Erstellt am: 4. 9. 2016 - 19:00 Uhr
Wien ist globale Exportzentrale für Schadsoftware
Die in der Öffentlichkeit am wenigsten bekannte internationale Organisation mit Sitz in Wien residiert an der Adresse Mahlerstraße 14 im ersten Bezirk. Direkt hinter dem Hotel Bristol ist das Büro des "Wassenaar Arrangement", das zwar nach einer holländischen Stadt benannt ist, aber gegenüber der Staatsoper liegt. Von Außen ist nicht zu erkennen, dass hier einer der wichtigsten Treffpunkte für Militärgeheimdienste weltweit ist.
Der Vertrag von Wassenaar regelt den Export ziviler Technologien, die auch militärisch ("Dual Use") genützt werden können. Seitdem der globale Schwarzmarkt für Schadsoftware völlig außer Kontrolle geraten ist, soll dieses Gremium auch den Export von Exploits, Hintertüren und Trojanern verwalten. Den Schwarzmarkt regulieren ausgerechnet jene Geheimdienste, die diesen Markt und die Probleme erst geschaffen haben.
CC-BY-SA-3.0 / Radio FM4
Die "American Bar" und die "Crypto Wars"
Das Softwarepaket zum Angriff auf die Firewalls großer Unternehmen und Organisationen von Cisco, Juniper und anderen stammt eindeutig aus dem NSA-Komplex, die gefährlichste bisher bekanntgewordene Software zum Einbruch in iPhones ist ebenso klar dem israelischen Mossad zuzuordnen. Der Ort, an dem man Agenten dieser und anderer Dienste in Wien rund um die Sitzungen in der Mahlerstraße 14 am ehesten antreffen könnte, ist laut übereinstimmenden Quellen die "American Bar" des Bristol am Kärntner Ring.
Die Entscheidung der westlichen Demokratien um das Jahr 2000, selbst Methoden und Technologien von Kriminellen und "Schurkenstaaten" einzusetzen, hatte die Rechtsinstrumente der Strafverfolger gegen Kriminelle zunehmend unbrauchbar gemacht. Genau bis dahin hatten die USA den Export sicherer Verschlüsselung über denselben Wassenaar-Vertrag verhindern können, dann mussten sie die "Crypto Wars" - wie sie anfangs nur von Geheimdienstleuten genannt wurden - verloren geben.
Der angebliche NSA-"Hack" war ein Insiderjob, denn die geleakten Dateien zum Angriff auf die Firewalls von Cisco, Fortinet und Co hätten in dieser Struktur, Form und Fülle nie das NSA-Netz verlassen dürfen.
Kryptographie freigegeben, Malware explodiert
Gewonnen hatte diese Kriege, die keine waren, eine ebenso singuläre wie heterogene Allianz aus Netzaktivisten, Banken, Internet-, Hardware- und Softwarefirmen, Handels- und Wirtschaftskammern von Australien über Europa bis in die USA. Genau zum diesem Zeitpunkt, als kryptographische Technologien freigegeben wurden, begann der Schwarzmarkt für Schadsoftware zu explodieren. Wie die gesamte Chronologie der Entwicklung dieser "Waffen" genau verlief, ist in den Bulletins der Anti-Virus-Firmen unschwer nachzulesen.
Erst wurde mit Makroviren für die Office-Programme experimentiert, dann legten sogenannte Würmer - das sind Schadprogramme, die sich explosiv verbreiten - die zentralen Internetknoten abwechselnd in den USA und Asien lahm. Danach marschierten wahre Legionen verschiedener Trojaner hintereinander ein. Tatsächliche Virusfunktionen, die wie in den späten 90er-Jahren Dateien oder gar die Festplatten löschten, wurden hingegen im Schadsoftwarebereich ab da immer seltener.
Public Domain
Hinter der Nebelwand krimineller Aktivitäten
Fortan regierten Exploits, Hintertüren und Trojaner, also Software zum Kapern und Auѕspionieren von Computernetzen, die einschlägigen Kriminalitätsraten begannen abrupt zu steigen. Von kleinen Ganoven bis zur organisierten Kriminalität stiegen immer mehr Verbrecher ein. Hinter dieser Nebelwand krimineller Aktivitäten aber agierten die Geheimdienste, unbeobachtet und viele Jahre unerkannt. 2013 wurde nun Schadsoftware in den Wassenaar-Katalog waffenfähiger Güter aufgenommen, der Export von Exploits, Trojanern etc. wurde damit in den Unterzeichnerstaaten genehmigungspflichtig.
Der Schwarzmarkt für Schadsoftware ist längst jenseits jeder Strafverfolgung angesiedelt, da er von Militärs und Polizei westlicher Demokratien regiert wird.
Das zugehörige Büro des Wassenaar-Vertrags gibt sich genauso geheimnisvoll wie die Teilnehmer an diesen Sitzungen, in denen militärisches Geheimdienstpersonal und deren Verbindungsleute zu Ministerien aus 41 Staaten vertreten sind. Das Wassenaar-Büro hat neben der schwer gepanzerten Eingangstür weder eine Tafel, wie alle anderen Büros im selben Haus, noch gibt das Klingelbrett einen Hinweis darauf, wer da in "Top 7" und "Top 8" residiert. Diese beiden Büroeinheiten liegen direkt übereinander, im Jahr 1998 wurden sie durch eine nur innerhalb des Office zugängliche, interne Wendeltreppe miteinander verbunden.
Unterminierte Sicherheit der Browser
Der Sitzungssaal von Top 7 war nämlich bereits zwei Jahre nach der Eröffnung des Wassenaar-Büros 1996 zu klein geworden, hieß es seitens des Personals, als dieses Büro 1998 zum ersten- und vorerst auch zum letzten Mal ins Licht der Öffentlichkeit geraten war. Über den Vertrag von Wassenaar hatten die USA damals nicht nur den legalen Export des Verschlüsselungsprogramms für E-Mails "Pretty Good Privacy" verhindert. Via Wassenaar wurde auch der Start von Internet-Banking und des gesamten E-Commerce jahrelang blockiert, obwohl es die dafür nötigen Programme längst schon gab.
Eine ebenfalls weithin unbekannte Verordnung der EU aus dem Jahr 2009 integrierte die Wassenaar-Liste in die gemeinsame Handelspolitik Damals waren es 40 Unterzeichnerstaaten, ein weiterer kamen mittlerweile dazu.
Den Herstellern der damals führenden Webbrowser Netscape und Internet Explorer war damit untersagt, stärkere Verschlüsselung als 40-Bit-SSL einzubauen, was schon damals lächerlich schwach war. Da die Browser sowohl von Netscape wie von Microsoft, die zusammen den gesamten Markt beherrschten, zum freien Download angeboten wurden, war es unmöglich zu verhindern, dass auch Personen in Staaten, die den Wassenaar-Vertrag nicht unterzeichnet hatten, in den Besitz von sicheren Browsern kamen. Daher wurde eben die Sicherheit von Netscape und Internet-Explorer selbst unterminiert.
CC BY-SA 3.0 Erich Moechel
"Wildwuchs"
"Die Aufnahme von Schadsoftware geschah, weil die Staaten langsam erkannt hatten, was sie mit ihrer Entscheidung, Schadsoftware militärisch aber auch bei der Polizei einzusetzen, angerichtet hatten", sagte der Sicherheitsexperte Moritz Bartl zu ORF.at. "Man entschied sich, diesem Wildwuchs entgegenzuwirken, indem man Malware unter Exportkontrollen stellte. Damit wurden Exporte in Staaten, die nicht auf der schwarzen Liste standen, international legitimiert.
Nicht dazugesagt wurde, welche Art von Software unter diese Kategorie fällt, das kann nämlich niemand wirklich definieren." Im aktuellen Wassenaar-Katalog werde zwar der Begriff "Intrusion Software" verwendet, "aber das Eindringen in die Netze selbst musste sehr spezifiziert werden, denn das praktizieren auch Sicherheitsfirmen, die fremde Netze im Auftrag der Eigentümer auf Sicherheitslücken abtesten, sagte Bartl.
Begegnung der dritten Art im Jahr 1998
Auf dem Rückflug von einem Vortrag zum Thema "sichere Verschlüsselung" in Frankfurt im Juni 1998 traf eine Passagierin stark verspätet ein und kam neben dem Autor dieses Artikels zu sitzen. Die Dame übergab der Stewardess eine Blechdose und erklärte, sie könne diesmal leider nicht in der Business Class sitzen, da in diesem Flieger nur eine Kombüse ganz hinten war. Die aber brauche sie, um ihr Medikament gegen Multiple Sklerose zu kühlen. Sodann verwickelte sie ihren Sitznachbarn in eine Diskussion zur damals laufenden Fußball-WM, weil sie als Puerto Ricanerin ein absoluteѕ Faible für "Soccer" hatte, es in den ignoranten USA aber leider an Gesprächspartnern fehlte.
Als nächstes ersuchte sie um eine Zigarette und paffte sie, ohne zu inhalieren. Nach etwa 15 Minuten Konversation erklärte sie, dass sie für eine Konferenz im Wassenaar-Büro anreisen müsse, dann überreichte sie ihre Visitenkarte und kritzelte eine Telefonnummer dazu. "Wir sollten uns wieder treffen. Es war sehr interessant mit Ihnen", sagte sie zum Abschied und verschwand hinter einer Tür abseits der Passagierkontrollen auf dem Schwechater Flughafen.
CC BY-SA 3.0 Erich Moechel
Zweiter Besuch in Wassenaar
Der legendäre DES-Cracker der EFF bestand aus ASICs oder "Application-Specific Integrated Circuits", die für diesen, singulären Zweck eigens hergestellt werden mussten. Design und Produktion derselben waren der weitaus teuerste Einzelposten des gesamten Systems
Das geschah zwischen zwei Besuchen des Autors in dem bis dahin völlig unbekannten Office des Vertrags von Wassenaar in der Mahlerstrasse 14, 1010 Wien. Wenige Woche danach wurde dort ein zweiter Besuch absolviert, diesmal in Begleitung von Barry Steinhardt, dem Direktor für digitale Agenden der Electronic Frontier Foundation (EFF). Steinhardt hatte damals gerade den DES-Cracker bauen lassen, eine 250.000 Dollar teure Maschine, die kein herkömmlicher PC mit CPUs war, sondern aus einem Array von ASICs bestand. Die 1998 für den Export erlaubten 56 Bit für "State of the Art"-Verschlüsselung im Browser waren nach wenigen Tagen Rechenzeit gebrochen.
Bei diesem Besuch wurden die beiden Herren, die das ansonsten menschenleere Wassenaar-Büro beaufsichtigten, vom Autor gefragt, ob ihnen eine auffällig kontaktfreudige Dame namens Luisa Maria Colon bekannt sei, die er im Flieger getroffen habe. Die Herren sahen einander an, der Deutsche sagte nichts, sondern blieb bei seinem Pokerface. Der andere, ein Kanadier aus dem zivilen Telekombereich namens Glenn Sibbit, aber sprach mit einem feinen Lächeln: "Ja, wir kennen Luisa, sie arbeitet für das Außenministerium der USA. Waren Sie denn über die Direktheit dieser Kontaktaufnahme überrascht?"