Quellen-TKÜ : Schlampige Software voller Anfängerfehler

Was taugt der Trojaner eigentlich, den vor allem Landesbehörden zur Quellen-TKÜ eingesetzt haben? Softwareentwickler finden, er war mangelhaft und viel zu teuer.
Der vom CCC entdeckte Staatstrojaner ist nach Ansicht von Experten schlampig programmiert. © Wolfram Steinberg / dpa

Vor drei, vier Jahren, als der damals noch sogenannte Bundestrojaner in der Öffentlichkeit debattiert wurde, war die Angst vor ihm groß. Niemand wusste, was er wirklich kann, wie gut er ist, ob man sich davor schützen kann. Nun ist ein solcher Trojaner bekannt. Und es sieht so aus, als sei die Angst vor ihm eher unbegründet gewesen. Bei Experten zumindest führt die Software eher zu Gelächter.

Der Chaos Computer Club schrieb in seiner Analyse des von mehreren Bundesländern eingesetzten Trojaners von "Anfängerfehlern" und urteilte: "Wir sind hocherfreut, dass sich für die moralisch fragwürdige Tätigkeit der Programmierung der Computerwanze kein fähiger Experte gewinnen ließ und die Aufgabe am Ende bei studentischen Hilfskräften mit noch nicht entwickeltem festen Moralfundament hängenblieb."

Die Hacker sind nicht allein mit ihrer Einschätzung. Das würde ein ambitionierter Informatikstudent im zweiten Semester besser hinbekommen, ist die einhellige Meinung jener, die sich mit Trojanern und Verschlüsselung befassen.

Nicht, dass die Software nicht funktioniert hätte. Das tat sie offensichtlich. Die Qualität der Programmierung aber ist offensichtlich nicht sehr hoch.

Da ist beispielsweise die von der Spähsoftware benutzte Verschlüsselung, beziehungsweise der Versuch, eine Verschlüsselung zu nutzen. Das verwendete Verfahren namens AES ist zwar an sich sicher , wurde hier aber so eingesetzt, dass die Entwickler es auch gleich hätten lassen können.

AES benutzt einen festen Schlüssel, der beiden Seiten bekannt ist. Das an sich gilt heutzutage schon als Problem. Wird nämlich eine Seite geknackt, ist die andere schutzlos. Daher nutzen aktuelle Verfahren Schlüssel, die einen privaten und einen öffentlichen Teil haben. Sie tauschen nur den öffentlichen Teil. Den privaten Teil kennt die Gegenseite nicht. Ein Einbruch bei einer Seite öffnet damit nicht automatisch beide Türen.

Noch dazu wurde dieser eine vorhandene AES-Schlüssel fest in das Programm installiert, also nicht bei jeder Sitzung neu erzeugt – was das Belauschen des Datenaustauschs enorm erschweren würde. Der fest installierte und immer gleiche Schlüssel aber führt dazu, dass ein Angreifer mit dem Programm reden und schauen kann, wie es antwortet. Dabei sieht er, dass bei gleicher "Frage" immer die gleiche "Antwort" erfolgt – da die Verschlüsselung immer gleich ist. Das genügt, um durch Ausprobieren dahinter zu kommen, welche Kommandos der Trojaner akzeptiert, er kann von außen gekapert werden. Feste Schlüssel halten nur Anfänger auf, so die Einschätzung von Kryptografie-Experten.

Eine Aussage aus dem Bundeskriminalamt deutet darauf hin, dass auch der anders gebaute und neuere Trojaner des BKA auf solche festen Schlüssel setzt. Zumindest sagte ein hochrangiger BKA-Mitarbeiter, die Authentifizierung zwischen Trojaner und Steuerserver funktioniere über einen Schlüssel. Sicher sei das, weil dieser Schlüssel "nicht bekannt ist". Allerdings gilt in der Kryptografie das Konzept security by obscurity – also Sicherheit durch Verschleierung – als unsicher. Besser sind offene Verfahren, wie eben öffentliche Teilschlüssel.

Verlagsangebot

Hören Sie DIE ZEIT

Genießen Sie wöchentlich aktuelle ZEIT-Artikel mit ZEIT AUDIO

Hier reinhören

Kommentare

84 Kommentare Seite 1 von 13 Kommentieren

Schlampig?

Die Software hat es immerhin geschaftt an den Virusprogrammen vorbeizukommen..
1.Der Installer wurde diesbezüglich lt,F-secure bei virustotal eingespielt,um zu testen,ob er erkannt wird.
http://www.f-secure.com/w...

2.wurde damit Telekommunikationsüberwachung betrieben(legal)
3.wurden in mehreren Fällen massivst Screenshots erstellt(illegal)

Was er noch kann ist hinlänglich bekannt

Schlampig daran war nur,daß man ihn nicht spurlos beseitigen konnte,bevor der CCC darauf aufmerksam wurde.
Viel zu teuer sind diese Dinge allemal,aber bei Steuergeld spielt das nun mal keine Rolle.

----------------

Hallo Dietrich59,

der Trojaner HAT doch funktioniert (steht auch so im Artikel). Lediglich das laienhafte bis ungelernte handwerkliche Geschick sowie der völlig überzogene Preis werden an neuen Informationen beigesteuert.

Und aus meiner Sicht verharmlost das nicht, sondern fügt neben diversen Gesetzesübertretungen beim Einbruch in fremder Leute Privatssphäre noch den Strafbestand der Veruntreuung hinzu. Denn wie fast immer bei Aktivitäten des Staates wird irgendein Einkäufer irgendeinen Verkäufer gekannt haben und die haben dann gemeinsam den Geldregen genossen.

in der Tat schlampig

Die Sicherheitsvorkehrungen, die verhindern sollten, dass böswillige Hacker den Staatstrojaner auch für sich selbst als Einfallstor nutzen, sind quasi nutzlos. Das ist schlampig. Nicht von Antivirensoftware erkannt? Kein Wunder bei einem Programm, das es bis vor kurzen in so wenigen Ausfertigungen gab, dass seine Signatur den Softwareherstellern unbekannt blieb. Jeder 12-jährige mit Programmierkenntnissen kann einen Virus programmieren, der von einer Antivirensoftware nicht erkannt wird, solange er nicht anfängt, ihn im großen Stil zu verbreiten.
Das Programm ist ein echtes Sicherheitsrisiko auf den Rechnern auf denen es installiert wurde und ist so schlampig gemacht, dass es noch nicht mal mehr seinen Zweck erfüllen kann. War seine Aufgabe - so moralisch fragwürdig das auch sein mag - vor Gericht verwendbares Beweismaterial zu sammeln, so ist das miese Design dieses Stückchen Softwares Schuld daran, dass kein Rechtsstaat so manipulierbare und fremdsteuerbare "Beweise" jemals für einen Prozess zulassen darf.

Desinformation

Ein rießige, künstlich aufgeblähte Nachrichtenblase, um etwas vom aktuellen Tagesgeschehen in der europäischen Sache abzulenken. Und wie es der Zufall so will, hatte sofort die Piratenpartei, auch auf ARD und ZDF, was zu melden/anzusagen.Aber dies soll eher nebensächlich sein.

Schwerwiegender dürfte folgendes wiegen....

Es würde schon von geistiger Armut zeugen, wenn mich der Voyeur hinterm Haus im Busch mehr ärgert, als die Truppe die mir durch den Vordereingang die Hütte ausräumt, und mir Gliedmaß für Gliedmaß schön langsam ein Kette nach der anderen anlegt, auf das ichzu meinem Wohle entmündigter Dienstsklave werde.

Aber so sind wir, was ist los in diesem Land?

Auch dumme Kriminelle bleiben trotzdem Kriminelle

Dass die Behörden zu blöd für qualitativ hochwertige Trojaner sind, entschuldigt nicht die Tatsache, dass Sie gegen die Verfassung der Bundesrepublik Deutschland verstoßen und sie gebrochen haben.

Allein der Fakt, dass man sogar mit diesem überteuerten Schrottprogramm der Fa. DigiTask (?) Dateien einschleusen kann, um so "Beweise" zu konstruieren, müsste juristisch gesehen, jede zurecht oder unrecht genehmigte richterliche Anordnung sofort erlöschen und Verdächtige straffrei aus gehen lassen.

Indem sich der Staat solcher Maßnahmen aus diktatorischen Schurkenstaaten bedient, zeigt, dass er in seinen Behörden Kriminelle beschäftigt.