Gläsern, durchschaubar, transparent sollten ja eigentlich die anderen sein, wenn es nach der Firma Finfisher GmbH aus München ginge. Wobei "die anderen" Kriminelle sein können oder Aktivisten, politisch Engagierte, Andersdenkende oder auch einfach nur x-beliebige Bürger. Je nachdem, wen Finfishers Kunden eben überwachen wollen.
Die Firma stellt Überwachungssoftware im großen Stil her, sie gehört zum Firmenverbund Gamma Group. Der wiederum steht regelmäßig in der Kritik, auch weil unter anderem diese Zeitung darüber berichtet hat, dass seine Überwachungssoftware wohl auch an Staaten verkauft wird, in denen Menschenrechtsverletzungen alltäglich sind. Unter anderem sollen die Produkte in Ägypten und Bahrain aufgetaucht sein, doch auch das Innenministerium Bundesrepublik Deutschland steht mit dem "Bundestrojaner" auf der Kundenliste.
Jetzt aber ist Finfisher selbst ins Scheinwerferlicht gezerrt worden von einem anonymen Whistleblower, der in den vergangenen Tagen gleich mehrere geheime Dokumente der Firma öffentlich gemacht hat. Der Whistleblower meldet sich regelmäßig über Twitter, wo er ironischerweise den Nutzernamen @GammaGroupPR gewählt hat. Der Blog netzpolitik.org hat die Dokumente ebenfalls veröffentlicht. Finfisher in München verweigert telefonisch eine Stellungnahme und antwortet nicht auf E-Mails. Aufgrund von Layout, Inhalt, Beschaffenheit und Umfang ist aber davon auszugehen, dass die Dokumente authentisch sind.
Und der Inhalt hat es in sich. Vier PDF-Dokumente, drei Videos und drei Tabellen hat der Unbekannte bislang veröffentlicht. Am Mittwoch dann der jüngste Streich: eine grafische Darstellung, die jene Länder zeigen soll, aus denen Besucher der Support-Seite von Finfisher kommen. In aller Regel klicken Kunden, die Probleme mit einem erworbenen Produkt haben, diese Seite an. Die Angaben sind prozentual dargestellt und können theoretisch Zufallsbesucher enthalten. Doch sehr verlässlich kommt über Jahre hinweg Besuch aus China, im Mai 2014 auch aus der Ukraine, im Juli 2012 stammten viele Besucher aus den Vereinigten Arabischen Emiraten, immer wieder sind Thailand, die USA und auch Deutschland gelistet.
Die Statistiken zeigen nebenbei: Der Whistleblower oder seine Helfer haben Zugriff auf Webserver und interne Statistiken von Finfisher. Ein kleiner Edward Snowden.
Finspy 3.0 - der Traum des Überwachungsstaates
Aufschlussreich ist auch die 128 Seiten umfassende Bedienungsanleitung für die Software FinSpy 3.0 im PDF-Format. Sie ist der Traum des Überwachungsstaates. Detailliert beschreibt das um viele Screenshots ergänzte Dokument, wie Skype-Gespräche abgehört, Webcam-Aufnahmen mitgeschnitten, wie Passwörter aller Art ausgelesen, Tastatureingaben mitgeschnitten, wie Virenschutz- und Firewalls generell ausgehebelt werden können und wie Verschlüsselungen geknackt beziehungsweise umgangen werden können.
Die allermeisten Finfisher Produkte funktionieren offenbar nach dem Trojaner-Prinzip. Dabei wird der Computer, das Tablet oder das Handy der Zielperson mit einem kleinen Programm verseucht, das die Überwachung ermöglicht. Man nennt solche Programme Schadsoftware oder Trojaner. Die zur Verfügung stehenden "Target Options", also die Möglichkeiten, einen Computer abhörbereit zu machen, sind so aggressiv, dass auch starke und immer wieder empfohlene Schutzmaßnahmen problemlos umgangen werden.
Eine Excel-Tabelle listet explizit zahlreiche am Markt vorhandene und bekannte Antiviren- und Anti-Trojaner-Programme hinsichtlich der Frage, ob sie Finfisher-Spionagesoftware wie zum Beispiel "Full Vista W7 USER Infection" erkennen und den Nutzer warnen. Das Ergebnis scheint für das Überwachungsunternehmen sehr zufriedenstellend zu sein. Avira, Avast und Kaspersky, einige der bekanntesten Schutzprogramme, sind offenbar längst ausgetrickst.
Videos zeigen, wie leicht es ist, einen Computer zu verseuchen
Die Videos wiederum zeigen, wie leicht es ist, einen Computer zu verseuchen. Wer Finfisher-Kunde ist, muss dafür keinen Zugang zum gewünschten Rechner haben. Die Videos zeigen zunächst Aufnahmen eines Bildschirms.
Der Nutzer, dessen Handlungen gefilmt werden, öffnet eine PDF-Datei oder eine Webseite, die von Finfisher präpariert wurde. Es öffnen sich ganz normal die PDF-Datei und die Webseite, aber zeitgleich auch der Windows-Taschenrechner. Das geschieht zu Demozwecken, das PDF-Dokument oder die Webseite hätten anstelle des Taschenrechners auch jedes andere Programm öffnen können, zum Beispiel eines, das alle Daten auf dem Computer kopiert und verschickt, eines, das die Spionagesoftware installiert oder - denkt man an die Computer in einem Atomkraftwerk oder einem Flugzeug - eines, das eine Katastrophe verursacht.
Zahlreiche Listen im Excel-Format zeigen die Funktionen der verschiedenen Finfisher-Produkte. Hier wird vor allem auf den deutschen Markt gezielt. Aufgeführt sind zum Beispiel die Testergebnisse für die Software FinSpy Mobile 4.51, die mit zahlreichen Handymodellen, darunter HTC, Samsung, Blackberrys, auch mit Windows- und Symbian-Telefonen und mit sämtlichen iPhones ausprobiert wurde.
Dazu kommen verschiedene Provider darunter Vodafone, T-Mobile und O2 und Betriebssystemversionen der Handys. Jede Kombination wird in dem Dokument akribisch nach Abhörmöglichkeiten beurteilt, sofern Finfisher-Produkte eingesetzt werden. Auch hier darf sich die Firma selbst ein ziemlich gutes Zeugnis ausstellen. Die allermeisten Kombinationen funktionieren gut, ganz egal ob es sich um SMS mitlesen/abfangen, Anruflisten speichern, Adressbuch aufnehmen, E-Mails abfangen, Gespräche mithören, Whatsapp-Nachrichten lesen, Standort des Handys ermitteln oder die Installation weiterer Schadsoftware handelt.
FinFisher verkauft seine Produkte als Lösunge für Geheimdienste
Finfisher verkauft den Broschüren zufolge diese Produkte als "Lösungen für Sicherheitsbehörden und Geheimdienste". Es sind aber auch Programme, die Bürgerrechte und Menschenrechte problemlos aushebeln können. In Diktaturen kann ihr Einsatz für ihre Opfer tödlich sein.
Der Preis der Freiheit ist günstiger, als man denken könnte. Ein weiteres Dokument führt die Preise auf, die Finfisher für seine Spionagesoftware verlangt. Sets für den Anfängeragenten bestehend aus Hardware wie Antennen und Software beginnen circa bei niedrigen 10 000 Euro, können sich aber "für 31 bis 150 Ziele" auch schnell im Bereich von mehreren Hunderttausend Euro bewegen. Auch der Support kann sich noch zu ähnlichen Summen addieren. Für Staaten, die über ihre Bürger ein bisschen besser Bescheid wissen wollen, sind das Spesen.