BKA-Gesetz: So funktioniert der Bundestrojaner

Constanze Kurz vom CCC würde den Bundestrojaner gerne wegschieben© Kathrin Harms

Der Bundestrojaner steht vor der Tür. Heute hat der Bundestag die umstrittene Novellierung des BKA-Gesetzes beschlossen, die dem Bundeskriminalamt neben einer Reihe weiterer Maßnahmen "zur Abwehr von Gefahren des internationalen Terrorismus" auch das heimliche Durchschnüffeln privater Computersysteme erlauben soll. Die Ermittler selbst nennen das Hackerinstrument, das dabei zum Einsatz kommen soll, "Remote Forensic Software" (RFS) - ferngesteuerte forensische Software. Der Volksmund hat dafür die griffigere Bezeichnung "Bundestrojaner" gefunden, die in Österreich im vergangenen Jahr sogar zum "Wort des Jahres" gewählt wurde. "Das Wort verweist in knapper Form und zugleich auf pointierte Weise auf aktuelle Entwicklungen im gegenwärtigen öffentlichen Leben unseres Landes, die höchst umstritten, aber offizielle staatliche Politik sind", lautete die Begründung der Jury.

Höchst umstritten ist der Bundestrojaner auch hierzulande. "Bundestrojaner", das klingt bedrohlich. Und bedrohlich ist scheint er tatsächlich zu sein. Fragt sich, für wen. Bedrohlich für die Terroristen, gegen die sich der Trojaner richtet, hofft das BKA. Bedrohlich für die Demokratie und die Bürgerrechte, sagen Datenschützer.

Was er kann, was er soll

Die RFS ist ein Programm, mit dessen Hilfe das Bundeskriminalamt (BKA) künftig unbemerkt IT-Systeme verdächtiger Personen ausspähen will. Oft wird auch von "Online-Durchsuchung" gesprochen. Allerdings ist diese Bezeichnung nicht ganz treffend, da ein heimlicher Spionageangriff nicht unbedingt über eine Internetverbindung erfolgen muss. Auch ein lokales Netzwerk, eine Infrarotschnittstelle oder ein USB-Stick kann als Einfallstor für Schnüffelprogramme dienen. Zudem beziehen sich die geplanten Überwachungsmaßnahmen des BKA nicht allein auf PCs. Der Gesetzesentwurf sieht verdeckte Eingriffe in einem viel weiteren Sinn vor (§ 20k): "Das Bundeskriminalamt darf ohne Wissen des Betroffenen mit technischen Mitteln in vom Betroffenen genutzte informationstechnische Systeme eingreifen und aus ihnen Daten erheben (...)." Dazu gehören, unter anderem, auch mobile Kommunikationsgeräte wie PDAs oder Handys.

"Wenn man von einem Trojaner spricht, meint man meist ein kleines Programm, das sich huckepack und unwissentlich einschleust, etwa, während der Computernutzer wissentlich andere Programme oder Dateien herunterlädt", erklärt Constanze Kurz vom Chaos Computer Club (CCC). Diese "klassische" Variante des Selbst-Hineinlassen des Trojaners kann auf verschiedene Arten geschehen. Der simpelste Weg sei, den Nutzer - gegebenenfalls unter Vorgabe einer falschen Identität - zu einer direkten Interaktion per E-Mail oder Instant Messenger zu verleiten, so Markus Hansen vom Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein. Er hält aber auch eine subtilere Art der Ferninstallation für möglich: "Denkbar wäre, sich in die Infrastruktur einzuklinken und Daten während der Übertragung zu manipulieren." E-Mails von vertrauten Menschen oder Institutionen müssen durchs Internet - unterwegs kann man ihnen ungebetenes Gepäck aufladen.

Wie der Trojaner digitale Trutzburgen erstürmt

CCC-Sprecherin Constanze Kurz hält auch Bundestrojaner-Varianten für möglich, die sich den Zutritt zum Computer nicht unter der Vortäuschung falscher Tatsachen ergaunern müssen, sondern einfach unbemerkt durch die Hintertür schleichen: "Man muss nicht unbedingt einen "Ok"-Knopf klicken, um einen Trojaner bei sich einzulassen." Es gibt Schwachstellen in der Programmarchitektur von Betriebssystemen und Anwendersoftware, die für feindliche Angriffe ein gefundenes Ziel sind. Zwar veröffentlichen etwa Microsoft, Apple oder Mozilla regelmäßig Software-Flicken, so genannte Patches, um bekannt gewordene Sicherheitslöcher in ihren Programmen zu stopfen. Diese Patches allerdings können nur die gröbsten Löcher schließen und kommen oft mit einer gehörigen Verspätung. Hinweise auf Sicherheitslücken kursieren teilweise mehrere Wochen oder Monate, bevor diese geschlossen werden. Viele bleiben von den Softwarefirmen unentdeckt.