Behörden fehlen qualifizierte Entwickler

Bleibt die Frage, warum Behörden eine solche Software extern einkaufen, beziehungsweise - wie hier geschehen - mieten? Noch dazu für viel Geld? Immerhin kostet jeder Einsatz nach Angaben des Innenministeriums 15.000 Euro. Eine Zahl übrigens, auf die ein befragter Softwareentwickler mit der Bemerkung reagierte, er habe seinen Beruf verfehlt und sollte anfangen, Trojaner an Behörden verkaufen. Denn der Trojaner ist nicht etwa für jeden einzelnen Fall programmiert worden, wie Sicherheitsbehörden und Minister immer wieder behaupten. Er ist ein halbfertiges Produkt, bei dem lediglich bestimmte Teile angepasst werden. Und auch die mangelnde Verschlüsselung könnte der Einsparung geschuldet sein. Denn Schlüssel zu ändern, aktuell zu halten und korrekt zu verwalten, kostet Zeit und Geld.

Warum also kaufte man diese Software? Die Antwort des Innenministeriums: Weil das Unternehmen in dem Feld weit vorangekommen war, als sich die Behörden dafür interessierten. Man habe 2007 eine "Marktbeobachtung" gemacht und sich dann für den damaligen Marktführer entschieden.

Warum so ein Programm nicht selbst entwickelt wurde? Böswillige Kommentatoren würden sicher sagen, dass die Behörden die Entwickler dafür nicht hatten und es gar nicht konnten. Ganz falsch ist das wahrscheinlich nicht. Malware auf diesem Niveau zu entwickeln braucht einiges Wissen und Erfahrung. Softwareentwickler mit diesen Fähigkeiten aber sind bei Behörden eher selten. Ihre Computerabteilungen sind darauf ausgerichtet, Beweise zu sammeln und zu sichern, nicht darauf, Trojaner zu schreiben.

Höchstens BKA, Zollkriminalamt (ZKA) und das Bundesamt für Verfassungsschutz haben wahrscheinlich genug Beamte, die sich mit der Materie auskennen. Zumindest erklären BKA und ZKA, sie hätten eigene Versionen eingesetzt - nicht diesen Bayerntrojaner, der offensichtlich von mehreren Bundesländern und ihren schlechter ausgestatteten Landeskriminalämtern genutzt wurde.

Das BKA ist auch die einzige Behörde, die immer wieder auf einen "eigenen technischen Weg" verweist, zumindest bei der Onlinedurchsuchung. Bei dieser, die rechtlich noch heikler ist als die Quellen-Telekommunikationsüberwachung, wollten sich die Ermittler offensichtlich nicht auf ein mittelständisches Unternehmen verlassen. Man habe, heißt es, ein "eigenes Produkt". Wie gut es ist? Der Chaos Computer Club wird sicher auch das herausbekommen. [Der Artikel erschien zuerst bei Zeit Online]