Verdeckter Eingriff in informationstechnische Systeme: Staatstrojaner im BKA-Gesetz

Obwohl in der politischen Diskussion betont wird, dass mit dem neuen BKA-Gesetz besser gegen „Gefährder“ vorgegangen werden soll, findet sich im Gesetzentwurf keine einheitliche Definition. Dafür gibt es neue Überwachungsbefugnisse, inklusive Spionagesoftware. Wir haben uns den Gesetzentwurf und den Umgang mit höchstpersönlichen Daten darin angesehen.

Nicht mehr nur mit Zettel und Stift unterwegs: die deutsche Polizei. Bild: Klaus Nahr, CC BY-SA 2.0.

Ein beträchtlicher neuer Datenhaufen soll beim Bundeskriminalamt (BKA) entstehen, wenn es nach Bundesinnenminister Thomas de Maizière geht. Polizeien des Bundes und der Länder sind künftig gehalten, Informationen beim BKA einzuspeisen, um sie zentral bei der Bundesbehörde zu speichern.

In Zukunft wird das BKA also die „Zentralstelle“ für das Zusammenführen von Daten aus Bund und Ländern, so steht es in § 29 des Entwurfes eines Gesetzes zur Neustrukturierung des Bundeskriminalamtgesetzes (pdf). Im Rahmen des polizeilichen Informationsverbundes sollen die Behörden voneinander Informationen zum Abruf nutzen können sowie Ausschreibungen im Schengener Informationssystem bereitgestellt werden.

Es müssen nun Regeln dafür her, wer diesen neuen Datenberg kontrolliert und prüft, wer sich um die Einhaltung der Löschpflichten oder um Auskunftsersuchen kümmert und wer eigentlich darauf unter welchen Bedingungen zugreift. Welche konkreten Daten in den Verbund einfließen, soll mit den Ländern und der Bundesbeauftragten für den Datenschutz abgestimmt werden. Sie ist auch diejenige, die mindestens alle zwei Jahre Kontrollen durchführt. Grundsätzlich aber gilt, dass die dateneingebende Stelle maßgeblich ist, wenn es um Benachrichtigungen, Löschung oder Auskünfte geht.

biometrischer sensor
Biometrischer Sensor. Bild: ETC-USC, CC BY 2.0.

Näheres zu den geplanten Informationssystemen über „Verurteilte, Beschuldigte, Tatverdächtige und sonstige Anlasspersonen“ regelt das Bundesinnenministerium (BMI) allerdings durch eine Rechtsverordnung. Sie liegt bisher nicht vor und bedarf der Zustimmung des Bundesrates. Klar ist aber bereits, dass neben den eine Person typischerweise identifizierenden Informationen auch „personenbezogene Daten, die bei der Durchführung erkennungsdienstlicher Maßnahmen erhoben worden sind“, also auch biometrische Daten, umfasst sind.

Das offenkundige Behördenversagen im Fall des Anschlags auf den Berliner Weihnachtsmarkt durch Anis Amri, das bisher noch nicht aufgeklärt und erst recht nicht aufgearbeitet ist, könnte für de Maizières Pläne noch Veränderungen nach sich ziehen. Immerhin gab Bundesjustizminister und Sozialdemokrat Heiko Maas Fehler der Behörden zu und versprach einen Bericht von allen beteiligten Behörden.

Derzeit ist das Inkrafttreten des Gesetzes für den 25. Mai 2018 geplant.

Sogenannte Gefährder

Besonderes Augenmerk liegt auf den sogenannten Gefährdern, die unter polizeiliche Beobachtung gestellt, direkt angesprochen und gezielten Kontrollen unterworfen werden sollen. Auch ist geplant, „Bewegungsbilder von den identifizierten Gefährdern zu erstellen, um Zusammenhänge und Querverbindungen zu den bislang nicht bekannten zusammenwirkenden Gefährdern herzustellen“ (S. 153).

Das BKA soll also von Gefährdern auf weitere Gefährder schließen. Auch wenn schon das Wort nach Gefahr klingt und zudem vermutlich viele Menschen rassistische Stereotype vor Augen haben, so werden diesen Personen keine konkreten Taten unterstellt oder gegen sie wegen zurückliegender Verbrechen ermittelt, sondern man glaubt, sie könnten in Zukunft gefährlich werden.

Wann aber jemand als ein solcher Gefährder eingestuft wird, ist bisher gar nicht einheitlich definiert oder anhand konkreter Kritierien festgelegt und kann daher von Bundesland zu Bundesland schwanken. Innenminister de Maizière äußerte bei der Pressekonferenz am Mittwoch vorvoriger Woche nur, dass er hoffe, alle sechzehn Bundesländer könnten „einheitliche Regeln“ finden. Die konkrete Entscheidung, wer als Gefährder klassifiziert wird, liegt „bei der zuständigen Polizeibehörde des Bundes und der Länder“ (S. 147). Von einer einheitlichen Definition ist im Gesetzentwurf nichts zu finden.

Weitere Überwachungsbefugnisse

Aber der erste Entwurf eines Gesetzes zur Neustrukturierung des Bundeskriminalamtgesetzes (pdf) enthält mehr als nur die Problematik der Gefährder sowie den Umriss der Datenneustrukturierung, der neben Verdächtigen auch Zeugen und andere Kontaktpersonen betreffen wird.

Dem BKA werden bei Ermittlungen auch weitere Besondere Mittel der Datenerhebung (in § 45) erlaubt. Dazu gehören längerfristige Observationen, heimliche Ton- und Bildaufnahmen bei Gesprächen außerhalb von Wohnungen, technische Mittel zur Bestimmung des Aufenthaltsortes eines Menschen mitsamt der elektronischen Aufenthaltsüberwachung (GPS-Sender) sowie der Einsatz von verdeckten Ermittlern und Vertrauenspersonen (V-Männer und -Frauen).

Auch ein Datenaustausch mit Geheimdiensten ist erlaubt und damit das Trennungsgebot durchbrochen. „Projektbezogene gemeinsame Daten“ nach § 17 werden mit vielen Geheimdiensten möglich: Mit den Verfassungsschutzbehörden des Bundes und der Länder, mit dem Militärischen Abschirmdienst, mit dem Bundesnachrichtendienst und mit dem Zollkriminalamt soll das BKA eine gemeinsame Datei errichten dürfen.

Vorgesehen ist weiterhin das heimliche Spionieren mit Staatstrojanern. Aus dem Urteil aus Karlsruhe vom April letzten Jahres (1 BvR 966/09) ergeben sich einige neue Vorgaben für all diese Befugnisse, auch für den Einsatz der Spionagesoftware: Schließlich binden die Entscheidungen des Bundesverfassungsgerichts den Gesetzgeber.

Staatstrojaner gegen internationalen Terrorismus

Wer wird also die Spionagesoftware unter welchen Umständen einsetzen und wer den Bauplan des Trojaners zu Gesicht bekommen?

Der Staatstrojaner ist in § 49 des Entwurfes geregelt (S. 50ff.) und auf Ermittlungen in Fällen der Abwehr von internationalem Terrorismus beschränkt. Ob Kosten und Nutzen der Spionagesoftware miteinander in Einklang stehen, ist umstritten. Denn auf viel Praxiserfahrung kann BKA-Präsident Holger Münch nicht zurückblicken. Nach seinen Angaben im Rahmen der Anhörung vor dem Bundesverfassungsgericht gab es seit 2009 erst fünf Fälle eines Staatstrojanereinsatzes: eine heimliche Festplattendurchsuchung eines Computers und vier Versuche, per Spionagesoftware Kommunikation abzuhören. Da aber Münch gerade ernsthaft das Zeitalter des Terror 4.0 ausgerufen hat, sollte zumindest nicht mit einer verbalen Abrüstung zu rechnen sein.

Bei der Abwehr von Gefahren des internationalen Terrorismus soll das BKA nach § 6 dann tätig werden, wenn:

  • 1. eine länderübergreifende Gefahr vorliegt,
  • 2. die Zuständigkeit einer Landespolizeibehörde nicht erkennbar ist oder
  • 3. die oberste Landesbehörde um eine Übernahme ersucht.
staatstrojaner
Symbolbild Staatstrojaner.

Im Amtsdeutsch heißt der Staatstrojaner „verdeckter Eingriff in informationstechnische Systeme“ und ist dem BKA dann erlaubt, wenn eine Gefahr für Leib, Leben oder Freiheit einer Person oder solche Güter der Allgemeinheit vorliegt, deren Bedrohung die Grundlagen oder den Bestand des Bundes oder eines Landes oder die Grundlagen der Existenz der Menschen berührt.

Da solche Gefahren aber in der Praxis wahrscheinlich für einen Staatstrojanereinsatz selten in Frage kommen, da er bei heute typischen technischen Gegebenheiten etwas vorbereitenden Vorlauf braucht, gibt es weitere Möglichkeiten des Einsatzes. Wenn nämlich …

… bestimmte Tatsachen die Annahme rechtfertigen, dass innerhalb eines übersehbaren Zeitraums auf eine zumindest ihrer Art nach konkretisierte Weise eine Schädigung der […] genannten Rechtsgüter eintritt
oder
das individuelle Verhalten einer Person die konkrete Wahrscheinlichkeit begründet, dass sie innerhalb eines übersehbaren Zeitraums die […] genannten Rechtsgüter schädigen wird, …

… dann darf die Spionagesoftware auch verwendet werden, sofern sie erforderlich und die Aufgabenerfüllung „ansonsten aussichtslos oder wesentlich erschwert“ wäre.

Ein Gericht soll den Staatstrojanereinsatz jeweils für maximal drei Monate anordnen, wenn der BKA-Chef (oder seine Vertretung) einen entsprechenden schriftlichen Antrag stellt. Darin muss auch eine „möglichst genaue Bezeichnung des informationstechnischen Systems“ enthalten sein.

rueckgaengig
„Fehler beim Konfigurieren der Windows-Updates. Änderungen werden zurückgenommen. Schalten Sie Ihren Computer nicht ab.“ Bild: Kenno McDonnell, CC BY-NC-ND 2.0.

Dafür sind zusätzlich mehrere technische Bedingungen vorgesehen. Es muss sichergestellt werden, dass …

… 1. an dem informationstechnischen System nur Veränderungen vorgenommen werden, die für die Datenerhebung unerlässlich sind, und
2. die vorgenommenen Veränderungen bei Beendigung der Maßnahme soweit technisch möglich automatisiert rückgängig gemacht werden.

Für den Staatstrojaner wird außerdem vorgesehen, dass er nach dem „Stand der Technik gegen unbefugte Nutzung zu schützen“ ist. Die aus dem Computer ausgeleiteten Daten sind ebenfalls nach dem „Stand der Technik gegen Veränderung, unbefugte Löschung und unbefugte Kenntnisnahme zu schützen“.

Ob und wer das prüfen, also den Quelltext der Spionagesoftware kontrollieren und einsehen darf, regelt der Gesetzentwurf allerdings nicht.

Umgang mit höchstpersönlichen Daten

Letztlich hat man sich für die Lösung ganz an der äußeren Grenze des vom Karlsruher Urteil noch Erlaubten entschieden, was den Schutz der höchstpersönlichen Sphäre der Überwachten angeht. Denn nur, wenn gar nichts anderes als beispielsweise intime Foto- oder Filmaufnahmen oder Telefonsex zu erwarten sind, muss der Staatstrojaner außen vor bleiben. Sollte beispielsweise eine (nicht zwingend vorgeschriebene) Kernbereichsprognose ergeben, dass zwar Höchstpersönliches regelmäßig mit Hilfe des informationstechnischen Systems gespeichert oder ausgetauscht wird, ist das kein Hinderungsgrund. Im Amtsdeutsch liest sich das so:

Liegen tatsächliche Anhaltspunkte für die Annahme vor, dass durch die Maßnahme allein Erkenntnisse aus dem Kernbereich privater Lebensgestaltung erlangt würden, ist die Maßnahme unzulässig.

Das wichtige Wort ist hier allein, denn wenn auch andere Erkenntnisse hinzukommen, bleibt der Staatstrojaner zulässig. Das ist ein rein theoretischer Fall, der sich vielleicht so konstruieren ließe, dass jemand ein spezielles Mobiltelefon ausschließlich für Aufzeichnungen von Telefonsex oder nur mit Tagebucheinträgen verwendet. Praktisch aber ist der eigentlich absolut zu schützende Kernbereich eines Menschen nun kein großes Hindernis mehr.

Dennoch soll der Versuch unternommen werden, höchstpersönliche Daten nicht absichtlich zu erheben – „soweit möglich“ mit technischer Hilfe. Wenn es aber doch geschieht oder die Vermutung besteht, soll das anordnende Gericht entscheiden, ob die Daten verwertet oder gelöscht werden. Dazu ist ein weitere Verletzung der Intimsphäre des Betroffenen natürlich unvermeidbar, denn um die Unterscheidung zu treffen, ob Höchstpersönliches ausgeleitet wurde oder nicht, muss das Gericht und damit die konkreten Juristen ja Einblick nehmen. Und zwar sofort:

Das Gericht entscheidet unverzüglich über die Verwertbarkeit oder Löschung. Daten, die den Kernbereich privater Lebensgestaltung betreffen, dürfen nicht verwertet werden und sind unverzüglich zu löschen.

Die eigene Bewertung des BMI dazu, wie gut Höchstpersönliches geschützt ist, fällt erwartungsgemäß positiv aus. Das Ministerium bewertet die Pläne als …

… eine Stärkung des Kernbereichsschutzes während und nach der Datenerhebung durch erweiterte richterliche Kontrollbefugnisse. (S. 92)

Damit aber ein etwaiges Eindringen in die Intimsphäre nicht spurlos gelöscht wird, muss der Vorfall aufgezeichnet und mit bestimmten Fristen aufbewahrt werden:

Die Tatsachen der Erfassung der Daten und der Löschung sind zu dokumentieren. Die Dokumentation darf ausschließlich für Zwecke der Datenschutzkontrolle verwendet werden.

Prinzipiell ist bei verdeckten und anderen Maßnahmen, die stark in Grundrechte der Betroffenen eingreifen, eine Protokollierung vorgeschrieben.

Der „andere“ Staatstrojaner

Ein zweiter Staatstrojaner, der früher als sogenannte „Quellen-Telekommunikationsüberwachung“ bezeichnet wurde, wird in § 51 geregelt. Hier geht es um das Abhören von Telekommunikation mit Hilfe einer Spionagesoftware zur Umgehung von Verschlüsselungsmaßnahmen, die heimlich direkt auf dem System installiert wird.

Die Regelungen für den Kernbereich der privaten Lebensgestaltung bei diesem Staatstrojaner, der nicht den gesamten Inhalt des informationstechnischen Systems durchsuchen, sondern eben konkret und ausschließlich Telekommunikation überwachen soll, weichen erheblich von den beschriebenen Schutzmaßnahmen ab und werden in einem weiteren Artikel betrachtet.

Offenlegung: Ich war als Sachverständige beim Beschwerdeverfahren gehen das BKA-Gesetz beteiligt und bin Mitautorin einer Stellungnahme (pdf) zum Staatstrojaner. Vielen Dank an Kai für die Mitarbeit!

Deine Spende für digitale Freiheitsrechte

Wir berichten über aktuelle netzpolitische Entwicklungen, decken Skandale auf und stoßen Debatten an. Dabei sind wir vollkommen unabhängig. Denn unser Kampf für digitale Freiheitsrechte finanziert sich zu fast 100 Prozent aus den Spenden unserer Leser:innen.

13 Ergänzungen

    1. Du glaubst im Ernst, das unterschiedliche Parteinamen, -farben auch unterschiedliche politische Haltungen / Einstellungen bedeutet?
      Amüsant! :-)

    2. Kanzler Schulz wird dem Gesetz sicher nicht zustimmen und unser Bundespräsident Steinmeier wird sicher nicht seine Unterschrift für ein solches Gesetz her geben!

      (Wer Ironie findet)

        1. Deswegen ja der zarte Hinweis auf die Ironie!
          Kanzler Schulz mit Freude zustimmen, sichert dieses Gesetz doch seinen Arbeitsplatz!
          Präsident Steinmeier wird aus den selben Gründen ebenfalls Unterzeichen!

  1. Um zu zeigen, dass der Staatstrojaner in Zukunft wesentlich häufiger eingesetzt werden soll, braucht man gar nicht den Umweg über die ständige Einschüchterung der Bevölkerung durch Polizei und Politik („Terror 4.0“) zu gehen. In der Begründung des Gesetzentwurfs wird das ganz trocken angekündigt: „Auch im Bereich der informationstechnischen Überwachung ist in den kommenden Jahren mit einer deutlichen Zunahme von Maßnahmen zu rechnen.“

  2. „Verurteilte, Beschuldigte, Tatverdächtige und sonstige Anlasspersonen“ – aha. Diese „sonstige Anlasspersonen“ sind vermutlich die „sogenannten Gefährder“.
    Was für eine absurd-willkürliche Kategorie das ist, zeigt sich wunderbar an obiger Aufzählung. Hat nichts getan, steht nicht im konkreten Verdacht, etwas zu tun, aber man meint, er könnte irgendwie irgendwann mal was tun.

    Das widerspricht einer normenklaren Gesetzgebung und der Unschuldsvermutung auf so fundamentaler Ebene, dass ich nicht begreifen kann, wie sich dieses Konstrukt durchsetzen konnte und Anwendung findet.
    Es ist ja noch nicht einmal irgendwie einheitlich definiert, was u. U. daran liegen könnte, dass sich hier keine vernünftige Definition hinkriegen lässt.
    Es geht halt um Menschen, die einem aus schwammigen Bauchgefühlgründen suspekt erscheinen.
    Dass das selbstverständlich kein Grund für irgendeine Form repressiver Maßnahmen sein kann, ist vermutlich sowieso allen Beteiligten klar, aber es ist halt so entspannend, wenn man nicht immer erst echte Anhaltspunkte braucht, um jemanden zu belästigen.

    1. Ein Freibrief.
      Mögliche Anlässe könnten sein: Konfession, Hauptfarbe, Herkunftsland, Freundes- und Familienkreis. Warum nicht gleich bei Einreise einen Chip implantieren? Und wer nichts zu verbergen hat, kann auch freiwillig der Fußfessel zustimmen.
      Wie gut das funktioniert sieht man ja in Frankreich.

  3. Und wie wäre mit diesem Gesetz nun der Anschlag in Berlin verhindert worden?
    Oder wird hier wieder im Windschatten des Unsicherheitsgefühls ein von langer Hand geplantes Gesetze durchgewunken?

    Zum Kernbereich privater Lebensführung ist noch anzumerken: Bei einer TKÜ ist es bereits vorgekommen, dass eine Telefon-Sex-Session komplett mitgeschnitten und transkribiert wurde. Natürlich trug dieses Gespräch nicht zur Aufklärun irgendeiner Straftat bei.
    Die Beamten hatte aber sicher ihren Spaß.

    1. So wie der Anschlag in Berlin verhindert wurde!
      Man wusste wer er war, was er vor hatte und überließ die Opfer ihrem Schicksal!
      Hätte ja auch sein können, das er den Polen nicht tötet, um an den LKW zu kommen, oder?

  4. Danke für die Analyse. Was offen bleibt: Was ist denn gleich und was ist anders im Vergleich zum Staatstrojaner im alten BKA-Gesetz?

Dieser Artikel ist älter als ein Jahr, daher sind die Ergänzungen geschlossen.