Lutz Herkner beleuchtet für Zeit Online die technischen Schwierigkeiten der Onlinedurchsuchung. Er wirft dabei sehr wichtige Punkte auf, irrt meines Erachtens aber auch in einigen Details.
Also bleibt nur der kontrollierte Angriff auf den einzelnen Rechner – doch der birgt ein gewaltiges Problem. Jedes Ziel im Internet wird nämlich über eine so genannte IP-Adresse angesprochen, sei es nun ein Computer oder eine Webseite. ZEIT online beispielsweise ist unter der IP-Adresse 217.13.68.162 erreichbar.
Es ist sogar noch schlimmer. Ein Großteil der Breitband-Anschlüsse hängt hinter so genannten Routern, die den Anschluss mehrerer Rechner erlauben. Dazu wird die IP-Adresse, die man von seinem Provider erhält, sozusagen aufgesplittet. Greift das BKA eine öffentliche IP-Adresse an, muss es erst Mal durch den Router kommen. Das ist prinzipiell möglich, aber es potenziert die Schwierigkeiten noch.
Das wiederum würde einen direkten Zugriff auf die Datenbanken der Internetprovider erfordern, was diese quasi zu Erfüllungsgehilfen der staatlichen Hacker machen würde – aus juristischer und technischer Sicht etwas ganz anderes als beispielsweise die passive Überwachung von E-Mails.
Ganz meine Rede.
Umso wahrscheinlicher wird es, dass sich Schäubles Schnüffler direkt beim Provider in die Internetverbindung einklinken und diese manipulieren. »Beim Download einer Datei wie etwa dem automatischen Update von Windows ließe sich die übertragene Datei problemlos mit dem Trojaner infizieren«, sagt Thilo Weichert, Leiter des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein (ULD). Da die Provider bereits 2005 Hardware zur umgehenden Überwachung von E-Mails an ihre Systeme anschließen mussten, dürfte die Umrüstung auf derlei Maßnahmen unproblematisch vonstattengehen.
Das hingegen ist meines Erachtens falsch. Denn die meisten Update-Routinen überprüfen die Updates auf Übertragungsfehler. Schiebt man Windows Update einfach einen Trojaner unter, wird der schlicht nicht installiert werden. Auch die Installation beim Provider ist eben nicht trivial, die SINA-Boxen sind dazu schon mal nicht geeignet. Hinzu kommt das Problem, einen bestimmten Kunden direkt nach dem Einwählen zu identifizieren und dessen Datenverkehr umzuleiten. Und die juristische Hürde für einen solchen Eingriff in Telekommunikation ist auch sehr hoch.
Ein anderer Irrtum ist, dass die Online-Durchsuchung tatsächlich auch online in Gang gesetzt werden muss. Viel einfacher ist es den Zielrechner mit Hilfe von V-Leuten zu infizieren, wie es ja wohl schon gemacht wurde.
PS: Grade habe ich Rückmeldung aus dem Hause Microsoft bekommen: die Validität der Windows-Updates wird durch einen Hash-Wert sichergestellt, der durch einen Public-Private-Key kryptographisch signiert ist. Insofern ist es nicht ganz einfach dem Windows-Update etwas Falsches unterzuschieben – selbst durch eine Echtzeit-Manipulation des Datenstroms.