Staatstrojaner - Worum handelt es sich genau?

Ein Staatstrojaner ist ein Computerprogramm zum Ausspähen von Rechnern, das von staatlichen Behörden zur Überwachung von Kriminellen eingesetzt wird. Aktuell (Stand: 04.06.2021) diskutiert der Bundestag über die Ausweitung solcher Überwachungsprogramme. In diesem Beitrag erklären wir sämtliche Aspekte dieser Software.

Wie funktioniert ein Trojaner?

Trojaner haben als Malware (Schadsoftware, in diesem Fall Spionagesoftware) ihren Namen aus der griechischen Mythologie: Bei der Belagerung der antiken Stadt Troja durch die Griechen (historisch wahrscheinlich um 1330 - 1130 v. Chr.) bauten diese ein großes hölzernes Pferd, in welchem sich ihre Soldaten verbargen, und stellten es vor die Tore der belagerten Stadt. Dann simulierten sie ihren Rückzug. Die Trojaner zogen das Pferd freiwillig in ihre Stadt, die danach von den Soldaten aus dem Trojanischen Pferd erobert wurde. So funktioniert auch das Computerprogramm: Nutzer laden es sich freiwillig herunter. Es tarnt sich als nützliches Programm und führt dann auf dem infizierten Rechner das Schad- bzw. Spionageprogramm durch.

Diskussion um den aktuellen Staatstrojaner

Das BKA und andere Dienste setzen schon länger Trojaner zur Onlineüberwachung ein, allerdings nach verschiedenen Quellen nicht sehr erfolgreich, weil die Schadsoftware von Antivirenprogrammen in der Regel erkannt wird. Offenkundig wollen die Behörden aber nun aufrüsten und die Effizienz dieser Programme verbessern, wogegen sich eine bemerkenswerte Allianz gebildet hat: Facebook, Google und der Chaos Computer Club, aber auch Industrieverbände wie VATM, eco und Bitmi sowie Mittelständler und weitere Organisationen protestierten gemeinsam gegen die neuen Pläne für einen Staatstrojaner. Dabei geht es um eine geplante Gesetzesänderung, die unmittelbar ansteht und noch vor dem Ende dieser Legislaturperiode im Herbst 2021 umgesetzt werden könnte. Sie enthält drei bemerkenswerte Aspekte:

Das Verfassungsschutzgesetz und das Bundespolizeigesetz sollen so angepasst werden, dass alle deutschen Geheimdienste künftig die Erlaubnis zum Hacken erhalten.
Sie sollen dabei auch Personen überwachen dürfen, die weder eine Straftat begangen haben noch im Verdacht stehen, eine zu planen.
Die Internetkonzerne wie Google und Facebook, aber auch sonstige Anbieter sollen verpflichtet werden, das Aufspielen der Staatstrojaner auf die Geräte der Nutzer aktiv zu unterstützen. Möglich wäre das, weil beispielsweise Google einen großen Vertrauensvorschuss genießt und es sich bislang wohl niemand vorstellen kann, sich durch eine Google-Suche einen Trojaner auf den Rechner zu laden.

Die Auswirkungen wären bemerkenswert: Das Gesetz würde das Grundrecht auf Privatsphäre beeinträchtigen, zu der auch die Integrität und Vertraulichkeit informationstechnischer Systeme gehört. Gleichzeitig würde es unser Vertrauen in kommerzielle Internetdienstleistungen massiv beschädigen. Bislang sind Onlinedurchsuchungen jedenfalls in Deutschland (und den meisten demokratischen Staaten) streng reglementiert. Es muss der Verdacht einer Straftat bestehen, es bedarf einer richterlichen Anordnung, die Überwachung muss bestimmte Bereiche der Privatsphäre ausklammern. Auch darf bislang kein privates Unternehmen verpflichtet werden, bei dieser Überwachung mitzuwirken. All das würde sich durch das neue Gesetz ändern, das daher auch für Datenschützer eine Horrorvorstellung ist.

Wie effizient kann der Bundes- oder Staatstrojaner funktionieren?

Die tatsächliche Effizienz, über die sich die Behörden ausschweigen, wird von Experten bezweifelt. Immerhin haben die Geheimdienste in den letzten Jahren schwere Straftaten der rechtsextremen Szene oder von Islamisten trotz dieser Methoden nicht verhindern können.

Ein Blick auf die Historie zeigt, woran es hakt:

Von 2008 bis 2011 versuchte das bayerische LKA, mit einem von einer Privatfirma entwickelten Trojaner Skype-Gespräche abzuhören. Das misslang wegen des sehr schwachen Programms.
Wegen solcher Fehlschläge entwickelte das BKA etwa ab 2012 einen eigenen Bundestrojaner.
Dessen Einsatz wurde erstmals ab 2017 gesetzlich legitimiert.

Neu ist der Versuch des Staates also nicht, seine Bürger*innen online auszuspähen. Doch es fehlt offenkundig die technische Kompetenz.

Daher sollen nun neben dem BKA und der Polizei auch der BND, der MAD und das BfV solche Mittel einsetzen dürfen. Wahrscheinlich hoffen die Initiatoren des neuen Gesetzes, dort mehr technische Expertise zu finden. Außerdem sollen private Anbieter zur Mitwirkung verpflichtet werden. Das könnte tatsächlich einen Durchbruch schaffen, denn wer rechnet schon damit, sich über Google oder Facebook einen Staatstrojaner auf den Rechner zu laden?

Was sagen Experten zum staatlichen Ausspähen?

Experten verschiedener Anbieter von Antivirenprogrammen, darunter Kaspersky und Avira, stellen klar: Jeder Trojaner wird von ihren Abwehrprogrammen grundsätzlich gleich behandelt. Wird seine Struktur den Sicherheitsexperten bekannt, entwickeln sie Abwehrmaßnahmen dagegen. Eine Kooperation mit den Behörden lehnten zumindest Kaspersky und Avira in einem Statement gegenüber Journalisten von Zeit online strikt ab.

Gleichzeitig wiesen sie auf eine Grenze hin: Virenschutzprogramme wirken immer nur gegen bekannte Malware oder gegen bestimmte typische Muster. Staatliche Hacker seien aber teils sehr fähig und entwickelten auch atypische Trojaner. Es kann also durchaus passieren, dass die Anbieter staatlich entwickelte Virensignaturen erst spät erkennen.

Einen gewissen Schutz bieten Antivirenprogramme und Firewalls trotzdem immer. Diese Regeln sollten Anwender beachten:

Niemals mit einem ungesicherten Rechner Softwaredownloads durchführen, sonst droht ein Man-in-the-Middle-Angriff.
Ist der Trojaner erst einmal auf dem Rechner, kann eine später installierte Firewall nichts mehr ausrichten.
Auch mit Antivirenprogramm bei Downloads stets nur signierte Dateien herunterladen. Solche Signaturen vergibt zum Beispiel der GNU Privacy Guard, den die meisten Betriebssysteme voraussetzen, damit sie einen Download überhaupt zulassen.
Das funktioniert wiederum nur mit einem offiziell lizenzierten Betriebssystem, dessen Support noch nicht abgelaufen ist.

Positionierung des CCC

Die Mitglieder des CCC gelten in Deutschland und anderen Staaten als unabhängige Instanz mit hoher Expertise. Sie nehmen die jüngsten Pläne für den gesetzlich neu geregelten Einsatz von Staatstrojaner offenbar sehr ernst. In einer Pressemitteilung erklärte der CCC-Sprecher Linus Neumann, das Gesetzesvorhaben sei, wenn es tatsächlich umgesetzt würde, der „Todesstoß für das Anbieter-Nutzer-Verhältnis“. Die Pläne würden technisch bedeuten, dass der Staat die Ende-zu-Ende-Verschlüsselung bricht, indem er in die technische Integrität der Geräte eingreift. Dies wiederum sei ein Grundrechtseingriff, dessen weitreichende Konsequenzen wahrscheinlich unter den Abgeordneten des Deutschen Bundestages kaum jemand überblicke. Der Bundesregierung warf Neumann Beratungsresistenz vor. Sie nehme sämtliche Kritik in dieser Angelegenheit nicht zur Kenntnis und wolle private Unternehmen zu Hilfsdiensten für Geheimdienste zwingen. Diese könne das Vertrauen in die Demokratie gründlich untergraben. Bislang seien solche Methoden von Diktaturen bekannt.