Bundestrojaner: So funktioniert die Chat-Überwachung

Der vereitelte Terror-Anschlag auf ein Taylor-Swift-Konzert in Wien entfachte erneut die Diskussion um einen österreichischen Bundestrojaner. Die Polizei brauche laut Innenminister Gerhard Karner "moderne Instrumente", um Terrorismus zu bekämpfen. Die futurezone gibt einen Überblick, worum es sich dabei überhaupt handelt.

➤ Mehr lesen: Sicherheitsexperte: "Ein Staatstrojaner ist zeitgemäß"

Was ist ein Trojaner?

Als Trojaner wird Schadsoftware bezeichnet, die heimlich auf Geräten wie Computer, Laptop oder Smartphones installiert wird. Die Software kann dort unbemerkt Daten auslesen und an Dritte übermitteln. Anders als Viren und Würmer haben Trojaner nicht das Ziel, sich zu vermehren und sich auf anderen Geräten zu verbreiten. Die Grenzen sind allerdings fließend.

Kriminelle nutzen Trojaner etwa, um an Bankdaten und dazugehörige Passwörter zu gelangen. Andere Programme können etwa private Nachrichten auslesen oder das Gerät komplett aus der Ferne steuern. Staatstrojaner bzw. Bundestrojaner haben ähnliche Funktionen, sind allerdings per Gesetz legitimiert.

Wie kommt der Trojaner aufs Smartphone?

Die Programme werden oft über sogenannte Phishing-Nachrichten verbreitet. Dabei erhält das Opfer eine SMS, durch die es dazu verleitet wird, auf einen Link zu klicken. Ist das passiert, wird das Programm im Hintergrund auf dem Gerät installiert.

➤ Mehr lesen: Bundestrojaner überall? Wie in Europa Chats überwacht werden

“Es gibt allerdings auch Varianten, wo der Nutzer nicht mithelfen muss”, sagt Wolfgang Rosenkranz vom Computer Emergency Response Team (CERT.at) zur futurezone. “Diese Programme sind entsprechend teurer.” Auf Smartphones oder Computer können solche Trojaner beispielsweise über manipulierte Funk- bzw. WLAN-Netzwerke gelangen.

Was kann ein solches Programm?

Die Funktionen von solchen Programmen sind vielfältig. “Manche Programme machen lediglich Screenshots von Bildschirmen, andere können das Gerät quasi fernsteuern”, sagt Rosenkranz. Sogenannte Keylogger zeichnen etwa jede Eingabe auf, die auf einem Gerät getätigt wird, inklusive Passwörter. Trojaner werden außerdem dazu genutzt, um Gespräche aufzuzeichnen, Messenger-Apps abzuhören, den Standort zu ermitteln, Dokumente und Fotos unbemerkt an Dritte zu übertragen, auf den Browserverlauf zuzugreifen, gespeicherte Passwörter auszulesen und die Kamera und Mikrophon des Smartphones zu aktivieren. Manche Trojaner können sich sogar selbst zerstören, was den Nachweis eines solchen Programms erschwert.

➤ Mehr lesen: EU-Parlament: Österreich hat Verbindungen zu Spyware "Pegasus"

Sind verschlüsselte Messenger sicher?

Nein. Die Verschlüsselungsmethoden von WhatsApp, Signal und Co. werden zwar nicht geknackt, Trojaner blicken einem beim Tippen aber sprichwörtlich über die Schulter. Sogenannte End-to-End-Verschlüsselung wirkt zwar gegen Angriffe auf den Kommunikationskanal, am Endgerät müssen die Nachrichten aber zwangsläufig wieder entschlüsselt werden, um vom Nutzer gelesen werden zu können. Hier schlägt der Trojaner zu.

Woher kriegt man einen Staatstrojaner?

Es gibt einige Unternehmen, die solche Programme anbieten. Die bekannteste Firma ist das israelische Unternehmen NSO Group mit ihrer Software “Pegasus", die zum Ausspähen von iOS- und Android-Geräten verwendet wird und als einer der umfangreichsten Trojaner auf dem Markt gilt. Staaten können ihre Bundestrojaner aber auch selbst entwickeln. Das Programm RCIS-Mobile vom deutschen Bundeskriminalamt ist etwa darauf ausgelegt, bei Messenger-Apps am Smartphone mitzulesen.

➤ Mehr lesen: Mächtige Spionagesoftware: So funktioniert Pegasus

Wie kann man sich schützen?

Trojaner nutzen bestehende Sicherheitslücken in Betriebssystemen und Apps, um sich auf Geräten einzunisten. “Es gibt Firmen die gezielt Schwachstellen von Sicherheitsforschern einkaufen”, sagt Rosenkranz. “Gleichzeitig gibt es auch Personen, die aktiv nach solchen Lücken suchen und diese verkaufen.” Je nach Schwere einer solchen Schwachstelle werden Hunderttausende oder sogar Millionen Euro dafür geboten. 

Hersteller können bestehende Schlupflöcher zwar durch Updates stopfen, die Gegenseite findet aber genauso schnell wieder neue Schwachstellen. Relativ sicher sind hingegen kaum bekannte Betriebssysteme abseits von Android und iOS - Angreifer konzentrieren sich nämlich eher auf weit verbreitete Systeme.