Gedanken zur Umleitung des Internetverkehrs

Der Gesetzentwurf zur Harmonisierung des Verfassungsschutzrechts aus dem vergangenen Jahr dreht die letzte Runde vor der Zielgeraden für den Beschluss der Bundesregierung. Schwere Bedrohungen für unseren demokratischen Rechtsstaat sollen besser aufgeklärt werden können. Und das alles natürlich zum Schutz unserer freiheitlich demokratischen Grundordnung. Dafür wird dann auch das Artikel-10 Gesetz um Regelungen zur Quellentelekommunikationsüberwachung ergänzt. Das Bundesamt für Verfassungsschutz, alle 16 Inlandsgeheimdienste der Bundesländer, der Auslandsgeheimdienst BND und der Militärgeheimdienst MAD sollen den dazu angedachten Staatstrojaner nutzen können.

Über die Folgen eines vermehrten Einsatzes der Staatstrojanerschadsoftware und die Auswirkungen, sowohl auf die Demokratie als auch auf die Sicherheit der Kommunikationsinfrastruktur, wird es immer wieder zu berichten geben.

Diesmal soll es aber darum gehen, dass die Telekommunikationsanbieter zur Einbringung der Schadsoftware dazu verpflichtet werden sollen, die technischen Voraussetzungen für die Platzierung der Trojaner zu ermöglichen. Hierfür sollen Datenströme direkt an die Geheimdienste umgeleitet – nicht kopiert – werden, damit sie nach Injektion des Staatstrojaners mit dem Datenstrom zum Zielgerät weitergeleitet werden können.

Als wäre das Zurückhalten von Sicherheitslücken, um unbemerkt Staatstrojaner installieren zu können, nicht schon Kollateralschaden genug für die IT-Sicherheit, plant die Bundesregierung jetzt also auch noch das letzte bisschen Vertrauen in die Integrität der Internetinfrastruktur zu zerstören, indem Provider im neuen Verfassungsschutzrecht gezwungen werden sollen, den Traffic von Nutzern zum Zwecke der Installation staatlicher Schadsoftware zu manipulieren.

Gegenüber der Telekommunikationsüberwachung sowie der strategischen Fernmeldeaufklärung, bei welcher auch jetzt schon der Internetverkehr einzelner Nutzer gezielt bzw. anlasslos an Internetknoten mitgelesen werden kann, stellt dieser Vorstoß eine neue Qualität beim Ausbau von Überwachungsbefugnissen im Netz dar.

Unabhängig davon, ob die Bundesregierung die Internetmanipulation durch Geheimdienste durchsetzen kann und ob ein entsprechendes Gesetz vor Gerichten standhält, raten wir PIRATEN allen Betreibern von Internetdiensten, konsequent auf Transportverschlüsselung zu setzen, damit in Zukunft kein Byte mehr unverschlüsselt zwischen den Endgeräten der Nutzer und den Zielservern unterwegs ist. Dies würde das Ansinnen von Geheimdiensten und Kriminellen, unbemerkt den Datenverkehr zu manipulieren, schon einmal deutlich erschweren.
Auch die Entwickler von Software sind aufgerufen, die Sicherheit von Updatemechanismen in den Fokus zu rücken, sowie Signaturprüfungen für neue Software möglichst transparent, nachvollziehbar und manipulationssicher zu gestalten. Ebenso ein Appell an alle Serverbetreiber: In Zukunft kein Byte mehr ohne Transportverschlüsselung übertragen.

Um die Integrität unseres Datenverkehrs dann noch zu stören, müsste die überwachende Behörde entweder eine deutsche CA (Certificate Authority) zwingen mitzuspielen und würde damit riskieren, diese wegen Certificate Transparency für immer zu kompromittieren, oder sie bräuchten eine sehr spezielle Lücke im Updater der jeweiligen Software, die im Rahmen der Einbringung der Schadsoftware ausgenutzt werden soll.

Diese Informations- und Kommunikationsstrukturen stellen die Basis unserer freiheitlichen demokatischen Grundordnung dar.

Bisher war die Bundesregierung immer sehr findig und kreativ darin, neue Mittel und Wege zu erschließen, um die Informations- und Kommunikationsstrukturen zu gefährden oder so löchrig zu gestalten, dass Nachrichtendienste und weitere feindliche Akteure mit entsprechenden Ressourcen hier ihr Informations- und Manipulationsbedürfnis ausleben können. Wenn man bedenkt, dass demnächst ein Wechsel dieser Infrastruktur auf 5G-Endpunkte und Router bevorsteht, so kann man sich die Aufregung vorstellen, falls diese von Huawei bezogen werden sollten, anstatt von Herstellern aus einem vermutlich freundlicher gesinnten Land, mit dem entsprechende Verträge zur Zusammenarbeit der Geheimdienste geschlossen wurden.

Hintergrund:

Warum reichen der Bundesregierung die bisherigen Möglichkeiten nicht aus?
Wir wissen bereits, dass in der Vergangenheit an den großen Datenknoten Sniffer eingesetzt wurden. Diese dienten dazu, Daten als Kopie auszuleiten, um dem „Informationsbedürfnis“ nachzukommen. Gleichzeitig ist es so, dass man über die Knoten nicht unbedingt zuverlässig an einzelne Nutzer herankommt, auch wenn bei den großen Knoten statistisch betrachtet natürlich mit hoher Wahrscheinlichkeit ein wesentlicher Teil des Traffics anfällt. Es wurde also für die strategische Fernmeldeaufklärung „nur“ ausgeleitet und nichts injiziert. Damit dies gelänge, müsste vermutlich die Technik umgebaut werden, denn die bisherigen Sniffer sind nur Splitter, also eine unidirektionale Verdoppelung und Ausleitung der Daten.

Warum werden Telekommunikationsanbieter als „Hilfssheriffs“ eingespannt?
Die Zuordnung von Daten zum Nutzer ist insbesondere im Mobilfunknetz schwierig, weil am Knoten nicht genau festgestelt werden kann, welcher Nutzer den Traffic wirklich verursacht. Dies liegt daran, dass mehrere Nutzer hinter einer IPV4-Adresse hängen. Möchte man nun also eine Überwachungsschadsoftware einbringen, müsste man, um nicht kollateral irgendwen zu hacken, schon hinter dem NAT des Providers (Network Address Translation, also die Übersetzung einer IP-Adresse in einem internen Netz an einem Router in eine extern zugängliche IP-Adresse) ansetzen oder der Provider müsste in Echtzeit die Port-Zuordnungen liefern. Diese Information liegt nicht vor, daher ist man auf den Telekommunikationsanbieter direkt angewiesen.