Quellen-TKÜ: Bund und Länder verzichten „bis auf Weiteres“ auf Einsatz, Eigenentwicklung verzögert sich weiter

Der Bundestags-Abgeordnete Jan Korte (Linkspartei) hat beim Innenministerium nachgefragt, was der aktuelle Stand beim Thema Staatstrojaner ist. Wir veröffentlichen an dieser Stelle die Antwort des Ministeriums: PDF, Text.

Nachdem der Chaos Computer Club den Staatstrojaner der Firma DigiTask kaputt gemacht hat, werden erst einmal keine Quellen-TKÜ-Maßnahmen durchgeführt:

Nach der Analyse einer Überwachungssoftware durch den CCC sind sich Bund und Länder einig, bis auf Weiteres auf die Durchführung von Quellen-Telekommunikationsüberwachungen zu verzichten.

Dieser Schritt ist sehr zu begrüßen. Auch die Bundesanwaltschaft ist der Überzeugung, dass es keine Rechtsgrundlage für den Einsatz einer Quellen-TKÜ gibt und diese somit illegal ist. Die Bundesregierung teilte diese Auffassung bisher nicht.

Die Behörden verzichten aber nur auf den Einsatz der konkreten Software von DigiTask. Eine generelle Unvereinbarkeit der rechtlichen Vorgaben mit technischen Prozessen erkennt das Innenministerium nicht an:

Das Bundesverfassungsgericht hat in seinem Urteil vom 27. Februar 2008 (1 BvR 370/07) keine konkreten technischen Vorgaben zur Konstruktion einer Überwachungssoftware gemacht. Es muss allerdings durch technische Vorkehrungen und rechtliche Vorgaben sichergestellt werden, dass sich die Überwachung ausschließlich auf Daten aus einem laufenden Telekommunikationsvorgang beschränkt. Das Bundesministerium des Innern ist überzeugt, dass eine Software geschaffen werden kann, die diesen Vorgaben der SLB entspricht.

Diese „Standardisierende Leistungsbeschreibung“ (SLB) hatten wir hier exklusiv veröffentlicht. Fakten liefert man für diese Einschätzung jedoch nicht, die „Überzeugung“ muss reichen.

Die Behörden halten am Plan fest, einen eigenen Trojaner zu entwickeln. Für eine „Übergangszeit“ soll der bekannte Staatstrojaner FinFisher/FinSpy von Gamma/Elaman eingesetzt werden. Die Prüfung des angeschafften Trojaners wird von der Firma CSC Deutschland Solutions GmbH durchgeführt und sollte schon im Dezember abgeschlossen sein. Damit ist man jedoch noch immer nicht fertig:

Der Abschluss der Tests und der Quellcodeprüfung erfolgt, sobald die Software alle Maßgaben der Standardisierenden Leistungsbeschreibung (SLB) sowie alle rechtlichen Vorgaben erfüllt.

Auch die Eigenentwicklung von Bund und Ländern kommt nicht so schnell voran wie geplant:

Derzeit sind Mitarbeiter der Landeskriminalämter Bayern und Hessen sowie des Zollkriminalamts im Kompetenzzentrum Informationstechnische Überwachung (CC ITÜ) tätig. Darüber hinaus wurden die Firmen CSC Deutschland Solutions GmbH und 4Soft GmbH (München) als Dienstleister beauftragt.

Der Deutsche Bundestag hat dem Bundeskriminalamt (BKA) für die Einrichtung des CC ITÜ insgesamt 30 Planstellen zur Verfügung gestellt. Für deren Besetzung hat das BKA 21 Stellenausschreibungen veröffentlicht. Bislang sind in vier Fällen die Auswahlverfahren noch nicht abgeschlossen. Weitere neun Stellen werden mit vorhandenem BKA—Personal besetzt, um auch den erforderlichen polizeitaktischen Sachverstand im CC ITÜ vorzuhalten. Im Rahmen der internen Auswahlverfahren wurden bereits sechs Dienstposten besetzt.

Neben der Schadenfreude über die Verzögerung fällt auf, dass die Behörden doch wieder externe Dienstleister in den Prozess einbinden. Die Rolle von CSC Deutschland ist dabei doppelt pikant, weil diese auch die Prüfung des Gamma/Elaman-Trojaners durchführt.

Der Fragesteller Jan Korte kommentierte gegenüber netzpolitik.org:

Der endgültige Verzicht auf die Quellen-TKÜ ist eine rechtsstaatliche Notwendigkeit. Dass Bund und Länder derzeit auf den Einsatz ihrer unkontrollierbaren Schnüffelsoftware verzichten, ist daher zwar zu begrüßen, aber auch nicht wirklich befriedigend. Die jahrelange verantwortungslose Politik, welche Geschäftsgeheimnisse der Trojaner-Hersteller und die eigenen Überwachungsinstrumente höher bewertet hat als die Bürgerrechte, muss nicht nur bis auf Weiteres, sondern endgültig beendet werden.

Es ist eine Bankrotterklärung für die eigene Urteilsfähigkeit und die eigene Expertise, wenn externe Kritiker, wie der Chaos Computer Club, Bund und Ländern erklären müssen, wie Überwachungssoftware funktioniert, die man unbekümmert einsetzt.