dimis blog

Ich habe mir mal den geleakten Bericht des Bundesdatenschutzbeaftragten durchgelesen und einige Punkte zusammengetragen:

Vorneweg: Wie schon aus den Medien bekannt ist das Löschen von Teilen einer Aufnahme im DigiTask-System nicht vorhergesehen. Es können nur gesamte Aufnahmen gelöscht werden, nicht aber Teile einer Aufnahme. Das gilt sowohl für das ZKA als auch für das BKA.

BKA

• Seite 11: In einem Verfahren beobachtete das BKA einen”DSL-Anschluss in einem Internetcafe”. In den Medien wurde dieser Fall bekannt, weil Gespräche aus dem  ”Kernbereich privater Lebensgestaltung” aufgenommen wurden. Mich würde interessieren wie das BKA einen DSL-Anschluss eines Internetcafes so überwacht hat, dass nur Gespräche des Beschuldigten aufgenommen wurden?
• Seite 12: Welche Gesprächsteile zum Kernbereich der privaten Lebensgestaltung wird in einem mehrstufigen Verfahren bewertet: Der Sachbearbeiter, der die Tonaufnahmen anhört, markiert kritische Stellen. Diese Stellen gibt er dem Ermittlungsführer. Dieser bewertet diese Stelle und legt sie dann dem Staatsanwalt vor, der entscheiden ob die Stelle zu löschen ist. (Technisch kann, das ist aus den Medien bekannt geworden, diese Stelle momentan noch nicht wirklich gelöscht werden)
• Seite 14: In einem Verfahren sollte der Trojanereinsatz am 16.12.2010 enden, tatsächlich gelöscht wurde der Trojaner aber erst am 26.01.2011. Begründung: Aus technischen Gründen konnte der Trojaner erst mehr als einen Monat später gelöscht werden. Er hat sich in dieser Zeit aber einige male beim BKA online angemeldet.
• Seite 23: Das BKA nutzt(e) Proxyserver im Ausland um die abgefangenen Daten darüber ins BKA zu leiten.
• Seite 23: Das BKA nutzt IMMERNOCH den gleichen Schlüssel für die AES-Verschlüsselung. Das BKA selbst ist laut Datenschutzbeauftragter, “mangels detaillierter Kenntnis der von ihm verwendeten Software”, nicht in der Lage das zu bestätigen. Der Datenschutzbeauftragte hat sich eine Binärdatei vor Ort angeguckt und den Schlüssel wiedererkannt.
• Seite 23: Es gibt nur einen, nicht personalisierten Account für alle Übersetzer.

• Seite 15: Zollfahndungsamt: In 3 von 12 Verfahren wurde der Trojaner nicht erfolgreich aktiviert. Warum weiß niemand so genau. Vermutet wird eine Neuinstallation des Betriebssytems.
• Seite 16: Zollkiminalamt: In 3 von 4 Verfahren wurde der Trojaner nicht erfolgreich aktiviert und damit keine Daten abgeschnorchelt.
• Seite 28: Das ZKA speichert “ausgeleitete” Daten an 4 Stellen. An 2 lassen sich Daten, z.B. um den Kernbereich der privaten Lebensgestaltung zu schützen, löschen. An den anderen 2 Stellen ist das Löschen nicht vorgesehen!
• Seite 30: Beim ZKA gibt es kein Sicherheitskonzept für die Trojaner-Infrastruktur vor Ort. Daran wird gerade noch gearbeitet.

• Seite 21: Der Quellcode soll noch analysiert werden. Dafür gibt es einen weiteren Bericht.
• Seite 44: Weder dem BKA noch dem ZKA standen eine “hinreichende Programmdokumentation” zur Verfügung und der Quellcode ja sowieso nicht.
• Seite 49: “Insofern haben beide Behörden gegen §9 BDSG [Anm.Gesetzestitel: "Technische und organisatorische Maßnahmen"] verstoßen”. Z.b wegen der mangelnden Sicherheit der Datenübertragung, der Authentifizierung zwischen Trojaner und C&C-Server und der Benutzerverwaltung an der Recording Unit (ein nicht-personalisierter Account für Übersetzer),
• Seite 57: Es gab Gerichtsbeschlüsse, die die Überwachung eindeutig auf die DSL-Leitung eingegrenzt haben. Der Trojaner ist aber nicht in der Lage zu erkennen an welchem Anschluss gerade gearbeitet wird. Hier könnte in einigen Fällen die gerichtliche Anordnung übertreten worden sein, wenn der Überwachte eben nicht mehr über seinen DSL-Anschluss surft. Hier kommt es auf die Formulierung des Gerichts an.
• Seite 59: Der Trojaner ist auch nicht in der Lage zu überprüfen ob er sich gerade im Ausland befindet. Befindet sich der Trojaner im Ausland muss aber ein Rechtshilfeersuchen gestellt werden. Das wurde, obwohl in zumindest einem konkreten Fall der Trojaner im Ausland war, nicht getan.

Das geleakte Dokument gibt es z.B. bei netzpolitk.org