Deutsche Sicherheitsbehörden setzen Spionagesoftware auf privaten Computern ein, obwohl sie damit gegen elementare Grundrechte verstoßen und das Bundesverfassungsgericht dies ausdrücklich verboten hat. Heribert Prantl bezeichnet das in einem Kommentar der Süddeutschen Zeitung als „eine neue Form der Staatskriminalität“.
Die von den Behörden verwendeten sogenannten Trojaner können ferngesteuert werden. Sie werden eingesetzt, um Programme auf den infiltrierten Computer aufzuspielen und alle darauf ablaufenden Vorgänge einsehbar zu machen. Sie können auch auf Tastatur und Kamera zugreifen. Das heißt, die Sicherheitsorgane des Staates können damit nicht nur Mails lesen, Skype-Gespräche abhören und lückenlose Screenshots erstellen, sondern auch mittels Mikrofon und Kamera ausspähen, was in der Wohnung vorgeht.
Das Bundesverfassungsgericht hatte diese allgemeine Onlineüberwachung am 27. Februar 2008 in einem Grundsatzurteil verboten, von diesem Verbot allerdings die sogenannte Quellen-Telekommunikationsüberwachung (Quellen-TKÜ) ausgenommen, die es den Sicherheitsbehörden erlaubt, die Kommunikation auf dem Computer eines Verdächtigen abzufangen, bevor sie verschlüsselt wird.
Das Gericht hatte die Quellen-TKÜ allerdings an strikte Auflagen, wie das Vorliegen einer richterlichen Genehmigung, geknüpft und auf Fälle von schwerster Kriminalität und Terrorismus beschränkt. Außerdem müsse durch „technische Vorkehrungen und rechtliche Vorgaben sichergestellt“ sein, dass sich die „Überwachung ausschließlich auf Daten aus einem laufenden Telekommunikationsvorgang beschränkt“. Das 2009 verabschiedete BKA-Gesetz erlaubte den Behörden dann den Einsatz von Trojanern unter den vom BVG genannten Voraussetzungen bei Bedrohung von „Leib, Leben oder Freiheit“ und bei Gefahr für den „Bestand des Staates“.
Seit dem letzten Wochenende ist klar, dass sich die Sicherheitsbehörden nicht an diese Auflagen halten. Der Chaos Computer Club (CCC) hat die Spionagesoftware auf der Festplatte eines infizierten Computers analysiert, die ihm von den Betroffenen zugespielt wurde.
Der CCC fand heraus, dass die Behörden die gesetzlichen Auflagen bewusst verletzen. Es sei „nicht einmal versucht worden, softwaretechnisch sicherzustellen, dass die Erfassung von Daten strikt auf die Telekommunikation beschränkt bleibt, sondern – im Gegenteil – die heimliche Erweiterung der Funktionalitäten der Computerwanze wurde von vorneherein vorgesehen“, heißt es in der Erklärung des CCC.
Damit sei die Behauptung widerlegt, dass „in der Praxis eine effektive Trennung von ausschließlicher Telekommunikationsüberwachung und dem großen Schnüffelangriff per Trojaner möglich oder überhaupt erst gewünscht“ sei. Die Ermittlungsbehörden schreckten vor einem Rechtsbruch nicht zurück, „wenn ihnen niemand auf die Finger schaut“.
Weiter warnt der CCC, dass über die Fremdsteuerungsfunktion zum Nachladen und Ausführen beliebiger Schadsoftware auch fingierte digitale Beweise auf dem Rechner platziert werden können, die dann bei einer Beschlagnahme entdeckt werden. Ein Verdächtigter hätte keine Handhabe zu beweisen, dass sie ihm untergeschoben wurden.
Was da möglich ist, zeigte ein Fall bei der HSH Nordbank, bei dem durch Privatschnüffler Kinderpornos auf einen Rechner aufgespielt wurden.
Die Nachladefunktion, die es auch ermöglicht, die Festplatte nach Dateien zu durchforsten oder Mikrofon und Kamera als Raumüberwachungswanze zu nutzen, wurde von den Programmierern des vom CCC analysierten Trojaners bewusst getarnt.
Während der Rest der Trojaner-Software keine nennenswerten Absicherungen gegen die Erkundung seiner Funktionen durch Maschinencode-Analyse aufwies, hatten sich die Programmierer bemüht, die Nachladefunktion zu tarnen und ihre Wirkungsweise zu verbergen. Zu diesem Zweck wurden die einzelnen Softwareteile wie Puzzlesteine verstreut.
„Die Auftraggeber und Programmierer des Trojaners waren sich anscheinend des massiven verfassungsrechtlichen Verstoßes bewusst und versuchten ihr Vorgehen zu vertuschen“, heißt es dazu in der Online-Ausgabe der Frankfurter Allgemeinen Zeitung.
Mittlerweile hat die bayrische Landesegierung zugegeben, den vom CCC analysierten Trojaner in fünf Fällen eingesetzt zu haben. Auch in Baden-Württemberg, Niedersachsen, Brandenburg und Schleswig-Holstein kam er oder eine ähnliche Version zum Einsatz.
Dabei handelte es sich nicht um Fälle von Schwerstkriminalität oder Terrorismus, sondern um kriminalistische Dutzendfälle, wie gewerbsmäßigen Handel mit Betäubungsmitteln, Hehlerei und Diebstahl von Drogerieartikeln und Kleidung oder Dopingmitteln. In einem Fall hatten 15 Beschuldigte im Internet Elektrogeräte angeboten, aber nicht geliefert und damit 200 Besteller um ihr Geld gebracht.
Der bayerische Innenminister Joachim Herrmann und der Chef des bayerischen Landeskriminalamts Peter Date verteidigen diese Maßnahmen und behaupten, sie seien mit den Gesetzen, der Strafprozessordnung und dem Urteil des Bundesverfassungsgerichts im Einklang. Das Landgericht Landshut sah im Abfotografieren des Bildschirms alle paar Sekunden allerdings einen klaren Rechtsbruch. Laut Dathe befinde man sich daher „allenfalls in einer rechtspolitischen Diskussion“.
Auch der Hersteller des vom CCC untersuchten Trojaners ist inzwischen bekannt. Es handelt sich um die Firma Digitask aus dem hessischen Haiger.
Digitask ist mit den deutschen Behörden offenbar gut im Geschäft. Zu ihren Kunden gehören auch die Zollbehörden, die in einem bayrischen Fall Amtshilfe leisteten, indem sie bei einer Zollkontrolle den Trojaner auf dem Rechner des Verdächtigen installierten. Das Kölner Zollkriminalamt vergab Presseberichten zufolge von März 2008 bis Januar 2009 Aufträge im Wert von 2,7 Millionen Euro für Hard- und Software zur Telekommunikationsüberwachung an Digitask. Nach Informationen von SpiegelOnline soll auch die Bundesnetzagentur bei Digitask geordert haben.
Der Piratenpartei war schon Anfang 2008 eine Preisliste für die Trojaner von Digitask zugespielt worden. Danach liegen der Mietpreis für die Software monatlich bei 3.500 Euro, die einmaligen Installationskosten vor Ort bei 2.500 Euro und der Mietpreis für Dekodierung „pro Ort und Maßnahme“ noch einmal bei 2.500 Euro.
Laut Einschätzung des CCC weist der Trojaner von CCC eklatante Sicherheitslücken auf, die es für einen beliebigen Angreifer ohne weiteres möglich machen, „die Kontrolle über einen von deutschen Behörden infiltrierten Computer zu übernehmen“.
So könne der Trojaner Befehle ohne jede Absicherung oder Authentifizierung entgegennehmen, wie sie z. B. beim Online-Banking üblich seien. Die ausgeleiteten Bildschirmfotos und Audio-Daten seien auf inkompetente Weise verschlüsselt, die Kommandos von der Steuersoftware an den Trojaner sogar vollständig unverschlüsselt. Daher sei es möglich, dass Dritte den Rechner mühelos steuern könnten, wenn sie wüssten, dass sich dort ein Trojaner befinde.
Von „Beweissicherheit“ vor Gericht kann somit beim Einsatz von Trojanern nicht die Rede sein. Selbst wenn man unterstellt, dass sich die Richter und Behörden nach Recht und Gesetz verhalten, ist eine Manipulation durch Dritte nicht auszuschließen.
Die ertappten Behörden und Politiker, die sich jahrelang für die Online-Überwachung eingesetzt hatten, üben sich inzwischen in Schadensbegrenzung.
Bundesinnenminister Hans-Peter Friedrich (CSU) beeilte sich zu erklären, Bundesbehörden hätten die fragliche Software nicht verwendet, und empfahl den Ländern, das vom CCC untersuchte Programm vorsichtshalber nicht mehr einzusetzen.
Justizministerin Sabine Leutheuser-Schnarrenberger (FDP) klagte, dass die Auflagen des Bundesverfassungsgerichts nicht eingehalten würden und damit das Vertrauen der Bürger verschwinde. Die FDP habe immer vor den Gefahren staatlicher Schnüffelsoftware gewarnt, behauptete sie, obwohl die FDP als Regierungspartei jahrzehntelang jeder Verschärfung staatlicher Sicherheitsgesetze zugestimmt hat.
Der Vorsitzende des Bundestags-Innenausschusses Wolfgang Bosbach (CDU) sprach von erheblichen und gravierenden Vorwürfen, verteidigte aber die Ermittlung mittels heimlich installierter Computerprogramme: „Das sind Ermittlungsmöglichkeiten, auf die der Staat nicht generell verzichten kann, weil er sonst in einer Reihe von Verfahren gar keine Beweise mehr erheben kann.“
Die SPD verlangte eine aktuelle Stunde im Bundestag und SPD-Generalsekretärin Andrea Nahles sprach von einem „eklatanten Verstoß gegen die Grundrechte“, obwohl sich auch die SPD stets für die Online-Überwachung stark gemacht hat.
Das rechtswidrige Ausspähen von Bürgern mit Trojanern ist weder ein Versehen noch ein Einzelfall. Es ist Bestandteil einer systematischen Staatsaufrüstung, die von allen etablierten Parteien mitgetragen wird. Unter dem Vorwand der Kriminalitäts- und Terrorismusbekämpfung bereiten sie sich auf eine Konfrontation mit breiten Bevölkerungsschichten vor, die immer weniger bereit sind, die Lasten der kapitalistischen Wirtschafts- und Finanzkrise zu tragen.