Leider richtig hässlich

Man stelle sich vor, der Staat würde seine Bürger dazu aufrufen, sichere Haustürschlösser gegen ein neues Modell auszuwechseln. Das Argument: Beim neuen Modell hätte die Polizei einen Generalschlüssel. Das sei praktisch, falls eine Wohnung einmal gestürmt oder durchsucht werden muss. Die Empörung wäre zu Recht groß. Denn so verständlich es auch sein mag, dass die Polizei bei Ermittlungen weniger Arbeit haben will – das allein wäre kein Grund, unsere eigenen vier Wände absichtlich unsicher zu machen. Niemand könnte schließlich garantieren, dass der Generalschlüssel nicht eines Tages in die Hände von Kriminellen geriete. Vielmehr würden wir eher erwarten, dass unser „Freund und Helfer“ uns vor unsicheren Türschlössern warnt, statt sie uns aufzuschwatzen. Elektronische Türschlösser mit verpflichtendem Generalschlüssel für Behörden gibt es glücklicherweise bisher nur in China.

Geht es um unsere digitalen vier Wände, sieht die Debatte leider ganz anders aus. Seit geraumer Zeit setzt das Bundeskriminalamt (BKA) einen Staatstrojaner – also staatlich finanzierte Schadsoftware – ein, um PCs und Smartphones Verdächtiger zu hacken. Der kleine Staatstrojaner wird dazu benutzt, Kommunikation abzufangen. Die Polizei nennt das Quellen-Telekommunikationsüberwachung. Der große Staatstrojaner greift direkt auf Geräte und die darauf gespeicherten Daten zu. Auf der technischen Ebene lassen sich beide Funktionen jedoch nicht ohne Weiteres voneinander trennen. Ein Schadprogramm, das laufende Kommunikation mitlesen kann, kann theoretisch auch gespeicherten Daten auslesen.

Bisher lassen sich die Einsätze des BKA-Staatstrojaners an zwei bis drei Händen abzählen. Der Grund dafür sind die an den Einsatz geknüpften Voraussetzungen, die lange Zeit auf Terrorermittlungen begrenzt waren. Das dürfte sich nun ändern. Voriges Jahr hat die Große Koalition die Schwelle für staatliches Hacking gesenkt. Der Katalog reicht nun von Asylmissbrauch bis zur Steuerhinterziehung. Nicht nur das BKA soll hacken dürfen, sondern auch die Polizei. Die Bürgerrechtsorganisation „Gesellschaft für Freiheitsrechte“ spricht von bis zu 40.000 Fällen pro Jahr, in denen die Polizeibehörden zukünftig theoretisch zum Trojaner greifen dürften. In NRW und in Niedersachsen stehen bereits entsprechende Novellen des Landespolizeirechts in den Startlöchern. Andere Bundesländer sind sogar schon weiter.

In Karlsruhe sind gleich mehrere Verfassungsbeschwerden gegen den neuen Staatstrojaner-Freibrief anhängig. Neben der alten Bürgerrechtsriege der FDP klagen auch die Vereine „Digitalcourage“ und die „Gesellschaft für Freiheitsrechte“. Letztere beklagt nicht nur das Absenken der Eingriffsschwellen für staatliches Hacking. Im Zentrum steht eine fundamentalere Frage, deren Antwort durch die Karlsruher Richter wegweisend dafür sein wird, wie „Sicherheitspolitik“ in einer voll vernetzten Welt zukünftig aussehen wird.

Geschäft mit der Lücke

Um den zentralen Gedanken der Kläger nachvollziehen zu können, muss man verstehen, wie ein Staatstrojaner operiert. Eine derartige Schadsoftware funktioniert meist nur unter Ausnutzung von Sicherheitslücken. Dabei kann es sich entweder um absichtlich eingebaute Hintertüren von Herstellern handeln oder aber um tragische Programmierfehler, die nur deshalb noch nicht behoben worden sind, weil der Hersteller keine Kenntnis davon hat. Seriöse Hersteller sind natürlich darauf bedacht, ihren Nutzern sichere Systeme zur Verfügung zu stellen. Gehen Meldungen über eine Sicherheitslücke ein, wird diese schnellstmöglich in Form von Updates und Patches (Software-Korrekturen) behoben.

Für staatliches Hacking ist es somit notwendig, zunächst einmal an Sicherheitslücken zu kommen. Da seriöse Anbieter ihre Systeme wohl kaum absichtlich mit einer Hintertür versehen und damit unsicher machen werden, müssen hierfür andere Quellen angezapft werden. In Frage kommt eine Reihe mehr oder weniger dubioser Privatunternehmen, die sich darauf spezialisiert haben, Behörden mit exklusiven Informationen über Sicherheitslücken zu versorgen. Das Interesse ist gewaltig. Auf der Kundenliste so mancher Anbieter finden sich auch Autokraten und Diktatoren. Überwachung ist ein lukratives Geschäft. Eine kritische Sicherheitslücke für ein iPhone kann deutlich mehr als zwei Millionen US-Dollar kosten. Es ist moralisch zumindest fragwürdig, diesen Markt mit Steuergeldern weiter anzuheizen. Denn je mehr Geld im Markt steckt, desto attraktiver wird es, Sicherheitslücken an den Meistbietenden zu verkaufen, statt sie dem Hersteller zu melden. Wer viel Geld gezahlt hat, entwickelt zudem ein Interesse daran, die Hintertür möglichst lange offen zu halten. Der Einsatz des Staatstrojaners bewirkt somit, dass Behörden plötzlich ein aktives Interesse daran entwickeln, dass unsere Geräte über Schwachstellen verfügen. Und hier wird es leider richtig hässlich.

Niemand kann garantieren, dass die Information „exklusiv“ deutschen Behörden vorliegt. Und das tut sie tatsächlich meist nicht. Es ist schließlich lohnender, Informationen über eine Sicherheitslücke gleich mehrfach zu verkaufen. Die Käufer haben keine Möglichkeit, dies zu überprüfen. Das Risiko, dass andere Akteure dieselbe Hintertür nutzen, wird implizit in Kauf genommen. Von welchen Akteuren sprechen wir? In Frage kommen neben ausländischen Behörden und Geheimdiensten, die sich in Wirtschaftsspionage oder politisch motivierter Überwachung üben, natürlich auch normale Kriminelle.

Man stelle sich vor, im Rahmen des Staatstrojaner-Einsatzes erwerben deutsche Behörden mit Steuergeld Informationen über Sicherheitslücken in Windows, Android oder gängigen Browser-Modellen. Millionen Menschen vertrauen diesen Systemen ihre Nachrichten, Passwörter und die Surf-Chronik an. Der Begriff der Online-Durchsuchung ist schon deshalb irreführend, weil die Eingriffstiefe eine ganz andere ist. Wer meine Wohnung durchsucht, weiß, wie ich wohne. Wer meine Geräte durchsucht, weiß, wie ich denke. Er hat Zugriff auf meine digitalen Identitäten. Würde unsere Wohnung in unserer Anwesenheit durchsucht, würden wir es bemerken. Eine aktiv genutzte Hintertür im Smartphone oder PC kann jahrelang unentdeckt bleiben.

Herzschrittmacher hacken?

Für Behörden gehört zu den besonders attraktiven Angriffszielen die Software-Massenware. Diese wird natürlich auch bei Behörden eingesetzt, zum Beispiel in Ministerien, in den Landesparlamenten und im Bundestag. Führt man sich zusätzlich vor Augen, was eine ausgenutzte kritische Sicherheitslücke für unsere kritische Infrastruktur im Worst-Case-Szenario bedeuten mag, wird einem klar, warum das Sicherheitsversprechen des Staatstrojaners trügerisch ist. Wer mithören kann, kann oft auch Geräte abschalten oder manipulieren. Der Bahn- und Flugverkehr, Krankenhäuser, Polizei und auch die Frankfurter Börse wären bei einem Ausfall ihrer digitalen Infrastruktur quasi funktionsunfähig.

Karlsruhe hat sich schon einmal mit staatlichen Hacker-Angriffen befasst. Im Zuge des Urteils zur „Online-Durchsuchung“ begründete das Bundesverfassungsgericht einst das „Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme“. Die Kläger gegen die aktuelle Ausweitung des Staatstrojaner-Einsatzes leiten daraus eine Schutzpflicht des Staates gegenüber seinen Bürgern ab. Sie sagen: Es kann nicht sein, dass im Namen der „Inneren Sicherheit“ die Sicherheit unserer kritischen Infrastruktur aufs Spiel gesetzt wird. Werden Steuergelder dafür verwendet, Systeme unsicher zu machen, führt das zudem jegliche „Cyberabwehr“-Bemühungen der Bundesregierung ad absurdum. Auch im Hinblick auf die technische Entwicklung ist eine Neubewertung von staatlichem Hacking nötig. Mehr noch, als wir auf die Sicherheit unserer Haustürschlösser vertrauen, verlassen wir uns auf die Sicherheit unserer Geräte. Wir haben keine andere Wahl, Software findet sich nicht nur in Smartphones, sondern auch in Herzschrittmachern und Hörimplantaten. Das Risiko durch „Kollateralschäden“ bei staatlichem Hacking ist immens.