FBI plaudert über die Ausnutzung von Zero-Day-Lücken zur Überwachung

Polizei, Kriminalität, Fbi, Agent Bildquelle: FBI

Die Leiterin einer Forschungs-Abteilung des FBI hat mit einem Interview eine Empörungslawine in Gang gesetzt: Amy Hess, tätig in dem Hauptquartier der US-Ermittlungsbehörde, hat in einer ersten offiziellen Stellungnahme dieser Art erklärt, dass das FBI Zero-Day-Lücken für die Überwachung von Gefahren und Verdächtigen nutzt. Gegenüber der Washington Post sprach Hess offen über die kontroversen Tools, die dem FBI für ihre tägliche Ermittlungsarbeit zur Verfügung stehen. Dazu gehört neben einer wie sie betonte leistungsschwachen Analyse-Software namens "Insight" auch die Anwendung von Zero-Day-Lücken, also von Schwachstellen in Programmen und Betriebssystemen, die den Herstellern selbst noch nicht bekannt sind. Infografik: Shellshock Sicherheitslücke

Moralischer Zwiespalt

Hess selbst erklärt, dass sie bei der Ausnutzung dieser Sicherheitslücken in einen moralischen Zwiespalt gerät. Das FBI sei dabei, in jedem einzelnen Fall die Abwägung zu machen: Ist die Überwachung einer Person wichtiger, und kann man dabei den Sicherheitsaspekt von Millionen PC-Nutzer weltweit vernachlässigen oder müssen Zero-Day-Lücken an die zuständigen Entwickler gemeldet werden.

Das FBI, so Hess, setzt dabei zwar auf die Ausnutzung der Sicherheitslücken für Ermittlungszwecke, es sei aber keineswegs der "bevorzugte Weg" der Überwachung. Es sei ein Balanceakt, bei dem man sich konstant herausgefordert sehe.

Fragwürdige Praktik

Eine solche Praktik die Zero Day Lücken zu nutzen aber nicht zu melden ist nicht nur aus der Sicht von Datenschützern äußerst fragwürdig. Sie hinterlässt eine Vielzahl an Nutzern angreifbar und stellt die offiziellen Behörden auf eine Stufe mit Betrügern, die Sicherheitslücken für ihre eigenen Zwecke wie Identitätsdiebstahl etc. ausnutzen, so der Vorwurf.

In das ebenfalls in dem Gespräch mit der Washington Post erwähnte Programm "Insight" steckt die Regierung nun mehrere Millionen US-Dollar Steuergelder. Aktuell dient "Insight" als Analysentool vorrangig für Emails. Die Agenten erhalten mit "Insight" Zugriff auf den Browserverlauf, sowie auf Emailkonten und können laut Amy Hess auch gelöschte Emails wiederherstellen. Über etwaige Verschlüsselungen und deren Aufhebung sprach sie nicht. Aktuell sei das Programm aber so schwach, dass sich Ermittler selbst kommerzielle Tools beschaffen, um ihre Arbeit zu machen.

Mehr dazu: Hackerpreisliste: so viel zahlen NSA und Co für iOS-Zero-Day Exploit