Den Hackern des Chaos Computer Club (CCC) ist ein medialer Coup gelungen. Nach eigenen Angaben ist ihnen eine "staatliche Spionagesoftware" zugespielt worden, die von Ermittlern in Deutschland zur Überwachung von Kommunikation über das Internet eingesetzt wird. Das Programm wird auch als ""Bundestrojaner light" oder "Staatstrojaner"  bezeichnet.

Fernsteuerungsfunktion

Die Hacker haben eine eingehende Analyse der Software vorgenommen. "Die untersuchten Trojaner können nicht nur höchst intime Daten ausleiten, sondern bieten auch eine Fernsteuerungsfunktion zum Nachladen und Ausführen beliebiger weiterer Schadsoftware",  so der CCC auf seiner Homepage.

Grobe Design- und Implementierungsfehler

Der CCC warf den Sicherheitsbehörden vor, aufgrund von groben Design- und Implementierungsfehlern in der Software entstünden "eklatante Sicherheitslücken in den infiltrierten Rechnern, die auch Dritte ausnutzen können". Die Telekommunikationsüberwachung an der Quelle, kurz als Quellen-TKÜ bezeichnet, soll eine Möglichkeit bieten,  Voice-over-IP-Gespräche abzuhören, bevor sie für den Weg durchs Netz verschlüsselt wird.

Gesetzliche Grundlagen

Ein Sprecher des Bundesinnenministeriums bestätigte, dass Software-Lösungen für eine Quellen-TKÜ verfügbar seien, sowohl für die Bundesbehörden als auch auf Landesebene. "Für den Einsatz dieser Software gibt es gesetzliche Grundlagen, die beim Einsatz beachtet werden müssen", sagte der Sprecher. Für Ermittlungen auf Bundesebene sei hier etwa das BKA-Gesetz relevant. Außerdem gibt es in einigen Bundesländern Regelungen zum Einsatz der Quellen-TKÜ.

Die Bestrebungen für eine Online-Durchsuchung bei Verdächtigen reichen ins Jahr 2005 zurück, in die Amtszeit des damaligen Iinnenministers Otto Schily (SPD). Danach setzte unter dem Schlagwort "Bundestrojaner" eine heftige Debatte über die Zulässigkeit solcher Eingriffe in die Privatsphäre des persönlichen Computers ein.

"Abwehr einer konkreten Gefahr für ein überragend wichtiges Rechtsgut"

Das Bundesverfassungsgericht setzte im Februar 2008 hohe rechtliche Hürden für Online-Durchsuchungen. Das heimliche Ausspähen eines Computer-Anwenders zur Gefahrenabwehr ist demnach nur dann zulässig, wenn es eine klare gesetzliche Regelung dafür gibt. Außerdem muss die Aktion der "Abwehr einer konkreten Gefahr für ein überragend wichtiges Rechtsgut" dienen. Weiterhin muss die Aktion durch einen Richter angeordnet werden.

Funktionen

Der Chaos Computer Club erklärte, die nun aufgetauchte Software ermögliche einen viel weitergehenden Angriff. In einer Analyse des Programmcodes seien Funktionen entdeckt worden, "die über das Abhören von Kommunikation weit hinausgehen und die expliziten Vorgaben des Verfassungsgerichtes verletzen".

Nachladen

So könne der "Trojaner" über das Netz weitere Programme nachladen und ferngesteuert ausführen. "Eine Erweiterbarkeit auf die volle Funktionalität des Bundestrojaners - also das Durchsuchen, Schreiben, Lesen sowie Manipulieren von Dateien - ist von Anfang an vorgesehen." Sogar ein digitaler großer Lausch- und Spähangriff sei möglich, indem ferngesteuert auf das Mikrofon, die Kamera und die Tastatur des Computers zugegriffen werde.

Im Rahmen des Tests habe der CCC eine Gegenstelle für den Trojaner geschrieben, mit deren Hilfe Inhalte des Webbrowsers per Bildschirmfoto ausspioniert werden konnten - inklusive privater Notizen, E-Mails oder Texten in webbasierten Cloud-Diensten. "Wir waren überrascht und vor allem entsetzt, dass diese Schnüffelsoftware nicht einmal den elementarsten Sicherheitsanforderungen genügt".

Passwörter auf "1234" setzen

Es sei für einen beliebigen Angreifer ohne weiteres möglich, die Kontrolle über einen von deutschen Behörden infiltrierten Computer zu übernehmen. "Das Sicherheitsniveau dieses Trojaners ist nicht besser, als würde er auf allen infizierten Rechnern die Passwörter auf "1234" setzen."

Auf seiner Website veröffentlichte der CCC zudem die Binaries der Software.

Die Hacker protestieren seit Jahren gegen staatliche Überwachung. 2008 veröffentlichte man den Fingerabdruck des (damaligen) deutschen Innenministers Wolfgang Schäuble. Mit der Aktion protestierte der Verein gegen die Speicherung von biometrischen Daten in Reisepässen.

Reaktionen

Justizministerin Sabine Leutheusser-Schnarrenberger hat sich am Sonntag besorgt über die Berichte zum "Staatstrojaner" geäßert: "Es ist mehr als beunruhigend, dass die berechtigten technischen Argumente der Beschwerdeführer in der Klage gegen die Online-Durchsuchung vor dem Bundesverfassungsgericht jetzt bestätigt werden", erklärte Leutheusser-Schnarrenberger, die auch stellvertretende FDP-Bundesvorsitzende ist. Ihre Partei habe immer vor den Gefahren staatlicher Schnüffelsoftware gewarnt.

Auch die Piratenpartei kritisierte das Vorgehen der Sicherheitsbehörden. "Der Staat sollte seine Bürger schützen und sie nicht durch Inkompetenz oder gar vorsätzlich weitere Sicherheitsrisiken aussetzen", heißt es in einer Mitteilung. (APA/Reuters/red)