Warnungen vor IT-Sicherheitslücken
Einsatz von Schadsoftware (sog. Bundestrojaner) und Zurückhaltung und Ausnutzung von Sicherheitslücken durch Bundesbehörden
Bundesamt für Sicherheit in der Informationstechnik (BSI) regelmäßig Erkenntnisse zu Sicherheitslücken
Öffentliche Warnungen vor Sicherheitslücken in informationstechnischen Systemen sind ein Thema der Antwort der Bundesregierung (18/13566) auf eine Kleine Anfrage der Fraktion Bündnis 90/Die Grünen (18/13413). Darin erkundigten sich die Abgeordneten unter anderem danach, ob die Bundesregierung die Auffassung teilt, "dass die Zurückhaltung beziehungsweise fehlende staatliche Meldung jeglicher Formen von Sicherheitslücken an Hersteller wie Bürgerinnen und Bürger im konkreten Fall nicht nur Gefahren für Einzelpersonen, sondern für die kritischen Infrastrukturen der Bundesrepublik Deutschland insgesamt nach sich ziehen können".
Wie die Bundesregierung dazu ausführt, können Schwachstellen beziehungsweise Sicherheitslücken in informationstechnischen Systemen Risiken für IT-Infrastrukturen und Bürger darstellen, sofern sie "Personen oder Stellen bekannt werden, die eine Ausnutzung der Schwachstellen zu rechtswidrigen Zwecken beabsichtigen".
Daher diskutiere das Bundesamt für Sicherheit in der Informationstechnik (BSI) regelmäßig Erkenntnisse zu Sicherheitslücken, die etwa öffentlich bekannt sind oder auf eigenen Analysen beruhen, mit den betroffenen Herstellern, damit diese die Sicherheitslücken kurzfristig schließen können. Falls sich aus Sicherheitslücken eine Gefährdung für Bürger, Unternehmen oder Verwaltungseinrichtungen ergibt, spricht das BSI darüber hinaus den Angaben zufolge zielgruppenspezifische oder öffentliche Warnungen aus.
Vorbemerkung der Fragesteller
Seit der Änderung des Bundeskriminalamtgesetzes (BKAG) im April 2017 hat das BKA in § 49 BKAG die Ermächtigung zum präventiv-polizeilichen Einsatz von sog. Staatstrojanern erhalten. Dabei wurde in § 49 BKAG u. a. verfahrensrechtlich nicht sichergestellt, "dass die vom BKA einzusetzende Überwachungs-Software Mindestanforderungen an die Datensicherheit erfüllen" (Buermeyer, Stellungnahme für die Öffentliche Anhörung zum Gesetzentwurf zur Neustrukturierung des BKAG, Ausschussdrucksache 18(4)806 E).
Die Rechtsgrundlage für den Einsatz der Staatstrojaner führt zu einem Interesse der Sicherheitsbehörden, Sicherheitslücken offen zu halten, um Systeme von Zielpersonen infiltrieren zu können und nicht im Sinne der Cybersicherheit und des Schutzes aller Bürgerinnen und Bürger an die zuständigen Behörden und die Betroffenen zu melden, damit diese geschlossen werden. Das Gesetz tritt am 25. Mai 2018 in Kraft. Bezüglich der Frage, ob die vom BKA entwickelten Trojaner sowie die zusätzlich erworbenen, kommerziellen Trojanerprodukte verfassungskonform eingesetzt werden können, bestehen aus Sicht der Fragesteller weiterhin erhebliche Zweifel. Die Rechtmäßigkeit des Einsatzes und die Verfassungskonformität des Programms wären u. a. nur über die vollständige Offenlegung des Quellcodes nachzuweisen.
Dass die Schadsoftware wie im Falle der sog. Quellen-Telekommunikationsüberwachung (Quellen-TKÜ) ausschließlich auf Kommunikationsvorgänge beschränkt werden kann, halten Experten jedoch für kaum möglich (vgl. https://netzpolitik.org/2017/staatstrojaner-bundestagbeschliesst-diese-woche-das-krasseste-ueberwachungsgesetz-der-legislaturperiode/). Durch die Schaffung neuer Rechtsgrundlagen in der Strafprozessordnung (StPO) zum Einsatz von Trojanern in der Strafverfolgung verschärft sich die Problematik der vom BKA entwickelten Software. Es besteht die Möglichkeit, dass die Software massenhaft in der Strafverfolgung eingesetzt werden wird und sich die Risiken sowohl für die Rechte der Bürgerinnen und Bürger als auch für die IT-Sicherheit dadurch potenzieren.
Zudem wurden jüngst Berichte darüber öffentlich, dass das BKA jedoch nicht einmal die passende Überwachungssoftware besitze, um die als geringfügigerer Eingriff geltende, sog. Quellen-TKÜ durchführen zu können. So funktioniere der neue Bundestrojaner nach Informationen der "taz" nur auf Computern mit den Betriebssystemen Windows 7 und Windows 8. An einer Version für Windows 10 werde gearbeitet. Noch gar keine Lösung gibt es angeblich für die gängigen Betriebssysteme von Smartphones – wo eigentlich der Hauptbedarf bestehe (taz vom 20. Januar 2017, www.taz.de/!5373564/).
Deutsche Bundesregierung: ra)
eingetragen: 06.09.17
Home & Newsletterlauf: 17.10.17