Kloiber: Welche technischen Probleme machen denn den BKA-Beamten das Leben schwer, Peter Welchering?
Welchering: Nach allem, was man aus den so schüchternen Sicherheitskreisen so hört, ist es vor allem die persönliche Firewall, die auf Computersystemen mit direktem Internet-Zugang eingesetzt wird. Denn diese Firewall, die verhindert, dass der sogenannte Infiltrationsschädling eindringen kann, das ist im wesentlichen ein Downloader, ein Trojaner, der sich ins System schleicht, um das eigentliche Überwachungsmodul, auf die es ja den Ermittlern ankommt, das dann auch die eigentliche Durchsuchungssoftware von einem BKA-Server herunterladen soll. Das ist insofern etwas verwunderlich, als die von den Geheimdiensten eingesetzten Bundestrojaner dieses Problem eigentlich schon gelöst hatten, und das schon vor einigen Jahren. Aber es wird auch kolportiert, dass bei früheren Online-Durchsuchungen der Geheimdienste der Bundestrojaner entweder händisch aufs System der Zielperson gespielt wurde oder dass in zumindest in zwei Fällen ein sogenanntes Exploit eingesetzt wurde für den Downloader. Exploit, das ist ein Angriffsprogramm, das auf einer Sicherheitslücke im System beruht, die gerade entdeckt worden ist, aber noch nicht bekannt war.
Kloiber: Können denn die BKA-Experten bei Online-Durchsuchungen nicht einfach genau dieselben Methoden einsetzen, die ihre Geheimdienstkollegen schon getestet haben?
Welchering: Das würden die offenbar gern. Aber den sogenannten Downloader händisch auf das Zielsystem aufzubringen, ist ihnen ja gesetzlich verboten worden, sie dürfen ja gerade nicht mehr in Wohnungen oder Büros einbrechen, um an das Zielsystem zu gelangen. Exploits einzusetzen, das ist tatsächlich auf den ersten Blick das Mittel der Wahl. Doch im BKA-Alltag gibt es einige Hürden. Bisher hat nämlich der Bundesnachrichtendienst solche Angriffsprogramme aus mehr oder weniger gut getarnten Quellen beschafft. Offensichtlich hat die Einkaufsabteilung im BKA hier noch einige Beschaffungsprobleme.
Kloiber: Letztlich handelt es sich ja auch beim Bundestrojaner um ein Computervirus. Und deren Ausbreitung ist ja nicht völlig unter Kontrolle zu halten. Inwieweit hat das BKA dieses Problem gelöst?
Welchering: Wirklich gelöst haben sie es nicht. Sie haben einige Lösungen, die es bisher gab, einfach außer Kraft setzen müssen. Das sieht dann etwa so aus, dass das BKA nicht einfach CDs mit Propagandamaterial oder Computerspiele verteilen kann, wie das Geheimdienste in der Vergangenheit gemacht haben. Auf diesen CDs oder Computerspielen waren dann solche Viren dabei. Denn das hat ja bekanntlich dazu geführt, dass dann eine Vielzahl von Rechnern infiziert wurde und somit die gezielte Online-Durchsuchung ad absurdum geführt wurde. Um zu verhindern, dass der Downloader sich unkontrolliert verbreitet, muss er auf das Zielsystem, das da online durchsucht werden soll, ganz sorgfältig abgestimmt sein. Das heißt, bevor der Downlader programmiert werden kann, müssen die Ermittler wissen, welches Betriebssystem, welche Kommunikationsprotokolle, welche Anwendungssoftware, welche Schnittstellen, ja sogar welche Sicherheitsupdates hat das Zielsystem. Die Standardsoftware, mit der solche Parameter ermittelt werden, hat das BKA getestet. Offenbar war man in Wiesbaden mit den Parameterermittlungen, die es ja auch kommerziell zu kaufen gibt, nicht so übermäßig zufrieden. Und man hat deshalb einen anderen Weg eingeschlagen, solche Systemparameter auszuspähen, aber der ist auch nicht erfolgreich gewesen, der ist von den Betriebssystemherstellern dichtgemacht worden. Das funktioniert recht elegant. Die Ermittler haben einfach ein Sicherheitsupdate eines Betriebssystemherstellers genommen und dem einen Trojaner angehängt. Weil Sicherheitsupdates ja automatisch heruntergeladen werden, bemerken die Überwachten PC-Besitzer das gar nicht. Aber unglücklicherweise haben Microsoft, Suse und die Hersteller von anderen Betriebssystemen wie den Mac OS digitale Signaturen für ihre Sicherheitsupdates eingeführt, so dass ein verändertes Update vom System nicht installiert wird.
Kloiber: Welche Strategien werden denn derzeit im BKA favorisiert, um die technischen Schwierigkeiten beim Einsatz des Bundestrojaners zu überwinden?
Welchering: Das ist schwierig zu ermitteln. Auf solche Fragen schweigt das BKA natürlich. Aber es zeichnen sich gleich zwei technische Lösungsstrategien ab und eine organisatorische. Zum einen gibt es Hinweise, dass das BKA unbedingt einen durchaus ansehnlichen Etat haben will, um stärker sogenannte Less-Than-Zero-Day-Exploits aufkaufen zu können. Das klingt fürchterlich, das sind Angriffsprogramme, die auf Sicherheitslücken beruhen, die noch nicht bekannt sind. Aus der Exploit-Szene ist berichtet worden, dass es derzeit Anfragen von Sicherheitsfachleuten aus Deutschland gibt, und die wollen tatsächlich auch solche Exploits haben, die zwar eine Sicherheitslücke aufspüren, aber diese Sicherheitslücke ist in Fachkreisen noch nicht diskutiert worden. Und dann kann diese Sicherheitslücke ganz gezielt genutzt werden, um so ein Angriffsprogramm zu programmieren. Der Nachteil: das verfahren ist recht teuer, die Preise für derartige Exploits liegen am Schwarzmarkt zwischen 18.000 und 30.000 US-Dollar. Und in der Regel ist solch ein Exploit nach einmaligem Einsatz verbrannt. Strategie Nr. 2 besteht in der Weiterentwicklung von sogenannter kommerzieller Programmen der Parameter-Ermittlung. Aber das ist bisher ja unbefriedigend verlaufen. Setzt man aufs Dritte, die Programme händisch aufbringen, und das ist gesetzlich verboten.
Welchering: Nach allem, was man aus den so schüchternen Sicherheitskreisen so hört, ist es vor allem die persönliche Firewall, die auf Computersystemen mit direktem Internet-Zugang eingesetzt wird. Denn diese Firewall, die verhindert, dass der sogenannte Infiltrationsschädling eindringen kann, das ist im wesentlichen ein Downloader, ein Trojaner, der sich ins System schleicht, um das eigentliche Überwachungsmodul, auf die es ja den Ermittlern ankommt, das dann auch die eigentliche Durchsuchungssoftware von einem BKA-Server herunterladen soll. Das ist insofern etwas verwunderlich, als die von den Geheimdiensten eingesetzten Bundestrojaner dieses Problem eigentlich schon gelöst hatten, und das schon vor einigen Jahren. Aber es wird auch kolportiert, dass bei früheren Online-Durchsuchungen der Geheimdienste der Bundestrojaner entweder händisch aufs System der Zielperson gespielt wurde oder dass in zumindest in zwei Fällen ein sogenanntes Exploit eingesetzt wurde für den Downloader. Exploit, das ist ein Angriffsprogramm, das auf einer Sicherheitslücke im System beruht, die gerade entdeckt worden ist, aber noch nicht bekannt war.
Kloiber: Können denn die BKA-Experten bei Online-Durchsuchungen nicht einfach genau dieselben Methoden einsetzen, die ihre Geheimdienstkollegen schon getestet haben?
Welchering: Das würden die offenbar gern. Aber den sogenannten Downloader händisch auf das Zielsystem aufzubringen, ist ihnen ja gesetzlich verboten worden, sie dürfen ja gerade nicht mehr in Wohnungen oder Büros einbrechen, um an das Zielsystem zu gelangen. Exploits einzusetzen, das ist tatsächlich auf den ersten Blick das Mittel der Wahl. Doch im BKA-Alltag gibt es einige Hürden. Bisher hat nämlich der Bundesnachrichtendienst solche Angriffsprogramme aus mehr oder weniger gut getarnten Quellen beschafft. Offensichtlich hat die Einkaufsabteilung im BKA hier noch einige Beschaffungsprobleme.
Kloiber: Letztlich handelt es sich ja auch beim Bundestrojaner um ein Computervirus. Und deren Ausbreitung ist ja nicht völlig unter Kontrolle zu halten. Inwieweit hat das BKA dieses Problem gelöst?
Welchering: Wirklich gelöst haben sie es nicht. Sie haben einige Lösungen, die es bisher gab, einfach außer Kraft setzen müssen. Das sieht dann etwa so aus, dass das BKA nicht einfach CDs mit Propagandamaterial oder Computerspiele verteilen kann, wie das Geheimdienste in der Vergangenheit gemacht haben. Auf diesen CDs oder Computerspielen waren dann solche Viren dabei. Denn das hat ja bekanntlich dazu geführt, dass dann eine Vielzahl von Rechnern infiziert wurde und somit die gezielte Online-Durchsuchung ad absurdum geführt wurde. Um zu verhindern, dass der Downloader sich unkontrolliert verbreitet, muss er auf das Zielsystem, das da online durchsucht werden soll, ganz sorgfältig abgestimmt sein. Das heißt, bevor der Downlader programmiert werden kann, müssen die Ermittler wissen, welches Betriebssystem, welche Kommunikationsprotokolle, welche Anwendungssoftware, welche Schnittstellen, ja sogar welche Sicherheitsupdates hat das Zielsystem. Die Standardsoftware, mit der solche Parameter ermittelt werden, hat das BKA getestet. Offenbar war man in Wiesbaden mit den Parameterermittlungen, die es ja auch kommerziell zu kaufen gibt, nicht so übermäßig zufrieden. Und man hat deshalb einen anderen Weg eingeschlagen, solche Systemparameter auszuspähen, aber der ist auch nicht erfolgreich gewesen, der ist von den Betriebssystemherstellern dichtgemacht worden. Das funktioniert recht elegant. Die Ermittler haben einfach ein Sicherheitsupdate eines Betriebssystemherstellers genommen und dem einen Trojaner angehängt. Weil Sicherheitsupdates ja automatisch heruntergeladen werden, bemerken die Überwachten PC-Besitzer das gar nicht. Aber unglücklicherweise haben Microsoft, Suse und die Hersteller von anderen Betriebssystemen wie den Mac OS digitale Signaturen für ihre Sicherheitsupdates eingeführt, so dass ein verändertes Update vom System nicht installiert wird.
Kloiber: Welche Strategien werden denn derzeit im BKA favorisiert, um die technischen Schwierigkeiten beim Einsatz des Bundestrojaners zu überwinden?
Welchering: Das ist schwierig zu ermitteln. Auf solche Fragen schweigt das BKA natürlich. Aber es zeichnen sich gleich zwei technische Lösungsstrategien ab und eine organisatorische. Zum einen gibt es Hinweise, dass das BKA unbedingt einen durchaus ansehnlichen Etat haben will, um stärker sogenannte Less-Than-Zero-Day-Exploits aufkaufen zu können. Das klingt fürchterlich, das sind Angriffsprogramme, die auf Sicherheitslücken beruhen, die noch nicht bekannt sind. Aus der Exploit-Szene ist berichtet worden, dass es derzeit Anfragen von Sicherheitsfachleuten aus Deutschland gibt, und die wollen tatsächlich auch solche Exploits haben, die zwar eine Sicherheitslücke aufspüren, aber diese Sicherheitslücke ist in Fachkreisen noch nicht diskutiert worden. Und dann kann diese Sicherheitslücke ganz gezielt genutzt werden, um so ein Angriffsprogramm zu programmieren. Der Nachteil: das verfahren ist recht teuer, die Preise für derartige Exploits liegen am Schwarzmarkt zwischen 18.000 und 30.000 US-Dollar. Und in der Regel ist solch ein Exploit nach einmaligem Einsatz verbrannt. Strategie Nr. 2 besteht in der Weiterentwicklung von sogenannter kommerzieller Programmen der Parameter-Ermittlung. Aber das ist bisher ja unbefriedigend verlaufen. Setzt man aufs Dritte, die Programme händisch aufbringen, und das ist gesetzlich verboten.