Aus dem Maschinenraum Staatstrojaner sind schattige Gewächse

Für den aufmerksamen Beobachter, der die Diskussion um die Online-Durchsuchung, Quellen-Telekommunikationsüberwachung und vergleichbares Digital-Ungeziefer von Anfang an verfolgt hat, sind die jetzigen Diskussionen um den Staatstrojaner nur die Erfüllung alter Prophezeiungen. Schon in den Verfassungsbeschwerden, Stellungnahmen und in der mündlichen Verhandlung zum Trojaner-Urteil in Karlsruhe waren die nun bewiesenen digitalen Grenzgänge ausführlich problematisiert worden.

Nun stellte sich also heraus, dass die Befürchtungen nicht grundlos waren, teilweise sogar haargenau eingetroffen sind. Deutsche Ermittler und ihre politischen Kontrolleure verstricken sich in Widersprüche, wissen oder sagen nicht, was wer genau getan hat, und lassen selbst den letzten Hauch von Vertrauenswürdigkeit und Souveränität beim Umgang mit der Trojaner-Enthüllung vermissen.

Weitere Artikel

• Ein amtlicher Trojaner: Anatomie eines digitalen Ungeziefers 
• Debatte über Staatstrojaner: „Deutschland ist kein Schnüffelstaat“ 

Ein bizarrer politischer Zirkus: Die Landes- und Bundesbehörden müssen nach und nach einräumen, Trojaner-Kunden bei der hessischen Abhörfirma DigiTask gewesen zu sein. Die gleichzeitige Beteuerung, ihre jeweilige Trojaner-Version sei gänzlich anders gestrickt als die vom Chaos Computer Club analysierte Variante, wirkt eher halbseiden, denn Belege dafür werden nicht angeboten.

Es stellt sich die ernste Frage, ob deutsche Behörden fachlich in der Lage sind, zu überblicken, was sie in den sumpfigen Gefilden der Rechnerinfiltration tun. Die Aussagen zur Überprüfung des tatsächlichen Funktionsumfanges beim staatlichen Spionieren variieren stark, widersprechen sich zuweilen, sind allesamt aber vor allem unzufriedenstellend. Die einzig ernstzunehmende Ansage der Verantwortlichen hätte gelautet: „Wir hatten den vollständigen Quellcode vorliegen, prüften ihn gründlich durch qualifizierte Beamte und verifizierten vor, während und nach dem Einsatz, dass wirklich dieser Quellcode verwendet wurde. Und hier sind unsere von unabhängigen Experten bestätigten Prüfberichte.“ Doch keine einzige der Behörden oder der verantwortlichen Minister hat sich so geäußert. Stattdessen: Ausflüchte.

Klare Kommentare im Quellcode gefordert

Um den Unterschied zwischen einer Prüfung durch Inaugenscheinnahme des Quellcodes einer Software einerseits und einem „Schreibtischtest“ auf dem Papier andererseits zu verstehen, hilft es, sich ein wenig auf das Wesen von Software einzulassen. Sie besteht aus vielen einzelnen Befehlen, die komplexe Logikstrukturen realisieren. Sie greift auf Funktionen des Betriebssystems zurück, verarbeitet Ein- und Ausgaben, hält Daten im Speicher. Dabei kann man auf unterschiedlichen Wegen zum Ziel gelangen, die individuell von der Gedankenwelt und dem Abstraktionsvermögen des Programmierers abhängen.

Von anderen Menschen geschriebene Programme später zu verstehen ist nicht immer einfach. Nicht umsonst ist eine der seit Jahrzehnten schon im Informatikstudium, aber auch in der Industrie stets betonte Forderung die nach verständlichen, klaren Kommentaren im Quellcode des Programms zuzüglich einer soliden Dokumentation.

Wettbewerbe unter Informatikern

Problematischer noch sind verdeckte Funktionen in einem Programm, die auch erfahrenen Quellcode-Auditoren nicht zwingend auffallen müssen. Aus vordergründig harmlos aussehenden Befehlen, die an verschiedenen Stellen eines Programms verstreut sind, kann beispielsweise eine Hintertür konstruiert werden, die etwa einem Wissenden den Zugriff ermöglicht, ohne dass dies beim Lesen des Quellcodes leicht ersichtlich wäre. Es gibt unter Informatikern sogar eigene Wettbewerbe, in denen es nur um das möglichst elegante Verbergen von Funktionen vor einem Dritten geht. Diejenigen, die versteckte Funktionen einbauen, sitzen dabei stets am längeren Hebel.

Eine der grundlegenden Erfahrungen der Informatik ist, dass mit dem derzeitigen Stand der Technik zwar mit etwas Mühe der Nachweis erbracht werden kann, dass ein Programm eine bestimmte Funktion aufweist. Der Beweis aber, dass Funktionen nicht vorhanden sind, ist für die heute üblichen Programmiermethoden oft unmöglich.

Findet man in einer Software - wie im Fall des vom CCC analysierten Staatstrojaners - offensichtliche Versuche, das Vorhandensein und den Ablauf einer Funktion zu verschleiern, wird es heikel. Die rechtswidrige Nachlademethode, die es während des Einsatzes des Trojaners erlaubt, weitere Sofwarekomponenten auf dem infiltrierten Rechner unterzubringen, wurde absichtlich so programmiert, dass ihre Ausführung für denjenigen, der versucht, die Schnüffelsoftware zu verstehen, nur mühsam nachvollziehbar ist. Hier hatte jemand etwas zu verbergen.

Die entscheidende Grenze ist überschritten

Ob es nun DigiTask oder die auftraggebenden Behörden waren, ob es sich um einen Teil des staatlichen Auftrags oder eine heimlich von Programmierer installierte Hintertür handelt, ist fast nebensächlich. Die höchstrichterlichen Vorgaben wurden klar missachtet, grundgesetzkonformes Verhalten war nicht programmiert. Ob es nun mangelndes Rechtsverständnis, heimliche Böswilligkeit oder peinliche Unfähigkeit war: Die Aufklärung darüber schulden die Verantwortlichen der Öffentlichkeit noch.

Eines ist jedoch schon jetzt klar: Sobald man sich in den Sumpf des Einsatzes staatlicher Spionagesoftware begibt, verschwinden echte Gewissheiten. Hinterrücks eingebrachte Programme wie der Staatstrojaner sind von Natur aus schattige Gewächse, da sie sich vor Virenscannern verstecken müssen. Im daher zwangsläufig auf Verborgenheit und Täuschung ausgerichteten Programmcode noch zusätzliche Funktionen zu verbergen liegt gewissermaßen nahe.

Wie bereits das Verfassungsgericht klarstellte, ist mit der Infiltration eines Computers die entscheidende Grenze überschritten. In den letzten Tagen konnte der aufmerksame Beobachter die Resultate des leichtfertigen Überschreitens dieser Grenze live und in Farbe ansehen. Statt souveräner, klarer Antworten verhaspelten sich die beteiligten Behörden in Ausflüchten, spitzfindigen Dementis und Umdeutungen - etwa der rhetorische Taschenspielertrick des Innenministeriums, wonach nur ein „Bundestrojaner“ sein kann, was das BKA so nennt. Das Vertrauen in grundgesetzkonformes Verhalten der Behörden ist so nicht wiederherzustellen.