Bundestag
-
: Gerichtsverfahren nach Snowden
: Gerichtsverfahren nach Snowden Seit am 6. Juni 2013 durch die erste Veröffentlichung von „Top Secret“-Dokumenten durch den damaligen Guardian-Kolumnisten Glenn Greenwald bis dato nur unvollständig bekannte Informationen zu den Überwachungspraktiken der US-Geheimdienste bekanntwurden, haben Juristen und Aktivisten in den folgenden Monaten aufmerksam die Informationen geprüft. Es sind jetzt fast zwei Jahre vergangen, also lohnt sich ein Blick auf die juristischen Folgen der Snowden-Veröffentlichungen.
Schon beginnend mit „Prism“, dem elektronischen Massenüberwachungs- und Data-Mining-Programm der National Security Agency (NSA), ist von verschiedenen Seiten versucht worden, Gerichte anzurufen und so die Sachverhalte aus den Geheimdienstskandalen juristisch aufzuarbeiten. Um den Überblick zu behalten, sind hier die bisher laufenden Verfahren zusammengefasst:
Bild: John Linwood. Lizenz: Creative Commons BY-ND 2.0
Europäischer Gerichtshof für Menschenrechte
Der erste Beschwerdefall vor dem Europäischen Gerichtshof für Menschenrechte in Straßburg, der in Sachen GCHQ zu einem Urteil führen könnte, ist bereits aus dem Jahr 2013: „Privacy not Prism“ (Aktenzeichen: 58170/13). Die Beschwerde richtet sich vor allem gegen die Programme zur Massenüberwachung, die fehlende politische Rechenschaftspflicht der Geheimdienste und die mangelnde gerichtliche und parlamentarische Nachprüfbarkeit ihres Handelns. Sie wurde überhaupt erst möglich, weil Großbritannien seit dem Jahr 1951 die Europäische Menschenrechtskonvention ratifiziert hat. Auf diesen völkerrechtlichen Vertrag beruft sich die Beschwerde, konkret auf Artikel 8:
Jede Person hat das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung und ihrer Korrespondenz.
Das Programm „Tempora“, das dem GCHQ den Zugriff auf die Daten der Unterseekabel gibt, haben drei britischen NGOs, nämlich Big Brother Watch, die Open Rights Group und die Schriftstellervereinigung PEN, und ich selbst ins Zentrum der Beschwerde gegen die britische Regierung und den britischen Geheimdienst gestellt. Erfreulicherweise wird der Fall vom Gericht priorisiert eingestuft. Mehr als zwei Dutzend NGOs und weitere Sachverständige gaben schriftlich sog. Interventionen ab, um die Beschwerde zu stützen. Im Februar 2014 ist auch die deutsche Bundesregierung zur Stellungnahme aufgefordert worden, die bis zum 28. April 2014 erfolgen sollte, da ich als deutsche Staatsbürgerin eine der Beschwerdeführerinnen bin. Die Bundesregierung hat allerdings von einer schriftlichen Stellungnahme abgesehen.
Der Gerichtshof hat allerdings trotz der Priorisierung zwischenzeitlich das Verfahren am 11. April 2014 ausgesetzt („adjourned“), um Urteile des Investigatory Powers Tribunal abzuwarten, über deren Fortgang sich das Gericht auch schriftlich informieren ließ. Die britische Regierung hatte den Gerichtshof unterdessen um Rückweisung der Beschwerde gebeten, dem folgte das Gericht aber nicht.
Investigatory Powers Tribunal
Das Investigatory Powers Tribunal (IPT), ein geheimes Gericht, das Fälle untersucht und verhandelt, die gegen die britischen Geheimdienste gerichtet sind, hat in Dezember 2014 ein erstes Urteil gefällt. Angegriffen worden war das Gesetz „Regulation of Investigatory Powers Act“ (RIPA, insbesondere Section 8(4)) und damit die Massenüberwachungspraktiken des GCHQ. Ein Reihe von NGOs, darunter Liberty, Amnesty International und die American Civil Liberties Union (ACLU), wollen sich dagegen zur Wehr setzen, dass ihre Kommunikation im Rahmen des „Tempora“-Programms erfasst wird und auch Daten aus Programmen der NSA durch den GCHQ genutzt werden.
Drei wesentliche Ergebnisse sind aus dem Urteil zu lesen:
- Der britische Zugriff auf geheimdienstliche Daten der NSA ist rechtmäßig, da anderthalb Seiten Regularien im Oktober 2014 bekanntgemacht wurden, die Vorgaben für die Nutzung dieser Daten machen.
- Massenüberwachung ist grundsätzlich nach RIPA 8(4) rechtmäßig.
- Ob dabei die Verhältnismäßigkeit gewahrt blieb, ließ das Gericht offen.
Das innerbritische Geheimgericht IPT hat in einem weiteren Urteil im Februar 2015 festgestellt, dass der Zugriff auf die Millionen „Prism“- und „Upstream“-Daten der NSA, also den Informationen von den Internetkonzernen und den Glasfaser-Abhör-Operationen nicht rechtmäßig war und bis Dezember 2014 nicht hätte durchgeführt werden dürfen. Als Begründung wurde angegeben, dass es vor diesem Zeitpunkt keine Regularien für den Zugriff gegeben hätte. Dem half die britische Regierung wieder dadurch ab, dass sie solche Vorgaben veröffentlichte, und zwar noch während das Gerichtsverfahren im Gange war. Seit Dezember 2014 ist daher die Nutzung der transatlantischen Abhördaten legal. Möglicherweise müssen die vor Dezember 2014 erlangten Daten aber gelöscht werden.
Das IPT hat also zwei Urteile gesprochen, die sich teilweise gegenseitig widersprechen: Während im Dezember 2014 noch kein Verstoß gegen das Recht auf Privatsphäre durch die Massenüberwachung des GCHQ gesehen wurde, entschied dasselbe Gericht im Februar 2015, dass der gesetzliche Rahmen, innerhalb dessen das GCHQ mit Hilfe der NSA private Kommunikationsdaten massenhaft abgreift, sehr wohl gegen Artikel 8 der Menschenrechtskonvention widerspricht. Die britische Regierung versichert übrigens, man würde nur Terroristen jagen und hätte gar keine Zeit, die privaten E‑Mail der ganzen Leute zu lesen.
Der Gang zum Europäischen Gerichtshof für Menschenrechte ist jedenfalls nach den beiden Entscheidungen des IPT nun möglich.
Privacy International betreibt einen dritten Beschwerdefall vor dem IPT, bei dem es um die Hacking-Aktivitäten des GCHQ und der NSA geht. Auch der Chaos Computer Club beteiligt sich an dieser Beschwerde. Dass Schadsoftware in großem Umfang seitens der Geheimdienste verbreitet wird, soll nicht weiter fortgesetzt werden, so die Beschwerdeführer. Auch bei dieser Beschwerde griff die britische Regierung zu ihrer Methode, die Gesetzgebung, die angegriffen wird, einfach während des Gerichtsverfahrens neu zu schreiben. Es geht in diesem Fall um den britischen Computer Misuse Act, der unmittelbar vor der Anhörung am 3. März 2015 umgeschrieben wurde.
Gerichtsverfahren in den Vereinigten Staaten
Bereits am 27. Februar 2013, also wenige Monate vor Beginn der Snowden-Publikationen, hatte der Oberste Gerichtshof eine Klage gegen den Foreign Intelligence Surveillance Act (FISA) abgewiesen. Geklagt hatten Amnesty International, Human Rights Watch und die Schriftstellervereinigung PEN sowie weitere NGOs, da sie sich dagegen zur Wehr setzen wollten, dass FISA den US-Behörden, inklusive der National Security Agency (NSA), ausgesprochen umfangreiche Abhörbefugnisse gibt. Erst nach Beginn der Snowden-Veröffentlichungen sind allerdings die FISA-Geheimgerichte stärker kritisiert und Reformen angemahnt worden. Gefordert werden nun eigentlich selbstverständliche Standards, etwa dass die Interessen der von der Überwachung Betroffenen in den FISA-Gerichtsverfahren auch vertreten werden, dass generell mehr Transparenz zugelassen wird oder dass Betroffene vor normalen Gerichten gegen die geheimen Entscheidungen vorgehen können.
Nach Beginn der Veröffentlichungen aus den Snowden-Papieren erregte ein Urteil Aufsehen, da es Bezug zu den NSA-Skandalen hat: Ein New Yorker Bundesgericht entschied im April 2014, dass die US-amerikanischen Internet-Konzerne gespeicherte Informationen und Nachrichten von ihren Kunden auch dann den einheimischen Behörden zugänglich machen müssen, wenn die Daten außerhalb der USA gehalten werden. Darunter fallen etwa Cloud- oder E‑Mail-Daten, bei denen nun seitens der Behörden darauf verzichtet werden kann, internationale Rechtshilfe in Anspruch zu nehmen, wenn man die Herausgabe fordert.
In einem Interview mit „The Nation“ im Oktober 2014 betont Edward Snowden, dass die anhaltenden Veröffentlichungen und die Kritik an den Gerichten zu einem Umdenken führen könnten und setzt sogar einige Hoffnung in die Gerichte:
Bild: Tony Webster. Lizenz: Creative Commons BY 2.0
Now, over the last year, we have seen – in almost every single court that has had this sort of national-security case – that they have become markedly more skeptical. People at civil-liberties organizations say it’s a sea change, and that it’s very clear judges have begun to question more critically assertions made by the executive.
Das massenhafte Überwachen der Telefonleitungen durch die NSA nach Section 215 des US Patriot Acts ist im Mai 2015 tatsächlich erstmalig von einem Bundesgericht für rechtswidrig erklärt worden. Snowden sollte also vorerst Recht behalten: In der Tat hätten die auf ihn zurückgehenden Veröffentlichungen Einfluss auf das Urteil gehabt, bis hin zu der Aussage, die Snowden-Leaks „led to this litigation“.
Die Richter stoppen das Datenhorten aber nicht sofort, da die Neuregelung ohnehin bevorsteht. In Washington, DC, und in Kalifornien stehen allerdings noch weitere Entscheidungen von Bundesgerichten aus, bei denen vor dem Auslaufen von Section 215 am 1. Juni 2015 aber nicht mehr mit Urteilen zu rechnen ist. Am 23. Mai 2015 kurz vor Mitternacht scheiterte die unveränderte Verlängerung von Section 215 mit einem sehr knappen Votum 45 gegen 54, obwohl die Panikmache davor erheblich war.
Bild: Christine und Hagen Graf. Lizenz: Creative Commons BY 2.0
Juristisches Vorgehen gegen den BND
Niko Härting versuchte schon im Februar 2013 den Weg über die Verwaltungsgerichtsbarkeit gegen den Bundesnachrichtendienst (BND). Er wollte dagegen vorgehen, dass beim anlassunabhängigen Durchforsten von 37 Millionen E‑Mails nach Schlüsselwörtern nur lachhafte zwölf Nachrichten „nachrichtendienstlich relevant“ gewesen waren.
Härting betrachtete diese Massenüberwachung als unverhältnismäßig und illegal, sein eigener vertraulicher anwaltlicher E‑Mail-Verkehr sei möglicherweise betroffen. Das Verwaltungsgericht lehnte die Klage allerdings aus formalen Gründen ab, die bloße Möglichkeit, dass der Anwalt und seine Kommunikation von der Massenrasterung des BND getroffen sein könnte, reiche nicht aus.
Sonstige gerichtliche Streitigkeiten
Bild: martingerz2. Lizenz: Creative Commons BY-SA 2.0
Im Deutschen Bundestag versuchte die Opposition, das Bundesverfassungsgericht anzurufen, um zu erzwingen, dass Edward Snowden vor dem NSA-BND-Untersuchungsausschuss als Zeuge gehört wird. Der Zweite Senat sah sich als nicht zuständig an und lehnte die Beschwerde daher als unzulässig ab.
Die Philosophische Fakultät hatte den Plan, die Ehrendoktorwürde an der Universität Rostock an Edward Snowden zu verleihen, also einen Dr. h. c. (für honoris causa, „ehrenhalber“). Der Rektor der Uni, Wolfgang Schareck, hatte das Verfahren allerdings gestoppt. Der Fakultätsrat hat beim Schweriner Verwaltungsgericht daraufhin Klage eingereicht.
-
: Rätselraten um Angriff auf Bundestags-Netz
Im Bundestag tummeln sich ungebetene Besucher. CC BY-SA 2.0, via <a href="https://www.flickr.com/photos/pkirtz/15753798960/">flickr/Groman123</a> : Rätselraten um Angriff auf Bundestags-Netz Der letzte Woche bekannt gewordene Angriff auf IT-Systeme des Bundestags könnte auf das Konto eines ausländischen Geheimdienstes gehen. Das professionelle Vorgehen der Täter und die Komplexität der auf mehreren Bundestagscomputern gefundenen Trojaner würden auf einen Nachrichtendienst hindeuten, berichtet Spiegel Online mit Berufung auf Sicherheitskreise. Die ersten Ermittlungen würden jedenfalls von diesem Verdacht ausgehen, so der Spiegel.
Laut Informationen der Tageszeitung Die Welt sei die Attacke aus dem östlichen Ausland erfolgt, wobei unklar bleibe, ob es sich um einen nachrichtendienstlichen Angriff oder um das Werk einer Gruppe von Cyberkriminellen handle. „Der Standort eines Servers in Osteuropa sagt nichts über Herkunft und Natur des Täters aus,“ zitiert die Welt eine Quelle.
Bislang handelt es sich dabei freilich bloß um Spekulationen. Bestätigt ist hingegen, dass der „massive Angriff auf das Datennetz des Deutschen Bundestages“ Anfang Mai begonnen hat. Das geht aus einer E‑Mail hervor, die Norbert Lammert, Präsident des Deutschen Bundestages, heute Nachmittag an alle Abgeordneten verschickt hat und die uns vorliegt.
Etwas tiefer ins Detail gehen die Quellen der Welt. Demnach habe die Abteilung für Spionageabwehr des Bundesamtes für Verfassungsschutz (BfV) bereits vor gut drei Wochen Hinweise erhalten, dass mindestens zwei Rechner aus dem Bundestagsnetz regelmäßig verdächtige Server in Osteuropa kontaktieren würden. Daraufhin sollen die Verfassungsschützer den möglichen Spionageangriff an das Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie an die Bundestagsverwaltung gemeldet haben. Warum das BSI erst letztes Wochenende reagiert und drei Forensikexperten nach Berlin entsandt hat bleibt vorläufig unklar.
Ebenfalls in den Sternen steht, ob, und wenn ja, wieviele Daten abgeflossen sind. Sowohl Bundestagsverwaltung als auch Lammert pochen darauf, dass dahingehend noch nichts nachgewiesen werden konnte. Man arbeite mit Experten des BSI an „Analyse und Problemlösung“. Auch Gegenmaßnahmen sollen ergriffen worden sein. Anders schätzen das die Quellen der Welt ein: „Wir können nicht ausschließen, dass noch immer etwas abfließt.“
Entgegen Gerüchten würden die IT-Systeme jedoch grundsätzlich zu Verfügung stehen, schreibt Lammert, auch wenn es im Zuge von eventuellen Gegenmaßnahmen „im Einzelfall Beeinträchtigungen“ geben könnte. Unabhängig davon sollen alle Rechner überprüft werden, bestätigte uns die Bundestagsverwaltung. Eine vorgezogene Sommerpause, über die bis zuletzt spekuliert worden war, soll der Bundestag nun doch nicht antreten.
Unter den Abgeordneten herrsche jedoch Verunsicherung, „weil es faktisch keine konkreten Informationen gibt,“ teilte uns Steffi Lemke mit, Parlamentarische Geschäftsführerin der Grünen und Mitglied der Kommission für Informations- und Kommunikationstechniken und Kommunikationsmedien (IuK-Kommission). Sie sei sehr besorgt, „weil keine der zuständigen Sicherheitsbehörden bisher in der Lage zu sein scheint, den Angriff unter Kontrolle zu bringen oder belastbare Aussagen über das Ausmaß des Schadens zu treffen.“
Als – indirekte – Gegenmaßnahme sollen die im Bundestagsnetz „Parlakom“ anfallenden Vorratsdaten wieder länger gespeichert werden. Nach der Edathy-Affäre senkte die zuständige IuK-Kommission die Frist von drei Monaten auf sieben Tage. Der angepeilte Zeitraum ist derzeit noch nicht bekannt, in der E‑Mail von Lammert heißt es lediglich: „Die Vorsitzende der IuK-Kommission [Petra Pau, Linke] hat in Abstimmung mit den Obleuten der Kommission einer Verlängerung der Speicherfristen für Protokolldaten zugestimmt.“
-
: NSA-Selektorenliste: Aktuelle Stunde im Bundestag
: NSA-Selektorenliste: Aktuelle Stunde im Bundestag Im heutigen Bundestagsplenum gab es auf Verlangen der Linke-Fraktion eine Aktuelle Stunde zum NSAUA, dessen aktuell noch laufende Sitzung dafür eine Stunde unterbrochen wurde. Gegenstand der kurzen Redebeiträge sollte die Selektorenliste sein, und was mit der nun passieren soll.
Für einen sofortigen Zugang für den Untersuchungsausschuss machten sich Linke und Grüne stark, während Susanne Mittag und Jens Zimmermann von der SPD äußerten, es solle eine weitere Frist von „zwei Wochen über Pfingsten“ geben. Die solle dem Kanzleramt eingeräumt werden, um weiterhin mit „den Amerikanern“ (ob mit Regierung, Geheimdiensten oder sonstwem blieb unklar) über eine gemeinsam legitimierte Herausgabe zu verhandeln.
Eine weitere Möglichkeit wäre die Einsetzung eines Sonderermittlungsbeauftragten, der als Stellvertreter bzw. Mittelsmann die Liste einsehen und darüber an den NSAUA berichten dürfe. Die Einschätzungen darüber, wie die Neuschaffung einer solchen Position zu beurteilen wäre, gingen dabei naturgemäß auseinander.
Stephan Mayer, innenpolitischer Sprecher der CDU/CSU, schien die Möglichkeit als guten Kompromiss zu bewerten, schließlich habe bei der Untersuchung des PKGr zum V‑Mann „Corelli“ ein Sachverständiger, der als einziger Akteneinsicht bekommen habe, gute Arbeit geleistet. André Hahn, der für die Linke den Vorsitz im PKGr inne hat, äußerte hingegen, dass das gesamte PKGr vollumfänglichen Zugang zu den Akten gehabt habe, sodass der Sonderermittler ihnen prima habe zuarbeiten können, aber eben die Arbeit des Ausschusses nicht ersetzt habe.
Die Möglichkeit für den Ausschuss, Akten in den Räumlichkeiten der Treptower Außenstelle des Verfassungsschutzes einzusehen (daher die Bezeichnung des gleichnamigen Verfahrens), wurde hingegen nicht so emotionsgeladen diskutiert. Anscheinend hält dieses Vorgehen niemand für besonders realistisch.
Die CDU/CSU-Abgeodneten schließlich versuchten, entweder mit Drogen, Waffen und Terrorismus zu argumentieren, weswegen also die Gefahrenlage so groß sei, dass die Intransparenz der Nachrichtendienste relativ (Nina Warken) bis absolut (Armin Schuster) bleiben müsse. Oder mit „dem Amerikaner“, der damit drohe, Informationenslieferungen einzuschränken. Und schließlich, so ging dann die Logik des persönlichen Lieblings-Hardliners der Autorin, Armin Schuster von CDU/CSU: „Über 3000 Terrorgefährder“ exportiere Europa jährlich, desewgen sei es völlig schlüssig, dass eben auch europäische Ziele aus den Selektorenlisten nicht herausgenommen werden würden.
Die einzelnen Videomitschnitte der Reden lassen sich hier mit dem Suchbegriff „NSA-Selektoren-Liste“ finden, die gesamte Aktuelle Stunde gibt es inzwischen hier.
-
: „Cyberangriff“ auf Bundestag – Wie ernst ist er und wer steckt dahinter?
Quelle: Deutscher Bundestag, Fotograf Steffen Unger : „Cyberangriff“ auf Bundestag – Wie ernst ist er und wer steckt dahinter? Am letzten Freitag bestätigte Bundestagssprecher Ernst Hebeker gegenüber Spiegel Online, dass die IT-Systeme des Bundestags Ziel eines „Cyberangriffes“ geworden seien. Laut Spiegel hätten sich Unbekannte Zugriff auf Informationen im Bundestagssystem verschafft, was auch dem Cyberabwehrzentrum aufgefallen sei. Teile des Systems wurden temporär abgeschaltet, so auch Verzeichnisse des NSA-Ausschusses. Das genaue Ausmaß oder den Ursprung des Angriffs kannte man jedoch nicht.
Der Angriff sei nun ernster als angenommen, berichtete Spiegel Online gestern. Nach anfänglicher Konzentration der Angriffe auf Grünen- und Linksfraktion seien vermutlich auch die Rechner von Regierungsmitgliedern unter Beschuss geraten. Die Angreifer hätten mit Trojanern Zugriff auf Admin-Passwörter erlangt und seien schließlich „jedoch so tief in das Parlamentsnetz vorgedrungen, dass sie sich dort problemlos bewegen konnten.“
Welche Rechner genau betroffen sind und ob beispielsweise auch die Kanzlerin ins Visier geriet, ist noch unklar. Heute soll eine Unterrichtung des Innenausschusses durch BSI-Vertreter erfolgen.
Es ist nicht der erste Angriff der Art, der zumindest teilweise erfolgreich war. Die Bild-Zeitung behauptete Ende letzten Jahres [Achtung: BILD und Paywall], dass Angela Merkel und ihre Kreise über den Trojaner Regin von NSA und GCHQ ausspioniert worden seien. Im Januar wurden Seiten von Kanzlerin und Bundestag durch eine DDoS-Attacke temporär unerreichbar. Im Lagebericht des BSI zur IT-Sicherheit in Deutschland ist von „15 bis 20 Angriffen auf das Regierungsnetz“ täglich die Rede, bei „durchschnittlich einem Angriff pro Tag handelt es sich um einen gezielten Angriff mit nachrichtendienstlichem Hintergrund.“
-
Kommt in die Gänge!: Schon in sechs Wochen soll die Vorratsdatenspeicherung beschlossen sein
Verantwortlich für die Vorratsdatenspeicherung: SPD-Bundestagsfraktion. Bild: <a href="https://www.flickr.com/photos/spdbundestagsfraktion/11417118755/">SPD-Bundestagsfraktion</a>. Lizenz: Creative Commons <a href="https://creativecommons.org/licenses/by-nc-nd/2.0/">BY-NC-ND 2.0</a>. Kommt in die Gänge!: Schon in sechs Wochen soll die Vorratsdatenspeicherung beschlossen sein Das Gesetz zur Vorratsdatenspeicherung soll noch vor der Sommerpause verabschiedet werden. Das geht aus dem Zeitplan hervor, den wir veröffentlichen. Es bleibt nur noch wenig Zeit für Protest: organisiert euch!
-
Jetzt aktiv werden: Wir veröffentlichen den Gesetzesentwurf zur Vorratsdatenspeicherung
Jetzt aktiv werden: Wir veröffentlichen den Gesetzesentwurf zur Vorratsdatenspeicherung Heute morgen haben wir noch davor gewarnt, jetzt ist es soweit: Der Referentenentwurf für die Vorratsdatenspeicherung ist fertig und wurde soeben vom Justizministerium verschickt.
Hier ist er: BMJV Referentenentwurf Vorratsdatenspeicherung (PDF)
Im beiliegenden Schreiben heißt es:
Wegen der großen Eilbedürftigkeit soll die Kabinettsbefassung in Kürze erfolgen.
Also los jetzt: werdet aktiv! Kontaktiert Abgeordnete (vor allem die der SPD), argumentiert, protestiert, werdet kreativ, werdet wütend. Die anlasslose Massenüberwachung der Telekommunikation darf nicht wiederkommen!
Update: Die SPD-Fraktion wird den Gesetzesentwurf am Dienstag diskutieren. Dieser Termin wird zentral für die Meinungsbildung der Abgeordneten und damit den weiteren Verlauf des Gesetzes. Wem es möglich ist, in den Reichstag zu kommen oder in Hör- bzw. Sichtweite zu protestieren: taucht dort auf und macht eure Ablehnung deutlich!
Dienstag, 19. Mai 2015, 18.00 bis 20.00 Uhr
Reichstagsgebäude, Otto-Wels-Saal, 3 S 001 (Fraktionssaal), BerlinUpdate: Stefan Krempl und Jürgen Kuri schreiben bei heise online: Abruf auch bei Internetstraftaten
Laut dem Referentenentwurf aus dem Haus von Justizminister Heiko Maas (SPD), den Netzpolitik.org veröffentlicht hat, sollen Ermittler und andere auf die Gefahrenabwehr spezialisierte Behörden Verbindungs- und Standortdaten nicht nur abrufen dürfen, wenn sie Terrorismus bekämpfen oder höchstpersönliche Rechtsgüter schützen wollen. Ein Zugriff soll vielmehr auch erlaubt sein, um beim Verdacht auf „mittels Telekommunikation begangene“ Straftaten tätig werden zu können.
-
Jetzt aktiv werden: Das Gesetz zur Vorratsdatenspeicherung ist da und soll in zwei Wochen durch’s Kabinett
Verantwortlich für die Vorratsdatenspeicherung: SPD-Bundestagsfraktion. Bild: <a href="https://www.flickr.com/photos/spdbundestagsfraktion/11417118755/">SPD-Bundestagsfraktion</a>. Lizenz: Creative Commons <a href="https://creativecommons.org/licenses/by-nc-nd/2.0/">BY-NC-ND 2.0</a>. Jetzt aktiv werden: Das Gesetz zur Vorratsdatenspeicherung ist da und soll in zwei Wochen durch’s Kabinett Das Gesetz zur Vorratsdatenspeicherung ist da und soll bereits in zwei Wochen von der Bundesregierung verabschiedet werden. Das haben wir aus unterschiedlichen Quellen erfahren. Es ist höchste Zeit, gegen die anlasslose Massenüberwachung der Telekommunikation aktiv zu werden!
-
: Antworten der Bundesregierung zur Vorratsdatenspeicherung
: Antworten der Bundesregierung zur Vorratsdatenspeicherung Die Bundesregierung hat sich zu ein paar Antworten (pdf) bequemt, die auf eine parlamentarische Anfrage der Linken-Fraktion im Bundestag zurückgehen. Es ging um die „Pläne zur Erarbeitung einer neuen Richtlinie zur Vorratsdatenspeicherung“ (BT-Drucksache 18/4518, pdf). Eigentlich wären die Antworten bis zum Montag, den 13. April 2015, fällig gewesen, doch die Regierung erbat sich einen Aufschub bis 24. April.
Im Nachhinein ist diese Bitte um Fristverlängerung leicht zu erklären, am 15. April fanden ja die beiden Pressekonferenzen von Justizminister Heiko Maas und Innenminister Thomas de Maizière mit der Veröffentlichung der Leitlinien mitsamt geheimer Nebenabrede statt. Man wollte der Überraschung mit dem neuen Vorpreschen zur gesetzlichen Regelung der Vorratsdatenspeicherung wohl nicht vorgreifen.
Jan Korte, MdB mit Schwerpunkt Innenpolitik und Datenschutz und einer der Fragesteller, bemängelt daher das Übergehen des Parlaments:
Die Bundesregierung hat der eigenen PR ganz offensichtlich einen höheren Stellenwert eingeräumt als dem Fragerecht des Parlaments.
Aus den Antworten der Regierung geht hervor, dass sie davon ausgeht, dass die in den Leitlinien skizzierten Regelungen zur Speicherung der Verkehrs- und Standortdaten sowohl den Vorgaben aus Karlsruhe als auch dem Urteil des EuGH gerecht werden. Sie stehe auch in Europa einer Einführung „offen gegenüber“, wenn eine Regelung ebenfalls diesen Vorgaben entsprechen würde. Konkrete Vorschläge aus Europa seien der Regierung aber nicht bekannt.
Die Linksfraktion möchte gern wissen, ob denn der Regierung neue Erkenntnisse vorlägen, die einen „schlüssigen Nachweis für die Erforderlichkeit der Vorratsdatenspeicherung führen“ könnten, und welche das seien. Darauf antwortet die Bundesregierung erst gar nicht, sondern verweist auf das Urteil des Bundesverfassungsgerichtes aus dem Jahr 2010:
Das Bundesverfassungsgericht hat entschieden, dass der Gesetzgeber eine Speicherung von Telekommunikationsdaten als erforderlich beurteilen kann.
Gefragt war allerdings nach neuen Erkenntnisse, die offenbar nicht vorliegen.
Welche Regelungen denn die Bundesregierung für geeignet ansehe, um den Zugriff auf die Vorratsdaten nicht zu einem alltäglichen Standardermittlungsinstrument verkommen zu lassen, wie ein Gutachten des Max-Planck-Instituts nahelegt. Sie bleibt auch hier eine konkrete Antwort schuldig und verweist nur auf die Abrufregelungen:
Nur wenn die engen Voraussetzungen für einen Abruf im konkreten Einzelfall vorliegen, ist der Abruf zulässig.
Wie eng diese Voraussetzungen tatsächlich ausfallen, wird erst der Gesetzentwurf und in der Folge die Abrufpraxis zeigen. Und als „Türöffner“ für längere Speicherfristen sieht die Bundesregierung die momentan vorgeschlagenen zehn Wochen natürlich nicht, betont sie.
-
: Bundestag zur Zusammenarbeit im Bereich des Verfassungsschutzes: „Ein Meilenstein“
Now with a new internet surveillance department: Federal Office for the Protection of the Constitution. Image: <a href="https://de.wikipedia.org/wiki/Benutzer:Stefan_Kühn">Stefan Kühn</a>. License: Creative Commons <a href="https://creativecommons.org/licenses/by-sa/3.0/deed.de">BY-SA 3.0</a>. : Bundestag zur Zusammenarbeit im Bereich des Verfassungsschutzes: „Ein Meilenstein“ Heute Mittag debattierte der Bundestag in einer Plenarsitzung den Gesetzesentwurf der Bundesregierung „zur Verbesserung der Zusammenarbeit im Bereich des Verfassungsschutzes“. Wer die Sitzung in Gänze nachverfolgen will, kann das hier tun. Kern des Entwurfes ist der Ausbau des Bundesamtes für Verfassungsschutz (BfV), um einen in Zukunft besseren Informationsaustausch zwischen den Behörden des Verfassungsschutzes, sowohl auf Länder- als auch auf Bundesebene, zu garantieren. So würde es gelingen, ein erneutes Totalversagen der Verfassungsschutzbehörden, wie durch den NSU-Skandal aufgedeckt, zu verhindern. Über den Gesetzesentwurf haben wir in den vergangenen Wochen mehrfach berichtet. Unisono sahen die Redner von CDU/CSU die Gesetzesvorlage als „Meilenstein“ auf dem Weg zu einem effektiveren Verfassungsschutz.
Hier veröffentlichten wir erstmalig eine Vorabversion des Entwurfs, der besonders mit der Ausstattung des BfV mit neuen Kapazitäten zur „Cyber-Abwehr“ auffiel. Ein Kommentar zum kompletten Gesetzesentwurf ist hier nachzulesen. Außerdem leakten wir ein „VS-Vertraulich“ eingestuftes Dokument, das den Aufbau einer neuen Verfassungsschutzeinheit zum Ausbau der Internet-Überwachung beschreibt.
In der Plenarsitzung war von Themen wie „Cyber-Abwehr“ oder „Cyber-Gefahr“ jedoch keine Spur. Die Debatte drehte sich vor allem um die erstmalige gesetzliche Regelung zum Umgang mit sog. „Vertrauensleuten“. Hauptstreitpunkt war neben der Frage, ob es für ein sicheres Deutschland überhaupt V‑Männer und Verfassungsschutz bräuchte, der § 9 im neuen Gesetzesentwurf. Dieser regelt sowohl die Rekrutierungsvoraussetzungen eines V‑Manns als auch die dem V‑Mann nach Anstellung verliehenen Rechte und Grenzen.
Die Frage, ob der vorliegende Entwurf die Beschäftigung als V‑Mann vom Schlag eines Piatto oder Tino Brandt, beides brutale V‑Männer in der NSU-Affäre, verhindern könnte, war in diesem Zusammenhang zwischen Opposition und Regierung umstritten. Festzuhalten ist aber, dass es nach der Neuregelung keinesfalls auszuschließen ist, erneut Schwerverbrecher als V‑Männer zu beschäftigen oder V‑Männer im Dienste des BfV Straftaten begehen zu lassen.
Sofern zureichende tatsächliche Anhaltspunkte dafür bestehen, dass Verdeckte Mitarbeiter rechtswidrig einen Straftatbestand von erheblicher Bedeutung verwirklicht haben, soll der Einsatz unverzüglich beendet werden; über Ausnahmen entscheidet der Behördenleiter oder sein Vertreter. …
Im Bundeszentralregister eingetragene Verurteilungen wegen eines Verbrechens oder zu einer Freiheitsstrafe, deren Vollstreckung nicht zur Bewährung ausgesetzt worden ist, schließen Anwerbung und Einsatz grundsätzlich aus. (Hervorhebungen durch die Redaktion)Die an diesem Punkt emotional geführte Debatte verpasste so die Chance, auf Diskussionen über andere Neuregelungen einzugehen, wie z. B. die Ausweitung der „Cyber-Strategie“ und die Weiterentwicklung des Nachrichtendienstlichen Informationssystems (NADIS). Demnach sind Fragen über die Sicherheit der von NADIS gesammelten Daten, insbesondere im Licht der neuesten Erkenntnisse im NSA-BND-Skandal, nicht gestellt worden und folglich unbeantwortet geblieben.
-
: Justizministerium erklärt im Bundestag, dass wir zur Vorratsdatenspeicherung lügen
: Justizministerium erklärt im Bundestag, dass wir zur Vorratsdatenspeicherung lügen Gestern Morgen diskutierte der Rechtsausschuss im Deutschen Bundestag in Top 2 „Bericht der Bundesregierung zur angekündigten Initiative zur Einführung der Vorratsdatenspeicherung in Deutschland“ über die geplante Wiedereinführung der Vorratsdatenspeicherung. Das fand wie immer hinter verschlossenen Türen statt. Aber über Twitter konnten wir zumindest eine interessante Aussage mitbekommen. Und zwar erklärte der Parlamentarische Staatsekretär im Bundesjustizministerium, Christian Lange (SPD), dass es keine Nebenabreden in den Leitlinien zur Vorratsdatenspeicherung geben würde. Dies twitterte die linke Bundestagsabgeordnete Halina Wawzyniak:Am Montag hatten wir aufgedeckt: Geheime Nebenabrede – Doch kein Richtervorbehalt für Bestandsdatenauskunft, also Großteil der Vorratsdatenspeicherung.
Entgegen ihren Behauptungen will die Bundesregierung doch keinen Richtervorbehalt für die allermeisten Abfragen der Vorratsdatenspeicherung vorschreiben. Das geht aus einer geheimen Nebenabrede zu den offiziellen Leitlinien hervor, die wir veröffentlichen. Damit soll die alle fünf Sekunden eingesetzte Bestandsdatenauskunft auch auf Vorratsdaten zugreifen können – und dafür gilt kein Richtervorbehalt.
Uns liegt weiterhin ein Dokument mit der Nebenabrede vor, das wir als echt einstufen. Gleichzeitig wollte uns die Pressestelle des Justizministerium kein klares Dementi dazu geben. Wir bleiben also dabei: Es gibt eine Nebenabrede und bei der Präsentation der Leitlinien wurde offensichtlich nicht die ganze Wahrheit gesagt. Und im Bundestag dann anscheinend auch nicht.
Die einzige Frage bleibt: Warum wird eigentlich rund um die Wiedereinführung der Vorratsdatenspeicherung soviel gelogen?
-
: Anhörung zum IT-Sicherheitsgesetz im Bundestag (Liveblog und Fazit)
Geplante Cybersicherheitsstrategie für Deutschland - noch will sich die Regierung nicht äußern. : Anhörung zum IT-Sicherheitsgesetz im Bundestag (Liveblog und Fazit) Wie bereits angekündigt, findet heute ab 14 Uhr eine Expertenanhörung zum Thema IT-Sicherheitsgesetz (ITSG) im Innenausschuss des Bundestages statt.
Kurze Erinnerungsauffrischung: Das IT-Sicherheitsgesetz liegt derzeit in Fassung eines Gesetzesentwurfes vor, der von uns und vielen anderen, wie etwa dem CCC, stark kritisiert wird. Eigentlich soll er für mehr Sicherheit, vorrangig bei „Kritischen Unternehmen und Infrastrukturen“ sorgen. Durch schwammige Formulierungen und wirtschaftsfreundliche Verwässerung verfehlt der Entwurf dieses Ziel und verdient eher den Namen IT-Sicherheitssimulationsgesetz. Es ist weder genau definiert, wer eine kritische Infrastruktur bereitstellt, noch, was ein schwerwiegender Vorfall ist, der gemeldet werden müsste. Meldungen können im Normalfall anonym erfolgen und auch Sanktionsmöglichkeiten sind in dem Entwurf nicht vorgesehen. Mehr kritische Punkte haben wir hier zusammengefasst.
Wir haben live aus der Anhörung berichtet, für die ganze drei Stunden vorgesehen waren. Wer die Anhörung selbst nachvollziehen wollte, konnte das im Parlamentsfernsehen tun. Die eingeladenen Sachverständigen waren:
- Michael Hange, Präsident des Bundesamtes für Sicherheit in der Informationstechnik
- Prof. Dr. Gerrit Hornung, Universität Passau, Lehrstuhl für öffentliches Recht, IT-Recht und Rechtsinformatik
- Linus Neumann, Chaos Computer Club (CCC), Berlin [Text der Stellungnahme, Blogpost]
- Iris Plöger, Bundesverband der Deutschen Industrie e.V., Leiterin der Abteilung Digitalisierung
- Prof. Dr. Alexander Roßnagel, Universität Kassel, Institut für Wirtschaftsrecht
- Prof. Dr.-Ing. Jochen Schiller, Freie Universität Berlin, Institute of Computer Science
- Dipl.-Ing. (FH) Thomas Tschersich, Deutsche Telekom AG, Leiter Group Security Services
- Dr. Axel Wehling, Gesamtverband der Deutschen Versicherungswirtschaft e.V., Mitglied der Hauptgeschäftsführung, Geschäftsführer des Krisenreaktionszentrums der deutschen Versicherungswirtschaft
Eingangsstatements
Sitzungsvorsitzender Wolfgang Bosbach (CDU/CSU)
$begrüßungs-foo
Es wird ein Wortprotokoll geben. Und schriftliche Stellungnahmen, die ins Internet gestellt werden.
Michael Hange
Herausragende Punkte
Lagebericht zur IT-Sicherheit, BITKOM-Studie und Snowdenenthüllungen zeigen, wie verletztlich der Cyberraum ist.
Es gibt drei kritische Punkte: Vernetzung, Komplexität, die Erreichbarkeit jedes System über das Internet.
Gefährdungslage: Internet ist als Plattform für Angreifer attraktiv. Dienste und Angriffe sind zu kaufen, Entdeckungsrisiko ist gering, Masse der möglichen Ziele ist groß, Cyber-Angriffe kennen keine Grenzen.
Schwachstellen sind systemimmanent. Bei üblicher Software existieren 2–5 Promille Fehler pro Programmzeile. Bei gängigen Betriebssystemen ergibt das über 20.000 Schwachstellen. Die Bedeutung von Advanced Persistent Threats nimmt zu – das sind „hochwertige Premiumangriffe“.
Apps nähern sich 1,5 Millionen nur für Android.
Cybersicherheit rückt im KRITIS-Bereich [Kritische Infrastrukturen] in den Vordergrund. Bisher ist die Zusammenarbeit mit den Behörden freiwillig, aber angesichts des Risikos wird das der Realität nicht mehr gerecht.
Der Zeitpunkt ist gekommen, für KRITIS und Internetnutzer mehr zu tun. Mindeststandards, Meldepflicht, Warnpflicht, jährliches Lagebild, Prüfung zentraler Produkte, Änderungen in TMG und TKG.
BSI soll aktiv präventiv werden in Zusammenarbeit mit den Aufsichtsbehörden. ITSG ist ein notwendiger und wichtiger Schritt.
Prof. Dr. Gerrit Hornung
Gesetzentwurf adressiert eine relevante Frage und ist ein sinnvoller Ansatz. In aller Kürze:
1. Inhaltliche Standards: Ziel ist Verbesserung der IT-Sicherheit. Stand der Sicherheit soll berücksichtigt werden, das ist zu wenig. Sicherheit muss eingehalten werden. Branchenstandards sind ein probates Mittel, bringen aber auch Probleme.
2. Wie weist man die Einhaltung nach? Bereich der Audits ist ungeregelt. Das ist unzureichend, braucht genauere Regelung.
Meldepflichten: Entwurf sieht Sonderregelungen vor, keine Rechtfertigung für terminologische Abweichungen. Ist damit auch unterschiedlicher Inhalt gemeint. Bereich der hoheitlichen Anwender wird nicht geregelt. Nicht einsichtig, warum diese anders als KRITIS behandelt werden sollen.
Umgang mit den Informationen durch das BSI ist wichtig. Meldungen enthalten sensible Informationen über Wirtschaft. BSI sollte mehr für Öffentlichkeitsarbeit tun und Dritte informieren. Nicht nur Bedürfnisse der Wirtschaft berücksichtigen.
Kriminelle dürfen nicht auf Lücken hingewiesen werden, Lücken müssen vorher geschlossen werden. Information der Öffentlichkeit ist nicht adressiert, das ist ergänzungsbedürftig. Auch europäische Richtlinie sieht das vor.
3. Fehlende Sanktionen: Nicht alle Betreiber sind kooperativ, BSI braucht deshalb Durchsetzungs- und Anordnungsbefugnisse. Ungleichbehandlung, Bußgelder nur für TK-Bereich vorgesehen.
Zu §100 TKG: Wird als kleine Vorratsdatenspeicherung bezeichnet.
Linus Neumann
Im Gesetz sollen technische Probleme adressiert werden. Schwierig mit juristischen Mitteln zu machen.
Zwei Möglichkeiten für mehr IT-Sicherheit:
Härtung – Im Schadensfall den Schaden begrenzen – und Prävention – Finden und Entfernen von Bugs im Code. Am Ende die einzige Möglichkeit, ein Sicherheitsrisiko loszuwerden.
Anreize für eine Erhöhung der IT-Sicherheit im ITSG? Im ITSG starken Fokus auf KRITIS, aber Endnutzerschutz sollte größere Rolle spielen.
Stört, dass jegliche Proaktivität fehlt. Stand der Technik soll eingehalten werden, wird aber schon per Definition eingehalten. Technische Sicherheit muss erhöht werden, das kann nicht durch Meldepflichten im Nachhinein passieren.
Erstellung von Sicherheitskonzepten ist vorgesehen, um Rechtsunsicherheit des „Stands der Technik“ zu entfliehen. Verbände müssen sich für gemeinsames Sicherheitskonzept zusammensetzen. Dilemma: Standard, den alle erfüllen oder Standard, den man noch nicht erfüllt. Letzteres würde Investitionen benötigen.
§100 TKG, damit wird Datenvorhaltung ermöglicht. Aber Störungen sind akute Probleme, da bringt 180 Tage zurückreichender Datensatz nicht. „Das ist einfach Unsinn.“
BSI hat inhärenten Interessenskonflikt, weil BMI untergeordnet. Es ist auch im offensiven Bereich der IT-Sicherheit tätig, Verweis auf Wunschliste des BND. BSI unterstützt auch die Entwicklung von Staatstrojanern. Als zentrale Meldestelle daher grundsätzlich nicht geeignet.
Iris Plöger
BDI findet die Maßnahmen, wie Meldepflicht, unverhältnismäßig. Es entstehen finanzielle Aufwände. Nutzen ist nicht einschätzbar. Industrie hat Eigeninteresse an IT-Sicherheit.
Meldepflicht allein führt nicht zum Ziel, da reaktiv. Freiwillige Zusammenarbeit funktioniert sehr gut.
Eigene Vorschläge schon 2014 eingebracht, Studie „IT-Sicherheit in Deutschland.“ Konkrete Handlungsempfehlungen präsentiert.
1. KRITIS klar definieren. Ist nicht klar, an wen sich das Gesetz richtet. Unternehmen müssen wissen, ob sie betroffen sind. Staat ist der größte Betreiber kritischer Infrastrukturen. Schutzgut des Gesetzes ist kein Grund für Ungleichbehandlung staatlicher und privater Betreiber.
2. Umfang und Inhalt der Meldepflichten im Gesetz nicht bestimmt. Definition „erheblicher Störungen“ nicht hinreichend. Weitergabe von Daten sollte gesetzlich ausgeschlossen werden.
3. Mindeststandards sind branchenspezifisch wichtig.
4. Kompatibilität zwischen ITSG und NIS-Richtlinie wichtig. Stehen bisher nicht im Einklang. Unterschiedliche nationale und europäische Anforderungen.
5. Keine Doppelregelungen und Doppelzuständigkeiten schaffen.
6. Zusammenarbeit BSI und Unternehmen ausbauen. Informationen müssen zeitnah und praxisorientiert an Unternehmen gegeben werden – tagesaktuell. Allianz für Cybersicherheit stärken.
Prof. Dr. Alexander Roßnagel
1. Gesetzentwurf grundsätzlich zu begrüßen. Name verspricht mehr, als die Regelungen verfolgen. Maßnahmen sind grundsätzlich geeignet, Grundrechtseingriffe erforderlich und verhältnismäßig.
2. Definition kritischer Infrastrukturen erscheint ausreichend. Für Rechtssicherheit müssen sie so detailliert beschrieben werden wie in Emmissionsschutzverordnung, detaillierte Merkmale sind sachlich geboten.
3. Sicherheitsvorkehrungen sind für ein gleichmäßiges Mindestniveau erforderlich. Stand der Technik soll nicht nur berücksichtigt, sondern eingehalten werden. Branchengerechte Vorgaben sind zu begrüßen. Aber eingesetzte Technik kann nicht durch Betreiber selbst verbessert werden, daher müssen Sicherheitsnachweise hier präziser gefasst werden.
4. Kooperatives Sicherheitssystem ist zu begrüßen, wie anonyme und identifizierende Meldepflicht. Wann eine Meldepflicht besteht, sollte jedoch präziser geregelt werden. Ausnahmen sollen nur bei spezielleren Regelungen greifen. Verbessert werden muss Information der Öffentlichkeit und Nutzer. Staat hat Schutzpflicht, daher sollte Information die Regel sein.
Pflichten der Betreiber müssen sanktionsbewährt sein.
5. §100 TKG, Gesetzentwurf erweitert Begriff der Störung. Vorschrift erlaubt anlasslos Speicherung von Verkehrsdaten, das ist unverhältnismäßig. Muss eingeschränkt werden.
Prof. Dr.-Ing. Jochen Schiller
Gedankenexperiment: Smarter Backofen, lädt Backprogramme aus dem Internet. Steuerung übernimmt ein Webserver. Hat Schadsoftware, verkohlt nicht nur Kuchen, sondern die ganze Wohnung. Wer ist haftbar? Nutzer, Hersteller, Hacker?
Backofen ist keine kritische Infrastruktur, aber Probleme sind ähnlich. Eingebettete Computer steuern vielfältige Systeme, sind aber kaum abgesichert. Haben wir das richtige Sicherheitsbewusstsein?
Grundlegender Bewusstseinswandel ist notwendig, Sicherheit ist ein dynamischer Prozess.
Sicherheitsprozesse müssen branchenübergreifend gedacht werden. Alle müssen eingeschlossen werden, um wirksam zu sein. Drei Viertel aller Angriffe betreffen KMUs, diese stellen in ihrer Gesamtheit auch kritische Infrastrukturen dar – Wirkungsbereich des ITSG überdenken!
TMG und TKG sind nicht konsistent, um Angreifer zu erkennen. Das ist aus technischer Sicht nicht sinnvoll. Man muss reagieren können, bevor etwas passiert. Lagebild erfasst nicht alles im notwendigen Detailgrad.
Insgesamt: Gelebte IT-Sicherheit liegt hinter dem Stand der Technik zurück, ITSG ist Startschuss zum Sicherheitsbewusstsein.
Dipl.-Ing. (FH) Thomas Tschersich
Gesetz ist absolut notwendiger Schritt in die richtige Richtung. Geht um unsere Zukunftsfähigkeit in der digitalen Welt.
Historische Chance für Standortfaktor der sicheren Dienstleistungsumgebung. Nicht aus den Augen verlieren, dass weitere Schritte erforderlich sind.
Es fehlt die Einbeziehung der Hard- und Softwarehersteller. Angreifer sind erfolgreich, weil Schwachstellen ausgenutzt werden können. Betreiber kann die nicht allein beheben, Hersteller müssen unterstützen und Updates zur Verfügung stellen.
Vermutet, dass 95 Prozent aller Angriffe vergebens wären, wenn alle auf dem „Stand der Technik“ wären.
Man braucht ein Warnmeldungsregime zum Austausch von Informationen über Angriffe. Meldepflicht ist sinnvoll, relevante Meldungen sind notwendig für praktischen Nutzen.
Speichern von Daten in Telediensten: Diskussion um Erforderlichkeit ist notwendig. Logs sind notwendig für Schutz vor und Erkennung von Angriffen. Es braucht eine Definition, was gespeichert werden kann und darf.
Dr. Axel Wehling
Ist der richtige Zeitpunkt mit der richtigen Dosierung, gibt drei Kernpunkte:
1. Anonymisierte Meldung
2. Fortschreiten bei kooperativem Ansatz: Muss ausgebaut werden. Insbesondere in der Frage, welche Unternehmen zu KRITIS zählen. Bei Definition von Sicherheitsaudits und Zertifizierungen sollten branchenspezifische Lösungen möglich sein.
Kleinere Anpassungen sind erforderlich.
3. Branchenansatz: Versicherungsbranche hat Single Point of Contact mit BSI schon 2010 eingerichtet. Soll ausgebaut werden. Branchenansatz ist das Tool, um spezifisch IT-Sicherheit voranzubringen und Bürokratie zu vermeiden. Branchen haben unterschiedliche Anforderungen.
Um Meldekultur zu etablieren von Spezialgesetzen absehen. Lagebild reicht, evtl auch spezielle Lagebilder. Keinen Konkurrenzkampf zwischen den einzelnen Meldewegen generieren.
Fragerunde
Wendt (CDU/CSU)
@Tschersich/Wehling: Konkreter Wert als Anhaltspunkt für Definition kritischer Infrastruktur möglich? Welche Bereiche und Sektoren sollten unter KRITIS fallen, wird das europaweit tragfähig sein?
Tschersich: Kennzahlen schwierig. KRITIS alles, was unter Grundversorgung fällt, egal wie groß oder klein. D.h. auch Nahrungsmittel. Hier ist branchenspezifischer Ansatz sachdienlich. BSI bildet das Korrektiv, wenn eine Branche sich entziehen will, um Investitionen zu vermeiden.
Wehling: 1200 Versicherungsunternehmen in Deutschland, im GdV nur 430 Unternehmen. Nicht alle müssen miterfasst werden – branchenspezifisch gucken. In Übungen die Response-Zeiten angeschaut und geschätzt, ob diese adäquat sind. Nicht alle können in einen Topf geworfen werden.
Man kann ein Gefühl entwickeln, wer dazugehört oder nicht.
Schwer zu sagen, ob mit EU-Regelung kompatibel. National andere Aufteilung ist unschädlich, in etlichen Staaten gar keine nennenswerte Versicherungswirtschaft.
@Plöger/Hornung: Wesentlichkeit und Bestimmtheit, ist Gesetz ausreichend konkret? Ist sichergestellt, dass Kooperation von Unternehmen, Wissenschaft und Behörden funktioniert
Plöger: Große Unsicherheit bei Unternehmen besteht. Umfang und Inhalt der Meldepflicht wird kritisiert. Anzahl der Personen in großen Unternehmen, um das zu leisten, wird sehr groß sein.
Begrüßt kooperativen Ansatz, wünscht sich mehr Präzision im Gesetz. Frage, ob man mit Meldepflichten dem Problem Herr wird, unklar.
Hornung: Anforderung aus Grundgesetz, wesentliche Entscheidungen muss Gesetzgeber treffen. Also auch, auf wen ein Gesetz angewendet wird. Nicht jedes Unternehmen muss das direkt aus dem Gesetz sehen können. Empfiehlt Konkretisierung, gibt im Gesetz Ansätze dafür.
Wie ist die Zahl von maximal 2000 betroffenen Unternehmen, die im Gesetz genannt wird, zustande gekommen? Sollte präzisiert werden.
Je vager der Entwurf, desto größer die Chance, mit der EU-Richtlinie kompatibel zu sein. Eigentliche Probleme bei EU liegen bei Veröffentlichung der Ergebnisse und Sanktionen.
@Hange: Meldepflichten, Einschätzung der Menge der zu meldenden Vorfälle? Wie wird mit Meldefällen umgegangen? Wie wird der Mehraufwand?
Hange: BSI hat ein Lagezentrum, dass künftig 24/7 präsent sein wird. Zweistufiger Prozess: Was ergibt sich an Gefährdung für andere? Daraus ergibt sich eine Warnung. Dann: Meldepflichten sind kein Selbstzweck. Jede Meldung braucht auch Analyse, 80 – 90 Prozent aller Angriffe können abgewehrt werden. Spam ist nicht meldewürdig, sondern neuartige Angriffe. Betrifft vermutlich 5 – 10 Angriffe pro Jahr.
Ist ein dynamischer Prozess, wichtig ist, die Methoden festzulegen und Common Sense für Vorgehensweise zu etablieren. Informationen müssen vertraulich bleiben.
Reichenbach (SPD)
@Hornung/Roßnagel: Websteuerungen in eingebetteten Systemen: Zuordnungsschwierigkeiten zu TMG oder TKG, wie ist das Problem zu lösen?
Hornung: Sowohl in TMG und TKG Problem mit Umgang mit Verkehrsdaten. Es gibt überlappende Bereiche. Lösung nicht im Gesetzentwurf, Erforderlichkeitskriterium zu vage, Speicherdauer läuft völlig auseinander. Man braucht eine Erheblichkeitsschwelle und Zweckbindungsregelung, sowie Obergrenze für Speicherpflicht.
Roßnagel: Wenn man TMG miteinbezieht hat man nicht nur Verkehrs- sondern auch Nutzungsdaten. Eingriff in Grundrechte wird dadurch tiefer. Schließt nicht aus, dass trotzdem Vorsorgemaßnahmen getroffen werden. Aber darauf achten, dass stufenweise vorgegangen wird. Nicht alle Daten aller Nutzer für unbestimmten Zeitraum aufbewahren. Erstmal anonyme Statistiken analysieren. Sollte im Gesetz verankert werden. BVerfG hat eingefordert, dass nicht einfach alles gespeichert werden darf.
@Hange/Roßnagel/Schiller: Mitwirkungspflicht von Herstellern. Was passiert, wenn Monopolist ein Sicherheitsproblem ignoriert? Wie können Regelungen Mitwirkung garantieren?
Roßnagel: BSI kann Betreiber zu Nachbesserung auffordern, aber nicht Hersteller. Das muss aber möglich sein.
Schiller: Kann nicht so tun, als wäre IT-Bereich etwas ganz Neues. Nicht einzusehen, dass derjenige, der das Produkt anbietet, nicht zur Rechenschaft gezogen werden soll. Der Anbieter selbst muss Anforderungen an Hardwarehersteller stellen. Nicht logisch, dass in diesem Fall Haftung nicht greifen soll. Weiterpropagieren von Verantwortlichkeiten kann nicht sein.
Hange: Mit Mindeststandards wird ein Rahmen vorgegeben. Bindung des Herstellers an den KRITIS-Betreiber notwendig, z.B. in AGBs. BSI kann auch öffentlich warnen, das hat hohen Wirkungsgrad. Via Gesetz auf Zulieferer einwirken ist wirksam. Produktauswahl muss am Markt entschieden werden. Benennung von Schwachstellen schafft Druck auf Hersteller.
@Hornung/Roßnagel: Sanktionsmechanismen, wie ist das besser formulierbar? Wie lässt sich Wettbewerbsverzerrung vermeiden?
Hornung: TKG-Bereich kann als Modell gelten, nur erhebliche Verstöße Bußgeld-bewehrt. Nicht auf Sanktionsbefugnisse verzichten.
Roßnagel: Sicherungs- und Meldepflicht werden von großer Anzahl an Unternehmen befolgt. Muss dafür sorgen, dass diejenigen keine Wettbewerbsnachteile haben. Daher ist Sanktion notwendig. Regelung aus TKG könnte übertragen werden.
@Hornung/Roßnagel/Hange: Kritik von außen: Zweckbindung nicht ausreichend. Nachschärfung notwendig?
Roßnagel: Zweckbindung in §7a Abs. 2, Gesetz wird aber nicht nur von Rechtsabteilungen angewendet, daher sollte diese Frage präzise und detailliert beschrieben werden. Darf nicht nur Juristen-lesbar sein.
Hange: Nur dazu da, um Schwachstellen dem BSI zu nennen. Keine Weitergabe vorgesehen.
Wawzyniack (Linke)
@Neumann: Hat gesagt, dass Meldepflichten noch keinen Hack verhindert haben. Wenn Endnutzerschutz im Mittelpunkt, ist da Meldepflicht nicht doch sinnvoll? Vielleicht sogar ein Mehr an Meldepflicht? Verbot des Verkaufs von Sicherheitslücken?
Neumann: Gibt Ad-Hoc-Angriffe, Angriffe sind erfolgreich, wenn sie neuartig sind. Hohe Kunst fängt bei neuen Angriffen an, z.B. OpenSSL. Konnte keiner vorhersehen und fast niemand detektieren. Meiste Unternehmen haben hier Defizite. Angreifer hat keine Motivation, die Meldung der Telekom abzuwarten, bis er andere angreift.
Warum meldet bisher niemand freiwillig, Gelegenheit besteht seit 2012 in der Allianz für Cybersicherheit? Irgendwas funktioniert da nicht.
IT-Sicherheit ist multidimensionales Problem, es gibt viele Angriffsmotivationen.
@Neumann: Mehr Proaktivität gefordert, wie kann das aussehen?
Man sollte den Unternehmen Anreize geben – durch Haftung, Zwänge, … – den Risikoszenarien zu begegnen, bei denen Endnutzer zu schaden kommen und nicht nur das Kerngeschäft.
Bereits vorgeschlagen zu schauen: Was sind Softwareprodukte, die ein Großteil der Menschen nutzen? OpenSSL: Niemand hat das auditiert, um das eigene Risiko zu verringern. Alle profitieren von einer Sicherheitsüberprüfung, daher haben einzelne Unternehmen wenig Anreiz, profitieren aber davon.
Was macht man mit der proprietären Software? Kann bisher noch ohne jegliche Garantie operieren. Haftung würde mit wenig Bürokratie schönen Effekt erzielen. Gesamte Awareness für IT-Sicherheit ist noch nicht so hoch, wie sie sein könnte.
@Neumann: Ambivalente Funktion des BSI angesprochen. Aus Sicht der Endnutzer evtl. Auditierung sinnvoll, das scheint aber schwierig. Ist Auditierung sinnvoll, mit BSI als unabhängiger Stelle?
Unabhängigkeit ist ein dringendes Anliegen. BSI hat Imageproblem: Staatstrojaner, ungenügende Aufklärung bei Identitätsdiebstählen. Erfolg der Allianz für Cybersicherheit nicht groß. Mangelnde Unabhängigkeit ist dabei ein Kernproblem. Schade, dass sich das Gesetz nicht auf BSI-Lageberichte stützt.
@Neumann: Datenvorhaltung bei Störungen kritisiert. In welchem Umfang sind welche Daten notwendig?
Es darf keinen Freibrief geben, alle Daten unbegrenzt vorzuhalten. Aber es gibt konkrete Notwendigkeit, in Verkehrsdaten zu schauen, um Angriff vernünftig aufzuklären. Betreiber muss das tun, aber in diesem Fall ist Informieren der Nutzer notwendig.
Oft werden die Daten für Kleinstvergehen angefragt, daher sieht man, dass massive Einschränkung des Verwendungszwecks notwendig ist. Wenige Stunden bis Tage Speicherung sind ausreichend.
@Schiller/Hornung: Anwendungsbereich des Gesetzes, kleinere Unternehmen werden ausgenommen (< 250 Mitarbeiter, 43 Mio. Euro Bilanzsumme). Macht Bestimmtheitsgebot da noch Sinn? Nicht alle von Anfang an einbeziehen?
Hornung: Ausnahme für Kleinstunternehmer (kleiner 10 Mitarbeiter), nicht für KMUs. Wenn die reingenommen werden, kann das unverhältnismäßige Kosten verursachen.
Schiller: Stand der Technik und Sicherheitsbewusstsein. Stand der Technik ist definierbar. Warum KMUs? Bewusstseinsbildung. Oft kein Sicherheitsbewusstsein vorhanden, auch wenn keine Mitwirkungspflicht. Außerdem ist die Menge der KMUs zusammen relevant. Alle einzeln nicht erfasst. Wenn man ein Land lahmlegen will, dann geht man zu denen, die schlecht geschützt sind. Angriff ist dann in der Menge kritisch.
@Hange/Hornung: BfV soll bis zu 50 Stellen mehr bekommen, weil BSI dem BfV Daten übermitteln soll. Aber im Gesetz stehen nur Unterrichtungspflichten. Ist tatsächlich die Möglichkeit einer Datenübermittlung vorgesehen, Ermächtigungsgrundlage?
Hange: BSI hat technischen Blick auf Analyse. Wird warnen und Handlungsempfehlungen geben, Lageberichte erstellen. Bei Angriffen auf Regierungsnetze liegt Anteil der „hochwertigen Angriffe“ im einstelligen Bereich.
Zu Heartbleed – auch BSI macht Open Source. Auch Open Source muss geprüft werden. BSI will hier die Rolle des Prüfens übernehmen. Krypto-Bibliothek soll geprüft werden, BSI kann das finanzieren. Zertifizierung soll genutzt werden, um auch proprietäre Produkte zu prüfen, zum Beispiel bei eGK, Smart Meter.
Mitarbeit am Staatstrojaner wird auch Gegenstand des NSA-Ausschusses sein. BSI kann auch beauftragt werden, für Sicherheit zu sorgen. Darauf beschränkt sich das. Bei Identitätsdiebstahl waren die Server ruckelig, wurde aber in den Griff bekommen. Täglich werden bis 20.000 IP-Adressen an Provider gegeben, damit Kunden gewarnt werden können.
Gesamtgesellschaftlich muss gefragt werden, wie man Bürger besser schützen kann. Auch um kriminelle Bedrohungen an den Bürger zu reduzieren.
Hornung: BSI muss Stellen wie BfV unterrichten. Dieser Begriff ist unbestimmt. Auffällig, dass Gesetzesbegründung unspezifisch ist. Was BfV damit macht, muss das BfV selbst entscheiden. Scheint so zu sein, dass substantieller Teil der Auswertung beim BfV liegen soll. Sieht das kritisch.
von Notz (Grüne)
@Roßnagel/Hornung/Neumann: Was sind konkrete Punkte, die noch in das Gesetz hineingehören, damit auch Bürger geschützt werden?
Hornung: Hersteller mit ins Boot holen, Auditierung detaillierter formulieren. Anreize durch Haftungsregelungen. Inwieweit können sich Anbieter durch AGBs freizeichnen? Das im AGB-Recht beschränken. Meldepflicht für weitere Behörden und sonstige Anbieter.
Neumann: IT-Systeme sind komplex, schwer zu beherrschen. Meist gibt es aber nur Checklisten. Angreifer muss sich darum nicht kümmern, ist viel flexibler. Das erzeugt ein Ungleichgewicht. Schnellere Auditierung notwendig. Nicht IT-Sicherheit mit noch mehr Bürokratie erschlagen. Das geht zu Lasten proaktiver Maßnahmen.
Haftung bei Fahrlässigkeit einführen, Erhöhung der Schutzziele über den Stand der Technik hinaus. Konkrete Vorgaben für die Zukunft formulieren – das wäre Standortvorteil. Konkrete Schutzziele vorgeben. Grundlagen für gesamte deutsche Wirtschaft schaffen.
Roßnagel: Geht nicht nur darum, Wahrscheinlichkeit von Schäden und Angriffen zu reduzieren. Sondern auch um Schadenspotential. Haftung kann präzisiert werden, was sind berechtigte Sicherheitserwartungen und ‑pflichten? Öffentliche Hand sollte vorbildhaft vorangehen, z.B. nur zertifizierte Produkte einsetzen. Aktuellen Entwurf aber nicht deswegen aufhalten, sondern Schritt für Schritt vorgehen.
@Roßnagel/Hornung/Neumann: In Hinblick auf Scheinabsicherungen – was wären harte, notwendige Prüfungsschritte, um Hard- und Software als sicher beschreiben zu können? Z.B. bei Netzwerk-Switches.
Neumann: Zwei Teilprobleme, es gibt die Sicherheit, die das Produkt bieten kann und die Sicherheit, die man kaputtkonfigurieren kann. Man kann Anbieter von Produkten durch Zertifizierung zu Überprüfungen anhalten. Dort gibt es noch Luft nach oben, aktuelle Kontrollmöglichkeiten scheinen noch nicht zu greifen. Problembewusstsein ist nicht gegeben.
Roßnagel: Aus Technikrecht kann man Mindestniveau übertragen. Einheitlichkeit erreichen, wird aber nicht jedem Risiko gerecht. Dann spezifischere Anforderungen stellen. Schauen, ob IT-Sicherheitskonzepte existieren und umgesetzt werden.
@Hange/Roßnagel/Hornung/Neumann: Problem in Diskussion um IT-Sicherheit, Cyberwar und Co. bei Verteidigung und Angriff? Wie kann es sein, dass das BSI dem BMI unterstellt ist?
Hornung: Bei Zusammenarbeit BSI und andere Behörden aufpassen, aber komplette Unabhängigkeit nicht notwendig. Muss über Zusammenarbeit der verschiedenen Abteilungen nachdenken.
Roßnagel: Frage nach Unabhängigkeit zweitrangig, relevant ist, ob es Interessensgegensätze gibt. Evtl. ist Unabhängigkeit ein Mittel, darauf zu reagieren.
@Roßnagel/Hornung/Neumann: Parallele Verhandlung der NIS-Richtlinie in der EU. Ist es sinnvoll, dass das ITSG Vorbild der NIS-Richtlinie werden soll?
Hornung: Abhängig davon, wie der Zeitplan für die NIS-Richtlinie aussieht. Keine Prozesse vorgeben, die Unternehmen teuer umsetzen müssen.
Roßnagel: Artikel 2 der NIS-Richtlinie sagt, sie betreibt nur eine Mindestharmonisierung, Länder dürfen trotzdem noch eigene spezifische Regelungen über Mindestniveau erlassen. Definition von kritischen Infrastrukturen in NIS nicht enthalten.
Jarzombek (CDU/CSU)
@Tschersisch: Wie wird bei Telekom vorgegangen, wenn Kunden als Teil eines Botnetzes unterwegs sind?
Tschersisch: Monatlich werden viele Endkunden angeschrieben, von deren IPs Angriffe stammen. Hat einen enormen positiven Effekt, viele Kunden fragen nach und nehmen das ernst. Problem ist, dass solche Informationen nicht durch eigene Auswertungen ermittelt werden dürfen. Man ist auf Meldungen von Dritten angewiesen.
@Hange: Wie sind Reaktionszeiten des BSI bei eingehenden Meldungen geplant? Wie sieht Unterstützung von Unternehmen bei persistenten Angreifern aus?
Hange: Schon jetzt sind Prozesse etabliert. Prozesse müssen mit den Branchen transparent gemacht werden. Man kann nicht zeitlich genau definieren.
BSI kann Betreiber von KRITIS unterstützen – als Ersthilfe – oder an dritte Dienstleister verweisen.
@Plöger/Hornung: Wie ist Alternativvorschlag zur Konkretisierung von Begriffen, z.B. Stand der Technik?
Plöger: Parallele zu Patentrecht – Industrie hat sich zurückhaltend geäußert, den Stand der Technik in einem Gesetz zu formulieren.
Hornung: Man kommt nicht ohne unbestimmte Rechtsbegriffe aus. Man braucht jemanden, der entscheidet, was Stand der Technik ist. Das ist Dynamik, aber die fehlt im Gesetzesentwurf.
Hakverdi (SPD)
@Roßnagel: Wie kann man §100 TKG verfassungskonform formulieren?
Roßnagel: Man muss den zulässigen Anlass genau beschreiben. Stufenweise vorgehen: Verkehr beobachten ohne Personenbezug, bei Anlass auch Anomalien näher anschauen, auch anonym und pseudonym. Erst bei Entdeckung eines Angriffs den Personenbezug herstellen. Im ersten Schritt keine flächendeckende und anlasslose Speicherung von personenbezogenen Daten durchführen. EuGH verlangt, dass Verarbeitung personenbezogener Daten auf das absolut Notwendige beschränkt wird.
Ausnahmen für bestimmte Berufe (Ärzte, Rechtsanwälte, etc.) – überlegen, ob man eine Whitelist mit bestimmten Anschlüssen erstellt. §100 TKG modernisieren. Mehr Kriterien zum Schutz der betroffenen Bürger.
Nachfrage: Sind Whitelists technisch möglich?
Tschersisch: Technisch möglich so gut wie alles, aber Realismus fraglich.
Fazit
Im Grunde entsprachen die vorgebrachten Argumente den Punkten, die bereits im Vorfeld kritisiert wurden. Ein Streitfaktor ist dabei die Frage, ob eine im Normalfall anonyme Meldepflicht ausreicht. Ein weiterer, viel bemängelter Punkt sind die unklaren Begriffsdefinitionen, die unter anderem dazu führen, dass Unternehmen nicht wissen würden, ob sie selbst zur betroffenen kritischen Infrastruktur gehören. Auch die Festlegung auf einen Stand der Technik gibt keine klaren Leitlinien, eine Konkretisierung des Begriffes ist jedoch im Rahmen eines Gesetzes schwer umzusetzen.
Die Begrenzung des Gesetzes auf kritische Infrastrukturen ist dabei ein Kritikpunkt an sich. Denn eigentlich, sollte man meinen, ist IT-Sicherheit für alle ein maßgeblicher Faktor. Denn wenn eine Vielzahl an Unternehmen, die vielleicht für sich genommen nicht kritisch wären, von einem Angriff betroffen ist, kann das in der Masse einen ebenso kritischen Vorfall darstellen wie beispielsweise ein Angriff auf einen einzelnen, großen Energieversorger. Ebenso wichtig für die IT-Sicherheit sind diejenigen, die Komponenten für IT-Systeme liefern, auf deren Basis die Betreiber arbeiten müssen. Existieren beispielsweise Sicherheitslücken in verwendeter Hard- oder Software, hat ein Betreiber eines Unternehmens wenig Handhabe, das ITSG hilft ihm dabei nicht.
Inwiefern der Gesetzesentwurf helfen kann, proaktiv Angriffe zu bekämpfen bleibt fraglich und so stellten einige der Sachverständigen in Frage, ob eine vorgesehene nachträgliche Meldepflicht ausreichend ist, wenn Angreifer sich normalerweise nicht darauf beschränken, Infrastrukturen nacheinander anzugreifen, sondern dies in der Regel parallel erfolgt. Was die Wirksamkeit des Gesetzes darüberhinaus behindern könnte, sind die mangelnden Sanktionierungsbefugnisse. Denn gibt es keinen wirtschaftlichen Anreiz, Sanktionen zu vermeiden, da schlichtweg keine vorgesehen sind, ist es fraglich, ob Unternehmen mitunter intensive Investitionen in IT-Sicherheit tätigen werden.
Ein anderes, viel angesprochenes Thema sind die Speicherbefugnisse für Telemedien- und Telekommunikationsanbieter bezüglich Verkehrsdaten nach §100 TKG, die zur Angriffserkennung gewährt werden sollen. Hier ist eine Konkretisierung und Beschränkung der Befugnisse dringend erforderlich, um nicht eine Vorratsdatenspeicherung durch die Hintertür einzuführen.
Ob eine Verabschiedung des IT-Sicherheitsgesetzes zum aktuellen Zeitpunkt überhaupt sinnvoll ist, wurde aufgrund der aktuell debattierten NIS-Richtlinie an mehreren Stellen angezweifelt. Die NIS-Richtlinie stellt quasi das europäische Äquivalent des ITSG und damit Mindeststandards dar. Bei Widersprüchen müsste das ITSG nachgeregelt werden, manche sehen das ITSG jedoch als mögliche Vorlage für die europäische Regelung.
Worin sich alle Beteiligten einig waren ist der Punkt, dass eine Regelung von IT-Sicherheitsstandards dringend geboten ist. Dass das IT-Sicherheitsgesetz in der aktuellen Entwurfsfassung das gebotene Mittel ist, ist jedoch unwahrscheinlich.
-
: Nächste Woche im #NSAUA: Ex-BND-Chef Uhrlau Zeuge im NSA-Ausschuss
: Nächste Woche im #NSAUA: Ex-BND-Chef Uhrlau Zeuge im NSA-Ausschuss Kommende Woche kommt Ernst Uhrlau, ehemaliger Präsident des Bundesnachrichtendienstes, als Zeuge in den Geheimdienstuntersuchungsausschuss im Deutschen Bundestag. Wir werden wie immer für Euch live von vor Ort über den öffentlichen Teil berichten.
Die Rolle des Kanzleramts und der Spitze des Bundesnachrichtendienstes (BND) bei dessen Zusammenarbeit mit den US-Geheimdiensten NSA und CIA will jetzt der Untersuchungsausschuss unter die Lupe nehmen, der den NSA-Spähskandal durchleuchten soll. Damit tritt die Arbeit des Gremiums in eine neue Phase. Bislang haben die Abgeordneten Vertreter der Fachebene vor allem aus den Reihen des BND befragt, fortan werden hingegen auch politisch Verantwortliche vernommen. Die öffentliche Sitzung unter Vorsitz von Prof. Dr. Patrick Sensburg (CDU/CSU) beginnt am Donnerstag, 23. April 2015, um 11.30 Uhr im Europasaal 4.900 des Paul-Löbe-Hauses in Berlin.
Zunächst wollen die Parlamentarier Dr. Peter Bartodziej anhören, ehedem Referatsleiter in der für die Geheimdienstkoordination zuständigen Abteilung des Kanzleramts. Anschließend tritt Ernst Uhrlau in den Zeugenstand, von 2005 bis 2011 BND-Präsident und in den Jahren zuvor in der Regierungszentrale Chef der Geheimdienstkoordination.
-
Informationsfreiheits-Ablehnung: Über Freihandelsabkommen TTIP reden verboten, Begründung lesen auch
Protest gegen TTIP in Berlin. Bild: <a href="http://www.mehr-demokratie.de/">Mehr Demokratie e.V.</a>. Lizenz: Creative Commons <a href="https://creativecommons.org/licenses/by-nc/2.0/">BY-NC 2.0</a>. Informationsfreiheits-Ablehnung: Über Freihandelsabkommen TTIP reden verboten, Begründung lesen auch Der Bundestag will Städten und Gemeinden verbieten, sich zum Transatlantischen Freihandelsabkommen TTIP zu äußern, aber die Begründung nicht veröffentlichen. Die Wissenschaftlichen Dienste des Bundestages wollen das Gutachten nicht nach Informationsfreiheitsgesetz herausgeben. Ein Gericht hatte diese Rechtsauffassung begestritten, aber die Bundesregierung hat Berufung eingelegt.
-
: Die Lobby-Republik – wer in Deutschland die Strippen zieht
: Die Lobby-Republik – wer in Deutschland die Strippen zieht 
Am Wochenende habe ich mal „Die Lobby-Republik – wer in Deutschland die Strippen zieht“ des Stern-Journalisten Hans-Martin Tillack fertig gelesen. Das Buch gibt einen aktuellen Überblick über das politische Berlin anhand der Lobbyaktivitäten diverser Branchen und ihrer Verbänden. Tillack kann dabei häufig auf interne Dokumente und Mails zurückgreifen und bietet damit einen guten Einblick, wie Politik beeinflusst wird. Gleichzeitig thematisiert er auch anschaulich, wie Politiker sich vereinnahmen lassen – und warum. Hans-Martin Tillack plädiert mit dem Buch auch für mehr Transparenz, sowohl bei politischen Entscheidungen als auch bei der Finanzierung unserer Parteien und Politiker. Und liefert die passenden Hintergründe und Einschätzungen dazu, denn Lobbyismus braucht endlich „klare Regeln und Kontrollen“.Das 349 Seiten lange Buch ist im Hanser-Verlag erschienen und kostet gedruckt 24,90 Euro (Amazon-Partnerlink)
oder 18,99 als eBook (Amazon-Partnerlink)
.
Aus der Verlagsbeschreibung:
Eine Party für den frischgekürten Bundespräsidenten, lukrative Jobangebote jenseits der politischen Karriere, gesponserte Reisen, exklusive Abendgesellschaften: Lobbyisten buhlen nach Kräften um die Gunst der Politiker. Wie sie vorgehen, um an wertvolle Informationen zu gelangen und die Interessen der eigenen Klientel durchzusetzen, ist nicht immer sauber. Hans-Martin Tillack, der diese Praktiken seit Jahren verfolgt, führt uns hinter die Kulissen der Berliner Politik, offenbart verborgene Vorgänge und nennt Namen. Für ihn ist klar: Es bedarf verbindlicher Verhaltensregeln für den Umgang mit Interessenvertretern – sonst droht unsere demokratische Kultur Schaden zu nehmen.
-
: IT-Sicherheitsrichtlinie des Bundesinnenministeriums: Keine Kettenmails! Und zentrale Verschlüsselung!
Geplante Cybersicherheitsstrategie für Deutschland - noch will sich die Regierung nicht äußern. : IT-Sicherheitsrichtlinie des Bundesinnenministeriums: Keine Kettenmails! Und zentrale Verschlüsselung! Über eine Informationsfreiheitsanfrage zu den Blackberry-Kryptophones haben wir erfahren, dass es im Bundesinnenministerium (BMI) mit Anweisungen zur verschlüsselten Kommunikation ziemlich mau aussieht. Aber wir wollten wissen, wie mau genau und haben die Hausanordnung zum Einsatz von Informationstechnik im BMI per IFG-Anfrage angefordert und erhalten.
Zurück in die 90er
Bei ersten Durchlesen fällt auf: Das Dokument liest sich an manchen Stellen wie ein Relikt aus den 90ern. „E‑Mail ist elektronische Post“, wird an einer Stelle erklärt, „das personenbezogene Postfach ist täglich mehrfach auf neue Posteingänge zu überprüfen“, an einer anderen. Auch wird dem geneigten Leser erklärt, wie man E‑Mails adressieren kann und was „An“, „Cc“ und „Bcc“ bedeuten. Darüberhinaus wird der klassische Internet-Ausdrucker aufgefordert, dass Dokumente „möglichst am Bildschirm zu lesen“ sind. Beinahe charmant wirkt auch Absatz 6.2.8:
Untersagung von Kettenbriefen
Als Kettenbriefe werden insbesondere E‑Mails bezeichnet, die die Aufforderung enthalten, der Empfänger solle sie an eine Reihe weiterer Empfänger weiterleiten. Der Versand oder die Weiterleitung von Kettenbriefen ist untersagt.
Wer denkt dabei nicht an die Zeiten von „Durchlesen und Weiterleiten!!! Wichtig!!! Dies ist kein Scherz!!1elf“ und schlechten, pseudowitzigen Power-Point-Präsentationen, die in Büros hin- und hergeschickt wurden? Im Innenministerium sind diese Zeiten vorbei.
IT-Sicherheit mit sechs Zeichen
Weniger lustig wird es bei den IT-Sicherheitsvorkehrungen. „Das Passwort muss eine Länge von mindestens sechs Zeichen haben“, heißt es. Doch schon 2011 gab das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Pressemitteilung heraus, die Passwörter mit mindestens acht Zeichen empfahl, die „nicht im Wörterbuch stehen“ und „neben Buchstaben […] auch Ziffern und Sonderzeichen enthalten“ sollen. Eigentlich sollte doch das BMI ein Interesse daran haben, die Mindestempfehlung der ihm selbst unterstellten Behörde umzusetzen. Könnte man meinen.
Nach „starken Sicherheitsvorkehrungen“ hört es sich jedoch erst einmal an, wenn vom „Umgang mit beweglichen Datenträgern“ geredet wird – also allem von Disketten bis USB-Sticks. Hier wird davon geredet, dass sowohl optische Laufwerke als auch USB-Ports standardmäßig deaktiviert seien und zum Transport von Daten personalisierte USB-Sticks mit „biometrischem Zugangsschutz (Fingerabdruckscan)“ beantragt werden müssten. Schön und gut – von der oftmals nachgewiesenen Unsicherheit biometrischer Zugangssysteme mal abgesehen –, doch die Regel erinnert unschön an eine parallele Regelung bei der Polizei Niedersachsen. Wir haben vor einiger Zeit durch interne Quellen erfahren, dass dort die Sperrung von USB-Ports und CD-Laufwerken von den Mitarbeitern dadurch umgangen wird, indem sie schlichtweg mit anderen Rechnern arbeiten, die keine Einschränkungen aufweisen und von der lästigen internen Sicherheitsarchitektur kaum befleckt sein dürften.
Verschlüsselung durch die Virtuelle Poststelle
Zu VS-Daten, also Verschlusssachen, Personalaktendaten oder „besonderen Arten“ personenbezogener Daten, gibt es zusätzliche Sicherheitshinweise. Diese dürfen zum Beispiel nicht auf Mobiltelefonen gespeichert werden, die ja „systembedingt nur über schwache Sicherheitsmechanismen“ verfügen. Ebenso dürfen sie nicht per SMS [sic] versandt werden; mit speziellen Kryptohandys dürfen zumindest Daten bis zum Verschlussgrad VS-NfD – nur für den Dienstgebrauch – übermittelt werden.
Auch das sorglose Hin- und Herschicken per Mail ist untersagt. Intern dürfen sie zwar „ohne zusätzliche Sicherungsmaßnahmen“ versandt werden, aber sie müssen, damit man gleich weiß, welche Mails interessant sind, mit dem Hinweis „VS-NfD“ im Betreff gekennzeichnet werden. Auch die Anweisung, dass der Inhalt nur im Anhang – keine Rede von verschlüsseltem Anhang – gesendet werden darf, ist hinsichtlich der Sicherheitssteigerung zumindest fragwürdig.
Schickt man eine vertrauliche Mail nach außen, wird es kompliziert. Eine Bereitstellung von Ende-zu-Ende-Mailverschlüsselung wäre wohl sinnvoll, immerhin hat das BMI die Entwicklung von „frei verfügbarer Verschlüsselungssoftware für jedermann“ auf Basis von GnuPG gefördert. Aber davon keine Spur, es wird ein bürokratischer Prozess in Gang gesetzt:
Zum Schutz der Vertraulichkeit des elektronischen Schriftverkehrs ist besonders bei der Kommunikation im Behördenumfeld der Einsatz der sogenannten Virtuellen Poststelle, die an zentraler Stelle die Ver- und Entschlüsselung des externen E‑Mail-Verkehrs automatisiert vornehmen kann, zu empfehlen.
Eine zentrale Stelle, die ver- und entschlüsselt? Erinnert ein wenig an den Entwurf für De-Mail, bei dem auch der De-Mail-Server für den Schlüssel verantwortlich ist und damit echte Ende-zu-Ende-Verschlüsselung ad Absurdum geführt wird. Aber an diesem Punkt hat die „Arbeitsgemeinschaft De-Mail“ mittlerweile eingelenkt und will ein Browser-Plugin für PGP-Verschlüsselung anbieten.
Auch von verschlüsselten https-Verbindungen scheint man im BMI nicht viel zu halten. Die werden nämlich „zur Prüfung der übertragenen Daten auf einen eventuell enthaltenen Schadcode“ vor der Firewall des BMI entschlüsselt und wiederverschlüsselt. Das BMI nennt es SSL-Proxy, man könnte es aber auch als per Dekret vertrauenswürdigen „Man-in-the-middle“ bezeichnen. Es wird jedoch zugesichert, dass keine weiteren Protokolldateien anfallen würden, denn sonst könnte man mit Leichtigkeit Online-Passwörter oder sonstige sensible Daten der Mitarbeiter abgreifen.
VDS im Kleinen
Keine weiteren Protokolldaten heißt aber auch nur, dass es reguläre Protokolldaten gibt, die gespeichert werden, und zwar im Falle der regulären Internetnutzung maximal sechs Monate und im Fall von E‑Mail- und Fax-Verkehr 90 Tage. Das betrifft Verbindungsdaten, Datum/Uhrzeit, Absender und Empfänger sowie das übertragene Datenvolumen.
Erinnert an unsere Recherchen zur Bundestags-VDS, nur dass sich dort in der gut verborgenen Dienstvereinbarung zur „Nutzung elektronischer Medien“ wenigstens noch ein Begründungsversuch für die Notwendigkeit der Speicherung finden ließ.
Was am Rande auch noch sauer aufstößt, ist die Windows-Zentriertheit im Leitfaden. Vorlagen im „Textverarbeitungsprogramm Word“ sind zu nutzen, als Beispielformate sind „MS-Word“ und „MS-Excel“ aufgeführt. Open Source wird nicht mit einem einzigen Wort erwähnt.
Fazit: Unbefriedigend. Besonders zu kritisieren ist neben der zu vermissenden Zeitgemäßheit die Zwischenschaltung zentraler Ver- und Entschlüsselungsinstanzen, die den Mitarbeitern in vielen Fällen jegliche Möglichkeit zu echter Ende-zu-Ende- und Transport-Verschlüsselung verwehrt.
-
Parliamentary Committee: How the German Foreign Intelligence Agency BND tapped the Internet Exchange Point DE-CIX in Frankfurt, since 2009
Rack at DE-CIX. Bild: <a href="https://secure.flickr.com/photos/bundy/">Stefan Funke</a>. Lizenz: Creative Commons <a href="https://creativecommons.org/licenses/by-sa/2.0/">BY-SA 2.0</a>. Parliamentary Committee: How the German Foreign Intelligence Agency BND tapped the Internet Exchange Point DE-CIX in Frankfurt, since 2009 The German Foreign Intelligence Agency Bundesnachrichtendienst taps internet traffic directly at the Internet Exchange Point DE-CIX in Frankfurt since 2009, replacing predecessor operation „Eikonal“ at Deutsche Telekom. This was stated by the operator of DE-CIX at the German Parliamentary Committee investigating Intelligence Agency mass surveillance operations. The German Federal Chancellery intervened several times and prevented both a Parliamentary Commission and the Federal Network Agency from investigating this mass spying operation.
This is an English translation of the summary of Klaus Landefeld’s statements as a witness in front of the German Parliamentary Committee investigating the NSA spying scandal.
First Eikonal, then DE-CIX
Klaus Landfeld is head of industry group eco, which operates the Internet Exchange Point (IXP) DE-CIX in Frankfurt, Germany. News magazine „Der Spiegel“ reported in October 2013 that the German Foreign Intelligence Agency Bundesnachrichtendienst (BND) is allowed to wiretap 25 Internet Service Providers at DE-CIX, including five German
The BND held a first „planning meeting“ with DE-CIX in their offices on August 14, 2008 where they discussed the wire-tapping operation to follow. Two weeks before, the BND made a first appointment request. This happened to coincide with the end of fiber tapping operation „Eikonal“ at Deutsche Telekom in Frankfurt – Germanys „Tempora“. The BND was obviously searching for a „new partner“. This was „the first time the BND wanted to gain access to DE-CIX“.
BND wanted „full take“
The BND suddenly wanted „access to the IXP and the traffic of multiple vendors, ideally within a single step.“ The „BND wanted access to the IXP and be able to say: today we want this cable, tomorrow maybe different ones.“ DE-CIX assumed the spies hat „to name individual, specific cables“. But BND wanted „everything“, „full access“.
DE-CIX analyzed the legal situation and concluded, that this is „not permitted in this way“. Their criticism involved, among other things, the implementation of the 20-percent rule from the G‑10-law, the Federal wiretap law described by Wikipedia as „similar to Britain’s Regulation of Investigatory Powers Act 2000 and is comparable to the Foreign Intelligence Surveillance Act of the United States“. This G‑10-law includes a limit that „strategic“ mass intercepts must be limited to a fifth of the „available bandwidth“. DE-CIX legal opinion was, that the BND should only be allowed to intercept 20% of the actual occurring traffic per line, but the BND wanted everything.
On top of that, in „2009 there were different ideas of filtering systems“ to filter out traffic from German citizens who are protected by law. DE-CIX came to the conclusion: „We did not want to implement that“.
Legal concerns ignored
But in the „preparatory talk“ in August 2008, the BND ignored the concerns of DE-CIX: „If we are ignored as the operator, because we do not think this is permitted by law, this is only one-sided information access.“ Topics of the meeting were IXP works. The BND did not want access to specific fiber optic cables, but to all traffic of certain „Autonomous Systems (AS), which concerned several cables“. Despite DE-CIX’ criticism, the BND pushed for a implementation.
After the meeting, DE-CIX contacted members of the Federal Parliament’s G‑10 commission, which decides about wiretaps, similar to the United States Foreign Intelligence Surveillance Court. „No one of the members wanted to talk to us“, including the subsequent witness at Thursday’s inquiry hearing. Only since deceased Liberal politician Max Stadler agreed to a meeting, but said: „he can’t do anything.“
Intimidation by the Chancellery
„That led to an appointment with the Chancellery, who told us that we were not allowed to talk to the G‑10 commission, because the operation was not yet ordered“. This was a „very unusual approach“, „we were out under pressure“. „If I am summoned by the Chancellery, this is not the rule of law, but power play.“ This meeting at the Chancellery took place on February 27, 2009.
Afterwards, „nothing happened“ for a long time. The BND experienced „technical difficulties in implementation“, it „was new for them, too“.
Foreign intelligence agency monitors domestic service providers
„Then we received a G‑10 order“, an order obliging a telecommunications provider to comply with surveillance requests, „which affected some providers, but not all of them“. It was „significantly less than what was discussed back in 2008“. This first order „also contained German providers“ and „German domestic cables“, for example a „cable from Frankfurt to Berlin with 95 % German traffic“. „German domestic Internet Access Providers, whose sole business is connecting cables in the region, therefore having at least one side of every communication always in Germany. I fail to see where the foreign traffic is here.“
The BND wanted to access traffic from German providers at DE-CIX, whose traffic they could have also received directly. „But right from the start, we thought that BND should contact the owners of the respective cables directly.“ Afterwards, DE-CIX „had discussions with companies that were affected by our order. They also asked themselves, why they were not contacted by the BND.“
In addition, the BND also wanted internet traffic from „other European countries and providers.“ International „transit traffic“ is considered as „beyond law“ anyways.
BND wiretaps DE-CIX since 2009
DE-CIX continued to ask „why this is possible“ and „if all of this makes sense,“ but nevertheless followed the order in early 2009. Since 2009, the BND wiretaps DE-CIX in Frankfurt, and receives approximately „two percent“ of the bandwidth sold and theoretically available.
The German government thinks, that this information is irrelevant to the investigation committee, because it does not happen in direct cooperation with the Five Eyes.
Usually „the entire cable traffic is mirrored. What happens afterwards is out-of-reach for the providers, we cannot check they comply with the rules and laws“. DE-CIX has „a formal auditing duty, but we cannot put that into practice.“
Landefeld wants a technical guideline for these „strategic“ mass interception measures, analogous to the monitoring regulations in classical telecommunication surveillance. There, „everything is documented down to the last bit. For G‑10 there is nothing.“ Landefeld thinks „that the law as it is written does not meet the requirements of modern communication networks any more“.
20-percent limit sabotaged
To monitor internet telephony, one „has to record all VoIP-connections and save them, for technical reasons“. Only afterwards, they can be analyzed. It is undefined „how long these recordings can be retained“. „Can you listen to 100 percent of the telephone traffic because that’s within the 20 percent? My definition is different.“
The Federal Network Agency „Bundesnetzagentur“ proposed a solution: to apply the 20-percent rule „at the application layer, so that, for instance, the number of e‑mails, web pages, etc. […] is reduced by randomized automatic deletion.“ Landefeld appreciates this idea: „These are the kinds of technical solutions I am looking for.“
Currently, „there are no checks and balances outside of the secret agencies“. „At the moment“, these questions are only defined by the „internal lawyers of the BND“: „This can’t be!“, Landfeld said.
Other communication exchange points wiretapped, too
„Previously“, other communication exchange points in Düsseldorf and Hamburg had been wiretapped by the BND, too. The entire foreign telephony communication was running through these old switching points of the former federal post office, now Deutsche Telekom.
Although DE-CIX had „doubts about the legality of the G‑10 orders“, Landefeld would not say whether they „took legal action“. Eco has „several lawyers dealing with this topic. Also external ones. We have ongoing debates since mid-2014.“ But „well-established case law is very thin, the number of decisions vanishingly small. You cannot claim, that there is an established constitutional opinion about this topic“.
Intelligence agencies „trade data“
The BND claims that so called „transit traffic“ between two foreign states „can be passed on“ to foreign intelligence services, like the NSA, the „Google of intelligence agencies“. Intelligence agencies „engage in a flourishing trade of data“, a „business like any other.“
„In technical circles it has been talked about repeatedly“, that intelligence agencies „trade entire traffic streams“. „Everyone in the scene has heard that intelligence agencies exchange traffic“, it’s an „open secret“.
„Germany also does what they accuse the USA of“
On June 14, 2013 Landefeld was invited to the Ministry of Economic Affairs by the former Minister of Justice Sabine Leutheusser-Schnarrenberger and Minister of Economics Philipp Roesler, who wanted to receive „initial information“ after the PRISM-revelations: „The whole problem was unknown inside of the ministries. They had absolutely no knowledge of what is happening in Germany and what the usual practices are. We were very surprised. After all, what the US has been accused of, is also happening in Germany in one way or another“.
In early July 2013, Landefeld called the Intelligence Coordinator at the Federal Chancellery and asked what he should answer in response to media inquiries, because „by saying ’no comment’ I would also admit it.“ The intelligence coordinator „said I wouldn’t have to invent anything and wouldn’t have to lie“.
He still wants more rights to speak publicly, because „if a measure is within the law, you should also be allowed to talk about it in a general form, obviously not about details.“ In other countries, this is possible: „In the UK, I can talk about it openly. They are obviously not disturbed by that.“ In Germany you „cannot even say that you had contact with BND. The self-understanding of the agencies is strange.“
German authorities wanted their own PRISM
On July 16 and 24, 2013, there had been „discussions with the Federal Network Agency, with a lot of stake holders and the Attorney General“.
„On July 24, some stakeholders wanted to know, why they do not have [the revealed] access [of the the NSA] at their disposal and why they do not have access to German domestic traffic. The demand for their own PRISM appeared rapidly.“ At that time, the DE-CIX wiretap was not discussed, „in 2013 it was still held under a lid“.
Chancellery stops Network Agency
On August 9, 2013 the Federal Network Agency „Bundesnetzagentur“ held a hearing with telecommunications companies. In preparation, they sent out a questionnaire to the companies, including the questions, „Does your business run monitoring devices […] to implement so-called strategic restrictions under […] G‑10 law?“ and „Do you adhere to the rules for logging the use of this equipment and the control of these logs?“
In response, Landefeld called the Chancellery again and asked, „how to answer these questions.“ Afterwards, the Chancellery called the Federal Network Agency Vice President and said: „the companies must not answer these questions“ and the „Network Agency was not allowed to ask these questions“.
International Companies in a „two-sided war“
Foreign intelligence agencies did not openly approach DE-CIX: „There was no contact attempt. If there had been, we would have rejected them immediately.“
The DE-CIX IXP in New York is operated by DE-CIX North America Inc., a subsidiary of the German company DE-CIX which is subject to US law. „If there are mass surveillance orders, the involved parties are not allowed to talk about it.“ However, there haven’t been any FISA orders at DE-CIX North America yet: „I can talk about that, because there were no orders.“ However, if there are, they would have to remain secret.
Even DE-CIX IXP UAE-IX in Dubai has to „comply with the legal provisions of the country“.
Foreign companies in Germany, including German subsidiaries, are also obliged by their home country laws to pass Internet traffic to their secret services. The companies are fighting a „two-sided war: according to German law you are not allowed to ex-filtrate data from Germany, according to US law you are obliged. In result, the providers have to choose the lesser of two evils“. Landefeld pointed out, that „routers in Germany are often not operated domestically, but from a Network Operations Center (NOC) in the USA. As a consequence, employees in Germany have „limited influence“ on their configuration.
Secret Access technically possible
Technically, it would be possible for intelligence agencies to get undiscovered back-door access, if the switch or operating system is compromised. But this „requires a cable to ex-filtrate the data“. This could theoretically be done with a „cable under a cover-up“. It has been implied by the head of the committee that this could be implemented in the future.
As an advisor, Landefeld has seen intelligence agencies ex-filtrating mass traffic both with and without co-operation of the network operators.
„Every major switch supports [ex-filtrating data] and has lawful interception functionalities,“ because of laws like the American Communications Assistance for Law US Law Enforcement Act (CALEA). In the US, the „implementation of surveillance measures“ happens „fully automated“, triggered by the authorities. This is technically integrated into the systems.
In Germany, such measures are currently „only prevented by the legal need for individual evidence for surveillance measures. Therefore, German providers still confirm surveillance taps by ‚clicking a check-box’.“
Industrial espionage with a swapped switch
DE-CIX employs a four-person security team that analyzes hardware and software. In addition, DE-CIX is IT certified and evaluated annually by the Federal Office for Information Security. Since the Snowden revelations, DE-CIX also tries to mitigate the uncovered scenarios. Currently, they are implementing „traffic counters on individual ports“, to make sure that the amount of incoming and outgoing traffic match.
Asked about his personal experiences as an expert in the field of industrial security, Landfeld reported a concrete example of „industrial espionage against a mechanical engineering company“: I „learned of occurrences, where people showed up at business customers premises, claiming to be from a communication provider. This is real, I went through this scenario with several customers“. They „even interrupted fibre optic cables to produce interruptions. Then someone showed up who ‚fixed’ the situation by exchanging regular routers with compromised routers“.
[As always, we also published an almost complete live transcript of the inquiry hearing, including another witness.]
-
Geheimdienst-Untersuchungsausschuss: Wie der BND seit 2009 den Internet-Knoten DE-CIX anzapft
Switch im Internet-Knoten DE-CIX. Geheimdienst-Untersuchungsausschuss: Wie der BND seit 2009 den Internet-Knoten DE-CIX anzapft Seit 2009 zapft der BND Internet-Verkehr beim Internet-Knoten DE-CIX in Frankfurt an, als Nachfolge der Operation Eikonal bei der Deutschen Telekom. Das berichtete der Betreiber des DE-CIX im Geheimdienst-Untersuchungsausschuss des Bundestages. Das Kanzleramt hat mehrmals interveniert und sowohl die G‑10-Kommission als auch die Bundesnetzagentur davon abgehalten, die Abhöraktion zu untersuchen.
-
: Staatssekretär bestätigt: Auslandsgeheimdienst gibt Meta- und Inhaltsdaten an die Bundeswehr weiter
Die BND-Außenstelle in Schöningen bei Hannover. Hier werden die Daten gesammelt, die an die Bundeswehr weitergereicht werden. Das Bild knipste eine fliegende Kamera bei einem Zaunspaziergang von AktivistInnen. : Staatssekretär bestätigt: Auslandsgeheimdienst gibt Meta- und Inhaltsdaten an die Bundeswehr weiter Ende Februar kam im NSA-Ausschuss heraus, was der Bundesnachrichtendienst noch so mit abgeschnorchelten Daten treibt. Die werden unter anderem an die Bundeswehr weitergegeben:
Der BND-Mann schwieg einen Moment, dann sagte er zur Überraschung aller: „Wir haben eine Zusammenarbeit mit der Bundeswehr.“
Dabei geht es sowohl um Meta- als auch Inhaltsdaten. Eigentlich unterliegen Letztere aber dem G10-Gesetz und damit der Kontrolle der parlamentarischen G10-Kommission. Die wurde hierüber offenbar nicht informiert. Wie das geht, hatte Kai Biermann in einem lesenswerten Artikel auf ZEIT Online nochmal erklärt.
Die ZEIT trieb auch einen anonymen Zeugen auf. Der beschrieb, was die Bundeswehr mit den vom Auslandsgeheimdienst geschickten abgehörten Telefonaten und abgefangenen Mails überhaupt macht:
Dort werden die Inhalte übersetzt und anschließend zurückgesandt, berichtet ein ehemaliger Soldat, der anonym bleiben will. „Der BND nutzt die Bundeswehr gerne für die Drecksarbeit, zum Beispiel zum Übersetzen“, sagt er, der eben diese „Drecksarbeit“ jahrelang gemacht hat. Ein zweiter ehemaliger Soldat bestätigte diese Form der „Amtshilfe“ durch Bundeswehr-Dolmetscher.
Die Bundesregierung behauptet, die Zusammenarbeit sei in den Paragrafen 9 BND-Gesetz und 19 Verfassungsschutzgesetz geregelt. Kai Biermann beschreibt jedoch eine genau hierzu anhängige Beschwerde vor dem Bundesverfassungsgericht:
Denn es sei ein schwerer Eingriff in die Grundrechte, wenn ein verdeckt arbeitender Geheimdienst Informationen an eine Behörde wie die Polizei (und eben auch die Bundeswehr) gibt, die Zwang ausüben darf. Eine „niederschwellige Voraussetzung“ wie die „Erforderlichkeit für die Aufgabenwahrnehmung oder die Wahrung der öffentlichen Sicherheit“ genüge keinesfalls, so die Richter.
In der Fragestunde des Bundestages hatte der zuständige Staatssekretär Klaus-Dieter Fritsche am Mittwoch Stellung zu der Zusammenarbeit von BND und Bundeswehr genommen und diese bestätigt:
Um der Bundeswehr insbesondere die zeitgerechte Bearbeitung von Warnhinweisen zu konkret bevorstehenden Anschlägen zu ermöglichen, erhält die Bundeswehr im Rahmen bestehender Vereinbarungen vom BND Metadaten und Inhaltsdaten, die der BND auftragskonform zu den Einsatzgebieten erhebt.
Jedoch stellt Fritsche den „Schutz von Leib und Leben deutscher Soldatinnen und Soldaten sowie sonstiger Bediensteter“ in den Mittelpunkt. Zu Dienstleistungen wie dem Übersetzen und Zurücksenden an den BND verliert er kein Wort.
Eine Nachfrage wert ist vielleicht auch die Formulierung „zu den Einsatzgebieten“ anstatt „in den Einsatzgebieten“ der Bundeswehr. Denn auf diese Weise könnte im Inland und im Weltenraum abgehörte Kommunikation ebenfalls an die Bundeswehr durchgereicht werden. An anderer Stelle ist von dem „Mittel der Fernmeldeaufklärung zum Einsatzland“ die Rede.
Was die Bundeswehr eigentlich mit den Daten anstellt, ist nicht wirklich klar. Es ist denkbar, dass Meta- oder Inhaltsdaten bzw. analysierte Kommunikationsverkehre im Rahmen von Zusammenarbeitsformen der NATO oder der ISAF ausgetauscht werden. Beispielsweise das „Afghan Mission Network“ (AMN):
The AMN is now the primary Coalition, Command, Control, Communications, Computers, Intelligence, Surveillance, and Reconnaissance (C5ISR) network in the Afghanistan Combined Joint Operations Area (CJOA‑A). By providing a common network over which to share critical information, the AMN enabled a shift in information-sharing posture from “need to know” to “need to share”, resulting in an increase in situational awareness (SA) among International Security Assistance Force (ISAF) partners.
Welche konkreten Bundeswehrdienststellen die Daten eigentlich erhalten, erfahren wir ebenfalls nicht. Der Militärische Abschirmdienst dürfte nicht gemeint sein, denn dessen Fähigkeiten zu Auswertung und Analyse gelten gemeinhin als dürftig. Aber wo werden die BND-Daten dann beim Militär bearbeitet und aufgehoben?
-
: Jugendmedienworkshop im Bundestag: Digital Na(t)ives – Eine digitale Generation erobert die Gesellschaft
: Jugendmedienworkshop im Bundestag: Digital Na(t)ives – Eine digitale Generation erobert die Gesellschaft Im Juni richten die Bundeszentrale für politische Bildung, der Deutsche Bundestag, und der Jugendpresse e.V. den 12. Jugendmedienworkshop im Deutschen Bundestag aus. Thema ist diesmal „Digital Na(t)ives – Eine digitale Generation erobert die Gesellschaft“.
Bis zum 19.4. können sich Jugendliche zwischen 16 und 20 Jahren bewerben. Mehr Infos gibt es hier.
Während der siebentägigen Veranstaltung treffen die Jugendlichen auf Abgeordnete des Deutschen Bundestages, erfahrene Hauptstadtjournalisten und Hauptstadtjournalistinnen sowie Fachleute zum jeweiligen Workshopthema. Diese Treffen bilden die Recherche-Grundlage für die Ausgestaltung einer Ausgabe der politikorange. Hier veröffentlichen die Teilnehmenden ihre während des Workshops gewonnenen Eindrücke in Form von Artikeln, Interviews und Kommentaren. Die politikorange wird im Anschluss an den Workshop gedruckt und versandt. Die jungen Redakteurinnen und Redakteure werden von erfahrenen Mentorinnen und Mentoren der Jugendpresse betreut.
Ein Besuch in unserer Redaktion gibt es auch dazu.
-
: Live-Blog aus dem Geheimdienst-Untersuchungsausschuss: „BND zapft deutsche und europäische Internet-Leitungen an“
Europasaal vor Beginn der Sitzung. : Live-Blog aus dem Geheimdienst-Untersuchungsausschuss: „BND zapft deutsche und europäische Internet-Leitungen an“ Heute tagt wieder der Geheimdienst-Untersuchungsausschuss im Bundestag. Die Zeugen diesmal sind Klaus Landefeld, Beirat DE-CIX Management GmbH, und Hans de With, ehemaliger Vorsitzender der G‑10-Kommission. Wir sitzen wie immer drin und bloggen live.
Zusammenfassung
Klaus Landefeld, DE-CIX
Die Zusammenfassung von Klaus Landefeld haben wir in ein eigenes Posting ausgelagert: Klaus Landefeld im Geheimdienst-Untersuchungsausschuss: Wie der BND seit 2009 den Internet-Knoten DE-CIX anzapft
Seit 2009 zapft der BND Internet-Verkehr beim Internet-Knoten DE-CIX in Frankfurt am Main an, als Nachfolge der Operation Eikonal bei der Deutschen Telekom. Das berichtete der Betreiber des DE-CIX im Geheimdienst-Untersuchungsausschuss des Bundestages. Das Bundeskanzleramt hat mehrmals interveniert und sowohl die G‑10-Kommission als auch die Bundesnetzagentur davon abgehalten, die Abhöraktion zu untersuchen.
Hans de With, G‑10-Kommission
Hans de With war Mitte 1999 bis Januar 2014 Vorsitzender der G‑10-Kommission, die Überwachungsmaßnahmen nach Artikel-10-Gesetz prüft und genehmigt. Über konkrete Diskussionen in der G‑10-Kommission darf er öffentlich nichts sagen.
Der BND darf den „offenen Himmel“, also Kommunikations-Verkehre von Ausland zu Ausland ohne Antrag und Genehmigung überwachen. „Hier gibt es keine unabhängige Instanz, die das prüfen würde.“ Es wurde angedeutet, dass diese Maßnahmen „größer als alle anderen Maßnahmen zusammen“.
Bei Internet-Verkehr braucht der BND aber auch für Ausland-Ausland-Leitungen eine G‑10-Anordnung, weil immer deutsche Verkehre drin sind: „Wenn dabei Deutsche betroffen sind, bedarf es einer Genehmigung. Egal, was dran hängt.“
With ist der Ansicht, dass Artikel 10 Grundgesetz (Brief‑, Post- und Fernmeldegeheimnis) für alle Menschen gilt, nicht nur für Deutsche, wie der BND behauptet.
Das „G‑10-Gesetz sollte nochmal neu formuliert werden, weil es für Juristen sehr schwer verständlich ist“. „Nach den Gegebenheiten ist die derzeitige rechtliche Lage nicht mehr lange vertretbar.“
„§ 1 und § 2 BND-Gesetz sagen nicht, dass Artikel 10 Grundgesetz eingeschränkt wird, was Artikel 19 Grundgesetz verlangt. Rein rechtlich geht das nicht.“
With stört, dass die G‑10-Kommission „absolut geheim“ handelt: „Es wäre besser, wenn der Vorsitzende der G‑10-Kommission das dem G‑10-Gremium vorträgt, damit es eine politische Debatte gibt.“ Bisher ist es „für Mitglieder der G‑10-Kommission noch nicht mal möglich, mit Fraktionsvorsitzenden zu reden“. Das ist „kein richtiges und ordentliches Verfahren.“
With schließt sich den Forderungen von Bertold Huber an.
Die gesetzlich vorgeschriebene Benachrichtigung der von den Überwachungsmaßnahmen Betroffenen wird unterlaufen und muss reformiert werden.
Von der Operation Eikonal hat With erst aus der Süddeutschen Zeitung erfahren. Er ist der Ansicht, dass die G‑10-Kommission darüber unterrichtet werden musste.
With kritisierte das juristische Konstrukt, dass der BND für Eikonal eine G‑10-Anordnung beantragt hat, es aber auf die Nicht-G-10-Verkehre abgesehen hat. „Das ist keine rechtmäßige G‑10-Maßnahme nach derzeit geltendem Recht.“ Und: „Wenn es eine Verquickung von G‑10 und Nicht-G-10 gibt, und das nicht trennbar ist, hätte das unter allen Umständen mitgeteilt werden müssen.“
„Wenn sie eine G‑10-Anordnung vorschieben, obwohl sie das gar nicht wollen, wäre das in höchstem Maße unredlich.“ „Nach G‑10 muss auch Verhältnismäßigkeit geprüft werden. Das ist unverhältnismäßig. Das geht so nicht.“
„Ich kann nur meine Meinung nach Lektüre des Artikels sagen. Wenn das so wäre, hätten wir das nicht gewusst. Dann wäre ich düpiert.“
Die G‑10-Kommission hat sich nie mit Filter-Systemen zum Herausfiltern von deutschen Verkehren beschäftigt. „Die Frage hat sich nicht gestellt. War nie bekannt, dass das irgendwo angewendet werden würde. Das was Süddeutsche sagt, war bisher nicht Gegenstand der Verhandlungen.“ „Ich kann mich nicht erinnern, dass Filter eine Rolle gespielt haben für unsere G‑10-Entscheidungen.“
Die G‑10-Kommission überprüfte die Einhaltung der 20-Prozent-Regel nicht, sondern vertraute dem BND, der im Antrag nur zusagte, diese einzuhalten: „Wenn es einen Antrag gab, sind wir davon ausgegangen, dass das seine Richtigkeit hat.“ „Es wird erwähnt, dass die 20 % eingehalten werden. – Das steht drin und sie glauben das? – Es gab keine Anhaltspunkte, das zu bezweifeln.“
Die SPD wird Vorschläge zu neuen rechtlichen Regelungen machen.
SELMA ist das Vorgängerprodukt vom Datenfiltersystem DAFIS.
Gliederung
- Zusammenfassung
- Gliederung
- Vorbemerkungen
- Einleitung: Vorsitzender
- Zeuge 1: Klaus Landefeld, Beirat DE-CIX Management GmbH
- Formalitäten: Vorsitzender
- Zeuge 2: Hans de With, ehemaliger Vorsitzender der G‑10-Kommission
- Formalitäten: stellvertretende Vorsitzende
Vorbemerkungen
Disclaimer: Dieses Protokoll ist nach bestem Wissen und Können erstellt, erhebt jedoch keinen Anspruch auf Vollständigkeit oder umfassende Korrektheit.
Dargestellte: Abgeordnete und Zeugen, gerne korrigieren und vervollständigen wir ihre Aussagen. Kontaktieren sie uns!
Wer uns unterstützen möchte, darf gerne spenden.
Update: Das offizielle stenografische Protokoll gibt es auf bundestag.de als PDF (Mirror bei uns).
Einleitung: Vorsitzender (11:30)
$Begrüßung
Landefeld: Nachfrage zu eingestuften Sachen: Was darf ich öffentlich sagen?
Sensburg: „Nur für den Dienstgebrauch“ geht auch öffentlich, Rest nur eingestuft.
Zeuge 1: Klaus Landefeld, Beirat DE-CIX Management GmbH
Rechtsbeistand ist Henning Lesch.
Mein Name ist Klaus Landefeld, bin 46 Jahre alt, Beruf Unternehmer und Geschäftsführer.
Eingangsstatement [vom Pad]: Ich komme aus der Wirtschaft. Seit 1990 kommerzielle Internet-Dienste angeboten. Mit großem Netzbetreiber, selbst gegründet, internationale Backbones, Tier‑1-Betreiber, in 17 Ländern tätig. Aufbau mehrerer Internet-Knoten: London, DE-CIX in Frankfurt. Betrieben von eco – Verband der deutschen Internetwirtschaft e.V., bin dort Vorstand.
Anbieten von Internet-Diensten seit 1990: Frage Internet-Überwachung seitdem mitgemacht. Erste Durchsuchung 1993, damals Lastwagen voller Papier, weil Internet ausgedruckt. 2000 erste Diskussionen mit Geheimdiensten und Strafverfolgungsbehörden. Damals noch unser Freund. Manche Anbieter haben 1999 und 2000 Mitarbeiter aus Bad Aibling eingestellt, die von NSA abgestellt wurden. Spannende Zeiten. Nach 9–11 richtig angezogen.
War mit Internet Service Provider World Online in 17 Ländern aktiv. Damals in allen Ländern diese Diskussionen geführt. In Deutschland sehr verhalten. Erste Diskussionen sehr viel später, 2004/2005. DE-CIX: noch sehr viel später. Erste Kontaktaufnahme erst 2008.
Prozedural schwierig. Hatten Schwierigkeiten, uns vorzustellen, dass sowas überhaupt passiert. Austausch-Knoten sind Zusammenschaltungen von TK-Providern. keine Endkunden. Keine normale Telekommunikationsüberwachung (TKÜ) von Strafverfolgung. Alle Anbieter unterliegen selbst Verpflichtungen zur Ausleitung und Zusammenarbeit. Waren überrascht, als wir kontaktiert wurden.
Abwicklung: Haben uns ernsthaft Gedanken gemacht, wie so etwas abläuft. Konnten das als Anbieter nicht gut diskutieren. Wenn es erstmal eingeführt ist, haben wir keine Aufsicht und Ansprechperson. Auch nicht G‑10-Kommission oder Parlamentarisches Kontrollgremium (PKGr). Ist das der richtige Weg? Bis heute nicht aufgelöst. Sie haben Unterlagen.
Druck aufgebaut: Wir wollen das nicht umsetzen. Sofort Einladung ins Kanzleramt. Sehr ungewöhnliche Vorgehensweise. Hatten damals Rechtslage noch geprüft. Ende 2008/2009. Situation seitdem nicht besser geworden.
Bemerkenswert: Bestürzung nach Snowden. Einladung ins Wirtschaftsministerium (Philipp Rösler und Sabine Leutheusser-Schnarrenberger), die sich erstmal informiert haben. Ganze Problematik war gar nicht bekannt in den Ministerien. Überhaupt keine Kenntnis, was in Deutschland passiert und übliche Praxis ist. Hat uns sehr verwundert. Anhörung bei Bundesnetzagentur. Vertreter der Unternehmen als erstes gesagt bekommen, Fragen nach G‑10-Überwachung brauchen sie nicht beantworten. Aufsichtsbehörde sollte Recht haben, diese Frage zu stellen. Das ist 2013, nach Snowden. Genau: 9. August, Treffen bei Bundesnetzagentur. Kurz zuvor schon Diskussionen im Hause der Bundesnetzagentur, Juli 2013. Strafverfolgungsbehörden waren auch da und wollten den Zugriff auch. Interessante Erfahrungen. Praxis ist nicht bekannt. Kein abgestimmtes Verfahren.
Eins der größten Probleme: keine klaren Standards für technische Umsetzung von G‑10-Maßnahmen. Bei TKÜ gibt es Telekommunikations-Überwachungsverordnung (TKÜV), klare Anordnungen bis in das letzte Bit: Standards, Interfaces. Bei G‑10 gibt es das alles nicht. Relativ altes G‑10-Gesetz, irgendwann angepasst, Prozent-Zahlen erhöht. Prozent-Zahlen wegen Paket-orientiertem Verkehr angepasst, von 10 auf 20 Prozent. Heute sagt man: beziehen wir auf Leitungskapazität. Leitungen werden aber maximal 30–40 % ausgelastet, sonst Qualitätsverlust. 20 % sind eigentlich 50–60 % der Verkehre. Automatismus. War nicht im Sinne des Gesetzes. Muss man sich anschauen.
$Danke.
Frage 1: Vorsitzender
Sensburg: Ausbildung?
Landefeld: Datentechnik studiert. Seit Alter von 16 als Unternehmer in diesem Bereich tätig. Seit Alter von 12 in Datennetzen unterwegs. Internet seit 1988 begleitet, seit 1990 kommerzielle Dienste. Technischer Hintergrund, war immer dran. Auch als Geschäftsführer.
Sensburg: Beruflicher Werdegang auch im Internet. Präzisieren? Ist ja vielfältig. Verband, mehrere Unternehmen…
Landefeld: Sowohl als auch. Unternehmer. Einen der ersten Internet Service Provider in Deutschland gegründet: Nacamar Data Communications GmbH, seit 1993 aktiv, 1995 zur GmbH. 1998 größerer europäischer Netzbetreiber, dann Tier‑1. 1997 Verkauft an World Online. CTO von World Online, Integration betrieben. In 17 Ländern TK-Lizenzen beworben, auch Telefonie. Auch Überwachung. Unternehmen 2002 verlassen. Dann Breitbandausbau in Deutschland. Verband seit 1997, Vorstand im eco, zuständig für DE-CIX, ist Teil der Vorstandsfunktion. Seitdem auch Beirat der DE-CIX Management GmbH. Dann auch DE-CIX in Dubai: UAE-IX und DE-CIX New York.
Sensburg: Technik seit Kinderschuhen. Auch europäisches TK-Recht?
Landefeld: Ergibt sich. Brauchen Lizenzen. Will das verstehen, überlasse das nicht Anwälten. Zwangsläufig einarbeiten. Seit 1997, tief genug drin. Viele Gesetze auch erst in dieser Zeit entwickelt. Seit Anfang an damit vertraut und mitverfolgt.
Sensburg: Sehr schön. Technik und Jura. Wollen auch Schlussfolgerungen. DE-CIX. Welt: „Flughafendrehkreuz“. Wie funktioniert ein Internet-Knoten?
Landefeld: Austauschknoten. Jeder Internet-Anbieter hat eigene Endkunden. Die kommunizieren untereinander und mit Inhalteanbietern. Entstehen Verkehre, die ausgetauscht werden müssen. Zusammenschalten. Einzelne Leitungen, aber in Deutschland. 20 große und 250 mittelgroße Anbieter. Direktverbindung zu allen wäre sehr aufwändig. Also ein zentraler Punkt, wo sich alle anschließen. Vermittlugnsfunktion auch falsch. Anbieter, der sendet, entscheidet, wohin die gehen sollen. Einzelne Anbieter entscheiden, zu welchen anderen sie Daten schicken. Eine Leitung bei uns: sie erreichen alle anderen. DE-CIX größter der Welt. 650 andere Anbieter erreichen, wenn Anschluss. Vielzahl anderer Anbieter. Betreiben große Switch-Infrastruktur, Layer 2, Ethernet. Verteilt quer über Frankfurt. Kleiner Knoten: eine große Maschine, jeder eine Leitung hin, ähnlich wie Office-Netz unterhalten. Hier so ähnlich. Aber bei uns wesentlich größerer Switch. So groß, dass es sich über ganze City-Region zieht. Sind in 18 Datacenters. Unterhalten eigenes Netz zwischen diesen Standorten. Arbeiter müssen sich nicht für eins davon entscheiden, sondern können irgendwo hingehen. An DE-CIX alle anderen erreichen. Jeder entscheidet selbst, wie viel Verkehr. Ports von 1/10/100 GBit/s. Keine Verkehrs-Kosten. Nur Anschluss schalten. Wer Daten austauscht, entscheiden Anbieter selbst. Schengen-Netz: Nicht jeder mit jedem. Wir treffen keine Routing-Entscheidungen. Anbieter bauen eigene Tabellen. Als Knoten handhaben wir gar kein Internet Protocol (IP), nur Ethernet. Reicht das?
Sensburg: Sehr interessant. Größter Knoten mit 650 Nutzern. Datenmengen? Geschwindigkeit 3 Terabyte/s.
Landefeld: 3 Terabit.
Sensburg: Datenmenge?
Landefeld: Hochrechnen. Verkaufte Kapazität, was theoretisch geht, ist 12 TBit, Technik beherrscht 40 TBit. Heute zwischen 3 und 3,5 TBit genutzt. Siehe 30–40 % Auslastung vorhin.
Sensburg: […]
Landefeld: 3 TBit läuft tatsächlich durch. Datenrate zu Menge ist ja nur mit Zeit berechenbar.
Sensburg: 3 TBit ist nicht theoretisch, sondern tatsächlich?
Landefeld: Tatsächlich.
Sensburg: Immer noch viel.
Landefeld: Statistiken auch online auf unserer Webseite. Spitzenlast abends.
Sensburg: Privates Surfen?
Landefeld: Masse ist private Internet-Nutzung. Geschäft nur Teil davon. Unternehmen weniger als Endnutzer.
Sensburg: Pro Sekunde, mal 60, pro Tag: gigantisch viel.
Landefeld: Ja.
Sensburg: Draufgucken. Passiert unheimlich viel. Sie und Summa: Internet-Knoten schließt Zugriff ausländischer Dienste aus: „Der Betreiber des zentralen Internet-Austauschknotens in Deutschland hat den Zugriff ausländischer Geheimdienste auf den Datenverkehr ausgeschlossen.“ Richtig?
Landefeld: Geht um AND. Angeordnet ist was anderes. Wir führen alle möglichen Maßnahmen durch, um das zu verhindern. Hat uns auch noch kein AND angesprochen. Würden wir auch ablehnen. Tun alles, um die Integrität sicherzustellen. Können wir besonders gut für eigenes Teilnetz zwischen Switches. Von Switch zu Kunde komplizierter.
Sensburg: Unterschied zwischen Switch und Port?
Landefeld: Switch ist sehr großes Gerät, hat einige hundert Ports. Haben mehrere Switches, in Edge- und Core-Switches unterteilt. Core bei uns, Edge zu Kunden in Rechenzentren. Für uns Überprüfbarkeit von Kunde zu uns nur eingeschränkt gegeben. Kann in Frankfurt sein, aber auch am anderen Ende der Welt.
Sensburg: Leitungen nicht Telekom, die jemand mietet, sondern selbst verlegt?
Landefeld: In der Regel gemietet. Eigenes geht auch, ist aber nicht die Regel.
Sensburg: AOL?
Landefeld: Manche haben eigene Infrastruktur. Colt, Level 3, Telekom, HEAG Südhessische Energie AG (HSE). Und die Stadt Frankfurt als Fasereigentümerin, welche an mehrere Carrier vermietet.
Sensburg: Zuständig für Sicherheit?
Landefeld: Nur Betreiber der Leitungen. Wir mieten Dark Fiber, beleuchten die selbst. Messen alle fünf Minuten Dämpfungswerte auf Faser und Änderungen. Würden wir sehen. Indiz für Anzapfen.
Sensburg: Das nur bei DE-CIX-Kreis. Raus nicht?
Landefeld: Richtig, können da Enden nicht sehen. Layer-2-Exchange. Aber nicht jeder Anbieter sieht jeden verkehr, sondern nur den für sich. Kein Shared Medium. Wir liefern an Edge-Switch nur das ab, das auch für den Kunden ist.
Sensburg: Haben nur sie in Übersicht und Kunde?
Landefeld: Ja, nur der Kunde, der dort angeschlossen ist.
Sensburg: Und sie?
Landefeld: Klar, als Betreiber könnten wir auf alles zugreifen.
Sensburg: Verteilung über Ports. Router, Splitter handelsüblich. Port spiegeln mit Gerät?
Landefeld: Dafür müsste man Management-Zugriff auf die Geräte haben. Wir sind IT-Grundschutz-zertifiziert. Management-Prozeduren nur mit Vier-Augen-Prinzip. Wenn sie spiegeln, müssen sie das ja auch irgendwo hin leiten.
Sensburg: Bräuchte noch einen Port?
Landefeld: Exakt. Das geht bei uns nicht. Neuen Port nur mit Einkauf und Freischalten. Überwachen wir, sind ja Techniker vor Ort.
Sensburg: Leitung mieten, Ports haben, dann innendrin Weiterleitung an gemietetem Port als Scheinangelegenheit rausleiten?
Landefeld: Genau.
Sensburg: Kompliziert?
Landefeld: Frage, ob Betreiber kooperieren muss.
Sensburg: Also technisch geht?
Landefeld: Ja. Ausleitung muss aber größer sein als zu überwachender Port, weil beide Richtungen. 10 GBit/s Port mit 20 GBit überwachen. Jeder größere Switch unterstützt eine solche Funktion und hat Lawful Interception-Funktionalität, z.B: wegen CALEA.
Sensburg: Wird Signal schwächer? Kunde A kriegt Daten an 10 GBit/s und wird gespiegelt, Licht?
Landefeld: Wenn an Switch, passiert dort nichts. Gleiches Lichtlevel am Port wie regulär, weil das im Silikon in der Backplane passiert.
Sensburg: Digital anders als Licht?
Landefeld: Genau. Wenn sie Logik selbst spiegeln, Licht, mit Biegekoppler, dann Dämpfungsverlust. Das können wir feststellen. Permanent nachmessen.
Sensburg: Wenn das digital passiert, kann das DE-CIX per Software steuern? Von Zentrale programmieren?
Landefeld: Technisch kein Problem. Wenn Leitung da liegt, können sie das einschalten. Gibt auch sinnvolle Anwendungen dafür. Technisch kein Problem.
Sensburg: An Lichtleitungen zu gehen ist im Vergleich dazu viel aufwändiger? Kopie vom Betreiber ist doch am charmantesten?
Landefeld: Einfacher, billiger und flexibler. Wenn sie Betreiber zur Kooperation bringen, wie auch immer. Technisch am einfachsten und flexibelsten.
Sensburg: Wie gewährleisten sie, dass sowas nicht passiert?
Landefeld: Dazu bräuchte man Zugang auf Management-Plane vom DE-CIX. Haben nur wir Zugriff. Vier-Augen-Prinzip. Würden andere Admins auf Oberfläche sehen. Nicht ohne weiteres versteckbar. Nur, wenn sie uns komplett kompromittieren. Geht nicht alleine.
Sensburg: Viren, Trojaner?
Landefeld: Gute Frage. Wenn Switch oder Betriebssystem kompromittiert wäre, ginge das eventuell. Setzt aber noch voraus, dass sie Leitung für Abfluss haben. Das geht nicht mal eben so.
Sensburg: Aufwand betreiben. 2013 Leitung unter Legende schalten und dann Dingelschen bei ihnen einstreuen und Spiegelung unbemerkt duplizieren, auf diese Leitung ausleiten?
Landefeld: Theoretisch denkbar. Um genau diese Szenarien auszuschließen, haben wir Post-Snowden überlegt, sowas zu erkennen. Haben angefangen, Zählerstände auf einzelnen Ports zu überprüfen. Core ist große Blackbox, muss genauso viel raus wie rein. Sehr schwierig, momentan Umsetzung.
Sensburg: Monitoring alle paar Minuten. Was machen sie noch alles gegen illegale Datenanzapfung? Legal später. Keine Firmengeheimnisse. Sebastian Schreiber sagte: „Durch Umstecken von Kabel bei DE-CIX kann man Daten ausleiten, wo sie nicht hin sollen.“
Landefeld: Hochsichere Rechenzentren. Mehrstufiger Zugang. Eigenes Equipment in abgeschlossenen Racks. Kein physikalischer Zugang. Einfaches Umstecken eines Ports kein Erfolg, muss freigeschaltet werden. Unsere Leute sind laufend da und überprüfen Ports. Administrativer Teil sehr umfassend, von Grundschutz überprüft. Arbeiten sehr eng mit Bundesamt für Sicherheit in der Informationstechnik (BSI) zusammen. Gehen davon aus, alles zu tun, was wir können. Schwierig: haben keine große Auswahl an Herstellern, nur noch ein bis zwei.
Sensburg: Welche?
Landefeld: Derzeit Alcatel-Lucent bei uns. Davor Force10 Networks. 2012/13 umgestellt. Nicht viel Auswahl. Geschäftsführer hat erklärt, dass es keine Zusammenarbeit gibt. Können aber nicht unter Haube gucken. Haben eigenes Security-Team, das das erforscht.
Sensburg: BSI hat halbjährlich geprüft?
Landefeld: Jährlich.
Sensburg: Auch okay. Wie intensiv ist das?
Landefeld: Kommt auf Turnus an. Haupt- und Nachprüfung. Hauptprüfung Grundzertifizierung sehr aufwändig. Standorte angeguckt, Prozeduren besprochen, mit Mitarbeitern reden, Grundschutz-Katalog, Szenarien definieren. Sicherheitskonzept erarbeiten, Grundschutz geht weiter und tiefer.
Sensburg: Hatten Zeuge vom BSI, der sagte, dass er technische Geräte nicht im Wirkbetrieb prüft, sondern nur mit Handbüchern und Rücksprache. Nicht so intensiv, wie Router auseinander- und wieder zusammenbauen. Handbuch sagt nichts über Ausleitung. BSI-Zertifizierung anders? Gucken die Ports an?
Landefeld: Bei uns vor Ort. Sie meinen Analysesystem. Ich folge dem, was hier passiert. Ist etwas anderes. Die haben Interesse an Zertifizierung, sind tagelang anwesend. Kostet einige 100.000 Euro, das immer wieder zu machen. Reden mit uns. Ganz andere Geschichte als Handbuch. Nachzertifizierung teilweise einfacher. Veränderungen angucken. Dokumentation von Veränderung. Neue Standorte angucken, aber nicht nochmal alles.
Sensburg: Technischer Leiter Arnold Nipper: „In keiner Weise Zusammenarbeit mit AND.“ Sagten sie auch. Kein Kontakt, keine Kontaktaufnahme? NSA, CIA, GCHQ oder andere Five Eyes-AND?
Landefeld: Nein. Gab von niemand Kontaktversuch. Hätten wir aber auch sofort abgelehnt.
Sensburg: Sicherheits-Team. Wie viele insgesamt bei DE-CIX und wie viel dafür?
Landefeld: 56 insgesamt, Sicherheit vier.
Sensburg: Mehr als die vier mit Admin-Rechten?
Landefeld: Klar.
Sensburg: Mitarbeiter auf Privatrechnern hatten Eindruck, wurde auf Daten zugegriffen? Passiert ja auch Behörden.
Landefeld: Kein Fall bekannt geworden. Kann dass natürlich nicht ausschließen. Kein Hinweis, das Management-Netz kompromittiert wäre.
Sensburg: Kein Regin?
Landefeld: Nichts, was wir gefunden hätten. Ist ja immer die Frage. Unternehmen alles, was möglich ist. Virtual Private Network, Compliance, Überprüfung. Zu 100 % ausschließen geht nicht. Wer das sagt, hat nicht verfolgt, was seit Snowden bekannt wurde.
Sensburg: Unsere Frage, ob das passiert ist. Über DE-CIX hinaus: 700 Kunden, nicht nur deutsche, auch amerikanische?
Landefeld: Ja.
Sensburg: Unterliegen nicht nur deutschem Recht, auch US-Recht?
Landefeld: Mit Sicherheit, ja.
Sensburg: Auch Datenableitung?
Landefeld: Ja.
Sensburg: Können sie ausschließen, dass Daten nicht nur nach USA, sondern auch in Deutschland, nah am DE-CIX von US-Firmen weitergegeben wurden?
Landefeld: Müssen sie die einzelnen Unternehmen fragen. Ist bei jedem Unternehmen einzeln zu klären. Rechtlich wären die wohl verpflichtet, auch deutsche Tochterfirmen. Ob die dem Folge leisten, kann ich schlecht beurteilen. Tipp: Router in Deutschland werden oft nicht aus Deutschland betrieben, sondern aus dem Network Operations Center (NOC) in den USA. Unterliegt nur eingeschränkt dem Einflussbereich der Mitarbeiter vor Ort.
Sensburg: Facebook, Sprint, Level 3, Verizon, alles Kunden von ihnen. Router-Steuerung aus USA. Könnte weitergeleitet werden?
Landefeld: Kann das nicht sagen. Wenn das so ist, passiert das in deren Netz und unter deren Hoheit.
Sensburg: Aber deutscher Boden.
Landefeld: Muss jeder Anbieter selbst wissen. Wäre im Netz des Anbieters, unter seiner Hoheit.
Sensburg: Würden sie juristisch sagen, dass US-Unternehmen oder Zweigfirmen in Deutschland verpflichtet wären, an NSA auszuleiten?
Landefeld: Als eco beklagen wir genau dieses Problem. Zwei-Seiten-Krieg: nach deutschem Recht darf man nicht, nach US-Recht muss man. Anbieter müssen kleineres Übel auswählen. Unterschiedliche Rechtsverständnisse. Sogar deutsche Tochter müsste nach US-Recht ausleiten. Frage, ob deutscher Geschäftsführer gefragt würde oder ob US-NOC das einfach macht.
Sensburg: Ob man das In Deutschland mitbekommt?
Landefeld: Ist das eine. Ob die das hinterfragen, das andere. Wird von Unternehmen unterschiedliche gehandhabt. Gibt solche und solche. Mancher klagen, von manchen hat man nie was gehört, da muss ich davon ausgehen.
Sensburg: Habe gestern mit Kurt Walker von Google gesprochen. Betreiben viele Rechenzentren. GCHQ hat Traffic von Datenzentren angegriffen. Wie sichern sie, dass zwischen DE-CIX-Datenzentren keine Daten abgegriffen werden? Nur Lichtintensität?
Landefeld: Überlegen: Wie könnte das ablaufen? Internationaler Transfer, viele Betreiber dazwischen. Wir mieten Fasern über mehrere Betreiber. Schicken Daten immer über mehrere Pfade, kein Single-Point-of-Abgriff. Sessions zerfallen auf verschiedene Fasern. Müsste alle Betreiber kompromittieren. Auch bei Biegekopplern brauchen sie zusätzliche Faser, um Daten wegzubekommen. DE-CIX hat derzeit 1.200 Fasern, verteilt über Rechenzentren, kein Single Point of Failure. Alles bekommen hieße, alle Fasern kompromittieren. Kann das nicht ausschließen, aber so gut wie unmöglich, das auf Dauer versteckt zu halten. Da arbeiten sie ja gegen jeden Betreiber und jeden Mitarbeiter. Legal nicht möglich, immer illegal. Müssten ganze Teams über längeren Zeitraum kompromittiert bekommen, ohne dass das einem Einzelnen auffällt. Äußerst unwahrscheinlich. Für einzelne Faser schon eher möglich. Da kann Betreiber auch gar nicht viel machen. Aber auch hier brauchen sie wieder eine Faser in der grünen Wiese. In Deutschland nicht so einfach, kommen immer Leute und fragen nach Genehmigung. Geht eigentlich nur mit Zettel, der sagt, man darf das.
Sensburg: Wie würden sie einen illegalen Datenabgriff im größeren Stil machen?
Landefeld: Hervorragende Frage. Wir denken permanent darüber nach und versuchen alles, was uns einfällt, abzustellen. Praxis: Anbieter fragen, der das legal tauscht. Viel einfacher.
Sensburg: Getrickse, an Kabel ran, sehr komplex. Theoretisch denkbar, aber aufwändig. Oder Knoten selbst betrieben, würde ich bei ihnen aber ausschließen. Alles andere sehr aufwändig.
Landefeld: Genau. Wenn ich das Google der Geheimdienste wäre, so wie die NSA, hätte ich immer etwas zum Tauschen.
Frage 1: Linke (12:42)
Renner: Abgrenzung deutsche und US-Kommunikationsverkehre bei Paketvermittlung? Hintergrund: Einsetzungsbeschluss: „ob, in welcher Weise und in welchem Umfang durch Nachrichtendienste der Staaten der sogenannten ‚Five Eyes’ eine Erfassung von Daten über Kommunikationsvorgänge, deren Inhalte sowie sonstige Datenverarbeitungsvorgänge von, nach und in Deutschland auf Vorrat […] erfolgt“. Wenn BND an DE-CIX im Ausland geht, „von, nach und in Deutschland“? Was passiert mit einer E‑Mail von Berlin nach München?
Landefeld: Trennschärfe immer nur relativ. „Überwiegend deutsche IP-Adressen“. 100 % geht nicht. Gibt aber Leitungen mit überwiegend Deutschland oder überwiegend Ausland. Zumindest Auslands-Bezug. Anbieter vom persischen Golf hat Auslandsbezug. Deutsche können aber auch Mails über Mailserver dort schicken. Frage nach Definition von Kommunikation. Welcher Mail-Dienst verwendet wird. Selbst wenn beide den gleichen nutzen, sagt das nichts, wo es ausgetauscht wird. Firmennetze sind heute teilweise international in sich geschlossen, haben aber Übergang nur in US. Mail von Deutschland nach Deutschland immer noch in USA übergeben. Kann man nicht anhand von Mail-Adresse sehen.
Renner: Wovon hängt es ab, worüber Daten im Internet geroutet werden?
Landefeld: Nahezu vollständige Trennung zwischen Physik und logischen Routen. Autonome Systeme (AS): logische Funktionseinheiten mit summierten IP-Netzen. AS zusammenschalten. Logik sagt aber nicht aus, wo das physikalisch passiert. Wird getrennt ausgemacht. Nur weil ich sage, ein deutsches und ein französisches AS tauschen sich aus, sagt nicht, dass die das nicht vielleicht in London austauschen. Einsehbar ist nur Netz aus AS. Physik sehr schlecht einsehbar. Wissen nur Netzbetreiber selbst.
Renner: Wer kann das noch sehen? Wie kommt man da ran, als Geheimdienst?
Landefeld: Experten können das nachvollziehen. Gibt Probes im Netz. Profi kann sich immer eine Karte davon machen, wie Daten zwischen zwei AS laufen.
Renner: Legale Überwachungsmaßnahmen. Welche Streckenpläne? AS oder Physik? Gegenstand der Anordnung?
Landefeld: Geht nur NfD. In Ordnung?
Sensburg: NfD geht öffentlich, Verschlusssache Vertraulich nur nicht öffentlich (NÖ).
Landefeld: Auf Anordnungen standen früher konkrete AS-Nummern. Keine Leitungen.
Renner: Was bedeutet das?
Landefeld: Logisches Netz angeguckt, nicht Physik.
Renner: Logisches Netz sagt nichts über von, aus, in Deutschland?
Landefeld: Ja, und nicht über Kapazität. Können wir sagen: hat auf Papier diesen Standort. Ob das für gesamtes Netz gilt, ist unklar. Beispiel: mein eigenes Netz AS3257. Gleiche Nummer auf der ganzen Welt: Deutschland, USA, Großbritannien. Sehen sie nicht an Nummer. Trennung geht schlecht. In manchen Ländern einfacher, weil Regierungen Anbieter zwingen. Für große westliche gilt das nicht. AS sind global.
Renner: Nur 20–30 % genutzt. Kapazitäten weiter vermieten, an Dritte?
Landefeld: Nicht direkt auf Ort bei uns. Aber Transit-Provider, Geschäftsmodell. betreiben nur Backbone, andere schließen sich dort an. DE-CIX lässt das nicht zu, bei anderen ist das üblich. Nicht gerade trennscharf. Internet hält sich nicht an Landesgrenzen.
Renner: Werden Transit-Provider irgendwo registriert?
Landefeld: Ja, aber nicht verbindlich. keine zentrale Auskunft. Kein Zwang dazu.
Frage 1: SPD (12:54)
Flisek: Legale Überwachung. TKÜ oder G‑10-Anordnung. Wer ist Adressat? DE-CIX oder Kunden?
Landefeld: G‑10-Anordnung oder TKÜ?
Flisek: G‑10-Anordnung.
Landefeld: Wir sehen nur G‑10-Anordnung, die sich gegen uns richten. Andere die, sie sich gegen sie richten. Da müsste draufstehen, welcher Leitungsweg betroffen ist. Für uns nur wichtig: was müssen wir dulden?
Flisek: Gibt G‑10-Anordnung gegen DE-CIX?
Landefeld: Beschränkungs-Anordnungen richten sich immer gegen DE-CIX, wir müssen das dulden.
Flisek: Für G‑10-Abgriffe fehlen Standards?
Landefeld: Ja. Für TKÜ gibt es TKÜV und klare technische Standards, Ausleitung, Dokumentation. Bis in das letzte Bit runter dokumentiert. Bei G‑10 gibt es nichts. Da kriegen sie nur eine Beschränkung „Sie müssen dulden, dass der Leitungsweg X für den Dienst gedoppelt wird.“ Verfahren wird nicht spezifiziert. In der Regel wird die gesamte Leitung genommen. Was da passiert, ob das eingehalten wird, ist für Anbieter nicht prüfbar. Haben eine formale Prüfungspflicht, können wir aber gar nicht durchführen. Gibt keine Standard, ob Prozentsätze richtig sind. 20-Prozent von Inhalt: Sämtliche Chats und Internet-Telefonie (VoIP) einer Leitung wäre vielleicht 5 %. Kann man diskutieren, ob wir das wissen müssen. Gibt aber keine Standards oder Definitionen.
Flisek: Wünschen sich höhere Bestimmtheit?
Landefeld: TR-G-10 wünsche ich mir. Wie TKÜV. Ist ja schon unklar, wie das umzusetzen ist.
Flisek: Auch Haftungsszenarien?
Landefeld: So lange wir das umsetzen, nicht. Wir sehen ja nicht, wer betroffen ist. Bei TKÜ schon. Wir wollen ja keine Suchbegriffe wissen. Aber Dokumentation von technischem System, das durchsucht, wäre schon interessant. Suchbegriffe gehen niemand was an. Gerät und 20-Prozent-Regel schon. Da gibt es ja auch originelle Rechtsauffassungen, nachdem was ich hier lese.
Flisek: TR-G-10 analog zu TKÜ. Was wäre Mehrwert aus Perspektive des Grundrechtsschutzes? Formalie oder materiell wichtig?
Landefeld: Was kann ich sagen?
Flisek: Auf Spiegel berufen ist immer gut.
Landefeld: Gab Beschränkungs-Anordnungen für deutsche Anbieter. Leitung von Frankfurt nach Berlin. 95 % deutsche Verkehre. Schon interessant, warum das geht? Wie wird das überprüft? Wie wird das gehandhabt, damit umgegangen? Im Moment wissen wir noch nicht mal, wie wir überhaupt damit umgehen sollen. Theoretisch können wir auch als Anbieter filtern, dass wir nur Pakete in ein bestimmtes Land ausleiten. Ist nicht diskutiert, wir müssen ganze Leitung ausleiten. Noch nicht mal vorgeschrieben, wie Ausleitung zu passieren hat.
Flisek: Was wäre Mehrwert? Dass die Korrektiv bei Maßnahme wären?
Landefeld: Problem: Wie funktioniert das eigentlich? 2008 Diskussion geführt. In dieser Form unzulässig. Als die ersten G‑10-Anordnung kamen, waren deutsche Anbieter darauf. Haben mit G‑10-Kommission gesprochen. Außer einem, mittlerweile verstorbenen Mitglied, wollte keiner darüber reden. Gibt keine Methode, damit umzugehen. Könnte nur in Leipzig klagen. Wollen aber gar nicht klagen, sondern technische Definition. Im Moment kann ich noch nicht mal sagen, was ich formal überprüfen soll. Gibt keine Grundlage. Derzeit: „Richtet sich gegen mich, habe eine Leitung die heißt so, muss wohl in Ordnung sein.“ Bei TKÜ ist das alles ganz genau definiert und zu dokumentieren. Technische Richtlinie (TR)-G-10 vielleicht falscher Ausdruck. Man hat sich in Paketorientierung einbewegt, aber das nie definiert. Wenn heute jemand VoIP überwachen will und die alle ausleitet, muss er aus technischen Gründen sämtliche VoIP-Verbindungen erstmal aufzeichnen und speichern. Da VoIP-Kontrollverbindungen drumherum laufen, können sie erst im Nachhinein, was wozu gehört. Frage: Wie lange muss das gespeichert werden? Denke, hier braucht es klage Vorlage. Gibt es offensichtlich nicht, sonst würden wir nicht darüber diskutieren. Nicht nur Dienste, auch Polizeibehörden.
Flisek: Interessant. Beschäftigen uns mit Dauerbaustelle Regelungsrahmen. Paketvermittlung neu.
Landefeld: Ab 2018 werden wir nichts anderes als Paketvermittlung mehr haben.
Flisek: Vermissen sie weitere Standards?
Landefeld: Kontrollen finden außerhalb der Dienste gar nicht statt. War auch bei uns Problem. Gespräch mit G‑10-Kommission: „Das können wir ja gar nicht prüfen.“ Sind neue technische Maßnahmen, wissen wir gar nicht. Einladung ins Bundeskanzleramt: „Wie können sie mit G‑10-Kommission reden? Maßnahme ist doch nicht gar nicht angeordnet.“
Flisek: Würden nicht jede einzelne Maßnahme bei G‑10 kontrollieren?
Landefeld: Bei TKÜ nicht, Regelanordnungen, Standard. Bei G‑10-Anordnung Verlängerung alle drei Monate, da verändert sich nicht. Bei TKÜ hat man ja hunderte gleichzeitig als großer Anbieter. G‑10-Anordnung ist ja nur selten. Ich kann nicht prüfen, ob das in Ordnung ist.
Flisek: § 27 Abs. 3 TKÜV: Bedingungen für Einsatz. BSI-Prüfung, kein Fernzugriff, Zugriffskontrolle. Damit Rechtlich-technischer Rahmen nicht ausreichend?
Landefeld: Damit könnte ich leben. Ist ja schonmal was. Gilt aber für G‑10 noch nicht.
Flisek: Doch, § 27 Abs. 3 TKÜV gilt für G‑10-Anordnung.
Landefeld: Beim Anbieter stehen keine Geräte. Wir kriegen Leitung, dort spiegeln wir Verkehre rauf. Wir müssen kein aktives Element dulden. Keine Rückwirkung auf Systeme. Bei Leitung mit 100 % innerdeutschen Verkehren: Kann ich das prüfen? Derzeit kann ich nichts machen.
Sensburg: Wenn sie ein Gesetz brauchen, sagen sie Bescheid, haben alles hier.
Frage 1: Grüne (13:16)
Notz: Sehr interessant, anderer Blick. Haben sie das Gefühl, dass derzeitige G‑10-Praxis Rechtsstaatlichkeit gewährleistet?
Landefeld: Puh.
Notz: Passt Gesetz und Praxis noch technisch?
Landefeld: Ich denke nicht, dass Gesetz, so wie es geschrieben ist, den Anforderungen der modernen Kommunikationsnetze gerecht wird.
Notz: Will keine konkreten Fälle, nur grundsätzlich. Wer kommt mit G‑10-Anordnung zu ihnen, wie läuft das?
Landefeld: Üblicherweise Vorbesprechung mit Dienst, der was will.
Notz: In der Regel BND?
Landefeld: Ja, kann aber auch Landes- oder Bundesamt für Verfassungsschutz sein. Mehr als ein Bedarfsträger. Bei Auslandsstrecke in der Regel BND.
Notz: Schreiben oder Anruf?
Landefeld: Anruf, dann Termin ausmachen. Dann reden: Verkehre, Unterlagen, Bestandsdaten, können ja alles mögliche wollen.
Notz: Konkret?
Landefeld: Wollten keinen Einzelfall?
Notz: Was passiert? Was wollen die?
Landefeld: Was im Gespräch gefordert wird. Verkehre aus bestimmter Region.
Notz: Mit Schriftstück?
Landefeld: Vorgespräch keine Schriftstücke, nur Identifizierung mit Dienstausweisen. Wir abgesprochen, wie das Dinge. Danach schreibt der Dienst das auf und besorgt sich G‑10-Anordnung. Die kommt dann vom Bundesinnenministerium.
Notz: Vor G‑10-Kommission-Genehmigung schon Gespräch bei ihnen?
Landefeld: Ja.
Notz: Trennschärfe nicht möglich, gibt aber solche und solche Leitungen?
Landefeld: Liegt in der Natur der Sache.
Notz: Offensichtlich G‑10-Anordnung geholt, wollte aber ungeschützte „Routineverkehre“. Kann das sinnlogisch sein, dass man G‑10-Verkehr laut Anordnung will, aber eigentlich „Routinevekehre“ abgreifen will? Macht das Sinn?
Landefeld: Gibt es schon. Gerade bei Transit-Providern absoluter Mischverkehr auf den Leitungen: deutsch und interkontinental. Bei Knoten läuft viel durch, Beispiel Russland nach Niederlande.
Notz: Manchmal auch 90 % G‑10-Verkehr?
Landefeld: Klar, gerade die innerhalb Deutschlands.
Notz: Können G‑10-Genehmigungen auch dafür geben? Sagten, das gibt’s.
Landefeld: Ja, sagte ich.
Notz: Macht das Sinn?
Landefeld: Sehr gute Frage. Bei einigen Strecken, die ich gesehen habe, ist mir nicht klar, wo der Nicht-G-10-Verkehr sein soll. Innerdeutsche Access-Netz-Provider, dessen einziger Geschäftszweck Anschlussleitungen in der Region ist, also immer mindestens ein Anschluss in Deutschland. Da sehe ich nicht, wo Nicht-G-10-Verkehre sein sollen.
Notz: Konkreten Einzelfall bedauerlicherweise NÖ besprechen. War das Gegenstand des Treffens mit Rösler und Leutheusser-Schnarrenberger?
Landefeld: Nein, das war grundsätzliche Nachfrage wie das geht, zwei Wochen nach Snowden, als das hochkochte.
Notz: Da meldeten sie schon Zweifel an?
Landefeld: Ja.
Notz: Würde mich interessieren, was sie Ministern erzählt hatten, war ja auch Wahlkampfzeit.
Landefeld: Frage?
Notz: War ihnen vor Snowden bewusst, das bei Operationen wie Eikonal Daten von G‑10-Anordnung auch an AND gehen? Gab es Hinweise?
Landefeld: Natürlich hat man das schonmal gehört. Jeder in der Szene hat gehört, dass AND Verkehre tauschen, offenes Geheimnis.
Frage 1: Union (13:26)
Warken: Struktur DE-CIX Management GmbH. Auch Mitarbeiter externer Unternehmen? Mit zugriff?
Landefeld: Gibt’s. Dienstleistungen outgesourced. Server-Management mach Firma in Karlsruhe. Haben keinen Zugriff auf Switches, nur Server. Aber per Virtual Private Network in Unternehmens-Netz. Webserver, interne Datenbank-Server. Aber kein zugriff auf internes Management der Switches.
Warken: Kein Wunder Punkt?
Landefeld: Nein. In heutiger Arbeitswelt sind Externe und Freie Mitarbeiter üblich. Haben immer Vier-Augen-Betrieb. Trennung zwischen unseren eigenen und Kunden-Verkehren. Systeme, die Kunden-Verkehre beeinflussen könnten, haben besonderen Schutz. Kommt nur enge Gruppen von Mitarbeitern ran. Überschaubarer Rahmen, vielleicht 15 Mitarbeiter im Haus.
Warken: Externe aus deutschen Unternehmen?
Landefeld: Ja, alles Deutsche.
Warken: Mangelnde Diskussion über Internet-Überwachung an sich. Juli sagten sie, dass sie wegen G‑10-Gesetz keine Aussagen zu G‑10-Maßnahmen treffen dürfen, Knebelvertrag, fühlen sich alleine gelassen. G‑10-Maßnahmen verfolgen ja Zweck. Könnte der gefährdet werden, wenn sie als Provider darüber reden?
Landefeld: Kommt drauf an. Konkrete Strecken, Leitungen und Akteure ist sinnvoll, Geheimschutz zu unterliegen. Aber BND darf sagen, dass es Maßnahme am DE-CIX gibt, wir nicht. Klaus-Dieter Fritsche sagte, ich müsse nichts erfinden und nicht lügen. Ist aber schon ungewöhnlich, wie wir damit umgehen sollen. Darf Presse nichts sagen. Bei „kein Kommentar“ habe ich es auch bestätigt. Wenn Maßnahme gesetzlich gedeckt ist, sollte man allgemein darüber reden dürfen, konkret natürlich nicht.
Warken: Mehr über Notwendigkeit der Maßnahmen aufklären und Öffentlichkeitsarbeit betreiben?
Landefeld: Ja. Man darf ja nicht mal sagen, dass man Kontakt mit BND hatte. Selbstverständnis der Dienste ist bisschen seltsam. Transparenz und Kontrolle wäre hilfreich.
Warken: Transparenzberichte, wie manche Unternehmen das tun, sinnvoll? Rechtssicherheit?
Landefeld: Kommt auf Rechtsrahmen an. Mit Sicherheit hilfreich, um zu sehen, welche Maßnahmen überhaupt benutzt werden. Strafverfolgungsbehörden picken sich auch Unternehmen raus, mit denen sie arbeiten. Manche kleine und mittlere Unternehmen haben gar keine Anfragen.
Warken: Transparenzbericht an sich?
Landefeld: Hilfreich. Manches ja völlig überproportional wie Funkzellenabfrage im Mobilfunkbereich. Wird nur benutzt „because we can“, nicht weil es für Ermittlung sinnvoll ist.
Warken: Telekom will DE-CIX-Nutzung ausbauen wegen Datenschutz, nationales Routing. Warum ist das sinnvoll?
Landefeld: [Redet mit Lesch.] Wird schwierig, über einzelnes Unternehmen zu reden.
Warken: Abstrakt.
Landefeld: Deutschland-Routing müsste man sich fragen, was in der Presse steht. Die Kapazitäten der Telekom am DE-CIX reichen für Schengen-Routing nicht aus. Kernproblem ist nicht Frage, ob Verkehre in Deutschland bleiben, sondern ob sie zwischendurch über US-Anbieter gehen. Nicht einfach: deutsche Tochter eines US-Anbieters muss ich berücksichtigen wie deutschen Anbieter. Verkehre von und nach Deutschland sind heute schon zu 99 % in Deutschland. Mit Schengen-Routing keine Verbesserung. Mit einzelnen Anbietern schon gar nicht, ist auf IP-Ebene nicht zu lösen.
Warken: Sie halten nichts von nationalem Routing?
Landefeld: Ist eh schon umgesetzt. Das was in der Presse steht, ist eine Pressekampagne. Von der Kapazität völlig ungeeignet. Wurden auch von Wholesale-Abteilung gemacht, nicht die Abteilung für nationales Netz.
Warken: Wie sonst schützen? Ende-zu-Ende-Verschlüsselung?
Landefeld: Ende-zu-Ende-Verschlüsselung ist das einzige, das funktioniert. Leitungen verschlüsseln auch schwierig, gibt keine Standards. Und Problem mit ausländischen Anbietern bleibt. Bereits beim Endkunden verschlüsseln, alles andere wird nicht helfen.
Warken: Ausländische Unternehmen unterliegen Rechtsvorschriften ihrer Staaten. Verträge von DE-CIX enthalten Klauseln zu Datenschutz und Datensicherheit?
Landefeld: Nein. Können wir nur bei uns mit Selbstverpflichtung sicherstellen. Das Problem ist, was der Kunde in seinem Netz macht. Unser Netz vergleichsweise klein, relativ gut kontrollierbar. Leitung des Kunden nach unserem Port bietet viel größere Angriffsfläche als bei uns.
Warken: Also nicht erforderlich?
Landefeld: Kann man nicht sagen. Derzeit 230–250 deutsche Anbieter, der Rest aus aller Herren Länder mit unterschiedlichsten Vorstellungen. China oder Russland anders als Deutschland oder Frankreich, andere Vorstellungen zu Datensicherheit. Gibt keine Standards. Wir haben Selbstverpflichtung, dass wir alles Mögliche tun: Grundschutz etc. Jeder Anbieter muss seinen Teil tun. Rechenzentren haben unterschiedliche Schutzniveaus. Kostengünstige haben niedrigere Zutrittsregelungen. Bei 650 unterschiedlichen Anbietern können sie wenig machen.
Warken: Haben sie Anhaltspunkte, dass Tochterfirmen in Deutschland Daten ausleiten mussten?
Landefeld: Deutsche Unternehmen im Ausland? Wäre ja kein G‑10. Müsste ich spekulieren, was Unternehmen tun. Vielleicht auch eigene Kenntnis, aber Betriebsgeheimnisse anderer Unternehmen.
Warken: DE-CIX-Knoten in New York. Wie Zusammenarbeit dort?
Landefeld: DE-CIX North America Inc. ist unser Tochterunternehmen. Unterliegt US-Recht. Wenn es Anordnungen gibt, darf darüber nicht geredet werden. Hat mit DE-CIX Management GmbH nichts zu tun. Schwierig.
Warken: Gibt auch Mitarbeiter dafür?
Landefeld: An Rechtsvorschriften des jeweiligen Landes halten. Auch in Dubai.
Warken: Fehlende Diskussionsmöglichkeit über diese Maßnahmen im Ausland genauso?
Landefeld: Da darf ich Detail nichts dazu sagen, das ist ganz ähnlich wie bei uns. Was ich sagen kann ist: FISA-Anordnungen hat es nicht gegeben, darüber kann ich reden weil es gerade keine Anordnungen gegeben hat. Ist in jedem Land erstmal geheim. Aber dass es Maßnahmen gibt, sollte nicht geheimhaltungsbedürftig sein, nur konkrete Maßnahmen. DE-CIX North America unterliegt dem, hat noch nicht stattgefunden, unterläge dann aber auch Geheimhaltung.
Warken: Kritik an deutschem Recht auch in USA? In anderen Ländern nicht besser?
Landefeld: In Großbritannien kann ich offen darüber reden. Die stört das offensichtlich nicht.
Schipanski: G‑10-Gesetz nicht rechtsstaatlich? Zeuge letztes Mal bestätigte das aber eindeutig. Warum nicht? Kriegen doch alles genau gesagt.
Landefeld: Wenn wir sagen, dass wir etwas unrechtmäßig finden: Wie geht man dann damit um? Wenn ich dann ins Kanzleramt geladen werde, ist das nicht Rechtsstaatlichkeit, sondern Power-Play. Ob das in Leipzig oder Karlsruhe Bestand hat, kommt auf Gerichte an. Aber wenn ich das bekomme, will ich das diskutieren dürfen.
Schipanski: Also schwerer Weg. Was passierte im Kanzleramt bei ihnen?
Landefeld: Bin mir nicht sicher, ob öffentlich.
Notz: Doch.
Landefeld: Noch eh Anordnung erhalten, wollten wir mit G‑10-Kommission reden, Bedenken geäußert. Dann ins Bundeskanzleramt zitiert und uns ganz klar erklärt, dass wir mit niemandem reden dürfen eh es keine Anordnung gibt, auch nicht G‑10-Kommission oder PKGr.
Schipanski: Muss ja in Planung auch nicht. Können ja klagen.
Landefeld: Ja, aber erst, wenn’s da ist.
Schipanski: Hatten sie Zweifel an der Rechtmäßigkeit von G‑10-Anordnung, die sie erhalten haben?
Landefeld: Ja.
Schipanski: Nicht Rechtsweg bestritten?
Landefeld: [Redet mit Lesch.] Ob Rechtsweg bestritten, kann nicht nicht sagen. Fanden G‑10-Anteil auf Leitungen diskutabel. Auch Zeiträume: 2009 noch andere Vorstellungen von Filtersystemen. Wir gingen von 20-Prozent der Inhalte aus, von allen, nicht 50–60 % der Inhalte. Versuche, Rechtsweg zu bestreiten, ergeben sich auch aus dieser konkreten Umsetzung.
Schipanski: Man kann Gesetze unterschiedlich auslegen. Nicht überraschend. Andere Zeugen haben wenig Spielraum bei 20-Prozent-Regel gesehen.
Landefeld: Etablierte Rechtsprechung ist sehr dünn, Entscheidungszahl verschwindend gering. Kann man noch nicht von etablierter Rechtsmeinung sprechen.
Notz: Können ja Herrn Schipanski auch als Zeuge laden.
Frage 2: Linke (13:58)
Renner: Vorbereitende Gespräche vor G‑10-Anordnung: Da auch technische Daten erfasst für zukünftige Maßnahme, die Grundlage der Spezifizierung der Zugriffspunkte waren? Jeder G‑10-Anordnung liegt inhaltliche Begründung bei, warum die Voraussetzungen vorliegen. Strecken bekannt, auf denen diese Informationen sein sollen. Von Eikonal und Glotaic wissen wir, dass AND Strecken im Visier hatten, die sie wollten, wofür es G‑10-Maßnahme brauchte. Ging es eher darum, bestimmte Strecken zu identifizieren als konkrete Maßnahme vorzubereiten?
Landefeld: Nicht kompliziert, erinnere mich sehr gut an Gespräche. Beschränkender Teil der Anordnung sehen wir nicht. Was sie fragen, ist ganz klar Bestandteil der Planungsgespräche. Welche Anbieter, welcher Standort, alles Bestandteil der Gespräche. Fand ich sehr verwunderlich, dachte es ging um Leitungen, bezog sich aber auf Autonome Systeme (AS), was mehrere Leitungen betraf. Hier ausnahmsweise positiv: durchaus technisch sinnvoll, dass Betreiber drinsteht statt Leitung. 2008 hat uns das aber sehr gewundert. Die haben auch gefragt, wie Knoten funktioniert, ähnlich wie hier.
Renner: Eikonal und Glotaic. Braucht man ja auch Partner. Haben Anhaltspunkte, dass man gegenüber Provider als Tarnfirma aufgetreten ist. Wie schwierig wäre das, eine Port an Leitung zu bekommen?
Landefeld: Viele Anbieter am DE-CIX. Historisch Mitglieder-getriebene Aktivität, sehr offen und dokumentiert. Jeder Switch-Port ist dokumentiert. Wenn da BND stünde, wäre das blöd. Tarnfirmen sinnvoll.
Renner: Wenn sie das wissen. Und wenn sie das nicht wissen?
Landefeld: Sich nur als Tarnfirma anzumelden, dann tauscht ja niemand Daten mit ihnen. Nur, wenn die darin einen Sinn sehen.
Renner: Zutritt über Lieferung von Hardware-Komponenten?
Landefeld: Wir kaufen direkt beim Hersteller. Ist bisschen akademisch. Dann müsste ja Force10 oder Alcatel Lucent was durchführen. Theoretisch kann man Zugriff zu Equipment bekommen, aber nicht dauerhafter Zugriff auf Management. Timing zu Eikonal interessant. Erstes Planungsgespräch mit uns am 14. August 2008.
Renner: Ende von Eikonal?
Landefeld: Schon spannend. Zwei Wochen vorher erster Terminierungs-Versuch. Spannend, wie das abläuft. Man sucht sich neuen Partner.
Renner: Gibt es Hinweise, dass sich unter Providern welche befinden, die nicht sind, was sie vorgeben? Tarnfirmen?
Landefeld: Wie gesagt, andere müssen ja auch Daten mit ihnen austauschen wollen, sonst entsteht kein Verkehr. Etwas zu erfinden ist kompliziert. Reine Tarnfirma wäre nicht hilfreich, eher Kooperation mit anderem Unternehmen.
Renner: Man kann automatisiert freigeben?
Landefeld: Bei uns nicht. In USA schon, elektronische Anordnung, die von Anbieter nur noch per Haken bestätigt werden muss.
Frage 2: Union (14:08)
Schipanski: Vorwurf rechtliche Zulassung von G‑10-Anordnung. Sind der erste der das bezweifelt. [*Gelächter*] Wie kommen sie dazu?
Landefeld: Ich möchte nicht bezweifeln, dass G‑10-Anordnung sinnvoll sind. So lange wir einen Geheimdienst haben, brauchen wir solche Maßnahmen, alles Andere ist Unsinn. Mir geht es um die Form der Umsetzung in einem Gesetz, das für alte Technik gemacht war und das man nie diskutiert hat, wie das modern anzuwenden wäre. Können nicht so tun, als hätte sich nichts verändert. Fängt mit Prozentsätzen an. Geht über Art und Weise weiter: siehe Telefonie vs. VoIP, wie ausgeführt.
Schipanski: Dann relativieren sie das ganz schön im Vergleich zu vorhin. Geschulte Mitarbeiter?
Landefeld: Haben mehrere Rechtsanwälte, die sich damit beschäftigen. Auch externe Rechtsanwälte. Seit Mitte letzten Jahres laufende Diskussionen. Sind nicht davon ausgegangen, dass Transit-Verkehre als vogelfrei betrachtet werden. Haben als Unternehmen auch Fragen von unseren Mitgliedern, wird ja in der Öffentlichkeit ausgetragen. Müsse als unternehmen überlegen, ob wir das ausfechten und Verfahren führen, wie Microsoft. Haben im Verfahren noch keine Verfahren anhängig, aber laufende Prüfungen.
Schipanski: Vorgespräch dient natürlich dazu, konkrete Anordnung auszugestalten. Also Vorgespräch sinnvoll, oder?
Landefeld: Ist Frage des Inhalts. Geht es um Ausforschen oder „wir wollen das“. Wenn wir als Betreiber ignoriert werden, weil wir das nicht für rechtlich zulässig halten, ist das nur einseitige Informationsabschöpfung.
Schipanski: Tragen Bedenken vor. Dann Abwägungsprozess. Aber sie werden anschließend nicht rückinformiert?
Landefeld: Genau, bekommen nur Beschränkungs-Anordnung.
Schipanski: Was wäre Mehrwert? Gesetz lässt ja verschiedene Dinge zu. Wo haben sie da Schwierigkeit?
Landefeld: Keine Abstimmung, mehr Informations-Absaugen. Schwierigkeit: Wenn Techniker über Technik diskutieren, kommt man immer zu Lösung. Das kann aber nicht das sein, was rechtsstaatlichen Teil ausmacht.
Schipanski: Gesetzgeber […]
Landefeld: Wenn sich Gesetzgeber seit Paketvermittlung dazu geäußert hätte, könnte ich damit umgehen. Das steht aber überhaupt nicht im Gesetz. War damals etwas völlig anderes. Hat sich grundlegend geändert. Man hat sich nichts geäußert, also steht nichts im Gesetz drin.
Schipanski: In der TKÜV stehen doch aber konkrete Vorgaben.
Landefeld: Wenn es eine TR-G-10 gäbe. Geht ja nicht nur um Anbieter, auch Bedarfsträger.
Sensburg: Sagten zurecht, dass Ende-zu-Ende-Verschlüsselung praktikabler Weg ist. Gilt nur für Inhalte, richtig?
Landefeld: Verschlüsselung der Verbindungsdaten ist unmöglich, ja.
Sensburg: Ende-zu-Ende-Verschlüsselung nur Inhalte. Aber nicht jeden Themenkomplex abgehakt.
Landefeld: Richtig. Aber mit Leitungsverschlüsselung auch nicht. Dass Kommunikation stattgefunden hat, ist durch Verschlüsselung nicht in den Griff zu kriegen.
Sensburg: Genau, also nicht automatisch im grünen Bereich. Anderer Teil auch hochsensible Daten. Sie sagten, in Deutschland wird nichts automatisiert wiedergegeben, in USA schon?
Landefeld: Einleitung von Überwachungsmaßnahmen. In den USA vollautomatisiert. Systeme genutzt, die für FBI aufgesetzt wurden. Bei uns im Moment nur dadurch verhindert, dass sie Einzelnachweis der Maßnahmen brauchen. Ist in den Systemen drin, darf aber nicht. Deshalb Haken setzen. Kleiner Unterschied, große Wirkung.
Sensburg: In den USA massenhaft, viele IP-Adressen? Oder einzelne? Hintergrund: andere US-Firmen sagten, dass man nur ganz konkrete IP-Adressen oder Telefonnummern ausleitet, nicht massenhaft ganze Strecke. Dissens?
Landefeld: Keiner. Verständnisfrage. Das sind die Schnittstellen. War das erste bei PRISM: Abfrage aus Beständen. Geben konkrete E‑Mail-Adresse in Anordnung. Unterscheidet sich von Massenüberwachung, wie wir sie in Bude mit GCHQ hatten. Dort sammle ich erstmal Daten ohne Kontext und filtere sie dann. Im anderen Fall immer bestimmter Account oder Anschluss, um diese Daten beim Anbieter abzufragen, die eventuell gespeichert sind. Unterschiedliche Vorgänge.
Sensburg: Firma wie Google und Facebook muss Einzelfall liefern?
Landefeld: Ja.
Sensburg: Wenn US-Geheimdienst ganze Strecke will, geht er nicht zu Firma, sondern auf die Leitung?
Landefeld: Ja, in USA aber auch eingeschränkt.
Sensburg: Also interessant, in Ausland zu gehen?
Landefeld: Ja. Kooperation NSA/GCHQ nicht umsonst, Datenaustausch.
Sensburg: Wenn NSA das nicht darf, deshalb Kooperation mit AND wie BND?
Landefeld: Einzelabgriff geht immer. BND hat Rechtsauffassung, dass Transitverkehre weitergegeben werden können. Da wird erst Hinterher ein Bild daraus. E‑Mail-Adresse von Verdächtigen -> Kommunikationspartner -> seine IP-Adresse -> welche Accounts -> wieder Einzelabfrage. Brauchen als Geheimdienst beides, Rohdaten und Suchbegriffe, um ein Geflecht aufzubauen und Korrelationen herzustellen. NSA: je mehr sie haben, desto besser. Google der Geheimdienste. Geschäft wie jedes andere auch. Handel mit Daten.
Sensburg: Brauchen beide Parameter?
Landefeld: Ja. Je mehr sie haben, desto besser.
Sensburg: Warum gibt es noch keine TKÜV G‑10? Verpennt? Auf diesen Untersuchungsausschuss gewartet? Oder gibt es Grund dafür?
Landefeld: Würde Beschränkungen auslösen, keine freie Interpretation mehr. Aber man braucht ja erstmal Grund, sich damit zu befassen. Den haben wir durch Snowden. Steht ja nicht drin: „Näheres regelt eine Verordnung.“ Rechtlich nicht ungewöhnlich, dass Dinge einige Jahre dauern.
Wolff, Bundeskanzleramt: Gesetzgeber hat natürlich gedacht, dass TKÜV natürlich bei G‑10 geht.
Sensburg: § 26 ff. TKÜV schränken das aber wieder ein.
Wolff: Gilt natürlich.
Sensburg: Noch nicht Diskussion des Abschlussberichts. Zeuge darf.
Landefeld: Natürlich gibt das, wir arbeiten auch damit, z. B. bei Beschränkung von Verfassungsschutz. Bei BND wird das aber nicht gemacht. Bei Maßnahmen mit Bezug auf Person oder Anschluss wird das umgesetzt, wie klassische TKÜ. trennen, worüber man redet.
Frage 2: Grüne (14:30)
Ströbele: Bundeskanzlerin. Sie sagten, es gab zwei Treffen: 2008 einbestellt, wegen Unruhe, weil sie mit G‑10-Kommission geredet hatten. Worum ging es da?
Landefeld: Feedback nach Vorgespräch, dass man Umsetzen wollte. Wir haben versucht, uns mit G‑10-Kommission zu treffen. Haben das mit Max Stadler hinbekommen, war der einzige, der zu Treffen bereit war. Das führte zu Termin mit Kanzleramt, die uns sagten, dass wir uns mit G‑10-Kommission noch nicht mal unterhalten dürften, weil die Maßnahme noch nicht angeordnet war.
Ströbele: Was war inhaltlich das Problem? Eikonal?
Landefeld: War soweit ich weiß das erste Mal, dass der BND an den Knoten wollte. Unser Verständnis war, einzelne Leitungen benennen zu müssen. BND wollte Zugriff auf den Knoten und sagen können: heute die Leitung, morgen die. Einzelne, konkrete Leitungen bezeichnen. Hier wollten man auf einmal an den Knoten und Verkehre von mehreren Anbietern, im Idealfall mit einer einzelnen Maßnahme. Das sahen wir überhaupt nicht als gedeckt an. Im Gesetz standen Leitungen, das betraf das nicht. Wir sagten, das muss man diskutieren. War auch nicht klar, ob wir 100 % ausleiten dürfen, wenn 20 % drinstehen. Hatten Diskussionsbedarf. Genehmigungskommission war G‑10-Kommission, also wollten wir mit denen reden.
Ströbele: BND war bei ihnen, wollte Generalzugriff. Sie sagten: nur einzelne Leitungen. Dann zu Stadler gegangen. Was sagte der?
Landefeld: Er kann nichts machen.
Ströbele: Dann Vorladung Kanzleramt?
Landefeld: Ja.
Ströbele: Was war Ergebnis? Full-Take?
Landefeld: Lange gar nichts. Technische Umsetzungsschwiergkeiten beim Dienst, war für die auch neu. Dann kam ein Anordnung, die einzelne Anbieter betraf, aber bei weitem nicht alle. Trotzdem fraglich, ob alles Sinn macht. Damals 2008 aber viele Bedrohungen, Islamismus. Also G‑10-Anordnung Anfang 2009 umgesetzt. Deutlich geringer, als was 2008 besprochen wurde.
Ströbele: Wollten am Anfang alles?
Landefeld: Ja.
Ströbele: Anordnung dann auf einzelne Leitungen eingeschränkt?
Landefeld: Eingeschränkt. Aber trotzdem nicht nur Auslandsleitungen. Begründung bekommen wir leider nicht als Anbieter.
Ströbele: Ging um Knoten in Frankfurt?
Landefeld: Ausschließlich.
Ströbele: Wollte BND nicht nur konkrete G‑10-Verkehre, sondern umfassenden Zugang zu allem Möglichen, wie Routineverkehre und Metadaten?
Landefeld: Wenn sie auf Leitung sind, kriegen sie kompletten Inhalt. Was damit passiert, wissen wir nicht. Bei Auslandsleitungen sehr viele Routineverkehre.
Ströbele: Alles?
Landefeld: Wenn sie Leitung bekommen, kriegen sie erstmal alles. Filter dann erst beim Dienst. Sage ja: gibt keine klaren Aussagen dazu. Finde es dünn, wenn einschließlich einzelne Juristen beim BND definieren, ob das zulässig ist oder nicht.
Ströbele: Haben Anhaltspunkte aus Akten, dass man G‑10-Anordnung als Türoffner nahm. Also nicht um bestimmte G‑10-Verkehre.
Sensburg: Fundstelle?
Ströbele: Weiß ich nicht. Kann auch G‑10-legende sagen. Raussuchen?
Sensburg: Ja.
Notz: Süddeutsche zu Eikonal: „G‑10 ist Türöffner für die Erfassung internationaler Verkehre“.
Landefeld: Einzelne Leitungen angefragt. Wir waren überrascht, welche Leitungen von Interesse waren. Die Innerdeutschen haben uns am meisten überrascht. Aber auch Ausland. Nicht nur arabischer Raum: auch andere europäischen Länder und Anbieter, die man komplett wollte.
Ströbele: Anordnung bei DE-CIX?
Landefeld: Konkret seit 2009.
Wolff: Kein Untersuchungsgegenstand.
Notz: Verstehe ich nicht. Erläutern. G‑10 nicht unser Gegenstand, wenn sie Routineverkehre erfassen?
Wolff: Five Eyes-Bezug. Wir haben die G‑10-Unterlagen ohne Anerkennung einer Rechtspflicht übermittelt. Ohne Five Eyes kein Untersuchungsgegenstand.
Notz: Massiv abwegig. Türöffner bei Eikonal G‑10-Anordnung, Ringtausch.
Schipanski: Thema für Beratungssitzung, nicht Zeugenvernehmung.
Sensburg: Nach namentlicher Abstimmung.
Frage 2: SPD (14:45)
Flisek: Bin offen für gesetzliche Neuregelungen. Ist aber noch nicht ganz klar, wie TR hilft. Sie vertrauen doch darauf, dass richterliche Anordnung korrekt ist. Bei G‑10-Problematk nunmal G‑10-Kommission, bei allen Problemen.
Landefeld: Natürlich gehen wir davon aus, dass die rechtmäßig sind, sonst hätten wir sie nicht umgesetzt. Muss aber klar feststellen: TR TKÜ wird mit Unternehmen verarbeitet. Dort ist alles in Einzelnen definiert. Im strategischen Bereich nicht, Prozent-Regel, Mischverkehre.
Flisek: Ist das nicht, weil das zwei unterschiedliche Arten von Überwachung sind? Individuell und strategisch, anlasslos?
Landefeld: Stellt sich die Frage, wie strategisch 100 Prozent sind. Damit fängt es aber an. Bei Leitungsvermittlung war das alles ganz klar, 10 Prozent der Verkehre. Jetzt auf einmal ein Konglomerat, gerade bei Knoten. G‑10-Anordnung von Karlsruhe nach Frankfurt hätte ich leitungsvermittelt nicht umgesetzt. Heute muss ich mir das angucken. Die technische Diskussion wurde aber nie geführt. Auslandsbezug, AS. Hatte die Diskussion mit Unternehmen, die von unserer Anordnung betroffen waren, die fragten sich auch, warum die nicht selbst kontaktiert wurden, sondern DE-CIX. Problematik von paketorientiertem Mischverkehr wurde nie erörtert, da haben die Dienste ihre eigene Theorie aufgestellt. Hier ist nichts klar definiert. Ist doch Sache des Gesetzgebers, das klarzustellen und klar zu regeln. Ist in diesem Bereich nicht passiert. Würde vielleicht nicht viel ändern, aber es wäre geregelt.
Flisek: Was wäre denn Vorschläge zur Regelung? Wie man Geist von Leitungsvermittlung auf Paketvermittlung überträgt? Was würden sie ändern?
Landefeld: Definition über Transitverkehre.
Flisek: Problem hinlänglich bekannt.
Landefeld: Sie fragten. Damit fängt es an. Dann Verkehre oder Leitungskapazitäten, Kernfrage, muss geklärt werden.
Flisek: G‑10-Gesetz spricht von 20 % „der angeordneten Übertragungswege“. Wie subsumieren sie das?
Landefeld: Früher war das anders, nur das, worauf Gespräche liefen. 2000 hat man das ja von 10 auf 20 % erweitert, weil man paketvermittelt mehr nehmen muss. Dann muss ich trotzdem Verkehre nehmen, nicht Leitungskapazität. Niemand belastet seine Leitung über 50 % der Kapazität, das ist nicht seriös. Da sind die 20 % komisch. Man könnte auch 100 % nehmen, aber dann müsste man das sagen. Wäre nicht meine Methode, halte ich für verfassungswidrig. Aber könnte man fordern. Dazu kommt, dass sie ganz viele Verkehre sowieso wegwerfen, wie Peer-to-Peer. VoIP, Instant Messaging, Chats und E‑Mails sind weniger als 5 %. Kann man die alle angucken? Kann man 100 % der Telefonverkehre abhören, weil das innerhalb der 20 % ist? Meine Definition ist anders. Gesetzgeber müsste klarstellen, was man will. Im Moment tun das nur die Hausjuristen des BND. Das kann doch nicht sein.
Flisek: Haben deutsche Geheimdienste jemals außerhalb von G‑10-Anordnung auf Leitungen am DE-CIX zugegriffen?
Landefeld: Nein. Habe ich keine Anhaltspunkte. Kann ich nicht ausschließen, aber ist nicht bekannt.
Flisek: Andere AND?
Landefeld: Können wir nicht 100 % ausschließen, aber wir tun alles Menschenmögliche dagegen.
Flisek: Technische Auffälligkeiten, die darauf hinweisen?
Landefeld: Haben viel untersucht, seit Snowden. Haben auch Testsysteme aufgestellt. Ist uns nichts aufgefallen. Nach allen uns zur Verfügung stehenden Methoden konnte nichts gefunden werden.
Flisek: Gespräche mit G‑10-Kommission gescheitert?
Landefeld: Stadler sagte, dass er erst mit G‑10-Anordnung handeln kann.
Flisek: Kann man vermitteln. Nach wie vor Interesse?
Landefeld: Klar. Haben alle kontaktiert, die drin waren. Auch den Zeugen, der gleich folgt. Prozess ist anders, ist nicht Aufgabe der G‑10-Kommission, sich mit den „Beschränkten“ zu unterhalten.
[Unterbrechung für namentliche Abstimmung. Danach kurze Beratungssitzung für circa 30 Minuten. Dann wieder öffentlich weiter. (15:05)]
[Geht weiter. (16:57)]
Frage 3: Linke (16:57)
Renner: Ist G‑10-Filterung möglich. Zeuge sagte: „IP-Ranges zu Ländern zuordnen.“ Welche Trennschärfe, IP-Adresse ist deutsch?
Landefeld: Habe nicht direkt etwas mit DENIC (Deutsches Network Information Center) zu tun. IP-Adressen mit gewisser Qualität möglich, aber nicht 100 Prozent. Funktioniert mehr schlecht als Recht. Was wird einer Organisation zugewiesen. In Europa Réseaux IP Européens (RIPE). IP-Block beantragen, zur Vergabe in ganz Europa zugeteilt. Nicht ganz scharf zu beantworten. Gibt aber Unternehmen, die das tun. Für Shopping-Zuordnung und Shopping. Sind viel genauer, aber auch nicht vollständig. Aber oft nur, wenn Provider das melden. Nicht genau für Provider, die nicht Teilnehmen. IP-Datenbanken nicht immer genau. Fehlergenaugkeit variabel.
Renner: Bei Grundrechtseingriffen gibt es keine Toleranzgrenze.
Landefeld: Bei IP-Adressen immer noch besser als E‑Mail-Adressen.
Renner: 20-Prozent-Regel im G‑10-Gesetz: Wille des Gesetzgebers stimmt nicht ganz mit Auffassung des BND überein. 29. Mai 2005: Bundesnetzagentur an BND: MAT A BNetzA‑5–1a, Blatt 15. Vorschlag: „Aus meiner Sicht wäre ein möglicher Ansatz z. B. die in der Anordnung genannte prozentuale Beschränkung auf der Applikationsebene anzuwenden, indem z. B. die Anzahl der E‑Mail, Webseiten, usw. bei der Nachverarbeitung (SELMA) um die erforderliche Anzahl nach einem Zufallsprinzip durch automatisches Löschen reduziert wird.“
Landefeld: Ja, wäre ein Ansatz, der funktionieren könnte, auf Applikationsebene. Frage ist: was gucke ich mir an, was werfe ich weg. Wenn ich nur Menge (Leitungskapazität) betrachte, sagt das noch nichts über Verbindungsqualität. Hoher Teil von Kommunikation in kleinem Teil der Datenmenge. Erst auf Applikationsebene gucken, wäre gut. Genau diese technische Lösungen suche ich.
Renner: Wenn NSA Seekabel TAT-14 erfassen will, wo würde man das in Frankfurt erfassen?
Landefeld: Kommt in Frankfurt nicht vorbei. Aber in USA, würde ich da nehmen, wäre als NSA am einfachsten. Wenn Deutschland, dann Norden.
Renner: Von Norden keine Verkehre nach Frankfurt?
Landefeld: Doch. Aber Kabel geht von Norden nach Hamburg weiter. Bin aber nicht Betreiber.
Renner: Gab bei Eikonal Überlegung, an TAT-14 zu gehen. Kabelabgriff jenseits von Telekom und DE-CIX in Frankfurt?
Landefeld: In Frankfurt gibt’s einige. Frankfurt ist der Kommunikationsknoten, weil dort die Glasfaser-Ringe zusammenkommen. Frankfurt hat sich früh als einer der zentralen Kapazitätsgrößen etabliert. Also wurden Westringe (Belgien, Frankreich), Nordringe (Skandinavien), Süden, Osten gehen alle bis Frankfurt. Einer der Hauptschaltpunkte. Einige große Verschaltzentralen in Frankfurt. Hat aber erstmal wenig mit Internet-Überwachung zu tun.
Frage 3: Union (17:07)
Schipanski: G‑10-Filter ist grundsätzlich technisch möglich?
Landefeld: Wenn 99,5 oder 99,9% richtig sind. 100 % werden sie nicht schaffen. Absolut geht das nicht.
Schipanski: Technisch. Würden sie festhalten, dass G‑10-Filterung technisch möglich ist?
Landefeld: Können einen bestimmten Prozentsatz-Bereichen. Frage, was als ausreichend gilt. Renner sagt, eine ist zu viel.
Schipanski: Also technisch geht. Funktionierten BND-Filter?
Landefeld: War nicht anwesend.
Frage 3: Grüne (17:09)
Notz: Ablauf G‑10-Anordnung. Vorgespräch, Telefonische Anmeldung, Ausweise zeigen, Besprechung, Informationen von ihnen rausfinden, mit G‑10-Anordnung wiederkommen und Zugriff wollen. Wie dann weiter? Abstrakt, nicht konkret. Was müssen sie machen? Was BND? Welche Technik?
Landefeld: Ist nicht alles gleich. Verschiedene Technik, verschiedene Umsetzung. Weiß nicht, ob das öffentlich sauber zitiert werden kann.
Notz: In Snowden-Dokumente und Eikonal gibt es einen Erfassungspunkt oder zwei. Ist Technik dort vom BND? Wo geht das hin?
Landefeld: Grundsätzlich gibt es Kooperation mit Anbieter, dann ganz normale Leitung hin, am Switch anschalten, Anbieter gibt ihnen vollständige Kopie der Verkehrs. Läuft dann beim Dienst. Oder Biegekoppler und Verstärker an Glasfaser, das ist komplizierter, man weiß ja auch nicht genau, was drauf ist.
Notz: Biegekoppler?
Landefeld: Ja.
Notz: Gleich T‑Stück?
Landefeld: Nicht ganz. Wenn Veränderung des Dämpfungswerts nicht relevant: dann Splitter. Einfach und kommerziell. Biegekoppler ist die Auswertetechnik, wenn Faser nicht geschnitten werden darf. Jeder Schnitt sofort nachmessbar.
Notz: Arbeiten Geheimdienste mit nicht erkennbaren Biegekopplern?
Landefeld: Ist meistens nicht notwendig. Mit Kooperation werden ganze Leitungen ausgeleitet.
Notz: Praktisch: In eins ihrer 18 Zentren in Frankfurt, ans Rack, da hängen Switches und Ports, geht konkret physisch dran. Dann Ausleitung. Wie kommt Datensignal von Erfassungspunkt zum Verarbeitungspunkt/Filter?
Landefeld: Wenn sie die gesamte Leitung ausleiten wollen, müssen sie ihre Leitung in das Rechenzentrum führen, wo das stattfindet. Wenn sie eine Kopie vom Betreiber (also uns) bekommen, ist Ort egal. Vorteil und Nachteil.
Notz: Beides wurde gemacht?
Landefeld: Habe ich schon gesehen, ja.
Notz: Glasfaserringe. Frankfurt ist wichtiger Verschaltungsort. Noch andere Knoten in Deutschland?
Landefeld: Ja.
Notz: Wenn ich E‑Mail verschicke, in wie viele Pakete wird die zerlegt?
Landefeld: Kommt auf E‑Mail an.
Notz: Normale E‑Mail, halbe Seite?
Landefeld: Eins bis zwei.
Notz: Laufen die auf selber Faser oder andere?
Landefeld: Wäre unüblich, die laufen ja im Abstand von Millisekunden lang. Theoretisch ja, praktisch ganz selten.
Notz: Ist im Header erkennbar, dass das eine Paket mit dem anderen verwandt ist?
Landefeld: Mail ist TCP, ist Session. Also ja.
Notz: Wenn ich ein Paket abgefangen habe und ich suche den zweiten Teil, kann ich aus dem ersten Paket ableiten, wo ich das zweite finde?
Landefeld: Ja.
Notz: „Collect-it-All“ Ansatz der Five Eyes. Muss man große Pools mit allem finden.
Landefeld: Weniger für einzelne Nachrichten, sondern gesamte Kommunikation. Wie Besuche von Webseiten. Das kann sehr wohl über unterschiedliche Leitungen gehen. Andere Protokolle anders.
Frage 3: SPD (17:21)
Flisek: Haben immer Zahlen. Viele Millionen Metadaten. Wie viele Metadaten laufen über DE-CIX täglich?
Landefeld: Metadaten umfasst ja alle Kommunikationsvorgänge. Auch technisch erforderlich, wie Nameserver-Abfragen. Hunderte pro einzelner Kommunikation. Milliarden Kommunikationsvorgänge am DE-CIX pro Tag. Vieles davon technisch. Im Moment keine exakte Zahl. Mein Systems Engineering könnte das herausfinden.
Flisek: Milliarden pro Tag?
Landefeld: Ja, Kommunikationsvorgänge. Jeder davon produziert einen Satz an Metadaten.
Flisek: Wie viele davon von G‑10-Anordnung erfasst?
Landefeld: Von Kommunikationsvorgängen nicht. Höchstens Leitungskapazitäten. Nicht alles, was angeordnet wird, wird von Diensten auch angefragt. 20 werden angeordnet, aber werden nicht immer alle zu jeder Zeit genutzt. Schwierig zu sagen, wie viele Prozent. Theorie ist anders als Praxis.
Flisek: Was wäre Spitzensatz in Praxis?
Landefeld: Im Verhältnis zu verkaufter Kapazität auf Ports: zwei Prozent des Knotens, die theoretisch erfasst werden dürfen. Angeordnete Ports zu verkaufter Kapazität.
Flisek: Thema Cyber-Angriffe, siehe aktuelle Neuregelung G‑10-Gesetz. Wäre ja Honeypot, oder?
Landefeld: Frage ist, was Dienst erlangt.
Flisek: Gab es verstärkt Angriffe, Überlastungs-Attacken?
Landefeld: DDoS nimmt zu. Aber Austauschknoten ist aber ein schlechter Punkt, einen Angriff zu fahren, haben viel Kapazität. Mehrere Internet Service Provider haben gerade neue Arbeitsgruppe gebildet.
Flisek: Welche Maßnahmen werden ergriffen?
Landefeld: Momentan noch Definitionsfrage, siehe IT-Sicherheitsgesetz. Haben eigene Maßnahmen. Detektion, Abschalten von Ports. Engpass ist typischerweise der Server, nicht wir, wir leiten Daten nur weiter. Muss ja ein Ziel geben. Sind mit DDoS ganz schlecht angreifbar. Trotzdem Maßnahmen, insbesondere gegen Angriffe von Management System. Haben Intrusion Detection Systeme. Alles, was man technisch kennt, alles was geht.
Flisek: Ausmaß der Wirtschaftsspionage?
Landefeld: Bin da als Consultant tätig. Aber könnte ich nicht disclosen, habe ich mit meinen Kunden nicht beredet.
Flisek: Abstrakt. Gefährdungslage?
Landefeld: Halte ich nicht für Untersuchungsgegenstand. Angriffe aus Netz sind massiv. Unterschied gezielte Angriffe und blinde Versuche. Jedes System steht unter permanenten Angriff. Jeden Tag hunderte auf einfachen Shop. Sind aber nicht ernst zu nehmen. Suche nach bekannten Exploits. Wird regelmäßig versucht, Shopsysteme aufzumachen, gelingt auch hin und wieder mit neuen Lücken. Spannend ist, dass mittlerweile viele gezielte bzw. zugeschnittene Angriffe stattfinden. Szenarien bauen, um Mitarbeiter gezielt anzugreifen. Spear-Phishing. Kann man buchen, in Russland und China, für paar tausend Euro. Gerne auch Systemadministratoren im Ziel.
Flisek: Bekannt, ob sowas gezielt auch von staatlichen Stellen ausgehen?
Landefeld: So gut wie nie auf konkrete Akteure zurückzuführen. Ist nicht nachgewiesen, konnten wir nie.
Flisek: Üblicher Instrumentenkasten von Geheimdiensten oder anderen staatlichen Stellen?
Landefeld: Davon ist auszugehen. Alles, was private Einzelpersonen und Hackergruppen machen, nutzen auch staatliche Stellen aus. Wäre unsinnig, das nicht auch zu tun.
Flisek: Wie bewerten sie Kaufbarkeit von Attacken? Gibt auch internationalen Markt für Exploits? Wie funktioniert das?
Landefeld: Wenn sie heute einen Exploit finden, können sie sich aussuchen, ob sie’s melden oder verkaufen. In USA überlegen, ob melden, im Zweifel von Unternehmen verklagt. Es gibt Börsen, wo sie Zero-Day-Exploits kaufen können. Je nach Komplexität variiert Preis, von paar hundert bis hunderttausend Euro.
Flisek: Anonym?
Landefeld: Anonym, aber sehr organisiert. Leider eine Art Branche, das Leute als Job betrachten.
Flisek: Sie kritisierten, dass BND bei ihnen vor G‑10-Anordnung Informationen abgreifen wollte. Richtig?
Landefeld: War nicht Kritik, sondern Frage, wie das abläuft.
[Wieder Unterbrechung für namentliche Abstimmung. (17:38)]
[Geht weiter. (18:01)]
Landefeld: War Ausforschen. Die mussten rausbekommen, wie das funktioniert, welche Carrier da sind, welche Technologien eingesetzt werden. Weiterbildung. Nicht ungewöhnlich. Wir waren aber gleich der Meinung, dass der BND sich an die Betreiber der jeweiligen Leitungen wenden soll. Das war von Anfang an Streitpunkt. Wir wissen nicht immer, was über die Leitung von Anbietern geht.
Frage 4: Grüne (18:03)
Notz: Hat der BND auch mal ohne G‑10-Anordnung Kabel am Knoten erfassen zu wollen?
Landefeld: Nein. Habe auch nichts gegenteiliges gehört.
Notz: Warum haben AND so ein fulminantes Interesse, ausgerechnet in Frankfurt zugreifen zu wollen?
Landefeld: Physikalisch kommen die verschiedenen Ringe zusammen. Abstrakte Netzlogik des Internets auf physikalischer Struktur. Kann man dort besonders gut bekommen. Besonders viele Verkehre aus Ostblockländern nach Westen, aber auch arabischer Raum, Österreich und Schweiz. Einige Verkehre gehen typischerweise über Frankfurt.
Notz: Gibt es Transitverkehre in Düsseldorf? Oder nur Frankfurt?
Landefeld: Düsseldorf auch ein Knoten, aber relativ klein. Historisch war das Düsseldorf und Hamburg. Frankfurt erst für neuer Netze ab 1993/1994. Düsseldorf und Hamburg an Bedeutung verloren. Früher war dort Ausleitung.
[Noch zehn Leute auf der Tribüne.]
Notz: Gerücht, dass Geheimdienstler direkt bei TK-Anbietern arbeiten. Haben sie Erkenntnisse? Sicherheitsvorkehrungen dagegen?
Landefeld: Kenne die Fälle aus USA. In Deutschland noch nicht beobachtet oder bestätigt. Theoretisch denkbar. Vier-Augen-Prinzip gegen so etwas. Wir haben so etwas, viele Carrier auch. Aber nicht alle Schaltvorgänge können immer von zwei Leuten gemacht werden. Zentrale Vermittlungselemente schon.
Notz: Haben sie Sicherheitsmechanismen gegen Leute, die unter Legende anrücken? Stichwort Fraud?
Landefeld: Lieber Gott. Wir haben ein Schutzkonzept, wird geprüft. Habe Fälle kennengelernt, wo bei Geschäftskunden Leute aufgetaucht sind und behauptet haben, sie wären von einem TK-Anbieter. Das gibt es, das hatte ich auch bei Kunden. Ist schwierig in einer Welt mit sehr vielen Subunternehmen. Überprüfung sehr schwierig. Ging teilweise so weit, dass man Leitungswege unterbrochen hat, um Störung zu produzieren. Dann tauchte jemand auf, der das reparierte und dabei auch Router gegen kompromittierte ausgetauscht hat. Konkreter Fall war Wirtschaftsspionage gegen Maschinenbauunternehmen.
Notz: Wenn ein Geheimdienst da ran geht, würde sich ein Diensteanbieter strafbar machen?
Landefeld: Ja, wäre strafbar. Wir haben klare Verträge. Zugang zu Infrastruktur wäre klarer Verstoß ohne Anordnung. Vertraglich ausgeschlossen. Trotzdem auch Zweitschlüssel für Feuerwehr und so. Dafür aber Systeme zur Meldung von Schranköffnungen. Normale Sicherheitsvorkehrungen.
Notz: Konkret: US-Kunde in Frankfurt. Ohne Kenntnis der deutschen Abteilung bauen die ein Fraud-Erkennungs-System ein. Vorwand. In Wahrheit Dopplung der Ströme. Wäre das vertraglich relevant?
Landefeld: Bei uns kommt kein Kunde ohne Voranmeldung an sein Gerät. Wird angemeldet. Kann nicht einfach auftauchen.
Notz: James-Bond-Style-Imitierung. Was würde passieren?
Landefeld: Selbst wenn das passiert, wäre nur der Verkehr des einen Kunden betroffen. Kann nicht ausschließen, dass das nicht bei einem einzelnen passiert. Ist denkbar. Aber nicht systematisch und nicht für die größeren Carrier.
Notz: Vertraglich irrelevant?
Landefeld: Müssen gucken, was ist unser Netz und wo fängt Netz des einzelnen Carriers an. Streng genommen könnten wir sowas nach unseren Regeln ausschließen, Sonderkündigung. Aber noch nicht vorgekommen.
Notz: Verarbeitung von Abrechnungs- und Verkehrsdaten im Mobilfunk passiert von praktisch allen TK-Anbietern in Deutschland über einen Anbieter, in den USA. Wie schätzen sie das ein, das Risiko für Metadaten? Safe Harbor? Erhebliche Prozentzahl von Metadaten automatisiert in die USA weiterleiten?
Landefeld: Nur die Metadaten, die für USA relevant sind, oder?
Notz: Ist das so?
Landefeld: Da stecke ich nicht im Detail drin.
Notz: Wer war bei Treffen in Bundeskanzleramt 2008 dabei? Was wurde besprochen?
Wolff: NÖ.
Sensburg: Anderes Jahr?
Landefeld: Januar 2009.
Notz: Was war am 14. August 2008?
Landefeld: Erstes Treffen mit BND in unseren Geschäftsräumen.
Notz: Wann war Treffen im Bundeskanzleramt?
Landefeld: 27. Februar 2009.
Ströbele: Und der zweite Termin im Kanzleramt?
Landefeld: 09. August 2013.
Ströbele: 07. Juni Erste Meldung von Snowden. Und Minister Rösler und Schnarrenberger?
Landefeld: 14. Juni 2013. Was man den USA vorgeworfen hat, so ähnlich auch in Deutschland.
Ströbele: Kanzleramt dabei?
Landefeld: Nicht dass ich wüsste.
Ströbele: Justizministerin?
Landefeld: Und Wirtschaftsminister. Keine geheime Sitzung. 30–40 Leute.
Ströbele: Kein Geheimnis, dass AND mit AND ganze Verkehre tauschen. Was wissen sie davon?
Landefeld: Nicht erst nach Snowden. In Techniker-Kreisen wurde da öfter mal drüber gesprochen. Hat mich nicht überrascht.
Ströbele: Haben sie das bei dem Gespräch auch erwähnt?
Landefeld: Bei welchem?
Ströbele: Justizministerin?
Landefeld: Nein. War damals noch PRISM, noch kein Tempora. G‑10-Inhalte hat man da schnell ausgeklammert.
Ströbele: Wann nach Snowden das erste Mal mit Bundesregierung gesprochen?
Landefeld: Regierung?
Ströbele: Kanzleramt.
Landefeld: Ungefähr erste Juli-Woche mit Fritsche telefoniert, wie man sich zu verhalten hat, wie wir damit umgehen sollen. Was man sagen darf, was nicht. 16. Juli und 24. Juli Gespräche bei Bundesnetzagentur mit allen möglichen Bedarfsträgern und Generalbundesanwalt.
Ströbele: Wurde dabei besprochen, was mit abgegriffenen Daten geschehen ist?
Landefeld: War Thema, aber nicht im Detail. Am 24. Juli wollten einige Bedarfsträger wissen, warum sie den Zugriff nicht auch haben und warum nicht für innerdeutsche Verkehre. Bedarf war da schnell.
Ströbele: Wurde in einem der Gespräche mal gesagt, dass Snowden-Enthüllungen bekannt waren?
Landefeld: Snowden wurde nie angezweifelt. Dass man überhaupt über Frankfurt redet, erst seit letztem Jahr. 2013 war da noch eher der Deckel drauf.
Ströbele: Regierung hat Bundestag und Medien immer gesagt, dass sie von nichts wusste.
Landefeld: Habe nichts gehört.
Ströbele: Zwei Treffen mit Bundeskanzleramt?
Landefeld: Einmal August, ja. Zweimal Juli war Bundesnetzagentur. 16. Juli war: Was passiert da, wie sieht das aus? 24. Juli war größere Runde, TK-Überwachung. Mit Leuten, die normalerweise nicht eingeladen werden.
Ströbele: August?
Landefeld: Fragebogen Bundesnetzagentur: „Frage 3: Leiten sie Daten an AND? Frage 4: Dürfen sie Frage 3 ehrlich beantworten?“ Bundesnetzagentur hatte Anruf aus Bundeskanzleramt, dass diese Fragen nicht ehrlich zu beantworten sind.
Ströbele: Kanzleramt hat angerufen, dass sie das nicht beantworten dürfen?
Landefeld: Kanzleramt hat Bundesnetzagentur, Frau Dr. Iris Henseler-Unger angerufen, dass Unternehmen die Fragen nicht beantworten sollen.
Ströbele: Hatten sie Kontakt zu Bundeskanzleramt?
Landefeld: Ja, habe Tag vorher Klaus-Dieter Fritsche angerufen, wie ich die Fragen beantworten soll.
Ströbele: Ihnen wurde gesagt, dass sie nichts sagen dürfen?
Landefeld: Mir wurde gesagt, dass die Fragen nicht hätten gestellt werden würden und dass wir sie nicht beantworten sollen.
Notz: Frau?
Landefeld: Henseler-Unger.
Notz: War ihre Reaktion eine Antwort auf ihren Anruf im Bundeskanzleramt?
Landefeld: Spekulation. Könnte sein.
Notz: Bundeskanzleramt sagte, sie dürfen nicht antworten?
Landefeld: Ja.
Sensburg: Welche Fragen?
Landefeld: Fragebogen ging an mehrere TK-Unternehmen. Nach § 115 TKG darf Bundesnetzagentur das. Kooperieren sie mit Diensten, leiten sie aus, deutsche Dienste, AND?
Ströbele: Wurde da etwas schriftlich niedergelegt?
Landefeld: Dokumente und Vorlagen garantiert. Ich habe keine Akten über meine Telefonat. Waren mehrere Unternehmen anwesend. Bundesnetzagentur wird wohl Unterlagen haben. Vizepräsidentin der Bundesnetzagentur wird das wohl dokumentiert haben.
Ströbele: Warum sollten sie nicht beantworten?
Landefeld: Ging um Geheimschutz. Bundesnetzagentur durfte das die Unternehmen nicht fragen.
Ströbele: Wurde gesagt, dass das nicht stimmt?
Landefeld: Wurde gerade nicht erörtert.
Ströbele: Brauchen sie eine Legitimation für Ausleitung von reinen Routineverkehren? G‑10-Anordnung? Freigabe? Durch Kanzleramt?
Landefeld: Von uns hätten sie es nicht bekommen ohne. Ein Endpunkt immer in Deutschland. Auf jeder Leitung ist gewisser Anteil an G‑10-relevantem Verkehr. Von uns Kooperation ohne G‑10-Anordnung undenkbar.
Ströbele: Routineverkehr von Amsterdam nach Warschau: G‑10-Anordnung erforderlich?
Landefeld: Ist ja eben keine Leitung von X nach Y. Ist ja immer von X nach Frankfurt. Über jede einzelne Leitung kann Verkehr von Deutschland laufen. Der überwiegende Teil der Anbieter schließt sich in Deutschland zusammen, weil sie Daten von oder nach Deutschland wollen. Leitung von Amsterdam geht nach Frankfurt, andere Leitung geht von Amsterdam nach Moskau.
Ströbele: Leitung von Amsterdam/Rotterdam nach Tschechien?
Landefeld: Anderer Vorgang. Leitungen durch Frankfurt, die nicht durch DE-CIX gehen. Klassische TK-Unternehmen. Bedarfsträger müssten mit denen reden. Am Knoten kommen Leitungen zum Knoten. Auf jeder einzelnen Leitung kann G‑10-Verkehr sein.
Frage 5: Union (18:42)
Sensburg: Bei dem Treffen in der Bundesnetzagentur durften sie über bestimmte Punkte nicht sprechen?
Landefeld: Ja, Punkte 17 bis 19.
Sensburg: Ungewöhnlich?
Landefeld: Ungewöhnlich, dass das überhaupt passiert. Umfangreicher Fragebogen am Vorabend der Anhörung.
Sensburg: § 17 G‑10-Gesetz Mitteilungsverbot?
Landefeld: Kann sein. Kernfrage war: Durften Fragen gestellt werden? Bundesnetzagentur ist Aufsichtsbehörde. Carrier müssen Schutzkonzepte dort hinterlegen, Abteilung 19 Bundesnetzagentur überprüft das. Ist normal, dass die die Fragen stellen. Dass das unter den Schutz fällt, ist andere Frage.
Sensburg: Mitteilungsverbot aus Gesetz ist nicht Problem, sondern Rückziehung der Fragestellung?
Landefeld: Kein Problem. Hab nur berichtet, wie das abgelaufen ist. Wurde nicht explizit auf Mitteilungsverbot eingegangen. Raum betreten, Ansage: über 17 bis 19 wird nicht geredet.
Sensburg: Vorgehen komisch.
Landefeld: Komisch, dass das so kurzfristig war, Abend davor. Keine Zeit, sich damit zu beschäftigen.
Sensburg: Hinterher besser, dass man nicht drüber geredet hat? Oder so?
Landefeld: Ob Behörde geheime Informationen bekommen darf, kann ich nicht beurteilen. Auch in Bundesnetzagentur arbeiten Leute mit Diensten zusammen. Nicht ungewöhnlich, dass man die Fragen gestellt hat. Die anderen waren ungeschickt gestellt.
Frage 5: Grüne (18:47)
Wolff: Telefonat mit Fritsche erscheint mir zweifelhaft. Kann es sein, dass das nicht stimmt?
Landefeld: Könnte auch sein, dass das Herr Günter Heiß war.
Notz: Aber Bundeskanzleramt?
Landefeld: Ja.
Notz: War ein interessantes Datum. Wir zeigen ihnen den Fragebogen. Nicht eingestuft. Welche Fragen nicht sagen? Aktennummer für’s Protokoll?
Landefeld: MAT A BNetzA‑1–2_1, Blatt 46. Das, was mir vorgehalten wird, ist der gleiche Fragebogen.
Notz: Welche Fragen nicht stellen/beantworten?
Landefeld: Auf jeden Fall Frage 15: „Betreibt ihr Unternehmen Überwachungseinrichtungen nach den § 26–29 TKÜV zur Umsetzung sogenannter strategischer Beschränkungen nach § 5 und § 8 G‑10-Gesetz?“
Notz: Und noch?
Landefeld: Frage 16: „Wenn derartige Anlagen betrieben werden, werden hierfür auch die Regelungen zur Protokollierung der Nutzungen dieser Einrichtungen sowie die Kontrolle dieser Protokollierungen eingehalten?“
Notz: Wenn sie das wahrheitsgemäß beantwortet hätten, wäre die damalige These der Bundesregierung, dass man von NSA-Praxis keine Ahnung hat, ins Wanken gekommen wäre?
Landefeld: Glaube ich nicht. Sind ja Maßnahmen, über die sie selbst Bescheid wissen. Rein spekulativ. Vielleicht hätten ja einige Unternehmen doch etwas beantwortet.
Notz: Was haben sie davon gedacht, dass Deutschland überrascht war von NSA?
Landefeld: Nachdem ich gesehen habe, wie wenig Kenntnisse in den Ministerien waren, was in Deutschland passiert, fand ich das nicht überraschend. In Geheimdienstkreisen aber nichts Neues.
Notz: Und Bundeskanzleramt. Aussagen von denen über Snowden unglaubwürdig, Kurz vor Wahl 2013?
Landefeld: Nicht besonders wahrscheinlich, dass Bundesregierung das nicht wusste.
Notz: Vorgang 2008/2009. 14. August 2008 erstes Treffen mit BND: konkreter Gegenstand des Treffens, der zu ihrem Widerstand geführt hat, wozu Kanzleramt intervenierte?
Wolff: Konkret nur NÖ.
Notz: Abstrakt. Gab vorher G‑10-Anordnung und Kontakt?
Landefeld: Vorher nicht, gar keinen, null, nada. Auch mit keinem der anderen Dienste.
Notz: Vor 14. August 2008 keine einzige G‑10-Anordnung?
Landefeld: Nein. Auch da noch nicht, die kam erst später.
Notz: Wann?
Landefeld: 2009.
Notz: Nach Besuch in Bundeskanzleramt?
Landefeld: Definitiv.
Notz: Hatte Kanzleramt Dinge rechtlich oder hierarchie-mäßig dargelegt?
Landefeld: Hervorragende Frage. Sowohl als auch. Mit Autorität gesagt, dass das alles seine Richtigkeit hat.
Notz: Details NÖ.
Formalitäten: Vorsitzender (18;56)
Beschlussvorschlag: Öffentlichkeit ausschließen. Beschlossen.
Jetzt Zeuge Hans de With. Auch schnell. (*Gelächter*)
Zeuge 2: Hans de With, ehemaliger Vorsitzender der G‑10-Kommission (19:00)
Kein Rechtsbeistand.
Hans de With. Jetzt Rechtsanwalt. [Fuselstraße?] 26b, Bamberg. 82 Jahre alt.
Eingangsstatement: $Danke. War Mitte 1999 bis Januar 2014 Vorsitzender der G‑10-Kommission. Sie kennen die Bestimmungen des G‑10-Gesetzes.
Aufgaben G‑10-Kommission: Vollzug bei Individualmaßnahmen. Prüfen, ob tatsächliche Anhaltspunkte für Verdacht bestehen. Strategische Kontrolle, Rasterfahndung, Verdachtslos. aber nicht voraussetzungslos. Voraussetzungen sind nachzulesen. Gefahr für Leben und Leib im Ausland (Entführungen) besonderen Bestimmungen. Vierte Möglichkeit der Kontrolle gibt es nicht, beim offenen Himmel. Beschränkungsmaßnahmen des BND im Ausland. Ausland, Ausland.
Mir ist weder bekannt, wie hoch der Prozentsatz dieser Maßnahmen ist. Berichte, wonach Maßnahmen nach offenem Himmel größer als die anderen Maßnahmen zusammen sind. Kenne auch Folgen der Überprüfungen im BND, Bundesinnenministerium und Bundeskanzleramt nicht. Hier gibt es keine unabhängige Instanz, die das prüfen würde. Bereits mehrfach kritisiert. Aufsatz Dr. Bertold Huber: „Die Strategische Rasterfahndung des Bundesnachrichtendiestes – Eingriffsbefugnisse und Regelungsdefizite“ (Neue Juristische Wochenschrift, 2013, Heft 35, Seiten 2576 folgende). Schließe mich ihm im Kern seien Forderungen und Formulierungen an.
Reichweite Artikel 10 Grundgesetz (Brief‑, Post- und Fernmeldegeheimnis): nur Deutsche oder alle? Bin für alle, nicht nur Deutsche. Reichweite kann nicht auf Deutschland beschränkt sein. Regelung erforderlich. Wie sie aussieht, kann keiner sagen. Sorgfältig austarieren. Deutsche Interessen im Ausland schützen. Aber auch Pejorativen des Grundgesetz beachten.
§ 1 BND-Gesetz keine Grundlage für Beschränkung des offenen Himmels. Nicht wie Artikel 19 Grundgesetz gebietet, auf Art 10 Grundgesetz verwiesen. Politisch notwendig, das zu regeln. Man könnte uns vorwerfen, auch Rasterfahndung zu betreiben.
Süddeutsche Mitte 2014: Codewort Eikonal – der Albtraum der Bundesregierung. Kann nicht bestätigen, dass das richtig ist. Habe erst durch den Artikel erfahren. War aber klar, dass die Deutschen in Frankfurt sind.
Das ist das, was ich formulieren darf.
Frage 1: Union (19:09)
Warken: Viel Erfahrung bei Kontrolle von Nachrichtendiensten. Im August 2013 sagten sie der taz: „Wir haben nicht die geringsten Anhaltspunkte, dass wir in irgendeiner Weise ausgetrickst werden.“ Und „Mir ist kein Fall von Anlügen bekannt.“ Würden sie das heute nochmal so sagen?
With: Ich bleibe dabei. Nach meinem derzeitigen Kenntnisstand. Wir haben von Fall zu Fall zu entscheiden, ob Bezug der Beschränkungsmaßnahme gerechtfertigt ist. Nie Tricksereien oder unredliche Hinweise. Bin der Auffassung, dass alles korrekt und richtig war. Haben immer intensiv nachgefragt.
Warken: Art und Weise der Geheimdienst-Kontrolle durch G‑10-Kommission?
With: Uns vorgelegte Akten prüfen. Dann Klappe an Vorsitzenden mit einzelnen Maßnahmen. In der Sitzung bekommt jeder einen Abdruck der Akten. Dann kommt es zur Prüfung. Widersprüche oder nicht. Neuanträge dauern länger, Verlängerungen schneller.
Warken: Regelungslücke in Eingangsstatement angesprochen. Wo Kontrolllücke konkret?
With: Aufsatz von Huber. Nicht Kontrolllücke in dem Sinne. Frage bei strategischer Kontrolle: nach G‑10-Gesetz darf nicht nach deutschen Telefonnummern gesucht werden, nur nach ausländischen. Nicht Schutz aller gleichermaßen? Zweitens: Mitteilungsdefizite, wenn nach § 5 G‑10-Gesetz (strategische Kontrolle) auch deutsche Nummer im Inland kommt: Mitteilung ja oder nein? Soweit ich das sehe, ist das nicht der Fall. Mitteilungspflicht muss geklärt werden. § 12 G‑10-Gesetz: „Beschränkungsmaßnahmen nach § 3 sind dem Betroffenen nach ihrer Einstellung mitzuteilen.“ Wer sind die Betroffenen? Nach § 100a StPo wird von Beteiligten gesprochen. Besser.
Warken: BfDI Schaar sprach auch von Kontrolllücke. G‑10-Kommission und BfDI. Maßnahmen aus Geheimdienst-Überwachung, weitere Personenbezogene Daten: Weder durch G‑10-Kommission, noch BfDI kontrollierbar. Sehen sie das auch so?
With: Frage nochmal?
Warken: BfDI kontrolliert personenbezogene Daten. Personenbezogene Daten, die aus Maßnahmen entstehen, die aus Erkenntnissen aus Geheimdienst-Überwachung von TK entstehen, sind weder von ihm noch G‑10-Kommission zu kontrollieren.
With: Wenn außerhalb der Kontrolle, sind wir damit nicht befasst.
Warken: Schaar auch nicht?
With: Sehr wahrscheinlich nicht. Außer, er erfährt es von Dritten. Frage, wie Verstöße aus Artikel 10 zusammenkommen? Bundesdatenschutzgesetz ja, G‑10-Gesetz vielleicht nicht. G‑10-Gesetz sollte nochmal neu formuliert werden, weil es für Juristen sehr schwer verständlich ist. Müsste auch geklärt werden, wie Weitergabe von personenbezogenen Daten kontrolliert wird. § 7a Abs. 5 G‑10-Gesetz: „Das zuständige Bundesministerium unterrichtet monatlich die G10-Kommission über Übermittlungen nach Absatz 1 und 2.“ Kann Übermittlung erfolgen von Daten, die nicht personenbezogen, aber trotzdem interessant sind. Sollte überarbeitet werden.
Warken: Sowas in ihrer Amtszeit in G‑10-Kommission diskutiert?
With: Ich habe das während meiner Amtszeit thematisiert.
Warken: Wie? Nach außen, nach innen? Meinungen?
With: Diskussionen innerhalb der G‑10-Kommission sind unter Schweigegebot, an das ich mich halten muss. Das sagte ich auch Vorsitzenden in einem Brief. Beratungen sind geheim. Wäre dankbar, wenn Öffentlichkeit ausgeschlossen würde.
Warken: Später eingestufter Teil. Daten aus § 3 G‑10-Gesetz (Beschränkungen in Einzelfällen) weitergeben, G‑10-Kommission nicht informieren. Keine Vorschrift nach § 7 Abs. 5 G‑10-Gesetz. Bundesregierung meint, dass § 7 Abs. 5 G‑10-Gesetz für § 5 G‑10-Gesetz (Strategische Beschränkungen) und § 8 G‑10-Gesetz (Gefahr für Leib oder Leben einer Person im Ausland) ist, § 3 G‑10-Gesetz von vorhinein anders. Wie bewerten sie das?
With: Stimme ich nicht zu. Muss überprüft werden. Bei Gesamtrevision des G‑10-Gesetz. Kann auch sagen, dass das genauso geregelt werden muss.
Warken: Wann Kenntnis von Eikonal?
With: Nicht aus meiner Tätigkeit bekannt. Erst aus Süddeutsche erfahren.
Warken: Hätten sie unterrichtet werden müssen?
With: Ja. Wobei ich nicht weiß, ob das unter „offener Himmel“ oder strategische Kontrolle nach G‑10-Gesetz fällt. Ich bin der Meinung, auch offener Himmel ist interessant für uns.
Warken: Hatten sie Kontrollbesuche in Bad Aibling?
With: Nein. Erst Frühjahr 2014.
Warken: Näheres?
With: Nein, war nicht dabei.
Warken: Rechtliche Bedenken zu Eikonal. Nicht bekannt gewesen?
With: Nein. Im Januar 2014 ausgestiegen. Debatte begann danach.
Warken: Datenfiltersystem (DAFIS), Test zu 95 % Filter-Erfolg. Rechtliche Konsequenz?
With: Wenn das zutrifft, hätte das G‑10-Kommission mitgeteilt werden müssen.
Warken: Konsequenz?
With: Nach Frankfurt fahren, angucken, und feststellen offener Himmel oder strategische Beschränkung nach G‑10? Bei G‑10 hätten wir Alarm geschlagen. Weiteres zu regelndes Manko: G‑10-Kommission und G‑10-Gremium. G‑10-Kommission handelt absolut geheim, wie Gericht. Berichte gehen an Gremium, Vorsitzender unterschreibt das, damit das Drucksache wird. Es wäre besser, wenn der Vorsitzende der G‑10-Kommission das dem G‑10-Gremium vorträgt, damit es eine politische Debatte gibt. Für Mitglieder der G‑10-Kommission noch nicht mal möglich, mit Fraktionsvorsitzenden zu reden. Kein Gremium des Bundestages, sondern Gericht sui generis. Kein richtiges und ordentliches Verfahren.
Warken: Rechtliche Fragestellungen hätten sie ansprechen können?
With: Sprechen nicht alles an. Habe das nicht schriftlich von mir gegeben, aber mehrfach auf Generalrevision des G‑10-Gesetz hingewiesen.
Warken: DAFIS. Kennen sie Vorgängerprodukt SELMA?
With: Nein. Verletzung von G‑10 soll es nicht geben.
Warken: Filter an sich schon vorgestellt?
With: Nein. Was in Artikel steht, habe ich erst durch Artikel erfahren.
Lindholz: Auch Süddeutsche: Codewort Eikonal – der Albtraum der Bundesregierung. G‑10-Anordnung nur erfolgt, um an Transitverkehre zu kommen: „Um an die Transitverkehre zu kommen, sollte eine ziemlich kreative und selbst nach Auffassung mancher BND-Experten unzulässige Auslegung des G‑10-Gesetzes helfen: ‚G‑10 ist Türöffner für die Erfassung internationaler Verkehre’, notierte ein BND-Beamter, und genau gegen diesen Vorgehen protestierte prompt ein Unterabteilungsleiter. Das sei rechtswidrig, auch Transitverkehre dürften – jedenfalls wenn sie mithilfe einer G‑10-Genehmigung abgefangen würden – nur unter den engen Voraussetzungen dieses Gesetzes etwa nach Terroristen oder Waffenhändlern durchsucht werden. Alles andere müsse ’spurenlos’ gelöscht werden. Aber wie kann man spurenlos löschen, wenn die Daten weitergereicht werden? Sein Abteilungsleiter wiegelte ab: Alles in Ordnung, alles durch das BND-Gesetz gedeckt.“ Bewertung?
With: Kennen Wahrheitsgehalt dieser Aussage nicht. Kann aus meiner Tätigkeit sagen, mir sind solche Maßnahmen über-Bande nicht bekannt geworden. Hatte auch keinen verdacht.
Lindholz: G‑10-Kommission irgendwie bekannt?
With: Nein.
Lindholz: Weitergabe dieser Daten an AND rechtlich zulässig?
With: Kommt darauf an: offener Himmel unterliegt keiner Kontrolle der G‑10-Kommission. Unter G‑10-Gesetz hätte das nicht stattfinden dürfen.
Lindholz: Dann hätte G‑10-Kommission auch informiert werden müssen?
With: Wenn illegale Maßnahmen, hätten wir informiert werden müssen. Wenn die illegale Maßnahme weiter lief, hätte das dazugehört zur Information.
Lindholz: War eine G‑10-Manahme. Hatte als Beifang den Routineverkehr. Zulässigkeit rechtmäßiger G‑10-Maßnahme?
With: Nicht rechtmäßig.
Lindholz: Doch. Weitergabe Routineverkehr?
With: Was soll das für ein Routineverkehr gewesen sein soll, der nicht dem unterliegt?
Lindholz: Ausland-Ausland.
With: Also doch offener Himmel?
Lindholz: G‑10-Maßnahme mit Beifang Routineverkehr.
With: Ist keine rechtmäßige G‑10-Maßnahme nach derzeit geltendem Recht. Bei offenem Himmel ist das derzeit legal. Weitergabe wäre deren Sache. Wäre regelugsbedürftig.
Lindholz: Rechtmäßige G‑10-Maßmahme. Als Beifang auch anderer Verkehr Ausland-Ausland.
With: Verstehe nicht, wie der als Beifang entstehen soll. Kann entstehen bei Maßnahme des offenen Himmels. Wenn das so ist wie geschildert. […]
Frage 1: Linke (19:38)
Hahn: Wie vorbereitet? Akten?
With: Keine Akten. Habe Gesetz gelesen. Berichte des Gremiums eingesehen. Keine einzige Akte.
Hahn: Gab es Hinweise, was sie uns nicht sagen dürfen?
With: Nein. Vorsitzender kennt mein Schreiben, in dem ich gesagt habe, dass mir niemand eine Genehmigung erteilen kann. Laut Gesetz weiß ich, was ich sagen kann und was nicht.
Hahn: 2005 Mitglied der G‑10-Kommission?
With: Nein, Mitte 1999.
Hahn: Wie viele G‑10-Anordnung?
With: In jeder Sitzung.
Hahn: Eikonal und Granat nie in G‑10-Kommission?
With: Nein.
Hahn: Wenn ihnen gesagt wurde, dass die Daten an AND gingen, hätten sie das genehmigt?
With: Nein.
Hahn: Beifang ist missverständlich, dass etwas mit reinrutscht. In Wirklichkeit andersrum: Türöffner G‑10-Anordnung, G‑10-Legende. G‑10-Maßnahme beantragt, genehmigt, dann Kabel komplett abgefischt. Ob was angefallen ist, ist zu vernachlässigen. Aber darüber lief viel Routineverkehr. BND wollte aber das und nur das. Millionenfach Daten Ausland-Ausland abgefangen. Waren sie getäuscht?
With: Wenn vorgeschoben ohne echten Hintergrund, um einen anderen Zweck zu erreichen, hätten wir das nie akzeptiert, das ist klar. Aber das präzisieren, sollten wir NÖ.
Hahn: Offener Himmel oder Weltraumtheorie ist für uns Satelliten.
With: Für uns ist das alles, was nicht unter G‑10-Gesetz fällt. Alles Ausland-Ausland. Das verstehen wir unter offenem Himmel.
Hahn: In Deutschland an Kabel in Frankfurt, nur mit ihrer Zustimmung?
With: Kann ich so nicht behaupten. Wir haben keine Anträge, um an Kabel zu kommen, sondern konkrete Anträge, die wir prüfen.
Hahn: Was musste man da angeben und und ihnen mitteilen?
With: NÖ. Beratungen und Verhandlungen sind geheim.
Hahn: Technische Veränderung eine Rolle gespielt? Telefonie zu Internet?
With: Klar, haben uns immer informieren lassen.
Hahn: Welche Rolle gespielt?
With: Wir wussten das. Wir wussten, wie Stränge verlaufen. So wie es uns vom BND geschildert wurde. Wir sind davon ausgegangen, das das seine Ordnung hat.
Hahn: Was war notwendig, um Strecken zu verändern?
With: Stränge hat Gremium beschlossen.
Hahn: Welches?
With: G‑10-Gremium? Wie auch Entführungen.
Hahn: Neue Erfassungstechnik des BND mit altem Gesetz?
With: Was meinen sie?
Hahn: G‑10-Schutz ist ja bei Paketvermittlung nicht mehr möglich zu 100 %: Spielte das eine Rolle bei Genehmigungen?
With: Wenn es einen Antrag gab, sind wir davon ausgegangen, dass das seine Richtigkeit hat.
Frage 1: SPD (19:48)
Flisek: Räumliche Geltung von Art. 10 Grundgesetz? Nicht nur BRD, sondern auch Ausland?
With: Deutsche Staatsangehörige in Deutschland, aber auch andere. Artikel 1 unterscheidet nicht zwischen Deutschen und Ausländern.
Flisek: Wenn zwei Afghanen telefonieren und BND das abhört, ist das G‑10?
With: Nach Gesetz ist es das nicht, es sollte es werden. Wäre Ausland-Ausland, offener Himmel.
Flisek: Offener Himmel aus Bundesverfassungsgericht 1999 ist das, was wir hier Routineverkehre nennen. Muss G‑10-Gesetz geändert werden oder Grundgesetz?
With: Nach geltender Rechtslage fällt das nicht unter Kontrollbefugnis nach G‑10 und damit der G‑10-Kommission.
Flisek: Nach ihrem Verständnis von Grundgesetz schon?
With: Ja. Muss erörtert werden. § 1 ff. BND-Gesetz erwähnen nicht, dass Art. 10 Grundgesetz eingeschränkt wird.
Flisek: Übertragung auf paketvernmittelte Transitverkehre. Frankfurt. Deutschland Transitland.
With: Ja.
Flisek: Offener Himmel?
With: Ja. G‑10-Kontrollen greifen nicht.
Flisek: Zählt es zu legitimen Aufgaben des BND, Transitverkehre zu überwachen?
With: Ja, BND soll Personen mit allen Mittel und Möglichkeiten vor Terror schützen. Kommt drauf an, wie das kontrolliert wird. Neben Kontrolle im BND auch unabhängige Kontrolle wie durch G‑10-Kommission.
Flisek: Aufgabe des BND ist und soll Schutz deutscher Staatsbürger sei und dazu Ausland überwachen. Geltendes Recht dafür geeignet?
With: Nein. § 1 und § 2 BND-Gesetz sagen nicht, dass Artikel 10 Grundgesetz eingeschränkt wird, was Artikel 19 Grundgesetz verlangt. Rein rechtlich geht das nicht.
Flisek: Aufgabennormen, keine Befugnisnormen.
With: Habe allerhöchste Zweifel, ob das rechtlich gedeckt ist.
Flisek: Rechtslage ist, wie sie ist. Wir werden da Vorschläge dazu machen. Vertretbar, wenn BND angesichts dieser Rechtslage und seinem Aufgabengebiet geltendes Recht so anwendet, wie sie es kritisiert haben, mit Nachbesserungs-Bedarf, aber das er es trotzdem tut? Vertretbar oder rechtswidrig?
With: Nach den Gegebenheiten ist die derzeitige rechtliche Lage nicht mehr lange vertretbar.
Flisek: Weil die Diskussion sich so entfaltet? In Vergangenheit nicht rechtswidrig?
With: Ja. Wir wissen jetzt mehr. Situation verändert sich. Diskussion ist da, war sie vor fünf Jahren nicht. Nicht mehr lange vertretbar. Aber hinnehmbar, wie es war.
Flisek: Konkrete Vorstellungen, wie Regelungen aussehen könnten? Benachrichtigungspflicht?
With: Offener Himmel wie nach G‑10-Gesetz unterscheiden zwischen Individualmaßnahme und strategische Aufklärung. Absprechen mit Notwendigkeiten. Von uns war keiner in AFG oder Somalia, um zu wissen, wie schnell dort was passiert. Vorher regeln, wie Reichweite Artikel 10 GG aussehen soll.
Flisek: Sehe das auch so. Graubereich.
With: Ist ja Kernhandwerk des BND. Mehr Nicht-G-10-Maßnahmen als G‑10-Maßnahmen. Hört man.
Flisek: G‑10-Kommission auch für Beschwerden zuständig. Gab es welche?
With: Kann mich nicht erinnern. Gibt wenig. Kann mich an keine erinnern.
Flisek: Technische Entwicklung. Wie in Arbeit eingeflossen? Sachverstand von außen geholt? Zeugen sagten, leitungsvermittelt zu paketvermittelt war Zäsur. Ist ja auch relevant für Anwendung der Gesetze.
With: Richtig. NÖ.
Frage 1: Grüne (20:04)
Notz: Vor 5–6 Jahren nicht die Kenntnisse wie heute. Wussten sie nicht, was wir heute wissen?
With: Darstellungen in Süddeutsche wussten wir nicht. Aber Begriff des offenen Himmels kannten wir. Gab Diskussionen. Aber wir haben gelernt.
Notz: Süddeutsche zu Eikonal nach Snowden, mit NSAUA. Auch Probleme bei G‑10-Kommission?
With: Diskussion 2014 betrifft mich nicht mehr, bin raus.
Notz: Sie sagten: „Heute wissen wir mehr.“
With: Heute weiß ich mehr.
Notz: Kannte BND die Probleme vor sechs Jahren, und hat sie G‑10-Kommission nicht gesagt? Hätte erzählen müssen?
With: NÖ.
Notz: Kooperation BND und AND 2004 ohne G‑10-Anordnung. Ginge das?
With: Offener Himmel ja.
Notz: Ausland-Ausland?
With: Ja.
Notz: Und wenn auch anderes darüber ging?
With: Muss Ausland-Ausland sein.
Notz: Und wenn beide Punkte im Ausland, aber in Deutschland geswitcht und vermittelt, dann G‑10-Anordnung?
With: Wenn Deutsche Verkehre auf der Leitung sind, dann bedarf es einer Genehmigung.
Notz: Wenn man damit zu ihnen kommt, muss man ihnen sagen, dass man: 1. mit AND kooperiert, 2. dessen Technik einsetzt, 3. es gar nicht um die benannten G‑10-Verkehre geht, sondern den Rest, auch genannt Routineverkehre?
With: Immer, wenn es um Schutz einer Person nach G‑10 geht, ist G‑10-Anordnung nötig.
Notz: Und wenn es um sehr viel mehr geht als G‑10-Verkehre? Und Technik von AND kommt?
With: Wenn dabei Deutsche betroffen sind, bedarf es einer Genehmigung. Egal, was dran hängt.
Notz: Die legalisiert auch Abgriff anderer Daten?
With: Ist nicht der Fall. Nie kann etwas genehmigt werden, wovon wir nichts wissen.
Notz: Und wenn?
With: Wenn es eine Verquickung von G‑10 und Nicht-G-10 gibt, und das nicht trennbar ist, hätte das unter allen Umständen mitgeteilt werden müssen.
Notz: Spielt für sie Einbindung von Bundesnetzagentur und BSI eine Rolle?
With: Eigentlich nicht.
Notz: Zertifizierung wichtig?
With: Nein. NÖ.
Notz: Stellte sich Frage nach Technik? Satellitenschüsseln hat auch jemand zertifiziert. Habe ich noch gar nicht darüber nachgedacht.
With: NÖ.
Frage 2: Union (20:12)
Warken: Glasfaserkabel mit Daten Deutscher und Ausländer. Nicht mehr trennbar. G‑10-Anordnung. Greife Daten ab. Geschützte Daten und Beifang. Was mache ich mit Beifang? Verwenden oder Löschen?
With: Beifang als offener Himmel kann G‑10-Kommission darüber nicht verfügen. Wenn sie Beifang wollen, warum nicht ohne G‑10-Anordnung?
Hahn: Weil sie nicht ans Kabel kommen.
With: Wieso? Wenn Betreiber eine G‑10-Anordnung will, müssen sie eine holen. Wenn sie eine G‑10-Anordnung vorschieben, obwohl sie das gar nicht wollen, wäre das in höchstem Maße unredlich.
Ströbele: In höchsten Maße.
Warken: BND wäre nicht berechtigt zur Erhebung.
With: Wäre erlaubt. Aber mit G‑10-Maßnahme spielen, um etwas anderes zu erreichen. Nach G‑10 muss auch Verhältnismäßigkeit geprüft werden. Das ist unverhältnismäßig. Das geht so nicht.
Frage 2: Linke (20:16)
Hahn: Haben sie je Nachweise verlangt für Zertifizierung der Erfassung und Filterung, ob das auch funktioniert? Filterung verlässlich?
With: Frage hat sich nicht gestellt. War nie bekannt, dass das irgendwo angewendet werden würde. Das was Süddeutsche sagt, war bisher nicht Gegenstand der Verhandlungen.
Hahn: Wurde gesagt, dass gefiltert wird?
With: NÖ.
Hahn: Haben sie Filter beim BND geprüft?
With: Wir sind nie… NÖ.
Hahn: War ihnen bekannt, wie BND erfasste Verkehre trennt in geschützte und angeblich nicht-geschützte Verkehre?
With: NÖ.
Hahn: Gratwanderung: öffentliches Interesse.
With: Sehr gern Regelung in G‑10-Gesetz, das sagt was und wie und wo.
Hahn: Kennen sie Funktionsträgertheorie?
With: Zugsamenhang?
Hahn: Daten Deutscher im Ausland für ausländische juristische Person nicht geschützt? Funktionsträger, kein Grundrechtsträger? BND-Auffassung.
With: Verstehe ich nicht ganz. Auch wenn ein Funktionsträger im Ausland ist. Bei strategischer Kontrolle ist Funktionsträger oder nicht Wurscht.
Hahn: Deutsche?
With: Nach geltendem Recht darf das Telefon des Deutschen im Ausland nicht angezapft werden.
Hahn: Erfassungsobergrenze von 20 Prozent der ausgewählten Übertragungskapazität.
With: Ja.
Hahn: Wie wird das konkret angewendet?
With: Vorlagen verweisen auf Gesetz. Wir prüfen das. Im Einzelnen kann ich das nicht sagen. Sie kennen genügend Berichte, dass 20 Prozent nie ausgeschöpft wurden, sondern nur 1 bis 3 Prozent.
Hahn: 20 Prozent aller Telefonate weltweit jederzeit abschöpfen, gesetzmäßig?
With: Nicht auf der Welt. Auf den Strängen. Aber nicht generell 20 Prozent aller Telefone oder E‑Mail-Adressen.
Hahn: Ein TK-Anbieter hat zehn Leitungen, der BND beantragt zwei. Auf beiden 100 % abschöpfen. Korrekt?
With: Um Leitungen geht es nicht im Antrag. Prüfung, stimmt Katalog, passen Passworte, sind 20 % in Ordnung? Nie auf einzelne Stränge verwiesen.
Hahn: Sie erteilen Antrag?
With: Wir wissen nicht, ob da zwei oder drei Stränge drin. Es wird erwähnt, dass die 20 % eingehalten werden.
Hahn: Das steht drin und sie glauben das?
With: Es gab keine Anhaltspunkte, das zu bezweifeln.
Hahn: Von Eikonal nichts gehört. Zusammenarbeit mit AND, NSA, GCHQ informiert?
With: NÖ.
Frage 2: Grüne (20:24)
Ströbele: Kann ihre Situation nachvollziehen und zustimmen. Süddeutsche zu Eikonal. Umsetzung 2004/2005. Was haben sie damals genehmigt?
With: Ich kann nur meine Meinung nach Lektüre des Artikels sagen. Wenn das so wäre, hätten wir das nicht gewusst. Dann wäre ich düpiert.
Ströbele: Soweit wir das geprüft haben, bisher noch nichts falsches.
With: Knackpunkt sind ja die 5 %.
Ströbele: Genau da komme ich jetzt drauf. Süddeutsche: „Als der Abteilungsleiter der Technischen Aufklärung beim BND im Juli 2008 ein Resümee der Operation zog, räumte er ein, dass der Filter, der die Rechte der Deutschen sichern sollte, nie richtig funktionierte.“ Der war auch hier. „Das Vorhaben scheiterte daran, dass es technisch nicht möglich ist, eine absolute und fehlerfreie Trennung von geschützter und ungeschützter Kommunikation zu erreichen.“
With: Wenn das so ist, dann war das nicht in Ordnung. Dann hätten die das sagen müssen und ich hätte gesagt, das geht nicht.
Ströbele: Schlussfolgerungen für G‑10-Kommission?
With: Gehe davon aus, dass viele genauso gedacht hätten wie ich: das geht nicht.
Ströbele: Wurde auf falscher Tatsache getroffen?
With: Richtig. Wenn das so ist.
Hahn: Stimmt ja.
Ströbele: Grundlage ihrer ganzen Arbeit entzogen?
With: Was wäre wenn, was ist meine Meinung. Hat nichts mit Zeugenbefragung zu tun. Wenn das so war, war das eine Täuschung.
Ströbele: Wurde ihnen mitgeteilt, dass BND der NSA ganze Datenpakete gibt?
With: Muss man verifizieren. Was heißt Datenpakete? Wir haben strategische Kontrolle nach G‑10-Gesetz zu verantworten, nicht offenen Himmel. Spielt eine Rolle bei Austausch. Kann G‑10K nicht kontrollieren. Ist der § 7a G‑10-Gesetz, personenbezogene Daten, wird mitgeteilt, das ist es dann. Grauzone, die wir nicht kontrolliere, weil das nicht im G‑10-Gesetz steht.
Ströbele: War ihnen bekannt, dass NSA dem BND Selektoren gibt? Tausende, zehntausende oder mehr? Nach denen BND aufgefangene Verkehre durchsucht. Auch Wirtschaftsspionage dabei: EADS?
With: Kann mich nicht erinnern.
Frage 3: Linke (20:33)
Hahn: Haben sie BND-Dienststellen besucht?
With: Ja.
Hahn: Auch Methoden und Arbeitsweisen vorgestellt?
With: NÖ.
Hahn: Auch Bad Aibling?
With: Ich nicht. Erst nach meiner Amtstätigkeit. Nach Hörensagen danach.
Frage 3: SPD (20:35)
Flisek: Wir zitieren Zeitungsartikel, weil wir über eingestufte Sachen nicht reden dürfen, über Zeitungsartikel schon. Süddeutsche spricht von 5 % durchgerutscht. Vorsicht, wir haben noch keine Bestätigung.
With: Wenn das so wäre, wäre das Enttäuschung.
Frage 3: Grüne (20:36)
Notz: Zuständiger Abteilungsleiter sagte, dass die Filter nicht funktionierten. Verspreche ihnen, dass wir ihnen Akten zeigen werden, die sehr viel ergiebiger sind als Süddeutsche-Artikel. Gab es Bericht, wie Abgriff nach G‑10-Anordnung funktioniert?
With: Berichtet wurde, wie Trefferquote war. Kann man nachlesen.
Notz: Trefferquote?
With: Bei strategischer Beschränkung.
Notz: Wie viele Bad Guys man erfolgreich verfolgt hat?
With: Was relevant war für unsere Sicherheit. Proliferation.
Notz: Probleme bei Datenabgriffen?
With: Wüsste ich nicht.
Notz: Dass Filter nicht funktioniert haben?
With: Von Filtern war nie die Rede. Dass es Spam gab.
Notz: Spam?
With: Wurde abgestellt, gab dann keinen Spam mehr.
Notz: Berichte über Filter für G‑10-Träger?
With: Wüsste ich nicht. Ich kann mich nicht erinnern, dass Filter eine Rolle gespielt haben für unsere G‑10-Entscheidungen.
Notz: Sprachen DAFIS an. Was sollte der machen?
With: Weiß ich nicht. Erst nach meiner Amtszeit erfahren.
Notz: War nie Gegenstand der Diskussion oder Anordnungen?
With: Gründe für Anordnungen NÖ.
Notz: Von Filterproblematik nichts gehört?
With: Zum ersten Mal im Süddeutsche-Bericht.
Formalitäten: stellvertretende Vorsitzende (20:41)
Beschluss: Ausschuss der Öffentlichkeit.
Ende des öffentlichen Teils. Jetzt Umzug zum NÖ Teil.
[Das war’s für uns. Danke für’s Lesen. Zusammenfassung folgt. (20:41)]