Bestandsdatenauskunft

All posts tagged Bestandsdatenauskunft

Der Bundesrat wird Anfang Mai über ein Gesetz zur Auskunft über „Bestandsdaten“, also über IP-Adressen, PINs und Passwörter, abstimmen. Weil Auskunft schon wegen Bagatelldelikten und präventiv erteilt werden soll, sind Bundesweite Demonstrationen am 14.04.2013 / 27.04.2013 geplant. Für Proteste sorgt insbesondere der beabsichtigte Zugriff auf Passwörter („Meine Passwörter gehören mir!“). Leider ist dem Gesetzestext nicht klar zu entnehmen, welche Dienste erfasst sein sollen.

  1. Eindeutig heraus verlangt werden können vom Anbieter vergebene Handy-PINs und PUKs sowie Passwörter zu E-Mail-Konten bei Anbietern wie GMX, web.de oder GMail.
  2. Nach Ansicht des Rechtsausschusses des Bundesrats sind aber auch Internet-Speicherdienste „wie Dropbox, Google Drive etc.“ erfasst. Tatsächlich verpflichtet das Gesetz zur Herausgabe von „Daten, mittels derer der Zugriff auf … Speichereinrichtungen … geschützt wird“. Ich meine, dass Internet-Speicherdienste nicht von der Bestandsdatenauskunft erfasst sind, weil sie keinen Telekommunikationsdienst darstellen. Der Bundesrat – und möglicherweise auch die Praxis – ist da offensichtlich aber anderer Meinung, so dass Zugriffe auf Speicherdienste zu befürchten sind. Auch der Rechtsausschuss des Bundestags spricht von „Zugriffsmöglichkeiten auf Cloud-Dienste ohne das Endgerät“.
  3. Ob Passwörter zu Sozialen Netzwerken wie Facebook oder Microbloggingdiensten wie Twitter erfasst sein sollen, ist unklar. Chat-Dienste werden wohl als Telekommunikationsdienste angesehen. Das Unabhängige Landesdatenschutzzentrum meint, das „Versenden von privaten Nachrichten und … Chatten in öffentlichen und geschlossenen Nutzergruppen“ über Facebook sei als Telekommunikationsdienst anzusehen, so dass eine Bestandsdatenauskunft über Facebook-Passwörter eingeholt werden könnte. Nach dieser Wertung wäre wohl auch Twitter als Dienst zum „Chatten in öffentlichen … Nutzergruppen“ anzusehen.

Das Bestandsdatengesetz droht also genutzt zu werden, um Passwörter zu den folgenden Internetdiensten herauszuverlangen:

  • E-Mail-Postfächer
  • Speicherdienste zum Hochladen von Daten, Fotos usw.
  • Chatdienste
  • Soziale Netzwerke wie Facebook
  • Twitter

Mach mit bei den Bundesweiten Demonstrationen am 14.04.2013 / 27.04.2013!

Dieser Artikel gibt die persönliche Meinung des Autors Patrick Breyer wieder und stellt keine Stellungnahme des Arbeitskreis Vorratsdatenspeicherung dar.

 

Nach Vorratsdatenspeicherung, Online-Durchsuchung und Internetzensur hat der Bundestag heute zum nächsten Schlag gegen die Freiheit des Internets ausgeholt: FDP, CDU/CSU und SPD wollen eine automatisierte Schnittstelle einführen, über die Polizei und Geheimdiensten Internetnutzer ohne richterliche Anordnung identifizieren und ihr Surfverhalten personalisiert auswerten sollen. So drohen unschuldige Internetnutzer ins Fadenkreuz polizeilicher Beobachtung und Ermittlungen zu geraten. Selbst Passwörter zu E-Mail-Postfächern und Internet-Speicherdiensten (Cloud) sollen Geheimdienste ohne richterliche Anordnung anfordern können.

Dieses Gesetz einer großen Überwachungskoalition ist nicht nur inakzeptabel, sondern auch verfassungswidrig. Das sage ich als derjenige, auf dessen Verfassungsbeschwerde das rot-grüne Überwachungsgesetz von 2004 für verfassungswidrig erklärt worden ist.

Ich rufe alle Internetnutzer auf, ihre Innenminister zum Stopp dieses Überwachungsplans im Bundesrat aufzurufen (Kontaktdaten hier)! Insbesondere ist zu fordern, dass Bestandsdaten allenfalls mit richterlicher Anordnung und zur Aufklärung schwerer Straftaten oder zur Abwehr von Gefahren für wichtige Rechtsgüter herausgegeben werden dürfen. Ein Zugriff durch Geheimdienste ist in jedem Fall abzulehnen, ebenso wie die Herausgabe von Zugriffscodes wie PINs und Passwörtern.

Sollten Proteste nicht helfen, werde ich erneut das Bundesverfassungsgericht einschalten müssen. Das wird aber Jahre dauern und nur ein Mindestmaß an Grundrechtsschutz durchsetzen. Politischer Protest ist daher das Mittel der Wahl.

Mit einem FDP-nahen Juristen habe ich die in meinem letzten Blogpost aufgezählten Verfassungsverstöße näher diskutiert und erläutert (seine Argumente sind auf grauem Hintergrund gedruckt):

Nach der vernichtenden Sachverständigenanhörung zum Gesetzentwurf haben die Fraktionen der CDU/CSU, der FDP und der SPD Änderungen beantragt. Diese sind jedoch völlig ungenügend. Passwörter und PINs dürfen in weitem Umfang ohne richterliche Anordnung angefordert werden (in Eilfällen, bei Geheimdiensten, bei Beschlagnahmen), Internetnutzer dürfen sogar stets ohne richterliche Prüfung identifiziert werden.

1. Es soll weiterhin eine elektronische Schnittstelle zur vereinfachten Abfrage von Kommunikationsdaten eingeführt werden.

Das gibt es bereits in § 111 TKG und wurde im Urteil des
Bundesverfassungsgerichts ausdrücklich erlaubt.

Es gibt bisher eine Schnittstelle nur für Name, Anschrift, Geburtsdatum und statischer Rufnummer; nur das hält das BVerfG für verfassungskonform. Künftig soll es eine Schnittstelle auch für dynamische IP-Adressen, Passwörter, elektronische Adressbücher, Kontoverbindungen und alle sonstigen Bestandsdaten geben. Das ist verfassungswidrig:
<http://wiki.vorratsdatenspeicherung.de/Bestandsdaten-StN#Abs._5:_Unverh.C3.A4ltnism.C3.A4.C3.9Fige_Abrufschnittstelle>

2. Bundeskriminalamt und Zollkriminalamt sollen in weitem Umfang Zugriff auf Kommunikationsdaten erhalten, wo Eingriffe in das Fernmeldegeheimnis bisher nicht gestattet sind (z.B. als Zentralstelle, zum Personenschutz).

Alle Behörden, die jetzt in dem Gesetz genannt werden, konnten schon vorher auf die Daten zugreifen.

Das ändert nichts an dem Vorwurf: „Bundeskriminalamt und Zollkriminalamt sollen in weitem Umfang Zugriff auf Kommunikationsdaten erhalten, wo Eingriffe in das Fernmeldegeheimnis bisher nicht gestattet sind (z.B. als Zentralstelle, zum Personenschutz).“

1. Es fehlt bereits die verfassungsrechtlich gebotene abschließende Bestimmung, welche Vorschriften einen Zugriff auf Kommunikationsdaten erlauben sollen (einfachgesetzliches Zitiergebot).

Mit der vom BVerfG geforderten Doppeltür (Für Abruf und
Auskunftserteilung müssen damit korrespondierende Rechtsgrundlagen bestehen) ist dem ausreichend Rechnung getragen

Nein:
<http://wiki.vorratsdatenspeicherung.de/Bestandsdaten-StN#Unklarer_und_unkontrollierter_Zugriff_auf_Zugangssicherungscodes_.28PINs.2C_Passw.C3.B6rter.29>

2. Entgegen den Vorgaben des Bundesverfassungsgerichts sollen
Zugriffe auf Kommunikationsdaten durch Polizeibehörden nicht beschränkt werden auf Fälle konkreter Gefahr oder des Verdachts
einer Ordnungswidrigkeit oder Straftat. Entgegen den Vorgaben des Bundesverfassungsgerichts soll die Identifizierung von Internetnutzern selbst zur Ermittlung geringfügiger Ordnungswidrigkeiten zugelassen werden.

Der neue Gesetzestext heißt jetzt „Die Auskunft darf nur erteilt werden, soweit eine in Absatz 3 genannte Stelle dies im Einzelfall in Textform zum Zweck der Verfolgung von Straftaten oder Ordnungswidrigkeiten, zur Abwehr von Gefahren für die öffentliche Sicherheit oder Ordnung oder für die Erfüllung der gesetzlichen Aufgaben der in Abs. 3 Ziff. 3 genannten Stellen unter Berufung auf eine gesetzliche Bestimmung verlangt, die ihr eine Erhebung der in Absatz 1 in Bezug genommenen Daten erlaubt.“ Damit ist genau die oben stehende Forderung erfüllt.

Das BKA, Geheimdienste und andere Behörden sollen Auskunft über TK-Daten allgemein „zur Wahrnehmung ihrer Aufgaben“ verlangen dürfen, die Aufgaben erfassen nicht nur die Abwehr konkreter Gefahren. Dass Auskünfte nach § 113 TKG n.F. nur zur Gefahrenabwehr erteilt werden dürfen, läuft leer, weil für den Anbieter nicht überprüfbar. „Dabei ist dafür Sorge zu tragen, dass jedes Auskunftsverlangen durch eine verantwortliche Fachkraft auf Einhaltung der in Absatz 2 genannten /formalen Voraussetzungen/ geprüft und die weitere Bearbeitung des Verlangens erst nach einem positiven Prüfergebnis freigegeben wird.“ Die materiellen Voraussetzungen prüft der Anbieter nicht.

Der Bezug auf Ordnungswidrigkeiten wurde im Urteil des BVerfG ausdrücklich zugelassen, solange eben ein Anfangsverdacht oder konkrete Gefahr besteht. Siehe dazu Randnummer 175 bis 177 im Urteil.

Falsch:
<http://wiki.vorratsdatenspeicherung.de/Bestandsdaten-StN#Ordnungswidrigkeiten>

3. Entgegen den Vorgaben des Bundesverfassungsgerichts soll die
Identifizierung von Internetnutzern durch Geheimdienste keine tatsächlichen Anhaltspunkte für das Vorliegen einer konkreten Gefahr voraussetzen.

Doch, da es in § 113 TKG, also der allgemeinen Norm vor der Klammer, so eingefügt wurde. Wenn der erste Teil der Doppeltür eine konkrete Gefahr oder einen Anfangsverdacht fordert, gilt das für das gesamte Verfahren.

Auch § 113 TKG n.F. fordert im Fall der Geheimdienste nur ein Auskunftersuchen „für die Erfüllung der gesetzlichen Aufgaben der in Absatz 3 Nummer 3 genannten Stellen“. Zu den gesetzlichen Aufgaben der Geheimdienste zählt nicht nur die Abwehr konkreter Gefahren, für die tatsächliche Anhaltspunkte vorliegen. Also wieder klar verfassungswidrig.

4. Es ist unklar und nicht kontrollierbar, unter welchen Voraussetzungen Anbieter Zugriffscodes wie Mailbox-PINs oder E-Mail-Passwörter an Staatsbehörden herausgeben dürfen.

Siehe
<http://wiki.vorratsdatenspeicherung.de/Bestandsdaten-StN#Unklarer_und_unkontrollierter_Zugriff_auf_Zugangssicherungscodes_.28PINs.2C_Passw.C3.B6rter.29>

5. Der Bund will Anbietern verbieten, ihre Kunden von Datenabfragen zu benachrichtigen, selbst wo die Länder Stillschweigen nicht anordnen (z.B. bei Suizidgefahr oder Vermissten).

Die nachträgliche Berichtigung wurde ausdrücklich aufgenommen

Benachrichtigung ist nur für IP-Auskünfte und Passwortanforderungen vorgesehen, nicht für sonstige Bestandsdatenauskünfte. Richtig bleibt die Kritik: „Der Bund will Anbietern verbieten, ihre Kunden von Datenabfragen zu benachrichtigen, selbst wo die Länder Stillschweigen nicht anordnen (z.B. bei Suizidgefahr oder Vermissten).“ Das ist verfassungswidrig:
<http://wiki.vorratsdatenspeicherung.de/Bestandsdaten-StN#Abs._3_und_4:_Mangelnde_Bundeskompetenz>

6. Den Datenzugriff durch eine elektronische Schnittstelle weiter zu erleichtern, ist unverhältnismäßig und verfassungswidrig.

<http://wiki.vorratsdatenspeicherung.de/Bestandsdaten-StN#Abs._5:_Unverh.C3.A4ltnism.C3.A4.C3.9Fige_Abrufschnittstelle>

Dieser Beitrag gibt die persönliche Meinung des Autors wieder und muss nicht der Meinung des Arbeitskreises Vorratsdatenspeicherung entsprechen.

Der Bericht des britischen Telekommunikationsüberwachungsbeauftragten für das Jahr 2011 zeigt, wie fehleranfällig Telekommunikationsdaten sind, welche existenziellen Folgen dies haben kann und wie wichtig es ist, solche Daten möglichst zu vermeiden.

494.078 Anfragen nach Telekommunikationsdaten durch britische Polizei- und Strafverfolgungsbehörden wurden gestellt, davon 230.000 nach Verkehrsdaten und 340.000 nach Bestandsdaten (teils wurden beide Datentypen angefragt). Die Zahl der „extensiven“ Anfragen von Geheimdiensten wird nicht offengelegt.

895 Anfragen im Jahr 2011 wurden falsch oder rechtswidrig beantwortet (im Schnitt zwei Auskünfte pro Tag). Häufige Ursache falscher Auskünfte sind Tippfehler bei der Angabe von Telefonnummern oder IP-Adressen. Im Einzelnen werden folgende Fehlerquellen genannt:

  • 582mal fragte die Behörde nach der falschen Rufnummer oder IP-Adresse, nach einem falschen Zeitpunkt oder einem anderen als den gewünschten Datentyp,
  • 94mal erteilten Telekommunikationsanbieter trotz richtigen Auskunftsersuchens Auskunft über eine falsche Rufnummer oder IP-Adresse, eine falsche Uhrzeit, einen anderen als den gewünschten Datentyp (z.B. Verbindungsdaten statt Bestandsdaten) oder mehr Daten als angefordert,
  • 76mal wurden Auskünfte angefordert, ohne dass sie von einem Prüfbeamten autorisiert worden waren.

Nicht immer werden falsche Auskünfte noch rechtzeitig bemerkt. In zwei Fällen (alleine im Jahr 2011) verhaftete die britische Polizei Menschen zu Unrecht, nachdem Telekommunikationsanbieter falsche Auskünfte erteilt hatten!

Der Beauftragte hat weitere Fälle von Rechtsverstößen festgestellt:

  • Ein Prüfbeamte hat eine Blankovollmacht für die Anforderung von Kommunikationsdaten ausgestellt.
  • Eine Behörde forderte Kommunikationsdaten ohne erneute Genehmigung des Prüfbeamten nach.
  • Einer Reihe von Behörden waren die gesetzlichen Vorschriften über die Anforderung von Kommunikationsdaten nicht einmal bekannt.
  • In einer Behörde handelte eine Person zugleich als Antragsteller, Prüfbeamter und Kontaktstelle, obwohl das Gesetz drei unterschiedliche Personen erfordert.
  • Eine Behörde forderte Verkehrsdaten an, obwohl sie dazu nach dem Gesetz nicht berechtigt war. Der Anbieter bemerkte dies nicht und gab die Daten heraus.
  • In einem Fall wurden Kommunikationsdaten angefordert, um einem Schüler nachzuweisen, dass er nicht im Schulbezirk wohnhaft sei und die Schule daher nicht besuchen dürfe. Da „Schulerschleichung“ keine Straftat ist, war dies rechtswidrig.

Und in Deutschland? Hierzulande führen die 17 Datenschutzbeauftragten leider keine vergleichbar systematischen Kontrollen durch, und das Gesetz schreibt auch keine Abruf- und Fehlerstatistiken vor. Ein schwerer Mangel!

Dieser Beitrag gibt die persönliche Meinung des Autors Patrick Breyer wieder und ist kein offizielles Statement des Arbeitskreises Vorratsdatenspeicherung.