Aktuell

Die Sache mit dem Staatstrojaner

Das Internet-ABC erklärt, warum die Software für Wirbel sorgt

(17.10.2011)

Blick durchs Schlüsselloch; Rechte: Internet-ABC

Eigentlich ist der sogenannte Staatstrojaner entwickelt worden, um schwere und schwerste Straftaten aufzudecken, um polizeilichen Ermittlern und autorisierten Behörden auch im Computerzeitalter ihre Arbeit zu ermöglichen. Doch nachdem der Chaos Computer Club (CCC) aufgedeckt hat, wie der Staatstrojaner programmiert ist, welchen Schaden er anrichten kann und wie ungerührt Behörden eine Software einsetzen, die offensichtlich nicht den Anforderungen genügt, die vom Bundesverfassungsgericht an diese Software gestellt wurden, ist der Ärger groß - und die Verunsicherung.

Der Staatstrojaner hat klare Aufgaben und Ziele

Ein Staatstrojaner ist eine Software, die manuell oder durch technische Kniffe auch aus sicherer Entfernung auf den Computer einer zu überwachenden Person aufgebracht wird. Dort verbleibt das Schnüffelprogramm, verrichtet unentdeckt seinen Dienst, überwacht beispielsweise die Telekommunikation. Ziel: Im Internet geführte Telefonate "abhören" zu können, so wie das bei regulären Telefongesprächen auch möglich ist.

Weil aber eine auf einen Computer aufgebrachte Schnüffel-Software theoretisch deutlich mehr kann, hat das Bundesverfassungsgericht nach einer Klage gegen den vom BKA eingesetzten Bundestrojaner strenge und klare Regeln aufgestellt, wann und wie ein staatliches Schnüffelprogramm zum Einsatz kommen darf. So dürfen Behörden und Ermittler einen Trojaner beispielsweise erst nach richterlicher Anordnung verwenden, jeder Einzelfall muss genau geprüft werden.

Außerdem haben die Richter klare Grenzen gesteckt, was die Software darf und was nicht. Sie darf zum Beispiel Telefongespräche überwachen, die übers Internet geführt werden. Sie darf aber ausdrücklich nicht zur Raumüberwachung eingesetzt werden (Stichwort: Lauschangriff). Die Software darf auch nicht auf der Festplatte nach Dateien suchen oder sogar Dateien dort aufspielen. Außerdem haben die Richter klar gemacht, dass eine solche sensible Software hinreichend vor möglichem Missbrauch abgesichert sein muss.

Defizite verärgern Experten und sorgen für Verunsicherung

Die vom Chaos Computer Club Anfang Oktober untersuchte Software genügt den von den Bundesverfassungsrichtern formulierten Ansprüchen in vielen Punkten nicht. So ist die Software beispielsweise unzureichend programmiert und lässt auf vergleichsweise einfache Art Missbrauch zu. Es ist problemlos möglich und sogar vorgesehen, im Rechner eingebaute Kameras und Mikrofone zu nutzen, ein Zugriff, den das Bundesverfassungsgericht ausdrücklich verboten hat. Die Software ist außerdem geeignet, infiltrierte Rechner komplett fernzusteuern, sie erlaubt sogar, dass beliebiger Programmcode nachgeladen wird - was einen uneingeschränkten Zugriff auf Daten und Programme gestattet.

Die Experten waren bei der Beurteilung der Software nicht grundlos erschrocken. Es gibt zu viele Lücken, zu viele Möglichkeiten, die in der Software nicht vorgesehen sein dürften. Niemand wird bestreiten wollen, dass der Staat und insbesondere die dafür zuständigen Behörden eine Möglichkeit haben müssen, auch im Internet zu ermitteln, selbst der Zugriff auf einen Computer erscheint verhältnismäßig, wenn damit schwere und schwerste Straftaten aufgedeckt, nachgewiesen oder im besten Falle sogar verhindert werden können. Allerdings müssen gleichzeitig auch alle anderen Bürger vor Missbrauch und Willkür geschützt werden. Die zum Einsatz kommenden Trojaner sind in dieser Hinsicht mehr als problematisch.

Defizite verärgern Experten und sorgen für Verunsicherung

Durch die Diskussion um die Mängel in den für viel Geld programmierten Trojaner - Experten taxieren allein die Kosten für den vom BKA eingesetzten Bundestrojaner auf 200.000 Euro, alle Trojaner zusammen sollen nahezu 700.000 Euro gekostet haben -, ist die Bevölkerung im starken Maße verunsichert. Obwohl die kritisierten Trojaner bislang nur wenige hundert Mal offiziell zum Einsatz gekommen sein sollen, also nur wenige Bürger überhaupt davon konkret betroffen sind, gehen viele davon aus, dass auch sie ausspioniert werden könnten.

Das Misstrauen in Staat und Behörden scheint groß. Viele fürchten, auch andere Behörden könnten Trojaner einsetzen, vollkommen unkontrolliert, selbst um Bagatelldelikte aufzudecken. Das Risiko ist zwar gering bis gar nicht gegeben, aber die Bevölkerung sieht das anders. Wundern darf sich darüber eigentlich niemand, denn es hätte definitiv auch keinen Staatstrojaner geben dürfen, der so programmiert und ausgestaltet ist wie jene, die vom Chaos Computer Club analysiert wurden. Hier wurde eine Menge Vertrauen verspielt, völlig unnötig.

Kann man sich gegen Trojaner schützen?

Durch die aktuelle Diskussion kommt bei vielen die Frage auf: Wie erkennt man überhaupt, ob ein PC mit einem Trojaner infiltriert ist - und kann man sich davor schützen? Es sind Tausende von Trojanern in Umlauf. Sogenannte "kommerzielle" Trojaner versuchen, Zugangsdaten auszuspionieren, die dann missbraucht werden, etwa um auf Kosten der Opfer einzukaufen oder deren digitale Identität zu übernehmen. Staatliche und kommerzielle Trojaner verwenden dieselben Tricks und Methoden, um auf Rechnern eingeschleust zu werden und dort unentdeckt zu bleiben.

Deshalb sind einige Schutzprogramme durchaus in der Lage, Trojaner zu erkennen und davor zu warnen, sollten sie sich im Speicher oder auf der Festplatte befinden. Allerdings gilt das nur für bekannte Trojaner. Da Staatstrojaner für jeden Einzelfall separat programmiert oder zumindest angepasst werden, werden Schutzprogramme nur selten vor solchen Trojanern warnen können.

Eine Firewall hingegen könnte zumindest die unerlaubte Kommunikation erkennen und davor warnen, etwa wenn der Trojaner versucht, ermittelte Daten zu übermitteln oder wenn Programmcode nachgeladen wird. Allerdings setzt es schon einige Fachkenntnis voraus, eine solche Warnung der Firewall auch korrekt zu deuten und abzulehnen.

Bislang sind lediglich Staatstrojaner bekannt, die für Windows-Rechner programmiert sind. Wer einen Mac oder Linux benutzt, einen Tablet-PC verwendet oder ein Smartphone, muss nach aktuellem Kenntnisstand nicht damit rechnen, Bekanntschaft mit einem Staatstrojaner zu machen. Auch kommerzielle Trojaner werden nach wie vor in erster Linie für Windows-Rechner programmiert.

[Ein Beitrag von Jörg Schieb]

Mehr zu "Viren, Würmern und Trojanern" erfahren Sie auch in unserem "Wissen wie's geht" zum Thema Sicherheit!