Chaos Computer Club warnt: Fieser Geselle Bundestrojaner
Die von den Ermittlungsbehörden genutzte Schnüffelsoftware verursacht Sicherheitslücken bei den betroffenen Computern. Und sie kann mehr als das Bundesverfassungsgericht erlaubt.
BERLIN dpa | Dem Chaos Computer Club (CCC) ist nach eigenen Angaben eine "staatliche Spionagesoftware" zugespielt worden, die von Ermittlern in Deutschland zur Überwachung von Telekommunikationsverbindungen eingesetzt wird. "Die untersuchten Trojaner können nicht nur höchst intime Daten ausleiten, sondern bieten auch eine Fernsteuerungsfunktion zum Nachladen und Ausführen beliebiger weiterer Schadsoftware", teilte der Verein am Samstagabend in Berlin mit.
Der CCC warf den Sicherheitsbehörden vor, aufgrund von groben Design- und Implementierungsfehlern in der Software entstünden "eklatante Sicherheitslücken in den infiltrierten Rechnern, die auch Dritte ausnutzen können". Die Telekommunikationsüberwachung an der Quelle, kurz als Quellen-TKÜ bezeichnet, soll eine Möglichkeit bieten, die Kommunikation über das Internet abzuhören, bevor sie für den Weg durchs Netz verschlüsselt wird.
Ein Sprecher des Bundesinnenministeriums bestätigte auf Anfrage, dass Software-Lösungen für eine Quellen-TKÜ verfügbar seien, sowohl für die Bundesbehörden als auch auf Landesebene. "Für den Einsatz dieser Software gibt es gesetzliche Grundlagen, die beim Einsatz beachtet werden müssen", sagte der Sprecher. Für Ermittlungen auf Bundesebene sei hier etwa das BKA-Gesetz relevant. Außerdem gibt es in einigen Bundesländern Regelungen zum Einsatz der Quellen-TKÜ.
Die Bestrebungen für eine Online-Durchsuchung bei Verdächtigen reichen ins Jahr 2005 zurück, in die Amtszeit des damaligen Bundesinnenministers Otto Schily (SPD). Danach setzte unter dem Schlagwort "Bundestrojaner" eine heftige Debatte über die Zulässigkeit solcher Eingriffe in die Privatsphäre des persönlichen Computers ein.
Das Bundesverfassungsgericht setzte im Februar 2008 hohe rechtliche Hürden für Online-Durchsuchungen. Das heimliche Ausspähen eines Computer-Anwenders zur Gefahrenabwehr ist demnach nur dann zulässig, wenn es eine klare gesetzliche Regelung dafür gibt. Außerdem muss die Aktion der "Abwehr einer konkreten Gefahr für ein überragend wichtiges Rechtsgut" dienen. Weiterhin muss die Aktion durch einen Richter angeordnet werden.
Wie das Password 1234
Der Chaos Compuzter Club erklärte, die nun aufgetauchte Software ermögliche einen viel weitergehenden Angriff. In einer Analyse des Programmcodes ("Binärcodes") seien Funktionen entdeckt worden, "die über das Abhören von Kommunikation weit hinausgehen und die expliziten Vorgaben des Verfassungsgerichtes verletzen".
So könne der "Trojaner" über das Netz weitere Programme nachladen und ferngesteuert ausführen. "Eine Erweiterbarkeit auf die volle Funktionalität des Bundestrojaners - also das Durchsuchen, Schreiben, Lesen sowie Manipulieren von Dateien - ist von Anfang an vorgesehen." Sogar ein digitaler großer Lausch- und Spähangriff sei möglich, indem ferngesteuert auf das Mikrofon, die Kamera und die Tastatur des Computers zugegriffen werde.
Im Rahmen des Tests habe der CCC eine Gegenstelle für den Trojaner geschrieben, mit deren Hilfe Inhalte des Webbrowsers per Bildschirmfoto ausspioniert werden konnten - inklusive privater Notizen, E-Mails oder Texten in webbasierten Cloud-Diensten. "Wir waren überrascht und vor allem entsetzt, dass diese Schnüffelsoftware nicht einmal den elementarsten Sicherheitsanforderungen genügt", sagte ein CCC-Sprecher.
Der Trojaner nehme Befehle ohne jegliche Absicherung oder Authentifizierung entgegen. Selbst einfache Absicherungen, wie beim Online-Banking oder bei Flirtportals üblich, gebe es nicht. Es sei für einen beliebigen Angreifer ohne weiteres möglich, die Kontrolle über einen von deutschen Behörden infiltrierten Computer zu übernehmen. "Das Sicherheitsniveau dieses Trojaners ist nicht besser, als würde er auf allen infizierten Rechnern die Passwörter auf "1234" setzen."
taz lesen kann jede:r
Als Genossenschaft gehören wir unseren Leser:innen. Und unser Journalismus ist nicht nur 100 % konzernfrei, sondern auch kostenfrei zugänglich. Texte, die es nicht allen recht machen und Stimmen, die man woanders nicht hört – immer aus Überzeugung und hier auf taz.de ohne Paywall. Unsere Leser:innen müssen nichts bezahlen, wissen aber, dass guter, kritischer Journalismus nicht aus dem Nichts entsteht. Dafür sind wir sehr dankbar. Damit wir auch morgen noch unseren Journalismus machen können, brauchen wir mehr Unterstützung. Unser nächstes Ziel: 40.000 – und mit Ihrer Beteiligung können wir es schaffen. Setzen Sie ein Zeichen für die taz und für die Zukunft unseres Journalismus. Mit nur 5,- Euro sind Sie dabei! Jetzt unterstützen
meistkommentiert
Anschlag in Magdeburg
Bis Freitag war er einer von uns
Elon Musk und die AfD
Die Welt zerstören und dann ab auf den Mars
Anschlag in Magdeburg
Der Täter hat sein Ziel erreicht: Angst verbreiten
Tarifeinigung bei Volkswagen
IG Metall erlebt ihr blaues „Weihnachtswunder“ bei VW
Exklusiv: RAF-Verdächtiger Garweg
Meldung aus dem Untergrund
Bundestagswahl 2025
Parteien sichern sich fairen Wahlkampf zu