© kajornyot, 123RF

Dem Arrangement von Wassenaar mit Regelungen für den Export von konventionellen Waffen sowie Dual-Use-Gütern und -Technologien folgen inzwischen 41 Staaten. Nun stehen auch Intrusion-Tools und damit Exploits auf der Verbotsliste. In Sicherheitskreisen treiben die neuen Vorschriften inzwischen seltsame Blüten.

Seit 1995 dient das im niederländischen Wassenaar zwischen damals 31 Mitgliedsstaaten getroffene Wassenaar Arrangement [1] als Grundlage für eine Verbotsliste beim Export konventioneller Waffen und so genannter Dual-Use-Güter und -Technologien (Abbildung 1). Vereinbarung und Liste sind für die Mitglieder nicht juristisch bindend, doch richten die beteiligten Staaten ihre eigenen Richtlinien und Gesetze zur Rüstungsexportkontrolle danach aus.

Abbildung 1: Das Wassenaar-Arrangement ist um Dual-Use-Technologien ergänzt.

Die Mitgliederzahl ist inzwischen auf 41 Staaten angewachsen, und seit Anfang des Jahres ist die “List of Dual-Use Goods and Technoligies” [2] offiziell um Güter und Technologien ergänzt, die auch bestimmte Software als quasi waffentauglich markiert. Gemeint ist im entsprechenden Appendix Intrusion-Software. Dual-Use bedeutet in diesem Zusammenhang, dass sich diese Güter und Technologien sowohl zivil als auch militärisch nutzen lassen.

Die Teilnehmerstaaten sahen die Erweiterung als nötig an, um den Export von Überwachungs- und Spähsoftware an autoritäre Staaten steuern zu können, ein legitimes Anliegen. Auf der anderen Seite sind Sicherheitsexperten betroffen, die für ihre Arbeit Technologien und Software verwenden, die ebenfalls den Kriterien für verbotene Exporte entsprechen.

Definitionssachen

In den Definitionen der aktuellen Liste von März 2015 steht Intrusion-Software auf der schwarzen Liste. Die Intrusion-Software gilt als verboten oder genehmigungspflichtig, wenn sie dazu geeignet ist, Monitoring-Software zu unterwandern oder auch andere Abwehrmechanismen des Netzwerkequipments, um so Daten abzugreifen oder das System und/oder Nutzerdaten zu verändern.

Zu den Abwehrmechanismen, die unberührt bleiben müssen, zählt das Agreement Technologien wie Data Execution Prevention (DEP), Address Space Layout Randomisation (ASLR) und Sandboxing. Auch Software, die den Standardpfad zur Ausführung eines Programms ändert, um von außerhalb Befehle einzuschleusen, ist als Intrusion-Software genannt.

Ausnahmefälle

Ausgenommen sind Hypervisors, Debugger-Software und Reverse-Engineering-Tools. Software, die sich ums Digital-Rights-Management kümmert, ist ebenfalls erlaubt. Admins, die grenzüberschreitend mit Software zum Tracken des verwalteten Geräteparks oder mit Recovery-Tools unterwegs sind, sollen gemäß Definition ebenfalls auf der legalen Seite stehen.

Prinzipiell bezeichnet die Vereinbarung auch Software mit dem Status “Public Domain” als unbedenklich. Die Nennung von gemeinfreier Software dient – zumindest theoretisch – als eine Art Freibrief für Open-Source-Software, ohne diesen Begriff explizit zu nennen. Auch die für Grundlagenforschung nötige Technologie gilt als legal. Kritiker sehen das nicht so eindeutig geregelt.

Explosives Reisegepäck

Besonders Sicherheitsexperten, die länderübergreifend zu Konferenzen unterwegs sind, gelten als gefährdete Spezies. Es liegt in der Natur der Sache, dass man auf Security-Konferenzen seine Forschungsergebnisse zeigt, etwa die Entdeckung einer Sicherheitslücke und den zugehörigen Exploit. Mit einem derart bestückten Notebook im Gepäck laufen die Experten aber Gefahr, sich eines Vergehens gegen die Waffenexportvorschriften schuldig zu machen. Damit ist nicht zu spaßen, weil je nach Gesetzeslage des jeweiligen Landes sehr hohe Geldstrafen drohen und auch lange Haftstrafen.

Selbstzensur

Dem britischen Forscher Grant Willcox jedenfalls schien es bedenklich, seine Erkenntnisse über drei Exploits für den Angriff auf das Enhanced Mitigation Experience Toolkit 5.1 (EMET) vollständig zu veröffentlichen (Abbildung 2, [3]). Gilt der Härtetest eines bestimmten Programms noch als “Basic Scientific Research”, wie die Dual-Use-Liste sie erlauben würde? In seinem mit dem Mailverkehr zwischen den zuständigen Exportkontrolleuren angereicherten Blogbeitrag ist sich Willcox da nicht sicher.

Abbildung 2: Der Forscher Grant Willcox hat nach anfänglichen Bedenken seine Ergebnisse veröffentlicht.

Er schreibt, dass es ihm in Anbetracht der durch die Exportbestimmungen unsicheren Lage angebracht schien, zuerst den Ethikrat seiner Universität zu konsultieren und auch die zuständigen Exportbehörden. Erst nach einem längeren Schriftverkehr bekam er die Zusicherung, dass es sich bei seiner Arbeit nicht um Intrusion-Software im Sinne der Waffenexportkontrolle handle. Inzwischen hat er seinen zuvor selbst um diverse Passagen und Bilder zensierten Bericht in vollem Umfang veröffentlicht. Die Dokumentation des Schriftverkehrs dient ihm, so viel Verunsicherung ist geblieben, als Legitimation der Publikation.

Absage

Selbst Herstellern mit bekannt gut besetzten Rechtsabteilungen scheint es bei einem möglichen Verstoß gegen die Waffenexportvorschriften – oder auch nur im Umfeld eines solchen – mulmig zu werden. So hatte sich HP im September aus dem Sponsoring des Hacking-Events “Pwn2Own” zurückgezogen. Der Organisator Dragos Ruiu zeigt sich in einem Interview mit dem Nachrichtenservice Ars Technica [4] überzeugt davon, dass das Wassenaar-Abkommen damit zu tun hat. Die Veranstaltung sollte in Japan stattfinden, und die dortigen Gesetze zur Exportkontrolle seien dem Konzern zu unüberschaubar gewesen, gibt Ruiu zu Protokoll. Seitens HP blieben die Gründe für die Absage jedoch unkommentiert.

Lokale Ausformungen

Die Europäische Union hat sich der Regelung von Wassenaar angeschlossen, damit sind die formulierten Dual-Use-Verordnungen gültig [5]. Das gilt auch für Deutschland. Der SPD-Politiker Sigmar Gabriel hat zudem einen Entwurf zur Änderung der Außenwirtschaftsordnung [6] eingereicht, der eine strengere Kontrolle der Ausfuhr von Gütern der Kommunikationsüberwachung fordert. Die Bundesregierung hat bereits zugestimmt.

Fazit

Die Aufnahme der Dual-Use-Güter in das Arrangement ist berechtigt, um damit die Ausfuhr von Spähsoftware an Unrechtsstaaten zu verhindern. Aber dass sich Sicherheitsexperten derzeit in einer rechtlichen Grauzone bewegen, gehört ebenfalls auf die Agenda der juristischen Regelungen für Exporte.