- Anzeigen -


Sie sind hier: Home » Markt » Hintergrund

Verschlüsselte Telekommunikation


Rechtsgrundlagen und Einsatz der Quellen-Telekommunikationsüberwachung
Personen, die einer Straftat verdächtig sind, nutzen zunehmend standardmäßig verschlüsselte Kommunikationsmittel wie beispielsweise Skype, WhatsApp oder Telegram

- Anzeigen -





Die FDP-Fraktion interessiert sich für die Möglichkeiten der Überwachung von Telekommunikationsmitteln zur Strafverfolgung und die Nutzung einschlägiger Software. Offenbar habe das Bundeskriminalamt (BKA) damit begonnen, auch verschlüsselte Botschaften im Internet zu lesen. Neben der selbst konzeptionierten Software RCIS stehe dem BKA dazu ein Programm namens FinSpy zur Verfügung, heißt es in einer Kleinen Anfrage (19/1020) der Fraktion.

Die Abgeordneten wollen von der Bundesregierung nun wissen, wie oft, in welchen Fällen und auf welche Weise Software zur Überwachung informationstechnischer Systeme eingesetzt worden ist oder noch eingesetzt wird.

Vorbemerkung der Fragesteller:
Personen, die einer Straftat verdächtig sind, nutzen zunehmend standardmäßig verschlüsselte Kommunikationsmittel wie beispielsweise Skype, WhatsApp oder Telegram. Vor diesem Hintergrund hat der Deutsche Bundestag in der 18. Wahlperiode mit den Stimmen der Fraktionen der CDU/CSU und SPD den Einsatz der Onlinedurchsuchung und der Quellen-Telekommunikationsüberwachung (Quellen-TKÜ) durch die Strafverfolgungsbehörden ermöglicht. Ihre Rechtsgrundlage findet die Quellen-TKÜ zu repressiven Zwecken in § 100a Absatz 1 Satz 2 und 3 der Strafprozessordnung (StPO).

Dabei soll § 100a Absatz 1 Satz 3 StPO eine spezifische Ermächtigungsgrundlage für verschlüsselte Kommunikationsmittel enthalten, während § 100a Absatz 1 Satz 2 StPO die Ermächtigungsgrundlage für unverschlüsselte Kommunikationsmittel enthalten soll (vgl. Formulierungshilfe der Bundesregierung für einen Änderungsantrag der Fraktionen der CDU/CSU und SPD zu dem Gesetzentwurf der Bundesregierung auf Medienberichten zufolge hat das Bundeskriminalamt (BKA) nun damit begonnen, dieses Instrument zu nutzen, um so auch verschlüsselte Botschaften lesen
zu.

Neben der eigens konzeptionierten Remote Communication Interception Software (RCIS) stehe dem BKA hierfür die von der FinFisher GmbH entwickelte Software FinSpy zur Verfügung. Unbekannt ist, wie oft und mit welchem Erfolg die Programme bereits zur Strafverfolgung eingesetzt wurden. Das Bundesverfassungsgericht (BVerfG) legte im Jahr 2008 für die Überwachung informationstechnischer Systeme zu präventiven Zwecken einen differenzierten Prüfungsmaßstab fest.

Wenn und solange sich eine Überwachung ausschließlich auf Daten aus einem laufenden Telekommunikationsvorgang beschränkt, ist ihre Rechtsgrundlage nur an Artikel 10 des Grundgesetzes (GG) (Fernmeldegeheimnis) zu messen. Sind daneben weitere personenbezogene Daten umfasst, die einen Einblick in wesentliche Teile der Lebensgestaltung des Betroffenen oder gar ein aussagekräftiges Bild seiner Persönlichkeit geben, betrifft die Maßnahme zugleich das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme aus Artikel 2 Absatz 1 i. V. m. Artikel 1 Absatz 1 GG. Dieser spezifische Grundrechtsschutz erstrecke sich auch "auf solche Mobiltelefone oder elektronische Terminkalender, die über einen großen Funktionsumfang verfügen und personenbezogene Daten vielfältiger Art erfassen und speichern können" (vgl. BVerfG, Urteil vom 27. Februar 2008 – 1 BvR 370/07, 1 BvR 595/07, Rn. 203).

In Bezug auf die Eingriffsermächtigung forderte das BVerfG, dass diese "tatsächliche Anhaltspunkte einer konkreten Gefahr für ein überragend wichtiges Rechtsgut" voraussetzen müsse, und stellte fest: "Zum Schutz sonstiger Rechtsgüter Einzelner oder der Allgemeinheit in Situationen, in denen eine existenzielle Bedrohungslage nicht besteht, ist eine staatliche Maßnahme grundsätzlich nicht angemessen" (vgl. BVerfG, Urteil vom 27. Februar 2008 – 1 BvR 370/07, 1 BvR 595/07, Rn. 247 bis 248). Ferner seien – neben der Erforderlichkeit einer richterlichen Anordnung –Vorkehrungen für den Schutz des Kernbereichs privater Lebensgestaltung zu treffen.

In einer jüngeren Entscheidung zur präventiven Quellen-TKÜ nach § 20l Absatz 2 des Bundeskriminalamtgesetzes (BKAG) hob das BVerfG hervor, dass maßgeblich sei, dass "das Gesetz keinen Zweifel lasse, dass eine Quellen-TKÜ nur bei einer technisch sichergestellten Begrenzung der Überwachung auf die laufende Kommunikation erlaubt ist". Anderenfalls käme nur ein Vorgehen in Form einer Online-Durchsuchung unter den Voraussetzungen von § 20k Absatz 1 BKAG in Betracht (vgl. BVerfG, Urteil vom 20. April 2016 – 1 BvR 966/09, 1 BvR 1140/09, Rn. 234).

Das BKA ist der Auffassung, dass die eingesetzte Quellen-TKÜ ausschließlich Inhalte der laufenden Kommunikation zugänglich mache. Demzufolge wären die vom BVerfG im Urteil vom 27. Februar 2008 geforderten Voraussetzungen zum Eingriff in das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme nicht einschlägig (vgl. auch Bundestagsdrucksache 18/12785, S. 50).

Diese Annahme wurde im Rahmen der öffentlichen Anhörung zur Formulierungshilfe der Bundesregierung zum Änderungsantrag der Fraktionen der CDU/CSU und SPD zu dem Gesetzentwurf der Bundesregierung bezweifelt. Die systematische Einordnung der Quellen-TKÜ gemeinsam mit der konventionellen Telekommunikationsüberwachung in § 100a StPO suggeriere fälschlicherweise, dass es sich um einen vergleichbaren Eingriff handele. Bezogen auf die Eingriffsintensität stehe sie in Wahrheit der Online-Durchsuchung nahe, da beide Maßnahmen die Infiltration des Systems erforderten (vgl. auch Blechschmitt, Zur Einführung von Quellen-TKÜ und Online-Durchsuchung, StraFo 9/2017 S. 361 bis 365).

Der Wortlaut des § 100a Absatz 1 Satz 3 StPO verdeutliche, dass technisch möglich sei, was rechtlich nicht möglich sein soll: "Auf dem informationstechnischen System des Betroffenen gespeicherte Inhalte und Umstände der Kommunikation dürfen überwacht und aufgezeichnet werden, wenn sie auch während des laufenden Übertragungsvorgangs im öffentlichen Telekommunikationsnetz in verschlüsselter Form hätten überwacht und aufgezeichnet werden können."

Diese Regelung zeige, dass die Ermittlungsbehörden auf sämtliche gespeicherten Kommunikationen zugreifen können. Zwar sehe § 100a Absatz 5 Nummer 1 Buchstabe b StPO vor, dass bei Maßnahmen nach Absatz 1 Satz 3 technisch sicherzustellen ist, dass ausschließlich solche gespeicherten Inhalte und Kommunikationen überwacht und aufgezeichnet werden können, die ab dem Zeitpunkt der Anordnung hätten überwacht und aufgezeichnet werden können.

Um diese Prüfung aber ausführen zu können, müsse das Programm zunächst alle gespeicherten Kommunikationsinhalte auslesen und auswerten, um entscheiden zu können, welche davon nach dem Beginn der Maßnahme gespeichert wurden (vgl. Stellungnahme des Sachverständigen Dr. Ulf Buermeyer, S. 17, Link s. o., dies voraussetzend auch Bundestagsdrucksache 18/12785, S. 52). Das aber bedeute, dass technisch bereits die "entscheidende Hürde genommen ist, um das System insgesamt auszuspähen", mit der Folge, dass der Eingriff an Artikel 2 Absatz 1 i. V. m. Artikel 1 Absatz 1 GG zu messen sei (vgl. BVerfG, Urteil von 27. Februar 2008 – 1 BvR 370/07, 1 BvR 595/07, Rn. 188).

Vor diesem Hintergrund bestehen erhebliche praktische und verfassungsrechtliche Unsicherheiten im Zusammenhang mit den geltenden Regelungen zur Quellen-TKÜ.
(Deutscher Bundestag: ra)

eingetragen: 02.04.18
Newsletterlauf: 17.05.18

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Zunehmend Unternehmen im Fokus

    Fast drei Viertel des Jahres 2018 liegt bereits hinter uns und das Gros der Vorhersagen zur Cybersicherheit, die wir Ende 2017 machten, haben sich leider bereits erfüllt. Von Cryptojackern, die zu einer echten Bedrohung für Unternehmen werden, anstatt nur ein Ärgernis für Privatanwender zu sein, über Hardware-Schwachstellen, bis hin zu IoT-Bedrohungen, die an Komplexität zugenommen haben, hatte das Jahr 2018 bislang einiges zu bieten. Es lohnt sich abzugleichen, wie präzise der Blick in die Kristallkugel war.

  • Komplette Surfprofile beim US-Konzern

    Bereits seit Jahren ist bekannt, dass sich DNS-Anfragen leicht auslesen und manipulieren lassen: "Kriminelle können beispielsweise nicht nur sehen, welche Internet-Dienste ihr Opfer nutzt, sondern sind auch in der Lage, dessen Internet-Zugriffe auf eine Phishing-Seite umzuleiten, um persönliche Daten auszulesen", verdeutlicht Christian Heutger, Geschäftsführer der PSW Group, die Problematik. Immerhin: Mit dem DoT und dem DoH-Ansatz stehen bereits zwei Möglichen bereit, die dem DNS mehr Sicherheit spendieren könnten. Die IETF, eine Organisation, die sich mit der technischen Weiterentwicklung des Internets befasst, präferiert die DoH-Spezifikation und möchte sie endlich standardisieren. Damit sollen die Browser-Entwickler und Content Delivery-Netze DNS künftig einpacken und absichern.

  • Das vernetzte Auto: Chancen und Risiken

    Menschen lieben ihre Autos, gerade die Deutschen. Ist es an der Zeit den langjährigen Gefährten gegen "einen Neuen" einzutauschen, kann der Abschied schwer fallen. Inzwischen erleichtern eine Vielzahl cooler Gadgets und Ausstattungs-Features von der beheizten Armlehne bis hin zu Instant Messaging und Augmented Reality das Umsteigen. Selbstfahrende Autos sind der nächste Schritt innerhalb dieser Entwicklung. Obwohl man sich durchaus eine gesunde Portion Skepsis bewahren darf, nicht nur angesichts dieser Episode aus der Serie Silicon Valley in der einer der Hauptcharaktere dank eines selbstfahrenden Autos in einem versiegelten Container unwillentlich nach Asien verschifft wird.

  • Black Hats sind die Bösen, die Cyberkriminellen

    Malwarebytes hat in ihrer weltweiten Studie "White Hat, Black Hat und das Aufkommen von Gray Hat - die tatsächlichen Kosten von Cyber-Kriminalität" unter anderem auch herausgefunden, dass Sicherheitsexperten in Deutschen Unternehmen im Vergleich unterbezahlt sind. Für viele Hacker ein Grund, sich der scheinbar lukrativeren Cyberkriminalität zuzuwenden. In einem aktuellen Hintergrundbericht zu Black Hats (Cyber-Kriminellen) wirft Malwarebytes einen detaillierten Blick auf Gründe, die Cyber- und Sicherheitsexperten auf die "dunkle Seite" ziehen.

  • Cyber-Sicherheit: Der Mensch als Schlüsselfaktor

    Jeder sechste Mitarbeiter würde auf eine gefälschte E-Mail der Chefetage antworten und sensible Unternehmensinformationen preisgeben. Das hat eine Befragung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) ergeben. Informationen über Zuständigkeiten im Unternehmen, zur Zusammensetzung von Abteilungen, internen Prozessen oder Organisationsstrukturen, die über das sogenannte Social Engineering gewonnen werden, sind für Cyber-Kriminelle wertvolle Grundlage zur Vorbereitung von gezielten Angriffen auf das Unternehmen.