Umstrittenes Überwachungsprogramm "Staatstrojaner" bei Spionageabwehr immer wichtiger
Behörden setzen vermehrt "Staatstrojaner" ein, um Chats zu überwachen. Zur Spionageabwehr wird das umstrittene Werkzeug immer wichtiger - so auch bei der jüngsten Festnahme mutmaßlicher russischer Agenten.
In einem schmucklosen, abhörsicheren Raum unter dem Bundestag in Berlin trifft sich einmal im Monat eine kleine Gruppe Männer und Frauen. Die G10-Kommission ist ein in der Öffentlichkeit kaum bekanntes Gremium - mit durchaus weitreichenden Befugnissen. Ihre Mitglieder entscheiden darüber, ob die deutschen Nachrichtendienste hierzulande eine Person abhören dürfen oder nicht.
Der Verfassungsschutz muss also vorab eine Genehmigung der G10-Kontrolleure einholen, bevor das Telefon oder E-Mail-Konto eines Terroristen, Extremisten oder Agenten überwacht werden darf. Seit einiger Zeit gibt es in den Anträgen dazu nicht nur eine Spalte für Telefonnummern und E-Mail-Adressen, sondern auch für Messengerdienste wie WhatsApp oder Telegram.
Um solche Kommunikation überwachen zu können, wird heimlich eine Software auf dem Handy oder Computer einer Zielperson installiert, meist "Staatstrojaner" oder "Bundestrojaner" genannt. Dieses durchaus umstrittene Werkzeug wird nach Informationen von WDR und NDR für den Verfassungsschutz immer wichtiger. In mehreren Fällen aus jüngerer Vergangenheit, bei denen es um Spionage- und Terrorismusverdacht ging, hat der Inlandsnachrichtendienst demnach erfolgreich solche Überwachungsprogramme eingesetzt.
Chat-Überwachung seit 2021 erlaubt
So soll auf diese Weise etwa die Kommunikation der beiden mutmaßlichen russischen Agenten, die Mitte April in Bayreuth festgenommen wurden, durch das Bundesamt für Verfassungsschutz (BfV) überwacht worden sein. Dadurch hätten die Verfassungsschützer aufklären können, dass der Deutsch-Russe Dieter S. mit einer Person in Russland in Kontakt gestanden haben soll, die wohl eine Verbindung zu einem russischen Geheimdienst hat. Von dieser Person soll er Aufträge erhalten haben. Dieter S. soll sich zudem bereiterklärt haben, Sabotageanschläge gegen militärische Transporte und Infrastruktur in Deutschland zu verüben. Die russische Botschaft wies alle Vorwürfe zurück.
Im Juni 2021 wurde durch den Bundestag das Verfassungsschutzrecht geändert. Seitdem dürfen die Nachrichtendienste heimlich Spähsoftware einsetzen, um etwa Chats zu überwachen. Diese Quellen-Telekommunikationsüberwachung (Quellen-TKÜ) ist notwendig, um verschlüsselte Kommunikation mitlesen zu können, mit der es die Sicherheitsbehörden mittlerweile regelmäßig zu tun haben. Dem Verfassungsschutz ist auch die sogenannte erweiterte Quellen-TKÜ erlaubt. Das bedeutet, die Behörde darf nicht nur auf laufende Kommunikation zugreifen, sondern auch zurückliegende Chatnachrichten auswerten.
Vermehrter Einsatz von "Staatstrojanern"
Der Polizei ist diese Art der Überwachung bereits seit einer Änderung der Strafprozessordnung im Sommer 2017 erlaubt. Sie darf "Staatstrojaner" zur Strafverfolgung bestimmter Straftaten einsetzen. Im Gegensatz zum Verfassungsschutz darf die Polizei allerdings nicht nur die Quellen-TKÜ durchführen, sondern auch die Online-Durchsuchung. Damit gemeint ist die heimliche Analyse und Auswertung von gespeicherten Dateien auf Computern und Mobiltelefonen, wie etwa Fotos, Videos oder Textdokumente.
Laut offizieller Justizstatistik setzten die deutschen Polizeibehörden bundesweit den "Staatstrojaner" für die Quellen-TKÜ im Jahr 2022 genau 49 mal ein. Im Jahr zuvor waren es lediglich 32 mal. Die Online-Durchsuchung fand im Jahr 2022 nur sechs mal statt, und im Jahr 2021 wurde sie neun mal durchgeführt. Zahlen für das vergangene und das laufende Jahr liegen bislang nicht vor.
Softwarelücken melden oder nutzen?
Der "Staatstrojaner" gilt als eines der umstrittensten Werkzeuge der deutschen Sicherheitsbehörden. Die Spähprogramme nutzen Schwachstellen in Software aus, die auch von Kriminellen genutzt werden können. Daher ergibt sich ein Spannungsfeld in der Frage: Sollte unsichere Software für Überwachungsmaßnahmen ausgenutzt werden, oder sollten diese Schwachstellen den Herstellern gemeldet und damit geschlossen werden?
Die Bundesregierung der Ampel-Koalition hat angekündigt, ein sogenanntes Schwachstellenmanagement einzuführen, um diesen Konflikt zu begegnen. Damit soll klar geregelt werden, welche Schwachstellen gemeldet werden sollen und welche nicht. Bislang existiert ein solches Management nicht. Die Federführung bei diesem Vorhaben hat das Bundesinnenministerium.
Fraglich ist zudem, ob ein solches "Schwachstellenmanagement" wirklich praxistauglich ist: Neben den selbst entwickelten "Staatstrojanern" setzen die Sicherheitsbehörden vor allem kommerziell erworbene Programme ein. Die Hersteller solcher Spähsoftware aber legen die genaue Funktionsweise üblicherweise nicht offen. Es bleibt damit unklar, welche Schwachstellen diese Trojaner überhaupt ausnutzen.
Schwachstellen werden zum Kauf angeboten
Das Wissen um die Softwarelücken, mit denen Spionageprogramme unbemerkt installiert und eingesetzt werden können, ist sehr begehrt. Und zwar nicht nur bei den Softwareherstellern wie Microsoft oder Apple, die damit ihre Produkte sicherer machen wollen. Auch Cyberkriminelle und ausländische Geheimdienste kaufen dieses Wissen für hohe Summen ein. Aktuell etwa wird eine Microsoft-Schwachstelle für 250.000 US-Dollar in einem Internetforum zum Kauf angeboten.
Auch autoritäre Staaten nutzen Trojaner
Kritiker des "Staatstrojaners" führen daher an, dass der Einkauf solcher Werkzeuge durch staatliche Stellen eben auch dazu führt, dass so der oft graue oder schwarze Markt der Software-Schwachstellen befeuert wird.
Zudem, so die Kritik etwa von Amnesty International, wird die sogenannte "Spyware" von bestimmten Herstellern längst nicht nur für die Strafverfolgung eingesetzt. Auch autoritäre Regime und Diktaturen haben in den vergangenen Jahren kommerzielle Spähprogramme wie "Pegasus" der israelischen Firma NSO Group erworben, um damit Oppositionelle, Journalisten oder Menschenrechtsaktivisten zu überwachen.
Politischer Eklat um Trojaner-Einsatz in Polen
In Polen sorgt der massenhafte Einsatz des "Staatstrojaners" gerade für einen politischen Skandal. Nach Untersuchungen der neuen polnischen Regierung soll die Vorgängerregierung der PiS-Partei die Überwachungssoftware "Pegasus" seit 2019 in hunderten Fällen gegen Oppositionspolitiker, Medienvertreter und Staatsanwälte eingesetzt haben.
Der Trojaner soll in Polen so exzessiv eingesetzt worden sein, dass die israelische Herstellerfirma dem Land die Lizenz wieder entzogen hat. In Spanien wiederum wurde in dieser Woche entschieden, den "Pegasus"-Einsatz der dortigen Behörden im Rahmen eines parlamentarischen Untersuchungsausschusses untersuchen zu lassen.