»WannaCry« und der Staats­trojaner – ein globaler Cyberangriff als Warnung

2017 legte ein Cyberangriff weltweit Krankenhäuser, Bahnen und Unternehmen lahm. Der Grund: Ein NSA-Hackerwerkzeug war gestohlen worden. Was bedeutet das für Österreichs Staats­trojaner-Pläne?

Am 12. Mai 2017 startete ein großer Cyberangriff mit WannaCry, bei dem über 230.000 Computer in 150 Ländern infiziert und jeweils Lösegeldzahlungen verlangt wurden. Europol bezeichnete den Angriff hinsichtlich seines Ausmaßes als noch nie da gewesenes Ereignis. Ebnet der in Österreich geplante Staats­trojaner, solchen Angriffen den Weg?

⊕ WannaCry basiert auf einer von der NSA geheim gehaltenen Sicherheitslücke und verursachte 2017 eine Schaden von geschätzt 8 Mrd. US-Dollar

Wie entstand WannaCry?

Der Cyberangriff nutzte eine Sicherheitslücke Konkret die Sicherheitslücke MS17-010 im SMB-Protokoll von Microsoft in Windows-Computern. Diese Lücke war dem US-Geheimdienst NSA bekannt, der sie über Jahre für eigene Zwecke verwendete, ohne Microsoft zu informieren. Erst als Kriminelle diese Werkzeuge stahlen, warnte die NSA den Hersteller. Doch da war es bereits zu spät, da das Schließen einer solchen Lücke auf Millionen von Computern naturgemäß einige Zeit benötigt.

Auswirkungen

Der Cyberangriff betraf zahlreiche global tätige Unternehmen. Darunter sind der spanische Tele­kommunikationskonzern Telefónica und einige andere große Unternehmen in Spanien, Teile des britischen National Health Service (NHS) mit mehreren Kranken­häusern, das US-Logistik­unternehmen FedEx, der französische Automobil­konzern Renault, der japanische Automobilhersteller Nissan in Groß­britannien, die Deutsche Bahn mit der Logistik­­tochter Schenker, die spanische Banco Bilbao Vizcaya Argentaria, das brasilianische Tele­kommunikations­unternehmen Vivo, das schwedische Unternehmen Sandvik, der chinesische Ölkonzern PetroChina.

Über andere Ziele in mindestens 99 Ländern wurde ebenfalls berichtet. In Rumänien war das Außenministerium betroffen. In Russland waren mehr als 1000 Computer des Innenministeriums (MWD), das Katastrophen­schutz­ministerium sowie das Tele­kommunikations­unternehmen MegaFon betroffen.

Bei der Deutschen Bahn wurden rund 450 Rechner infiziert und führten unter anderem zum Ausfall von Anzeigetafeln an vielen Bahnhöfen, von Video­überwachungs­systemen und einer regionalen Leitstelle in Hannover.

In China konnten Kunden an mehr als 20.000 Tankstellen nur noch in bar bezahlen.

Die politischen Folgen

Microsofts Präsident und Rechtsvorstand Brad Smith verwies auf wiederholtes Bekanntwerden von Exploits Exploits sind Schadprogramm, die Schwachstellen ausnutzen aus Beständen der CIA und der NSA. Er verglich diese mit dem Abhanden­kommen von Marsch­flug­körpern aus militärischen Einrichtungen. Den Regierungen wirft er vor, nicht ausreichend vor Software-Schwachstellen (Exploits) zu warnen, welche ihre Geheim­dienste entdecken:

»Wir brauchen Regierungen, die sich des Schadens für Zivilpersonen bewusst sind, der aus dem Anhäufen und Ausnutzen solcher Software-Sicherheitsprobleme entsteht.«

Obwohl die US-Regierung somit ursächlich zu diesem Angriff beigetragen hatte, schrieb ein Vertreter der US-Regierung die Verantwortung für „WannaCry“ in einem Artikel im Dezember 2017 Nordkorea zu.

Im Juli 2020 verhängte die Europäische Union (EU) diesbezüglich Sanktionen in Form von Einreiseverboten und Kontensperrungen gegen zwei Unternehmen aus China und Nordkorea, Mitglieder des russischen Geheimdienstes GRU, sowie gegen zwei mutmaßliche Mitglieder der chinesischen Hackergruppe APT10. Der US-Geheimdienst NSA, der diesen Exploit entdeckt, verschwiegen und für eigene Spionagezwecke genutzt hatte, wurde hingegen nicht behelligt.

Warum das für Österreich gerade jetzt wichtig ist

Mein Vertrauen in das österreichische Rechtssystem ist durchaus intakt und ich hätte keine Bedenken, der Exekutive gesetzlich gut abgesicherte Überwachungsmaßnahmen zur Verfügung zu stellen. Doch das ist nicht der Punkt und die diesbezüglichen Bemühungen der Neos vernebeln das eigentliche Problem.

Denn die benötigte Software ist nicht kontrollierbar, da sie zur »Messengerüberwachung« auf offene Sicherheitslücken angewiesen ist. Das Ausnutzen dieser Sicherheitslücken kann nicht begrenzt werden. So ist es durchaus denkbar, dass auch andere Staaten oder Kriminelle die davon betroffenen Geräte auslesen oder manipulieren. Solche Trittbrettfahrer fragen aber natürlich nicht zuvor bei einem Drei-Richter-Senat an, ob sie das auch dürfen. Der potentielle Schaden, beispielsweise indem eine solche Gruppe das Gesundheitssystem oder das Stromnetz lahm legt, ist weit größer, als der, den mittels Messenger­überwachung aus dem Verkehr gezogene Terroristen jemals anrichten könnten. Ein Staats­trojaner macht unser Leben daher nicht sicherer, sondern stellt schon im Regelbetrieb eine große Gefahr da. Ein allfälliger Missbrauch durch staatliche Stellen käme hier noch hinzu.

Macht uns ein Staatstrojaner vom Ausland unabhängig?

Eher nein, denn die dafür benötigte Software wird kaum von einem österreichischen Unternehmen im Alleingang herzustellen sein. Das Finden von Sicherheitslücken erfordert entweder sehr viel Zeit oder man lässt andere für sich suchen. Dann ist aber nicht klar, an wen diese anderen ihre Kenntnis noch verkaufen und wie lange eine Lücke vom Hersteller unentdeckt bleibt. Das Argument, ohne diesen Staatstrojaner blieben wir davon abhängig, dass fremde Geheimdienste uns Tipps geben, ist also auch nicht zutreffend.

Wie können Gefährder gestoppt werden?

Die eine Lösung wird es nicht geben – auch ein Staats­trojaner würde Anschläge nur weniger wahrscheinlich machen und sie nicht gesichert verhindern können. Im Folgenden eine sicherlich unvollständige Liste an Maßnahmen, die vor allem aufzeigen soll, dass es gute Alternativen zur Kommunikations­überwachung gibt.

Die wenigsten Menschen kommen als Gefährder auf die Welt, sondern entwickeln sich im Laufe ihres Lebens zu einem solchen. Wie leider erst im Nachgang zu dem Amoklauf in Graz festgestellt, könnten Maßnahmen zum Erhalt der psychischen Gesundheit dazu beitragen, dass es weniger Gefährder gibt.

Weiters werden Terroristen oftmals in öffentlich zugänglichen Unterhaltungsapps wie TikTok radikalisiert. Hierfür ist die Messenger­überwachung erst gar nicht nötig. Der noch rechtzeitig vereitelte Anschlag auf das Taylor-Swift-Konzert in Wien wurde nicht in einer geheimen Telegram-Gruppe geplant, sondern von einem auf TikTok radikalisierten Jugendlichen. Dennoch hat die Politik ein Verbot des auf Überwachung und Manipulation basierenden Geschäfts­modells von TikTok nicht ernsthaft in Erwägung gezogen.

Letztendlich könnten Kommunikationsanbieter auch verpflichtet werden, bei richterlicher Anordnung Zugänge zur verschlüsselten Messengerkommunikation herzustellen. Dieser Ansatz hat in der Vergangenheit viel – berechtigte! – Kritik auf sich gezogen. Ich könnte mir aber vorstellen, dass er immer noch das kleinere Übel wäre im Vergleich zu staatlich geförderten Sicherheitslücken, zu denen jeder Zugang hat, der sie zufällig entdeckt.

Wie kann ich mich gegen den Staatstrojaner wehren?

Derzeit wohl vor allem durch den Dialog mit dem eigenen sozialen Umfeld und das Unterzeichnen der von epicenter.works gestarteten Petition »Grundrechte schützen - Bundestrojaner stoppen!«.

Quellen

Wikipedia. WannaCry 🌐

Luke Gallin. Reinsurance News. Re-insurance to take minimal share of $8 billion WannaCry economic loss: A.M. Best 🌐

Weitere Artikel aus der
Kategorie Gesellschaftspolitik

Grundrechte in der Pandemie: Zwischen Schutzpflicht und Selbstbestimmung
Von der Allgemeinen Erklärung der Menschenrechte zur österreichischen Impfpflicht.

Welche Medien helfen, wenn Diskussionen stocken?
Vor- und Nachteile von Gespräch, Telefon, Video, Chat & Co – und warum der richtige Medienmix entscheidend sein kann.

Mut zur Veränderung: Was Politik von der Mariahilfer Straße lernen kann
Warum entschlossenes Handeln trotz Widerstand langfristig überzeugt – eine Reflexion über politische Visionen und die Bedeutung nachhaltiger Stadtentwicklung.

Zeit für Demokratie
Demokratie braucht Zeit – für Engagement, Diskussion, Beteiligung. Sich die Zeit dafür zu nehmen ist der erste Schritt.