Datenschutz-Skandal: Trojaner aus Bayern!
Die Bundeskanzlerin nimmt „die Vorwürfe sehr ernst“. Die Opposition fordert eine „gründliche Untersuchung“, und die Union verspricht „Aufklärung“. Die Affäre um den „Bundestrojaner“, das Schadprogramm, mit dem Behörden Computer daheim in Spione verwandeln können, weitet sich aus. Nun steht fest: Der Trojaner kommt aus Bayern!
Wer spioniert?
Wir waren es nicht!, sagt das Bundeskriminalamt: „Was immer auch der Chaos Computer Club untersucht hat“, so ein Sprecher des Innenministeriums: „Es handelt sich dabei nicht um einen so genannten Bundes-Trojaner.“ Allerdings seien Justiz und Behörden des Bundes und der Länder eigenständig für die Einhaltung rechtlicher Vorgaben zuständig.
Waren es die Länder? „Das Landeskriminalamt in Bayern hat nachweislich in mindestens fünf Fällen Computer mit Trojanern ausgeforscht und dabei auch Screenshots angefertigt“, sagte Susanna Tausendfreund, innenpolitische Sprecherin der Grünen im bayerischen Landtag. „Der Verdacht drängt sich auf“, sagt sie, „dass der Bundes-Trojaner in Wahrheit ein Bayern-Trojaner ist“.
Und tatsächlich: Am späten Abend bestätigte das bayerische Innenministerium, dass der gefürchtete "Bundestrojaner" tatsächlich ein "Bayern-Trojaner" ist. Die Erstbewertung des Landeskriminalamts habe ergeben, dass die dem CCC zugespielte Software einem Ermittlungsverfahren der bayerischen Polizei aus dem Jahr 2009 zugeordnet werden kann, teilte Innenminister Joachim Herrmann (CSU) mit.
Patrick Schladt, Jurist aus Landshut, sagt, bei einem seiner Mandanten sei ein Trojaner auf den Rechner gespielt worden – und zwar bei einer Kontrolle vom Münchner Zoll. Gegen den Mandanten wurde wegen Drogenhandels ermittelt. Die Fahnder machten alle 30 Sekunden Aufnahmen von seinem Bildschirm. Das Landgericht Landshut verbot im Frühjahr entsprechende Ermittlungen: „Wir prüfen alle bearbeiteten Verfahren“, sagt das LKA in Bayern der AZ.
Noch nicht geklärt ist laut Herrmann, ob es sich bei der vorliegenden Datei um eine Testversion oder um die später tatsächlich eingesetzte Software handelt. Herrmann betonte aber, dass das Landeskriminalamt nach Einschätzung des Ministeriums beim Einsatz der Trojaner alle rechtlichen Vorgaben eingehalten hat. Der Innenminister schaltete deswegen auch den bayerischen Datenschutzbeauftragten Thomas Petri ein. Petri soll als unabhängiger Fachmann sowohl die Einhaltung der Rechtsvorschriften als auch die technische Umsetzung der Online-Überwachung prüfen.
Was kann der Trojaner? Trojaner täuschen eine nützliche Anwendung vor, erfüllen im Hintergrund aber eine ganz andere Funktion. Computer-Kriminelle nutzen sie etwa, um Passwörter für E-Mail-Konten abzufangen oder Online-Banking zu manipulieren. Dabei werden unter anderem Tastatur-Eingaben des Anwenders ausspioniert. Verbreitet werden Trojaner meist über manipulierte E-Mails oder das Internet. So werden Anwender beispielsweise mit einem Lockangebot aufgefordert, eine Software zu installieren. Folgt der User dieser Aufforderung, nistet sich der Schädling auf dem Computer ein. Ähnlich können auch Strafverfolgungsbehörden in Deutschland Trojaner nutzen: Sie dürfen Überwachungsprogramme nicht im Rahmen eines Einbruchs auf den Rechnern von Verdächtigen installieren, können aber versuchen, sie selbst mit Tricks zur Installation der Software zu bewegen.
Wie gefährlich sind die Trojaner? „Ein Trojaner ist eine Spionage-Software“, so Tjark Auerbach, Geschäftsführer von Avira – auch wenn sie vom Staat benutzt werde. „Sobald seine Struktur den Software-Herstellern bekannt wird, wird er in das Verzeichnis bekannter Viren aufgenommen und von den Programmen blockiert.“ Allerdings entdecken die Programme nur bekannte Schadware. Wenn es eine Einzelanfertigung ist, dann sind Anti-Virenprogramme zunächst kein Schutz.
Gibt es staatlich erzwungene Sicherheitslücken bei Anti-Viren-Programmen? Rechtlich möglich, die Industrie kann zur Zusammenarbeit mit den Strafverfolgern verpflichtet werden, praktisch „kaum vorstellbar“, heißt es in der Branche. Da müsse die Industrie mit immensem Aufwand für jeden Staat eigene Lücken programmieren. So würde sich der Staat massiv in die wirtschaftlichen Belange der Unternehmen einmischen, argumentiert Andreas Lamm von Kaspersky Lab. Auch unter dem Gesichtspunkt der internationalen Industriespionage sei es unerträglich, staatlichen Stellen durch absichtliche Hintertüren jederzeit Zugriff auf Computersysteme zu ermöglichen, so Proske von F-Secure.
Was ist erlaubt? Das Bundesverfassungsgericht hat 2008 hohe Hürden für Online-Durchsuchungen gesetzt. Sie seien nur bei einer konkreten Gefahr für ein „überragend wichtiges Rechtsgut“ zulässig – also bei Gefahr für Leib, Leben und Freiheit oder bei Bedrohungen, die den Bestand des Staates oder die Grundlagen der menschlichen Existenz berührten. Vor einer Online-Durchsuchung muss ein Richter über die Aktion entscheiden. Mit dem Grundsatzurteil hatte das Gericht nach den Worten seines damaligen Präsidenten Hans-Jürgen Papier erstmals ein „Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme“ geschaffen. mm.
