Quellcodeprüfung ist notwendig

Um sicherzustellen, dass die Software tut, was sie soll, ist nach Schaars Ansicht eine Prüfung des Quellcodes notwendig. Er kritisiert, dass eine ausreichende Prüfung der Software nicht stattgefunden habe. Alternativen zur Quellcodeansicht sind für ihn "nicht ersichtlich". Die Behörden waren deswegen seiner Ansicht nach "nicht in der Lage, die Funktionalität der von ihnen eingesetzten Programme zu beurteilen". Insbesondere, da sogar eine hinreichende Programmdokumentation fehlte, wie Schaar in dem Bericht bemängelt.

Der Ansicht, dass die Softwarebeurteilung anhand des Binärcodes ausreichend ist, widerspricht er. Es sei nicht möglich, das Fehlen einer Funktion so zu beweisen. Obendrein habe das ZKA seine Trojanerversion nicht einmal gespeichert. Die Rechtmäßigkeit des Softwareeinsatzes kann also nicht mehr überprüft werden. Schaar bemängelt zudem mangelnde Dokumentation und mangelnde detaillierte Kenntnis zur Software bei den Behörden, die diese einsetzen.

Er kritisiert ferner, dass der Schlüssel für die verschlüsselte Kommunikation nicht ausreichend geschützt ist. Unbefugte Dritte mit Zugriff auf den Binärcode können mit entsprechenden Kenntnissen den geheimen Schlüssel "zur Kenntnis nehmen". Schaar kommt zu dem Schluss, dass ZKA und BKA gegen §9 des Bundesdatenschutzgesetzes verstoßen haben. Er bemängelt zudem Verstöße bei der "Authentisierung". Nicht bewerten möchte er nach eigener Aussage, ob die Überwachung der Sexgespräche von vornherein unzulässig war. Auch dass die Staatsanwaltschaft aus technischen Gründen diese Gespräche nicht löschen wollte, sei nicht sein Beurteilungsbereich, erklärte er. Er sehe aber einen strukturellen Mangel, verglichen mit klassischer Telekommunikationsüberwachung. Hier ließen sich pikante Gespräche entfernen.

Die Erkenntnisse des Bundesdatenschutzbeauftragten widersprechen eindeutig den Äußerungen einiger Politiker, die beim Einsatz des Staatstrojaners keine Schwachstellen sehen. Ole Schröder (CDU) behauptete beispielsweise noch im Oktober, dass die Software ausreichend überprüft werde und es eine effektive Verschlüsselung gebe. Schröder verteidigte den Staatstrojaner unter anderem damit, dass der CCC eine drei Jahre alte Version gehabt habe. Schaar hat allerdings mit aktuellen Softwareversionen die Schwachstellen bestätigen können.

Video: Dr. Ole Schröder verteidigt den Staatstrojaner Alle Videos auf Golem.de

Insgesamt liefert das Dokument einen interessanten Einblick, auch in die Verfahrensweisen im Umgang mit der Schadsoftware. In einigen Punkten unterscheiden sich die Verfahren von BKA und ZKA. Letzteres nutzt beispielsweise die Nachladefunktion der Software nicht.

Der Datenschutzbericht ist datiert auf den 31. Januar 2012. Er wurde vom Bundesdatenschutzbeauftragten als "Verschlusssache - Nur für den Dienstgebrauch" eingestuft. Das ist eine Geheimhaltungsstufe, wenn auch eine recht niedrige. Sie schreibt vor, dass "ungeeignete" Personen von dem Dokument nicht erfahren dürfen. Dazu heißt es beispielsweise in einem PDF-Merkblatt des Bundes: "VS des Geheimhaltungsgrades VS-NfD dürfen nur Personen zugänglich gemacht werden, die im Zusammenhang mit der Auftragsdurchführung oder bei der Auftragsanbahnung Kenntnis erhalten müssen (Grundsatz "Kenntnis nur, wenn nötig")."