Deutsche Welle: Herr Heiderich, es ist ja schon länger bekannt, dass die chinesischen Behörden in den Provinzen, in denen die muslimischen Uiguren leben, eine sehr engmaschige Überwachung aufgebaut haben. Sie arbeiten etwa mit einer Gesichtserkennung und sammeln alle möglichen Daten über die Bürger. Nun ist es der Menschenrechtsorganisation Human Rights Watch gelungen, eine Kopie einer App zu bekommen, die normalerweise auf den Mobiltelefonen von Polizisten installiert ist. Ihre Firma Cure53 sollte analysieren, was sich dahinter verbirgt. Wie sind sie vorgegangen, um dieses Puzzle zu lösen?

Mario Heiderich: Wir haben von Human Rights Watch (HRW) eine sogenannte APK-Datei zur Verfügung gestellt bekommen. Das ist ein ausführbares Programm für Android Betriebssysteme für Mobiltelefone oder Tablets. Diese APK-Datei ist natürlich nicht quelloffen (d.h. hat keinen öffentlich zugänglichen Quellcode), sondern sie ist kompiliert. Das heißt, um auf dem Telefon laufen zu können, wird das ganze komprimiert, zusammengefasst, in ein Binärformat gesteckt und kann nicht ohne weiteres wieder auseinandergenommen werden.

Dafür gibt es aber Programme und Tools. Der Vorgang nennt sich "Dekompilieren" oder auch "Dekompilation". So kommt man zum größten Teil wieder an die eigentlichen Quellen heran – nicht zu 100 Prozent, aber zu den größten Teilen. Mit den Ergebnissen kann man sich dann ein klareres Bild davon machen, was die App tatsächlich tut.

Wir haben es relativ unkompliziert geschafft, die Datei zu dekompilieren, und auch Human Rights Watch hatte das schon ganz allein zuvor hinbekommen. Aber das größte Problem war, dass die ganzen Texte auf der App auf Chinesisch verfasst waren – sowohl im Code, als auch in den Interfaces, den Eingabemasken. Daraus konnten wir nicht hundertprozentig ableiten, was das Programm eigentlich tut. 

Hatten Sie chinesische Muttersprachler, die ihnen da helfen konnten?

Ja, wir haben zwei Muttersprachler zu Rate gezogen und dann die ganzen Sprachdateien ins Englische übersetzt. Auf dieser Basis haben wir dann das Dekompilierte genommen und mit der Übersetzung wieder zu einer neuen APK-Datei zusammengebaut, die dann wieder als Binärdatei auf Telefonen oder anderen Geräten ausgeführt werden kann. So hatten wir dann den Zugriff auf eine englische Version der App, die man besser analysieren konnte. Und diese konnte von Human Rights Watch auch in ihren Screenshots und auf Blog-Artikeln gut dargestellt werden. 

Meinung dazu: Görlach global: Xi Jinpings China auf einem gefährlichen Weg

Die App kann man sich ja wie ein Terminal-Programm vorstellen: Der Beamte hat die App auf seinem Mobiltelefon und tippt Informationen ein oder ruft sie vom Server ab. Im Kern ist die App also das Fenster, das auf den Server blickt, auf dem die ganzen Daten liegen, die der Staat über seine Bürger sammelt.

Genau, wir sehen die App auch nicht als besonders anspruchsvoll an. Es ist eine recht einfache App. Im Wesentlichen besteht sie nur aus Formularen, in die der Polizist die Daten eingibt, erfasst und an den Server übersendet. Mehr Magie war da eigentlich nicht drin.

Das Interessante daran war, abzuleiten, was für Daten erfasst worden sind. Nicht: "wie", sondern "was" und in welchem Kontext sie genutzt werden können. Wir können natürlich nur mutmaßen, was auf den Servern passiert, aber da hat Human Rights Watch ja bereits geschickt Schlüsse draus gezogen.

Es geht ja auch um die Daten, die ein Polizist empfängt, wenn er etwa das Profil eines Menschen aufruft. Dann bekommt er ja auch Daten zugeschickt, an die er vielleicht noch gar nicht gedacht hatte: Zu dessen Hobbies, Stromverbrauch oder sonst etwas.

Ja genau, es geht offensichtlich darum, eine möglichst große Datenbasis anzureichern und verfügbar zu machen. Die Hauptaufgabe dieser App war es offensichtlich, den Datensatz weiter zu füttern. 

Mehr dazu: Biometrische Gesichtserkennung macht Totalüberwachung möglich

Wenn man nun in solch einem Umfeld lebt – als Uigure in dieser Region – macht man sich ja schon verdächtig, wenn man kein Smartphone besitzt. Offensichtlich ist also das eigene Smartphone in der Tasche auch zentraler Bestandteil der Totalüberwachung des Regimes. Gibt es irgendeinen Weg, sich davor zu schützen?

Ich kann darüber nur mutmaßen, wie das Klima in einem solchen Gebiet tatsächlich ist. Technische Wege, sich davor zu schützen, kenne ich aus dem Stegreif nicht. Das Problem besteht nämlich darin, dass man sich erst recht verdächtig macht, wenn man sich davor schützt oder dagegen wehrt.

Die Polizei-App hat etwa auch erfasst, ob die Leute auf ihren Smartphones bestimmte Apps installiert hatten, ob die Leute durch die Vorder- oder Hintertür ins Haus gehen. Ich bin mir ziemlich sicher, dass es da noch weitere [Indizien] für mutmaßlich verdächtiges Verhalten gibt. Wer sich also durch Verschlüsselung zu schützen versucht oder sich anderweitig entzieht, macht sich doppelt verdächtig und hat dann sicher andere Repressalien zu erdulden. Das ist aber nur eine Mutmaßung, die wir von hier aus nicht bestätigen können.

Hatte die App noch irgendwelche Schnittstellen, mit denen die Polizisten Daten von den Mobiltelefonen der Bürger auslesen konnten – etwa über Bluetooth?

Das gab es in dieser App nicht. Es wäre Thema einer anderen App, zu der es meines Wissens noch keine Berichterstattung gibt. Das wird wohl noch kommen. Es gibt unseres Wissens nach auch Apps, die auf den Telefonen der entsprechenden Verdächtigen installiert werden und das Bild komplettieren. Das können wir aber bislang noch nichts bestätigen, sondern nur Spekulationen liefern. Ich könnte mir aber gut vorstellen, dass innerhalb der nächsten wenigen Wochen auch dazu etwas berichtet wird.

Dr.-Ing. Mario Heiderich ist Ingenieur und Informatiker. Er hat die Firma Cure53 gegründet, deren Direktor er ist. Seine Firma ist spezialisiert auf Pentests (Penetration Tests, bei denen Hacker versuchen, im Auftrag von Firmen deren IT-Sicherheitssysteme zu durchbrechen um dabei Sicherheitslücken aufzuspüren). 

Das Interview führte Fabian Schmidt