Quellen-TKÜ – ein kleines Einmaleins (nicht nur) für Ermittlungsrichter

Im Rahmen der Diskussion um die vom CCC enttarnten „Staatstrojaner“ taucht immer wieder das Schlagwort „Quellen-TKÜ“ auf. Ich habe dazu am Dienstag im Küchenradio einige Hintergründe erläutert; Thomas Stadler hat die Sach- und Rechtslage in seinem Blog ebenfalls sehr klar zusammengefasst.

Was heißt aber das nun konkret für den Richter oder Staatsanwalt, der mit der Frage konfrontiert ist, ob er eine solche Maßnahme beantragen oder anordnen soll Dies hat besondere praktische Relevanz auch vor dem Hintergrund, dass die Humanistische Union bereits angedeutet hat, dass Strafverfahren gegen alle diejenigen einzuleiten sein werden, die sich an solchen Eingriffen in Zukunft beteiligen sollten.

Hinweis: Dieser Text kann als “Buermeyer http://ijure.org/wp/archives/756″ dauerhaft zitiert werden; ich werde nach der Veröffentlichung keine inhaltlichen Änderungen mehr vornehmen. Etwaige Updates werden eine neue URL („Internet-Adresse“) bekommen.

Aus meiner Sicht sind folgende Prüfungsschritte zu beachten:

1. Prüfungsebene: Rechtsgrundlage?

Die „Quellen-TKÜ“ wird nicht selten als besonderer Fall der „klassischen“ Telekommunikationsüberwachung dargestellt. Aus technischer Sicht allerdings handelt es sich um denselben Eingriff wie bei einer Online-Durchsuchung: Sowohl bei der Quellen-TKÜ als auch bei weitergehenden Maßnahmen wird staatlich veranlasst eine Überwachungssoftware („Trojaner“) auf dem Zielsystem aufgespielt, sodass dessen Integrität verletzt wird.

Der Unterschied liegt allein in der Art der Daten, die bei einer Quellen-TKÜ erhoben werden dürfen – wohlgemerkt nicht: erhoben werden können! Denn ist das Zielsystem einmal infiltriert, sind Erhebungen, die über das bloße Abhören von Telefonie hinausreichen, nur noch ein Frage des Nachladens von Modulen – das hat der CCC in seiner Analyse des „Staatstrojaners“ eindrucksvoll dargelegt.

Dies führt bei der Frage nach einer möglichen Rechtsgrundlage für eine Quellen-TKÜ per Trojaner zu zwei gedanklichen Prüfungsschritten, wobei man bei beiden bereits zur Unzulässigkeit gelangen kann:

a) spezifische Ermächtigungsgrundlage?

Da es bei der Quellen-TKÜ um die Überwachung von Telekommunikation geht, liegt auf den ersten Blick der Rückgriff auf § 100a StPO sowie die verfahrensrechtliche Begleitnorm des § 100b StPO nahe. Allerdings können diese Normen lediglich Eingriffe in die Telekommunikationsfreiheit (Art. 10 Abs. 1 GG) rechtfertigen, nicht aber in die Integrität und Vertraulichkeit informationstechnischer Systeme – dies ergibt sich eindeutig aus der Entscheidung des Bundesverfassungsgerichts zur Online-Durchsuchung und wird auch soweit ersichtlich nicht bestritten.

In der derselben Entscheidung hat das Bundesverfassungsgericht aber weiter ausgeführt, dass nur dann überhaupt eine Quellen-TKÜ – und keine Online-Durchsuchung – vorliegt,

„wenn sich die Überwachung ausschließlich auf Daten aus einem laufenden Telekommunikationsvorgang beschränkt. Dies muss durch technische Vorkehrungen und rechtliche Vorgaben sichergestellt sein.”

Aus der vom BVerfG aufgestellten Forderung nach rechtlichen Vorgaben wird in der Rechtswissenschaft nahezu einhellig abgeleitet (siehe etwa Albrecht in JurPC; Buermeyer/Bäcker HRRS 2009 S. 433; Becker/Meinicke StV 2011, 50 jeweils mit zahlreichen weiteren Nachweisen), dass für eine Quellen-TKÜ eine spezielle und gesetzliche Regelung nötig wäre, die genau diese rechtlichen Vorgaben enthält.

Da § 100a StPO und § 100b StPO mit keinem Wort auf die Besonderheiten der Quellen-TKÜ eingehen und insbesondere keine Schutzmaßnahmen regeln, um die Begrenzung auf Telekommunikation durch „technische Vorkehrungen“ sicherzustellen, verbietet sich ein Rückgriff auf diese Normen nach meiner Ansicht schon auf dieser ersten Prüfungsstufe. Wenn einzelne Richter dies anders sehen, so liegt darin eine Selbstermächtigung der Justiz, die bereits im Interview mit Netzpolitik.org als höchst fragwürdig kritisiert wurde.

b) „Annexkompetenz“

Einzelne, aber durchaus einflussreiche Richter haben demgegenüber vertreten (etwa im “Meyer-Goßner”), dass gerade keine spezifische gesetzliche Grundlage für die Quellen-TKÜ notwendig sei: Die Ermächtigung, den Zielcomputer mit einem Trojaner zu infiltrieren, sei gleichsam als unerhebliche Begleiterscheinung einer Telekommunikationsüberwachung auch auf der Grundlage der §§ 100a, 100b StPO möglich, die sonst eigentlich nur zu TKÜ-Maßnahmen durch Provider ermächtigen.

Das Stichwort lautet hier „Annex-Kompetenz“: Wenn der Richter auf dieser Grundlage eine TKÜ anordnen dürfe, dann sei es unproblematisch, als „kleines Anhängsel“ zur TKÜ auch grünes Licht für einen Trojaner-Einsatz zu geben.

So zweifelhaft diese Ansicht immer schon war, so haltlos ist sie nun, da der CCC aufgedeckt hat, welche dramatischen Folgen der Trojaner-Einsatz für die Privatsphäre des Betroffenen, aber auch für die Datensicherheit des Zielsystems hat. Eine normale TKÜ und eine Quellen-TKÜ sind – bei aller Namensähnlichkeit – im Hinblick auf die Schwere der Eingriffe in die Rechte des Betroffenen, aber auch aufgrund der mit einem Trojaner stets verbundenen Risiken schlicht nicht zu vergleichen. Fast schon prophetisch mutet die Warnung des Bundesverfassungsgerichts in der Online-Durchsuchungs-Entscheidung an, wo es bereits 2008 ausgeführt hat (Randnummer 188 und 189):

“Wird ein komplexes informationstechnisches System zum Zweck der Telekommunikationsüberwachung technisch infiltriert (“Quellen-Telekommunikations­überwachung”), so ist mit der Infiltration die entscheidende Hürde genommen, um das System insgesamt auszuspähen. Die dadurch bedingte Gefährdung geht weit über die hinaus, die mit einer bloßen Überwachung der laufenden Telekommunikation verbunden ist. Insbesondere können auch die auf dem Personalcomputer abgelegten Daten zur Kenntnis genommen werden, die keinen Bezug zu einer telekommunikativen Nutzung des Systems aufweisen.

Nach Auskunft der in der mündlichen Verhandlung angehörten sachkundigen Auskunftspersonen kann es im Übrigen dazu kommen, dass im Anschluss an die Infiltration Daten ohne Bezug zur laufenden Telekommunikation erhoben werden, auch wenn dies nicht beabsichtigt ist. In der Folge besteht für den Betroffenen – anders als in der Regel bei der herkömmlichen netzbasierten Telekommunikations­überwachung – stets das Risiko, dass über die Inhalte und Umstände der Telekommunikation hinaus weitere persönlichkeitsrelevante Informationen erhoben werden.“

Dem wäre – eigentlich – nichts hinzuzufügen. Umso weniger mag mir einleuchten, wie man die überaus heikle Infiltration des Zielsystems zur verfassungsrechtlich unerheblichen Annexmaßnahme zur TKÜ herunterdefinieren kann.

c) Fazit

Nach der hier vertretenen Ansicht fehlt es damit schon an einer tauglichen Ermächtigungsgrundlage für eine Quellen-TKÜ per Trojaner.

2. Prüfungsebene: Verhältnismäßigkeit?

Wer gleichwohl auf §§ 100a, 100b StPO zurückgreifen will, der muss als Richter oder Staatsanwalt von Amts wegen die Verhältnismäßigkeit der Telekommunikationsüberwachung prüfen. Diese Prüfung umfasst auch die Wahl der technischen Mittel und damit insbesondere die Frage, ob nicht andere, weniger einschneidende Möglichkeiten zur TKÜ zur Verfügung stehen.

Naheliegend ist hier insbesondere die Möglichkeit, mit dem jeweiligen Provider zusammenzuarbeiten: Ebenso wie eine „normale“ TKÜ durch eine Anweisung z.B. an die Deutsche Telekom umgesetzt wird, so könnte sich die Polizei auf der Grundlage eines „normalen“ TKÜ-Beschlusses etwa an die Betreiberfirma von Skype wenden, um dort einen bestimmten Anschluss bzw. Benutzernamen überwachen zu lassen. Ob diese Möglichkeit konkret besteht, ist zwar nicht zu 100% sicher – Skype gibt dazu offiziell keine Stellungnahme ab. Andererseits fördert eine Google-Suche nach „skype lawful interception“ eine Vielzahl von Treffern zutage, die diese Möglichkeit nahelegen. Thomas Stadler verweist ebenfalls auf diese Möglichkeit, die in den Datenschutzbedingungen von Skype ausdrücklich erwähnt ist. Österreichische Behörden wollen über diese Möglichkeit verfügen. Auch auf Heise.de wurde bereits über diese Möglichkeit berichtet.

Skype aber ist ein auch in Luxemburg – also der EU – ansässiges Unternehmen und damit problemlos zu erreichen. Aus der Sicht des Richters oder Staatsanwalts betrachtet kann dies nur bedeuten, dass unter Verhältnismäßigkeitsgesichtspunkten zunächst als milderes Mittel gegenüber einer Quellen-TKÜ zu versuchen ist, eine klassische TKÜ unter Einschaltung des Providers – etwa Skype – umzusetzen. Dies ist zum einen der in § 100b Abs. 3 StPO gesetzlich vorgesehene Weg; zum anderen ist dies – weil es auf den erheblichen Eingriff in das Zielsystem per Trojaner verzichtet – auch aus verfassungsrechtlicher Perspektive der mildere Eingriff. Erst wenn eindeutig feststeht und auch aktenkundig ist, dass – beispielsweise – Skype eine richterliche Genehmigung zur TKÜ gleichwohl nicht umsetzt, dürfen weitere Schritte überhaupt in den Blick genommen werden.

In der Praxis bedeutet dies, dass ein „primäres“ Ansinnen, eine Quellen-TKÜ einzuleiten, von Staatsanwaltschaft und Ermittlungsrichter zurückzuweisen wäre. Vielmehr ist – sofern die Voraussetzungen im Übrigen vorliegen – eine „normale“ TKÜ zu beantragen oder anzuordnen, ggf. gegenüber dem jeweiligen Voice-over-IP-Betreiber. Erst falls diese Maßnahme nachweislich gescheitert ist, mag auf einer weiteren Eskalationsstufe an das Infiltrieren eines Rechners zu denken sein.

3. Prüfungsebene: technische Umsetzung

Gesetzt den Fall, es stehe fest, dass tatsächlich keine andere technische Lösung zur Verfügung steht, und unter der weiteren Voraussetzung, dass man §§ 100a, 100b StPO als Rechtsgrundlage heranziehen will, so stellt sich schließlich die komplexe Frage, wie die Vorgaben des Verfassungsgerichts zur Begrenzung einer Quellen-TKÜ praktisch umzusetzen sind (nochmals in den Worten des BVerfG):

Art. 10 Abs. 1 GG ist hingegen der alleinige grundrechtliche Maßstab für die Beurteilung einer Ermächtigung zu einer “Quellen-Telekommunikationsüberwachung”, wenn sich die Überwachung ausschließlich auf Daten aus einem laufenden Telekommunikationsvorgang beschränkt. Dies muss durch technische Vorkehrungen und rechtliche Vorgaben sichergestellt sein.”

Das allerdings ist keine belanglose Formalie: An dieser Begrenzung hängt verfassungsrechtlich die ganze Konstruktion der Quellen-TKÜ. Scheitert die Begrenzung, so wird stattdessen eine illegale Online-Durchsuchung durchgeführt und das Grundrecht auf Integrität und Vertraulichkeit des selbstgenutzten informationstechnischen Systems (“Computer-Grundrecht”) verletzt. Richter und Staatsanwalt müssen daher alles in ihrer Macht Stehende tun, um dies wirksam zu kontrollieren. Auf Zusicherungen der Polizei alleine wird man hier keinesfalls vertrauen können, zumal nicht sicher ist, ob die Behörden ihrerseits von den jeweiligen Herstellern der Software vollständig und zutreffend informiert werden. Die vom CCC analysierten Fälle legen eher nahe, dass zumindest die Justiz, eventuell auch die Polizei selbst gar nicht wussten, welches „digitale Ungeziefer“ (FAZ) sie den Beschuldigten eigentlich auf die Festplatte spielen ließen. Für eine leidlich rechtsstaatliche Infiltration eines Zielsystems lassen sich daher folgende Mindestanforderungen formulieren:

• exakt die jeweils eingesetzte Software muss anhand von Quelltext & ausführbaren Dateien (“Binaries”) von einer unabhängigen Stelle analysiert worden sein
• diese Kontrolle muss im Einzelfall erfolgen und zweifelsfrei sicherstellen, dass exakt die jeweils eingesetzte Software den gesetzlichen Anforderungen genügt
• hierzu müssen sachverständige Stellungnahmen der Kontrollstelle im Einzelfall eingeholt werden und dem Richter bei der Entscheidungsfindung vorliegen, sodass er „Punkt für Punkt“ abhaken kann, ob alle Voraussetzungen eingehalten sind

4. Fazit

Jedenfalls im Rechtsstaat des Grundgesetzes ist eine Quellen-TKÜ nur unter größten Schwierigkeiten in verfassungsmäßiger Weise umzusetzen. Es liegt in der Verantwortung aller Richterinnen und Richter, Staatsanwältinnen und Staatsanwälte, sich zum Schutze unserer Verfassungsordnung aktiv dafür einzusetzen, dass die oben geschilderten Mindestanforderungen rechtlicher und technischer Art nicht „im Eifer des Gefechts“ hintangestellt werden.

Straftaten sind – leider – allgegenwärtig, so sehr wir uns auch für die Strafverfolgung engagieren. Rechtsbrüche seitens der Strafverfolgungsbehörden dürfen aber niemals hingenommen oder gar befördert werden. Sonst höhlen wir den Rechtsstaat aus, den wir doch gerade schützen wollen.