Source: http://acamedia.info/politics/surveillance/ccc/29c3/trojanerblindflug.html
Timestamp: 2019-05-27 02:05:32
Document Index: 318383024

Matched Legal Cases: ['§ 100', '§ 20', '§ 23', '§ 100', '§ 23', '§ 373', '§ 95', '§ 370', '§ 29', '§ 30', '§ 99', '§ 201']

Constanze Kurz, Ulf Buermeyer: Trojaner-Blindflug - Spionage-Software von Staats wegen
Trojaner-Blindflug - Spionage-Software von Staats wegen
Constanze Kurz, Ulf Buermeyer
Event: "Not my department", 29. Chaos Communication Congress [29c3] des Chaos Computer Club [CCC]
Einführung (CCC):
"Wir wissen seit ein paar Jahren, dass der Staat technisch in der Lage ist, die Computer einiger seiner Bürger zu infiltrieren. Aber soll er das auch dürfen? Was hat sich in den letzten Monaten beim Staatstrojaner getan?
Seit der Veröffentlichung der Untersuchungen des CCC zum Staatstrojaner hat sich erneut eine Diskussion um den Einsatz der Spionagesoftware entspannt. Die Quellen-Telekommunikationsüberwachung (Quellen-TKÜ) und die Online-Durchsuchung sind im letzten Jahr Gegenstand von Untersuchungsberichten und parlamentarischen Anfragen gewesen. Deren Ergebnisse wollen wir im Vortrag betrachten. Und wir sparen nicht an Ratschlägen für den zukünftigen Gesetzgeber."
aus dem Vortrag kopiert und mit Zeitmarken, Links zu und Zitaten aus CCC-Publikationen versehen von Jochen Gruber
§ 100a, b StPO, § 20k BKA-Gesetz, § 23 z Zollfahndungsdienstgesetz
CCC: Schaar-Bericht
"... Ohne ausreichende rechtliche Grundlage wurde der Staatstrojaner in Bund und Ländern dutzendfach eingesetzt, um die Computer von Verdächtigen zu infiltrieren. Schaar kommt zu dem Ergebnis, daß der Gesetzgeber nachbessern muß. Sowohl § 100a StPO als auch § 23z Zollfahndungsdienstgesetz seien keine hinreichende Rechtsgrundlage, da sie dem Urteil aus Karlsruhe nicht genügten. Warum die Ermittler nicht direkt an Skype herantreten, ist Schaar ohnehin nicht ersichtlich. ..."
§ 373 AO, § 95 AMG, § 370 AO, § 29 BtmG, § 30 BtmG
Zeit: 56:43
Zeit: 58:04
Zeit: 1:01:16
Zeit: 1:03:51
Hervorhebungen hinzugefügt von Jochen Gruber
Constanze Kurz, Dirk Engling, Frank Rieger, Thorsten Schröder, "Stellungnahme an das Bundesverfassungsgericht zum BKA-Gesetz und zum Einsatz von Staatstrojanern" 1 BvR 966/09, 1 BvR 1140/09, Chaos Computer Club, 7. Juli 2015
Chaos Computer Club analyzes government malware, 2011-10-08
... "The analysis concludes, that the trojan's developers never even tried to put in technical safeguards to make sure the malware can exclusively be used for wiretapping internet telephony, as set forth by the constitution court. On the contrary, the design included functionality to clandestinely add more components over the network right from the start, making it a bridge-head to further infiltrate the computer.
"This refutes the claim that an effective separation of just wiretapping internet telephony and a full-blown trojan is possible in practice - or even desired," commented a CCC speaker. "Our analysis revealed once again that law enforcement agencies will overstep their authority if not watched carefully. In this case functions clearly intended for breaking the law were implemented in this malware: they were meant for uploading and executing arbitrary code on the targeted system."
"The government malware can, unchecked by a judge, load extensions by remote control, to use the trojan for other functions, including but not limited to eavesdropping. This complete control over the infected PC - owing to the poor craftsmanship that went into this trojan - is open not just to the agency that put it there, but to everyone. It could even be used to upload falsified "evidence" against the PC's owner, or to delete files, which puts the whole rationale for this method of investigation into question."
"But the trojan's built-in functions are scary enough, even without extending it by new moduls. For the analysis, the CCC wrote its own control terminal software, that can be used to remotely control infected PCs over the internet. With its help it is possible to watch screenshots of the web browser on the infected PC - including private notices, emails or texts in web based cloud services."
"The official claim of a strict separation of lawful interception of internet telephony and the digital sphere of privacy has no basis in reality. ... "
"The analysis also revealed serious security holes that the trojan is tearing into infected systems. The screenshots and audio files it sends out are encrypted in an incompetent way, the commands from the control software to the trojan are even completely unencrypted. Neither the commands to the trojan nor its replies are authenticated or have their integrity protected. Not only can unauthorized third parties assume control of the infected system, but even attackers of mediocre skill level can connect to the authorities, claim to be a specific instance of the trojan, and upload fake data. It is even conceivable that the law enforcement agencies' IT infrastructure could be attacked through this channel."
"The other promises made by the officials also are not basis in reality.
In 2008 the CCC was told that all versions of the "Quellen-TKÜ" software would manually be hand-crafted for the specifics of each case. The CCC now has access to several software versions of the trojan, and they all use the same hard-coded cryptographic key and do not look hand-crafted at all.
Another promise has been that the trojan would be subject to exceptionally strict quality control to make sure the rules set forth by the constitutional court would not be violated. In reality this exceptionally strict quality control has neither found that
the key is hard coded, nor
that the "encryption" is uni-directional only, nor
that there is a back door for uploading and executing further malware.
The CCC expressed hope that this farce is not representative for exceptionally strict quality control in federal agencies."
International Principles on the Application of Human Rights to Communications Surveillance, Necessary & Proportionate, Final Version, 10 July 2013. (im Cache)
Grundsatz #2: RECHTMÄSSIGES ZIEL
Gesetze sollten nur Kommunikationsüberwachung durch spezifizierte Behörden erlauben, um ein legitimes Ziel zu erreichen, welches einem überragend wichtigen Rechtsgut, das in einer demokratischen Gesellschaft notwendig ist, entspricht. Es darf keine Maßnahme angewendet werden, die auf der Grundlage von
politischer oder sonstiger Überzeugung,
nationaler oder sozialer Herkunft,
Geburt oder des sonstigen Status
Grundsatz #5: VERHÄLTNISMÄSSIGKEIT
... Informationen werden nur von der festgelegten Behörde abgerufen und nur für den Zweck verwendet, für den die Genehmigung erteilt wurde.
Grundsatz #7: BENACHRICHTIGUNG DES NUTZERS
... Des Weiteren sollte [die zur Überwachung freigegebene Person] Zugang zu dem Material bekommen, welches für den Antrag der Autorisierung vorgelegt wurde. ... Die betroffene Person wird benachrichtigt, sobald die Gefahr aufgehoben ist, oder innerhalb einer vernünftigen realisierbaren Frist, je nachdem, welches zuerst zutrifft, aber in jeden Fall zu dem Zeitpunkt zu dem die Kommunikationsüberwachung abgeschlossen ist. Die Verpflichtung zur Benachrichtigung liegt beim Staat, aber in dem Fall, dass der Staat dem nicht nachkommt, sollten Kommunikationsdiensteanbieter die Freiheit haben, Personen über die Kommunikationsüberwachung freiwillig oder auf Anfrage zu benachrichtigen.
Grundsatz #10 PUBLIC OVERSIGHT
States should establish independent oversight mechanisms to ensure transparency and accountability of communications surveillance. Oversight mechanisms should have the authority
to access all potentially relevant information about State actions, including, where appropriate,
access to secret or classified information;
to assess whether the State is making legitimate use of its lawful capabilities;
to evaluate whether the State has been transparently and accurately publishing information about the use and scope of communications surveillance techniques and powers;
and to publish periodic reports and other information relevant to communications surveillance.
Independent oversight mechanisms should be established in addition to any oversight already provided through another branch of government.
Grundsatz #13: SCHUTZMASSNAHMEN GEGEN UNRECHTMÄSSIGEN ZUGANG
Die Staaten sollten Gesetze erlassen,
welche illegale Kommunikationsüberwachung durch öffentliche oder private Akteure kriminalisieren.
Die Gesetze sollten ausreichende und erhebliche zivil-und strafrechtliche Sanktionen, Schutz für Whistleblower und Wege für die Wiedergutmachung von Betroffenen enthalten.
Die Gesetze sollten vorsehen, dass alle Informationen, welche in einer Weise gesammelt wurden, die mit diesen Grundsätzen unvereinbar ist, in einem Verfahren als Beweise unzulässig sind, genauso wie Beweise, die von solchen Informationen abgeleitet sind.
Die Staaten sollten außerdem Gesetze erlassen mit der Maßgabe, dass das Material zerstört oder der Person zurückgegeben werden muss, nachdem das durch Kommunikationsüberwachung gesammelte Material, zu dem Zweck genutzt wurde, zu welchem es bereitgestellt wurde.
komplette Grundsätze #1 - #12
Peter Schaar, Programmzeitschrift von Deutschlandfunk, Juli 2014
"Natürlich können Gesetze den aus der Flasche gelassenen Geist der digitalen Datenverarbeitug nicht wieder zurückstopfen.
Aber sie können und müssen die Grenzen des Zulässigen festlegen.
Unabhängige Datenschutzbehörden und Gerichte müssen dafür sorgen, dass diese Grenzen eingehalten werden.
Auch die Einführung der Möglichkeit für Datenschutz- und Verbraucherschutzorganisationen, gegen Datenschutzverstöße zu klagen, würde das Risiko für Unternehmen mit datenschutzfeindlichen Geschäftspraktiken vergrößern.
Kombiniert mit verschärften Schadensersatzregelungen könnte das Verbandsklagerecht - neben der unabhängigen Datenschutzaufsicht und der Selbstregulierung- zu einer dritten Säule der Durchsetzung gesetzlicher Anforderungen werden."
Damit nicht genug: Datenschutz ist zunehmend auch ein technisches Thema. Technologie gefährdet nicht nur die Privatsphäre, sie kann auch zu deren Schutz beitragen. Beispiel: Verschlüsselung.
Wenn unsere Emails standardmäßig verschüsselt werden, erschwert dies den Lauschern, Betrügern und Datendieben ihr Geschäft. (Anm. J. Gruber: E. Snowden hat darauf hingewiesen, dass sich damit aus Kostengründen auch der Umfang der staatlichen Überwachung reduziert.)
Wenn wir Informationen wirklich anonym aus dem Internet abrufen können, hungern wir die Datenkraken aus, die jede elektronische Lebensäußerung gierig aufsaugen.
Peter Schaar, "Die Vorratsdatenspeicherung darf nicht wieder eingeführt werden." (cached), Freiheit statt Angst, Berlin, 2014
"... Auch hier fordern manche Politiker und Vertreter von Sicherheitsbehörden unbeeindruckt von der Rechtslage weiterhin die Einführung der Verpflichtung zur Datenbevorratung.
Trotzdem wiederholen Befürworter der Vorratsdatenspeicherung gebetsmühlenartig, dass die Sicherheitsbehörden ohne Vorratsdatenspeicherung Im Digitalzeitalter blind seien.
Das Gegenteil ist richtig: Polizei, Staatsanwaltschaften und Geheimdienste verfügen heute über mehr Informationen denn je! Das wissen wir nicht erst von Edward Snowden.
Mit der Digitalisierung aller Formen von Kommunikation und mit der Erfassung der Verkehrsdaten bei normalen Geschäftsprozessen können Behörden heute auf riesige Bestände personenbezogener Daten zugreifen.
Es ist deshalb eine grobe Irreführung, wenn hier von Blindheit gesprochen wird. Dass Sicherheitsbehörden aus ganz anderen Gründen blind sein können - vielleicht auch nur auf einem Auge - dafür stehen die durch parlamentarische Untersuchungsausschüsse zu Tage geförderten Erkenntnisse über das Versagen bei der Aufklärung des Terrors der rechtsextremen NSU.
Es ist wichtig, weiterhin gegen die Wiedereinführung der Vorratsdatenspeicherung öffentlich Stellung zu beziehen. Diese anlasslose, umfassende Datenspeicherung steht in diametralem Widerspruch zur Unschuldsvermutung. Sie formuliert einen Generalverdacht gegenüber jedermann und jeder Frau und sie erhöht die ohnehin riesigen Datenberge weiter. Das widerspricht unseren Grundrechten!"
Weitere Reden auf "Freiheit statt Angst 2014"
Jacob Appelbaum (IT-Sicherheitsexperte, torproject.org), "Wir müssen Widerstand leisten." (cached)
Dr. Rolf Gössner (Internationale Liga für Menschrechte), "Geheimdienste müssen vollständig abgeschafft werden." (cached)
Annegret Falter (Whistleblower-Netzwerk), "Auch Deutschland braucht einen Edward Snowden." (cached)
Astrid Goltz (Humanistische Union), "Geheimdienste sind ein Schandfleck der Demokratie." (cached)
Sebastian Schweda (Amnesty International), "Überwachung: Nicht USA gegen Deutschland, sondern Regierung gegen Bürger." (cached)
Matthias Spielkamp (Reporter ohne Grenzen), "Bürgerrechtler sind nicht hilflos und ohnmächtig." (cached)
BugsBunny (Stop-Orwell2020), "Bewertung der von der EU im Rahmen von Horizon 2020 geförderten Sicherheitsforschung." (cached)
"... Der dieses Jahr gestartete HORIZON 2020 Forschungsetat umfasst insgesamt 80 Milliarden Euro für alle Rubriken zusammen. Zahlreiche Sicherheitsprojekte werden dabei unter neuen Namen weitergeführt, und selbige sowie weitere Institutionen werden an dieser Forschung teilhaben. Es ist noch nicht möglich, genauer zu sehen, wie viele Projekte mit wie viel Geldern unterstützt werden, aber was wir sehen können, sind folgende Zahlen:
44 Milliarden gehen an die Erforschung zu technischen Innovationen, der industriellen Entwicklung und der Exzelenzentwicklung der Wissenschaft.
Nur 29,7 Milliarden gehen an die sogenannten sozialen Herausforderungen - was für eine seltsame Formulierung!
1,6 Milliarden gehen an das Programm EURATOM und
3,2 Milliarden an sogenannte andere.
Anders als im Rahmenforschungsprogramm 7, welches letztes Jahr auslief, können wir noch nicht einsehen, in welchem Sektor sich die Projekte der Sicherheitsforschung befinden. Das kritisieren wir zutiefst!
Forschung sollte nur dann gefördert werden,
wenn sie für alle anwendbar ist und vor allem
wenn sie den Grundrechten und der Menschenrechten nicht entgegen steht
wenn sie mit den Datenschutzrechten vereinbar ist und
wenn unsere Vorstellung von uns hier Weltbürgern ebenfalls berücksichtigt werden.
Die Ausrichtung der Forschung sollte sich in Richtung der Friedenskommunikation und der Konfliktdeeskalation widmen, und sich vor allem auf den alternativen Energien und der Müllvermeidung fokussieren sowie natürlich der Naturkatastrophenforschung und der weltweiten Wasserversorgung- und Toilettenproblematik. Forschung zum Thema Überwachung sollte nicht in diesem Maße gefördert werden! Projekte wie INDECT haben in der Forschungslandschaft nichts verloren. Sie bringen nicht mehr Sicherheit sondern erhöhen die Fehlerquoten und die Kosten! Sie führen zu Angst in der Bevölkerung Europas und zur permanenten Verfolgung sowie der Aufhebung der Unschuldsvermutung, die aber eine Basis für ein friedliches Zusammenleben in demokratischen Gesellschaften darstellt. Und sie gaukeln uns Sicherheit vor, die wir aber in dieser Form so niemals erreichen können! ..."
10. Februar 2014 (cached, 5.9.2014)
"Am Montag haben wir zusammen mit der Internationalen Liga für Menschenrechte und dem CCC Strafanzeige gegen die Bundesregierung erstattet. Sie kouml;nnen sich dieser Anzeige jetzt anschließen.
Auf unserer Petitionswebseite kouml;nnen Sie ganz einfach unterschreiben. Damit unterstützen Sie unsere Strafanzeige gegen die Bundesregierung und Geheimdienstagenten in Deutschland öffentlichkeitswirksam. Mit der Teilnahme an der Strafanzeige sind keine Gerichts- oder Anwaltskosten verbunden.
Chaos Computer Club erstattet Strafanzeige gegen die Bundesregierung (cached, 5.9.2014)
"Nach Monaten immer neuer Veröffentlichungen aus den Snowden-Dokumenten über massenhafte geheimdienstliche Überwachung und offensive Angriffe auf informationstechnische Systeme besteht längst Gewißheit darüber, daß durch in- und ausländische Geheimdienste gegen hiesige Strafgesetze verstoßen wurde. Mit der Strafanzeige gegen die Bundesregierung sollen daher endlich die überfälligen Ermittlungen des Generalbundesanwalts angestoßen werden. Der CCC ist überzeugt, daß die Verantwortlichen in den Nachrichtendiensten und in der Bundesregierung die verbotenen geheimdienstlichen Tätigkeiten nicht nur geduldet, sondern aktiv und in erheblichem Umfang gefördert und somit Beihilfe geleistet haben.
Dies ist strafbar gemäß
§ 99 StGB (verbotene geheimdienstliche Agententätigkeit),
§§ 201 ff. StGB (Verletzungen des persönlichen Lebens- und Geheimbereichs) und
und muß, gegebenenfalls mit weiteren Straftatbeständen, vom Generalbundesanwalt verfolgt werden.
Die fleißige Kanzlerin, Spiegel #30, 22.7.2013, Seiten 16-21 (im Cache)
... Darüber hinaus zeigen die Unterlagen [d.h. die "vom SPIEGEL ausgewerteten Dokumente aus dem Archiv des amerikanischen Whistleblowers Snowden"], welche Anstrengungen die deutschen Dienste und die Politik unternahmen, um noch enger als bisher mit den Amerikanern ins Geschäft zu kommen. Das gilt vor allem für den Umgang mit dem G-10-Gesetz (im Cache), das festlegt, unter welchen Bedingungen deutsche Bürger abgehört werden dürfen. So heißt es in einem als streng geheim deklarierten Papier der Agency von diesem [2013] Januar unter der Rubrik "Success stories" ("Erfolgsgeschichten"): "Die deutsche Regierung hat ihre Auslegung des G-10-Gesetzes geändert, um dem BND mehr Flexibilität bei der Weitergabe geschützter Daten an ausländische Partner zu ermöglichen."
Der Ort, an dem über das Treiben der Geheimen im In- und Ausland debattiert werden müsste, ist das Parlamentarische Kontrollgremium des Deutschen Bundestages ["G-10-Kommission"]. Die Regierung ist gesetzlich dazu verpflichtet, die elf geheim tagenden Abgeordneten regelmäßig "umfassend" über die Arbeit von BND und BfV zu informieren und "Vorgänge von besonderer Bedeutung" zu erläutern.
... "Die Kontrolle der Dienste findet nur in der Theorie statt", klagt ... der Grünen-Vertreter im Gremium, Hans Christian Ströbele. "Die wirklich brisanten Sachen erfahren wir erst, wenn Medien sie enthüllt haben." Verwunderlich ist das nicht. Die gesetzlichen Bestimmungen zur Geheimdienstkontrolle sind vage.
Die Dienste genössen "Narrenfreiheit", sagt der Jurist Wolfgang Neskovic, der lange für Die Linke im Kontrollgremium saß.
Union und FDP haben sich nun darauf geeinigt, im Bundestag ein zusätzliches Geheimdienstreferat einzurichten. Im Licht der jüngsten Ereignisse glaubt jedoch der CDU-Innenexperte Clemens Binninger, dass eine "große Lösung" erforderlich sei. Er plädiert für einen parlamentarischen Geheimdienstbeauftragten, der mit eigenen Befugnissen und einem eigenen Stab ausgestattet sein sollte.
Laura Poitras - Surveillance Teach-In - Full Lecture, Whitney Biennial, April 20, 2012
... "award-winning filmmaker Laura Poitras is joined by computer security expert and privacy advocate Jacob Appelbaum (Tor-Projekt) and National Security Agency whistle-blower Bill Binney ..."
re:publica 2013 - Raegan MacDonald: Surveillance by Design
Find out more at: http://13.re-publica.de/node/2546
"While the collection, storage and analysis of our data becomes ever cheaper and easier, governments around the world are eager to make the surveillance of citizens the default setting. Therefore, it has never been more important to explore countermeasures that would protect our fundamental right to privacy.
While the European Union continues to take positive steps to ensuring that public and private bodies protect the privacy of citizens (for example through the Data Protection Regulation), much work remains to be done in addressing issues of due process in how governments use, protect, and request user data. Specifically, government requests for so-called "lawful access" to user data are trending in both democratic and non-democratic nations, presenting one of the greatest challenges for the protection of fundamental rights.
This talk will highlight this issue as well as provide a brief overview of the main challenges facing citizens in protecting their privacy, including some recent proposed ..." (Source)
CALEA-Expansion by the FCC
"Law enforcement is now attempting to broaden the Communications Assistance for Law Enforcement Act (CALEA) by requiring communications service providers to design their networks to make it easy and fast for law enforcement to perform wiretaps, pen-register, and trap-and-trace surveillance on a large number of people.
In other words, the FBI wants
to design their networks to be surveillance-friendly from the ground-up and starting at the product design phase.
CALEA would then serve as a technology mandate, imposing design or architecture duties upon communications technology itself to "guarantee" that surveillance will always be fruitful.
This is a far cry from simply requiring communications service providers to assist law enforcement in retrieving information or content that is reasonably available given the current state of technology." (Source)
Version: 18.3.2016
Email-Adresse: Jochen.Gruber(at)acamedia.info