Seit 2001 ist der Markt für Überwachungstechnologien explodiert und generiert nun 5 Milliarden Dollar pro Jahr. Klassentreffen der Branche, auf dem die Firmen ihre Produkte an die Behörden verkaufen, ist die internationale Konferenz ISS (Intelligent Support Systems) World, mit Veranstaltungen in Dubai, Prag und Washington, D.C..
Das Programm ist sehr erhellend. So gibt es Tracks zu Telekommunikationsüberwachung, Vorratsdatenspeicherung, Deep Packet Inspection, Semantik, Data Mining, staatliches Hacking und Trainings für Behörden.
Dabei ist man gerne unter sich. So darf man nur teilnehmen, wenn man Telekommunikations-Anbieter, Regierungsvertreter, Strafverfolgungsbehörde, Privatdetektiv oder Hersteller von Überwachungstechnologie ist. Der Aktivist Jacob Appelbaum wurde dieses Jahr rausgeschmissen. So ist leider die öffentliche Berichterstattung über die dort angebotenen Produkte wenig ausgeprägt.
Das Wall Street Journal hat jetzt über 200 Marketing Dokumente von 36 Firmen bekommen und diese veröffentlicht: The Surveillance Catalog – Where governments get their tools. Dazu gibt es einen Überblicks-Artikel und ein Video:
Einen großen Teil von Konferenz und Dokumenten nimmt staatliches Hacken ein, das auch „remote control“, „offensive security“, „offensive intelligence“ oder einfach „hacking“ genannt wird. Vorn dabei in den Dokumenten sind die Firmen FinFisher (unterstützt von Deutschland), Vupen (Frankreich) und Hacking-Team (Italien).
Da es in den Staaten noch keinen Staatstrojaner-Skandal gab, berichtet das WSJ breit über diese zweifelhafte Fähigkeit von Firmen und Behörden. Vupen beschreibt freizügig, wie man ihren Trojaner entweder mit Zugriff auf die Hardware (wie bisher in Deutschland bekannt) oder auch mittels noch unbekannter Sicherheitslücken aus der Ferne auf Zielrechner bekommt:
While social engineering or physical access is often used by law enforcement agencies and investigators to gain access to computer systems and install monitoring and interception tools on target PCs or mobile devices, using 0‑day exploits taking advantage of previously unknown software vulnerabilities can help investigators in speeding up the process while covertly and remotely installing payloads on PCs and mobiles.
FinFisher gibt weitere Details. Mit ihrem Tool FinFly-ISP funktioniert das wohl, in dem man sich direkt beim ISP in den Traffic des Überwachungsziels einklinkt:
FinFly ISP is able to infect files that are downloaded by the Target on-the-fly or infect the Target by sending fake Software Updates for popular Software. The new release now integrates Gamma’s powerful remote infection application FinFly Web to infect Targets on-the-fly by just visiting any website.
Und ein Beispiel aus der Praxis:
FinFly ISP was deployed in the main Internet Service Provider networks of the country and was actively used to remotely deploy a Remote Monitoring Solution on Target Systems.
Vupen will Exploits für Software von Microsoft, Adobe, Sun, Apple, Oracle, Novell und anderen haben.
Aber auch die anderen Themenkomplexe sind spannend und beunruhigend zugleich. Beliebt in diesem Jahr war die Überwachung massiver Datenströme, beispielsweise von ganzen ISPs oder gar Staaten. So brüstet sich Net Optics (Kalifornien) damit, dass ein Mobilfunk-Betreiber in China mit ihrem Equipment den gesamten Traffic in Echtzeit überwachen und filtern kann. Auch im arabischen Raum sind diese Fähigkeiten begehrt, obwohl in diesem Jahr die Konferenz in Dubai wegen der politischen Unruhen weniger statt mehr Besucher verzeichnete.
Eine weitere beteiligte Firma aus Deutschland ist ipoque, Teil des Elektronik-Konzerns Rohde & Schwarz. Dort ist man auf „Deep Packet Inspection“ spezialisiert. Von den angebotenen sechs Produkten ist DPX Network Probe speziell für Telekommunikationsüberwachung. Die Beschreibung klingt wie eine Rede von Uhl: „Der anonyme Informationsaustausch ist so einfach wie nie zuvor und damit eine ideale Grundlage für Kriminalität und Terrorismus.“
Weitere Funde aus den Dokumenten nehmen wir gerne in den Kommentaren entgegen.
Natürlich betonen alle Firmen, sich an die jeweiligen Gesetze zu halten. Einfacher und wohl auch ehrlicher ist da der Organisator der Konferenz Jerry Lucas: „We don’t really get into asking, ‚Is this in the public interest?’ “