Warum es so gefährlich ist, dass de Maizière WhatsApp hacken will

Die NSA tut es, das BKA darf es seit einigen Wochen, auch deutsche Polizeibehörden können es vielleicht schon bald: dein Smartphone hacken – zumindest wenn es nach den Plänen hochrangiger deutscher Politiker geht.

Auf der Innenministerkonferenz wurde gerade beschlossen, dass Strafverfolger künftig nicht nur SMS und Handygespräche abhören dürfen, sondern auch Messenger-Dienste wie Whatsapp oder Telegram. Um solche Ende-zu-Ende-verschlüsselten Dienste überhaupt anzapfen zu können, braucht es jedoch mehr als nur einen Anruf bei der Telekom. Um die Verschlüsselung zu umgehen, muss der Staat sich in das Zielgerät einhacken und mit einer Trojanersoftware infizieren.

Wie gefährlich ein solcher Staatstrojaner für die Sicherheit aller Internetnutzer ist, haben wir bereits vor einigen Wochen analysiert, als dem BKA erlaubt wurde, den Staatstrojaner zur Terrorabwehr einzusetzen.

Die technischen und juristischen Argumente gelten auch für das aktuelle Konzept, obwohl der neue Vorschlag sogar noch einen Schritt weitergeht: Wenn es nach dem Beschluss der Innenministerkonferenz geht, sollen künftig nicht nur die oberste deutsche Polizeibehörde BKA die Spähsoftware einsetzen dürfen, sondern sämtliche Kriminalpolizeistellen zwischen Kiel und Konstanz – und zwar bei einer Vielzahl von Delikten. Ob der Bundestag diesen Plan absegnet und die Ziele der Innenminister erlaubt werden, wird sich in den nächsten Wochen entscheiden. Anlässlich der Staatstrojaner-Debatte haben wir schon vor Wochen mit Hackern und Politikern gesprochen. Hier könnt ihr die wichtigsten Argumente noch einmal nachlesen (Es folgt unser Kommentar vom April dieses Jahres als der Bundestag das Thema erstmals diskutierte):

Es ist übrigens nicht das erste Mal, dass staatliches Hacken per Gesetz legalisiert werden soll. Schon im Jahr 2009 fand sich eine entsprechende Regelung in der Neufassung des BKA-Gesetzes. Letztes Jahr erklärte das Bundesverfassungsgericht diesen Versuch jedoch für gescheitert: Große Teile des Gesetzes seien verfassungswidrig, da es den Einsatzradius des Trojaners nicht klar begrenze und somit unverhältnismäßig in die Privatsphäre eingreife, erklärten die Karlsruher Richter. Vor diesem Hintergrund verwundert, dass der neue Gesetzesentwurf sich an den zentralen Stellen kaum von dem Text unterscheidet, der erst im letzten April höchstrichterlich abgeschmettert wurde.

Ob der jetzige Entwurf diesen Bedenken Rechnung trägt? Laut Uli Grötsch, der im Innenausschuss die Position der SPD-Fraktion vertritt, tut er das. „Ich bin davon überzeugt, dass wir mit dem Gesetzentwurf alle Vorgaben des Bundesverfassungsgerichts umsetzen und damit eine verfassungskonforme Ausgestaltung haben werden", so Grötsch gegenüber Motherboard. Er rechne bei der heutigen Abstimmung mit einer „breiten Mehrheit" für das Gesetz.

Doch nicht alle sind gleichermaßen zuversichtlich, wie scharf die BKA-Hacker die Grenze ziehen werden zwischen bloßem Mitschneiden von Kommunikation und dem Ausspähen weiterer Daten auf dem Zielgerät. In einem Antrag, der heute von den Grünen in den Bundestag eingebracht werden soll und der Motherboard vorliegt, wird vor allem die schwammige Formulierung des Trojaner-Paragraphen bemängelt. Das BKA dürfe „keinen Staatstrojaner einsetzen, solange nicht die technischen Anforderungen an die Software klar definiert werden", so die Parlamentarier um Konstantin von Notz.

Auch Notz' Parteikollege Hans-Christian Ströbele kritisiert das Gesetz scharf: „Es gefährdet Datenschutz und Freiheitsrechte der Bürger", so der grüne Politiker auf Anfrage, insbesondere Berufsgeheimnisträger wie Ärzte, Anwälte oder Journalisten seien betroffen. Ein weiteres Problem liege ihm zufolge darin, dass die neuen Befugnisse den BKA-Ermittlern erlaubten, nicht nur „PC und andere Kommunikationsgeräte mit sogenannten Staatstrojanern zu verwanzen", sondern „diese auch fernzusteuern".

"Stärkerer Eingriff in das Privatleben nicht vorstellbar"

Die Gefahr eines Trojaners, der technisch deutlich mehr kann, als er rechtlich darf, zeigt nicht zuletzt ein Gutachten des Chaos Computer Club (CCC) aus dem Jahr 2015, das als Expertise in die Karlsruher Entscheidung zum Bundestrojaner eingeflossen ist.

„Ein stärkerer Eingriff in den Kernbereich des Privatlebens ist kaum mehr vorstellbar", fassen die CCC-Hacker ihre Analyse zusammen. Denn der Staat könne mithilfe eines technisch versierten Trojaners die verfassungsmäßig geschützte Privat- und Intimsphäre einer Zielperson in einem ganz neuen Umfang ausspähen. Im Gegensatz zu einer physischen Abhörwanze etwa, die den Wohnbereich überwacht und nur tatsächlich gesprochene Äußerungen registriert, könnten die Behörden künftig auch auf nicht-Geäußerters, ja nur Gedachtes zugreifen.

„Wir müssen uns fragen, ob es ethisch und rechtlich vertretbar ist, dass unsere Exekutive wissentlich und indirekt den Schwarzmarkt unterstützt, auf dem das Wissen um Sicherheitslücken gehandelt wird."

Computer oder Smartphone verraten ja noch viel mehr über einen Nutzer als es die Nachrichten, die tatsächlich verschickt werden, je tun können. Das Gerät registriert schon die unausgesprochenen Ideen oder Überlegungen, etwa in Form von Text-Entwürfen. Wieder verworfene Chat-Nachricht oder E-Mails verraten oft mehr über jemanden als die letztlich gesendete Nachricht. Mit einem Staatstrojaner können Ermittler nun auch all das abfangen. Jeder nicht gepostete Facebook-Kommentar oder Tweet, der einem dumm oder peinlich erscheint oder zu viel von etwas preisgibt, könnte schon bald auf dem Monitor eines BKA-Analysten auftauchen.

Laut Thorsten Schröder, einer der Autoren des damaligen CCC-Gutachtens, könne auch das neue Gesetz technisch nicht sicherstellen, dass der Trojaner „nur" die Kommunikation überwacht und nicht auch den privaten Kernbereich. Der entsprechende Paragraph sei zwar „gut gemeint", aber ignoriere die technischen Fakten, so Schröder gegenüber Motherboard. „Das Gesetz lädt zu einem Missbrauch regelrecht ein."

Warum der Staatstrojaner nicht nur ein Problem für Terroristen, sondern eine Gefahr für uns alle sein könnte

Sollte der Bundestag heute dem Trojaner-Gesetz seinen Segen geben, droht jedoch nicht nur mutmaßlichen Terroristen Ungemach. Auch wenn das mächtige Späh-Tool wirklich nur gegen Terrorverdächtige eingesetzt werden sollte, gefährdet es indirekt die Sicherheit aller Internetnutzer. Denn um in das Gerät einer Zielperson eindringen und den Trojaner dort einpflanzen zu können, müssen die Ermittler zunächst eine Sicherheitslücke finden und ausnutzen. Dieses Schlupfloch, etwa in einem Betriebssystem oder einem Browser, bleibt auch nach dem Angriff der Behörden so lange offen, wie es von einer Anti-Trojaner-Software nicht gefunden wird – und stellt damit ein Einfallstor für andere Hacker dar.

Selbst wenn der Exploit von einer Sicherheitssoftware gefunden und behoben wird, nimmt das Risiko für normale Nutzer damit nicht ab: Denn der Staatstrojaner braucht immer neue Schwachstellen, um sich Zugang zum Zielgerät zu verschaffen, und sollten die BKA-Hacker mal keine finden, etwa weil die Anbieter von Anti-Trojaner-Software ihnen voraus sind, könnten sie sich auf einem Schwarzmarkt bedienen, auf dem genau solche Schwachstellen für gutes Geld gehandelt werden. Laut CCC-Gutachter Schröder könnte das eine gefährliche Dynamik auslösen: „Wir müssen uns fragen, ob es ethisch und rechtlich vertretbar ist, dass unsere Exekutive wissentlich und indirekt den Schwarzmarkt unterstützt, auf dem das Wissen um Sicherheitslücken gehandelt wird."

Die stetige Jagd nach Sicherheitslücken, um den Staatstrojaner unterzubringen, könnte das Innenministerium selbst in ein echtes Dilemma stürzen: Neben dem Bundeskriminalamt untersteht dem Innenminister nämlich auch das Bundesamt für Sicherheit in der Informationstechnologie (BSI). Die zentrale Aufgabe der Behörde, die regelmäßig Tipps veröffentlichen, wie sich die Bürger gegen Hacker und Cyberkriminelle schützen können, erklärt sich schon im Namen. Solche Aufklärung könnte im Extremfall dem Interesse des BKA diametral gegenüberstehen. „Das BKA könnte ein Interesse daran haben, dass von den Behörden genutzte Schwachstellen in verbreiteter Software länger offen bleiben", erklärt Schröder dazu. Aktuelle Sicherheitslücken könnten dann von den Tech-Firmen schlicht nicht geschlossen werden, weil diese länger nichts davon wissen. Wie staatliche Hacker Sicherheitslücken in weit verbreiterter Software ausnutzen, zeigte vor wenigen Wochen erst der Fall eines Zero-Day-Exploits, der gegen Ziele in Russland eingesetzt wurde. Die betroffene Software dürfte jeder kennen: Microsoft Word.

Der Einsatzradius des Staatstrojaners soll übrigens schon Mitte Mai ausgeweitet werden. Im Gewand der etwas dröge klingenden Reform der Strafprozessordnung könnte er schon bald bei der Verfolgung nicht-terroristischer Straftaten eingesetzt werden – und damit in vielleicht nicht allzu ferner Zukunft Tausende Computer und Handys infizieren.