Startseite

Gravierende Sicherheitslücken auch in Version 2.0

Der Chaos Computer Club legt im Streit um den Staatstrojaner-Einsatz zur Computer-Überwachung nach und stellte die Analyse eines aktuellen Programms vor. Auch im neuen Trojaner klaffen nach den Erkenntnissen der Hacker gravierende Sicherheitslücken.

  Demokratietest nicht bestanden: Mit der Software BinDiff hat der Chaos Computer Club den aktuellen Staatstrojaner mit der ersten Version verglichen

Demokratietest nicht bestanden: Mit der Software BinDiff hat der Chaos Computer Club den aktuellen Staatstrojaner mit der ersten Version verglichen

Dem Chaos Computer Club (CCC) ist eine "noch fast fabrikneue" Version des umstrittenen Staatstrojaners zugespielt worden. Eine Analyse des Programmcodes habe ergeben, dass die Spionage-Software weiterhin für rechtswidrige Aktionen eingesetzt werden könne, erklärte der Club am Mittwoch. Wo die Software eingesetzt wurde, blieb zunächst offen. Das Bundesinnenministerium dementierte den Einsatz für die ihm unterstellten Behörden, das sind Bundeskriminalamt (BKA), Bundesverfassungsschutz und Bundespolizei. Vor zweieinhalb Wochen hatte der CCC eine erste Trojaner-Software zum Abhören von Kommunikation via Computern angeprangert, die in Bayern eingesetzt wurde.

Nun erklärte der CCC, der neu analysierte Trojaner entspreche "wie seine Vorgängervarianten in keiner Weise dem Stand der Technik" und enthalte "weiterhin die grundgesetzbrechende Funktion zum Nachladen beliebiger Erweiterungen". "Entgegen aller Beteuerungen der Verantwortlichen kann der Trojaner weiterhin gekapert und beliebiger Code nachgeladen werden", sagte ein CCC-Sprecher der Nachrichtenagentur dpa.

BKA-Präsident Jörg Ziercke hatte die Überwachung von Computern als unverzichtbar bezeichnet, wenn das Internet für schwere und schwerste Kriminalität eingesetzt werde. Die Kritik des CCC, der Trojaner könne manipuliert und rechtswidrig eingesetzt werden, wies Ziercke vor einer Woche im Innenausschuss des Bundestages auch mit dem Hinweis zurück, der Club habe eine "ca. drei Jahre alte Version der Software (analysiert), die das BKA nicht eingesetzt hat".

CCC findet Nachladefunktion auch in neuem Trojaner

Der CCC veröffentlichte nun die Analyse einer neuen Variante des Staatstrojaners (Version 3.6.44 vom Dezember 2010), die ebenfalls von der hessischen Firma Digitask entwickelt worden sei. Die umstrittene Funktion des Trojaners, auch Bildschirmfotos (Screenshots) von dem ausgespähten Rechner anzufertigen, wurde in dieser Version entfernt. "Die verfassungswidrige Nachladefunktion steht jedoch weiterhin scheunentorweit offen", erklärte der CCC. "Dies bedeutet, dass unbefugten Dritten vom spukhaften Fernlöschen von Dateien bis hin zur akustischen Raumüberwachung genauso viele Möglichkeiten geboten werden wie den ermittelnden Beamten und ihren von Unkenntnis der technischen Sachlage geplagten Vorgesetzten."

Der CCC-Sprecher forderte die Behörden auf, auf den Einsatz von Trojanern zu verzichten und die Quellcodes der eingesetzten Programme sowie die Prüfprotokolle der Trojaner-Einsätze zu veröffentlichen: "Bei einer staatlichen Infiltration eines Rechners muss unwiderruflich die Möglichkeit erlöschen, Daten von der Festplatte des infiltrierten Systems gerichtlich zu verwerten."

Das BKA hatte bestritten, dass die Überwachungssoftware über eine "rechtswidrige Nachladefunktion verfügt, mit der beliebige Schadmodule nachgeladen werden". Die Updatefunktion des Programms werde allein zur Aktualisierung verwendet. Bei einem Update der Internet-Telefonie-Software Skype müsse auch die Überwachungssoftware angepasst werden. Dieser Darstellung widerspricht der CCC nun: "Der CCC konnte sein selbstgeschriebenes Trojaner-Steuerprogramm in nur wenigen Stunden anpassen, die Schadsoftware weiterhin steuern und Code auf den Opfer-Rechner nachladen."

Trojaner-Hersteller Digitask nennt Behörden verantwortlich

Bundesinnenminister Hans-Peter Friedrich (CSU) hatte angekündigt, der Bund werde ein eigenes Kompetenzzentrum zur Entwicklung von Software für Internetüberwachung einrichten. Die Bundesländer seien eingeladen, sich daran zu beteiligen. Darüber hinaus soll bis zur nächsten Innenministerkonferenz ein Vorschlag für ein Expertengremium vorgelegt werden, das die bisher benutzte Software von privaten Anbietern überprüft und zertifiziert.

Ein Sprecher der Firma Digitask sagte der dpa am Mittwoch, er könne noch nicht beurteilen, ob die vom CCC analysierte Software von Digitask stamme. Generell liefere das Unternehmen das, was die Behörden auf der Grundlage geltender Gesetze bestellen. Für den Einsatz der Software seien die Behörden selbst verantwortlich.

DPA/DPA

Stern Logo Das könnte Sie auch interessieren

Zu hohe Inkassogebühren, rechtens?
Hallo, ich habe am 20 März 15 einen Vertrag über 12 Monate mit einem Fitness-Studio abgeschlossen. Die Kosten (9,98 € 14-Tägig, 39,99€ Verwaltung einmalig, 19,99 Trainer und Servicepauschale Jährlich) sollten per Einzugsermächtigung abgebucht werden. Kürzlich bekam ich überraschend einen Brief von einem Inkassobüro mit der Zahlungsaufforderung für die gesamten 12 Monate inkl. der Verwaltung und Servicepauschale + Auslagen des Gläubigers (63,38€), Zinsen (1,42€), Geschäftsgebühr (45€), Auskunftskosten (5€) , Auslagenpauschale (9€) Hauptforderung 320,28€ Offene Forderung 444,08€ Nach dem ich mich bei der Firma erkundet habe, sagten sie mir, dass Zahlung zurückgegangen ist da mein Konto nicht gedeckt sei. Fakt war das sie einen Zahhlendreher in der Kontonummer hatten obwohl im meinem Durchschlag die Richtige Kontonummer angegeben wurde. Aber im Original hat jemand aus einer 3 eine 8 geändert. Nach Überprüfung konnte ich Feststellen das es diese Kontonummer gar nicht gibt und das diese vom System gar nicht angenommen wird. Spätestens da hätte man mich doch hinweisen oder fragen können was mit dem Konto sei. Es kam nie ein zu einem Zahhlungsrückgang, noch zu einer Zahlungserinnerung Mahnung seitens des Fitnessstudios. Die AGB´s habe ich nie zu Gesicht nie bekommen und auch nicht gelesen - diese stehen (nach meiner Recherche) im Internet aber auch nicht definiert wie man in Zahlungsverzug kommt. Leider habe ich unterschrieben das sie mir bekannt sind. Dies steht ganz kleingedruckt im Durchschlag. Ich habe der Firma vorgeschlagen die offenen Beiträge bis jetzt zu bezahlen und für die Zukunft eine neue Einzugsermächtigung zu erteilen, was sie aber abgelehnt haben und mir gesagt haben ich soll dies mit dem Inkassobüro klären. Der Fitnessvertrag ist somit gesperrt seit einem Monat. Da ich aber mit den Gebühren, Mahnspesen von dem Inkassobüro nicht einverstanden bin weiß ich nicht ob ich diese bezahlen muss. Ich habe dem Inkassobüro auch vorgeschlagen die offenen Beiträge zu begleichen und diese dann wie vertraglich vereinbart abgebucht werden. Sie haben mir angeboten diese in einem Jahr zu einem monatlichen Beitrag von 35€ abzuzahlen. Dies währen Mehrkosten von 100€, ist das rechtens? Bitte Antworten sie mir in einer Sprache die ich auch versteh - mit langen Gesetzestexten kann ich leider nicht umgehen Und was Sie denken was ich tun soll was rechtens ist. Vielen Dank im Voraus

Partner-Tools