Frankfurter Buchmesse 2014
Musiker und Internetgröße
Friedrich Liechtenstein:
Buchhandlungen sind
,sehr, sehr gut.'
PRESSEMITTEILUNG:
CCC verurteilt den Ankauf von " 0days" durch den BND
Passend zum Jahrestag des Mauerfalls hat der Bundesnachrichtendienst (BND) angekündigt,
zukünftig auf dem
Schwarzmarkt sogenannte Zero-Day-Exploits, also unveröffentlichte und unbehobene Sicherheitslücken in Software,
aufzukaufen. Diese sollen dann im Rahmen von Aufklärungsversuchen zum Angriff auf Computersysteme benutzt werden.
Der Chaos Computer Club (CCC) kritisiert die vom BND nun offen geforderte Ausnutzung von Schwachstellen als
schweren Grundrechtseingriff und als inakzeptabel. Der BND will sich jetzt auch offiziell in die Lage versetzen, in
beliebige Mobiltelefone und Computer einzubrechen. Angesichts der momentan im NSA-BND-Untersuchungsausschuß
erst stattfindenden Versuche,
die gegenwärtigen technischen Praktiken des Geheimdienstes in Kollaboration mit
ausländischen Partnern zu verstehen und aufzuklären, ist diese Forderung an Dreistigkeit kaum zu überbieten. Die
Enthüllungen der letzten anderthalb Jahre haben gezeigt, daß die unkontrollierten Geheimdienste weltweit alle ihnen zur
Verfügung stehenden technischen Mittel nutzen, um sich weitgehend ohne effektive parlamentarische Kontrolle nicht nur
Informationen über Opposition, kritische Presse und unbescholtene Bürger zu verschaffen, sondern schlichtweg sämtliche
Daten abzugreifen, derer sie technisch habhaft werden können. Mit der unverhohlenen geheimdienstlichen Forderung,
hinterrücks in Computer eindringen zu wollen, sollen praktisch kritische Sicherheitslücken mißbraucht werden, die auch
anderen Kriminellen einen Angriffspunkt bieten. Gleichzeitig wird es Bürgern und Unternehmen erschwert, sich vor
technischen Angriffen auf persönliche Daten oder Geschäftsgeheimnisse zu schützen und erleichtert zudem dritten
Geheimdiensten das Ausspähen von Staats- und Betriebsgeheimnissen. 0day-Exploits werden auf dem ohnehin bereits
von konkurrierenden Geheimdiensten finanzierten kriminellen Schwarzmarkt für sechs- bis achtstellige Euro-Beträge
gehandelt. Um auf diesem Markt mitspielen zu können, müßte sich der BND mit Steuergeldern in gleicher Höhe am
Bieterwettstreit beteiligen. Denn wie beim Handel mit Drogen oder Waffen regelt auch bei 0day-Exploits die Nachfrage
das Angebot. Dirk Engling, Sprecher des CCC, warnte: "Wenn auch deutsche Geheimdienste diesen Schwarzmarkt mit
unseren Steuergeldern noch anheizten, würde das erhebliche Folgekosten für die Wirtschaft haben, die schon heute kaum
hinterherkommt,
ihre technische Infrastruktur gegen Angriffe zu verteidigen." Der Anreiz würde weiter steigen,
aufgespürte Sicherheitslücken im Geheimen zu handeln bzw.
gezielt vermeintlich harmlose Fehler in kritische
Softwarekomponenten einzubauen und diese dann nach einiger Zeit den Diensten und ihren Partnerfirmen zu verkaufen.
Die Logik des Mitmischen im Schwachstellen-Schwarzmarkt führt dazu, daß Geheimdienste ein Interesse daran haben
müssen,
wenn eklatante Sicherheitslücken möglichst lange unentdeckt bleiben,
während sie gleichzeitig nicht
sicherstellen können, daß die gleiche Sicherheitslücke nicht auch von Kriminellen entdeckt oder parallel an diese verkauft
wird. So können dann entsprechende Lücken für lange Zeit unbemerkt ausgenutzt werden. Dirk Engling findet zu den
Plänen des BND klare Worte: " Der geplante Erwerb und Handel mit Sicherheitslücken durch den BND wäre nicht nur in
mehrfacher Hinsicht rechtlich fragwürdig, sondern ist auch eine direkte und vorsätzliche Schädigung der deutschen
Wirtschaft." Sicherheitslücken gehören nach der Entdeckung geschlossen und nicht verkauft und geheimgehalten solange
es irgendwie geht. Der CCC fordert ein Verbot des Aufkaufs und der Verwendung von 0days durch Geheimdienste und
auch sonstige deutsche Behörden. Stattdessen sollten die eingesparten Gelder in die Förderung von Software-Audits
investiert werden. Die für den Ankauf vorgesehenen Mittel sollten in eine gute personelle und materielle Ausstattung für
Auditierungen von auf Open Source basierender Software fließen, statt in einen mindestens anrüchigen Schwarzmarkt
Gelder zu stecken und erheblichen Schaden im IT-Sektor in Kauf zu nehmen. Deutsche Behörden und Unternehmen
sollten zudem verpflichtet werden, im Rahmen einer " responsible disclosure" alle ihr bekanntgewordenen kritischen
Sicherheitslücken zu veröffentlichen. Quelle:
57
