Der Bundesgerichtshof hat erst kürzlich eine interessante Entscheidung veröffentlicht, die bereits vom 23. März 2010 stammt. Unter dem Aktenzeichen StB 7/10 erklärte der 3. Strafsenat (in Dreierbesetzung) die weitere Überwachung eines Internet-Zugangs für unzulässig, weil nicht erfolgversprechend und damit unverhältnismäßig: Die Ermittler hatten bereits zwei Monate aufgrund eines früheren Beschlusses des Senats gelauscht, ohne brauchbare Ergebnisse zu erzielen – und zwar am Anschluss eines Nachbarn, der vom Beschuldigten lediglich mitbenutzt wurde.
Soweit, so gut – aus rechtsstaatlicher Sicht ist in jedem Falle zu begrüßen, dass der BGH hier den Verhältnismäßigkeitsgrundsatz und die Grundrechte des unverdächtigen Nachbarn (Art. 10 GG) stark macht und sich nicht davon irritieren lässt, dass schwerste Vorwürfe (§§ 129a, 129b StGB) im Raum stehen: Der Beschuldigte wird immerhin verdächtigt, Admin eines Internet-Forums zu sein, auf dem islamistische Hass-Propaganda verbreitet wird – und bekanntlich spricht vieles dafür, dass sich immer wieder Attentäter davon zu ihren Untaten motivieren lassen.
Bemerkenswert sind aber vor allem die Details: Die Ermittler wollten den Datenverkehr mitschneiden, um herauszufinden, ob der Beschuldigte selbst derlei in ein Forum einstellt. Das ist ihnen jedoch nicht gelungen, denn der Beschuldigte hatte seinen Datenverkehr “verschlüsselt”. Wie genau, ist dem Beschluss nicht zu entnehmen, allerdings kann man aus den Einzelheiten einige Schlüsse ziehen: Teilweise konnten die Ermittler immerhin herausfinden, welche WWW-Adressen aufgerufen wurden, nicht aber den Inhalt – dies lässt auf den Einsatz von HTTPS ohne weitere Schutzmaßnahmen schließen. Teilweise waren aber auch die aufgerufenen Adressen nicht mehr zu ermitteln. Das könnte auf Anonymisierungsdienste wie TOR oder auch den Einsatz eines VPN hindeuten.
In jedem Falle ist aber interessant, dass aufgrund der “Verschlüsselung” auch die Generalbundesanwaltschaft (vermutlich gemeinsam mit dem BKA) nicht in der Lage war, unmittelbare Beweise zu gewinnen. Daher lehnte der 3. Strafsenat die weitere Überwachung – wie bereits der Ermittlungsrichter des BGH – ab und verwarf das gegen den ablehnenden Beschluss des Ermittlungsrichters gerichtete Rechtsmittel der Generalbundesanwaltschaft.
Der Fall lässt mich allerdings zweifeln, wie begründet die Hoffnung ist, die Vorratsdatenspeicherung (VDS) von IP-Adressen könne Nennenswertes zur Terror-Bekämpfung beitragen. Wenn die Ermittler nicht einmal vorankommen, wenn sie schon am richtigen Draht lauschen, weil der mutmaßliche Djihadist genau weiß, wie er sich den Fahndern entzieht – wie wahrscheinlich ist es dann, dass “Terroristen” im Falle einer neuerlichen VDS keine quasi-anonymen IPs zu nutzen wüssten, sodass die Ermittlungen selbst mit Vorratsdaten ins Leere laufen würden? Die Möglichkeiten, sich mit quasi-anonymen IPs im Netz zu bewegen, sind bekanntlich vielfältig; im Zweifel reicht ein offenes WLAN oder das Internet-Café an der Ecke.
Vielleicht sollten die Apologeten der Vorratsdatenspeicherung zugeben, dass ihr Lieblingsspielzeug allenfalls dazu taugen mag, virtuelle Eierdiebe (etwa eBay-Betrüger oder Filesharer) zu jagen. Das klingt zwar nicht so spektakulär wie “Terroristen” oder “Kinderschänder”. Es hätte aber einen ganz eigenen Charme: es wäre zumindest ehrlich.
Twitter
Facebook
email
Print
Digg
del.icio.us
Yahoo! Buzz
Google Bookmarks
Nanu? War da etwa die Wohnungstür zu stabil, um einen Keylogger istallieren zu können?
@bk
nanana … für Keylogger gibt’s bisher keine Rechtsgrundlage, jedenfalls nicht bei Vorwürfen nach §§ 129a, 129b StGB – also würde doch die GBA sowas niemals einsetzen, wo denken Sie hin!
Technische Frage: Kann bei SSL-verschlüsselten Verbindungen der Domainname der übertragenen Seite festgestellt werden oder nur die IP-Adresse?
BTW: Mit “Webwasher” hatte Siemens auch schon Mal die Technik im Angebot über untergeschobene SSL-Zertifikate man-in-the-middle-Attacken durchzuführen. Das klappt aber nicht, wenn der Nutzer und der Admin keine groben Fehler machen.
@Torsten: Nur die IP-Adresse. Je nach Server ist unter der IP-Adresse aber entweder nur ein oder aber mehrere Hostnamen gehostet; in ersterem Fall gibt es eine 1:1-Zuordnung, die man aber auch erstmal erraten muß, wenn für die IP-Adresse nicht der entsprechende Reverse-Lookup eingerichtet ist. Im anderen Fall (‘shared ssl certs’) ist man der Dumme und müßte den Serverbetreiber um dessen Logs angehen.
Andreas Krey: Danke.
Apropos Webwasher: Der Man-in-the-middle funktioniert zwar nicht, wenn man ‘nur’ die Ressourcen von Siemens hat. Für einen Geheimdienst sollte es aber nicht allzuschwer sein, sich die Schlüssel für irgendeines der hunderten von Rootzertifikaten, die in den Browsern per Default installiert sind, zu beschaffen. Und dagegen hat auch der wiefe Admin keine Möglichkeit mehr. (Im übrigen wird das in Firmen gelegentlich umgekehrt gemacht: Der Browser bekommt ein Zertifikat der Firma, und der gesamte SSL-Verkehr wird aufgemacht und gegen die Blacklist und sonstiges Zeug getestet wie normales HTTP.
Das SSL-Sicherheitsmodell ist ein wenig schwach, ich wüßte nicht, daß Browser derzeit warnen, wenn sich Site-Zertifikate ändern und insbesondere dabei plötzlich eine andere Zertifizierungsstelle benutzen.
Das bei SSL nur die IP-Adresse gesehen werden kann, stimmt zwar, aber im Fall einer DLS-Vollausleitung, um dies es anscheinend ging, hat man auch Zugriff auf den weiteren Traffic, insbesondere auch zeitlich korrellierende DNS-Abfragen. Bei Shared SSL Certs kann man sich auch das Zertifikat ansehen und schauen, welche Hostnamen drin stehen. Insbesondere DNS ist für die Vertrauklichkeit von Verbindungen oft ein Knackpunkt. Dies betrifft bei schlechter Konfiguration ggf. auch Anonymisierungsdienst und VPN.
Ein Lösungsansatz mit vorhandener Technik wird zum Beispiel in https://www.privacyfoundation.de/wiki/SSL-DNS diskutiert.
Etwas besorgniserregend im Urteil finde ich die Ausführung, dass die häufige Verwendung eines Verschlüsselungsprogramms bedeute, dass man sich damit in konspirativer Weise im Internet bewege. Da fand ich http://www.heise.de/newsticker/meldung/BGH-Verschluesselung-von-E-Mails-begruendet-keinen-dringenden-Tatverdacht-191088.html besser.
Bei der VDS gehts un die Bewegungsprofile und der Speicherung des sozialen Umfelds, dass den Geheimdiensten offengelegt werden soll.
So lassen sich alle Teilnehmer einer Demo (z.B. gegen S21) durch eine einzige Abfrage feststellen und speichern. Die Konsequenzen betreffen dann die Menschen, die z.B. noch vom Staat eingestellt werden wollen, oder eine Sicherheitsüberprüfung brauchen, weil sie in sicherheitsrelevanten Bereichen arbeiten…
Wo kann man hier Dreckfühler, äh Druckfehler korrigieren?
@Andreas Krey:
Für Firefox gibt es immerhin einige schöne Add-Ons, z.B.:
https://addons.mozilla.org/de/firefox/addon/certificate-patrol/
Interessant klingt auch:
https://www.networknotary.org/
Dabei gleicht man quasi das bekommene Zertifikat mit dem ab, was andere Rechner auf der Welt bekommen.
Bei SNI ( http://de.wikipedia.org/wiki/Server_Name_Indication ) wird da der virtuelle Hostname nicht auch im Klartext übertragen?