Die Meldungen sind ebenso zahlreich wie erschütternd: Je mehr in Sachen Staatstrojaner gebohrt wird, desto mehr schmutzige Details geraten an das Tageslicht. Fefe spricht bereits von einem „Länderdomino„, bei dem ein Bundesland nach dem anderen zugibt, den rechtlich wie moralisch höchst zweifelhaften Schnüffelcode auf fremde Rechner geschleust zu haben (zum Teil aus recht fragwürdigen Gründen). Die nationalen Medienreaktionen sind angemessen heftig, das internationale Feedback ist ebenfalls üppig und beherbergt zudem viel Häme. Nicht erst seit dem Facebook-Verbot in Schleswig-Holstein (CNN) lacht die globale Internetgemeinde über den Digital-Deppen Deutschland. Na, wenn das nicht Investitionsgelder ins Land lockt.
Bislang sind in der Trojaner-Affäre alle Parteien mehr oder minder verstört zu Wort gekommen. Der CCC brachte den Stein ins Rollen und die Sprecher der Länderbehörden sind öffentlich damit beschäftigt, irgendeinen Schuldigen zu finden. Die Virenjäger schlagen Alarm und selbst DigiTask, die Entwicklerschmiede für staatliche Spionagesoftware, durfte sich schon verteidigen und den Schwarzen Peter den Auftraggebern zuschieben. Jedoch habe ich heute eine Stimme vermisst.
Wo steckt denn – bitte schön – Microsoft?
Der nun bekannt gewordene Trojanereinsatz durch die Landeskriminalämter hat dafür gesorgt, dass Windows vielen heute wie ein Schweizer Käse vorkommen muss. Die Wanze wurde jahrelang und in zig Variationen auf diverse Windows-Rechner geschleust, ohne, dass Microsoft sie entdeckt hätte. Still und heimlich hat heute das Unternehmen ein aktualisiertes Sicherheitspaket hinterhergeschoben (so hört man zumindest, ich würde mich über einen Link freuen) und die Sache erst einmal dabei belassen. Erst am Abend meldete die dpa (ebenso leise), dass man beim Konzern vorhabe zu prüfen, „ob DigiTask mit der Nutzung von Entwicklerumgebungen von Microsoft möglicherweise Urheber- oder Markenrechte verletzt hat“. Selbst im Fall eines etwaigen Prozesses und einer erfüllten Schadenersatzforderung wäre der Image-Schaden, den Windows seit Anfang der Woche erlitten hat, wohl nicht wieder wettzumachen. Wie denn auch?
Mit dieser These im Kopf stellt sich die Frage, warum deutsche Behörden wieder einmal so stumpfsinnig vorgehen, wie sie es tun. In Sicherheitsfragen akzeptieren die Gesetzeshüter hierzulande keine Partnerschaften. Anstatt mit Microsoft zu kooperieren und eine gescheite Lösung ohne Kollateralschäden herbeizuführen, werden dubiose Firmen in Ausschreibungslotterien ernannt, um gewaltsam in Systeme einzubrechen. Ganz zu Recht sagen da einige Antivirenprogrammhersteller (in diesem Fall Sophos):
We detect all the malware that we know about – regardless of who its author may be. So, SophosLabs adds protection against attacks on our customers‘ computers regardless of whether they may be state-sponsored or not. If you think about it – there is no sensible alternative. What’s to stop a cybercriminal commandeering a law enforcement Trojan and using it against an innocent party?
Our customers‘ protection comes first. If the authorities want us to not detect their malware, the onus is on them to try to write something that we can’t detect, not for us to cripple our software.
Dies ist nicht das erste Mal, dass deutsche Behörden ebenso dilettantische wie gefährliche Alleingänge riskieren. Als der damalige Innenminister Wolfgang Schäuble (CDU) vor allem Skype als Kommunikationsmedium Nummer eins für alle Terroristen ausmachte, wäre der erste logische Schritt gewesen, den Kontakt mit dem Unternehmen zu suchen. Pustekuchen – und zwar bis heute:
Unter vorgeschobenen Gründen würde der Datenschutz ausgehöhlt, kritisiert Rieger (ergänzt: vom CCC). Die Online-Durchsuchung mit dem Aufspielen der „Bundestrojaner“ sei damit begründet worden, dass so die Internettelefonie mit Skype abgehört werden könnte. „Skype sitzt in Luxemburg. EU-Rechtshilfeabkommen machen es möglich, dort die Informationen zu bekommen, um Gespräche abhören zu können.“ Dies sei aber dem Bundeskriminalamt zu aufwendig. Auf den Festplatten der Bürger befänden sich heute aber „intimste Daten“, so Rieger.
Wäre ich Microsoft, so hätte ich jetzt eine offene Flasche Rotwein zwischen den Beinen und eine Stinkwut im Bauch, während ich bei dröhnender Heavy Metal-Musik mit Vollgas zum Bayerischen Landeskriminalamt nach München fahre (Microsoft Deutschland sitzt in Unterschleißheim bei München. Daher dürfte die Fahrt kurz ausfallen).
19 Kommentar
Kommentare sind geschlossen.
Das wird jetzt ein langer Kommentar. Ich merke das. Microsoft hat ein Problem und der Nutzer muss es ausbaden.
Aber fangen wir vorne an. Die Erkennungsrate des Bundestrojaner zur Zeit 75%. 75% der Virenscanner erkennen ihn. Jetzt verpacken wir den in eine ZIP Datei. Ergebnis nur noch 65% der Virenscanner erkennen ihn.
Jetzt ändern wir ein (!) 1 Zeichen in dem Trojaner und nur noch 30% (!) erkennen den Trojaner. Wenn man ich neu codieren würde, wo er genau das gleiche macht, erkennen ihn NULL Virenscanner. (Mein Blogbeitrag dazu wird auch noch getippt)
Virenscanner sind nett, aber haben auch keine Glaskugel. Der Bundestrojaner kommt meist physikalisch auf den Rechner, da kann man sich nicht schützen. Doch vor den Viren, die so im Netz rum schwirren schon. Die führt man nicht zwangsläufig aus.
Gruß, Alex
Versteh das nicht ganz.
Schlägst du vor, dass Microsoft den deutschen Behörden eine „quasi-offizielle“ Backdoor einbaut, damit die deutschen Behörden darüber spionieren können?
@Egghat: Es wird einen gerichtlich (und verfassungsrechtlich) legitimierten Trojaner geben. Daran ändert auch der aktuelle Vorfall nichts.
Und anstatt von außen im System herumzustochern und dabei deutlich die Grenzen der Privatsphäre zu verletzen, würde ich schon mal den Hörer in die Hand nehmen und bei Microsoft nachfragen, wie man das denn jetzt am gescheitesten hinbekommen kann.
André Vatter: Warum sollte Microsoft da mitmachen? Warum sollte Microsoft Sicherheitsupdates rausschicken?
Solange Menschen an ihrem PC Programme installieren können, solange kann auch ein Mensch mit physischem Zugang zum Rechner eben auch Trojaner installieren.
Ich kann das Microsoft-Bashing nicht ganz nachvollziehen.
1. In kaum einem Medienbericht wurde thematisiert, dass ein Windowssystem infiziert wurde. Insofern kaum medialer Schaden.
2. Obwohl das Zeug wohl seit Jahren in Umlauf ist, hatten renommierte AV-Anbieter wohl auch lange keine Signatur davon. Kein Microsoft-exklusives Problem.
3. Laut Ausagen des Anwalts des Betroffenen wurde der Trojaner bei einer intensiven Zollkontrolle seines Mandanten am Flughafen installiert. Woraus schließt Du, dass das bei einem Linux, MacOS o.ä. nicht möglich gewesen wäre oder schneller erkannt worden wäre?
Hi Guido und Torsten (et. al.),
es gibt derzeit nur einen Windows-Trojaner – und das wurde auch so explizit überall kommuniziert (nicht zuletzt lächelnd bei Sascha Lobo: http://saschalobo.com/2011/10/09/bundestrojaner-fuer-mac/). Und wenn es gravierende Sicherheitslücken bei Windows gibt, bekommt routinemäßig Microsoft dafür einen auf den Deckel – und nicht die AV-Anbieter.
Es geht in dem Post um zwei Dinge: Erstens um das rotzige Vorgehen der Behörden, die nonchalant Gerichtsurteile missachten. Zweitens darum, dass Operationen ausgeführt werden könnten, ohne, dass breite Bereiche der Privatsphäre verletzt werden, wenn man nur einmal mit den Anbietern sprechen würde. Nimm das Beispiel Skype von oben. Nur, weil Skype aus Faulheit oder Stolz nicht kontaktiert wurde, muss heute ein grober Einbruch in Windows vorgenommen werden, der dann auch noch so stümperhaft verläuft, dass Böswillige das Potential des vorhandenen Trojaners ausnutzen können.
Bevor ich einen Zug zum Entgleisen bringe, weil sich darin ein Verbrecher aufhält, rufe ich zunächst die Deutsche Bahn an.
Ein Einbruch bei anderen Systemen wäre für die Behörden kein Problem (das hat DigiTask heute auch stolz verkündet – es sei alles eine Frage des Geldes). Aber auch bei den anderen OS gilt: Die Behörden sollten mit den Unternehmen zusammenarbeiten (Linux nehmen wir mal aus dieser Rechnung raus).
Es wird einen Trojaner geben, der legitimiert ist (s.o.) – egal, wie wir dazu stehen. Und entweder man macht es gescheit oder eben so, wie es jetzt gelaufen ist.
Microsoft steht jetzt als großer Depp da. Das Betriebssystem wurde kompromittiert – und dann auch noch durch einen drittklassig zusammengeschusterten Code.
Ich sehe da kein Problem für Microsoft. Dass Windows schon immer angreifbar war, ist ja nun nichts neues. Und wenn ein halbwegs unbegabter Mensch ohne Virenscanner sich dutzende Viren, Dialer und Trojaner einfängt, weil er jeden Scheiß installiert, dann ist das doch nicht das Problem von Microsoft.
Es gibt sicher dutzende Wege, auch ein Mac-System zu übernehmen, doch da Windows eben so verbreitet ist, war es sinnvoll, erstmal ein Windowsprogramm zu erstellen.
Wer weiß denn, ob nicht schon Linuxrechner von Drogendealern abgelauscht werden?
@avatter:
Und wer baut den in OSX und Linux und NetBSD ein?
@Egghat
„Sorry, aber die sind gerade illegal in mein Betriebssystem eingebrochen. Und bevor ich mir Sorgen über den Wettbewerb mache, will ich jetzt erst einmal wissen, was hier überhaupt los ist!“
Alle weiteren Argumente stehen oben.
Um Viren gar nicht erst zu bekommen, keine Dateien öffnen von Quellen die du nicht einwandfrei oder zumindest zu 99% identifizieren kannst das selbige sicher sind. E-Mails und dessen Anhänge nur dann öffnen wenn du den Absender kennst und sowie so nur Mac OS X als Betriebssystem nutzen oder eben Linux/Ubuntu oder ähnliches.
Früher hatte ich mal Linux Ubuntu, bevor ich einen Mac hatte und hatte da auch nie Probleme mit den Viren, auch ohne Virenscanner.
„Es wird einen gerichtlich (und verfassungsrechtlich) legitimierten Trojaner geben.“ das steht ziemlich unbegründet nur im Kommentar.
Ich glaube nicht, dass Microsoft irgendwie besser dastehen würde, wenn die mit den Behörden kooperiert hätten. Die Presse für Firmen, die das gemacht haben, war nicht besser.
Ganz nebenbei mosert kaum jmd. über Microsoft. Nur über die Behörden, die so einen Schmarrn eingekauft haben und das illegalerweise eingesetzt haben und über Digitask, die den Mist programmiert haben. In meinem Umfeld (und auch in den Artikeln in der Presse, die ich gelesen habe), war von Microsoft und dem worüber du dich aufregst, keine Rede. Naja mag daran liegen, dass nicht alle auf Windows setzen …
Ich sehe die Schuld da auch nicht bei MS und das hat auch nichts mit „aufpassen was ich downloade oder worauf ich klicke“ zu tun. Vor 4 Jahren wurde ein sehr bekannter deutscher Hacker darauf angesprochen ob er nicht etwas entwickeln könnte, womit man on-the-fly binaries in einen up-/downstream einfügen kann. Er hat damals dankend abgelehnt und die ganze Geschichte öffentlich gemacht. Vermutlich haben sie aber schon jemand anderen gefunden oder werden auf kurz oder lang jemand finden, der ihnen das macht. Sollte es soweit sein, ladet ihr euch auf chip.de die neuste Avira-Version herunter und an die Datei wird autom. der Trojaner angehängt und die Datei hat dann nicht 1,32 MB sondern 1,33 MB. Aber wem fällt das schon auf? Da der Staat beliebig auf Provider-Seite mit einem richterl. Beschluss eingreifen kann, stellt dies organisatorisch auch nicht so die Hürde dar.
Aber wie ja schon bekannt wurde lief es bei den bisherigen Installationen nicht so. Da wurde das ganz oldschool von ein paar Zoolbeamten bei der Sicherheitskontrolle am Flughafen aufgespielt. Die Beamten waren ein paar Minuten mit dem Laptop allein und schon war es passiert…
Wäre ich an ihrer Stelle gewesen hätte ich das System mit einer LiveCD gebootet und das Dateisystem eingehangen. Danach kann ich beliebige Daten an jeden Ort in dem Dateisystem ablegen (Berechtigungen sind ausgehebelt). Dabei spielt es keine Rolle ob auf dem Rechner nun ein Windows, ein Linux oder ein BSD installiert ist.
Dazu gibt es dann auch noch Programme, die bspw. die Bearbeitung der Windows-Registry in diesem Live-Modus erlauben und damit würde mein Programm auch schon beim nächsten Windowsstart ausgeführt werden. Geschickter wäre es jedoch den Start meines Schadprogramms in den ELF-Header anderer Anwendungen (explorer.exe, firefox.exe, etc.) zu injizieren. Möglichkeiten gibt es da viele und sie würden ganz egal bei welchem Betriebssystem funktionieren. Man bräuchte halt nur die passende Malware für das jeweilige OS.
Das Ganze lies sich auch so automatisieren, dass man in ein Notebook die CD einlegt, startet, von CD bootet und 1 Min. später könnte man die CD wieder herausnehmen und alles wäre getan. Ich vermute so lief es bei den bisherigen Installationen, da die Beamten vor Ort wohl niemals diese Kenntnis hätten.
Gegen solche Angriffe hilft also einige wenige Massnahmen:
1.) Das Gerät nie angeschaltet und unbeaufsichtigt weitergeben oder irgendwo stehen lassen.
2.) Die Festplatte vollverschlüsseln (mit AES) mit einem ausreichend langen Schlüssel (256bit).
3.) Nur noch das Booten von HDD erlauben.
4.) Ein sicheres BIOS-Passwort vergeben.
Im Übrigen halte ich Linux und Mac OS X für genau so unsicher. Alle 3 Monate taucht ein local root exploit für die aktuelle Kernel-Version auf und Java ist auch auf jedem Mac OS X und Ubuntu installiert. Damit hätte man 90% der Benutzer von alternativen Betriebssystemen schon mal erschlagen.
Irgendwie ist scheinbar gar nichts golden, was glänzt…
«Es geht in dem Post um zwei Dinge: Erstens um das rotzige Vorgehen der Behörden, die nonchalant Gerichtsurteile missachten. Zweitens darum, dass Operationen ausgeführt werden könnten, ohne, dass breite Bereiche der Privatsphäre verletzt werden, wenn man nur einmal mit den Anbietern sprechen würde.»
Nein, ganz klar geht es Dir nicht darum. Dein Post hat eine ganz andere Intention. Das übliche Microsoft-Bashing. Siehe eindeutige Überschrift. Siehe eindeutiges Bild. Und Deine Einschätzung ist falsch. Es wurde nicht durch eine Sicherheitslücke im OS Malware eingeschleust. Das Ganze wäre mit einem Linux oder MacOS genauso möglich gewesen.
Microsoft steht gut da. 1. haben sie nicht beim Ausspionieren von Kunden mitgemacht 2. ist es eine „Adelung“ der Verbreitung von Windows, wenn es den Bundestrojaner nur für Windows gibt. Warum für „Nischen“-Betriebssysteme entwickeln lassen?
Es gibt keine Plattform die aus sich heraus verhindern könnte, das nicht irgendwann irgendwer irgendwie den Computer kompromittiert, im Netz oder autark. Wer meint, das es keinen Trojaner für MacOS, Linux, WebOS, und, und, und gibt, glaubt auch das unsere Soldaten in Afghanistan nur Gefangene nehmen und verhören. Das wäre schlicht naiv.
Natürlich werden Hersteller von Hard- und Software von offen oder verdeckt repressiven Systemen wie Syrien, den USA und auch aus Deutschland dazu aufgerufen, mögliche Angriffsvektoren zu benennen oder vielleicht sogar zu schaffen. Und ich unterstelle das nur ein Bruchteil den Arsch in der Hose hat das auszuschlagen, und somit auf staatliche Aufträge zu verzichten.
Das Problem ist der Staat als moralinsaure Instanz über allem, der dem bösen Terrorist und den fiesen Kriminellen meint mit allen möglichen verfassungswidrigen Mitteln zu dürfen. Das Problem ist ein Staat geprägt von Ängsten, vor organisierter Kriminalität (aktuelles Beispiel: Verbot Hells Angels) oder Terrorismus, in dem Legislative, Exekutive und Judikative sich (auch gegenseitig darin) ermächtigt und/oder berufen fühlen, „uns“ „schützen“ zu müssen, und zwar mit einem Arsenal das sich im Zweifelsfall auch illegalem, unverhältnismäßigem oder unmoralischem bedient.
Wer so etwas unternimmt, gehört belohnt, mittels des einzigen was was der Staat versteht, einem politischen Ruck, weg beispielsweise bei den offensichtlich allein verantwortlichen Konservativen, und durch eine neue politische Kraft, dem Staatsbürger ohne Uniform, im mindesten halt an der Wahlurne, im besten auf den Straßen (siehe occupywallstreet). Wer foltert, wer spitzelt, wer mit Steuerabkommen Steuerflucht legalisiert, wird demnächst abserviert. Auf die kommenden Umfragen und Wahlen freue ich mich schon.
Hallo zusammen,
das ist ja eine heiße Diskussion.
Das Sicherheitsupdate wird automatisch für MSE und Forefront ausgeliefert (Signature update 1.113.1290). Übrigens hier der allgemeine Microsoft Security Intelligence Report zu Sicherheit im Internet: http://www.microsoft.com/security/sir/default.aspx, die Pressemittelung dazu hier http://www.microsoft.com/germany/presseservice/news/pressemitteilung.mspx?id=533426.
Viele Grüße (und bitte kein Alkohol am Steuer;),
Annabelle – Social Media Manager Microsoft Deutschland
Microsoft ist IMO nicht „vorgeführt“ worden. Eher das Rechtsverständnis und die „Kompetenz“ einiger Politiker.
Microsoft hat sich ähnlich verhalten wie es z.B. Fluggesellschaften machen deren Flugzeug abgestürzt ist. Während bei den Einen das Logo der Bruchmaschine übermalt wird schiebt ggf. Microsoft leise ein Update nach.
Mir kommt — als Mac User — nicht Windows wie ein Schweizer Käse vor, sondern die Kenntnisse der Politiker zu a) IT und b) Gesetzgebung.
Aber mit den Trojanern ist es doch wie bei vielen Dingen: die „Kleinen“ (aka technisch weniger bedarften) Kriminellen werden dadurch ggf. dingfest gemacht, Kriminellen mit weitreichenden Absichten nutzen dann eben ein Kommunikationsgerät für welches es (noch) keine entsprechende Abhörsoftware gibt; nicht weil die nicht technisch möglich wäre, sondern weil es schwierig umzusetzten ist alles zu bedenken. Vor allem wenn es sich um Menschen bei der Umsetzung handelt. Gibt es z.B. Trojaner für iOS5, WinXY, OS9 oder andere Systeme mit welchen man die Skype-Software nutzen kann? Nur um es als Gedankenanregung zu erwähnen
Aber vor allem: entsprechende Leute geben das Kommunikationsgerät nicht aus der Hand oder reisen damit durch den Zoll.
Denn… @Stefan: wenn du im Zoll oder an irgend einer anderen Stelle eine Software untergejubelt bekommst, dann ist es egal welches OS du nutzt und wie sorgfältig du URLs prüfst.
Ab dem Moment wo du Leute physisch an den Rechner kommen lässt, bist du auch nicht (mehr) sicher.