Warum wir wieder über den Bundestrojaner diskutieren (müssen)

Ein vereitelter Anschlag auf die Pride führt dazu, dass die Polizei die Diskussion um den Bundestrojaner neu aufwärmt. Dabei hat der Verfassungsgerichtshof schon 2019 entschieden: Nein. Denn der Bundestrojaner kommt mit vielen Nachteilen im Gepäck.

Mit der Verhaftung von drei mutmaßlichen Jihadisten Mitte Juni, die einen Anschlag auf die Pride-Parade in Wien geplant haben sollen, ist eine Debatte losgebrochen, die schon vor ein paar Jahren hitzig geführt wurde: Soll der Staat Spionagesoftware, den sogenannten Bundestrojaner, verwenden dürfen?

Der Verfassungsgerichtshof untersagte 2019 den Einsatz der Spionagesoftware, trotzdem wollen Verfassungsschutz und Innenminister Gerhard Karner (ÖVP) den Bundestrojaner einsetzen.

Mit dem Bundestrojaner soll es Sicherheitsbehörden ermöglicht werden, verschlüsselte Kommunikation mitzulesen, die via Messengerdienste wie WhatsApp, Signal oder Telegram geführt wird. Dazu muss die Software unbemerkt auf Rechnern oder Smartphones installiert werden. Fortan kann jeder Mucks weitergeleitet werden, so wie bei einem typischen Computertrojaner.

Es ist eine vergleichsweise günstige Möglichkeit, Personen rund um die Uhr zu überwachen. Der Bundestrojaner kann alle gespeicherten Daten abziehen, auch die Fotos und das Adressbuch. Das Mikrofon macht er zur Wanze, die Kamera zur Videoüberwachung, Tracking-Apps liefern zuverlässiger den Standort als jedes Observationskommando. Alles unbemerkt aus der Ferne und per Mausklick.

Alter Wein in neuen Schläuchen

Ausgelöst hat die aktuelle Debatte der Chef der Direktion Staatsschutz und Nachrichtendienst (DSN), Omar Haijawi-Pirchner, der bei einer kurzfristig einberufenen sonntäglichen Pressekonferenz nicht nur über den vereitelten Anschlag redete___STEADY_PAYWALL___, sondern die Gelegenheit nutzte, um mehr Überwachungsbefugnisse zu fordern. Hauptsächlich geht es ihm dabei um den Bundestrojaner. Unterstützt wird die Forderung von Innenminister Karner.

Dem Einsatz derartiger Spionagesoftware hat der Verfassungsgerichtshof (VfGH) allerdings bereits 2019 einen Riegel vorgeschoben. Die Verfassungsrichter*innen sahen in der Spionagesoftware einen zu großen Eingriff in die Privatsphäre der Betroffenen und erklärten ihren Einsatz für verfassungswidrig. Damit war das Thema für die damalige türkis-blaue Regierung wieder vom Tisch.

Im aktuellen schwarz-grünen Regierungsprogramm taucht der Bundestrojaner wieder auf: „Prüfung der Schaffung einer verfassungskonformen Regelung zur Überwachung unter anderem für verschlüsselte Nachrichten im Internet unter Berücksichtigung des VfGH-Entscheids vom Dezember 2019“, ist dort zu lesen. Allerdings wurde bis heute keine verfassungskonforme Lösung gefunden, zusätzlich bremsen die Grünen, die sich schon immer gegen den Einsatz von Spionagesoftware ausgesprochen haben. „Die Gefahren einer solchen Maßnahme überwiegen ihren Nutzen", heißt es zur aktuellen Diskussion seitens des Grünen Parlamentsklubs. Süffisanter Nachsatz: „Von den Forderungen des ÖVP-geführten Innenministeriums sind wir überrascht, da sich die Partei zuletzt stets gegen die Auswertung von Chats und Mobiltelefonen gewehrt hat.“

Skandal um Pegasus

Im Juli 2021 hat ein Bundestrojaner für Skandale und Schlagzeilen gesorgt. Da veröffentlichten Investigativ-Journalist*innen einen Bericht über den Missbrauch der Spionagesoftware Pegasus des israelischen Herstellers NSO durch Staaten wie Saudi-Arabien oder Aserbaidschan. Die Software wurde nicht nur an Autokraten verkauft, sondern auch in Europa zur Überwachung von Oppositionellen und Journalist*innen, die über Korruption berichten, eingesetzt. Etwa in Ungarn.

Auch auf Smartphones des engsten Umfelds des oppositionellen saudischen Journalisten Jamal Khashoggi wurde Pegasus gefunden. Khashoggi wurde 2018 von einem Killerkommando im Auftrag des saudischen Königshauses ermordet, nachdem er das Konsulat seines Heimatlandes in Istanbul betreten hatte.

Als Reaktion auf die Pegasus-Enthüllungen will die EU-Kommission ein Gesetz auf den Weg bringen, das Journalist*innen vor Überwachung schützen soll. Denn mit Hilfe von Spionagesoftware wie Pegasus wäre es ein Leichtes, Informant*innen ausfindig zu machen und somit investigative Recherchen zu torpedieren. Der Gesetzesvorschlag der EU-Kommission sieht dementsprechend auch vor, den Einsatz von Staatstrojanern gegen Journalist*innen ausdrücklich zu verbieten.

Frankreich will Blankoscheck im Namen der „nationalen Sicherheit“

Dagegen wehren sich einige EU-Staaten, wie eine gemeinsame Recherche von Netzpolitik.org und Investigate Europe zeigt. Dem Rechercheteam liegen Dokumente vor, denen zufolge sie im Rat der EU-Staaten versuchen, die Schutzbestimmungen für Journalist*innen durch eine generelle Ausnahme für die „nationale Sicherheit“ auszuhebeln.

Konkret fordert Frankreich eine entsprechende Ausnahme in Brüssel. Nach einem irreführenden Dokumentenvermerk der Europarats-Arbeitsgruppe stellt das Büro der zuständigen österreichischen Medienministerin Susanne Raab (ÖVP) klar: „Österreich hat keine Bereichsausnahme für nationale Sicherheit gefordert und diese auch nicht unterstützt, weder in den Ratsarbeitsgruppen noch im Rat selbst.“

Geheimdienstinformationen im Gerichtsakt gefährdeten nationale Sicherheit

„Nationale Sicherheit“ spielt auch bei den Ermittlungen gegen die drei mutmaßlichen Jihadisten eine Rolle, die den Anschlag auf die Pride geplant haben sollen. So tauchten in Medien Details zur Verdachtslage auf, die „Ermittlungen beeinflussen könnten“, wie DSN-Chef Haijawi-Pirchner sagte.

Diese Informationen fanden sich in den Ermittlungsakten, die von Verdächtigen und ihren Anwält*innen eingesehen werden können. In Folge zitierten Medien aus diesen Akten. So soll ein ausländischer Nachrichtendienst die DSN schon im März vor einem geplanten Anschlag auf die Pride-Parade gewarnt haben. Auslöser dafür sollen Chats gewesen sein, in denen einer der drei Verdächtigen den Kauf von Waffen ankündigte.

Als Verfassungsschützer sehe er es als problematisch an, wie bei Gerichtsverfahren mit nachrichtendienstlichen Informationen umgegangen werde, sagte Haijawi-Pirchner. In anderen Ländern sei es möglich, die Akteneinsicht zu beschränken, wenn nachrichtendienstliche Informationen enthalten sind. Wenn Informationen von ausländischen Partnerdiensten in Österreich öffentlich werden, könne das nicht nur die Zusammenarbeit behindern, sondern auch „die nationale Sicherheit gefährden“, warnte der DSN-Leiter.

Seit Jahren wird über den Bundestrojaner diskutiert

Seit weit über einem Jahrzehnt fordern heimische Sicherheitsbehörden den Bundestrojaner, stets werden sie dabei vom jeweiligen Innenminister oder der jeweiligen Innenministerin unterstützt. Wie alt die Diskussion ist, zeigt sich daran, dass das Wort „Bundestrojaner“ bereits 2007 zum Wort des Jahres gewählt wurde, da es in „knapper Form und zugleich auf pointierte Weise auf aktuelle Entwicklungen“ verweise, die „höchst umstritten“ seien. Im Jahr 2011 wurde bekannt, dass Ermittlungsbehörden Spionagesoftware ohne gesetzliche Deckung einsetzten. Ziele waren damals ein Islamist und Tierschützer*innen.

Neben der politischen Diskussion stellen sich auch auf technischer Seite Fragen. Ist die Spionagesoftware installiert und in Betrieb, gibt es ein weiteres Problem: Wenn Polizist*innen unbemerkt in das Handy eindringen können, dann könnten sich auch andere Zugriff verschafft haben, und die gefundenen Daten könnten bereits von anderer Seite manipuliert worden sein.

Auch ist es nicht gerade einfach, Spionagesoftware unbemerkt auf Handys oder Rechnern zu installieren. Dafür müssen Sicherheitslücken in Apps oder in Betriebssystemen ausgenutzt werden. Über diese Lücken gelangt die Software an ihr Ziel. Und damit gibt es ein Problem: Wer eine derartige Spionagesoftware entwickelt, hält diese Sicherheitslücken geheim. Denn sobald eine Lücke bekannt wird, wird sie auch schnell geschlossen. Es würde dem Geschäftsmodell der Spionagesoftware-Hersteller widersprechen, die Öffentlichkeit davor zu warnen.

Geheimgehaltene Sicherheitslücken könnten auch von Kriminellen oder Staaten wie Nordkorea, Russland oder dem Iran entdeckt und etwa für Angriffe auf kritische Infrastruktur oder für andere verbrecherische Machenschaften ausgenutzt werden. Oder von unzufriedenen Mitarbeiter*innen. Dies soll der mittlerweile nicht mehr tätigen Wiener Softwarefirma DSIRF passiert sein, deren Staatstrojaner Subzero unter anderem gegen eine Wiener Anwaltskanzlei eingesetzt worden sein soll.

Untersuchungshaft beendet

Zurück zum vereitelten Anschlag auf die Pride-Parade mit hunderttausenden Teilnehmer*innen. Der 20-jährige Verdächtige wurde einen Tag nach seiner Verhaftung wieder freigelassen, weil kein dringender Tatverdacht besteht. Die beiden minderjährigen Verdächtigen befinden sich noch in Untersuchungshaft. Der Rechtsanwalt eines der beiden Minderjährigen, Andreas Schweitzer, rechnet damit, dass der Richter bei der Haftprüfung am Freitag beide entlassen wird.