Qgelm

Missing Link: Passwortherausgabe – die Logik der Überwacher und der Kritiker

<html> <a href=„https://www.heise.de/newsticker/meldung/Missing-Link-Passwortherausgabe-Logik-der-Ueberwacher-und-Bedenken-4633688.html“>zurück zum Artikel</a><figure class=„printversionlogo“><img src=„https://1.f.ix.de/icons/svg/logos/svg/heiseonline.svg“ alt=„heise online“ width=„180“ heigth=„40“/></figure><figure class=„aufmacherbild“><img src=„https://heise.cloudimg.io/width/700/q75.png-lossy-75.webp-lossy-75.foil1/_www-heise-de_/imgs/18/2/8/2/2/1/8/4/shutterstock_1089540212-725694052cde01da.jpeg“ srcset=„https://heise.cloudimg.io/width/700/q75.png-lossy-75.webp-lossy-75.foil1/_www-heise-de_/imgs/18/2/8/2/2/1/8/4/shutterstock_1089540212-725694052cde01da.jpeg 700w, https://heise.cloudimg.io/width/1050/q75.png-lossy-75.webp-lossy-75.foil1/_www-heise-de_/imgs/18/2/8/2/2/1/8/4/shutterstock_1089540212-725694052cde01da.jpeg 1050w, https://heise.cloudimg.io/width/1500/q75.png-lossy-75.webp-lossy-75.foil1/_www-heise-de_/imgs/18/2/8/2/2/1/8/4/shutterstock_1089540212-725694052cde01da.jpeg 1500w, https://heise.cloudimg.io/width/2300/q75.png-lossy-75.webp-lossy-75.foil1/_www-heise-de_/imgs/18/2/8/2/2/1/8/4/shutterstock_1089540212-725694052cde01da.jpeg 2300w“ sizes=„(min-width: 80em) 43.75em, (min-width: 64em) 66.66vw, 100vw“ alt=„Missing Link: Zombie Passwortherausgabe – die Logik der Überwacher und verfassungsrechtliche Bedenken“ class=„img-responsive“/><figcaption class=„akwa-caption“>(Bild: PopTika/Shutterstock.com) </figcaption></figure>Stellungnahmen im laufenden Verfahren zur Bestandsdatenauskunft vor dem Bundesverfassungsgericht geben Einblicke in die Vorgeschichte des aktuellen Streits. Bundesjustizministerin Christine Lambrecht sorgte im Dezember mit ihrem Gesetzentwurf „zur Bekämpfung des Rechtsextremismus und der Hasskriminalität“ für einen Aufschrei in der Digitalbranche und bei Bürgerrechtlern. Stein des Anstoßes ist die von der SPD-Politikerin geplante Reform der an sich bereits seit Langem heftig umstrittenen Regeln zur Bestandsdatenauskunft, womit das Justizressort auch klarere Vorschriften für die Herausgabe von Passwörtern durch Telemediendienste wie WhatsApp, Google, Facebook, Tinder, GMX oder Web.de schaffen will. <div class=„collapse-boxtarget collapse-boxcontent a-inline-textboxcontent a-inline-textboxcontent–horizontal-layout“ data-collapse-target=„“> <figure class=„a-inline-textboximage-container“><img alt=„“ src=„https://heise.cloudimg.io/width/210/q50.png-lossy-50.webp-lossy-50.foil1/_www-heise-de_/imgs/71/2/1/3/9/8/8/1/MissingLink-5014ce8c801500e5.jpg“ srcset=„https://heise.cloudimg.io/width/420/q30.png-lossy-30.webp-lossy-30.foil1/_www-heise-de_/imgs/71/2/1/3/9/8/8/1/MissingLink-5014ce8c801500e5.jpg 2x“ class=„c1“/></figure><div class=„a-inline-textboxcontent-container“> Was fehlt: In der rapiden Technikwelt häufig die Zeit, die vielen News und Hintergründe neu zu sortieren. Am Wochenende wollen wir sie uns nehmen, die Seitenwege abseits des Aktuellen verfolgen, andere Blickwinkel probieren und Zwischentöne hörbar machen. <ul class=„a-inline-textboxlist“><li class=„a-inline-textboxitem“><a class=„a-inline-textboxtext“ href=„https://www.heise.de/thema/Missing-Link“ missing=„“ title=„Mehr zum Feuilleton “>Mehr zum Feuilleton „Missing Link“ [1]</a></li> </ul></div> </div> <div class=„collapse-boxtrigger“ data-collapse-trigger=„“>mehr anzeigen</div> Der eco-Verband der Internetwirtschaft <a href=„https://www.heise.de/meldung/Passwort-Herausgabe-Scharfe-Kritik-am-grossen-Lauschangriff-im-Netz-4616839.html“>warnte umgehend vor dem „großen Lauschangriff im Netz“ [2]</a> und „Kosten in Milliardenhöhe“ für die Vielzahl der betroffenen Unternehmen. Der Bitkom sah „Grundwerte über Bord“ geworfen, „die unser Zusammenleben online wie offline seit Jahrzehnten prägen“. Völlig aus der Luft gegriffen ist die Initiative aber nicht: sie hat mit den bestehenden und auf Geheiß des Bundesverfassungsgerichts bereits etwas nachgebesserten Bestimmungen zur Bestandsdatenauskunft im Telekommunikationsgesetz (TKG) und im Telemediengesetz (TMG) sowie in einschlägigen Landesnormen schon eine lange Vorgeschichte. <h3 class=„subheading“ id=„nav_zugangssicherung0“>Zugangssicherungscodes</h3> Noch unter Rot-Grün hatte der Gesetzgeber zunächst <a href=„https://www.heise.de/meldung/Neues-Telekommunikationsgesetz-tritt-in-Kraft-102964.html“>2004 eine TKG-Novelle beschlossen [3]</a>, womit sich Sicherheitsbehörden erstmals Zugriff auf „Zugangssicherungscodes“ wie PINs und PUKs sowie Passwörter für Mailboxen oder Webmail-Konten verschaffen durften. Schon damals bezog sich die Klausel auch auf „Endgeräte oder in diesen oder im Netz eingesetzte Speichereinrichtungen“, also etwa auf in der Cloud vorgehaltene Daten. <div class=„inread“/> Ein Sprecher des damaligen Bundesdatenschutzbeauftragten Peter Schaar hätte es zu dieser Zeit lieber gesehen, „wenn die ganze Sache mit den PINs und PUKs draußen geblieben wäre“. Das Auslesen von SMS oder E-Mails <a href=„https://www.heise.de/meldung/Vermittlungsausschuss-winkt-Telekommunikationsgesetz-durch-98131.html“>werde durch einen Hinweis auf das Telekommunikationsgeheimnis verhindert [4]</a>, die Ermittler könnten aber wohl einen Blick in die Adressbücher verdächtiger Nutzer werfen. <h3 class=„subheading“ id=„navquot_ja1“>„Ja, aber“-Urteil zur Bestandsdatenauskunft</h3> Auf eine <a href=„https://www.heise.de/meldung/E-Mail-Provider-klagen-in-Karlsruhe-gegen-ueberwachungsmassnahmen-110564.html“>2005 eingereichte Klage von vier E-Mail-Providern und zwei Privatpersonen [5]</a> hin <a href=„https://www.heise.de/meldung/Karlsruhe-beschraenkt-Verwendung-von-Telekommunikationsdaten-1442139.html“>entschied das Bundesverfassungsgericht nach reiflicher Überlegung 2012 [6]</a>, dass die acht Jahre zuvor eingeführten Vorgaben zur Bestandsdatenauskunft teilweise nicht mit dem Grundgesetz vereinbar waren. Die Karlsruher Richter kassierten unter anderem die in Paragraf 113 TKG angelegte Praxis der Behörden, über die Zuordnung einer dynamischen IP-Adresse auch Auskünfte über den Inhaber einer solche Internetkennung einzuholen. Auch die Auskunftspflicht der Provider gegenüber Strafverfolgern und Geheimdiensten, die Zugangssicherungscodes wie Passwörter oder PINs betraf, hatte zunächst keinen Bestand. Das Bundesverfassungsgericht hatte in seinem typischen „Ja, aber“-Urteil indes keine prinzipiellen Bedenken gegen beide Maßnahmen, sondern mahnte nur Korrekturen im Lichte der betroffenen Grundrechte an. Gar keine Einwände erhob Karlsruhe etwa gegen das über die Bundesnetzagentur abgewickelte automatische Auskunftsverfahren rund um persönlichen Daten zu Telefonnummern, E-Mail-Adressen oder anderen Anschlusskennungen, <a href=„https://www.heise.de/meldung/Bestandsdatenauskunft-Nutzerinformationen-gefragt-wie-nie-1939675.html“>von dem Sicherheitsbehörden seit vielen Jahren massiv Gebrauch machen [7]</a>. <h3 class=„subheading“ id=„nav_neuregelung_zur2“>Neuregelung zur Bestandsdatenauskunft</h3> Im Rahmen der von den Verfassungshütern vorgegebenen Frist <a href=„https://www.heise.de/meldung/Bundestag-regelt-Zugriff-auf-IP-Adressen-und-Passwoerter-neu-1827846.html“>regelte der Bundestag daraufhin 2013 die Möglichkeiten zur Bestandsdatenauskunft neu [8]</a>, wobei neben den Mitgliedern der damaligen Regierungsfraktionen von CDU/CSU und FDP auch die SPD für die Reform stimmte. Die Abgeordneten fügten dabei nun unter anderem eine klarere Norm ein, dass Telekommunikationsfirmen Nutzer über das manuelle Auskunftsverfahren anhand einer dynamischen IP-Adresse identifizieren und die entsprechenden Informationen an die berechtigten Behörden herausgeben dürfen. Auch den Zugriff auf PINs, PUKs oder Passwörter führte das Parlament wieder ein, diesmal jedoch geknüpft an einen Richtervorbehalt. Wollen Geheimdienste an solche Zugangssicherungscodes heran, muss das die zuständige G10-Kontrollkommission absegnen. Der Bundestag stellte zudem klar, dass eine Bestandsdatenabfrage allein „im Einzelfall zum Zweck der Verfolgung von Straftaten oder Ordnungswidrigkeiten, zur Abwehr von Gefahren für die öffentliche Sicherheit oder Ordnung oder für die Erfüllung der gesetzlichen Aufgaben“ erlaubt ist. Es blieb bei der Pflicht für Provider mit mehr als 100.000 Kunden, Daten nur über eine „gesicherte elektronische Schnittstelle“ herauszugeben. <h3 class=„subheading“ id=„nav_rechtlich3“>Rechtlich umstrittene Befugnis</h3> Vieles, was nun auf eine deutlich größere Zahl an Anbietern von Telemediendiensten zukommen soll, ist also bereits vergleichbar im TKG angelegt. Im TMG, das soziale Medien und Blogs, Chatdienste, Spiele-Apps, Informationsservices und Suchmaschinen, Portale, Shops und private Seiten im Web, Webmail-Dienste, Podcasts sowie Flirt-Communitys betrifft, <a href=„https://www.gesetze-im-internet.de/tmg/__14.html“ rel=„external noopener“ target=„_blank“>findet sich in Paragraf 14 sogar ebenfalls schon eine ähnliche Norm [9]</a>: Auf Anordnung der zuständigen Stellen darf der Diensteanbieter demnach prinzipiell bereits „im Einzelfall Auskunft über Bestandsdaten erteilen, soweit dies für Zwecke der Strafverfolgung, zur Gefahrenabwehr durch die Polizeibehörden der Länder“ oder „zur Erfüllung der gesetzlichen Aufgaben der Behörden der Zollverwaltung“ erforderlich ist. Auch sämtliche Geheimdienste von Bund und Ländern sowie Behörden, die Ordnungswidrigkeiten verfolgen oder „Rechte am geistigen Eigentum“ durchsetzen, können prinzipiell bereits Daten wie Name oder Anschrift von Nutzern erfragen. Rechtlich ist aber völlig umstritten, ob diese Befugnis schon greift, was auch in laufenden gerichtlichen Auseinandersetzungen eine Rolle spielt. <h3 class=„subheading“ id=„nav_kampf_gegen4“>Kampf gegen Eingriff in die informationelle Selbstbestimmung</h3> Im Mai 2013 <a href=„https://www.heise.de/meldung/Verfassungsbeschwerde-gegen-Bestandsdatenauskunft-1858149.html“>legten Vertreter der Piratenpartei nämlich auch Verfassungsbeschwerde gegen die kurz zuvor verabschiedete Novelle der Bestandsdatenauskunft ein [10]</a>. Hauptbeschwerdeführer in dem neuen Fall für Karlsruhe sind die Aktivistin Katharina Nocun, die mittlerweile nicht mehr den Piraten angehört, sowie der Jurist Patrick Breyer, der damals schleswig-holsteinischer Landtagsabgeordneter war und mittlerweile ins EU-Parlament gewechselt ist. Mehrere tausend Bürger schlossen sich dem Verfahren im Kampf gegen einen rechtswidrigen Eingriff in die informationelle Selbstbestimmung an, in dem das Bundesverfassungsgericht voraussichtlich 2020 ein Urteil fällen wird. Breyer und fünf seiner früheren Fraktionskollegen im Parlament Schleswig-Holsteins reichten ferner Verfassungsbeschwerde <a href=„https://www.heise.de/meldung/Laender-verabschieden-neue-Regeln-zur-Bestandsdatenauskunft-1894865.html“>gegen die Bestimmungen zur Bestandsdatenauskunft des Landes [11]</a> ein, deren Reform sie aus der Opposition heraus abgelehnt hatten. <h3 class=„subheading“ id=„nav_unverhältnismäßi5“>Unverhältnismäßige Ausweitung des Zugriffs auf Nutzerdaten</h3> Die Logik der Überwacher und die Einwände der Gegner des Instruments lassen sich gut herauslesen aus einer Reihe von Stellungnahmen an das Bundesverfassungsgericht in den beiden Fällen, die heise online vorliegen. Klar wird anhand der Eingaben auch, dass die Karlsruher Richter schon sehr viel Zugeständnisse an die Sicherheitsbehörden gemacht und teils anderthalb Augen zugedrückt haben. Die Kläger hoffen daher, dass gerade auch <a href=„https://www.heise.de/meldung/Justizministerium-WhatsApp-Gmail-Co-sollen-Passwoerter-herausgeben-muessen-4615602.html“>der Referentenentwurf aus dem Bundesjustizministerium [12]</a> den Verfassungshütern die Augen öffnet, wie groß die von dem strittigen Instrument ausgehenden Angriffe auf die Privatsphäre der ständig wachsenden Zahl der Internetnutzer ausfallen könnten. Breyer spricht von einer „massiven und unverhältnismäßig weitgehenden Ausweitung des Zugriffs auf Nutzerdaten“. Würde das Verfassungsgericht zügig über die Beschwerde entscheiden, könnte es verhindern, „dass der Gesetzgeber Grundrechte verletzt“ und eine neue Klage nötig werde. <h3 class=„subheading“ id=„navquot_gewisser6“>„Gewisser Verfahrensaufwand“ für Behörden</h3> Der Berliner Staatsrechtler Christoph Möllers, der die Bundesregierung im Streit um die Novelle von TKG und TMG vertritt, hält die einschlägige Verfassungsbeschwerde für unzulässig und unbegründet. Beim TMG sei die Frist für eine Klage in Karlsruhe eh bereits abgelaufen gewesen. Daran ändere auch nichts, dass die entsprechende Klausel mit dem Inkrafttreten anderer Normen wie der Reform von Paragraf 113 TKG eine andere Bedeutung bekommen habe. Die Frage, inwieweit IP-Adressen abgerufen werden könnten, sei auch bereits „Gegenstand einer großen Debatte und einer geteilten gerichtlichen Praxis“ gewesen, gibt Möllers generell zu bedenken. Die manuelle Abfrageprozedur sei „in der Praxis weit entfernt von einem Massendatenverfahren“, sie werde sparsam genutzt. Dies liege schon daran, dass es auch für die Behörden „einen gewissen Verfahrensaufwand mit sich bringt“. So habe etwa beim Bundesamt für Verfassungsschutz 2016 die Zahl der Auskunftsersuchen nach 113 TKG weniger als zwei Prozent der Fallzahl von Anfragen im automatisierten Abrufverfahren betragen. <h3 class=„subheading“ id=„nav_enormer_anstieg7“>Enormer Anstieg manueller Abfragen beim BKA</h3> Auf den <a href=„https://www.heise.de/meldung/Bestandsdatenauskunft-Zahl-der-Anfragen-durch-Bundeskriminalamt-stark-gestiegen-4365430.html“>enormen Anstieg der manuellen Abfragen beim Bundeskriminalamt [13]</a> (BKA) geht der Rechtsphilosoph nicht ein. Verlangte die Polizeibehörde 2013 noch gut 2000 Auskünfte auf diesem Weg, waren es 2016 schon 8752 und 2017 sogar 17.428 Abfragen mit weiterhin steigender Tendenz. Das BKA, die Bundespolizei oder das Zollkriminalamt können zudem im Rahmen ihrer Zentralstellenfunktion auch für andere Behörden Auskunft über Bestandsdaten einholen, wozu es keine genauen Zahlen gibt. Möllers verweist darauf, dass in den betroffenen Unternehmen jedes Auskunftsverlangen durch eine verantwortliche Fachkraft auf die ebenfalls genannten formalen Voraussetzungen geprüft werden müsse. Es liege aber auf der Hand, dass private Anbieter „nicht behördliches Handeln kontrollieren können“. Die Verantwortung für die einzelne Entscheidung für die Abfrage einfacher Bestandsdaten bis hin zu IP-Adressen bleibe bei den zuständigen Behörden. Auch die für größere Firmen vorgeschriebene elektronische Schnittstelle führe nicht zu einer „automatisierten Massendatenabfrage“, sondern solle nur die Datensicherheit erhöhen. <h3 class=„subheading“ id=„nav_eine8“>Eine Statistikpflicht für Bestandsdatenauskünfte sei nicht angebracht</h3> Die von Karlsruhe geforderten „qualifizierten Abrufnormen“ für Bestandsdaten für einzelne „Bedarfsträger“ habe der Gesetzgeber über zahlreiche fachgesetzliche Rechtsgrundlagen geschaffen, schreibt Möllers. Die von den Beschwerdeführern erwünschten höheren materiellen und verfahrensrechtlichen Anforderungen an die Identifizierung von Nutzern anhand dynamischer IP-Adressen wie ein Richtervorbehalt seien auch nach Ansicht der höchsten Richter nicht geboten. Eine vom Verfassungsgericht ausgeschlossene Überwachung „ins Blaue hinein“ finde nicht statt. Für Verfahren zu Ordnungswidrigkeiten dürften dynamische IP-Adressen auch nicht herangezogen werden, da die Rechtskompetenzen dafür nicht ausreichten. Dass die Provider teils „auf sämtliche ihrer internen Quellen zurückzugreifen“ müssten, um Ersuchen nachzukommen, bezieht sich dem Juristen zufolge nicht auf möglicherweise widerrechtlich gespeicherte Daten. Sollte trotzdem eine Rechtswidrigkeit festgestellt werden, könne es zu Konsequenzen wie einem Beweisverwertungsverbot kommen. Eine Statistikpflicht für Bestandsdatenauskünfte sei nicht angebracht, da eine solche sonst „für praktisch die gesamte Datenverarbeitungstätigkeit der Verwaltung gelten“ müsste. <h3 class=„subheading“ id=„nav_verfahrenssicher9“>Verfahrenssicherung nur bei Heimlichkeit erforderlich</h3> Dass eine besondere Eingriffsschwelle für die Geheimdienste fehlt, rechtfertigt sich laut Möllers nach der Rechtsprechung des Bundesverfassungsgerichts aus deren beschränkten Aufgaben. Sie seien „lediglich auf die Erforschung, mithin nicht unmittelbar auf polizeiliche Maßnahmen gerichtet und unter der Maßgabe informationeller Trennung gegenüber der Vollzugspolizei wahrzunehmen“. Der Zugriff auf PINs und Passwörter müsse sich ferner an den gesetzlichen Vorgaben orientieren, „die für die Nutzung der gesicherten Daten gelten“. Die Kritik an der Vorgabe, dass bei den Zugangssicherungscodes eine Richtergenehmigung nicht nötig ist in Fällen, in denen der Betroffene Kenntnis von der Abfrage der sensiblen Kennungen hat oder haben muss, teilt der Advokat der Bundesregierung nicht. Denn nur die Heimlichkeit einer Ermittlungsmaßnahme sei es, die besondere Verfahrenssicherungen erfordere. Mit schwereren Grundrechtseingriffen wie dem Zugang zu einer Wohnung lasse sich die Passwortherausgabe auch nicht vergleichen: es sei dem Nutzer etwa eines Mobiltelefons möglich, dieses zu wechseln oder auf andere Geräte zurückzugreifen. Insgesamt hätten ein Smartphone oder ein Rechner nicht die Persönlichkeitsrelevanz einer Wohnung. <h3 class=„subheading“ id=„nav_auskunftsrecht10“>Auskunftsrecht der Behörden</h3> Die Auskunftspflicht etwa bei Urheberrechtsverletzungen erklärt Möllers für zwingend, da damit eine <a href=„https://www.heise.de/meldung/An-der-neuen-Copyright-Richtlinie-der-EU-scheiden-sich-die-Geister-94899.html“>einschlägige EU-Richtlinie [14]</a> umgesetzt werde. Die bisherigen Bestimmungen im TMG zu Nutzungsdaten begründeten allein zwar „keine eigenständige Auskunftspflicht“, räumt er ein. Zugehörige Grundlagen für einen Datenabruf fänden sich aber in den einschlägigen Fachgesetzen wie der Strafprozessordnung (StPO) und den Normenwerken für die Geheimdienste. Anders sieht dies die Bundesdatenschutzbehörde in einer Stellungnahme aus 2017, für die damals noch deren frühere Leiterin Andrea Voßhoff verantwortlich war. Paragraf 14 TMG ist ihr zufolge selbst im Zusammenspiel mit dem Verweis auf Nutzungsdaten in Paragraf 15 „lediglich als telemedienrechtliche Befugnisbestimmungsnorm“ für die Diensteanbieter im datenschutzrechtlichen Verhältnis zu ihren Nutzern anzusehen, nicht jedoch als Auskunftspflicht. Die einschlägigen „spiegelbildlichen“ Normen bis hin zu Polizeigesetzen oder dem Urheberrechtsgesetz konnte die Kontrolleurin im Gegensatz zu Möllers nicht ausmachen. <a href=„https://www.heise.de/meldung/Bestandsdatenauskunft-Zahl-der-Anfragen-durch-Bundeskriminalamt-stark-gestiegen-4365430.html“>In einem anderen Papier zu der Verfassungsbeschwerde moniert Voßhoff [15]</a>: Das Auskunftsrecht der Behörden sei praktisch unbeschränkt und könnte allzu leicht auch unschuldige Bürger identifizieren. <h3 class=„subheading“ id=„nav_staatliches11“>Staatliches Interesse an Internet-Kommunikation</h3> Die Bestimmungen zur Bestandsdatenauskunft in Schleswig-Holstein, die sich hauptsächlich in <a href=„http://www.gesetze-rechtsprechung.sh.juris.de/jportal/portal/page/bsshoprod?feed=bssho-lr&showdoccase=1&paramfromHL=true&doc.id=jlr-VwGSHV21P180a“ rel=„external noopener“ target=„_blank“>Paragraf 180a des Landesverwaltungsgesetzes [16]</a> finden und gegen die sich die zweite Klage der Piraten richtet, schließt die Option von Ersuchen an Telemedien-Diensteanbieter dagegen ausdrücklich ein. Sie beschränken diese aber auf Fälle, in denen eine Abfrage „zur Abwehr einer im einzelnen Falle bevorstehenden Gefahr für Leib, Leben oder Freiheit einer Person sowie zur Abwehr einer gegenwärtigen Gefahr eines gleichgewichtigen Schadens für Sach- oder Vermögenswerte oder für die Umwelt erforderlich ist“. Dies gilt auch für „die Identifikation der Nutzer“ etwa anhand dynamischer IP-Adressen, wozu in Schleswig-Holstein ein Richtererlaubnis einzuholen ist. Zudem dürfen nur „das Datum und die Uhrzeit des Beginns und Endes der Nutzung“ eines Telemediendienstes angefordert werden, um tiefere Einblicke in das Online-Verhalten der Betroffenen zu verhindern. Der Kieler Staatsrechtler Florian Becker, der die Regierung und den Landtag von Schleswig-Holstein vor dem Verfassungsgericht vertritt, spricht daher von „deutlich erhöhten Anforderungen“ und „strengeren Verfahrensvorschriften“, die der „zunehmenden Persönlichkeitsrelevanz“ und der Verhältnismäßigkeit von Eingriffen Rechnung trügen (Links zu allen erwähnten Stellungnahmen am Ende des Textes). Insgesamt kommt es laut Becker so auf Basis der angegriffenen Vorschiften weder zu „Maßnahmen mit großer Streubreite“, noch würden Personen erfasst, „die hierzu keinen Anlass gegeben haben“. Die Karlsruher Richter hätten auch das besondere staatliche Interesse an einer sich in das Internet verlagernden Kommunikation anerkannt, sodass einschlägige Auskünfte auch generell möglich sein müssten. Der in dem Bundesland verwendete Begriff der „im einzelnen Falle bevorstehenden Gefahr für die öffentliche Sicherheit“ sei „identisch“ mit dem der „konkreten Gefahr, wie ihn das Bundesverfassungsgericht verwendet“. <h3 class=„subheading“ id=„nav_voraussetzungen12“>Voraussetzungen heimlicher Überwachungsmaßnahmen</h3> Der bayerische Datenschutzbeauftragte Thomas Petri sieht in der schleswig-holsteinischen Formulierung dagegen eine „Vorverlagerung in das zeitliche Vorfeld einer konkreten Gefahr“. Eine solche Form der präventiven Kriminalitätsbekämpfung verlange aber, dass ein möglicher Straftäter in zeitlicher Nähe ein Delikt begehen werde. Der einschlägige Paragraf sei daher nicht „hinreichend normenklar begrenzt“. Petri kritisiert auch, „dass die Landesgesetzgeber sich offenkundig ermutigt fühlen, die rechtsstaatlichen Wahrscheinlichkeitsanforderungen an polizeiliche Datenverarbeitungen wie auch an polizeiliche Standardmaßnahmen abzusenken“. So sei im bayerischen Polizeigesetz <a href=„https://www.heise.de/meldung/Bayerns-Polizeigesetz-Expertenkritik-an-drohender-Gefahr-und-Praeventivhaft-4510891.html“>sehr allgemein von einer „drohenden Gefahr“ die Rede [17]</a>. Die entsprechende Vorschrift sei auf die Bestandsdatenauskunft zwar noch nicht anwendbar. Allerdings habe die Staatsregierung schon angekündigt, auch die Voraussetzungen heimlicher Überwachungsmaßnahmen überdenken zu wollen. Das schleswig-holsteinische Verfahren sei so länderübergreifend bedeutsam. <h3 class=„subheading“ id=„nav_hürden_und13“>Hürden und Abrufbefugnisse</h3> Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) sieht in seiner Stellungnahme an das Bundesverfassungsgericht dagegen kein Problem mit dem Gefahrenbegriff. Dass der Kieler Gesetzgeber die Bestandsdatenauskunft nicht auf „Störer“ eingegrenzt habe, gelte als „verfassungsrechtlich noch hinnehmbar“. Gerade bei Auskunftsersuchen über Inhaber von IP-Adressen wäre eine solche Beschränkung aber „durchaus angebracht“ gewesen. Auch beim Zugriff auf Bestands- und Nutzungsinformationen haben die schleswig-holsteinischen Datenschützer Bauchschmerzen und halten es für fraglich, ob die eingezogenen Hürden und Abrufbefugnisse ausreichen. Es gelte zu klären, ob den schutzwürdigen Interessen der Betroffenen vor allem bei Berufsgeheimnisträgern wie Ärzten, Abgeordneten oder Anwälten ausreichend Rechnung getragen werde. <h3 class=„subheading“ id=„nav_abfrage_von14“>Abfrage von Passwörtern</h3> Passwörter wiesen gegenüber den Bestandsdaten zudem „einen höheren Schutzbedarf auf“, betont das ULD. Sie sicherten die Betroffenen vor einem Zugriff auf die entsprechenden Kommunikationsvorgänge und Inhaltsdaten ab. Zumindest bei den Kompetenzen für Staatsschützer würden die verfassungsrechtlichen Anforderungen nicht erfüllt: Der Gesetzgeber müsse abschließend festlegen, für welche Zwecke und unter welchen Bedingungen die zugangsgeschützten Inhaltsdaten durch Geheimdienste genutzt werden dürften. Der Vorschlag von Justizministerin Lambrecht befindet sich so letztlich voll auf der bisherigen Linie der Bundesregierung. Von dieser Warte aus fehlen im Telemediengesetz vor allem noch klarere Vorgaben zur Auskunft „anhand von IP-Adressen“, bei denen künftig die von den Anbietern in der Regel eigentlich nicht gespeicherten Port-Nummern für die treffgenauere Identifizierbarkeit von Nutzern kommen solle, sowie zur Abfrage von Passwörtern. Dass der Kreis der Verpflichteten mit der Initiative deutlich ausgeweitet würde auf schier alle Kommunikations- und Mediendienste, die irgendwas mit dem Web und Internet zu tun haben, thematisiert das Justizressort nicht. Nicht entgangen ist dem Ministerium dagegen, dass Passwörter nach der Datenschutz-Grundverordnung (<a href=„https://www.heise.de/thema/DSGVO#liste“ rel=„external noopener“ target=„_blank“>DSGVO [18]</a>) verschlüsselt gespeichert werden müssen. Es zählt aber darauf, dass die Behörden etwa nach einem Terroranschlag trotzdem die Chance hätten, <a href=„https://www.heise.de/meldung/Schwarz-Rot-verteidigt-Plan-zur-Passwort-Herausgabe-als-massvoll-4619425.html“>die allein verfügbaren Hashwerte mit extrem hohem Aufwand selbst zu knacken [19]</a>. Sollten Anbieter entgegen der Datenschutzvorschriften Passwörter unverschlüsselt vorhalten, hätten Staatsanwaltschaften künftig aber auch die Chance, diese im Klartext abzufragen. <h3 class=„subheading“ id=„nav_aussagekraft15“>Aussagekraft von Metadaten</h3> Als bürgerrechtliches Plus verbucht Lambrechts Haus, dass der Abfrage von Zugangssicherungscodes – nicht aber etwa der von IP-Adressen und zugehörigen Nutzernamen – ein Richtervorbehalt vorgeschoben werden soll. Für den gegen die bestehenden Regeln klagenden Breyer würde ein solcher Schritt aber nichts an „unangemessen geringen materiell-rechtlichen Anforderungen an eine Aufdeckung der Internetnutzung“ ändern. Ein Richter könne nur Letztere prüfen, was aber an sich problematisch sei, wenn die einschlägigen Vorschriften bereits unverhältnismäßig seien. Oft werden Ersuchen der Staatsanwaltschaften auch schon aus Zeitgründen oder Ressourcenmangel einfach durchgewinkt. Internet-Metadaten stünden in ihrer Aussagekraft Inhaltsdaten nicht nach, warnt Breyer in seiner Erwiderung ans Verfassungsgericht. Sie könnten sogar „viel weiter reichende Schlüsse auf Privatleben zulassen. Studien zufolge lasse sich schon aus 100 bis 200 Klicks die Persönlichkeit eines Nutzers genauer ableiten als sie Freunden, dem Partner oder gar dem Betroffenen selbst bewusst seien. Aus Metadaten seien sehr „intime Ableitungen und auch Vorhersagen auf zukünftiges Verhalten möglich“. Der Beschwerdeführer bleibt auch dabei, dass die eingeführte elektronische Schnittstelle „die Gefahr von Massendatenabfragen“ begründet. Er regt an, neben der Bestandsdatenauskunft auch die ebenfalls intensiv genutzte Praxis der Funkzellenabfrage im Blick zu haben. „Bei diesem Verfahren werden alle Personen abgefragt, die sich zu einer bestimmten Zeit an einem bestimmten Ort aufgehalten haben“, erläutert Breyer. Davon seien jährlich Millionen Menschen betroffen. Mithilfe von Bestandsdatenabfragen und anschließendem Abgleich mit Polizeidatenbanken werde dann oft versucht, den Kreis der Zielpersonen einzugrenzen. Wie bei der Vorratsdatenspeicherung habe diese Vorgehensweise eine große Streubreite und begründet die erhebliche Gefahr für Betroffene, ohne vorwerfbares Verhalten identifiziert zu werden. Stellungnahmen für das Verfahren zur Bestandsdatenauskunft: <ul class=„rtelist rtelist–unordered“><li><a href=„https://bestandsdatenauskunft.de/wp-content/uploads/2020/01/BDA-SH_2017-10-25_LReg-an-BVerfG.pdf“ rel=„external noopener“ target=„_blank“>Florian Becker für die Regierung und den Landtag von Schleswig-Holstein [20]</a></li> <li><a href=„https://bestandsdatenauskunft.de/wp-content/uploads/2020/01/bda-bund_2017-07-28_LfD-By-an-BVerfG.pdf“ rel=„external noopener“ target=„_blank“>Der Bayerische Landesdatenschutzbeauftragte Thomas Petri [21]</a></li> <li><a href=„https://bestandsdatenauskunft.de/wp-content/uploads/2020/01/bda-bund_2017_BfDI-an-BVerfG.pdf“ rel=„external noopener“ target=„_blank“>Die frühere Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Andrea Voßhoff [22]</a></li> <li><a href=„https://bestandsdatenauskunft.de/wp-content/uploads/2020/01/bda-bund_2017_BReg-an-BVerfG.pdf“ rel=„external noopener“ target=„_blank“>Christoph Möllers für die Bundesregierung [23]</a></li> <li><a href=„https://bestandsdatenauskunft.de/wp-content/uploads/2020/01/BDA-SH_2017-10-30_ULD-an-BVerfG.pdf“ rel=„external noopener“ target=„_blank“>Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) [24]</a></li> </ul>[Update 12.1.2020 13:24 Uhr:] Stellungnahmen am Ende der Meldung ergänzt () <hr/>URL dieses Artikels:

http://www.heise.de/-4633688

Links in diesem Artikel:

<strong>[1]</strong>&#160;https://www.heise.de/thema/Missing-Link

<strong>[2]</strong>&#160;https://www.heise.de/meldung/Passwort-Herausgabe-Scharfe-Kritik-am-grossen-Lauschangriff-im-Netz-4616839.html

<strong>[3]</strong>&#160;https://www.heise.de/meldung/Neues-Telekommunikationsgesetz-tritt-in-Kraft-102964.html

<strong>[4]</strong>&#160;https://www.heise.de/meldung/Vermittlungsausschuss-winkt-Telekommunikationsgesetz-durch-98131.html

<strong>[5]</strong>&#160;https://www.heise.de/meldung/E-Mail-Provider-klagen-in-Karlsruhe-gegen-ueberwachungsmassnahmen-110564.html

<strong>[6]</strong>&#160;https://www.heise.de/meldung/Karlsruhe-beschraenkt-Verwendung-von-Telekommunikationsdaten-1442139.html

<strong>[7]</strong>&#160;https://www.heise.de/meldung/Bestandsdatenauskunft-Nutzerinformationen-gefragt-wie-nie-1939675.html

<strong>[8]</strong>&#160;https://www.heise.de/meldung/Bundestag-regelt-Zugriff-auf-IP-Adressen-und-Passwoerter-neu-1827846.html

<strong>[9]</strong>&#160;https://www.gesetze-im-internet.de/tmg/__14.html

<strong>[10]</strong>&#160;https://www.heise.de/meldung/Verfassungsbeschwerde-gegen-Bestandsdatenauskunft-1858149.html

<strong>[11]</strong>&#160;https://www.heise.de/meldung/Laender-verabschieden-neue-Regeln-zur-Bestandsdatenauskunft-1894865.html

<strong>[12]</strong>&#160;https://www.heise.de/meldung/Justizministerium-WhatsApp-Gmail-Co-sollen-Passwoerter-herausgeben-muessen-4615602.html

<strong>[13]</strong>&#160;https://www.heise.de/meldung/Bestandsdatenauskunft-Zahl-der-Anfragen-durch-Bundeskriminalamt-stark-gestiegen-4365430.html

<strong>[14]</strong>&#160;https://www.heise.de/meldung/An-der-neuen-Copyright-Richtlinie-der-EU-scheiden-sich-die-Geister-94899.html

<strong>[15]</strong>&#160;https://www.heise.de/meldung/Bestandsdatenauskunft-Zahl-der-Anfragen-durch-Bundeskriminalamt-stark-gestiegen-4365430.html

<strong>[16]</strong>&#160;http://www.gesetze-rechtsprechung.sh.juris.de/jportal/portal/page/bsshoprod?feed=bssho-lr&amp;showdoccase=1&amp;paramfromHL=true&amp;doc.id=jlr-VwGSHV21P180a

<strong>[17]</strong>&#160;https://www.heise.de/meldung/Bayerns-Polizeigesetz-Expertenkritik-an-drohender-Gefahr-und-Praeventivhaft-4510891.html

<strong>[18]</strong>&#160;https://www.heise.de/thema/DSGVO#liste

<strong>[19]</strong>&#160;https://www.heise.de/meldung/Schwarz-Rot-verteidigt-Plan-zur-Passwort-Herausgabe-als-massvoll-4619425.html

<strong>[20]</strong>&#160;https://bestandsdatenauskunft.de/wp-content/uploads/2020/01/BDA-SH_2017-10-25_LReg-an-BVerfG.pdf

<strong>[21]</strong>&#160;https://bestandsdatenauskunft.de/wp-content/uploads/2020/01/bda-bund_2017-07-28_LfD-By-an-BVerfG.pdf

<strong>[22]</strong>&#160;https://bestandsdatenauskunft.de/wp-content/uploads/2020/01/bda-bund_2017_BfDI-an-BVerfG.pdf

<strong>[23]</strong>&#160;https://bestandsdatenauskunft.de/wp-content/uploads/2020/01/bda-bund_2017_BReg-an-BVerfG.pdf

<strong>[24]</strong>&#160;https://bestandsdatenauskunft.de/wp-content/uploads/2020/01/BDA-SH_2017-10-30_ULD-an-BVerfG.pdf

<strong>[25]</strong>&#160;mailto:bme@heise.de

Qgelm

Seiten-Werkzeuge

Webseiten-Werkzeuge

Benutzer-Werkzeuge

Missing Link: Passwortherausgabe – die Logik der Überwacher und der Kritiker