Das Doppelspiel der Computerspionage

akg images

Das schweizerische Parlament muss entscheiden, ob es den Einsatz von staatlichen Computerprogrammen (GovWare) erlauben will, um die Computer von Kriminellen zu infizieren. Der Einsatz von solchen Staats-Trojanern ist jedoch umstritten. Nach Ansicht einiger Experten handelt es sich hierbei um ein zweischneidiges Schwert, das sich auch gegen den normalen Bürger richten könnte.

«Bis vor zehn Jahren wäre die Vorstellung unmöglich gewesen, dass die Regierungen von demokratisch regierten Ländern Computerviren entwickeln würden, die sie gegen andere demokratische Länder oder sogar ihre eigenen Bürger einsetzen würden. Doch genau dies geschieht heute.»

Für Mikko Hyppönen, einem der weltweit wichtigsten Experten in Sachen Computersicherheit, hat sich das Netz «in eine gigantische Überwachungsmaschine verwandelt». Diese Meinung vertrat er anlässlich der Ausgabe 2014 von «Insomni’hack», einer Konferenz über Computersicherheit, die jährlich in Genf stattfindet.

Die amerikanische Nationale Sicherheitsbehörde NSA wollte Millionen von Rechnern mit schädlichen Programmen (Malware) infizieren. Dies belegen die aufgedeckten und Mitte März publizierten Dokumente von Edward Snowden, dem  ehemaligen Mitarbeiter der CIA.

Die USA sind jedoch nicht die einzigen, die diese «Regierungssoftware» oder GovWare benutzen, betont Mikko Hyppönen, Chef von F-Secure. Der finnische Informatiker zeigt mit dem Finger auch auf China, Deutschland, Russland und Schweden.

Und die Schweiz? Der Geheimdienst hat noch nie Gebrauch von Staats-Trojanern gemacht, versicherte der Vizedirektor des Nachrichtendienstes des Bundes, Jürg Bühler, gegenüber dem Schweizer Fernsehen. Die Bundespolizei hingegen benutzte dieses Mittel mehr als einmal, was natürlich zu heftigen Diskussionen führte – auch deshalb, weil der Einsatz solcher Spionage-Software noch nicht in einem klaren gesetzlichen Rahmen geregelt sei.

In Computern und Mobiltelefonen

Die Schweizer Regierung will diese Lücke mit dem neuen Bundesgesetzbetreffend die Überwachung des Post- und Fernmeldeverkehrs füllen. Der Gesetzestext, über den der Nationalrat noch befinden muss (der Ständerat hat ihn bereits gutgeheissen), sieht vor, dass – unter bestimmten Bedingungen – auf Spionage-Software / GovWare zurückgegriffen werden darf, um Computer, Smartphones oder andere mobile Geräte damit zu infiltrieren.

Gesetz, das Spionage-Programme erlaubt

In der Schweiz ist der Einsatz von GovWare zum Zweck der Überwachung nicht auf einer klaren gesetzlichen Grundlage geregelt.

Das neue Bundesgesetz betreffend die Überwachung des Post- und Fernmeldeverkehrs erlaubt aus verschiedenen Gründen den Einsatz von Spionage-Programmen in Computern und andern mobilen Geräten.

Mit dieser Software kann der Inhalt von verschlüsselter Kommunikation aufgedeckt (Email, Internet-Telefonie) und Informationen über den Sender und Empfänger gesammelt werden. Das Gesetz schliesst jedoch die Online-Durchsuchung des Computers und die Überwachung eines Lokals mittels Webcam und Mikrofonen aus.

Gemäss Wortlaut kann die Polizei nur auf GovWare zurückgreifen, um gravierende Straftaten nachzuweisen (Mord, Menschenhandel, Finanzierung von Terrorismus…) oder um verschwundene oder flüchtige  Personen  wiederzufinden.

Im März 2014 wurde die Revision von einer grossen Mehrheit der kleinen Kammer des Parlaments (Ständerat) angenommen. Die Kommission für Rechtsfragen des Nationalrats wird Ende Juni das Dossier prüfen.

Das Gesetz als Ganzes ist sehr umstritten. Verschiedene Vereinigungen, die sich mit digitalen Fragen beschäftigen, die Grünen und die schweizerische Piratenpartei haben bei einem Ja  des Parlaments bereits die Lancierung eines Referendums angekündigt.

Die technologische Entwicklung der letzten Jahre, vor allem im Internet, machte es immer schwieriger den Telekommunikationsverkehr im Zusammenhang mit schwerwiegenden Straftaten zu überwachen, betont die Regierung. Die herkömmlichen Methoden der klassischen Spionage, wie das Abhören von Telefonen, sind angesichts verschlüsselter Kommunikationssysteme, wie beispielsweise Skype, wirkungslos. Deshalb braucht es diese Mittel, um mithalten zu können.

Das Potential solcher Computerprogramme ist enorm, erklärt Paolo Attivissimo, Experte für neue Technologien gegenüber swissinfo.ch. «Sie können jede Art von Informationen sammeln.»

Das Dilemma der Antivirus-Programme

Das neue Gesetz, seit 2010 in der Vernehmlassung, wurde von mehreren Seiten kritisiert. «Wir kritisieren das amerikanische Überwachungsprogramm Prism, doch die Schweiz macht genau das Gleiche», sagte der grüne Nationalrat Balthasar Glättli gegenüber der Zeitung Le Temps. Für den Präsidenten der Schweizer Piratenpartei, Alexis Roussel, sind diese Spionage-Software-Programme «eine klare Verletzung der Privatsphäre».

Die Verletzung der Privatsphäre ist jedoch, wenn man so will, nur das kleinere Übel. Nach Ansicht von Paolo Attivissimo ist die Idee, ein staatliches Virusprogramm zu streuen, «für die Sicherheit des gesamten Internets gefährlich». Der Experte stellt sich die Frage: «Wie soll sich eine Firma, die Antivirus-Programme produziert, gegenüber einer GovWare verhalten? Soll sie diese ignorieren oder sie blockieren und die User schützen? Ein grosses Dilemma.»

In diesem Punkt vertritt die F-Secure von Mikko Hyppönen eine klare Haltung. «Die schädlichen Programme der Regierungen, egal wer sie geschaffen hat, werden bekämpft», so steht es auf der Website des Antivirus-Herstellers, der darauf hinweist, den R2D2, eine GovWare, ermittelt zu haben, die in der Vergangenheit von verschiedenen deutschen Bundesländern eingesetzt wurde.

Wenn die schädliche Software vom Antivirusprogramm erkannt wird, könnte jemand diese studieren und eine Version für kriminelle Zwecke herstellen, betont Paolo Attivissimo. «Soviel mir bekannt ist, gibt es noch keine diesbezüglichen Fälle, doch ein solches Szenario ist durchaus möglich.»

Wenn man den Hersteller des Antivirus-Programmes bittet, die schädliche Software zu ignorieren, würde man dadurch in alle Computersysteme des Landes, die sich mit diesem Programm schützen, ein Leck schlagen, unterstreicht der Fachmann. «Ein Hacker könnte das gleiche Produkt benutzen im Wissen, dass dieses nicht aufgefangen wird. Die Einschleusung eines Virus erhöht die Verletzlichkeit vieler Rechner statt die Sicherheit des Landes.»

Das Bundesamt für Polizei (fedpol) präzisiert auf Anfrage von swissinfo.ch, dass die GovWare das System oder die Sicherheitsmechanismen nicht beschädigt. Auch wenn das Fedpol anerkennt, dass ein Spezialist diese Art von Software ermitteln und analysieren könnte, erachtet das Bundesamt das Risiko eines Missbrauchs für gering. Grund: Im Internet kann man Malware, deren Funktionalität jene von GovWare bei weitem übersteigt, für wenig Geld erstehen.

Die Schlüssel den Juristen

Stéphane Koch, Spezialist für Wirtschaftsintelligenz, sieht noch andere problematische Aspekte. «Wir sind nicht geschützt vor unlauterem menschlichem Handeln: Ein Polizist oder ein Angestellter einer Firma könnten solche Malware entwickeln und sie zu persönlichen Zwecken nutzen», sagt er gegenüber swissinfo.ch.

Die Auslagerung von Daten und Kompetenzen sind üblich für diese Technologien, was aber eigentlich nicht sein sollte, so Koch, Mitglied der Internet Society, einer internationalen Organisation zur Förderung des Zugangs zum Netz. «Je mehr Leute an einem Projekt arbeiten, desto grösser ist das Risiko eines Missbrauchs.»

Rechtswidrige Eingriffe, so Stéphane Koch, könnten nicht nur bei der Manipulation eines Trojaners vorkommen, sondern auch während der Übermittlung von gesammelten Daten oder beim Lagern auf Servern oder in Data Centers, die sich oft im Ausland befänden.

In der Schweiz gibt es keine Firma, welche die nötigen Kompetenzen hätte, um mit eigenen Mitteln eine solche Software von Grund auf zu entwickeln, meint Ruben Unteregger, der als Informatiker bei der Programmierung von R2D2 dabei war. «Man muss also auf die grossen international tätigen Anbieter zurückgreifen, die ihre Produkte in die ganze Welt liefern», erläutert er in einem Interview mit der Online-Zeitung watson.ch.

Was soll man also tun? Sich ausrüsten mit einem zweischneidigen Schwert oder auf ein Mittel mit grossem Potential verzichten? Gemäss Stéphane Koch könnte man mit ein paar Tricks die Kontrolle über die Trojaner gewinnen. «Die Aktivitäten wären nur möglich mit ‹Schlüsseln›, über die nur wenige Personen verfügten. Zum Beispiel Juristen. So wäre es möglich nachzuweisen, wann und durch wen die Virenprogramme aktiviert wurden.»

Die Trojaner der Schweiz

Die Schweiz hat auf eine Überwachungs-Software zurückgegriffen, um die Computer von verdächtigen Personen auszuspionieren. Dies geschah in mindestens vier Fällen, so die Bestätigung des eidgenössischen Justiz- und Polizeidepartements im Oktober 2011. Die Operationen, die von der Bundesanwaltschaft angeordnet und vom Bundesgericht autorisiert wurden, dienten dem Kampf gegen den Terrorismus.

Von Januar bis April 2008 überwachten die Bundesbehörden laut Neue Zürcher Zeitung die Email- und telefonische Kommunikation der Zürcher Linksaktivistin Andrea Stauffacher. Das Computerprogramm wurde von der deutschen Firma Digitask zum Preis von 26’000 Euro (rund 31’000 Franken) geliefert, gibt die Tageszeitung an.

Die Trojaner werden auch auf kantonaler Ebene eingesetzt. Im Jahr 2007 haben die Polizeikräfte des Kantons Zug davon Gebrauch gemacht im Rahmen einer Ermittlung im Drogenbereich. 2011 beauftragte der Staatsanwalt des Kantons Waadt eine spezialisierte Schweizer Firma, einen Trojaner zu entwickeln, der in den Computer eines Pädophilen eingeschleust wurde und dann zur Festnahme des Verdächtigten führte.

(Übertragung aus dem Italienischen: Christine Fuhrer)