Wie die Ermittlungsbehörden die Telekommunikation überwachen
Die Anschläge in Norwegen haben die deutsche Diskussion über die Wiedereinführung der Vorratsdatenspeicherung, sowie generell eine stärkere TK- und Internetüberwachung, erneut angeheizt. Von Innen- und Sicherheitspolitikern wird hierbei gerne der Eindruck erweckt, den Ermittlungsbehörden stünden keine ausreichenden Instrumentarien zur Verfügung.
Tatsächlich existiert eine Fülle von gesetzlichen Überwachungsbefugnissen, deren Umfang und Reichweite den meisten Menschen vermutlich gar nicht bewusst ist und die in der Gesamtschau bereits ein bedenkliches Ausmaß angenommen haben.
Ich möchte deshalb einmal einen Überblick über die Ermittlungsmaßnahmen geben, die deutsche Staatsanwaltschaften und Polizeibehörden im Bereich der Telekommunikation tatsächlich praktizieren. Für die meisten dieser Maßnahmen existieren gesetzliche Regelungen, deren Anwendbarkeit auf die jeweilige Maßnahme aber nicht immer völlig zweifelsfrei zulässig ist. Gelegentlich werden von den Behörden aber auch evident rechtswidrige Maßnahmen ergriffen, wie der vieldiskutierte Einsatz des Bayern-Trojaners zeigt.
Überblick über Ermittlungsmaßnahmen im Bereich der Telekommunikation und des Internets:
- Überwachung und Aufzeichnung des Inhalts eines Telekommunikationsvorgangs (§ 100a StPO)
- Auswertung von Daten aus Gerätespeicher oder SIM-Karten (§ 94 StPO)
- Auskunft über Bestandsdaten von TK-Anbietern (§§ 161 Abs.1, 163 Abs. 1 StPO i.V.m. § 113 Abs. 1 TKG) und von Telemedienanbietern (§ 14 Abs. 2 TMG)
- Personenauskunft zu einer vorhandenen Rufnummer (§§ 112, 113 TKG) und zu vorhandenen dynamischen oder statischen IP-Adressen sowie E-Mail-Adressen (§ 113 TKG)
- Ermittlung von Standortdaten von Mobiltelefonen über Mobilfunknetze (§§ 100a oder 100g StPO)
- Ermittlung von Standortdaten von Mobiltelefonen in Echtzeit (§ 100g Abs. 1 S. 3 StPO)
- Auskunft über Rechnungsdaten (§§ 96, 97 TKG, 100g StPO)
- Auskunft über künftig anfallende Verkehrsdaten (§ 100g Abs. 1 StPO)
- Auskunft über in der Vergangenheit angefallene Verkehrsdaten. Derzeit faktisch eingeschränkt dadurch, dass keine Verpflichtung zur Vorratsdatenspeicherung mehr besteht. Da einige Provider aber auch ohne Vorratsdatenspeicherung bis zu 3 Monaten speichern, kann auch hier oftmals noch erfolgreich ermittelt werden
- Ermittlung von PIN/PUK (§§ 113 Abs. 1 S. 2 TKG, 161, 163 StPO)
- Aufzeichnung des E-Mail-Verkehrs während der Übertragungsphase (§ 100a StPO)
- Kontrolle/Sicherstellung des E-Mail-Verkehrs während der Zwischenspeicherung auf dem Mail-Server des Providers (§§ 94 ff. bzw. § 99 StPO)
- Sicherstellung von E-Mails auf dem Computer des Empfängers (§§ 94 ff. StPO)
- Ermittlung der sog. IMSI zur Identifizierung oder Lokalisierung durch sog. IMSI-Catcher (§ 100i StPO). Die IMSI (International Mobile Subscriber Identity) ist eine Kennung mit der ein Mobilfunkteilnehmer in den Funknetzen eindeutig identifiziert werden kann
- Ermittlung der sog. IMEI (§ 113 TKG). IMEI (International Mobile Equipment Identity) bezeichnet die Hardwarekennung des Mobiltelefons
- Feststellung, welche Mobiltelefone zu einer bestimmten Zeit in einer bestimmten Funkzelle eine Netzverbindung aufgebaut hatten, sog. Funkzellenabfrage (§ 100g Abs. 2 S. 2 StPO)
- Einsatz von GPS-Technik zur Observation Verdächtiger (§ 100h Abs. 1 Nr. 2 StPO)
- Zugriff auf Daten in geschlossenen Internetforen mithilfe von Zugangsdaten, die ohne oder gegen den Willen der Kommunikationsbeteiligten erlangt wurden (§ 100a StPO bei Liveüberwachung über Netzbetreiber; §§ 94, 98 StPO gegenüber Telemediendiensten nach Abschluss des Telekommunikationsvorgangs, betrifft z.B. Chatprotokolle, Bilder etc.)
- Kfz-Ortung bei Fahrzeugen mit SIM-Modul, z.B. BMW-Assist/ConnectedDrive oder Audi-Ortungsassistent Cobra (bei Katalogstraftaten: § 100a StPO, fraglich wenn keine Katalogtat)
- Ermittlung von Nachrichten, die auf einer Mailbox gespeichert sind (§§ 94, 98 bzw. 99 StPO analog)
- Online-Durchsuchung und Einsatz/Installation von Spionagesoftware wie Trojaner, Keylogger u.a. (derzeit keine gesetzliche Grundlage, wird in Bayern dennoch praktiziert)
- Stille SMS, auch Silent Message oder stealthy ping; dient der Ermittlung des Aufenthaltsortes sowie der Erstellung von Bewegungsprofilen von Personen, die Mobiltelefone nutzen. Die Ermittler schicken einen ping an eine ihnen bekannte Handynummer. Beim Mobilfunkbetreiber wird dadurch ein Datensatz mit Verbindungsdaten erzeugt, u.a. mit Angaben zur Funkzelle, in der sich das Handy befindet. Auf entsprechende Anordnung werden diese Daten vom Mobilfunkbetreiber an die Ermittlungsbehörde weitergeleitet (rechtlich zweifelhaft)
- Aufzeichnung von Internettelefonie (Voice over IP) unter Verwendung entsprechender Überwachungssoftware, sog. Quellen- TKÜ (§ 100a StPO, streitig)
- W-LAN-Catcher (WiFi-Catcher); ein Gerät zur Erfassung kabelloser Datenströme. Dient der Ermittlung der exakten geographischen Ausbreitung des versorgten Bereichs eines W-LANs und der Identifizierung aller eingeloggten Endgeräte sowie der Überwachung/Aufzeichnung des Datenverkehrs (§§ 161, 163 StPO; § 100i StPO; § 100a StPO)
- Zielwahlsuche; ermöglicht die Ermittlung von Rufnummern, von denen Verbindungen zu einem bekannten Anschluss hergestellt werden (§ 100g Abs. 1 StPO)
Big Brother is watching you. Erschreckend!!!
Comment by Dr. No — 26.07, 2011 @ 19:26
Ich habe da mal eine Frage an die Leser. Momentan machen deutsche Firmen den US-Wettbewerb im Cloud-Computing schlecht wegen des Patriot Acts. Die Argumentation ist, dass nach dem US- Patriot Act amerikanische Behörden Daten auf den Rechner der Rechenzentren der Cloudanbieter in Augenschein nehmen dürfen. Wenn eine US-Firma im Ausland Festplatten stehen habe, dann auch dort nach US-Recht. Zudem müssen die „Eigentümer“ der Daten (also die deutschen Kunden der US-Cloud-Anbieter) nicht ihr Einverständnis geben.
Deutsche Firmen wie Fujitsu machen gerade Welle, dass bei der Strafverfolgung von Terroristen nun nach deutschem Datenschutzrecht die mutmaßlichen Terroristen erst ihr Einverständnis zum Export an US-Behörden ihrer personenbezogenen Daten geben müssten.
Kuckst Du hier: http://bit.ly/rshmvd
Meine Frage nun, geht nicht dahin, ob alle deutschen Datenschutz über Terrorismusbekämpfung stellen, sondern wie die deutsche Rechtslage nach den Schily-Orgien nun aussieht. Wenn das BKA, BfV, MAD, LKAs oder der BND Daten nicht bei der Kommunikation (wie oben in Thomas‘ langer Liste) sondern auf der Festplatte des Hosters in Augenschein nehmen bei der Terrorfahndung, müssen die dann auch den mutmaßlichen Terroristen informieren? Wenn sie Amtshilfe an US-Behörden leisten? Ich glaube nicht, dass die deutsche Gesetzgebung für die Terrorfahndung datenschutzfreundlicher als in den USA wäre, aber ich weiss es nicht. Kann man das irgendwo verstehbar (also keine Artikelgesetze mit Paragrafenpatchwork) nachlesen? Fehlt in der Liste oben was? Danke.
Comment by Jan Dark — 26.07, 2011 @ 20:16
Und diese Regeln sind auch nur Papier. So durfte ich vor zwei Wochen live miterleben, wie ein Bekannter (Polizist) einen Freund anrufen wollte und diesen nicht erreichte. Daraufhin hat er seine Wache angerufen, die Nummer angegeben, die Standortdaten bekommen. Wir sind dann hingefahren und siehe da, dort war der Freund auch. Eine völlig private Sache.
Aber er darf das ja, er gehört ja zu den Guten – so sein Weltbild.
Comment by sascha — 26.07, 2011 @ 20:19
„Stealth ping“ oder wegen mir auch „stealthy ping“, aber nicht „steathly ping“
Comment by Gilbert — 26.07, 2011 @ 20:38
@Gilbert: Stimmt.
Comment by Stadler — 26.07, 2011 @ 20:58
Betrifft der §113 TKG auch Kennwörter für Mailpostfächer? Bedeutet das eine Verpflichtung, diese Kennwörter im Klartext (bzw. klartext-äquivalent) zu speichern?
Nicolas
Comment by Nicolas — 26.07, 2011 @ 22:01
@Jan Dark: Terrorgesetze als Wettbewerbsnachteil. Vielleicht kriegt man die Bösen Regierungen(TM) so zur Vernunft.
Comment by Ein Mensch — 27.07, 2011 @ 00:03
„Ermittlung von PIN/PUK (§§ 113 Abs. 1 S. 2 TKG, 161, 163 StPO)“
Wie geht das denn? o.O
Comment by Patrick — 27.07, 2011 @ 13:50
Ist ja schön und gut, nur der Großteil dieser Gesetze ist in der Praxis nicht mehr umsetzbar! Sei es durch das Urteil des Bundesverfassungsgerichtes zur Vorratsdatenspeicherung, durch das offiziell keine Bestands- und Verbindungsdaten mehr existieren dürften. Oder durch die Notwendigkeit für viele dieser Methoden ersteinmal direkten Zugriff auf die Hardware des Verdächtigen zu haben, um z.B. Trojaner, Umleitungen und Proxyserver ohne das Wissen des Anwenders einzurichten und zu installieren.
Ich bin kein Verfechter der VDS! Ich war es mal, als sie noch in ihrer ursprünglichen Form wirklich Sinn ergab und effektiven Nutzen hatte.
Ich möchte nur festhalten, dass das bloße Vorhandensein dieser Gesetze noch lange nicht ihre Anwendbarkeit bedeutet.
Comment by Zynismus — 27.07, 2011 @ 14:51
Auskunftsverlangen gegenüber Netz-, Plattformbetreiber oder Gerätehersteller, soweit die Daten dort verfügbar sind.
Comment by Stadler — 27.07, 2011 @ 15:41
Lieber Herr Stadler,
vielen Dank für die Auflistung und den Überblick, den Sie uns damit geben.
Darf man die Liste kopieren und auf dem eigenen Blog weiter verbreiten? Dass Sie dabei als Quelle angeben werden, versteht sich von selbst.
Herzliche Grüße und vorab Danke für Ihre Antwort
O.S.
Comment by Olaf — 27.07, 2011 @ 16:51
@Olaf: Aber gerne doch.
Comment by Stadler — 27.07, 2011 @ 17:03
Danke für die große Fleißarbeit! Werde sie bei mir auch verlinken, dafür ebenfalls vielen Dank.
Comment by vera — 27.07, 2011 @ 17:40
Erschreckend, aber noch nicht mal vollzählig.
Hinzu kommen noch ein paar Vorschriften in:
-BVerfSchG
-BPolG
-MAD-G
-verschiedenen LSOG
und ich glaube noch in ein paar anderen Sicherheitsgesetzen, wenn mich nicht alles täuscht auch noch das BND-G. Die Befugnisse sind teilweise identisch, teilweise etwas andere. Die vollzählige Aufzählung ist mir zu lang, würde die Liste aber noch länger und erschreckender machen, als sie jetzt schon ist…
Comment by Bernhard — 27.07, 2011 @ 19:45
An dieser Stelle sei vielleicht noch angemerkt, dass sich insbesondere die Maßnahmen aus der StPO nur auf Maßnahmen der Strafverfolgung beziehen. Im Bereich der Gefahrenabwehrmaßnahmen wird der Wald an Vorschriften dann recht unübersichtlich. Zumal in der Regel auch keine genauen Anforderungen an die technische Umsetzung der Maßnahmen besteht und dies in der Regel den Behörden selbst überlassen ist.
Comment by Robert — 23.01, 2012 @ 15:37
Besonders beeindruckend finde ich die eingangs beschriebenen Mittel und Wege der Telespionage, wenn auch nur oberflächlich hervorgehorben, die meine schlimmsten Vermutungen bestätigen. Leider ist es doch so wie bei allen anderen Schattenmechanismen im Staat, geradezu eine Filosophie, von Schutz oder Angriff auf die private Natur der Bürger oder den tatsächlich schlimmen Finger den esgilt zu entlarven. Bin eben selbst allzuoft überfallen oder nur zum Spaß verdroschen worden, und Rache Genugtuung oder aehnliches gabs bei mir nie, und bin ab und an froh wenn ganz plötzlich eine Streife aufkreutzt. Hingegen ist es mit Kameras ebenfalls schwierig, werden sie doch auch oft Zweckentfremdet und die Erscheinungsform, sprich individuum und seine Modischen Vorzüge, typenspezifische Verhaltensweisen, Konsumverhalten, und und etc.können vom Bùrger oder Konsument weder mittel noch unmittelbar Rückwirkend geprüft werden. Habe nur noch Gottvertrauen, mehr nicht, und das ist ja in Deutschland auch einmalvor langer Zeit ein Thema gewesen wenn man Heimgekommen ist in seine äh Burg.
Comment by Alejandro — 29.03, 2013 @ 16:24