Bundestrojaner ist in Deutschland ein Begriff für Staatstrojaner, also staatliche Spionagesoftware, die Polizei oder andere Sicherheitsbehörden ohne Wissen der überwachten Person auf deren Rechnern oder anderen informationstechnischen Systemen einsetzen.
Auf einen Blick
Quellen-TKÜ und Online-Durchsuchung sind in Deutschland verschiedene Maßnahmen: Die erste zielt auf die laufende Kommunikation, die zweite auf Daten im System.
Ein Staatstrojaner kann unter Zuhilfenahme von Sicherheitslücken in der Software von IT-Geräten installiert werden.
Das Bundesverfassungsgericht setzte im Februar 2008 hohe rechtliche Hürden für Online-Durchsuchungen.
Was ist Bundestrojaner?
Als der Chaos Computer Club den Staatstrojaner analysierte, diente die Software Ermittlern in Deutschland zur Quellen-TKÜ, um Voice-over-IP-Gespräche schon vor der Verschlüsselung beim Sender oder nach der Entschlüsselung beim Empfänger abzuhören. § 100a StPO erlaubt unter den dort genannten Voraussetzungen, darunter der Verdacht einer schweren Straftat, die Telekommunikation auch so zu überwachen, dass mit technischen Mitteln in vom Betroffenen genutzte informationstechnische Systeme eingegriffen wird, wenn dies notwendig ist, um die Überwachung insbesondere in unverschlüsselter Form zu ermöglichen. Die Online-Durchsuchung regelt § 100b StPO: Auch ohne Wissen des Betroffenen darf mit technischen Mitteln in ein von ihm genutztes informationstechnisches System eingegriffen und dürfen Daten daraus erhoben werden, wenn unter anderem bestimmte Tatsachen den Verdacht einer dort bezeichneten besonders schweren Straftat begründen, die auch im Einzelfall besonders schwer wiegt. Im Juni 2025 erklärte das Bundesverfassungsgericht Teile der Ermächtigung zur Quellen-TKÜ für nichtig, soweit sie Straftaten mit einer Höchstfreiheitsstrafe von drei Jahren oder weniger erfassten; § 100b StPO ist mit dem Grundgesetz unvereinbar, gilt aber bis zu einer Neuregelung fort.
Für die IT-Sicherheit eines Versicherers handelt es sich bei einem Staatstrojaner technisch um Malware. Nach Darstellung des Chaos Computer Clubs konnten die untersuchten Trojaner nicht nur höchst intime Daten ausleiten, sondern boten auch eine Fernsteuerungsfunktion zum Nachladen und Ausführen beliebiger weiterer Schadsoftware.
Wie funktioniert Bundestrojaner?
Ein Staatstrojaner wird ohne Wissen der überwachten Person auf deren System eingesetzt und greift dort Kommunikation oder Daten ab. Installiert werden kann er unter Zuhilfenahme von Sicherheitslücken, die es in der Software von IT-Geräten gibt. In einem dokumentierten Fall wurde der Trojaner dagegen bei einer Zollkontrolle installiert.
Bei der Quellen-TKÜ setzt der Eingriff am Endgerät an, weil Kommunikation dort vor der Verschlüsselung oder nach der Entschlüsselung abgehört werden kann; die Quellen-TKÜ zielt auf die laufende Kommunikation ab. Die Online-Durchsuchung richtet sich dagegen auf Daten im System, bis hin zu allen Daten auf einem Gerät, die beim Verdacht auf besonders schwere Straftaten durchforstet werden. Nach Darstellung des Chaos Computer Clubs konnte die untersuchte Software über das Netz weitere Programme nachladen und ferngesteuert ausführen. Der Chaos Computer Club kam zudem zu dem Ergebnis, dass die untersuchten Trojaner bereits mit ihren Funktionen den Rahmen des Abhörens verließen.
Lässt sich ein Bundestrojaner erkennen?
| Signal | Woran erkennbar |
|---|---|
| Alarm von Viren-Scannern | Bei dem vom Chaos Computer Club enttarnten Trojaner schlugen Viren-Scanner erst nach dessen Veröffentlichung Alarm, wenn der Trojaner auf einen Rechner geladen werden sollte. |
| Kein Alarm trotz Befall (Erkennungsgrenze) | Antiviren-Software hatte kaum Chancen gegen derartige Schädlinge; dass Viren-Scanner vor der Veröffentlichung durch den Chaos Computer Club nicht anschlugen, lag wohl unter anderem daran, dass der Staatstrojaner auf viele Dinge verzichtete, die bei gewöhnlichen Betrugs-Trojanern zum Standardrepertoire gehörten. |
Beispiele aus der Praxis
- Eine Verfassungsbeschwerde richtete sich gegen die Quellen-TKÜ, die auf die laufende Kommunikation abzielt, sowie gegen die Online-Durchsuchung.
- Mit einer Quellen-TKÜ können Ermittler ein Voice-over-IP-Gespräch bereits beim Sender abhören, bevor es verschlüsselt wird.
- Aus Sicht der IT-Sicherheit eines Versicherers ist ein Staatstrojaner technisch Malware; die vom Chaos Computer Club untersuchte Software konnte nach dessen Darstellung über das Netz weitere Programme nachladen und ferngesteuert ausführen.
