Internet-Law

Onlinerecht und Bürgerrechte 2.0

6.3.14

Polizei angeblich verbittert, weil sie Staatstrojaner nicht mehr einsetzen darf

Wie SPON berichtet, beklagt sich speziell das bayerische LKA darüber, dass es die als Staats- oder im  konkreten Fall Bayertrojaner bekannt gewordene Überwachungssoftware nicht mehr einsetzen kann und deshalb u.a. daran gehindert ist, Skype-Telefonate zu überwachen.

Verantwortlich dafür ist aber entgegen der Ansicht des LKA nicht der CCC, sondern das Landeskriminalamt selbst. Denn bekanntlich hatte man in München die Spähsoftware nicht nur für eine Quellen-TKÜ benutzt, sondern zur Durchführung einer offensichtlich rechtswidrigen Onlinedurchsuchung.

Warum aber auch eine Quellen-TKÜ nach geltendem Recht nicht zulässig ist – obwohl sie praktiziert und häufig auch von Gerichten genehmigt worden ist – habe ich in einem älteren Blogbeitrag dargestellt.

posted by Stadler at 11:55  

23.1.13

Generalbundesanwaltschaft hält Quellen-TKÜ für unzulässig

Über die Frage der rechtlichen Zulässigkeit der sog. Quellen-TKÜ – die auf die Überwachung der Internettelefonie abzielt – wird seit Jahren gestritten. Teile der Rechtsprechung halten sie für zulässig, weshalb sie auch immer wieder richterlich angeordnet wird. Nach der überwiegenden Ansicht der Rechtswissenschaft enthält die Strafprozessordnung aber derzeit keine ausreichende Rechtsgrundlage für die Anordnung einer Quellen-TKÜ. Vor einem Jahr habe ich diese Frage in einem Aufsatz für die Zeitschrift MMR untersucht.

Der Generalbundesanwalt hat bereits 2010 in einem Papier, das allerdings mit dem Vermerk “Nur für die Handakten” versehen war und jetzt veröffentlicht wurde, vermerkt, dass eine Anordnung einer Quellen-TKÜ aus Rechtsgründen nicht in Betracht kommt und man deshalb eine solche – entgegen der Anregung des BKA – seitens der Bundesanwaltschaft auch nicht beantragt.

posted by Stadler at 16:57  

17.1.13

BKA kauft wieder kommerzielle Trojanersoftware

Netzpolitik.org hat ein als “VS – nur für den Dienstgebrauch” eingestuftes Dokument des Bundesministeriums des Innern veröffentlicht, in dem über die Arbeit des beim BKA eingerichteten Kompetenzzentrums Informationstechnische Überwachung berichtet wird.

Aus dem Dokument ergibt sich u.a., dass eine eigenentwickelte Software für die sog. Quellen-TKÜ nach Einschätzung des BKA bis zum Jahr 2014 fertiggestellt werden kann. Bis dahin will man sich (weiterhin) am Markt mit kommerzieller Software eindecken, konkret mit einem Programm des Herstellers Elaman/Gamma.

Wie man immer wieder hört, sollen bei verschiedensten Behörden, insbesondere auch der Länder, noch andere Programme für eine Online-Durchsuchung / Quellen-TKÜ im Einsatz sein.

Dass für die sog. Quellen-TKÜ derzeit keine ausreichende Rechtsgrundlage vorhanden ist, wird von der Bundesregierung und vom Bundestag ganz offensichtlich hartnäckig ignoriert. Darüber hinaus hat der vom CCC öffentlich gemachte Fall eines Bayerntrojaners gezeigt, dass derartige Programme auch dazu geeignet sind, eine grundrechtswidrige Onlinedurchsuchung durchzuführen und die Behörden von dieser Funktionalität auch Gebrauch gemacht haben.

posted by Stadler at 10:45  

2.8.12

Prüfbericht des Bayerischen Datenschutzbeauftragten zur Quellen-TKÜ

Der bayerische Datenschutzbeauftragte hat seinen Prüfbericht zur Quellen-TKÜ und damit auch zum Einsatz des sog. Bayerntrojaners vorgelegt.

In rechtlicher Hinsicht teilt der Datenschutzbeauftragte die Rechtsansicht der Konferenz der Datenschutzbeauftragten, wonach die Strafprozessordnung weder für die Quellen-TKÜ noch für die Onlinedurchsuchung eine ausreichende Rechtsgrundlage vorsieht.

Was den Bereich der Quellen-TKÜ angeht, bringt der Datenschutzbeauftragte allerdings zum Ausdruck, dass er die anderslautende Rechtsauffassung der bayerischen Strafgerichte zu respektieren hat. Im Hinblick auf darüberhinausgehende Maßnahmen, macht der Datenschützer allerdings deutlich, dass er diese für klar rechtswidrig hält. Soweit die Software über die Funktion verfügt, über eine Softwareliste alle Namen der auf dem überwachten Rechner installierten Programme auszulesen, ist das nach Einschätzung des Datenschutzbeauftragten ebenso unzulässig wie die Anfertigung und Übermittlung von Browserscreenshots.

Ob die Politik aus dieser rechtlichen Einschätzung des Bayerischen Datenschutzbeauftragten Konsequenzen ziehen wird, bleibt abzuwarten. Vermutlich wird man aber in altbekannter Manier darauf setzen, sämtliche rechtlichen Bedenken zu ignorieren.

Warum die heimliche Installation von Überwachungssoftware nach geltendem Recht nicht zulässig ist, habe ich in einem älteren Beitrag erläutert.

posted by Stadler at 14:40  

15.3.12

Das Positionspapier des CSU-Netzrates

Wie einige andere auch, habe ich heute das Positionspapier des Netzrats der CSU gelesen und dort viele Positionen gefunden, die ich teile, die andererseits aber z.T. noch weit von der Mehrheitsmeinung der Union entfernt sind.

Man findet dort ein Plädoyer für ein bereits existierendes Grundrecht auf Internetnutzung, das mit einer Ablehnung von Netzsperren und einem Three-Strikes-Modell einhergeht.

Kritik am geplanten Leistungsschutzrecht für Verleger findet man in dem Papier ebenso wie eine kritische Haltung zu ACTA und eine zumindest zweifelnde zum Thema Vorratsdatenspeicherung.

Unter dem Strich ein durchaus beachtliches Papier, das auch den Willen zeigt, gegen die sicherlich noch überwiegenden Widerstände in der eigenen Partei anzukämpfen.

posted by Stadler at 22:32  

19.2.12

Bundesdatenschutzbeauftragter kritisiert Bundestrojaner deutlich

Der Bundesdatenschutzbeauftragte Peter Schaar hat den Einsatz einer Überwachungssoftware der Fa. DigiTask (“Bundestrojaner“) durch Bundesbehörden in seinem “Bericht gemäß § 26 Abs. 2 Bundesdatenschutzgesetz über Maßnahmen der Quellen-Telekommunikationsüberwachung bei den Sicherheitsbehörden des Bundes” erheblich beanstandet.

Für besonders interessant halte ich die Ausführungen Schaars im Hinblick auf die technischen Anforderungen an derartige Überwachungssysteme.

Bei der technischen Umsetzung sind laut Schaar aus rechtlichen Gründen eine Reihe technischer Maßnahmen durchzuführen, die weit über die Anforderungen an gängige Überwachungssoftware hinausgehen.

In dem Papier des Bundesbeauftragten heißt es u.a., dass Software für Maßnahmen der Quellen-TKÜ technisch nicht wie Schadsoftware, Viren, Spionageprogramme und Hackerprogramme funktionieren kann. Sie muss vielmehr die gesetzlichen Vorgaben und Standards des Datenschutzes und der IT-Sicherheit erfüllen. Hierzu gehören Maßnahmen zu Gewährleistung der Transparenz, Vertraulichkeit, Verfügbarkeit und Unversehrtheit, aber auch zu Revisionssicherheit und Löschbarkeit.

Schaar hält hierzu die Vorlage des Quellcodes und einer umfassenden Dokumentation für unerlässlich.

Außerdem müsse laut Schaar sichergestellt sein, dass die Daten auf dem Weg zur Sicherheitsbehörde nicht verändert oder verfälscht werden können, woraus sich strenge Anforderungen an die Daten- und Instanzauthentisierung ergeben. Da aufgrund verfassungsrechtlicher und gesetzlicher Vorgaben der Kernbereich privater Lebensgestaltung besonders geschützt ist, muss die für die Maßnahme eingesetzte Software außerdem in der Lage sein, nach der Speicherung der Informationen jederzeit eine gezielte Löschung kernbereichsrelevanter Inhalte durchzuführen.

Um eine Kontrolle durch den Betroffenen oder eine Datenschutzbehörde zu ermöglichen, ist eine Protokollierung der wichtigsten Rahmenbedingungen und zu den übermittelten Daten erforderlich. Schaar merkt außerdem an, dass in der Software keine Funktionen vorhanden sein dürfen, die über die gesetzlich vorgesehenen Überwachungsmaßnahmen hinaus gehen. Es müsse sichergestellt werden, dass keine über die Überwachung der laufenden Telekommunikation hinausgehende Überwachung stattfindet.

Schaar weist schließlich darauf hin, dass beim Bundestrojaner weder der Quellcode noch eine hinreichende Programmdokumentation vorliegt, weshalb die notwendige und vom BKA vorzunehmende Prüfung der Software, erst gar nicht möglich sei.

Der Bundesdatenschutzbeauftragte kommt insoweit zu dem Ergebnis,dass ein schwerwiegender Verstoß gegen die Regelungen des § 9 BDSG und § 20k BKAG vorliegt.

 

posted by Stadler at 12:11  

10.1.12

Zulässigkeit der heimlichen Installation von Überwachungssoftware

Unter dem Titel “Zulässigkeit der heimlichen Installation von Überwachungssoftware” ist gerade ein Aufsatz von mir in der Zeitschrift MultiMedia und Recht (MMR 2012, 18) erschienen, der nicht online verfügbar ist. Es wird dort der Frage nachgegangen, ob die sog. Quellen-TKÜ oder noch weitergehende Maßnahmen der Onlinedurchsuchung nach geltendem Recht zulässig sind.

Meine Thesen lauten zusammengefasst:

1. Die sog. Quellen-TKÜ ist zwar in rechtlicher Hinsicht eine Telefonüberwachung, stellt aber in technischer Hinsicht eine Onlinedurchsuchung dar, weil sie zwingend die heimliche Infiltration eines Computers mit einer Spähsoftware voraussetzt.

2. Dieses Spannungsverhältnis hat das BVerfG  in seiner Entscheidung zur Onlinedurschsuchung erkannt und versucht, eine verfahrensrechtliche Lösung zu finden. Diese setzt allerdings voraus, dass der Gesetzgeber tatsächlich in der Lage ist, die Gefahr, die die Installation eines Trojaners mit sich bringt dahingehend zu beherrschen, dass die Maßnahme trennscharf auf die Quellen-TKÜ begrenzt werden kann. Es stellt sich insoweit die Frage, ob die vom Bundesverfassungsgericht vorgenommene juristisch nachvollziehbare Differenzierung zwischen Onlinedurchsuchung und Quellen-TKÜ in technischer Hinsicht überhaupt praktikabel und zuverlässig möglich ist. Ist das nicht der Fall, dann wäre das Gericht von unzutreffenden tatsächlichen Annahmen ausgegangen. Das würde wiederum bedeuten, dass eine gesetzliche Regelung der Quellen-TKÜ nicht an den Vorschriften der TK-Überwachung, sondern vielmehr an den deutlich engeren Vorgaben einer Onlinedurchsuchung zu messen wäre.

3. Um die Anforderungen des BVerfG auch für die sog. Quellen-TKÜ zu erfüllen, muss der Gesetzgeber konkrete Vorgaben bzgl. der Funktionalität der einzusetzenden Software machen. Der Einsatz multifunktionaler Programme ist grundsätzlich problematisch, da bei solchen Programmen nie ausgeschlossen werden kann, dass im Einzelfall mehr gemacht wird als zulässig ist. Genau dies muss der Gesetzgeber aber verhindern. Erforderlich ist in jedem Fall eine ausreichende Qualitätssicherung und Überprüfung. Die derzeitige Praxis des Ankaufs von Computerprogrammen, bei denen die Behörden noch nicht einmal in Besitz des Quellcodes sind und die nach den Feststellungen des CCC auch erhebliche programmiertechnische Mängel aufweisen, entspricht nicht ansatzweise den Vorgaben des Verfassungsgerichts und ist zu unterbinden.

Fazit:
Die Quellen-TKÜ ist nach geltendem Recht nicht von der Vorschrift des § 100a StPO gedeckt. Es ist Aufgabe des Gesetzgebers eine spezifische gesetzliche Regelung zu schaffen, die die Vorgaben des Bundesverfassungsgerichts aus der Entscheidung zur Onlinedurchsuchung umsetzt und die insbesondere sicherstellt, dass Maßnahmen, die über eine Überwachung der Internettelefonie hinausreichen, ausgeschlossen sind. Die derzeitige Praxis des Einsatzes von multifunktionaler Software ist durch entsprechende gesetzliche Vorgaben zu verhindern.

Mit dem Themenkreis Staatstrojaner und Quellen-TKÜ setzen sich auch (erneut) Florian Albrecht und Sebastian Dienst in einem lesenswerten Aufsatz für JurPC auseinander. Die Autoren bezweifeln die technische Realisierbarkeit einer verfassungskonformen Quellen-TKÜ und sind darüber hinaus der Ansicht, dass auch die Regelung des § 20a BKA-G, die dem BKA eine Onlinedurchsuchung in engen Grenzen erlaubt, verfassungswidrig ist.

posted by Stadler at 17:16  

29.11.11

Update zum Bayerntrojaner

Die Grünen im bayerischen Landtag berichten über weitere Details zum Einsatz des sog. Bayerntrojaners. Interessant ist u.a., dass der Einsatz des Trojaners, insbesondere auch mit der Screenshot-Funktion, in mindestens einem Fall auch noch nach dem Beschluss des Landgerichts Landshut fortgesetzt worden ist.

Diese Form der Onlinedurchsuchung ist offensichtlich rechtswidrig. Ob die sog. Quellen-TKÜ – also die Überwachung der IP-Telefonie – zulässig ist, ist juristisch umstritten, aber nach richtiger Ansicht ebenfalls derzeit nicht mit den Vorgaben des BVerfG vereinbar.

Dass Bayern allein für die Softwarebeschaffung fast 400.000 EUR aufgewendet hat, ist ebenfalls äußerst instruktiv. Hier stellt sich dann auch die Frage, ob dieses Geld nicht besser in eine vernünftige IT-Ausstattung der Polizeibehörden gesteckt worden wäre, denn da liegt einiges im Argen.

Gegen die Weigerung der Staatsanwaltschaft München I gegen die Verantwortlichen des Trojanereinsatzes zu ermitteln, habe ich für die Piratenpartei Bayern übrigens zwischenzeitlich Sachaufsichtsbeschwerde zur Generalstaatsanwaltschaft München eingelegt.

posted by Stadler at 16:16  

16.11.11

Staatsanwaltschaft will wegen des Bayerntrojaners nicht ermitteln

Vor einigen Wochen habe ich für die Piratenpartei Bayern Strafanzeige gegen den bayerischen Innenminister, den LKA-Präsidenten sowie weitere Personen erstattet, die an der Anordnung und Durchführung des Einsatzes des sog. Bayerntrojaners beteiligt waren.

Die Staatsanwaltschaft beim Landgericht München I hat, im Ergebnis wenig überraschend, die Einleitung eines Ermittlungsverfahrens und damit auch einen Antrag auf Aufhebung der parlamentarischen Immunität des Ministers mit Verfügung vom 26.10.11 abgelehnt.

Zur Begründung führt die Staatsanwaltschaft im Wesentlichen aus, dass es mit Blick auf die Straftatbestände der §§ 202a und 202c StGB bereits an einer Tatbestandsmäßigkeit fehle, weil insbesondere auch unter Berücksichtigung einer Entscheidung des Landgerichts Landshut, ein gerichtlicher Beschluss nach § 100a StPO vorgelegen habe, der den Trojanereinsatz gerechtfertigt habe. Sowohl die Installation der Software, als auch die anschließende Ausleitung der Daten seien deshalb nicht tatbestandsmäßig.

Wörtlich heißt es in der Verfügung:

Denn die Installation der betreffenden Software erfolgte gerade nicht unter Überwindung einer besonderen Sicherung, sondern auf der Grundlage der vorgenannten Gerichtsbeschlüsse

Man sollte sich nochmals vor Augen führen, was u.a. in dem Landshuter Verfahren geschehen ist. Die Staatsanwaltschaft beantragt auf Betreiben des LKA eine richterliche Anordnung für eine sog. Quellen-TKÜ, also eine Überwachung der IP-Telefonie. Hierbei lässt man den Ermittlungsrichter bewusst im Unklaren darüber, dass die eingesetzte Software weit mehr kann und im konkreten Fall zusätzlich auch eine Onlinedurchsuchung durchführt, für die es evident keine Rechtsgrundlage gibt.

Anschließend beruft man sich zur Rechtfertigung der Onlinedurchsuchung auf den richterlichen Beschluss. Man belügt also zuerst den Ermittlungsrichter, um sich anschließend darauf berufen zu können, dass man ja nur auf Basis einer richterlichen Anordnung gehandelt habe.

Diese rabulistische Argumentation hat allerdings einen entscheidenden Schwachpunkt. Die richterliche Anordnung des Amtsgerichts Landshut hat sich zu keiner Zeit auf die Durchführung einer Onlinedurchsuchung (Browser-Screenshots) erstreckt, sondern war explizit auf eine Quellen-TKÜ beschränkt. In dem Beschluss des Amtsgerichts hieß es wörtlich:

Unzulässig sind die Durchsuchung eines Computers nach bestimmten auf diesem gespeicherten Daten sowie das Kopieren und Übertragen von Daten von einem Computer, die nicht die Telekommunikation des Beschuldigten über das Internet mittels Voice-over-IP betreffen

Der Ermittlungsrichter hatte also sogar ausdrücklich klargestellt, dass eine Übertragung von Daten vom Computer des Beschuldigten, die nicht die IP-Telefonie betreffen, unzulässig sind.

Hierüber haben sich die Behörden dann gezielt hinweggesetzt und eine Software installiert, die zehntausende von Browser-Screenshots an das LKA – und das noch dazu über den Umweg eines US-Servers – geschickt hat.

Davon, dass das LKA auf Grundlage einer richterlichen Gestattung tätig geworden wäre, kann bei dieser Sachlage wahrlich nicht die Rede sein.

Die Verfügung der Staatsanwaltschaft enthält des weiteren die bemerkenswerte Aussage, dass dahingestellt bleiben kann, ob die Einzelfallentscheidung des Landgerichts Landshut zur zusätzlichen Anfertigung von Screenshots allgemein übertragbar sei und deshalb von eine grundsätzliche Rechtswidrigkeit auszugehen sei. Denn obergerichtliche Rechtsprechung existiert, so die Staatsanwaltschaft, zu dieser Frage bislang jedenfalls noch nicht.

Diese Aussage ist erstaunlich, wenngleich sachlich und juristisch falsch. Zwischen der Entscheidung des Ermittlungsrichters und der des Landgerichts besteht kein Widerspruch. Der Ermittlungsrichter hatte eine Onlinedurchsuchung ausdrücklich verboten, das LKA hat dennoch eine durchgeführt. Das Landgericht hat anschließend lediglich festgestellt, dass die durchgeführte Onlinedurchsuchung rechtswidrig war.

Dass man die Einleitung eines Ermittlungsverfahrens deshalb ablehnt, weil noch keine obergerichtliche Entscheidung vorliegt, ist ein interessantes Novum.

Zu dieser Frage mag in der Tat keine obergerichtliche Rechtsprechung existieren, aber es existiert eine des Bundesverfassungsgerichts, die sehr klar darstellt unter welchen Voraussetzungen eine Onlinedurchsuchung überhaupt in Betracht kommt. Nachdem es in der Strafprozessordnung aber noch nicht einmal eine formelle Rechtsgrundlage für eine Onlinedurchsuchung gibt, ist eine solche nach einhelliger juristischer Ansicht unzulässig.

Wenn es also noch eines Beweises bedurft hat, dass die bayerischen Staatsanwaltschaften in bestimmten Fällen nach politischen Kriterien ermitteln, dann ist er spätestens jetzt erbracht. Oder um es mit Benjamin Franklin zu sagen: “Nur die Lüge braucht die Stütze der Staatsgewalt, die Wahrheit steht für sich alleine”.

Das Internet ist in der Tat gelegentlich ein rechtsfreier Raum und zwar dann, wenn es um die Ahndung rechtswidriger und strafbarer Ermittlungsmethoden geht.

Update:
Wegen der vielen Nachfragen noch eine ergänzende Bemerkung. Die Piratenpartei Bayern wird in den nächsten Tagen den (formlosen) Rechtsbehelf der Sachaufsichtsbeschwerde zur Generalstaatsanwaltschaft erheben. Mehr ist derzeit nicht möglich, da förmliche Rechtsbehelfe, wie ein Klageerzwingungsverfahren, nur einem Betroffenen zur Verfügung stehen. Nur wenn sich also ein Betroffener findet, auf dessen Rechner heimlich der Bayerntrojaner installiert worden ist, wird es möglich sein, die Verweigerungshaltung der Staatsanwaltschaft gerichtlich überprüfen zu lassen.

posted by Stadler at 09:27  

22.10.11

Innenminister Friedrich diskutiert auf Google+ über den Bundestrojaner

Bundesinnenminister Friedrich hat ein Profil auf Google Plus und diskutiert dort auch über den Trojaner. Der Account dürfte echt sein, nachdem er auch auf seiner Website verlinkt ist. Ob er selbst schreibt oder nur ein Mitarbeiter, ist eine andere Frage.

Aktuell wird dort über ein Interview Friedrichs mit der Mitteldeutschen Zeitung “Es geht nicht gegen den Bürger” diskutiert. Ich habe dort zusammen mit einigen anderen bereits kommentiert. Vielleicht wollt Ihr / wollen Sie ja auch noch einsteigen?

posted by Stadler at 22:14  
Nächste Seite »