piwik no script img

Streit um den StaatstrojanerZehn Jahre veraltete Technik

Offenbar testen Behörden ihre Staatstrojaner nicht vor dem Einsatz - oder die Tester sind inkompetent. Netzaktivisten und Informatiker fordern nun eine unabhängige Prüfinstanz.

Unsichere Schadsoftware: Wurde der Staatstrojaner überhaupt getestet? Bild: dpa

BERLIN taz | Warum benutzte das bayrische Landeskriminalamt mangelhaft gesicherte Trojaner für die Onlineüberwachung? Die Frage bleibt weiterhin ungeklärt. Im Bericht von vergangener Woche hatte der CCC die simple Verschlüsselung der staatlichen Schadsoftware stark kritisiert. Die Behörde wies den Vorwurf zurück. Allerdings geht auch die Gesellschaft für Informatik davon aus, dass die Technik mindestens zehn Jahre veraltet war.

Der sogenannte „Bayerntrojaner" aus dem Jahr 2009 verfügte über die simpelste und unsicherste Art der Verschlüsselung, so die Analyse des CCC. Die Kommunikation mit dem ausländischen Server des LKA sei dagegen gänzlich unverschlüsselt gewesen. „Wir haben nur wenige Tage gebraucht, um dem Trojaner vorzugaukeln, wir seien der Kommandoserver“, sagt Constanze Kurz vom CCC.

„Dass die Verschlüsselung der Datenströme mangelhaft gewesen sein soll, stellen wir in Frage“, sagte ein Sprecher der Behörde der taz. Die Software sei sicher gewesen, versichert die Behörde und verweist auf eigene Tests durch hausinterne Informatiker. Der Hersteller Digitask, dagegen verschanzt sich hinter dem Satz: „Wir haben damals den Stand der Technik geliefert“.

BKA widerspricht Innenministerium

Doch Experten bezweifeln beide Aussagen. „Hätte man nur einmal in den Quellcode der gelieferten Software hineingeschaut, wäre klar gewesen, dass sie leicht angreifbar ist", sagt Constanze Kurz. Sie glaubt nicht, dass die Software getestet wure – andernfalls habe man sich gegen das Programm entscheiden müssen. Auch Hartmut Pohl, der Sprecher des Arbeitskreises Informationssicherheit der Gesellschaft für Informatik sagt: „Ich habe meinen Partnern schon vor zehn Jahren bessere Verschlüsselungen empfohlen.“ Soll es also Tests durch die Behörde gegeben, muss die Qualität ihrer Experten angezweifelt werden.

Auch auf Bundesebene ist unklar, wie staatliche Spionagesoftware ausgewählt und getestet wird und selbst deren Sprecher scheinen die eigene Behörden nicht zu kennen. Am Mittwoch sagte der Sprecher des Bundesinnenministeriums, Jens Teschke, den Bundesbehörden mangele es an Kompetenzen, um eigene Tests zu entwickeln. Dem widersprach jedoch das Bundeskriminalamt auf taz-Anfrage heftig. Man habe eigene Experten, die eigene Tests durchführten, so eine Sprecherin. Sie wundere sich über die Äußerungen der übergeordneten Behörde. Am Freitag nahm dann auch das Innenministerium die Aussage ihres Sprechers zurück.

Unabhängige Prüfbehörde gefordert

Ob des Chaos fordern Netzaktivisten, Informatiker und die Piratenpartei eine neue Prüfinstanz. Laut taz-Information wurde das Bundesamt für Sicherheit in der Informationstechnik mit seinen rund 550 Informatikern, Physikern und Mathematikern 2008 bereits einmal informell angefragt. Doch da das Amt sich lieber dem Schutz des Privatbürgers widmet, lehnte es ab.

„Es muss ein unabhängiges Kontrollgremium für alle staatlich veranlassten verdeckten Ermittlungen geben“, sagte der Vizevorsitzender der Partei, Bernd Schlömer, der taz. Hartmut Pohl von der Gesellschaft für Informatik fordert, diese bei bestehenden Behörden wie den Datenschutzbeauftragten des Bundes und der Länder anzusiedeln. „Diese Juristen und Techniker könnten dann endlich dafür sorgen, dass rechtlich und technisch fragwürdige Programme gar nicht erst bestellt werden“.

taz lesen kann jede:r

Als Genossenschaft gehören wir unseren Leser:innen. Und unser Journalismus ist nicht nur 100 % konzernfrei, sondern auch kostenfrei zugänglich. Texte, die es nicht allen recht machen und Stimmen, die man woanders nicht hört – immer aus Überzeugung und hier auf taz.de ohne Paywall. Unsere Leser:innen müssen nichts bezahlen, wissen aber, dass guter, kritischer Journalismus nicht aus dem Nichts entsteht. Dafür sind wir sehr dankbar. Damit wir auch morgen noch unseren Journalismus machen können, brauchen wir mehr Unterstützung. Unser nächstes Ziel: 40.000 – und mit Ihrer Beteiligung können wir es schaffen. Setzen Sie ein Zeichen für die taz und für die Zukunft unseres Journalismus. Mit nur 5,- Euro sind Sie dabei! Jetzt unterstützen

Mehr zum Thema

9 Kommentare

 / 
  • GP
    Gift Piltz

    Zehn Jahre veraltete Technik. Wieso? Für manchen noch in den 90er des letzten Jahrtausend eingestellten Tester mit der Kompetenz Radio- und Fernsehklempner war das doch neu.

    Erschreckend ist, dass die geringe technische Kompetenz der Vorgesetzten, die nicht rechtzeitig umgesteuert und diese Leute aufs Altenteil geschoben haben.

  • MS
    mr spock

    ...ich verstehe diesen begriffs-wirrwar nicht: ein sog. "trojaner" (eigentlich richtig ein "trojanisches pferd" - der trojaner ist ja nur der bewohner der stadt troja...) ist ein scheinbar nützliches programm oder tool, dass ich mir freiwillig auf meinen rechner hole / installiere, weil es einen nutzen anbietet oder einfach nur witzig ist, wohinter sich aber eine täuschung versteckt, da mich das programm ab jetzt ausforscht und überwacht oder sonstwas an unfug anrichtet. insofern ist der begriff "staatstroianer" vollkommen verkehrt...

     

    mr.spock

  • K
    Klara

    ...oder dass alles ist ein gesteuerter Fake... der wirkliche Trojaner auf unseren Rechnern nicht aufspürbar...

  • F
    FMH

    @ Egge

    Diese Einschätzung ist wohl eher falsch, da die fehlende Verschlüsselung ja nicht die funktionalität beeinträchtigt hat, sondern nur jedem Interessierten den Zugang zu den Daten ermöglicht hat. Man mag sich gar nicht ausdenken, was das im Bereich der organisierten Kriminalität bedeuten kann.

  • E
    Egge

    Man bloß gut, daß Staaten alle so unfähig sind. Man stelle sich doch nur vor, sie könnten wirklich gute und gefährliche Programme schaffen!

  • J
    jps-mm

    Das muss man sich auf der Zunge zergehen lassen

     

    "Er räumte ein, im Zuge der Ermittlungen seien sogenannte Screenshots, also Fotoaufnahmen vom Bildschirm, gemacht worden. Darüber sei aber "in den letzten Monaten im Landtag wiederholt berichtet worden". Das sei weder etwas Neues noch ein Geheimnis, sagte der Innenminister."

     

    Dazu fällt mir nichts mehr ein!

    Imgrunde heißt es doch, der gesamte Landtag handelt völlig bewusst gegen die Verfassung! Man macht sich nicht einmal mehr die Mühe es abzustreiten, oder die Schuld auf andere bzw. untere Stufen zu verlagern.

    Was ist das denn bitte für eine Argumentation? Aus Unrecht wird noch lange kein Recht, nur weil viele Menschen daran beteiligt sind bzw davon wussten!

    Der Verfassungsschutz sollte nicht nur auf Herrn Herrmann ein Auge werfen, sondern auf den gesamten bay. Landtag. Es ist mir unbegreiflich, wie jemand, der eine solche Stellungnahme verfasst, sich überhaupt noch eine Nacht im Amt halten kann!

     

    http://www.zeit.de/digital/datenschutz/2011-10/staatstrojaner-bayern-hermann?commentstart=41#comments

  • J
    jps-mm

    Neue Form der Staatskriminalität

     

    Spähen, lauschen, infiltrieren: Staatstrojaner verwandeln den privaten PC in eine staatliche Spionageanlage. Eine solche Computerwanze ist ein Hohn auf alles, was das Bundesverfassungsgericht zum Schutz der Privatheit geschrieben hat.

     

    Wenn die Wanze einmal auf dem Rechner ist, dann ist sie da. Und was sie dann dort macht, ist schwer zu kontrollieren. Die staatlichen Wanzen, die in bisher noch nicht bekanntem Umfang eingesetzt wurden, können offenbar all das, was das Recht und das Bundesverfassungsgericht verboten haben: spähen, lauschen, infiltrieren; sie können den Personal Computer in eine Spionagezentrale wider seinen Nutzer verwandeln.

     

    Der Staat liest mit - und nicht nur das: Mithilfe eines Trojaners können die Sicherheitsbehörden auch das Mikrofon und die Webcam am PC einschalten und sogar einen Programminhalt einschleusen, von dem der Betroffene keine Ahnung hat. Die Spionage-Wanze, vornehm Staatstrojaner genannt, macht also aus dem Personal Computer einen digitalen Doppelagenten: Der PC arbeitet erstens, wie es sich gehört, für seinen Besitzer. Und er arbeitet zweitens, wie es sich nicht gehört, für den, der den Trojaner geschickt hat - für Geheimdienst oder Polizei. Der Staat liest mit; und nicht nur das: Er kann am PC das Mikrofon und die Web-Kamera einschalten und sogar einen Programminhalt einschleusen, von dem der Betroffene keine Ahnung hat.

     

    Eine solche Computerwanze ist ein Hohn auf alles, was das Bundesverfassungsgericht zum Schutz der Privatheit geschrieben hat. Wenn Behörden solche Trojaner in Auftrag geben und sie benutzen, handelt es sich um eine neue Form der Staatskriminalität. Behörden, die so agieren, dringen nicht nur illegal in den PC und die Privat- und Intimsphäre des Bürgers ein; sie brechen auch ein in das von den Verfassungsrichtern geschützte Haus der Verfassung.

     

    http://www.sueddeutsche.de/digital/staatliche-daten-spionage-trojaner-fressen-grundrecht-auf-1.1158728

  • DF
    Dirk Fleischmann

    Die Aussage, der "Bundestrojaner" verwende veraltete Verschlüsselungstechnik darf man so nicht stehen lassen. Das Verfahren, das laut der CCC-Analyse verwendet wurde ("AES") ist ein gängiges Standardverfahren, mit dessen Hilfe z.B. auch Onlinebanking-Transaktionen verschlüsselt werden*. Aus den Analysen des Clubs geht jedoch hervor, dass die Daten unter verwendung des sogenannten EBC-Modus verschlüsselt wurden**. Das spricht dafür, dass den Entwicklern des Programmes die ausreichende Sachkunde im Bereich der Kryptographie fehlt und genau das hat der CCC in seiner Analyse ja auch kritisiert, denn dabei handelt es sich um elementare Inhalte des Informatikstudiums. Leider ist dies jedoch bei weitem keine Ausnahme in der IT-Landschaft. Deswegen verwundert es nicht, dass auch die hausinternen Informatiker des BKA keine Sicherheitsprobleme festgestellt haben.

     

    Dass das BSI sich aus der Sache lieber heraus hält, ist nicht verwunderlich. Schließlich ist der vormals exzellente Ruf des Bundesamt in der Branche mittlerweile schwer angeschlagen. Vor allem seit der Bestätigung der Sicherheit der neuen Reisepässe munkelt man, dass die Politik das BSI nun letztlich doch an die kurze Leine genommen hat.

     

    ---

     

    *) Das Verfahren "AES" (Advanced Encryption Standard) ist eine Variante des sogenannten Rijndael-Algorithmus. Leider hat sich das amerikanische Institut für Normung (NIST) dafür entschieden, bei AES auf wichtige Sicherheitsmerkmale des Rijndael-Verfahrens zu verzichten. Eine stichhaltige offizielle Begründung hat es dafür meines Wissens nach nie gegeben. AES dient heutzutage als Standardverfahren für die Verschlüsselung von Nutzdaten insbesondere bei der Datenübertragung über das Internet (z.B. per HTTPS).

     

    **) Bei der Verschlüsselung per AES wird der zu verschlüsselte Text in Blöcke zu jeweils 128 Byte aufgeteilt. Das entspricht in der Regel 128 Buchstaben. Normalerweise wird zum Verschlüsseln der sogenannte CBC-Modus ("Cipher Block Chaining"-Modus) Verwendet. Dabei zunächst der erste Block verschlüsselt. Der verschlüsselte Block wird dann mit dem zweiten Block verschränkt (verrechnet), bevor dieser verschlüsselt wird. Der zweite verschlüsselte Block wird dann mit dem dritten verschränkt, bevor jener verschlüsselt wird und immer so fort. Das führt neben weiteren Maßnahmen dazu, dass jeder Block des verschlüsselten Textes von allen seinen Vorgängern abhängig ist und verhindert damit bestimmte Analysemethoden. Die Entwickler der Firma Digitask verwenden nach den Analysen jedoch den sogenannten EBC-Modus ("Electronic Codebook"-Modus). In diesem Modus werden alle Blöcke einzeln verschlüsselt, ohne diese miteinander zu verschränken. Der CCC bezeichnet diese Art der Verwendung mit Recht als "Placebo-Modus" und Digitask wird wohl nicht umhin kommen, sich für diese grobe Verfehlung zu rechtfertigen.

  • KD
    Krone des Blödsinns

    Trojaner sind 3000 Jahre alt und schon lange eliminiert, können also nicht veraltet sein. Oder redet ihr von streikenden Griechen, die mit ihren Panzern den Kapitalismus schlachten werden?