Die Hacker trauten ihren Augen kaum, als sie den Staatstrojaner genauer unter die Lupe nahmen. Denn eigentlich darf der Regierungsschnüffler nur laufende Telefongespräche über das Internet via Skype aufzeichnen, wie das Bundesverfassungsgericht im Februar 2008 klarstellte. Dass das mit der Realität nicht viel zu tun hatte, merkten die Hacker schnell. Denn der Trojaner beschränkt sich nicht auf Telefongespräche - er sammelt alles, was er in seine digitalen Finger kriegt, sollten die Vorwürfe des CCC stimmen.
Noch ist unklar, ob wirklich deutsche Ermittlungsbehörden hinter dem umstrittenen Programm stecken. Der CCC schreibt in seiner Stellungnahme lediglich, es gebe einen Anlass zur Vermutung, "dass es sich möglicherweise um einen 'Bundestrojaner' handeln könnte". Ein Sprecher des Bundesinnenministeriums bestätigte, dass Programme zur Ausspähung von Daten von Bundes- und Landesbehörden benutzt werden. "Für den Einsatz dieser Software gibt es gesetzliche Grundlagen, die beim Einsatz beachtet werden müssen", so der Sprecher. Doch genau jene gesetzlichen Grundlagen werden bei dem gefundenen Trojaner mit Füßen getreten, sollte er auch von der Bundesregierung verwendet werden.
Der Trojaner kann alles
Das Überwachungsprogramm kann Gespräche mithören, E-Mails und Chatprotokolle lesen und Screenshots des Bildschirms machen. Das allein ist schon grenzwertig, denn nicht alles, was auf dem Bildschirm passiert, darf ungehindert aufgezeichnet werden. So würde das Anfertigen eines Screenshots vom derzeit geöffneten Browser-Fenster nicht unter den vom Bundesverfassungsgericht begrenzten Rahmen der "Kommunikationsüberwachung" fallen - der CCC bezeichnet es sogar als "staatlichen Voyeurismus". Doch laut dem Bericht befinden sich in dem Trojaner auch Funktionen, die explizit vom höchsten deutschen Gericht verboten wurden. So kann das Programm weitere Module - vom Nutzer unbemerkt - aus dem Internet laden, um zusätzliche Funktionen freizuschalten.
Eine dieser Erweiterungen ermöglicht das Fernsteuern des Rechners und den Zugriff auf das Mikrofon, die Webcam oder die Tastatur, um den Raum zu überwachen. Der große Lausch- und Spähangriff, vor den Kritiker einst gewarnt haben - er ist längst Realität. Eine andere Funktion erlaubt die komplette Untersuchung der Festplatte, bei der Dateien auch heruntergeladen werden können. Das ist genau die Form der "Online-Untersuchung", die das Bundesverfassungsgericht ablehnte.
Das Schockierende: Das Programm kann nicht nur Dateien herunterladen, sondern auch auf den fremdgesteuerten Rechner schieben. Technisch gesehen wäre es somit kein Problem, digitale Beweismittel zu erzeugen. Mit Hilfe des Programms könnten beispielsweise kinderpornografische Bilder oder terroristische Dokumente wie Bombenbau-Anleitungen auf dem Rechner abgelegt werden, ohne dass der Nutzer dies bemerkt. Diese Dateien könnten in einem späteren Prozess als belastende „Beweise“ genutzt werden, ohne dass die Manipulation erkennbar wäre.
Der Antiviren-Spezialist F-Secure bestätigte in einer eigenen Analyse, dass das Programm unter anderem die Eingaben eines Nutzers im Internet-Browser Firefox und bei Chat-Programmen wie Skype oder ICQ aufzeichnen könne. Außerdem könnten Audio-Stücke aufgenommen werden. "Wir haben keinen Grund, die Erkenntnisse des CCC anzuzweifeln", teilte F-Secure mit.
Offen wie ein Scheunentor
"Wir sind hocherfreut, dass sich für die moralisch fragwürdige Tätigkeit der Programmierung der Computerwanze kein fähiger Experte gewinnen ließ und die Aufgabe am Ende bei studentischen Hilfskräften mit noch nicht entwickeltem festen Moralfundament hängenblieb", schreibt der Chaos Computer Club spöttisch in seiner Mitteilung. Denn es sind nicht nur die gesetzeswidrigen Funktionen, die den Chaos Computer Club schockieren. Es ist auch die schlechte Programmierarbeit. "Wir waren überrascht und vor allem entsetzt, dass diese Schnüffelsoftware nicht einmal den elementarsten Sicherheitsanforderungen genügt“, kommentierte ein CCC-Sprecher die mangelnde Sicherheit.
Die aufgezeichneten Audio-Daten, Bildschirmfotos und Textdokumente sind nur mangelhaft geschützt, die Befehle der Software sogar völlig unverschlüsselt. Weder die Kommandos an den Trojaner noch dessen Antworten sind in irgendeiner Form der Authentifizierung geschützt, heißt es in dem Bericht. Das ermöglicht Dritten nicht nur den Zugriff auf die brisanten Daten, sie könnten auch die Ergebnisse des Trojaners manipulieren und gefälschte Daten abliefern. Die schlechten Sicherheitsvorkehrungen wirken sich nicht nur auf den bespitzelten Bürger aus: Da die Kommunikationswege des Programms offenliegen, sind auch Angriffe auf die Infrastruktur der Betreiber denkbar. Der CCC verzichtete auf diesen Test, andere Hacker sind vielleicht weniger nachsichtig.
Wie gelangt der Trojaner auf den Rechner?
Der Trojaner kann auf zwei Wegen auf den Rechner des Nutzers gelangen. Bei der ersten Möglichkeit benötigen die Betreiber direkten Zugriff auf den Computer, auf dem das Programm laufen soll. Dazu müsste der Computer beispielsweise beschlagnahmt oder in die Wohnung eingebrochen werden, um die Software anschließend zu installieren. Bei der zweiten Möglichkeit wird das Tool über das Internet heruntergeladen, so wie jede andere Schadsoftware auch. Beliebte Verbreitungswege sind infizierte E-Mail-Anhänge oder verseuchte Internetseiten, die schon beim Aufrufen der Website den Schädling installieren. Der gefundene Trojaner basiert auf dem Betriebssystem Windows, ob auch Nutzer von Linux- oder Macintosh-Rechnern betroffen sind, ist derzeit unklar.
Ist das Programm einmal installiert, fährt es sich bei jedem Start des Computers hoch und verbindet sich mit einem Server im Internet, an den es seine Inhalte sendet. Wie die Analysen des CCC zeigten, befindet sich der Server in den USA, um das wahre Ziel des Datenversands zu verschleiern. Problematisch: Die Steuerung der Computerwanze findet jenseits des Geltungsbereiches der einzelnen Länder statt, die schlechte Verschlüsselung des Programms erlaubt es Dritten, sich in den Datenversand einzuklinken. Sollten die Daten eines deutschen Bürgers im Ausland verloren gehen, bleibt es fraglich, ob der betroffene Bürger sein Grundrecht auf wirksamen Rechtsbehelf ausüben kann.
Kann man sich gegen den Trojaner schützen?
Ein Schutz gegen den Staatstrojaner ist nur schwer möglich. Zum Einen wird das Tool von gängiger Antivirensoftware nicht erkannt. Zum Anderen ist das Programm sehr tief in das System eingebaut und darauf spezialisiert, unbemerkt zu bleiben. Dennoch gibt es ein paar Wege, den unliebsamen Datenschnüffler loszuwerden: Zunächst muss der Datenverkehr des eigenen Rechners genau überwacht werden. Sendet der Computer regelmäßig große Datenpakete, ohne dass man es veranlasst hat, steckt möglicherweise mehr dahinter.
Für die Außen-Kommunikation verwendet der Trojaner den TCP-Port 443. Über diesen Port kommuniziert der Trojaner in seinem eigenen Sprach-Protokoll, weshalb der Trojaner von einer guten Firewall erkannt und geblockt werden kann.
Der Chaos Computer Club fordert klarere Gesetze im Umgang mit Online-Durchsuchungen. Ebenso sollten illegal erlangte Beweise vor Gericht nicht mehr verwendet werden dürfen - bislang dürfen mit Hilfe von Trojanern erstellte Screenshots für eine Anklage genutzt werden, auch wenn die Dateien nicht auf rechtmäßigem Weg beschafft worden sind. Einen Sieger dürfte es in dieser Debatte schon einmal geben: Die Piratenpartei macht es sich seit Jahren zur Aufgabe, gegen den Datenwahn der Regierungen vorzugehen. Jetzt zeigt sich, dass noch nicht genug unternommen wurde.
