Staatstrojaner-Hersteller Digitask: Entwickler für besondere Aufgaben

Die hessische Firma Digitask, Herstellerin des in die Schlagzeilen geratenen Staatstrojaners, ist in der deutschen Sicherheitsszene keine Unbekannte. Seit Jahren gilt der Softwareentwickler mit Sitz in Haiger als erste Adresse und Lieferant von Abhörtechnik für Telefon, Handys und SMS im Auftrag von Polizei und Behörden. Auch in Deutschland hat sich das Unternehmen zum Platzhirsch im Markt für Abhör-Lösungen entwickelt – und hat sich nach Medienberichten mit den Jahren auch eine besondere Beziehung zum Zollkriminalamt in Köln aufgebaut.

Digitask wies am Dienstag die Kritik an ihrer Arbeit zurück. Man habe nur das programmiert, was in Auftrag gegeben worden sei, sagte Rechtsanwalt Winfried Seibert in Köln, der DigiTask vertritt. Verantwortlich für den Einsatz sei immer der Auftraggeber gewesen. Auch die Kritik an der Qualität der Programmierung wollte Seibert nicht gelten lassen: "Zu der damaligen Zeit war die Software auf dem Stand der Technik", sagte Seibert. Die Experten des CCC hatten die Überwachungssoftware als dilettantisch bezeichnet.

Aber auch aus der Branche der Antiviren-Spezialisten, deren Geschäft die Abwehr von Spionage-Software jeglicher Art ist, wurde die Software aus dem Hause Digitask unterdessen mit viel Spott überzogen. "Dilettantisch programmiert" war die einhellige Meinung vieler Experten, die einen ersten Blick auf den Binärcode des umstrittenen Staatstrojaners werfen konnten. "Sicherer wäre es, einen solchen Trojaner auf dem Schwarzmarkt für 3000 Euro zu kaufen", sagte ein Antiviren-Spezialist scherzhaft. "Die verstehen wenigstens ihr Geschäft, und man bekommt auch noch Garantie auf die Leistung."

Nach vorläufigen Einschätzungen von Experten werden bei dem Staatstrojaner die ausgelesenen Daten nicht ausreichend verschlüsselt, aber dennoch über einen Server in den USA geleitet. "Das kann ein konzeptueller Kryptographie-Fehler der Software sein, möglicherweise hat die Behörde aber auch eine billigere Variante aus Kostengründen gewählt", sagte der Karlsruher IT-Sicherheitsspezialist Christoph Fischer. Eine einfache symmetrische Verschlüsselung einzusetzen, bei der der Schlüssel im Trojaner gleich mitgeliefert wird, sei auch äußerst fahrlässig. "Wenn die Daten so tatsächlich über einen Proxy in den USA gegangen sind, dann haben die Verantwortlichen ein ganz großes Fass aufgemacht", sagte Fischer.

Im Jahr 2009 brachte das Portfolio der Firma eine besondere Auszeichnung ein: Die Bürgerrechtsorganisation Foebud verlieh Digitask den Negativpreis "Bigbrotheraward", mit dem Unternehmen geächtet werden, "die in auffallender Weise den Datenschutz verletzen oder missachten". Kritisiert wurde, dass die Firma bereits vor zwei Jahren einen umstrittenen Trojaner für das Bayerische Landeskriminalamt programmiert habe. Fünf Millionen Euro soll nach den Berechnungen des Vereins an Digitask für den Auftrag geflossen sein.

Allein für das Zollkriminalamt hat die Firma zwischen 2008 und 2009 Aufträge im Gesamtwert von mehr als 2,7 Millionen Euro ausgeführt, berichtete Spiegel Online. Aber auch das LKA Baden-Württemberg sowie die Bundesnetzagentur gehören zu den Kunden. Im Jahr 2007 hatte Digitask bereits den bayerischen Behörden ein Angebot für das Ausspähen von Internet-Telefonaten unterbreitet, bei dem pro Monat ein Grundpreis von 3500 Euro für die Bereitstellung einer Capture-Software für das Abhören von Skype-Telefonaten veranschlagt wird. Hinzu kommen 2500 Euro Installationskosten und 2500 Euro für die Decodierung des der Daten pro Monat und Maßnahme.

Der Staatstrojaner läuft nur unter dem Windows-Betriebssystem, nicht auf Rechnern mit Mac OS X oder Linux. Grundsätzlich sei DigiTask jedoch in der Lage, Software für andere Betriebssysteme zu liefern – wenn ein entsprechender Auftrag vorliege, hieß es von Digitasks Rechtsvertreter. Windows-Hersteller Microsoft hat auf den von Digitask programmierten Staatstrojaner inzwischen reagiert und wie alle großen Antivirensoftware-Hersteller die Signatur des Staatstrojaners in ihre Datenbank eingepflegt. Über das Sicherheitspaket von Microsoft wird der Trojaner jetzt also abgewehrt. Zudem werde derzeit geprüft, ob Digitask mit der Nutzung von Entwicklerumgebungen von Microsoft möglicherweise Urheber- oder Markenrechte verletzt hat, sagte Thomas Baumgärtner, Sicherheitsexperte bei Microsoft.

Siehe dazu:

• Einsatz des Staatstrojaners: Zwischen fehlendem Rechtsrahmen und Verfassungswidrigkeit
• Bayern stoppt vorerst Einsatz des Staatstrojaners
• Bayerntrojaner auch in Baden-Württemberg und Brandenburg
• Staatstrojaner: Eine Spionagesoftware, unter anderem aus Bayern
• Staatstrojaner: Von der "rechtlichen Grauzone" zur Grundrechtsverletzung
• CCC knackt Staatstrojaner, Aufdeckung des Chaos Computer Clubs um den "Bundestrojaner"
• Parteien fordern Aufklärung des Skandals um Staatstrojaner
• CCC entlarvt Bundestrojaner und Sicherheitspolitik: Trotz des Urteils des Verfassungsgerichts ist der Bundestrojaner genau das Monstrum des Überwachungsstaates geworden, wie Kritiker dies prophezeit haben.

• Chaos Computer Club analysiert Staatstrojaner, Erkärung des CCC mit Link zu den Binaries des Regierungstrojaners
• Analyse einer Regierungs-Malware, Bericht des CCC über die Code-Analyse des Regierungstrojaners
• Anatomie eines digitalen Ungeziefers, CCC-Sprecher Frank Rieger in der Sonntags-FAZ über die Analyse des Regierungstrojaners

• O’zapft is: Überwachungsrepublik Deutschland, Blogposting von Thomas Stadler, Fachanwalt für IT-Recht
• Netzpolitik-Interview: Ulf Buermeyer über den Staatstrojaner

• Andreas Pfitzmann, Markus Hansen, Windei Bundestrojaner, c't 25/08, S. 86 (Online-Artikel)

• Richter Ulf Buermeyer, Prof. Dr. Matthias Bäcker, Zur Rechtswidrigkeit der Quellen-Telekommunikationsüberwachung auf Grundlage des § 100a StPO, HRRS (Online-Zeitschrift für Höchstrichterliche Rechtssprechung im Strafrecht), Oktober 2009