Vier Duitse deelstaten geven toepassen van spyware toe

De Duitse deelstaten Baden-Württemberg, Beieren, Brandenburg en Nedersaksen geven toe dat zij de onlangs ontdekte Bundestrojaner-spyware inzetten voor opsporingsdoeleinden. Vanuit de politiek wordt een diepgaand onderzoek geëist.

Afgelopen weekend publiceerde de Chaos Computer Club gegevens en de binary van een spionagetool die zij 'Bundestrojaner' doopte. Met de software kon niet alleen voip-verkeer afgetapt worden, maar een overheidsinstantie zou via een backdoor ook bestanden kunnen verwijderen of screenshots kunnen maken. Daarmee overtreedt de Bundestrojaner volgens de hackersorganisatie de wet die stelt dat alleen heimelijk voip-gesprekken afgeluisterd mogen worden. Daarnaast verstuurde de malware onversleuteld de verzamelde data, waardoor de kans op misbruik van deze data groot zou zijn.

Volgens de verantwoordelijke overheden van de vier Duitse deelstaten wordt de spyware echter binnen de wettelijke kaders toegepast. In Nedersaksen zouden opsporingsdiensten de Bundestrojaner sinds twee jaar inzetten, terwijl in Brandenburg de spyware momenteel in één zaak wordt gebruikt. Joachim Herrmann, minister in Beieren, heeft een onderzoek naar het gebruik van de omstreden software toegezegd.

Op nationaal niveau heeft minister van justitie Sabine Leutheusser-Schnarrenberger een gecombineerd onderzoek geëist van zowel de federale overheid als de deelstaten, zo meldt de Deutsche Welle. Volgens de minister moet de privacy van de burger niet in gevaar komen door bedreigende initiatieven vanuit de overheid.

De Chaos Computer Club heeft inmiddels laten weten er vrijwel zeker van te zijn dat de Bundestrojaner van Duitse makelij is en door, of in opdracht van, de overheid is ontwikkeld. Ook zou de spyware zich lenen voor misbruik vanuit de overheid, bijvoorbeeld door vervalst bewijsmateriaal naar een besmette pc te uploaden.

Wat de politieke consequenties van de spyware-rel zullen zijn, is nog onduidelijk, maar in Duitsland ligt het van staatswege bespioneren van burgers zeer gevoelig. Inmiddels is de Bundestrojaner op de lijst van een groot aantal antivirusbedrijven geplaatst.

Reacties (38)

Grappig, ... Maar ik ben wel heel benieuwd hoe ze te werk gaan om dit stukje spyware op een bepaald station te krijgen dat ze willen inventariseren. Ze moeten natuurlijk heel doelbewust een systeem toegankelijk krijgen, en volgens mij mag dat ook niet...

In Duitsland mag het wel, zie ook http://www.welt.de/print/...ojaner-in-Lederhosen.html. Al sinds 2008 is het gebruik van trojans door de politie daar toegestaan.

Een advocaat heeft bekend gemaakt dat bij de invoer van een PC de bunder trojaner door de douane is geinstalleerd ...

Heeft iemand een lijst met mensen die hierdoor uit hun functie zijn ontheven? Of is dat niet gebeurd?

Dat is niet gebeurd. De verantwoordelijke minister (Hermann) heeft aangegeven eigenlijk geen probleem met de trojan te hebben, omdat hij er nog vanuit gaat dat deze alleen na een gerechtelijk besluit is ingezet.

Overigens is dit niet helemaal nieuw, de Duitse overheids-achterdeur wetgeving is al vaker in het nieuws geweest. Alleen als duidelijk wordt dat de trojan ook bij 'onschuldigen' terecht is gekomen of de politiek radicaal van mening veranderd zullen er wellicht spreekwoordelijke koppen gaan rollen...

Ook zou de spyware zich lenen voor misbruik vanuit de overheid, bijvoorbeeld door vervalst bewijsmateriaal naar een besmette pc te uploaden.

Een beetje creatieve advocaat kan dus op een PC gevonden bewijs ongeldig laten verklaren als die trojan er aangetroffen is. Handig.

Bij een huiszoeking kan een politie agent ook stiekem bewijsmateriaal neerleggen, en dan 'ontdekken'. Die redenatie trend is wat dat betreft niet nieuw.

Maar een huiszoeking is dan ook openlijk. Dat komen ze niet 's nachts via het doucecelraampje doen.
Je kan er (wziw) ook bij zijn.


Gebruik van een trojan, die in de eerste plaats de wet al overtreed, legt im mijn idee de bewijslast nog eens extra bij de politie. Toon maar aan dat ze het niet geupload hebben, want ze zijn toch al uiterst schimmig met het onderzoek bezig geweest.

Ja, dat zou je denken... helaas is dat in Nederland niet zo. Ze kunnen gewoon de huiszoeking doen zonder dat er iemand bij aanwezig is, wat ze dan allemaal neerleggen/vinden tsja... daar moet je de Politie maar op vertrouwen

[...]


Een beetje creatieve advocaat kan dus op een PC gevonden bewijs ongeldig laten verklaren als die trojan er aangetroffen is. Handig.

Als het onrechtmatig is verkregen, door middel van computer vredebreuk.. Door middel van hacken/inbreken , virus, spyware.. Ja dan vindt ik het niet meer dan logisch

het voordeel is dat er niet meer kan worden aangetoond door de aanklager dat er niet met bewijs is geknoeid, dit omdat de trojan meer kan dat wettelijk is toegestaan.

Ik ben nog steeds erg benieuwd hoe de trojan op de target PC terecht zou zijn gekomen. De standaard kanalen (advertenties, XSS of phishing mailtjes) zijn niet erg gezicht om een specifiek persoon te targetten. Je zou dus of direct toegang moeten hebben tot een systeem, of een bestaande backdoor moeten misbruiken.

Ik heb het vermoeden dat dit weer zo'n sneeuwbalzaak wordt. Een zaak waarbij de gebruikmakende partijen steeds talrijker blijken te zijn en de methodes van toepassing steeds meer in wettelijk 'grijze zones'.

De komst van het internet en de toename van digitalisatie zorgt ervoor dat het te makkelijk is om dergelijke zaken te doen en te moeilijk is om er een goed beeld over te krijgen. Het is een bijkomstigheid waar we slechts mee dienen te leven en er waakzaam voor te zijn.

De kans dat de huidige gevonden versie nog actief is zal bijzonder klein zijn omdat deze inmiddels door Antivirus-scanners gedetecteerd wordt!
Het kat-en-muis-spel lijkt wederom te zijn begonnen.

Hopelijk worden antispyware en antivirusmakers niet onder druk gezet om dit soort spyware te negeren bij detectie...

In Duitsland zullen wel wat scenario's opduiken waar de DDR om de hoek komt als vergelijking. Dit zal weg een rel worden met heel wat gevolgen.

[Reactie gewijzigd door Anoniem: 238498 op 11 oktober 2011 13:18]

Volgens de verantwoordelijke overheden van de vier Duitse deelstaten wordt de spyware echter binnen de wettelijke kaders toegepast.

lol ja zo kan ik het ook. zelf de wetten maken, en dan vervolgens zeggen dat je spyware aan de wetten voldoet xDD

edit voor hieronder: trojan op pc krijgen is best makkelijk denk ik als overheid zijnde.
hebt ip van 'victim', dus ook isp, browser data etc.

polizei: jo isp, als ip dit en dit met browser dat en dat een .exe probeert te downloaden, filter dat uit en vervang het een keer door een ander aan.
isp: ... uh oke

niks vermoedende user (draait programma): "uhhhh error 1337 waarschuwing, download bestand overnieuw"... <- durrr.. op-niew down-load-en..? uhh.. oke... <klik> he ja 2e keer doet ie wel, owkeeyy, verder met waar ik gebleven was

polzei & isp : super toll. danke und aufwiedersehen!

[Reactie gewijzigd door BoozeWooz op 11 oktober 2011 12:33]

Je vergeet dat onder bepaalde omstandigheden de overheid (politie/justitie) de wet mag overtreden. Of eigenlijk beter: dat de wet uitzonderingen heeft.

Voorbeeld: Afluisteren is normaal gesproken verboden. Maar de politie mag wel degelijk een telefoon afluisteren, wanneer daar in het belang van een onderzoek door de rechter toestemming voor is gegeven.

Vanuit dat opzicht is het dus best mogelijk dat de spyware binnen de wettelijke kaders is toegepast.

[Reactie gewijzigd door AHBdV op 11 oktober 2011 12:21]

Ehhh, de AIVD tapt ook, maar dan zonder toestemming van de officier/rechter. Dat is 'zogenaamd' ook juridisch verantwoord, maar hoe wenselijk is het eigenlijk als de overheid haar eigen wetten 'mag' overtreden zonder enige toetsing door derden ?

Dat is wel een beetje de discussie die nu in de wetenschap gaande is rond overheidsbeleid in een notendop.

Vanuit klassiek 'rechtsstaat' denken is dit natuurlijk niet wenselijk. Er is echter ook het perspectief dat burgers 'consumenten' zijn en de overheid de 'producent' is van 'veiligheid'. Veel van deze consumenten vinden het leveren van het product belangrijker dan het voldoen aan wettelijke eisen.

Omdat de overheid tegenwoordig vaak buiten democratisch toezicht functioneert kan het zo zijn dat onder meer:
- De intensiteit van maatregelen versterkt wordt. De overheid is 'servicegerichter' ipv. gericht op wetgeving en bureaucratische uitvoering.
- De maatregelen verborgen worden gehouden (niet eens altijd bewust)
- Mensen die buiten het consument-producent netwerk vallen benadeeld worden.
- Zaken niet meer vooraf politiek/publiek besproken kunnen worden.

Ik was 2 jaar geleden bij een rede van een prof in Amsterdam die er ook wel wat interessants over te melden had. Na te lezen op: http://dare.ubvu.vu.nl/bi...5359/1/Oratie_Trommel.pdf
Hij liet ook nog een filmpje zien over waar de overheid zich ondertussen allemaal mee bemoeit en waar met betrekking tot onze menselijkheid toe kan leiden:
http://www.youtube.com/watch?v=8EoukRWQ-ec

Afluisteren is normaal gesproken verboden. Maar de politie mag wel degelijk een telefoon afluisteren, wanneer daar in het belang van een onderzoek door de rechter toestemming voor is gegeven.

En vervolgens ook de hele kring rondom de verdachte, dus door wie hij gebeld wordt en met wie hij zelf belt. Blanco volmacht. Een naaste zal maar verdacht worden; staat jouw hebben en houden ook in een dossier.

Je vergeet dat er wel een verschil is tussen wetgevende macht, de uitvoerende macht en de rechterlijke macht.

Op papier wel, maar als het daar net zo gaat als in nederland dan werken de uitvoerende en wetgevende macht wel steeds meer samen om de rechterlijke macht buiten spel te zetten. (Om deze te 'ontlasten')

snel proces, mooi voorbeeld daarvan. De overheid wil dat de openbare aanklager zelf straffen mag op leggen in "simpele" zaken, waar de dader "duidelijk" is , dat is dus wat we niet willen.

Maar dit is dan weer vaak omdat de rechterlijke macht zich graag ontlast ziet worden. Dus een soort delegering naar de uitvoerende macht toe. Een simpel voorbeeld: de wet Mulder waar overtredingen uit het strafrecht werden ondergebracht in bestuursrecht. Zie: http://nl.wikipedia.org/w...ing_verkeersvoorschriften

Om te zeggen dat je iets dergelijks niet direct wil lijkt me wat kort door de bocht. Om zelf kort en bondig te zijn: je hebt immers nog steeds recht op een advocaat, maar je kunt er voor kiezen om akkoord te gaan met de straf die kort opvolgend zal worden opgelegd. Voor de verdachte die dader is kan het voor hem dus snel afgedaan zijn. Voor de verdachte die geen dader is (of niet wil zijn of niet is) kan deze de zaak voortzetten met een advocaat.

_{Edit: nog even een link toegevoegd}

[Reactie gewijzigd door -MD- op 11 oktober 2011 21:03]

Laten we hopen dat een ISP niet de macht heeft om een download te masqueraden door een andere Het is in elk geval niet mogelijk op de manier die je schetst en daarbij; alleen deep packet inspection door ISP's is al omstreden..

In welke landen zou deze methode nog meer gebruikt worden? Vast ook in Nederland, we leven hier toch al in een Big Brother staat.

Ik denk niet in Nederland, omdat onze overheid 'te dom' voor IT is; zie eerdere politie/militaire/AIVD debakels (en het feit dat de overheid eraan vast houdt dat ICT 'experts' niet meer mag verdienen dan een agent op straat).

Landen waar het - zeer, zeer - vermoedelijk wel gebeurd: USA, Engeland, Israel, Rusland en waarschijnlijk ook China. Waarom: veel politieke en militaire belangen en dus 1) motief, 2) kennis en kunde, 3) politieke wil.

Hmmm ze kopen toch ook afluisterapparatuur in van Isreal. Misschien kopen ze er ook wel trojans, oh ja maar dan kunnen alleen de Israëliërs erbij

Of Nederland een Big Brother staat is weet ik niet, ik ken de wetten niet! Echter moest ik de laatste paar dagen denken aan de KeyNote van Rop Gonggrijp tijdens 27C3.

http://rop.gonggri.jp/?p=438

In de eerste paar alinea's gaat hij in op het verschil van rechtstaat tussen Duitsland en Nederland.