Der Chaos-Computer-Club (CCC) analysiert eine Schadsoftware, die dem Verein anonym zugespielt wurde. Dabei soll es sich um den sog. Bundestrojaner halten. Das Ergebnis einer Qualitätseinschätzung ist vernichtend.

Am Samstag, 8.10.2011 trat der CCC mit der Meldung an die Öffentlichkeit, er habe Sicherheitslücken im Bundestrojaner entdeckt. Die Software wurde von den aktuellen Virenscannern nicht erkannt. Sie kann Bildschirmkopien anfertigen, Umgebungsgeräusche aufzeichnen, Tastatureingaben mitschneiden und Skype-Kommunikationen aufzeichnen.

Nachdem das deutsche Bundesverfassungsgericht mit dem Spruch vom 27. Februar 2008 den Bundestrojaner zu Fall gebracht hat, gibt es nun eine Umformulierung: „Quellen-Telekommunikationsüberwachung“ kurz „Quellen-TKÜ“. Der Spruch besagt, dass der Telekommunikationsüberwachung enge Grenzen gesetzt sind. Online-Durchsuchungen seien nur bei einer konkreten Gefahr für ein „überragend wichtiges Rechtsgut“ zulässig – also bei Gefahr für Leib, Leben und Freiheit oder bei Bedrohungen, die den Bestand des Staates oder die Grundlagen der menschlichen Existenz berühren. Es muss durch technische Vorkehrungen gesichert werden, dass dies eingehalten wird. Mit Quellen-TKÜ soll offenbar der Eingriff auf ein Computersystem schöngeredet werden.

Ist das Programm einmal aktiv, ist es möglich, andere Schad-Software nachzuladen.

Aus der Zusammenfassung vom CCC:

Es ist also nicht einmal versucht worden, softwaretechnisch sicherzustellen, daß die Erfassung von Daten strikt auf die Telekommunikation beschränkt bleibt, sondern – im Gegenteil – die heimliche Erweiterung der Funktionalitäten der Computerwanze wurde von vorneherein vorgesehen.

„Damit ist die Behauptung widerlegt, daß in der Praxis eine effektive Trennung von ausschließlicher Telekommunikationsüberwachung und dem großen Schnüffelangriff per Trojaner möglich oder überhaupt erst gewünscht ist“, kommentierte ein CCC-Sprecher die Analyseergebnisse. „Unsere Untersuchung offenbart wieder einmal, daß die Ermittlungsbehörden nicht vor einer eklatanten Überschreitung des rechtlichen Rahmens zurückschrecken, wenn ihnen niemand auf die Finger schaut. Hier wurden heimlich Funktionen eingebaut, die einen klaren Rechtsbruch bedeuten: das Nachladen von beliebigem Programmcode durch den Trojaner.“

Und Weiter:

Die Analyse offenbarte ferner gravierende Sicherheitslücken, die der Trojaner in infiltrierte Systeme reißt.

… Auch die anderen Zusagen der Verantwortlichen haben in der Realität keine Entsprechung gefunden.

Einige Ergebnisse:

• Die Kontrollbefehle an den Trojaner sind nicht verschlüsselt.
• Es ist keine Authentifikation nötig. Jeder kann Befehle an den Trojaner senden. Dieser befolgt sie stur.
• Der Schlüssel, um die abgehörten Daten an den Kontrollserver (der in Ohio, USA steht) zu senden, ist fest einprogrammiert.
• Wie sieht es mit der Einhaltung des BDSG aus? Ist die Datenübermittelung in die USA legitimiert?

Es gibt Diskussionen, ob die Software nun wirklich aus dem Umfeld des BKA stammt. Die Behörden dementieren, jedoch weist einiges darauf hin. Rechtliche und politische Konsequenzen werden gefordert.

Youtube: Der Staatstrojaner in dreieinhalb Minuten, erklärt vom CCC.

Das Video „Du bist Terrorist“ von alexanderlehmann bekommt hier wieder neue Brisanz:

Der CCC:

Wir sind hocherfreut, daß sich für die moralisch fragwürdige Tätigkeit der Programmierung der Computerwanze keine fähiger Experte gewinnen ließ und die Aufgabe am Ende bei studentischen Hilfskräften mit noch nicht entwickeltem festen Moralfundament hängenblieb.

Auf der anderen Seite sind wir erschüttert, daß ein solches System bei der Qualitätssicherung auch nur durch das Sekretariat kommen konnte. Anfängerfehler
dieser Größenordnung hätten im Vorfeld unterbunden werden müssen, zumal bereits bei der Anhörung vor dem Bundesverfassungsgericht anläßlich des Beschwerdeverfahrens gegen die Online-Durchsuchung von Regierungsseite immer wieder versichert wurde, daß besonders hohe Qualitätssicherungsansprüche gestellt würden. Man sprach gar davon, daß die Spionagesoftware individualisiert an den Zielrechner angepaßt würde. Diese hehren Ziele sind offenbar
Sparmaßnahmen bei den Behörden zum Opfer gefallen.

Ein Zitat, dem nur zugestimmt werden kann:

„Wir waren überrascht und vor allem entsetzt, daß diese Schnüffelsoftware nicht einmal den elementarsten Sicherheitsanforderungen genügt. Es ist für einen beliebigen Angreifer ohne weiteres möglich, die Kontrolle über einen von deutschen Behörden infiltrierten Computer zu übernehmen“

Jeder ist vom CCC aufgerufen, weitere Informationen zur Analyse der Malware beizutragen.

Artikel von heise.de, 08.10.2011: CCC knackt Staatstrojaner

Update vom 11.10.2011

Zumindest einer der Trojaner kommt aus Bayern. Die Phrase „0zapftis“, die im Quelltext des Staatstrojaners vorkommt, legt auch die Vermutung nahe.

Rechtsanwalt Patrick Schladt:

Einer der vom CCC dokumentierten „Staatstrojaner“ wurde auf der Festplatte eines meiner Mandanten gefunden, die ich im Einvernehmen mit dem Mandanten an einen öffentlich bekannten Vertreter des CCC habe übergeben lassen. Es handelt sich dabei um den Fall des „Screenshot-Trojaners“, der bereits im Frühjahr diesen Jahres Gegenstand der öffentlichen Diskussion war.

Aufgespielt wurde der Trojaner bei Gelegenheit einer Kontrolle meines Mandanten durch den Zoll auf dem Münchener Flughafen. Auch wenn die Maßnahme selbst von bayerischen Behörden kontrolliert wurde, so steht für mich außer Frage, dass Stellen des Bundes – etwa der Zoll bzw. das Zollkriminalamt – im Wege der Amtshilfe beteiligt waren. Hierfür spricht aus meiner Sicht nicht zuletzt, dass dieselbe Software aus verschiedenen Bundesländern zum CCC gelangte.

Sein Mandant, Angestellter einer Pharmafirma, wird beschuldigt, illegal Medikamente verkauft zu haben. Diese fallen jedoch nicht unter das Betäubungsmittelgesetz, „mutieren“ aber eventuell beim Verkauf zu Betäubungsmitteln.

Ob dies ein schweres Verbrechen ist, das den Einsatz eines Bundestrojaners legitimiere, sei höchst fraglich. Der Staatstrojaner, so dessen Befürworter, sollte eigentlich nur in „eng begrenzten Ausnahmefällen“ (Wolfgang Schäuble) und bei „schwerster Kriminalität und Terrorismus“ (Jörg Ziercke) eingesetzten werden.

Artikel von heise.de, 03.03.2011: Wo und wie der Bayerntrojaner zum Einsatz kommt
Artikel von heise.de: 10.10.2011: Staatstrojaner: Eine Spionagesoftware, unter anderem aus Bayern