Die Europäische Union will den Zugang von Polizei und Geheimdiensten auf die Server von Internetanbietern erleichtern. So steht es in einem Positionspapier der EU-Kommission zur Erlangung „elektronischer Beweismittel“, das heute und morgen auf dem Ratstreffen der europäischen Innen- und JustizministerInnen diskutiert wird. Es enthält Vorschläge zur Umsetzung der Ratsschlussfolgerungen zur „Verbesserung der Strafjustiz im Cyberspace“ vom Juni diesen Jahres. Zur Debatte steht, die Behörden zu Direktanfragen bei den Firmen zu ermächtigen.
Internationale Rechtshilfe oder Direktanfrage?
Dabei geht es vor allem um die Betreiber von Cloud-Diensten in den USA. Zwar gibt es bereits ein Rechtshilfeabkommen in Strafsachen zwischen der Europäischen Union und den USA, allerdings wird der Rechtsweg von europäischen ErmittlerInnen als zu umständlich und langwierig bewertet. Dies geht aus einem Fragebogen hervor, der von Behörden aus 24 Mitgliedstaaten beantwortet wurde. Dabei kam heraus, dass die ErmittlerInnen oft unterschiedliche Wege zur Erlangung der „elektronischen Beweismittel“ gehen.
Einige Behörden stellen ihre Anfragen lieber direkt bei den Providern. Nur sieben Regierungen sehen die Herausgabe durch die Anbieter als verpflichtend an, 14 Regierungen bewerten deren Antworten als freiwillig. Auch bei den Firmen herrscht oft Konfusion zur Frage, in welchem Fall Daten überhaupt herausgegeben werden müssen. In manchen Fällen reicht es ihnen aus, wenn die Behörden nachweisen, dass die IP-Adresse der Betroffenen aus dem ermittelnden Staat stammt. Andere Anbieter reagieren wiederum immer dann, solange die Adresse nicht in den USA auflöst.
Zur Bearbeitung der Direktanfragen existieren ebenfalls Unterschiede bei den Firmen, es scheint aber auch darauf anzukommen, welcher Staat eigentlich anfragt oder welche Angaben das mitgeschickte Formular zu den Datentypen enthält. Manchmal werden lediglich Personendaten der AccountinhaberInnen verlangt, in anderen Fällen Verkehrsdaten oder auch Inhaltsdaten. In einigen Mitgliedstaaten dürfen die Anträge von Polizeibehörden gestellt werden, in anderen müssen diese von der Staatsanwaltschaft kommen oder mit der Unterschrift eines Gerichts versehen sein.
Cybercrime-Konvention des Europarates wird aufgewertet
Um diesen Unklarheiten aus dem Weg zu gehen, verlangen einige Mitgliedstaaten die Daten lieber über bilaterale Vereinbarungen, das EU-Rechtshilfeabkommen oder die Cybercrime-Konvention des Europarates. Befinden sich die Dienste in der Europäischen Union, kann bald auch die neue Europäische Ermittlungsanordnung (EEA) genutzt werden, die jedoch als Richtlinie zunächst von den Mitgliedstaaten umgesetzt werden muss.
Allerdings steht noch eine juristische Klärung aus, ob die Richtlinie nur für Anbieter gilt, die ihren Sitz in der Europäischen Union haben oder nur deren Server dort betreiben. Die Kommission soll deshalb prüfen, ob der Geltungsbereich der Europäischen Ermittlungsanordnung dahingehend erweitert werden könnte, dass auch Betreiber darunter fallen, die zwar in einem Drittstaat ansässig sind, ihre Dienste jedoch in der Europäischen Union anbieten.
Gleichzeitig diskutiert der Europarat die Auslegung der Cybercrime-Konvention. Auch hier ist unklar, für welche Daten der Artikel 18 (Absatz 1 Buchstabe b) die Herausgabe bestimmt. Im Text heißt es, dass die zuständigen Behörden dafür sorgen müssen, dass „ein Diensteanbieter, der seine Dienste im Hoheitsgebiet der Vertragspartei anbietet, Bestandsdaten in Zusammenhang mit diesen Diensten, die sich in seinem Besitz oder unter seiner Kontrolle befinden, vorzulegen hat“. Die Mitglieder des Europarates sollen dazu jetzt ihre Positionen mitteilen, die dann im Cybercrime-Convention-Committee diskutiert werden.
Einige Behörden nutzen „Fernzugriff“
Als regelungsbedürftig sieht die Kommission außerdem die unterschiedlichen Befugnisse der Behörden in verschiedenen Ländern. Laut dem Fragebogen dürften manche ErmittlerInnen auch dann in der Cloud ermitteln, wenn der physische Ort der Server unbekannt ist. Andere Behörden seien sogar zum „Fernzugriff“ ermächtigt. Das Papier führt die entsprechenden Techniken nicht aus, vermutlich sind aber Trojaner-Programme gemeint. In acht der antwortenden Staaten sind derartige Ermittlungen nicht gestattet.
Zu den Vorschlägen der Kommission gehört die Einrichtung verbindlicher Kontaktstellen bei den Behörden der Mitgliedstaaten sowie bei den Internetdienstleistern. In Deutschland läuft der polizeiliche Rechtshilfeverkehr mit ausländischen Stellen über das Bundeskriminalamt. Zudem soll ein Internetportal errichtet werden, wo sich in einem ersten Schritt die Ermittlungsbehörden und Staatsanwaltschaften vernetzen und ihre Kontaktstellen hinterlegen. Später könnte die Plattform derart ausgebaut werden, dass über eine einmalige Suchanfrage Ersuchen bei mehreren Internetanbietern landen und sich die Behörden gegenseitig über bereits gestellte Herausgabeverlangen informieren. Das Portal wird nach gegenwärtigem Stand beim Europarat angesiedelt.
Gespräche mit Internetgiganten
Das Thema stand ferner auch auf der Agenda des halbjährlichen EU-US-Ministertreffens am Montag, zu dem die Regierung in Washington die Justizministerin und den Heimatschutzminister entsandte. Die Diskussion soll nun unter den „Praktikern“ weitergeführt weitergeführt werden. Gemeint sind die Ermittlungsbehörden und Staatsanwaltschaften, im Falle der Europäischen Union also Europol und die Agentur für die justizielle Zusammenarbeit Eurojust.
An einem ersten Workshop haben sich die Firmen Microsoft, Google, Apple, Twitter und Facebook beteiligt. Die weitere Arbeit wird dem neuen „Netzwerk der Justizbehörden und Experten im Bereich Cyberkriminalität“ (EJCN) übertragen, an dem aus Deutschland die Generalstaatsanwaltschaft Frankfurt am Main als Zentralstelle zur Bekämpfung der Internetkriminalität beteiligt ist. Das EJCN hat für die nächsten Wochen ein erstes Arbeitsprogramm angekündigt. Die Kommission stellt für die Arbeit zunächst eine Million Euro bereit, das Geld wird vermutlich für eine Studie zu den rechtlichen Möglichkeiten der Rechtshilfe beziehungsweise Direktanfragen aufgewendet. Im Juni sollen dann Ergebnisse präsentiert werden.
„EU Internet Forum“ diskutiert Austausch elektronischer Beweismittel
Am Rande des EU-Ministerratstreffens fand heute in Brüssel zudem das zweite „EU Internet Forum“ statt, zu dem die Kommission und Europol mehrere US-Internetanbieter eingeladen hat, darunter Twitter, Facebook und Google. Auch dort wird die Herausgabe „elektronischer Beweismittel“ diskutiert.
Zu den weiteren Themen gehören die Löschung von „terroristischen und extremistischen“ Postings und Accounts und der Ausbau einer gemeinsamen Meldeplattform, die als Uploadfilter für anstößige Inhalte fungiert. Facebook, Twitter, Microsoft und Youtube kündigten vor wenigen Tagen ihre Teilnahme an der gemeinsamen Datenbank an. Weitere könnten folgen, Europol und andere EU-Institutionen haben hierzu bereits Gespräche mit Google, Cloudflare, WordPress, Yahoo und Tumblr geführt.
Gesponsorte Tweets?
Erstmals kommt beim „EU Internet Forum“ zudem der Zugang von Polizei und Diensten zu verschlüsselten Inhalten auf die Tagesordnung. Hierzu hatten der deutsche und der französische Innenminister ein Positionspapier zirkuliert, das die zunehmende Verbreitung von Verschlüsselungssoftware problematisiert. Dabei steht vor allem Telegram im Fokus, da der Anbieter für die Zusammenarbeit mit den Behörden nicht erreichbar ist. Darauf hatte der EU-Koordinator für die Terrorismusbekämpfung vergangene Woche aufmerksam gemacht.
Schließlich wollen sich die Kommission und die Internetgiganten auch darauf einigen, nach einem terroristischen Anschlag in einem EU-Mitgliedstaat sofort mit „Gegenerzählungen“ in sozialen Netzwerken zu reagieren. Nach früheren Planungen könnten etwa Twitterer mit vielen Followern Tweets absetzen, die von dem Kurznachrichtendienst gesponsort würden.