Politisch wird derzeit die Ausweitung der Nutzung von Staatstrojanern diskutiert und in einem Beschluss der Justizministerkonferenz zur Schaffung einer rechtlichen Grundlage für die „Quellen-TKÜ“ seit Juni 2016 gefordert. Der CCC hat auf Anfrage der thüringischen Linksfraktion die Stellungnahme erarbeitet und stellt sie der Öffentlichkeit zur Verfügung. Im rot-rot-grün-regierten Freistaat Thüringen war im Koalitionsvertrag 2014 verabredet worden, Staatstrojaner aktiv zu verhindern, anstatt die Nutzung noch auszuweiten.

Anders als die Justizministerkonferenz argumentiert, ist aus Sicht des CCC die „Quellen-TKÜ“ kein „unverzichtbares Instrument der Strafverfolgung“, sondern eine mit hohen Risiken behaftete Schadsoftware. Würde die Nutzung solcher Software ausgeweitet, entstünden staatliche Interessenkonflikte: Denn Sicherheitslücken in informationstechnischen Systemen sind schnellstmöglich zu schließen und nicht von Staats wegen noch auszunutzen.

Sofern trotz der Risiken Staatstrojaner überhaupt eingesetzt werden sollen, fordert der CCC die rechtliche Gleichstellung der „Quellen-TKÜ“ mit der „Online-Durchsuchung“. Zudem sollte durch eine klare Einschränkung der Geräte, in die eine staatliche Spionagesoftware eingebracht werden darf, einer künftigen Ausweitung der Nutzung vorgebeugt werden.

Die „Quellen-TKÜ“ (Quellen-Telekommunikationsüberwachung) ist rechtlich auf laufende Kommunikation beschränkt, steht aber im deutlichen Gegensatz zum Abhören von Gesprächen auf dem Leitungsweg, weil eine Spionagesoftware direkt in die Systeme der abgehörten Personen eingebracht wird. Die Software nistet sich unbemerkt in das Betriebssystem des Nutzers ein, führt eigene Programmroutinen auf dem infizierten System aus und greift aktiv in Systemabläufe ein.

Durch diesen aktiven Eingriff in ein überwachtes Gerät wird die Integrität des Systems zwangsläufig verletzt. Welche Seiteneffekte die Installation einer Schadsoftware im Zielsystem anrichten kann, ist aber nicht mit Sicherheit vorhersehbar. Der CCC fordert daher die strikte Einschränkung der Geräte, auf denen eine solche Spionagesoftware eingesetzt werden darf, um sicherzustellen, daß nicht Leib und Leben von Menschen gefährdet werden, indem zum Beispiel in Geräte mit medizinischen Funktionen eingegriffen wird.

Beim Abgreifen von Inhalten an der Quelle – also direkt im Endgerät des Betroffenen – kann zudem nicht sichergestellt werden, daß es sich bei den so erlangten Daten tatsächlich um laufende Kommunikationsinhalte handelt. Wenn der Trojaner beispielsweise unvollständige oder nie verschickte E-Mails oder Chat-Nachrichten einsammelt, handelt es sich um eine „Online-Durchsuchung“ und ist auch rechtlich so zu behandeln. [2] Denn verschriftlichte Gedankengänge oder private Notizen, die keine laufende Kommunikation sind, dürfen im Rahmen einer „Quellen-TKÜ“ nicht erhoben werden.

Wie schwierig eine klare Trennung zwischen zulässigen und unzulässigen Funktionalitäten bei einer staatlichen Spähsoftware ist, wurde durch den CCC bereits im Jahr 2011 nachgewiesen. Der „Quellen-TKÜ“-Trojaner ermöglichte weitaus mehr als nur die Überwachung von laufender Telekommunikation. Dem von der Firma Digitask entwickelten Staatstrojaner wurde auch handwerklich ein vernichtendes Urteil ausgestellt. [3]

Links:

• [1] Stellungnahme zur „Quellen-TKÜ“
• [2] Staatstrojaner erneut vor dem Bundesverfassungsgericht
• [3] Chaos Computer Club analysiert Staatstrojaner
• [4] Am 20. April 2016 urteilte das Bundesverfassungsgericht über das BKA-Gesetz. Ein Teil dieser Entscheidung betraf die Prüfung des Einsatzes von Staatstrojanern, sowohl für die sogenannte „Quellen-TKÜ“ als auch für die „Online-Durchsuchung“. Urteil des Ersten Senats vom 20. April 2016 – 1 BvR 966/09