Bundestrojaner: Wenn der Rechner zur Wanze wird

Die Vorwürfe sind ungeheuer: Der sogenannte Bundestrojaner, die von deutschen Behörden bei der Online-Durchsuchung verwendete Überwachungssoftware soll große Sicherheitslücken aufweisen und es den Fahndern ermöglichen, ihre Kompetenzen bedeutend zu überschreiten. Herausgefunden haben das die Hacker vom Chaos Computer Club (CCC). Ihnen sind Festplatten zugespielt worden, die offensichtlich mit der Spionage-Software infiziert waren. Am Sonntag veröffentlichte der Club seine Erkenntnisse in der Frankfurter Allgemeinen Sonntagszeitung. Die FR beantwortet die wichtigsten Fragen zum Skandal um das Spitzelprogramm.

Was ist ein Trojaner?

Der Ausdruck bezieht sich auf die Sage vom Trojanischen Krieg, als sich die Griechen in einem hölzernen Pferdestandbild versteckten, um so in das uneinnehmbare Troja zu gelangen. Der Begriff wird für ein Computerprogramm benutzt, das vom Nutzer unbemerkt unerwünschte Operationen auf seinem Rechner ausführt – ein „Schadprogramm“. Trojaner können den Datenverkehr eines PC protokollieren, sensible Daten ausspähen und weitermelden, Antivirenprogramme neutralisieren und ermöglichen es, Rechner fernzusteuern.

Wie ist der Bundestrojaner entstanden?

Im August 2007 wurde bekannt, dass unter der Regie des Bundeskriminalamts ein Programm zur Überwachung von Computern und Mobilgeräten entwickelt wurde. Es sollte den Fahndern bessere Möglichkeiten geben, sogenannte Online-Durchsuchungen vorzunehmen. Eine klare gesetzliche Grundlage gab es aber nicht. Im Februar 2008 setzte das Bundesverfassungsgericht einen engen Rahmen für die Verwendung von Schnüffelprogrammen. Demnach ist nicht nur in jedem Fall die Zustimmung eines Richters notwendig. Die Maßnahmen müssen sich auch auf die sogenannte Quellen-Telekommunikationsüberwachung beschränken. So sollte es Fahndern ermöglicht werden, E-Mails vor einer Verschlüsselung abzufangen – aber auch nicht mehr.

Wer verwendet den Bundestrojaner?

Die Späh-Software ist für den Einsatz bei Polizei und BKA entwickelt worden. Die im Inland tätigen Behörden dürfen eine Online-Überwachung nur zu präventiven Zwecken durchführen, also zur sogenannten Vorfeldaufklärung verfassungsfeindlicher, terroristischer oder schwerstkrimineller Bestrebungen. Auf Länderebene setzen bislang nur die Polizei von Bayern und die von Rheinland-Pfalz Trojaner ein. Offiziell hat das BKA dieses Instrument erst ein Mal eingesetzt – bei der Überwachung einer Terrorzelle, deren Mitglieder Ende April festgenommen wurden. Das bayerische Landeskriminalamt hat dagegen bereits mehrfach Online-Durchsuchungen durchgeführt, in mindestens einem Fall rechtswidrig zur Strafverfolgung.

Welche Funktionen hat der Bundestrojaner, die möglicherweise gegen geltendes Recht verstoßen?

Die Hacker vom CCC haben in der ihr zugespielten Software mehrere Funktionen identifiziert, die sie für bedenklich halten. Zum einen ermöglicht es das Programm, Momentaufnahmen vom Bildschirm des Rechners zu machen, einen „Screenshot“. Das wäre ein Verstoß gegen die Vorgaben des Verfassungsgerichts, das nur die Überwachung laufender Telekommunikationsvorgänge erlaubte. Zweitens können mittels des Bundestrojaners weitere Programme auf dem Rechner eingeschleust werden – was durch den Spruch der Verfassungsrichter ebenfalls nicht gedeckt ist. Darüber hinaus bietet das Programm keinen wirksamen Schutz gegen eine fremde Übernahme – es ist technisch problemlos möglich, dass Dritte den Trojaner kapern und einen infiltrierten Rechner manipulieren.

Welche Folgen könnte das für überwachte Personen haben?

Zum einen ermöglicht es die vom CCC analysierte Software den Sicherheitsdiensten, permanent mitzulesen. Beispielsweise können sie mit Screenshot-Funktion E-Mails oder andere Mitteilungen auch dann lesen, wenn diese gar nicht oder mit einem anderen Wortlaut verschickt werden. Außerdem schafft der Trojaner die Voraussetzungen für den großen Lauschangriff: Das Programm kann das im Computer eingebaute Mikrofon oder die Webcam aktivieren. Der Raum, in dem sich der Rechner befindet, kann umfänglich ausgekundschaftet werden. Schließlich können Dritte beispielsweise falsches Beweismaterial auf dem betroffenen Rechner deponieren. Das ist möglich, weil der Bundestrojaner eine enorme Sicherheitslücke aufweist: Zwar benutzt das Programm eine Verschlüsselung, wenn es Informationen vom infiltrierten Rechner überträgt. Befehle an den Trojaner müssen aber nicht verschlüsselt werden. Wer davon weiß, dass der Trojaner auf einem bestimmten Rechner installiert ist, kann ihn für seine Zwecke nutzen.