Endlich Durchsuchungen bei Gamma/FinFisher

Gamma/FinFisher stellt Staatstrojaner her – Schadsoftware, die von Geheimdiensten und Strafverfolgungsbehörden eingesetzt wird. Der Staat hackt seine Bürger – in Demokratien ist das ein heiß diskutiertes Thema. Zuletzt habe ich 2017 dazu als Sachverständiger im Rechtsausschuss des Bundestags Auskunft gegeben: Risiken für die innere Sicherheit beim Einsatz von Schadsoftware in der Strafverfolgung.

Einsatz gegen Oppositionelle

In Diktaturen wird weniger diskutiert, sondern einfach gemacht. Entsprechend häufen sich seit Jahren die Hinweise, dass Gamma/FinFisher in Staaten den Schwerpunkt seiner Kundschaft hat, die nicht für ihre Demokratien bekannt sind: In Ländern wie Bahrain, Ätiopien, Ägypten, und Türkei wurde die Software eingesetzt – natürlich nicht gegen Kriminelle, sondern gegen politische und journalistische Opposition.

Wie kann es sein, dass ein deutsches Unternehmen “Cyberwaffen” an Diktaturen der Welt exportiert? Unterliegen solche Produkte keinen Exportbeschränkungen?
Doch. Natürlich tun sie das.

Exportbeschränkungen

Und genau diese Exportbeschränkungen scheinen umgangen worden zu sein, als die Software im Sommer 2017 gegen die türkische Oppositionsbewegung eingesetzt wurde. Der Nachweis gestaltet sich aber schwierig: Die Exportrestriktionen galten erst ab dem 18. Juli 2015. Wurde die in der Türkei 2017 eingesetzte Schadsoftware vor oder nach diesem Datum geliefert? Und lässt sich überhaupt nachweisen, dass das Sample von FinFisher stammt?

Beitrag des CCC

Der Frage nach Herkunft und Lieferzeitpunkt haben Thorsten Schröder und ich uns letztes Jahr gewidmet. Durch die Analyse von insgesamt 28 FinFisher-Samples konnten wir eine Kontinuität aufzeigen, in die sich das Sample einfügt. Außerdem konnten wir das Herstellungsdatum bestimmen: Es liegt eindeutig nach dem Inkrafttreten der Exportrestriktionen. Ergänzend zu wichtigen Ergebnissen anderer Forscher wurde unsere Analyse Teil der Grundlage einer Strafanzeige gegen das Unternehmen.

Unsere Analyse “Evolution einer privatwirtschaftlichen Schadsoftware für staatliche Akteure” umfasst 60 Seiten. Die in dem Rahmen gebauten Tools und die Rohdaten (inklusive aller Samples) haben wir auf Github veröffentlicht. Auf dem 36C3 hat Thorsten die Ergebnisse in einem Vortrag präsentiert.

Durchsuchungen

Nachdem die Strafanzeige gestellt war, passierte lange Zeit nichts. Doch gestern wurde bekannt, dass in der vergangenen Woche 15 Wohn- und Geschäftsräume im In- und Ausland vom Zollkriminalamt durchsucht wurden.
Wow!

Durchsuchungen in diesem Umfang finden nicht einfach mal so statt. Der Verdacht scheint sich also tatsächlich zu erhärten. Ein Firmengeflecht aus Briefkästen in Malaysia, Bulgarien, Pakistan und Dubai wird nun untersucht. Verwaltet werden die Unternehmen zentral aus München. Wer Exportrestriktionen umgehen will, könnte mit einem solchen Netzwerk ganz gut “Hütchen spielen.”

Zum jetzigen Zeitpunkt bleibt offen, ob der ominöse “Anwalt aus München” einen juristisch wasserdichten Weg gefunden hat, die gesetzlichen Vorgaben zu umgehen. Wenn das der Fall sein sollte, muss die Gesetzgeberin nachbessern.

Weil Software nicht materiell gebunden ist, lässt sie sich über das Internet leicht in alle Länder der Welt “liefern” – meine persönliche Vermutung ist, dass die Durchsuchungen den Nachweis liefern sollen, dass an den verschiedenen Standorten mit der gleichen Code-Basis agiert wird.

Deutschland ist und bleibt stolze Kundin

Dass Gamma/FinFisher ein äußerst zweifelhaftes Unternehmen ist, wird von niemandem mehr infrage gestellt – wahrscheinlich noch nicht einmal von den ebenfalls zweifelhaften Kundinnen.

Deutsche Strafverfolgungsbehörden wissen seit 2012, dass der Funktionsumfang der Software gegen deutsches Recht verstößt. Nun kommt auch noch der Verdacht der kriminellen Umgehung von Exportrestriktionen hinzu. Und erst vor wenigen Wochen wies Amnesty International erneut den Einsatz der Software in Ägypten nach – wie so oft, gegen Oppositionelle.

Dennoch: Das Bundeskriminalamt und die Berliner Polizei sind stolze Kundinnen des Unternehmens. Wann hört Deutschland endlich auf, dieses Unternehmen auch noch mit zu finanzieren, statt dem grundrechtswidrigen, rechtswidrigen und demokratiefeindlichen Treiben endlich ein Ende zu setzen?

Acknowledgements:

Dass wir überhaupt so viel über die Machenschaften des dunklen Geflechts mit Hauptquartier in München wissen, vielen internationalen Forscherinnen, Whistleblowern, Hackern und Journalistinnen zu verdanken: