Erstellt am: 19. 3. 2014 - 19:13 Uhr
Geheimdienstzulieferer geraten unter Druck
Immer klarer zeichnet sich ab, dass die NSA und andere Geheimdienste nicht nur dieselben Techniken und Methoden wie Cyber-Kriminelle verwenden, sondern dass diese Beziehung eine Art Symbiose ist. Einer der wichtigsten Schnittpunkte dabei ist der Handel mit fortgeschrittener Schadsoftware, über die rund um den Globus in Rechner eingebrochen wird.
Um diesen Schwarzmarkt auszutrocknen, der Kriminelle wie Geheimdienste aber auch Polizeibehörden mit ständig neuen "Exploits" für neu entstandene Schwachstellen beliefert, hat die Internet-Industrie die Prämien für noch unbekannte Sicherheitslücken mittlerweile massiv erhöht. Die wenigen bisher bekannten Lieferanten aber werden von einer wachsenden Zahl von Bürgerrechtsgruppen und akademischen Institutionen rund um die Welt zunehmend unter Druck gesetzt.
Spionageprogramme für den Export
In der vergangenen Woche wurden 850.000 Dollar an Prämien für neue Sicherheitslöcher in Browsern ausgeschüttet. Gut die Hälfte ging die Firma Vupen, die normalerweise solche "Zero Day Exploits" gegen Höchstgebot verkauft. Anfang März hatte eine Anfrage nach dem Informationsfreiheitsgesetz in den USA ergeben, dass auch die NSA Kunde von Vupen ist.
In London startet in diesen Wochen ein von "Privacy International" angestrengter Prozess um den Export solcher Schadsoftware durch die einschlägig bekannte Firma "Gamma International". Den Stein ins Rollen brachte die Anzeige eines britischen Staatsbürgers, der in Bahrain lebt und als Oppositioneller dort mit einer Schadsoftware angegriffen wurde, die eindeutige Signaturen der Spionagesuite von Gamma trägt.
Erst Anfang März hatte die deutsche Gamma-Tochter FinFisher GmbH auf der Überwachungsmesse ISS World in Dubai ihre "Innovationen bei IT-Untersuchungen" vorgestellt. Direkt davor referierte das italienische "Hacking Team" zum Thema "Identifikation krimineller Organisationen in Sozialen Netzen durch Eindringen in ihre Kommunikationsmittel." Exakt dasselbe aber machen Cyber-Kriminelle, die in fremde Rechner eindringen - allerdings, um dort Passwörter zu stehlen oder Konten zu plündern.
flickr.com, user SidewaysSarah
"Remote Control System"
Im Citizenlab an der Universität Toronto untersuchen Soziologen, Völkerrechtler und Techniker das Zusammenspiel von Technik und Überwachung, Bürgerrechten und globaler Sicherheit
"Hacking Team" ist die zweite Firma, die wegen der Lieferung von Schad- und Überwachungssoftware an diktatorische Regimes nun ins Rampenlicht geraten ist. Gegenüber dem "Corriere de la Sera" rechtfertigte sich der Eigentümer der Firma damit, dass man ja nur die Polizei im Kampf gegen "Cybercrime und Terrorismus" unterstütze. Mit der Software-Suite "Remote Control System" des Unternehmens aus Mailand können allerdings zigtausende Rechner gleichzeitig überwacht werden.
Sie funktioniert ziemlich genau so wie die gängigen Schadsoftware-Suites der Cyber-Kriminellen zur Fernsteuerung großer Verbünde aus gekidnappten PCs. All das geht auf Analysen des kanadischen "Citizen Lab" der Universität Toronto zurück, das ebenfalls einen konkreten Fall ans Licht gebracht hat, der zeigt, was unter "Terrorismus" zu verstehen ist. Forensische Analysen von mehreren verseuchten Rechnern äthiopischer Exiljournalisten ergaben nämlich, dass es sich dabei um das "Remote Control System" der Mailänder Firma handelt.
Im vierten Abschnitt vier des Konferenzprogramms auf der Überwachungsmesse ISS World Dubai Anfang März finden sich noch weitere Lieferanten von Trojanern, die französische Vupen sowie Firmen aus Indien.
Exportkontrollen eingeklagt
In Großbritannien, wo bis jetzt sämtliche Versuche gescheitert sind, den eigenen Geheimdienst und GCHQ rechtlich zur Verantwortung zu ziehen, steht nicht Gamma sondern die für Exportkontrollen zuständige Zollbehörde HMRC vor Gericht. Aus dem fast 200 Seiten umfassenden Dossier von "Privacy International" geht hervor, dass die Spionagesoftware der britisch-deutschen Gamma International in mindestens 36 Ländern weltweit im Einsatz ist.
Solche Angriffssoftwares stehen in allen EU-Mitgliedsstaaten, also auch Großbritannien, unter Exportkontrollen. Erst im Dezember war der Katalog dieser "Dual-Use"-Güter, die auch militärisch genützt werden können, in Bezug auf Überwachungssoftware erweitert worden. Die britischen Zollbehörden haben sich bis jetzt unter Berufung auf interne Dienstvorschriften nicht nur geweigert, die Anfrage nach Exportgenehmigungen für die "FinFisher"-Software der Firma Gamma zu beantworten. Man leitete auch keine Überprüfung ein, ob Gamma gegen die EU-Kontrollgesetze verstoßen habe. Wie gewohnt beruft man sich auf "nationale Sicherheit", was in diesem Fall nicht einmal reine Schutzbehauptung ist.
Exportversionen
Die beiden aktuellen Beispiele zeigen nämlich nur einen kleinen Ausschnitt des Gesamtbilds, denn sichtbar wurden nur jene Firmen, die spezielle Versionen ihrer Spionagesuites auch international an Polizeibehörden vertreiben. Diese "Polizeiversionen" weisen in der Regel, wie sich am Fall des vom Chaos Computer Club analysierten deutschen "Bundestrojaners" gezeigt hat, gewisse Schwachstellen auf, die nicht mit schlampiger Programmierarbeit zu erklären sind.
Die ursprüngliche Klage von Privacy International datiert bereits in den Dezember 2012, Mitte 2013 wurde sie vom Gericht angenommen, in Kürze soll die erste Verhandlung stattfinden
Eine nach allen Regeln der Kunst abgesicherte Version der Überwachungssoftware erhalten nur die jeweils eigenen Geheimdienste, mit denen all diese Firmen zum Teil auch personell verbandelt sind. Polizei- und Exportversionen dieser Produkte haben stets "nichtdokumentierte Wartungszugänge", die den eigenen Geheimdiensten natürlich offenstehen.
Auch das GCHQ wird geklagt
Damit stehen solche Exporte im Dienst der "nationalen Sicherheit", auf die sich die britischen Zollbehörden denn auch berufen haben. Da sämtliche Versuche, gegen die ausufernde Überwachung durch den NSA-Partnerdienst, das britische GCHQ, direkt gerichtlich vorzugehen, von den Gerichten bis dato abgeblockt wurden, versuchen die Bürgerrechtler, die im Graubereich operierenden Lieferanten zur Rechenschaft zu ziehen.
Simon Davies ist seit fast 30 Jahren als Forscher und Datenschutzaktivist tätig. Unter anderem ist er der Begründer der internationalen Big Brother Awards, nun hat er das GCHQ angezeigt .
Der an der London School of Economics lehrende Überwachungsforscher Simon Davies versucht dasselbe nun, indem er zu einem sehr selten gebrauchten Rechtsmittel griff. Davies richtete seine Anzeige gegen das GCHQ direkt an den britischen Generalstaatsanwalt, sie betrifft die jüngsten Enthüllungen über die massenhaften Abgriffe von Bildern und Videos aus Webcams durch das GCHQ. Da nach dem britischen Überwachungsgesetz RIPA Videoüberwachung nur auf Anweisung aus dem Innenministerium erlaubt ist, klagt Davies auf strafrechtliche Verfolgung des GCHQ durch die britische Polizei.