Securityforum

Zwei Programmierstellen für den "Bundestrojaner"
In ihrer Antwort (PDF) auf eine Kleine Anfrage der Fraktion "Die Linke" zur Rechtmäßigkeit von Online-Untersuchungen hat die Bundesregierung erstmals Details zum geplanten "Bundestrojaner" veröffentlicht. Als "Bundestrojaner" wird inoffiziell der Teil eines Programmes bezeichnet, der Spyware-Code auf einen PC einschleust, damit eine Online-Durchsuchung durch die Strafverfolgungsbehörden oder Geheimdienste möglich ist.

Nach Auskunft der Bundesregierung sind für die Programmierung der Software zwei Programmierstellen notwendig, die teils aus laufenden Mitteln, teils von Mitteln aus dem Programm zur Stärkung der Inneren Sicherheit bezahlt werden. Insgesamt soll das Tool zur Online-Durchsuchung nicht mehr als 200.000 Euro kosten.

Zur Frage der Rechtmäßigkeit einer solchen Rechnerdurchsuchung verweist die Bundesregierung auf die Auseinandersetzung, die derzeit am Bundesgerichtshof (BGH) geführt wird. Anfang Dezember hatte ein Ermittlungsrichter am BGH Online-Durchsuchungen verboten. Unmittelbar nach Bekanntwerden des Urteils hatte die Generalbundesanwältin Harms Beschwerde gegen das Urteil eingelegt. Über diese Beschwerde ist noch nicht verhandelt worden. Sollte der Beschwerde nicht stattgegeben werden, "wird zu prüfen sein, ob ein gesetzgeberischer Handlungsbedarf für eine spezielle Ermittlungsbefugnis der Strafverfolgungsbehörden besteht", lautet die Auskunft der Bundesregierung.

Insgesamt lässt die Antwort der Bundesregierung keinen Zweifel daran, dass die Online-Durchsuchung ein unverzichtbares Instrument der Strafverfolger und Verfassungsschützer sein wird. Als Vorteil gegenüber einer "offenen Durchsuchung" eines Rechners vor Ort wird die Tatsache genannt, dass die Beschuldigten keine Kenntnis von den gegen sie geführten Ermittlungen haben und damit nicht die "Aufdeckung von Täterstrukturen" erschweren oder gar vereiteln können. "Während eine 'offene' Durchsuchung regelmäßig eher am Ende eines Ermittlungsverfahrens steht, kann die Online-Durchsuchung in einem Stadium, in dem das Ermittlungsverfahren dem Beschuldigten noch nicht bekannt ist, dazu dienen, Ermittlungsansätze auch im Hinblick auf weitere Tatbeteiligte oder Tatplanungen zu gewinnen." Eine Online-Durchsuchung kommt somit selten allein.

In der Antwort der Bundesregierung heißt es auch, dass bislang in Deutschland keine Online-Durchsuchung durchgeführt wurde, weil das einzige bekannte, von einem Bonner Ermittlungsrichter angeordnete Verfahren nach Einspruch des BGH-Untersuchungsrichters gestoppt wurde. "Verfahren, in denen Online-Durchsuchungen für Zwecke der Gefahrenabwehr durchgeführt wurden, sind der Bundesregierung nicht bekannt."

Schlapphüte und Polizisten auf dem PC im heimischen Arbeitszimmer? Der Bundestrojaner sorgt für Aufregung in Politik und Gesellschaft. Wie funktioniert er, wen hat er im Visier? tagesschau.de hat die wichtigsten Fragen und Antworten zusammengestellt.

Was versteht man unter einem Trojaner?
Ein Programm, das auf einem Computer heimlich oder als nützliches Programm getarnt Funktionen ausführt, die der Benutzer nicht erlaubt hat und nicht kontrolliert. Der Trojaner selbst muss nicht schädlich sein. Häufig ist er aber mit anderer schädlicher Software kombiniert, oder hilft dieser, auf den Computer zu gelangen.

Ist ein Trojaner ein Computer-Virus?
Nein. Ein Computervirus versucht, sich auf immer mehr Dateien und Computer zu verbreiten und sich selbst zu kopieren. Der Trojaner kopiert sich nicht selbst, er kann aber mit einem Virus kombiniert werden.

Was ist der Bundestrojaner?
Der Begriff steht für die so genannte Online-Durchsuchung. Dabei sollen Computer einmal (Online-Durchsicht) oder während eines gewissen Zeitraums (Online-Überwachung) überprüft bzw. überwacht werden, ohne dass der Nutzer das bemerkt. Das Innenministerium spricht nicht von Bundestrojanern, sondern von "Remote Forensic Software".


[Bildunterschrift: Key-Logger registrieren jeden Tastatur-Anschlag auf dem überwachten Computer.]
Was macht der Bundestrojaner genau?
Im Prinzip das gleiche wie "normale" Trojaner. Trojaner erlauben etwa die Installation von Schnüffel-Software auf dem Rechner, beispielsweise einen Key-Logger - ein Programm, das Tastatur-Anschläge registriert und so an Passwörter kommt; oder von Programmen, mit denen die Dateien und Dokumente auf dem Computer nach Stichwörtern, Passwörtern oder anderen Inhalten durchsucht werden können. Beides wird auch der Bundestrojaner tun. Diese Inhalte überspielt der Trojaner dann an die Behörden, die sie auswerten.

Kann der Bundestrojaner auch Dateien und Daten auf den Computer laden oder verändern?
Laut Innenministerium soll der Trojaner so programmiert werden, dass er "keine Daten frei im Zielsystem platzieren kann". Die Antwortet lautet aber prinzipiell: Ja.

Wer ist im Visier des Bundestrojaners?
Personen, die verdächtigt werden, Terroranschläge zu planen oder vorzubereiten. Deren "informationstechnische Systeme" - neben Computern auch die Speicher von PDA und Mobiltelefonen, sowie Router oder Server - sollen überwacht werden.

Wie oft soll der Bundestrojaner eingesetzt werden?
Das Innenministerium und das BKA sprechen von "fünf bis zehn Einsätzen" von Bundestrojanern pro Jahr. Der Bundesdatenschutzbeauftragte Schaar bezweifelt das allerdings. Bei einer Ausweitung auf schwere Verbrechen könnte es seiner Ansicht nach wesentlich mehr Online-Durchsuchungen geben.

Soll der Bundestrojaner nur auf private PC geschmuggelt werden?
Ja. Das jedenfalls sagt das Innenministerium in seinen Antworten auf Fragen des Justizministeriums und der SPD-Fraktion. Firmenrechner sollen offenbar nicht attackiert werden. Sollten Verdächtige Firmen-Rechner nutzen, sollen deren Systemadministratoren "eingebunden" werden. Die können auf jeden Arbeitsplatzrechner zugreifen.

Kann der Bundestrojaner flächendeckend eingesetzt werden?
Theoretisch ist das denkbar. Der Bundestrojaner könnte auch an viele Adressaten "versandt" werden. Das Programmieren und Überwachen des Trojaners sowie das Auswerten der Dateien ist aber aufwändig und teuer. Das Innenministerium spricht allein bei der Einsatzvorbereitung von mehreren Personen, die mehrere Wochen beschäftigt sein können. Die Gefahr, dass der Trojaner entdeckt wird, steigt zudem mit einer großen Verbreitung. Die eigentlichen Zielpersonen - Terroristen - würden damit möglicherweise gewarnt.

Wie kommt der Bundestrojaner auf den Computer des Verdächtigen?
Über den Download einer Datei (z.B. ein Photo, ein Text oder ein Software-Update), den Besuch einer "verseuchten" Website "oder den manipulierten Datei-Anhang an einer Mail. Jede Mail kann gefälscht werden. Mails mit dem Absender einer Behörde will das BKA dabei "nur in begründeten Ausnahmefällen" dazu einsetzen. Am meisten vertraut man ja den Mails von Freunden und Bekannten…

Kann der Bundestrojaner "unterwegs" an eine Mail angehängt werden?
Wer einen E-Mail-Server hackt, kann dort vermutlich auch eine Mail entsprechend manipulieren. Er sitzt dann zwischen Absender und Adressat, deshalb spricht man von einem "Man in the Middle"-Angriff.

Der Bundestrojaner ist eine Wanze
Alle streiten über die Onlinedurchsuchung, doch niemand wusste bislang, wie das funktionieren soll. Nun zeigt sich, mit welcher Technik das Bundeskriminalamt PCs ausspähen will.
...Seinen Weg in den Ziel-PC findet das modular aufgebaute Programm namens Remote Forensic Software (RFS) ebenfalls auf eher analoge Weise. Spezialisten machen die Wohnung noch einmal auf und installieren das Tool. Das winzige Programm gleicht also eher einer Wanze als einem Trojaner. Das BKA betont, dass nicht nur das generelle Vorgehen, sondern auch die Technik auf den konkreten Fall abgestimmt wird: Jede RFS ist ein Unikat, dessen Quellcode aus Gründen der Beweissicherung dem zuständigen Richter vorliegt.

Zwei Beispiele: Damit die Firewall nicht Alarm schlägt, wenn RFS Daten zum BKA sendet, könnten die „Wohnungsöffner“ die Sicherheits-Software so einstellen, dass sie Aktivitäten des Schnüffel-Tools immer zulässt. Verschlüsselt ein angeblicher Gefährder seine Daten an einem Offline-PC, bevor er sie über einen Internetrechner rausschickt, könnte das Tool den Verschlüsselungscode per Keylogging abgreifen und an die betreffende Datei anhängen. Gleiches gilt für Passwörter – das BKA bekäme alle Zugangsdaten frei Haus geliefert.

Enormer Aufwand, garantierte Wirkung

Generell lässt sich sagen: Der physikalische Zugriff auf den PC macht fast jeden Sicherungsmechanismus umgehbar – selbst eine Verschlüsselung per Smartcard, die das Zielobjekt immer bei sich trägt. In so einem Fall könnte man per Hardware-Keylogger mitlesen oder das Monitorkabel anzapfen und das Bildsignal nach draußen funken.

Der riesige Aufwand, den das BKA betreiben muss, hat auf den ersten Blick sein Gutes: Er schließt einen breit angelegten digitalen Angriff auf die Bevölkerung aus. Laut Ziercke liegt die Zahl der Fälle, in denen ein RFS-Einsatz infrage käme, derzeit im einstelligen Bereich. Der BKA-Chef fordert außerdem eine umfassende richterliche Kontrolle der Online-Überwachung per Gesetz.

Damit weiß er sich im Einklang mit Bundesinnenminister Wolfgang Schäuble, dessen sicherheitspolitische Vorstellungen ansonsten von maximalistischem Furor befeuert sind. So sollen Ermittler laut Schäubles Novelle zum BKA-Gesetz Wohnungen präventiv mit technischen Mitteln verwanzen können. Das passt bestens zu den RFS-Plänen.

Schäuble will auch das Abhörverbot von Privatgesprächen aufheben lassen. Auf die Online-Durchsuchung übertragen, hieße das: Die Ermittler können alle gefundenen Daten nutzen. Sollte das nicht Gesetz werden, käme die Gerichtsbarkeit wieder ins Spiel: Ein Richter müsste beurteilen, ob eine Datei namens „Bombenstimmung“ eine Geburtstagsparty oder einen Anschlag beschreibt.

Fazit: gefährlich nicht nur für Gefährder

Was kann man gegen die Remote Forensic Software unternehmen? Wenn das BKA alle Register zieht, gibt es wohl keine praktikable Schutzmöglichkeit. Solange die Online-Durchsuchung aber so aufwendig ist, brauchen Sie sich nicht ernsthaft über Abwehrmaßnahmen Gedanken zu machen. Es sei denn, Sie sind „Gefährder“ oder das, was man in Wiesbaden dafür hält.

Derzeit also birgt die – nennen wir sie ruhig so – PC-Wanze kein Potenzial zur Massenüberwachung. Was aber, wenn sich die technischen Möglichkeiten ändern? Wenn ein Bundestrojaner tatsächlich zuverlässig online eingeschleust werden kann? Dann wäre ein Orwell-Szenario denkbar – gedeckt von einem Gesetz, das unter anderen Voraussetzungen entstanden ist.
Autor: Roman Leipold. Dieser Text erscheint in der Ausgabe 09/2007 des Computermagazins CHIP.