Telekommunikationsanbieter

Vorratsdaten durch die Hintertür

Obwohl die Vorratsdatenspeicherung in Deutschland auf Eis liegt, speichern Telefonanbieter die Daten ihrer Kund:innen teils monatelang und übermitteln sie auch an die Ermittlungsbehörden. Das hat eine Anfrage bei der Bundesnetzagentur aufgedeckt.

Demonstrantin bei einer Aktion gegen die Vorratsdatenspeicherung
Auf einer Demo gegen die Vorratsdatenspeicherung CC-BY-NC 2.0 Campact

Im Oktober 2018 hat der Piraten-Abgeordnete Patrick Breyer einen Antrag nach dem Informationsfreiheitsgesetz (IFG) bei der Bundesnetzagentur gestellt um herauszufinden, welche Daten von Telekommunikationsanbietern wie lange gespeichert werden. Wie sich zeigt, speichern diese die Telefon- und Internetdaten ihrer Kund:innen teilweise monatelang. Dafür interessieren sich vor allem Sicherheitsbehörden, die diese Informationen gerne bei Ermittlungen anfordern und nutzen.

Derzeit liegt die Vorratsdatenspeicherung in Deutschland auf Eis, der Europäische Gerichtshof soll klären, ob das deutsche Gesetz mit EU-Recht vereinbar ist. Trotzdem speichern die Provider jede Menge Daten, wie aus den Antworten auf die IFG-Anfrage hervorgeht. Dazu gehören Rufnummern, Datum, Uhrzeit, Dauer des Kontakts, die IMSI-Kennung der SIM-Karte, die IMEI-Kennung des benutzten Geräts, Internet-Surfdaten und Daten über Internet-Telefonie.

Jeder Provider hat eigene Speicherzeiten

Die Bundesnetzagentur hat im Rahmen der IFG-Anfrage eine Tabelle an verschiedene Provider geschickt, in der die Speicherzeiten der aufgeführten Daten abgefragt werden. Bei der Auswertung der Antworten zeigt sich, dass es keine einheitliche Verfahrensweise im Umgang mit den Daten gibt, sondern deren Verweildauer in den jeweiligen Systemen teilweise sehr variiert.

Die Kennung der SIM-Karte, welche eine eindeutige Identifizierung ermöglicht, wird bei Telefónica – dem Dachkonzern von O², Fonic, Blau, Ortel und Ay Yildiz – bei Abrechnungsrelevanz zwischen drei und sechs Monaten gespeichert. Unitymedia speichert diese Daten standardmäßig sechs Monate, während die Telekom sie sieben Tage speichert und diesen Zeitraum nur bei Betrugsverdacht auf 90 Tage ausdehnt.

Speicherung IMSI-Kennung Eigene Darstellung

Auch bei der Speicherung von Informationen über unbeantwortete sowie erfolglose Anrufe gibt es Unterschiede. Während Telefónica, Telekom und Unitymedia diese Daten nur zwischen null und sieben Tagen speichern, bleiben sie mindestens drei Monate im System des regionalen Anbieters NetCologne.

Speicherung unbeantworteter und erfolgloser Anrufe Eigene Darstellung

Bei anderen Daten wiederum ähneln sich die Speicherzeiten. So sichert die Telekom bei ausgehenden Telefonaten Datum und Uhrzeit von Beginn und Ende des Gesprächs sowie die beteiligten Rufnummern zwischen zweieinhalb und dreieinhalb Monaten, wenn sie für die Abrechnung relevant sind. Sollten die Daten für eine Abrechnung mit anderen Dienstanbietern benötigt werden, bleiben sie knapp fünf Monate im System.

Telefónica speichert diese Daten „bei Abrechnungsrelevanz“ zwischen drei und sechs Monaten, NetCologne und Tele Columbus mindestens drei. Unitymedia speichert standardmäßig am längsten, hier bleiben die Rufnummern mindestens sechs Monate im System, bei Betrugsverdacht auch bis zu zwölf.

Speicherung Rufnummern Eigene Darstellung

Vodafone hat die Tabelle der Bundesnetzagentur nicht ausgefüllt, sondern in einem Schreiben geantwortet. Darin erklären sie, dass die meisten Daten sieben Tage gespeichert werden, diese dann aber „sehr schnell entlang der Abrechnungskette“ ausgedünnt werden. Bei Roamern würden Geo-Daten zuweilen länger gespeichert, allerdings gäbe es aufgrund individueller Rechnungsläufe „nahezu keine klaren Speicherfristen“.

Sicherheitsbehörden nutzen Daten gerne

Die Sicherheitsbehörden profitieren ironischerweise davon, dass die Daten nicht aufgrund einer gesetzlich angeordneten Vorratsdatenspeicherung gespeichert wurden. Da es sich damit juristisch gesehen um geschäftlich gespeicherte Daten handelt, sind die Hürden für eine Abfrage niedriger, schreibt der Spiegel. Es müsse eine Straftat von „erheblicher Bedeutung“ vorliegen, damit sei beispielsweise Körperverletzung gemeint.

Bei der Abfrage von Daten, die aufgrund einer Vorratsdatenspeicherung erhoben wurden, muss es sich schon um eine „besonders schwere Straftat“ wie Mord oder Vergewaltigung handeln. Diesen einfacheren Zugang zu den gespeicherten Daten nutzt die Polizei in großem Umfang. Allein im Jahr 2017 hat die Telekom laut dem Spiegel in Deutschland 615.842 dementsprechende Verkehrsdatensätze an die Sicherheitsbehörden weitergegeben, 2018 waren es schon 784.080.

Kritik an Praxis der Provider

In dem Spiegel-Artikel zeigt sich Peter Graf, ehemaliger Strafrichter am Bundesgerichtshof, überrascht über das hohe Ausmaß, in dem Daten gespeichert werden. Dabei sei es auch egal, dass die Daten ohne Rechtsgrundlage gespeichert wurden, die Polizei könne sie trotzdem verwenden, so Graf.

Andere Jurist:innen sehen das kritischer. Lars Sobiraj zitiert auf seinem Blog den Rechtsanwalt Ehssan Khazaeli: „Es kann nicht angehen, dass Datensätze an Ermittlungsbehörden herausgegeben werden, bei denen die Modalitäten zur Speicherung noch nicht einmal gesetzlich abschließend geregelt sind. Es dürfte sich vor allem die Frage stellen, ob derartige Daten in Strafverfahren überhaupt verwertbar sind.“

Für Patrick Breyer kommt die nun offengelegte Speicherpraxis der Provider einer praktischen Einführung der eigentlich gerichtlich auf Eis gelegten Vorratsdatenspeicherung gleich.

Auch der Arbeitskreis Vorratsdatenspeicherung kritisiert das Verhalten der Anbieter. In einer Pressemitteilung schreibt er: „Die verdachtsunabhängige und wahllose Vorratsdatenspeicherung schafft Risiken des Missbrauchs und des Verlusts vertraulicher Informationen über unsere persönlichen Kontakte, Bewegungen und Interessen. Telekommunikationsdaten sind außerdem besonders anfällig dafür, von Geheimdiensten ausgespäht zu werden und Unschuldige ungerechtfertigt strafrechtlichen Ermittlungen auszusetzen.“

Du möchtest mehr kritische Berichterstattung?

Unsere Arbeit bei netzpolitik.org wird fast ausschließlich durch freiwillige Spenden unserer Leserinnen und Leser finanziert. Das ermöglicht uns mit einer Redaktion von derzeit 15 Menschen viele wichtige Themen und Debatten einer digitalen Gesellschaft journalistisch zu bearbeiten.

Mit Deiner Unterstützung können wir noch mehr aufklären, viel öfter investigativ recherchieren, mehr Hintergründe liefern - und noch stärker digitale Grundrechte verteidigen!

Unterstütze auch Du unsere Arbeit jetzt mit deiner Spende.

 

Unsere Arbeit bei netzpolitik.org wird fast ausschließlich durch freiwillige Spenden unserer Leserinnen und Leser finanziert. Das ermöglicht uns mit einer Redaktion von derzeit 15 Menschen viele wichtige Themen und Debatten einer digitalen Gesellschaft journalistisch zu bearbeiten.

Mit Deiner Unterstützung können wir noch mehr aufklären, viel öfter investigativ recherchieren, mehr Hintergründe liefern - und noch stärker digitale Grundrechte verteidigen!

Dann unterstütze uns hier mit einer Spende.

15 Ergänzungen
  1. Warum dürfen die überhaupt anlasslos speichern? Bzw. Gibt es keinerlei gesetzliche Schranken?

    Mit Daten können unsere Politiker intellektuell nicht, aber natürlich sind die Verbindungsdaten in massivem Umfang dazu geeignet, Personen rückverfolgbar zu machen, mit oder ohne Kombination mit anderen Datensätzen.

    1. „Warum dürfen die überhaupt anlasslos speichern?“
      Die Speicherung ist initial nicht anlasslos. Die Daten werden für die Bereitstellung der angebotenen Dienste und Abrechnungszwecke (und Statistiken zu z.B. Planungszwecken) verwendet.

      Die Frage ist eher, warum die Daten nicht wieder zügig gelöscht oder (sicher) anonymisiert werden. Das wäre eigentlich einfach möglich. Also entweder hat der Sicherheitsapparat die Finger mit im Spiel (bzw. wird durch ISP liebkost) oder in der Risikoabwägung stellt – auf welcher Grundlage auch immer – der Verlust von Daten den risikobehafteteren Posten dar.

      1. Sichere Anonymisierung dürfte kaum existieren.

        Sie müssten sowohl Zeitpunkte als auch Zeitfenster rauslassen, sowie keine Bündelung von z.B. URLs vornehmen. Sonst haben Sie hundert tausende Einzelfälle…

        1. Danke für den Einwand. Mit Freude kläre ich weiter auf.

          Denn natürlich kann einfach und sicher anonymisiert werden. Wenn das gewünscht ist. Die Quelldatensätze gibt es bei statistischen Auswertungen z.B. nicht mehr. Die notwendigen überführten Kenngrößen werden in zweckentsprechende Listen oder einfache Datenbanken eingegliedert. Statistiken sind meist niedrigkomplex. Oft werden Beträge schlicht aufsummiert.

          Sicherlich kann man so einiges falsch machen, aber Anonymisieren heisst nicht grundsätzlich einfach nur innerhalb bestehender Datensätze die IP oder IMSI etc. zu ’schwärzen‘. Obwohl sogar das schon in den allermeisten Fällen reichen würde. Zu egal welchem „Zeitpunkt als auch Zeitfenster“ sind fast überall kontinuierlich eine große Vielzahl von Sessions aktiv. Sogar im eher ländlichen Bereich. Wir leben nicht auf 6000m Höhe in der Mongolei oder drgl. Der einzelne Datensatz geht für gewöhnlich im Rauschen unter.

          1. Wieviel kann man denn richtig machen?

            Ungefähre Anhaltspunkte:
            1. Die Auswertung übernehmen Profis.
            2. Es wird mit einer Menge anderer so verfügbarer Daten in Gänze korreliert.
            3. Es wird mit einer Menge anderen illegal oder grau bzw. irgendwie verfügbaren Datensätzen korreliert. „Legalität“ mag auch in anderen Länder bestehen, it den „anonymisierten“ Datensätzen Schnittmengen bildende Datensätze sind vielleicht illegal erhältlich, oder befinden sich aufgrund der wenig bindenden Gesetze eh in Ihrer eigenen Hand, oder landen irgendwann später mit hoher Wahrscheinlichkeit mindestens temporär in ihren Mühlen (Versicherung, Schufa, Paketdienstleister, Google…). Manche Daten lassen sich natürlich indirekt korrelieren, z.B. Aufenthaltsdaten, relative Bewegungsdaten, und so viele mehr.
            4. Nach Gesetz anonymisiert heißt zunächst: „Klaus kann es nicht im Kopf“

            Als wildes Beispiel: 5 besuchte Webseiten mit ungefährem Zeitabstand und ungefährer Zeit in der Woche, natürlich gerne 5 aufeinanderfolgende. Unter welchen Umständen landet jemand auf dem Berg in der Mongolei? Wenn nicht alleine, wie viele sind es dann in welchem Fall … 100, 1000, 10000…

            -> Der Zeitabstand innerhalb der 5 … das kann die erste Mogelpackung sein, da lassen sich gfls. Tage oder der gesamte Zeitraum mit einrechnen, wenn man mehrere Datensätze kreiert, wohl wissend, dass manche Geräte in Haushalten ja auch aktiv bleiben. Wäre vielleicht unwissenschaftlich, aber ist es verboten? Wieviel wissen wir über das, was so als „konform“ durchgeht?
            -> Vielleicht reicht 5xDNS schon für eine sehr genaue Eingrenzung, vielleicht hätte man gerne weniger Aggregation, zumindest mittles der Anzahl der Aufrufe innerhalb eines ungefähren Zeitraumes.
            -> Wollen Sie mit ihrem Wohnblock aggregiert werden? Sind 100 Leute genug? Reichen 2 Kilometer? Aus 10000 wird schnell 1…

            Was bleibt ist die Idee, wie in der IT-Branche gerne angeführt wird, dass der Aufwand zur Sicherung mit dem Schaden und der Wahrscheinlichkeit des Schadensfalles irgendwie in Beziehung gesetzt wird. Hier gilt, was Klaus nicht im „Kopf“ kann …

          2. „Im letzten Jahr hatte Facebook X clicks von Y Leuten aus Deutschland.“
            -> Anonymisiert!

            Vielleicht brauchen die noch solche Daten bei Facebook, oder spekulieren die Anbieter vielleicht bzw. nicht etwa darauf, dass SSL abgeschafft wird, und man wieder Werbung auf beliebigen Internetseiten einblenden kann?

  2. Das die Provider massenhaft Daten speichern sieht man ja auch an dem noch immer anhaltenden Erfolg der Abmahnanwälte. Hier werden dann solche Daten schon für angeblich kleinste Vergehen quasi rausgerückt, teils auch an fragliche Abmahnakteure.

    Wenn die Provider keine eigene Vorratsdatenspeicherung betreiben würden dann wäre das so nicht möglich. Hier wären aber auch die Kunden gefragt öfters mal kritisch nachzufragen bzw. bei den Providern die Löschung oder nichtspeicherung ihrer Daten zu verlangen. Wenn es da mehr Nachfrage gäbe würde sicher der eine oder andere Provider da einlenken.

    Ansonsten besser mehr TOR und oder VPNs benutzen um etwas mehr zusätzliche Sicherheit vor der Überwacherei zu haben.

    1. Nö. In einer *Demokratie* darf das so nicht sein.

      Vgl.:
      – Geheime Wahl mit Kameras.
      – Fairer Prozess ohne Anwalt.
      – Menschenrechte für bestimmte Menschen.

  3. Ich bin in der Forschung für Mobilfunksysteme tätig und hab‘ seit einiger Zeit auch ein paar Erfahrungen aus erster Hand mit echter Hardware.

    Jede Box im Systemdiagram (Basistation, Gateways etc.) führt (aus Prinzip) ein logfile und zusammen mit TKG§100 (Störungen von Telekommunikationsanlagen) und der Tatsache das störungsfreie System nicht real existieren, speichern und verarbeiten die Netzbetreiber zunächst Alles und lassen dann die Analyse großflächig drüberlaufen und vollziehen auch Einzelfälle von Störungen im Detail nach (wobei den Netzbetreibern der Kunde relativ egal ist, höchstens der Telephontyp ist von Interesse). Es gibt zwar im Prinzip mit TKG §96 die Vorgabe Verkehrsdaten so schnell als möglich zu anonymisieren oder bald wegzuwerfen, ich würde aber davon ausgehen das Daten nach TKG100 nicht automatisch darunterfallen.

    Interessant ist, das TKG100 den Satz enthält „Eine Nutzung der Daten zu anderen Zwecken ist unzulässig.“ und das würde bedeuten, das die Netzbetreiber eigentlich sich zurücklehnen könnten und Anfragen nicht beantworten.

    Eine weitere Recherchemöglichkeit wäre nicht nur die BNetzA mit IFG abzufragen, sondern auch den Bundesbeauftragten für den Datenschutz und das BSI.

  4. Ich habe eine ähnliche Story schon 2015 einmal für Spiegel Online recherchiert, und schon damals hieß es: Problem lange bekannt, seit 2013 will man die Speicherzeiten verkürzen, aber irgendwer legt immer wieder irgendwo einen Veto ein, sodass die Netzbetreiber letztlich die Daten so lange speichern können, wie sie wollen. Dass weitere vier Jahre später nichts passiert, ist bezeichnend – und verstärkt den Eindruck, dass beim Gesetzgeber überhaupt kein Interesse besteht, diese de facto-Vorratsdatenspeicherung ohne Rechtsgrundlage zu beenden.

    Die damalige Story: https://www.spiegel.de/netzwelt/netzpolitik/vorratsdatenspeicherung-im-mobilfunk-ohnehin-schon-realitaet-a-1055488.html

    1. In der Gesamtschau würde ich aus meiner Sicht bereits von Manifestation sprechen, eher denn ‚Eindruck‘.

      Wer oder was legt denn da Finger drauf?

      Parteien, Namen… sind doch essentielle Informationen für eine informierte Wahl.

Wir freuen uns auf Deine Anmerkungen, Fragen, Korrekturen und inhaltlichen Ergänzungen zum Artikel. Unsere Regeln zur Veröffentlichung von Ergänzungen findest Du unter netzpolitik.org/kommentare. Deine E-Mail-Adresse wird nicht veröffentlicht.