Wie kommt der Bundestrojaner auf den PC: Mit Emails und Viren

Der Einbruch in Wohnungen zwecks Installation von Spionagesoftware ist erstmal vom Tisch. Doch dem Staat bleiben noch ander Möglichkeiten, um verdächtige Rechner auszuspionieren.

Möglichkeiten zur Installation des Bundestrojaners gibt es auch ohne physikalischen Zugriff auf den Rechner genug. Bild: dpa

Wenn es nach CDU-Bundesinnenminister Wolfgang Schäuble gegangen wäre, hätten es die Kriminalitäts- und Terrorbekämpfer in den deutschen Behörden in Sachen Online-Durchsuchung besonders einfach gehabt: Per klandestinem Eindringen in die Behausung des Verdächtigen hätten sich die Beamten an dessen Rechentechnik gemacht, um Schnüffelprogramme gleich vor Ort zu installieren. Nun wurde jedoch ein Kompromiss mit SPD-Bundesjustizministerin Brigitte Zypries beim Gesetzentwurf erzielt, der diese schwerwiegende Verletzung von Privatsphäre und der Unverletzlichkeit der Wohnung ausschließt. Heimlich einbrechen dürfen die Beamten nun für den so genannten Bundestrojaner dann doch nicht.

Zum "zahnlosen Tiger" mutiert die hochumstrittene Internet-Durchsuchung von PCs aber trotzdem nicht. Zwar wollen sich SPD und CDU streng an die "hohen Hürden" halten, die das Bundesverfassungsgericht im März für die Rechnerrazzia setzten, darunter die Beschränkung auf bestimmte Straftaten. Doch Möglichkeiten zur Installation des Bundestrojaners gibt es auch ohne physikalischen Zugriff auf den Rechner genug. Je nach Methode bleiben die Erfolgschancen Experten zufolge hoch, haben aber auch viel damit zu tun, wie stark der Verdächtige sein System persönlich abgedichtet hat und wie vorsichtig er vorgeht.

Die Berichte, die derzeit in Sachen Durchführung der Operation "Behördliche Rechnerspionage" kursieren, nennen unterschiedliche Methoden. Die simpelste kennt wohl jeder Windows-Nutzer ausreichend gut: Das Verschicken von Schadcode, also Programmen, mit denen die Ermittler die Arbeit am Rechner und seine Inhalte untersuchen können, per Email. Dabei wird der Bundestrojaner einfach an ein Stück elektronische Post angehängt, die den Nutzer möglichst interessiert. Klickt er den Anhang dann an, wird die Spionagesoftware installiert.

Um dies auch sicherzustellen, könnte der Bundestrojaner auch in offiziellen Behördenschreiben stecken, da diese ungefährlich auf den Nutzer wirken - eine Idee, die allerdings in den Amtsstuben zum Teil deutlich abgelehnt wird, weil so das Vertrauen in das noch junge Pflänzchen "E-Goverment", ein Bündel staatlicher Internet-Dienstleistungen, erschüttert würde. Haben die Beamten jedoch Vorermittelungen durchgeführt, könnten sie das Schadcode-Schreiben beispielsweise genau auf die Person des Verdächtigen abstimmen, beispielsweise einen seiner Freunde imitieren und eine E-Mail-Absenderadresse fälschen.

Der direkte Hackangriff auf den Rechner des Auszuforschenden bleibt ebenfalls möglich. Dies ist ein weites Feld - von der Ausnutzung noch geheimer Sicherheitslücken, von denen die Behörden wie auch immer vorab Kenntnis erhalten, bis hin zur schlichten Verwendung bekannter Software-Löcher, die der Verdächtige noch nicht gestopft hat, weil er zu faul war, regelmäßig Windows-Updates durchzuführen. Ebenfalls möglich wäre eine Zusammenarbeit mit den Herstellern von Sicherheitsprogrammen und Anti-Viren-Lösungen, die für den Staat dann Lücken lassen müssten - ob die mitziehen, ist jedoch unklar.

Besonders erfolgversprechend ist eine Hackmethode in Verbindung mit dem Internet-Anbieter des Auszuforschenden: Auf diesen haben die Behörden schon jetzt per Telekommunikationsüberwachung Zugriff. (Wobei die Befugnisse womöglich erweitert werden müssen, die Rechtsgelehrten sind sich hier uneins.) Bei dieser Methode wird der Datenverkehr hin zum Rechner des Verdächtigen derart manipuliert, dass dieser sich den Schadcode etwa in Verbindung mit dem Download einer harmlosen Software auf den PC bugsiert. Der Vorteil: Niemand bemerkt es, weil man ja selbst nur gewünschte Aktionen durchführt und der Datenintegrität, die der Internet-Provider liefert, vertraut.

Einmal zahlen
.

Fehler auf taz.de entdeckt?

Wir freuen uns über eine Mail an fehlerhinweis@taz.de!

Inhaltliches Feedback?

Gerne als Leser*innenkommentar unter dem Text auf taz.de oder über das Kontaktformular.

Wir würden Ihnen hier gerne einen externen Inhalt zeigen. Sie entscheiden, ob sie dieses Element auch sehen wollen.

Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.

Bitte registrieren Sie sich und halten Sie sich an unsere Netiquette.

Haben Sie Probleme beim Kommentieren oder Registrieren?

Dann mailen Sie uns bitte an kommune@taz.de