Ist Deutschland zum Schnüffelstaat geworden? Die Analyse eines möglichen Staatstrojaners durch den Chaos Computer Club (CCC) erschüttert das Vertrauen in die Ermittlungsbehörden. Politiker aller Parteien fordern Aufklärung, Internet-Aktivisten Konsequenzen. Unter dem Schlagwort 0zapftis diskutieren Internetnutzer auf Twitter die neuesten Entwicklungen - und zeigen sich entsetzt über die Enthüllungen des CCC. Die wichtigsten Fragen und Antworten zum Staatstrojaner.
Wie funktioniert ein Trojaner?
Trojaner sind Schadprogramme, die sich ohne das Wissen eines Computernutzers auf dessen PC einnisten. Kriminelle nutzen diese Software, um Passwörter abzufangen oder Online-Banking zu manipulieren. Verbreitet werden Trojaner meist über manipulierte E-Mails oder Lockangebote auf Websites. Folgt man einer solchen Aufforderung, nistet sich der Schädling auf dem eigenen Rechner ein.
Warum wollen Strafverfolgungsbehörden solche Programme nutzen?
Unter dem Eindruck der Terroranschläge vom 11. September 2001 hielten es Behörden und Politiker für fahrlässig, die technischen Möglichkeiten zur Überwachung nicht zu nutzen - obwohl sie sich damit in einer rechtlichen Grauzone bewegten.
Bereits 2005 soll der Verfassungsschutz private Computer ausgespäht haben. Das zuständige Bundesamt berief sich auf eine Dienstvorschrift, deren Änderung der damalige Innenminister Otto Schily (SPD) genehmigt hatte. Zwei Jahre später klagten Parlamentarier, das zuständige Kontrollgremium des Bundestags sei darüber nicht informiert worden - die Online-Durchsuchung verursachte einen ersten Skandal.
Ein Jahr später legte der damalige Innenminister Wolfgang Schäuble (CDU) dem Haushaltsausschuss des Bundestags ein "Programm für die Stärkung der inneren Sicherheit" vor, dass die Online-Durchsuchung als wichtigen Baustein im Kampf gegen den Terror vorsah. Nach den Landeskriminalämtern sollte auch das Bundeskriminalamt dazu bemächtigt werden, Internet-Telefonie abzuhören und "entfernte PC auf verfahrensrelevante Inhalte hin zu durchsuchen, ohne tatsächlich am Standort des Gerätes anwesend zu sein", wie es in dem Programm hieß.
Die schwarz-gelbe Landesregierung von Nordrhein-Westfalen ging im selben Jahr noch einen Schritt weiter und brachte ein Gesetz auf den Weg, um dem Landes-Verfassungsschutz den Einsatz der Online-Durchsuchung zu erlauben.
Erlaubt das Grundgesetz den Einsatz?
Unter Juristen ist die Verwendung von Trojanern seit jeher umstritten. Im Februar 2008 fällte das Bundesverfassungsgericht ein historisches Urteil, dass ein "Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme" formulierte - und der Ausspähung von privaten Computern klare Grenzen setzte. Oder besser gesagt: setzen sollte und soll.
Die Richter urteilten damals, die Online-Durchsuchung dürfte nur ausnahmsweise eingesetzt werden, wenn eine konkrete Gefahr für Leib und Leben bestehe oder der Bestand des Staats gefährdet sei.
Niedrigere Hürden setzte es für die Überwachung laufender Telekommunikation, also etwa das Abhören verschlüsselter Internet-Telefonate via Skype oder das Mitlesen verschlüsselter E-Mails. Um die Verschlüsselung zu umgehen, müsste der Staat eigentlich direkt am Computer sitzen. Für diese "Quellen-TKÜ" ist demnach der Einsatz eines Trojaners möglich - dieser muss aber so programmiert werden, dass er nur die Daten aus der laufenden Telekommunikation speichert.
Auf keinen Fall dürfe das Programm dazu genutzt werden, "einen Einblick in wesentliche Teile der Lebensgestaltung einer Person zu gewinnen oder gar ein aussagekräftiges Bild der Persönlichkeit zu erhalten", heißt es im Urteil. Auch müsse verhindert werden, dass der Trojaner von Dritten missbraucht werden könne.
Was kann der jetzt gefundene "Landestrojaner"?
Eigentlich dient das Programm - wie gerichtlich vorgeschrieben - dazu, Internet-Telefonate über Skype abzuhören. Das Problem: Die Software besitzt laut Chaos Computer Club (CCC), dem eine Festplatte mit dem Programm anonym zugespielt wurde, auch jene Spionagefunktionen, die vom Bundesverfassungsgericht verboten wurden. Über ihn lassen sich Programme nachladen, mit deren Hilfe sich die Kontrolle über einen Computer übernehmen lässt. So könnten Daten eingeschmuggelt werden, was es Strafverfolungsbehörden ermöglichen könnte, Verdächtigen Beweismaterial unterzuschieben.
Auch kann der PC komplett durchsucht oder das Gerät über Aktivierung von Mikrofon und Webcam zur Raum-Überwachung genutzt werden. Zudem ist das Anfertigen von Screenshots möglich - und damit das Eindringen in die Privatsphäre eines Nutzers.
Wer setzt den Trojaner ein?
Wer kann den Trojaner steuern?
Brisanter Code: Der gefundene Trojaner bringt Politiker in Erklärungsnot - vor allem bayerische Behörden müssen sich unangenehme Fragen gefallen lassen.
(Foto: dapd)Die Software wurde offenbar nicht nur mit versteckten Funktionen versehen, sondern auch unzureichend gesichert. Das ergab zumindest die Analyse des CCC, der von "Anfängerfehlern" spricht. Wer IT-Kenntnisse habe und das Programm kenne, könne die Software theoretisch knacken - und damit überwachte Bürger nochmals ausspionieren. "Dies bestätigt die schlimmsten Szenarien", schrieb CCC-Mitglied Frank Rieger in der Frankfurter Allgemeinen Sonntagszeitung.
Wer hat den Trojaner in Umlauf gebracht?
Das steht noch nicht fest - es ist noch nicht einmal klar, ob die gefundene Software überhaupt zum Einsatz gekommen ist. Nach Darstellung des Bundesinnenministeriums soll er von keiner Bundesbehörde eingesetzt worden sein. Bei der drei Jahre alten Software handle es sich nicht um einen "Bundestrojaner", sagte ein Sprecher von Innenminister Hans-Peter Friedrich (CSU). Allerdings sagt das noch nichts über den Einsatz auf Länderebene aus, dort sei jede Institution selbst für die Einhaltung "technischer und rechtlicher Vorgaben" verantwortlich.
Ein Anwalt der hessischen IT-Firma DigiTask hat sueddeutsche.de bestätigt, dass das Unternehmen dem bayerischen Landeskriminalamt die Basisversion einer solchen Software geliefert hat. Dass es sich um ein DigiTask-Produkt handeln könnte, lässt auch der Schriftwechsel zwischen der Firma und dem bayerischen Justizministerium vermuten, aus dem die Frankfurter Rundschau zitiert: Dort rät DigiTask, die Daten auf einen Server in Übersee zu übertragen - der Server, den der nun gefundene Trojaner ansteuert, steht in den USA.
Auch das bayerische Innenministerium hat inzwischen eingeräumt, dass "die dem CCC zugespielte Software einem Ermittlungsverfahren der Bayerischen Polizei aus dem Jahr 2009 zugeordnet werden kann." Innenminister Hermann sieht sich allerdings im Recht: Man wisse nicht, ob die Version tatsächlich eingesetzt wurde, die Quellen-TKÜ-Maßnahmen wurden vom bayerischen LKA "auf Antrag der zuständigen Staatsanwaltschaft mit richterlichem Beschluss in der vom Gericht beschlossenen Form umgesetzt."
Was ist über den Einsatz von Trojanern bekannt?
Ein Urteil aus dem Januar 2011 zeigt, dass das bayerische Landeskriminalamt beim Einsatz solcher Software offenbar seine Grenzen bereits mindestens ein Mal überschritten hat: Das Landgericht Landshut entschied, dass das Landeskriminalamt rechtswidrig handelte, als es heimlich alle 30 Sekunden Browser-Screenshots eines überwachten Computers aufnahm (pdf des Urteils hier).
Das sieht das bayerische Justizministerium offenbar anders: Auf eine Anfrage der Grünen-Abgeordneten Susanna Tausendfreund hatte Justizministerin Beate Merk (CSU) im April erklärt, dass Ermittlungsbehörden 2009 vier Mal einen "Bayerntrojaner" eingesetzt und dabei Zehntausende Screenshots aufgenommen hätten. Die Begründung: Die Legalität von Bildschirmaufnahmen sei noch nicht höchstinstanzlich geklärt, man werde aber darauf "hinwirken". Zu den aktuellen Enthüllungen gibt sich das Justizministerium wortkarg. Man habe die Quellen-TKÜ "in wenigen Fällen durchgeführt", heißt es in einer Erklärung. "Ob dabei Software eingesetzt wurde, wie sie der CCC entdeckt hat, kann derzeit nicht gesagt werden."
Erkennen Nutzer die Spionagesoftware?
Erkennen Nutzer die Spionagesoftware?
Vermutlich wird der Betroffene eben nicht merken, dass er sich dieses staatliche Schadprogramm eingefangen hat. Nach zwei internen Regierungsdokumenten, die 2007 dem Blog Netzpolitik.org zugespielt wurden, soll die sogenannte Remote Forensic Software nur einmal zum Einsatz kommen, so dass Antivirenprogramme keine Virendefinition erstellen können.
In dem Fall, dass der Trojaner doch von einem Antivirenprogramm entdeckt und entfernt wird, soll zudem kein Rückschluss auf die Behörden möglich sein. Laut der Papiere soll sich die Software nach dem Transfer der relevanten Daten deinstallieren - entweder von selbst oder durch einen erneuten Eingriff von außen.
Wie reagiert die Bundesregierung auf den Fund?
Obwohl es sich nicht um einen Bundestrojaner handeln soll, ließ Bundeskanzlerin Angela Merkel (CDU) über ihren Sprecher ausrichten, sie nehme die Vorwürfe des CCC sehr ernst.
Der Vorsitzende des Bundestags-Innenausschusses, Wolfgang Bosbach, nannte die Vorwürfe des CCC gravierend, jedoch müssen die Experten seiner Meinung nach konkreter werden. Der CDU-Politiker räumte ein, dass einigen Mitgliedern des Innenausschusses einmal eine Software vorgeführt worden sei, die dem angeblichen Bundestrojaner ähnele. Man sei sich aber schnell einig gewesen, das Programm nicht zu kaufen. Grundsätzlich seien heimlich installierte Computerprogramme für die Ermittlungsarbeit aber unverzichtbar.
Um Aufklärung bemüht zeigten sich der Bundesdatenschutzbeauftragte Peter Schaar, der eine Überprüfung der Software ankündigte, sowie Bundesjustizministerin Sabine Leutheusser-Schnarrenberger. Die FDP-Politikerin versprach "totale Transparenz und Aufklärung".
Linktipps:
[] Der damalige Bundesverfassungsrichter Wolfgang Hoffmann-Riem erklärt im Interview mit der Frankfurter Allgemeinen Zeitung, wie es 2008 zu dem Urteil kam - und warum er es noch einmal genauso fällen würde.
[] Telepolis über die Antwort von Bayerns Justizministerin Beate Merk auf die Anfrage zum "Bayerntrojaner".
[] Das Urteil des Bundesverfassungsgericht - online zum Nachlesen.