Europol-Bericht zu Cybercrime: Europol kämpft mit der Datenflut

Europäische Polizeien kommen offenbar mit der Datenmenge nicht zurecht, die bei ihnen einläuft. Daraus ergebe sich ein Bedarf an „fortschrittlichen Analysetechniken“ sowie neuen „signifikanten Ressourcen“, insbesondere an geschultem Personal. Das fordern die EU-Agenturen Europol und Eurojust in einem letzte Woche veröffentlichten Bericht zum Stand der Cyberkriminalität.

Seit Jahren klagen Ermittlungsbehörden darüber, blind und taub zu werden, wenn immer mehr Kriminelle etwa Verschlüsselung nutzen, um damit ihre Kommunikation abzuschirmen. Zugleich steht Polizeien eine noch nie dagewesene Datenfülle zur Verfügung, sie reicht von öffentlich im Internet verfügbaren Informationen über Datensätze von Databrokern bis hin zu Daten aus neuen Ermittlungsinstrumenten wie dem e-Evidence-Paket.

Dem Bericht der EU-Agenturen zufolge knirscht es dabei heute schon ohne Ende. Vielen Ermittlungsbehörden fehle der Zugang zu notwendigen IT-Werkzeugen, zudem hätten sie Schwierigkeiten dabei, Expert:innen aus der Datenwissenschaft oder digitaler Forensik anzuwerben und zu halten. Ebenso erschwerten unterschiedliche Berichtsformate und Datenmodelle bei Online-Diensten sowie staatlichen Behörden die Auswertung weiter.

„Datenverlust“ mal anders

Dennoch beklagt der Bericht den „Verlust von Daten“. Damit sind keine Festplatten-Crashs gemeint, sondern dass es keine EU-weite Vorratsdatenspeicherung gibt. Solche Bestimmungen hatte der Europäische Gerichtshof (EuGH) zwar mehrfach gekippt, sie zuletzt aber unter bestimmten Auflagen grundsätzlich zugelassen.

Seitdem drängen europäische Ermittlungsbehörden und Innenminister:innen verstärkt darauf, mindestens IP-Adressen und Portnummern verdachtsunabhängig auf Vorrat zu speichern. Das soll sicherstellen, dass etwa Mobilfunknutzer:innen mit geteilter IP-Adresse ausfindig gemacht werden können – sofern sich die immense Datenflut überhaupt sinnvoll auswerten lässt.

Als „Datenverlust“ verbucht der Bericht auch, dass die WHOIS-Datenbank, in der Informationen zu registrierten Domains gespeichert werden, ohne Weiteres keine personenbezogenen Daten mehr ausspuckt. Seit der Datenschutz-Grundverordnung (DSGVO) ist ein gültiger Durchsuchungsbefehl notwendig, um an die Details einer Domainregistrierung zu gelangen.

Pilotprojekte zur Deanonymisierung laufen

Diese Hürde wollen die EU-Agenturen zum einen mit dem Pilotprojekt „Registration Data Request Service“ (RDRS) der Vergabestelle ICANN umgehen. Allerdings sei das Projekt freiwillig und zudem nicht auf die Bedürfnisse von Polizeien zugeschnitten, beklagt der Bericht. Zum anderen beobachte man deshalb andere Initiativen genau, darunter ein Pilotmodell der internationalen kriminalpolizeilichen Organisation Interpol.

In einer eigenen Umgebung baut Interpol derzeit eine Art Parallelstruktur zum WHOIS-Verzeichnis auf, zu dem nur abgesegnete Polizeibehörden Zugang haben sollen. Dem Europol-Bericht zufolge werden dort „Informationen zu Domainnamen und ihrer Herkunft aus anderen (Branchen-)Quellen als denen der ICANN gesammelt, beispielsweise aus Phishing-Datensätzen, DSGVO-Verstößen, Blockchain-Domänen und anderen“, also mitunter höchst fragwürdigen Quellen. Zwar könnten diese bisweilen helfen, heißt es im Bericht. In Summe seien sie jedoch unsystematisch, teuer und unzuverlässig, was ihre Verwendung vor Gericht untergrabe.

Entsprechend versuche das European Cybercrime Centre (EC3) von Europol, auf Institutionen wie RIPE oder ICANN einzuwirken, um ihre Systeme im Sinne von Polizeien zu gestalten. Als offener Punkt bleibe jedoch weiterhin, dass es aus Sicht von Europol für Behörden keinen permanenten Zugang zu nicht-öffentlichen WHOIS-Informationen gebe, der „schnell und effizient“ sei.

Dauerforderung nach Hintertüren

Gemeinsam ausgeübter internationaler Druck soll auch dabei helfen, Hintertüren für Polizeien in verschlüsselnde Online-Dienste einzubauen. Wie bei der Vorratsdatenspeicherung verweist Europol auf die jüngste EU-Arbeitsgruppe, die Ende letzten Jahres – unter starker Mitwirkung seitens Europol und anderer europäischer Polizeibehörden – Vorschläge für den Zugriff auf verschlüsselte Daten gemacht hatte.

So ähneln sich auch die Schlussfolgerungen: Helfen könnten etwa internationale Abkommen und ein Durchsetzungsmechanismus, um sicherzustellen, dass Strafverfolgungs- und Justizbehörden „rechtmäßigen Zugriff“ auf Daten und Kommunikation von Kriminellen erhalten.

„Dies bedeutet nicht, die Sicherheit der Kommunikation durch Untergrabung von Ende-zu-Ende-Verschlüsselung zu schwächen, sondern könnte durch die Anwendung des Grundsatzes ‚rechtmäßiger Zugriff durch Design‘ erreicht werden“, betont der Bericht – eine Quadratur des Kreises, die IT-Expert:innen für unmöglich halten und der Hauptgrund dafür, warum diese langjährige Forderung des Sicherheitsapparats bis heute nicht umgesetzt ist.

Druck auf Over-The-Top-Anbieter

Untätig bleiben will Europol indes nicht. Zahlreiche Initiativen „auf hoher Ebene“ würden sich auf die Entwicklung von Werkzeugen, Techniken und Richtlinien konzentrieren, die es Ermittlungsbehörden ermöglichen sollen, auf verschlüsselte Daten und/oder Metadaten zuzugreifen. Außerdem wünscht sich der Bericht auch einen Durchsetzungsmechanismus, um vom sogenannten TK-Kodex erfasste OTT-Anbieter wie Signal zur Zusammenarbeit zwingen zu können.

Sorgen bereiten Europol und Eurojust zudem Anonymisierungstechniken, darunter VPNs (Virtuelle Private Netzwerke). Vor allem bei grenzüberschreitenden Fällen sei es praktisch unmöglich, die Identität Verdächtiger zu enthüllen. Teilweise könnten neue Instrumente wie e-Evidence oder die Budapest-Konvention helfen. Letztere enthält in ihrer letzten Fassung sogar eigene Regeln dafür, um rechtssicher und direkt Informationen bei Online-Diensten und Registraren zu erhalten, aus Sicht von Europol allerdings nicht ausreichende.

Frische Gesetze noch nicht evaluierungsfähig

In den vergangenen Jahren hat die EU zahlreiche Gesetze beschlossen, um Polizeien das Leben einfacher zu machen. Neben dem e-Evidence-Paket soll etwa auch die Europäische Ermittlungsanordnung grenzüberschreitende Ermittlungen beschleunigen. Doch noch ist nicht alles vollständig in Kraft, teilweise bleibt den EU-Ländern bis 2026 Zeit, um die Regeln umzusetzen. Obwohl eine Bewertung deshalb nur schwer möglich ist, gehen die Prozesse den beiden EU-Agenturen augenscheinlich nicht schnell genug, wie sich ihrem Forderungskatalog entnehmen lässt.

Erwähnung finden außerdem der Digital Services Act (DSA) und der Artificial Intelligence Act (KI-Gesetz). Beide Gesetze sind noch recht frisch, auch hierbei greifen viele Regeln erst schrittweise. Offenkundig wird jedoch, dass Polizeien beispielsweise die Ausnahmen zu Gesichtserkennung im KI-Gesetz künftig so weit wie möglich ausnutzen dürften.

Generell mehr Ausnahmen möchte Europol bei der Zusammenarbeit mit privaten Anbietern sehen: „Aufgrund der Sensibilität polizeilicher Ermittlungen ist der Datenaustausch tendenziell eine Einbahnstraße, da Informationen von Strafverfolgungsbehörden und Justiz aus rechtlichen Gründen häufig nicht an private Partner weitergegeben werden können“, beklagt der Bericht.

Lästiger Datenschutz

Gesetzliche Verpflichtungen zu Datenschutz, vor allem jene aus der DSGVO, könnten den Informationsaustausch vollständig zum Erliegen bringen, warnen die Behörden. Zumindest sollten Initiativen wie SIRIUS weiter vorangetrieben werden, um „Richtlinien und bewährte Vorgehensweisen“ für Datenabfragen bei Online-Diensten zu entwickeln.

Chloé Berthélémy von der digitalen Grundrechte-NGO EDRi (European Digital Rights) hält den Bericht für heillos überzogen. Beispielsweise lässt sich der Abschnitt zur Datenflut auch anders auslegen, so Berthélémy: „Man könnte leicht meinen, typische Anfragen von Strafverfolgungsbehörden an Dienstanbieter seien nicht im gesetzlich erforderlichen Maße verhältnismäßig, wenn sie Daten in solchen Mengen zurückgeben, dass zu ihrer Auswertung besondere Werkzeuge erforderlich seien.“

Tatsächlich legte etwa kürzlich der Mailanbieter mailbox.org in seinem letzten Transparenzbericht offen, dass im Vorjahr erneut ein signifikanter Anteil von Behördenanfragen nicht rechtskonform war und zurückgewiesen wurde. Übers Ziel hinausschießende Anfragen dürften demnach zur Normalität gehören, sorgfältig geprüfte und gegebenenfalls abgelehnte Abfragen aber nicht notwendigerweise.

Besonders gefährlich sei aber die Forderung nach Hintertüren in verschlüsselten Diensten, sagt Berthélémy, genau sowie der „der eklatante Angriff auf die Online-Anonymität, die für viele in der EU, darunter Menschenrechtsaktivisten, politische Dissidenten im Exil, investigative Journalisten und so weiter, von entscheidender Bedeutung ist“. Nicht minder gefährlich sei auch das Drängen zu mehr „freiwilliger öffentlich-privater ‚Zusammenarbeit’, bei der das Legalitätsprinzip und die Schutzmaßnahmen der DSGVO umgangen werden“.