Daten auf Mobiltelefonen: Was dürfen deutsche Ermittler?

Alle Welt berichtete in den letzten Wochen über den Streit zwischen dem FBI und der Firma Apple um den Zugang zu Daten auf dem iPhone eines Verbrechers. Das Hickhack um Verschlüsselung auf Mobiltelefonen ist zwar nur ein weiterer Fall in einer schon lange währenden Diskussion, für uns aber Anlass, einen Blick auf die deutsche Rechtslage zu werfen. Wann dürfen hierzulande Computer und Telefone beschlagnahmt und ausgewertet werden, darf die Verschlüsselung umgangen werden?

Für Ermittler ist die Auswertung der Daten aus Mobiltelefonen besonders attraktiv, zum einen weil sie als gerichtsfest gelten, zum anderen weil die Fülle an Informationen wie Anrufdaten, Chat-Protokolle, Fotos und Lokationsangaben eine präzise Profilierung über das Verhalten und den zeitlichen Verlauf der Handlungen von Verdächtigen versprechen. Die Tatsache, dass mehr und mehr Geräte Daten standardmäßig verschlüsselt ablegen, erschwert jedoch Ermittlungen.

Technische Probleme beim Auswerten der Speicher von beschlagnahmten Systemen können wie im Fall von FBI vs. Apple die versehentliche Zerstörung oder Rücksetzung von Passwörtern sein sowie die Sicherung nachweislich unveränderter Beweismittel, um belegen zu können, dass beim Auswerten keine Daten verändert, gelöscht oder manipuliert worden sind.

Grundsätzlich gilt, dass informationstechnische Geräte als potentielle Beweismittel beschlagnahmt oder eingezogen werden dürfen, um digitale Spuren zu sichern, die darauf vorliegen. Man unterscheidet dabei:

• Repressiv, also zur Aufklärung bereits begangener Straftaten: Die Rechtsgrundlagen hierzu sind in der Strafprozessordnung (StPO),
• Präventiv, also zur Abwendung von Gefahren, unter anderem auch Straftaten: Hier gelten die Landespolizeigesetze und das BKA-Gesetz.

Grundrechte

Wie das Bundesverfassungsgericht in seinem Urteil zum Staatstrojaner 2008 ausführte, ist die Auswertung solcher beschlagnahmten Geräte ein schwerwiegender Eingriff in die Privatsphäre des Benutzers:

„Eine staatliche Datenerhebung aus komplexen informationstechnischen Systemen weist ein beträchtliches Potential für die Ausforschung der Persönlichkeit des Betroffenen auf. Dies gilt bereits für einmalige und punktuelle Zugriffe wie beispielsweise die Beschlagnahme oder Kopie von Speichermedien solcher Systeme […]“

Die Begründung ist naheliegend, denn die Fülle an darauf gespeicherten Informationen übertrifft…

„…herkömmliche Informationsquellen an Umfang und Vielfältigkeit bei weitem […] Dies liegt an der Vielzahl unterschiedlicher Nutzungsmöglichkeiten, die komplexe informationstechnische Systeme bieten und die mit der Erzeugung, Verarbeitung und Speicherung von personenbezogenen Daten verbunden sind. Insbesondere werden solche Geräte nach den gegenwärtigen Nutzungsgepflogenheiten typischerweise bewusst zum Speichern auch persönlicher Daten von gesteigerter Sensibilität, etwa in Form privater Text-, Bild- oder Tondateien, genutzt. Der verfügbare Datenbestand kann detaillierte Informationen über die persönlichen Verhältnisse und die Lebensführung des Betroffenen, die über verschiedene Kommunikationswege geführte private und geschäftliche Korrespondenz oder auch tagebuchartige persönliche Aufzeichnungen umfassen.“

Leider ist nach dem Urteil die Übertragung des Schutzkonzepts, das im Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität von informationstechnischen Systemen dargelegt ist und eigentlich auf alle Systeme mit Massenspeichern zwingend anzuwenden wäre, vom Gesetzgeber nicht umgesetzt worden. Da aber die Vertraulichkeit und Integrität technisch nur durch Verschlüsselung herzustellen ist, wird deutlich, dass das Bundesverfassungsgericht in seinem Urteil zum Staatstrojaner kryptographische Methoden explizit als legitimes Mittel zum digitalen Selbstschutz erkannt hat.

Verschlüsselung überwinden oder umgehen

Wenn keine Verschlüsselungsmaßnahmen verwendet wurden, sind die Daten auf den Mobiltelefonen technisch sehr einfach auszulesen, auch zuvor gelöschte Daten können wiederhergestellt werden. Sofern sie dazu technisch in der Lage sind, dürfen Ermittler auf Daten von SIM-Karten zugreifen oder eine Verschlüsselung umgehen oder überwinden, wenn die Beschlagnahme oder Einziehung des Geräts erfolgt ist. Dafür wird eine ganze Reihe von Werkzeugen zur „Password Recovery“ verwendet. Das ist vergleichbar mit dem Vorgehen bei einem Durchsuchungsbeschluss für ein Haus: Ist die Tür verschlossen, kann sich die Polizei mitunter auch mit brachialen Mitteln und unter Zerstörung der Tür Zutritt verschaffen oder auch etwa einen unter der Fußmatte gefundenen Schlüssel zum Öffnen nutzen, ohne den Hausbesitzer zu fragen.

Hersteller von Betriebssystemen und Verschlüsselungssoftware sind in Deutschland jedoch nicht dazu verpflichtet, Hintertüren in ihre Technologien einzubauen, die die Verschlüsselung der Nutzer umgeht.

Ob die Ermittlungs- und Gefahrenabwehrbehörden eine solche Hintertür überhaupt benötigen würden, steht aber auf einem anderen Blatt. Die Aussagen von Polizisten hinsichtlich ihrer Fähigkeiten bei der Entschlüsselung sind mitunter widersprüchlich. André Schulz, Bundesvorsitzender des Bundes Deutscher Kriminalbeamter, führte letztes Jahr über die Verschlüsselungsproblematik beispielsweise aus (Wortprotokoll des Videos):

„Es gibt so gut wie keine Verschlüsselung, die wir nicht knacken könnten – aus verschiedenen Gründen. […] Abgesehen davon du hast ein normales iPhone 6, was ja heute schon verschlüsselt, von sich aus, von der Hardware aus, [das] uns dann schon vor ernste Probleme stellt.“

Grundsätzlich gilt: Jede Beschlagnahme als Beweismittel setzt einen hinreichenden Verdacht voraus und ist bei schweren Straftaten immer möglich. Schließlich dient das der Sicherstellung von Beweismitteln. Die Durchsuchung des beschlagnahmten Geräts muss allerdings richterlich angeordnet werden. Nur in Eilfällen darf ausnahmsweise der Staatsanwalt die Durchsuchung anordnen.

Für Durchsuchungen von beschlagnahmten Geräten gibt es allerdings keinen Katalog an Straftaten wie etwa bei Abhörmaßnahmen. Das entscheidende Kriterium ist die Verhältnismäßigkeit.

Wenn es allerdings zu einer Durchsuchung und Auswertung eines informationstechnischen Systems kommt, die unrechtmäßig war, existiert kein generelles Verwertungsverbot, das es verbieten würde, die erlangten Daten gegen den Gerätbesitzer zu verwenden. Beweisverwertungsverbote greifen auch dann nicht, wenn beispielsweise ein Verstoß gegen das Fernmeldegeheimnis vorliegt. Ein Verwertungsverbot ist hierzulande nur bei Folterfällen oder vergleichbar schweren Missbräuchen zwingend gegeben.

Massenhafte Beschlagnahmungen

Dass sämtliche elektronische Systeme im Umkreis eines Verdachts einer Straftat einkassiert werden, ist keine Seltenheit. Bei einer einzigen Demonstration in Leipzig waren das etwa hundertfünfzig Mobiltelefone, drei Laptops, sechs SIM-Karten, drei iPods sowie vier SD- und zwei externe Mini-SD-Karten. Denn wer aus dem Polizeikessel in Leipzig raus wollte, musste seine Geräte und Speicherkarten abgeben. Die Verhältnismäßigkeit und damit Rechtmäßigkeit dieser Maßnahme ist allerdings umstritten.

Was vielen außerdem nicht bewusst ist: Von Mobiltelefonen oder auch Geräten wie Fotokameras mit GSM-Modul, Tablets, eBook-Readern oder Navigationsgeräten kann auch auf Daten zugegriffen werden, die etwa über Cloud-Dienste (oder andere „remote services“) entfernt abgelegt wurden. Solche Dienste werden mittlerweile sehr verbreitet genutzt. Einschlägig ist hier § 110 StPO, Absatz 3:

Die Durchsicht eines elektronischen Speichermediums bei dem von der Durchsuchung Betroffenen darf auch auf hiervon räumlich getrennte Speichermedien, soweit auf sie von dem Speichermedium aus zugegriffen werden kann, erstreckt werden, wenn andernfalls der Verlust der gesuchten Daten zu besorgen ist. Daten, die für die Untersuchung von Bedeutung sein können, dürfen gesichert werden.

Und in Zukunft?

Natürlich muss immmer abgewogen werden zwischen den Grundrechten von Betroffenen und der jeweiligen Rechtfertigung für die Beschlagnahme und Durchsuchung. Das Beschlagnahmen und die Durchsuchung aller elektronischen Geräte bei Ermittlungen ist aber alltäglich geworden, obwohl mittlerweile jeder von uns sehr persönliche Daten darauf speichert. Es drängt sich zu oft der Eindruck auf, dass die Strafverfolgungsbehörden und auch die Gerichte die Tiefe des Eingriffs nicht ausreichend würdigen und deshalb zu leichtfertig und teilweise formelhaft Durchsuchungs- und Beschlagnahmebeschlüsse durchwinken.

Das Urteil zum Staatstrojaner aus dem Jahr 2008, das der Gesetzgeber bisher zu wenig umgesetzt hat, misst dem Kernbereich privater Lebensgestaltung eine hohe Bedeutung bei, wenn es um die Durchsuchung von informationstechnischen Systemen geht – zumal die heimliche. Vielleicht kann das lange erwartete Urteil zum BKA-Gesetz am 20. April, das sich wieder mit diesem „Kernbereich“ und dem Staatstrojaner auseinandersetzt, neue Denkanstöße geben, wie man in Zukunft angemessener mit unseren ausgelagerten Gehirnen umgehen kann.

Bildlizenz:
Polizei-Sperrzone: CC BY 2.0, via flickr/swiss-truth.