Geheime Dokumente: Der BND hat das Anonymisierungs-Netzwerk Tor angegriffen und warnt vor dessen Nutzung
Geheime Dokumente: Der BND hat das Anonymisierungs-Netzwerk Tor angegriffen und warnt vor dessen Nutzung
Der BND hat ein System zur Überwachung des Tor-Netzwerks entwickelt und Bundesbehörden gewarnt, dass dessen Anonymisierung „unwirksam“ ist. Das geht aus einer Reihe geheimer Dokumente hervor, die wir veröffentlichen. Der Geheimdienst gab einen Prototyp dieser Technik an die NSA, in Erwartung einer Gegenleistung.
„Surfen, spielen, shoppen – zu Hause im Cyperspace“: Das Buch Internet für Dummies „begleitet Sie bei Ihren ersten Schritten in die große, weite Welt des Internets“, wirbt der Verlag. Auch der Bundesnachrichtendienst kauft sich 2005 dieses Buch, um „mal da reinzukommen“, in dieses Internet. So schildert es Diplom-Ingenieur Harald Fechner vor zwei Jahren im Bundestags-Untersuchungsausschuss.
Das ist eine kreative Auslegung der Wahrheit. Bis zu seinem Ruhestand im Juni 2009 ist Fechner immerhin Leiter der BND-Abteilung Technische Aufklärung und damit zuständig für die Internet-Überwachung im Geheimdienst. Über tausend Spione hören für ihn „internationale Kommunikationsströme und elektronische Medien“ ab – auf Funkwellen, Telefonkabeln und angezapften Glasfasern.
Geheime Hacker-Einheit im BND
Unter dem Kommando seiner „Abteilung TA“ arbeitet auch eine geheime Hacker-Einheit, zuständig für „technisch-operative Angriffe auf IT-Einrichtungen“ in der ganzen Welt. Wie alles beim Geheimdienst wechseln die Hacker in der Pullacher Zentrale ständig ihre Bezeichnung: Bis August 2008 heißen sie „Referat 26E“ (Operative Unterstützung und Lauschtechnik), dann „Arbeitsgruppe TX“ (Informationstechnische Operationen) und seitdem „Unterabteilung T4“ (Cyber-Intelligence).
Innerhalb des Geheimdiensts erlangen die Hacker 2007 Bekanntheit. Einer von ihnen überwacht Liebes-E-Mails seiner Freundin mit einem Bundeswehr-Soldaten, dieser sogenannte LOVEINT-Vorfall macht intern die Runde. An die Öffentlichkeit kommt die Hacker-Einheit ein Jahr später, als auffliegt, dass sie das Netzwerk des afghanischen Handelsministeriums infiltriert hat. Dabei lesen die Spione nicht nur E-Mails des befreundeten Ministers mit, sondern auch von der Spiegel-Journalistin Susanne Koelbl.
Daran erinnert sich Harald Fechner noch genau, der Hacker-Angriff auf die Journalistin ist der Grund für die letzte Stufe seiner 28-jährigen Karriereleiter im BND. Am selben Tag, an dem der Spiegel diesen Skandal enthüllt, wird der damalige Abteilungsleiter Dieter Urmann strafversetzt. Fechner wird sein Nachfolger und bleibt es bis zur Rente.
Klassentreffen der Spione
Während sich diese Ereignisse in Deutschland abspielen, ist der BND-Agent mit dem Tarnkürzel „H.F.“ auf Dienstreise in den USA. Dort heißt der Präsident noch George W. Bush – und dessen handverlesene CIA-Unterstützung bei Auslandsreisen manchmal Edward Snowden. H.F. ist zu Gast im Hauptquartier der NSA, auf der jährlichen SIGDEV-Konferenz, wo sich über tausend Agenten über neueste Entwicklungen der Überwachungstechnik austauschen. Während der BND in Deutschland unter Druck steht, darf er hier glänzen.
Auf Einladung der NSA präsentiert H.F. einen Angriff auf das Tor-Netzwerk, den die BND-Hacker kurz vorher entwickelt haben. Der „Zwiebel-Router“ ist ein Netzwerk zur Anonymisierung von Internet-Kommunikation und hat sich zum König der Internet-Anonymisierungsdienste entwickelt, Millionen von Menschen auf der ganzen Welt nutzen Tor zum Schutz vor Überwachung und Zensur.
Tor wurde ursprünglich vom US-Militär ins Leben gerufen, um Geheimdienst-Aktivitäten im Internet zu verschleiern, und erhält bis heute einen Großteil seiner Finanzierung von der US-Regierung, um „Repression, Überwachung und Kontrolle im Internet“ in autoritären Staaten zu umgehen. Doch nicht nur Diktatoren ist Tor ein Dorn im Auge, auch westliche Behörden wollen Tor-Nutzer deanonymisieren. Und dabei will der BND helfen.
Angriff auf das Tor-Netzwerk
Ein paar Wochen vor der Konferenz haben die BND-Hacker vom Referat 26E „die Idee zu einem Verfahren entwickelt, wie relativ einfach das Tor-Netzwerk aufgeklärt werden könnte“, heißt es in internen BND-Unterlagen. Tor ist zu dieser Zeit schon relativ bekannt und hat 200.000 aktive Nutzer auf der ganzen Welt. Wenn Projekt-Chef Roger Dingledine die Funktionsweise auf dem CCC-Congress oder in einer Polizeidienststelle in Stuttgart erklärt, hören auch die Hacker vom BND aufmerksam zu.
Im März 2008 weiht der Geheimdienst die Partner aus den USA und Großbritannien in seinen Plan ein. Beim Besuch einer ausländischen Delegation in München präsentiert die Abteilung TA „das Anonymisierungsnetzwerk Tor und eine mögliche Auflösung der Anonymisierungsfunktion“, schreibt der BND in einem internen Besprechungsbericht. Um den Plan umzusetzen, wünscht sich der BND „eine internationale Zusammenarbeit mit mehreren ausländischen Nachrichtendiensten“.
NSA und GCHQ bekunden „hohes Interesse“ und sagen Unterstützung zu. Die drei Geheimdienste beschließen weitere Treffen und die Zusammenstellung einer Projektgruppe, der BND plant den Aufbau eines eigenen Tor-Exit-Servers sowie eine „Probeerfassung und Auswertung mit der NSA“.
Den Amis weit voraus
Im April präsentiert der BND-Agent H.F. die Arbeit der Pullacher Hacker bei der Anti-Terror-Koalition des europäischen Geheimdienst-Verbunds SIGINT Seniors Europe. Daraufhin lädt ihn die NSA zur SIGDEV-Konferenz in ihrem Hauptquartier ein. Wieder ist sein Vortrag ein Erfolg: Die anderen Geheimdienste sind „nachhaltig beeindruckt von unseren Leistungen zu Tor-Servern“, schreibt der BND später, man ist „den Amis da weit voraus“.
Die NSA sagt „eine fachliche Prüfung durch deren Experten“ zu, mit dem Ziel, das Projekt umzusetzen. Schon eine Woche später wird H.F. erneut von der NSA eingeladen, diesmal zusammen mit „M.S.“ aus der Hacker-Einheit, und diesmal nach Bayern, in das Verbindungsbüro der NSA in der BND-Außenstelle Bad Aibling. H.F. und M.S. haben dort eine Videokonferenz mit Experten der NSA, um weitere Fragen und Ideen zu klären. Das Protokoll dieser Konferenz veröffentlichen wir an dieser Stelle.
BND und NSA sind sich einig, dass „das Tor-Netzwerk das bisher im Internet am besten etablierte System zur Anonymisierung ist“ und „die anderen Systeme nur eine Nischenrolle spielen“. Die Geheimdienste erwarten, dass „das Tor-Netzwerk weiter stark wächst“, was „noch einige Jahre ein Problem darstellen wird“. Die Spione gehen davon aus, dass sich „Bemühungen für einen Ansatz lohnen“. Gemeint sind Angriffe, um die Anonymisierung von Tor rückgängig zu machen.
Bemühungen für einen Ansatz
Wie genau die Geheimdienste Tor knacken wollen, bleibt vage. Um Forschung und Feedback zu fördern, ist Tor transparent und offen. Nicht nur Design, Spezifikation und Quelltext sind öffentlich, auch eine eigene Datenbank mit wissenschaftlicher Forschung zum Thema Anonymität im Internet. Diese Offenheit hilft nicht nur Forschern, sondern Tor profitiert selbst davon: Immer wieder wird das System analysiert – und falls eine Schwachstelle auftaucht, wird sie geschlossen.
Die BND-Hacker sprechen gegenüber der NSA zwar von „einer Penetrationsmöglichkeit des Tor-Netzwerks“, worunter gemeinhin das Eindringen in fremde IT-Systeme verstanden wird. Im vorliegenden Fall spricht viel dafür, dass die Geheimdienste vielmehr eine Design-Entscheidung ausnutzen wollen, die Tor getroffen hat.
Das Prinzip von „Zwiebel-Routing“ ist es, Internet-Verkehr über drei Zwischen-Server zu leiten, so dass kein Punkt im Netzwerk gleichzeitig Sender und Empfänger kennt. Damit verhindert Tor viele Überwachungs- und Zensur-Maßnahmen, mehr als ein „Virtual Private Network“ (VPN), das nur einem Zwischenserver hat. Aber eben nicht alle.
Weltweiter, passiver Angreifer
Wie alle in der Praxis eingesetzten Anonymisierungs-Systeme dieser Art kann auch Tor nicht gegen „einen weltweiten passiven Angreifer“ schützen. Das steht so explizit im Design-Dokument. Auch die Dokumentation warnt: „Wenn ein Angreifer den Internet-Verkehr beobachten kann, der aus ihrem Rechner kommt und den Verkehr, der an dem von ihnen gewählten Ziel ankommt, kann er mit statistischen Analysen herausfinden, dass beide zusammen gehören.“ Die Internet-Überwachung von NSA und GCHQ tut genau das.
Eine ganze Reihe an Forschern hat diesen Angriff praktisch demonstriert, durch simples Zählen der übertragenen Pakete, über die Analyse von Zeitfenstern bis zur De-Anonymisierung durch einen Bruchteil des Verkehrs. All diese Forschung ist öffentlich einsehbar. Die Geheimdienste beobachten diese Forschung, nutzen sie für eigene Zwecke und nutzen theoretische Schwachstellen in ihrer praktischen Überwachung aus.
Die Hacker vom BND stützen sich bei ihrem Angriff auf „eine Studie einer amerikanischen Universität“, die sie auch an die NSA weitergeben. Bei der Videokonferenz in Bad Aibling beantwortet der BND Nachfragen und stellt einen Zeitplan mit weiteren Schritten vor. Die Deutschen wollen innerhalb von „sechs bis acht Wochen“ ein eigenes Tor-Netzwerk im Labor aufbauen, um das System besser zu verstehen und die Studie zu überprüfen.
Test-Netzwerk und Prototyp
Die NSA ist begeistert vom Vortrag des BND und will weiter eng zusammenarbeiten, vor allem will sie die Testergebnisse. Die Amerikaner sind „sichtlich erstaunt“ über die Aktivität der Deutschen. Zwar sieht sich der BND „etwas weiter als die NSA“, aber auch Pullach will, dass Fort Meade mitmacht: Das Vorhaben „hätte in einem Partnerverbund erheblich größere Erfolgsaussichten“.
Die NSA sagt zu, die Universität zu kontaktieren, um mehr über die Studie zu erfahren. Der BND macht sich an die Arbeit, setzt das Test-Netzwerk auf und entwickelt einen Prototyp des Angriffs, den „Proof of Concept“. Schon einen Monat nach der Videokonferenz sollen erste Ergebnisse vorliegen. Im Oktober will Harald Fechner, Leiter der Abteilung Technische Aufklärung, in die USA fliegen und das Thema mit NSA-Direktor Keith Alexander besprechen.
Doch dann bekommt das Projekt einen Dämpfer. Die Arbeitsgruppe IT-Operationen wird umorganisiert und die am Tor-Projekt beteiligten Hacker werden „innerhalb eines Referates zerstreut“, auf zwei verschiedene Sachgebiete. Im Dezember 2008 gibt es dennoch eine weitere Besprechung zu Tor im NSA-Hauptquartier, „die mit Abstand intensivste, was Anzahl der Teilnehmer und Kompetenz anging. Der Raum war voll.“
Den Amis was versprochen
Richtige Bewegung entsteht erst wieder zum Wechsel der US-Präsidentschaft von George W. Bush zu Barack Obama. Am Tag der Amtsübergabe bereitet die „Führungsunterstützung“ des BND einen neuen Besuch von Abteilungsleiter Fechner bei der NSA in den USA vor. In internen E-Mails bekommen die Hacker den Auftrag, das Projekt zu reaktivieren. Der BND hat „den Amis ja was versprochen“.
Damit übernimmt M.S. die Leitung des Projekts. Er beschwert sich über die „knappe Ressource brillantes Personal“ und mangelndes Interesse innerhalb des BND. Nach einer internen Vorstellung des Systems „kam nichts mehr“. Ab jetzt ist „die Weiterentwicklung primär auf den Bedarf des Partners ausgerichtet“. Der Proof-of-Concept ist schonmal „ein guter Stand, um mit den Experten der Amis zu reden“.
Der BND-Spitze kommt das gelegen. Man erhofft sich zwar, dass auch die BND-eigene Auswertung wieder „angestoßen“ werden kann, an Tor zu arbeiten. Aber das eigentliche Ziel ist größer. Der BND will etwas von der NSA: Eine Technologie aus dem „Bereich Kryptoanalyse“, zur Entzifferung verschlüsselter Inhalte. Pullach weiß, dass Fort Meade das Objekt der Begierde „erfahrungsgemäß nicht so leicht herausrücken“ wird. Deshalb sammeln die Deutschen Gegenleistungen, der Angriff auf Tor ist „ein weiterer Baustein“ dafür.
Gemüse-Zerkleinerer gegen Zwiebeln
Die Führungsunterstützung erteilt M.S. den Auftrag, innerhalb eines Monats ein Konzept zu verfassen. Und er liefert. Am 20. Februar 2009 steht ein 16-seitiges „Konzept für die Rückverfolgung von Internetverkehren, die mit dem Tor-System anonymisiert wurden“. Das Deckblatt ist wenig bescheiden: Über der Zwiebel im Tor-Logo prangt ein Gemüse-Zerkleinerer.
Zur Rechtfertigung der Tor-Überwachung zitiert M.S. die Berliner Sicherheitsgespräche, die in dem Jahr unter dem Motto „WWW – der virtuelle Tatort“ stattfanden. Beim Kapitel „Funktionsweise des Tor-Netzes“ macht sich der Autor wenig Arbeit, er kopiert den Text aus der Wikipedia und die Bilder von der Tor-Webseite.
Wie genau der BND Tor „zerhäckseln“ will, ist in der uns vorliegenden Version leider weitgehend geschwärzt. Doch wie zuvor beruft sich der Geheimdienst auf öffentliche Forschung. Zur Umsetzung dürfte der BND eigene Server im Tor-Netzwerk betreiben. M.S. verweist auf passiv schnüffelnde Server, die mutmaßlich von der NSA betrieben werden und betont den „Schutz der eigenen Anonymität“ der Geheimdienste.
In hohem Maße an Zugängen interessiert
Drei Wochen nach dem Konzept-Papier meldet der britische Geheimdienst wieder Bedarf an. Der GCHQ-Resident in Berlin und drei weitere ranghohe Spione der Königin sind am 11. März 2009 zu Besuch in Pullach. In der BND-Zentrale werden die Briten von Abteilungsleiter Harald Fechner empfangen, der sieben weitere leitende Mitarbeiter der Technischen Aufklärung mitbringt. Thema ist die Weiterentwicklung der SIGINT-Zusammenarbeit, besonders „bei den Anonymisierungsdiensten“.
Die Briten wollen mitmachen: Das GCHQ „ist in hohem Maße an den Zugängen der Abteilung TA zum Tor-Netzwerk interessiert“, heißt es im internen Besprechungsbericht. Beide Seiten vereinbaren weitere Fachgespräche zwischen Technikern und einen „gemeinsamen Workshop zu möglichem technisch/betrieblichem Vorgehen“.
Fünf Tage nach dem Besuch von der Insel fliegt Abteilungsleiter Fechner über den Atlantik, im Gepäck das Konzept-Papier von M.S.. Die Amerikaner nehmen das Gastgeschenk gerne an, NSA und GCHQ übernehmen das Projekt. Ob der BND die erhoffte Gegenleistung erhält, konnten wir leider nicht in Erfahrung bringen. Auf Anfrage erhalten wir die Standard-Antwort: „Zu operativen Aspekten seiner Arbeit äußert sich der BND grundsätzlich nur gegenüber der Bundesregierung und zuständigen Stellen des Bundestages.“
Sehr hohe Überwachungsdichte
Anderthalb Jahre später warnt der BND deutsche Bundesbehörden davor, Tor zu verwenden. Der „Anonymisierungsdienst Tor garantiert keine Anonymität im Internet“, betitelt die Hacker-Abteilung „IT-Operationen“ eine Meldung. Das sechs-seitige Papier geht am 2. September 2010 an Kanzleramt, Ministerien, Geheimdienste, Bundeswehr und Polizeibehörden.
Laut Kurzfassung ist Tor „ungeeignet“ für drei Szenarien: „für die Verschleierung von Aktivitäten im Internet“, „zur Umgehung von Zensurmaßnahmen“ und für „Computernetzwerkoperationen für Nachrichtendienste“ – also geheimdienstliches Hacking. Der BND geht „von einer sehr hohen Überwachungsdichte innerhalb des Netzes“ aus, unter anderem durch „die Möglichkeit, selbst sogenannte Exit-Knoten zur Überwachung einzurichten“.
In einer technischen Beschreibung erklärt der BND die Funktionsweise von Tor. Die Bilder sind erneut geliehen: von einer privaten deutschen Seite und der Electronic Frontier Foundation, in veralteter Form. Der BND macht auch inhaltliche Fehler: Dass „die Information über die vorhanden Tor-Knoten unverschlüsselt von einem Server geladen“ werde, war zu diesem Zeitpunkt schon über zwei Jahre lang falsch. Nachdem der Iran diese Verbindungen erkannt und blockiert hat, werden sie ab 2007 verschlüsselt.
Von Legalität nicht überzeugt
In der Meldung stellt der Geheimdienst eine gewagte These auf: Laut BND wird Tor „überwiegend zur Verschleierung von Aktivitäten benutzt, von deren Legalität die Handelnden nicht überzeugt sind. Die Anzahl der Tor-Nutzer mit dem Fokus auf Wahrung der Anonymität aus reinen Datenschutzüberlegungen ist im Verhältnis dazu sehr gering.“ Diese Behauptung stützt der BND auf „mehrere nachrichtendienstliche Hinweise“, belegt sie aber nicht mit Fakten.
Wir haben diverse Personen aus dem Tor-Projekt gefragt, niemand kann die These des BND nachvollziehen. „Das klingt sehr nach Blödsinn“, sagt der IT-Sicherheits-Berater Jens Kubieziel, der Server für das Tor-Projekt administriert und große Tor-Exit-Server betreibt. Auch der Chaos Computer Club betreibt einige der großen Server im Tor-Netzwerk. „Verglichen mit der Menge des Traffics und der Millionen von Verbindungen, die jeden Tag durch Tor anonymisiert werden, ist die Anzahl der Anfragen wegen rechtswidriger Aktivitäten verschwindend gering“, sagt Rechtsanwalt Julius Mittenzwei, einer der Projekt-Verantwortlichen und ehemaliges Mitglied im Vorstand des Tor-Projekts.
Der BND schreibt weiter: Geheimdienste und andere Behörden weltweit „haben Ansätze, die Anonymisierung auszuhebeln. Einer davon ist das Aufsetzen eigener Tor-Knoten und deren intensive Überwachung zum Zwecke der Ermittlung und Beweiserhebung.“ Daraus machen die Geheimdienste untereinander kein Geheimnis: „Einige Dienste haben über das Installieren eigener Tor-Knoten und die Verwertung der Protokolldaten für verschiedene Projekte und Ermittlungsverfahren bereits berichtet.“
Verschleierung nicht gegeben
Einen deutlichen Hinweis, dass Geheimdienste Tor-Server betreiben, sieht der BND in den Standorten diverser Server, vor allem „im Umkreis von Washington, D.C.“. Der BND geht davon aus, „dass diverse Behörden diese Knoten zur Verfügung gestellt haben“. Aus dem Dokument geht nicht direkt hervor, ob der Geheimdienst das nur vermutet, im Internet gelesen hat, mitgeteilt bekam – oder ob der BND die NSA überhaupt erst auf die Idee gebracht hat.
Der BND ist sich jedoch so sicher, dass er die wichtigsten Bundesbehörden davor warnt, Tor zu benutzen. Das Fazit seiner Bewertung: „Die Nutzer von Anonymisierungssoftware gehen von einer Verschleierung ihrer Identität beim Surfen im Internet aus, die bei bekannten und weit verbreiteten Anonymisierungsdiensten nicht gegeben ist.“
Doch nicht nur Tor hält der BND für unsicher, auch von gehackten Rechnern als Proxy-Server raten die Hacker ab: „Die Verwendung eines kompromittierten Systems durch fähige Nachrichtendienste zum Zwecke einer als letztlich unwirksam bekannten Tarnung erscheint nur für Ablenkungsmanöver plausibel.“ Die BND-Abteilung „IT-Operationen“ muss es ja wissen – und warnt seine Hacker-Kollegen von BKA, Verfassungsschutz und Bundeswehr.
Tempora und XKeyscore
Angesichts der Aktivitäten von NSA und GCHQ ist die Sorge des BND berechtigt. Zwei Jahre nach dem Geschenk der Deutschen setzen diese Geheimdienste die Arbeit fort, Tor zu brechen. Im GCHQ-internen Wiki, das der Spiegel aus den Snowden-Dokumenten veröffentlicht hat, ist die Arbeit des britischen Teams dokumentiert. Auch ihr Ziel ist es, anhand von Internet-Verkehr eines Tor-Exit-Servers die Identität des Absenders herauszufinden.
Laut dem Wiki beginnt die Forschung im Dezember 2010. Den Briten ist es zu aufwändig, den Weg durch das Tor-Netzwerk zu verfolgen. Also korrelieren sie den Internet-Verkehr vom Sender zum Netzwerk und vom Netzwerk zum Empfänger. Weil das GCHQ massenhaft Internet-Verkehr mitschneidet und eigene Tor-Server betreibt, fällt das nicht weiter schwer. Schon im Juni 2011 ist eine 18-seitige Studie und Quellcode in der Statistik-orientierten Programmiersprache R fertig, dazu gibt es eine Präsentation mit Slides.
Auch die NSA ist erfolgreich. Ebenfalls 2011 sind „mehrere Fingerabdrücke und ein Plugin“ in ihrer mächtigen Spionagesoftware XKeyscore implementiert, um Tor-Nutzer zu erkennen und zu deanonymisieren. NDR und WDR haben einige dieser XKeyscore-Regeln veröffentlicht. Demnach überwacht die NSA alle Internet-Nutzer, welche die Tor-Webseite besuchen, die Tor-Software nutzen oder einfach nach Tor oder dem Tor-Betriebssystem Tails suchen.
Egoistische Giraffe
Trotz aller Angriffe ehrt selbst die NSA Tor noch immer als König der Internet-Anonymisierungsdienste. Auch wenn die Geheimdienste, die große Teile des Internets überwachen, einige Tor-Nutzer deanonymisieren können, ist es unwahrscheinlich, dass sie jederzeit alle Tor-Nutzer deanonymisieren können. Die NSA schreibt selbst, sie hat noch keine Wunderwaffe.
Anonymisierung ist wie Verschlüsselung: einfacher zu umgehen als zu knacken. Wer in einen Rechner einbricht, kann dessen Kommunikation entschlüsseln und Nutzer identifizieren. NSA und GCHQ machen das spätestens seit 2013: Unter dem Codenamen Egoistische Giraffe hacken sie den auf Firefox basierenden Tor Browser, infizieren das Betriebssystem und lösen so ihr selbst ernanntes „Tor-Problem“. Auch das FBI hat solche Angriffe schon ausgeführt und zugegeben.
Doch manchmal reicht es bereits, Fehler der Überwachungs-Ziele auszunutzen. Der LulzSec-Hacker Hector Monsegur wird enttarnt, weil er ein einziges Mal seine richtige IP-Adresse preisgibt. Der Stratfor-Hacker Jeremy Hammond wird enttarnt, weil das FBI korreliert, wann sein WLAN genutzt wird. Der Silk-Road-Gründer Ross Ulbricht wird enttarnt, weil er sein Pseudonym bekannt gibt. Eine aktuelle Studie beschreibt, wie man seine Anonymität trotz Tor-Nutzung verlieren kann.
Weiter lesen und Quelle: https://netzpolitik.org/2017/geheime...essen-nutzung/
