Open Source-Trojaner ?

In den Medien wird über den “Staatstrojaner” zur Überwachung berichtet. Zur rechtlichen Diskussion s. [1]. Zwei Aspekte müssen besonders beachtet werden. Der eine betrifft die Überwachung, der andere das Zugänglichmachen des Trojaner-Codes. Datenübertragung in die USA Erhebliche Zweifel bestehen, ob die im Rahmen einer Quellen-TKÜ (Überwachung von verschlüsselter Telefonie im Internet) gewonnenen Daten mit Personenbezug an einen Providerrechner in den USA übertragen werden dürfen. Hier wurde die IP-Adresse des US-Providers Webintellects, Inc. in Columbus,Ohio in den Code fest eingefügt (207.158.22.134). Die Daten wurden damit außerhalb des Geltungsbereichs der deutschen Strafprozessordnung verwendet. Die Zulässigkeit einer solchen Datenverwendung in fremden Staatsgebieten oder Übertragung in diese kann richterlich nicht wirksam angeordnet werden. Diese Verwendung ist umso bedenklicher, als sich der Provider in seinen Vertragsbedingungen ausdrücklich vorbehält, seinerseits die übertragenen Daten “law enforcement officials” zugänglich zu machen, und für alle Datenkommunikationen Log Files erstellt (also letztlich eine eigene Überwachung durchzuführen). Open Source-Trojaner ?Durch die Codeanalyse des Computer Chaos Clubs (CCC) einer “Regierungs-Malware” [2] wurde auch der Trojanercode in der Form extrahierter Binärdateien im Netz zugänglich gemacht [3]. Damit ist Schadsoftware im Netz zugänglich, die auch von Dritten bequem für Angriffe auf IT-Systeme verwendet werden kann. Mit dieser Software können Screenshots (etwa von allen gespeicherten E-Mails) angefertigt, VOIP-Gespräche und Räume überwacht, Webcams angezapft und zudem Schadmodule nachgeladen werden. Alle Daten auf dem angegriffenen IT-System sind gefährdet, etwa sogar medizinische Daten von Mitarbeitern oder noch geheime Konstruktionspläne für neue Produkte. Digitale Tagebücher wie “Timeline” können komplett mitgelesen werden. Rechtlich wird hierdurch die Vertraulichkeit und Integrität von Informationssystemen gefährdet, die vom Bundesverfassungsgericht als grundrechtlich geschützt angesehen wurde [4]. Dieser Schutz gilt nicht nur gegenüber Behörden, sondern als Teil der objektiven Wertordnung auch zwischen Privaten (und Unternehmen). Aufgabe der Systembetreiber, SysOPs oder CIOs ist es, das System umgehend auch gegen solche Angriffe abzusichern, um etwa Abfluss wertvollen Know-how…