Nach dem Hacking-Team-Debakel gibt es nur eine Lösung: Die Schweiz muss ihren Staatstrojaner selber entwickeln

Nach dem Hacking-Team-Debakel gibt es nur eine Lösung: Die Schweiz muss ihren Staatstrojaner selber entwickeln

Roman Rey

Um ihrer Pflicht nachzukommen, muss die Schweizer Polizei einen Pakt mit dem Teufel eingehen. Die Zusammenarbeit der Kapo Zürich mit der dubiosen italienischen Firma Hacking Team ist ein schönes Beispiel dafür.

Die internen Daten, die nach einem Hackerangriff auf die Italiener an die Öffentlichkeit kamen, zeichnen das Bild einer Firma, die sich nicht darum schert, ob ihre Software dafür verwendet wird, Journalisten und Menschenrechtler zu verfolgen. Einer Firma, die ungenügende Sicherheitsstandards hat. Einer Firma, die in ihre Programme sogenannte Backdoors einbaut, was ihnen ermöglicht, jederzeit darauf zuzugreifen.

Der Markt der Firmen, die sich auf die Entwicklung von Trojanern spezialisiert haben, ist  – wenig überraschend – mit dubiosen Figuren durchwachsen.

So auch beim Handy-Trojaner Galileo, den Hacking Team an die Kapo Zürich verkauft hat. Selbst wenn sich die Schweizer Behörden also im rechtlichen Minenfeld der Personenüberwachung so korrekt wie möglich verhalten, könnten heikle Daten in fremde Hände gelangen und missbraucht werden.

Kapo Zürich zieht Trojaner aus dem Verkehr

Es ist keine Überraschung: Die Kantonspolizei verzichtet auf den Einsatz ihrer neuen Überwachungssoftware «Galileo», die sie für knapp eine halbe Million Franken gekauft hatte. Dies bestätigt eine Sprecherin gegenüber Blick.ch: «Wir verwenden die Software auch nicht mehr». Der Entscheid sei heute gefallen. 

Nachdem die italienische Firma Hacking Team, die Galileo programmiert hat, Opfer eines Hacker-Angriffs wurde, ist der Quellcode des Handy-Trojaners ins Netz gelangt – wie watson bereits berichtete, wurde er darauf unbrauchbar. (rey)

Die Trojaner-Branche ist eine zwielichtige

Mit der Frage konfrontiert, warum man mit zwielichtigen Hackern geschäfte, tönte es in den vergangenen Tagen aus Kreisen der Kapo Zürich immer gleich: Wir haben halt keine Alternativen. Auf eine Anfrage von watson fragt Urs Grob von der Sicherheitsdirektion Zürich rhetorisch zurück: «Können Sie mir eine einigermassen erfolgreiche und valable Herstellerfirma für solche Software nennen, die nach Ihrem Dafürhalten ethisch unbedenklich ist?»

Genau da liegt das Problem. Der internationale Markt der Firmen, die sich auf die Entwicklung von Trojanern spezialisiert haben, ist klein, und er ist – wenig überraschend – mit skrupellosen Figuren durchwachsen, die sich nicht um ethisch korrektes Verhalten scheren. Man kann den wenigsten von ihnen trauen.

Es gibt nur eine Lösung, wie wir vollständige Autonomie über unsere Cyber-Überwachung bekommen: Wir müssen die Entwicklung von Überwachungssoftware in die Schweiz holen.

Fremde Hacker in unseren Wohnzimmern? Wollen wir nicht.gif: Giphy

Dafür haben wir mehrere Möglichkeiten. Die erste wäre, eine Schweizer Firma damit zu beauftragen und eng mit ihr zusammenzuarbeiten – wir haben Firmen mit dem nötigen Know-how. Durch die Nähe und die rechtlichen Möglichkeiten wäre es für die Behörden viel einfacher, Background-Checks durchzuführen und sicherzustellen, dass man es mit vertrauenswürdigen Partnern zu tun hat.

Soll die Schweiz selbst einen Staatstrojaner entwickeln?

Ja, das ist besser, als die Aufgabe an eine ausländische Firma zu delegieren.Nein, ausländische Firmen machen das gut. Und sind günstig.Nein, die Schweiz braucht gar keinen Staatstrojaner.

Oder aber der Staat nimmt sich der Sache selbst an und baut ein Team von Entwicklern auf, welche einen Staatstrojaner basteln, der unsere ethischen und rechtlichen Standards erfüllt.

Der Staatstrojaner muss sich selbst überwachen

Das Programm Galileo ist ein gutes Beispiel dafür, weshalb das notwendig ist: Der Trojaner kann mehr, als bei der Überwachung in der Schweiz erlaubt ist – etwa ein Handy in eine Wanze umfunktionieren oder sich direkt in die Kamera einklinken. Wie soll ein Massnahmengericht, das eine Überwachung angeordnet hat, überprüfen, ob die Polizei ihren Auftrag nicht masslos überschreitet?

Wie kann ein Staatstrojaner je etwas taugen, wenn er es der Polizei ermöglicht, einem Verdächtigen gefälschte Beweise unterzujubeln?

Unser Staatstrojaner müsste sich selbst überwachen – das heisst, minutiös aufzeichnen, wer was mit dem Programm macht. Dieses Protokoll müsste gerichtstauglich und unmanipulierbar sein. Nur so könnte man sicherstellen, dass die Strafverfolger den gesetzlichen Rahmen nie verlassen.

Geleakte Dokumente von Hacking Team legen nahe, dass man mit Galileo Dateien auf dem Computer einer Zielperson platzieren könnte. Florian Mauchle bringt dafür auf Twitter einen treffenden Vergleich:

So was setzt die Kapo Zürich ein? https://t.co/Dh58ES2yx8 #HackingTeam Ist ja wie wenn ein Polizist mit Drogen in der Hand Tasche durchsucht

— Flo(h)rian Mauchle (@FlohEinstein) July 8, 2015

Wie kann ein Staatstrojaner je etwas taugen, wenn er es der Polizei ermöglicht, einem Verdächtigen gefälschte Beweise unterzujubeln? Nur mit einem eigenen Programm könnte man diese und ähnliche Eventualitäten ausschliessen.

No Components found for watson.rectangle.

Unsere Unabhängigkeit sollte uns ein bisschen Geld wert sein

Natürlich ist das nicht gratis. Von Grund auf einen Staatstrojaner zu programmieren, kostet Zeit und Millionen von Franken. Doch wollen wir wirklich, um ein paar Batzen zu sparen, unsere Unabhängigkeit und Integrität verkaufen? Ausserdem hat die Kapo Zürich gerade eine halbe Million in den Sand gesetzt. Wer sagt uns, dass das nicht wieder passiert?

Um die Entwicklung eines eigenen Überwachungsprogrammes möglichst effizient zu gestalten, müssten Bund und Kantone eng zusammenarbeiten. Mit dem neuen Nachrichtendienstgesetz und dem BÜPF erhalten wir eine nationale Gesetzgrundlage für solche Programme – also können wir auch eine nationale Lösung erarbeiten.

Föderalismus in Ehren –  aber wenn wir nicht wollen, dass jeder Kanton einen Trojaner entwickeln muss, ergeben Einzelgänge wie die der Kapo Zürich wenig Sinn.