Der Chaos Computer Club (CCC) hat einen “Staatstrojaner” (mit diesem Begriff soll offenbar klargestellt werden, dass es sich nicht (zwingend) um einen “Bundestrojaner” handelt) in die Finger bekommen und ausgiebig analysiert. Das Ergebnis fällt (erwartungsgemäß) katastrophal aus:
Der Einsatz von AES in dem gezeigten katastrophalen Gesamtumfeld – ohne Session-Keys, mit ECB, und nur in eine Richtung – deutet auf Ausschreibungen im öffentlichen Sektor hin, bei denen AES gefordert wurde, aber der Rest nicht spezifiziert war. Mehr als einen Bonuspunkt in der B-Note können wir hier leider nicht vergeben.
Wir sind hocherfreut, daß sich für die moralisch fragwürdige Tätigkeit der Programmierung der Computerwanze keine fähiger Experte gewinnen ließ und die Aufgabe am Ende bei studentischen Hilfskräften mit noch nicht entwickeltem festen Moralfundament hängenblieb.
Auf der anderen Seite sind wir erschüttert, daß ein solches System bei der Qualitätssicherung auch nur durch das Sekretariat kommen konnte.
Tatsächlich scheint es sich aber gar nicht um eine staatlich programmierte Software zu handeln, sondern um eine Entwicklung der Firma DigiTask, die staatlich lediglich lizenziert (und ggf. modifiziert) worden ist. Wie auch immer dem sei: Die Liste der gegen grundlegende Sicherheitsstandards verstoßenden Eigenschaften der Software ist in der Tat recht beeindruckend:
So ist zwar die Kommunikation des Trojaners verschlüsselt – allerdings nur die ausgehende Richtung (und das zudem offenbar nicht einmal besonders gut). Schlimmer ist allerdings, dass keine Authentifizierung stattfindet, d.h. jeder beliebige Dritte kann
- den Trojaner übernehmen
- sich gegenüber dem Command-and-Controlserver als Trojaner ausgeben und dort gefälschte Informationen abgeben (z.B. um einem Dritten zu Beweiszwecken falsche Inhalte unterzuschieben)
- auf dem Rechner mit Hilfe des Trojaners beliebige Software auszuführen.
Alleine diese Tatsache ist ein gravierender Verstoß gegen § 20k BKAG (bzw. die entsprechenden landesrechtlichen Vorschriften). Danach ist die eingesetzte Software “nach dem Stand der Technik gegen unbefugte Nutzung zu schützen.” Dabei handelt es sich auch nicht nur um eine bloße Ordnungsvorschrift, sondern um die Umsetzung der verfassungsrechtlichen Vorgaben.
Weiterhin werden Daten – wie bei sonstiger Malware (und inbs. bei Botnetzen) üblich – zu einem Command-and-Controlserver ausgeleitet. Dieser steht allerdings in den Vereinigten Staaten. Neben der Frage, vor wem hier etwas verschleiert werden soll (immerhin handelt es sich um eine polizeiliche Überwachungsmaßnahme und nicht um einen transnationalen Spionageangriff), stellen sich datenschutzrechtlich einige Fragen, etwa hinsichtlich der Einhaltung von Art. 25 der Europäischen Datenschutzrichtlinie aufwirft.
Der CCC geht in seiner Analyse davon aus, dass es sich bei der Software um eine solche für eine Quellen-TKÜ handelt. Vor diesem Hintergrund wären die eingebauten Funktionen, wie etwa Screenshot-Funktionalität und ähnliches in der Tat äußerst bedenklich. Woher sich diese Annahme ableitet, wird allerdings nicht ganz klar. Denkbar wäre es evtl. daher auch, dass es sich nicht (nur) um die Software für eine Quellen-TKÜ, sondern um eine für die Online-Durchsuchung handelt. Auch dann erscheint die modulare (und richterlich nicht unbedingt kontrollierte) Erweiterbarkeit des Trojaners jedoch zumindest bedenklich. Die oben angeführten Sicherheitsmängel wären dann zudem umso bedeutender, da nicht “nur” auf die Kommunikation zugegriffen werden kann, sondern auf alle Rechnerinhalte.
Woher die Software stammt, bleibt ebenfalls offen. Es scheint aber, dass dem CCC mehrere Festplatten mit (ggf. nur schlecht gelöschten) Trojanern zur Verfügung gestellt wurden. Es soll sich bei der veröffentlichten Version jedenfalls nicht um die aktuellste Version handeln (woraus geschlossen werden kann, dass dem CCC auch aktuellere Versionen vorliegen). Dass die Software möglicherweise von einem Polizisten (oder einem Mitarbeiter der beauftragten Firma) dem CCC zugespielt wurde, ist aber eine durchaus ebenfalls in Betracht zu ziehende Möglichkeit.
Auch die Frage, welche Behörde den Trojaner eingesetzt hat, ist nicht geklärt. Die Vermutung, dass “0zapftis”, wie einige Routinen bezeichnet sind, in Richtung Süddeutschland deuten, hat sich jedenfalls heute bestätigt. Danach soll es sich um den sog. “Bayerntrojaner” handeln.
Durch die Analyse der Software dürfte der Einsatz in der gegenwärtigen Form nicht mehr möglich sein – unter anderem, da sich der Trojaner mit einer charakteristischen Sequenz meldet und damit für Virenscanner erkennbar ist. Wer daraufhin seinen Rechner besorgt untersucht, dürfte allerdings nicht (mehr) fündig werden: vor der Veröffentlichung hat der CCC das Bundesinnenministerium informiert, um den Abbruch gegenwärtig noch laufender Maßnahmen zu ermöglichen. Zumindest der CCC steht zu seinen Prinzipien und Regularien.