... informationstechnische Systeme (sind) allgegenwärtig ... und ihre Nutzung (ist) für die Lebensführung vieler Bürger von zentraler Bedeutung (Rn 171).

Dies gilt zunächst für Personalcomputer, über die mittlerweile eine deutliche Mehrheit der Haushalte in der Bundesrepublik verfügt ... Die Leistungsfähigkeit derartiger Rechner ist ebenso gestiegen wie die Kapazität ihrer Arbeitsspeicher und der mit ihnen verbundenen Speichermedien. Heutige Personalcomputer können für eine Vielzahl unterschiedlicher Zwecke genutzt werden, etwa zur umfassenden Verwaltung und Archivierung der eigenen persönlichen und geschäftlichen Angelegenheiten, als digitale Bibliothek oder in vielfältiger Form als Unterhaltungsgerät. Dementsprechend ist die Bedeutung von Personalcomputern für die Persönlichkeitsentfaltung erheblich gestiegen. (Rn 172)

... Daneben enthalten zahlreiche Gegenstände, mit denen große Teile der Bevölkerung alltäglich umgehen, informationstechnische Komponenten. So liegt es beispielsweise zunehmend bei Telekommunikationsgeräten oder elektronischen Geräten, die in Wohnungen oder Kraftfahrzeugen enthalten sind. (Rn 173)
 

 
Das BVerfG begreift alle datenverarbeitenden Geräte und Netzwerke als informationstechnische Systeme (im Folgenden itS) und unterscheidet zunächst nicht danach, ob es sich dabei um Steuerungstechnik, z.B. in einer Heizungsanlage, um mobile Kommunikationstechnik (Handys, PDAs), PCs, Firmennetzwerke oder das Internet als Ganzes handelt.

Das Gericht stellt sodann fest, dass die Verbreitung und Nutzung der itS erheblich gestiegen sind, sie aus dem Alltagsleben kaum noch wegzudenken und allgegenwärtig sind. Die Folgen davon sind, dass auch eine allgemeine Abhängigkeit von der Funktionstüchtigkeit der itS und ein Vertrauen darin entstanden, dass sie so wie gewohnt und geplant funktionieren.
 

 
Gefährdungen ergeben sich bereits daraus, dass komplexe informationstechnische Systeme wie etwa Personalcomputer ein breites Spektrum von Nutzungsmöglichkeiten eröffnen, die sämtlich mit der Erzeugung, Verarbeitung und Speicherung von Daten verbunden sind. Dabei handelt es sich nicht nur um Daten, die der Nutzer des Rechners bewusst anlegt oder speichert. Im Rahmen des Datenverarbeitungsprozesses erzeugen informationstechnische Systeme zudem selbsttätig zahlreiche weitere Daten, die ebenso wie die vom Nutzer gespeicherten Daten im Hinblick auf sein Verhalten und seine Eigenschaften ausgewertet werden können. In der Folge können sich im Arbeitsspeicher und auf den Speichermedien solcher Systeme eine Vielzahl von Daten mit Bezug zu den persönlichen Verhältnissen, den sozialen Kontakten und den ausgeübten Tätigkeiten des Nutzers finden. Werden diese Daten von Dritten erhoben und ausgewertet, so kann dies weitreichende Rückschlüsse auf die Persönlichkeit des Nutzers bis hin zu einer Profilbildung ermöglichen ... (Rn 178)

Beachtlich sei, dass der Einzelne zu seiner Persönlichkeitsentfaltung auf die Nutzung informationstechnischer Systeme angewiesen ist und dabei dem System persönliche Daten anvertraut oder schon allein durch dessen Nutzung zwangsläufig liefert. Ein Dritter, der auf ein solches System zugreift, kann sich einen potentiell äußerst großen und aussagekräftigen Datenbestand verschaffen, ohne noch auf weitere Datenerhebungs- und Datenverarbeitungsmaßnahmen angewiesen zu sein. (Rn 200)
 

 
Eine Differenzierung unternimmt das BVerfG aber wegen der Qualität der Datenverarbeitung. Insoweit geht es davon aus, dass vor Allem die private Nutzung der itS neue Qualitäten und Freiheiten für die Persönlichkeitsentwicklung entstehen ließen. Das berufliche, private und Freizeitleben wird von itS begleitet und dokumentiert. Sie dienen zudem zur Kommunikation und Archivierung persönlicher Daten.

Insoweit stellt das Gericht zutreffend fest, dass vor Allem PCs in Privathaushalten fünf verschiedene Nutzungsfunktionen haben:

 
Der Zugriff auf diese Daten öffnet den Zugang zu einem Datenbestand, der herkömmliche Informationsquellen an Umfang und Vielfältigkeit bei weitem übertreffen kann. Dies liegt an der Vielzahl unterschiedlicher Nutzungsmöglichkeiten, die komplexe informationstechnische Systeme bieten und die mit der Erzeugung, Verarbeitung und Speicherung von personenbezogenen Daten verbunden sind. Insbesondere werden solche Geräte nach den gegenwärtigen Nutzungsgepflogenheiten typischerweise bewusst zum Speichern auch persönlicher Daten von gesteigerter Sensibilität, etwa in Form privater Text-, Bild- oder Tondateien, genutzt. Der verfügbare Datenbestand kann detaillierte Informationen über die persönlichen Verhältnisse und die Lebensführung des Betroffenen, die über verschiedene Kommunikationswege geführte private und geschäftliche Korrespondenz oder auch tagebuchartige persönliche Aufzeichnungen umfassen. (Rn 231)
 

 
Siehe Nutzungsfunktionen.

 
Auch flüchtige oder nur temporär gespeicherte Daten können eine besondere Relevanz für die Persönlichkeit des Betroffenen aufweisen oder einen Zugriff auf weitere, besonders sensible Daten ermöglichen. Dies gilt etwa für Cache-Speicher, die von Dienstprogrammen wie etwa Web-Browsern angelegt werden und deren Auswertung Schlüsse über die Nutzung solcher Programme und damit mittelbar über Vorlieben oder Kommunikationsgewohnheiten des Betroffenen ermöglichen kann, oder für Passwörter, mit denen der Betroffene Zugang zu technisch gesicherten Inhalten auf seinem System oder im Netz erlangt. Zudem ist eine längerfristige Überwachung der Internetkommunikation ... gegenüber einer einmaligen Erhebung von Kommunikationsinhalten und Kommunikationsumständen gleichfalls ein erheblich intensiverer Eingriff. Schließlich ist zu berücksichtigen, dass der geregelte Zugriff unter anderem darauf angelegt und dazu geeignet ist, den Einsatz von Verschlüsselungstechnologie zu umgehen. Auf diese Weise werden eigene Schutzvorkehrungen des Betroffenen gegen einen von ihm nicht gewollten Datenzugriff unterlaufen. Die Vereitelung solchen informationellen Selbstschutzes erhöht das Gewicht des Grundrechtseingriffs. (Rn 236)
 

 
Die Daten im Hinblick auf die Nutzungsfunktionen werden nicht nur dauerhaft gespeichert ( Speichermedien, Festplatte), sondern während der Nutzung auch temporär und flüchtig ( Arbeitsspeicher, Zwischenspeicher auf einem Datenträger [Cache]).

Einen Schwerpunkt sieht das BVerfG bei der Internetkommunikation. Insoweit hebt es hervor, dass im Zusammenhang mit der Onlinedurchsuchung die Kommunikation selber, die Kommunikationsgewohnheiten und schließlich die Zugangsdaten zu geschlossenen Kommunikationsforen erforscht und laufend überwacht werden können. Dies vermittelt einen tiefen Eindruck von den persönlichen Gewohnheiten des Überwachten.

Aus zwischengespeicherten Internet-Daten können tatsächlich Nutzungsgewohnheiten und Vorlieben abgeleitet werden. Sie lassen sich aber sehr einfach von Hand oder sogar nachhaltig mit verbreiteten Programmen löschen. Die heimliche Protokollierung ist erheblich effektiver. Sie kann, wie es von moderner Phishing-Malware bekannt ist, automatisch Alarm- und andere Funktionen auslösen, wenn der Überwachte bestimmte Aktivitäten unternimmt.
 

 
Vor allem mittels elektronischer Datenverarbeitung können aus (freiwillig preisgegebenen und heimlich erhobenen) Informationen weitere Informationen erzeugt und so Schlüsse gezogen werden, die sowohl die grundrechtlich geschützten Geheimhaltungsinteressen des Betroffenen beeinträchtigen als auch Eingriffe in seine Verhaltensfreiheit mit sich bringen können (Rn 199). Aus der Gesamtschau können weitreichende Rückschlüsse auf die Persönlichkeit des Betroffenen bis hin zu einer Bildung von Verhaltens- und Kommunikationsprofilen gezogen werden (Rn 232).
 

 
Dank der verfeinerten Methoden zur Datenauswertung ( Data Mining, Auswertung von Datenträgern, Perkeo) und der hohen Verarbeitungsgeschwindigkeit der EDV lassen sich fremde Datenbestände zügig auswerten und dadurch tiefe Einblicke in die Persönlichkeit des Betroffenen gewinnen.

Die Kehrseite davon erwähnt das BVerfG nicht: Die Datenmenge, die sich auf privaten und gewerblichen PCs sammelt, ist in aller Regel so groß, dass Datenauswertungen langwierig und anspruchsvoll sind. Allein die Fertigung physikalische Datensicherungen kann angesichts der Größe handelsüblicher Datenträger Tage dauern.

Eine optimierte Auswertung erfolgt am besten in der Weise, dass anhand ihrer Hashwerte nach bekannten Dateien gesucht wird, so funktioniert zum Beispiel Perkeo wegen kinderpornographischer Bilder, oder anderenfalls zunächst in einem gesicherten Datenbestand alle Daten gelöscht werden, die zur Standardausstattung gehören (Betriebssystem, Office-Anwendungen, Adobe-Reader). Die Hashwerte der Dateien zu diesen Anwendungen sind bekannt und ein Such- und Löschlauf ließe sich auch automatisieren.

Übrig bleiben dabei die Dateien von ungewöhnlichen Programmen, die individuell erstellten und die Systemdateien (Protokolle usw.), die beim Betrieb des itS entstanden sind. Sie können dann ohne den Ballast im übrigen ausgewertet werden.
 

 
Die Leistungsfähigkeit und Bedeutung informationstechnischer Systeme nehmen noch zu, wenn solche Systeme miteinander vernetzt werden. Dies wird insbesondere aufgrund der gestiegenen Nutzung des Internet durch große Kreise der Bevölkerung mehr und mehr zum Normalfall. (Rn 174)

Eine Vernetzung informationstechnischer Systeme ermöglicht allgemein, Aufgaben auf diese Systeme zu verteilen und insgesamt die Rechenleistung zu erhöhen. So können etwa die von einzelnen der vernetzten Systeme gelieferten Daten ausgewertet und die Systeme zu bestimmten Reaktionen veranlasst werden. Auf diese Weise kann zugleich der Funktionsumfang des einzelnen Systems erweitert werden. (Rn 175)
 

 
Vernetzte Systeme zeichnen sich gegenüber isolierte itS dadurch aus, dass sie Daten und Aufgaben verteilen können und dabei auch eine Kommunikation ermöglichen, die persönlichkeitsbezogen sein oder auch automatisiert erfolgen kann. Auch die automatisch erstellten Protokolle über die Art und Weise der Kommunikation lassen Rückschlüsse auf das Verhalten und die Persönlichkeit der Kommunikationspartner zu.

Das Internet ist ein elektronischer Verbund von Rechnernetzwerken. Es besteht damit aus informationstechnischen Systemen und kann zudem auch selbst als informationstechnisches System angesehen werden. (Rn 4)

Die allgemeine Definition des Gerichts für das Internet klingt wegen seiner Abstraktheit wie von Stanislaw Lem formuliert (siehe links).

Etwas konkreter führt das Gericht aus:
Insbesondere das Internet als komplexer Verbund von Rechnernetzen öffnet dem Nutzer eines angeschlossenen Rechners nicht nur den Zugriff auf eine praktisch unübersehbare Fülle von Informationen, die von anderen Netzrechnern zum Abruf bereitgehalten werden. Es stellt ihm daneben zahlreiche neuartige Kommunikationsdienste zur Verfügung, mit deren Hilfe er aktiv soziale Verbindungen aufbauen und pflegen kann. Zudem führen technische Konvergenzeffekte dazu, dass auch herkömmliche Formen der Fernkommunikation in weitem Umfang auf das Internet verlagert werden können. (Rn 176)

Vernetze Systeme sieht das BVerfG gegenüber Stand-alone-Systemen weiteren Gefahren ausgesetzt:
Zum einen führt die mit der Vernetzung verbundene Erweiterung der Nutzungsmöglichkeiten dazu, dass gegenüber einem alleinstehenden System eine noch größere Vielzahl und Vielfalt von Daten erzeugt, verarbeitet und gespeichert werden. Dabei handelt es sich um Kommunikationsinhalte sowie um Daten mit Bezug zu der Netzkommunikation. Durch die Speicherung und Auswertung solcher Daten über das Verhalten der Nutzer im Netz können weitgehende Kenntnisse über die Persönlichkeit des Nutzers gewonnen werden. (Rn 179)

Ausführlich beschäftigt sich das BVerfG mit dem Internet als Informationsquelle und Kommunikationsmedium. Seine Schlüsse wurden bereits zusammengefasst.

Vor allem aber öffnet die Vernetzung des Systems Dritten eine technische Zugriffsmöglichkeit, die genutzt werden kann, um die auf dem System vorhandenen Daten auszuspähen oder zu manipulieren. Der Einzelne kann solche Zugriffe zum Teil gar nicht wahrnehmen, jedenfalls aber nur begrenzt abwehren. Informationstechnische Systeme haben mittlerweile einen derart hohen Komplexitätsgrad erreicht, dass ein wirkungsvoller sozialer oder technischer Selbstschutz erhebliche Schwierigkeiten aufwerfen und zumindest den durchschnittlichen Nutzer überfordern kann. Ein technischer Selbstschutz kann zudem mit einem hohen Aufwand oder mit Funktionseinbußen des geschützten Systems verbunden sein. Viele Selbstschutzmöglichkeiten - etwa die Verschlüsselung oder die Verschleierung sensibler Daten - werden überdies weitgehend wirkungslos, wenn Dritten die Infiltration des Systems, auf dem die Daten abgelegt worden sind, einmal gelungen ist. Schließlich kann angesichts der Geschwindigkeit der informationstechnischen Entwicklung nicht zuverlässig prognostiziert werden, welche Möglichkeiten dem Nutzer in Zukunft verbleiben, sich technisch selbst zu schützen. (Rn 180)
 

Schließlich beklagt das BVerfG die Anfälligkeit von vernetzten itS gegenüber Manipulationen und Ausspähungen.

Soweit es bemängelt, dass der Selbstschutz gegen solche Gefahren kompliziert, aufwändig ist und zu Leistungseinbußen führen kann, wirkt seine Argumentation etwas altbacken und unbeholfen. Außerdem verkennt es dabei, dass der Selbstschutz nicht wegen staatlicher Ermittlungsmaßnahmen geboten ist, sondern allein deshalb, weil die Internetkriminalität immer weiter ansteigt. Insoweit sind seine Ausführungen zwar zutreffend, wegen der Onlinedurchsuchung aber deplatziert. Konsequenterweise müsste es verlangen, dass staatliche Einrichtungen vermehrt und schlagkräftig gegen die Unwesen der Botnetze und des Phishings vorgehen. Deren Akteure nutzen ausnahmslos itS und die Ermittlungen gegen sie können nur sehr eingeschränkt geführt werden ( Straftatenkatalog).

Auf die Möglichkeit, anhand von Netznutzungsdaten Persönlichkeitsprofile zu erstellen, wurde bereits hingewiesen.

 
Im Zusammenhang mit verdeckten Ermittlungen geht es zunächst um die Kenntnisnahme allgemein zugänglicher Kommunikationsinhalte ...  Beispiel wäre der Aufruf einer nicht zugangsgesicherten Webseite im World Wide Web mittels eines Web-Browsers. (Rn 6) Darüber hinaus könnten Ermittler in die Lage versetzt werden, unter einer Legende an Chats, Auktionen oder Tauschbörsen teilzunehmen oder verborgene Webseiten aufzufinden. (Rn 6) Schließlich könnte der Ermittler ein von einem Informanten oder durch sogenanntes Keylogging ... ermitteltes Passwort (einsetzen), um auf ein E-Mail-Postfach oder auf eine zugangsgeschützte Webseite zuzugreifen. Auch in einem derartigen Fall würde (er) Inhalte der Internetkommunikation äußerlich auf dem dafür vorgesehenen Weg zur Kenntnis nehmen. (Rn 6)

 
Eine überaus wesentliche Besonderheit der Onlinedurchsuchung ist ihre Heimlichkeit, die sie zu einer verdeckten Ermittlungsmaßnahme macht.

Lob verdient das BVerfG dafür, dass es auch die niederschwelligen Formen der verdeckten Ermittlungen betrachtet und damit mehr Sicherheit für die Praxis vermittelt hat.

Die sozialadäquate Internetnutzung spricht es an und gibt sie für die Ermittlungsbehörden uneingeschränkt frei. Die Ermittler dürfen sich unter einem harmlosen und unverdächtigen Namen in Foren, Chats und anderen Kommunikationsgremien bewegen, soweit sie frei und ohne Zugangsbeschränkungen zugänglich sind (nicht offen ermittelnder Polizeibeamter - NOEP). Die Teilnahme an zugangsbeschränkten Kommunikationsforen, deren Zugangsdaten mit Zwangsmaßnahmen ermittelt werden müssen, werden gesondert angesprochen. Vom Grundsatz her vertritt das BVerfG die Position, dass Privatleute zwar auf die regelrechte Funktion der Technik, nicht aber darauf vertrauen dürfen, von ihren Kommunikationspartnern nicht über ihre Identität und ihre Motive belogen zu werden.
 

 
Zu den Vorteilen des heimlichen Zugriffs auf itS führt das BVerfG aus: Wegen der Heimlichkeit des Zugriffs ist der Betroffene, anders als etwa bei einer offen durchgeführten Wohnungsdurchsuchung, nicht für die Zukunft vorgewarnt. Soweit der Nutzer eines Rechners Daten nur in verschlüsselter Form ablegt, können solche Daten im Rahmen einer „Online-Durchsuchung“ gegebenenfalls in unverschlüsselter Form erhoben werden. Denn durch die Infiltration des Rechners kann die Behörde in der Weise auf die Daten zugreifen wie der Nutzer sie im fraglichen Zeitpunkt verwendet. Der Vorteil der Umgehung von Verschlüsselungstechnik ist auch bedeutsam für eine Überwachung der laufenden Internetkommunikation. Soweit solche Kommunikation verschlüsselt abläuft - dies ist insbesondere bei der Sprachtelefonie oftmals der Fall -, kann sie nur am Endgerät wirkungsvoll überwacht werden. Durch eine länger andauernde Überwachung der Nutzung des Rechners können eingesetzte Verschlüsselungstechnologien und andere Sicherheitsvorkehrungen weitgehend umgangen werden. Zudem können auch flüchtige Daten wie etwa Passwörter und weitere Informationen über das Nutzungsverhalten des Betroffenen erhoben werden. Solche Erkenntnisse ließen sich mittels klassischer Ermittlungsmethoden kaum gewinnen. (Rn 11)
 

 
Die hier dokumentierten Ausführungen des BVerfG betreffen besonders die Quellen-TKÜ. In der Tat lassen sich Datei-Verschlüsselungen und verschlüsselte Kommunikationsvorgänge mit einiger Sicherheit nur überwachen, wenn der Verarbeitungsvorgang selber protokolliert wird, so dass die verwendeten Verschlüsselungscodes und die dabei eingesetzten Algorithmen aufgezeichnet werden. Sicher ist das nur, wenn die Ur-Information vor der Verschlüsselung abgegriffen werden kann. Die heute üblichen asymmetrischen Verschlüsselungen lassen aus dem Verschlüsselungsmechanismus nicht so ganz einfach auf den zur Entschlüsselung schließen.

 
Als Eingriff in Art. 13 GG sind auch Maßnahmen anzusehen, durch die staatliche Stellen sich mit besonderen Hilfsmitteln einen Einblick in Vorgänge innerhalb der Wohnung verschaffen, die der natürlichen Wahrnehmung von außerhalb des geschützten Bereichs entzogen sind. Dazu gehören nicht nur die akustische oder optische Wohnraumüberwachung ..., sondern ebenfalls etwa die Messung elektromagnetischer Abstrahlungen, mit der die Nutzung eines informationstechnischen Systems in der Wohnung überwacht werden kann. Das kann auch ein System betreffen, das offline arbeitet. (Rn 192)

Einen erweiterten Schutz verlangt das BVerfG jetzt sowohl für die im Arbeitsspeicher gehaltenen als auch die temporär oder dauerhaft auf den Speichermedien des Systems abgelegten Daten (Rn 205).
 

 
Dies betrifft die Peripheriegeräte, die für Multimediaanwendungen genutzt werden. Ihre technische Qualität ist in aller Regel jedoch so schlecht, dass sich mit ihrer Hilfe nur ausnahmsweise brauchbare Informationen gewinnen lassen. Das kann sich ändern, wenn die Internet-Telekommunikation eine strategische Technik wird, und kann schon heute anders sein, wenn das itS Teil von Sicherheitstechnik ist und deshalb zur optischen oder akustischen Überwachung genutzt wird.

Die elektromagnetische Abstrahlung ( Störstrahlung) und Spiegelungen anderer Art ( verräterische Reflexionen) sind als Sicherheitsgefahren bekannt.
 

 
Dieser Schutz greift auch, wenn und soweit Mitarbeiter der Ermittlungsbehörde in eine als Wohnung geschützte Räumlichkeit eindringen, um ein dort befindliches informationstechnisches System physisch zu manipulieren (Rn 193) oder wenn die Infiltration zur Überwachung genutzt werden soll, indem die an das System angeschlossenen Peripheriegeräte wie ein Mikrofon oder eine Kamera dazu genutzt werden. (Rn 193)

Das gilt auch für Datenerhebungen mit Mitteln, die zwar technisch von den Datenverarbeitungsvorgängen des betroffenen informationstechnischen Systems unabhängig sind, aber diese Datenverarbeitungsvorgänge zum Gegenstand haben. So liegt es etwa bei einem Einsatz von sogenannten Hardware-Keyloggern oder bei einer Messung der elektromagnetischen Abstrahlung von Bildschirm oder Tastatur. (Rn 205)
 

 
Die PC-Komponenten, die korrumpiert werden können, sind vielfältig. Die Korruption selber beschränkt sich auf zwei Methoden: Entweder wird eine Manipulation am Gerät selber unternommen ( Keylogger, Malware-Installation) oder die Malware wird per Datenträger oder über eine Netzanbindung übertragen, wobei die Unvorsichtigkeit der Zielperson ausgenutzt wird.

Die ernsthafte Auseinandersetzung mit Backdoors für staatliche Überwachungen oder einer permanenten Bespitzelung im Orwell'schem Sinne mag Botnetz-Betreibern und US-amerikanischen Sicherheitsfanatikern nicht fremd sein, beleidigt hingegen die Streite, die einem demokratischen Rechtsstaat angemessen sind.

 
Unter den Daten können sich auch solche befinden, die dem Kernbereich zuzuordnen sind. So kann der Betroffene das System dazu nutzen, Dateien höchstpersönlichen Inhalts, etwa tagebuchartige Aufzeichnungen oder private Film- oder Tondokumente, anzulegen und zu speichern. Derartige Dateien können ebenso wie etwa schriftliche Verkörperungen des höchstpersönlichen Erlebens ... einen absoluten Schutz genießen. Zum anderen kann das System, soweit es telekommunikativen Zwecken dient, zur Übermittlung von Inhalten genutzt werden, die gleichfalls dem Kernbereich unterfallen können. Dies gilt nicht nur für Sprachtelefonate, sondern auch etwa für die Fernkommunikation mittels E-Mails oder anderer Kommunikationsdienste des Internet ... Die absolut geschützten Daten können bei unterschiedlichen Arten von Zugriffen erhoben werden, etwa bei der Durchsicht von Speichermedien ebenso wie bei der Überwachung der laufenden Internetkommunikation oder gar einer Vollüberwachung der Nutzung des Zielsystems. (Rn 272)
 

 
Schließlich widmet sich das BVerfG der Datenqualität und hebt hervor, dass tagebuchähnliche Aufzeichnungen, die Inhalte der Sprachkommunikation und andere Formen der Internet-Kommunikation über den  höchstpersönlichen Kernbereich der privaten Lebensgestaltung Auskunft geben können und deshalb einen absoluten Schutz genießen.

 
Unter einem heimlichen Zugriff auf ein informationstechnisches System ist demgegenüber eine technische Infiltration zu verstehen, die etwa Sicherheitslücken des Zielsystems ausnutzt oder über die Installation eines Spähprogramms erfolgt. Die Infiltration des Zielsystems ermöglicht es, dessen Nutzung zu überwachen oder die Speichermedien durchzusehen oder gar das Zielsystem fernzusteuern. (Rn 5)
 

 
Der Angriff auf eine fremde EDV-Anlage wird vom BVerfG so beschrieben, wie er auch von der Malware im Zusammenhang mit der Ausspähung oder mit der Rekrutierung von Botnetz-Zombies praktiziert wird. Über die Infiltrationswege hat der Cyberfahnder bereits berichtet.

 
Wird ein komplexes informationstechnisches System zum Zweck der Telekommunikationsüberwachung technisch infiltriert („Quellen-Telekommunikationsüberwachung“), so ist mit der Infiltration die entscheidende Hürde genommen, um das System insgesamt auszuspähen. Die dadurch bedingte Gefährdung geht weit über die hinaus, die mit einer bloßen Überwachung der laufenden Telekommunikation verbunden ist. Insbesondere können auch die auf dem Personalcomputer abgelegten Daten zur Kenntnis genommen werden, die keinen Bezug zu einer telekommunikativen Nutzung des Systems aufweisen. Erfasst werden können beispielsweise das Verhalten bei der Bedienung eines Personalcomputers für eigene Zwecke, die Abrufhäufigkeit bestimmter Dienste, insbesondere auch der Inhalt angelegter Dateien oder - soweit das infiltrierte informationstechnische System auch Geräte im Haushalt steuert - das Verhalten in der eigenen Wohnung. (Rn 188)

Es kann im Übrigen dazu kommen, dass im Anschluss an die Infiltration Daten ohne Bezug zur laufenden Telekommunikation erhoben werden, auch wenn dies nicht beabsichtigt ist. In der Folge besteht für den Betroffenen - anders als in der Regel bei der herkömmlichen netzbasierten Telekommunikationsüberwachung - stets das Risiko, dass über die Inhalte und Umstände der Telekommunikation hinaus weitere persönlichkeitsrelevante Informationen erhoben werden. (Rn 189)
 

 
Der Sturm-Wurm zeigt, dass selbst Kriminelle ihre Malware sehr behutsam und zielgerichtet einsetzen können. Insoweit hat das BVerfG zwar recht damit, dass mit der erfolgreichen   Infiltration das itS korrumpiert ist und grundsätzlich alle Datenträger, die mit ihm verbunden sind, und Verarbeitungsvorgänge gesichtet, kopiert, verändert und überwacht werden können. Je gröber eine Malware jedoch arbeitet, desto auffälliger ist ihr Einsatz. Das gilt besonders dann, wenn sie zum Versand von ausgespähten Daten über das Internet vorgesehen ist. Trotz der breitbandigen Zugangstechnik, die heute zum Einsatz kommt, wäre die heimliche Übertragung großer Datenmengen auffällig und für den Anwender merkbar.

Was auf dem korrumpierten itS "angestellt" werden soll, hängt von der eingesetzten Malware ab. Wenn sie so zugeschnitten ist, dass sie nur die Internettelefonie überwachen soll, dann kann sie auch nur das. Sie ist nicht von selber intelligent oder böswillig, sondern ein Programm, das bestimmte Funktionen hat und alle anderen möglichen hingegen nicht.

Etwas anderes gilt nur dann, wenn die Malware modular aufgebaut ist. Ihr Kern dient nur dazu, zu infiltrieren und sich einzunisten. Die Zusatzfunktionen werden über die Netzverbindung nachgeladen und können von dem Angreifer gesteuert werden. Beschränkt er sich dabei z.B. auf die Ein- und Ausgänge für die Sprachkommunikation (Mikrofon, Lautsprecher), dann bleiben ihm alle anderen Informationsquellen verschlossen.

Die Befürchtung des BVerfG, dass über die Inhalte und Umstände der Telekommunikation hinaus weitere persönlichkeitsrelevante Informationen erhoben werden, ist durch nichts gerechtfertigt.
 

 
Es kann nicht ausgeschlossen werden, dass der Zugriff selbst bereits Schäden auf dem Rechner verursacht. So könnten Wechselwirkungen mit dem Betriebssystem zu Datenverlusten führen ... Zudem ist zu beachten, dass es einen rein lesenden Zugriff infolge der Infiltration nicht gibt. Sowohl die zugreifende Stelle als auch Dritte, die eventuell das Zugriffsprogramm missbrauchen, können aufgrund der Infiltration des Zugriffsrechners Datenbestände versehentlich oder sogar durch gezielte Manipulationen löschen, verändern oder neu anlegen. Dies kann den Betroffenen in vielfältiger Weise mit oder ohne Zusammenhang zu den Ermittlungen schädigen. (Rn 240)

Je nach der eingesetzten Infiltrationstechnik kann die Infiltration auch weitere Schäden verursachen, die im Zuge der Prüfung der Angemessenheit einer staatlichen Maßnahme mit zu berücksichtigen sind. Wird dem Betroffenen etwa eine Infiltrationssoftware in Form eines vermeintlich nützlichen Programms zugespielt, lässt sich nicht ausschließen, dass er dieses Programm an Dritte weiterleitet, deren Systeme in der Folge ebenfalls geschädigt werden. Werden zur Infiltration bislang unbekannte Sicherheitslücken des Betriebssystems genutzt, kann dies einen Zielkonflikt zwischen den öffentlichen Interessen an einem erfolgreichen Zugriff und an einer möglichst großen Sicherheit informationstechnischer Systeme auslösen. In der Folge besteht die Gefahr, dass die Ermittlungsbehörde es etwa unterlässt, gegenüber anderen Stellen Maßnahmen zur Schließung solcher Sicherheitslücken anzuregen, oder sie sogar aktiv darauf hinwirkt, dass die Lücken unerkannt bleiben. Der Zielkonflikt könnte daher das Vertrauen der Bevölkerung beeinträchtigen, dass der Staat um eine möglichst hohe Sicherheit der Informationstechnologie bemüht ist. (Rn 241)
 

 
Das übertrieben düstere Bild, das das BVerfG bereits wegen der Infiltration gezeichnet hat, führt es wegen der Gefahren beim Zugriff fort.

Zutreffend ist, dass es keine nur lesende Infiltration gibt. Sie ist ein schreibender Installationsvorgang, der sich in den Datenspeichern des Ziel-itS einnisten muss. Darin unterscheidet sich die Infiltration von "abhorchenden" Maßnahmen wie dem Einsatz von Hardware-Keyloggern und der Aufnahme von Störstrahlung.

Die Malware hat nur die Funktionen, die ihrem Programm mitgegeben wurde. Sie kann nur die Aktionen ausführen, die sie ausführen soll. Versehentliche Begleitschäden kann sie nur auslösen, wenn sie unprofessionell und unüberlegt programmiert ist (4). Das ist besonders dann der Fall, wenn sie Systemeinstellungen ändert (Manipulation der Registry-Datenbank, des Virenscanners, der Firewall und Öffnung zusätzlicher Ports für die Datenübertragung). Andere Angreifer (Trittbrettfahrer) können ebenfalls nur die Funktionen missbrauchen, die die eingesetzte Malware zulässt, und dazu müssen sie sehr genau wissen, wie die Malware funktioniert. Ein höheres Risiko birgt nur die modulare Malware, die von einem Dritten jedenfalls dann mit Zusatzfunktionen ausgestattet werden kann, wenn er sie zu eigenen Zwecken manipulieren kann. Dazu würde er jedoch tiefes Detailwissen benötigen, dessen Erwerb nicht ausgeschlossen werden kann, aber höchst unwahrscheinlich ist.
 

 
(1) Siehe IT-Sicherheit, Schwachstellen, Angriffe, vor Allem Angriffe mit Crimeware, Angriffe aus dem Netz und Angriffe auf Funk-Schnittstellen.

(2) Die erste Zusammenfassung krimineller Methoden zu dem einzigen Zweck, Straftaten zu begehen, erfolgte im Zusammenhang mit dem Phishing. Gleichermaßen bedenkenlos werden technische Einrichtungen im Zusammenhang mit den Botnetzen missbraucht.
Beim Social Engineering werden klassische Einbruchs- und Überredungsmethoden mit moderner Technik verbunden. Ihm geht es darum, Informationen zu sammeln und für Schlussfolgerungen zu verbinden, um damit andere zu überlisten.
 

 
(3) Zur Strafbarkeit nach geltendem Recht siehe Phishing und IT-Strafrecht ( Schutz des Rechtsverkehrs).

(4) Das gilt zum Beispiel für eine Variante des Sasser-Wurms.