Source: http://docplayer.org/2125743-Hiermit-lassen-wir-ihnen-unsere-stellungnahme-zur-revision-der-verordnung-ueber-die-ueberwachung-des-post-und-fernmeldeverkehrs-vuepf-zukommen.html
Timestamp: 2017-08-22 06:12:42+00:00

Document:
Hiermit lassen wir Ihnen unsere Stellungnahme zur Revision der Verordnung über die Überwachung des Post- und Fernmeldeverkehrs (VÜPF) zukommen. - PDF
Hiermit lassen wir Ihnen unsere Stellungnahme zur Revision der Verordnung über die Überwachung des Post- und Fernmeldeverkehrs (VÜPF) zukommen.
Download "Hiermit lassen wir Ihnen unsere Stellungnahme zur Revision der Verordnung über die Überwachung des Post- und Fernmeldeverkehrs (VÜPF) zukommen."
1 Einschreiben Informatik Service Center ISC-EJPD Dienst Überwachung Post- und Fernmeldeverkehr Bereich Recht und Controlling Herr Patrick Schöpf 3003 Bern Bern, den 27. Juli 2011 Anhörung: Änderung der Verordnung über die Überwachung des Post- und Fernmeldeverkehrs (VÜPF) sowie der Verordnung über die Gebühren und Entschädigungen für die Überwachung des Post- und Fernmeldeverkehrs - Stellungnahme Sehr geehrter Herr Schöpf Hiermit lassen wir Ihnen unsere Stellungnahme zur Revision der Verordnung über die Überwachung des Post- und Fernmeldeverkehrs (VÜPF) zukommen. Auch wenn wir nicht zu den offiziellen Adressaten der öffentlich angekündigten Anhörung zählen, scheint es uns angezeigt, zu dem Revisionsvorhaben spezifisch unter dem Gesichtspunkt der ICT-Sicherheit Stellung zu nehmen, verbunden mit dem Antrag, dass die Information Security Society Switzerland (ISSS) in Zukunft auf die Liste der Adressaten von Vernehmlassungen und Anhörungen zu gesetzgeberischen Vorhaben gesetzt wird, welche Fragen der ICT-Sicherheit und des Informationsschutzes betreffen. 1. Vorbemerkungen Die Information Security Society Switzerland (ISSS) ist der führende Fachverband in der Schweiz auf dem Gebiet der ICT-Sicherheit, welchem heute mehr als 900 Einzel- und Firmenmitglieder aus Wirtschaft, Verwaltung und Wissenschaft angehören. ISSS setzt sich mit den technischen, wirtschaftlichen, regulatorischen und gesellschaftspolitischen Aspekten von ICT-Sicherheit und Informationsschutz auseinander. ISSS wurde 1993 als Verein unter dem früheren Namen FGSec gegründet. ISSS ist Mitglied von ICTswitzerland und offizieller Security Fachpartner von SwissICT. Aufgrund der statutarischen Zielsetzung hat sich ISSS bereits an der Vernehmlassung betreffend die Genehmigung und Umsetzung des Übereinkommens Nr. 185 des Europarates über die Cyberkriminalität ( ECC European Computer Crime Convention ) beteiligt
2 und am eine Stellungnahme zur Revision des Bundesgesetzes betreffend die Überwachung des Post- und Fernmeldeverkehrs (BÜPF) eingereicht Revision-BUePF-Vernehmlassungsantwort-ISSS pdf sowie am eine Special Interest Group zur Begleitung des nationalen Projektes Cyber Defense gegründet. Unsere Stellungnahme beschränkt sich auf diejenigen Punkte der Revision, welche im Zusammenhang mit der ICT-Sicherheit und dem Informationsschutz stehen und konzentriert sich daher auf die mit der Revision vorgesehene Erweiterung der Überwachungsmöglichkeiten im Internet. Wir äussern uns im Folgenden nicht zur Revision der Verordnung über die Gebühren und Entschädigungen für die Überwachung des Post- und Fernmeldeverkehrs. Wir hoffen, dass wir mit unserer Stellungnahme einen Beitrag zur Förderung der ICT- Sicherheit und dem Informationsschutz in unserem Lande leisten können und danken Ihnen für die Berücksichtigung unserer Anträge. 2. Allgemein Entsprechend ihrer statutarischen Zielsetzung unterstützt ISSS grundsätzlich die Bemühungen der verantwortlichen Stellen des Bundes, die unter dem geltenden Recht vorgesehenen Massnahmen zur Überwachung des Post- und Fernmeldeverkehrs der technischen Entwicklung anzupassen und eine Harmonisierung mit dem Rechtszustand im Ausland, insbesondere der EEC Mitgliedstaaten, anzustreben und damit notwendige Voraussetzungen zu schaffen zur Bekämpfung der missbräuchlichen Ausnützung unserer IKT-Infrastruktur, zur Vorbereitung und Abwicklung krimineller Handlungen sowie zum Schutz der Informationsbestände und Informationsflüsse vor rechtswidrigen Angriffen beizutragen. ISSS anerkennt die Notwendigkeit, den Katalog der Überwachungsmassnahmen, insbesondere in Bezug auf das Internet, dem heutigen Stand der Telekommunikation und der Nutzung des Internets anzupassen. Wesentlich ist auch, dass die mit der Durchführung der Überwachungsmassnahmen betrauten Stellen, insbesondere der Dienst ÜPF, die anordnenden Stellen (Staatsanwaltschaft gemäss Art. 269 StPO), die Genehmigungsbehörde (Zwangsmassnahmegericht nach Art. 272 StPO), sowie insbesondere die zur Umsetzung der Überwachungsmassnahmen verpflichteten privaten Unternehmen, das heisst die Fernmeldedienstanbieterinnen (FDAs) und Internet-Anbieterinnen, über detaillierte und klare rechtliche Vorgaben betreffend die Voraussetzungen und den Inhalt der Überwachungsmassnahmen sowie deren Durchführung und der im Hinblick darauf zu treffenden Vorkehrungen verfügen. Eine Klärung der Rechtslage ist dringend erforderlich. Einerseits hat das Bundesgericht im Entscheid vom (6B_766/2009) in Bezug auf die Abgrenzung des persönlichen Geltungsbereichs von BÜPF und VÜPF für Verunsicherung gesorgt. In diesem Entscheid wird der Betreiber einer Internet-Plattform als Internet-Anbieter im Sinne des BÜPF behandelt, obwohl Plattform-Betreiber typischerweise eben gerade keine Fernmeldedienste, d.h. keine fernmeldetechnische Übertragung von Informationen für Dritte, erbringen. Andererseits wurde vom Bundesverwaltungsgericht in zwei Entscheiden vom (A-8284/2010) und (A-8267/2010) klargestellt, dass keine Überwachungsmassnahmen zulässig sind, welche nicht ausdrücklich in der VÜPF geregelt sind. Daraus ergibt sich die Notwendigkeit, die VÜPF entsprechend zu ergänzen, sofern weitere Überwachungsmassnahmen als die aktuell darin ausdrücklich vorgesehenen möglich sein sollen. 2/8
3 3. Persönlicher Geltungsbereich BÜPF/VÜPF Begriff der Internet-Anbieterin Nach Art. 1 Abs. 2 BÜPF erstreckt sich der persönliche Geltungsbereich auf die staatlichen, konzessionierten oder meldepflichtigen Anbieterinnen von Post und Fernmeldedienstleistungen sowie auf Internet-Anbieterinnen. Der Begriff der Internet-Anbieterinnen wird dabei im BÜPF nicht näher definiert. Anzumerken ist, dass im französischen Text von fournisseur d accès à Internet die Rede ist. Die explizite Erstreckung des Geltungsbereichs des BÜPF auf Internet-Anbieterinnen und das Internet erfolgte erst in der parlamentarischen Beratung aufgrund eines Antrages der vorberatenden Kommission des Nationalrats. Aus der Botschaft sowie aus den Protokollen über die Beratungen der Bundesversammlung geht hervor, dass der Bundesrat und das Parlament damals mit der Einbeziehung des Internets in das Regime von BÜPF und VÜPF keine Ausdehnung des Geltungsbereichs über den Kreis der Fernmeldedienst-Anbieterinnen hinaus beabsichtigten. Sie gingen davon aus, dass Internet Provider insofern dem BÜPF unterstellt sind, als sie Fernmeldedienste anbieten, auch wenn sie hierzu über keine eigene Übertragungsinfrastruktur verfügen. Denn das entscheidende Kriterium für die Qualifikation als Fernmeldedienstanbieterin ist nicht der Betrieb eigener Fernmeldeinfrastrukturen, sondern das Anbieten von Fernmeldediensten in eigenem Namen gegenüber Kunden, auch wenn hierzu die Infrastruktur anderer Fernmeldedienstanbieter genutzt wird. Das BÜPF erfasst gemäss dessen Art. 1 Abs. 1 sachlich nur die Überwachung des Post- und Fernmeldeverkehrs. Dementsprechend enthält die aktuelle Fassung der VÜPF in Art. 2 lit. a eine Definition, wonach es sich bei einer Internet-Anbieterin um eine Fernmeldedienstanbieterin oder den Teil einer Fernmeldedienstanbieterin handelt, welche der Öffentlichkeit fernmeldetechnische Übertragungen von Informationen auf der Basis der IP- Technologien (Netzprotokoll im Internet [Internet Protocol]) unter Verwendung öffentlicher IP- Adressen anbietet. Diese Definition wird in Ziff. 1 von Anhang 2 des Revisionsentwurfs praktisch unverändert beibehalten, mit Ausnahme der Streichung des Wortes öffentlicher vor dem Wort IP-Adressen. Nach dieser Definition scheint klar, dass es sich auch bei den Internet-Anbieterinnen im Sinne von BÜPF und VÜPF um Fernmeldedienstanbieterinnen handelt. Keine Internet- Anbieterinnen in diesem Sinn sind dagegen die Anbieter von Informationen und anderen Dienstleistungen als solchen der Informationsübertragung. ISSS ist jedoch besorgt, dass im Zusammenhang mit der Teilrevision der VÜPF folgende Umstände zu einer erheblichen Ausdehnung der Überwachung des Umgangs mit Informationen im Internet in der Praxis der Strafverfolgungsbehörden, Gerichte sowie des ÜPF Dienstes führen könnten: a) In dem bereits erwähnten Bundesgerichtsentscheid vom (6B_766/2009) wurde die Qualifikation des Betreibers einer Internet-Informationsplattform als dem BÜPF unterstellter Anbieter durch die kantonale Vorinstanz vom Bundesgericht bestätigt. Dies, obwohl der Plattformbetreiber, soweit aus dem Entscheid ersichtlich, keinerlei Fernmeldedienste angeboten oder erbracht hatte. Sollte dieser Entscheid richtig sein, würde der Geltungsbereich des BÜPF im Zusammenhang mit dem Internet über den Bereich des Fernmeldeverkehrs hinaus auf Informationsanbieter und allenfalls sogar auf jeden Betreiber einer Website ausgeweitet. 3/8
4 b) Internet-Anbieterin" wurde bisher sowohl im BÜPF (Art. 1 Abs. 2) als auch in der VÜPF (z.b. Art. 1 Abs. 2 lit. e, Art. 2 lit. a etc.) im französischen Text als "fournisseur d'accès à Internet", d.h. als "Zugangsvermittlerin zum Internet", bezeichnet. Dieser Begriff soll neu, in Angleichung an die Begrifflichkeit des deutschen und italienischen Textes ( Internet-Anbieterin, offerenti internet ), bloss noch "fournisseur internet" lauten. Eine solche Vereinheitlichung der Begrifflichkeit ist grundsätzlich sinnvoll. Aus den Ausführungen im Begleitbericht zur Teilrevision VÜPF könnte jedoch auch der Schluss gezogen werden, dass mit dieser sprachlichen Vereinheitlichung auch eine inhaltliche Erweiterung des Begriffs "Internet-Anbieterin" verbunden sein soll. Die Erläuterungen im Begleitbericht sprechen davon, dass Internetdienstleistungen von einer Vielzahl von Anbieterinnen angeboten würden, die selber keine Zugänge anbieten. Dies lässt offen, unter Internetdienstleistung auch solche Dienstleistungen zu verstehen, bei denen es sich nicht um Fernmeldedienstleistungen handelt, sondern z.b. (wie in dem erwähnten Bundesgerichtsurteil) um die Bereitstellung von Informationen auf einer Internet-Plattform, obwohl der Plattformbetreiber mit der fernmeldetechnischen Übertragung der von ihm bereitgestellten Informationen selber nicht befasst ist. c) Ebenso könnte die Formulierung von Art. 24 Abs. 2 sowie von Art. 24a lit. c und d des Revisionsentwurfs im Sinne der soeben beschriebenen Tendenz zu einem erweiterten Verständnis des Begriffs Internet-Anbieterin beitragen. Nach den genannten Bestimmungen können neben Internet-Zugängen auch Anwendungen Gegenstand der Überwachung sein. Als Anwendung gelten z.b. nach Art. 24 Abs. 2 lit. b des Entwurfs Audio- und Videoübertragungen. Damit lässt der Wortlaut der genannten Bestimmungen zu, dass auch Anbieter von Video- und Audioangeboten im Internet dem Überwachungsregime gemäss BÜPF/VÜPF unterstellt wären, obwohl es sich nicht um Fernmeldedienst- Anbieterinnen handelt. Eine derartige ausdehnende Auslegung des Begriffs Internet-Anbieterin ist aus den folgenden Gründen jedoch nicht wünschenswert: a) Die Grundlage für die Anordnung von Überwachungsmassnahmen liegt nicht im BÜPF, sondern in der Strafprozessordnung (Art. 269ff. StPO), deren Regelungen gemäss einem entsprechenden Verweis im Bundesgesetz über Internationale Rechtshilfe in Strafsachen (Art. 18a IRSG) auch für eine allfällige Fernmeldeüberwachung in einem Auslieferungsverfahren Geltung haben. Nach Art. 270 StPO ist die Überwachung des Fernmeldeverkehrs jedoch an den Fernmeldeanschluss der zu überwachenden Person oder einer Drittperson gebunden. b) Es ist damit nicht sinnvoll, den Geltungsbereich der Überwachungsregelung von BÜPF/VÜPF völlig unabhängig davon zu definieren, ob die unterstellten Anbieterinnen Zugangs-Anbieterinnen sind oder nicht. Es muss vielmehr sichergestellt sein, dass die Verpflichtungen gemäss BÜPF und VÜPF nicht weiter gefasst werden, als nach den anwendbaren verfahrensrechtlichen Gesetzen, d.h. StPO und IRSG, überhaupt eine Kompetenz zur Überwachung des Fernmeldeverkehrs besteht. Andernfalls würden Überwachungsmöglichkeiten geschaffen, die rechtlich gar nicht ausgeschöpft werden dürften. Auch wenn für die Überwachung beim Internet-Zugang angesetzt werden muss, bedeutet dies ja nicht, dass nicht der ganze über das Internet geführte Kommunikationsverkehr der Überwachung unterstellt werden könnte. Auch bei den im erläuternden Bericht als Begründung für die Aufgabe des Begriffs fournisseur d accès à Internet erwähnten Diensten wie Chat erfolgt die Übertragung der entsprechenden Daten im Internet über Fern- 4/8
5 meldedienstanbieterinnen, welche dem BÜPF und der VÜPF unterstellt sind, und es ist für die Überwachung nicht erforderlich, den Betreiber des Chat-Room dem BÜPF zu unterstellen. c) Zu berücksichtigen ist ferner, dass mit der Überwachung der Telekommunikation und der damit bereit zu stellenden technischen Infrastruktur das Risiko verbunden ist, dass auch Möglichkeiten geschaffen werden, die das Eindringen in die Netze durch Unbefugte ermöglichen oder erleichteren und dadurch die Netzintegrität gefährdet wird. Dieses Risiko nimmt bereits aufgrund der mit der Rev. VÜPF vorgesehenen Erweiterung der möglichen Überwachungstypen tendenziell zu. Es sollte daher nach Möglichkeit vermieden werden, dieses Risko aufgrund einer Ausdehnung der durch BÜPF und VÜPF verpflichteten Anbieterinnen über den Kreis der Fernmeldedienstanbieterinnen hinaus noch zu vergrössern. Nach Auffassung von ISSS muss sich daher die Pflicht zur Vornahme von Überwachungsmassnahmen gemäss BÜPF und VÜPF auch bei der Überwachung von Informationsprozessen im Internet und ungeachtet der vorgeschlagenen veränderten Sprachregelung im französischen Text, klar und ausschliesslich auf Anbieterinnen von Fernmeldedienstleistungen, d.h. die fernmeldetechnische Übertragung von Informationen für Dritte (Art. 3 lit. b FMG), an die Öffentlichkeit beziehen, welche der Melde- bzw. Registrierungspflicht gemäss Art. 4 Abs. 1 dem FMG unterstehen. Um die durch die Korrektur der französischen Fassung der VÜPF und die damit im Zusammenhang stehenden, ergänzenden Ausführungen im Begleitbericht sowie durch die Gerichtspraxis geschaffenen Unklarheiten betreffend die Unterstellung von Internet- Anbieterinnen unter das Überwachungsregime von BÜPF / VÜPF zu klären, wird vorgeschlagen, dass die Definition Internet-Anbieterin wie folgt präzisiert und konkretisiert wird: a) Präzisierung des Begriffs Internet-Anbieterin im Anhang zur Rev VÜPF, z.b. durch die Ergänzung, dass es sich ausschliesslich um Anbieterinnen handelt, welche der Fernmeldegesetzgebung (Art. 4 FMG) unterstellt sind und ihre Dienstleistungen an die Öffentlichkeit erbringen, nicht dagegen um Personen und Unternehmen, welche Dienstleistungen und Anwendungen im Internet anbieten, wie z.b. Hosting Provider und Content Provider, den Transport der im Zusammenhang damit ausgetauschten Daten jedoch nicht selber erbringen, sondern dafür die Dienste eines Dritten (einer dem BÜPF/VÜPF unterstellten Fernmeldedienstanbieterin im Sinne des FMG) benutzen. Oder b) Ergänzung der Definition im Anhang zur Rev VÜPF bzw. der Materialien zur Neufassung der VÜPF durch Beispiele, welche Dienstleistungen im Internet darunter fallen (Internet-Zugang, Übertragung von Informationen) und welche nicht (Aufbereitung und Bereitstellung von Informationen). 5/8
6 4. Verantwortlichkeit für die Datensicherheit Gemäss Art. 9 Abs. 2 des Revisionsentwurfs sind die Anbieterinnen neu ausdrücklich für die Datensicherheit der an den Dienst ÜPF weiterzuleitenden Daten bis zum Übergabepunkt an den Dienst verantwortlich. Gemäss erläuterndem Bericht ergibt sich diese Verantwortlichkeit aus Art. 15 Abs. 1 BÜPF, wonach die Anbieterinnen verpflichtet sind, den Fernmeldeverkehr dem Dienst zuzuleiten. Diese Argumentation ist grundsätzlich zutreffend. Einschränkend ist jedoch zu präzisieren, dass sich die Verantwortung der Anbieterinnen nur innerhalb des durch die vom Dienst zu erlassenden Richtlinien betreffend die administrativen und technischen Einzelheiten der einzelnen Überwachungstypen auswirken kann. Mit anderen Worten, die Anbieterinnen tragen keine Verantwortung für allfällige Fehler und Lücken bezüglich der Sicherheit, wenn diese ihre Ursache in den durch die Richtlinien des Dienstes definierten Abläufen, Schnittstellen, Standards, Verfahren etc. haben. Im Übrigen ist generell anzumerken, dass den mit der Überwachung des Fernmeldeverkehrs verbundenen Risiken für die IT-Sicherheit und den Informationsschutz bei Umsetzung der Überwachungsordnung, insbesondere in den entsprechenden Richtlinien das Dienstes ÜPF, Rechnung getragen werden sollte. 5. Vernichtung von Daten Um sicherzustellen, dass aufgrund der Vernichtung durch den Dienst ÜPF keine Daten versehentlich verloren gehen, die von der anordnenden Behörde allenfalls noch benötigt werden, ist Art. 10 VÜPF in dem Sinn zu ergänzen, dass der Dienst die Daten nur nach vorgängiger Absprache mit der anordnenden Behörde löscht. 6. In der VÜPF nicht explizit vorgesehene Überwachungsmassnahmen Sowohl bezüglich der Überwachung der Telefondienste als auch des Internets ist im Revisionsentwurf in Art. 17 Abs. 5 bzw. Art. 25 Abs. 5 die Möglichkeit vorgesehen, dass im Einzelfall auch Überwachungsmassnahmen angeordnet werden können, die in der VÜPF nicht explizit vorgesehen sind. Diese Regelungen sind mit Rücksicht auf die jüngste Rechtsprechung des Bundesverwaltungsgerichts in den Beschwerdesachen A-8284/2010 und A-8267/2010 vom bzw nochmals zu überprüfen. Das Gericht erachtete Art. 15 BÜPF nicht als allein ausreichende Grundlage für die Anordnung von Überwachungsmassnahmen, sondern nur wenn die im Gesetz allgemein formulierten Pflichten durch den Bundesrat gestützt auf Art. 15 Abs. 6 BÜPF in der VÜPF näher präzisiert wurden und der Dienst entsprechende Ausführungsregelungen erlassen hat. Nur unter diesen Voraussetzungen bestehen nach Auffassung des Bundesverwaltungsgerichts hinreichend präzise Grundlagen, damit eine Fernmeldedienstanbieterin verpflichtet werden kann, die für die Durchführung einer bestimmten Art der Überwachung erforderlichen Investitionen vorzunehmen. Andererseits besteht aufgrund der technischen Entwicklung ein Bedürfnis nach Flexiblität. Sollte sich herausstellen, dass für Einzelfallanordnungen keine hinreichende rechtliche Grundlage besteht, wäre allenfalls eine mögliche Lösung, dass in der Verordnung nicht explizit vorgesehene Überwachungstypen auf Basis von durch den Dienst ÜPF, unter Rücksprache mit den anordnenden Behörden und den verpflichteten Anbieterinnen, erlas- 6/8
7 senen Richtlinien durchgeführt werden könnten, jedenfalls bis eine Anpassung der Verordnung erfolgt ist. 7. Überwachungsanordnung Wir weisen an dieser Stelle darauf hin, dass bestimmte in Art. 23 lit. g Rev VÜPF erwähnte Adressierungselemente einfach (MAC-Adresse) oder mit einigem Aufwand (IMSI-Nummern) fälschbar sind. Es wird daher Sache der zuständigen Behörden sein, durch ausreichende Schulung und weitere geeignete Massnahmen sicherzustellen, dass solche Fälschungen erkannt werden können. 8. Überwachbare Internetzugänge und Anwendungen In Art. 24 Abs. 1 lit. f Rev VÜPF werden explizit Zugänge über OSI Schicht 3 erwähnt. Dies ist technisch redundant, da unter Art. 24 Abs. 1 lit. e bereits Zugänge nach OSI Schicht 2 erwähnt sind und OSI Schicht 3 notwendigerweise OSI Schicht 2 voraussetzt. Das explizite Aufführen von OSI Schicht 3 wäre nur verständlich, wenn damit auch Internet- Verkehr, dessen physischer Zugang nicht in der Schweiz stattfindet, ebenfalls unter die Regelungen des VÜPF fallen soll. Damit scheint sich jedoch ein Widerspruch zu Art. 24c zu ergeben, welcher die Überwachungsmassnahmen mit Auslandsbezug regelt. Anschlüsse gemäss Art. 24 Abs. 1 lit. f sind nämlich in Art. 24c nicht erwähnt. Sollte unsere Annahme respektive Interpretation zutreffen, so bitten wir um entsprechende Konsistenzprüfung. 9. Überwachungstypen (Echtzeit) 9.1 Allgemein Art. 24a des Revisionsentwurfs regelt die Echtzeit-Überwachung von Internetzugängen und Anwendungen. Auch wenn der Begriff der Internet-Anbieterin wie oben vorgeschlagen auf die Anbieterinnen von Fernmeldediensten beschränkt wird, stellt sich die Frage, ob die in Art. 24a vorgesehenen Massnahmen der Echtzeit-Überwachung von allen Internet-Anbieterinnen im genannten Sinn erbracht werden können. So ist z.b. nicht klar, wie Echtzeit-Überwachungen etwa durch Betreiber von öffentlichen Hotspots, z.b. in einem Bahnhof, Hotel oder einem Einkaufscenter, durchgeführt werden sollen. Der Aufenthalt einer verdächtigen Person an einem solchen Ort ist ja häufig rein zufällig oder sehr kurz, so dass bereits die verfahrensmässige Abwicklung der Überwachungsanordnung im gegebenen Zeitraum nicht möglich ist. Es ist daher nochmals zu prüfen, ob die Pflicht, die Echtzeit-Überwachung des Kommunikationsverkehrs im Internet zu ermöglichen, tatsächlich für alle Internet- Anbieterinnen unter allen Einsatzbedingungen gelten kann. 7/8
8 9.2 Art. 24a lit. b Ziff. 3 und lit. c Ziff. 3 Anmeldungsdaten (Log-in) Im Begleitbericht werden im Zusammenhang mit den Anmeldungsdaten neben Benutzernamen und der Zeit des ausgeführten Log-in auch die Passwörter erwähnt. Hierzu ist anzumerken, dass ein Passwort in einem sicher konzipierten System gar nie gespeichert wird und somit auch nicht im Rahmen der Überwachung zur Verfügung gestellt werden kann, ohne den Authentisierungsmechanismus konzeptionell zu schwächen. Wir sind der Meinung, dass das Passwort für die Überwachung nicht relevant ist, sondern es auf die Authentisierungsinformation (JA / NEIN im nachfolgenden Beispiel) ankommt (Login XYZ konnte sich erfolgreich authentisieren mit Passwort: JA / NEIN). 10. Art. 24a lit. d Ziff. 4 und Art. 24b lit. b Ziff. 2 -Verkehr und SMTP-Protokoll In Art. 24a lit. d Ziff. 4 und Art. 24b lit. b Ziff. 2 wird auf den -Verkehr auf Basis des SMTP-Protokolls Bezug genommen. Mit Rücksicht auf die rasante technische Entwicklung stellt ISSS den Antrag, dass nicht nur die Nachrichtenübermittlung auf Basis des aktuellen SMTP-Protokolls, sondern auch kommende Formen der Nachrichtenübermittlung erfasst werden sollen. 11. Ausführungsrichtlinien ISSS weist darauf hin, dass zur Sicherstellung der Informations- und Datensicherheit der Erlass und das Inkrafttreten der vom ÜPF zu erlassenden technischen Richtlinien parallel zum Inkrafttreten der Verordnung erfolgen sollten und dass eine angemessene Übergangsfrist vorzusehen ist, welche sowohl dem Dienst ÜPF als auch den betroffenen Anbieterinnen eine sichere Implementierung der neuen Überwachungstypen erlauben. Mit freundlichen Grüssen Dr. Thomas Dübendorfer Präsident ISSS Dr. Ursula Widmer Vizepräsidentin ISSS Information Security Society Switzerland (ISSS) Wasserwerkgasse Bern 13 Dr. Thomas Dübendorfer: Dr. Ursula Widmer: 8/8
Verordnung über die Überwachung des Post- und Fernmeldeverkehrs (VÜPF) SR 780.11 (Kein offizielles Dokument, alle Angaben ohne Gewähr)
Geltendes Recht bis 31.12.2011 Text ab BRB 23.11.2011 In Kraft ab 01.01.2012 Erwägungen Stand BRB 23.11.2011 Rot > Gilt nicht mehr Blau > Neue Formulierung Grün: > Erwägungen 1. Abschnitt: Allgemeine Bestimmungen
VÜPF Anhörung zu den vorgeschlagenen Änderungen: Stellungnahme des Chaos Computer Clubs Zürich (CCCZH)
Chaos Computer Club Zürich Luegislandstrasse 485 8051 Zürich Informatik Service Center ISC EJPD Dienst Überwachung Post- und Fernmeldeverkehr Bereich Recht und Controlling z.hd. Patrik Schöpf
Bericht über das Ergebnis des Anhörungsverfahrens vom 8. Juni 2011 bis 29. Juli 2011
Eidgenössisches Justiz- und Polizeidepartement EJPD Informatik Service Center Dienst ÜPF Recht und Controlling Fellerstrasse 15 3003 Bern Teilrevision der Verordnung vom 31. Oktober 2001 über die Überwachung
Verordnung über die Überwachung des Post- und Fernmeldeverkehrs (VÜPF) Änderung vom 2011 Der Schweizerische Bundesrat verordnet: I Die Verordnung vom 31. Okto ber 2001 1 über die Überwachung des Post-

References: Art. 269
 Art. 272
 Art. 1
 Art. 1
 Art. 2
 Art. 1
 Art. 2
 Art. 24
 Art. 24
 Art. 24
 Art. 270
 Art. 4
 Art. 9
 Art. 15
 Art. 10
 Art. 17
 Art. 25
 Art. 15
 Art. 15
 Art. 23
 Art. 24
 Art. 24
 Art. 24
 Art. 24
 Art. 24
 Art. 24
 Art. 24
 Art. 24
 Art. 24
 Art. 24
 Art. 24
 Art. 24