'Keine Antwort von Symantec und McAfee'

Golem.de: Wie sollten sich denn Securityunternehmen in der ändernden politischen Landschaft das Vertrauen der Nutzer sichern?

Hypponen: Dazu gibt es schon mehrere Initiativen, eine davon war der offene Brief von Bits of Freedom aus dem Oktober 2013. Darin wurden Antivirenhersteller die gleichen Fragen wie in unserem Gespräch gestellt. Ich habe vor zwei Wochen Bits of Freedom um das Ergebnis der Aktion gebeten. Wer hat denn gesagt, dass er Staatstrojaner nicht erkennen würde, wer erkennt sie, und wer hat gar nicht geantwortet, sind da die entscheidenden Fragen. Der Brief ging an 18 Unternehmen. Beantwortet haben ihn 9 Firmen, und alle gaben an, dass sie Regierungsmalware erkennen. Zu den Firmen, die nicht geantwortet haben, gehören Symantec und McAfee.

Golem.de: Beides US-amerikanische Unternehmen.

Hypponen: Stimmt, aber es wurden drei US-Firmen angeschrieben, die dritte ist Microsoft. Und die haben auch geantwortet, was aber noch nicht veröffentlicht wurde. Auch sie gaben an, Regierungsmalware zu erkennen, die Art der Antwort war aber anders als unsere. Wir haben das in ein paar Absätzen zusammengefasst, Microsoft brauchte zwei ganze Seiten voller Juristenjargon. Unterschrieben war das von Scott Charney. (Anm. d. Red.: Der Jurist Charney ist Microsofts Vizepräsident für Trustworthy Computing und kümmert sich um alle Fragen der Sicherheit und des Datenschutzes.)

Golem.de: Microsoft steht da durch die ersten Enthüllungen zu Prism aber auch unter besonderem Druck.

Hypponen: Genauso wie Google, und das Verrückte daran ist ja, wie sich deren Situation geändert hat: Erst mussten sie sich gegen Angriffe von Kriminellen wehren, dann gegen fremde Regierungen. Und jetzt kommen die schlimmsten Attacken von ihrer eigenen Regierung. Wer ist denn der größte Kunde von Microsoft? Die US-Regierung. Ihr größter Kunde ist also ihr schlimmster Feind. Das ist eine richtig paranoide Situation.

Golem.de: Der erste voll analysierte Staatstrojaner war 0zapftis, den der CCC entdeckt hatte. Dabei stellte sich heraus, dass die Software technisch sehr schlecht gemacht war. Hast du dafür eine Erklärung?

Hypponen: Das Unternehmen, das den bei uns übrigens R2D2 genannten Trojaner programmiert hat, hatte keine Erfahrung mit Malware. Es gibt nur sehr wenige Firmen, die hauptsächlich Malware schreiben. Außerdem müssen Behörden öffentliche Aufträge immer ausschreiben und dann an den billigsten Anbieter vergeben, und dafür bekommen sie dann auch die billigste Qualität. Aber lass mich die Frage bitte umdrehen: Das eigentlich Überraschende ist, dass auch sehr weit entwickelte Regierungsmalware aufgetaucht ist wie Red October, Flame, Stuxnet und The Mask zum Beispiel.

Golem.de: Was wundert dich daran?

Hypponen: Normalerweise verzögern sich Regierungsprojekte meistens, und sie halten fast nie ihr Budget ein. Nimm nur den Berliner Flughafen als Beispiel. Woher kommt dann auf einmal so viel Regierungsmalware von Weltklasse?

Golem.de: Ich würde sagen, das liegt an den sehr großen Budgets dafür.

Hypponen: Da hast du völlig recht, insbesondere die USA geben viel dafür aus, und sind dabei die weltweit Besten. Betrachtet man das Budget der USA für Verteidigung und die Geheimdienste zusammen und nimmt an, dass nur ein kleiner Teil davon in solche Entwicklungen fließt - dann ist das ein Riesenhaufen Geld.

Golem.de: Die Investitionen sind so hoch, dass die NSA im Ansatz von "full take" den gesamten Internetverkehr einiger Tage speichern kann. Hättest du das vor den Enthüllungen von Edward Snowden für möglich gehalten?

Hypponen: Das hätte ich nicht gedacht. Ich glaube aber nicht, dass die alles mitschneiden, sondern zum Beispiel Torrent-Traffic und Videostreams auslassen. Deren Fähigkeiten sind bemerkenswert und besser als ich es mir vorgestellt hatte.