- Anzeigen -


Sie sind hier: Home » Markt » Hintergrund

Verschlüsselte Telekommunikation


Rechtsgrundlagen und Einsatz der Quellen-Telekommunikationsüberwachung
Personen, die einer Straftat verdächtig sind, nutzen zunehmend standardmäßig verschlüsselte Kommunikationsmittel wie beispielsweise Skype, WhatsApp oder Telegram

- Anzeigen -





Die FDP-Fraktion interessiert sich für die Möglichkeiten der Überwachung von Telekommunikationsmitteln zur Strafverfolgung und die Nutzung einschlägiger Software. Offenbar habe das Bundeskriminalamt (BKA) damit begonnen, auch verschlüsselte Botschaften im Internet zu lesen. Neben der selbst konzeptionierten Software RCIS stehe dem BKA dazu ein Programm namens FinSpy zur Verfügung, heißt es in einer Kleinen Anfrage (19/1020) der Fraktion.

Die Abgeordneten wollen von der Bundesregierung nun wissen, wie oft, in welchen Fällen und auf welche Weise Software zur Überwachung informationstechnischer Systeme eingesetzt worden ist oder noch eingesetzt wird.

Vorbemerkung der Fragesteller:
Personen, die einer Straftat verdächtig sind, nutzen zunehmend standardmäßig verschlüsselte Kommunikationsmittel wie beispielsweise Skype, WhatsApp oder Telegram. Vor diesem Hintergrund hat der Deutsche Bundestag in der 18. Wahlperiode mit den Stimmen der Fraktionen der CDU/CSU und SPD den Einsatz der Onlinedurchsuchung und der Quellen-Telekommunikationsüberwachung (Quellen-TKÜ) durch die Strafverfolgungsbehörden ermöglicht. Ihre Rechtsgrundlage findet die Quellen-TKÜ zu repressiven Zwecken in § 100a Absatz 1 Satz 2 und 3 der Strafprozessordnung (StPO).

Dabei soll § 100a Absatz 1 Satz 3 StPO eine spezifische Ermächtigungsgrundlage für verschlüsselte Kommunikationsmittel enthalten, während § 100a Absatz 1 Satz 2 StPO die Ermächtigungsgrundlage für unverschlüsselte Kommunikationsmittel enthalten soll (vgl. Formulierungshilfe der Bundesregierung für einen Änderungsantrag der Fraktionen der CDU/CSU und SPD zu dem Gesetzentwurf der Bundesregierung auf Medienberichten zufolge hat das Bundeskriminalamt (BKA) nun damit begonnen, dieses Instrument zu nutzen, um so auch verschlüsselte Botschaften lesen
zu.

Neben der eigens konzeptionierten Remote Communication Interception Software (RCIS) stehe dem BKA hierfür die von der FinFisher GmbH entwickelte Software FinSpy zur Verfügung. Unbekannt ist, wie oft und mit welchem Erfolg die Programme bereits zur Strafverfolgung eingesetzt wurden. Das Bundesverfassungsgericht (BVerfG) legte im Jahr 2008 für die Überwachung informationstechnischer Systeme zu präventiven Zwecken einen differenzierten Prüfungsmaßstab fest.

Wenn und solange sich eine Überwachung ausschließlich auf Daten aus einem laufenden Telekommunikationsvorgang beschränkt, ist ihre Rechtsgrundlage nur an Artikel 10 des Grundgesetzes (GG) (Fernmeldegeheimnis) zu messen. Sind daneben weitere personenbezogene Daten umfasst, die einen Einblick in wesentliche Teile der Lebensgestaltung des Betroffenen oder gar ein aussagekräftiges Bild seiner Persönlichkeit geben, betrifft die Maßnahme zugleich das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme aus Artikel 2 Absatz 1 i. V. m. Artikel 1 Absatz 1 GG. Dieser spezifische Grundrechtsschutz erstrecke sich auch "auf solche Mobiltelefone oder elektronische Terminkalender, die über einen großen Funktionsumfang verfügen und personenbezogene Daten vielfältiger Art erfassen und speichern können" (vgl. BVerfG, Urteil vom 27. Februar 2008 – 1 BvR 370/07, 1 BvR 595/07, Rn. 203).

In Bezug auf die Eingriffsermächtigung forderte das BVerfG, dass diese "tatsächliche Anhaltspunkte einer konkreten Gefahr für ein überragend wichtiges Rechtsgut" voraussetzen müsse, und stellte fest: "Zum Schutz sonstiger Rechtsgüter Einzelner oder der Allgemeinheit in Situationen, in denen eine existenzielle Bedrohungslage nicht besteht, ist eine staatliche Maßnahme grundsätzlich nicht angemessen" (vgl. BVerfG, Urteil vom 27. Februar 2008 – 1 BvR 370/07, 1 BvR 595/07, Rn. 247 bis 248). Ferner seien – neben der Erforderlichkeit einer richterlichen Anordnung –Vorkehrungen für den Schutz des Kernbereichs privater Lebensgestaltung zu treffen.

In einer jüngeren Entscheidung zur präventiven Quellen-TKÜ nach § 20l Absatz 2 des Bundeskriminalamtgesetzes (BKAG) hob das BVerfG hervor, dass maßgeblich sei, dass "das Gesetz keinen Zweifel lasse, dass eine Quellen-TKÜ nur bei einer technisch sichergestellten Begrenzung der Überwachung auf die laufende Kommunikation erlaubt ist". Anderenfalls käme nur ein Vorgehen in Form einer Online-Durchsuchung unter den Voraussetzungen von § 20k Absatz 1 BKAG in Betracht (vgl. BVerfG, Urteil vom 20. April 2016 – 1 BvR 966/09, 1 BvR 1140/09, Rn. 234).

Das BKA ist der Auffassung, dass die eingesetzte Quellen-TKÜ ausschließlich Inhalte der laufenden Kommunikation zugänglich mache. Demzufolge wären die vom BVerfG im Urteil vom 27. Februar 2008 geforderten Voraussetzungen zum Eingriff in das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme nicht einschlägig (vgl. auch Bundestagsdrucksache 18/12785, S. 50).

Diese Annahme wurde im Rahmen der öffentlichen Anhörung zur Formulierungshilfe der Bundesregierung zum Änderungsantrag der Fraktionen der CDU/CSU und SPD zu dem Gesetzentwurf der Bundesregierung bezweifelt. Die systematische Einordnung der Quellen-TKÜ gemeinsam mit der konventionellen Telekommunikationsüberwachung in § 100a StPO suggeriere fälschlicherweise, dass es sich um einen vergleichbaren Eingriff handele. Bezogen auf die Eingriffsintensität stehe sie in Wahrheit der Online-Durchsuchung nahe, da beide Maßnahmen die Infiltration des Systems erforderten (vgl. auch Blechschmitt, Zur Einführung von Quellen-TKÜ und Online-Durchsuchung, StraFo 9/2017 S. 361 bis 365).

Der Wortlaut des § 100a Absatz 1 Satz 3 StPO verdeutliche, dass technisch möglich sei, was rechtlich nicht möglich sein soll: "Auf dem informationstechnischen System des Betroffenen gespeicherte Inhalte und Umstände der Kommunikation dürfen überwacht und aufgezeichnet werden, wenn sie auch während des laufenden Übertragungsvorgangs im öffentlichen Telekommunikationsnetz in verschlüsselter Form hätten überwacht und aufgezeichnet werden können."

Diese Regelung zeige, dass die Ermittlungsbehörden auf sämtliche gespeicherten Kommunikationen zugreifen können. Zwar sehe § 100a Absatz 5 Nummer 1 Buchstabe b StPO vor, dass bei Maßnahmen nach Absatz 1 Satz 3 technisch sicherzustellen ist, dass ausschließlich solche gespeicherten Inhalte und Kommunikationen überwacht und aufgezeichnet werden können, die ab dem Zeitpunkt der Anordnung hätten überwacht und aufgezeichnet werden können.

Um diese Prüfung aber ausführen zu können, müsse das Programm zunächst alle gespeicherten Kommunikationsinhalte auslesen und auswerten, um entscheiden zu können, welche davon nach dem Beginn der Maßnahme gespeichert wurden (vgl. Stellungnahme des Sachverständigen Dr. Ulf Buermeyer, S. 17, Link s. o., dies voraussetzend auch Bundestagsdrucksache 18/12785, S. 52). Das aber bedeute, dass technisch bereits die "entscheidende Hürde genommen ist, um das System insgesamt auszuspähen", mit der Folge, dass der Eingriff an Artikel 2 Absatz 1 i. V. m. Artikel 1 Absatz 1 GG zu messen sei (vgl. BVerfG, Urteil von 27. Februar 2008 – 1 BvR 370/07, 1 BvR 595/07, Rn. 188).

Vor diesem Hintergrund bestehen erhebliche praktische und verfassungsrechtliche Unsicherheiten im Zusammenhang mit den geltenden Regelungen zur Quellen-TKÜ.
(Deutscher Bundestag: ra)

eingetragen: 02.04.18
Newsletterlauf: 17.05.18

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Einsatz von KI in Sicherheitsprodukten

    Anbieter von Sicherheitssoftware vermarkten den Einsatz von KI in ihren Produkten als technologischen Fortschritt. Dabei haben sie gar keine Wahl: Cyberkriminelle geben den Takt vor und werden immer mächtiger. Schuld ist der konzeptionelle Ansatz einer ganzen Branche, analysiert Sicherheitssoftware-Anbieter Bromium. Tatsächlich befinden sich Cyberkriminelle im Kampf um die Sicherheitshoheit seit jeher im Vorteil. Sie unterliegen keinen Organisationszwängen, sind schnell, per Definition skrupellos und geben mit immer fortschrittlicheren Attacken den Takt vor. Anbieter von Sicherheitssoftware können neuartige Angriffe nicht antizipieren und müssen reagieren; bis aber angepasste Abwehrmaßnahmen entwickelt und am Ende von ihren Unternehmenskunden produktiv eingesetzt werden, ist es meist schon zu spät. Dann beginnt der Kreislauf wieder von vorne.

  • Virtualisierung wird zum Retter der IT

    Sicherheitsvorfälle sind weiter an der Tagesordnung und klassische Sicherheitsmaßnahmen haben mehr als einmal versagt. Einen Ausweg aus dem Sicherheitsdilemma bieten Virtualisierungslösungen, meint Bromium. Noch vor wenigen Jahren schien es undenkbar, dass eine Bank ihre auf Mainframes angesiedelten unternehmenskritischen Kernapplikationen auch auf virtuellen Servern betreibt. Heute bilden virtuelle Infrastrukturen im Bankenumfeld keine Ausnahme mehr. Die Entwicklung weg von physischen Infrastrukturen hin zu virtuellen Architekturen zeigt sich in der gesamten IT. So ist die Virtualisierung im Server- und Storage-Bereich bereits der Standard. Der Virtualisierungstrend erfasst aber nicht nur Server- und Storage-Landschaften, sondern seit geraumer Zeit auch Applikationen, Netzwerke und sogar einzelne Netzwerkfunktionen. Und aktuell setzt sich zunehmend die Erkenntnis durch, dass Virtualisierung gerade auch hinsichtlich der IT-Sicherheit entscheidende Vorteile bringt.

  • Diebstahl von Passwörtern

    Der Diebstahl von Passwörtern geschieht nicht nur durch Software und Social Engineering - es kann auch schon eine Wärmebildkamera ausreichen, die kostengünstiger und somit für Cyberkriminelle immer interessanter wird. Laut einer Untersuchung von Wissenschaftlern der University of California reichen die Wärmespuren (Heat Traces) auf handelsüblichen Tastaturen aus, um Passwörter abzugreifen. Nach Einschätzung der Forscher sind besonders leicht Eingaben von Nutzer des Zwei-Finger-Suchsystems auslesbar. Diese ungewöhnliche Methode des Passwortknackens könnte im Bereich Cyber- und Industriespionage zum Tragen kommen.

  • Lösegeld-Flatrate für Unternehmen

    WannaCry hat Ransomware zu einer besonders zerstörerischen Dimension verholfen. Mit WannaCrypt erscheint nun eine neue Variante der Erpressungssoftware: Zahlt, dann bleibt ihr verschont. Sophos gibt eine Einschätzung und Tipps zum Umgang mit Ransomware. Gibt es Schlimmeres als einen Ransomware-Angriff, der sämtliche Dateien zerhackt und Geld fordert, damit der Computer wieder befreit wird? WannaCry hat der Ransomware-Gefahr eine ganz neue Dimension verliehen, indem es den Prozess der Datenzerstörung mit einem selbst verbreitenden Computer-Virus kombinierte. Als Ergebnis konnte WannaCry sich automatisch ins eigene Netzwerk einschleichen und hatte das Potenzial, Hunderte oder sogar Tausende PCs in einer einzigen Attacke zu zerlegen - auch wenn nur ein einziger Nutzer einen Anhang mit derartiger Sprengladung öffnete oder eine Datei von einer infizierten Webseite downloadete.

  • Hacker-Angriffe: Weiterhin Handlung

    Fragen Sie sich doch einmal selbst: Würden Sie eher die E-Mail-Nachricht eines Prinzen aus Nigeria öffnen, der Sie um Hilfe bittet, oder die, bei der Sie einfach nur "hier klicken" müssen, um kostenlose Tickets zur Fußballweltmeisterschaft zu erhalten? Cyberkriminelle halten immer Ausschau nach günstigen Gelegenheiten, um Verbraucher zu täuschen. Wenn große Datenpannen bekannt werden, versenden sie zum Beispiel oft Sicherheitsmeldungen, die die Empfänger dazu auffordern, ihre Daten zu sichern. Oder sie verschicken Links zu meist unvorteilhaften und daher für eine Veröffentlichung gesperrte Fotos von Prominenten.