CCC analysiert Bundestrojaner mit erschreckendem Ergebnis

Der Chaos Computer Club hat Schadsoftware untersucht, die ihm zugespielt wurde und bei welcher der Absender vermutete, dass es sich um die gemeinhin als Bundestrojaner bezeichnete Malware handelte. Dabei förderten die Hacker erschreckende Sachverhalte zutage.

Die vom Chaos Computer Club (CCC) untersuchten Trojaner wiesen demnach nicht nur eklatante Sicherheitsmängel auf, sondern seien auch so programmiert, dass eine Erweiterung über ihre eigentliche Funktion hinaus ohne weiteres möglich sei. Der Spielraum für den Einsatz eines Trojaners wurde bereits 2008 vom Bundesverfassungsgericht deutlich eingeschränkt. Demnach seien Online-Durchsuchungen nach staatlicher Anweisung zwar prinzipiell möglich, dürften aber nur vorgenommen werden, wenn eine existenzielle Bedrohung für ein überragend wichtiges Rechtsgut – also etwa für Menschenleben oder den Bestand des Staates – bestehe. Im Rahmen dieser Rechtsprechung dürfe etwa die private Datensphäre nicht manipuliert werden und es sollte nur unter hohen Auflagen möglich sein, die via Internet getätigten Anrufe eines Verdächtigen abzuhören. Im Wesentlichen hätten die untersuchten Bundestrojaner also auf den Funktionsumfang der sogenannten Quellen-TKÜ (Quellen-Telekommunikationsüberwachung) beschränkt sein müssen, mit der das Mithören von Internetgesprächen vor der Verschlüsselung (beim Sender) oder nach der Entschlüsselung (beim Empfänger) möglich ist.

Tatsächlich ergaben die Analysen des CCC (PDF, Video) aber, dass die vermeintlichen Bundestrojaner so programmiert sind, dass weitere Funktionen nachgeladen werden können: „So kann der Trojaner über das Netz weitere Programme nachladen und ferngesteuert zur Ausführung bringen. Eine Erweiterbarkeit auf die volle Funktionalität des Bundestrojaners – also das Durchsuchen, Schreiben, Lesen sowie Manipulieren von Dateien – ist von Anfang an vorgesehen. Sogar ein digitaler großer Lausch- und Spähangriff ist möglich, indem ferngesteuert auf das Mikrophon, die Kamera und die Tastatur des Computers zugegriffen wird.“ Der CCC sieht hierin die Absicht, die vom Bundesverfassungsgericht auferlegten Grenzen nicht nur zu missachten, sondern vielmehr noch eine heimliche Erweiterung der Funktionalitäten bewusst vorzusehen.

Dabei kann bereits die Standardversion der Trojaner mehr, als nur den Telekommunikationsverkehr zu überwachen. Über eine selbstgeschriebene Steuerungsmöglichkeit ist es dem CCC etwa gelungen, dass mit Hilfe des Trojaners Screenshots des Webbrowers aufgenommen werden konnten – inklusive aller zu dieser Zeit angezeigten Inhalte wie E-Mails oder Notizen.

Eklatant ist dabei auch, dass dem CCC mehrere kritische Sicherheitslücken bei seiner Analyse auffielen. Demnach würden die ausgeleiteten Bildschirmfotos und Audio-Daten auf „inkompetente“ Art und Weise verschlüsselt, während die Kommandos an den Trojaner gar vollständig unverschlüsselt übermittelt werden. Mehr noch: Es besteht keine Art der Authentifizierung oder Integritätssicherung, weder bei den Kommandos an den Trojaner noch bei seinen Rückmeldungen an die Steuersoftware. Es wäre demnach sowohl möglich, dass unbefugte Dritte Manipulationen an einem von dem Trojaner infizierten Computer vornehmen, als auch die Sicherheitsbehörden selbst ins Visier nehmen, indem sie sich als Trojaner tarnen. „Wir waren überrascht und vor allem entsetzt, daß diese Schnüffelsoftware nicht einmal den elementarsten Sicherheitsanforderungen genügt. Es ist für einen beliebigen Angreifer ohne weiteres möglich, die Kontrolle über einen von deutschen Behörden infiltrierten Computer zu übernehmen“, kommentierte ein CCC-Sprecher.

Zur Tarnung der Steuerzentrale werden die ausgeleiteten Daten und Kommandos obendrein über einen in den USA angemieteten Server umgelenkt. Die Steuerung des Trojaners findet also jenseits des Geltungsbereiches des deutschen Rechts statt, was nicht nur in sich brisant ist, sondern auch die Frage aufwirft, wie mit der Möglichkeit von im Ausland verloren gegangenen Daten umgegangen werden soll.

In Summe sieht der CCC einen Bruch mit den meisten wesentlichen Versprechen, die die Bundesregierung für den Einsatz der Trojaner-Software gegeben hat. Weder könne von „einer Handvoll“ von Einsätzen des Trojaners die Rede sein – dem CCC wurden mehrere Versionen zugespielt, die, da man annehmen muss, dass nicht sämtliche im Umlauf befindliche Trojaner entdeckt und übermittelt wurden, auf eine große Zahl schließen lassen – noch seien die Trojaner jeder für sich handprogrammiert. Wesentliche Kerne der Software seien gleich und insbesondere der verwendete kryptographische Schlüssel ist identisch, da er hardkodiert eingepflegt wurde. Die versprochene Qualitätssicherung bei der Entwicklung der Trojaner kann also kaum stattgefunden haben.

Vielen Dank für die zahlreichen
Hinweise zu dieser News!