Lade Login-Box.
E-Paper
Abo & Service Immo Stellen Trauer

"Wer überwacht die Wächter?"

Der angebliche "Bundestrojaner" heizt seit dem Wochenende die Diskussion um die digitale Privatsphäre an. Der Fachmann für Datenschutz, Dr. Florian Kerschbaum, erklärt im FNP-Interview mit Thomas Scholz, was das Thema so brisant macht.
Frankfurt. 

KERSCHBAUM: Der "Bundestrojaner" ist ein Programm, das zur Abhörung und eventuell auch Fernsteuerung eines Rechners über das Internet eingesetzt werden kann und das von den Ermittlungsbehörden zur Beweissicherung auf entfernten Rechnern eingesetzt werden könnte. Man kann so das Problem umgehen, dass bei einer Hausdurchsuchung Daten durch Verschlüsselung verloren gehen oder nicht zugänglich sind.

Wie fängt ein Rechner sich solch einen Trojaner ein?

KERSCHBAUM: Da gibt es sehr vielfältige Möglichkeiten. Es kann durch eine Schwachstelle in einem Internetprogramm passieren, wenn Sie die aktuellen Patches (das sind Programmaktualisierungen,

d. Red.) nicht installiert haben. Es kann aber auch Hintertüren in Betriebssystemen geben, die solche Zugriffe vorsehen.

Es muss also kein eigenes "Verschulden" vorliegen?

KERSCHBAUM: Man muss zwischen dem "Bundestrojaner" und Schadsoftware im Allgemeinen unterscheiden. Letztere nutzt normalerweise Schwachstellen aus, wenn Sie sich in den "dunklen Seiten" des Internets bewegen. Es ist aber durchaus möglich, via "Spear phishing attacks", also gezielter Attacken, Leute dazu zu bewegen, bestimmte Aktionen am Rechner zu veranlassen, die zur Installation des Trojaners führen. Wenn es jemand auf Sie abgesehen hat, muss noch nicht einmal eine Unaufmerksamkeit ihrerseits vorliegen, und der Trojaner ist trotzdem installiert.

Wie bewerkstelligt das Programm seine Aufgabe?

KERSCHBAUM: Es installiert sich im Betriebssystem und kann die vollständige Kontrolle des Rechners übernehmen. Wie jetzt vom Chaos Computer Club wieder vorgeworfen wurde, kann es auf Kameras und Mikrofone, die im Rechner eingebaut sind, zugreifen, auf sämtliche gespeicherten Daten und auf jede Tastatureingabe.

Derjenige, der den Trojaner kontrolliert, kann also ebenso viel tun, wie derjenige, der vor dem infizierten Rechner sitzt?

KERSCHBAUM: Allerdings.

Welcher Schaden kann durch solch einen Trojaner entstehen?

KERSCHBAUM: Das grundsätzliche Problem ist, dass es eine verdeckte Überwachungsmaßnahme ist. Wenn Sie – durch welche Zufälle auch immer – einer solchen Maßnahme unterliegen, wissen Sie nicht Bescheid. Es können dabei Daten erfasst werden, die für den betreffenden Fall nicht relevant sind. Die müssen selbstverständlich sofort wieder gelöscht werden. Aber dabei können ganz persönliche Daten bekannt werden. Im Trojaner selbst gibt es keine Kontrollmöglichkeiten, er erfasst erst einmal alles. Die grundsätzliche Frage ist die alte: Quis custodiet ipso custodes – wer überwacht die Wächter? Das heißt in diesem Fall: Wie geht man mit solchen Mechanismen um? Wie lässt man die Überwachung genehmigen? Und wie muss man, nachdem die Überwachung eine gewisse Zeit vorbei ist und die Ermittlungen abgeschlossen sind, eine solche Maßnahme bekannt machen?

Wie viel Fachkenntnis muss man besitzen, um so ein Programm beurteilen zu können?

KERSCHBAUM: Sehr viel. Sehr, sehr viel. 08/15-Anwendern wird es wahrscheinlich nicht gelingen, überhaupt zu beurteilen, ob ihr Rechner von einem Bundestrojaner befallen wurde oder nicht. Man kann dazu das Beispiel der Attacke mit dem Stuxnet-Wurm auf das iranische Atomkraftwerk nehmen. Dieser Virus ist über mindestens ein Jahr geheim geblieben, hat sich über mehrere Systeme verbreitet, bis er letztlich auf dem einen Rechner angekommen ist, auf dem er sein sollte, und dort seinen Schaden angerichtet hat.

Das sind komplexe Systeme. Die Kritik des Chaos Computer Clubs am "Bundestrojaner" war aber unter anderem, dass er selbst leicht zu manipulieren sei. Teilen Sie diese Einschätzung?

KERSCHBAUM: Aus den mir vorliegenden Informationen kann ich das nicht beurteilen. Außerdem scheint mir noch gar nicht erwiesen zu sein, ob der CCC wirklich den "Bundestrojaner" untersucht hat, oder eventuell nur einen Trojaner, der vielleicht auch im Bundeseinsatz war. Ein grundsätzliches Problem des "Bundestrojaners" ist, dass er grundsätzlich nur einmal einsetzbar ist. Wenn er entdeckt wurde und in die Hände der Kriminellen fällt und sie ihn einschätzen können, dann kann es ihnen gelingen, falsche Informationen zu füttern. Der Grad der Wiederverwertbarkeit ist sehr gering.

Der CCC ist überzeugt, das ihm vorliegende Programm sei staatlichen Ursprungs. Wie erkennt man die Herkunft?

KERSCHBAUM: Mir ist auch nicht bekannt, wie sie es erkannt haben, aber ein Trojaner muss immer ferngesteuert werden. Dazu muss er Verbindungen aufbauen. Deren Adressen sind im Programmcode gespeichert, und ich kann sie auch überwachen. Ich lasse ihn also einfach eine Verbindung aufbauen und schaue mir an, was passiert. Wenn sich der "Bundestrojaner" mit einer Seite des BKA verbinden würde, wäre das ein klares Zeichen. Normalerweise steuert man aber über einen Rechner im Internet, den man übernommen hat und zwischenschaltet, ein sogenanntes "Command and Control Center".

Es gibt berechtigte Gründe der Fahnder, Informationen erhalten zu wollen, und berechtigte Gründe der Bürger, ihre Privatsphäre schützen zu wollen. Wo verläuft die Konfliktlinie zwischen diesen beiden Interessen?

KERSCHBAUM: Meiner Meinung nach sind diese ganzen Überwachungsmaßnahmen bedenklich, weil sie nicht nachvollziehbar sind. Das heißt, wenn ich einen Bundestrojaner schalte, ist es schwierig zu überprüfen, was er gesammelt hat, was mit den Daten gemacht wurde und Ähnliches. Wenn mein Haus durchsucht wurde, dann weiß ich, dass es durchsucht wurde. Ich kann es physisch nachvollziehen. Der Bundestrojaner entzieht sich mir völlig.

Die Überwachung der Überwacher wird im Moment durch einen Verein von Freiwilligen, den Chaos Computer Club, geleistet. Ist dies die Form der Zukunft?

KERSCHBAUM: Natürlich nicht. Man müsste hier verschiedene demokratische Prinzipien involvieren. Was ich mir sehr gut vorstellen könnte, ist ein Zeitlimit, das man setzt. Nach einem gewissen Zeitraum muss eine Überwachung öffentlich gemacht werden. Dem Überwachten muss mitgeteilt werden, dass seine Gespräche abgehört wurden. Grundsätzlich ist bei allen Verstößen gegen die Privatsphäre der "Whistleblower", also der Insider, der etwas publik macht, der Einzige, der etwas mitbekommt. Ein Whistleblower-Schutz ist daher von entscheidender Bedeutung. Wenn man an Plattformen wie Wikileaks denkt, die machen einen tollen Job. Man muss Regeln schaffen, damit solche Institutionen eine Überlebenschance haben.

Wie schätzen Sie das Verständnis der Bundesbürger für das Thema der Privatsphäre auf ihren Rechnern ein?

KERSCHBAUM: Die meisten Leute können es nicht einschätzen. Selbst mir fällt es in vielen Fällen schwer. Wenn ich mir den immer weiter verbreiteten Allgemeinnutzer anschaue, der ein Smartphone benutzt, aber keine Informatikausbildung hat, der hat keine Chance zu verstehen, wie es mit seiner Privatsphäre steht. Man kann ihm Richtlinien an die Hand geben, wie er sich zum Beispiel auf Facebook zu verhalten hat, aber diese Richtlinien müssen erstmal an die Person gelangen und dann auch noch leicht umsetzbar sein.

Wie lange müssen wir in diesem Punkt noch lernen?

KERSCHBAUM: Unser Weg ist noch sehr, sehr lange. Diese Technologien entwickeln sich erst in den vergangenen Jahren. Die Kunst ist, frühzeitig "Stopp" zu sagen. Es kann sehr schwierig sein, die entsprechenden Räder wieder in eine andere Richtung zu drehen.

Müssen wir also auch lernen, gewisse Informationen nicht auf einem Rechner zu haben, der ans Internet angeschlossen ist?

KERSCHBAUM: Solche Kompartimentisierungen machen durchaus Sinn. Man hat dann verschiedene Sicherheitsstufen, mit denen man seine Daten verwaltet. In vielen Aspekten wird es aber sehr schwierig, nicht ans Netz angeschlossen zu sein. Ich kann mein Online-Banking nicht ohne Internet machen. Da ist es schwierig, einen Ausgleich zu finden. Es macht wesentlich mehr Sinn, sichere Infrastrukturen zu bauen, statt auf verschiedene Funktionalitäten zu verzichten.

Ist dies grundsätzlich dieselbe Fragestellung wie die Abwägung von öffentlicher Sicherheit gegen die persönliche Freiheit angesichts von Terrorismus?

KERSCHBAUM: Das ist genau dieses Spannungsfeld.

Zur Startseite Mehr aus Politik

BITTE BEACHTEN SIE: Unser Angebot dient lediglich Ihrer persönlichen Information. Kopieren und/oder Weitergabe sind nicht gestattet. Hier finden Sie Informationen zur Verwendung von Artikeln. Quellen: Mit Material von dpa, afp, kna, AP, SID und Reuters

Archiv ThemenMediadatenKontaktImpressumDatenschutzRSS

© 2016 Frankfurter Neue Presse