Hacking-Proxy

10. Juli 2020

Geheimdienste wollen Hardware bei Internet-Providern installieren, um Staatstrojaner in Datenverkehr einzuschleusen. Das steht in einem Gesetzentwurf zum Verfassungsschutzrecht, den die Bundesregierung nächste Woche beschließen will. Die Provider wollen keine Hilfssheriffs sein. Darauf wies gestern Netzpolitik.org hin.

Kriminelle installieren Schadsoftware oft mittels Phishing. Die Polizei installiert Staatstrojaner oft über physischen Zugriff auf das Zielgerät. In Zukunft wollen die Geheimdienste ihre Schadsoftware direkt beim Provider in Downloads der Zielperson einspeisen. Mit einer Webseite, einer App oder einem Update kommt dann auch der Trojaner auf das Gerät.

Dafür will die Bundesregierung Anbieter von Telekommunikation verpflichten, Datenströme an die Geheimdienste umzuleiten. Das steht im Gesetzentwurf zur Harmonisierung des Verfassungsschutzrechts, den netzpolitk.org veröffentlicht hat. Konkret müssen Anbieter die Installation des Staatstrojaners „durch Unterstützung bei der Umleitung von Telekommunikation … ermöglichen“.

Die Dienste-Anbieter sollen nicht nur eine Kopie der Daten ausleiten, das wäre eine normale Telekommunikationsüberwachung. Stattdessen sollen „die umgeleiteten Daten nach Durchführung der Maßnahme zur Weiterleitung an den Adressaten bestimmt bleiben“. Der Datenverkehr soll also durch einen Hacking-Proxy der Geheimdienste geleitet werden.

Datenströme umleiten und ändern

Technisch ist das nicht sonderlich kompliziert. Wenn Datenverkehr durch einen Computer geleitet wird, kann dieser den Inhalt ändern und Webseiten oder Downloads modifizieren und infizieren.

Die großen kommerziellen Staatstrojaner-Produkte beherrschen diese Technik seit vielen Jahren. Die teils deutsche Firmengruppe FinFisher hat dafür das Produkt FinFly ISP, das so beworben wird: „FinFly ISP ist in der Lage, Dateien, die vom Ziel heruntergeladen werden, on-the-fly zu patchen oder gefälschte Software-Updates für populäre Software zu versenden.“

Diagramm
Infektion mit Staatstrojaner im Netzwerk eines Internet-Providers. Alle Rechte vorbehalten Gamma/FinFisher

Updates fälschen und infizieren

Eine Werbe-Broschüre von 2011 beschreibt einen beispielhaften Einsatz: „Ein Geheimdienst setzte FinFly ISP im Netzwerk des wichtigsten nationalen Internetdienstanbieters ein. Es genügte, dass das System nur die Log-in-Informationen der Zielperson in das Provider-Netz kannte, um eine Fernüberwachungslösung auf ihrem Computer zu installieren und sie von da an zu überwachen.“

Es gibt sogar ein eigenes Werbe-Video, wie FinFly ISP ein gefälschtes iTunes-Update verschickt und darüber das Zielsystem mit FinSpy infiziert:

Erst vor zwei Wochen berichtete Amnesty International, wie Journalisten in Marokko über eine solche Netzwerk-Injektion mit dem Staatstrojaner der israelischen NSO Group infiziert wurden.

Das Bundeskriminalamt und andere Behörden haben Staatstrojaner von FinFisher gekauft. Wie oft deutsche Bundesbehörden solche Techniken bereits einsetzen, darf der Bundestag nicht erfahren, nicht mal streng geheim.

Provider als Hilfssheriffs

Die Internet-Anbieter kritisieren, dass die Bundesregierung sie zu Hilfssheriffs macht. Im Rahmen der Verbändebeteiligung haben sie Stellungnahmen an die Bundesregierung geschickt.

Der Branchenverband eco bezeichnet die Umleitung von Datenverkehr als „besonders intensiven Eingriff“, der „eine Vielzahl an rechtlichen und prozeduralen Fragen aufwirft“. Der Verband der Internetwirtschaft sieht das Vorhaben „äußerst kritisch und lehnt insbesondere eine Veränderung und Manipulation der Kommunikation sowie deren Unterdrückung ab“.

Der Bitkom hält die Vorschläge für „dringend korrekturbedürftig“. Das Vorhaben „verkennt die enormen Risiken für die gesamte Netzintegrität der Provider und der damit einhergehenden Vertrauensverluste“. Unter den 2.700 Bitkom-Mitgliedern sind auch die Deutsche Telekom, Vodafone und Telefónica.

Viele Anbieter von Telekommunikation

Die Liste der betroffenen Unternehmen ist lang. Dazu zählen vor allem die Zugangsanbieter von Internet- und Mobilfunkanschlüssen, aber auch Betreiber kommerzieller WLANs. Dazu kommen Internet-Knoten wie der DE-CIX, Backbone-Anbieter wie Glasfaser-Betreiber und Housing-Anbieter wie Hetzner. Auch wer an der Erbringung von Telekommunikationsdiensten mitwirkt, ist erfasst.

Schon die klassische Telekommunikationsüberwachung wird nicht nur gegen Clients eingesetzt, sondern auch gegen Server und andere Infrastruktur. Seit vielen Jahren nutzen Polizei und Verfassungsschutz Server-TKÜ und E-Mail-TKÜ. Letzte Woche verkündeten Europol und die französische Polizei, wie sie die Server eines Messenger-Anbieters und darüber alle Client-Apps gehackt haben.

Mit dem Telekommunikationsmodernisierungsgesetz will die Bundesregierung die Definition von Telekommunikation erweitern, von „klassischen“ Diensten wie Telefonie, SMS und Fax auf moderne Dienste wie E-Mail, Internet-Telefonie und „Over-the-Top-Dienste“ wie Messenger. Gut möglich, dass all diese Dienste in Zukunft Telekommunikationsüberwachung ermöglichen müssen – mit und ohne Trojaner. Der eco kritisiert das als immensen Anstieg der verpflichteten Unternehmen.

Trojaner für Geheimdienste kommt

Die Bundesregierung will das Gesetz, das allen 19 Geheimdiensten Staatstrojanern gibt, schon in der Kabinettssitzung am nächsten Mittwoch beschließen. Danach kommt das Gesetz in den Bundestag, wo von der Großen Koalition nicht viel Widerstand zu erwarten ist.

Die Diskussion, ob Kommunikations-Anbieter zur Beihilfe bei der Installation des Staatstrojaners verpflichtet werden, dürfte im Parlament breiten Raum einnehmen. Daran schließen sich Fragen von Haftung, Rechtssicherheit, technischen Richtlinien und Kosten an. Die Union fordert, den Geheimdiensten neben dem kleinen Staatstrojaner Quellen-TKÜ auch den großen Staatstrojaner Online-Durchsuchung zu gehen. Sicher scheint, dass der Trojaner für die Geheimdienste kommt.

Die Gesellschaft für Freiheitsrechte klagt bereits gegen den Staatstrojaner für das BKA. Vor drei Wochen hat die NGO angekündigt, gegen den Staatstrojaner für die Geheimdienste zu klagen. Der Vorsitzende Ulf Buermeyer kündigt auch eine Klage gegen die Provider-Verpflichtung an: „Sollten diese Hacking-Proxys Gesetz werden, wird die GFF eine Verfassungsbeschwerde hiergegen prüfen.“


Ein Beitrag von Netzpolitik.org, Creative Commons BY-NC-SA 4.0.

präventiv

15. Dezember 2019

Das Niedersächsische Polizeigesetz, im vergangenen Frühsommer von unserer rückständigen GroKo in Hannover durchgesetzt, muss bekanntlich schon wieder nachgebessert werden [Übersicht bei labournet]. Es verstößt gegen Verfassungsrecht, lese ich, und ist folglich ein verfassungsfeindliches Machwerk. Da hilft es uns allen, einen Blick ins benachbarte NRW zu werfen, wo schon vr einem Jahr ein neues, nach den Wünschen der Polizei gestricktes Polizeigesetz in Kraft trat. Das macht netzpolitik.org [sie brauchen übrigens Spenden!] und zieht ein erstes Fazit:

„Nordrhein-westfälische Polizisten dürfen Personen, die auf Nachfrage ihren Namen nicht nennen, bis zu sieben Tage festhalten. Die Regelung gilt seit einem Jahr, bisher sind vier Aktivist:innen bei Klimaprotesten von ihr betroffen.

Vor einem Jahr trat in NRW ein neues Polizeigesetz in Kraft. Seither darf die Polizei im größten Bundesland Personen für bis zu sieben Tage festhalten, um ihren Fingerabdruck zu nehmen. So eine Regelung gibt es sonst nirgendwo in Deutschland, weswegen sie mit Bezug zu den Protesten im Hambacher Forst auch Lex Hambi“ genannt wird.

Wenn die Polizei eine Straftat befürchtet, kann sie Personen sogar bis zu einem Monat festhalten – vor Änderung des Polizeigesetzes waren es nur 48 Stunden gewesen. Seit gestern gibt es nun Zahlen der nordrhein-westfälischen Landesregierung zur Anwendung des neuen Polizeigesetzes.

Zur Identitätsfeststellung vier Tage in einer Zelle eingesperrt

Insgesamt wurden vier Personen in Gewahrsam genommen, um ihre Identität festzustellen. Es handelt sich um Aktivist:innen einer Protestaktion gegen Braunkohleabbau im Februar in Garzweiler.

Innenminister Herbert Reul (CDU) sagt, dass „die längste Ingewahrsamnahme zur Identitätsfeststellung bereits nach vier Tagen wieder beendet“ wurde. Der Rechtsanwalt Jasper Prigge hält vier Tage jedoch für deutlich zu lang. Gegenüber netzpolitik.org sagt er:

Es geht hier um eine präventive Maßnahme, die zulässig ist, obwohl noch nichts passiert ist. Die Strafprozessordnung sieht hingegen eine maximale Dauer von zwölf Stunden vor, obwohl bereits eine Straftat begangen wurde. Diese unterschiedliche Behandlung ist nicht zu rechtfertigen.

Der Rechtsanwalt der Betroffenen, Christian Mertens, kritisiert darüber hinaus, dass es für Personen, die zwar von der Polizei festgehalten werden, deren Namen aber nicht bekannt sind, schwierig sei einen Rechtsanwalt anzurufen. Gegenüber netzpolitik.org sagt er:

Effektiver Rechtsschutz wird den in Gewahrsam genommenen Personen verwehrt, indem die Landgerichte sich weigern, Maßnahmen gegen anonyme Personen zu überprüfen. Anwälte, die Beschwerden für anonyme Personen einreichen, sollen dann die Gerichtskosten zahlen.

Eine Person wurde 13 Tage präventiv festgehalten

Zeitlich noch deutlich darüber hinaus geht der Gewahrsam zur Verhinderung von Straftaten. Bei einer „drohenden Gefahr“ darf die nordrhein-westfälische Polizei Personen bis zu 28 Tage einsperren.

Rechtsanwalt Jasper Prigge lehnt den wochenlangen Präventivgewahrsam im neuen Polizeigesetz ab. Er sagt:

Die Anhebung des Gewahrsams zu präventiven Zwecken war falsch. Es ist nicht hinnehmbar, dass Menschen präventiv für mehrere Wochen eingesperrt werden, noch dazu, ohne dass ihnen ein Anwalt beigeordnet wird.

Personen, die über eine Woche festgehalten werden, müssen in speziellen Zellen mit etwas mehr Platz untergebracht werden. Insgesamt waren es zehn Personen, die in diesem Jahr von der Polizei zwischen zwei und 13 Tagen festgehalten wurden, um mögliche zukünftige Straftaten zu verhindern. In drei der zehn Fälle nahm die Polizei an, die Person könnte in Zukunft eine terroristische Straftat begehen.

In 15 weiteren Fällen wurden Personen von der Polizei verdächtigt, gegenüber ihren Partner:innen oder anderen Familienmitgliedern gewalttätig zu werden und deshalb zwischen zwei und zehn Tage in den Gewahrsam genommen. Was mit Personen nach ihrer Entlassung aus dem Gewahrsam passiert, wenn die Polizei sie weiter für gefährlich hält, dazu sagt Innenminister Herbert Reul bisher nichts.

Trojaner-Software eingekauft, aber nicht angewendet

In der Pressemitteilung des Innenministeriums steht auch nicht, wie oft die Polizei in NRW Trojaner-Software einsetzte, um beispielsweise Chat-Verläufe oder E-Mails auszulesen. Erst auf Nachfrage im Innenausschuss sagte Innenminister Herbert Reul gestern, es sei entsprechende Trojaner-Software von einem Unternehmen eingekauft worden, jedoch nicht eingesetzt worden.

Verena Schäffer, Abgeordnete für die Grünen-Fraktion im Landtag, kritisiert das „laute Schweigen des Innenministers zur Nicht-Anwendung der Quellen-TKÜ“. Der Einkauf und der Einsatz von Trojaner-Software war einer der großen Streitpunkte in der Aushandlung des neuen Polizeigesetzes.

Nun wird die Fixierung im Gewahrsam diskutiert

Auch in anderen Bundesländern wurde in den letzten zwei Jahren der Präventivgewahrsam ausgeweitet. In Bayern waren im ersten Jahr vor allem Personen mit laufenden Asylantragsverfahren betroffen. Das scheint in NRW nicht der Fall zu sein. Allerdings bleibt die Mehrzahl der Personen, die in Gewahrsam genommen wurden, unbekannt.

Die Innenpolitiker der CDU und FDP haben bereits weitere Änderungsanträge zum Polizeigesetz eingebracht, die voraussichtlich noch dieses Jahr beschlossen werden. Unter anderem soll die Fixierung (Fesselung) von in Gewahrsam genommenen Personen neu geregelt werden.

Darkhammer

22. Juli 2011

War wohl nur ein westfälisches Hämmerchen. Der  Hacker mit dem Pseudonym „Darkhammer“ ist nach nur wenigen Tagen am vergangenen Montag im benachbarten Rheine verhaftet worden. Von einem Spezialeinsatzkommando der nordrhein-westfälischen Polizei. Er soll zur Hackergruppe NN-Crew gehören, die online in zahlreiche Server der Bundespolizei eingedrungen und anschließend diverse Daten veröffentlicht hatte, darunter GPS Daten der Fahrzeuge von Verdächtigen, Bewegungsprofile der PKWs der Behörde und manches mehr.

Die Hackergruppe hatte sich dazu online in einen schlecht gesicherten Server bei der Bundespolizei-Kaserne in Swisttal-Heimerzheim (NRW) „eingehackt“ und dann mindestens 42 Trojaner auf Behördenrechnern platzieren können. Anschließend veröffentlicht die Gruppe geheime Informationen über das GPS-Fahndungssystem „Patras“ des Zolls, das daraufhin sicherheitshalber vorübergehend aus dem Verkehr gezogen wurde.

Der Rheiner Arbeitslose wurde Montag gegen 21 Uhr in seiner Wohnung festgenommen, berichtete ZDNet. Er soll bereits wegen räuberischer Erpressung vorbestraft sein und sich auf Bewährung in Freiheit befinden. Auch wegen Computerkriminalität soll der 23-Jährige schon aufgefallen sein. Die Spezialeinsatzkräfte waren aber wohl doch nicht so speziell. Laut Spiegel-Online konnten sie den Mann bei der Polizeiaktion nämlich nicht daran hindern, dass er seinen Laptop zuklappte. Die Laptop-Daten sind daher verschlüsselt. Vielleicht hätte man einfach die Zeugen Jehovas, einen Versicherungsvertreter oder einen Briefträger vorbei schicken und klingeln lassen sollen. Dann wäre „Darkhammer“ ja zur Tür gekommen und man hätte ihn bitten können, mitzukommen, um verschiedene dinge zu regeln. SEK- und MEK-Experten tun so etwas aber nicht, sondern treten meist mit so hoher Wucht alle Haus- und Zimmertüren kaputt, dass regelmäßig schon aus Schrecken der Laptopdeckel nach unten knallt.

Der junge Mann zeigte sich aber laut Medienberichten gegenüber der Polizei gleichwohl „kooperativ“, also rede- und geständnisfreudig, weshalb der Haftrichter des zuständigen Amtsgerichts in Köln inzwischen den Vollzug des Haftbefehls aussetzte.

In der Folge hat es bereits eine weitere Festnahme eines mutmaßlichen Mitglieds der Hackergruppe NN-Crew gegeben, der aus der Nähe von Würzburg stammt, evtl. bei Kaiserlautern wohnt; die Medien artikulieren sich da wenig klar. Aber auch er sei geständig, meldet Spiegel-online. Dieser zweite Festgenommene wird verdächtigt, Zugangsdaten auf einem Server des Bundespolizei ausgespäht und damit anschließend auf einen Server des Zollkriminalamts nahe Köln zugegriffen zu haben. Zudem soll er die Zugangsdaten weiteren Personen zugänglich gemacht haben.