BVerfG: Onlinedurchsuchung |
|
 |
Fazit: BVerfG zur Onlinedurchsuchung |
|
Grundlagen und Grundrechte
StA und Strafverfolgung
technische Grundlagen
informationstechnische Systeme
Vernetzung und Internet
verdeckte Ermittlungen
Infiltration und Penetration
Gestalt und Grenzen des neuen Grundrechts
freie Entfaltung der Persönlichkeit
Grenzen und Einzelheiten
Auswirkungen auf das Strafverfahrensrecht
die Onlinedurchsuchung
ist nicht ausgeschlossen
Verhältnismäßigkeit
Verfahrensregeln
Kernbereichsschutz
Fazit
Grundlagen
Quellen-TKÜ
Kernbereichsschutz
verdeckte Ermittlungen
Peripheriegeräte
unvollständiges System
einheitliches Recht zur
Onlinedurchsuchung
|
05.04.2008:
Meine Vorhersagen, zuletzt in meiner
Rück-
und Vorschau zum Jahreswechsel, sind ganz überwiegend eingetreten:
Das BVerfG
(1)
hat die Ermächtigung zur Onlinedurchsuchung im nordrhein-westfälischen
Verfassungsschutzgesetz untersagt, die Ermittlungsmaßnahme aber vom
Grundsatz her als zulässig angesehen und sie den nachhaltigsten
Eingriffsmaßnahmen gleich gestellt, der
Überwachung der Telekommunikation und der
akustischen Wohnraumüberwachung (großer Lauschangriff). Genau das
habe ich im Zusammenhang mit meinen Überlegungen zur
Onlinedurchsuchung und ihrer
rechtlichen Einordnung abgeleitet.
Nicht vorher gesehen habe ich, dass das BVerfG dazu ein neues
Grundrecht aus der Taufe heben würde
(2).
Das Grundrecht auf Vertraulichkeit und Integrität
informationstechnischer Systeme
(3)
ist eine Ausprägung des
Grundrechts zur freien Entfaltung der Persönlichkeit und wird vom
BVerfG neben das zur
informationellen Selbstbestimmung gestellt
|
Soweit das
BVerfG eine Gefahrenanalyse für die itS unternimmt, widerspreche ich ihm
weitest gehend nicht. Es verkennt jedoch, dass die Gefahren, die es
benennt
(4),
nicht von staatlichen Einrichtungen ausgehen, sondern bereits eine
alltägliche Gefährdung durch Kriminelle sind
(5).
Das gilt besonders dort, wo es eine
Öffnung
von itS durch staatliche Maßnahmen für kriminelle Dritte befürchtet.
Die kriminellen Internettäter
gehen bereits viel skrupelloser
vor als es sich die Ermittlungspersonen vorstellen können, wenn sie eigene
Strategien entwickeln. Wenn die Kriminellen Firewalls blockieren oder
Virenscanner mit ihrer Malware ausschalten, dann sind ihnen die Folgen
für das geöffnete System und der freie Zugang für Trittbrettfahrer
gleichgültig. Erst ganz moderne
Botsoftware
hält sich bei den Schadfunktionen zurück (
Sturm-Wurm), um den Zombie möglichst lange für eigene Zwecke
missbrauchen zu können.
|
 |
Grundlagen |
|
Die
technischen Grundlagen, die das BVerfG seiner Entscheidung zugrunde
legt, sind ganz überwiegend nicht zu beanstanden. Das gilt vor Allem
wegen der
Allgegenwärtigkeit von itS, die damit
gewonnenen Möglichkeiten zur Persönlichkeitsentfaltung
(6),
die Angreifbarkeit des itS bei seiner
Vernetzung, besonders im Zusammenhang mit dem
Internet,
und schließlich des
Informationswerts, den ein Angreifer bekommt, wenn er gespeicherte
Inhalts- und Nutzungsdaten überwacht oder mit einer geeigneten Software
auswertet.
Die Befürchtungen des BVerfG wegen der
Anfälligkeit von zu Ermittlungszwecken infiltrierten itS und zur
Grenzenlosigkeit der
Quellen-TKÜ halte ich hingegen für übertrieben.
|
Als Infiltrationswege betrachtet das BVerfG ausschließlich den
"Einbruch", bei dem die Ermittler einen physikalischen Zugriff auf das
itS nehmen und dabei Hardware (Keylogger) oder Software installieren,
und den Einsatz eines "Bundestrojaners", bei dem die Spionagesoftware
mit Netz-Nachrichten (z.B. per E-Mail oder als Download) oder auf einem
Datenträger in der Hoffnung zugespielt wird, der Empfänger werde sie
unbedarft installieren. Den "Einbruch" will es nur nach Maßgabe des
neuen Integritäts-Grundrecht zugelassen wissen.
Omnipotente Überwachungstechniken brauchen nach seiner Entscheidung
nicht mehr ernsthaft diskutiert werden; sie sind tabu.
Unbetrachtet lässt das BVerfG die Methoden des Social Engineerings, ohne
die sich ein "Bundestrojaner" gar nicht erst einsetzen lässt. Etwas
unkritisch eröffnet das Gericht den Ermittlungsbehörden den
Einsatz
von Legenden.
|
 |
Quellen-TKÜ |
|
Im
Zusammenhang mit der
Quellen-TKÜ beschwört das BVerfG
besondere Gefahren, die es darin sieht, dass das betroffene itS
perforiert wird und damit anderen Überwachungszwecken geöffnet ist sowie
Dritten,
also "Trittbrettfahrern" den Zugang eröffnen kann.
Das Urteil "orakelt" in dieser Frage und gibt keine klare Auskunft.
Der Gesetzgeber hat mit der Neufassung des
§
100b Abs. 6 StPO Ziffer 2 b) StPO die "Internettelekommunikation"
als einen ausdrücklichen Anwendungsfall der TK-Überwachung definiert
(
§ 100a StPO). Internetkommunikation und Quellen-TKÜ sind Begriffe
für dieselbe Ermittlungsmaßnahme, nämlich für die Überwachung der
Internettelefonie am PC vor der Verschlüsselung abgehender und nach der
Entschlüsselung eingehender Kommunikationsdaten. Wenn das Gericht
wirklich die Quellen-TKÜ anders behandelt wissen will als die
Überwachung der Telekommunikation im Übrigen, dann hätte es klarere
Worte finden müssen.
Die Befürchtungen des BVerfG sind in ihrer Allgemeinheit zwar
berechtigt. Sie haben die Plausibilität, die man von
Verschwörungstheorien kennt.
|
Strafverfolger und andere staatliche Ermittler bewegen sich nicht im
rechtsfreien Raum und sind keine unprofessionellen Deppen. Die
Quellen-TKÜ bedarf eines gerichtlichen Beschlusses und grundsätzlich
muss davon ausgegangen werden, dass dessen Grenzen nicht überschritten
werden. Wenn also "nur" eine Quellen-TKÜ zugelassen ist, dann werden
sich die Ermittler auch darauf beschränken, die Kommunikationsdaten zu
überwachen, auch wenn sie prinzipiell auch die gespeicherten Daten
ausforschen könnten, wenn sie die Überwachungssoftware entsprechend
erweitern würden.
Das gilt ebenfalls für die Öffnung des itS für Trittbrettfahrer. Ohne
intime Kenntnisse über die Überwachungssoftware können sie sie nicht
derart modifizieren, dass sie sie für eigene Zwecke ausnutzen können.
Wenn sie professionell programmiert ist, dann ist sie auch hinreichend
resistent gegenüber Missbräuchen von Dritten.
Ohne klärende Entscheidungen ist somit die Quellen-TKÜ auch nach
Maßgabe dieses Urteils nicht anders zu behandeln als die Überwachung der
Telekommunikation im Übrigen. |
 |
Kernbereichsschutz |
|
Mit den
Folgerungen aus dem Kernbereichsschutz bewegt sich das BVerfG und
ihm folgend der Gesetzgeber in einem gefährlichen Fahrwasser. Das gilt
nicht wegen des
Kernbereichsschutzes als solches, der durch
Verwertungsverbote hinreichend gesichert werden kann.
Gefährlich für das Interesse der Allgemeinheit am effektiven Schutz
vor schweren Straftaten ist die Perforation von Beweismitteln, die durch
Löschanweisungen und Erhebungsverboten verbunden sind. Wenn Beweise
erhoben werden, müssen sie auch vollständig sein. Welche Teile davon in
die Akten übernommen und im gerichtlichen Verfahren verwertet werden
dürfen, ist eine davon abgelöste Frage. Mit der Verpflichtung, Inhalte
aus dem Kernbereich der persönlichen Lebensführung entweder nicht zur
Kenntnis zu nehmen oder unverzüglich zu löschen, werden berechtigte und
vor Allem unberechtigte Vorwürfe eröffnet, die Ermittlungsbehörden
würden entlastende Ermittlungsergebnisse unterschlagen.
|
Ich wünsche mir den Schutz der Authentizität von Beweismitteln, der nur
durch eine lückenlose und andauernde Dokumentation gewährleistet werden
kann. Ein Modell dafür wäre die
Archivlösung, die ich vorgestellt habe. Sie ermöglicht es, auf die
Grundsubstanz des Beweismittels solange zurück zu greifen, bis das
Tatsachenverfahren abgeschlossen ist. Es kann unter neu auftauchenden
Gesichtspunkten untersucht und überprüft werden, ist aber ausufernden
Auswertungen und Missbräuchen entzogen.
Löschgebote und punktuelle Erhebungsverbote eröffnen hingegen den
Vorwurf, entlastende Inhalte würden unterschlagen oder seien unbemerkt
geblieben. Das entwertet die Beweiserhebung als Ganzes.
|
 |
verdeckte Ermittlungen |
|
Klarstellend sind die Ausführungen des BVerfG zur Nutzung
öffentlicher
Quellen im Internet. Ihre
Erhebung ist unbeschränkt. Auch ihre
Speicherung und Auswertung sind unbeschränkt, solange nicht durch die
Kombination mit anderen Daten die Grenzen überschritten werden, die die
informationelle Selbstbestimmung zieht. Wegen der
bestehenden
Ermächtigungsgrundlagen in der Strafprozessordnung dürfte diese Schwelle
weniger bedeutsam für die öffentlichen Internetinhalte als für die
Qualität und Herkunft der Daten sein, mit denen sie verbunden werden.
Auch die Erkenntnisse aus
geschlossenen Benutzerkreisen sind
verwertbar, wenn sie mit verdeckten Methoden oder mit Zugangsdaten
erreicht werden, die
freiwillig oder durch offene Ermittlungen offenbart
werden.
Wenn jedoch der Zugang zu geschlossenen Benutzerkreisen durch
technische
Manipulationen erlangt wird (Keylogging, Abschaltung von
Zugangssicherungen), dann ist die geschützte Integrität von itS
betroffenen, so dass insoweit nur aufgrund einer gesetzlichen
Ermächtigung und in einem förmlichen Verfahren gehandelt werden darf,
das das BVerfG formuliert hat.
|
1. |
sozialadäquate Nutzung der Internettechnik als
öffentliche Quelle ohne Einsatz von verdeckten
Ermittlungsmethoden |
2. |
heimliche Anwendung der Internettechnik mit verdeckt erworbenem
Zugangswissen (von Informanten, durch Keylogger, Spyware) |
3. |
heimliche Überwachung der laufenden Kommunikation (klassische
TK-Überwachung, Quellen-TKÜ) |
4. |
heimliche Überwachung der Datenverarbeitungsprozesse
sowie Durchsicht, Auswertung und Übertragung
gespeicherter Daten |
|
|
 |
Peripheriegeräte |
|
Die
Manipulation von
Peripheriegeräten, die nach
geltendem Recht einem geringeren Schutz unterliegen, hebt das BVerfG
hervor und es scheint dahin zu tendieren, sie demselben Schutz wie für
die itS im Übrigen unterstellen zu wollen. Aber
auch hier fehlt es noch an klaren Worten.
|
Dasselbe gilt für das "Abhören" von
Störstrahlungen.
19.07.2009: Siehe jetzt auch
BVerfG, Beschluss vom 16.06.2009 - 2 BvR 902/06
(
Beschlagnahme von E-Mails).
|
 |
unvollständiges System |
|
Die
Innenministerien des Bundes und der Länder haben die Frage nach der
Onlinedurchsuchung mit dem verfahrensgegenständlichen
Verfassungsschutzgesetz aus Nordrhein-Westfalen, dem
vom Bund
geplanten BKA-Gesetz und dem "Bayern-Trojaner" vorangetrieben.
Sie bewegen sich damit im Bereich der Gefahrenabwehr, also des
Polizei- und Verfassungsschutzrechts.
Ermittlungsmaßnahmen zur Gefahrenabwehr haben ihre Grenze immer dort,
wo sie zur Aufdeckung begangener, stattfindender oder geplanter
Straftaten führen, wenn bereits die Vorbereitung strafbar ist
(Verabredung zu einem Verbrechen,
§ 30
StGB;
Gefährdungsdelikte).
Ist diese Grenze erreicht, muss die Ermittlungsmaßnahme immer nach
den Regeln des Strafprozessrechts beurteilt.
|
Wenn das Polizeirecht die Onlinedurchsuchung zulässt, das
Strafverfahrensrecht hingegen nicht, dann hat das zwei fatale
Konsequenzen, wenn die Ermittler Kenntnisse von strafbaren Handlungen
bekommen:
1. |
Streng genommen darf die Ermittlungshandlung nicht
fortgesetzt werden, weil sie nicht mehr der Prävention, sondern zur
Strafverfolgung dient. Allenfalls als Mischform mit dem Schwerpunkt
auf die Gefahrenabwehr darf sie fortgesetzt werden.
|
2. |
Ihre Erkenntnisse sind im Strafverfahren
nicht
verwertbar, auch wenn sie nach dem Polizeirecht zulässig erhoben
wurden (
§ 161 Abs. 2 StPO). |
|
 |
einheitliches Recht zur Onlinedurchsuchung |
|
Ich bin zwar der Überzeugung, dass die
§§
100a,
100c
StPO nicht nur alle Anforderungen erfüllen, die das BVerfG an die
formellen Voraussetzungen der Onlinedurchsuchung stellt, sondern
auch die
verschiedenen Arten der Onlinedurchsuchung
zulassen.
Gewichtige Stimmen, nicht zuletzt die des
BGH,
sprechen hingegen dagegen. Der Rückgriff auf die beiden
StPO-Vorschriften im Wege der
zulässigen Analogie kann deshalb nur eine Übergangslösung sein.
|
Wünschenswert wäre folglich ein einheitliches Recht zur
Onlinedurchsuchung. Das könnte in Form eines selbständigen Gesetzes
geschaffen werden, das die Förmlichkeiten während und im Anschluss an
die Maßnahme regelt. Die besonderen Zugangsvoraussetzungen müssten
sodann in der
Strafprozessordnung, den Polizei- und den Verfassungsschutzgesetzen
verankert werden.
Die punktuelle Ermächtigung zur
Onlinedurchsuchung in einzelnen Gesetzen zur Gefahrenabwehr ist
jedenfalls ein
schlechter Zustand, weil die Verwertbarkeit in anderen
Verfahrensordnungen eingeschränkt oder sogar ausgeschlossen sein kann.
|
 |
Anmerkungen |
|
(1)
Urteil des BVerfG
vom 27.02.2008 - 1 BvR 370/07, 595/07
(2)
Twisters
Euphorie habe ich deshalb zuerst auch nicht ganz Ernst genommen.
Jetzt leiste ich Abbitte.
(3)
zur Schreibweise: informationstechnische Systeme werden auch hier als "itS"
abgekürzt und die Quellenangaben mit "Rn" beziehen sich auf das Urteil
laut Anmerkung (1).
(4)
Nutzungsfunktionen,
Infiltration und Penetration (u.a.m.)
|
(5)
Phishing,
Botnetze
und
Skimming
können aufgrund der grenzüberschreitenden Verflechtung der Täter so gut
wie gar nicht verfolgt werden.
(6)
Wobei manche Zugewinne gar nicht betrachtet wurden: Welcher PC-Besitzer
hat daneben noch eine Schreibmaschine? Wer braucht heute noch ein
Zeichenbrett oder Tuschefüller und Schablonen für die Gestaltung von
Druckvorlagen? Kehrseiten: Wer macht sich noch Gedanken über Wirkung und
Layout? Wer denkt noch darüber nach, wenn er eine SMS oder E-Mail
schreibt, welche Wirkungen sie beim Empfänger auslösen?
|
 |
Cyberfahnder |
|
© Dieter
Kochheim,
11.03.2018 |