Bundestrojaner

Die Online-Dursuchung / der Bundestrojaner ist die Ausspähung von Computer via Internet. Diese erfolgte bereits ohne gesetzliche Grundlage.

Das deutsche BKA hat möglicherweise einen Computer-Trojaner fertiggestellt, der beliebige Rechner aus der Ferne durchsuchen kann. Das geht aus jetzt enthüllten Schreiben des Innenministeriums hervor. Der Bundes-Trojaner soll sogar Mobilgeräte ausspionieren können. Unklar ist allerdings ob er überhaupt per Internet auf den Rechner des Auszuforschenden gelangt oder ob sich die Polizei physisch Zugang zum Rechner verschafft und die Software darauf installiert.

Das Bundesinnenministerium von Wolfgang Schäuble (CDU) will mit dem sogenannten Bundes-Trojaner nicht nur Heimcomputer durchsuchen lassen, sondern auch PDAs, Smartphones und Blackberrys. Das geht aus zwei Antwortschreiben des Ministeriums hervor, die das Blog Netzpolitik.org veröffentlicht hat. Sein Ministerium hält den Bundestrojaner für spähbereit Die Dokumente beantworten Anfragen des Bundesjustizministeriums und der SPD-Bundestagsfraktion zu eben jenem Schnüffelprogramm, mit dem Beamte die Computer Verdächtiger ausspähen sollen.

Ein Sprecher des Innenministeriums bestätigte, dass entsprechende Antworten verschickt wurden - wollte zu den aufgetauchten Dokumenten im Detail aber keine Stellung nehmen.

Die Online-Durchsuchung von Computern und anderen Geräten ist umstritten, die SPD fordert hohe Hürden. Deutsche Geheimdienste hatten das Werkzeug schon seit Ende 2005 eingesetzt - eine Dienstvorschrift des damaligen Ministers Otto Schily (SPD) erlaubte den heimlichen Zugriff.

Anfang des Jahres dagegen hatte der Bundesgerichtshof geurteilt, dass es nicht genutzt werden darf. Der Eingriff in die Grundrechte sei nicht ausreichend geregelt. Seitdem debattiert die Politik über das Thema.

In den beiden jetzt bekannt gewordenen Schreiben wird klar, wie weit die Programme des Bundeskriminalamts tatsächlich sind und welche Einsatzmöglichkeiten für den Bundes-Trojaner gesehen werden - der in Ministeriums-Englisch "Remote Forensic Software" ("Fernforensische Software", RFS) heißt.

In beiden Schreiben betont das Innenministerium, dass die Definition "informationstechnisches System" bewusst weit gefasst wurde. Die Anfrage der SPD-Fraktion, ob darunter auch "auch Mobilgeräte wie Handys, Smartphones, Blackberries" fallen, bejaht das Ministerium. Allerdings bedeute das nicht, dass Gespräche mitgeschnitten würden. Telekommunikationsinhalte seien nicht Gegenstand einer Online-Durchsuchung. Im Klartext: Auf Smartphones darf die Software schnüffeln, aber nicht mithören.

Jederzeit. Das Innenministerium schreibt extrem zuversichtlich: "Die Entwicklung einer einsetzbaren Version der RFS könnte bei Aufhebung des gegenwärtig verfügten Entwicklungsstopps unverzüglich abgeschlossen sein."

Nicht im Rahmen einer Online-Durchsuchung. Aber es gibt im Innenministerium konkrete Ideen zur Überwachung verschlüsselter Voice-over-IP-Gespräche, die über Programme wie Skype abgewickelt werden. Im Rahmen einer Telekommunikationsüberwachung müsse hier das gesprochene Wort "an der Audioschnittstelle beziehungsweise die Kommunikationsdaten vor der Verarbeitung durch die Verschlüsselungssoftware abgegriffen" werden, heißt es in dem Schreiben des Innenministeriums an das Bundesjustizministerium. "Entsprechende Überlegungen" seien "derzeit Gegenstand von Konzeptionen der Bedarfsträger".

Das ist gar nicht so einfach - so die Kurzfassung der sehr umfangreichen, sehr vagen Ausführungen des Ministeriums dazu. So ist die Rede von einer \"Vielzahl von Einbringungsmöglichkeiten\", deren Tauglichkeit vor jedem Einsatz geprüft werden müsse. Vorab müsse geklärt werden, welches Betriebssystem, welchen Internetzugang und Browsertyp der Ausgespähte verwende.

Anfang August hatten bereits Vertreter des Bundeskriminalamts (BKA) dem Computer-Magazin "Chip" erklärt, die Standard-Vorgehensweise sei, dass Beamte unbemerkt in die Wohnung des Verdächtigen eindringen, die IT-Ausstattung analysieren und das weitere Vorgehen darauf abstimmen. In der Regel werde das Schnüffelprogramm bei einem zweiten Einbruch installiert, seine Erkenntnisse würde es dann unbemerkt ans BKA übertragen.

Diskutiert wird auch, ob man E-Mails unter dem Namen einer anderen Behörde verschickt, um auf diesem Weg Programme auf einen Computer zu bekommen. Generell wird davon abgeraten - doch könne "in begründeten Ausnahmefällen" dieses Mittel zum Einsatz kommen.

Wohl kaum - glaubt das Bundesinnenministerium. Interessant ist die Argumentation: Die Software werde für jeden Einsatz überarbeitet und "vor dem Einsatz mit aktueller Anti-Viren-Software geprüft". Außerdem sei auch durch die "insgesamt geringe" Einsatzhäufigkeit der RFS das Entdeckungsrisiko durch Anti-Virenprogramme \"sehr gering\".

Vorab definierte Suchkriterien sollen eine "begrenzte Suche" sicherstellen. Hintergrund: Das Bundesinnenministerium fürchtet zum einen, dass die Schnüffel-Software eher entdeckt wird, wenn sie große Datenmengen überträgt. Zum anderen will man damit den sogenannten Kernbereichsschutz garantieren. Das Bundesverfassungsgericht verlangt nämlich in Urteilen zum Lauschangriff, dass ein "Kernbereich privater Lebensgestaltung" unangetastet bleibt. Diese Forderung sieht das Innenministerium dadurch erfüllt, dass die "Verwendung bestimmter Suchkriterien\" generell verboten wird. Als Beispiele für mögliche Suchkriterien führen die Schreiben des Innenministeriums auf:

• Dateinamen,
• bestimmte Dateiendungen,
• Eigenschaften/Attribute (Zugriffdaten etc.),
• Schlüsselwörter,
• bestimmte Verzeichnisse,
• Dateien eines bestimmten Dateityps.

Übers Netz: Die RFS speichert die Suchergebnisse verschlüsselt auf dem ausgespähten Computersystem. Sobald eine Internetverbindung hergestellt ist, soll die Software die Daten verschlüsselt an einen "von den Sicherheitsbehörden genutzten Server übertragen" und anschließend löschen.

Dazu schreibt das Ministerium nichts Konkretes. Aber die Schreiben deuten an, dass der Aufwand immens ist und ein Masseneinsatz sehr kostspielig werden dürfte, da die Software für jede Überwachung neu geprüft und angepasst werden soll. Konkret steht in den Schreiben, dass zum Beispiel für die Wahl der Einbringungsmethode "mehrere Personentage /-wochen notwendig werden" könnten und der "Aufwand verdeckter Maßnahmen" generell vor der Durchführung "kaum abschätzbar" sei.

Wie Softwareanwender die Installation des Bundestrojaners erschweren könnten

Ein erster Schritt in die richtige Richtung ist der Einsatz von freien unixoiden Betriebssystemen wie BSD, OpenSolaris oder Debian/Ubuntu. Ein weiterer Schritt wäre es diese Betriebssysteme auf einem "nackten" Rechner ohne Betetriebssystem und Daten von einem USB-Stick zu verwenden - denn was sollten die Schnüffler an einem nackten Rechner schon manipulieren können? Natürlich befindet sich neben dem Betriebssystem auch die Daten auf dem Stick. (Natürlich kann man den Rechnter auch mit Betriebssystem hinstellen und unter dem Betriebssystem nicht verwenden. Noch eleganter wäre es, den Rechner ganz konventionell zu verwenden - aber eben nur für Trivialitäten wie spiegel.de angucken, Einkaufslisten für Aldi schreiben oder sonstigen Kram. Die wirklich wichtigen Einsätze des Computers finden unter Stickwareunix statt). Noch nicht gelöst hätte man mit dem Einsatz von Stickware, dass die Daten bei einer Hausdurchsuchung oder Leibesvisitation in die Hände der Beamten fallen. Es empfielt sich daher, wirklich wichtige Dokumente wie die Liebesbriefe der Mätresse mit harter Verschlüsselung, z.B. per FreeOTFE[1] oder Truecrypt[2] zu verschlüsseln. Dieses Verfahren wäre ziemlich sicher und eigentlich nur durch die Anwendung von Erzwingungshaft oder Folter zu knacken.

Doch auch für das Szenario der Erzwingung der Passwortherausgabe gibt es recht elegante Lösung: Man verwendet FreeOTFE/Truecrypt und legt zwei Container an. Einen offen sichtbaren und einen "hidden Container". Dabei berücksichtigt man typische USB-Stick-Größen. Man verwendet z.B. einen 8-GB-Stick, und legt einen versteckten Container von 4 GB an. Der Stick wirkt nun einigermaßen glaubhaft wie ein stinknormaler 4-GB-Stick. Auf dem restlichen Teil befindet sich die unixoide Stickware samt sichtbar verschlüsselten Containern. Den neugierigen Fragern sagt man dann das Passwort für den nicht versteckten verschlüsselten Container. (Darin können sich ja irgenwelche leicht anzüglichen aber im Grunde unwichtigen Daten befinden). Den zweiten verborgenen Container kann nur erkennen und öffnen, wer das zweite Passwort kennt, das man natürlich besser nicht verrät.

Weitere Vorsichtsmaßnahmen

Eine sehr gute Idee kann es sein, zusätzlich oder unabhängig von obigem Vorgehen prinzipiell nur unter TOR zu surfen. Das Verfahren ist nicht 100prozentig sicher und derzeit werden von chinesischen und US-Behörden offensichtlich TOR-Server installiert um zumindest randomisierte Stichproben ziehen zu können. Dennoch ist surfen unter TOR sehr viel besser als ohne TOR, falls du nicht möchtest, dass deine IP dir zugeordnet werden kann. TOR ist langsam und es ist möglich, je nach Interessenlage im wechsel mit und ohne TOR zu surfen.

siehe unbedingt auch:

• Projekte:Paranoia

Kategorie:Repression