Geheimes Dokument: Bundeskriminalamt kauft international bekannten Staatstrojaner FinFisher/FinSpy von Gamma

Heute tagt im Bundestag der Haushaltsausschuss. Als Tagesordnungspunkt 13 steht dort die „Jährliche Unterrichtung des Haushaltsausschusses des Deutschen Bundestages über die Arbeit des Kompetenzzentrums Informationstechnische Überwachung (CC ITÜ) im Bundeskriminalamt (BKA)“ auf dem Programm. Dort wird ein Dokument mit der „Ausschussdrucksache 17(8)5867“ behandelt, dass unter der Geheimhaltungsstufe „VS – Nur für den Dienstgebrauch“ steht.

Dieses Dokument veröffentlichen wir an dieser Stelle: Bericht des Bundesministerium des Innern zum Sachstand und zur Arbeit des Kompetenzzentrums Informationstechnische Überwachung beim Bundeskriminalamt. (Text)

Nach dem Debakel um den von deutschen Behörden eingesetzten Trojaner der Firma DigiTask will der deutsche Staat einen eigenen Trojaner entwickeln. Diese Aufgabe soll das eigens eingerichtete „Kompetenzzentrum für informationstechnische Überwachung (CC ITÜ)“ übernehmen. Dafür wurden drei Millionen Euro veranschlagt und 30 neue Stellen ausgeschrieben. Ob die Stellen mittlerweile besetzt sind, geht aus den Dokument mit Stand vom 7. Dezember nicht hervor. Bis Ende 2014 will das BKA „die Eigenentwicklung einer Software zur Quellen-Telekommunikationsüberwachung“ abgeschlossen haben.

Bis dahin sollen für die „Übergangszeit“ kommerzielle Staatstrojaner eingesetzt werden. Dafür hat das Bundeskriminalamt eine „Marktsichtung“ durchgeführt und „drei Produkte als grundsätzlich geeignet bewertet“. Und das ist Ergebnis:

Des BKA hat, für den Fall eines erforderlichen Einsatzes ein kommerzielles Produkt der Firma Elaman/Gamma beschafft.

Staatstrojaner regulieren statt fördern

Gamma ist das Firmengeflecht hinter der in Deutschland entwickelten Trojaner-Suite „FinFisher/FinSpy“, die weltweit von autoritären Regimen gegen politische Aktivisten eingesetzt wird. Die Software ist sehr ausgefeilt, kann alle möglichen Geräte komplett übernehmen und als Man-in-the-Middle über den Provider installiert werden. Qualitativ also das Gegenteil von DigiTask, dafür aber umso gefährlicher. Die britische Regierung hat angefangen, den Export von FinSpy zu regulieren, um Menschenrechte zu schützen. Statt diese Software auch noch in Deutschland einzusetzen und damit zu legitimieren, fordern auch wir Export-Kontrollen für westliche Überwachungstechnologien. Zur Erinnerung: Staatstrojaner sind mit Gesetzen nicht kontrollierbar und damit grundsätzlich abzulehnen.

Neben der grundsätzlichen Kritik ist fragwürdig, ob die für den internationalen Markt entwickelte Software überhaupt die Vorgaben des Bundesverfassungsgericht zum Einsatz von Staatstrojanern erfüllen kann. Eine Gesetzesverletzung des DigiTask-Trojaners war die Fähigkeit, einen einmal installierten Trojaner zu updaten und weitere Funktion nachzuladen. Bisherige Analysen zeigen, dass auch die FinFisher/FinSpy-Suite aus einem Basismodul besteht, das „Funktionsmodule“ (etwa: Skype überwachen) nachladen kann. Ein mit der Software vertrauter Techniker sagte gegenüber netzpolitik.org:

Beschränkungen, welche Module nachgeladen werden (können) habe ich genauso wenig gesehen wie Überprüfungen von Signaturen von nachgeladenen Modulen.

Im Dokument steht leider kein Preis, wie viel das Bundeskriminalamt an Gamma zahlt. Oder ob sie Software schonmal eingesetzt wurde.

Fragliche Überprüfung

Nachdem der Chaos Computer Club gezeigt hat, dass der DigiTask-Trojaner viel mehr kann, als gesetzlich erlaubt ist, sollen die künftig eingesetzten Trojaner, ob Eigenentwicklung oder kommerziell, überprüft werden. Dafür hat das BKA seit November 2011 eine Standardisierende Leistungsbeschreibung (SLB) entwickelt:

In der SLB wird erläutert, wie vornehmlich rechtliche Vorgaben in geeigneter Form technisch umgesetzt werden sollen. Beispielsweise werden in der SLB das Verschlüsselungsverfahren, der Schlüsselaustausch oder technische Maßnahmen zur Gewährleistung, dass ausschließlich laufende Kommunikation erfasst wird, dargelegt. Um zukünftigen Entwicklungen folgen zu können, ist die SLB einerseits so abstrakt gefasst, dass auch zukünftige technische Veränderungen davon abgedeckt werden, andererseits so konkret, dass auf dieser Grundlage eine Prüfung konkreter Produkte möglich ist.

Laut „eigenem Bekunden“ können weder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit noch das Bundesamt für Sicherheit in der Informationstechnik „eine Prüfung des Quellcodes auf Übereinstimmung mit den Vorgaben der SLB“ leisten. Daher wurde die private Firma CSC Deutschland Solutions GmbH mit der Prüfung beauftragt. (Im Satz mit der Firma wurde als einziges nicht von „Quellcodeprüfung“ sondern „Qualitätsprüfung“ gesprochen.) Die Prüfung sollte „im Dezember 2012 abgeschlossen“ und „allen Bedarfsträgern zur Verfügung gestellt sowie dem BfDI und dem BSI mitgeteilt“ werden. Ob das passiert ist und ob wer dieses Prüfergebnis hat, war leider nicht auf Anhieb herauszufinden. Falls der Bericht existiert, freuen wir uns über eine Kopie.

Ein weiteres Problem: Der Quellcode wird nur ab und zu überprüft, dazwischen sind Änderungen möglich.

Wegen des erheblichen Aufwands wird die Quellcodeprüfung als sog. Typmusterprüfung durchgeführt, die lediglich bei wesentlichen Veränderungen der Quellcodes wiederholt werden muss. Die im Einsatzfall notwendigen Änderungen werden durch geeignete Protokollierung und Dokumentation erfasst und können somit im Nachhinein nachgewiesen werden. Das vorgenannte Verfahren soll auch für die Eigenentwicklung durchgeführt werden.

Am Ende des Dokuments gibt es noch einen Absatz „Erforschung grundrechtsschonender Alternativen zur Quellen-TKÜ“. Dieser besteht aus einem Satz: Man beobachtet Entwicklungen.

Update: CCC-Sprecher Frank Rieger dazu:

Das BKA hat sich mit dem Ankauf von Gamma FinFisher für einen Anbieter entschieden, der zum Symbol des Einsatzes von Überwachungstechnik in Unterdrückungsregimen weltweit geworden ist. FinFisher besteht zudem aus verschiedenen Komponenten, die bei Bedarf nachgeladen werden können. So lassen sich im Zweifel auch Spitzel-Funktionen installieren, die weit über die an sich schon fragwürdige ‚Quellen-TKÜ‘ hinausgehen.

Update 2: Konrad Lischka berichtet auf Spiegel Online:

Das Bundeskriminalamt bestreitet gegenüber SPIEGEL ONLINE den Kauf der Software. Ein Sprecher sagt, die Software werde derzeit „getestet“. Sie erfülle „die Anforderungen derzeit nicht“. Daher sei das Programm gegenwärtig auch nicht im Einsatz.

Gamma-Chef Martin J. Münch kommentiert gegenüber netzpolitik.org:

Wir können weder Auskunft zu unseren bestehenden- oder zukünftigen Kunden geben noch wie diese unsere Produkte benutzen um Straftäter zu überführen. Weder wir noch bestehende Kunden wollen durch die Veröffentlichung von solch vertraulichen Informationen aktive oder zukünftige Ermittlungen gegen Kriminelle gefährden.

Hinzu kommt zudem, dass wir derzeit in aktiven Gesprächen mit verschiedenen Menschenrechtsorganisationen sind um einen möglichen „Code of Conduct“ für Firmen wie unsere in dieser Branche zu entwerfen und durchzusetzen und wir wollen diese Gespräche durch Veröffentlichung von Internas nicht in Gefahr bringen.

An edited English version of this article is also available.

Hier das Dokument im Volltext:

Bericht zur Nr. 10 des Beschlusses des Haushaltsausschusses des Deutschen Bundestages zu TOP 20 der 74. Sitzung am 10. November 2011

Das Bundesministerium des Innern berichtet über die Arbeit des Kompetenzzentrums Informationstechnische Überwachung (CC ITÜ) im Jahr 2012 wie folgt:

1. Aufbau des CC ITÜ beim Bundeskriminalamt (BKA)

Mit dem Aufbau des CC ITÜ wurde im November 2011 begonnen. Aufgrund der Beschlüsse des Haushaltsausschusses des Deutschen Bundestages in der 74. Sitzung am 10. November 2011 wurde der Regierungsentwurf zum Haushalt 2012 in Bezug auf des Kompetenzzentrum für informationstechnische Überwachung (CC ITÜ) wie folgt geändert:

• Ausbringung von 30 zusätzlichen Planstellen sowie entsprechende Erhöhung der Personalmittel um 1,059 Mio. € im Kapitel 0610 (Bundeskriminalamt). Die neu ausgebrachten Planstellen wurden qualifiziert gesperrt.
• Die Ansätze der Titel 532 55 und 812 55 im Kapitel 0610 werden in Höhe von insgesamt 2,2 Mio. € für das neue Kompetenzzentrum ITÜ erhöht.

Eine Anpassung der geltenden Finanzplanung war damit nicht unmittelbar verbunden. Der Bundeshaushalt 2013 schreibt diese Veranschlagung 2012 insoweit fort, dass die zur Finanzierung der benötigten Personalausgaben (für die 30 Planstellen) zusätzlich benötigten Mittel in Hohe von 2,115 T € beim Titel 422 01 – Bezüge und Nebenleistungen der planmäßigen Beamtinnen und Beamten – dauerhaft veranschlagt sind.

Der Haushaltsausschuss des Deutschen Bundestages hat auf seiner 94. Sitzung am 27. Juni 2012 in die Aufhebung der Sperre durch des BMF eingewilligt. Grundlage war ein entsprechender Antrag des BMi nebst Konzept des Bundeskriminalamtes zur Einrichtung eines Kompetenzzentrums informationstechnische Überwachung (ITÜ).

Im Anschluss wurde eine neue Gruppe KI 4 in der Abteilung „Kriminalistisches Institut“ des Bundeskriminalamts eingerichtet. Dort nehmen drei Fachreferate die Aufgaben „Software-Entwicklung“ (KI 41), „Einsatzunterstützung“ (KI 42) sowie „Protokollierung und Monitoring“ (KI 43) wahr. Der Datenschutzbeauftragte des BKA wird eng in die Aufgabenerfüllung der Gruppe KI 4 einbezogen und wurde hierfür personell verstärkt. Die unmittelbar im Anschluss begonnenen Personalgewinnungsverfahren dauern an.

Zum 1. Oktober 2012 haben des Bayerische Landeskriminalamt, das Hessische Landeskriminalamt sowie das Zollkriminalamt Mitarbeiter an des CC ITÜ entsandt. Das LKA Baden-Württemberg prüft eine Beteiligung. Die Gespräche zur Beteiligung weiterer Bedarfsträger am CC ITÜ dauern noch an.

Das BKA geht derzeit davon aus, dass die Eigenentwicklung einer Software zur Quellen-Telekommunikationsüberwachung (Quellen-TKÜ) bis Ende 2014 abgeschlossen werden kann.

2. Stand der Maßnahmen im Einzelnen

2.1 Standardisierende Leistungsbeschreibung

In der Standardisierenden Leistungsbeschreibung (SLB) werden die von Bund und Ländern gemeinsam getragenen, generellen und technischen Vorgaben an zukünftige Softwarelösungen für Quellen-TKÜ und deren Hersteller dokumentiert. Mit der Erarbeitung der SLB wurde im November 2011 unter Federführung des BKA begannen.

In der SLB wird erläutert, wie vornehmlich rechtliche Vorgaben in geeigneter Form technisch umgesetzt werden sollen. Beispielsweise werden in der SLB das Verschlüsselungsverfahren, der Schlüsselaustausch oder technische Maßnahmen zur Gewährleistung, dass ausschließlich laufende Kommunikation erfasst wird, dargelegt. Um zukünftigen Entwicklungen folgen zu können, ist die SLB einerseits so abstrakt gefasst, dass auch zukünftige technische Veränderungen davon abgedeckt werden, andererseits so konkret, dass auf dieser Grundlage eine Prüfung konkreter Produkte möglich ist.

Der Arbeitskreis II und der Arbeitskreis IV der Ständigen Konferenz der Innenminister und -senatoren der Länder, kurz Innenministerkonferenz (IMK) haben die SLB zur Kenntnis genommen. Beide empfehlen den Landeskriminalämtern und Landesbehörden für Verfassungsschutz, die Standardisierende Leistungsbeschreibung bei der Beschaffung oder Erstellung von Quellen-TKÜ-Software zugrunde zu legen. Auch von den betroffenen Stellen des Bundes wird die SLB dem weiteren Verfahren zugrunde gelegt.

2.2. Prüfung der SLB durch das BSI und den BfDI

Zur Schaffung zusätzlicher Transparenz ist die SLB durch externe Experten geprüft werden. Die Stellungnahmen des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) – erstellt nach Beteiligung der Landesbeauftragten für den Datenschutz – und des Bundesamt für Sicherheit in der Informationstechnik (BSI) sind in den Vorgaben der SLB berücksichtigt werden.

2.3 Auswahl einer kommerziellen Quellen-TKÜ-Lösung für die Übergangszeit

Der AK II hat des BKA mit einer Marktsichtung von kommerziellen Quellen-TKÜ-Lösungen beauftragt, die für die Durchführung von Maßnahmen für den Zeitraum bis zur Bereitstellung der BKA-Eigenentwicklung ereignet erscheinen. Dabei wurden drei Produkte als grundsätzlich geeignet bewertet. Die Ergebnisse der Prüfung wurden über den AK II den Ländern zur Verfügung gestellt.

Des BKA hat, für den Fall eines erforderlichen Einsatzes ein kommerzielles Produkt der Firma Elaman/Gamma beschafft.

2.3.1 Prüfung des Quellcodes

Die Prüfung des Quellcodes auf Übereinstimmung mit den Vorgaben der SLB und grundsätzlicher Aspekte der IT-Sicherheit kann von BfDI und BSI nach eigenem Bekunden nicht geleistet werden. Deswegen wurde die Qualitätsprüfung für die kommerzielle Übergangslösung an ein vom BSI akkreditiertes Prüflabor (CSC Deutschland Solutions GmbH) vergeben. Die Quellcodeprüfung der beschafften Software anhand der Anforderungen der SLB wird im Dezember 2012 abgeschlossen sein. Das Prüfergebnis für diese Software wird allen Bedarfsträgern zur Verfügung gestellt sowie dem BfDI und dem BSI mitgeteilt werden.

Wegen des erheblichen Aufwands wird die Quellcodeprüfung als sog. Typmusterprüfung durchgeführt, die lediglich bei wesentlichen Veränderungen der Quellcodes wiederholt werden muss. Die im Einsatzfall notwendigen Änderungen werden durch geeignete Protokollierung und Dokumentation erfasst und können somit im Nachhinein nachgewiesen werden. Das vorgenannte Verfahren soll auch für die Eigenentwicklung durchgeführt werden.

Die Beschaffung der Software für Quellen-TKÜ-Maßnahmen obliegt den jeweiligen einsetzenden Behörden. Sie haben ggf. eine zusätzliche Quellcodeprüfung durchzuführen, wenn die eingesetzte Version der Software wesentlich von der Version abweicht, deren Quellcodeprüfung durch des BKA veranlasst wurde.

3. Nächste Schritte

3.1 Durchführung der Softwareentwicklung

Die Konzeption und Programmierung der Eigenentwicklung erfolgt gemäß den Durchführungsstandards des V-Modell XT Bund.

Im Anschluss an die Projektdefinition ein Lastenheft erstellt, auf dessen Grundlage ein Pflichtenheft erarbeitet wurde. Darin sind ein erster Entwurf der Gesamtarchitektur für die Software und das Datenmodell enthalten.

3.2 Erstellung und Abstimmung eines Qualitätssicherungsprozess

Der Qualitätssicherungsprozess (QSP) beschreibt weitere Maßnahmen, die eine rechts- und datenschutzrechtlich konforme Durchführung der informationstechnischen Überwachung (ITÜ) sicherstellen sollen, weil dies durch die Software allein nicht geleistet werden kann. Der QSP ergänzt insofern die SLB. Die Länder haben bereits bekundet, dass sie sich zukünftig bei der Durchführung von Quellen-TKÜ-Maßnahmen eng an dem QSP des BKA orientieren.

4. Erforschung grundrechtsschonender Alternativen zur Quellen-TKÜ

Das CC ITÜ beobachtet im Rahmen seiner Aufgabenstellung national und international stattfindende Forschungsaktivitäten im Bereich der Kommunikationstechnologien und initiiert neue Forschungsvorhaben, u.a. beim Strategie- und Forschungszentrum Telekommunikation (SFZ TK).