Das Arsenal der digitalen Überwachung

Seit 2001 ist der Markt für Überwachungstechnologien explodiert und generiert nun 5 Milliarden Dollar pro Jahr. Klassentreffen der Branche, auf dem die Firmen ihre Produkte an die Behörden verkaufen, ist die internationale Konferenz ISS (Intelligent Support Systems) World, mit Veranstaltungen in Dubai, Prag und Washington, D.C..

Das Programm ist sehr erhellend. So gibt es Tracks zu Telekommunikationsüberwachung, Vorratsdatenspeicherung, Deep Packet Inspection, Semantik, Data Mining, staatliches Hacking und Trainings für Behörden.

Dabei ist man gerne unter sich. So darf man nur teilnehmen, wenn man Telekommunikations-Anbieter, Regierungsvertreter, Strafverfolgungsbehörde, Privatdetektiv oder Hersteller von Überwachungstechnologie ist. Der Aktivist Jacob Appelbaum wurde dieses Jahr rausgeschmissen. So ist leider die öffentliche Berichterstattung über die dort angebotenen Produkte wenig ausgeprägt.

Das Wall Street Journal hat jetzt über 200 Marketing Dokumente von 36 Firmen bekommen und diese veröffentlicht: The Surveillance Catalog – Where governments get their tools. Dazu gibt es einen Überblicks-Artikel und ein Video:

Hier klicken, um den Inhalt von s.wsj.net anzuzeigen

Einen großen Teil von Konferenz und Dokumenten nimmt staatliches Hacken ein, das auch „remote control“, „offensive security“, „offensive intelligence“ oder einfach „hacking“ genannt wird. Vorn dabei in den Dokumenten sind die Firmen FinFisher (unterstützt von Deutschland), Vupen (Frankreich) und Hacking-Team (Italien).

Da es in den Staaten noch keinen Staatstrojaner-Skandal gab, berichtet das WSJ breit über diese zweifelhafte Fähigkeit von Firmen und Behörden. Vupen beschreibt freizügig, wie man ihren Trojaner entweder mit Zugriff auf die Hardware (wie bisher in Deutschland bekannt) oder auch mittels noch unbekannter Sicherheitslücken aus der Ferne auf Zielrechner bekommt:

While social engineering or physical access is often used by law enforcement agencies and investigators to gain access to computer systems and install monitoring and interception tools on target PCs or mobile devices, using 0-day exploits taking advantage of previously unknown software vulnerabilities can help investigators in speeding up the process while covertly and remotely installing payloads on PCs and mobiles.

FinFisher gibt weitere Details. Mit ihrem Tool FinFly-ISP funktioniert das wohl, in dem man sich direkt beim ISP in den Traffic des Überwachungsziels einklinkt:

FinFly ISP is able to infect files that are downloaded by the Target on-the-fly or infect the Target by sending fake Software Updates for popular Software. The new release now integrates Gamma’s powerful remote infection application FinFly Web to infect Targets on-the-fly by just visiting any website.

Und ein Beispiel aus der Praxis:

FinFly ISP was deployed in the main Internet Service Provider networks of the country and was actively used to remotely deploy a Remote Monitoring Solution on Target Systems.

Vupen will Exploits für Software von Microsoft, Adobe, Sun, Apple, Oracle, Novell und anderen haben.

Aber auch die anderen Themenkomplexe sind spannend und beunruhigend zugleich. Beliebt in diesem Jahr war die Überwachung massiver Datenströme, beispielsweise von ganzen ISPs oder gar Staaten. So brüstet sich Net Optics (Kalifornien) damit, dass ein Mobilfunk-Betreiber in China mit ihrem Equipment den gesamten Traffic in Echtzeit überwachen und filtern kann. Auch im arabischen Raum sind diese Fähigkeiten begehrt, obwohl in diesem Jahr die Konferenz in Dubai wegen der politischen Unruhen weniger statt mehr Besucher verzeichnete.

Eine weitere beteiligte Firma aus Deutschland ist ipoque, Teil des Elektronik-Konzerns Rohde & Schwarz. Dort ist man auf „Deep Packet Inspection“ spezialisiert. Von den angebotenen sechs Produkten ist DPX Network Probe speziell für Telekommunikationsüberwachung. Die Beschreibung klingt wie eine Rede von Uhl: „Der anonyme Informationsaustausch ist so einfach wie nie zuvor und damit eine ideale Grundlage für Kriminalität und Terrorismus.“

Weitere Funde aus den Dokumenten nehmen wir gerne in den Kommentaren entgegen.

Natürlich betonen alle Firmen, sich an die jeweiligen Gesetze zu halten. Einfacher und wohl auch ehrlicher ist da der Organisator der Konferenz Jerry Lucas: „We don’t really get into asking, ‚Is this in the public interest?'“

18 Ergänzungen

  1. Ich verstehs nicht. Wir haben doch diesen Hackertools-Paragrafen – wo, wenn denn nicht hier, ist der denn bitte anwendbar?!

    1. im grunde geb ich dir total recht…und ich bekomm bei sowas schon brechreiz….die sache ist aber das kleine bedeutende wort „authorisiert“….

      damit sollen alle anderen fern gehalten werden….der staat ansich, darf und „soll“ sowas aber schon benutzen >_>

      aber ich will sowas nich….vllt sollte es ne petition geben ob die bürger nen trojaner wollen oder nicht……also ich will keinen staatlichen trojaner hier.

      1. edit:: „authorisiert“ bzw. „befugt“ ….und befugt wird man „natürlich“ durch die unterschrift eines richters der ja überhaupt den plan hat was er da unterschreibt…

  2. Der Staat und das Organisierte Verbrechen sind ein und das Selbe. Im Grunde ist der Staat nichts anderes als die größte bewaffnete Mafia innerhalb eines festgelegten Territoriums.

  3. Man kann gar nicht oft genug erwähnen, was uns mittlerweile alles an Überwachungstechnik um die Ohren gehauen wird.

    Und mit welchen lächerlichen Begründungen wurde dieser Überwachungsstaat nach und nach ausgebaut?

    Aber wir haben ja eh alle nichts zu verbergen und lassen ja auch stets jeden durch unsere Haustür und in unser Schlafzimmer latschen. Außerdem ist ja eh alles zu unserem Besten. Na ja lassen wir das.

    Nachstehender Artikel geht noch ein Stück weiter, als dieser Artikel hier (wurde aber wohl auch längst vom tatsächlichen Stand überholt…): http://stop-mc.bplaced.net/artikel/ueberwachungpolizeistaat/kurzer-abriss-ueber-einen-teilaspekt-der-ueberwachung-am-beispiel-denkender-kameras

  4. Der ganze Überwachungsdreck explodierte vor allem wegen der bisher nicht aufgeklärten Anschläge von 9/11. Das ist die Kernbegründung, die viele Leute stillschweigend immer noch akzeptieren. Nach zehn Jahren hartnäckiger Recherchen und vieler Aussagen Beteiligter ist klar dass das US-Establishment samt dem Militärisch-Industriellen-Komplex bis über beide Ohren in die Anschläge verwickelt war – um Kriege zu ermöglichen, Überwachungstechnologie zu verkaufen (auf Steuerzahlerkosten) und die Bevölkerung bequem gängeln zu können.

    Naive und schlecht Informierte schreien zwar immer gleich „Verschwörungstheorie!“, wären aber gut beraten sich mit den zusammengetragenen Fakten auseinanderzusetzen (dass es auch viel Verschwörungsmüll zu dem Thema ist auch klar, man muss sich gut informieren und unterscheiden können; es ist ein komplexes Thema).

    Man kann eine Diskussion über den wuchernden Überwachungsstaat nicht ordentlich führen wenn man von falschen Prämissen ausgeht (= 9/11 kam völlig überraschend und war allein das Werk ominöser Terroristen).

    Denn der Überwachungsstaat ist nicht nur überflüssig sondern ein Rückschritt in der gesellschaftlichen Entwicklung.

  5. Ein Staat oder eine Regierung hat ein gesteigertes Interesse daran zu wissen, was die BürgerInnen tun oder denken. Es geht auch nicht so sehr darum, alle Menschen zu überwachen, sondern viel eher ein Szenario aufzubauen um „potenziell“ alle überwachen zu können. Denn wenn ich im Hinterkopf habe, dass meine Daten gerade mitgelesen werden, werde ich es mir dreimal überlegen, ob ich jetzt die Seite der regierungskritsichen BloggerIn besuche oder nicht. Es geht um Selbstdisziplinierung – der Staat ist doch auch pleite, es geht viel eher darum, den Nutzer zu erziehen. Das Panopikon war früher eine idealtypische Gefängnisbauart, wo die Insassen permanent das Gefühl hatten, jede Sekunde beobachtet werden zu können. So diszipliniert sich das gefangene Subjekt und wird „normalisiert“.

    Kein abweichendes Verhalten darf geduldet werden, schon gar nicht in so schweren Zeiten der Krise. Wir wollen doch alle hier Ruhe und Ordnung, oder? ODER?

  6. Staaten oder Strafverfolgungsbehörden sind ja bei weitem nicht die einzigen Kunden. Die RWTH Aachen setzt z.B. Systeme zur DPI von ipoque ein um (fast) den kompletten Traffic der Uni zu filtern.
    Grund für die Anschaffung waren wohl zu viele Anfragen wegen Copyright Verletzungen – besonders aus den Wohnheimen, wo die Leute das Uninetz ja privat nutzen.

  7. Infizierung der Datenpakete auf ISP-Ebene in einem Staat hört sich sehr schwierig umzugehen an.

    Was bleibt denn dann jemanden übrig, um anonym zu bleiben?

    Ein VPN bringt ja nichts soweit ich mir das vorstellen kann, verschlüsselte Pakete können bestimmt auch infiziert werden.

    Jemand eine Idee?

Dieser Artikel ist älter als ein Jahr, daher sind die Ergänzungen geschlossen.