Der Chaos Computer Club hat aufgedeckt, dass die seitens des Staates zur Überwachung von Kommunikation verwandte Software technisch einen Komplettzugriff auf den Rechner des Nutzers erlaubt. So könnten mithilfe des sog. Bundestrojaners Rechner quasi ferngesteuert, komplett durchsucht und sogar mit audiovisuellen Überwachungswanzen (über Webcam oder Mikrofon) versehen werden.
Damit könnten dann etwa Skype-Gespräche überwacht oder Screenshots aktiver Webbrowser-Fenster angefertigt werden. Besonders brisant ist dabei, dass einmal vom Bundestrojaner befallene Computer ohne größere Anstrengungen von fachkundigen Dritten auf die gleiche Weise ausgespäht werden könnten.
Der Einsatz von Bundestrojanern stellt eine Form der Online-Durchsuchung dar. Vor dem Hintergrund des Urteils des Bundesverfassungsgerichts vom 27. Februar 2008, in dem das „Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme“ geschaffen und eine präventive Online-Durchsuchung an strenge Voraussetzungen geknüpft wurde, geht nun ein Aufschrei durch Medien und Gesellschaft. Die folgenden FAQ sollen einen Beitrag zur Aufklärung in diesem Bereich leisten.
1. Unter welchen Voraussetzungen ist eine Online-Durchsuchung erlaubt?
Das Bundesverfassungsgericht hat in seinem Urteil vom 27. Februar 2008 deutlich gemacht, dass eine Online-Durchsuchung als präventive Maßnahme nur dann zulässig ist, wenn
a) sie hinreichend klar gesetzlich geregelt ist,
b) sie zur Abwehr einer konkreten Gefahr für ein überragend wichtiges Rechtsgut vorgenommen wird,
c) sie durch einen Richter angeordnet wurde und
d) die Ermächtigungsgrundlage Vorkehrungen zum Schutz des Kernbereichs privater Lebensgestaltung trifft.
2. Darf der Staat eine Online-Durchsuchung für Zwecke der Strafverfolgung durchführen?
Anders als bei der präventiven, also der Gefahrenabwehr im Vorfeld dienenden Online-Durchsuchung, ist der Einsatz von Bundestrojanern zum Zwecke der Strafverfolgung, also bei bereits bestehendem Anfangsverdacht, nach geltendem deutschem Recht unzulässig. Die Strafprozessordnung (StPO) enthält keine entsprechende Regelung und diejenige über Haus- und Wohnungsdurchsuchung kann hier keine Anwendung finden, da hierbei die Anwesenheit von Zeugen (§ 105 Abs. 2 StPO) und des Inhabers bzw. eines Vertreters (§106 Abs. 1 StPO) gesetzlich vorgesehen ist und die Online-Durchsuchung im Gegensatz dazu heimlich erfolgt. Tatsächlich aber wird bei Einsatz von Bundestrojanern durch das BKA neben der Gefahrenlage auch ein Straftatverdacht (etwa wegen organisierter Kriminalität) bestehen.
3. Ist die Online-Durchsuchung – wie vom BVerfG gefordert – gesetzlich geregelt und wenn ja, wo?
Auf Bundesebene ist die Online-Durchsuchung mittels Bundestrojanern in § 20k Bundeskriminalamtgesetz (BKAG) geregelt. Nach § 20k Abs. I BKAG sind heimliche Eingriffe in informationstechnische Systeme zulässig, wenn bestimmte Tatsachen die Annahme rechtfertigen, dass eine Gefahr für höchstrangige Rechtsgüter, namentlich Leib und Leben von Personen sowie überragend wichtige Güter der Allgemeinheit, vorliegt.
Eine wohl den Anforderungen des Bundesverfassungsgerichts genügende landesrechtliche Regelung enthält Art. 34d des Polizeiaufgabengesetzes Bayern (PAG). In Bayern ist – im Gegensatz zur bundesrechtlichen Regelung – als Begleitmaßnahme zur Online-Durchsuchung gemäß Art. 34e PAG auch das Betreten und Durchsuchen der Wohnung des Betroffenen ohne dessen Einwilligung möglich. Das Land Rheinland-Pfalz plant derzeit auch die Einführung einer Regelung der präventiven Online-Durchsuchung. Die ursprünglich in Nordrhein-Westfalen bestehende Regelung des § 5 Abs. 2 Nr. 11 des Gesetzes über den Verfassungsschutz in Nordrhein-Westfalen ist vom BVerfG im Urteil vom 27. Februar wegen Verstoßes u.a. gegen das neue „Computergrundrecht“ für nichtig erklärt worden.
4. Was für Konsequenzen hat eine fehlende gesetzliche Regelung beim Tätigwerden von Landesbehörden?
Nach dem insoweit eindeutigen Urteil des BVerfG bedarf die Online-Durchsuchung einer gesetzlichen Grundlage. In denjenigen Bundesländern ohne entsprechende Regelung ist ein Rückgriff auf den allein dem Bundeskriminalamt Befugnisse einräumenden § 20k BKAG nicht zulässig, so dass hier eine Online-Durchsuchung als rechtswidrig anzusehen wäre.
5. Welche Verhaltensweisen sind durch § 20k BKAG erlaubt? Dürfen alle möglichen Daten (auch verschlüsselte) erhoben und übermittelt werden?
In § 20k Abs. 2 BKAG werden technische Vorgaben zum Schutz des infiltrierten Systems sowie der eingesetzten Software und der erlangten Daten statuiert. Einzelheiten zur Art und Weise der Infiltration eines auszuforschenden Systems enthält das Gesetz dagegen nicht. Danach besteht grundsätzlich keine Mittelbeschränkung, so dass auch mit Bundestrojanern (verschlüsselte) Daten untersucht werden können.
Nach § 20k Abs. 7 BKAG sind jedoch Maßnahmen unzulässig, soweit tatsächliche Anhaltspunkte dafür bestehen, dass allein „Erkenntnisse aus dem Kernbereich privater Lebensgestaltung“ erlangt würden. Falls dennoch solche Daten erhoben werden, sind diese – in einem zweiten Schritt – unverzüglich zu löschen. Demnach dürfte wohl eine umfassende audiovisuelle Überwachung von Geschäftsräumen zulässig sein, da hier regelmäßig keine intimen Daten erhoben werden. Für Privaträume gilt dies nicht, wenn auch selten „allein“ private Daten aufgezeichnet werden bzw. der Nachweis hierüber schwierig sein dürfte. Denn Fälle, in denen ausschließlich Kernbereichsdaten aufgenommen werden, dürften praktisch nicht vorkommen. Aus diesem Grund kann diese Regelung auch als mit den verfassungsrechtlichen Vorgaben – nach denen eine Datenerhebung bei Berührung des Kernbereichs privater Lebensgestaltung unzulässig ist – unvereinbar gehalten werden.
6. Was ist der Unterschied zwischen der nach herrschender Meinung erlaubten Quellen-Telekommunikationsüberwachung (Quellen-TKÜ) und einer Online-Durchsuchung mittels Bundestrojanern?
Bei der Quellen-TKÜ wird auf dem zu überwachenden Computer ein Programm installiert, das (nur) die Kommunikation vor Verschlüsselung der Daten mitschneidet und an die Ermittlungsbehörde übermittelt. Beim Einsatz von Bundestrojanern werden auch weitere Daten erhoben und übermittelt, sowie weitere Funktionen auf dem zu überwachenden Computer installiert. Der Einsatz von Quellen-TKÜ kann regelmäßig auf § 100a StPO gestützt werden und ist daher auch als Mittel zur Strafverfolgung zulässig.
Christian Solmecke
