Staatshacker für die innere Sicherheit? (Update)

(Frohike) - Nachtrag am 17.09.: Hilde Mattheis (SPD) hat unsere Fragen erst heute beantworten können. Wir haben Frau Mattheis' Antworten nachträglich eingefügt.

Seit Monaten legt der Bundesinnenminister einen Gesetzesentwurf nach dem anderen vor, um die Befugnisse von Polizei und Geheimdiensten zu erweitern – alles im Namen der Terrorismusbekämpfung. Eine der Maßnahmen, von der sich der Minister viel verspricht, ist die heimliche Durchsuchung der privaten Rechner von Terrorismusverdächtigen, die sogenannte Onlinedurchsuchung. Ein trojanisches Pferd – eigentlich eine Schadsoftware, mit der böswillige Cracker Zugang zu geheimen Daten erlangen wollen – soll auf den Zielrechnern installiert werden und den Strafverfolgungsbehörden den Zugriff auf sämtliche Daten des Rechners ermöglichen, ohne dass der Eigentümer davon weiß.

Umstritten sind diese Pläne nicht nur deswegen, weil sie im Gegensatz zur sonstigen Praxis stehen – eine Hausdurchsuchung darf nur auf richterliche Anordnung und im Beisein von Zeugen erfolgen – sondern weil auch unklar ist, wie sie überhaupt umgesetzt werden sollen. Wir haben die Bundestagsabgeordneten der Wahlkreise Ulm und Neu-Ulm, sowie IT-Sicherheitsexperten getrennt voneinander zu diesem Thema interviewt und um ihre Antwort auf eine Reihe von Fragen gebeten.



Ekin Deligöz (GRÜNE, 2.v.l.), Abgeordnete für den Wahlkreis Neu-Ulm, erwartet Ende September ihr zweites Kind und befindet sich deswegen derzeit im Mutterschutz. Stellvertretend für sie hat Grietje Bettin, die medienpolitische Sprecherin der Grünen, unsere Fragen beantwortet (Foto links).
Dr. Georg Nüßlein (CSU, 2.v.r.), MdB für den Wahlkreis Neu-Ulm, hat unsere Fragen per E-Mail und telefonisch beantwortet.
Hilde Mattheis (SPD, Wahlkreis Ulm, 3.v.r.), Abgeordnete für den Wahlkreis Ulm, konnte auf unsere Fragen aus terminlichen Gründen erst nach Erscheinen der ursprünglichen Fassung dieses Artikels ausführlich eingehen.
Annette Schavan (CDU, ebenfalls Wahlkreis Ulm, rechts) hat auf unsere Interviewanfragen leider nicht reagiert.
Zu guter Letzt stand uns Dr. Frank Kargl (3.v.l.), Dozent für IT-Sicherheit an der Universität Ulm und langjähriges Mitglied im Ulmer Erfa-Kreis des Chaos Computer Club, von Sydney aus Rede und Antwort, wo er derzeit als Gastakademiker an der University of Technology tätig ist


Team-Ulm: Die Grundsatzfrage zuerst: Halten Sie die heimliche Durchsuchung von Rechnern grundsätzlich für ein geeignetes Mittel zur Kriminalitätsbekämpfung? Wenn ja, welche Art von Kriminalität könnte damit bekämpft werden?


Bettin: Heimliche Online-Durchsuchungen widersprechen dem Grundgesetz. Wer sie erlaubt, macht die intimsten Daten von Menschen vogelfrei für den Staat, denn was die Bürgerinnen und Bürger heute auf ihren Computern speichern, ist nicht weniger privat als ihre Liebesbriefe und Fotoalben im Wohnzimmerschrank. Diese dürfen aber nur mit richterlichem Beschluss durchsucht werden und in Kenntnis der Verdächtigen. Heimliche Online-Durchsuchungen aber entsprächen einer Durchsuchung des Wohnzimmers ohne Wissen der Betroffenen und damit auch ohne Rechte der Betroffenen. Das ist schlichtweg grundgesetzwidrig. Natürlich speichern Täter ihre Daten auch auf Computern und kommunizieren via das Internet. Aber der Staat kann hier schon jetzt tätig werden: Die Gesetze erlauben in bestimmten Fällen Mails mitzulesen, Telefonate abzuhören und Festplatten zu beschlagnahmen. Dass das funktioniert, zeigt die aktuelle Festnahme dreier Terrorverdächtiger in Nordrhein-Westfalen.


Kargl: Eine schwierige Frage, auf die eine pauschale Antwort schwer fällt. Sicherlich lassen sich auf diese Weise in bestimmten Fällen Erkenntnisse über Verdächtige gewinnen. Allerdings gilt dieselbe Antwort auch für Folter. Und wie bei der Folter auch, stellt sich bei der Online-Durchsuchung eine Reihe von Fragen: ist die Maßnahme rechtmäßig und mit unseren Vorstellungen eines Rechtsstaates vereinbar? Wie sicher und zuverlässig sind die dadurch gewonnenen Erkenntnisse? Was passiert, wenn diese Maßnahme gegen Unschuldige angewendet wird? Und wird durch die Maßnahme nicht mehr Schaden angerichtet, als sie nützt?

Prinzipiell kann eine Online-Durchsuchung, also ein Einbruch in den Rechner eines Verdächtigen, immer dann Anwendung finden, wenn die Polizei vermutet, dass auf diesem Rechner relevante Informationen lagern. Da heutzutage Computer für fast jede Art von Kommunikation und Informationsverarbeitung genutzt werden, ist das nicht auf bestimmte Delikte beschränkt. Allerdings wird der Zugriff auf diese Informationen umso schwieriger, je versierter die kriminellen versuchen, sich vor einem solchen Zugriff zu schützen. Während es also vermutlich relativ einfach sein wird, Kleinkriminelle mit einem solchen „Bundestrojaner“ auszuspähen, werden „die Terroristen“ vermutlich relativ schnell über die Maßnahmen der Polizei informiert sein und entsprechende Gegenmaßnahmen treffen. Das kann bereits bei der Nutzung eines exotischen Betriebssystems anfangen, für das die Werkzeuge der Polizei nicht ausgelegt sind. Weiterhin ist die Verschlüsselung der Daten auf dem Rechner denkbar, genauso wie die Lagerung sensitiver Daten z.B. auf USB-Sticks. Schließlich werden Kriminelle, die befürchten, müssen Ziel einer Onlinedurchsuchung zu werden, vermutlich besonders darauf achten, keine seltsamen Anhänge an E-Mails zu öffnen usw. Alles, was einen Benutzer heute schon vor Malware aus dem Internet schützt, kann natürlich auch zum Schutz vor Angriffen durch die Polizei genutzt werden.
Je gefährlicher und gerissener ein Krimineller, desto schwieriger wird man ihm also vermutlich mit dieser Maßnahme beikommen. Und alleine die Kenntnis, dass Online-Durchsuchungen durchgeführt werden, wird ihre Effektivität deutlich einschränken.


Mattheis: Die jüngsten Fahndungserfolge zeigen, dass die vorhandenen Ermittlungsmöglichkeiten greifen und zielführend eingesetzt werden können. Ich halte heimliche Onlinedurchsuchungen nicht für ein angemessenes und geeignetes Mittel zur Kriminalitätsbekämpfung – vielmehr betrachte ich diese als rechtsstaatlich bedenklich und ermittlungstechnisch zweifelhaft. Gerade wer konspirativ arbeitet, weiß sich auch vor Online-Überwachungen zu schützen.

Als nachvollziehbar sinnvoll betrachte ich allerdings eine 6-monatige Speicherfrist für Verbindungsdaten, um gegebenenfalls einzelfallbezogen und ausschließlich mit richterlicher Genehmigung Straftaten über das Internet verfolgen zu können. Dies dient auch dem Schutz der Bürgerinnen und Bürger. Grundlage hierfür ist der am 14. Dezember 2005 erzielte Kompromiss des EU-Parlaments: die deutsche Bundesregierung hatte sich hier mit Erfolg für eng begrenzte Kriterien zur Vorratsdatenspeicherung eingesetzt.


Nüßlein: Zunächst möchte ich den konkreten Fragestellungen vorausschicken, dass die modernen Kommunikationsmöglichkeiten für die Lebens- und Arbeitswelt viele Chancen bieten, allerdings auch erhebliche Risiken mit sich bringen. So ist in den letzten Jahren durch die immer stärkere Nutzung des Internets nicht nur das Risiko von Hackerangriffen oder Computerviren gestiegen, sondern sogar Schwer- und Schwerstkriminialität mit terroristischem Hintergrund werden in geradezu unglaublicher Weise unter Nutzung des Internets geplant und durchgeführt.

Auf die unterschiedlichen Probleme, die das Internet mit sich bringt, hat der Gesetzgeber differenziert zu reagieren. Das Internet darf kein rechtsfreier Raum werden. Problematisch ist in dem Zusammenhang, dass sich die Strafverfolgung im virtuellen Bereich als besonders schwierig gestaltet.
Vor diesem Hintergrund muss auf das moderne Kommunikationsmittel Internet so reagiert werden, daß die Strafverfolgung zum Schutz der Bürger effizient durchgeführt werden kann.

Die aktuell in Rede stehende Online-Durchsuchung bezieht sich dabei insbesondere auf den hochprofessionellen, schwerkriminellen Terrorismus, dies wird allzu oft in der Diskussion vergessen.

Die Eignung zur Kriminalitätsbekämpfung ist zweifellos gegeben, allerdings ist ein strenges Augenmerk darauf zu richten, dass eine Vereinbarkeit mit der Rechtsstaatlichkeit gewährleistet ist. Allem voran der Terrorismus.


Team-Ulm: Wenn hier schon Begriffe wie „professioneller Terrorismus“ fallen, möchte ich gerne nachhaken: Glauben Sie nicht, dass gerade diese professionellen Terroristen durchaus in der Lage sind, geeignete Maßnahmen zu ergreifen, ihr System nahezu hundertprozentig gegen solche Infiltrationsmethoden zu sichern, und durch die derzeitige Debatte auch darauf sensibilisiert wurden?

Kargl: Darauf bin ich ja vorher schon kurz eingegangen. Wenn ein „professioneller Terrorist“ weiß, dass sein Rechner gegebenenfalls Ziel eines Online-Durchsuchung ist, dann wird er vermutlich all die Mechanismen sehr gewissenhaft anwenden, mit denen man sich schon heute vor Malware und Angriffen aus dem Internet schützt (Virenscanner, Firewalls, Nicht-Windows-Betriebssysteme, Nicht-Outlook als Mailprogramm, Vorsicht beim Öffnen von verdächtigen Anhängen, Internet Programme innerhalb einer VM laufen lassen, uvm.). Damit sinken die Chancen der Ermittlungsbehörden aber drastisch, den Rechner erfolgreich anzugreifen.
Außerdem ist damit zu rechnen, dass ein solcher Bundestrojaner bald zum Ziel sportlicher Hacker wird, die dessen Funktionsweise analysieren werden und auch ermitteln, wie man ihn deinstalliert bzw. sich vor ihm schützt. Dieses Wissen, einmal im Internet verbreitet, kann dann natürlich auch von Kriminellen genutzt werden, um sich vor Online-Durchsuchungen zu schützen. Alternativ müsste die Polizei ihre Software kontinuierlich verändern und neu entwickeln.



Team-Ulm: Wie stehen Sie zur Diskrepanz bei den Zielen von Strafverfolgungsbehörden einerseits, die Gebrauch von der Onlinedurchsuchung machen wollen, und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) andererseits, das die Bürger vor Schadsoftware schützen soll, die im Wesen gleich wie der sogenannte „Bundestrojaner“ arbeitet?


Bettin: Diese Diskrepanz besteht und bringt die Bundesregierung in ein unauflösliches Dilemma. Denn heimliche Online-Durchsuchungen sind nur über das heimliche Einschleusen von Schadsoftware möglich. Ich bin mir aber sicher, dass Herr Schäuble hier seine Prioritäten hat, vom BSI wird er sich sicher nicht von seinen Online-Durchsuchungsplänen abbringen lassen.


Kargl: Die Ermittlungsbehörden begeben sich hier in eine sehr gefährliche Grauzone. Sie werden quasi selbst zu legalen „Cyber-Kriminellen“, zu Angreifern auf die Computer anderer. Es steht die Befürchtung im Raum, dass die hierbei verwendete Angriffssoftware (deren Herstellung, Besitz und Anwendung übrigens nach der letzten Reform des Strafgesetzbuches vermutlich illegal wäre) und die in die Rechner installierten Hintertüren zum Ziel richtiger Krimineller werden könnten. Das Beispiel des Sony-DRM-Rootkits hat gezeigt, dass so etwas in der Praxis durchaus denkbar ist. Allerdings ist hier noch vieles Spekulation, da wohl Politik und Polizei selbst noch nicht genau wissen, wie ein „Bundestrojaner“ im Detail genau funktionieren soll.

Anm. der Red.: Das Sony-DRM-Rootkit ist eine Software, die sich beim Abspielen von bestimmten Musik-CDs automatisch ohne Wissen und Zutun des Nutzers installierte, und das wegen seiner Sicherheitslücken potenzielles Einfallstor für Cracker ist.


Mattheis: In einem Rechtsstaat dürfen grundsätzlich auch seitens des Staates keine Mittel verwendet werden, die rechtsstaatlich verbürgte Schranken und Schutz-vorschriften überschreiten. Mit dem Einsatz von „Bundestrojanern“ wird das Recht auf Privatsphäre auf breiter Front verletzt – denn die Privatsphäre lässt sich bei einem solchen Zugriff nicht abgrenzen! Auf Grund von Manipulationsmöglichkeiten ist zudem die Beweiskraft letztendlich zweifelhaft. Demokratie kann nicht mit undemokratischen Mitteln geschützt und verteidigt werden.


Nüßlein: Sowohl die Strafverfolgungsbehörden als auch das BSI haben im Rechtsstaat eine Schutzfunktion für den integeren Bürger. Ich sehe an dieser Stelle keine Diskrepanz, vielmehr eine Ergänzungsfunktion.



Team-Ulm: „Ergänzungsfunktion“? Stehen die Aufgaben nicht im Gegensatz zueinander?

Nüßlein: Das BSI hat die Aufgabe, den Bürger vor Hackern zu schützen, die Schaden anrichten wollen, und die Strafverfolgungsbehörden schützen den Bürger vor gefährlichen Terroristen. Wie das dann im Detail aussieht, ist eine technische Frage, die ich Ihnen jetzt nicht beantworten kann.


Team-Ulm: Soll die heimliche Onlinedurchsuchung – ähnlich wie eine Hausdurchsuchung – grundsätzlich nur auf richterliche Anordnung erfolgen, oder sollen hier den Strafverfolgungsbehörden weiterreichende Befugnisse zugestanden werden, so wie das im am Wochenende durchgesickerten Entwurf offenbar geplant ist?
Sollen Geheimdienste und Polizei in dieser Rolle verstärkt zusammenarbeiten, oder soll die bei der Gründung der Bundesrepublik bewusst gewählte Trennung zwischen diesen Behörden beibehalten werden?


Bettin: Eine heimliche Online-Durchsuchung darf es nicht geben, siehe oben. Auch ein richterlicher Beschluss würde sie bei der jetzigen Rechtslage nicht legitimieren.
Für die Trennung von Geheimdiensten und Polizei gab und gibt es gewichtige Gründe, ein Blick in die Historie zeigt das. Eine solche Trennung muss auch für die Zukunft gelten. Denn wenn man einmal die Büchse der Pandora öffnet, ist sie nicht mehr zu schließen. Wer einmal Befugnisse erhalten hat, wird sie kaum wieder abgeben wollen.


Kargl: Ich denke, die Antwort auf diese Fragen sollte klar sein. Ein Rechtsstaat, in dem die Exekutive bei so invasiven Maßnahmen wie einer Online Durchsuchung autonom und ohne vorherige Kontrolle durch Gerichte agiert, muss sich die Frage gefallen lassen, ob er die Bezeichnung „Rechtsstaat“ noch verdient oder ob er nicht auf dem Weg zum „Polizeistaat“ ist. Zur Trennung der verschiedenen Exekutivorgane verweise ich auf den Geschichtsunterricht. Im Dritten Reich hielt man diese jedenfalls nicht für notwendig.

Dazu noch eine grundsätzliche Bemerkung: bisher (und damit meine ich nicht nur die Zeit seit dem 11. September 2001) war die Arbeit unserer Behörden bei der Kriminalitäts- und Terrorismusbekämpfung offensichtlich durchaus erfolgreich. Es erschließt sich mir keine Notwendigkeit, daran durch radikale Änderungen an den Prinzipien dieses Staates etwas zu ändern.


Mattheis: Im konkreten Verdachtsfall sind ausschließlich richterlich angeordnete Durchsuchungen akzeptabel.

Eine optimale Zusammenarbeit aller beteiligten Behörden Polizei, Bundeskriminalamt, Verfassungsschutz, und auch von Geheimdiensten ist unverzichtbar – jedoch auf Grundlage der gegebenen rechtsstaatlichen Abgrenzungen.

Grundsätzlich gilt: Bei Online-Überwachungen ist kritisch zu prüfen, ob sie notwendig, praktikabel, zielführend und verfassungskonform sind. Das Grundgesetz darf nicht leichtfertig auf Grund tagesaktueller Sonderfälle geändert werden. Vielmehr muss – unter Abklärung rechtlicher und technischer Fragen – genau definiert werden, ob, wann und in welcher Form Online-Durchsuchungen zielführend und unverzichtbar sind.

Am 10. Oktober wird das Bundesverfassungsgericht über die rechtsstaatlichen Voraussetzungen von Online-Durchsuchungen entscheiden. Dieses Urteil ist in jedem Falle abzuwarten, um auf dieser Grundlage die politische Entscheidungsfindung zur Inneren Sicherheit auszurichten.


Nüßlein: Es sind bei der Strafverfolgung immer zwei unterschiedliche Gruppen von Bürgern zu unterscheiden: Die integeren Bürger, die geschützt werden müssen,und jener kleine Teil an Straftätern, der die Rechtsgüter anderer zu verletzen versucht bzw. sie verletzt. Es ist eine Frage der Güterabwägung, wie der Schutz der integeren Bürger zu erfolgen hat.

Bezugnehmend auf Ihre konkrete Frage zur Online-Durchsuchung halte ich im Rahmen dieser Güterabwägung eine richterliche Prüfung für grundsätzlich richtig – allerdings ausnahmsweise, wenn insbesondere Gefahr im Verzug ist für Leib und Leben, halte ich eine Online-Durchsuchung ohne richterliche Anordnung für angemessen.

Ein Abstandnehmen vom grundsätzlichen Trennungsgebot halte ich nicht für angemessen, sofern allerdings ausnahmsweise gerade im Hinblick auf die Abwendung einer terroristischen Gefahr eine Zusammenarbeit der Geheimdienste und der Polizei notwendig ist, ist eine solche Kooperation natürlich geboten.


Team-Ulm: Noch eine Frage speziell an Sie, Herr Dr. Kargl: Für wie realistisch halten Sie als IT-Fachmann die Vorstellung, so kurzfristig ein System zu infiltrieren und auslesen zu müssen, dass deswegen keine Zeit für die Einholung einer richterlichen Anordnung ist?

Kargl: Gehen wir von der momentan diskutierten Infiltrationsmethode (Email mit Trojaner im Anhang) aus, dann entstehen hier Verzögerungen von mehreren Stunden bis Tagen (Rechner nicht online, Email nicht abgerufen, ...). Auch die Durchsuchung und Analyse von ggf. mehreren Gigabyte an Daten ist eher eine Sache von Stunden oder Tagen als von Minuten. Ich weiß nicht, wie schnell ggf. eine richterliche Anordnung erwirkt werden kann, gehe jedoch davon aus, dass ein Richter sehr schnell entscheiden kann, wenn ihm die Dringlichkeit hinreichend glaubhaft gemacht wird.

Zusammenfassend möchte ich sagen, dass sich die Onlinedurchsuchung sehr an den Grenzen unseres Rechtsstaates bewegt. Ich bin auf die entsprechende Entscheidung des Bundesverfassungsgerichtes gespannt. Inwieweit eine Online-Durchsuchung technisch sauber machbar ist und überhaupt gerichtsverwertbare Beweise liefern kann, ist ebenfalls fraglich, da durch die Durchsuchung selbst und andere Ursachen eine Manipulation der erhobenen Daten nur schwer ausgeschlossen werden kann. Als Privatperson kann ich mich mit dem Gedanken nur sehr schwer anfreunden, dass mir unbekannte Personen ohne mein Wissen meine privaten Daten auf meiner Festplatte durchsuchen. Die bisher vorgeschlagenen Konzepte, wie bei einer Online-Durchsuchung private Lebensbereiche geschützt werden sollen, überzeugen mich jedenfalls nicht. Durch diese und ähnliche Maßnahmen der letzten Jahren dringt der Staat immer tiefer in die Privatsphäre seiner Bürger ein. Bei mir löst dies ein zunehmend größeres Misstrauen gegen die staatliche Exekutive aus. Sollte das breiten Teilen der Bevölkerung auch so gehen, dann wäre der dadurch angerichtete Schaden, eine Spaltung des Staates und Entfremdung des Bürgers vom Staat, jedenfalls sehr viel schlimmer als alles, was uns Terroristen von außen jemals antun könnten.

<<< zurück