Source: https://www.datenschutz-praxis.de/fachartikel/die-online-durchsuchung/
Timestamp: 2017-04-28 23:48:40+00:00

Document:
Home Fachartikel zum Datenschutz Die Online-Durchsuchung 21. Januar 2009 - BKA-Gesetz und die Folgen teilen 0 twittern teilen 0 teilen 0 teilen Die Online-Durchsuchung
Seit dem 01.01.2009 ist das „Gesetz zur Abwehr von Gefahren des internationalen Terrorismus durch das Bundeskriminalamt“ vom 25.12.2008 in Kraft. Es erlaubt nun unter anderem die Online-Durchsuchung auf Bundesebene. Die Online-Durchsuchung ist ein sehr heikles und umstrittenes Thema. Daher stellen wir alle Aspekte einmal im Detail vor.
(Bild: Mathias Rosenthal / iStock / Thinkstock) Unter Online-Durchsuchung versteht man den heimlichen Zugriff staatlicher Stellen mittels technischer Mittel auf fremde informationstechnische Systeme.
Das bedeutet, dass staatliche Stellen die Daten auf fremden Computern oder Datenträgern durchsuchen, ohne dass der Nutzer des Computers hiervon erfährt.
Online-Durchsicht und Online-Überwachung
Dies kann durch einen einmaligen Zugriff, die sogenannte Online-Durchsicht, oder eine länger dauernde Überwachung, die Online-Überwachung, geschehen.
Zweck der Online-Durchsuchung ist die Beschaffung von Informationen und Beweismitteln für die Strafverfolgung und die Gefahren- und Terrorismusabwehr.
Die technischen Details für Online-Durchsuchungen sind nicht bekannt.
Es wird davon ausgegangen, dass die Durchsuchungen mithilfe einer Software erfolgen könnten. Da diese Software einen heimlichen Zugriff auf IT-Systeme ermöglicht, zählt sie zur Kategorie der Schadsoftware, engl. Malware (MW). In Deutschland wird die zur Online-Durchsuchung geeignete Schadsoftware von Kritikern oftmals als Bundestrojaner, als Staatstrojaner oder als Polizeitrojaner bezeichnet.
Govware, Remote Forensic Software und Durchsuchungssoftware
Im Bereich der IT-Sicherheit wird eine solche Software auch Govware (Kompositum aus Government und Software) genannt.
Im deutschen Bundesinnenministerium (BMI) lautet die offizielle Bezeichnung Remote Forensic Software (RFS), also Fernforensische Software.
Dieser – im Ausland kaum anzutreffende – Terminus ist jedoch irreführend, da er suggerieren kann, dass die im Rahmen einer Online-Durchsuchung gewonnenen Erkenntnisse den Beweiswert einer forensischen Analyse besitzen. Dies ist aus mehreren Gründen unzutreffend; daher sollte besser von Durchsuchungssoftware gesprochen werden.
Eine solche Software kann auf zwei Arten in fremde IT-Systeme eingeschleust werden. Entweder erfolgt der Zugriff elektronisch über Kommunikationsnetze oder die Software wird direkt am Computer von Tatverdächtigen installiert, wozu ein Betreten der entsprechenden Wohnung erforderlich ist.
Es ist rechtlich sehr umstritten, ob zumindest für Teilbereiche und für bestimmte staatliche Stellen bereits gesetzliche Ermächtigungsgrundlagen zur Durchführung von Online-Durchsuchungen bestehen.
Nach Auffassung des 3. Strafsenats des Bundesgerichtshofs (BGH) ist eine Online-Durchsuchung für Zwecke der Strafverfolgung nach der derzeitigen Gesetzeslage nicht möglich (Beschluss vom 31.01.2007, Aktenzeichen StB 18/06).
Das Bundesinnenministerium ist der Meinung, heimliche Durchsuchungen von IT-Systemen durch den Verfassungsschutz, den Militärischen Abschirmdienst (MAD) und den Bundesnachrichtendienst (BND) seien erlaubt.
Gesetzesgrundlage: BKA-Gesetz vom 25.12.2008
Ein Gesetz auf Bundesebene, das Online-Durchsuchungen eindeutig und ausdrücklich erlaubt, ist in Deutschland nunmehr seit dem 25.12.2008 vorhanden, nachdem das „Gesetz zur Abwehr von Gefahren des internationalen Terrorismus durch das Bundeskriminalamt“ (zu den Inhalten siehe Abschnitt „BKA-Gesetz“) verkündet worden ist.
Länderebene: Bayern
Auf Länderebene können die Polizei und das Landesamt für Verfassungsschutz in Bayern ab 1. August 2008 in Bayern heimliche Online-Durchsuchungen durchführen.
Die entsprechende Ermächtigungsgrundlage findet sich in Art. 6e des Bayrischen Verfassungsschutzgesetzes.
Danach darf „das Landesamt für Verfassungsschutz bei Vorliegen tatsächlicher Anhaltspunkte einer konkreten Gefahr für ein überragend wichtiges Rechtsgut unter den Voraussetzungen des Art. 6a Abs. 2 im Einzelfall mit technischen Mitteln verdeckt auf informationstechnische Systeme zugreifen, um Zugangsdaten und gespeicherte Daten zu erheben. Die Anordnung ist nur zulässig, wenn die Erforschung des Sachverhalts auf andere Weise aussichtslos oder wesentlich erschwert wäre. Sie darf sich nur gegen Verdächtige und ihre Nachrichtenmittler richten. Gegen Nachrichtenmittler darf sich die Maßnahme nur insoweit richten, als sie kein Recht zur Verweigerung des Zeugnisses nach den §§ 53, 53a StPO (Strafprozessordnung) haben. Wird erkennbar, dass in ein durch ein Berufsgeheimnis geschütztes Vertrauensverhältnis im Sinn der §§ 53, 53a StPO eingegriffen wird, ist die Maßnahme insoweit unzulässig, es sei denn, sie richtet sich gegen den Berufsgeheimnisträger selbst. Soweit informationstechnisch und ermittlungstechnisch möglich, sind alle Maßnahmen zu ergreifen, mit denen die Erhebung von Daten, die dem Kernbereich privater Lebensgestaltung zuzurechnen sind, vermieden werden kann. Wird erkennbar, dass solche Daten betroffen sind und bestehen keine Anhaltpunkte dafür, dass diese Daten dem Zweck der Herbeiführung eines Erhebungsverbots dienen sollen, ist die weitere Datenerhebung insoweit unzulässig. Zur Vorbereitung einer solchen Maßnahme dürfen auch technische Mittel eingesetzt werden, um spezifische Kennungen sowie den Standort eines informationstechnischen Systems zu ermitteln. Personenbezogene Daten (Personally Identifiable Data, PID) Dritter dürfen dabei nur erhoben werden, soweit dies aus technischen Gründen unvermeidbar ist. Nach Beendigung der Maßnahme sind diese unverzüglich zu löschen.“
Länderebene: NRW
In Nordrhein-Westfalen war dem Verfassungsschutz durch das „Gesetz über den Verfassungsschutz in Nordrhein-Westfalen“ vom 20.12.1994 (VSG NRW) seit Dezember 2006 das „heimliche Beobachten und sonstige Aufklären des Internets, wie insbesondere die verdeckte Teilnahme an seinen Kommunikationseinrichtungen bzw. die Suche nach ihnen, sowie der heimliche Zugriff auf informationstechnische Systeme auch mit Einsatz technischer Mittel“ zur Informationsbeschaffung erlaubt (§ 5 Abs. 2 Nr. 11 des Gesetzes über den Verfassungsschutz in Nordrhein-Westfalen).
NRW-Regelung ist verfassungswidrig
Die gegen dieses Gesetz vor dem Bundesverfassungsgericht erhobene Verfassungsbeschwerde war erfolgreich. Das Bundesverfassungsgericht erklärte die oben genannte Vorschrift des § 5 VSG NRW für verfassungswidrig.
Mit seinem Urteil vom 27.02.2008 (Aktenzeichen 1 BvR 370/07 und 1 BvR 595/07) erklärte das Bundesverfassungsgericht (BVerfG) die Vorschrift des § 5 Abs. 2 Nr. 11 VSG NRW, die sich mit der Online-Durchsuchung und dem heimlichen Aufklären des Internets befassen, für verfassungswidrig.
Das neue IT-Grundrecht
In diesem Urteil hat das Bundesverfassungsgericht ein neues Grundrecht – das IT- oder Computer-Grundrecht als weitere Ausprägung des allgemeinen Persönlichkeitsrechts, das über Art. 2 GG (Grundgesetz) geschützt ist, festgelegt.
Im Urteil ist dieses Grundrecht als „Recht auf Gewährleistung der Vertraulichkeit (Privacy) und Integrität (Integrity) informationstechnischer Systeme“ bezeichnet.
Bisherige Grundrechte schützten nicht ausreichend vor der Online-Durchsuchung
Die Festlegung dieses neuen Grundrechts war erforderlich, da der Schutz des Grundgesetzes gegen Online-Durchsuchungen nicht ausreichend vorhanden war. Die bisher schon vorhandenen Grundrechte auf Telekommunikationsfreiheit, Schutz der Wohnung, Schutz der Privatsphäre und auf informationelle Selbstbestimmung erfassten nicht alle Aspekte der Computernutzung. So umfasst der Schutz der Wohnung zwar den heimischen Computer, nicht aber beispielsweise ein unterwegs genutztes Laptop.
Das Grundrecht auf Gewährleistung der Vertraulichkeit und der Integrität informationstechnischer Systeme hielten die Richter des Bundesverfassungsgerichts für notwendig, da die Nutzung der Informationstechnik für die Persönlichkeit und die Entfaltung des Einzelnen eine früher nicht absehbare Bedeutung erlangt hätten.
Dadurch seien jedem Einzelnen neue Möglichkeiten eröffnet. Dies begründe aber auch neuartige Gefährdungen der Persönlichkeit. So seien auf Computern und Speichermedien eine Vielzahl von Daten mit Bezug auf die persönlichen Verhältnisse, die sozialen Kontakte und die ausgeübten Tätigkeiten des Nutzers zu finden. Die Vernetzung etwa mit dem Internet eröffne dann technische Zugriffsmöglichkeiten, um solche Daten auszuspähen oder zu manipulieren.
Aus diesen Gründen sehen die Richter ein besonderes Schutzbedürfnis als gegeben an.
Voraussetzungen für eine Online-Durchsuchung laut BVerfG
Will der Staat in dieses Grundrecht beispielsweise durch eine Online-Durchsuchung eingreifen, so müssen umfangreiche Voraussetzungen erfüllt sein.
Ein Eingriff in das IT-Grundrecht darf nur erfolgen, wenn tatsächliche Anhaltspunkte vorliegen, dass eine konkrete Gefahr für ein überragend wichtiges Rechtsgut besteht, wie z.B. Leib, Leben und Freiheit der Person sowie Güter der Allgemeinheit, deren Bedrohung die Grundlagen des Staates oder der Existenz der Menschen berühren, wie die Funktionsfähigkeit existenzsichernder öffentlicher Versorgungseinrichtungen.
Bei einem Eingriff in das IT-Grundrecht muss zusätzlich der „Kernbereich privater Lebensgestaltung“ besonders geschützt werden. Werden bei einer Durchsuchung solche Daten, die sich mit Erlebnissen höchstpersönlicher Art, mit Empfindungen und Gefühlen befassen, durchsucht bzw. kopiert, so sind diese Daten unverzüglich zu löschen. Sie dürfen nicht weitergegeben oder verwertet werden. Allerdings besteht nach Ansicht des Bundesverfassungsgerichts auch hier eine Eingriffsmöglichkeit des Staates, nämlich dann, wenn konkrete Anhaltspunkte dafür bestehen, dass solche vertraulichen Kommunikationsinhalte gezielt mit Inhalten verknüpft werden, die unter das Ermittlungsziel fallen, um damit eine Überwachung zu verhindern.
Weil der Betroffene, dessen Computer durchsucht wird, wegen der Heimlichkeit der Maßnahme seine Interessen nicht selbst vorweg wahrnehmen kann, hält das Bundesverfassungsgericht es für erforderlich, dass die Rechtmäßigkeit einer Online-Durchsuchung vorab von einem Richter überprüft werden und dieser seine Entscheidung schriftlich begründen müsse.
Ausnahme Quellen-Telekommunikationsüberwachung
Als Ausnahme muss sich nach Ansicht des Bundesverfassungsgerichts die sogenannte Quellen-Telekommunikationsüberwachung (Quellen-TKÜ), ohne die man verschlüsselte Computer-Telefonate nicht abhören kann, nicht zwingend am neuen IT-Grundrecht messen lassen.
Dafür muss allerdings sichergestellt sein, dass bei der Quellen-TKÜ wirklich nur die Kommunikation überwacht wird und nicht die Inhalte des betreffenden Computers durchsucht werden. In diesem Fall sind nur die für die Telefonüberwachung geltenden gesetzlichen Regelungen anzuwenden.
In Deutschland gibt es auf Bundesebene das „Gesetz über das Bundeskriminalamt und die Zusammenarbeit des Bundes und der Länder in kriminalpolizeilichen Angelegenheiten (Artikel 1 des Gesetzes über das Bundeskriminalamt und die Zusammenarbeit des Bundes und der Länder in kriminalpolizeilichen Angelegenheiten; Bundeskriminalamtgesetz – BKAG) vom 07.07.1997, das zuletzt am 17.12.2008 geändert wurde.
In diesem Gesetz fand sich noch keine Regelung über die Online-Durchsuchung. Nunmehr ist seit dem 01.01.2009 das „Gesetz zur Abwehr von Gefahren des internationalen Terrorismus durch das Bundeskriminalamt“ vom 25.12.2008 in Kraft getreten, das die Online-Durchsuchung auf Bundesebene erlaubt. Dieses Gesetze modifiziert bzw. ergänzt das BKAG mit Stand vom 17.12.2008.
Mehr zum Thema „BKA-Gesetz“
Gemäß dem im oben aufgeführten BKAG neu eingefügten § 4a kann das Bundeskriminalamt die Aufgabe der Abwehr von Gefahren des internationalen Terrorismus in Fällen wahrnehmen, in denen eine länderübergreifende Gefahr vorliegt, die Zuständigkeit einer Landespolizeibehörde nicht erkennbar ist oder die oberste Landesbehörde um eine Übernahme ersucht.
Es kann im Rahmen dieser Aufgabe auch Straftaten verhüten, die in § 129a Abs. 1 und 2 des Strafgesetzbuchs (Bildung terroristischer Vereinigungen) bezeichnet und dazu bestimmt sind, die Bevölkerung auf erhebliche Weise einzuschüchtern, eine Behörde oder eine internationale Organisation rechtswidrig mit Gewalt oder durch Drohung mit Gewalt zu nötigen oder die politischen, verfassungsrechtlichen, wirtschaftlichen oder sozialen Grundstrukturen eines Staates oder einer internationalen Organisation zu beseitigen oder erheblich zu beeinträchtigen und durch die Art ihrer Begehung oder ihre Auswirkungen einen Staat oder eine internationale Organisation erheblich schädigen können.
Mittel zur Abwehr von Terror-Gefahren
Ebenfalls durch das Gesetz neu eingefügt wurden die §§ 20a bis 20x, die sich mit den Mitteln zur Abwehr der Gefahren des internationalen Terrorismus befassen, die dem Bundeskriminalamt zur Verfügung stehen.
Danach ist das Bundeskriminalamt befugt, personenbezogene Daten zu erheben, Befragungen durchzuführen, Identitätsfeststellungen und Prüfungen von Berechtigungsscheinen sowie erkennungsdienstliche Maßnahmen durchzuführen.
Es darf Personen vorladen und sich besonderer Mittel der Datenerhebung bedienen, wie zum Beispiel verdeckte Ermittler einsetzen. Weiterhin dürfen Personen zur polizeilichen Beobachtung ausgeschrieben und Rasterfahndungen durchgeführt werden.
Die Telekommunikation darf überwacht werden und Telekommunikationsverkehrs- und -nutzungsdaten dürfen erhoben werden.
Mobilfunkkarten und Mobilfunkendgeräte dürfen identifiziert und lokalisiert werden.
Darüber hinaus dürfen Platzverweisungen ausgesprochen, Personen und Sachen durchsucht und Personen in Gewahrsam genommen werden. Sachen dürfen sichergestellt und Wohnungen betreten und durchsucht werden.
Besondere Regelungen enthält der Gesetzesentwurf hinsichtlich des Schutzes zeugnisverweigerungsberechtigter Personen, wie z.B. von nahen Angehörigen.
Die Regelungen zur Online-Durchsuchung
Das Thema Online-Durchsuchung ist in § 20k des Gesetzes als „Verdeckter Eingriff in informationstechnische Systeme“ geregelt. Danach darf das Bundeskriminalamt unter bestimmten Voraussetzungen „ohne Wissen des Betroffenen“, also heimlich, in informationstechnische Systeme des Betroffenen eingreifen und aus ihnen Daten erheben.
Die Durchführung der Maßnahme muss für die Aufgabenerfüllung des Bundeskriminalamtes nach § 4 a des Gesetzes erforderlich sein und ohne die Maßnahme müsste die Aufgabenerfüllung wesentlich erschwert oder aussichtslos sein.
Der Eingriff in IT-Systeme muss durch ein Gericht angeordnet werden. Er kann nur vom Präsidenten des Bundeskriminalamtes oder von seinem Vertreter beantragt werden. Gegenüber dem bisherigen Entwurf des Gesetzes, der vorsah, dass bei Gefahr im Verzuge diese Personen die Anordnung des verdeckten Eingriffs selbst treffen durften und die gerichtliche Entscheidung unverzüglich nachgeholt werden musste, ist diese Möglichkeit im Gesetz nicht mehr gegeben. D.h. der Eingriff in IT-Systeme muss immer gerichtlich angeordnet werden.
Die Anordnung des Eingriffs in IT-Systeme muss schriftlich und mit einer Begründung erfolgen. Weiterhin sind die Personen, die betroffen sind, sowie die IT-Systeme zu nennen. Art, Umfang und Dauer des Eingriffs sind darin aufzuführen. Die Anordnung des Eingriffs darf maximal für 3 Monate erfolgen. Bei weiterem Vorliegen der Eingriffsvoraussetzungen ist eine Verlängerung möglich.
Daten, die den Kernbereich privater Lebensgestaltung betreffen, dürfen nicht erhoben werden (siehe hierzu Abschnitt „Urteil des Bundesverfassungsgerichts“). Alle erhobenen Daten müssen dahingehend überprüft werden. Finden sich dabei Daten, die den Kernbereich privater Lebensgestaltung betreffen, so dürfen diese nicht verwertet werden. Sie sind unverzüglich zu löschen. Bei Zweifeln, welchem Bereich erhobene Daten zuzuordnen sind, sind diese entweder zu löschen oder dem Gericht zur Entscheidung über die Verwertbarkeit oder die Löschung der Daten vorzulegen.
Nach Artikel 7 des Gesetzes tritt § 20 k mit Ablauf des 31.12.2020 außer Kraft, d.h. sofern bis zu dem Zeitpunkt keine Gesetzesänderung erfolgt, ist eine Online-Durchsuchung auf Bundesebene danach nicht mehr zulässig.
Kritik an Online-Durchsuchungen
Die Durchführung von Online-Durchsuchungen sieht sich zahlreicher Kritik ausgesetzt.
So wird die Heimlichkeit der Durchsuchung als Widerspruch zu rechtsstaatlichem Handeln angesehen. Einige Kritiker sehen die Gefahr der Entstehung einer Geheimpolizei, wie sie in Diktaturen üblich ist.
Von Datenschützern wird die Online-Durchsuchung als massiver Eingriff in die Privatsphäre kritisiert und bezweifelt, ob das Ziel der Bekämpfung des Terrorismus und der organisierten Kriminalität mit diesen Mitteln erreicht werden kann.
Befürchtet werden ebenfalls die Gefahr des Missbrauchs der Zugriffsmöglichkeiten und die durch Zugriffssoftware hervorgerufene Verringerung der IT-Sicherheit.
Darüber hinaus gibt es Zweifel an der technischen Umsetzbarkeit, da beispielsweise Antivirenprogramme alle Arten von Schadsoftware gleich behandeln würden.
In Österreich befindet sich ein Gesetz, das die Online-Durchsuchung erlauben soll, noch im Gesetzgebungsverfahren. Nach dem Gesetzesentwurf darf eine Online-Durchsuchung nur auf richterliche Anordnung vorgenommen werden. Vorliegen muss ein dringender Tatverdacht auf Begehung einer schweren Straftat, die ein Strafmaß von mindestens zehn Jahren erwarten lässt.
In den USA wird seit 2007 von der Bundespolizei FBI im Rahmen der Strafverfolgung eine Software eingesetzt, die die besuchten Internetadressen von verdächtigen Personen aufzeichnet. Vor der Nutzung der Software ist jedoch ein richterlicher Durchsuchungsbefehl notwendig. Die vom FBI verwendete Software wird Computer and Internet Protocol Address Verifier (CIPAV) genannt.
In Großbritannien erfolgt nur in streng geregelten Ausnahmefällen eine Online-Durchsuchung, beispielsweise wenn eine Nachforschung im Interesse der nationalen Sicherheit steht. Geregelt ist dies im Regulation of Investigative Powers Act (RIPA) aus dem Jahr 2000.
Markus Hansen, Andreas Pfitzmann: Technische Grundlagen von Online-Durchsuchung und -Beschlagnahme. In: DRiZ 8/2007, S. 225-228.
Fredrik Roggan (Hrsg.): Online-Durchsuchungen – Rechtliche und tatsächliche Konsequenzen des BVerfG-Urteils vom 27. Februar 2008, Berliner Wissenschaftsverlag, Juli 2008, ISBN 9783830515609
Alexander Roßnagel: Verfassungspolitische und verfassungsrechtliche Fragen der Online-Durchsuchung. In: DRiZ 8/2007, S. 229-230.
Marc Störing: Kein Trojaner vom Staatsanwalt. Strafverfolger dürfen nicht heimlich PCs ausspähen. In: c’t 5/2007, S. 58-61.
http://by.juris.de/by/gesamt/VerfSchutzG_BY_1997.htm
http://www.bayern.landtag.de/cps/rde/xchg/SID-0A033D45-ABFDBFB5/www/x/-/www/17_3153.htm
http://www.bmi.bund.de/Internet/Content/Common/Anlagen/Gesetze/Entwurf__BKAG,templateId=raw,property=publicationFile.pdf/Entwurf_BKAG.pdf
http://www.im.nrw.de/sch/doks/vs/vsg_nrw_2007.pdf
http://www.secorvo.de/publikationen/stellungnahme-secorvo-bverfg-online-durchsuchung.pdf

References: Art. 6
 Art. 6
 § 5
 § 5
 Art. 2
 § 4
 § 129
 § 20
 § 4
 § 20