Vor drei Wochen haben wir berichtet, dass das Bundesamt für Sicherheit in der Informationstechnik (BSI) das Bundeskriminalamt (BKA) bei der Programmierung des Staatstrojaners unterstützt und Quellcode beigesteuert hat. Dass die für IT-Sicherheit zuständige Behörde damit aktiv an der IT-Unsicherheit mitwirkte, führte intern durchaus zu Diskussionen – aber leider zu falschen Konsequenzen.
Am 9. Juni 2008 berichtete der heutige BSI-Präsident Michael Hange ans Innenministerium: „Das Vertrauen in BSI-Produkte […] ist bereits in Mitleidenschaft gezogen.“ Und:
Bereits jetzt hat die Diskussion um die Online-Durchsuchung in einem Fall zum Zurückhalten von Informationen geführt: Das BSI hat bis heute den sogenannten Trojaner-Leitfaden (Titel: „Bedrohung der Informationssicherheit durch den gezielten Einsatz von Schadprogrammen“) nicht der Allgemeinheit zugänglich gemacht. Der maßgebliche Grund für das Zurückhalten des Leitfadens waren Befürchtungen, die Presse könne den Leitfaden als Affront gegen das BKA interpretieren. Angesichts der gestiegenen Bedrohungslage für die deutsche Wirtschaft durch IT-gestützte Wirtschaftsspionage und zur Unterstützung der BSI-Bemühungen, verloren gegangenes Vertrauen zurückzugewinnen, rege ich daher die baldige Veröffentlichung des Leitfadens auf der BSI-Webseite an.
Dieser „Trojaner-Leitfaden“ aus dem Jahr 2007 wurde bis heute nicht vom BSI veröffentlicht. Wir haben ihn per Informationsfreiheitsgesetz angefragt – und erhalten. Zunächst erhielten wir eine ausgedruckte Version per Post, die wir eingescannt haben. Auf freundliche Nachfrage nach einer digitalen Version erhielten wir den Leitfaden auch als PDF. Diese veröffentlichen wir an dieser Stelle:
BSI-Leitfaden: Bedrohung der Informationssicherheit durch den gezielten Einsatz von Schadprogrammen
- Deckblatt (2 Seiten)
- Teil 1: Gefährdungen und Maßnahmen im Überblick (29 Seiten)
- Teil 2: IT-Sicherheitsmaßnahmen gegen spezialisierte Schadprogramme (49 Seiten)
- Teil 3: Kurztest zur Einschätzung der eigenen Bedrohungslage (8 Seiten)
Und darum geht’s:
Die Bedrohung von schützenswerten Informationen hat durch die Weiterentwicklung von Schadsoftware eine neue Dimension erreicht. Dieser Leitfaden beschäftigt sich in erster Linie mit Schadprogrammen, die individuell für ein bestimmtes Opfer geschrieben werden und maßgeschneiderte Funktionen bieten. Sie sind besonders gefährlich, da sie von klassischen Viren-Schutzprogrammen und Firewalls nicht mehr zuverlässig erkannt werden können.
Da Spionageprogramme zunehmend aus kriminellen oder nachrichtendienstlichen Motiven gegen Behörden und Unternehmen eingesetzt werden, ist eine Anpassung und Erweiterung bestehender Sicherheitskonzepte notwendig.
Die Aufzählung von „kriminellen oder nachrichtendienstlichen Motiven“ finden wir gelungen, schließlich war diese Unterscheidung bei Schadsoftware noch nie sonderlich erkennbar – und hat sich seit den Snowden-Enthüllungen endgültig aufgelöst.
Schön ist auch, wie das BSI jeden Neusprechversuch wie „Online-Durchsuchung“ und „Quellen-TKÜ“ kontert und Software, „die auf einem Rechner ohne Wissen und ohne Einwilligung des Besitzers“ aktiv ist, konsequent als „Schadsoftware“ bezeichnet:
Die Medien berichten regelmäßig über derartige Angriffe und sprechen von „Trojanischen Pferden“. Gemeint sind damit Programme, die auf einem Rechner ohne Wissen und ohne Einwilligung des Besitzers aktiv sind und heimlich eine Schadfunktion ausführen. In diesem Leitfaden werden allgemeinere Begriffe wie „Schadprogramm“ oder „Schadsoftware“ bevorzugt. Die Einteilung von Schadprogrammen in verschiedene Klassen (Viren, Würmer, Spyware, Trojanische Pferde …) hat unbestritten ihre akademische Berechtigung – für den Praktiker ist sie aber verwirrend und nicht notwendig.
Auf insgesamt über 80 Seiten beschreibt das BSI wichtige IT-Sicherheitsmaßnahmen:
Das ist nicht weltbewegend, aber eine solide Zusammenfassung guter IT-Praktiken, auf dem Stand von 2007. Also genau das, wofür das BSI eigentlich da ist. Bleibt nur die Frage, warum dieser Leitfaden erst von Steuergeldern erstellt, dann aber acht Jahre lang geheim gehalten wurde.
Jan Girlich, Sprecher des Chaos Computer Clubs, kommentiert gegenüber netzpolitik.org:
Dass das BSI nicht nur am Staatstrojanisieren aktiv mitwirkte, wie wir seit kurzem wissen, sondern auch eine technische Analyse jahrelang zurückhält, zersetzt das Vertrauen in die Behörde weiter. Das BSI soll kein Handlanger von Ministerien sein, die Schadsoftware konstruieren und einsetzen wollen, sondern sollte im Sinne einer guten IT-Sichereit seine technischen Analysen allen zur Verfügung stellen.