BKA
-
: EU-Mitgliedstaaten erweitern Sicherheitszusammenarbeit mit USA – De Maizière trifft Heimatschutz zum warm-up in Sachsen
Dezent geht anders: Der G6-Stammtisch unter deutschem Vorsitz auf Schloss Moritzburg. : EU-Mitgliedstaaten erweitern Sicherheitszusammenarbeit mit USA – De Maizière trifft Heimatschutz zum warm-up in Sachsen Auf ihrem morgigen Ministertreffen in Riga wollen die EU und die USA die Ausweitung ihrer Kooperation in Sicherheitsfragen unterzeichnen. Dies geht aus einem Dokument hervor, das entsprechende Schlussfolgerungen zur Zusammenarbeit im Bereich der „Freiheit, der Sicherheit und des Rechts“ entwirft. Mit dieser Phrase hatte die EU im vergangenen Jahrzehnt zahlreiche neue Maßnahmen übertitelt. Hierzu gehörte auch die engere Anbindung an die USA, die vor allem unter deutscher EU-Präsidentschaft 2007 entscheidende Fortschritte machte.
Vorausgegangen waren mehrere Treffen und Beratungen der Mitgliedstaaten, aber auch der Kommission und des Auswärtigen Dienstes der Europäischen Union. Ein „Treffen hoher Beamter“ der EU und der USA hatte im Februar erste Entwürfe vorgelegt, eine Ratsarbeitsgruppe hatte im März die Position einzelner Mitgliedstaaten eingepflegt. Allerdings ist unklar, ob die USA in letzter Minute Änderungen einfordern.
Wenig Fortschritt beim Datenschutz
Bereits vor sechs Jahren hatten die EU und die USA eine solche Absichtserklärung unterzeichnet. Damals ging es um die Themen Migration, Drogenhandel, Finanzermittlungen und Cyberkriminalität. Das Abkommen von 2009 blieb allerdings vage was die Umsetzung der Maßnahmen betraf. Genannt wurde aber die Zusammenarbeit mit der EU-Polizeiagentur Europol, die seitdem tatsächlich in den genannten Gebieten vorangekommen ist. US-Behörden erhalten etwa Finanzdaten aus europäischen Überweisungen, die Weitergabe wird von Europol koordiniert und kontrolliert. Die Grenzpolizei der USA ist an einem neuen Lagezentrum von Eurpol zur Verhinderung von Migration über das Mittelmeer beteiligt. Auch im Bereich der Internetkriminalität wurde die Kooperation seit 2009 ausgeweitet.
In der erneuerten Erklärung werden nun einzelne Maßnahmen benannt. An erster Stelle (des Dokuments, nicht der Prioritäten!) steht der Abschluß eines EU-US-Datenschutzabkommens. Es soll eigentlich für alle polizeilichen transatlantischen Zusammenarbeitsformen gelten. Die Der Vorschlag für ein solches Abkommen war allerdings bereits in der Erklärung von 2009 enthalten. Schwung erhielten die Verhandlungen erst durch die Veröffentlichungen der Snowden-Dokumente.
Einen größeren Raum nimmt die Kooperation gegen „Terrorismus und gewalttätigen Extremismus“ ein. Dabei geht es insbesondere um das Internet. Die Sicherheitsbehörden wollen die Internetdienstleister hierzu mehr in die Pflicht nehmen („Increase all aspects of engagement and cooperation with the Communication Service Providers“). Dabei handelt es sich aber um eine Grauzone, denn die Anbieter kommen ihren Verpflichtungen zur Löschung oder Sperrung inkriminierter Accounts und Videos gewöhnlich nach. Den EU-InnenministerInnen reicht das nicht: Europol startet in vier Wochen eine Meldestelle für unerwünschte Internetinhalte, die zunächst auf „islamistischen Terrorismus“ beschränkt ist. Diskutiert wird, auch Webseiten zur Unterstützung unerwünschter Fluchthilfe über das Mittelmeer auf diese Weise stillzulegen.
Mehr Datentausch mit den USA gefordert
Die EU und die USA wollen auch mehr auf Dienste der Polizeiorganisation Interpol zurückgreifen. Nach dem Absturz des malaysischen Flugzeuges MH370 konnte Interpol durchsetzen, dass die Abfrage ihrer Datenbanken bei EU-Grenzkontrollen verpflichtend wird. Zur Bekämpfung von „islamistischem Terrorismus“ sollen die EU-Mitgliedstaaten auch mehr Gebrauch von einer „Foreign Fighter Cell“ bei Interpol machen. Der neue Interpol-Präsident ist der frühere BKA-Vize Jürgen Stock. Auf einer Konferenz kündigte er kürzlich an, den Informationsaustausch unter den 190 Interpol-Mitgliedern weiter auszubauen.
Ein weiterer Punkt des Abkommens betrifft die Kooperation mit dem „U.S. Terrorist Screening Centre“. Das Zentrum ist verantwortlich für die sogenannten „No Fly-Listen“, mit denen einzelnen Personen die Einreise in bzw. Transitflüge über die USA untersagt wird. Zur Durchsetzung dieser Flugverbote haben die US-Heimatschutzbehörden Personal an die großen europäischen Flughäfen (darunter auch Frankfurt/ Main) abgeordnet. Auch die EU will Flüge aus „Risikodestinationen“ vermehrt kontrollieren, das Bundeskriminalamt erarbeitet bei Europol derzeit entsprechende Risikomerkmale.
Der EU-US-Gipfel in Riga schließt direkt an das Treffen der G6-Staaten an, das diesmal unter deutschem Vorsitz im Schloß Moritzburg bei Dresden stattfindet. Die G6 sind ein Gremium der InnenministerInnen der sechs einwohnerstärksten EU-Mitgliedstaaten (Deutschland, Spanien, Italien, Großbritannien, Frankreich, Polen). Das informelle Treffen hatte sich der damalige deutsche Innenminister Wolfgang Schäuble ausgedacht. Schäuble war es auch, der dafür sorgte dass die USA an dem Stammtisch der sechs großen EU-Staaten teilnimmt.
In Sachsen sind die USA heute durch die Justizministerin Loretta Lynch und den US-Heimatschutzminister Jeh Johnson vertreten. Das ist nicht immer so, mitunter schicken die Ministerien lediglich StaatssekretärInnen. Das mag an dem Gipfel in Riga liegen, wohin die beiden MinisterInnen morgen weiterreisen.
„Gefährlicher als die Snowden-Enthüllungen“
Inhalte der G6-Treffen werden gewöhnlich nicht bekannt. Das Bundesinnenministerium verlautbart allerdings vorab auf seiner Webseite, dass das Stelldichein mit den US-Ministern im Schatten des NSA-Ausschusses stattfindet.
Kürzlich bedauerte bereits der Präsident des Verfassungsschutzes, Hans ‑Georg Maaßen, „dass die Amerikaner zögerlicher werden“ mit der Zulieferung von Informationen und Technik. Zu den Gründen hatte der US-Geheimdienstdirektor James Clapper laut einem Bericht der Bild-Zeitung erklärt, es würden geheime Unterlagen kontinuierlich an die Medien geben, weshalb sich die USA beim Schutz eingestufter Dokumente nicht mehr auf die Deutschen verlassen könne. Dies sei laut Clapper „gefährlicher als die Snowden-Enthüllungen“.
Als erste Folge seien deshalb gemeinsame Projekte und geplante Kooperationen mit dem BND gestoppt worden. Die USA überlegten demnach auch, Überwachungsmaßnahmen wie in Bad Aibling an andere Geheimdienste zu übertragen. Andere Medien hatten berichtet, dass nicht näher benannte Treffen europäischer Geheimdienste bereits ohne den BND stattfinden würden.
Laut dem Bundesinnenminister Thomas de Maizière (CDU) könnte nach dem Kanzleramt auch das Innenministerium vom Groll der US-Regierung betroffen sein. Zwar sei die „Zusammenarbeit mit den USA bei der Terrorabwehr“ im Bereich der Polizei und der Inlandsgeheimdienste „gegenwärtig nicht eingeschränkt“. Weiter heißt es:
Es gibt allerdings Sorgen, dass sich das ändern könnte. […] Wenn geheime Unterlagen auf dem Markt verkauft oder dargeboten werden, dann gefährdet das die Zusammenarbeit.
-
: „Dauerhaft angespannte Bedrohungslage“: Europol und Interpol wollen Verschlüsselung umgehen und Geheimdienstdaten verarbeiten
Der BKA-Vize Jürgen Stock wechselte kürzlich zu Interpol. Die internationale Polizeiorganisation soll unter seiner Leitung vor allem im Bereich der digitalen Strafverfolgung den Ton angeben. : „Dauerhaft angespannte Bedrohungslage“: Europol und Interpol wollen Verschlüsselung umgehen und Geheimdienstdaten verarbeiten Rob Wainwright, der Chef der EU-Polizeiagentur Europol, hat in einem Interview erneut vor der zunehmenden Nutzung von Verschlüsselungstechnologien gewarnt. Dies berichtet die in Österreich erscheinende Onlineausgabe der Zeitung Die Presse. Wainwright erklärte im Interview, Verschlüsselung sei „eines der Hauptinstrumente von Terroristen und Kriminellen“. Sie verwendeten die Technologie, um „ihre Identitäten zu verbergen“.
Der Europol-Chef war Teilnehmer einer Konferenz im österreichischen St. Pölten mit 20 geladenen europäischen Innenministern. Am sogenannten „Salzburg Forum“ nahmen außer Österreich, Italien und Deutschland vor allem südosteuropäische Länder teil.
Wainwright knüpft mit seinen Äußerungen an Forderungen des „Anti-Terrorismus-Koordinators“ der Europäischen Union, Gilles de Kerchove, an. Allerdings solle Verschlüssung laut dem Europol-Chef nicht komplett verboten werden. Auch seien Hintertüren eher ungeeignet, denn darüber würden die Anwendungen womöglich auch von Dritten kompromittiert. Vielmehr sollten Behörden „mit Technologiefirmen kooperieren“, um auf diese Weise „Zugang zur Kommunikation jener Personen zu bekommen, die unsere Gesellschaft beschädigen wollen“.
Abendessen mit Google & Co.
Es ist unklar welche „Technologiefirmen“ hier gemeint sind. Vermutlich handelt es sich um die Firmen Google, Facebook und Microsoft, mit denen sich Europol bereits vergangenen Oktober zum Abendessen traf. Zusammen mit den EU-Innenministern wollte Europol die Internetdienstleister für einfachere Verfahren zur Löschung unliebsamer Internetinhalte bewegen.
Geplant ist die Einrichtung einer „Meldestelle“ bei Europol. Sie soll bereits ab dem 1. Juli einsatzbereit und dem ebenfalls bei Europol geplanten „Europäischen Zentrum zur Terrorismusbekämpfung“ angegliedert werden. Dort können sich EU-Polizeibehörden erkundigen, ob Accounts oder Webseiten bereits von anderen Behörden beobachtet werden. Aufklärungsergebnisse werden dann an die anfragende Polizei weitergegeben.
Mitgeteilt würde auch, wenn ein Geheimdienst Accounts für die heimliche Beobachtung benötigt. Dann soll eine Sperrung möglichst unterbleiben. Dabei geht es unter anderem um Twitter, denn viele NutzerInnen lassen das Geotagging aktiviert. GPS-Koordinaten in ISIS-Gebieten könnten dadurch nachvollzogen werden. Auch würden Geheimdienste über Twitter Informationen über „lokale Ereignisse“ erhalten.
Ein weiteres Treffen mit Google & Co. soll diesen Monat stattfinden. Die EU-Kommission kündigte an, bei dem Treffen sollten auch „Bedenken der Strafverfolgungsbehörden in Bezug auf die neuen Verschlüsselungstechniken Raum gegeben werden“.
Warnung vor „dauerhaft angespannter Bedrohungslage“ in Europa
Auch der neue Chef von Interpol, Jürgen Stock, war bei der Konferenz in St. Pölten zugegen. Stock war früher Vizepräsident beim Bundeskriminalamt (BKA) und hatte seinerzeit zahlreiche technische Innovationen vorangetrieben. Beim BKA war Stock ab 2005 mitverantwortlich für ein mehrjähriges EU-Sicherheitsforschungsprogramm und saß dabei mit europäischen Rüstungsfirmen in einer Steuerungsgruppe. Eines der daraus resultierenden umstrittenen Projekte war das unter polnischer Leitung stehende und mittlerweile durch Nachfolgeprogramme ersetzte INDECT.
Gegenüber der Presse erklärte Stock, Polizeibehörden benötigten immer öfter Informationen von Geheimdiensten. Dies sei notwendig, da „wir uns in Europa dauerhaft auf eine angespannte Bedrohungslage einstellen müssen“. Der Europol-Direktor pflichtet bei, „zumindest“ im Bereich der Bekämpfung des internationalen Terrorismus würden die Grenzen zwischen Polizei und Geheimdiensten „verschwimmen“.
Wainwright will im Europol-Hauptquartier abhörsichere Räume einbauen lassen. Dann könnten bei der EU-Polizeiagentur auch Informationen auch vom Bundesamt für Verfassungsschutz gespeichert und verarbeitet werden.
-
: Internet-Meldestelle bei Europol verschont Inhalte und Accounts, die für geheimdienstliche Aufklärung gebraucht werden
: Internet-Meldestelle bei Europol verschont Inhalte und Accounts, die für geheimdienstliche Aufklärung gebraucht werden Die EU-Polizeiagentur Europol hat Details zu ihrer neuen „EU-Meldestelle für Internetinhalte“ skizziert. In einem bereits sechs Wochen alten Konzeptpapier werden Aufgabenbereiche und Vorgehensweisen der „EU Internet Referral Unit“ beschrieben. Das Dokument ist eingestuft und wurde von der britischen Bürgerrechtsorganisation Statewatch veröffentlicht.
Die Pläne zum Aufbau der Meldestelle sind erst seit einem Treffen der EU-InnenministerInnen im März bekannt. Vor einer Woche hatte die EU-Kommission in ihrer „Europäischen Sicherheitsagenda“ erklärt, die Meldestelle solle bereits ab dem 1. Juli einsatzbereit und dem ebenfalls noch nicht errichteten „Europäischen Zentrum zur Terrorismusbekämpfung“ angegliedert werden. Der Fokus beider Einrichtungen liege demnach zunächst auf islamistischen Terrorismus. Europol fordert hierzu die Erlaubnis, auch geheimdienstliche Informationen verarbeiten zu dürfen.
Europol will mithilfe der neuen Einrichtung den „terroristischen Mißbrauch des Internets“ eindämmen. Geplant seien sowohl „präventive“ als auch „pro-aktive“ Maßnahmen. So würden unliebsame Inhalte oder Accounts bei Sozialen Medien markiert und entsprechende Informationen unter den Behörden der EU-Mitgliedstaaten verteilt. Eine „dynamische Aufklärung“ soll weitere Informationen zu den dahinter stehenden Personen oder Organisationen besorgen.
„Beseitigung“ und Sperre
In der „Europäischen Sicherheitsagenda“ hatte die Kommission davon gesprochen, die Meldestelle solle die Mitgliedstaaten bei der „Beseitigung gewalttätiger extremistischer Online-Inhalte“ unterstützen. Auch im nun veröffentlichten Europol-Dokument ist die Rede vom „removal of content“. Die ebenfalls erwähnte Sperre („suspension“) bezieht sich wohl auf Accounts bei Sozialen Medien. Vor jeder Maßnahme soll Europol eine „ganzheitliche Risikoeinschätzung“ vornehmen. Diese sollte auch die möglichen Auswirkungen auf die LeserInnen der zu entfernenden Inhalte bewerten.
Europol will die zuständigen Behörden der Mitgliedstaaten zu strategischen Vorgehensweisen beraten. Denn die Accounts und Webseiten werden von Polizeien und Geheimdiensten auch zur Beobachtung oder Infiltration genutzt. Die Sperren und das Entfernen von Internetauftritten soll beispielsweise unterbleiben, wenn sie Informationen brauchbare Informationen liefern oder für Ermittlungen benötigt werden. Genannt werden Twitter-Accounts, die – sofern das Geotagging aktiviert ist – GPS-Koordinaten in ISIS-Gebieten offenlegen könnten. Auch würden Geheimdienste über Twitter Informationen über „lokale Ereignisse“ erhalten.
BKA legt Grundstein
Die Meldestelle soll laut der Kommission eng „mit Partnern aus der Wirtschaft“ kooperieren. Gemeint sind unter anderem Google, Facebook und Microsoft, mit denen Europol bereits im Oktober vergangenen Jahres zu einem Abendessen zusammenkam. Im Mai ist ein weiteres Treffen geplant. Dort sollen auch „Bedenken der Strafverfolgungsbehörden in Bezug auf die neuen Verschlüsselungstechniken Raum gegeben werden“. Die Kommission hatte davon gesprochen, hierzu auch die „Zivilgesellschaft“ einzuladen. Im Europol-Dokument kommt dies nicht vor.
Die EU-Mitgliedstaaten sollen nun Kontaktstellen für die Meldestelle benennen. In Deutschland läge die Zuständigkeit wohl bei der Staatsschutzabteilung des Bundeskriminalamts (BKA). Für Mitte April hatte Europol die nationalen Ableger der Meldestelle zu einem operativen Treffen eingeladen.
Das ist insofern interessant, als dass das Bundesinnenministerium sich noch am 10. April zu der neuen Europol-Einheit völlig ahnungslos gab. So sei nicht bekannt, mit welchen Aufgaben die Meldestelle überhaupt betraut werde. Auch habe das BKA noch keine nationalen „Experten“ benannt.
Umfassende Datensammlung
Allerdings hatte das BKA selbst die Vorläufer der neuen Meldestelle installiert. 2007 startete der deutsche Staatsschutz bei Europol das Projekt „Check the Web“, das ebenfalls „Veröffentlichungen terroristischer Organisationen und von Personen aus dem islamistisch-jihadistischen Spektrum“ speichert und analysiert. Die Abteilung beschäftigt LinguistInnen für sieben beobachtete Sprachen, darunter auch russisch.
Gespeichert werden Videos, Audiodateien, Textveröffentlichungen und Erklärungen. Eine eigens angelegte Analysedatei enthält Daten über mehr als 10.000 „Dokumente und Individuen“. Die Datenfelder von „Check the Web“ umfassen ein breites Spektrum:
Die den Veröffentlichungen zugeordneten Organisationen und Personen sind mit den gespeicherten Veröffentlichungen verknüpft und enthalten weitere Hintergrundinformationen. Die in den Mitgliedstaaten vorliegenden Auswertungen zu einzelnen Veröffentlichungen können ebenfalls an CtW angeliefert werden. Weiterhin enthält die Datenbank Informationen zu relevanten Personen, Organisationen, Medienstellen und Internetseiten aus dem Bereich des religiös motivierten Terrorismus.
Die neue Meldestelle will nicht nur auf dem Projekt „Check the Web“ aufbauen. Auch die Expertise des gerade einmal zwei Jahre alten „Cybercrime-Zentrums“ (EC3) soll bei der Analyse und Beseitigung unliebsamer Inhalte helfen. Im Europol-Dokument werden dessen Fähigkeiten zur „Cyber-Aufklärung“ und forensischen Analyse gelobt. Das Zentrum habe auch gute Erfahrung in der Analyse von Massendaten.
-
: Neuer Fünfjahresplan für die innere Sicherheit befürwortet Anti-Terror-Zentrum bei Europol
Europol-Broschüre zur "Zukunft der Strafverfolgung". : Neuer Fünfjahresplan für die innere Sicherheit befürwortet Anti-Terror-Zentrum bei Europol Auch die Kommission schlägt mittlerweile die Einrichtung eines „European Counter Terrorism Centre“ (ECTC) vor. Dies berichtet die Tageszeitung Die Welt unter Berufung auf eine Mitteilung namens „Europäische Agenda für Sicherheit“, die von der Kommission morgen veröffentlicht werden soll. Das Papier soll die „wichtigsten Prioritäten und Maßnahmen für den Zeitraum 2015–2020“ beschreiben. Das ECTC wird nur einen von vielen Punkten darstellen: Die Mitteilung der Kommission befasst sich mit der zukünftigen Bekämpfung von „Terrorismus, organisiertem Verbrechen und Cyberkriminalität“. Ähnliche Papiere hatte die EU in der Vergangenheit als Fünfjahrespläne oder als „Strategie der inneren Sicherheit“ veröffentlicht.
Das vorgeschlagene ECTC folgt offensichtlich dem Vorbild amerikanischer „Fusion Centres“ und dem deutschen „Gemeinsamen Terrorismusabwehrzentrum“ (GTAZ) in Berlin-Treptow. Dort arbeiten alle zuständigen Polizei- und Geheimdienstbehörden in themenspezifischen Arbeitsgruppen zusammen. Derartige Analysegruppen existieren auch bei Europol.
Europol will geheimdienstliche Daten verarbeiten
Bisher war ein solches Zentrum lediglich vom Anti-Terrorismusbeauftragten der EU befürwortet worden. Vor einem Monat hatte schließlich Europol selbst für ein ECTC geworben. Die Polizeiagentur will auf diese Weise auch geheimdienstliche Informationen („intelligence data“) speichern und analysieren. Europol will dadurch „zentrale Nachrichtenlücken“ („key intelligence gaps“) schließen.
Nur eine Woche nach dem Europol-Papier hat auch die Justiz-Agentur Eurojust einen offensichtlich abgestimmten, gleichlautenden Vorschlag zur Verarbeitung von „intelligence data“ gemacht. Europol und Eurojust machen sich mit dem neuen Vorschlag den Umstand zunutze, dass es keine einheitliche Definition für den Begriff „intelligence data“ gibt.
Europol will sogar zum „vorrangigen Informationskanal“ für „intelligence data“ werden. Die Daten könnten von Geheimdiensten der Mitgliedstaaten angeliefert werden. In Deutschland wäre dies das Bundesamt für den Verfassungsschutz.
Derzeit darf Europol keine als „Geheim“ oder „Vertraulich“ eingestufte Daten verarbeiten. Das könnte sich laut dem Europol-Papier vom März ändern. Das EU-Anti-Terror-Zentrum soll abgeschottete, abhörsichere Hochsicherheitstrakte erhalten. Dies wäre nötig, um die Anforderungen für die Verarbeitung als vertraulich oder geheim eingestufter Informationen zu erfüllen.
Nationale Staatsschutz-Abteilungen der Polizei fürchten Konkurrenz
Die europäischen Geheimdienste koordinieren sich bislang in der „Counter Terrorism Group“ (CGT). Die Gruppe gehört nicht zur EU. Im Zuge der Bekämpfung „ausländischer Kämpfer“ wird der Informationsaustausch innerhalb der CTG derzeit intensiviert. Der neue Europol-Vorschlag dürfte bei der CTG als Angriff auf die liebgewonnen Geheimdienst-Kompetenzen verstanden werden.
Europol begründet seine Vorschläge mit Aufforderungen des Rates, seine Anstrengungen zum Informationsaustausch unter den Mitgliedstaaten zu verstärken. Derartige Formulierungen waren womöglich gar nicht als Aufforderung zum Aufbau einer geheimdienstlichen Kriminalpolizei gedacht, finden sich aber seit 9/11 in vielen Ratsdokumenten. Auch in den Beschlüssen zur Einrichtung des Schengener Informationssystems, des SWIFT-Abkommens oder Abkommen zum Tausch von Fluggastdaten tauchen Formulierungen zur Verarbeitung von „intelligence data“ auf.
Zahlreiche Mitgliedstaaten sprechen sich gegen den Vorschlag aus. Befürchtet wird der Verlust nationaler Verantwortungsbereiche bei den Staatsschutz-Abteilungen der Polizei. Auch die Bundesregierung lehnt die Einrichtung eines ECTC unter den derzeit vorgeschlagenen Rahmenbedingungen ab.
-
: Staatstrojaner für Quellen-TKÜ ab Herbst verfügbar
: Staatstrojaner für Quellen-TKÜ ab Herbst verfügbar Um gezielt Ende-zu-Ende-verschlüsselte Kommunikation abfangen zu können, entwickelt das Bundeskriminalamt (BKA) schon seit geraumer Zeit eine angepasste Version des Staatstrojaners. In einem Spiegel-Interview hat BKA-Chef Holger Münch nun verkündet, dass die Software ab dem Herbst 2015 einsatzbereit sein und auch den Ländern zur Verfügung stehen soll.
Die Software zur „Quellen-Telekommunikationsüberwachung“ soll sich in einzelne Kommunikationsvorgänge einklinken, die über VoIP-Messenger wie Skype abgewickelt werden, und deren Inhalte an die Behörden weiterleiten, bevor die Verschlüsselung zu greifen beginnt. „Wir entwickeln ein Instrument, mit dem wir – nach richterlicher Genehmigung – an den Computer des mutmaßlichen Täters gehen, bevor er seine Kommunikation verschlüsselt“, erklärte Münch. Für Quellen-TKÜ gelten deutlich niedrigere Hürden als für eine komplette Überwachung eines Rechners.
Die Neuentwicklung des Staatstrojaners war notwendig geworden, weil die zuvor eingesetzte DigiTask-Software zusätzliche Module nachladen konnte, die weit über Quellen-TKÜ hinausgingen. Nach einer vernichtenden CCC-Analyse sah sich das BKA gezwungen, das Vorhaben mit gesetzlichen Vorgaben in Einklang zu bringen, eine „Standardisierende Leistungsbeschreibung“ zu erarbeiten und die Entwicklung kurzerhand selbst in die Hand zu nehmen. Ob dabei auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) mitgeholfen hat, bleibt unklar.
Update: Zur nach wie vor wackligen Rechtslage siehe den Kommentar von @vieuxrenard.
-
: Innenministerium bestätigt rechtswidrige Speicherung linker AktivistInnen
In der Datei „PMK-links-Z“ werden linke AktivistInnen gespeichert. Die Daten können im Rahmen von Polizeimaßnahmen oder Ermittlungen zu Folgemaßnahmen führen. : Innenministerium bestätigt rechtswidrige Speicherung linker AktivistInnen Vor zwei Wochen hatten wir hier über die rechtswidrige Speicherpraxis beim Bundeskriminalamt (BKA) berichtet: Die Behörde wurde vom damaligen Bundesbeauftragten für Datenschutz und Informationsfreiheit (BfDI) in einem Kontrollbericht mehrfach für die Führung der Datei „PMK-links‑Z“ gerügt. Das Kürzel steht für „Politisch motivierte Kriminalität“, gespeichert werden linke AktivistInnen.
Das Dokument (PDF) wurde erst jetzt durch eine Anfrage nach dem Informationsfreiheitsgesetz öffentlich und birgt einige Brisanz. Denn daraus geht hervor, dass alle fünf Betroffenenkategorien der beim BKA-Staatsschutz geführten Zentraldatei „PMK-links‑Z“ datenschutzrechtliche Mängel aufwiesen. Die nach ähnlichem Muster geführten Dateien „PMK-rechts‑Z“ und „PM-Ausländerkriminalität“ dürfte davon ebenfalls betroffen gewesen sein.
Kritik an „gravierendem Verstoß“ heißt jetzt „datenschutzrechtlicher Hinweis“
Die 2.900 (Zahl aus dem Jahr 2013) gespeicherten Personen sind in die Kategorien „Beschuldigte“, „Verdächtige“, „Kontakt-/Begleitpersonen“, „Sonstige Personen“ und „Prüffälle“ unterteilt. Schon während des Kontrollbesuchs des BfDI hatte das BKA zur Datei „PMK-links‑Z“ erklärt, dass viele „Sonstige Personen“ womöglich illegal gespeichert sind. Nach einer internen Überprüfung seien fast alle der Gespeicherten gelöscht worden. Tatsächlich gab das Bundesinnenministerium (BMI) die Zahl der „Sonstigen Personen“ im Jahr 2013 mit Null an.
Nun hat sich das BMI in der Fragestunde des Bundestages zu den rechtswidrig gespeicherten AktivistInnen geäußert. Die Antwort des Staatssekretärs Günter Krings ist ein Lehrstück in Sachen Schönfärberei. So habe der BfDI dem BKA „datenschutzrechtliche Hinweise für die Anwendung der einschlägigen gesetzlichen Bestimmungen zur Datenspeicherung gegeben“. Das ist nett ausgedrückt, denn der BfDI hat in allen untersuchten Personenkategorien Mängel gefunden und sprach von nicht weniger als einem „gravierenden Verstoß gegen datenschutzrechtliche Vorschriften“.
Die „Hinweise“ seien vom BKA aufgenommen worden und hätten „eigene Überprüfungen“ der Datei „PMK-links“ sowie anderen, ähnlichen beim BKA geführten Zentraldateien geführt. Speicherungen, die „nicht im Einklang mit den datenschutzrechtlichen Vorgaben und Hinweisen der BfDI standen“, seien gelöscht worden. Allerdings ist die Größenordnung unklar, denn Zahlen werden nicht genannt.
BKA druckt neue Broschüren
Laut der Antwort habe das BKA als „Konsequenz aus den Beanstandungen“ die zuständigen MitarbeiterInnen „entsprechend sensibilisiert“. Auch würden nun Fortbildungen angeboten und neue „Fachunterlagen“ erstellt.
Dass Hunderte, vielleicht sogar Tausende Personen rechtswidrig gespeichert worden waren und dies womöglich auch Nachteile bei polizeilichen Kontrollen oder Ermittlungen nach sich zog, erwähnt der Staatssekretär nicht. Die „Beratung und Kontrolle“ des BfDI habe jedoch „zu einer Verbesserung des Datenschutzes im Bereich der Zentraldateien des BKA geführt“.
-
Informationsfreiheits-Ablehnung: Jedes Dokument des Untersuchungsausschusses soll geheim bleiben
Teil des BKA-Gesetzes: Der Staatstrojaner. Informationsfreiheits-Ablehnung: Jedes Dokument des Untersuchungsausschusses soll geheim bleiben Jedes einzelne Dokument, das auch dem Geheimdienst-Untersuchungsausschuss vorliegt, soll vom Informationsfreiheitsgesetz ausgenommen sein. Mit dieser Begründung verweigern uns Kanzleramt, Innenministerium und nun BSI die Herausgabe von Dokumenten zur Rolle des BSI beim Staatstrojaner. Die Opposition bezeichnet das als „hanebüchen“ und „fragwürdig“.
-
: Europol will Löschungen von Internetinhalten erleichtern und gründet „Forum der Gemeinschaft der Internetdienstleister“
: Europol will Löschungen von Internetinhalten erleichtern und gründet „Forum der Gemeinschaft der Internetdienstleister“ 2007 initiierte das Bundeskriminalamt (BKA) bei Europol das Projekt „Check the Web“, in dem Informationen von „Webseiten und Verlautbarungen von Organisationen/Personen aus dem Phänomenbereich des Islamistischen Terrorismus“ gesammelt werden. „Check the Web“ ist mittlerweile eine Datenbank mit grafischem Frontend geworden. Außer den Kriminalpolizeien der Mitgliedstaaten sind die Schweiz und Australien als „assoziierte Drittstaaten“ angeschlossen. Die Bundesregierung hat hierzu nun eine Kleine Anfrage beantwortet. Darin heißt es::Die Datei CtW enthält strukturiert abgelegte Informationen zu im Internet veröffentlichten Videos, Audiodateien, Textveröffentlichungen und Erklärungen. Die den Veröffentlichungen zugeordneten Organisationen und Personen sind mit den gespeicherten Veröffentlichungen verknüpft und enthalten weitere Hintergrundinformationen. Die in den Mitgliedstaaten vorliegenden Auswertungen zu einzelnen Veröffentlichungen können ebenfalls an CtW angeliefert werden.
Weiterhin enthält die Datenbank Informationen zu relevanten Personen, Organisationen, Medienstellen und Internetseiten aus dem Bereich des religiös motivierten Terrorismus.[…]
Nach Angaben von Europol vom 16. März 2015 enthält das CtW-Portal mehr als 10 000 elektronische Dokumente und Individuen.Aufgabenstellung der in zwei Monaten startenden „Hinweisstelle“ bislang unklar
Ab Juli soll bei Europol zusätzlich eine „Hinweisstelle“ („EU Internet Referral Unit“) eingerichtet werden, bei der „illegale extremistisch-terroristische Internetinhalte“ gemeldet werden können. Nach gegenwärtigem Stand bleibt die „Hinweisstelle“ zunächst ebenfalls auf „islamistischen Terrorismus“ beschränkt. Bis Ende Mai 2015 sollen alle Mitgliedstaaten die polizeilichen Stellen benennen, die an der neuen Europol-Einheit mitarbeiten wollen. Für Deutschland ist das wohl eine Abteilung des BKA-Staatsschutzes.
Obwohl der Start also in zwei Monaten ansteht, ist die Aufgabenstellung der „Hinweisstelle“ laut der Bundesregierung vollkommen unklar:
Die Ausgestaltung und Arbeitsweise der „EU Internet Referral Unit“ wird in den EU-Gremien noch erörtert. Worin genau der Unterschied zu CtW bestehen wird, steht derzeit daher noch nicht fest.
Allerdings geht es nicht nur um die Zulieferung von verdächtigen Inhalten, sondern um die Entfernung derselben. Europol kooperiert hierzu mit Internetanbietern und weitet diesen „Austausch“ auf Wunsch des Rates aus. Die Polizeiagentur soll die gemeldeten Inhalte mit strategischen Analysen unterfüttern und Empfehlungen für operative Maßnahmen aussprechen. Außer der Einleitung von Ermittlungen geht es darum, Provider zu Löschungen zu bewegen. Hintergrund ist, dass Google & Co. mit einer Aufforderung durch Polizeibehörden stärker unter Druck gesetzt werden sollen.
Worin besteht eigentlich die hiesige „Auslegung von Anstand, Sitte und Moral“?
Aus einer informellen Zusammenkunft von Europol mit den Providern vom Oktober 2014 ist laut einem Ratsdokument nun ein „Forum der Gemeinschaft der Internetdienstleister“ geworden. Es soll die Arbeit von Europol ausdrücklich unterstützen. Die Bundesregierung hat angeblich keine Ahnung wie „das in Rede stehende Forum“ entstand oder wer ihm angehört. Jedoch handele es sich „um ein Forum der Europäischen Kommission“. Weiter heißt es:
Nach Angaben von Europol vom 16. März 2015 soll im Rahmen des Forums der Kommission mit der Gemeinschaft der Internetdienstleister ein gemeinsamer Ansatz erörtert werden, wie die Meldung von Webseiten, die gegen die Nutzungsbedingungen einzelnen Anbieter verstoßen, verbessert werden kann.
In Bezug auf Videos von Enthauptungen oder anderen Gräueltaten sind die Interdienstleister jedoch von sich aus bemüht, Filme möglichst schnell zu erkennen und den Zugang zu sperren. Die Bundesregierung sieht das eigentlich auch so. Trotzdem bestehe Handlungsbedarf, denn: Google & Co. könnten jedoch bei der Bewertung gewaltverherrlichender Inhalte zu anderen Ergebnissen kommen, „als es nach deutschem Recht oder hiesiger Auslegung von Anstand, Sitte und Moral der Fall wäre“.
-
: BKA an 17 neuen EU-Arbeitsgruppen zur Kontrolle des Internet beteiligt, Details sollen geheim bleiben
Vielsagende Illustration einer Broschüre des Europol-Zentrums zzr Verfolgung von „Cybercrime“ EC3. : BKA an 17 neuen EU-Arbeitsgruppen zur Kontrolle des Internet beteiligt, Details sollen geheim bleiben Das Bundeskriminalamt (BKA) ist an mindestens 17 Maßnahmen der EU-Polizeiagentur Europol beteiligt, die sämtlich die bessere Ausforschung und Kontrolle des Internet zum Ziel haben. So sollen etwa eine „Internetauswertungskoordinierungsgruppe“ gegründet und „Maßnahmen gegen inkriminierte Kommunikationsplattformen“ gestartet werden.
Die Angaben finden sich in der Antwort des Bundesinnenministeriums auf eine Kleine Anfrage. Dort wird allerdings lediglich die Existenz der Projekte bestätigt. Auch werden die TeilnehmerInnen benannt, alle weiteren Details sind aber als Verschlusssache eingestuft.
Die Maßnahmen waren von Europol zuerst im ebenfalls nicht öffentlichen „Operativen Aktionsplan zur Priorität ‚Cyberangriffe‘“ aufgeführt worden. Auch dieses Dokument war allerdings nicht öffentlich zugänglich. Zwar wird als Zeitraum für die Maßnahmen sämtlich das Jahr 2015 angegeben. Einige von ihnen werden aber laut der Bundesregierung erst 2016 beendet.
Mehrere der Projekte werden sogar vom BKA geleitet, bei anderen fungiert die deutsche Behörde als „Co-Leiter“, bei anderen als „Unterstützer“. Worin sich die konkrete Beteiligung ausdrückt bleibt unklar, auch die personellen Ressourcen werden nicht mitgeteilt. Außer dem BKA ist auch das Landeskriminalamt Bayern (BLKA) mehrfach einbezogen.
Laut der Antwort auf eine frühere Kleine Anfrage sind Aktionsleiter „insbesondere für die Koordination der Aktivitäten der Teilnehmer an der Maßnahme verantwortlich“. Sie sollten sich des Weiteren „mit den Co-Aktionsleitern zur weiteren Gestaltung der Maßnahme abstimmen und weitere Teilnehmer einbinden“.
Bekannt war bislang lediglich die deutsche Teilnahme an der Arbeitsgruppe „Joint Cyber Action Task Force“ (J‑CAT). Die Einheit ging im September bei Europol an den Start und gehört zum European Cybercrime Center (EC3). Im Fokus stehen Hackerangriffe, Botnets, Bitcoins und NutzerInnen, die sich via TOR und I2P unsichtbar machen. Die J‑CAT soll Bedrohungen möglichst im Vorfeld analysieren und ihre Gefährlichkeit gewichten. Hierfür werden sowohl „offene Quellen“ als auch polizeiliche Erkenntnisse aus Ermittlungen genutzt.
Eine der neuen Arbeitsgruppen soll „Cyberbedrohungen mit Auswirkung auf zwei oder mehr Mitgliedstaaten“ identifizieren. Die Aktionsleitung ist ausgerechnet Großbritannien übertragen, das nach Medienberichten selbst für einen Cyberangriff auf EU-Einrichtungen verantwortlich sein soll und dabei den Trojaner „Regin“ einsetzte. Die Co- Aktionsleitung der Maßnahme liegt bei Europol. Die EU-Agentur hatte damals kein Mandat erhalten, den mutmaßlich vom britischen Geheimdienst GCHQ durchgeführten Angriff aufzuklären. Ob der damalige Vorfall in der Arbeitsgruppe eine Rolle spielen soll ist unklar.
Die nun bekannt gewordenen Europol-Arbeitsgruppen im Einzelnen:
1. Konsolidierung einer Internetauswertungskoordinierungsgruppe
Aktionsleitung BKA, Co-Aktionsleiter Spanien, Unterstützer Norwegen, Schweiz, Europol und Eurojust2. Maßnahmen gegen inkriminierte Kommunikationsplattformen
Aktionsleitung BKA, Unterstützer Griechenland und Spanien3. Erhebung von Informationen zur Notwendigkeit eines „Compromised Data Clearing House“
Aktionsleitung BKA, Co-Aktionsleitung Niederlande, Unterstützer Europol, Interpol, CERTs,4. Entwicklung/Implementierung eines Anonymisierungsverfahrens für die Datenauswertung
Aktionsleitung Europol, Unterstützung Deutschland (BKA), Kroatien, J‑CAT, Eurojust5. Entwicklung/Implementierung einer Online-Ausbildungsplattform
Aktionsleitung Europol, Unterstützung Deutschland (BKA), CEPOL, ECTEG6. Erstellung des Internet Organised Crime Threat Assessment-l-OCTA
Aktionsleitung Europol, Unterstützer sind EU-Mitgliedstaaten (für Deutschland das BKA), Norwegen, Eurojust und Interpol7. Identifizierung von Cyberbedrohungen mit Auswirkung auf zwei oder mehr Mitgliedstaaten
Aktionsleitung Großbritannien, Co- Aktionsleitung Europol, Unterstützer sind EU-Mitgliedstaaten (für Deutschland das BKA), Norwegen8. Entwicklung gemeinsamer Methoden zur Cybercrimebekämpfung
Aktionsleitung Großbritannien, Co- Aktionsleitung Europol, Unterstützer sind EU-Mitgliedstaaten (für Deutschland das BKA), Norwegen, Interpol9. Identifizierung von wertigen Tätergruppen für gemeinsame Ermittlungen
Aktionsleitung Großbritannien, Co- Aktionsleitung Europol, Unterstützer sind EU-Mitgliedstaaten (für Deutschland das BKA), J‑CAT10. Sammlung und Auswertung von Schadsoftware, die gegen Banken eingesetzt werden
Aktionsleitung Großbritannien, Co- Aktionsleitung Europol, Unterstützer sind EU-Mitgliedstaaten (für Deutschland das BKA), J‑CAT, Interpol11. Maßnahmen gegen wertige Cybercrime-Gruppierungen
Aktionsleitung Großbritannien, Co- Aktionsleitung Rumänien, Unterstützer sind EU-Mitgliedstaaten (für Deutschland das BKA), EUCTF, Europol, Eurojust12. Identifizierung von und Ermittlungen gegen Cybercrime-Gruppierungen, die den Service von OK [Organisierte Kriminalität]-Gruppierungen nutzen
Aktionsleitung Frankreich, Co- Aktionsleitung Rumänien, Unterstützer sind EU-Mitgliedstaaten (für Deutschland das BKA), Norwegen, Europol, Eurojust13. Unterstützung der EU-Mitgliedstaaten und operativen Partner in der Integration von Finanzermittlungen in Ermittlungen im Rahmen des OAP
Aktionsleitung Europol, Unterstützer sind EU-Mitgliedstaaten (für Deutschland das BKA), Norwegen, Eurojust14. Implementierung eines Koordinierungsmechanismus zur Bekämpfung von Botnetzen
Aktionsleitung Europol, Unterstützer Frankreich, Großbritannien, EUCTF [European Cybercrime Task Force]15. Erstellung von Richtlinien gemäß Art. 13 der Richtlinie 2013/40/EU zu Cyberangriffen gegen Informationssysteme
Aktionsleitung Kroatien, Co-Aktionsleitung Slowenien, Unterstützer Deutschland (BKA), Portugal, Europol, Eurojust, EUCTF, DG Home [EU-Kommission]16. Entwicklung von Kursen und Kursmaterialien zur Aus- und Fortbildung von Cybercrime-Ermittlern
Aktionsleitung CEPOL, Co- Aktionsleitung Europol, Eurojust, ECTEG, Unterstützung durch die EU-Mitgliedstaaten (für Deutschland BKA), DG Home17. Unterstützung einer operativen ITOM-Maßnahme zu Trainingszwecken
Aktionsleitung Niederlande, Co-Aktionsleitung Europol, Eurojust, Unterstützer sind die EU-Mitgliedstaaten (für Deutschland das BKA) -
: BKA-Datenbank: Laut Bundesdatenschutzbeauftragtem „gravierender Verstoß gegen datenschutzrechtliche Vorschriften“
Anwendungen von rola Security Solutions verknüpfen bei Polizei, Militär und Diensten Personendaten mit Ereignissen. Beim BKA fand der BfDI hierzu zahlreiche datenschutzrechtliche Verstöße. : BKA-Datenbank: Laut Bundesdatenschutzbeauftragtem „gravierender Verstoß gegen datenschutzrechtliche Vorschriften“ Zahlreiche beim Bundeskriminalamt (BKA) vorgenommen Speicherungen von Personendaten waren rechtswidrig. Dies geht aus einem Kontrollbericht (pdf) des Bundesbeauftragten für Datenschutz und Informationsfreiheit (BfDI) hervor, der nun mittels einer Anfrage nach dem Informationsfreiheitsgesetz befreit wurde.
Untersucht wurde die seit 2008 bei der Staatsschutzabteilung des BKA geführte Zentraldatei „PMK-links‑Z“. Der damals noch amtierende BfDI, Peter Schaar, hatte hierzu einen „Beratungs- und Kontrollbesuch“ in der Abteilung Staatsschutz in Meckenheim vorgenommen. Der Bericht datiert auf September 2012, rund vier Jahre nach Errichtung der Datei „PMK-links‑Z“.
Zweifelhafte Praxis kam erst über IFG-Anfragen ans Licht
„PMK“ steht für „Politisch motivierte Kriminalität“. Verarbeitet werden Daten über linken politischen Aktivismus. Auch die Landeskriminalämter liefern hierzu Informationen. Der Zweck der Zentraldatei ist die „vorbeugende Strafverfolgungsvorsorge“ bzw. „vorbeugende Gefahrenabwehr“.
Auch die Errichtungsanordnung der Datei wurde erst über eine IFG-Anfrage öffentlich. Demnach werden außer Personen- und Sachdaten auch Örtlichkeiten und Institutionen gespeichert. Ebenfalls gesammelt werden Ereignisse oder Daten aus der Telekommunikationsüberwachung. Soweit bekannt, basiert die Datei auf einem System der Firma rola Security Solutions, die inzwischen von T‑Systems aufgekauft wurde.
Geprüft wurden 33 stichprobenartig ausgewählte Fälle. Aufmerksam wurde der ehemalige oberste deutsche Datenschützer erst durch eine Eingabe eines Petenten, der sich widerrechtlich gespeichert sah und dessen Fall ebenfalls geprüft wurde. Die Ergebnisse dieses Einzelberichts werden in einem gesonderten Bericht festgehalten.
Etliche Speicherungen zu weitgehend oder zweifelhaft
In der Datei „PMK-links‑Z“ sind Personen in unterschiedliche Betroffenenkategorien unterteilt. Hierzu gehören „Beschuldigte“, „Verdächtige“, „Kontakt-/Begleitpersonen“, „Sonstige Personen“ und „Prüffälle“. Bei letzteren wird noch ermittelt, bevor eine endgültige Zuordnung vergeben wird.
Der BfDI hat in sämtlichen Kategorien Mängel gefunden. Speicherungen seien zu weitgehend oder zweifelhaft, etwa wenn keine ausreichende Tatsachengrundlage für eine „Negativprognose“ oder „Gefahrenprognose“ vorlag. Teilweise seien sogar Personen gespeichert gewesen, die lediglich „im Zusammenhang mit Versammlungen“ aufgefallen sind.
Bei „sonstigen Personen“ fehlte laut dem Bericht in allen geprüften Fällen eine Speicherungsgrundlage. Dies habe der Staatsschutz selbst zugegeben:
Das BKA räumte bereits während des Prüfgespräches ein, dass alle in dieser Betroffenenkategorie während des Kontrollbesuchs betrachteten Personendatensätze nicht hätten gespeichert werden dürfen und kündigte eine unverzügliche Prüfung aller gespeicherten Personen dieser Betroffenenkategorie an. Nach Mitteilung des behördlichen Datenschutzbeauftragten hat das BKA im Nachgang nunmehr nahezu sämtliche Speicherungen dieser Kategorie gelöscht.
Gespeicherte nicht immer dem Phänomenbereich „links“ zuzuordnen
Die Verarbeitung von „Prüffällen“ sei aus datenschutzrechtlicher Sicht grundsätzlich kritisch und führe laut dem BfDI zur Gefahr, dass Personen gespeichert werden, die an der Begehung von Straftaten nicht beteiligt oder womöglich nur zufällig an bestimmten Orten anwesend waren. Auch würden Informationen ausländischer Behörden gespeichert. In einem geprüften Fall sei eine Person bei einem bestimmten Ereignis im Ausland anwesend gewesen, ein konkreter Vorwurf gegen den Betroffenen wurde aber nicht mitgeteilt.
Soweit personenbezogene Daten aber keine Informationen zu Straftaten oder Gefahrenlagen enthielten, dürften diese „nicht dauerhaft aufbewahrt und erst recht nicht mit Dateien verknüpft werden“. Außerdem sei in vielen Fällen zu hinterfragen, ob die Gespeicherten tatsächlich zwingend dem Bereich der PMK „links“ zuzuordnen seien. So seien in manchen Fällen die Personalien Hunderter Personen festgestellt worden, bei denen gar nicht zweifelsfrei festgestellt werden könne, ob eine „Negativprognose“ vorliegt.
Überarbeitungsbedarf bei den Ländern
Ein wesentlicher Teil der Speicherungen beruht laut dem BfDI auf Meldungen innerhalb des sogenannten Kriminalpolizeilichen Meldedienstes (KPMD). Sie werden von Landespolizeibehörden in „kriminaltaktischen Anfragen“ übermittelt und enthalten „Erkenntnisse, die bestimmte Ereignisse und Personen betreffen“. Die „kriminaltaktischen Anfragen“ werden von den Landeskriminalämtern dem Bereich der politisch motivierten Kriminalität durch ein Ankreuzfeld zugeordnet.
Hinsichtlich dieser Praxis habe laut dem BfDI „dringender Überarbeitungsbedarf“ bestanden, insbesondere in den Ländern. Das BKA solle „genauere Lagemeldungen einfordern“, um eine bessere Sachverhaltsgrundlage zu erhalten. Nur so könnten die Voraussetzungen der Speicherung überhaupt beurteilt werden. Die Prüfung der Zulässigkeit der Datenübermittlungen liege jedoch im Verantwortungsbereich der Länder. Im Bericht wird angekündigt, hierzu die zuständigen Landesbeauftragten für den Datenschutz zu informieren.
Sogar Anfragen ans BKA werden aufbewahrt
Die „sehr weitgehende Übermittlungspraxis der Länder“ führe laut dem BfDI häufig zu weiteren rechtswidrigen Speicherungen beim BKA. So würden vor Veranstaltungen Informationen an das BKA übermittelt, um dieses um eine Einschätzung der bestehenden Gefahrenlage zu bitten. Mitunter werden diese Anfragen dann „dauerhaft für Zwecke der Gefahrenvorsorge aufbewahrt“.
Vielfach erhält das BKA auch keine Informationen über den Ausgang offener Verfahren. So bleibt unklar, ob Daten wegen eines Freispruchs eigentlich gelöscht werden müssten. Wenn das BKA von den Staatsanwaltschaften der Länder diesbezüglich nichts erfährt, können auch andere Behörden nicht darüber unterrichtet werden.
Extra hohe Fristen zur Löschung angekreuzt
Bei einigen der überprüften Speicherungen fiel auf, dass nicht für jede einzelne Eintragung wie vorgeschrieben eine Aussonderungsprüffrist vergeben wurde. Stattdessen hatte das BKA einfach die „höchst mögliche Prüffrist“ von zehn Jahren angekreuzt. Bei Prüffällen darf diese aber beispielsweise maximal zwei Jahre betragen.
Sind Betroffene mehrfach gespeichert (etwa als „Beschuldigte“ und „Prüffälle“) richtet sich die Aussonderungsprüffrist oft nach dem neuesten Ereignis. Alte Daten werden dann nicht wie vorgeschrieben gelöscht („Mitzieheffekt“). Das BKA habe dies mit den Systemeinstellungen der rola-Datei erklärt. Das von rola verwendete Dateisystem sei laut dem BfDI „in rein technischer Hinsicht“ für Verknüpfungen von Personen und Ereignissen „besonders gut geeignet“ und daher bei falscher Handhabung problematisch.
„Auch provokante Formen des Protests grundgesetzlich geschützt“
In „PMK-links‑Z“ werden auch Daten zu Versammlungen verarbeitet. Gespeichert werden AnmelderInnen und TeilnehmerInnen gleichermaßen. Der BfDI sieht hierfür keine Rechtsgrundlage, denn sofern die Versammlungsteilnahme nicht im Zusammenhang mit einer Straftat oder einer polizeirechtlichen Gefahr gestanden hat, dürfe sie laut dem Kontrollbericht niemals erfasst werden. Dies wiege umso schwerer, wenn die Versammlungen störungsfrei verlaufen seien. Dass die Betroffene dennoch in BKA-Dateien landen, betrachtet der BfDI als „gravierenden Verstoß gegen datenschutzrechtliche Vorschriften“. Dies gelte nicht nur für die geprüfte Zentraldatei:
Auch außerhalb der Zentraldatei „PMK-links‑Z“ sehe ich es kritisch, wenn beispielsweise die Meldung einer Polizeidienststelle vom [geschwärzt] im Vorgangsbearbeitungssystem gespeichert wird, die Informationen über eine Anmeldung einer Kundgebung des Vereins [geschwärzt] betrifft.
Ähnliche Bedenken äußerte der BfDI bereits bei der Prüfung der inzwischen aufgelösten und in „PMK-links‑Z“ überführten Datei „IgaSt – international agierende gewaltbereite Störer“. Sie diente dazu, die bei Staatsschutzabteilungen der Kriminalämter anfallenden Daten „im Themenzusammenhang ‚Globalisierung’ “ zu sammeln. Gemeint waren Personen, von denen bekannt war, dass sie zu Protesten auch ins Ausland reisen. Sie wurden auch dann gespeichert, wenn keine Verurteilung vorlag. Auch dies war rechtswidrig. Im neuen Bericht heißt es dazu:
Ich sehe mich daher in meinen Ausführungen im Kontrollbericht zur Prüfung der Zentraldatei „lgaSt“ bestätigt, wonach auch provokante Formen des Protests grundgesetzlich geschützt sind und daher die Teilnehmer nicht gespeichert werden dürfen.
-
: Großbritannien steigt heute wieder ins EU-Fahndungssystem SIS ein, die Technik kommt von CSC Solutions
Still aus einem Werbevideo (https://www.youtube.com/watch?v=h6Hhy_enZmU). : Großbritannien steigt heute wieder ins EU-Fahndungssystem SIS ein, die Technik kommt von CSC Solutions Großbritannien ist seit heute wieder an das Schengener Informationssystem (SIS) angeschlossen. Dies teilte die EU-Kommission in einer Aussendung mit. Damit wird das elektronische Fahndungssystem in nunmehr 29 europäischen Ländern eingesetzt, darunter auch in der Schweiz. Auch die EU-Polizeiagentur Europol und die Kommission sind angebunden.
In dem Fahndungssystem sind Personen und Sachen gespeichert, die zur Fahndung ausgeschrieben sind oder vermisst werden. Erfasst werden Fahrzeuge, Ausweise, Banknoten oder auch Waffen. Möglich (und zunehmend) ist auch die sogenannte „verdeckte Fahndung“, wonach einer ausschreibenden Stelle unbemerkt Meldung gemacht wird wenn eine Person angetroffen oder kontrolliert wird. Nach dem Upgrade auf das SIS II werden auch Lichtbilder und Fingerabdruckdaten verarbeitet. Sogar die phonetische Suche nach dem Klang eines Namens ist möglich.
Fokus auf Strafverfolgung
Viel häufiger wird das SIS aber für Fahndungen nach Personen aus „Drittstaaten“ genutzt, die zur Einreiseverweigerung, Ausweisung oder Abschiebung ausgeschrieben sind (Fahndungen nach Drittausländern, die zur Einreiseverweigerung bzw. Ausweisung/Abschiebung bei Antreffen im Schengen-Raum ausgeschrieben sind; Artikel 96). Ursprünglich als System zur Verbrechensbekämpfung eingeführt stellen MigrantInnen mittlerweile das Gros der Einträge im SIS.
Die britischen Innenbehörden nahmen bereits am SIS teil, jedoch lediglich zur Strafverfolgung. Die Polizei hatte also keinen Zugriff auf Daten von ausreisepflichtigen MigrantInnen nach dem Artikel 96 SDÜ. Das war auch kaum nötig, denn aufgrund der rigiden Grenzüberwachung gelingt nur wenigen MigrantInnen die undokumentierte Einreise über den Ärmelkanal.
Wie Irland verfügte der EU-Mitgliedstaat Großbritannien über das Recht eines sogenannten „Opt-out“ vom Schengener Abkommen. Beide Länder können selbst entscheiden, an welchen Teilen der Schengen-Zusammenarbeit sie teilnehmen wollen. Anlässlich des Inkrafttreten Lissabon-Vertrages entschied Großbritannien den Ausstieg aus allen polizeilichen Zusammenformen mit der EU – allerdings nur um später in rund ein Drittel der Maßnahmen wieder einzusteigen. Das „Opt out“ war politisch motiviert und sollte die Unabhängigkeit der britischen Politik demonstrieren.
Einstieg nach Ausstieg
Genau genommen handelt es sich also um einen Wiedereinstieg. Wie zuvor nimmt Großbritannien auch jetzt lediglich am Bereich der Polizei- und Justizkooperation teil. Die Regierung kann das SIS nicht zur Kontrolle der Schengen-Aussengrenzen nutzen.
Steve Peers von Statewatch weist darauf hin, dass Großbritannien bereits den Widereinstieg in einen ganzen Block von 35 weiteren EU-Maßnahmen ratifiziert hatte. Die Teilnahme am SIS II war aber fünf Wochen zuvor beschlossen worden. Hintergrund seien informelle Verhandlungen mit dem Rat und der Kommission gewesen.
Dabei ging es auch um die Frage, ob die britische Polizei die in das SIS II eingestellten Europäischen Haftbefehle einsehen darf. Die Regierung in London hatte gefordert, dass die zuständigen britischen Stellen diese gesondert zugesandt bekämen. Viele Mitgliedstaaten, darunter Österreich, Frankreich, Spanien und Deutschland hatten dies kritisiert oder sogar angekündigt, sich nicht daran halten zu wollen. Die jetzige Mitteilung der Kommission erklärt nicht, wie die strittige Frage aufgelöst wurde.
Neue Auflagen für externe Dienstleister wie CSC
Die Mitglieder des SIS sind über ihre nationalen Schnittstellen (N‑SIS) an das Fahndungssystem angebunden. Die konkrete Zusammenarbeit wird über die sogenannten „SIRENE-Büros“ abgewickelt. SIRENE Deutschland ist beim Bundeskriminalamt (BKA) angesiedelt. Vergangene Woche hatte die Kommission auf Nachfrage der EU-Abgeordneten Cornelia Ernst erklärt, dass das „Betriebsmanagement“ des britischen N.SIS vom US-Konzern Computer Science Corporations (CSC) bzw. Computer Generated Solutions (CGS) installiert wurde. CSC ist durch Enthüllungen von Edward Snowden als Partner des Militärgeheimdienstes NSA entlarvt worden.
Der deutsche Ableger der Firma hat für das Bundesinnenministerium ebenfalls zahlreiche Aufgaben auch in sensiblen Bereichen übernommen. Auch in Dänemark ist CSC für den Betrieb des N.SIS verantwortlich. Das dortige System wurde 2011 gehackt, die Eindringlinge hatten daraufhin Zugriff auch auf Daten des BKA. Ein anderes Grenzkontrollsystem in Malta wird ebenfalls von CSC betrieben.
Im Januar hatte der SIS-Ausschuss des Rates „Empfehlungen und bewährten Verfahren“ gebilligt, wonach Dritten weder das Betriebsmanagement der N.SIS noch technische Kopien anvertraut werden dürfen. Auch die Kommission hatte sich zuvor entsprechend geäußert. Gemeint sind externe Dienstleister wie CSC. Werden sie dennoch in Anspruch genommen, müssen die Mitgliedstaaten Überprüfungen im Rahmen von Sicherheitsaudits und Inspektionen vornehmen. Dies wird nun von der Kommission bestätigt. Die nationalen Sicherheitsmaßnahmen würden demnach von Sachverständigen der Kommission überprüft. Auch die Europäische Agentur für IT-Großsysteme, die das Schengener Informationssystem SIS betreibt, kann diese Überprüfungen vornehmen.
-
Informationsfreiheits-Ablehnung: Innenministerium verweigert BSI-Trojaner-Dokumente, bestätigt Echtheit
Teil des BKA-Gesetzes: Der Staatstrojaner. Informationsfreiheits-Ablehnung: Innenministerium verweigert BSI-Trojaner-Dokumente, bestätigt Echtheit Das Innenministerium bestätigt, dass das Bundesamt für Sicherheit in der Informationstechnik die Entwicklung des Staatstrojaners aktiv unterstützt hat. Eine Herausgabe der von uns veröffentlichten Dokumente wird aber verweigert, diese seien geheim und Teil des Geheimdienst-Untersuchungsausschusses. Immerhin ist damit die Echtheit der Dokumente offiziell bestätigt.
-
Geheime Kommunikation: BSI programmierte und arbeitete aktiv am Staatstrojaner, streitet aber Zusammenarbeit ab
Teil des BKA-Gesetzes: Der Staatstrojaner. Geheime Kommunikation: BSI programmierte und arbeitete aktiv am Staatstrojaner, streitet aber Zusammenarbeit ab Das BSI hat das BKA bei der Programmierung des Staatstrojaners unterstützt und Quellcode beigesteuert. Das geht aus geheimer interner Kommunikation hervor, die wir veröffentlichen. Gleichzeitig hat die „Sicherheits“-Behörde öffentlich jede Zusammenarbeit abgestritten. Abgeordnete fordern Konsequenzen, vor allem eine Unabhängigkeit des BSI von Regierung und Innenministerium.
-
: #OpAntiSH startet eilige Spendenkampagne für Verletzten in Ägypten
: #OpAntiSH startet eilige Spendenkampagne für Verletzten in Ägypten Unter dem Titel „The hashtag that became a movement“ hatte Leil-Zahra Mortada vergangenen Dienstag beim Digiges-Abend die Kampagne OpAntiSH vorgestellt. OpAntiSH heißt ausgeschrieben „Operation Anti Sexual Harassment“ und existiert seit dem Arabischen Frühling. Ziel war, auch Frauen die Teilnahme an Protesten zu ermöglichen und diese vor sexuellen Übergriffen auf dem zentralen Tahrir-Platz in Kairo zu schützen. Wie das funktioniert hatte Leil-Zahra im Vortrag eindrücklich geschildert:Nicht für die AkteurInnen der Revolte spielte das Internet eine zentrale Rolle, auch OpAntiSH war auf Twitter und Facebook stark präsent. Leider knickte die Kampagne mit der Zeit ein, die Gewalt gegenüber Frauen nahm nicht ab und die AktivistInnen konnten für deren Sicherheit nicht garantieren.
Seit gestern ruft OpAntiSH per Indiegogo zur finanziellen Unterstützung eines Mannes auf, der vor zwei Wochen versuchte sich selbst zu verbrennen. Er war einer von 26 Verhafteten die nach einer Razzia in einem Badehaus im Polizeigewahrsam landeten. Die Polizeiaktion fand in Anwesenheit der homophoben Moderatorin Mona Iraqi statt, die für einen staatsnahen Fernsehsender arbeitet und offensichtlich vorab informiert war. In ihrer Sendung und auf ihrer Facebook-Seite stellte sie die Männer unverpixelt zur Schau.
Zwar wurden alle Festgenommenen später wieder entlassen und von allen Vorwürfen freigesprochen – vielleicht wegen des großen weltweiten Medieninteresses. Jedoch werden die nun landesweit bekannten Männer in ihrem Alltag weiterhin verfolgt. OpAntiSH dazu:
Irrespective of whether these men belong to the LGBTIQ community or not, or if they engage in same-sex relations; the accusation and the consequent detention were enough to destroy their lives in a country where homosexuality is constantly persecuted. Social stigma, discrimination, and an immense emotional stress let alone the trauma of the human rights violations they suffered.
Einer der Männer hielt dem öffentlichen Druck nicht stand und liegt nun mit lebensgefährlichen Verletzungen im Krankenhaus. Die Familie kann die hohen Kosten einer sofort benötigten Behandlung nicht tragen.
Im Februar waren sieben weitere Männer wegen des Praktizierens von männlicher Homosexualität verhaftet worden. Nach Medienberichten hatte die Polizei Fake-Profile in Sozialen Medien angelegt, um den Betroffenen nachzuspüren. Die ägyptische Polizei nutzt auch die unter Homosexuellen beliebte App „GrindR“, um sich unter Vorspiegelung einer Kontaktanbahnung mit Männern zu treffen um diese dann zu misshandeln und festzunehmen. Seit Oktober 2013 sollen mehr als Hundert als homosexuell beschuldigte Männer inhaftiert worden sein.
Das lässt Erinnerungen wach werden an das deutsche Bundeskriminalamt (BKA), das den ägyptischen Staatssicherheitsdienst wenige Wochen vor den Revolten 2011 zu „Open Source Internetauswertung im Bereich des internationalen Terrorismus“ geschult hatte. Die Kontrolle des Internet hatte im Versuch der der staatlichen Niederschlagung der Aufstände eine wichtige Rolle gespielt. Immer noch sitzen zahlreiche BloggerInnen in Haft oder sehen sich hohen Strafen gegenüber. Vor zwei Wochen wurde der regierungskritische Blogger Alaa Abd El Fattah zu fünf Jahren Gefängnis verurteilt.
Ungeachtet der Staatsgewalt gegen oppositionelle Bewegungen oder Menschen mit anderer sexueller Orientierung hat das BKA Verhandlungen zur Polizeizusammenarbeit wieder aufgenommen. Das Bundesinnenministerium will ein bilaterales Abkommen schließen, damit Ägypten die „speziellen Herausforderungen des Anti-Terrorkampfes“ erfolgreich bewältigen könne.
Die Gespräche waren vor zwei Jahren wegen staatlicher Übergriffe auf Eis gelegt worden. Sämtliche Inhalte der nun neu gestarteten Verhandlungen bleiben aber geheim. So können auch die bereits vorliegenden „Gegenvorschläge“ der ägyptischen Regierung nicht öffentlich geprüft werden. An Vorgesprächen waren nicht nur Polizeibehörden beteiligt, sondern auch der Militär-Geheimdienst DMT.
-
: Mit Strahlenwaffen gegen Drohnen? Polizeibehörden erkundigen sich bei Rüstungsfirmen zu Abwehrmöglichkeiten [Update]
: Mit Strahlenwaffen gegen Drohnen? Polizeibehörden erkundigen sich bei Rüstungsfirmen zu Abwehrmöglichkeiten [Update] Über Anstrengungen von Polizeibehörden in Bund und Ländern zur Abwehr von kleinen Drohnen war hier bereits zu lesen. Einige Landeskriminalämter haben eine Bund-Länder-Projektgruppe gegründet, an der auch das Bundeskriminalamt beteiligt ist. Die Gruppe holte Erkundigungen zu technischen Möglichkeiten sowohl bei der Bundeswehr als auch bei ausländischen Polizeibehörden ein.
Außerdem wurde der Rüstungskonzern MDBA befragt. MDBA ist einer der größten europäischen Raketenhersteller mit Niederlassungen in Deutschland, Frankreich, Großbritannien, Italien und Spanien. Vermutlich ging es aber weniger um die Frage, wie die Polizei Drohnen mithilfe von Lenkwaffen vom Himmel holen kann. Denn MDBA ist auch als Hersteller von Geräten mit elektromagnetischen Impulsen bekannt.
In einem EU-Forschungsprojekt arbeitet MDBA an Methoden, die Bordelektronik von Fahrzeugen oder Schiffen lahmzulegen um diese zu stoppen. Ziel ist, die bislang nur militärisch genutzte Technologie für polizeiliche Zwecke nutzbar zu machen. Geforscht wird an Antennen, Verstärkern und Stromquellen. Das Endprodukt soll tragbar sein, um es in Polizeifahrzeugen mitführen zu können. Die Technik könnte womöglich also auch gegen kleinere Drohnen Einzug genutzt werden.
Auch die Rüstungsfirmen Rheinmetall und Airbus Space and Defense waren laut der Antwort von der „Marktsichtung“ von LKÄ und BKA adressiert. Weitere Details nannte der Staatssekretär Günter Krings gestern in der Fragestunde des Bundestages:
Wann sollen nach gegenwärtigem Stand die beiden Berichte bzw. Bewertungen zur Gefährdung und Abwehr von Drohnen vorliegen, die in der Deutsch-Französischen Kommission für Fragen der Sicherheit kerntechnischer Einrichtungen und in einer Bund-Länder-Projektgruppe zur „potenziellen Schadwirkung und der Abwehr von unbemannten Luftfahrzeugen“ erarbeitet werden (vergleiche Antworten der Bundesregierung auf die Kleine Anfrage der Fraktion Die Linke auf Bundestagsdrucksache 18/3608 und auf meine mündliche Frage 38, Plenarprotokoll 18/72), und bei bzw. mit welchen Firmen oder Behörden wurde vom Bundeskriminalamt der „Sachstand zu möglichen Gefährdungsszenarien“ und Verfahren zur „kontrollierten Zwangslandung“ erhoben bzw. Marktsichtungen vorgenommen?
Zu einem derartigen Bericht liegen der Deutsch-Französischen Kommission für Fragen der Sicherheit kerntechnischer Einrichtungen, DFK, keine Erkenntnisse vor. Eine abschließende Bewertung der für die Sicherung von Kernkraftwerken zuständigen französischen Behörden steht noch aus.
Der zweite Zwischenbericht der Bund-Länder-Projektgruppe „UAV“ – „Detektion und Abwehr von zivilen Unmanned Aerial Vehicles“ – wird dem Unterausschuss Führung, Einsatz, Kriminalitätsbekämpfung, UA FEK, zur Frühjahrssitzung am 18./19. März 2015 in Münster vorgelegt.
Sachstanderhebungen wurden bei folgenden Firmen durchgeführt: Fa. Rheinmetall AG, Airbus Space and Defense, ESG Elektroniksystem- und Logistik-GmbH, DeDrone GmbH, MDBA Germany.Folgende Behörden wurden einbezogen:
Über die Teilnehmer der Bund-Länder-Projektgruppe „Detektion und Abwehr von zivilen Unmanned Aerial Vehicles, UAV“ hinaus gab es Kontakte zur Bundeswehr sowie zu niederländischen und britischen Polizeibehörden, DLOS, CAST.Verfahren zur „kontrollierten Zwangslandung“ wurden in der Vergangenheit lediglich informatorisch angesprochen. Eine weiter gehende Informationserhebung hat nicht stattgefunden.
Über welche Verfahren oder Produkte – bitte die Hersteller benennen – zum polizeilichen „Jamming“ von unerwünschten Drohnen haben sich das Bundeskriminalamt und die Polizei des Landes Nordrhein-Westfalen ausgetauscht (Plenarprotokoll 18/72), und welche Schlussfolgerungen zieht die Bundesregierung aus den dort betrachteten Verfahren oder Technologien?
Im Rahmen einer Versuchsreihe des Landesamtes für Zentrale Polizeiliche Dienste Duisburg wurden Fragen zum Verfahren „Jamming“ von Funkfernsteuerungen ausgetauscht. Das Bundeskriminalamt hat die Versuchsreihe an einem Tag begleitet. Erste Tests sind durchgeführt worden. Für eine genaue Bewertung sind noch weitere systematische Erprobungen erforderlich.
Update: Neues gibt es auch von den Justizbehörden. Die stehen vor dem Problem, dass Drohnen genutzt werden um unliebsame Gegenstände oder Substanzen auf das Gelände von Gefängnissen zu verbringen, wo diese dann von Gefangenen eingesammelt werden können. Die Berliner
Piraten habenSPD hat nachgefragt. Laut der Antwort haben sich die Bundesländer auch hierzu koordiniert:Die Problematik entspricht im Wesentlichen der bei Mauerüberwürfen. Wie dort auch gilt es, den Weg vom Überwurf zum Adressaten zu unterbrechen. […] Nach Bekanntwerden zweier Vorfälle in Hamburg und Bremen sind alle Bediensteten zur besonderen Aufmerksamkeit angehalten worden.
Die zuständige Senatsverwaltung wird im Austausch mit den Justizverwaltungen der anderen Länder beobachten und erörtern, wie sich der Einsatz von Drohnen entwickelt und ggf. welche technischen Lösungen hiergegen erfolgversprechend sind. -
: BKA und Europol perfektionieren „Internetbeobachtung“ und Profiling von Reisenden
: BKA und Europol perfektionieren „Internetbeobachtung“ und Profiling von Reisenden Behörden der Bundesregierung waren bereits 2013 damit befasst, verbesserte Verfahren zum Aufspüren von Reisebewegungen zu entwickeln und einzuführen. Dies geht aus der Antwort des Bundesinnenministeriums auf eine Kleine Anfrage hervor. Demnach waren deutsche Behörden am Projekt „Quick Scan lnsight into Terrorist Travel“ beteiligt, über das die britische Bürgerrechtsorganisation Statewatch zuerst berichtet hatte.
Das unter Federführung der Niederlande beendete Projekt mündete demnach in einen Bericht, an dem auch Deutschland mitgewirkt hat. Außer den Niederlanden und Deutschland waren Belgien, Dänemark, Frankreich, Spanien, Schweden sowie Großbritannien beteiligt.
Bericht war Grundlage von Gesetzesinitiativen
In dem nicht veröffentlichten Papier werden Empfehlungen aufgeführt, „um vermehrt festgestellte Ausreisen von Islamisten in das Jihadgebiet zu verhindern“. Hierzu gehören die verbesserte Kooperation mit „Transitstaaten terroristischer Reisebewegungen“, womit im konkreten Fall die Türkei gemeint ist.
Der Bericht war später Grundlage mehrerer Gesetzesinitiativen, darunter auch die Änderung des Personalausweisgesetzes und des Passgesetzes. Personalausweise können nun entzogen werden. Das Gesetz erlaubt auch die einfachere Weitergabe der dort gespeicherten Daten. Nun soll eine Kategorie zur Ausschreibung im Schengener Informationssystem folgen. Betroffenen Personen kann auf diese Weise eine Ausreiseuntersagung erteilt werden. Allerdings ist unklar, welche Gesetze hierfür geändert werden müssen.
Auch die Einführung einer Vorratsdatenspeicherung zu Flugreisenden (PNR) war eine Forderung des Projekts „Quick Scan lnsight into Terrorist Travel“. Außerdem sollte bei der Polizeiagentur Europol eine neue Analyseeinheit („Auswerteschwerpunkt“) eingerichtet werden. Unter dem Namen „Travellers“ ist auch dies mittlerweile umgesetzt. Bis zum 31. Januar 2015 waren dort bereits Informationen zu 2835 Personen gespeichert. Außer den EU-Mitgliedstaaten nehmen Australien, Norwegen und die Schweiz an der Europol-Datensammlung teil. US-Grenzbehörden, die Polizeiorganisation Interpol, Serbien und Mazedonien wollen ebenfalls als „assoziierter Drittstaat“ beteiligt werden.
„Future-forecasting and scenario techniques“ bei Europol
Mittlerweile wurde auch das 2007 vom Bundeskriminalamt (BKA) initiierte Europol-Projekt „Check the Web“ zu einem eigenen Auswerteschwerpunkt umgewandelt. „Check the Web“ ist eine Datenbank mit grafischem Frontend, an das alle beteiligten Behörden angeschlossen sind. Als „assoziierte Drittstaaten“ dürfen derzeit auch die Schweiz und Australien zugreifen. Gesammelt werden Informationen von „Webseiten und Verlautbarungen von Organisationen/Personen aus dem Phänomenbereich des Islamistischen Terrorismus“.
Inwiefern für diese „Internetbeobachtung“ automatisierte Verfahren genutzt werden ist unklar, Europol bewirbt aber online und in seinen Hochglanzbroschüren gern seine Fähigkeiten zum Data Mining und Verarbeiten von Massendaten. Im neuen Arbeitsprogramm werden die Anwendungen als „future-forecasting and scenario techniques“ beschrieben.
Außer dem „Auswerteschwerpunkt“ hat Europol eine Arbeitsgruppe namens „Dumas“ eingerichtet, die ebenfalls gegen „ausländische Kämpfer“ vorgehen soll. Ihre „Gesamtleitung“ liegt bei Italien, die AG ist in fünf Untergruppen eingeteilt. Österreich führt die AG „Alert List“ an, die den Informationsaustausch über das SIS II und Europol erleichtern soll.
Dem BKA obliegt die Leitung der AG „Indicators“, die „Indikatoren zur Erkennung von Syrienreisenden“ finden will. Diese „Indikatoren“ würden auch benötigt, wenn Kontrollen von Staatsangehörigen der EU-Mitgliedstaaten wie geplant an den Außengrenzen intensiviert werden. Laut dem Schengener Grenzkodex ist dies aber rechtlich nicht gestattet, Kontrollen dürfen keinem Muster folgen.
-
: Hacktivismus = Cybercrime? Eine Replik auf die Studie des BKA zu Hacktivisten
Cyberwar? Cyberpeace! : Hacktivismus = Cybercrime? Eine Replik auf die Studie des BKA zu Hacktivisten Vor zwei Wochen veröffentlichte das Bundeskriminalamt eine Studie mit dem Titel „Hacktivisten“, die auf einem dreistufigen Forschungsdesign beruht: einer Literaturrecherche, einer quantitativen Fallauswertung von 78 polizeilich bekannten deutschen Fällen und einem Expertenarbeitstreffen, bei welchem Erfahrungswerte ausgetauscht wurden. Beginnen wir mit einer logischen Denksportaufgabe. Dieser Artikel von Theresa Züger und Adrian Haase erschien gestern erstmals auf dem Sicherheitspolitik-Blog im Rahmen der Artikelreihe Cyberpeace: Dimensionen eines Gegenentwurfs.
In der Einleitung wird folgende Prämissen aufgestellt:
- „Hacktivismus (ist) (…) letztlich nichts anderes als die digitalisierte Form von Aktivismus.“ (BKA, 2015: 1)
- Hacktivismus ist eine Form von Cybercrime (vgl. BKA, 2015: z. B. 2).
Frage: Zu welcher Konklusion führen diese beiden Prämissen über Aktivismus?
Die zwei möglichen Antworten hier sind: Aktivismus ist ebenfalls eine Form der Kriminalität. Oder aber: Aktivismus wird zumindest dann kriminell wenn er digital ausgeübt wird. Beide Konklusionen verdeutlichen eine Problematik, die sich konsistent durch die Studie zieht: eine eingeschränkte Sichtweise auf Hacktivismus als kriminellen Akt. Dennoch ist dieser Fokus keine Überraschung, da er dem Erkenntnisinteresse des BKA entspricht. Aus Sicht des BKA könnte man argumentieren, dass man so versucht seinen Job zu machen, indem man sich auf strafrechtlich relevante Fälle konzentriert. Wir wiederum möchten unseren Job machen, die Studie wissenschaftlich hinterfragen und sie vor dem Hintergrund bestehender Forschung einordnen, um mögliche politische Implikationen aufzuzeigen.
Der paradoxe symbolische Kampf um den Hacktivismus
Auch wenn dies teilweise anders rezipiert wurde, scheint das BKA um eine Abgrenzung des Hacktivismus von den Begriffen Cyberwar und Cyberterrorismus bemüht. „Die wichtigste Abgrenzung zu Hacktivismus liegt im Ziel des Terrorismus begründet, nämlich Gewalt auszuüben, um einzuschüchtern und Schrecken und Leid zu verbreiten. So fällt eine Attacke, die Services unterbricht, aber nicht mehr als finanzielle Kosten verursacht, nicht darunter“ und weiter:
„Neben den bisher dargestellten Phänomenen muss das Phänomen Cyberwar bzw. Cyberkrieg ebenfalls von Hacktivismus abgegrenzt werden. Hierbei handelt es sich um die Nutzung des Internets und von Computern zur staatlichen Kriegsführung häufig im Sinne von Attacken oder Spionageangriffen. Mindestens eine der beteiligten Parteien muss zudem eine offizielle Regierung sein“
(BKA, 2015: 22,25 unsere Hervorhebung).Was für das BKA aber anscheinend nicht zur Debatte steht ist das Verständnis von Hacktivismus als kriminellem Akt. Besonders paradox fällt diese einseitige Sicht durch den Widerspruch mit einer Definition von Alexandra Samuels auf, die das BKA selbst anführt, in dem sie Hacktivismus beschreibt als „Hochzeit von politischem Aktivismus und Computerhacking […] als den gewaltfreien Gebrauch von illegalen oder legalen digitalen Werkzeugen um politische Ziele zu verfolgen.“ (BKA, 2015: 21 unsere Hervorhebung)
Dieser symbolische Konflikt um die Besetzung des Begriffs des Hacktivimus ist jedoch keine Neuheit und wird seit über 10 Jahren in der wissenschaftlichen Literatur thematisiert. Er vollzog sich als ähnliche semantische Entwicklung bereits mit dem „Hacking“. Beide Begriffe erfahren von staatlicher Seite und teilweise auch in den Medien eine Neu-Besetzung als sicherheitspolitisch relevante Gefahren und kriminelle Tätigkeiten (ein Thema mit dem sich unser Fellow Leonie Tanczer auseinandersetzt). Ironischerweise weist das BKA selbst auf die ursprüngliche Neutralität des Begriffs des Hackens hin (BKA, 2015: 21) und schlägt dennoch in die selbe Kerbe der Kriminalisierung. Was kriminell ist und was nicht, verändert sich in einem politischen Anpassungsprozess, der im Moment in einer kritischen Phase zu sein scheint.
Mit dieser schleichenden begrifflichen Verschiebung hin zur kategorischen Kriminalisierung von Hacktivismus stehen zwei Probleme im Raum. Es ist zu befürchten, dass nach dem Hacking (§ 202c StGB wird in Wissenschaft und Praxis mittlerweile flächendeckend als sog. Hacking-Paragraph bezeichnet), auch der Begriff des Hacktivismus durch staatliche Institutionen als genuin strafrechtlicher Begriff besetzt wird. Damit wird ein Bild gezeichnet, das weder der Entstehung und der tatsächlichen Praxis von Hacktivismus noch dem Selbstverständnis von Hacktivsten gerecht wird. Einerseits besteht die Gefahr, dass völlig legale Formen, die in das Feld des Hacktivismus fallen, schneller unter Kriminalitätsverdacht stehen. Das betrifft etwa manche fiktive Netzkampagnen (wie jene der The Yes Men oder des Zentrums für politische Schönheit), Keyword Storms (wie das sogenannte Eschalon Bashing) oder das massenhafte Versenden persönlich verfasster Protestmails (wie in diesem Fall an den Axel Springer Verlag). Andererseits kann sich ein Abschreckungseffekt entwickeln: Wer glaubt, dass jede Art des Hacktivismus strafrechtlich verfolgt oder beobachtet wird, ist möglicherweise auch abgeschreckt an legalen Aktionen teilzunehmen. Dies könnte zu einem Klima der Angst für digitale Aktionen führen und letztlich die Meinungsfreiheit massiv beeinträchtigen.
Immerhin auf der letzten Seite der Studie wird auch die Möglichkeit des zivilen Ungehorsams im Netz erwähnt. Für zivilen Ungehorsam – also einen absichtlichen, prinzipienbasierten, kollektiven – und nicht kriminell motivierten – Rechtsbruch, der das Ziel verfolgt, politische Maßnahmen zu beeinflussen (vgl. Celikates 2010: 280) – bleibt jedoch faktisch kein Platz, weil das Risiko für Aktivisten kaum abzusehen ist. Aus demokratischer Sicht macht es einen Unterschied, ob Hacktivismus politische Werte vertritt, die mit unseren Grundrechten und Freiheiten konform gehen – oder diese gerade durch den Protest einfordern – oder ob sie diesen widerstreben. Weder das BKA, noch die derzeitige Rechtsprechung, weisen jedoch auf eine solche Unterscheidung und ein politisches Feingefühl in der Praxis hin. Diese undifferenzierte Strafverfolgung, also die Tatsache, dass jede Form von Hacktivismus ohne Abstufung als Computerkriminalität bewertet wird, kann sich zusätzlich, durch manche Aspekte des Täterverständnisses des BKA und die formulierten Forderungen für ein zukünftiges Umgehen mit Hacktivisten verschärfen.
Hacktivisten als „die üblichen Verdächtigen“
Das BKA weist darauf hin, dass es sich zum jetzigen Zeitpunkt lediglich um eine sog. Hellfeldstudie handelt, die sich also mit den offiziellen Zahlen und Fakten beschäftigt, und daher ausschließlich entdeckte und in irgendeiner Art und Weise dem Strafverfolgungsprozess zugeführte hacktivistische Aktionen in die Untersuchung einbezogen worden sind. Vermutlich kommt deswegen der bereits erwähnten Expertengruppe eine prominente Rolle bei der Identifizierung und Einordnung von verdächtigen Hacktivisten zu. Über eine Analyse der untersuchten Fälle hinaus äußern die Mitglieder der Expertengruppe Vermutungen zum Wesen eines typischen Hacktivisten. Dieser sei nicht nur unbekannt, männlich und zwischen 18 und 30 Jahren alt (soweit decken sich Empirie und Erfahrungspraxis der Experten) sondern – laut Vermutung der Experten – zumeist Mitglied islamischer/islamistischer Gruppierungen, möglicherweise nachrichtendienstlich gelenkt und vor allem lediglich nebenberuflicher Hacktivist. Hauptberuflich seien diese (vermutlich) die „üblichen” Cyberkriminellen“ (BKA, 2015: 71).
Diese Vermutungen der Expertengruppe sind durchaus bemerkenswert. Aus wissenschaftlicher Sicht ist es problematisch solche Vermutungen unkritisch im Rahmen einer allgemeinen Studie zu veröffentlichen, ohne weitere Belege für diese Annahmen zu liefern und diese durch die empirischen Ergebnisse der Studie stützen zu können. Weiter zeigen sie einerseits den erstaunlich eindimensionalen Blickwinkel staatlicher Strafverfolgungsorgane auf eine Szene, die sich bislang einer pauschalen Einordnung erfolgreich entziehen konnte. Andererseits lassen sie Rückschlüsse auf zukünftig erwartbare Mittel und Maßnahmen zur präventiven und repressiven Bekämpfung von Hacktivismus zu. Vom Ausbau internationaler Kooperationen und Institutionen (Cybercrime-Abwehrzentrum bei Europol, Datenaustausch) über Strafrechtsharmonisierung, die Einführung der Vorratsdatenspeicherung bis hin zu Medienkampagnen zur Tätersensibilisierung hat das BKA den gesamten Strauß von law and order Maßnahmen im Programm. Eine Differenzierung zwischen strafrechtlich eindeutig relevantem Verhalten und erlaubten aktivistischen Online-Tätigkeiten findet nicht statt. Dies wäre aber nicht nur demokratietheoretisch geboten, da laut Richter und Verfassungsrechtler Ulf Buermeyer der Cyberangriff von heute morgen schon freie Meinungsäußerung sein könnte. Ein die Grundrechte schonendes Vorgehen des Staates und seiner Strafverfolgungsbehörden ist somit erforderlich. Darüber hinaus böte der differenzierte Blick auf hacktivistische Szenarien auch die Möglichkeit ressourcenschonender zu agieren und nicht jeden Akt des Hacktivismus wie einen Cyber-Großangriff zu behandeln.
Schadensberechnung leicht gemacht
Stutzig wird nicht nur der Jurist bei der Schadensberechnung. Das BKA beruft sich in seiner Studie hier auf Angaben des renommierten Kaspersky Lab und gibt die Schäden bei Großunternehmen mit 1.82 Millionen Euro und bei mittleren und kleinen Unternehmen mit 70.000 Euro pro Angriff an. Interessant sind weniger die Zahlen von Kaspersky Lab sondern vielmehr die Interpretation des BKA (BKA, 2015: 45f.). Es wird in der Studie zwar eingeräumt, dass die als Hacktivismus eingeordneten Fälle zumeist keine oder nur sehr geringe wirtschaftlich bezifferbare Schäden verursacht haben, dennoch wird auf die Zahlen von Kaspersky Lab Bezug genommen, obwohl diese in keinerlei Verbindung zum Hacktivismus stehen sondern ausdrücklich Cyber-Großangriffe betreffen und eine politische oder gesellschaftliche Dimension nicht erwähnen. Doch das BKA rückt Hacktivisten nicht nur abermals durch diesen Kunstgriff in die Richtung von Cyberkriminellen. Auch der auf den Angriff zurückgehende Schaden wird massiv erhöht, wenn „die Beseitigung von Schwachstellen“ als kausaler Schaden eingeordnet wird. Cyberkriminelle und/oder Hacktivisten werden auf diese Weise nicht nur für unmittelbare Schäden verantwortlich gemacht, die kausal auf ihre Angriffe zurückzuführen sind, sondern darüber hinaus auch für die Kosten, die durch eine Behebung von Schutzlücken in der IT-Sicherheit entstehen. Man darf also durchaus gespannt sein, wann der erste Einbrecher für eine defekte Alarmanlage, die seinen Einbruch ermöglicht hat, in Anspruch genommen wird…
Forschung zum Thema Hacktivsmus
Das BKA kommt zu der Einsicht, dass wissenschaftliche Untersuchungen zu Hacktivismus und Hacktivisten rar seien (findet aber selbst immerhin 184 Quellen). Zwar nicht zur bestehenden Forschung, jedoch zur Datengrundlage in Deutschland können wir bestätigen, dass die Erforschung von Hacktivismus mit Hürden verbunden ist.
Im Juli 2014 sendeten wir an sämtliche Oberstaatsanwaltschaften der Länder Anfragen bezüglich Ermittlungsverfahren, die möglicherweise im Kontext von Hacktivismus interessant sein könnten. Wir bekamen keinerlei dienliche Antwort, denn es bestehe „keine Möglichkeit die von (uns) gewünschten Daten hier abzufragen“, es sei aus „organisatorischen Gründen nicht möglich“, „Tathintergründe werden von staatsanwaltlicher Seite nicht erhoben“ oder es seien „keinerlei einschlägige Verfahren feststellbar“. Das BKA hatte im selben Zeitraum mit der Abfrage der Daten bei den Ermittlungsbehörden offensichtlich mehr Glück. Allerdings hinterlässt die Fallanalyse der ausgewählten 78 Fälle einige Fragen:
Weshalb macht das BKA in seiner Studie keine Angaben zu Verurteilungszahlen? Erst die gerichtliche Überprüfung und ein rechtsstaatlich festgestellter Verstoß gegen Strafnormen kann tatsächlich Aufschluss darüber geben, ob Hacktivisten sich durch ihre Aktionen strafbar gemacht haben, in welchem Ausmaß dies geschehen ist und welche Konsequenzen drohen. Die polizeiliche Einschätzung, dass ein Verhalten strafbar sei, sagt rein gar nichts über dessen wahren Charakter aus und sollte nicht zur Basis von zukünftigen Kriminalisierungs- und Strafverfolgungserfordernissen gemacht werden.
Die Sekundär- und die Fallanalyse divergieren erheblich bezüglich der Opfer von Hacktivismus, da sich die Prämissen der Literaturrecherche, dass Hauptgeschädigte Regierungen, Polizei und Unternehmen sind, mit den Erkenntnissen der Fallanalyse nicht vereinbaren lassen (BKA, 2015: 43). Wie das BKA argumentiert, läge dies möglicherweise daran, dass viele Fälle nicht bekannt werden, da das Opfer einen Imageschaden befürchtet. Die fehlende Bereitschaft zur Anzeigeerstattung aus Imagegründen als einzige Erklärung ist hier mehr ein Feigenblatt, als eine Antwort und offenbart vielmehr, dass der in Deutschland bestehende Hacktivismus für das BKA mehr Fragen hinterlässt als Antworten sichert.
Was bleibt?
Die vorliegende Hellfeldstudie stellt lediglich den ersten Teil dar und soll zukünftig von einer Dunkelfeldstudie flankiert werden (BKA, 2015: 2, 81). Es bleibt also zu hoffen, dass sich das BKA von kritischen Anmerkungen inspirieren lässt, um dadurch dem vielschichtigen Phänomen des Hacktivismus besser gerecht zu werden. Unserer Ansicht nach ist dafür eine ergebnisoffenere Forschung hinsichtlich der Einordnung von Hacktivisten im Spannungsfeld zwischen politischer Meinungsäußerung, zivilem Ungehorsam und cyberkriminellen Aktivitäten geboten um dadurch eine demokratie- und ressourcenschonende Abstufung bei der ermittlungstaktischen Behandlung von Fällen zu erreichen.
-
: Aufgebohrtes Schengener Informationssystem: EU-weite Fahndung nach Fingerabdrücken geplant
: Aufgebohrtes Schengener Informationssystem: EU-weite Fahndung nach Fingerabdrücken geplant Die EU-Kommission plant die Einrichtung eines automatisierten „Fingerabdruck ldentifizierungssystems“ (AFIS), um auf diese Weise nach Fingerabdrücken fahnden zu können. Das teilte das Bundesinnenministerium auf Nachfrage mit. Die Fähigkeit soll demnach in das Schengener Informationssystem (SIS II) integriert werden. So sollen Personen mit gefälschten Ausweisdokumenten leichter erkannt werden. Erfasst würden Personen, zu denen eine schengenweite Ausschreibung existiert.Im SIS II werden Personen oder Sachen zur Fahndung, Festnahme oder heimlichen Beobachtung ausgeschrieben. Bislang wurde die Datenbank bei Kontrollen über die von Betroffenen vorgezeigten Ausweisdokumente bzw. Kennzeichen abgefragt.
Schon jetzt drei daktyloskopische Datenbanken
Das physisch in Strasbourg befindliche SIS war vor zwei Jahren aufgebohrt und um mehrere Funktionalitäten erweitert worden. Unter anderem ist es in der größten EU-weiten Fahndungsdatenbank nun möglich, Anhänge zu speichern. Hierzu gehören auch Fingerabdruckdaten. Diese können zwar jetzt schon verglichen werden, jedoch lediglich im Einzelfall und nicht über interne Suchmaschinen. Es ist unklar, wie viele Fingerabdrücke derzeit im SIS II gespeichert sind, Schätzungen rangieren zwischen wenigen Tausend und einer sechsstelligen Zahl.
Daktyloskopische Daten spielen in der grenzpolizeilichen Anwendung eine immer größere Rolle. Erhoben und gespeichert werden sie bereits bei der Beantragung von Visa (Visumsdatenbank) oder bei Anträgen auf Asyl (EURODAC). Im derzeit errichteten System „Intelligente Grenzen“ sollen Reisende ebenfalls bis zu zehn Fingerabdrücke abgeben. Dies beträfe alle Einreisenden in die Europäische Union, auch Geschäftsreisende oder TouristInnen. Demnächst beginnt hierzu auch in Frankfurt ein Pilotprojekt.
Für den Austausch biometrischer Daten hatte die EU auf Drängen Deutschlands 2007 den Vertrag von Prüm beschlossen. Dort ist die EU-weite Abfrage von DNA-Daten und Fingerabdrücken geregelt. Allerdings werden Abfragen lediglich im „Hit/ No Hit“-Verfahren ausgeführt: Die fragende Behörde erfährt lediglich, ob in einem anderen Land ein Treffer vorliegt und muss dann ein Ersuchen auf Übermittlung der Informationen stellen. Jeder EU-Mitgliedsstaat benennt hierfür eine nationale Prüm-Kontaktstelle, in Deutschland wird dies vom Bundeskriminalamt (BKA) übernommen. Auch mit den USA ist ein solcher automatisierter Austausch geplant.
Auch Europol will Fingerabdrücke verarbeiten
Anfangs sollen im SIS II-AFIS nur jene Fingerabdruckdaten recherchierfähig genutzt werden, die bereits als Anhang an einem Personendatensatz vorhanden sind. Werden Personen zur Fahndung ausgeschrieben, wollen Behörden entsprechende biometrische Daten aber auch aus anderen Datenbanken kopieren und in das SIS II einstellen. Hierzu bräuchte es aber eine gesetzliche Grundlage.
Im Gegensatz zu Prüm ist das geplante SIS II-AFIS ein zentrales System. Die Kommission will nun prüfen, inwiefern eine solche zentrale Speicherung von Fingerabdrücken datenschutzrechtlich überhaupt rechtlich einwandfrei ist. Hierfür hat die Kommission einen Fragebogen an die Mitgliedsstaaten verteilt, um zunächst den „Anforderungsbedarf“ zu ermitteln.
Im Auftrag der EU-Kommission erörtert ein EU-Forschungszentrum derzeit Umsetzungsmöglichkeiten des SIS II-AFIS, Ergebnisse sollen spätestens Ende 2015 vorliegen. 11 Mitgliedstaaten steuern hierfür Informationen bei. Auch die rechtliche Ausgestaltung ist unklar. Laut dem Bundesinnenministerium ist bislang „nicht definiert“, inwieweit und in welchem Umfang künftig Recherchen in der Datenbank realisiert werden sollen.
Auch die EU-Polizeiagentur Europol plant die Verarbeitung von Fingerabdrücken in einem AFIS. Dadurch sollen Analysemöglichkeiten in Europols Datenbanken verbessert werden. So steht es im diesjährigen Arbeitsprogramm. Demnach plant die Agentur außerdem die Verfahren zur Gesichtserkennung, um in Foto- und Videodaten gezielt nach Personen suchen zu können.
-
: Generalbundesanwalt untersucht FinSpy-Einsatz durch Bahrain, BKA darf Trojaner weiterhin nicht nutzen
Surveillance made in Germany - FinFisher-Spionage-Software : Generalbundesanwalt untersucht FinSpy-Einsatz durch Bahrain, BKA darf Trojaner weiterhin nicht nutzen Der Generalbundesanwalt (GBA) hat Vorermittlungen bezüglich des Einsatzes deutscher Spionagetechnologie durch den bahrainischen Geheimdienst gegen Ziele in Deutschland aufgenommen. Darauf hatten wir bereits gestern in einer Kurzmeldung hingewiesen. Mittlerweile liegen uns mehr Informationen vor, so auch die Antwort auf die Kleine Anfrage der Linken, aus der die Meldung hervorging und die wir an dieser Stelle veröffentlichen (aus dem PDF befreite Version unten). Dazu liegt uns der als Verschlussache eingestufte Antwortteil vor, in dem sich Details zum Einsatz des FinSpy-Staatstrojaners von Gamma befinden.
Prüfung des Anfangsverdacht der Spionage durch bahrainische Dienste
Konkret geht es um die Überwachung des Inhabers der IP-Adresse 217.86.164.76. Durch im August 2014 veröffentlichte Unterlagen wurde bekannt, dass dieser möglichweise seit 2011 in Deutschland vom bahrainischen Geheimdienst ausgespäht wurde.
Handfeste Ergebnisse zu dem Vorgang gibt es in der Antwort noch nicht. Dennoch, der Vorgang scheint die Justiz zu beschäftigen:
Die (Medien-)Hinweise auf Ausspähaktivitäten durch fremde Geheimdienste unter Nutzung der Software „FinFisher“ sind Gegenstand eines Beobachtungsvorgangs des Generalbundesanwalts beim Bundesgerichtshof, in dem geprüft wird, ob ein Anfangsverdacht einer geheimdienstlichen Agententätigkeit zu bejahen ist. Die Prüfungen sind jedoch noch nicht abgeschlossen.
Es ist zu hoffen, dass die Prüfung eines Anfangsverdacht in diesem Fall weniger absurd verläuft als im Fall der NSA-Spionage. Dort hat sich die Prüfung eines Anfangsverdachtes zur Farce entwickelt, nachdem der GBA erst behauptete, es gebe keinen ausreichenden Anfangsverdacht der Spionage. Sich dann jedoch auf Ermittlungen im Fall Merkelphone einließ, später aber auch das wieder einstellen wollte, da es „keinen seriösen Beweis für einen gezielten Lauschangriff der NSA auf Merkels Handy“ gebe.
Details bleiben wie immer geheim
Auf konkrete Fragen antwortet die Regierung gewohnt ausweichend. Auf Nachfrage, ob man den aus unserer Berichterstattung hervorgegangenen Hinweisen darauf nachgegangen sei, dass Gamma International/FinFisher Labs GmbH kontinuierlich Updates an Bahrain liefert, heißt es nur, dass die Bundesregierung aufgrund von Kenntnissen tätig wird, die aus „regulären behördlichen Verfahren, insbesondere in Antragsverfahren für Ausfuhrgenehmigungen“ hervorgehen. Das impliziert, dass nicht-genehmigte und ‑beantragte Ausfuhren aus der Betrachtung herausfallen.
Ohne behördliche Kenntnis im dargelegten Sinne über die konkreten Güter oder diesbezüglichen Serviceleistungen kann eine rechtliche Prüfung nicht erfolgen.
Dabei bleibt die Frage offen, ob es den Behörden zur Kenntnis und zum Prüfanlass gereicht, wenn medial Bericht erstattet wird.
Annähernd und einzig konkret wird es bei der Frage nach den erteilten Ausfuhrgenehmigungen und Nullbescheiden. Aus der Antwort geht hervor, dass seit Mai 2014 der Export von Technologien wie IMSI-Catchern, Entschlüsselungseinrichtungen und Interception-Equipment nach Ägypten, Indonesien, Marokko, Montenegro, Nigeria, Taiwan und in die Schweiz genehmigt wurde. Das heißt nicht, dass eine Ausfuhr tatsächlich erfolgt ist bzw. erfolgen wird. Im Falle eines Nullbescheides heißt es sogar lediglich, dass ein Exportvorhaben weder verboten noch genehmigungspflichtig wäre.
Alle weiteren potentiell interessanten Antworten, beispielsweise auf die Frage, wann der Staatstrojaner FinSpy 4.20 gekauft wurde, ob er eingesetzt wurde, wie hoch die Kosten waren und ob CSC bei der Frage behilflich ist, wie man den Trojaner technisch und rechtlich einsetzbar machen könnte, werden als „Verschlusssache – Nur für den Dienstgebrauch“ eingestuft und der Öffentlichkeit vorenthalten.
Im August 2014 hatten wir dazu eine geheimen Sachstandsanfrage des Bundeskriminalamts veröffentlicht, aus der hervorging, dass der ursprünglich im Januar 2013 von Gamma gekaufte Staatstrojaner nicht eingesetzt werden darf, weil er gegen deutsche Gesetze verstößt. Der Prüfbericht, der die Gründe dafür darlegt, wird jedoch geheim gehalten, eine diesbezügliche Informationsfreiheitsanfrage wurde abgelehnt.
Aus der aktuellen Kleinen Anfrage geht hervor, dass der Prüfbericht „Informationen zur Funktionsweise von Quellen-TKÜ-Software“ enthalte und unter anderem deshalb als GEHEIM eingestuft sei. Auch den Abgeordneten des Bundestages ist der Prüfbericht bisher nicht zugänglich, er könne aber „bei Bedarf über die Geheimschutzstelle des Deutschen Bundestages dem dazu berechtigten Personenkreis zur Einsichtnahme zur Verfügung gestellt werden.“
Im Teil der Antwort, der als Verschlusssache eingestuft wurde, findet sich, dass das Innenministerium im Auftrag des BKA 2012 die Lizenzen für FinSpy 2012 beschafft hat.
Der Zuschlag erfolgte am 25. Oktober 2012. Die Gesamtauftragssumme betrug 147.166,11 € inklusive Mehrwertsteuer. Davon wurden gemäß des vereinbarten Zahlplans bislang 70 Prozent an den Auftragnehmer gezahlt. Die Software wurde bislang nicht eingesetzt.
Eingesetzt wurde der Staatstrojaner nach Angaben der Bundesregierung noch nicht, denn die „Feststellung der vollständigen Rechts- und SLB-Konformität [Standardisierenden Leistungsbeschreibung]“ sei noch nicht erfolgt. Auch andere Versionen als FinSpy 4.20 seien aus den gleichen Gründen noch nicht im Einsatz gewesen. Die Firma CSC sei als Prüfinstitut mit der Feststellung der SLB-Konformität beauftragt.
Doppelmoral bei der Zusammenarbeit mit Herstellern von Überwachungstechnologie
Kurze Erinnerungsauffrischung: CSC war durch eben diesen Auftrag zur Quellcode-Prüfung des temporären Staatstrojaners von Gamma bekannt geworden und ist auch sonst an einer großen Anzahl wichtiger staatlicher IT-Projekte in Deutschland beteiligt. Nebenbei hat sich die US-Mutterfirma, die eifriger Dienstleister für NSA und CIA ist, unter anderem an Entführungsflügen in Foltergefängnisse beteiligt.
Doch die Kleine Anfrage enthielt nicht nur Fragen zu den Tätigkeiten bahrainischer Dienste, sondern auch zu Informationen allgemeinerer Natur. So etwa Frage 3, in der gefragt wird, wie die Bundesregierung ihrer Schutzpflichft nachkommen will, Bürgerinnen und Bürger sowie Asylsuchende vor Zugriffen ausländischer Geheimdienste zu schützen. Die Antwort mutet beinahe ironisch an:
[…] Um Bürgerinnen und Bürger besser vor Ausspähung privater und geschäftlicher Daten zu schützen – unabhängig davon, ob diese Ausforschung durch fremde Nachrichtendienste oder etwa kriminelle Hacker erfolgt – hat sich die Bundesregierung in der Digitalen Agenda zum Ziel gesetzt, Verschlüsselung von privater Kommunikation in der Breite zum Standard werden zu lassen und die Anwendung von Sicherheitstechnologien wie beispielsweise De-Mail auszubauen. Hierbei hat sich auch das Konzept der staatlichen Zertiftzierung von im Wettbewerb angebotenen Produkten und Diensten auf Basis definierter Sicherheitsstandards durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) bewährt. […]
Da ist sie wieder, die Geschichte vom „Verschlüsselungsstandort Nr. 1″. Glaubhaft ist die leider nicht, zumindest solange noch auf peinliche Art und Weise an De-Mail festgehalten wird. Dessen Sicherheitsanspruch fußt primär auf einem Gesetz und wird noch unglaubwürdiger, wenn man sich vor Augen führt, dass die oben bereits angesprochene Firma CSC in die Entwicklung dieser „vertraulichen und rechtsverbindlichen“ Mailtechnologie eingebunden ist.
Und so gilt das, was Jan Korte, der stellvertretende Vorsitzender der Fraktion DIE LINKE, für Gamma fordert, auch für die zahlreichen anderen Unternehmen ähnlicher Art:
Bundesregierung und Sicherheitsbehörden müssen aber auch endlich ihre nach wie vor enge Zusammenarbeit mit Anbietern wie Gamma International beenden. Es kann doch nicht angehen, dass Firmen, die ihre Produkte in die Hände von autoritären Regimen liefern, auch hierzulande noch Aufträge der öffentlichen Hand, beispielsweise für die Programmierung des verfassungsrechtlich höchst fragwürdigen „Bundestrojaners“ erhalten.
Zumindest sollte die Bundesregierung sich ansonsten nicht mehr darüber wundern geschweigedenn empören, dass die Technologie, die hier entwickelt, gewartet und exportiert wird, auch gegen Ziele in Deutschland gerichtet werden kann.
Text der Antwort aus dem PDF gelöst
Kleine Anfrage des Abgeordneten Jan Korte u. a. und der Fraktion DIE LINKE.
Ermittlungen gegen eine deutsch-britische Software Firma wegen illegaler Überwachung von Oppositionellen in Bahrain und Deutschland
BT-Drucksache 18/3852
Auf die Kleine Anfrage übersende ich namens der Bundesregierung die beigefügte Antwort in 4‑facher Ausfertigung
Mit freundlichen Grüßen
in VertretungDr. Emily Haber
[pagebreak]
Kleine Anfrage des Abgeordneten Jan Korte und der Fraktion DIE LINKE.
Ermittlungen gegen eine deutsch-britische Software-Firma wegen illegaler Überwachung von Oppositionellen in Bahrain und Deutschland
BT-Drucksache 18/3852
Vorbemerkung der Fragesteller:
Das European Center for Constitutional and Human Rights (ECCHR) und die britische Organisation Privacy International haben Anhaltspunkte, wonach bahrainische Behörden unter anderem auch in Deutschland lebende Oppositionelle mithilfe des Gamma-Trojaners FinFisher unrechtmäßig ausgespäht haben. Am 16. Oktober 2014 haben die Organisationen deshalb bei der Staatsanwaltschaft München Strafanzeige gegen Mitarbeiter des deutsch-britischen Konzerns Gamma eingereicht. Den Organisationen liegen Datensätze vor, die den Verdacht begründen, dass Gamma die Überwachungssoftware FinFisher nach Bahrain lieferte sowie technische Hilfe von Deutschland aus leistete. Dadurch konnten laut ECCHR bahrainische Behörden den Trojaner nutzen, um Computer in Deutschland auszuspähen. Die Staatsanwaltschaft hat eine entsprechende Ermittlungsaufnahme indes abgelehnt, obwohl aus Wikileaks-Dokumenten (www. wikileaks.org/spyfiles4/database.html entsprechende Hinweise und lnformationen hervorgehen. Weitere Hinweise, insbesondere zur Situation in Bahrain und zum Einsatz des Gamma-Trojaners FinFisher, lassen sich in etlichen Dokumenten auf der Homepage der Nichtregierungsorganisation Bahrain Watch ftnden (vgl. www.bahrainwatch.org/blog/2014/08/07/uk—spyware-used—to-hack—bahrain-lawyers-activists/). Laut Miriam Saage-Maaß, der stellvertretenden Legal Director des ECCHR, werden in Bahrain Menschenrechtsaktivisten, Journalisten und Oppositionelle systematisch überwacht, verfolgt, inhaftiert und immer wieder auch gefoltert. „Angesichts der Überwachungsrealität in Bahrain ist es absurd, zu sagen, staatliche Behörden könnten gar nicht ‚hacken‘ und gegen §202 a StGB (Strafgesetzbuch) — dem Verbot der Ausspähung von Daten — verstoßen“ (Pressemitteilung des ECCHR vom 12.12.2014). Die Staatsanwaltschaft München erklärte in ihrem Schreiben an das ECCHR vom 28.11.2014 unter Punkt 2aa), dass das Vorbereiten des Ausspähens von Daten gemäß §202c StGB generell nicht die Herstellung und den Vertrieb von Software zur Datenerhebung durch staatliche Stellen erfasst, unabhängig davon, ob die Datenerhebung durch den Staat mithilfe der Software rechtmäßig erfolgt.Nach Informationen des ECCHR geht aus Daten von 77 Computern hervor, dass bahrainische Behörden mit dem Trojaner neben Geräten in Großbritannien auch je
[pagebreak]
einen Computer in Belgien und Deutschland ausgespäht haben. ln Großbritannien waren davon unter anderem prominente bahrainische Menschenrechtsaktivisten betroffen. Die Identität der in Deutschland ausspionierten Person ist bisher nicht bekannt.
Auch in Großbritannien und Belgien liegen derzeit Strafanzeigen gegen die Firma Gamma International, die FinFisher entwickelt und produziert hat, vor.
Werbematerial der Firma zeigt, dass die Software den umfassenden Zugriff auf infizierte Geräte und alle enthaltenen Daten ermöglicht. Dazu gehört auch, dass Kameras und Mikrofone an Computern angezapft werden können. Laut Privacy International wird FinFisher-Software in 35 Ländern, darunter Äthiopien, Turkmenistan, Bahrain und Malaysia, eingesetzt.
Da selbst das Bundeskriminalamt mindestens bis 2012 auf den Einsatz einer Version des Gamma-Trojaners verzichtete, weil die Software gegen die „standardisierende Leistungsbeschreibung” der Bundesregierung (www.netzpolitik.org vom 21. August 2014 „Geheimes Dokument: Bundeskriminalamt darf FinFisher FinSpy nicht einsetzen, versucht einfach neue Version nochmal“) und damit gegen verfassungsrechtliche Mindeststandards verstieß, wirft das ECCHR der Staatsanwaltschaft München außerdem vor, durch die Entscheidung keine Ermittlungen gegen Gamma lntemational einzuleiten, die Rechtslage in Deutschland zu ignorieren.
Vorbemerkung:
Soweit parlamentarische Anfragen Umstände betreffen, die aus Gründen des Staatswohls geheimhaltungsbedürftig sind, hat die Bundesregierung zu prüfen, ob und auf welche Weise die Geheimhaltungsbedürftigkeit mit dem parlamentarischen Informationsanspruch in Einklang gebracht werden kann. Die Bundesregierung ist nach sorgfältiger Abwägung zu der Auffassung gelangt, dass die Fragen 13, 14, 15, 16 und 17 aus Geheimhaltungsgründen ganz oder teilweise nicht oder nicht in dem für die Öffentlichkeit einsehbaren Teil beantwortet werden können. Zwar ist der parlamentarische Informationsanspruch grundsätzlich auf die Beantwortung gestellter Fragen in der Öffentlichkeit angelegt. Die Einstufung der Antworten auf die Fragen 13, 14, 15, 16 und 17 als Verschlusssache (VS) mit dem Geheimhaltungsgrad „VS – Nur für den Dienstgebrauch“ ist aber im vorliegenden Fall erforderlich. Nach § 3 Nummer 4 der Allgemeinen Verwaltungsvorschrift zum materiellen und organisatorischen Schutz von Verschlusssachen (Verschlusssachenanweisung, VSA) sind Informationen, deren Kenntnisnahme durch Unbefugte für die Interessen der Bundesrepublik Deutschland oder eines ihrer Länder nachteilig sein können, entsprechend einzustufen. Eine zur Veröffentlichung bestimmte Antwort der Bundesregierung auf diese Fragen würde spezifische Informationen – insbesondere zur Methodik und den konkreten technischen Fähigkeiten der Sicherheitsbehörden – einem nicht eingrenzbaren Personenkreis zugänglich machen. Dabei würde die Gefahr entstehen, dass[pagebreak]
ihre bestehenden oder in der Entwicklung befindlichen operativen Fähigkeiten und Methoden aufgeklärt würden. Dies kann für die wirksame Erfüllung der gesetzlichen Aufgaben der Sicherheitsbehörden und damit für die Interessen der Bundesrepublik Deutschland nachteilig sein. Diese Informationen werden daher gemäß § 3 Nummer 4 VSA als „VS — Nur für den Dienstgebrauch“ (VS-NfD) eingestuft und dem Deutschen Bundestag gesondert übermittelt.
1. Haben die Bundesregierung und deutsche Sicherheitsbehörden Kenntnis über die Ausspähung in der Bundesrepublik Deutschland lebender Oppositioneller mithilfe des Gamma-Trojaners FinFisher? Wenn ja, durch wen erfolgt die Überwachung und wer ist davon betroffen?
Zu 1.
Der Bundesregierung liegen hierzu keine über die diesbezügliche Medienberichterstattung hinausgehenden Erkenntnisse vor
2. Ist der Bundesregierung bekannt, ob auch Rechner und Informationssysteme von an Asylverfahren beteiligten Einrichtungen, vor allem des Bundes, Ziel der Ausspähung durch Geheimdienste von Staaten sind, die Oppositionelle verfolgen?
a) Sind der Bundesregierung derartige Angriffe bekannt, und wenn ja, auf welche Einrichtungen sind diese wann, von wem und mit welchem Ziel jeweils erfolgt, und welche Konsequenzen seitens der Sicherheitsbehörden, des Bundesamts für Sicherheit in der Informationstechnik oder des Bundesamtes für Verfassungsschutzes hatte dies jeweils?
b) Sind der Bundesregierung grundsätzlich Angriffe auf die Kommunikationsinfrastruktur des Bundes bekannt, die mit Produkten der Gamma-Firmengruppe verübt wurden?
Zu 2 a
Der Bundesregierung ist bekannt, dass eine Vielzahl von Stellen des Bundes von elektronischen Angriffen mit vermutlich nachrichtendienstlichem Hintergrund betroffen sind, darunter auch an Asylverfahren beteiligte Einrichtungen des Bundes wie beispielsweise das Bundesamt für Migration und Flüchtlinge (BAMF), das Bundesministerium für wirtschaftliche Zusammenarbeit und Entwicklung und das Auswärtige Amt. Es sind bisher nur Mutmaßungen darüber möglich, wer diese Angriffe mit welcher Zielsetzung initiierte. Ein spezieller Zusammenhang mit der durch bestimmte fremde Nachrichtendienste betriebenen gezielten Ausspähung von Oppositionellen
[pagebreak]
ist bislang nicht ersichtlich.3. Wie beabsichtigt die Bundesregierung ihrer Schutzpflichf gegenüber ihren Bürgerinnen und Bürgern aber auch gegenüber Asylsuchenden in Deutschland nachzukommen, sie vor Zugriffen ausländischer Geheimdienste zu schützen?
Zu 3.
Die Bundesregierung ist sich der anhaltenden Bedrohung durch Spionage fremder Nachrichtendienste für Staat und Wirtschaft, aber auch für Bürgerinnen und Bürger gerade in Zeiten einer weiter zunehmenden digitalen Vernetzung bewusst. Um Bürgerinnen und Bürger besser vor Ausspähung privater und geschäftlicher Daten zu schützen – unabhängig davon, ob diese Ausforschung durch fremde Nachrichtendienste oder etwa kriminelle Hacker erfolgt – hat sich die Bundesregierung in der Digitalen Agenda zum Ziel gesetzt, Verschlüsselung von privater Kommunikation in der Breite zum Standard werden zu lassen und die Anwendung von Sicherheitstechnologien wie beispielsweise De-Mail auszubauen. Hierbei hat sich auch das Konzept der staatlichen Zertiftzierung von im Wettbewerb angebotenen Produkten und Diensten auf Basis definierter Sicherheitsstandards durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) bewährt.
Die innerhalb der Bundesverwaltung für die Bearbeitung von Vorgängen im Zusammenhang mit Asylsuchenden zuständigen Behörden BAMF und Bundesverwaltungsamt (BVA) setzen ein Informationssicherheitsmanagement gemäß der Empfehlungen im „Umsetzungsplan für die Gewährleistung der IT-Sicherheit in der Bundesverwaltung“ (UP Bund) um und sind in die gesicherten IT-Infrastrukturen des Bundes eingebunden und somit besonders vor IT-Angriffen geschützt. Zur Durchführung des Asylverfahrens werden die Daten von Asylbewerbern beim BAMF in einer elektronischen Asylverfahrensakte (IT-System MARIS) vorgehalten, die nach den Vorgaben des UP Bund und denen des BSI gesichert ist. Das im BVA betriebene Ausländerzentralregister, in dem Daten von Ausländern zur Durchführung ausländer- oder asylrechtlicher Vorschriften vorgehalten werden, verfügt über keine Verbindung zum Internet und kommuniziert mit anderen Behörden und Stellen nur innerhalb der besonders gesicherten IT-Netzinfrastruktur der Verwaltung und dort nur mittels gesicherten Verbindungen. Die Mitarbeiter in diesem Aufgabenbereich sind sicherheitsüberprüft und arbeiten in besonderen Sicherheitsbereichen. Weitere Schutzmaßnahmen sind in Absprache mit dem BSI eingerichtet.
[pagebreak]
4. Welche Schlussfolgerungen und Konsequenzen zieht die Bundesregierung aus den auf der Wikileaks-Plattform veröffentlichten Dokumenten zur Gamma-Firmengruppe im Hinblick auf ihre Beweiskraft? Befürwortet die Bundesregierung, dass gegen das Unternehmen Ermittlungen erfolgen?
Zu 4.
Die Strafverfolgung obliegt in Deutschland grundsätzlich den Ländern. Die Bundesregierung hat in dieser Hinsicht keinerlei Weisungs- oder Aufsichtsrechte und kann insoweit weder die Beweiskraft einzelner Vorgänge einschätzen noch beurteilen, ob in bestimmten Einzelfällen Ermittlungen einzuleiten sind oder nicht. Die Beurteilung der Frage, ob zureichende tatsächliche Anhaltspunkte dafür vorliegen, ein Ermittlungsverfahren einzuleiten, ist Sache der zuständigen Staatsanwaltschaft.
5. Welche Maßnahmen wird die Bundesregierung in Bezug auf den Inhaber der IP-Adresse 217.86.164.76 ergreifen, der laut im August 2014 veröffentlichter Dokumente möglichweise seit 2011 in Deutschland vom bahrainischen Geheimdienst ausgespäht wird?
Zu 5.
Die (Medien-)Hinweise auf Ausspähaktivitäten durch fremde Geheimdienste unter Nutzung der Software „FinFisher“ sind Gegenstand eines Beobachtungsvorgangs des Generalbundesanwalts beim Bundesgerichtshof, in dem geprüft wird, ob ein Anfangsverdacht einer geheimdienstlichen Agententätigkeit zu bejahen ist. Die Prüfungen sind jedoch noch nicht abgeschlossen.
6. Stimmt die Bundesregierung der Auffassung der Staatsanwaltschaft München zu, wonach das Vorbereiten des Ausspähens von Daten gemäß § 202c StGB generell nicht die Herstellung und den Vertrieb von Software zur Datenerhebung durch staatliche Stellen erfasst, unabhängig davon, ob die Datenerhebung durch den Staat mithilfe der Software rechtmäßig erfolgt?
Zu 6.
Die Einschätzung der Strafbarkeit des Verbreitens bestimmter Programme obliegt den dafür zuständigen Strafverfolgungsbehörden und Gerichten.
7. Ist die Bundesregierung Hinweisen darauf, dass Gamma International/FinFisher Labs GmbH kontinuierlich Updates an Bahrain liefert bzw. die Technologie wartet, nachgegangen (www.netzpolitik.org vom 2. August 2014 „Gamma FinFisher: Über-
[pagebreak]
wachungstechnologie „Made in Germany“ gegen Arabischen Frühling in Bahrain eingesetzt (Update) und www. spiegel.de vom 8. August 2014 „FinFisher-Software: Kundendienst half bei Überwachung in Bahrain“)?a) Wurden solche Wartungen im Zusammenhang mit Bahrain nach Ansicht der Bundesregierung einen Einzeleingriff nach § 6 des Außenwirtschaftsgesetzes (AWG) rechtfertigen bzw. gegen die geänderte europäische Verordnung (EG) Nr. 428/ 2009 (EG-Dual—Use-Verordnung) verstoßen?
b) Liegen der Bundesregierung entsprechende Anträge der Gamma- bzw. FinFisher Finnengruppe oder des Unternehmens Elaman vor?Zu 7.
Zur Exportkontrolle von Gütern der Überwachungstechnik hat die Bundesregierung in ihrer Beantwortung der Kleinen Anfrage der Fraktion BÜNDNIS 90 / DIE GRÜNEN „Haltung der Bundesregierung bezüglich der Effektivierung von Exportkontrollen für doppelverwendungsfähige Überwachungstechnologie und Zensursoftware“, Bundestagsdrucksache 18/2374 vom 18. August 2014, ausführlich Stellung genommen. Dabei hat sich die Bundesregierung auch zu Lieferungen von Software durch die Firma Gamma nach Bahrain geäußert (vgl. Antwort der Bundesregierung zu Frage 10 der vorgenannten Kleinen Anfrage). Die Bundesregierung wird aufgrund von Kenntnissen tätig, die in regulären behördlichen Verfahren, insbesondere in Antragsverfahren für Ausfuhrgenehmigungen, gewonnen werden. Anträge der in der Frage angesprochenen Unternehmen zu Ausfuhren nach Bahrain liegen der Bundesregierung nicht vor. Aus den in der Frage zitierten Presseberichten ergeben sich darüber hinaus keine neuen Aspekte.
Ohne behördliche Kenntnis im dargelegten Sinne über die konkreten Güter oder diesbezüglichen Serviceleistungen kann eine rechtliche Prüfung nicht erfolgen. Grundsätzlich aber gilt: Die Bundesregierung wird bei entsprechender Kenntnis auch Ausfuhren, die keiner Genehmigungspflicht unterliegen, im Einzelfall mittels des Instruments des Einzeleingriffs nach § 6 des Außenwirtschaftsgesetzes (AWG) unterbinden, wenn durch diese Ausfuhren eine Gefahr für die in § 4 Absatz 1 AWG genannten Rechtsgüter bestünde. Auch in Bezug auf technische Unterstützung in Form von Wartungen, die nicht als eigenständige Ausfuhr qualifiziert werden können, prüft die Bundesregierung dies intensiv.
8. Wie viele Lieferungen von Überwachungstechnologie und Zensursoftware an Drittstaaten wurden im Zuge der von Bundesminister Sigmar Gabriel am 19. Mai 2014 angekündigten strengeren Kontrolle des Exportes von Überwachungstechnologie und Zensursoftware durch den Zoll auf Grundlage des Instruments des Ein-
[pagebreak]
zeleingriffs nach § 6 AWG untersagt (bitte mit Exportgut und Empfängerland konkret angeben)?
Zu 8.
Die im Rahmen des Wassenaar—Arrangements beschlossenen erweiterten Kontrollen bei Gütern der Überwachungstechnik, für die auf die Antwort zu Frage 1 der Kleinen Anfrage der Fraktion BÜNDNIS 90 / DIE GRÜNEN „Haltung der Bundesregierung bezüglich der Effektivierung von Exportkontrollen für doppelverwendungsfähige Überwachungstechnologie und Zensursoftware“, Bundestagsdrucksache 18/2374 vom 18. August 2014 verwiesen wird, sind zwischenzeitlich in Kraft getreten. Vor Inkrafttreten dieser neuen Genehmigungspflichten hat die Bundesregierung keine Kenntnis von Ausfuhren erlangt, die nunmehr von einer dieser neuen Genehmigungspflichten erfasst wären und bis dahin einen Einzeleingriff nach § 6 AWG zu deren Verhinderung erforderlich gemacht hätten. Insofern wurden auch keine Lieferungen von Überwachungstechnik an Drittstaaten auf Grundlage des Instruments des Einzeleingriffs nach § 6 AWG durch die Zollverwaltung angehalten. Im Übrigen wird auf die Antwort zu Frage 7 verwiesen.
9. Wie viele Lieferungen von Überwachungstechnologie und Zensursoftware an Drittstaaten sind seit der Ankündigung des Bundesministers Sigmar Gabriel vom 19. Mai 2014 nach Kenntnis der Bundesregierung erfolgt (bitte mit Exportgut und Empfängerland konkret angeben)?
Zu 9.
Zur Definition von Überwachungstechnik wird auf die Antwort zu Frage 1 der Kleinen Anfrage der Fraktion BÜNDNIS 90 / DIE GRÜNEN „Haltung der Bundesregierung bezüglich der Effektivierung von Exportkontrollen für doppelvenvendungsfähige Übemachungstechnologie und Zensursoftware“, Bundestagsdrucksache 18/2374 vom 18. August 2014, verwiesen. Die in Deutschland seit dem 19. Mai 2014 erteilten Ausfuhrgenehmigungen und Nullbescheide zu Exporten von Gütern der Überwachungstechnik einschließlich von Gütern der Telekommunikationsüberwachung (TKÜ) in Drittländer (§ 2 Absatz 8 AWG) betreffen Anträge von Unternehmen, die in Deutschland niedergelassen sind. Hiermit ist nichts über die Ausnutzung der Ausfuhrgenehmigungen und Nullbescheide oder tatsächliche Lieferungen gesagt.
[pagebreak]
Gut – BestimmungslandEntschlüsselungseinrichtung für Satellitenkommunikationssystem – Ägypten
Systemkomponenten für ein Monitoring Center – Indonesien
IMSI-Catcher – Marokko
IMSI-Catcher – Montenegro
SAP-Unternehmenssoftware mit Verschlüsselungsbibliothek – Nigeria
Entschlüsselungseinrichtung für Satellitenkommunikationssystem – Schweiz
Interception Center – Taiwan
10. Wie bewertet die Bundesregierung den Einsatz des FinFisher-Trojaners in Deutschland in rechtlicher Hinsicht?
Zu 10.
Nach dem Verständnis der Bundesregierung betrifft Frage 10 ausschließlich einen Einsatz der erwähnten FinFisher-Software durch fremde Staaten und nicht durch deutsche staatliche Stellen. Hierzu wird auf die Antwort zu Frage 4 verwiesen. Eine Einschätzung der Strafbarkeit des Einsatzes bestimmter Programme obliegt grundsätzlich den dafür zuständigen Strafverfolgungsbehörden und Gerichten.
11. Inwieweit treffen Berichte zu (www.sueddeutsche.de vom 15. April 2014 „Allianz gegen Feinde des Internets“ und www.ndr. de vom 7. Dezember 2011 „Exporthilfe für Überwachungstechnologie“, dass es außer den zwei zugestandenen Hermesbürgschaften für Überwachungstechnologie in den Jahren 2005 und 2006 weitere Hermesbürgschaften für solche Software gegeben hat?
[pagebreak]
Zu 11.
In der Bundestagsdrucksache 18/2374 teilte die Bundesregierung mit, dass im Zeitraum von 2003 bis 2013 zwei Exportkreditgarantien für die Lieferung in Telekommunikationsprojekte nach Malaysia und Russland übernommen wurden, die auch Überwachungstechnik enthielten. Diese Übernahmen erfolgten im Jahr 2005. Darüber hinaus ist festzustellen, dass in den Jahren 2000 und 2001 Exportkreditgarantien für Ausfuhren von Überwachungstechnik nach Litauen übernommen wurden.
12. Wie erklärt die Bundesregierung ihre widersprüchlichen Angaben gegenüber den Bundestagsabgeordneten und der Presse zum Export von Übemachungssoftware (vgl. Süddeutsche Online vom 28.11.2014)?
Zu 12.
Die Angaben der Bundesregierung gegenüber Bundestagsabgeordneten und der Presse waren jederzeit konsistent und nicht widersprüchlich. In der Kleinen Anfrage der Fraktion BÜNDNIS 90/ DIE GRÜNEN „Haltung der Bundesregierung bezüglich der Effektivierung von Exportkontrollen für doppelverwendungsfähige Überwachungstechnologie und Zensursoftware“ auf Bundestagsdrucksache 18/2067 wurde die Bundesregierung nach Ausfuhren in den Jahren 2003 bis 2013 gefragt. Die Recherche und die von der Bundesregierung in ihrer Antwort zu Frage 2 übermittelte Tabelle waren auf die Vorgaben der Bundestagsabgeordneten zugeschnitten. Daher bezog sich diese Frage lediglich auf Ausfuhren. Dies sind Lieferungen in Drittländer also in Gebiete außerhalb des Zollgebiets der Europäischen Union. Gleichzeitig wies die Bundesregierung daraufhin, dass ihr keine Informationen zu getätigten Ausfuhren vorliegen. Zur Gewährleistung größtmöglicher Transparenz übermittelte die Bundesregierung nicht nur die ihr vorliegenden Informationen zu erteilten Ausfuhrgenehmigungen, sondern auch zu Nullbescheiden. Solche Nullbescheide genehmigen die Ausfuhr nicht, sondern stellen rechtsverbindlich fest, dass ein bestimmtes Vorhaben weder verboten noch genehmigungspflichtig ist.
Um bei im Wesentlichen gleich gelagerten Anfragen untereinander konsistente Zahlen herauszugeben, hat die Bundesregierung im Folgenden auch gegenüber der Presse auf Basis der genannten Tabelle geantwortet. Die von einem einzelnen Journalisten wahrgenommenen Abweichungen zu älteren Anfragen, die eine zwangsläufige Folge punktueller respektive unterschiedlich formulierter Anfragen sind und damit zu anderen Prämissen bei der Recherche führen, wurden durch die Bundesregierung gegenüber diesem Journalisten aufgeklärt.
[pagebreak]
‑10-13. Wann genau hat das Bundeskriminalamt von der Gamma- bzw. FinFisher-Firmengruppe den Staatstrojaner FinSpy 4.20 gekauft, wie hoch waren die Kosten, und wie oft wurde dieser mittlerweile eingesetzt?
Vorbemerkung zu den Fragen 13 bis 16:
Die Verwendung des Begriffs „Staatstrojaner“ ist im Kontext der Fragestellung missverständlich. Als „Trojaner“ wird im EDV-Jargon üblicherweise ein Computerprogramm bezeichnet, das als nützliche Anwendung getarnt ist, im Hintergrund ohne Wissen des Anwenders jedoch eine andere (aus Sicht des Anwenders gegebenenfalls unerwünschte, schädliche) Funktion erfüllt. Bei der durch das Bundeskriminalamt (BKA) beschafften Software handelt es sich um eine Software für die Durchführung von Maßnahmen der Quellen-Telekommunikationsüberwachung (Quellen-TKÜ), die ausschließlich den Zweck der Ausleitung laufender Kommunikation der betroffenen Person von deren Endgerät – bei abgehender Kommunikation vor der Verschlüsselung beziehungsweise bei eingehender Kommunikation nach der Entschlüsselung – und insbesondere keine scheinbar nützlichen Funktionen zum Zwecke der Tarnung erfüllt.Zu 13.
Es wird auf den VS-NfD eingestuften Antwortteil gemäß der Vorbemerkung verwiesen.
14. Sofern der Staatstrojaner FinSpy 4.20 nicht eingesetzt wurde, worin bestanden bzw. bestehen die Gründe?
15. Welche andere Version des FinSpy-Trojaners wurde bzw. wird im Bundeskriminalamt eingesetzt (bitte aufschlüsseln nach Version und Anzahl der eingesetzten Fälle)?
16. Inwiefern und mit welcher Begründung trifft es zu, dass die Firma CSC Solutions letztes Jahr festgestellt hatte, dass die Software in der Version 4.20 gegen deutsches Recht verstößt bzw. verstieß (www.netzpolitik.org vom 8. Januar 2015 „Informationsfreiheits-Ablehnung des Tages: Informationsfreiheits-Beauftragte lehnt Anfrage zu illegalem Trojaner ab“)?
Zu 14. bis 16.
Es wird auf die Vorbemerkung zu den Fragen 13 bis 16 sowie auf den VS-NfD eingestuften Antwortteil gemäß der Vorbemerkung verwiesen.
[pagebreak]
17. Wird von CSC ein Vorschlag gemacht, wie der Einsatz der Version 4.20 technisch und rechtlich ermöglicht werden könnte, und wenn ja, wie sieht dieser aus?
Zu 17.
Es wird auf den VS-NfD eingestuften Antwortteil gemäß der Vorbemerkung verwiesen.18. Aus welchen Gründen ist der CSC-Prütbericht als geheim eingestuft, und wann wurde er wie dem Deutschen Bundestag zugänglich gemacht?
Zu 18.
Die Einstufung erfolgte nach Prüfung des Dokuments unter Maßgabe des § 3 VSA. Es handelt sich hier um eine verdeckte polizeiliche Einsatzmaßnahme, deren technische Funktionsweise aus einsatztaktischen und polizeifachlichen Gründen sensibel behandelt werden muss. Die Prüfung ergab, dass in dem Dokument unter anderem Informationen zur Funktionsweise von Quellen-TKÜ-Software enthalten sind. Eine Veröffentlichung dieser Informationen würde unter Umständen zur Wirkungslosigkeit beziehungsweise zumindest zu einer eingeschränkten Wirkung zukünftiger Maßnahmen der Quellen-TKÜ führen und hätte somit schweren Schaden für die (innere) Sicherheit der Bundesrepublik Deutschland zur Folge. Ein Einsatz der Software soll bei der Verfolgung schwerster Straftaten bzw. bei Gefahrenlagen zum Schutz von Leib und Leben erfolgen. Im Ergebnis wird diese Bewertung des BKA durch die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, die im Rahmen einer diesbezüglichen Informationsfreiheitsgesetz-Anfrage von einem Petenten um Vermittlung gebeten wurde, geteilt.
Der Prüfbericht wurde den Abgeordneten des Deutschen Bundestages bislang noch nicht zugänglich gemacht. Der Prüfbericht kann bei Bedarf über die Geheimschutzstelle des Deutschen Bundestages dem dazu berechtigten Personenkreis zur Einsichtnahme zur Verfügung gestellt werden.
[pagebreak]
VS – NUR FÜR DEN DIENSTGEBRAUCH
Anlage 1 zur Kleinen Anfrage des Abgeordneten Jan Korte u. a. und der Fraktion DIE
LINKE.Ermittlungen gegen eine deutsch—britische Software-Firma wegen illegaler Überwa-
chung von Oppositionellen in Bahrain und DeutschlandBT-Drucksache 18/3852
13. Wann genau hat das Bundeskriminalamt von der Gamma- bzw. FinFisher-Firmengruppe den Staatstrojaner FinSpy 4.20 gekauft, wie hoch waren die Kosten, und wie oft wurde dieser mittlerweile eingesetzt?
Zu 13.
Das Beschaffungsamt des Bundesministerium des Innern (BMI) hat im Auftrag des BKA im Jahr 2012 in einer Ausschreibung mit beschränktem Bieterverfahren Nutzungslizenzen für die Software FinSpy PC der Firma FinFisher (ehemals Gamma International) über deren Vertriebs-Partner Elaman GmbH beschafft. Der Zuschlag erfolgte am 25. Oktober 2012. Die Gesamtauftragssumme betrug 147.166,11 € inklusive Mehrwertsteuer. Davon wurden gemäß des vereinbarten Zahlplans bislang 70 Prozent an den Auftragnehmer gezahlt. Die Software wurde bislang nicht eingesetzt.
14. Sofern der Staatstrojaner FinSpy 4.20 nicht eingesetzt wurde, worin bestanden bzw. bestehen die Gründe?
Zu 14.
Die Firma CSC Solutions GmbH Deutschland hat im Jahr 2012 im Auftrag des BKA die vom BKA beschaffte Software FinSpy PC in der Version 4.20 geprüft. Dabei wurden Abweichungen der Software von den Vorgaben der Standardisierenden Leistungsbeschreibung (SLB) festgestellt, Welche eine Software-Anpassung erforderlich machten. Ein Einsatz einer Software zur Durchführung von Maßnahmen der Quellen-TKÜ durch das BKA erfolgt erst nach Feststellung deren vollständiger Rechts- und SLB-Konformität.
[pagebreak]
15. Welche andere Version des FinSpy-Trojaners wurde bzw. wird im Bundeskriminalamt eingesetzt (bitte aufschlüsseln nach Version und Anzahl der eingesetzten Fälle)?
Zu 15.
Das BKA hat bislang weder die Version 4.20 noch eine andere Version der Software FinSpy PC eingesetzt. Des BKA wird Maßnahmen der Quelllen-TKÜ erst dann durchführen, wenn eine vollständige Rechts— und SLB-konforme Software vorliegt und dies entsprechend der Maßgaben der SLB durch einen externen Prüfer sowie interne Tests festgestellt wurde.
16. Inwiefern und mit welcher Begründung trifft zu, dass die Firma CSC Solutions letztes Jahr festgestellt hatte, dass die Software in der Version 4.20 gegen deutsches Recht verstößt bzw. verstieß (www.netzpolitik.org vom 8. Januar 2015 „Informationsfreiheits-Ablehnung des Tages: Informationsfreiheits—Beauftragte lehnt Anfrage zu illegalem Trojaner ab“)?
Zu 16.
Auf die Antwort zu Frage 14 wird verwiesen.17. Wird von CSC ein Vorschlag gemacht, wie der Einsatz der Version 4.20 technisch und rechtlich ermöglicht werden könnte, und wenn ja, wie sieht dieser aus?
Zu 17.
Die Firma CSC wurde vom BKA als Prüfinstitut mit der Feststellung der SLB-Konformität beauftragt. Vorschläge zur Veränderung der Software sind nicht von diesem Auftrag umfasst.
-
: Einfache Auskunftsersuchen nicht nur in Österreich, USA und bei Interpol, sondern jetzt auch bei der Schufa
: Einfache Auskunftsersuchen nicht nur in Österreich, USA und bei Interpol, sondern jetzt auch bei der Schufa Bin ich in Datenbanken deutscher Bundes- oder Landespolizeibehörden gespeichert? Hat mich Europol in seinen IT-Beständen abgelegt? Erscheine ich im Schengener Informationssystem?
Auskunftsersuchen zu polizeilichen Datenbanken können bequem über den Auskunftsgenerator des Projekts Datenschmutz gestellt werden. Der funktioniert mittlerweile sogar für das österreichische Innenministerium sowie diverse Sicherheitsdirektionen. Schon länger ist auch die Möglichkeit von Abfragen bei Interpol und sogar in den USA (etwa beim Heimatschutzministerium“) enthalten.
Neu ist die Möglichkeit, auch private Scoringagenturen abzufragen, darunter Bürgel, Creditreform, Deltavista, Schufa, arvato und infoscore.
Datenschmutz wünscht sich Mithilfe beim Feedback:
Helft uns. Beteiligt euch an an unserem Wiki zu Überwachung und Datenschutz (nutzt auch die Wiki-Seite zum Auskunftsersuchen), teilt uns mit, was aus euren Anfragen geworden ist, verbessert unsere Formbriefe, entwerft neue an Behörden, die wir bisher noch nicht berücksichtigt haben und schickt sie uns. Vielen Dank.
Andere Aktive haben inzwischen einen eigenen Blog für Erfahrungsberichte mit Auskunftsersuchen bei Polizeibehörden eingerichtet. Auch dort freut man sich über Support:
Als politische Aktivist*innen landen wir ziemlich oft in Polizeidatenbanken. Theoretisch sind Behörden dazu verpflichtet, mitzuteilen, was sie gespeichert haben. Deshalb stellen wir Auskunftsersuchen an verschiedene Polizeibehörden und kämpfen um unsere Daten. Dabei gibt es so viele Absurditäten und witzige bis unverschämte Gegebenheiten, dass wir auch andere daran teilhaben lassen wollen. Auch ihr könnt gerne einen Erfahrungsbericht beisteuern an datenschutz[ät]nirgendwo.info.
Eine Übersicht über Polizeidatenbanken findet sich ebenfalls bei Datenschmutz.
Geradezu Legion ist aber die Aufzählung etlicher deutscher großer und kleinteiliger Datensammlungen, die das Innenministerium Niedersachsen 2010 in einer Großen Anfrage der Grünen aufführt und in zahlreichen Anlagen ergänzt (1 | 2 | 3 | 4 | 5 | 6). Lesenswert!