Trojaners – ohne nachgeladene Programme – seien besorgniserregend. Die von “den Behörden suggerierte strikte Trennung von genehmigt abhörbarer Telekommunikation und der zu schützenden digitalen Intimsphäre” existiere in der Praxis nicht. Der Richtervorbehalt könne nicht vor einem Eingriff in den privaten Kernbereich schützen.

“Unsere Untersuchung offenbart wieder einmal, dass die Ermittlungsbehörden nicht vor einer eklatanten Überschreitung des rechtlichen Rahmens zurückschrecken, wenn ihnen niemand auf die Finger schaut”, sagte ein CCC-Sprecher. “Hier wurden heimlich Funktionen eingebaut, die einen klaren Rechtsbruch bedeuten: das Nachladen von beliebigem Programmcode durch den Trojaner.”

Der Trojaner könne auf Kommando – unkontrolliert durch den Ermittlungsrichter – Funktionserweiterungen laden, um die Schadsoftware für weitere Aufgaben beim Ausforschen des Systems zu benutzen. Dieser Vollzugriff auf den Rechner, auch durch unautorisierte Dritte, könne etwa zum Hinterlegen gefälschten belastenden Materials benutzt werden und stelle damit den Sinn dieser Überwachungsmethode grundsätzlich in Frage.

Der Gesetzgeber sei gefordert, dem “ausufernden Computerschnüffeln” ein Ende zu setzen und “endlich unmissverständlich” zu formulieren, wie die digitale Intimsphäre juristisch zu definieren und wirksam zu bewahren sei. “Leider orientiert sich der Gesetzgeber schon zu lange nicht mehr an den Freiheitswerten und der Frage, wie sie unter digitalen Bedingungen zu schützen sind, sondern lässt sich auf immer neue Forderungen nach technischer Überwachung ein.” Dass der Gesetzgeber die Technik nicht überblicken, geschweige denn kontrollieren könne, zeige die vorliegende Analyse der Funktionen der Schadsoftware.

Im Streit um das staatliche Infiltrieren von Computern hätten der Ex-Bundesinnenminister Wolfgang Schäuble (CDU) und BKA-Chef Jörg Ziercke stets betont, die Bürger müssten sich auf höchstens “eine Handvoll Einsätze von Staatstrojanern” einstellen. Entweder sei nun fast das ganze Set an staatlichen Computerwanzen beim CCC eingegangen oder das Versprechen sei schneller als erwartet von der Überwachungswirklichkeit überholt worden.

Auch andere Zusagen hätten in der Realität keine Entsprechung gefunden. So habe es 2008 geheißen, alle Versionen der “Quellen-TKÜ-Software” würden individuell angefertigt. Der CCC habe nun mehrere verschiedene Versionen des Trojaners vorliegen, die alle denselben hartkodierten kryptographischen Schlüssel benutzen und nicht individualisiert seien. “Der CCC hofft inständig, dass dieser Fall nicht repräsentativ für die besonders intensive Qualitätssicherung bei Bundesbehörden ist.”

Wie es weiter geht

Das Bundesinnenministerium hat den Einsatz von Spionagesoftware durch das Bundeskriminalamt (BKA) mittlerweile dementiert. “Was auch immer der CCC untersucht hat oder zugespielt bekommen haben mag, es handelt sich dabei nicht um einen sogenannten Bundestrojaner”, zitierte das Magazin Focus aus einer Mitteilung des Ministeriums. Der Sprecher ließ offen, ob andere deutsche Ermittlungsbehörden die Überwachungssoftware benutzt haben. Für die Einhaltung technischer und rechtlicher Vorgaben seien die jeweiligen Behörden des Bundes und der Länder selbst verantwortlich, sagte er.

Die Zeit meldete derweil, das vom CCC analysierte Programm sei vom bayerischen LKA eingesetzt worden. Nach neueren Angaben der FAZ hat der bayerische Zoll die Schadsoftware am Flughafen München bei einer Sicherheitskontrolle auf den Computer eines Betroffenen aufgespielt. Dies sei im Rahmen einer Amtshilfe erfolgt.

Inzwischen haben Experten Stellung bezogen. Der Bundesdatenschutzbeauftragte Peter Schaar kündigte an, den Bericht des CCC zu prüfen. Bundesjustizministerin Sabine Leutheusser-Schnarrenberger (FDP) plädierte für Ermittlungen auf Landesebene. Wolfgang Bosbach (CDU), Vorsitzender des Innenausschuss des Bundestages, forderte den CCC dazu auf, seine Angaben zu belegen. Voraussichtlich in der kommenden Woche wird sich der Innenausschuss mit dem Thema beschäftigten.

Silicon-Redaktion

View Comments

  • Bundestrojaner
    Die Empörung ist jetzt wieder groß, wenn in Deutschland aber etwas terroristisch in die Luft fliegen würde wären auch die Behörden in der Schusslinie. Wenn damit Schaden verhindert werden kann wo liegt dann das Problem. Also ich habe nichts zu verbergen ...

  • Rechtfertigt Terrorismus alles?
    @Zwergprinz:
    Bei allem Respekt, aber hier kann ich Ihnen nicht einmal im Ansatz recht gebe. Ich habe auch nichts zu verbergen, habe aber dennoch ein Problem damit, wenn sich Vater Staat illegaler Mittel bedient, um an Informationen zu kommen. Im Gegenzug wird aber von jedem einzelnen Bürger gefordert, dass Gesetze einzuhalten sind. Wenn man das nicht tut, wird man (zu recht) bestraft!
    Es ist schon immer so gewesen, dass sich Staaten unter dem Deckmäntelchen "wir wollen Euch beschützen" immer mehr Freiheiten herausnehmen, um uns zu kontrollieren. Fast jedes größere Attentat wird genutzt,um uns ein bisschen mehr von unserer Freiheit zu nehmen. Das ist der Weg, der "Big Brother" immer mehr Wirklichkeit werden lässt.
    Und ich glaube einfach nicht, dass damit Attentate verhindert werden. Denn wenn man als Attentäter weiss, dass man kontrolliert wird, findet man sehr leicht andere Wege, um zu kommunizieren.
    Daher bin ich absolut dagegen und fordere auch in diesem Fall Strafen für die Verantwortlichen, die sich nicht an das Gesetz gehalten haben und selbstherrlich deutsche Bürger überwachen!

  • Wenn der Staat ...
    ... schon mal tätig wird, dann sicher in die falsche Richtung.

    Warum wird die Strafverfolgung nicht dahin gegeben, wohin sie gehört? Die Nutzung eines Computers jedenfalls ist nicht strafbar. Und wenn über einen Computer etwas strafbares vereinbart oder angezettelt wird, dann ist es nichts weiter als mit dem Telefon oder weiland mit einem Brief.

    Gibt es nicht ausdrücklich ein Briefgeheimnis?

    Ein Bundestrojaner auf meinem Computer ist einfach ein Virus. Eine Schad-Software die meine verschiedenen amerikanischen und russischen Sicherheits-Mechanismen ausfiltern. Hoffe ich zumindest!

    Warum kümmert sich der Staat denn nicht um die Verbrecher, die Terroristen und sonstiges Gesocks. Weil er unfähig ist! Es ist doch viel leichter, die eigene Bevölkerung zu überwachen, weil ja davon soviel Gefahr ausgeht. Das hat man doch schon bei der Stasi gesehen ...

    Dass die Menschen in D aber teilweise schon nach amerikanischem Vorbild zwei und drei Job's machen, somit gar keine Zeit haben, sich mit Verbrechen zu beschäftigen? Das werden Politiker wohl nicht verstehen. Klar, wir schieben einem mittelmäßigen Abgeordneten, den niemand kennt, ? 15.000 monatlich in den Rachen, wozu soll er sich um kleine Leute kümmern. Da ist sein eigener Verfolgungswahn doch viel besser geeignet.

    Wählen wir diese Leute ab, dann haben wir in unsere Zukunft investiert. Und wenn es für einen normalen Menschen wieder möglich ist, seine Familie zu ernähren, dann hat der Staat seine Aufgabe erfüllt.

    Der Bundestrojaner jedenfalls ist ein Zeichen politischer Schitzophrenie und zeigt nur, dass wir diese Leute völlig umsonst bezahlen. Was würden Sie zu einem Mitarbeiter sagen, der dauernd etwas macht, was Sie nicht wollen?

    Viel Erfolg
    Der PMa

  • Bundestrojaner und "1984"
    Wahrscheinlich stimmt jeder zu, dass man terroristische Aktivitäten und Pläne frühzeitig blockieren muss. Aber der Einsatz der Bundes-/Landestrojaner war ja nicht nur für Terrorismus eingesetzt worden ...

    Wieviel darf ein Staat und was dürfen Organisationen in einem Staat alles machen? Sobald Google (später Microsoft) mit Kameras durch die Städte fuhr haben alle gejammert und gesagt, es sei eine Unverschämtheit, wo ist da die Privacy. Ein Trojaner im PC ist aber ok? Wir sollten lieber konsistent und gesetzestreu bleiben.

    Es gibt sicher Menschen, die sich in einer Umgebung wie im Buch "1984" beschrieben, wohl fühlen würden. Die würden auch akzeptieren, wenn man überall Kameras aufstellt und aufzeichnet, wie mal in Toiletten von Marktketten passiert ist.

Recent Posts

Bahn lässt Robo-Hund auf Graffitis los

In München läuft ein vierbeiniger Roboter durch die Abstellanlagen der S-Bahn und meldet Auffälligkeiten an…

10 Stunden ago

Positiver ROI ist das beste Argument für KI-Projekte

2023 war das Jahr des Experimentierens mit KI. 2024 zieht KI in den Arbeitsalltag ein,…

10 Stunden ago

Industrie 4.0-Adaption: China fast immer in der Pole Position

Laut Umfrage nutzen 94% der chinesischen Fertigungsunternehmen KI-basierte Lösungen. In der DACH-Region liegt der Vergleichswert…

1 Tag ago

Cybersicherheit: Deutsche Autobauer fahren hinterher

Laut Kaspersky-Umfrage hat kaum jeder zehnte den neuen UN-Standard WP.29 implementiert. Weiterer 28% haben noch…

1 Tag ago

BSI warnt vor kritischen Schwachstellen in Microsoft Exchange Server

Rund 17.000 Exchange-Server-Installation in Deutschland gelten als stark gefährdet. Sie werden entweder nicht mehr von…

1 Tag ago

Porsche eBike Performance setzt auf KI-gestützte Software

Die Porsche-Tochter hat mit Automatisierungsfunktionen und Bots in Freshservice den IT-Service automatisiert und skaliert.

2 Tagen ago