Schweiz
Digital

«Wenn der Staatstrojaner ausser Kontrolle gerät, dann gnade uns Gott»

Hacker vor seinem Programmcode (Symbolbild).
Hacker vor seinem Programmcode (Symbolbild).Bild: Shutterstock
Interview mit Ruben Unteregger

«Wenn der Staatstrojaner ausser Kontrolle gerät, dann gnade uns Gott»

Schweizer Behörden werden künftig Computer und Handys infiltrieren dürfen. Der einzige Schweizer, der je einen Staatstrojaner programmiert und bedient hat, warnt vor den Risiken und rät ab. 
19.03.2014, 12:2215.07.2014, 16:11
No Components found for watson.skyscraper.
Mehr «Schweiz»

Herr Unteregger, der Ständerat wird heute den Staatstrojaner absegnen. Würden Sie ihn programmieren, wenn man Sie anfragen würde?
Ruben Unteregger: Nein. 

Warum nicht? Sie haben schon einmal einen Trojaner geschrieben, den deutsche Fahnder erfolgreich eingesetzt haben. Sie könnten das.
Ich würde es trotzdem nicht tun. Ich habe schon verschiedentlich Angebote erhalten, an der Entwicklung von Trojanern mitzuwirken. Ich habe immer abgesagt. Es gibt dafür verschiedene Gründe.

Welche?
Bei der Implementierung des ersten Behördentrojaners, bei dem ich mitwirkte, waren die Dimensionen, die das ganze Projekt annehmen sollten, anfangs nicht zu erahnen. Ich musste die Firma aufgrund der unerträglich gewordenen Arbeitssituation verlassen. Kurze Reaktionszeiten auf immer mehr Kundenwünsche und die Pflicht, immer ein funktionierendes Produkt zur Hand zu haben, machten dieses Projekt komplett unkontrollierbar. Ich kapitulierte. Meine Befürchtung war, dass sich diese Situation in neuen Projekten wiederholt und ich wieder am selben Punkt aufgeben würde. 

Ruben Unteregger.
Ruben Unteregger.
Ruben Unteregger
Unteregger hat als 18-Jähriger damit begonnen in seiner Freizeit Trojaner zu entwickeln, um Firewalls und Antivirenprogramme zu testen. Mit 20 engagierte ihn die Era IT Solutions in Domat/Ems (GR) und Unteregger programmierte unter anderem ein damals als «Bundestrojaner» in die Schlagzeilen geratenes Spähprogramm für die deutsche Zollfahndung.

Unteregger begleitete die Arbeit der deutschen Behörden mit seinen Trojanern während sieben Jahren, dann kündigte er seine Stelle und stieg aus. Um ihn unwirksam zu machen und aus Unmut über die aus seiner Sicht unklare Medienberichterstattung zu den Bundestrojanern veröffentlichte Unteregger später den Quellcode zu seinem Spähprogramm im Internet. Im Nachgang dieses «Trojaner-Leaks» verlor Unteregger das Vertrauen in die Behörden, wie er sagt: «Ich habe Nachrichten mit deutlicher Ansage erhalten. Anonym zwar, aufgrund des Inhaltes war der Absender aber eindeutig auszumachen. Es ging wohl die Angst rum, ich könnte ausser dem Quellcode auch anderes Wissen preisgeben, das ich während der Bedienung des Trojaners in Behördendiensten gewonnen hatte.»

Heute lebt Unteregger in Holland, wo der 37-Jährige sein Informatikstudium nachholt. 

Die Gründe für Ihren Ausstieg waren also nicht ethisch-moralischer Natur?
Moralische Bedenken über Sinn und Unsinn einer solchen Software kamen erst später hinzu. Staatstrojaner sind ein mächtiges Instrument, mit dem – abseits der propagierten sinnvollen Anwendung – auch ziemlich destruktiv ans Werk gegangen werden kann. Als externer Dienstleister hat man nur begrenzte Kompetenzen und für welchen Zweck der Trojaner schlussendlich eingesetzt wird, ist für einen nicht ersichtlich. Es liegt auch nicht in den Händen des Entwicklers, über die Verhältnismässigkeit des Einsatzes zu entscheiden. Bloss die gute Absicht, den Code nur für legitime Strafverfolgungszwecke zu schreiben, garantiert nicht, dass der Trojaner nur für diese Zwecke eingesetzt wird. 

Vor behördlichem Missbrauch bräuchten Sie keine Angst zu haben. Der Trojaner-Einsatz in der Strafverfolgung braucht eine richterliche Genehmigung. Für nachrichtendienstliche Zwecke ist sogar ein bundesrätlicher Beschluss nötig.
Wenn eine Schweizer Firma mit Rechtssitz in der Schweiz oder eine Schweizer Behörde den Trojaner mit eigenen Entwicklern baut, dann besteht eine gewisse Chance, dass der Trojaner wirklich nur für bundesrätlich abgesegnete oder Strafverfolgungszwecke eingesetzt wird und die gewonnenen Daten auch in der Schweiz unter Verschluss bleiben. Aber die Chance ist klein. 

Staatstrojaner: Früher ohne rechtliche Basis, bald jedoch gesetzlich sanktioniert.SRF/10vor10

Sie meinen, Daten aus Einsätzen von Bundestrojanern sollen ins Ausland gehen? Warum sollten sie das tun?  
Meines Wissens gibt es derzeit keine Schweizer Firma, die über das nötige Know-how verfügt, um mit eigenen Mitteln ein solches Programm von Grund auf zu entwickeln. Man wird also auf die grossen, international tätigen Anbieter wie Gamma International oder Hacking Team zurückgreifen müssen, die in alle Welt liefern. Selbst wenn man den Auftrag an die Bedingung knüpfen kann, dass die Firma eine Schweizer Niederlassung gründen und Schweizer Personal anstellen muss, gibt es keine Garantie, dass das Produkt nicht trotzdem über Umwege in einem totalitären Staat oder in kriegerischen Auseinandersetzungen zum Einsatz kommt. Es gibt auch keine Gewissheit, dass die gewonnenen Daten in der Schweiz bleiben.  

Aber wir sprechen doch nur von einem Trojaner. Polizei und Staatsanwaltschaften erhalten Zugriff auf verschlüsselte Kommunikation von Kriminellen. 
Selbst wenn die deklarierte Absicht nur das Ausspähen oder Abhören strafrechtlich relevanter Inhalte ist, besteht ein Missbrauchspotential. Da stellen sich rechtsethische Fragen, aber auch ganz praktische. Man installiert ja nicht nur einen Trojaner auf dem Computer eines Verdächtigen, sondern auch einen Proxyserver, der verschleiern muss, wohin der Trojaner seine Daten schickt, dann eine Screening-Software beim jeweiligen Provider und ein weiteres Programm: eine Benutzeroberfläche quasi beim Endnutzer, also der Strafverfolgungsbehörde. 

«Wie wollen Sie sicherstellen, dass die verantwortlichen IT-Ingenieure nur für Sie arbeiten?»

Das tönt aufwendig. 
Ja, und in der Regel ist die Firma, die den Trojaner liefert, überall in diesem Komplettsystem involviert. Hinzu kommt, dass die Installation nicht gekauft werden muss, sondern für einzelne Einsätze gemietet werden kann. Wie wollen Sie sicherstellen, dass die verantwortlichen IT-Ingenieure nur für Sie arbeiten? Da können Sie nie ganz sicher sein. Andererseits dürfen Sie das Potential eines Trojaners nicht unterschätzen. Sie können damit nicht nur verschlüsselte Kommunikation abhören, sondern haben theoretisch Zugriff auf alles. 

Das Trojaner-Gesetz
Die Revision des Bundesgesetztes zur Überwachung des Post- und Fernmeldeverkehrs (BÜPF) bietet erstmals eine rechtliche Legitimation für den Einsatz von Staats-Trojanern.

Der Ständerat hat dies im Rahmen der Frühlingssession durchgewinkt. Gemäss Wortlaut des Gesetzes ist das «Einschleusen besonderer Informatikprogramme» künftig bei der Ermittlung von schweren Straftatbeständen erlaubt. Der entsprechende Tatbestandskatalog ist enger als derjenige für die herkömmliche Telefonüberwachung und entspricht demjenigen, der für verdeckte Ermittlungen gilt. Er umfasst unter anderem Gewaltverbrechen, Entführungen aber auch Wirtschaftskriminalität.

Der Einsatz der Staats-Trojaner muss von einem Zwangsmassnahmengericht bewilligt werden. Thomas Hansjakob, Erster Staatsanwalt des Kantons St. Gallen und in Arbeitsgruppen zur BÜPF-Revision aktiv, legt Wert auf die Feststellung, das nach neuem BÜPF keine Online-Durchsuchungen möglich sind. «Wir sind nur daran interessiert, verschlüsselte Kommunikation abhören zu können, was sich im wesentlichen auf Skype, Threema und ähnliche Programme oder verschlüsselten Email-Verkehr bezieht», sagt Hansjakob. Onlinedurchsuchungen eines ganzen Computersystems seien nicht möglich, oder zumindest nicht verwertbar und für den Fall, dass die Trojaner auf die falschen Systeme gespielt werden, müsse das gewonnene Material vor Sichtung gelöscht werden.

Unklar sei bisher jedoch noch, welche Stellen die Trojaner-Einsätze koordinieren. «Machen wird das die Polizei, wobei noch unklar ist, welche Korps in Frage kommen», sagt Hansjakob. Als sicher gilt, dass die Zürcher, die Berner und die St. Galler sowie die Bundeskriminalpolizei Trojaner-Einsätze leisten können sollen.

Ganz eigenständig würden die Polizeien aber nicht handeln, sagt Hansjakob: «Die Programme sind auf dem Markt erhältlich, man müsste sie wohl für jeden Einzelfall mieten oder kaufen.» 

(Korrektur: In der ursprünglichen Version des Infotextes hiess es, dass Daten aus Trojanereinsätzen über den Dienst ISC-EJPD des Bundes an die Strafuntersuchungsbehörden übermittelt würden. Das ist falsch. Gemäss der Botschaft des Bundesrates sollen die Daten von den Polizeistellen, die den Trojanereinsatz durchführen, direkt an die Strafverfolgungsbehörden geliefert werden.)​
«Das Beispiel Roduner zeigt, dass Strafverfolger unter Erfolgsdruck zu extremen Mitteln greifen.»

Daten, die nicht in Zusammenhang mit der Strafuntersuchung stehen, müssen von einem Gericht aussortiert und vernichtet werden. Gewichten Sie die potentielle Verletzung der Privatsphäre wirklich höher, als das öffentliche Interesse an der Aufklärung des Verbrechens? 
Mit Trojanern kann man verschiedene Gerätetypen infiltrieren. Smartphones, Tablets, Laptops, PCs. Sie können nicht nur sämtliche gespeicherten Daten oder die ganze Kommunikation abfangen, Sie können über Mikrofon und Kamera mithören oder mitsehen, Sie können sämtliche Ortungsdaten einsehen, Sie wissen, wann jemand aufsteht oder ins Bett geht, ihn im Schlafzimmer oder im Bad beobachten. Mit den Einsatzmöglichkeiten von Trojanern steht nicht nur die Privat- sondern auch die Intimsphäre auf dem Spiel. 

Bei Kapitalverbrechen, Drogenhandel im grossen Stil oder Wirtschaftsspionage würde ich das Recht auf Intimsphäre immer noch niedriger gewichten als das öffentliche Interesse an der erfolgreichen Strafverfolgung. Steh ich auf der Leitung?
Ich fürchte, ja. Ich befürchte auch, dass sich die Politiker nicht darüber im Klaren sind, welche Ausmasse das Missbrauchspotential von Trojaner-Systemen hat und welche praktischen Probleme anstehen. Es gibt für den Einsatz von Trojanern kein standardisiertes Verfahren. Man kann nicht einfach wie bei Telefonabhörungen einem Provider befehlen, die Verbindungsdaten und Gespräche einer Zielperson auf DVD zu brennen, zu liefern und damit hat sich's. Sie brauchen bei jeder Zielperson ein eigenes Setting. Sind externe Ingenieure involviert, erhalten diese Zugang zu einem riesigen Berg sensitiver Daten. Dieser bezieht sich kaum nur auf die Zielperson, sondern auch auf die Menschen in seiner Umgebung. Sie wissen dann nicht nur die Telefonnummern von unbescholtenen Dritten, sondern allenfalls auch ziemlich viel andere Dinge über diese Drittpersonen. Wenn man einen Trojaner auf einem Familien-PC oder einem Firmen-Laptop mit Zugang zum Firmen-Intranet installiert, sind grosse Personen- und Interessenkreise betroffen. 

Erklärt vom Chaos Computer Club: Der Staats-Trojaner in Kürze.

Nochmal: Ausser Zufallsfunden in Kommunikationsprogrammen, die auf strafbares Verhalten hinweisen, dürfen die Behörden nichts verwerten, was nicht direkt mit einem gerichtlich bewilligten Einsatz zu tun hat. Die Daten müssen sofort gelöscht werden. 
Ebenfalls nochmal: Selbst wenn das so im Gesetz steht, hat bei einem Trojaner-Einsatz ein Gericht keine Kontrolle darüber. Es sind schon vorher zu viele Leute involviert. Zu viele Details sind da aus meiner Sicht überhaupt nicht ausreichend geklärt. Wer entwickelt die Software? Eine schweizerische oder eine ausländische Firma? Wer kontrolliert, was diese Firma im Detail macht? Was kann die Software? Nur spähen und abhören oder auch manipulieren? Nur einzelne Aktionen eines Zielsystems überwachen oder das ganze System? Eine weitere Problemdimension, die für mich nicht ausreichend geklärt ist, ist diejenige der Beweissicherheit. Mit Trojanern hat man ja nicht nur die Möglichkeit des passiven Abhörens, sondern auch des aktiven Manipulierens der Zielsysteme. Sie können belastendes Material auf Computern hinterlassen und es ist für die Betroffenen schwer bis unmöglich zu beweisen, dass dieses nicht von Ihnen stammt. 

No Components found for watson.skyscraper.

Ich bitte Sie. Wer sollte sowas tun?  
Vielleicht erinnern Sie sich noch an den Untersuchungsrichter des Bundes, Ernst Roduner?

Er verzweifelte am Fall Holenweger derart, dass er sich selbst ein Drohfax schickte.
Genau. Er wurde wegen der Kameraüberwachung in der Postfiliale, von wo aus er das Fax abgeschickt hatte, erwischt. Das Beispiel zeigt, dass Strafverfolger unter Erfolgsdruck zu extremen Mitteln greifen. Mit einem entsprechenden Trojaner hätte Roduner unbemerkt belastendes Material deponieren lassen können. Hätte er es versucht? Beantworten Sie sich diese Frage doch selbst. 

Vermutlich schon. Aber Roduner ist ein Extremfall, ein Einzelfall.  
Er ist ein Einzelfall unter den Strafermittlern wie es auch der Terrorist oder der Drogenbaron innerhalb der Gesellschaft sind. Auch den Einzelfällen in der Behörde muss man Rechnung tragen. Einfach, weil es sie gibt. Ein Rechtsstaat, der seine Autorität und Glaubwürdigkeit erhalten will, darf solchen Extremfällen doch nicht ein Instrumentarium mit derart grossem Missbrauchs- und Schadenspotential wie einen Trojaner zur Verfügung stellen. Das Potential, mit Trojanern Existenzen zu zerstören, ist da. Und wo dieses Potential besteht, wird es früher oder später auch genutzt werden. Hinzu kommt die simple Tatsache, dass mit einem Trojaner infizierte Zielsysteme keine isolierten Inselsysteme sind. Die haben immer auch eine Verbindung mit der Aussenwelt und damit auch ins Internet. Wenn bei einem Einsatz etwas schiefläuft und ein solcher Trojaner oder sein Wirken ausser Kontrolle geraten, dann gnade uns Gott. Die Konsequenzen können massiv sein, nicht nur für die Betroffenen, sondern auch für den Staat, der sein Versagen letztlich vor seinen Bürgern zu verantworten hätte. 

DANKE FÜR DIE ♥
Würdest du gerne watson und unseren Journalismus unterstützen? Mehr erfahren
(Du wirst umgeleitet, um die Zahlung abzuschliessen.)
5 CHF
15 CHF
25 CHF
Anderer
twint icon
Oder unterstütze uns per Banküberweisung.
Das könnte dich auch noch interessieren:
10 Kommentare
Weil wir die Kommentar-Debatten weiterhin persönlich moderieren möchten, sehen wir uns gezwungen, die Kommentarfunktion 24 Stunden nach Publikation einer Story zu schliessen. Vielen Dank für dein Verständnis!
Die beliebtesten Kommentare
avatar
TobiS
19.03.2014 13:50registriert März 2014
Sehr interessantes Interview mit jemandem der wirklich was zu der Branche und dem Thema zu sagen hat!!
423
Melden
Zum Kommentar
avatar
Androider
19.03.2014 13:13registriert Februar 2014
Top Beitrag! Richtig fesselndes Interview.
330
Melden
Zum Kommentar
avatar
SoullessStone
19.03.2014 13:35registriert Januar 2014
Spannendes Interview!
290
Melden
Zum Kommentar
10
Gemini statt Siri? Apple verhandelt angeblich mit Google über KI-Technologie

Apple verhandelt einem Medienbericht zufolge mit Google über die Integration von KI-Technologie des Internet-Konzerns in seine iPhones. Dabei gehe es um die neue Google-Software mit dem Namen Gemini, berichtete der Techjournalist Mark Gurman für den Finanzdienst Bloomberg in der Nacht zum Montag (siehe Quellen).

Zur Story