NSA/GCHQ Hacienda: Die vollständige Kolonisierung des Netzes

Neue Dokumente, die heise online vorliegen, offenbaren die Strategie der Geheimdienste, mit Portscans ganzer Länder, der Kartierung verwundbarer Systeme und ihrer Umfunktionierung das Netz zu kontrollieren. Technische Abhilfe ist teilweise möglich.

Als streng geheim klassifizierte Dokumente der US-amerikanischen, der britischen und der kanadischen Geheimdienste, die heise online vorliegen, illustrieren, wie Ausspähen, Angriff, Kompromittierung und Übernahme von Systemen im Netz ineinander greifen. Jede offene Tür wird ausgenutzt, jede verschlossene Tür ist eine Aufforderung zum Angriff, jedes Endgerät ist ein Zielsystem ? so gehen das General Communication Headquarter (GCHQ, Großbritannien), die National Security Agency (NSA, USA) und das Communication Security Establishment (CSEC, Kanada) vor. Bei der GNU-Hacker-Konferenz am heutigen Freitag in München stellen Master-Student Julian Kirsch und Christian Grothoff, derzeit noch Emmy Nöther Lehrstuhlinhaber an der TU München, die Programme Hacienda, Mugshot und Olympia und das perfide Konzept der Operational Relay Boxes (ORB) vor.

Die beiden Wissenschaftler, die gemeinsam mit einer Gruppe von Journalisten und Journalistinnen von heise online die Dokumente ausgewertet [6] haben, warnen gleichzeitig vor einer Untergangsstimmung. Stattdessen präsentieren sie mit TCP Stealth [7] ein Tool, das den staatlichen Computersaboteuren die Arbeit erschweren soll. Klar ist allerdings: Wenn die Dokumente nicht pure Wunschträume und Allmachtsphantasien sind, dann zielen sie auf nichts weniger als eine Kolonialisierung des Netzes.

Bekannte Mittel, neue Qualität

Den Anfang dieser Kolonialisierung macht die Aufklärung: Portscans, das alte und rechtlich nicht unumstrittene Hacker Tool, dienen im HACIENDA-Programm der Suche nach verwundbaren Systemen, und das weltweit. 27 Länder habe man schon komplett gescannt, wirbt das GCHQ in der Präsentation von 2009. Das Scannen der Ports zentraler Dienste (zum Beispiel http, ssh, snmp, ftp) im großen Stil, längst erleichtert durch mächtige Tools, ist aber lediglich der erste Schritt.

Die Erkenntnisse der Scans sollen genutzt werden, um Schwachstellen auszunutzen. Das Ausnutzen noch unbekannter Softwarefehler, der Angriff mittels Zero-Day-Exploits, rechtfertigte im Frühjahr der frühere NSA-Chef Michael Hayden. Nein, man sieht sich nicht verpflichtet, bei der Absicherung zu helfen, sagte Hayden freimütig.

Schließlich bleibt das Endgerät als kompromittiertes und von den Diensten bei Bedarf fernsteuerbares System zurück, selbst kein Angriffsziel, aber möglicherweise der Schlüssel zum nächsten Zielobjekt oder doch wenigstens ein Brückenkopf für weitere „territoriale Gewinne“ auf der Landkarte des Netzes.

Angriffs- und Tarnnetze

Besonders perfide: Die Dienste nutzen ihre „Operational Relay Boxes“ ? die kompromittierten Geräte der Nutzer ?, um eigenen Datenverkehr zu verschleiern. Das ORB-Netz erlaubt verdeckte Operationen und einen „zusätzlichen Level der Nicht-Zuweisbarkeit“. Für dieses Tarnnetz auf dem Rücken Unbeteiligter gibt man sich Mühe: zwei bis drei Mal im Jahr macht man sich bei CSEC auf einen Fischzug, mit dem Ziel, innerhalb eines Tages so viel wie möglich neue „ORBs“ in so vielen nicht zum Club der fünf Dienste gehörenden Ländern zu finden.

Bei der NSA und dem GCHQ gab man sich auf Anfragen von heise online wenig überraschend nicht eben mitteilungsfreudig zu Fragen, ob diese Art der Internetkolonisierung nicht illegal ist oder sogar einem Angriff auf die nationale Souveränität gleichkomme. Die NSA-Pressestelle wollte ihrerseits wissen, auf welche Dokumente man sich beziehe, bevor man sich äußern könne.

Das GCHQ lässt in einer langen, umständlichen Mitteilung wissen, dass man zu Geheimdienstangelegenheiten keine Stellung nehme, aber „alle Aktivitäten des GCHQ innerhalb eines strengen rechtlichen und politischen Rahmens stattfinden, die absichern, dass sie autorisiert, notwendig und verhältnismäßig sind“. Angesichts des „MugShot“-Programms allerdings kann man von Verhältnismäßigkeit wohl kaum noch sprechen. Dessen erklärtes Ziel lautet: automatisch alles Wichtige über alle Maschinen im Internet verstehen, via passive oder aktive Quellen.

Für das Bundesministerium des Innern räumt ein Sprecher wenig Erstaunliches ein: „Seit Jahren werden elektronische Angriffe gegen Verwaltungseinrichtungen, Forschungsinstitute und Wirtschaftsunternehmen festgestellt.“ Und ja, Art, Herkunft und Ausrichtung sprächen dafür, dass fremde Nachrichtendienste dahinter stehen. Der Verfassungsschutz habe die Aufgabe, nachrichtendienstlich gesteuerte Cyberangriffe zu analysieren.

Ausgespäht, angegriffen, ausgenutzt

Von einer Verfolgung solcher Angriffe, oder Präzedenzfällen, weiß das BMI dagegen nichts zu berichten ? das sei Aufgabe der Staatsanwaltschaften. Zudem ist es dem Bundesamt für Verfassungsschutz und seinem Dienstherrn anscheinend egal, ob Informationen mit illegalen Methoden gewonnen wurden. „Soweit ausländische Nachrichtendiensten dem BfV für dessen gesetzliche Aufgaben Informationen übermitteln, ist dies regelmäßig nicht mit Hinweisen darauf verbunden, wie diese Informationen dort gewonnen worden sind“, teilt das BMI mit. In weltweiten Portscans der Dienste sieht das Ministerium übrigens erst einmal nur den „Versuch einer Datenausspähung“.

Über die genaue Zahl von Endsystemen, die nach Scan und Einbruch kolonisiert wurden, sagen die heise online vorliegenden Dokumente nichts aus. Auch Zahlen dazu, in welchen Ländern am meisten kolonisiert wird und wie viele Systeme in Deutschland betroffen sind, liegen nicht vor. Doch Konzipierung, die angedeutete Frequenz der Scans und die stetigen Upgrades lassen kaum Zweifel zu, dass es sich um eine große Zahl handeln muss.

Die Analyse der Dokumente sowie technischer Hintergrund zu TCP Stealth:

• NSA/GCHQ: Das HACIENDA-Programm zur Kolonisierung des Internet [8]
• English version: NSA/GCHQ: The HACIENDA Program for Internet Colonization [9]

(Monika Ermert, Jürgen Kuri, Martin Holland) / (jk [10])

hier Meinung dazu interessant