Ozapftis - Der Chaos Computer Club findet und kritisiert einen Staatstrojaner - Landesregierung Bayern unter Verdacht des Verfassungsbruchs

Veröffentlicht: 00:47, 12. Okt. 2011 (CEST) Bitte keine inhaltlichen Veränderungen vornehmen.

Hamburg / München (Deutschland), 11.10.2011 – Mitarbeiter des Hamburger Hacker- und Bürgerrechtsvereins Chaos Computer Club haben mehrere Exemplare einer Spionagesoftware vom Typ Trojaner analysiert, der in Deutschland eingesetzt wurde. Die Auswertung kommt zu dem Ergebnis, dass die Software nicht nur das Abhören von Telefongesprächen über den Computer erlaubt und das Mitschneiden von E-Mail-Verkehr, wie es das bestehende deutsche Verfassungsrecht und Ermittlungsrecht erlaubt, sondern das komplette Ausspähen des Computers. Der Trojaner ermöglicht auch die vollständige Übernahme der Kontrolle über den infizierten Computer einschließlich der Möglichkeit belastendes und strafrechtlich relevantes Material auf den Computer hochzuladen. Nach der Auswertung ist der Trojaner durch eine schlechte und immer gleiche Verschlüsselung unzureichend gesichert, so dass er von Hackern, die ihn auf einem Computer auffinden, zu jedweden schädlichen Zwecken genutzt werden kann. Für das Abhören der Informationen wurden amerikanische Server genutzt, was nach Ansicht des Chaos Computer Clubs (CCC) zum einen für betroffene deutsche Bürger Rechtsschutzmöglichkeiten abschneidet, zum anderen die Sicherheit der betroffenen Bürger weiter gefährdet, weil seine Daten über diese von Hackern stark genutzten Server geleitet werden. Der CCC dazu wörtlich:

„Die ausgeleiteten Bildschirmfotos und Audio-Daten sind auf inkompetente Art und Weise verschlüsselt, die Kommandos von der Steuersoftware an den Trojaner sind gar vollständig unverschlüssselt. Weder die Kommandos an den Trojaner noch dessen Antworten sind durch irgendeine Form der Authentifizierung oder auch nur Integritätssicherung geschützt. So können nicht nur unbefugte Dritte den Trojaner fernsteuern, sondern bereits nur mäßig begabte Angreifer sich den Behörden gegenüber als eine bestimmte Instanz des Trojaners ausgeben und gefälschte Daten abliefern.“

Der CCC hat nach eigenen Angaben, gemäß seinen ethischen Hacker-Regeln und um laufende Ermittlungsverfahren nicht zu gefährden, vor der Veröffentlichung das Bundesinnenministerium informiert. Das ermöglichte die vorhandene Selbstzerstörungsfunktion des Schnüffel-Trojaners zu aktivieren.

Einsatz in Bayern

Joachim Herrmann (2011), Bayrischer Innenminister

In einer Presseerklärung ließ der bayrische Innenminister Joachim Herrmann (CSU) mitteilen, eine Erstbewertung des Bayrischen Landeskriminalamtes habe ergeben, dass die dem CCC zugespielte Software einem Ermittlungsverfahren der Bayerischen Polizei aus dem Jahr 2009 zugeordnet werden könne. Dass der Trojaner in Bayern früh eingesetzt wurde, ließ eine Aussage in der gleichen Presseerklärung erkennen. „Noch nicht bestätigt werden könne, ob es sich bei der vorliegenden Datei um eine Testversion aus der Entwicklungsphase oder um die später im Verfahren tatsächlich eingesetzte Version der Software handelt.“

In einer ergänzenden Stellungnahme erklärte der Chaos Computer Club, der veröffentlichte Trojaner sei nicht der aktuellste, den er besitze. Der Verein hätte Grund zur Annahme, dass die ihm vorliegenden Versionen über einen Zeitraum von anderthalb bis zwei Jahren zusammengebaut und eingesetzt worden seien. Es könne also nicht von einer „Beta-Version“ gesprochen werden.

Der besonders gefährliche Befehl Nr. 14 des Spähprogrammes, der das Nachladen beliebiger Software zum weiteren Ausspähen und Manipulieren des infiltrierten Computers erlaubt, trägt in der Programmzeile den Namen „0zapftis“, also den zusammengezogenen Satz „Ozapft is!“ - bayrisch für „Es ist angezapft!“ unter Verwendung einer Null statt des Buchstaben O.

Entwickler: DigiTask

Spiegel-Online berichtet, der Hersteller der Software sei die hessische Firma DigiTask mit Sitz in Haiger, die auch Baden-Württemberg beliefert habe.

Informant des CCC

Nach Spiegel-Online war der Rechtsanwalt, der die damit verseuchte Festplatte an den Chaos Computer Club weitergegeben hat, Patrick Schladt, Strafverteidiger im bayerischen Landshut. Der bestätigte SPIEGEL ONLINE, dass einer der vom CCC dokumentierten "Staatstrojaner" auf dem Rechner eines seiner Mandanten gefunden wurde.

Reaktionen

Sabine Leutheusser-Schnarrenberger, Bundesjustizministerin

Der bayrische Innenminister Joachim Herrmann teilte mit, dass er den Einsatz des Programmes durch den bayrischen Landesdatenschutzbeauftragten prüfen lassen wolle.

Die Bundesjustizministerin Sabine Leutheusser-Schnarrenberger erklärte in einem Interview mit der Passauer Neuen Presse: „Wenn die Behauptungen zuträfen, läge ein Verstoß gegen die engen Vorgaben des Bundesverfassungsgerichts vor. Das wäre mit einem massiven Vertrauensverlust der Bürgerinnen und Bürger in staatliches Handeln verbunden. Das wäre ein gravierender Vorgang. Es würde die Bedenken der Kläger vor dem Bundesverfassungsgericht gegen die Onlineüberwachung bestätigen, die davor gewarnt hatten, dass Missbrauch und Manipulation Tür und Tor geöffnet werden können. Wenn man von außen die volle Kontrolle über einen Rechner erlangen kann, lassen sich auch Informationen unterschieben und verändern. Dann hätten die Daten kaum noch Beweiswert.“

Die Grünen-Politiker Claudia Roth, Malte Spitz und Konstantin von Notz forderten den sofortigen Stopp der entdeckten Software: „Es ist weder aus politischer noch verfassungsrechtlicher Sicht hinnehmbar, dass das heimliche Auspähen von Computern unter der Hand schrittweise ausgeweitet wird.“

Der Vorsitzende der Piratenpartei Sebastin Nerz erklärte: „Das Bundeskriminalamt (BKA) bewegt sich damit klar außerhalb verfassungsrechtlicher Grenzen.“

Der Bundesinnenminister Dr. Hans-Peter Friedrich äußerte sich wie folgt: „Es gibt bislang keinerlei Hinweise, dass die Sicherheitsbehörden im Geschäftsbereich des Bundesministeriums des Innern die vom CCC untersuchte Software eingesetzt haben.“ In einem Telefoninterview mit dem Deutschlandfunk erklärte er weiter: „Was natürlich nicht sein darf ist, dass eine Software verwendet wird, die eigentlich mehr könnte als das Gesetz zulässt.“

Zum eigentlichen Einsatz der Software entspann sich folgender Wortwechsel zwischen der Reporterin des Deutschlandfunks und dem Bundesinnenminister:

Bettina Klein, Deutschlandfunk: Aber ich verstehe Ihren Appell, Herr Minister, schon richtig, dass Sie sagen, wenn wir nicht sicherstellen können, dass diese Software nur das tut, wozu sie auch die Erlaubnis hat, dann gehört sie auf Landesebene sofort aus dem Verkehr gezogen, bis das eben sichergestellt ist?

Dr. Hans-Peter Friedrich: Genau so ist es. Ja, natürlich, genau so ist das. Das würde ich dringend anraten.

Bettina Klein, Deutschlandfunk: Eine Spur, Sie hatten es angedeutet, führte bereits nach Bayern. Eine geprüfte Software, so wurde gestern berichtet, steht im Zusammenhang mit einem Ermittlungsverfahren 2009 und bereits im Januar hat das Landgericht Landshut die Verwendung dieser Software als rechtswidrig bezeichnet, und die Begründung war, sie kann eben mehr, als wofür sie vorgesehen ist. Sie hat fast alles kopiert, was auf dem Bildschirm zu sehen gewesen ist. Ihr Kollege, auch Ihr Parteikollege Herrmann, der bayerische Innenminister, bestreitet das jetzt und sagt, ja die ist zwar eingesetzt worden, aber wir sehen nicht, dass sie irgendwas Unrechtsmäßiges getan hat, und das erstaunt schon, wenn es sogar ein Urteil eines Landgerichts gegeben hat. Was sagen Sie dazu?

Dr. Hans-Peter Friedrich: Nein. Ich glaube, das ist sehr klar. Das Bundesverfassungsgericht hat auch ganz bestimmte Maßnahmen im Zusammenhang mit dieser Überwachung verboten. Man darf nicht ganze Computerbilder ablesen, man darf nicht die Tastatur abscannen, das ist ganz klar. Auch das hat das Gericht, glaube ich, sehr klar festgestellt. Ob das allerdings in dem Fall tatsächlich gemacht wurde, das steht ja noch gar nicht fest. Insofern gibt es da eine Vorverurteilung, die nicht gerechtfertigt ist. Dass die Software das theoretisch könnte, das mag zwar sein. Das heißt aber nicht, dass die Beamten es tatsächlich auch gemacht haben.

Rechtslage

Bundesverfassungsgericht

Die verfassungsrechtlichen Grenzen staatlicher Ausspähung von privaten Computern hat das Bundesverfassungsgericht in einem Urteil am 27. Februar 2008 gezogen.

Feststellungen des Gerichts

Sitz des Bundesverfassungsgerichts in Karlsruhe

Das Gericht definiert das Ausspähen von Computern wie folgt: „Unter einem heimlichen Zugriff auf ein informationstechnisches System ist demgegenüber eine technische Infiltration zu verstehen, die etwa Sicherheitslücken des Zielsystems ausnutzt oder über die Installation eines Spähprogramms erfolgt. Die Infiltration des Zielsystems ermöglicht es, dessen Nutzung zu überwachen oder die Speichermedien durchzusehen oder gar das Zielsystem fernzusteuern.“

Es erkennt die technischen Möglichkeiten der Überwachung:

„Wird ein komplexes informationstechnisches System zum Zweck der Telekommunikationsüberwachung technisch infiltriert (‚Quellen-Telekommunikationsüberwachung‘), so ist mit der Infiltration die entscheidende Hürde genommen, um das System insgesamt auszuspähen. Die dadurch bedingte Gefährdung geht weit über die hinaus, die mit einer bloßen Überwachung der laufenden Telekommunikation verbunden ist. Insbesondere können auch die auf dem Personalcomputer abgelegten Daten zur Kenntnis genommen werden, die keinen Bezug zu einer telekommunikativen Nutzung des Systems aufweisen. Erfasst werden können beispielsweise das Verhalten bei der Bedienung eines Personalcomputers für eigene Zwecke, die Abrufhäufigkeit bestimmter Dienste, insbesondere auch der Inhalt angelegter Dateien oder - soweit das infiltrierte informationstechnische System auch Geräte im Haushalt steuert - das Verhalten in der eigenen Wohnung.“

Das Gericht erkennt auf eine wichtige Schutzlücke im Bereich der Unverletzlichkeit der Wohnung (Art. 13 GG):

„Auch die durch Art. 13 Abs. 1 GG gewährleistete Garantie der Unverletzlichkeit der Wohnung verbürgt dem Einzelnen mit Blick auf seine Menschenwürde sowie im Interesse der Entfaltung seiner Persönlichkeit einen elementaren Lebensraum, in den nur unter den besonderen Voraussetzungen von Art. 13 Abs. 2 bis 7 GG eingegriffen werden darf, belässt aber Schutzlücken gegenüber Zugriffen auf informationstechnische Systeme.“

Im Schutzbereich des Art. 13 GG Unverletzlichkeit der Wohnung erkennt es neben der Gefahr, dass Vertreter des Staates in die Wohnung eindringen, um den Computer zu manipulieren diese Gefährdung:

„Ein weiterer Anwendungsfall des Art. 13 Abs. 1 GG ist die Infiltration eines informationstechnischen Systems, das sich in einer Wohnung befindet, um mit Hilfe dessen bestimmte Vorgänge innerhalb der Wohnung zu überwachen, etwa indem die an das System angeschlossenen Peripheriegeräte wie ein Mikrofon oder eine Kamera dazu genutzt werden.“

Grundrecht auf auf Gewährleistung der Integrität und Vertraulichkeit informationstechnischer Systeme

Zum Schutz der Bürger legt das Bundesverfassungsgericht fest: „Das Grundrecht auf Gewährleistung der Integrität und Vertraulichkeit informationstechnischer Systeme ist hingegen anzuwenden, wenn die Eingriffsermächtigung Systeme erfasst, die allein oder in ihren technischen Vernetzungen personenbezogene Daten des Betroffenen in einem Umfang und in einer Vielfalt enthalten können, dass ein Zugriff auf das System es ermöglicht, einen Einblick in wesentliche Teile der Lebensgestaltung einer Person zu gewinnen oder gar ein aussagekräftiges Bild der Persönlichkeit zu erhalten. Eine solche Möglichkeit besteht etwa beim Zugriff auf Personalcomputer, einerlei ob sie fest installiert oder mobil betrieben werden. Nicht nur bei einer Nutzung für private Zwecke, sondern auch bei einer geschäftlichen Nutzung lässt sich aus dem Nutzungsverhalten regelmäßig auf persönliche Eigenschaften oder Vorlieben schließen.“

Das Gericht schützt einen Kernbereich persönlicher Privatheit stark:

„aa) Heimliche Überwachungsmaßnahmen staatlicher Stellen haben einen unantastbaren Kernbereich privater Lebensgestaltung zu wahren, dessen Schutz sich aus Art. 1 Abs. 1 GG ergibt (vgl. BVerfGE 6, 32 <41>; 27, 1 <6>; 32, 373 <378 f.>; 34, 238 <245>; 80, 367 <373>; 109, 279 <313>; 113, 348 <390>). Selbst überwiegende Interessen der Allgemeinheit können einen Eingriff in ihn nicht rechtfertigen (vgl. BVerfGE 34, 238 <245>; 109, 279 <313>). Zur Entfaltung der Persönlichkeit im Kernbereich privater Lebensgestaltung gehört die Möglichkeit, innere Vorgänge wie Empfindungen und Gefühle sowie Überlegungen, Ansichten und Erlebnisse höchstpersönlicher Art ohne die Angst zum Ausdruck zu bringen, dass staatliche Stellen dies überwachen (vgl. BVerfGE 109, 279 <314>).“

„Im Rahmen eines heimlichen Zugriffs auf ein informationstechnisches System besteht die Gefahr, dass die handelnde staatliche Stelle persönliche Daten erhebt, die dem Kernbereich zuzuordnen sind. So kann der Betroffene das System dazu nutzen, Dateien höchstpersönlichen Inhalts, etwa tagebuchartige Aufzeichnungen oder private Film- oder Tondokumente, anzulegen und zu speichern. Derartige Dateien können ebenso wie etwa schriftliche Verkörperungen des höchstpersönlichen Erlebens (dazu vgl. BVerfGE 80, 367 <373 ff.>; 109, 279 <319>) einen absoluten Schutz genießen. Zum anderen kann das System, soweit es telekommunikativen Zwecken dient, zur Übermittlung von Inhalten genutzt werden, die gleichfalls dem Kernbereich unterfallen können. Dies gilt nicht nur für Sprachtelefonate, sondern auch etwa für die Fernkommunikation mittels E-Mails oder anderer Kommunikationsdienste des Internet (vgl. BVerfGE 113, 348 <390>). Die absolut geschützten Daten können bei unterschiedlichen Arten von Zugriffen erhoben werden, etwa bei der Durchsicht von Speichermedien ebenso wie bei der Überwachung der laufenden Internetkommunikation oder gar einer Vollüberwachung der Nutzung des Zielsystems.“

Landgericht Landshut

Dem Bundesverfassungsgericht folgte das Landgericht Landshut. Das Amtsgericht Landshut hatte am 2.4.2009 eine Überwachung des Telekommunikationsverkehrs eines Verdächtigen gemäß § 100a, b StPO angeordnet. Ausdrücklich war vom Gericht auch angeordnet die Überwachung der verschlüsselten Internetkommunikation über HTTPS und die verschlüsselte Internettelefonie wie Skype. Das Amtsgericht schränkte aber ein:

„Auch insoweit sind nur solche Maßnahmen zulässig, die der Überwachung der Telekommunikation dienen und die für die technische Umsetzung der Überwachung zwingend erforderlich sind, Unzulässig sind die Durchsuchung eines Computers nach bestimmten auf diesem gespeicherten Daten sowie das Kopieren und Übertragen von Daten von einem Computer, die nicht die Telekommunikation des Beschuldigten über das Internet betreffen.“

Gleichwohl wurden vom LKA mithilfe eines installierten Trojaners alle 30 Sekunden Bildschirmfotos des Browserinhalts erstellt und über 60.000 Bilder an die Behörde übertragen.

Das Landgericht Landshut erklärte diese Praxis für rechtswidrig:

„Zwar ist der Beschluss des Amtsgerichts vom 02.04.2009 nicht rechtswidrig, wohl aber seine Umsetzung, soweit die grafischen Bildschirminhalte kopiert, also sog. Screenshots gefertigt wurden. ... Es ist von Rechts wegen auch nicht zu beanstanden, dass das Amtsgericht mit Beschluss vom 02.04.2009 neben der allgemeinen Telefonüberwachung auch die Überwachung der verschlüsselten Telekommunikation sowie die Vornahme der hierzu erforderlichen Maßnahmen im Rahmen einer "Fernsteuerung" angeordnet hat. Auf die zutreffenden Ausführungen im Beschluss des Amtsgerichts Landshut vom 02.04.2009, die sich die Kammer zu Eigen macht, wird Bezug genommen. ... Aus rechtlicher Sicht unproblematisch ist die Überwachung und Aufzeichnung der bereits versendeten Daten. Diese ist aber praktisch wertlos, wenn die Daten vorher verschlüsselt werden. Um auch in einem solchen Fall die Überwachung der Telekommunikation gewährleisten zu können, ist es unabdingbar, bereits vor der Verschlüsselung und somit vor der Absendung auf die Audiodaten zuzugreifen. Andernfalls würde gerade im Bereich der weit verbreiteten Internettelefonie eine Vielzahl von Telekommunikationsvorgängen durch Maßnahmen gemäß § 100 a StPO nicht überwacht werden können. ... Jedoch war der Vollzug des Beschlusses vorn 02.04.2009 insoweit rechtswidrig als im zeitlichen Abstand von 30 Sekunden Screenshots von der Bildschirmoberfläche gefertigt wurden, während der Internet-Browser aktiv geschaltet war. Denn nach Auffassung der Kammer besteht für das Kopieren und Speichern der grafischen Bildschirminhalte, also der Fertigung von Screenshots, keine Rechtsgrundlage, weil zum Zeitpunkt dieser Maßnahmen noch kein Telekommunikationsvorgang stattfindet. ... Der Vorgang des Schreibens der E-Mail findet dann aber ohne Datenaustausch statt, da die einzelnen Buchstaben nicht sofort an den Server weiter übertragen werden. Die E-Mail wird erst dann zum Server und damit in die Außenwelt transportiert, wenn der Beschuldigte den "Versenden-Button" betätigt. Hält man sich diese technischen Vorgänge vor Augen, kann nach Auffassung der Kammer - auch im Lichte der Entscheidung des Bundesverfassungsgerichts zur Unzulässigkeit der Online-Durchsuchung (NJW 2008, 822) - beim Schreiben einer E-Mail noch nicht von einem Vorgang der Telekommunikation gesprochen werden. ... Dies zeigt sich schon darin, dass die E-Mail während und nach dem Schreiben stets noch geändert oder gelöscht werden kann.“

Quellen

• Internet-Enzyklopädie Wikipedia: „Chaos Computer Club“ (11.10.2011)
• Webseite des Chaos Computer Clubs: „Chaos Computer Club analysiert Staatstrojaner“ (08.10.2011)
• Webseite der Bayrischen Landesregierung: „Pressemitteilung Nr. 385/11. Innenminister Joachim Herrmann: "Abhören verschlüsselter Telekommunikation stets im rechtlichen Rahmen - Landesdatenschutzbeauftragter in Überprüfung eingeschaltet"“ (10.10.2011)
• Webseite des Chaos Computer Clubs: „Addendum Staatstrojaner“ (08.10.2011)
• Webseite des Bundesjustizminiteriums: „Interview Passauer Neue Presse: Schnelle Aufklärung“ (11.10.2011)
• Homepage des Bundesverfassungsgerichtes: „BVerfG, 1 BvR 370/07 vom 27.2.2008“ (27.02.2008)