jimmy schulz (NA), 2011-10-19:
Sehr geehrter Herr Präsident! Meine sehr geehrten

Damen und Herren! Herzlich willkommen seien auch
die Zuschauer zu Hause an den Empfangsgeräten!

({0})

„Ozapft is“ ist nicht mehr nur der Ausspruch nach dem
Anstechen eines Bierfasses, nein, es ist auch Begriff und
Hashtag der ganzen Diskussion, die wir hier führen, geworden, auch dank dem CCC, der diesen Begriff geprägt
hat. Wir müssen ihm aber für noch viel mehr danken,
insbesondere für das 20-seitige Papier, in dem die gesamte Analyse enthalten ist. Ich empfehle übrigens jedem hier im Hause die Lektüre. Dem Dank an den CCC
schließe ich mich also explizit an.

Sie werden wissen, dass wir durch den CCC erfahren
haben, dass die eingesetzte Software, in diesem Falle in
Landshut, mehr kann als eigentlich vorgesehen. Neben
den legalen Fähigkeiten der Quellen-Telekommunikationsüberwachung hatte der in Bayern eingesetzte Trojaner zusätzliche Fähigkeiten, zum Beispiel das Keyloggen und die akustische Raumüberwachung. Diese
Fähigkeiten waren zwar deaktiviert, aber sie waren in
die Software integriert.

Meine Befürchtungen diesbezüglich betone ich bereits seit Jahren, zuletzt in einer Pressemitteilung vor
sechs Monaten. Diese Gefahren lassen sich nicht ganz
einfach ausschließen. Die schlimmsten Befürchtungen
haben sich bewahrheitet. Aber noch viel perfider sind
die Funktion des Nachladens von Software und die Fernsteuerung des befallenen Rechners. Das ist im Übrigen
eine Fähigkeit, die das Bundesverfassungsgericht für
verfassungswidrig hielt. Dieses Feature bietet nämlich
die Möglichkeit des beliebigen Nachladens von weiteren
Fähigkeiten der Überwachung, von Schadsoftware und
anderen Dateien, die hoch- und heruntergeladen werden
können.

Besonders frappierend ist aber in diesem Zusammenhang, dass die Software offensichtlich schlampig programmiert wurde. Diese Funktion ist weder gut abgesichert, noch ist sie ausreichend verschlüsselt, was dazu
führen kann, dass beliebige Dritte sie sich zunutze machen. Das heißt in der Folge aber auch, dass die Beweiskraft einer solchen Maßnahme möglicherweise gegen
null tendiert,

({1})

falls sich Fremde Zugang zu dem Rechner verschafft haben.

Es scheint also besonders schwierig zu sein, einen
grundgesetzkonformen Trojaner zu programmieren.
Denn es ist zwar einfach, nachzuweisen, dass eine Software eine bestimmte Fähigkeit hat, aber es ist um Längen schwieriger, nachzuweisen, dass sie eine bestimmte
Fähigkeit nicht hat, insbesondere wenn man den Source
Code nicht hat. Außerdem lassen sich natürlich viele
Funktionen gut verstecken. Es geht hier auch nicht um
drei, vier oder fünf Fälle, wie wir immer dachten, sonJimmy Schulz
dern anscheinend um mehr als 100 Fälle, in denen eine
solche Software eingesetzt wurde.

Aber warum haben wir eigentlich die Quellen-Telekommunikationsüberwachung? Die klassische TKÜ ist
nicht mehr eine Wanze im Telefon, sondern bedeutet ein
Abgreifen in der Vermittlungsstelle. Das ist natürlich bei
der Internettelefonie etwas komplizierter und auch etwas
anders, denn dort besteht eine direkte Verbindung zwischen zwei Endgeräten, die auch noch verschlüsselt ist.
Damit wurde übrigens immer auch die Notwendigkeit
der Quellen-Telekommunikationsüberwachung begründet. Damit die beiden Teilnehmer sich finden, wird eine
Vermittlungsstelle in Anspruch genommen, ein zentraler
Rechner. Technisch stellt es kein Problem für den Anbieter dar, das gesamte Gespräch über diese Vermittlungsstelle laufen zu lassen. Technisch gesehen ist es aber
auch kein Problem, die Verschlüsselung auszuhebeln, sei
es durch einen Generalschlüssel oder durch eine Man-inthe-Middle-Attack. Das alles kann vonstatten gehen,
ohne dass die Teilnehmer dies mitbekommen.

Nun verdichten sich die Gerüchte, dass Anbieter von
solchen Internet-Telefondiensten nicht nur theoretisch in
der Lage sind, diesen Service anzubieten. Bereits 2008
wurde in Österreich bei einem Treffen im dortigen Innenministerium zum Thema Lawful Interception diese
Möglichkeit bestätigt. Die Datenschutzbestimmungen
des führenden Anbieters weisen explizit auf diese Möglichkeit hin. Die User müssen sich also darüber bewusst
sein, dass diese staatlichen Methoden zur Überwachung
angewendet werden können.

Wenn es eine Möglichkeit gibt, grundrechtsschonend
und verfassungskonform eine solche Überwachung zu
veranlassen, dann frage ich mich: Warum tun wir das
dann nicht? Wenn aber der Einsatz eines Trojaners nicht
grundgesetzkonform gestaltet werden kann, frage ich
mich: Warum tun wir es dann?

Ich komme zum Fazit. Erstens. Wir müssen schnellstmöglich und transparent die Sachlage aufklären. Wir tun
dies auf Initiative der Bundesjustizministerin. Zweitens.
Mögliche Alternativen zu einem Trojanereinsatz, die auf
Basis der geltenden TKÜ geregelt sind, müssen überprüft werden. Drittens. Ich bleibe dabei: Der Einsatz von
Trojanern birgt grundsätzlich die Gefahr des Missbrauchs. Deswegen: Lassen wir, was die TKÜ angeht,
die Finger von Trojanern!

Vielen Dank.

({2})