Heimliche Online-Durchsuchungen durchführbar?

Urteil des Bundesverfassungsgerichts zur Online-Durchsuchung: Sophos stellt technische Umsetzung einer Online-Durchsuchung in Frage
Kommentar von Pino v. Kienlin, Geschäftsführer der Sophos GmbH: Staatliche Trojaner in unsere Security-Lösungen zu integrieren, kommt für uns nicht in Frage

(29.02.08) - Mit seinem Urteil vom 27. Februar 2008 erlaubt das Bundesverfassungsgericht in Karlsruhe unter strengen Auflagen die heimliche Online-Durchsuchung von Computern, die laut Bundesregierung nun zeitnah eingeführt werden soll. Sophos, Anbieter von IT-Lösungen für Security, bezweifelt jedoch, ob sich das Vorhaben überhaupt technisch umsetzen lässt.

Hierzu Pino v. Kienlin, Geschäftsführer der Sophos GmbH, erklärte: "Über Sinn und Zweck heimlicher Online-Durchsuchungen wurde bereits im Vorfeld des Urteils viel diskutiert. Mit der Entscheidung des Bundesverfassungsgerichts sind jetzt zwar die rechtlichen Rahmenbedingungen für Online-Durchsuchungen definiert. Ob es jedoch in der Praxis dazu kommt, ist mehr als ungewiss.

Denn eine Frage bleibt nach wie vor ungeklärt: Wie will das Bundeskriminalamt sein Vorhaben technisch umsetzen und zudem sicherstellen, dass nur Computer der Zielpersonen inspiziert werden? Elektronische Spionage-Programme gehören zur Malware und werden damit von professionellen IT-Sicherheitslösungen als solche behandelt und geblockt. Kriminelle werden sich mit geeigneten technischen Vorkehrungen vor staatlichen Spionage-Programmen ausreichend zu schützen wissen.

Werden die 'Bundestrojaner' über das Internet verbreitet, besteht gleichzeitig das Risiko, dass unzureichend geschützte Computer unbescholtener Bürger infiziert werden - ein Umstand, der das Vertrauen der Bevölkerung in die Sicherheit des Internets drastisch beeinträchtigt.

Generell halten wir eine Unterscheidung zwischen 'guten' und 'schlechten' Trojanern nach wie vor für äußerst problematisch. Eine Ausnahme für staatliche Trojaner in unsere Security-Lösungen zu integrieren, kommt für uns nicht in Frage. Das Risiko wäre viel zu hoch, auf diese Weise auch Schlupflöcher für kriminelle Attacken zu schaffen.

Außerdem vertreiben wir unsere Schutzsoftware auch an weltweit tätige Unternehmen, die nicht akzeptieren würden, dass in unserer Software eine Hintertür für den 'deutschen Bundestrojaner' offen bleibt. Das Gesetz in der Praxis umzusetzen, ist demnach aus unserer Sicht nahezu unmöglich.'
(Sophos: ra)

Anmerkung der Redaktion:
Natürlich hat Pino v. Kienlin Recht, wenn er sagt, dass ein Anti-Malware-Programm in der Regel jede Art von Malware bzw. Trojaner als solche identifiziert und blockiert.

Leider ist das Problem ein anderes: Wenn die Spionage-Programme über staatliche (Behörden)-Downloads verteilt wird, hat der Anwender kaum eine Chance.
Natürlich wird das Anti-Malware-Programm Alarm schlagen: Es wird sie aber gleichzeitig daran erinnern, dass dies ein Fehlalarm sein kann, sollte man gerade gewollt bzw. bewusst Software installieren.
Sie werden in Zukunft kaum unterscheiden können, ob sie Spionage-Funktionen heruntergeladen haben oder reguläre Funktionen einer Software. Schon jetzt geben sich Microsoft, Data Becker, Google oder Adobe auf dem heimischen PC die Klinke in die Hand. Jeder weiß es, jeder merkt es (fast) – zu verhindern versuchen es die wenigsten.

Wenn diese Spionage-Software obendrein so konstruiert ist, dass ein heruntergeladenes Software-Programm nur mit ihm funktioniert, hat der Anwender ganz schlechte Karten.
Die Steuererklärungssoftware ELSTER ist der Anfang: Sollten hier Spionage-Funktionen eingebaut werden, würde man sich kaum dagegen wehren können. Zudem dürfte auch die breit angelegte eGovernment-Kampagne von Bund, Länder und Gemeinden hervorragend dazu geeignet sein, früher oder später Spionage-Programme zu verteilen.

Ein nächster Schritt könnte der Zwang des Staates sein, dieses eGovernment-Angebot nutzen zu müssen. Wir reden hier nicht von Heute oder Morgen: In drei, vier Jahren wird die Digitalisierung des Privatlebens weit vorangeschritten sein. Unseren Kindern, die heute im Schulpflichtigen Alter sind, wird es abstrus vorkommen, noch den Gang zur Behörde anzutreten. Dafür hat man den Computer.

Sollte man die Lebensweise einer Ziel-Person kennen – dies herauszufinden dürfte Ermittlungsbehörden nicht schwerfallen – wird es auch relativ einfach sein, diese bestimmte Person zielgerichtet mit einem für sie speziell gebastelten Trojaner zu versorgen: Sei es über Social-Portale im Web 2.0-Alltag oder über Passwort-gestützte personalisierte Postfächer bei Behörden (wo sich diese beispielsweise im eGovernment-Alltag benötigte Urkunden abholen etc.). Die Phantasie der Ermittlungsbehörden wird sicherlich noch in ungeahnte Kreativität münden.

Das Urteil im Wortlaut: siehe http://www.bundesverfassungsgericht.de/entscheidungen/rs20080227_1bvr037007.html

Mehr zum Urteil aus Karlsruhe:
Justizministerin Merk riskiert Verfassungsbruch
BVerfG kippt NRW-Gesetz zur Online-Durchsuchung
BVerfG-Urteil: Hohe Hürde für Online-Durchsuchung
Online-Durchsuchung in engen Grenzen möglich
Schäuble schürt bewusst ein Klima der Angst
Online-Razzia: Behörden säen Klima der Angst

Lesen Sie auch:
Online-Durchsuchung stark umstritten
Online-Durchsuchung: Mit dem Keylogger zum Ziel
LHG-BW-Veranstaltung: Online-Durchsuchung
Online-Durchsuchung ist erfolgreiches Hacking
Schutz sensibler persönlicher Daten
Datenschutz und Online-Durchsuchungen
Online-Durchsuchungen im BKA-Gesetz
Anti-Terror contra Datenschutz
Bundestrojaner schadet Made in Germany
Verdeckte Online-Durchsuchung rechtswidrig