Das staatliche Hacken von Geräten wie Smartphones ist die wohl invasivste Überwachungsmethode, die es gibt. Die Große Koalition hat den Staatstrojaner eingeführt und den Einsatz immer wieder ausgeweitet. Kurz vor Ende der Legislaturperiode dehnen Union und SPD den Staatstrojaner erneut aus, für die Polizei schon vor Straftaten sowie für alle 19 Geheimdienste.
Am Montag hat der Innenausschuss des Bundestags über das Gesetz zur Anpassung des Verfassungsschutzrechts beraten. Sachverständige haben die „geplante Ausweitung kritisiert“. Die Regierungsparteien sind trotzdem entschlossen, ihr Gesetz bald zu beschließen.
Trojaner sind keine Telekommunikationsüberwachung
Der kleine Staatstrojaner „Quellen-Telekommunikationsüberwachung“, mit dem die Behörden ein IT-Gerät hacken und danach laufende Kommunikation ausleiten, steht seit 2017 in der Strafprozessordnung. Dagegen läuft eine Verfassungsbeschwerde von der Gesellschaft für Freiheitsrechte. Der Jurist Dr. Benjamin Rusteberg von der Georg-August-Universität Göttingen betont, dass diese Regelung „in der Fachwelt ganz einhellig als verfassungswidrig angesehen wird“.
Die Befürworter des Staatstrojaners beschreiben die Quellen-TKÜ als normale Telekommunikationsüberwachung mit leicht anderen Mitteln. Doch sowohl technisch als auch rechtlich existieren riesige Unterschiede zwischen dem Mithören einer Telefonleitung und dem Hacken von Computern.
Prof. Dr. Ralf Poscher, Direktor am Max-Planck-Institut zur Erforschung von Kriminalität, Sicherheit und Recht, erläutert, dass eine Quellen-TKÜ neben dem Fernmeldegeheimnis auch in das IT-Grundrecht eingreift. Der Gesetzentwurf würdigt das nicht, das sei eine „recht eindeutige Verletzung der Rechtsprechung“.
Der frühere Bundesverwaltungsrichter Prof. Dr. Kurt Graulich stimmt ihm zu, die Quellen-TKÜ ist eine „hochinvasive Maßnahme“ und „ein Quantensprung an Rechtseingriff“. Der ehemalige Sonderermittler im NSA-Untersuchungsausschuss wurde von der SPD benannt. Trotzdem lehnt er ihren Gesetzentwurf ab.
Von Quellen-TKÜ zu Online-Durchsuchung
Der große Staatstrojaner „Online-Durchsuchung“ darf alle gespeicherten und anfallenden Daten eines infizierten Systems ausleiten. Der kleine Staatstrojaner „Quellen-TKÜ“ muss sich laut Bundesverfassungsgericht auf „laufende Kommunikation“ beschränken. CDU-Politiker Armin Schuster hat das verstanden. Aber die Große Koalition hält sich nicht daran.
Die Gesetze erlauben Polizei und bald Geheimdiensten Zugriff auf Kommunikationsinhalte, die zwischen Anordnung und Durchführung der Überwachungsmaßnahme gespeichert werden. Viele Juristen kritisieren diese „Quellen-TKÜ-plus“, auch die Sachverständigen im Bundestag.
Prof. Dr. Matthias Bäcker von der Mainzer Johannes-Gutenberg-Universität stellt klar: „Hier geht es um vergangene Kommunikation. Das ist keine Quellen-TKÜ, sondern eine beschränkte Online-Durchsuchung. Die Ermächtigung erfüllt die gesetzlichen Anforderungen nicht.“
Graulich stimmt zu: „Im Grunde ist das eine Online-Durchsuchung kombiniert mit einer Festplatten-Durchsuchung. Wir haben es hier mit abgeschlossenen Sachverhalten zu tun, die Kommunikation läuft nicht mehr, die auf der Festplatte gespeicherten Informationen dürfen ausgeleitet werden. Das ist ein äußerst schwerer Eingriff.“ Für Rusteberg ist die Quellen-TKÜ-plus „offensichtlich verfassungswidrig“.
Innere Sicherheit gegen innere Sicherheit
Wie jede Schadsoftware können auch Staatstrojaner nur heimlich auf IT-Geräten installiert werden, wenn man deren IT-Sicherheit verletzt. Damit der Staat Sicherheitslücken ausnutzen kann, hat er einen Anreiz, diese offen zu halten. Das BKA hat bereits verhindert, dass Sicherheitslücken geschlossen werden. Das ist ein Risiko für die Innere Sicherheit.
Bäcker kritisiert dieses Sicherheitsdilemma: „Die Ausnutzung von Schwachstellen, die dem Hersteller nicht bekannt sind, verursacht Gefahren für die IT-Infrastruktur der Bundesrepublik, die so groß sind, dass es kein relevantes Anliegen geben kann, solche Gefahren hinzunehmen. Darum muss die Ausnutzung solcher Sicherheitslücken zwingend verboten werden. Das muss auch im Gesetz ausdrücklich klargestellt werden.“
Verfassungsschutz-Präsident Thomas Haldenwang zeigt sich überrascht von dieser Argumentation und behauptet: „Die Ausnutzung von irgendwelchen Zero-Day-Exploits spielt überhaupt keine Rolle. Die Technik funktioniert anders. Die Technik kann ich ihnen nicht darstellen, weil dann wüsste unser Gegner genau, was zu tun ist. Aber es geht jedenfalls nicht um die Ausnutzung von Lücken, die bereits bisher in Internetsystemen vorhanden sind.“
Der Grüne Konstantin von Notz befürchtet mit Staatstrojanern einen „Ankauf von Sicherheitslücken mit Staatsknete“, wie es die Hacker-Behörde ZITiS tut. Geheimdiest-Chef Haldenwang widerspricht: „Das entzieht sich meiner Kenntnis. Der Verfassungsschutz tut so etwas nicht. Das ist auch in keinster Weise hier mit diesem Gesetzentwurf in irgendeiner Weise intendiert.“
Poscher fordert ebenfalls, die Ausnutzung von IT-Sicherheitslücken im Gesetz auszuschließen – erst recht, wenn der Verfassungsschutz behauptet, dass das ohnehin nicht passiere.
Anbieter als Hilfssheriffs für Geheimdienste
Das Gesetz verpflichtet Anbieter von Internet-Diensten, die Installation von Trojanern durch Umleiten von Kommunikation zu unterstützen. Eine Reihe von Internet-Firmen, darunter Google und Facebook, protestieren gegen diese Mitwirkungspflicht. Sie würde „Unternehmen zum verlängerten Arm der Nachrichtendienste machen und die Cybersicherheit erheblich gefährden“.
Im Bundestag konnte die Internet-Wirtschaft ihre Kritik nicht vorbringen, sie waren nicht eingeladen. Doch auch die anderen Sachverständigen kritisieren das Vorhaben. Rusteberg sieht ein „ganz erhebliches Missbrauchspotential“, das „Vertrauen in die IT-Sicherheit erschüttern wird“. Graulich rät den betroffenen Internet-Firmen, gegen das Gesetz zu klagen, wie bei der Vorratsdatenspeicherung.
Verfassungsschutz-Präsident Haldenwang warb für die Mitwirkungspflicht der Internet-Firmen. Er gab zu, dass Polizei und Geheimdienste Staatstrojaner auch „mit Zugriff auf das Gerät“ aufbringen können, aber das sei „technisch komplex, zeitaufwändig und nicht schnell genug“.
Der Liberale Benjamin Strasser konfrontierte Haldenwang mit einen Papier des Bundeskriminalamts, das wir veröffentlicht haben. Die Polizei kann WhatsApp mitlesen, ganz ohne Staatstrojaner und Mitwirkungspflicht der Provider. Das BKA tut das auch, zum Beispiel bei einer Kontaktperson des Breitscheidplatz-Attentäters Amri.
Haldenwang gab sich ahnungslos: „Ich weiß nicht, was das BKA da von sich gegeben hat.“ Daraufhin las Strasser ihm das BKA-Dokument vor. Der Verfassungsschutz-Chef antwortete verwundert: „Wir können WhatsApp nicht mitlesen. Wenn das so einfach möglich ist, verstehe ich die ganze aufgeregte Debatte nicht.“
Verfassungsschutz oder verfassungswidrig
Vor zwei Jahren haben wir den ersten Entwurf des Gesetzes veröffentlicht. Damals war die SPD gegen Staatstrojaner für den Verfassungsschutz. Die Parteivorsitzende Saskia Esken war auch erst dagegen, dann forderte sie eine Beschränkung auf das Bundesamt für Verfassungsschutz, um „Hinweise ausländischer Dienste auf staatsgefährdende schwerste Straftaten“ zu verifizieren.
Nichts davon steht im Gesetz. Nicht nur die drei Geheimdienste des Bundes sollen den Trojaner bekommen, sondern auch alle 16 Landesämter für Verfassungsschutz. Graulich „kann nicht nachvollziehen“, hier nicht zu differenzieren. Der Staatstrojaner für alle 19 Geheimdienste „genügt den Anforderungen an die Verhältnismäßigkeit auf alle Fälle nicht“.
Die Verfassungsschutz-Behörden der Länder überwachen schonmal Verfolgte des Nazi-Regimes und Klima-Aktivisten. Doch selbst das „Verteilen von Flugblättern etwa verbotener Vereine erfüllt noch nicht die Anforderungen des Bundesverfassungsgerichts an das IT-Grundrecht“, erklärt Poscher.
Rusteberg geht noch darüber hinaus: „Wenn es dem Verfassungsschutz in den letzten 20 Jahren an einem nicht gefehlt hat, dann Fähigkeiten und Befugnisse zur Informations-Erhebung. Es fehlte daran, diese Informationen auszuwerten, Schlüsse zu ziehen und verantwortungsvoll mit diesen Informationen umzugehen.“ Wenn der Staat Nazis wirklich bekämpft, kann er auch deren Messenger mitlesen.
Rusteberg schlägt den Bogen zu Hans-Georg Maaßen: „Wenn ich mir anschaue, dass eine Behörde, die in den letzten Jahren von einer Person geleitet wurde, die keinerlei Gewähr dafür geboten hat, jederzeit für die freiheitlich-demokratische Grundordnung einzustehen, hier solche weitergehenden Möglichkeiten zum Missbrauch dieser Befugnisse eingeräumt bekommt, dann kann ich mich nur fragen, ob das eigentlich der Schritt ist, den wir im Moment aus rechtlicher Sicht gehen sollten.“
Verfassungsbeschwerde und Verfassungsgericht
Die Kritik der Sachverständigen war ungewohnt deutlich. Die Große Koalition dürfte trotzdem unbeirrt an ihrem Vorhaben festhalten und das Gesetz in den verbleibenden beiden Sitzungswochen der Legislaturperiode verabschieden.
Rusteberg resümiert, dass die Große Koalition mit diesem Gesetz „sehenden Auges in die Verfassungswidrigkeit spaziert“. Graulich hält mindestens „eine zeitliche Limitierung des Gesetzes für unverzichtbar. Aber für mich lautet der Obersatz, dass dieses Gesetz nicht kommen sollte.“
Bäcker sieht die ganze Geheimdienst-Gesetzgebung der Bundesrepublik „in einem beklagenswerten Zustand“. Die Gesetze sind „nicht lesbar, in sich zersplittert und mit gängigen Regeln juristischer Auslegungskunst kaum bewältigbar“. Selbst Juristen verstehen diese Gesetze kaum. Das Artikel 10-Gesetz ist „besonders schlimm“.
Einen Vorteil sieht Bäcker mit dem aktuellen Gesetz. Wenn die Geheimdienste den Staatstrojaner bekommen, bietet das „die Möglichkeit, das Artikel 10-Gesetz mit einer Verfassungsbeschwerde anzugreifen und zu gucken, ob das dem aktuellen Stand der Verfassungsrechtsprechung entspricht, was ich verneinen würde“. Ein solches Urteil wäre „aus der bürgerrechtlichen Perspektive durchaus ein erfreuliches Ergebnis“.
Die Gesellschaft für Freiheitsrechte hat bereits angekündigt: „Tritt die Regelung in Kraft, werden wir dagegen klagen.“
„Die Ausnutzung von irgendwelchen Zero-Day-Exploits spielt überhaupt keine Rolle. Die Technik funktioniert anders. Die Technik kann ich ihnen nicht darstellen, weil dann wüsste unser Gegner genau, was zu tun ist. Aber es geht jedenfalls nicht um die Ausnutzung von Lücken, die bereits bisher in Internetsystemen vorhanden sind.“
Die Aussage könnte ein Täuschungsmanöver sein, aber wenn man sie probeweise ernst nimmt, klingt sie noch erheblich beunruhigender als das, was allgemein vermutet wird oder bekannt ist – dass der Staat mit Zerodays handelt, statt sie zu schließen.
Den Anfang verstehe ich als „brauchen wir gar nicht“ und den letzten Nebensatz kann man kaum anders verstehen als einen ziemlich unverblümten Hinweis, dass die Geheimdienste schon jetzt heimlich Backdoors in die besagten Systeme hineinbauen.
Oder?
Wenn das so ist, kann man nur auf Whistleblower hoffen, denn die Politik wird diesem Treiben wohl so schnell kein Ende bereiten.
Es braucht eine anonyme Meldestelle für Hinweise auf solche Aktivitäten.