Hessentrojaner: Landesregierung plant Ausweitung auf Alltagskriminalität

Die schwarz-grüne Landesregierung in Hessen ist weiter auf dem Weg, den Einsatz von Staatstrojanern im Bundesland zu erlauben. Letzte Woche verlautbarten die Grünen, dass man dem Landesverfassungsschutz das Hacken doch nicht erlauben will, dafür aber der Landespolizei. Damit dürfte das staatliche Eindringen in IT-Geräte noch viel öfter passieren als ursprünglich geplant, quasi bei Alltagskriminalität.

Die FDP-Fraktion im Bundestag hat unterdessen eine kleine Anfrage zu diesem Hessentrojaner gestellt. Wir haben jetzt die Antwort der Bundesregierung erhalten und veröffentlichen sie – wie gewohnt – in Volltext.

Die Essenz: Die Bundesregierung hat „keine Meinung“ zum hessischen Gesetz.

Die Liberalen fragen spezifisch zu den Knackpunkten jeder staatlichen Schadsoftware. Das sind einerseits potentielle Konflikte mit dem Grundgesetz. Immer wieder haben Juristen darauf hingewiesen, dass schon das Bundesgesetz zum Staatstrojaner wahrscheinlich verfassungswidrig ist, darunter die Bundesdatenschutzbeauftragte. Auch in Hessen lautet das Urteil fast aller Experten, das Gesetz sei verfassungswidrig und gefährlich.

Bundesregierung: „Keine Gefahr für IT-Sicherheit“

Das zweite Hauptproblem entsteht durch die staatliche Förderung von Sicherheitslücken, da sie diese ja ausnutzen wollen statt sie zu schließen. Im ersten Urteil zum Staatstrojaner hat das Bundesverfassungsgericht extra ein „Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme“ geschaffen. Der Staat hat demnach höchstrichterlich die Aufgabe, IT-Sicherheit zu gewährleisten – die Beteiligung am Markt für Sicherheitslücken bewirkt genau das Gegenteil. Die Bundesregierung aber sieht „keine Gefahr für die IT-Sicherheit des Bundes oder kritischer Infrastruktur“.

Der Liberale Jimmy Schulz, Vorsitzender des Ausschusses Digitale Agenda des Bundestages, kommentiert gegenüber netzpolitik.org:

Vor dem Hintergrund einer polarisierenden öffentlichen Debatte ist es unerklärlich, dass sich die Bundesregierung nicht mit dem Entwurf für ein neues Verfassungsschutzgesetz durch die hessische Landesregierung beschäftigt hat.

Wenn eine Landesgesetzgebung so weitreichende Konsequenzen für die Sicherheit der Bundesrepublik hat, ist es die Pflicht der Bundesregierung und des Deutschen Bundestages, sich des Themas anzunehmen.

Hier die Vorab-Antwort der Bundesregierung aus dem PDF befreit:

Update 31. Mai: Jetzt gibt es die Antwort auch als offizielle Drucksache.

Kleine Anfrage der Abgeordneten Jimmy Schulz u. a. und der Fraktion der FDP

Hessentrojaner und Online-Durchsuchung: Zum Gesetzesentwurf der hessischen Landesregierung zur Neuausrichtung des Verfassungsschutzes

BT-Drucksache 19/2064

Vorbemerkung der Fragesteller:

Mit dem Gesetzesentwurf zur Neuausrichtung des Verfassungsschutzes in Hessen (Hessischer Landtag, Drucksache 19/5412) plant die hessische Landesregierung eine Ausweitung der Befugnisse des Landesamtes für Verfassungsschutz. Insbesondere soll das LfV Hessen danach die Befugnis und Mittel erhalten, zur Informationsgewinnung Computersysteme zu hacken. Gerade der geplante Einsatz zur sog. „Quellen-Telekommunikationsüberwachung“ (Quellen-TKÜ) und zur „Online-Durchsuchung“ informationstechnischer Systeme wurde von verschiedenen Gruppierungen (Sachverständigenauskunft des FifF sowie die Stellungnahme des CCC) sowohl aus technischer als auch verfassungsrechtlicher Sicht kritisiert.

So weist bspw. der Chaos Computer Club (CCC) in seiner Stellungnahme zum vorliegenden Gesetzesentwurf darauf hin, dass ebenjener nicht die 2008 vom Bundesverfassungsgericht in einem Urteil festgelegten Bedingungen für den Einsatz von Staatstrojanern erfüllt: „Die heimliche Infiltration eines informationstechnischen Systems, mittels derer die Nutzung des Systems überwacht und seine Speichermedien ausgelesen werden können, ist verfassungsrechtlich nur zulässig, wenn tatsächliche Anhaltspunkte einer konkreten Gefahr für ein überragend wichtiges Rechtsgut bestehen“ (vgl. BVerfG, Urt. v. 27.2.2008 – 1 BvR 370/07, 1 BvR 595/07, 2. Leitsatz). Der CCC konstatiert, dass im vorliegenden Gesetzesentwurf diese Einschränkung in Bezug auf die Online-Durchsuchung nicht erfolgen würde. Außerdem erfolge noch nicht einmal eine Einschränkung auf Straftaten nach § 3 Abs. 1 des G10-Gesetzes.

Gerade aufgrund der polarisierenden öffentlichen Debatte, der Schwere eines solchen Eingriffs und den damit einhergehenden technischen Risiken, ist es nach Ansicht der Fragesteller notwendig, dass sich auch der Deutsche Bundestag und die Bundesregierung mit dieser Problematik beschäftigen.

Frage 1:

Hat die Bundesregierung Kenntnis von dem oben genannten Gesetzentwurf? Wenn ja, hat die Bundesregierung sich hierzu eine Meinung gebildet, insbesondere dazu, ob die §§ 6 ff. des Gesetzentwurfs

1. die Vorgaben des BVerfG, insbesondere die im oben genannten Urteil des BVerfG sowie der Entscheidung zum BKA-Gesetz (Urteil v. 20.4.2016, 1 BvR 966/09 und 1 BvR 1140/09) aufgestellten Bedingungen für die Infiltration informationstechnischer Systeme – sowohl zum Zwecke der Online-Durchsuchung als auch der Quellen-Telekommunikationsüberwachung – erfüllen?
2. einen ausreichenden Schutz des Kernbereichs privater Lebensgestaltung enthalten?
3. das zu kompromittierende informationstechnische System ausreichend klar definieren, damit insbesondere sichergestellt ist, dass ein Zugriff auf ein System zumindest dessen Nutzung voraussetzt und nicht lediglich der Verdacht ausreicht, auf einem System könnten sich relevante Daten befinden?
4. einen Eingriff auch auf Systeme, die nach der KritisV Teil der kritischen Infrastruktur sind (etwa Stromnetze, Internetknotenpunkte), oder auch Behördennetze, Fahrzeugelektronik sowie medizinisch genutzte Computersysteme (Herzschrittmacher, lebenserhaltende Maschinen) ausschließen und, wenn nicht, auf welche Systeme ein solcher Zugriff möglich wäre?
5. mit der Kompromittierung informationstechnischer Systeme Dritter, sofern diese Systeme durch die von der Maßnahme betroffene Person genutzt werden, dem LfV die Möglichkeit eröffnet, ganze Serversysteme wie bspw. E-Mail-Server zu hacken?
6. die Gefahr erhöhen, dass damit die Funktionsfähigkeit der betroffenen Systeme gefährdet und die Erfassung der Daten vieler Unbeteiligter nicht ausgeschlossen werden kann?

Antwort zu den Fragen 1a bis 1f:

Die Fragen 1a) bis 1f) werden gemeinsam beantwortet. Die Bundesregierung hat Kenntnis von dem Gesetzentwurf, der als Landtagsdrucksache – wie oben angegeben – veröffentlicht ist. Die Bundesregierung hat sich zu dem Gesetzentwurf keine Meinung gebildet. In der föderalen Ordnung des Grundgesetzes, die Bund und Ländern je eigene Gesetzgebungszuständigkeiten zuweist, besteht dazu kein Anlass.

Frage 2:

Welche Konsequenzen hat die Bundesregierung nach den Attacken mit dem sogenannten „WannaCry“-Trojaner, der eine von der NSA für mindestens 5 Jahre geheim gehaltene Sicherheitslücke ausnutzte und 230.000 Computer in über 150 Ländern infizierte, im Hinblick auf die Geheimhaltung von Sicherheitslücken zum Zwecke nachrichtendienstlicher Ermittlungen gezogen?

Frage 3:

Sieht die Bundesregierung in einer aus Sicht der Fragesteller aufgrund des Gesetzentwurfes zu befürchtenden Praxis, sogenannte „Zero-Day-Exploits“ auf dem Schwarzmarkt zu kaufen oder Sicherheitslücken geheim zu halten, um diese zur Infiltration informationsdienstlicher Systeme auszunutzen, eine Gefahr für die IT-Sicherheit des Bundes oder kritischer Infrastruktur? Hält die Bundesregierung den hessischen Landesverfassungsschutz – auch im Hinblick auf die Kooperationsverpflichtung in Angelegenheiten des Verfassungsschutzes nach §§ 1 Abs. 2 und § 6 Abs. 1 S. 1 BVerfSchG – gegenüber dem Bund für verpflichtet, diese Gefahr zu vermeiden? Wenn ja, was gedenkt die Bundesregierung im Falle eines Verstoßes gegen diese Verpflichtung zu unternehmen?

Antwort zu Frage 2 und 3:

Die Fragen 2 und 3 werden aufgrund ihres Sachzusammenhangs gemeinsam beantwortet.

Die Bundesregierung setzt sich inhaltlich mit der Thematik des Umgangs mit Sicherheitslücken und Exploits (auch Zero-Day Exploits) auseinander. Da die Meinungsbildung innerhalb der Bundesregierung nicht abgeschlossen ist, kann weder zur Frage des möglichen Ankaufs noch zum möglichen Umgang mit (erheblichen) Sicherheitslücken in Software- und Hardwareprodukten eine Aussage getroffen werden.

Nach § 2 Absatz 1 Satz 2 des genannten Gesetzentwurfs ist Aufgabe des Landesamts für Verfassungsschutz, es den zuständigen Stellen zu ermöglichen, rechtzeitig die erforderlichen Maßnahmen zur Abwehr von Gefahren für die freiheitliche demokratische Grundordnung, den Bestand und die Sicherheit des Bundes und der Länder zu treffen. Die Bundesregierung sieht in der Wahrnehmung dieser Aufgabe keine Gefahr für die IT-Sicherheit des Bundes oder kritischer Infrastruktur.

Frage 4:

Entspricht es der Auffassung der Bundesregierung, dass die Quellen-TKÜ technisch mit der Online-Durchsuchung vergleichbar ist?

Antwort zu Frage 4:

Es wird auf die Antwort der Bundesregierung zu Frage 14 der Kleinen Anfrage der Fraktion der FDP „Rechtsgrundlagen und Einsatz der Quellen-Telekommunikationsüberwachung“ auf Bundestagsdrucksache 19/1505 vom 3. April 2018 verwiesen.

Frage 5:

Entspricht es der Auffassung der Bundesregierung, dass die Quellen-TKÜ hinsichtlich ihrer rechtlichen Anforderungen, insbesondere im Hinblick auf einen Eingriff in das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme aus Artikel 2 Abs. 1 i.V.m. Artikel 1 Abs. 1 GG, mit einer Online-Durchsuchung vergleichbar ist?

Antwort zu Frage 5:

Es wird auf die Antwort der Bundesregierung zu Frage 15 der Kleinen Anfrage der Fraktion der FDP „Rechtsgrundlagen und Einsatz der Quellen-Telekommunikationsüberwachung“ auf Bundestagsdrucksache 19/1505 vom 3. April 2018 verwiesen.

Frage 6:

Hat sich die Bundesregierung vor dem Hintergrund von Frage 4 und 5 eine Meinung zu den im hessischen Gesetzesentwurf geplanten unterschiedlichen Eingriffshürden für die Quellen-TKÜ und die Online-Durchsuchung gebildet? Wenn ja, welche?

Antwort zu Frage 6:

Auf die Antwort zu Frage 1 wird verwiesen.

Frage 7:

Wie bewertet die Bundesregierung eine Ausweitung der nachrichtendienstlichen Befugnisse im Hinblick auf die Überwachung informationstechnischer Systeme vordem Hintergrund, dass Nachrichtendienste nach Ansicht der Fragesteller wesentlich schwieriger demokratisch zu kontrollieren sind als bspw. Polizeibehörden?

Antwort zu Frage 7:

Auf die Antwort zu Frage 1 wird verwiesen. Die Nachrichtendienste des Bundes unterliegen einer besonders intensiven Kontrolle, insbesondere durch das Parlamentarische Kontrollgremium nach Artikel 45d des Grundgesetzes (GG).

Frage 8:

Ist die Bundesregierung – auch im Hinblick auf die Koordinierungsfunktion des BfV der Auffassung, dass auf Grundlage deutscher Bundes- und Landesgesetze auf informationstechnische Systeme wie z. B. E-Mailserver zugegriffen werden darf, die

1. sich nicht in dem Land befinden, in dem dieses Gesetz gilt, sondern in einem anderen Bundesland?
2. sich nicht innerhalb der Bundesrepublik Deutschland befinden, sondern in einem anderen europäischen Land?

Frage 9:

Ist eine deutsche Behörde nach Auffassung der Bundesregierung verpflichtet, den Zugriff auf informationstechnische Systeme zu beenden, wenn sich herausstellt, dass das informationstechnische System sich nicht innerhalb der Bundesrepublik Deutschland befindet?

Antwort zu Frage 8 und 9:

Die Fragen 8 und 9 werden aufgrund ihres Sachzusammenhangs gemeinsam beantwortet.

Die Entscheidung über die Durchführung, bzw. die Fortsetzung derartiger Zugriffe ist von den zuständigen Behörden nach Maßgabe des jeweiligen Einzelfalls unter Berücksichtigung der nationalen Befugnisnormen und der anwendbaren völkerrechtlichen Verträge zu entscheiden.

Der Bundesregierung erschließt sich kein Bezug der Koordinierungsfunktion des Bundesamtes für Verfassungsschutz (BfV) zur aufgeworfenen Frage.