- Politik
- Datenausspähung
Wer hacken darf
Bundesbehörden in Deutschland erhalten immer mehr Freiheit beim Ausspähen von Daten
Hacken bedeutet: etwas auf eine Art benutzen, für die es nicht gedacht ist. In der IT-Sicherheit heißt das oft, sich ohne Erlaubnis Zutritt zu Daten zu verschaffen. Das ist in Deutschland laut Strafgesetzbuch verboten – aber nicht jedem. Unter bestimmten Bedingungen dürfen Behörden hacken, und diese Bedingungen werden immer zahlreicher. Seit letztem Monat darf der Bundesnachrichtendienst Internet-Anbieter wie Google oder Facebook hacken. Die Bundespolizei darf vielleicht bald in IT-Geräte von Personen eindringen, die noch gar keine Straftat begangen haben. Und: Abgesehen davon, was die staatlichen Institutionen dürfen, tun sie auch noch einiges, was sie nicht dürfen.
Zentrale Stelle für alles, was in Deutschland »IT« oder »Cyber« im Behördennamen trägt, ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Die Behörde hat ein Vertrauensproblem: Eigentlich soll sie Sicherheitslücken schließen. Nun ist aber bekannt, dass das Amt zwischen 2007 und 2009 an der Entwicklung eines Staatstrojaners für das Bundeskriminalamt beteiligt war, also einer Software, mit der Computer gehackt und überwacht werden können. Und solche Software braucht gerade Sicherheitslücken, um wirksam zu sein. Dass dieser Interessenkonflikt zu einem großen Imageschaden für das BSI führen könnte, war dem Amt damals klar – und so ist es auch gekommen.
Seitdem gibt es immer wieder Forderungen, das Amt aus der direkten Kontrolle des Innenministeriums zu lösen. Denn in Sachen IT-Sicherheit läuft viel über Reputation, so Sven Herpig, der bei der Stiftung Neue Verantwortung zu Cybersicherheitspolitik forscht, im Gespräch mit Die Woche. »Deshalb würde es Sinn machen, dem BSI da ein wenig mehr Unabhängigkeit zuzugestehen.«
Polizei hackt gegen Drogen, kaum gegen Terrorismus
Die verschiedenen Polizeibehörden nutzen solche Spionagesoftware seit einiger Zeit. Das Bundeskriminalamt darf sie seit 2009 zur Prävention von Terrorismus einsetzen. 2017 hat der Bundestag den Einsatz von Staatstrojanern für eine lange Liste von Straftaten erlaubt, darunter unter anderem die Anstiftung zur missbräuchlichen Stellung eines Asylantrags, Hehlerei und Drogendelikte.
Und wofür werden die Trojaner tatsächlich eingesetzt? Die aktuellsten Zahlen zum Hacken durch die deutsche Polizei stammen von 2019. In diesem Jahr haben verschiedene Gerichte in Deutschland 64-mal den Einsatz von Staatstrojanern angeordnet, in 15 Fällen hat die Polizei sie dann auch tatsächlich eingesetzt – also etwas mehr als einmal pro Monat. In mehr als der Hälfte davon ging es um Erpressung und Drogen. »Terror« tauchte zwar nur zwei Mal als Anlass auf, dennoch steht er auf der Seite des BKA zum Staatstrojaner immer noch an erster Stelle: »Für die effektive Durchführung von Ermittlungen, insbesondere im Bereich des Terrorismus und der Organisierten Kriminalität, ist das Instrument der Quellen-TKÜ unverzichtbar.« Das entspricht nicht den Tatbeständen, für die die Polizei tatsächlich Staatstrojaner einsetzt.
Neben dem, was die Polizei darf, gibt es dann noch das, was sie tut. Im Januar war das BKA an der internationalen Aktion gegen das Emotet-Botnet beteiligt. Dabei nutzte das Amt den beschlagnahmten Computer eines Administrators, um eine Bereinigung der Schadsoftware auf infizierten Systemen zu installieren. Das mag zwar im Sinn der Betroffenen sein, eine rechtliche Grundlage gab es dafür aber nicht, so Dr. Herpig in einem Gastbeitrag bei netzpolitik.org.
Nachrichtendienste dürfen offensiv mithören
Neben den Polizeibehörden dürfen seit letztem Jahr auch noch die neunzehn deutschen Nachrichtendienste hacken: der Bundesnachrichtendienst, der Militärische Abschirmdienst und Verfassungsschutz in Bund und Ländern. Zunächst einmal hören die Nachrichtendienste zu. So zum Beispiel beim Internetknotenpunkt DE-CIX in Frankfurt am Main bei bis zu 1,2 Billionen Internetverbindungen – pro Tag. Das geht ganz einfach auf Anweisung des Bundeskanzleramts, der die Betreiber von DE-CIX nachkommen müssen.
Etwas schwerer ist es im Ausland, wo Unternehmen nicht einfach machen müssen, was die deutsche Regierung anordnet. Deshalb haben Bundestag und Bundesrat Ende letzten Monats ein neues Gesetz verabschiedet, mit dem der BND nun legal Kommunikationsunternehmen hacken darf. Darunter fallen auch Plattformen wie Google oder Facebook.
Der Bundesnachrichtendienst hatte auch vorher schon, seit mindestens 15 Jahren, eine eigene Hacker-Einheit. Die trug Namen wie »Referat 26E (Opus)« oder »Unterabteilung T4 (Cyber-Intelligence)«. 2006 hackte diese Gruppe ein afghanisches Ministerium und erwischte dabei auch Mails des Spiegel mit.
Neue Behörde organisiert Einkauf
Von der Überwachungssoftware der verschiedenen Behörden wird ein großer Teil aus der Wirtschaft geliefert. Bei der Entwicklung des Emotet-Patchs wurde das BKA von der deutschen Firma G Data unterstützt, der 2011 öffentlich vom CCC analysierte Staatstrojaner stammte vom Unternehmen DigiTask. Nebenher kauft das Amt noch von großen, internationalen Unternehmen wie FinFisher, gegen das aktuell ein Strafverfahren wegen des eventuell illegalen Exports von Spionagesoftware läuft.
Das BKA hat aber auch eigene Spionagesoftware entwickelt: Die konnte allerdings bei ihrer Fertigstellung 2015 nur in Kommunikation durch die Windows-Version von Skype eindringen. Das war nicht genug, deshalb kam noch eine Version für Smartphones und Tablets dazu. Die Entwicklung in Eigenregie kostete beinahe 6 Millionen Euro.
Bald soll die Zentrale Stelle für IT im Sicherheitsbereich, kurz ZITiS, die Beschaffung von Spionagesoftware für Behörden übernehmen. ZITiS, momentan im Aufbau, soll auf dem Campus der Bundeswehr-Universität München angesiedelt werden – in direkter Nähe zum Beispiel zu CODE, dem Forschungsinstitut Cyber Defense an der Universität.
Aktiv an offensiver Hacking-Software forschen soll die Agentur für Innovation in der Cybersicherheit, auch: »Cyberagentur«, eingerichtet zusammen von Innen- und Verteidigungsministerium. Die Agentur soll eigentlich am Flughafen Leipzig/Halle sitzen, der sächsische Ministerpräsident setzt sich jetzt aber anscheinend dafür ein, sie dauerhaft in seinem Bundesland zu halten. Der Bundesrechnungshof blickt anscheinend beim Abkürzungssalat nicht mehr durch und hat bereits vor zwei Jahren vor drohender Mehrfachförderung gewarnt.
Bundeswehr darf nur im Verteidigungsfall ran
Auch bei der Bundeswehr steckt das Verteidigungsministerium Geld in Cyber. Seit 2017 gibt es dort das Kommando Cyber- und Informationsraum. Aber haben die vergleichbare Möglichkeiten zum Beispiel mit dem Cyber Command der USA? »Nicht mehr«, erklärt Dr. Herpig. »Das ist schwer vergleichbar.« Das zeigt sich schon daran, wann sie aktiv werden dürfen: Die US-Militärhacker dürfen seit 2018 auch ohne Erlaubnis des Präsidenten hacken. Im Rahmen der Doktrin von »persistent engagement«, also »anhaltendem Gefecht«, sind sie dauerhaft in ausländischen Netzwerken aktiv.
Das Kommando Cyber- und Informationsraum darf währenddessen nur im Verteidigungsfall aktiv werden. Diverse Versuche, den »digitalen Verteidigungsfall« oder einen »Hack-Back« zu etablieren, blieben bisher ergebnislos. Die einzige bekannte Operation ist der Hack eines afghanischen Mobilfunkanbieters 2015. Ansonsten sind die IT-Bataillone des Kommandos damit beschäftigt, die Systeme der Bundeswehr zu betreiben und zu schützen.
Kein Mangel an neuen Gesetzen
Schließlich gehört zu einem normalen Tag im deutschen Cyber-Zoo noch eins dazu: Ein neuer Vorschlag für mehr staatliches Hacken. Laut einem Entwurf für das IT-Sicherheitsgesetz 2.0 von 2019 sollte das BSI selbst in Systeme eindringen dürfen. Gerade berät der Bundestag darüber, ob die Bundespolizei auch hacken dürfen soll, wenn noch gar keine Straftat begangen wurde.
Egal für welche Behörde, die Vorschläge reißen nicht ab. Manche Entwürfe kommen durch, manche werden auch mal wieder eingestampft. Gegen andere tritt das Bundesverfassungsgericht an, dann werden sie einfach umgeschrieben und nochmal beschlossen. Das Ende der Legislaturperiode ist nah – ob sich danach etwas ändert, wird sich zeigen.
Das »nd« bleibt gefährdet
Mit deiner Hilfe hat sich das »nd« zukunftsfähig aufgestellt. Dafür sagen wir danke. Und trotzdem haben wir schlechte Nachrichten. In Zeiten wie diesen bleibt eine linke Zeitung wie unsere gefährdet. Auch wenn die wirtschaftliche Entwicklung nach oben zeigt, besteht eine niedrige, sechsstellige Lücke zum Jahresende. Dein Beitrag ermöglicht uns zu recherchieren, zu schreiben und zu publizieren. Zusammen können wir linke Standpunkte verteidigen!
Mit deiner Unterstützung können wir weiterhin:
→ Unabhängige und kritische Berichterstattung bieten.
→ Themen abdecken, die anderswo übersehen werden.
→ Eine Plattform für vielfältige und marginalisierte Stimmen schaffen.
→ Gegen Falschinformationen und Hassrede anschreiben.
→ Gesellschaftliche Debatten von links begleiten und vertiefen.
Sei Teil der solidarischen Finanzierung und unterstütze das »nd« mit einem Beitrag deiner Wahl. Gemeinsam können wir eine Medienlandschaft schaffen, die unabhängig, kritisch und zugänglich für alle ist.
