Tumblelog by Soup.io
Newer posts are loading.
You are at the newest post.
Click here to check if anything new just came in.

February 12 2014

Hacking Team greift freie Berichterstattung für Äthiopien an

Hacking Team” ist ein italienisches Unternehmen, das sich auf Überwachungssoftware spezialisiert hat. Kernangebot bildet die “Hacking Suite” Remote Control System, die man in etwa als Pendant zu FinFisher auf dem Markt der Staatstrojaner sehen kann. RCS wurde von Kaspersky beinahe auf der ganzen Welt gefunden, Hacking Team beschreibt die Fähigkeiten der Software einer geleakten Werbepräsentation nach folgendermaßen:

Es ist offensive Sicherheitstechnologie. Es ist Spyware. Es ist ein trojanisches Pferd. Es ist ein Bug. Es ist ein Angriffswerkzeug. Es ist ein Werkzeug, um Kontrolle über die Endpunkte zu erhalten, das heißt die PCs.

Citizen Lab hat jetzt veröffentlicht, dass im Dezember 2013 innerhalb von zwei Stunden drei Angriffe auf zwei Angestellte von ESAT festgestellt wurden. ESAT ist ein aus Amsterdam geführtes Medienunternehmen, das sich für die Förderung freier, kritischer und unabhängiger Berichterstattung in Äthiopien einsetzt. Das erklärt auch den Angriff, denn Äthiopien ist für die Unterdrückung der Meinungs- und Pressefreiheit im Land bekannt. Nach Eritrea kommt es dort zu den meisten Verhaftungen von Journalisten in ganz Afrika und seit 1993 wurden 75 Medienanstalten geschlossen. Darüberhinaus werden unerwünschte Journalisten gefoltert und misshandelt.

Das wirft ein anderes Licht auf die Sache, denn obwohl bekannt ist, dass Hacking Team – von Reporter ohne Grenzen als “Feind des Internets” geführt – seine Software auf der ganzen Welt verkauft, behaupten sie doch von sich selbst, nicht an Regierungen zu liefern, die von der EU, den USA, der NATO oder anderen Organisationen als repressive Regimes eingestuft werden. Ein Verkauf an regierungs- und geheimdienstunabhängige Stellen wird ebenso offiziell ausgeschlossen, RCS wird von Hacking Team als “hacking suite for governmental interception” beworben. Aber der Vorfall ist nicht der erste, bei dem RCS von augenscheinlich undemokratischen Regimes eingesetzt wird, wir haben in der Vergangenheit schon einmal von Einsätzen gegen arabische Aktivisten berichtet.

Der erste Angriff auf ESAT erfolgte auf einen Angestellten in Belgien, über einen Anhang, der als PDF-Dokument getarnte Spyware war. Beim Versuch, die Datei zu öffnen, passierte auf den ersten Blick nichts, im Hintergrund wurde jedoch eine SSL-Verbindung zu einem Server hergestellt, der ein von der “RCS Certification Authority” ausgestelltes Zertifikat nutzte, welches auf die IP-Adresse eines Servers in Mailand, dem Sitz von Hacking Team,  zurückführte und der überdies auf die Firma registriert war.

Im zweiten Versuch öffnete der Empfänger die Datei nicht, da ihm auffiel, dass eine *.exe hinter der Verkleidung steckte. Auf Nachfrage bekam er eine *.doc-Datei zugesandt, beim Öffnen war auch kurz ein leeres Dokument zu sehen. Durch das Ausnutzen eines früheren Bugs in Windows führte das zum Download einer Datei, die von RCS eingeschleust wurde. Der dritte und letzte registrierte Versuch geschah auch über ein Word-Dokument, dieses mal mit vorgeschobenem Inhalt, in welches das Schadprogramm eingebettet war.

Durch die IP-Adressen der kommunizierenden Server, die SSL-Zertifikate und einen zusätzlichen Abgleich der Signaturen anderer Spyware von Hacking Team ist klar, dass die Software von ihnen stammt. Und es zeigt, wie falsch die ständigen scheinheiligen Behauptungen dieser und anderer Herstellerfirmen von Überwachungssoftware sind, man liefere nur an “die Guten”. Durch Versprechen lässt sich dieses Problem nicht lösen. Ein wichtiger und längst überfälliger Schritt wäre Exportregulierung für Überwachungs- und Zensursoftware. Und deren wirksame Kontrolle.

Wir wollen netzpolitik weiter ausbauen. Dafür brauchen wir finanzielle Unterstützung. Investiere in digitale Bürgerrechte.

flattr this!

November 18 2013

CSC in alle großen IT-Vorhaben eingebunden: De-Mail, nPa, ePa, Staatstrojaner, Waffenregister, E-Gerichtsakte, E-Strafregister

Braucht vielleicht noch ein Piktogramm für

Braucht vielleicht noch ein Piktogramm für “US-Behörde”: Grafik zur Akzeptanzerhöhung von “De-Mail”.

Am Wochenende hatte die Süddeutsche Zeitung im Enthüllungsprojekt “Geheimer Krieg” weiter nachgelegt: Demnach sei die US-Beraterfirma CSC mit ihren elf Tochtergesellschaften nicht nur für heikle US-Geheimdienstmissionen unterwegs, sondern arbeite auch für deutsche Ministerien. Naheliegend sei, dass CSC die hierüber erlangten Informationen an US-Behörden weitergebe. Der Zeitung fiel auf, dass CSC-Firmen häufig “in der Nähe von US-Militärstützpunkten” residieren.

Die Bundesregierung hatte die Verbindungen von CSC zum US-Geheimdienst nicht kommentiert – dies war zu erwarten. Das Bundesinnenministerium richtete aus, ihm genügten entsprechende Klauseln in den Rahmenverträgen mit CSC. Demnach sei es untersagt, “bei der Vertragserfüllung zur Kenntnis erlangte vertrauliche Daten an Dritte weiterzuleiten”.

Auch wenn es im Projekt “Geheimer Krieg” von der Süddeutschen und dem NDR häufig nicht erwähnt wird: Viele der Recherchen gründen auf sogenannten “Parlamentarischen Initiativen” im Bundestag. Hierzu gehören neben den bekannteren Kleinen Anfragen auch sogenannte Schriftliche oder Mündliche Fragen. Diese müssen innerhalb einer Woche beantwortet werden. Auch die Informationen zu den an CSC oder Booz Hamilton vergebenen Aufträge stammen aus solchen Initiativen.

Eine Durchsicht der Anfragen seit Juni (mithin den ersten Veröffentlichungen der Dokumente von Edward Snowden) ergibt Haarsträubendes: So erhielten CSC Deutschland Services und CSC Deutschland Solutions allein zwischen 2009 und 2013 mehr als 25 Millionen Euro für Studien, die teilweise äußerst delikate Sicherheitsinteressen tangieren. Eine weitere Frage förderte zutage, dass dies nur die Spitze des Eisbergs ist. In den vergangen Legislaturperioden erhielt CSC mit seinen Tochterfirmen ein Vielfaches der Summe für ähnliche Aufträge:

CSC_Booz_1714530

Bekannt wurde CSC durch eine Auftragsvergabe zur Prüfung des Quellcodes des vorübergehenden Staatstrojaners der deutsch-britischen Firma Gamma, den das BKA bis zur Entwicklung einer eigenen Hackersoftware einsetzen will. CSC ist darüberhinaus in alle derzeit laufenden, größeren IT-Vorhaben der Bundesregierung eingebunden. Hierzu gehört die eine “Machbarkeitsstudie zum Thema Identitätsmanagement” in der Bundesverwaltung oder die Begleitung des Vorhabens “IT-Sicherheitskit” für die “elektronische Patientenakte”.

CSC wirkte maßgeblich bei der Umsetzung des “Nationalen Waffenregisters” mit. Bis 2010 wurde der Umzug der Leitstellenumgebung der Bundespolizei vorbereitet. Andere Studien widmeten sich der Nutzung von Geodaten. Für das Justizministerium ist CSC an einer Projektgruppe “Elektronische Akte in Strafsachen” beteiligt und zeichnet für die Projektbegleitung verantwortlich. Gleiches galt für die “Elektronische Gerichtsakte” sowie das Projekt “Elektronisches Gerichts- und Verwaltungspostfach”, das unter dem Namen “BundOnline” firmiert. Für das Bundesverwaltungsamt war CSC sogar für die komplette Durchführung eines “Backup- u. Restore-Konzepts” zuständig.

CSC Deutschland Solutions ist auch für die Einführung des biometrischen Personalausweises verantwortlich. Bekanntlich hatte die Beraterklitsche “Public Opinions” hierfür ein Handbuch zur Propaganda und Medienzusammenarbeit erstellt, das unter anderem vor kritischen Blogs gewarnt hatte. Die Zuarbeit von CSC war aber weitaus gewichtiger: Die Firma erstellte beispielsweise eine “Studie zu Fragen der Berechtigungszertifikate” und unterstützte die MitarbeiterInnen der Ausweisbehörden bei der Umstellung. Hierzu gehörte auch die Versorgung mit nötigen Informationen, also jenen Fakten die zuvor im ominösen “Handbuch” zusammengetragen worden waren. CSC war danach für die Erstellung von “Handlungsleitfäden” verantwortlich. Ein weiterer Auftrag erging zur “Begleitung des Wirkbetrieb”, ein anderer lautete “Unterstützung bei der nPa Konzeption Webauftritt”. “nPa” steht für “Neuer Personalausweis”.

Weitaus delikater ist wohl die Mitarbeit von CSC bei der Einführung von “De-Mail”. Noch bis 2012 war die Firma mit der “Unterstützung bei der Fachkommunikation” befasst. Wie beim biometrischen Ausweis folgten mehrere Studien zur “Unterstützung bei der Öffentlichkeitsarbeit und Akzeptanzmanagement”. Ein Vorhaben “Projektunterstützung De-Mail” läuft noch bis März 2014. Das “Kompetenzzentrum De-Mail” wird bei der Presse- und Öffentlichkeitsarbeit beraten.

Nach den neuesten Veröffentlichungen der Süddeutschen, aber auch des Stern von vor drei Wochen gerät nun auch das Verteidigungsministerium in Bedrängnis. Denn auch dort wurden etliche Aufträge an CSC vergeben: Studien widmeten sich etwa Informationssystemen für die “Nationale Luftabwehr”, die Marine oder einzelne ihrer Fregatten. CSC beschaffte Software zur Cyberabwehr und reorganisierte die Datenverwaltung des Militärs. Noch andauernd ist die Beteiligung am maritimen Überwachungsprojekt “MARSUR”, das bald in das EU-Grenzüberwachungssystem EUROSUR integriert wird. Für die Marine war CSC sogar für ein IT-Sicherheitskonzept verantwortlich. Zum Auftragsvolumen gehörte unter anderem der Einbau einer Firewall.

Zum Vorab-Stöbern in weiteren Enthüllungen, die von “Geheimer Krieg” bis zum 28. November (dem entsprechenden Themenabend in der ARD) veröffentlicht werden, sei die Bundestagswebseite empfohlen. Die dortige Suchfunktion ist relativ zuverlässig; Suchbegriffe wie AFRICOM, “Cyber Storm” oder “DHS Frankfurt” fördern Antworten zutage, die uns in den nächsten Wochen weiter beschäftigen dürften.

Wir wollen netzpolitik.org weiter ausbauen. Dafür brauchen wir finanzielle Unterstützung. Investiere in digitale Bürgerrechte.

flattr this!

September 20 2013

Polizeiaufgabengesetz in Thüringen: Landtag beschließt Gesetz trotz aller Kritik

Thüringer Landtag in Erfurt. Bild: Lukas Götz. Lizenz: Creative Commons BY-SA 3.0.

Thüringer Landtag in Erfurt. Bild: Lukas Götz. Lizenz: Creative Commons BY-SA 3.0.

Letzte Woche berichtete Jens Kubieziel über das Polizeiaufgabengesetz in Thüringen mit so tollen Vorschlägen wie Vorratsdatenspeicherung, Staatstrojaner und Abschalten von Kommunikationsnetzen. Gestern hat der Landtag das Gesetz trotz aller Kritik beschlossen. Hier erneut ein Gastbeitrag von Jens Kubieziel.

Das Polizeiaufgabengesetz (PAG) im Freistaat Thüringen sei sehr gut geprüft und gehöre zu den modernsten Regelungen in der Bundesrepublik. Mit diesen oder ähnlichen Argumenten versuchte der Abgeordnete Wolfgang Fiedler (CDU) die Kabinettskollegen im Jahr 2008 zu überzeugen. Damals wurde das Gesetz verabschiedet und vier Jahre später kam die Antwort in Form einer schallenden Ohrfeige vom Verfassungsgerichtshof in Weimar. Auch in der Debatte am 19. September 2013 warb Fiedler mit ähnlichen Argumenten für die Novelle des Gesetzes. Wie schon damals ist auch heute zu erwarten, dass das Gesetz vor dem Verfassungsgerichtshof keinen Bestand haben wird.

In der Debatte im Landtag stellten die Abgeordneten der Opposition die handwerklichen Schwächen des Gesetzes klar heraus. Das ficht die Koalition nicht. Ganz im Gegenteil. Gegenüber dem MDR Thüringen stellte der Abgeordnete Fiedler klar heraus: »Was Hirsch sagt, muss man nicht teilen, und ich teile fast nichts von ihm.« Gemeint war der ehemalige Innenminister Dr. Burkhard Hirsch, der in der Anhörung eine sehr detaillierte Stellungnahme zu den Schwächen des Gesetzes abgab. Nach einer intensiven Beratung mit dem Bund der Kriminalbeamten konnte Fiedler im Plenum stolz von einem Beispiel für die Anwendbarkeit des PAG verkünden. Wenn nämlich am Flughafen Frankfurt ein russischer Staatsbürger landet, an seiner Kleindung Anhaftungen von Sprengstoffen gefunden werden, die Polizei Erkenntnisse zu Verbindungen der Person in Rockermilieu hat und diese Überwachungsmaßnahmen starten will, dann geht das angeblich mit den Mitteln der Strafprozessordnung nicht. Hier fehlte nur noch das Internet als rechtsfreier Raum, um das Bullshit-Bingo zu vervollständigen. Dirk Adams (Grüne) stellte später klar, dass die Maßnahme von der StPO gedeckt ist und sich somit in die Liste ungültiger, konstruierter Beispiele einreiht.

Am Ende der Aussprache wurde das Gesetz angenommen und es scheint, als ob der Verfassungsgerichtshof sich erneut damit beschäftigen muss.

Wir wollen netzpolitik.org weiter ausbauen. Dafür brauchen wir finanzielle Unterstützung. Investiere in digitale Bürgerrechte.

flattr this!

September 19 2013

Staatswohl: Bundesregierung verweigert Auskunft, ob deutsche Geheimdienste Verschlüsselung knacken können

Die Öffentlichkeit darf nicht erfahren, ob deutsche Behörden Verschlüsselungsverfahren knacken können, weil sonst das Staatswohl gefährdet wird. Mit dieser Begründung lehnt die Bundesregierung eine Auskunft über diese Frage ab. Mindestens Bundesamt für Verfassungsschutz und Zollkriminalamt setzen sich aber mit der Frage auseinander, das Bundeskriminalamt umgeht Verschlüsselung mit Staatstrojanern.

Vor zwei Wochen erhielten wir einen kleinen Einblick, wie die anglo-amerikanischen Geheimdienste verbreitete Verschlüsselungs-Technologien knacken und umgehen. Der Linkspartei-Bundestagsabgeordnete Andrej Hunko hat das zum Anlass genommen, die deutsche Bundesregierug mal zu fragen, auf welchem Stand deutsche Behörden bei der Überwindung von Verschlüsselung sind. Jetzt ist die Antwort da.

Also, wenn man das Wort “Antwort” gelten lässt. Auf mehr als zwei Seiten führt die Bundesregierung zunächst aus, dass “im Hinblick auf das Staatswohl” die eigentliche Antwort geheim ist. Das Geheimhaltungsinteresse der Behörden ist hier größer als das Fragerecht der Abgeordneten. Die Häppchen für die gemeine Öffentlichkeit lassen sich in etwa so zusammenfassen:

Bundeskriminalamt

Die Bundesoberbehörde kann Verschlüsselung nicht selbst brechen bzw. dechiffrieren. Sehr wohl jedoch haben sie mit Staatstrojanern die Verschlüsselung umgangen und wollen das auch weiterhin tun. Über weitergehende Mittel tauschen sie sich mit anderen Staaten in der “Remote Forensic Software User Group” aus.

Militärischer Abschirmdienst

Der Nachrichtendienst der Bundeswehr hat sich mit der Fragestellung noch nicht befasst.

Bundesamt für Verfassungsschutz

Der Inlandsnachrichtendienst beschäftigt sich mit dem Thema. Alles andere ist geheim.

Zollkriminalamt

Die Bundesmittelbehörde hat sich “auch mit dem Überwinden von verschlüsselten Verfahren befasst.” Zudem führt man “Marktbeobachtungen” durch, welche Produkte das können. Schließlich hat man sich auch in multilateralen Standardisierungsgremien damit befasst, hier wird “insbesondere” das Europäisches Institut für Telekommunikationsnormen (ETSI) genannt.

Wir wollen netzpolitik.org weiter ausbauen. Dafür brauchen wir finanzielle Unterstützung. Investiere in digitale Bürgerrechte.

flattr this!

September 14 2013

Polizeiaufgabengesetz in Thüringen: Vorratsdatenspeicherung, Staatstrojaner, Abschalten von Kommunikationsnetzen

Thüringer Landtag in Erfurt. Bild: Lukas Götz. Lizenz: Creative Commons BY-SA 3.0.

Thüringer Landtag in Erfurt. Bild: Lukas Götz. Lizenz: Creative Commons BY-SA 3.0.

Dieser Gastbeitrag ist von Jens Kubieziel. Jens bietet mittelständischen Firmen Beratung zu IT-Sicherheit an und arbeitet als Datenschutzbeauftragter. Daneben engagiert er sich gegen ausufernde Überwachung und Zensur im Internet.

Verbringe einen Tag im Landtag und verliere den Glauben an die parlamentarische Demokratie. So oder so ähnlich lässt sich die gestrige Sitzung des Innenausschusses im Thüringer Landtag zusammenfassen. Was war passiert?

Der Thüringer Verfassungsgerichtshof entschied im November 2012, dass das alte Polizeiaufgabengesetz (PAG) überwiegend nicht mit der Landesverfassung vereinbar ist (PDF der Pressemitteilung des VerfGH). Die Landesregierung hat nun bis zum 30. September 2013, also bis in zwei Wochen, Zeit, das Gesetz zu verbessern.

Weiterhin erklärte das Bundesverfassungsgericht den Zugriff auf Bestandsdaten für teilweise verfassungswidrig (1 BvR 1299/05 vom 24.01.2012) und forderte Bund wie Länder zu einer Novellierung auf.

Die Thüringer Landesregierung legte im Mai 2013 einen Entwurf des PAG sowie des Ordnungsbehördengesetzes (OBG) vor und bat um schriftliche Stellungnahmen. Der Termin für die mündliche Anhörung war der 13. September 2013.

Ordnungsbehördengesetz

Das OBG nahm in der knapp fünfstündigen Anhörung einen geringeren Platz ein. Sinn der Gesetzesänderung ist es, Alkoholverbotszonen einzurichten. Im Bereich von Kindergärten, Schulen und Stellen mit alkoholbedingten Straftaten kann eine solche Zone ausgesprochen werden. Die Stadt Erfurt hatte eine solche Regelung in der Stadtordnung. Diese wurde vom Oberverwaltungsgericht gekippt (3 N 653/09 vom 24.06.2012). Daher soll die nun in ein Gesetz einfließen. Die Opposition äußerte Bedenken, dass die Regelung genutzt wird, um missliebige Gruppen (Punks etc.) aus der Innenstadt oder anderen Bereichen zu vertreiben. Denn Bierbikes oder Junggesellenabende haben teils ähnlichen Belästigungsgrad und werden aber akzeptiert. Das Ordnungsamt der Stadt Erfurt verwies in der Anhörung immer wieder auf hohe Beschwerdezahlen aus dem Jahr 2006. Angeblich hatte weder das Krämerbrückenfest noch die 2006 ausgetragene Fussball-WM einen Einfluss auf die Zahlen.

Polizeiaufgabengesetz

Die Aufgabe des Polizeiaufgabengesetzes ist es präventive Maßnahmen festzulegen, um drohende Gefahren abzuwehren. Dies steht im Gegensatz zur Strafprozessordnung, wo es um repressive Maßnahmen geht.

Die Novelle des PAG ist ein tiefer Griff in den Giftschrank. Es definiert Telekommunikationsüberwachung, Staatstrojaner, Einsatz von V-Leuten, Abschaltung von Handynetzen und einiges mehr. Um den Schutz der Grundrechte zu gewährleisten, müssen genaue Definitionen der Begriffe enthalten sein und Schutz gegen Missbrauch eingebaut sein. Wie die Stellungnahmen zeigten, mangelt es an beiden.

Stellungnahme der Polizeigewerkschaften

Die ersten Stellungnahmen zum PAG wurden von der Gewerkschaft der Polizei, der Deutschen Polizeigewerkschaft sowie vom Bund Deutscher Kriminalbeamten (BDK) abgegeben. Die beiden erstgenannten gaben in ihrer Stellungnahme sinngemäß an, dass sie keine schriftliche Stellungnahme angefertigt haben, das Gesetz unterstützen, es verfassungsgemäß ist, bei der Arbeit der Polizei hilft und sie das brauchen. Der Zuhörer konnte im Verlauf der Befragung den Eindruck gewinnen, dass sich beide Gewerkschaften nicht hinreichend mit dem Gesetzestext beschäftigt haben.

Helga Jürgens, Vorsitzende des Landesverbandes Thüringen des BDK, wies zu Anfang ihrer Stellungnahme ausführlich darauf hin, dass sich Deutschland rechtswidrig verhält. Sie mahnte an, dass doch endlich die Richtlinie zur Vorratsdatenspeicherung in nationales Recht umgesetzt werden soll. Sie wünschte sich weiter Regelungen im PAG zum Einsatz von IMSI-Catchern, die Möglichkeit der Unterbrechung von Telekommunikation zur Abwehr gemeiner Gefahren und weder sie noch ihre Experten konnten einzelne Paragraphen im vorliegenden Gesetz verstehen. Das BVerfG forderte eine so genannte Doppeltürregelung in der Entscheidung zur Bestandsdatenauskunft. Diese fehlt dem PAG. Weiterhin ist nach Ansicht des BDK der §36 Abs. 7 (Unterrichtung des Landtages) nicht konform zum Grundgesetz.

Stellungnahme von Burkhard Hirsch

Burkhard Hirsch empfand es als elementares Bedürfnis der Polizei ein bundeseinheitliches Polizeigesetz zu haben. Er empfahl daher, alle zu harmonisieren. Er erklärte Abgeordneten wie dem BDK die Lage der Vorratsdatenspeicherung und machte klar, dass vor einer Entscheidung des Europäischen Gerichtshofes keine Neuregelung der VDS zu erwarten wäre. Danach ging es um das Thüringer Gesetz.

Eines der zentralen Punkte im neuen Gesetz ist der § 34 PAG. Dr. Hirsch begann seine Ausführungen mit den Worten: “§ 34 ist ein Wunderwerk”. Das war nicht lobend gemeint. Das Gesetz bietet beispielsweise ungenügenden Schutz so genannter Berufsgeheimnisträger. Ein Rechtsanwalt, der kein Strafverteidiger ist, könnte beispielsweise abgehört werden. Doch ist dies überhaupt realistisch? Dr. Hirsch führte sowohl anhand praktischer Beispiele wie auch Entscheidungen der Gerichte aus, dass es hier keinen Unterschied gibt. Er meinte, dass er bei der Regelung in Zukunft mit seinem Mandanten zur Staatsanwaltschaft gehen und um Eröffnung eines Strafverfahrens bitten müsste. Erst dadurch könne er dann vertraulich mit seinem Mandaten zu kommunizieren …

Der Richtervorbehalt hat nur in zwei Fällen eine zeitliche Begrenzung. Gerade bei Überwachungsmaßnahmen können Menschen unbegrenzt lange abgehört werden.

Die Benachrichtigung der Betroffenen hat den Rang eines Grundrechtes. Die Festlegungen im PAG sind zu schwach und in der Praxis kommt es vermutlich zu keinen Benachrichtigungen.

Einige der Paragraphen entstammten anderen Gesetzen, wie beispielsweise dem G10-Gesetz und haben sich “wie ein Ölfleck auf dem Wasser” in andere Gesetze ausgebreitet.

Insgesamt meinte er am Ende seiner Stellungnahme zu § 34 PAG: “Der § 34 wird wohl nicht zu halten sein.”

Stellungnahme von Eugen Weber

Eugen Weber ist Ermittlungsrichter am Amtsgericht Gera und bearbeitet die Fälle in Ostthüringen. Er kritisierte nochmal die zeitlich unbegrenzten Überwachungsmaßnahmen und meinte, dass ihn insbesondere der § 20 PAG um den Schlaf bringt. Wenn die Polizei jemanden festsetzen, muss diese Person durch einen Richter angehört werden. Nach der Praxis sind das Leute, die mitten in der Nacht betrunken aufgefunden werden. Das heißt, das Handy des Richters klingelt und er müsste die Person anhören. Das geht aber nicht, da diese betrunken und damit nicht vernehmungsfähig ist. In dem Fall darf die Polizei dann selbst entscheiden und steckt die Person in eine Ausnüchterungszelle. Letztlich wird er nur geweckt, um zu sagen, dass er die Person nicht anhören kann.

Beispiele oder Fälle für die Praxis

Dirk Adams (Grüne) fragte nahezu jeden der Sachverständigen, nach einem Beispiel für die Anwendbarkeit des Gesetzes. Die Polizeivertreter bemühten sich um Beispiele. Nach einigem Suchen kamen sie auf den Fall einer Mutter. Diese kommt bei minus zwanzig Grad Kälte zur Polizei und vermisst ihre zweijährige Tochter. Die Polizei muss dann natürlich über die Handydaten, die Tochter ausfindig machen. Ob zweijährige Kinder wirklich immer ein Handy mitführen?

Martina Renner (Linke) wollte konkrete Fälle aus dem Polizeibereich. Aber die Vertreter der Polizei hatten dazu entweder keine Aussagegenehmigung oder waren zu lange aus der Praxis raus.

Innenminister Geibert nannte dann das Beispiel eines umherstehenden Koffers, der mittels eines Handys gezündet werden soll. Dann muss das komplette Handynetz in der Umgebung deaktiviert werden. Wie sinnvoll die Handyabschaltung an einem Bahnhof ist, mag jeder für sich selbst beurteilen.

Insgesamt konnte niemand genaue Beispiele geschweige denn Zahlen liefern. Seitens der Polizei kam das “Argument” dass solche Fälle selten sind. Aber sie brauchen das Instrumentarium dringend.

Staatstrojaner

Katharina König (Linke) sprach dann den § 34 a Abs. 2 des Gesetzes an. Dort wird der Einsatz der Staatstrojaner definiert. Auf ihre Frage, ob das so ist, herrschte zunächst längeres Schweigen. Jemand erklärte dann zuerst, dass das kein Staatstrojaner ist. Er verwendete eine sehr lange Wortschöpfung und Erklärung. Diese entsprach genau den Anforderungen des Staatstrojaners. Erst später bejahte die Landesregierung diese Frage.

Die Polizeivertreter schienen gar nicht zu wissen, was ein Staatstrojaner ist bzw. das sowas in dem Gesetz steht. Nichtsdestotrotz wurde später versichert, dass sie das Instrument dringend brauchen.

Die Landesregierung erklärte, dass es sich hier um Quellen-TKÜ handelt und keine Online-Durchsuchung ist. Diese Haarspalterei wurde bereits bei einer früheren BVerfG-Entscheidung benutzt. Das Gesetz spricht weiter von im Netz abgelegten Datenspeichern. Nach Vorstellungen der Landesregierung sind das E-Mails (vermutlich im Entwurfsordner) und diese werden als Quellen-TKÜ betrachtet.

Am Ende dieses Teils der Anhörung war mein Eindruck, dass die Polizei anfänglich gar nicht wusste, dass das überhaupt im Gesetz steht und auch keine Ahnung hat, wie das grundrechtskonform anzuwenden ist. Aber natürlich brauchen sie das in ihrer täglichen Arbeit.

Stand der Gesetzgebung

Ein Randereignis setzte meinem Tag im Landtag dann die Krone auf. Auf den Gängen des Landtages unterhielt sich ein Abgeordneter lautstark mit Pressevertretern. Er meinte, dass sich die Koalitionäre bereits geeinigt haben und das Gesetz am Mittwoch in dieser Form abstimmen werden.

Da nehmen sich also zahlreiche Sachverständige die Zeit und erarbeiten eine schriftliche Stellungnahme. Andere reisen an und teilen dem Parlament die Meinung mit. Sowohl Polizei wie andere Anzuhörende benennen diverse Schwachstellen im Gesetz, die vermutlich nicht mit der Verfassung zu vereinbaren sind. Und dann steht da jemand und äußert solche Worte. Das ist an Unverschämtheit kaum zu überbieten.

So wird das Gesetz wohl am 18. September abgestimmt werden und wieder einmal wird dann ein Verfassungsgericht eine Regierung in die Schranken weisen müssen.

Wir wollen netzpolitik.org weiter ausbauen. Dafür brauchen wir finanzielle Unterstützung. Investiere in digitale Bürgerrechte.

flattr this!

August 07 2013

Staatstrojaner FinFisher: Vertrag bleibt geheim, Informationszugang würde die öffentliche Sicherheit gefährden

finfisher-infectedWenn bekannt wird, wie das Bundeskriminalamt den international berüchtigten Staatstrojaner einsetzt, wird die Funktionsfähigkeit der Sicherheitsbehörden beeinträchtigt und damit die öffentliche Sicherheit gefährdet. Mit dieser Begründung werden unsere Informationsfreiheits-Anfragen nach dem Dokument abgelehnt. Würde man sensible Informationen schwärzen, blieben “keine nennenswerten Informationen mehr übrig”.

Im Januar haben wir enthüllt, dass das Bundeskriminalamt den Staatstrojaner FinFisher der Firma Elaman/Gamma beschafft hat und einsetzen will. Seitdem versuchen wir, Einblick in den Vertrag zu bekommen. Jetzt haben sowohl das Bundeskriminalamt als auch das Beschaffungsamt des Innenministeriums unsere Anfragen nach Informationsfreiheitsgesetz beantwortet – und beide abgelehnt.

Gleich vier Gründe werden angeführt, warum die Öffentlichkeit keine Details zum Staatstrojaner-Deal erfahren darf:

Gefährdung der öffentlichen Sicherheit

Das BKA ist der Auffassung, dass ein Einblick in den Vertrag “die Funktionsfähigkeit der Sicherheitsbehörden” und “damit die öffentliche Sicherheit” insgesamt “beeinträchtigt bzw. gefährdet”:

Eine Einsichtnahme in den Vertrag würde den Erfolg der auf der Quellen-TKÜ basierenden polizeilichen Maßnahmen gefährden, weil Rückschlüsse auf das verwendete Gesamtsystem, dessen Hardware, eventuelle Schwachstellen sowie die polizeilichen Methoden/Einsatztaktik möglich wären. Dies führte zu einer eingeschränkten Wirksamkeit polizeilicher gefahrenabwehrender sowie strafverfolgender Maßnahmen der Quellen-TKÜ.

Im Ergebnis würde dies die Funktionsfähigkeit der Sicherheitsbehörden beeinträchtigen bzw. gefährden, wodurch die schützenswerten Interessen der Bundesrepublik Deutschland an einer wirksamen Bekämpfung von schwerer sowie schwerster Kriminalität mittels der Quellen-TKÜ und damit die öffentliche Sicherheit (und der darin aufgehenden inneren Sicherheit, vgl. oben) insgesamt beeinträchtigt bzw. gefährdet wären.

Dass das Prinzip Security by Obscurity nicht funktioniert, hat man da anscheinend nicht verstanden.

Geheim weil geheim

Der Vertrag ist mit einer Geheimhaltungsstufe versehen, die man auch nicht ändern will:

Der Vertrag mit der Fa. Elaman gilt als Verschlusssache mit dem Geheimhaltungsgrad „VS-NUR FÜR DEN DIENSTGEBRAUCH“, da die im Vertrag enthaltenen Informationen als „geheim zu haltende Tatsachen“ im Sinne des Sicherheitsüberprüfungsgesetzes (SÜG) in Verbindung mit der Verschlusssachenanweisung (VSA) eingestuft sind.

Die Gründe für die Einstufung als Verschlusssache wurden aus Anlass des IFG-Antrages nochmals geprüft, diese liegen weiterhin vor. Der Ausnahmetatbestand nach § 3 Nr. 4 IFG liegt somit aufgrund der Einstufung weiterhin vor.

Es ist also geheim, weil es geheim ist. Das erinnert an: “Wir sind eine PARTEI, weil wir eine PARTEI sind!

Firmengeheimnisse

Ein weiter Grund: Gammas Partner-Firma Elaman will nicht, dass ihr Vertrag bekannt wird:

Schließlich scheitert ein Anspruch auf Informationszugang nach dem IFG auch daran, dass durch das Bekanntwerden des Vertrages der Schutz geistigen Eigentums und von Betriebs- und Geschäftsgeheimnissen der Firma Elaman als Dritter gemäß § 6 IFG berührt würde. Die Firma Elaman hat ihre Einwilligung gemäß § 6 S. 2 IFG verweigert, weil durch eine Veröffentlichung des Vertrages kaufmännische Kalkulationen, einzelne Entwicklungsschritte und detaillierte Leistungsmerkmale ersichtlich würden, die wiederum Rückschlüsse auf das Gesamtsystem und dessen Hardwarekonfiguration ermöglichen würden.

Eine Firma schreibt also dem Staat vor, dass dieser keine Informationen über mit Steuergeldern bezahlte Überwachungsmaßnahmen veröffentlichen darf. Wer ist hier der Souverän?

Unkenntlichmachung sinnlos

Immerhin hat man eine Schwärzung sensibler Vertragsteile erwogen, dabei bleiben aber “keine nennenswerten Informationen mehr übrig”:

Im Falle einer Unkenntlichmachung derjenigen Vertragsinhalte, die schützenswerte Belange betreffen, wären die zu schwärzenden Passagen des Vertrages so umfangreich, dass ein Informationszugang praktisch nicht erfolgen würde, weil keine nennenswerten Informationen mehr übrig blieben. Eine Schwärzung gemäß § 7 Abs. 2 IFG des Vertrages kommt deshalb nicht in Betracht.

Die “transparenteste US-Regierung aller Zeiten” hatte vorgemacht, wie das aussieht.

“NSA-Denke in deutscher Form”

Constanze Kurz, Sprecherin des Chaos Computer Club, kommentiert diese Ablehnung gegenüber netzpolitik.org:

Die Behörden lassen sich bei ihrem Ankauf elektronischer Waffen, die gegen Computer von deutschen Bürgern eingesetzt werden sollen, weiterhin nicht in die Karten schauen. Sie warten diesmal mit allem auf, was an Ablehnungsgründen aus dem IFG rauszuholen ist, um auch nur den Anschein von Transparenz und Überprüfbarkeit ihrer Kooperation mit einem notorischen Hoflieferanten bekannter Folterregimes zu vermeiden.

Da zeigt sich die alte NSA-Denke in deutscher Form. Angeblich könne auch keine geschwärzte Version des Vertrages gesendet werden. Vermutlich dürfen wir schon dankbar sein, dass die Existenz des Papiers nicht geleugnet wird. Die Funktionalitäten von FinFisher sind mittlerweile durchaus bekannt, allerdings ist es ein Recht der deutschen Öffentlichkeit, zu erfahren, wo das BKA die Exploits einkaufen lässt und was dafür bezahlt wird.

Natürlich lassen wir das nicht einfach so auf uns sitzen und bitten den Bundesbeauftragten für die Informationsfreiheit um Vermittlung, eh wir vielleicht offiziell Widerspruch einreichen. Selbstverständlich nehmen wir auch weiterhin anonyme Zusendungen und braune Briefumschläge entgegen.

Wir wollen netzpolitik.org weiter ausbauen. Dafür brauchen wir finanzielle Unterstützung. Investiere in digitale Bürgerrechte.

flattr this!

June 28 2013

Netzpolitischer Wochenrückblick: KW 26

Die wichtigsten netzpolitischen Themen der vergangenen Woche im Rückblick:

  • Internes Dokument belegt: Innenministerium gibt fast 150.000 Euro für Staatstrojaner FinFisher/FinSpy aus

Für den international bekannten Staatstrojaner FinFisher/FinSpy geben Innenministerium und Bundeskriminalamt 147.166,11 Euro aus. Das bestätigt das Ministerium in einem ehemals geheimen Dokument, das wir an dieser Stelle veröffentlichen. [Zum Artikel]

  • Loveblog: Anhörung von Johannes Scheller zu Netzneutralität im Petitionsausschuss

Am Montag berichteten wir live aus dem Petitionsausschuss im Deutschen Bundestag. [Zum Artikel]

  • Die Positionen der Bundestagsfraktionen zur Netzneutralität

Die Ankündigung der Deutschen Telekom, Internet-Anschlüsse zu drosseln und gleichzeitig Überholspuren einzuführen, hat eine breite Diskussion angestoßen, unter anderem zum Aspekt der Netzneutralität. [Zum Artikel]

  • Netzneutralität: EU-Parlamentarier drängeln

Während sich in Deutschland die Bundestags-Ausschüsse mit dem Thema Netzneutralität beschäftigen, wartet das Europäische Parlament auf das „Go“ der Europäischen Kommission in Form einer entsprechenden Initiative, wie man sie von Kommissarin Neelie Kroes seit längerem erwartet. [Zum Artikel]

  • BMI zu PRISM: Von der grundsätzlichen Überwachung waren wir nicht überrascht. Das kann niemand behaupten, der sich damit beschäftigt.

Im Unterausschuss Neue Medien im Deutschen Bundestag gab es am Montag eine kurze Fragestunde zu PRISM & Co, bei der das Innenministerium irgendwie Fragen beantworten sollte. [Zum Artikel]

  • Edward Snowden belegt: Die NSA hackt chinesische Mobilfunkanbieter, Backbone-Netze und Glasfaser-Betreiber

Der amerikanische Geheimdienst NSA hackt chinesische Mobilfunkanbieter und Betreiber von Backbone- und Glasfaser-Netzen. [Zum Artikel]

  • Neuer NSA-Leak: Obamas Vorratsdatenspeicherung

Barack Obama hat die de facto Vorratsdatenspeicherung von George W. Bush bis 2011 fortgeführt. Zudem gibt es Hinweise auf neue US-Rasterprogramme für Verkehrsdaten. [Zum Artikel]

  • Vorratsdatenspeicherung: Europäischer Gerichtshof verhandelt am 9. Juli – und stellt “revolutionäre Fragen”

Der Europäische Gerichtshof will wissen, wie sich aus Vorratsdaten Persönlichkeitsprofile erstellen lassen und was das für das Grundrecht auf Schutz personenbezogener Daten bedeutet. [Zum Artikel]

  • TAT-14: Britischer Geheimdienst zapft auch deutsches Glasfaser-Kabel an

Unter den mehr als 200 Glasfaser-Kabeln, die der britische Geheimdienst GCHQ anzapft und abhört, ist auch das Kabel TAT-14. [Zum Artikel]

  • Großbritannien nimmt OECD-Beschwerde gegen Spähsoftware-Hersteller Gamma an

Privacy International, die Reporter ohne Grenzen, das European Center for Constitutional and Human Rights sowie Bahrain Watch haben Anfang des Jahres Beschwerde gegen die Münchener Trovicor GmbH und die britisch-deutsche Gamma Group bei der OECD, der Organisation für wirtschaftliche Zusammenarbeit und Entwicklung, eingelegt. [Zum Artikel]

  • Das Wunder von Marrakesch: Besserer Zugang zu Büchern für Menschen mit Sehbehinderung

Dienstag Nacht wurde im Rahmen der Vertragskonferenz der World Intellectual Property Organisation (WIPO) in Marrakesch zu Schrankenregelungen für das Urheberrecht zugunsten von Menschen mit Sehbehindungen ein Durchbruch erzielt. [Zum Artikel]

Habt ein schönes Wochenende!

CC BY NC SA by  John Jones

CC BY NC SA by John Jones

Wir wollen netzpolitik.org weiter ausbauen. Dafür brauchen wir finanzielle Unterstützung. Investiere in digitale Bürgerrechte.

flattr this!

June 21 2013

Freedom Online Coalition: Deutschland tritt Bündnis zur Freiheit im Internet bei – und sollte vor der Haustür kehren

freedomonline.tnDeutschland ist der “Freedom Online Coalition” beigetreten, einem Bündnis von 19 Staaten, die das Internet frei und offen halten wollen. Das verkündete der Menschenrechtsbeauftragte der Bundesregierung im Umfeld einer Konferenz in Tunesien. Das klingt nett, grenzt aber an Heuchelei – so lange hierzulande Internet-Überwachung ausgebaut wird und Überwachungstechnologien exportiert werden.

Während des Arabischen Frühlings gründete die damalige amerikanische Außenministerin Hillary Clinton großspurig die “Freedom Online Coalition”. Im Gründungsdokument finden sich allerlei gute Punkte über die Möglichkeiten eines freien und offenen Internets für Menschenrechte und die Meinungsfreiheit, die es zu schützen gilt. Auf der Webseite der dritten Freedom Online Conference in Tunesien Anfang der Woche ist auch Deutschland als Mitglied aufgelistet.

Das hat Matthias Becker als Anlass für einen Audio-Bericht beim Deutschlandfunk genommen: Exportschlager Überwachungstechnik: Die deutsche Cyberaußenpolitik und die Freiheit des Internets (hier ist die MP3). Mit vielen interessanten Personen durfte auch ich etwas beisteuern.

Als Reaktion auf den Arabischen Frühling schmiedeten die USA eine Freedom Online Coalition. Auch Deutschland will dem Bündnis für ein freies Internet nun beitreten. Doch die meisten Staaten der Koalition vollziehen einen Spagat: Sie propagieren ein freies Netz – und liefern die technischen Mittel für seine Unterdrückung.


Markus Löning, der Menschenrechtsbeauftragte der Bundesregierung, sagte:

Uns liegt daran, in unserer Außenpolitik, diejenigen, die das Internet nutzen als Instrument zur Freiheit, als Instrument für Meinungsfreiheit, für bürgerliches Engagement, diejenigen zu unterstützen. Ich werde jetzt, wenn ich zurück bin von der Konferenz in Tunis, hier einen runden Tisch organisieren mit deutschen NGOs, die in dem Bereich arbeiten. Zum Beispiel geht es da um Fragen, wie kann ich mich als Dissident, als Blogger schützen vor staatlicher Verfolgung, wie muss ich meine Email-Accounts einrichten. Da gibt es Leute, die lehren so etwas, die bringen Leuten so was bei, wie schütze ich mich vor staatlicher Repression. Und solche Projekte unterstützen wir zum Beispiel.

Erklärt die Bundesregierung auch, wie man sich gegen Vorratsdatenspeicherung und strategische Fernmeldeaufklärung schützt?

Ein zweites Problem sind die Überwachungstechnologien wie Staatstrojaner und Massenüberwachung:

Das Bundeswirtschaftsministerium sieht im Export von Überwachungstechnologien einen der Wachstumsmärkte der Zukunft.

Markus Löning ist übrigens in der FDP und war für sie Bundestagsabgeordneter und Landesvorsitzender in Berlin. Unser Wirtschaftsminister Philipp Rösler ist zufällig in der selben Partei. Schizophren, nicht?

Wir wollen netzpolitik.org weiter ausbauen. Dafür brauchen wir finanzielle Unterstützung. Investiere in digitale Bürgerrechte.

flattr this!

May 24 2013

Netzpolitischer Wochenrückblick: KW 21

Die wichtigsten netzpolitischen Themen der Woche im Überblick und als kleiner Podcast (mp3):

  • ePetition für gesetzliche Festschreibung der Netzneutralität

Auf der offiziellen ePetitionsplattform des Deutschen Bundestag gibt es seit Dienstag die Petition “Wirtschaftspolitik – Verpflichtung der Internetanbieter zur Netzneutralität vom 23.04.2013” des Studenten Johannes Scheller zum mitzeichnen. [Zum Artikel]

  • Bundestag debattiert Netzneutralität – im Protokoll

Der Bundestag hat in der Plenardebatte am vergangenen Donnerstag theoretisch über Netzneutralität diskutiert. Theoretisch dadurch, dass die Debatte nur als “Reden zu Protokoll” stattfand, weil die Opposition wohl alle Plenardebatten-Kärtchen bereits gezogen hatte und die Regierungskoalition anscheinend kein großes Interesse an einer öffentlichen Debatte hatten. Konkret ging es um einen Gesetzentwurf der Linksfraktion, die Netzneutralität festzuschreiben. [Zum Artikel]

  • Netzneutralität in der EU: Parlament “bekräftigt das Prinzip”, Kommission “bereitet Empfehlungen vor”

Die EU-Kommissarin für die Digitale Agenda eiert noch immer um eine gesetzliche Festschreibung der Netzneutralität herum. Das geht aus ihrer Antwort auf einen Protest-Brief von Verbraucherschutz- und Digital Rights-Organisation hervor. Unterdessen hat das Parlament in einem Bericht beiläufig das Prinzip der Netzneutralität bekräftigt. [Zum Artikel]

  • Nicht ACTA, aber genau so wichtig: Entscheidung über EU-Datenschutzreform fällt jetzt

In den letzten Tagen ist uns immer wieder aufgefallen, dass sowohl Netzbewegte als auch Journalistinnen und Journalisten den Anschluss an die Vorgänge rund um die EU-Datenschutzreform verloren haben – und natürlich auch Sascha Lobo(s Mutter). Dabei wird es gerade spannend: Das Europäische Parlament und die zuständigen Minister basteln momentan an eurem Datenschutz für die nächsten 20 Jahre. Bis zur Sommerpause wollen sie über ihre Positionen abstimmen. Wer sich einbringen will, muss das jetzt – während der Verhandlungen – tun. Am Tag der Abstimmung ist es schon zu spät. [Zum Artikel]

  • Staatstrojaner für Mac: Aktivist aus Angola mit Spyware überwacht, die weltweit zur Spionage eingesetzt wird

Der Apple-Rechner eines Anti-Korruptions-Aktivisten aus Angola wurde mit einem Staatstrojaner infiziert, der Screenshots an die Angreifer verschickt hat. Das hat der Sicherheitsforscher Jacob Appelbaum letzte Woche entdeckt. Laut einer Sicherheits-Firma ist die Malware Teil eines größeren digitalen Spionage-Netzes, das auch Ziele in Deutschland infiziert hat. [Zum Artikel]

  • Operation Aurora: Chinesische Hack-Angriffe auf Google galten nicht nur Aktivisten, sondern der Unterstützung von Spionen

Die Hack-Angriffe auf Google und andere Firmen im Jahr 2009 sollten wohl herausfinden, welche chinesischen Spione von den USA beobachtet werden. Das berichten ein Mitarbeiter von Microsoft sowie aktuelle und ehemalige Regierungsbeamte. Google hatte nach der “Operation Aurora” den chinesischen Markt verlassen – angeblich weil Menschenrechtsaktivisten ausgespäht wurden. [Zum Artikel]

  • Deutsche Telekom erklärt soziale Frage der Drosselpläne

Der Drossel-Aspekt bei den aktuellen Drosselkom-Plänen ist der eine Aspekt, die geplante Abschaffung der Netzneutralität ist aber der gravierendere Teil dabei. Trotzdem ist die Kritik an der geplanten Abschaffung der Flatrates gerechtfertigt. Etwas irritierend agiert dabei die Deutsche Telekom. [Zum Artikel]

  • Chaos Computer Club veröffentlicht graphische Darstellung vom Grundgesetz

Anlässlich des 64. Geburtstages des deutschen Grundgesetzes, hat der Chaos Computer Club (CCC) gestern die Open-Data-Plattform DocPatch veröffentlicht. Das Ziel von DocPatch ist es, dass Nutzer die Entwicklung des Grundgesetzes in Graphiken und Texten nachvollziehen zu können. [Zum Artikel]

  • Informationsfreiheit: Malte Spitz verklagt Bundesregierung auf Herausgabe von Umfragen zur politischen Stimmungslage

Ein Einblick in Umfragen des Bundespresseamts zur politischen Stimmungslage in Deutschland würde die Regierungstätigkeit gefährden. Mit diesem Argument verweigert die Bundesregierung Anfragen nach Informationsfreiheitsgesetz. Der Grüne Politiker Malte Spitz hat deswegen Klage gegen die Bundesregierung eingereicht. [Zum Artikel]

  • Internet-Zensur: Australische Finanz-Aufsichtsbehörde lässt Webseiten sperren

Die australische Regierung hat bestätigt, dass die australische Finanz-Aufsichtsbehörde (ASIC) für die Sperrung einer Reihe von Webseiten verantwortlich ist, welche mit betrügerischen Online-Angeboten in Verbindung gebracht werden. Doch die Sperrung ist aus mehreren Gründen nicht unumstritten. [Zum Artikel]

  • Google verabschiedet sich größtenteils von offenen Standards für Instant Messaging

Wie immer mal wieder während Googles I/O Entwicklerkonferenz genannt und nun von der Electronic Frontier Foundation (EFF) zusammengefasst, will Google die derzeit existierende Instant-Messaging Plattform “Talk” durch eine neue ersetzen, “Hangouts”. Diese mindert die Unterstützung für das freie Instant Messaging Protokoll XMPP (Jabber) enorm und gibt ebenfalls keine Möglichkeit mehr, die Archivierung aller Chat Nachrichten zu deaktivieren. Ein Wechsel von freien zu proprietären Protokollen und ein großer Schritt zurück für viele Nutzerinnen und Nutzer. [Zum Artikel]

  • Zwischenstand unserer Leserfinanzierungskampagne nach einem Monat Laufzeit

Vor fünf Wochen haben wir eine kleine Kampagne gestartet, um als weitere Refinanzierungssäule unserer Arbeit die Leserfinanzierung aufzubauen. In Zeiten, wo Werbung oftmals als die Hauptfinanzierungsquelle von Online-Journalismus gilt, wollten wir darauf verzichten, eine Adblocker-Ausschalt-Kampagne zu starten. [Zum Artikel]

  • Datenspuren 2013 – Privacy by Design

Unter dem Motto “Privacy by Design” findet am 7. und 8. September in Dresden die 2013er Ausgabe des Symposiums “Datenspuren” statt. [Zum Artikel]

Habt ein schönes Wochenende!

Wir wollen netzpolitik.org weiter ausbauen. Dafür brauchen wir finanzielle Unterstützung, auch um weiterhin einen Full-RSS-Feed anbieten zu können. Investiere in digitale Bürgerrechte.

flattr this!

May 21 2013

Staatstrojaner für Mac: Aktivist aus Angola mit Spyware überwacht, die weltweit zur Spionage eingesetzt wird

KITM_screenshot_dump_folderDer Apple-Rechner eines Anti-Korruptions-Aktivisten aus Angola wurde mit einem Staatstrojaner infiziert, der Screenshots an die Angreifer verschickt hat. Das hat der Sicherheitsforscher Jacob Appelbaum letzte Woche entdeckt. Laut einer Sicherheits-Firma ist die Malware Teil eines größeren digitalen Spionage-Netzes, das auch Ziele in Deutschland infiziert hat.

Letzte Woche fand das Oslo Freedom Forum statt, eine Konferenz, auf der hunderte “Dissidenten, Innovatoren, Journalisten, Philanthropen und Politiker” diskutieren, wie man am besten “autoritäre Regime herausfordern und freie und offene Gesellschaften fördern kann”. Einer der Gäste war Rafael Marques de Morais, der sich in Angola gegen Korruption einsetzt. In einem Workshop, wie man seine Geräte gegen staatliche Überwachung schützen kann, entdeckte der Aktivist Jacob Appelbaum auf dessen Computer eine neue Überwachungs-Software.

De Morais nutzt einen Apple-Laptop mit OS X und verwendet die Anonymisierungs-Software Tor. Am 8. April erhielt er eine E-Mail mit einem infizierten Dateianhang. Beim Öffnen installierte sich eine eher einfache Spyware, die mit einer validen Apple Developer ID signiert war. Die Spähsoftware machte regelmäßig Screenshots vom Rechner und schickte die an Server in den Niederlanden.

Mit diesen Screenshots lassen sich unter anderem Dokumente, Skype-Chats und E-Mails des Überwachten mitlesen, wie Jacob in einem Video erläutert:

Zeitgleich mit dieser Entdeckung veröffentlichte die IT-Security Firma Norman Shark einen Bericht über Spyware aus Indien. Die norwegische Telefongesellschaft Telenor wurde ebenfalls mit der “Spear Phishing” Methode angegriffen und ausgespäht. Bei der Untersuchung des Angriffs stellte sich heraus, dass Telenor nur eines von vielen Zielen in einem größeren Angriffsnetzwerk ist. Zunächst wurden demnach Ziele “von nationalem Interesse”, wie in Pakistan, überwacht. In den letzten Jahren widmeten sich die Angreifer/innen auch Zielen zur Industrie-Spionage.

Bei genauerer Untersuchung stellte sich heraus, dass der Angriff auf den Laptop von Rafael Marques de Morais mit der selben Infrastruktur durchgeführt wurde, wie die Spionage made in Indien. Eine weitere Spähsoftware wurde von der selben Apple Developer ID signiert. Die Ziele waren nicht wenige:

We do not know all countries affected by attacks from the Hangover group, but we have seen indicators from countries Norway, Pakistan, US, Iran, China, Taiwan, Thailand, Jordan, Indonesia, UK, Germany, Austria, Poland, Romania and more – and the activist in Oslo Freedom Forum was reportedly from Angola.

Dieser Fall zeigt erneut, dass es gegen Spähsofwtare keinen ausreichenden technischen Schutz gibt. Mit genug Aufwand wird jedes Computersystem zur Wanze. Umso wichtiger ist es, Staatstrojaner politisch zu verhindern und bekämpfen.

Wir wollen netzpolitik.org weiter ausbauen. Dafür brauchen wir finanzielle Unterstützung, auch um weiterhin einen Full-RSS-Feed anbieten zu können. Investiere in digitale Bürgerrechte.

flattr this!

May 17 2013

Staatstrojaner FinFisher: Bundeskriminalamt bezahlt möglicherweise illegale Software, um den Quellcode zu bekommen

Das Bundeskriminalamt hat einen Vertrag über den Staatstrojaner abgeschlossen und Geld gezahlt, weil der Hersteller Gamma sonst den Quellcode nicht herausgegeben hätte. Das antwortete das Innenministerium auf eine Frage der Linkspartei. Ob die Schnüffelsoftware überhaupt legal eingesetzt werden darf, wird noch immer überprüft.

Nach unserem ersten Bericht im Januar würde kürzlich auch offiziell bestätigt, dass das Bundeskriminalamt den international bekannten Staatstrojaner FinFisher/FinSpy für 150.000 Euro gekauft hat.

Der Bundestags-Abgeordnete Andrej Hunko (Linkspartei) hat mal nachgefragt, wann die Zahlungen fällig werden und warum das schon vor Abschluss der Quellcode-Prüfung passiert:

Wann werden hinsichtlich des Vertrages zwischen dem Beschaffungsamt des Bundesministeriums des Innern und der Firma Elaman GmbH vom März 2013 bezüglich des Kaufs von staatlich genutzter Hackersoftware jeweils Zahlungen fällig – bitte auch die Höhe im Einzelnen angeben, aufgeschlüsselt nach einmaliger Kaufsumme sowie Lizenzgebühren –, und aus welchem Grund ist der Vertrag bereits geschlossen bzw. fließen bereits Gelder, obschon die Überprüfung des Quellcodes der Software durch die Firma noch nicht abgeschlossen ist, nach Ansicht des Fragestellers die Funktionsweise der Spionagesoftware also unbekannt ist und die rechtliche Vereinbarkeit ihrer Nutzung deshalb nicht zugesichert werden kann?

Gestern antwortete Dr. Christoph Bergner, Parlamentarischer Staatssekretär beim Bundesminister des Innern:

Das Bundeskriminalamt, BKA, setzt zur Überwachung verschlüsselter elektronischer Kommunikation eine Überwachungssoftware nach Maßgabe gesetzlicher Befugnisse ein.

Die Verwendung der Begriffe Hacker- bzw. Spionagesoftware legen den unrechtmäßigen Gebrauch nahe. Die Bundesregierung distanziert sich erneut von solchen Vorwürfen.

Das BKA hat im Herbst 2012 eine kommerzielle Software am Markt erworben, um verschlüsselte Kommunikation überwachen zu können, bis die vom BKA entwickelte Überwachungssoftware – sogenannte Eigenentwicklung – einsatzbereit ist.

Die Funktionen der erworbenen Überwachungssoftware waren dem BKA bereits vor Erwerb der Softwarelösung bekannt.

Die Prüfung des Quellcodes ist jedoch – wie ich bereits mehrfach vorgetragen habe – bei dem Erwerb einer Software nicht üblich und konnte nur Aufgrund der Bereitschaft dieses Herstellers erfolgen.

Er hat jedoch den Abschluss eines Kaufvertrags zur Bedingung gemacht.

Die mit dem Vertragspartner vereinbarten Zahlungsbedingungen sehen vor, dass lediglich eine Teilzahlung des vereinbarten Entgelts unmittelbar fällig wird, eine weitere Rate im Juni 2013 und die Schlusszahlung bei Auslieferung einer Softwareversion, die den Vorgaben der Standardisierenden Leistungsbeschreibung vollständig entspricht.

Der Erwerb im “Herbst 2012″ ist interessant, sagte uns das das BKA vor zwei Wochen noch:

Der Vertrag wurde durch das Beschaffungsamt des Bundesministerium des Innern und der Firma Elaman im März 2013 geschlossen.

Ob der Staatstrojaner überhaupt legal eingesetzt werden darf, ist weiterhin ungewiss. Noch immer überprüft die Firma CSC Deutschland Solutions GmbH , ob die gelieferte Version der FinFisher/FinSpy-Suite den Anforderungen der standardisierenden Leistungsbeschreibung entspricht. Erst, wenn das der Fall ist, dürfte die Software offiziell zum Einsatz kommen.

Frank Rieger, Sprecher des Chaos Computer Club, kommentierte den Kauf gegenüber netzpolitik.org:

Dieses Vorgehen des BKA ist de facto Wirtschaftsförderung für ein Unternehmen, das im Ruf steht Spitzelsoftware zu liefern, mit denen demokratische Oppositionelle in aller Welt ausgeforscht werden. Sich in derartige moralische Abgründe zu begeben, obwohl es keine Rechtsgrundlage für das Abhören per Trojaner in Deutschland gibt, zeugt einmal mehr vom kompletten Verlust des Realitätssinnes bei BKA und Innenministerium.

Andrej Hunko kommentierte gegenüber netzpolitik.org:

Deutlich wird, wie derartige Beschaffungsvorgänge vernebelt werden. Dass die nun mitgeteilten Details nicht im Auskunftsbegehren von netzpolitik herausgegeben wurden, illustriert die arrogante Haltung des BKA zur Informationsfreiheit.

Wieder werden immense Summen für digitale Spähwerkzeuge versenkt. Der Vertrag mit Elaman kam zustande, obwohl rechtliche Rahmenbedingungen zum Einsatz staatlich genutzter Trojaner längst nicht geklärt sind. Dies ist aus Sicht der Bürgerrechte ein fatales Signal an die Hersteller von Überwachungstechnologie.

Ich kritisiere die Meinung des Bundesinnenministeriums, wonach der Quellcode der polizeilich genutzten Software dem Betriebsgeheimnis der Hersteller unterliegen soll. Hier gehen Kapitalinteressen vor Datenschutz. Das gilt natürlich nicht nur für Trojaner (die ich übrigens sehr wohl als staatlich genutzte Hackersoftware bezeichnen würde). Denn die Entwicklung digitaler Analysewerkzeuge für den Bereich „Innere Sicherheit“ schreitet weiter fort. Dies beinhaltet die Nutzung von Suchmaschinen in polizeilichen Datenbanken ebenso wie Anwendungen zur automatisierten Auswertung der Videoüberwachung.

vgwort pixel

Wir wollen netzpolitik.org weiter ausbauen. Dafür brauchen wir finanzielle Unterstützung, auch um weiterhin einen Full-RSS-Feed anbieten zu können. Investiere in digitale Bürgerrechte.

flattr this!

April 02 2013

Citizen Lab Bericht: Tibetische Aktivisten erneut mit gezielten Android-Trojanern ausspioniert

Android Berechtigungen der richtigen und der infizierten App.

Android Berechtigungen der richtigen und der infizierten App.

Tibetische Aktivisten wurden bereits mit mehreren Android-Trojanern gezielt angegriffen und ausspioniert. In einem neuen Bericht analysiert das Citizen Lab einen Trojaner, der Kontakte, Anruflisten und SMS-Nachrichten abhört. Staatliche Trojaner existieren für alle verbreiteten Betriebssysteme, der Infektionsweg ist dabei häufig per E-Mail.

Letzte Woche berichtete Kaspersky Lab, dass tibetische Aktivist/innen gezielt mit Trojanern für das mobile Betriebssystem Android ausspioniert wurden. Jetzt veröffentlichte das kanadische Citizen Lab einen weiteren detaillierten Bericht über gezielte Android-Trojaner gegen Tibeter.

Im zentralasiatischen Tibet gibt es oft nur einen eingeschränkten oder gar keinen Zugang zu Googles App-Store “Google Play”. Viele Tibeter installieren sich daher Android-Apps aus anderen Quellen, so werden diese z.B. gerne als APK-Dateien (Android Package) per E-Mail verschickt. Eine der gerne genutzten und versendeten Apps ist KakaoTalk, ein kostenloser Messaging-Dienst und eine Alternative zu WeChat, das mit der chinesischen Regierung kooperiert.

Im Dezember schickte ein befreundeter “IT-Security Experte” einem Abgeordneten des tibetischen Exilparlaments die richtige App und Installations-Hinweise per E-Mail. Im Januar erhielt eine “hochrangige politische Figur in der tibetischen Gemeinschaft” eine fast identische E-Mail. Diese hatte dem Anschein nach den selben Absender, kam aber in Wahrheit von einem GMX-Account. Der Text in der Mail war der selbe, aber die angehängte App war mit einem Trojaner infiziert.

Einmal installiert, sammelte die App in regelmäßigen Abständen die Kontakte des Benutzers, Anruflisten, SMS-Nachrichten und Informationen über die Konfiguration des Mobilfunk-Netzwerks. Darüber hinaus kommunizierte die App regelmäßig mit dem Command-and-Control-Server “android.uyghur.dnsd.me”, wobei versucht wurde, den Datenverkehr aussehen zu lassen wie den der chinesischen Suchmaschine Baidu. Der C&C-Server teilte dem Trojaner dann mit, wo er die abgeschnorchelten Daten hochladen soll.

Schließlich fing die Trojaner-App auch spezielle SMS-Nachrichten mit bestimmten Codes ab, woraufhin Informationen über die Funkzelle und das Mobilfunk-Netzwerk zurückgeschickt wurden, ohne dass die Anwenderin von diesen SMS etwas mitbekommt. Diese Informationen sind für einfache Online-Kriminelle wenig hilfreich, daher ist es vorstellbar, dass die Angreifer mit einem Mobilfunk-Anbieter zusammen arbeiten können. Der Citizen Lab hält sich vornehm zurück, China als staatlichen Akteur hinter den Angriffen namentlich zu benennen, angesichts der Auseinandersetzungen um die tibetische Unabhängigkeit liegt die Vermutung jedoch nahe.

Dieser Bericht zeigt erneut, dass staatliche Trojaner zur Überwachung politischer Gegner keineswegs nur ein paar unsichere Windows-Computer betreffen. Auch sie Staatstrojaner-Suite “made in Germany” FinFisher/FinSpy existiert für alle möglichen Zielsysteme: darunter Windows, Mac OS X, Linux, iOS, Android, BlackBerry, Windows Mobile und Symbian. Die aktuelle Schadsoftware wurde übrigens bis zur Veröffentlichung von keiner der drei großen Android-Antivirenprogramme erkannt.

vgwort pixel

flattr this!

August 23 2012

Private Dienstleister: Staatstrojaner-Hersteller DigiTask ist “Hoflieferant des Innenministeriums”

Deutsche Behörden haben seit 2005 fast einhundert mal bei DigiTask eingekauft. Das geht aus der Antwort der Bundesregierung auf eine kleine Anfrage der Linkspartei hervor. Auch über den Trojaner hinaus ist der Staat damit Stammkunde der hessischen Firma – noch immer.

Die Privatisierung von Staatsaufgaben macht auch vor der Überwachung nicht halt. Jetzt hat die Bundesregierung auf eine kleine Anfrage der Linkspartei zum Thema “Auftragsvergabe an private Dienstleister im Bereich des Bundesministeriums des Innern” geantwortet. Daraus geht hervor, dass allein das Bundesamt für Verfassungsschutz in den letzten zehn Jahren Aufträge im Wert von 50 Millionen Euro an private Firmen gegeben hat.

Aber auch andere Bundesbehörden outsourcen gerne – unter anderem an DigiTask, den Hersteller des vom CCC enttarnten Staatstrojaners. In einer Tabelle mit Aufträgen taucht die Firma aus dem hessischen Haiger fast einhundert Mal auf. Daran hat auch das Trojaner-Debakel nichts geändert.

Philipp Alvares de Souza Soares auf Zeit Online:

Auf Anfrage der ZEIT bestätigte das Innenministerium indes, mit DigiTask noch immer im Geschäft zu sein. Die Daten aus der Antwort an die Linkspartei bezogen sich lediglich auf die Zeit bis 2011.

flattr this!

August 10 2012

Angezapft: Warum Staatstrojaner mit Gesetzen nicht kontrollierbar und damit grundsätzlich abzulehnen sind

CC BY-SA 2.0 mellowboxDer staatliche Einsatz von Trojaner-Software lässt sich schon per Definition weder technisch noch gesetzlich beschränken. Das ist das Ergebnis einer Diplomarbeit an der Berliner Humbold-Universität, die netzpolitik.org an dieser Stelle exklusiv veröffentlicht. Die Konsequenz kann nur lauten, dass der Staat keine Schadsoftware einsetzen darf.

Seit mindestens sieben Jahren überwachen deutsche Staatsorgane fremde Computersysteme mit Staatstrojanern. Etwa 35 mal pro Jahr setzen Behörden von Bund und Ländern solche Überwachungs-Software ein, mehr als hundert Mal in drei Jahren. Zahlen aller Geheimdienste sind nicht bekannt, aber schon Anfang 2009 hatte allein der Bundesnachrichtendienst über 2.500 Rechner infiltriert. Die gesellschaftliche Debatte hinkt dabei der technischen Entwicklung hinterher.

In seiner Diplomarbeit unterstreicht der Student Rainer Rehak, wie groß dieser Graben ist: Angezapft – Technische Möglichkeiten einer heimlichen Online-Durchsuchung und der Versuch ihrer rechtlichen Bändigung. Darin wird deutlich, dass sich staatliche Trojaner allein durch ihre Anforderungen schon technisch nicht hinreichend einschränken lassen, erst recht nicht durch Gesetze. Code ist eben Gesetz.

Die Qualität der Diplomarbeit überzeugte auch seine Gutachter am Informatik-Institut der Berliner Humbold-Universität: sie bekam die Note 1,0. Zunächst arbeitet Rehak anhand öffentlicher Aussagen der verantwortlichen Stellen heraus, welche Funktionen eine heimliche Online-Durchsuchung haben muss. Aus diesen konzeptionellen Anforderungen leitet er technische Eigenschaften einer solchen Software ab.

Probleme schon im Konzept

Ein Staatstrojaner muss beispielsweise zwangsläufig System- und Schreibrechte auf einem Zielsystem haben. Nur so kann sich die Software möglichst gut verstecken und Abwehrprogramme umgehen. Auch zum effektiven und heimlichen Abgreifen der gewünschten Daten sind Systemrechte notwendig. Zudem muss sich ein Staatstrojaner updaten lassen, um sich an Änderungen des Zielsystems anzupassen oder neue Funktionalitäten nachzuladen. Doch sobald eine Software einmal solche umfangreichen Rechte hat, kann eine Beschränkung der Funktionalität nicht mehr sichergestellt oder belegt werden.

Die mit einem Trojaner abgeschnorchelten Daten haben zudem wenig Aussagekraft. Da die Software auf einem fremden System operiert, können die Überwacher nicht erkennen, ob die übermittelten Daten echt oder manipuliert sind. Der CCC hat diese Möglichkeit bereits beim DigiTask-Trojaner demonstriert, in dem falsche Screenshots zurück geschickt wurden. Das war nicht nur ein Problem der konkreten Software, sondern ist grundsätzlich bei jedem Trojaner möglich. Die so erlangten Daten haben daher keine Beweiskraft.

In Deutschland wird der Einsatz staatlicher Trojaner vor allem mit der so genannten Quellen-Telekommunikationsüberwachung (TKÜ) gerechtfertigt. Im Gegensatz zu einer Online-Durchsuchung soll dabei nur Telekommunikation abgehört werden. Nicht nur in der Praxis funktioniert diese Unterscheidung zwischen Telekommunikations- und anderen Daten nicht, wie der Bericht des bayrischen Datenschutzbeauftragten zeigt. Die Trennung der Datentypen ist technisch schlicht nicht hinreichend lösbar. Daher muss auch bei einer Quellen-TKÜ stets die maximale Eingriffshürde angewendet werden.

Auch der vom Bundesverfassungsgericht definierte Kernbereich privater Lebensgestaltung ist durch Staatstrojaner zwangsläufig betroffen. Durch den Einzug informationstechnische Systeme in alle Bereiche des menschlichen Lebens werden auch die Teile der Intim- und Privatsphäre auf solchen Systemen abgebildet, die gegen staatliche Eingriffe absolut geschützt sind. Eine Software kann diesen Kernbereich mit technischen Mitteln nicht erkennen. Eine Einordnung von Daten in den Kernbereich kann nur von Menschen in den Behörden geleistet werden, dann ist der Eingriff aber schon passiert. Somit verletzt jeder Staatstrojaner den Kernbereich privater Lebensgestaltung.

Programmierter Verfassungsbruch

All diese Mängel ergeben sich direkt aus dem Konzept eines Staatstrojaners und betreffen daher grundsätzlich jede Implementation. Hersteller, Funktionen und sogar die Verfügbarkeit von Quellcode sind irrelevant. Das Bundesverfassungsgericht hat in seinem Urteil aus dem Jahr 2008 viele dieser Probleme erkannt. Trotzdem hat es den Einsatz, wenn auch unter engen Grenzen, erlaubt. Dabei zeigt diese Arbeit, dass die grundsätzlichen Probleme nicht durch Recht und Gesetz zu bändigen sind. Fehler und Missbrauch sind hier noch gar nicht eingerechnet.

Daher ist jede Form von Staatstrojanern abzulehnen. Umso schlimmer ist es, dass der Einsatz nicht nur weiter geht, sondern dabei noch nicht einmal das bestehende, unzureichende Recht eingehalten wird. Das hat Frank Rieger in der FAS treffend kommentiert: Rechtsbruch wird Tradition.

flattr this!

August 09 2012

Gamma FinFisher: Neue Analyse des Staatstrojaners deutet auf weitere Kunden hin

Der Spionage-Software FinFisher wird möglicherweise auch in Dubai, Katar, Mongolei und Indonesien eingesetzt. Das geht aus weiteren Analysen des vor zwei Wochen enttarnten Staatstrojaners hervor. Auch in Europa wurden Server entdeckt, die möglicherweise als Kommandozentralen für die Software der deutsch-britischen Firma Gamma International dienen.

Vor zwei Wochen haben Aktivisten vom Citizen Lab die Analyse eines Trojaners veröffentlicht, den sie für das Produkt FinFisher der Firma Gamma International halten. Die Computerwanze sollte weltweit Computer bahrainischer Aktivisten infizieren und ausspähen.

Ursprüngliche Analyse bestätigt

Jetzt hat ein zweites Forscher-Team eine Analyse der Software veröffentlicht. Als Grundlage dienten ihnen vier infizierte Dateien, die auch netzpolitik.org vorliegen. Die Gruppe um Claudio Guarnieri und Jacob Appelbaum bestätigt in weiten Teilen die Ergebnisse des Citizen Lab, wie die Malware den Zielrechner infiziert und sich einnistet. Wird die vermeintliche Bild-Datei auf dem Zielrechner geöffnet, kopiert sich der Trojaner in einen System-Ordner und injiziert nach einem Neustart seinen Schadcode direkt in Systemprozesse. So kann sich die Netzwerk-Kommunikation des Trojaners in einem Prozess des Internet Explorers verstecken, der oft leicht durch Firewalls kommt.

Das Team ist sich ziemlich sicher, dass es sich tatsächlich um FinFisher handelt. Neben dem bekannten String “finspyv4.01″ in einem Ordner-Namen hat man die Strings “finfisher” und “finfisher.lnk” entdeckt. Im Vergleich mit der offiziellen Demo-Version von FinFisher sind viele Gemeinsamkeiten im Ablauf des Programms: die aggressive Präsenz auf dem System, die Prozesskette und der Netzwerk-Verkehr. Anhand der Kommunikationsmuster stellt das Team zwei Regeln für das Angrifferkennungssystem Snort zur Verfügung, um die bekannten FinFisher Infektionen im eigenen Netz zu erkennen.

Server auf fünf Kontinenten

Auch Guarnieri und Co. ist aufgefallen, dass der vom Citizen Lab enttarnte Kommando-Server in Bahrain auf HTTP-Anfragen mit dem String “Hallo Steffi” antwortet. Eine Abfrage diese Musters in der Datenbank des Projekts Critical.IO offenbarte elf weitere Server, die dieses Verhalten zeigten. Diese befinden sich in Äthiopien, Australien, Estland, Indonesien, Katar, Lettland, Mongolei, Tschechien (zwei mal), USA und den Vereinigten Arabischen Emiraten. Die Standorte auf einer Google Karte visualisiert:

Ob diese Server tatsächlich von staatlichen Behörden in diesen Ländern verwendet werden, kann derzeit nicht abschließend bewertet werden. Zunächst haben sie nur alle den ominösen String “Hallo Steffi” geantwortet (Update: Und auf ähnlichen Port-Kombinationen gelauscht). Mittlerweile tun sie das nicht mehr, was auf ein Update nach dem Bekanntwerden hindeuten könnte. Der Chef der Gamma International GmbH in München, Martin J. Münch behauptet gegenüber dem Bloomberg-Journalisten Vernon Silver, dass Dritte die FinSpy-Server nicht durch Netzwerk-Scans erkennen könnten, weil sie “mit Firewalls geschützt sind”.

Auf Nachfrage von Bloomberg haben Institutionen der meisten Staaten geantwortet, dass man von einer FinFisher-Nutzung im eigenen Land nichts wisse. Das indonesische Kommunikations- und IT-Ministerium meinte, dass der Einsatz solcher Software Datenschutzgesetze und Menschenrechte des Inselstaates verletzen würde. Andere Länder haben nicht geantwortet, beim amerikanischen FBI hieß es: “kein Kommentar”.

Gamma streitet ab – unglaubwürdig

Auf Anfrage von netzpolitik.org wollte auch Gamma keine Stellung beziehen, der versprochene Rückruf von Martin J. Münch blieb aus. Stattdessen verweist man auf die Firmen-Policy, keine Auskunft über seine Kunden zu geben. Eine Ausnahme machte man für Bloomberg, als Geschäfte mit Bahrain bestritten wurden. Auch sei der untersuchte Trojaner wahrscheinlich keine der aktuell verkauften Versionen von FinSpy. Viel wahrscheinlicher sei es, dass jemand die Demo-Version der Software entwendet und modifiziert hat, so Münch weiter.

Ein von netzpolitik.org befragter IT-Security-Forscher hält das für eine Ausrede:

Da hat Gamma jemand diese Malware geklaut, und – obwohl sie gegen Debugging und Analyse geschützt ist – den angeblichen Call-Home raus gepatcht, dann in zig Ländern selbstentwickelte Command-and-Control Server aufgebaut, die sich mit ‘Hallo Steffi’ melden? Das ist bestimmt nicht so.

Die genaue Rolle dieser elf Server wird Gegenstand weiterer Untersuchungen sein. Zwar haben die infizierten Rechner der bahrainischen FinSpy-Versionen die Überwachungsdaten an den ursprünglichen “Hallo Steffi”-Server in Bahrain geschickt. Das könnte jedoch auch nur ein Proxy-Server sein, wie ihn auch deutsche Behörden bei ihrem Einsatz des DigiTask-Trojaners eingesetzt haben. Die eigentlichen Empfänger könnten überall sitzen. Fragt sich nur wie wahrscheinlich ein Proxy in Äthopien ist, ein Land mit sehr langsamen und zensiertem Internet.

Jede Art von Malware bekämpfen

Die neue Analyse beunruhigt die Forscher. Obwohl sie die Infektionskette als schwach bezeichnen, ist die Spionage-Software insgesamt ziemlich komplex und gut geschützt bzw. verschleiert. Zwar werden die bekannten Exemplare mittlerweile von Antiviren-Programmen erkannt, aber natürlich reagieren die Hersteller auch darauf mit Anpassungen.

Keine Malware kann langfristig unter Kontrolle gehalten werden, früher oder später wird jede Schadsoftware für bösartige Zwecke genutzt, so die Forscher. Verbreitung, Produktion und Erwerb von Malware müssen verhindert und bekämpft werden. Wenn Gamma behauptet, sich an die Exportrichtlinien von Deutschland, Großbritannien und den USA zu halten, dann sind diese Teil des Problems.

Stattdessen testet auch das Bundeskriminalamt FinFisher als neuen Staatstrojaner für Deutschland.

flattr this!

August 02 2012

Skype und die Überwachungsdiskussion

Momentan werden die Überwachungsmöglichkeiten von Skype diskutiert. Ausgangspunkt waren der Umzug von Verbindungsservern in Rechenzentren von Skype Eigentümer Microsoft und ein Artikel der Washington Post. Letzterer beruft sich auf Insider die über strukturelle Veränderungen und eine bessere Zusammenarbeit mit staatlichen Stellen berichten. Skype weist die Vorwürfe zurück – allerdings findet sich keine explizite Aussage welche Überwachungsmöglichkeiten bestehen und welche nicht. Jedenfalls betont Skype, dass sie durch die Serverumzüge nicht weiter ausgebaut worden wären. Behörden würde man Auskünfte innerhalb des gesetzlichen Rahmens erteilen, sofern Skype die Daten liefern könne. Nun stellt sich die Frage, wie die Überwachungssituation bei Skype wirklich aussieht. Eine Frage die nicht leicht zu beantworten ist.

Die technische Seite

Skype brüstete sich in der Vergangenheit immer wieder damit, das sie einer Überwachungsanordnung seitens der Polizei nicht entsprechen können. Mittlerweile äußern sie sich dazu nur noch ausweichend. Das Statement zu Überwachungsfragen lautet:

Our position has always been that when a law enforcement entity follows the appropriate procedures, we respond where legally required and technically feasible.

Technisch umsetzbar ist das Abhören von Voice- und Video-Calls bereits mit der vorhanden Infrastruktur. Der Richter Ulf Buermeyer beschreibt in seinem Blog die Möglichkeit über die in die Software integrierten Funktionen vom “normalen” Telefonnetz eingehende Anrufe zu empfangen (Skype-In) und in dieses zu telefonieren (Skype-Out) die Gespräche über Skype Server umleiten zu können. Dem anrufenden Skype-Clienten könnte so ein das Skype-Netz verlassendes Gespräch vorgegaukelt werden, dem angerufenen ein Anruf aus dem normalen Telefonnetz. Gespräche die das Skype-Netz verlassen müssen immer über Skype-Server laufen, auf welchen sie unverschlüsselt vorliegen. Skype kann so über die bereits vorhandene Infrastruktur einen Man-in-the-Middle-Angriff realisieren und die Ende-zu-Ende Verschlüsselung der Skype-Clienten aufheben.

Alternativ dazu könnten natürlich auch direkt in der Skype-Software Abhörmechanismen eingebaut werden. Ob und wie Überwachungsmechanismen umgesetzt wurden, lässt sich allerdings nicht nachvollziehen, da es sich um proprietäre Software handelt deren Source-Code man nicht einsehen kann. Technisch ist das Abhören von Skypegesprächen seitens Skype jedenfalls kein Problem – offen bleibt ob es auch gemacht wird – schauen wir uns die Aussagen und Gegebenheiten an.

Niemand hat die Absicht, Skype Gespräche abzuhören!

In den Skype AGBs stimmt man als Skype-Nutzer der Offenlegung von Informationen im Rechtsrahmen zu:

Skype, der örtliche Skype-Partner oder der Betreiber bzw. Anbieter, der die Kommunikation ermöglicht, stellt personenbezogene Daten, Kommunikationsinhalte oder Verkehrsdaten Justiz-, Strafvollzugs- oder Regierungsbehörden zur Verfügung, die derartige Informationen rechtmäßig anfordern. Skype wird zur Erfüllung dieser Anforderung angemessene Unterstützung und Informationen bereitstellen, und Sie stimmen hiermit einer derartigen Offenlegung zu.

Zu Chat-Nachrichten findet sich ebenfalls ein Absatz, der Skype erlaubt die Chat-Daten 30 Tage auf ihren Servern zu speichern:

Skype kann die Inhalte Ihrer Sofortnachrichten (Chats) speichern, um (a) Ihre Nachrichten zu übermitteln und zu synchronisieren und (b) Ihnen sofern möglich den Abruf Ihres Chat-Protokolls zu ermöglichen. Die Sofortnachrichten werden höchstens 30 Tage lang aufbewahrt, wenn gesetzlich nichts anderes festgelegt ist.

2007 äußerte Chief Security Officer Kurt Sauer auf zdnet.de auf die Frage ob Skype-Telefonate abgehört werden können:

Wir antworten auf diese Frage: Wir stellen eine sichere Kommunikationsmöglichkeit zur Verfügung. Ich werden Ihnen nicht sagen, ob wir dabei zuhören können oder nicht.

Betrachtet man, was bisher im Bereich-Skype-Überwachung bekannt wurde scheint das Vorhandensein eine Überwachungsmöglichkeit mehr als wahrscheinlich.

  • TOM-Skype, die chinesische Skype-Version, filtert und blockiert Textnachrichten und gibt diese an chinesische Behörden weiter. Dem Dienst vertrauten auch viele Bürgerrechtler die auf sichere Kommunikationsmöglichkeiten besonders angewiesen sind. Betroffen davon sind aber auch Nutzer in anderen Ländern, wenn sie mit einem TOM-Skype-Nutzer in China kommunizieren.
  • Mitte 2008 fand ein Treffen zwischen dem österreichischen Innenministerium und Providern statt. Laut ORF-Bericht wurde dort die Voll-Überwachung einzelner Internetanschlüsse diskutiert. Auf der anschließeneden Auskunftsveranstaltung sei zu erfahren gewesen, “dass die Überwachung von verschlüsselten Telefonaten via Skype zwar nicht ganz trivial sei, aber kein wirkliches Problem mehr darstelle.” Kurz zuvor sei die Skype-Verschlüsselung noch eines der Argumente zur Notwendigkeit des Bundestrojaners gewesen.
  • In einer Pressemitteilung von Anfang 2009 warf die europäische Behörde zur Koordinierung grenzüberschreitender Strafermittlung Eurojust Skype vor, das Abhören von Skype-Telefonaten durch Verschlüsselung zu verhindern. Sie korrigierte sich jedoch: Es gäbe bereits seit 2006 Treffen und eine Kooperation mit Skype. Skype habe in der Mitteilung nur als Beispiel für VoIP gedient.
  • Der Anwalt Udo Vetter bloggte 2010 von einem Rechtsstreit, in dem ein Ermittlungsbeamter aussagte,

    Seine Behörde könne Skype – auch Gespräche von Skype zu Skype – heute genauso abhören wie das normale Telefon. Wie, wollte er allerdings nicht verraten. Die Vorsitzende Richterin merkte dazu an, sie habe in ganz neuen Sachen auch schon Skype-Abhörprotokolle gesehen.

  • Seit 2010 betreibt Skype zentrale Netzwerkknoten (Supernodes). Diese dienen als Kommunikationsvermittler, können aber auch Kommunikationsverbindungen über sich routen, um eine Verbindung zu ermöglichen, die Peer-to-Peer nicht zustande kommen kann. Auf der anderen Seite wurde hierdurch aber auch die Infrastruktur geschaffen um Kommunikation abzuhören.
  • Mitte 2011, kurz nach dem Kauf Skypes, wurde Microsoft ein Patent zugesprochen, dass das Abhören von VoIP beschreibt. Microsoft besitzt also ein Patent um Skype abzuhören…
  • Erst kürzlich wurde bekannt, dass Microsoft die von Nutzern hochgeladenen Daten auf Skydrive auf Verstöße gegen die AGB scannt und bei einem Verstoß den kompletten Windows Live Zugang sperrt.

Weitere Bedrohungen

  • In mehreren Ländern wird die Forderung oder Einführung von Staatstrojanern mit Skype begründet. Die Trojaner werden auf dem Zielrechner installiert und fangen die Kommunikation noch vor der Verschlüsselung bzw. nach der Entschlüsselung ab und leiten sie an die Überwacher weiter. Letztlich handelt es sich um eine spezielle Art der Online-Durchsuchung.
  • Das Europäische Institut für Telekommunikationsnormen (ETSI) standardisiert die Überwachung von Telekommunikation. Gerade ist man dabei Standards für die Cloud und Web2.0 Dienste auszuarbeiten. Darunter fallen neben sozialen Netzwerken, auch Chat und VoIP – also auch Skype. Die Polizei soll sowohl live auf die Inhaltsdaten zugreifen, als auch die Vorratsdaten der Kommunikation abrufen können. Um dies zu gewährleisten sollen die Anbieter gezwungen werden Hintertüren einzubauen. Außerdem soll die SSL-Verschlüsselung mit Man-in-the-Middle-Angriffen ausgesetzt werden – wir berichteten.

Fazit

Einen definitven Beweis für eine Abhörschnittstelle gibt es nicht, aber einige Informationen die stutzig machen. Da der Code Closed-Source ist kann nichts überprüft werden und man ist darauf angewiesen, dem Lavieren seitens Skype zu vertrauen.

Gerade unter Regimekritikerinnen hat Skype einen guten Ruf in Sachen Sicherheit. Die momentane Informationslage lässt den Sicherheits-Status von Skype allerdings anzweifeln. Insbesondere Regimekritiker sollten auf freie Software mit freien Implementierungen von Verschlüsselungsstandards setzen (zum Chatten beispielsweise Jabber mit OTR-Encryption) – alle anderen aber natürlich auch…

flattr this!

Bayerischer Datenschutz-Beauftragter: Schwere Fehler beim Einsatz von Staatstrojaner

Beim Einsatz von Staatstrojaner-Software in Bayern sind schwere Fehler gemacht wurden. Das stellt der Landesdatenschutzbeauftragte nach acht Monaten fest und fordert Konsequenzen von Strafverfolgungsbehörden und Gesetzgeber. Die genauen Abläufe der Einsätze konnte er nicht nachvollziehen, weil die Behörden die Fälle mangelhaft dokumentiert haben.

Von 2008 bis 2011 wurden in Bayern 23 mal Staatstrojaner zur “Quellen-Telekommunikationsüberwachung” eingesetzt. Diese hat der Landesbeauftragte für den Datenschutz nun untersucht und einen Prüfbericht veröffentlicht. Das sind nur die Verfahren der Strafverfolgungsbehörden, den Verfassungsschutz darf er nicht untersuchen. Ein Drittel der bisher abgeschlossenen Verfahren wurde trotz Trojaner-Einsatz eingestellt.

Alle verwendeten Trojaner waren von der Firma DigiTask, daher dürfte die Software dem vom Chaos Computer Club analysierten Trojaner ähneln. Wie der CCC hat auch der Datenschutzbeauftragte Dr. Thomas Petri nur Binärdateien untersucht. Zwar wurde ihm auch Einblick in den Quellcode angeboten, doch dafür wollte DigiTask einen Geheimhaltungsvertrag.

Zur Prüfung hat sich Petri vom Landeskriminalamt Unterlagen, Akten und Software geben lassen. Er kritisiert:

Zusammengefasst konnten die Geschehensabläufe mangels hinreichender Dokumentation nicht umfassend nachvollzogen werden. Im Hinblick auf die Eingriffsintensität sind derartige Dokumentationsdefizite aus datenschutzrechtlicher Sicht als Verstöße gegen § 9 BDSG bzw. Art. 7 BayDSG anzusehen.

Obwohl er deswegen die Zusammenhänge der Auftragtserteilung nicht vollständig nachvollziehen konnte, bezeichnet Petri die Aufträge an DigiTask als “in mehrfacher Hinsicht mängelbehaftet”. So fehlte in den Verträgen die Möglichkeit, den Quellcode zu sehen zu dürfen. Das Personal von DigiTask zur “Fernwartung” wurde nicht einmal vertraglich auf das Datengeheimnis verpflichtet.

Auch gab es keine vertragliche Verpflichtung, nicht mehr Überwachungsfunktionalitäten zu liefern als rechtlich zulässig sind. Kein Wunder, dass die gekaufte Software diese gesetzlichen Vorgaben dann auch missachtete:

Soweit überprüfbar enthielt die Überwachungssoftware keine zuverlässige technische Begrenzung auf bestimmte Überwachungsfunktionen. Eine solche Funktionsbeschränkung wäre aus datenschutzrechtlicher Sicht nicht nur über die Beschränkung der Benutzeroberfläche der Überwachungskonsole geboten gewesen.

Eine rechtlich gebotene Begrenzung auf bestimmte Überwachungsfunktionen wird durch diese Möglichkeit, beliebige Programme zu starten, praktisch unmöglich gemacht.

Da die so genannte “Quellen-Telekommunikationsüberwachung” nur Telekommunikation an der Quelle überwachen darf, sind darüber hinaus gehende Überwachungsmaßnahmen wie bei einer “Online-Durchsuchung” unzulässig. Trotzdem war es dem Team des Datenschutzbeauftragten teilweise möglich, nicht nur “Applicationshots” von Kommunikations-Programmen sondern Screenshots des gesamten Bildschirms anzufertigen.

In zwei anderen, noch nicht abgeschlossenen Maßnahmen, die daher noch nicht konkret prüfbar und zu denen mir auch die dazugehörenden Beschlüsse nicht vollständig bekannt sind, konnte in der in meinem Haus aufgebauten Testumgebung mit den exakt gleichen Aufrufparametern nicht nur der Inhalt eines Browserfensters, sondern der des gesamten Bildschirms übertragen werden. Dies war unabhängig von dem gerade aktiven Fenster möglich. Auch wenn etwa als einziges Fenster ein Office-Dokument geöffnet war, konnte mit den beiden Binärdateien dieser Maßnahmen ein vollständiger Screenshot gefertigt werden.

Unabhängig von dem unter 5.2 dargestellten Streit über die Zulässigkeit von Applicationshots ist jedenfalls die Anfertigung von Screenshots im Rahmen einer Quellen-TKÜ unzulässig, weil und soweit sie auch auf dem Bildschirm befindliche Daten erfasst, die offenkundig nicht einer laufenden Telekommunikation zuzuordnen sind.

Was die Beamten tatsächlich mit der Software gemacht haben, war auch nicht rauszukriegen. Es gibt zwar Logs von der Überwachungskonsole, aber die sind mehr als dürftig:

In den drei von mir umfangreich geprüften Protokollen fanden sich im Schnitt je drei Einträge über den gesamten Zeitraum der Maßnahmen. Mehr als fünf Einträge fanden sich in keinem Protokoll.

Aus datenschutzrechtlicher Sicht waren die Einträge in den Protokolldateien sowohl wegen der mangelnden Quantität als auch der ungenügenden Qualität sowie der nicht nachprüfbaren Authentizität nicht ausreichend.

In den Protokolldateien müsste mindestes erkennbar sein, welche individuelle Person Aktionen veranlasst hat. Gruppenkennungen reichen hier nicht aus. Auch müssten alle relevanten Aktionen, wie etwa „Funktionalität ein- oder ausgeschaltet“ und ob diese Aktion wirksam war, protokolliert werden.

Die Verschlüsselung der übermittelten Daten hat der CCC ja schön auseinandergenommen. Aus der Pressemitteilung:

Die ausgeleiteten Bildschirmfotos und Audio-Daten sind auf inkompetente Art und Weise verschlüsselt, die Kommandos von der Steuersoftware an den Trojaner sind gar vollständig unverschlüssselt. Weder die Kommandos an den Trojaner noch dessen Antworten sind durch irgendeine Form der Authentifizierung oder auch nur Integritätssicherung geschützt. So können nicht nur unbefugte Dritte den Trojaner fernsteuern, sondern bereits nur mäßig begabte Angreifer sich den Behörden gegenüber als eine bestimmte Instanz des Trojaners ausgeben und gefälschte Daten abliefern. Es ist sogar ein Angriff auf die behördliche Infrastruktur denkbar.

Der Landesdatenschutzbeauftragte sieht das anders:

In Bezug auf die abgeschlossenen Maßnahmen konnte die Verschlüsselung der Übertragungswege zum damaligen Zeitpunkt zu den damaligen Rahmenbedingungen noch als ausreichend angesehen werden. Zum gegenwärtigen Zeitpunkt wäre die Verschlüsselung allerdings als unzureichend anzusehen.

Betrachtet man die realistische Möglichkeit eines Angreifers, der über keine weitergehenden Informationen zum Verschlüsselungsverfahren oder über einen Zugriff auf RCU-Binaries verfügt, ist es für ihn nahezu unmöglich, die übermittelten Daten zu entschlüsseln. Somit kann die Verschlüsselung zum damaligen Überwachungszeitpunkt gerade noch als ausreichend angesehen werden, auch wenn durch die Vermeidung des ECB-Modus ein höheres Sicherheitsniveau einfach zu erreichen gewesen wäre.

Die Verschlüsselung hält er sogar für gut genug, dass die Daten auf Server im Ausland übermittelt werden können:

Wenn eine ausreichend wirkungsvolle Verschlüsselung, die ich im Blick auf die Gesamtsituation gerade noch zugestehen kann, eingesetzt wird und auf dem Proxy-Server selbst keine personenbezogenen Daten gespeichert oder verarbeitet werden, spricht grundsätzlich nichts gegen eine Platzierung von Proxy-Servern im Ausland. Die Ermittlungsbehörden trifft dann allerdings eine besondere Sorgfaltspflicht bezüglich der Sicherstellung der Verfügbarkeit des in Anspruch genommenen Proxy-Servers. Diese gesteigerte Sorgfaltspflicht wurde vorliegend nicht beachtet.

Dumm nur, dass man nicht mal die Kommunikation oder den Server hacken muss, sondern sich einfach einen Server mit der IP holen kann:

Bei der Kündigung wurden seitens des BLKA nicht die gebotenen Vorkehrungen getroffen, dass die IP-Adresse nicht erneut an einen anderen Kunden des Anbieters vergeben werden konnte. Für den Fall, dass ein neuer Kunde diese IP-Adresse zugeteilt bekommen hätte, hätte er – bei entsprechenden Kenntnissen – alle noch aktiven RCUs steuern und die gewonnenen Daten empfangen können. Dieses Szenario ist nicht unwahrscheinlich.

Versagt haben die Behörden auch darin, die Betroffenen darüber zu informieren, dass der Staat ihre Computer infiltriert hat:

Nach Abschluss einer Quellen-TKÜ ist der Betroffene des infiltrierten Gerätes regelmäßig nicht nur über Beeinträchtigungen der Vertraulichkeit eines Gesprächs, sondern auch über eine etwaige Beeinträchtigung der Integrität eines infiltrierten IT-Systems zu unterrichten. Aus den mir vorgelegten Unterlagen ergibt sich, dass die Betroffenen nicht über die Integritätsbeeinträchtigung informiert wurden.

Damit bleibt der bayrische Landesdatenschutzbeauftragte hinter der Kritik seines Bundeskollegen zurück. Statt einer Abschaffung der Maßnahme fordert Petri lediglich Nachbesserungen von Strafverfolgungsbehörden und Gesetzgeber. Dem Vernehmen nach setzen aber immer noch Staatsbehörden Software von DigiTask ein.

flattr this!

July 27 2012

Hacking Team Remote Control System: Noch ein europäischer Staatstrojaner enttarnt, mit erstem Rootkit für Mac OS X

Schon wieder ist ein kommerzieller Überwachungs-Trojaner entdeckt worden, der nur an Staaten verkauft wird. Die russische Anti-Viren-Firma Doctor Web berichtet, Überwachungssoftware der italienischen Firma Hacking Team gefunden zu haben. Laut eigener Aussage werden damit tausende Menschen auf der ganzen Welt überwacht.

Überwachungs-Software, auch wenn sie von Staaten eingesetzt wird, ist Schadsoftware. Nachdem Staatstrojaner von DigiTask und Gamma aufgeflogen sind, trifft es jetzt auch die italienische Firma Hacking Team. Seit 2003 entwickelt das Team um David Vincenzetti den Trojaner Remote Control System, mittlerweile ist man bei Version 7.5.

In einem Video und einer Broschüre werden die Fähigkeiten messe-kompatibel beworben. Man müssen “sein Ziel hacken”, um Verschlüsselung zu umgehen. Das Piktogramm “Hit your Target” mit Fadenkreuz auf den Kopf ist original aus der Broschüre. Die Software will Verschlüsselung umgehen, um alle Daten eines Rechners oder einer Kommunikation unverschlüsselt zu bekommen. Hacking Team wirbt damit, dass “hunderttausende Ziele” gleichzeitig überwacht werden können. Und zwar auf allen großen Betriebssystemen von Rechnern und Smartphones.

Zwar verkaufen die Italiener nur an Staaten und eine Lizenz kostet 200.000 Euro pro Jahr. Trotzdem hatte man Ende letzten Jahres laut eigener Aussage um die 30 Behörden in circa zwei Dutzend Ländern beliefert. Die Software ist auf fünf Kontinenten im Einsatz, darunter auch der Nahe Osten, Nordafrika und Ostasien. Auf der Fachmesse Cyber Warfare Europe in Berlin letzten Jahres berichtete ein Firmensprecher von einigen tausend Zielpersonen, auf deren Geräten der Trojaner im Einsatz ist.

Der russische Anti-Viren-Hersteller Doctor Web will den Trojaner von Hacking Team nun gefunden und enttarnt haben. Die Firma hat am Montag eine Datei erhalten, die im April letzten Jahres erstmals auftauchte und BackDoor.DaVinci.1 getauft wurde. Der Trojaner infiziert Rechner mit Windows oder Mac OS X. Wie üblich gibt es die volle Kontrolle über den Rechner, mit Keylogger, Screenshots, E-Mail und Skype vor der Verschlüsselung und Kontrolle über Kamera und Mikrofon. Laut Dr.Web ist es das erste entdeckte Rootkit, das sich auf Mac OS X versteckt.

Aus dem Bericht wird nicht unmittelbar klar, woraus Doctor Web schließt, es mit der Software von Hacking Team zu tun zu haben. Eine telefonische Anfrage von netzpolitik.org mit der russischen Firma gestaltete sich aufgrund von sprachlichen Hindernissen schwierig, eine Anfrage per E-Mail ist derzeit noch nicht beantwortet. Hacking Team wollte am Telefon ebenso nicht Stellung nehmen und verwies wie üblich auf den Kommunikationsweg E-Mail. Doctor Web spart aber nicht mit Kritik an Hacking Team und bezeichnet die italienischen Hersteller von Staatstrojanern als Kriminelle, deren Behauptung, dass ihre Software nicht entdeckt werden kann, man widerlegt habe.

[via]

flattr this!

February 17 2012

Geleakt: Datenschutzbericht zum Staatstrojaner

Bei Indymedia ist ein 66 Seiten langer Bericht vom Bundesdatenschutzbeauftragten Peter Schaar “über Maßnahmen der Quellen-Telekommunikationsüberwachung bei den Sicherheitsbehörden des Bundes” gelandet (PDF). Kurz: Ein Bericht über den Staatstrojaner.

Aus der Zusammenfassung:

Aus den vorhandenen Unterlagen ergab sich jedoch, dass die bei Maßnahmen der Quellen-TKÜ eingesetzte Software nicht den Anforderungen der gemäß §9 Bundesdatenschutzgesetz erforderlichen technischen und organisatorischen Maßnahmen zur Gewährleistung des Datenschutzes Rechnung getragen haben. Dies gilt insbesondere für die unzureichende Verschlüsselung der anlässlich der Quellen-TKÜ ausgeleiteten Daten und die mangelnde Authentifizierung der an den Prozessen beteiligten Personen und Systeme.
[...]
Unabhängig von der Überprüfung der Einzelmaßnahmen bewerte ich die Frage, ob und inwieweit eine tragfähige Rechtsgrundklage für die Quellen-TKÜ vorliegt, wie folgt: In seinem Urteil zur Online-Durchsuchung fordert das Bundesverfassungsgericht im Hinblick auf die Risiken, die mit einer Quellen-TKÜ verbunden sind, neben technischen Vorkehrungen auch “rechtliche Vorgaben”, die den mit der Infiltration des Systems verbundenen Eingriff auf die Überwachung der Telekommunikation beschränken. Vor diesem Hintergrund stellen §100a Strafprozessordnung bzw. §23 a Zollfahndungsdienstgesetz keine hinreichende Rechtsgrundlage für die Durchführung von Maßnahmen der Quellen-TKÜ dar, da diese keine entsprechenden Regelungen enthalten.

Die bei Maßnahmen der Quellen-TKÜ durch BKA und Behörden des Zollfahndungsdienstes eingesetze Software ermöglicht es nicht, die den Kernbereich privater Lebensgestaltung betreffenden Inhalte ausgeleiteter Gespräche gezielt zu löschen. Damit wurde der vom Bundesverfassungsgericht in ständiger Rechtsprechung entwickelter Schutz zum Kernbereich privater Lebensgestaltung bei heimlicher Telekommunikationsüberwachung, nämlich eine unverzügliche Löschung und Nichtverwertung kernbereichsrelevante Gesprächsinhalte, missachtet,.

December 08 2011

Zapp: Deutsche Überwachungstechnik im Ausland

NDR-Zapp hat gestern Abend in einem zehn Minuten langen Beitrag über “Deutsche Überwachungstechnik im Ausland” berichtet. Dabei ging es um den Export von Überwachungs- und Kontrollsoftware aus Deutschland, die in repressiven Systemen zur Unterdrückung der Bürger und zur Einschränkung von Menschenrechten eingesetzt werden. Besonders pikant: Deutschland fördert den Export durch Hermes-Bürgschaften.

Der arabische Frühling, der Aufstand gegen die Mubaraks, Gaddafis oder Ben Alis wurde im Internet organisiert. Das Internet als liberaler Raum, nicht zu kontrollieren von den Diktatoren dieser Welt. Was klingt das schön. Leider wurde genau dieses Internet vielen Oppositionellen zum Verhängnis. Und zwar dank deutscher Unternehmen. Sie haben offenbar ausgeklügelte Spionagesoftware an die arabischen Diktatorenstaaten geliefert.

Ein Interview mit Erich Moechl gibt es in 25 Minuten Länge als Extended Version zu sehen:

Auf der Zapp-Webseite gibt es auch ein kleines Dossier zum Thema “Das Geschäft mit Sicherheitstechnologie” mit Beispielen:

Soft- und Hardware, mit deren Hilfe jeder Anruf, jede Website, jeder Eintrag in Soziale Netzwerke registriert wird. Technologie, die Kommunikationsverhalten analysiert und Datenströme im Netz filtert, zensiert und blockiert.

Older posts are this way If this message doesn't go away, click anywhere on the page to continue loading posts.
Could not load more posts
Maybe Soup is currently being updated? I'll try again automatically in a few seconds...
Just a second, loading more posts...
You've reached the end.

Don't be the product, buy the product!

Schweinderl