Seit der CCC im Jahr 2011 den ersten deutschen Staatstrojaner analysierte ist viel passiert. Die internationale Community entdeckte FinFisher FinSpy und NSO Pegasus. Unzählige Analysen, Hacks und Recherchen exponierten die international tätigen Exporteure von Trojaner-Software.

Gegen eines der beiden Unternehmen ist nun ein Etappensieg gelungen: Das FinFisher-Unternehmenskonglomerat ist insolvent, der Geschäftsbetrieb wurde vollständig eingestellt. Anlass ist die Pfändung im Rahmen eines Strafverfahrens wegen der Umgehung von Exportkontrollen: Die Schadsoftware FinFisher/FinSpy wurde in der Türkei gegen die Opposition eingesetzt. Eine Ausfuhrgenehmigung bestand nicht.

Export in Unrechtsregime

Auch in Ländern wie Bahrain, Bangladesch, Brunei, Äthiopien, Ungarn, Malaysia, Mexiko, Katar und den Vereinigten Arabischen Emiraten wurde die Software im Einsatz entdeckt. Doch auch deutsche Behörden waren selbstverständlich Kunde des Unternehmens. Auf die Strafanzeige vom Juli 2019 folgten zunächst keine nennenswerten Ermittlungsmaßnahmen. Die Gesellschaft für Freiheitsrechte bat den CCC daher, die vorgelegten Beweise zu erhärten und zu erweitern.

Analyse des CCC

Ende 2019 veröffentlichten wir daraufhin unsere Analyse von 28 Versionen der Schadsoftware (Bericht als PDF), die analysierten Samples und die Analyse-Tools zur Untersuchung weiterer Versionen. Dabei bestätigten wir die Befunde von Access Now und brachten neue Beweise vor. Nachdem wir diese Ergebnisse beim 36. Chaos Communication Congress präsentiert hatten, erläuterten wir diese auch noch einmal persönlich dem Zollkriminalamt und der Münchener Staatsanwaltschaft. Im Oktober 2020 fanden dann endlich Durchsuchungen an über 15 geschäftlichen und privaten Adressen statt.

Vermögensarrest und Insolvenz

Offenbar erhärtete sich der Verdacht weiter: Durch einen Vermögensarrest wollte die Staatsanwaltschaft das potenziell aus einer rechtswidrigen Tat erlangte Vermögen sichern, um es ggf. einziehen zu können. Der Pfändung entging die Unternehmensgruppe durch Insolvenz. Das Strafverfahren hingegen läuft selbstverständlich weiter und wir können auf das Ergebnis gespannt sein.

Der Kampf geht weiter

„Das Ende von FinFisher ist nicht das Ende des Marktes für Staatstrojaner”, sagt Thorsten Schröder, der die CCC-Analyse der FinSpy-Samples zusammen mit Linus Neumann durchgeführt hat. „Die nun entlassenen Angestellten werden sich neue Jobs suchen – vermutlich bei der Konkurrenz, die wohl auch die Kunden übernehmen wird.”

Wichtiger als die Pleite des Unternehmens ist daher ein Abschluss des Strafverfahrens. „Wir alle hoffen, dass das Ende von FinFisher nur der Anfang ist und auch die Konkurrenz endlich juristische und finanzielle Konsequenzen zu spüren bekommt”, sagt Linus Neumann.

Dank an die internationale Community

Staatstrojaner werden von großen internationalen Konzernen vertrieben und weiterentwickelt. Dass Unternehmen wie FinFisher, NSO und Co. überhaupt zu Leibe gerückt wird, ist einer kleinen, exzellenten Community von internationalen Aktivistinnen, Hackerinnen und Forscherinnen zu verdanken:

• Betroffene und Zielpersonen haben die Angriffe auf sie entdeckt und an Forscherinnen gemeldet.
• Aktuelle und ehemalige Angestellte, Informantinnen und andere Whistleblower haben immer wieder wichtige Hinweise gegeben.
• Das Citizen Lab hat in den vergangenen Jahren mehrere wichtige FinFisher-Analysen veröffentlicht und leistet in letzter Zeit herausragende Arbeit zu NSO Pegasus.
• Access Now legte mit seiner Analyse den Grundstein für die Strafanzeige gegen FinFisher.
• Das Amnesty Security Lab hat nicht nur die Veröffentlichung zum Einsatz in Ägypten hervorgebracht, sondern ebenfalls herausragende Forschung und Tools zu NSO Pegasus.
• Claudio Guarnieri jagt seit vielen Jahren Staatstrojaner und war auch an der jüngsten Veröffentlichungen zum Einsatz in Ägypten maßgeblich beteiligt. Er ist der aktivste Entwickler des Mobile Verification Toolkit, mit dem sich Infektionen auf Mobiltelefonen nachweisen lassen.
• Phineas Fisher hat Gamma/FinFisher gehackt und der Forschungsgemeinschaft viele Anhaltspunkte zur Attribution geliefert: Torrent.
• ESET hat unter anderem wichtige Forschung zur Analyse und Deobfuscation von FinFisher veröffentlicht.
• Auch Microsoft kämpft nicht nur gegen diesen Staatstrojaner, sondern teilt die Erkenntnisse auch öffentlich.
• Gesellschaft für Freiheitsrechte, Reporter Ohne Grenzen, European Center for Constitutional and Human Rights und netzpolitik.org haben die Strafanzeige zusammen gestellt.
• Andre Meister berichtet auf netzpolitik.org, auch wenn das Unternehmen versucht, seine Berichterstattung zu unterbinden.

Es ist vor allem der technischen Expertise dieser Community zu verdanken, dass Vertreter der Branche es schwer haben, gesellschaftlich und politisch akzeptiert zu werden. Diesen unermüdlichen Kampf gegen die digitale Hydra möchten wir an dieser Stelle hervorheben und uns bei allen Forscherinnen und Forschern dafür bedanken, Erkenntnisse und Werkzeuge zu teilen.

Wir haben noch viel zu tun.