Interview mit Peter Kleissner

Peter Kleissner dürfte wohl so ziemlich jedem Leser zumindest ein Begriff sein.
Deshalb kein langes ‘Herumgerede’:
Ich habe ein Interview mit ihm geführt.

1.Hallo Peter und danke, dass du dir Zeit für dieses Interview nimmst.
Grüß dich.

2.Den meisten bist du wohl durch dein Stoned-Bootkit ein Begriff geworden.
Es war für mich eine besondere Ehre dem Publikum auf der Black Hat das Stoned Bootkit vorzustellen. Stoned ist ja ein Bootvirus aus dem Jahre 1987 und zeigt, wie auch die heutige Version, “Your PC is now Stoned!” an. Es war interessant zu sehen wie viele Leute dann zu mir gekommen sind und gemeint haben, dass sie damals schon den Stoned Virus hätten. Es ist spannend die Geschichte hier fortführen zu dürfen.

3.Nachdem du mit diversen Straf- und Zivilanzeigen übersäht worden bist, ist es in der Öffentlichkeit etwas ruhiger um deine Person geworden.
Nach den ganzen diversen Klagen und nachdem meine Sachen beschlagnahmt worden sind war es eine notwendige Entscheidung mich aus der Öffentlichkeit mehr zurück zu halten. Man darf an dieser Stelle aber mein öffentliches Auftreten bitte nicht überbewerten, für mich waren die TV Auftritte größtenteils nur Show. Außerdem, wenn man was im Sicherheitsbereich etwas erreichen will, braucht man keine TV Auftritte sondern harte Arbeit. Viele sehen leider nur die Medienberichte, lesen negative Artikel von Leuten die selber keine Ahnung haben (wie Daniel Bachfeld von Heise) und bilden sich so ihre Meinung, die dann dementsprechend verzerrt ist.

4.Hast du dich unterkriegen lassen oder konzentrierst du dich auf dein Startup-Unternehmen?
Mit wild gewordenen Firmenchefs aus dem Sales-Bereich werde ich fertig. Was ich mache ist Software Entwicklung auf professioneller Ebene, da ist kein Platz für dümmliche Anschuldigungen, wie etwa dass das Stoned Bootkit und AV Tracker elektromagnetische Strahlen abfangen würden. Meine Forschungsprojekte entwickle ich ja in einem seriösen Umfeld und präsentiere sie auf Sicherheitskonfernzen, wo sie auch hingehören.

Trotz der intensiven Versuche meine Arbeit zu diskreditieren halte ich aber natürlich weiterhin an meinen Projekten wie AV Tracker und Stoned Bootkit fest. Wer dann immer noch glaubt, dass er einen Schaden hat, weil ich Security Advisories rausgebe, der hat eine Macke.

5.Was genau ist der Geschäfts-/Tätigkeitsbereich deines Unternehmens Insecurity Systems?
Im Moment arbeite ich eng mit einigen Ermittlungsbehörden weltweit zusammen um forensische Software zur Beweissicherung zu erstellen. Daneben halte ich auch Security Trainings bei Ermittlungsbehörden.

6.Was ist eigentlich aus avtracker.info geworden? Derzeit ist ein Zugriff darauf nicht mehr möglich.
Im März 2010 habe ich an der Nachfolgeversion entwickelt und jetzt vor einigen Tagen öffentlich zugänglich gemacht. Das Projekt ist komplett Open Source.

7.Was genau für Straftaten kannst du mit avtracker überhaupt begangen haben?
Das ist die 200.000 . Frage die du gerne den Herrn Pichlmayr von Ikarus fragen darfst (joe@ikarus.at). Zumindest wird (soweit ich das mitbekommen habe) der “Schaden” mit der Summe beziffert (laut Pichlmayr bei einem anderen Gerichtsverfahren).

Pichlmayr wollte, dass ich mich bei seinen Mitarbeitern entschuldige – wofür konnte mir sein Anwalt allerdings nicht verraten. Das ist absolut kurios, da Pichlmayr selber einen weiteren Mitarbeiter gekündigt hat, da er sich einmal mit mir getroffen hat. Vielleicht häkelt Pichlmayr ja an irgendwelchen Verschwörungstheorien – ich weiß es nicht, würde es ihm aber zutrauen.

AV Tracker verursacht keinen Schaden, es ist eine passive Software. Manche Leute sollten lieber ihren Mund halten, wenn sie keine Ahnung von Software Entwicklung haben.

8.Dein Bootkit Stoned ist ja nun auf jeden Fall etwas, das Strafverfolgungsbehörden weltweit interessieren wird.
Auf jeden Fall. Ich befinde mich hier aber in Österreich – da wird man schnell für Fortschritt und Technologie kriminalisiert. Was dann dabei rauskommt, sieht man. Interessant ist, dass der Staatsanwalt (Kremnitzer) ein neues Gutachten über mein “Geschäftsmodell” anfertigen lässt. Hier wird einfach versucht “irgendwas” zu finden. Was da dann alles geiles in das Gutachten reinkommt weiß ich selber nicht, ich hatte ja bisher keine Zeit mir mein Geschäftsmodell zu überlegen.

Das Stoned Bootkit ist ein Forschungsprojekt, ich habe es nicht dafür programmiert, dass jetzt alle auf Generalverdacht ausspioniert werden. Es soll, wenn überhaupt, nur bei schweren Delikten zum Einsatz kommen, d.h. bei mehr als 10 Jahren Strafandrohung, Terrorismus oder Kinderpornographie, und dann auch nur im operativen Bereich auf richterliche Anordnung. Ein realistischer Einsatz wäre etwa bei Verdächtigen wo begründeter Verdacht auf Terrorismus herrscht, das Stoned Bootkit auf den Computer zu installieren. Der große Vorteil ist ja, dass es auch bei verschlüsselten Datenträgern funktioniert, selbst wenn man das Paswort nicht kennt.

9.Bist du für oder gegen eine Verwendung deines Bootkits durch Behörden?
Der Einsatz an sich ist ja sehr stark eingeschränkt, man kann es nur im operativen Bereich einsetzen. Es gibt eine Menge anderer Ermittlungsmethoden, u.a. ja auch Internetüberwachung, Telefonüberwachung, A/V, forensische Auswertung von Daten etc, die zuerst augeschöpft werden sollen.

Ein großer Punkt, der gegen den Einsatz des Stoned Bootkits spricht ist die Missbrauchgefahr, man muss auch immer die Rechte des Überwachten schützen, und diese sind in der operativen Computerüberwachung leider nur sehr schwer zu schützen. Zum Einsatz braucht es auch konkrete Gesetze, die es in Österreich nicht gibt.

Ich persönlich stelle mich neuerlich gegen eine Verwendung des Stoned Bootkits im deutschsprachigen Raum und werde das Bootkit auch nicht dafür zur Verfügung stellen (mal davon abgesehen dass die österreichische und deutsche Polizei sowieso keinen Plan von der Materie haben).

10.Glaubst du, dass sich die Verbreitung des Bootkits unter all den Behörden bzw. auch mögliche “unsachgemäße Anwendung” ausserhalb kontrollieren ließe?
Es gibt zumindest ein paar Methoden den Missbrauch stark einzuschränken. Das wären Ablaufdaten und ein lokal eingeschränkter Einsatzbereich, d.h. dass die Software z.B. überprüft in welchem Land sich der Computer befindet. Darüber hinaus liegt aber die Zuständigkeit der Kontrolle bei der Behörde bzw. dem Datenschutzbeauftragten des Landes. Den Missbrauch ganz ausschließen kann man aber nicht.

11.Ist es nicht ziemlich ironisch, dass die Behörden deinen Rechner beschlagnahmt haben?
Ja, ja, Joko hats gesagt und ich sags auch: Fick die Polizei. Die sind fürn Arsch und kommen sowieso nicht an mich ran. Deren Unwissen schreit zum Himmel, was ich da für einen Mist lesen musste – unglaublich. Ein Beispiel: Beschlagnahmen mein Handy, weil ja (Ikarus) Source Code darauf sein könnte – welcher Spinner speichert bitte seine Quellcodedateien am Handy? Ich tu’s nicht, und der Rest der 8 Millionen ÖsterreicherInnen auch nicht. Aber immer Hauptsache eine Begründung an den Haaren herbei ziehen – das macht die österreichische Justiz eben gerne.

Da hilft es dann auch wenn die private Firma Kontakte zum Bundesamt für Verfassungsschutz und Terrorismusbekämpfung hat und Helmut Dissauer ausm BVT und Walter Unger vom Heeresabwehramt alles vom Gericht bekommen sollen und persönlich informiert worden sind. Freunderlwirtschaft trifft Gewaltenteilung, willkommen in Österreich, schönes Alpenland der Berge!

In Deutschland und Österreich gibt es Schulungen für Polizisten in denen es um Themen wie Computerforensik und Beweissicherung geht. Ich hatte auch mal die Ehre bei solch einer Schulung anwesend zu sein und konnte mir so einen Einblick in die Polizeiarbeit und deren Ermittlungsmethoden bekommen. Interessant war für mich damals, dass die Polizei viel auf freie Software zurück greift, v.a. für irgendwelche Passwort Cracker für Word- oder Zip-Dateien.

Umso witziger als ich dann in einer Datei von Ikarus (in meinem Gerichtsprozess) lesen konnte, dass “Die Tatsache, dass all dies öffentlich Zugänglich ist, macht dieses Tool für Strafverfolgungbehörden nicht nutzbar”. Wahnsinn – Stoned Bootkit ist öffentlich und jetzt können Ermittlungsbehörden es nicht mehr einsetzen, da ist ein wahrhaftig genialer Geistesblitz von Ikarus gekommen. Da wollen mir mal nicht anfangen, wer da Open Source klaut…

Manche Leute kennen da wohl die Bedeutung von Open Source nicht!

12.Ich meine den Rechner von jemandem, der den Behörden eigentlich helfen könnte?
Es ist ja nicht nur so dass mein Rechner helfen könnte, sondern ich persönlich auch. Ob ich da jetzt der Polizei helfe oder helfen könnte ist da aber ziemlich irrelevant, Justiz und Polizei sind zwei getrennte Gewalten, da hilft auch noch so viel Hilfsbereitschaft der Polizei gegenüber gegen einen Staatsanwalts-Troll nichts.

Im Ausland habe ich ein paar mal bei internationalen Fällen mitgeholfen, sowohl im operativen Bereich z.B. bei Kidnapping und Erpressung, als auch bei der nachträglichen Beweissicherung. Oft gilt es Verdächige per E-Mail heraus zu finden, irgendwelche IP Adressen Standorten zuzuweisen (z.B. Mc Donalds ist ein beliebter Kriminalitätsinternet-Zugriffspunkt) und dort alle notwendigen Daten sicherstellen, z.B. MAC Adressen beim Router. Ermittlungsbehörden haben selbstverständlich alle ihre eigenen Leute, aber das Wissen dabei ist dort oft sehr eingeschränkt. Überall dort wo sie dann nicht mehr weiter kommen, komme ich ins Spiel und versuche zu helfen.

13.Viele Leute verstehen den Antrieb hinter gewissen von dir gesetzten Aktionen nicht ganz (etwa der Hack der TV-Total-Website oder das ausdrucken hunderter Seiten an einem gehackten schweizer Flughafen-Wartebereich-Rechner). Was würdest du als deinen Antrieb bei solchen Aktionen bezeichnen?
Nichts besonderes – ich habe ja auch nie einen Schaden angerichtet. Die Betreibern habe ich alle immer per E-Mail informiert. Am Flughafen musste ich 2 Stunden warten, da lächelte mich das Internetterminal schon von selbst an.

14.Wenn du einen Bankomaten vor dir siehst, denkst du dann zuerst an dessen inneres und sein Betriebssystem oder kannst du in solchen Dingen dein “großes Interesse” ausblenden?
Ich bin froh, dass Programmieren nicht mein komplettes Leben bestimmt. Ich drehe gerne den Computer ab um mir irgendwelche Teenieserien im Fernsehen rein zu ziehen oder einfach mal einen Spaziergang draußen zu machen. Ich bin alles andere als ein Freak der den ganzen Tag nur vorm Computer sitzt. Auch gehe ich gerne was trinken oder gehe die ganze Nacht fort und schlafe dann den ganzen Tag.

15.Im Interview mit dem Spiegel sagst du selbst, dass du keinen Virenschutz einsetzt. Glaubst du, dass man sich bei all den Viren die heutzutage kursieren, immer noch durch eine “versärkte Vorsicht” ohne Infektion durchs Netz bewegen kann?
Das eigentliche Problem der Sicherheit im Internet ist hauptsächlich das fehlende Wissen und die mangelnde Sensibilität der Benutzer im Internet. Benutzer klicken auf irgendwelche Spam Nachrichten, Werbebanner oder laden sich irgendwelche Cracks runter – da wird sich so schnell auch nichts ändern. Die Gefahr, dass auch ich solch einen Virus bekomme, weil ich auf irgendwelchen dubiosen Crackseiten im Internet herum surfe und mir Torrents runterlade, oder weil mein System eine offen Sicherheitslücke hat, bleibt auch bei mir bestehen, keineswegs gerate ich deswegen aber in Panik. Es ist für mich ein kalkulierbares Risiko, das ich auch gerne bereit bin einzugehen. Bisher waren meine Daten alle immer sicher.