Posteo Transparenzbericht

Posteo war 2014 der erste deutsche Telekommunikations-Anbieter, der einen Transparenzbericht über Ersuchen von Strafverfolgungsbehörden veröffentlicht hat. Damals hatten wir vorab ein Rechtsgutachten eingeholt, um die rechtliche Möglichkeit solcher Berichte in Deutschland zu klären. Der Bundestagsabgeordnete Hans-Christian Ströbele hatte zusätzlich die Bundesregierung zu diesem Thema befragt.

Unser Ziel: Transparenzberichte in Deutschland zu etablieren.
Fast vier Jahre später ziehen wir Bilanz: Einige Anbieter geben inzwischen eigene Berichte heraus. Viele deutsche Unternehmen veröffentlichen jedoch weiterhin keine Zahlen über Behördenersuchen. Mehrere TK-Dienste haben nach dem Jahr 2015 keine Zahlen mehr offengelegt. Auch stellen die Angaben in den vorhandenen Berichten oft keine Transparenz her: Transparenz entsteht, wenn Anbieter angeben, wieviele Ersuchen sie zu verschiedenen Daten erhalten haben. Und: wie oft Daten im Anschluss an Behörden übermittelt wurden. Leider wird in der Regel nur eine Zahl genannt: Entweder die Ersuchen - oder die Herausgaben. Das ist nicht transparent. Kunden erfahren so nicht, wie ein Unternehmen mit Ersuchen umgeht. Oder, wieviele Anfragen rechtswidrig waren. Fehlen die Herausgabe-Zahlen, ist für die Kunden nicht erkennbar, welche Daten beim Anbieter tatsächlich über sie vorliegen.

Wir denken deshalb, dass Transparenz eine verbindliche Vereinbarung braucht: Wir wünschen uns, dass Transparenzberichte und ihre konkrete Form für deutsche Telekommunikations-Anbieter gesetzlich verpflichtend werden. Transparenz wird nur dann erzielt, wenn die Angaben in den Berichten aussagekräftig sind.

Unterstützung von Ex-Verbraucherschutzministerin Renate Künast

Auch Renate Künast (MdB), ehemalige Verbraucherschutzministerin und bisherige Vorsitzende des Bundestags-Ausschusses für Recht und Verbraucherschutz, sieht aussagekräftige Transparenzberichte als gutes Recht der Verbraucher an: "Transparenzberichte sind Ausdruck der Informationellen Selbstbestimmung der Verbraucherinnen und Verbraucher. Transparenzberichte mit Aussagekraft sind unser gutes Recht!"

Unsere Forderungen aus der Praxis für eine solche Regelung:

Für jede Datenart (also z.B. für Verkehrsdaten, Bestandsdaten, Inhaltsdaten) sollten mindestens zwei Werte angegeben werden müssen:

• Wie oft Behörden im Rahmen welches Ersuchens (also z.B. Verkehrsdatenersuchen, manuelle und automatisierte Bestandsdatenersuchen, Beschlagnahmen oder TKÜ) Daten angefragt haben.
• Wie oft die einzelnen Datenarten im Anschluss tatsächlich herausgegeben wurden. (z.B. Verkehrsdaten, Bestandsdaten, Inhaltsdaten bei Beschlagnahmen oder TKÜ)

Weitere Posteo-Vorschläge für eine verbindliche Transparenzregelung:

• Telekommunikations-Anbieter sollten auch alle Ersuchen von Nachrichtendiensten transparent in ihren Berichten aufführen müssen.
• Erfasst werden sollte auch die Quote der Ersuchen, die formal nicht in Ordnung waren. Diese statistische Rückmeldung wäre für den Gesetzgeber, die Datenschutzbeauftragten und andere gesellschaftliche Akteure wertvoll. Bei uns liegt die Quote der rechtswidrigen Ersuchen bei rund 50 Prozent, sodass wir hier akuten Handlungsbedarf sehen.
• Die Veröffentlichungen der Unternehmen sollten für eine optimale Vergleichbarkeit auch in einem Open-Data-Format erfolgen, damit sie statistisch aufbereitet werden können.

In den letzten Jahren sind Überwachungsgesetze in Deutschland immer weiter ausgebaut worden. Aus unserer Sicht fehlen Instrumente, um ihre demokratische Kontrolle im Ausgleich zu stärken. Verpflichtende Transparenzberichte können hierzu beitragen. Nachdem wir die Entwicklung vier Jahre lang beobachtet haben, regen wir das nun an.

1. Massive Sicherheitsprobleme in der Praxis der Auskunftsersuchen nach § 113 TKG

In der Praxis des Auskunftsverfahrens nach § 113 TKG liegen gravierende Sicherheitsprobleme vor. Ersuchen um Bestandsdaten nach §113 TKG enthalten sensible personenbezogene Informationen. Meist erhalten wir von den Polizeibehörden Ersuchen, in denen E-Mail-Adressen oder Namen in Verbindung mit einem konkreten Tatvorwurf genannt werden. Manchmal enthalten die Ersuchen auch vollständige Konto- bzw. Zahlungsdaten einer Person - oder Aktenzeichen der Ermittlungsbehörden.

Die Ermittlungsbehörden sind u.a. durch das BDSG gesetzlich dazu verpflichtet, "zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können." (BDSG, Anlage, Satz 4)

Rechtswidrige, unsichere Übertragung sensibler Daten

Viele Ersuchen nach § 113 TKG erreichen uns per E-Mail - und werden uns unsicher bzw. unverschlüsselt übermittelt. Dieses Vorgehen verstößt gegen die oben genannten, geltenden Datenschutzbestimmungen und ist rechtswidrig. (Siehe u.a. BDSG § 9, Anlage, Satz 4 und 8 sowie die jeweiligen Regelungen zu den „technisch-organisatorischen Maßnahmen“ der Landesdatenschutzgesetze). Werden Ersuchen unverschlüsselt übermittelt, können sie auf ihrem Weg durch das Internet leicht in die Hände von Datendieben gelangen.

Viele Ersuchen nach § 113 TKG weisen darüber hinaus weitere Mängel auf, die ebenfalls Verstöße gegen datenschutzrechtliche Bestimmungen oder andere Gesetze darstellen. Dazu zählen:

• Zusenden polizeilicher Ersuchen an den Kunden-Support - und nicht an die zuständigen Personen (Anti-Abuse-Team).
• Verwenden nicht-dienstlicher E-Mail-Postfächer zum Übermitteln von Ersuchen, Angabe solcher Postfächer als Antwortmöglichkeit
• Ersuchen um Informationen und Daten, deren Herausgabe im Rahmen von Abfragen nach §113 TKG nicht zulässig ist, z.B. um Verkehrsdaten wie IP-Adressen
• fehlende Angabe einer sicheren Antwortmöglichkeit
• fehlende Angabe der Rechtsgrundlage der Anfrage (gesetzlich vorgeschrieben)

Galerie 1: Beispiele für unsicher übermittelte Behördenersuchen

• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 

Datenschützern ist das Problem bekannt

Ein großer Teil der Anfragen nach §113 TKG erreichen uns auf diese Weise (per unverschlüsselter E-Mail). Gelegentlich erreichen uns per E-Mail auch Ersuchen mit einem unverschlüsselten Dokument im Anhang, das fälschlicherweise als "Telefax-Nachricht" überschrieben ist. Wir haben uns erstmals im Januar 2015 bei den jeweils zuständigen Landesdatenschutzbeauftragten über die unsichere Übertragung sensibler Daten durch Polizeibehörden beschwert. Die Antworten der Datenschützer waren eindeutig: Das Problem der unsicheren Übermittlung sensibler Daten durch Polizeibehörden ist bekannt und immer wieder Anlass für Gespräche und Kontrollen. Die Antworten belegen, dass das unsichere Versenden sensibler Informationen durch Polizeibehörden ein Thema ist, bei dem dringender Handlungsbedarf besteht.
So schrieb uns der nordrhein-westfälische Datenschutzbeauftragte:

„Gegenüber dem Ministerium für Inneres und Kommunales des Landes Nordrhein-Westfalen (MIK NRW) habe ich wiederholt darauf hingewiesen, dass Anfragen in Ermittlungsverfahren grundsätzlich auf dem Postweg bzw. in begründeten Fällen auch per Fax erfolgen sollten. Wenn im Ausnahmefall eine Anfrage per E-Mail erforderlich sein sollte, so müsste entweder die Nachricht selbst verschlüsselt werden oder zumindest die Übermittlung personenbezogener Daten müsste in einem verschlüsselten Dateianhang erfolgen. Ihre Anfrage werde ich zum Anlass nehmen, diese Thematik nochmals gegenüber dem MIK NRW aufzugreifen und auf eine datenschutzgerechte Ausgestaltung der polizeilichen Ermittlungen hinzuwirken.“

(Vollständige Antwort: Siehe Galerie 2, weiter unten)

Und der bayerische Landesdatenschützer teilte uns mit:

„Nachdem die Übermittlung von personenbezogenen Daten in unverschlüsselten E-Mails durch sonstige Behörden oder durch die Polizei immer wieder Anlass für datenschutzrechtliche Überprüfungen gibt, habe ich mich mit diesem Thema bereits mehrmals in meinen Tätigkeitsberichten befasst. (…) Zudem kann ich Ihnen versichern, dass ich dieses Thema auch unabhängig von meinen konkreten Kontrollen mit den zuständigen Stellen der Polizei regelmäßig erörtere. So stehe ich derzeit mit dem Bayerischen Landeskriminalamt in Kontakt, um die Ausgestaltung des dort betriebenen Abrufverfahrens bei Telekommunikationsdiensten zu überprüfen.“

(Vollständige Antwort: Siehe Galerie 2, weiter unten)

Der mecklenburgische Datenschutzbeauftragte wurde ebenfalls aktiv:

„Ich habe die betreffende Dienststelle kontaktiert und sie auf ihre Umsetzung von datenschutzrechtlichen Maßnahmen hingewiesen, damit Sie in Zukunft Anfragen nach § 113 TKG auf sicherem Wege erreichen und die Rechte des Betroffenen damit nicht verletzt werden. Ebenfalls habe ich das Ministerium für Inneres und Sport Meckelnburg-Vorpommern auf diesen Missstand aufmerksam gemacht. Das Ministerium (...) versicherte mir, die Beamtinnen und Beamten hinsichtlich des richtigen Umgangs mit personenbezogenen Daten und des Umgangs mit TKÜ-Abfragen nach § 113 TKG erneut zu sensiblisieren. “

(Vollständige Antwort: Siehe Galerie 2, weiter unten)

Und der sächsische Datenschutzbeauftragte setzte dem Landespolizeipräsidenten gar ein Ultimatum:

„Wir unterstützen Ihr Anliegen unbedingt. Ich habe deshalb mit heutiger Post den Landespolizeipräsidenten mit der Bitte um Abhilfe angeschrieben und ihn gebeten, bis zum 15.04.2015 mitzuteilen, welche Abhilfemaßnahmen er ergriffen hat.“

(Vollständige Antwort: Siehe Galerie 2, weiter unten)

Die Antworten der Landesdatenschützer an uns belegen, dass die unverschlüsselten Ersuchen ein dort bekanntes Problem sind. Wenn Polizeibehörden sensible Daten, zum Beispiel im Rahmen von Ersuchen nach §113 TKG, unverschlüsselt durch das Internet senden, ist dies übrigens nicht nur ein Problem aus Datenschutzsicht: Es ist auch rechtswidrig, verletzt die Rechte des Betroffenen und gefährdet möglicherweise laufende Ermittlungen. Denn Datendiebe können so leicht an die Ersuchen bzw. die Behörden-Kommunikation gelangen.

In einigen Fällen haben wir die Bürokratie als sehr schwerfällig erlebt. So antwortete uns der Berliner Datenschutzbeauftragte nach fünf Monaten zu einem Fall zurück: „Leider konnte die Angelegenheit bislang noch nicht abschließend geklärt werden.“

Einige Monate zuvor hatte er uns bereits schriftlich mitgeteilt, dass er die Polizei um Informationen zu allgemeinen Vorgaben zu Auskunftsersuchen bzw. zur Versendung personenbezogener Daten gebeten habe.

Fazit: Wir nehmen an, dass insgesamt und flächendeckend Sicherheitsprobleme in der Praxis der manuellen Bestandsdatenauskunft (nach § 113 TKG) bestehen. Bei Posteo ist zumindest per E-Mail noch kein einziges Ersuchen von Polizeibehörden eingegangen, das verschlüsselt gewesen wäre und somit den gesetzlichen Anforderungen an die sichere Übermittlung entsprochen hätte.

Und die Antworten der Datenschützer haben uns bestätigt, dass nicht nur wir betroffen sind.

Galerie 2: Vollständige Antworten von Landesdatenschutzbeauftragten

• 
• 
• 
• 
• 
• 

Beschwerden führen nicht zu Abhilfe

Leider haben unsere Beschwerden bisher noch nicht zu einer Abhilfe geführt. Uns wurden auch im Laufe der Jahre 2015 und 2016 weiterhin alle Ersuchen, die per E-Mail eingingen, unsicher übermittelt. Auch aus Bundesländern, deren Landesdatenschutzbeauftragte sich besonders engagiert gezeigt hatten. Wir fragen uns deshalb, wie Abhilfe geschaffen werden kann. Wenn Beamte nicht ausreichend auf den sicheren Umgang mit sensiblen Daten und IT-Technik geschult sind, stellt dies ein grundlegendes Sicherheitsproblem in der Polizeiarbeit dar.

Wir werden den Datenschutzbeauftragten weiterhin regelmäßiges Feedback aus der Praxis geben und sie über jedes unverschlüsselt übermittelte Ersuchen informieren, das uns erreicht.

Wir sehen die Sicherheit des Verfahrens in der Praxis derzeit nicht gewährleistet. Deshalb haben wir uns auch an die Politik gewandt. Es ist schließlich nicht Aufgabe der Provider, das rechtsstaatliche Handeln der Behörden zu überprüfen oder darauf hinzuwirken. Das muss der Staat selbst leisten und sicherstellen. Im Juli 2015 haben wir bei einem Termin im Posteo Lab dem Vorsitzenden der SPD-Fraktion, Thomas Oppermann, eine Stellungnahme hierzu übergeben. Thomas Oppermann schrieb daraufhin den Bundesinnenminister, Thomas de Maiziere, an. Der Bundesinnenminister räumte in seiner Antwort an Thomas Oppermann Rechtsverstöße in der Praxis ein. Er erklärte jedoch, das BKA würde nur dann im Klartext Bestandsdaten begehren, wenn beim Provider keine Verschlüsselung für die E-Mail-Kommunikation möglich sei oder es die bei der Polizeibehörde genutzten Methoden nicht unterstütze. Die Aussagen des Ministers sind bemerkenswert. Offenbar hält er Rechtsverstöße unter bestimmten Umständen hier für gerechtfertigt. Auch treffen seine Aussagen nicht zu: Wir stellen z.B. die notwendigen Schlüssel zur sicheren Kommunikation auf unserer Website bereit. Mit uns ist eine verschlüsselte Kommunikation zweifellos möglich. Dennoch haben wir bereits mehrere Ersuchen des BKA erhalten, die alle unsicher übermittelt wurden. Jede unsichere Übermittlung ist ein Verstoß gegen das BDSG. Strafverfolger müssen gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Bietet ein Provider keine Möglichkeit zur verschlüsselten Kommunikation an, ist der Fax- oder Postweg zu verwenden. Die Sicherheit von Behörden-Kommunikation muss dringend verbessert werden, sonst können Datendiebe und Hacker sie leicht erbeuten.

2. Unzulässige Ersuchen nach dynamischen IP-Adressen

Um in das nächste Problemfeld einzuführen, das wir in der Praxis von Abfragen nach §113 TKG sehen, bleiben wir gleich in der Politik: Bereits im Januar 2013 hatte sich der SPD-Abgeordnete Burkhard Lischka mit einer schriftlichen Anfrage an die Bundesregierung gewandt. Er fragte, ob der Bundesregierung bekannt sei,

„dass in der Praxis zahllose auf § 113 des Telekommunikationsgesetzes (TKG) gestützte Auskunftsersuchen die Herausgabe von Daten zum Gegenstand haben, die keine Bestandsdaten sind (z. B. Log Files, dynamische IP-Adressen, (...)“.

Anfrage an die Bundesregierung (ab Seite 7, Fragen 12, 13 und 14)

Und er fügte hinzu: „Wenn ja, welche Behörden betreiben diese rechtswidrige Praxis, und was unternimmt die Bundesregierung, um dies abzustellen?“

Der Hintergrund seiner Anfrage: Einige Monate zuvor hatte der Bundesverband der Informationswirtschaft, BITKOM, in einer Stellungnahme an den Rechtsausschuss des Deutschen Bundestages wie folgt auf Missstände bei der Bestandsdatenauskunft aufmerksam gemacht:

„In der Praxis sind zahllose, auf § 113 TKG gestützte Auskunftsersuchen bekannt, die die Herausgabe von Daten zum Gegenstand haben, die gerade keine Bestandsdaten sind (z.B. log-files, IP-Adressen, Datum und Uhrzeit des letzten Zugriffs auf einen Account, bekannte E-Mail-Adressen des Betroffenen bei anderen Providern, Identität der Behörden, die bereits nach denselben Bestandsdaten gefragt haben, etc..). Daraus folgt, dass die Anbieter bereits heute mit zahlreichen Anfragen umzugehen haben, die der Ausforschung dienen und weit über den Regelungsgehalt der Norm hinausgehen.“

Stellungnahme des BITKOM vom 17.10.2012

Zur Erklärung: Der BITKOM hatte beanstandet, dass Behörden im Rahmen von Bestandsdatenabfragen (nach § 113 TKG) häufig nach Daten ersuchen, deren Herausgabe bei solchen Abfragen überhaupt nicht rechtmäßig ist. Behörden dürfen bei Abfragen nach §113 TKG, für die kein Richtervorbehalt existiert, nämlich ausschliesslich um Bestandsdaten ersuchen - also etwa um Namen und Adressen. Nicht aber nach dynamischen IP-Adressen oder Logfiles; diese hochsensiblen Verkehrsdaten unterliegen dem Fernmeldegeheimnis und dürfen nur auf Anordnung eines Richters herausgegeben werden.

In ihrer Antwort vom 28.01.2013 wies die Bundesregierung die Aussagen des BITKOM als „Behauptungen“ zurück:

„Der Bundesregierung sind – abgesehen von der in der Fragestellung zitierten Behauptung in der Stellungnahme des BITKOM – keine derartigen Vorwürfe bekannt.“

Antwort der Bundesregierung (ab Seite 7, Fragen 12, 13 und 14)

Die Bundesregierung habe die vom BITKOM erhobenen Vorwürfe allerdings zum Anlass genommen, verschiedene Ermittlungsbehörden hierzu zu befragen. Und sie konstatierte:

„Die Ergebnisse der Abfrage haben keine Anhaltspunkte für rechtswidrige Anfragen ergeben.“

Behörden ersuchen rechtswidrig um dynamische IP-Adressen

Wir können die "Behauptungen" des BITKOM bestätigen: In ca. 30% aller Ersuchen von Polizeibehörden, die uns in den Jahren 2014 - 2016 im Rahmen von Bestandsdatenabfragen nach § 113 TKG erreichten, fragten Polizeibeamte rechtswidrig nach dynamischen IP-Adressen der Anmeldungen bzw. nach der IP-Adresse des letzten Logins.

Als Beleg veröffentlichen wir hier fortlaufend Beispiele solcher rechtswidriger Ersuchen (geschwärzt): Die Originale liegen bei Posteo schriftlich vor. In ihnen wird auch deutlich, dass Beamte nicht nur rechtswidrig um die Herausgabe von IP-Adressen ersuchen, sondern sogar gelegentlich verlangen, diese gesondert für ihre Ermittlungen zu erheben und zu speichern. Dies ist ebenfalls nicht zulässig.

Galerie 3: Beispiele für unzulässige Behördenersuchen um IP-Adressen

• 
• 
• 
• 
• 

Wir finden es erstaunlich, dass die Bundesregierung sich im Januar 2013 offenbar nicht über den BITKOM an die Unternehmen gewandt hat, denen solche rechtswidrigen Anfragen schriftlich vorliegen. Die Bundesregierung hätte sich unserer Ansicht nach direkt bei den Unternehmen informieren und ggf. geeignete Abhilfemaßnahmen treffen müssen. Dass sie dies unterlassen hat, obwohl sie von einem großen deutschen Branchenverband über rechtswidrige Praktiken von Behörden informiert wurde, ist für uns völlig unverständlich. Stattdessen wurden offenbar lediglich Behörden befragt und die Aussagen des Hightechverbandes wurden als Behauptungen bezeichnet. Wenn Hinweise auf rechtswidrige Praktiken der Exekutive bestehen, sollte diesen in einem Rechtsstaat ernsthafter nachgegangen werden.

Bundesregierung im Jahr 2015 erneut befragt

Der Bundestagsabgeordnete Dieter Janecek (der wirtschaftspolitische Sprecher der Fraktion der Grünen), hat die Bundesregierung im Sommer 2015 erneut zu diesem Thema befragt. Er wollte wissen, ob sie bei ihrer Einschätzung bleibt. In seiner Frage verwies der Abgeordnete auf die Stellungnahme des BITKOM sowie auf den Posteo-Transparenzbericht.

Das Bundesinnenministerium erklärte in seiner Antwort:

"Der Bundesregierung liegen weiterhin keine Anhaltspunkte für rechtswidrige Anfragen vor." Und es fügte hinzu: "Üblicherweise unterrichten die zuständigen Datenschutzkontrollinstanzen auch die obersten Bundesbehörden über von ihnen festgestellte Verstöße gegen Datenschutzbestimmungen. Darüber hinausgehender Verfahren bedarf es nach Ansicht der Bundesregierung nicht.

Antwort der Bundesregierung vom 19.08.2015

Datenschützer reagierten auf Beschwerden zur IP-Adressen-Problematik nicht

Evtl. besteht hier ein Kommunikations-Problem zwischen den Datenschützern und der Bundesregierung: Denn wir hatten uns in allen Fällen, in denen Polizeibeamte unrechtmäßig nach IP-Adressen ersuchten, bei den jeweiligen Landesdatenschutzbeauftragten beschwert. In ihren Antworten ging aber keiner der Datenschützer auf unsere diesbezüglichen Beschwerden ein. Offenbar wurden unsere Beschwerden auch nicht an die "obersten Bundesbehörden" weitergegeben, wie es nach Aussage des BMI sonst üblich sein soll. Es handelt sich bei rechtswidrigen Ersuchen um IP-Adressen aber auch nicht um "Verstöße gegen Datenschutzbestimmungen". Das Ersuchen um IP-Adressen bei Bestandsdatenauskünften ist nach dem Telekommunikationsgesetz (TKG) rechtswidrig. Betroffen sind nicht nur Landespolizeibehörden. Auch von Ermittlungsbehörden des Bundes haben wir bereits solche rechtswidrigen Ersuchen erhalten.

Unser Fazit: Die Bundesregierung interessiert es offenbar überhaupt nicht, ob bei der Bestandsdatenauskunft rechtswidrige Praktiken oder Sicherheitsprobleme bestehen. Das Bundesinnenministerium bleibt seit Jahren untätig. Da durch solche Anfragen die Rechte von Bürgerinnen und Bürgern regelmäßig verletzt werden, ist dies unserer Ansicht nach verantwortungslos.

Auseinandersetzungen wegen IP-Adressen-Problematik

Gerade in Fällen, in denen im Rahmen von Abfragen nach §113 TKG bei Posteo rechtswidrig um Verkehrsdaten ersucht wurde, ist es in der Folge wiederholt zu Situationen gekommen, in denen wir uns unter Druck gesetzt und bedroht sahen. Wir gehen stets so vor, dass wir die Beamten auf die geltende Rechtslage verweisen. Wir weisen sie darauf hin, dass wir uns mit dem Herausgeben von Verkehrsdaten bei Abfragen nach §113 TKG strafbar machen würden (siehe § 206 StGB) und für die Herausgabe von Verkehrsdaten ein richterlicher Beschluss vorliegen muss. Wir erläutern den Beamten, dass sie im Rahmen einer Abfrage nach § 113 TKG nur anhand einer IP-Adresse, die ihnen bereits bekannt ist, nach Bestandsdaten ersuchen dürfen. Dass die umgekehrte Auskunft nicht zulässig ist, ist Beamten häufig nicht bekannt.

Einige reagieren auf diese Information verwundert bis aufgebracht. Uns gegenüber haben Beamte bereits wiederholt behauptet, bei anderen Verpflichteten problemlos auch im Rahmen von Abfragen nach § 113 TKG IP-Adressen zu erhalten. Ob dies zutrifft oder wir nur verunsichert werden sollten, wissen wir nicht. Was wir aber belegen können: Polizeibeamte ersuchen bei Abfragen nach § 113 TKG regelmäßig und mit einer großen Selbstverständlichkeit schriftlich um Verkehrsdaten (siehe Bildergalerie mit Beispielen). Deshalb halten wir es für durchaus möglich, dass die Rechtsvorschriften in der Auskunftspraxis auch von den Verpflichteten (z.B. von Unternehmen) nicht immer beachtet werden.

Ein möglicher Grund hierfür könnte sein, dass der Kreis der zur Auskunft nach §113 TKG Verpflichteten sehr groß ist - und nicht auf Telekommunikationsanbieter beschränkt. Viele der Verpflichteten verfügen ggf. nicht über die notwendigen Rechtskenntnisse, um rechtswidrige Abfragen korrekt als solche identifizieren zu können.

Folge: Hohe Anwaltskosten

Uns sind durch eskalierte, unrechtmäßige Forderungen nach IP-Adressen wiederholt enorme Anwaltskosten und insgesamt ein finanzieller Schaden im mittleren fünfstelligen Bereich entstanden. Zum Beispiel, um "Schutzschriften" bei Gerichten zu hinterlegen, für die Korrespondenz mit Ermittlungsbeamten, Rechtsberatung etc.. In einem Fall haben wir Ermittlungsbeamte, die uns sogar persönlich aufgesucht hatten, angezeigt. Die Staatsanwaltschaft gab unseren Anzeigen allerdings keine Folge - wie unsere Anwälte uns schon vorab in Aussicht gestellt hatten. Sie erklärte, unsere Anzeige sei schlichtweg falsch und stellte das Verfahren gegen die Beamten ohne weitere Ermittlungen gegen diese ein. Stattdessen beantragte sie einen Strafbefehl wegen "falscher Verdächtigung", den das Gericht auch erlassen hat. Der Geschäftsführer von Posteo, Patrik Löhr, wurde zur Zahlung einer Geldstrafe verpflichtet. Den hohen Anwaltskosten steht gegenüber, dass wir theoretisch für jede Bestandsdatenabfrage nach § 113 TKG achtzehn Euro vom Staat für unseren Aufwand zurückerhalten könnten. Von dieser Möglichkeit machen wir jedoch keinen Gebrauch. Wir nehmen als datenschutzorientiertes Unternehmen grundsätzlich kein Geld von Behörden für Abfragen von Kundendaten an.

Abfragen nach §113 TKG werden mit Wiedereinführung der Vorratsdatenspeicherung an Bedeutung gewinnen

Wir haben aufgezeigt, dass die Sicherheit des Verfahrens derzeit nicht gewährleistet ist und dass Behörden bei Abfragen nach §113 TKG bei Posteo regelmäßig rechtswidrig um Verkehrsdaten wie dynamische IP-Adressen ersuchen. Außerdem haben wir dargelegt, dass das Problem der unsicheren Übermittlung den Landesdatenschutzbeauftragten bekannt ist. Des weiteren haben wir darauf hingewiesen, dass der Branchenverband BITKOM die Bundesregierung bereits 2012 auf zahllose rechtswidrige Ersuchen bei Abfragen nach § 113 TKG aufmerksam gemacht hatte.

Angesichts der Verfahrensmängel möchten wir hiermit darauf aufmerksam machen, dass das Verfahren nach §113 TKG mit der Vorratsdatenspeicherung ("Gesetz zur Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten") an Bedeutung gewinnen wird. Das Gesetz wird eine starke Vergrößerung der für die Bestandsdatenauskunft zur Verfügung stehenden Datenmengen bewirken.

Eine begehrte Auskunft: Mit Abfragen nach §113 TKG werden Internetnutzer identifiziert

Berechtigte Stellen werden über das Verfahren künftig viel häufiger die Information erhalten können, welcher Person zu einem bestimmten Zeitpunkt eine dynamische IP-Adresse zugewiesen war. Ein Beispiel: Ein Beamter tritt mit einer IP-Adresse an einen Provider heran und möchte wissen, welche Person sich hinter der Adresse verbirgt. Der Provider gleicht die IP-Adresse mit den IP-Daten ab, die in seinen Datenbanken für die Vorratsdatenspeicherung vorgehalten werden. Dies ist dem Provider ohne richterlichen Beschluss erlaubt. Dem Beamten muss er dann mitteilen, welche Person hinter einer IP-Adresse steht (noch einmal: nicht umgekehrt). Eine sehr begehrte Auskunft, für deren Abfrage kein Richtervorbehalt vorgesehen ist und die bereits bei Ordnungswidrigkeiten eingeholt werden kann.

Wir gehen deshalb davon aus, dass sich die Anzahl der Abfragen nach § 113 TKG, und somit auch die Anzahl der unsicheren bzw. rechtswidrigen Abfragen, mit der Einführung des neuen Gesetzes stark erhöhen wird. Für diese Annahme gibt es einen weiteren Grund: Der Abgleich von IP-Daten und die anschließende Herausgabe von Bestandsdaten kann nur über das manuelle Auskunftsverfahren nach §113 TKG erfolgen. Über das automatisierte Verfahren nach §112 TKG ist dies nicht möglich.

Anzahl rechtswidriger Abfragen würde sich deutlich erhöhen

Wir sind der Ansicht, dass das Auskunftsverfahren nach § 113 TKG mit seinen derzeitigen offenkundigen Praxismängeln hierfür keinesfalls geeignet ist. Schon heute wird durch das Verfahren eine große Zahl sensibler Bürgerdaten unsicher übertragen und es kommt zu zahlreichen rechtswidrigen Abfragen durch Behörden.

Auch die Kontrolle des Verfahrens ist nicht ausreichend: Es existieren unseres Wissens nach aktuell nicht einmal Statistik-Pflichten für Abfragen nach §113 TKG. Somit könnte nicht einmal evaluiert werden, wie sich die Einführung des Gesetzes zur Vorratsdatenspeicherung konkret auf die Anzahl der Abfragen auswirkt - und der Öffentlichkeit würde die Anzahl der Abfragen durch staatliche Stellen auch im Nachhinein nicht bekannt werden.

Bundesregierung muss handeln: Von Einführung der Vorratsdatenspeicherung muss abgesehen werden

Es ist auf keinen Fall hinnehmbar, dass sensible Daten der Bürgerinnen und Bürger weiterhin durch Behörden ungesichert durch das Internet gesendet bzw. abgefragt werden oder dass dynamische IP-Adressen, die dem Fernmeldegeheimnis unterliegen, auf einfache Anfragen nach §113 TKG ohne richterlichen Beschluss herausgegeben werden. Unserer Ansicht nach dürfen deshalb auch keine neuen Gesetze oder Richtlinien eingeführt werden, die die Anzahl der rechtswidrigen und unsicheren Ersuchen noch einmal erhöhen würden.

Deshalb fordern wir, dass die Bundesregierung schnellstmöglich Maßnahmen trifft, die dazu geeignet sind sicherzustellen, dass die Abfrage bzw. Übertragung von sensiblen Bürgerdaten durch Behörden nach §113 TKG grundsätzlich auf einem sicheren Wege (keine proprietären Lösungen) und auch sonst gemäß der gesetzlichen Bestimmungen erfolgt – und wenn sie per E-Mail erfolgt, dann ausschliesslich per verschlüsselter E-Mail. Darüber hinaus fordern wir, dass die Bundesregierung schnellstmöglich Maßnahmen trifft, die sicherstellen, dass im Rahmen von Bestandsdatenabfragen nicht mehr rechtswidrig nach Verkehrsdaten ersucht wird oder um andere Informationen, die weit über den Regelungsgehalt der Norm hinausgehen.

Wir sind der Auffassung, dass hier offenkundiger Bedarf besteht, Prozesse insgesamt in organisatorischer Hinsicht dahingehend anzupassen, dass eine datenschutzgerechte und rechtsstaatkonforme Ausgestaltung des Auskunftsverfahrens in Zukunft sichergestellt werden kann. Hierfür schlagen wir unter anderem das Einführen von Berichtspflichten vor (siehe Abschnitt zur Kontrolle der Auskunftsverfahren).

Bis diesbezüglich Abhilfe geschaffen wurde, ist eine Vorratsdatenspeicherung ("Einführung des Gesetzes zur Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten") unserer Ansicht nach alleine schon deshalb nicht vertretbar, da sie in der Praxis die Anzahl der unsicheren und unzulässigen Datenübermittlungen und der Rechtsbrüche im Rahmen des Auskunftsverfahrens nach §113 TKG noch weiter erhöhen wird.

Unabhängig davon lehnen wir die Wiedereinführung der Vorratsdatenspeicherung auch aus vielen weiteren Gründen insgesamt und mit Nachdruck ab, wie z.B. aus Gründen des Datenschutzes und der Datensicherheit sowie aufgrund der mit ihr einhergehenden verdachtsunabhängigen Grundrechtseinschränkungen, die wir für nicht vertretbar halten. Bitte lesen Sie hierzu auch unsere Ausführungen zum Kontrollinstrument des Richtervorbehaltes, das wir in diesem Bericht ebenfalls kritisieren. Zwar sind E-Mailanbieter von der Vorratsdatenspeicherung ausgenommen. Das Gesetz wird E-Mail-Anbieter wie Posteo bei Abfragen nach § 113 TKG allerdings mit noch mehr rechtswidrigen Abfragen und den damit einhergehenden Bürokratie- und Anwaltskosten konfrontieren.

Desweiteren fordern wir, dass das Bundesamt für Sicherheit in der Informationstechnik (BSI) als unabhängige Bundesbehörde aus dem Geschäftsbereich des Bundesinnenministeriums (BMI) herausgelöst wird, damit das BSI ein unabhängiger Ansprechpartner in Sicherheitsfragen sein kann.

Erstellt am 17. Januar 2018 11:00 Uhr

Wir haben auch im Jahr 2017 wieder viele Ersuchen mit formalen Mängeln erhalten, insgesamt lag ihre Quote bei 42 Prozent. Bei den Bestandsdatenersuchen lag die Quote der rechtswidrigen Ersuchen bei 44 Prozent.

Von den Polizeibehörden aus Sachsen, Hessen, Nordrhein-Westfalen, Rheinland-Pfalz, Niedersachsen, Thüringen, Berlin und Brandenburg haben wir im Jahr 2017 ausnahmslos Ersuchen mit formalen Mängeln erhalten.

Positive Entwicklung in Bayern

Ein Bundesland fiel im Jahr 2017 positiv auf: Aus Bayern hatten uns in früheren Jahren viele rechtswidrige Ersuchen erreicht. 2017 waren von 8 Anfragen 7 formal in Ordnung.
Das kann auch am Engagement des bayerischen Datenschutzbeauftragten liegen, der auf unsere Beschwerden wiederholt antwortete, man arbeite an einer Lösung.
Auch aus Baden-Württemberg haben uns mehr korrekte Ersuchen erreicht.

Unverschlüsselte Polizeiersuchen beschäftigten Landtag und Behörden in Rheinland-Pfalz

Nach unserem letzten Transparenzbericht für das Jahr 2016 hatte der SWR das Thema im Februar 2017 aufgegriffen und über Gesetzesverstöße der Polizeibehörden in Rheinland-Pfalz berichtet. Die Redaktion hatte zuvor bei uns Belege für Verstöße gegen das Datenschutzgesetz erfragt - und diese auch erhalten.
In der Folge beschäftigte das Thema den Landtag und das zuständige Innenministerium in Mainz.
Die Opposition forderte den Einsatz von Verschlüsselungstechnik bei der Polizei. Das Innenministerium behauptete, die Probleme bestünden aufgrund der Verwendung unterschiedlicher Verschlüsselungstechniken auf Seiten der Polizei und der Vielzahl von Mail-Anbietern. Außerdem sei das ein Problem der Polizei in ganz Deutschland. Ein Sprecher des Innenministeriums erklärte damals, in Zusammenarbeit mit der Bundesnetzagentur würden zurzeit technische Standards für eine Vereinheitlichung verschlüsselter Datenabfragen entwickelt.

Tatsächlich gibt es gleich zwei standardisierte Verschlüsselungsverfahren, die seit Jahrzehnten verfügbar sind. Polizeidienststellen könnten diese Standardverfahren bundesweit unabhängig vom Anbieter ohne Weiteres nutzen - und so den Vorgaben des Datenschutzrechtes umgehend entsprechen. Drei Monate nach der Debatte in Rheinland-Pfalz haben wir erneut ein Auskunftsersuchen von den dortigen Polizeibehörden erhalten. Wieder per unverschlüsselter E-Mail, wieder enthielt es sensible Daten.

Die Ermittlungsbehörden sind u.a. durch das BDSG gesetzlich dazu verpflichtet,"zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können." (BDSG, Anlage, Satz 4)

Rechtswidrige, unsichere Übertragung sensibler Daten

Viele Ersuchen nach § 113 TKG erreichen uns per E-Mail - und werden uns unsicher bzw. unverschlüsselt übermittelt. Dieses Vorgehen verstößt gegen die oben genannten, geltenden Datenschutzbestimmungen und ist rechtswidrig. (Siehe u.a. BDSG § 9, Anlage, Satz 4 und 8 sowie die jeweiligen Regelungen zu den „technisch-organisatorischen Maßnahmen“ der Landesdatenschutzgesetze). Werden Ersuchen unverschlüsselt übermittelt, können sie auf ihrem Weg durch das Internet leicht in die Hände von Datendieben gelangen.

Viele Ersuchen nach § 113 TKG weisen darüber hinaus weitere Mängel auf, die ebenfalls Verstöße gegen datenschutzrechtliche Bestimmungen oder andere Gesetze darstellen. Dazu zählen:

• Zusenden polizeilicher Ersuchen an den Kunden-Support - und nicht an die zuständigen Personen (Anti-Abuse-Team).
• Verwenden nicht-dienstlicher E-Mail-Postfächer zum Übermitteln von Ersuchen, Angabe solcher Postfächer als Antwortmöglichkeit
• Ersuchen um Informationen und Daten, deren Herausgabe im Rahmen von Abfragen nach §113 TKG nicht zulässig ist, z.B. um Verkehrsdaten wie IP-Adressen
• fehlende Angabe einer sicheren Antwortmöglichkeit
• fehlende Angabe der Rechtsgrundlage der Anfrage (gesetzlich vorgeschrieben)

Galerie: Beispiele rechtswidriger Ersuchen aus dem jahr 2017:

• 
• 
• 
• 
• 
• 

Mehr Informationen zu diesem Thema finden Sie in unserem 2015 veröffentlichten Hauptartikel. Dort sind rechtswidrige Ersuchen aus den Vorjahren dokumentiert und wir legen Antworten von Datenschutzbeauftragten zu den Datenschutzverstößen offen.

Dass in der Praxis von Auskunftsverfahren regelmäßig Kontrollen stattfinden, ist in einer Demokratie für ein ausgeglichenes Verhältnis zwischen Sicherheit und Freiheit unerlässlich. Durch sie kann einem Missbrauch der Verfahren vorgebeugt oder dieser zumindest im Nachhinein festgestellt werden. Unzulässigen Praktiken kann mit Kontrollen entgegengewirkt werden. Unserer Überzeugung nach weist auch die Kontrolle der Auskunftsverfahren nach § 113 TKG und § 112 TKG gravierende Defizite auf – wenn man denn überhaupt von Kontrolle sprechen kann.

Beispiel § 112 TKG: Millionen automatisierter Abfragen und nur eine Handvoll Kontrollen

Behörden können nicht nur im Rahmen der manuellen Bestandsdatenauskunft nach §113 TKG um Bestandsdaten ersuchen. Es gibt auch das automatisierte Verfahren nach § 112 TKG, an dem ca. 150 größere Telekommunikationsunternehmen teilnehmen (bei Posteo kann nur nach § 113 TKG um Daten ersucht werden). In Deutschland werden auf diese Weise jährlich mehrere Millionen automatisierte Abfragen nach Bestandsdaten nach § 112 TKG getätigt. Im Jahr 2014 wurden insgesamt 6,92 Mio. Ersuchen bei der Bundesnetzagentur (BNetzA) gestellt, die zusammengenommen zu 34,30 Mio. Abfragen bei Telekommunikationsanbietern führten. Wir haben uns gefragt, wie viele Kontrollen diesen millionenfachen Abfragen durch Behörden eigentlich gegenüberstehen. Deshalb haben wir die zuständigen Stellen angeschrieben.

Aus den Antworten der Datenschutzbeauftragten geht hervor, dass in den vergangenen Jahren offenbar nur eine Handvoll der Abfragen durch die BNetzA und die Bundesdatenschutzbeauftragte (BfDi) kontrolliert wurden. Und das auch meist nur nach konkreten Hinweisen auf Innentäter, die aus den Polizeibehörden selbst gemeldet wurden.

Die Bundesdatenschutzbeauftragte teilte uns hierzu schriftlich mit: "In den letzten Jahren gab es nur wenige Anfragen zu Auskünften nach §112 TKG, meist von Polizeibehörden. Diese Fälle wurden zusammen mit der BNetzA überprüft." Vollständige Antwort: Siehe Galerie 4, weiter unten

Letzte Erwähnung von Kontrollen in zehn Jahre altem Tätigkeitsbericht

Um diese "wenigen Fälle", die kontrolliert wurden, näher zu erläutern, verwies uns die BfDi allerdings lediglich auf die sehr alten Tätigkeitsberichte der Jahre 2001-2004. Mit dem Zusatz, dass "die durchaus noch aktuell sind".

Im Bericht 2003-2004 ist konkret von drei Fällen die Rede:

"Während des Berichtszeitraums gab es nur wenige Anfragen von Polizeibehörden wegen des Verdachts auf unberechtigte Abfragen durch Innentäter. In drei Fällen konnten Daten zurückgemeldet werden, die zu einem Ermittlungsverfahren geführt haben."

Siehe 20. Tätigkeitsbericht des BfDI 2003-2004, Seite 144 ff.

Ein Blick in die neueren Berichte zeigt: Kontrollen von Abfragen nach § 112 TKG werden in den Tätigkeitsberichten von 2005-2014 offenbar nicht mehr erwähnt. Ob nach 2004 also überhaupt noch Kontrollen durchgeführt wurden, ist deshalb für die Öffentlichkeit nicht feststellbar. Für uns ein sehr ernüchterndes Ergebnis.

Bevor wir dieses Ergebnis kannten, hatten wir schriftliche Anfragen an alle Landesdatenschutzbeauftragten gerichtet, um Zahlen für die Kontrollen aus den Jahren 2013 und 2014 zu erhalten. Denn bei Abfragen nach § 112 TKG haben auch die Landesdatenschützer Kontrollbefugnisse, wenn es um Ersuchen von öffentlichen Stellen ihrer Länder geht. Auch hier Ernüchterung: Alle Datenschützer antworteten uns, dass sie keine Kontrollen von Abfragen nach §112 TKG durchgeführt haben. Einige der Datenschützer wollen aber aufgrund unserer Anfrage künftig Kontrollen durchführen.

So schrieb uns der Hamburgische Datenschutzbeauftragte:

"Ihre Anfrage wird aber zum Anlass genommen noch in diesem Jahr eine datenschutzrechtliche Kontrolle bei den in § 112 Abs. 2 TKG bezeichneten Stellen durchzuführen."

Vollständige Antwort: Siehe Galerie 4, weiter unten

Und aus Rheinland-Pfalz erhielten wir die Zusage:

"Da im Land allerdings ein Kompetenz-Zentrum für Telekommunikationsüberwachungsmaßnahmen eingerichtet wurde, habe ich diesen Bereich ohnehin auf meinem Prüfplan für das laufende Jahr. In diesem Zusammenhang werde ich auch das Verfahren gem. § 112 TKG und konkret auf dieser Basis erfolgende Abrufe kontrollieren."

Vollständige Antwort: Siehe Galerie 4, weiter unten

Einige Datenschützer waren der Ansicht, sie seien nicht zuständig. Der Datenschutzbeauftragte aus Mecklenburg-Vorpommern wies uns auf ein weiteres Problem hin; die mangelhafte Ausstattung der Datenschutzbehörden:

"Aufgrund einer Vielzahl von Petitionen in verschiedenen Bereichen des Datenschutzes und der Informationsfreiheit ist es uns zeitlich und personell nicht möglich eigeninitiative Prüfungen über Anfragen nach § 112 TKG vorzunehmen."

Vollständige Antwort: Siehe Galerie 4, weiter unten

Faktisch findet bei dem Verfahren nach §112 TKG keine Kontrolle statt. Positiv bleibt lediglich zu bemerken, dass bei dem automatisierten Abfrageverfahren nach § 112 TKG immerhin Berichts- und Protokollpflichten bestehen, sodass zumindest in den Jahresberichten der BNetzA eingesehen werden kann, wie häufig das Verfahren von berechtigten Stellen in Anspruch genommen wird.

Galerie 4: Antworten von Datenschutzbeauftragten zu Kontrollen von Auskunftsersuchen nach §112 TKG

• 
• 
• 
• 
• 
• 
• 
• 

Grauzone § 113 TKG: Keine Statistik-Daten verfügbar

Zu der Anzahl der Abfragen nach § 113 TKG liegen keine statistischen Erhebungen öffentlicher Stellen vor. Entsprechende Statistik-Pflichten sind unseren Anwälten nicht bekannt. Sofern Zahlen überhaupt bekannt werden, stammen diese aus den Transparenzberichten von deutschen Telekommunikationsanbietern, die es erst seit 2014 gibt, nachdem Posteo als erster deutscher Anbieter einen Transparenzbericht über Behördenersuchen veröffentlicht hatte. Im Bericht der Telekom für das Jahr 2014 sind 27.957 Ersuchen nach § 113 TKG aufgeführt. Beschwerden über Sicherheitsprobleme und rechtswidrige Abfragen bei den zuständigen Kontrollorganen führten bei den Ersuchen, die uns erreichen, bisher nicht zu einer Abhilfe, wie wir bereits in Teil 1 unseres Schwerpunktes dargelegt haben.

§ 113 TKG: Berichtspflichten zur Verbesserung der öffentlichen Kontrolle einführen

Das Verfahren stellt deshalb in gewisser Weise eine Grauzone dar. Das ist so in keinem Fall hinnehmbar, da es bei der Bestandsdatenauskunft nach § 113 TKG generell einer besseren Kontrolle und Evaluierung bedarf (siehe unser Abschnitt zu den chaotischen Zuständen bei der Bestandsdatenauskunft).

Unserer Auffassung nach sollten deshalb für Abfragen nach § 113 TKG umgehend Berichtspflichten eingeführt werden. Die Zahlen sollten jährlich veröffentlicht werden, wie es auch bei anderen Arten von Auskunftsersuchen wie z.B. bei Abfragen nach § 112 TKG (Veröffentlichung im Jahresbericht der BnetzA) und bei Abfragen nach § 100a StPO (Veröffentlichung auf der Internetseite des Bundesamtes für Justiz) üblich ist.

Protokollierungspflichten sollten außerdem, ähnlich wie im automatisierten Verfahren nach § 112 TKG, sicherstellen, dass zu jeder Abfrage u.a. festgehalten wird, welcher Beamte um welche Daten ersucht hat, um etwaige interne und externe Kontrollen, zum Beispiel durch Datenschutzbeauftragte, im Nachhinein zu erleichtern.

Es ist zu erwarten, dass diese Kontrollmöglichkeiten Missbrauch und rechtswidrigen Abfragen entgegenwirken würden. In diesem Bereich sind Abhilfemaßnahmen dringend notwendig.

§ 113 TKG: Kontrollen ausweiten und Schulung von Ermittlungsbeamten intensivieren

Es ist unserer Ansicht nach darüber hinaus dringend erforderlich, dass die zuständigen Kontrollorgane die Einhaltung der gesetzlichen Anforderungen bei Ersuchen nach § 113 TKG regelmäßig und umfassend kontrollieren, bis die Mängel des Verfahrens flächendeckend beseitigt sind. Ermittlungsbeamte müssen außerdem umfassend auf einen sicheren und rechtskonformen Umgang mit Informationstechnik im Allgemeinen und mit sensiblen Daten im Besonderen geschult werden.

Datenschützer besser ausstatten

Abschließend möchten wir zu dem Thema der fehlenden Kontrollen auch auf den aktuellen Tätigkeitsbericht der Beauftragten für den Datenschutz und die Informationsfreiheit (BfDI) hinweisen.

In ihm warnt sie im Hinblick auf weitere Auskunftsverfahren, dass:

"das System der „Checks and Balances“ im Bereich der Nachrichtendienste in eine massive Schieflage geraten ist. So sind, insbesondere seit dem Jahr 2001, die Aufgaben und Befugnisse der Sicherheitsbehörden sowie deren Personal- und Sachmittel erheblich ausgebaut, die verbundübergreifende Zusammenarbeit von Polizeien und Nachrichtendiensten national und international intensiviert, zentrale Großdatenbanken errichtet und eine neue Sicherheitsstruktur geschaffen worden.(...) Auf Seiten der Kontrollorgane ist keine entsprechende Entwicklung erfolgt, d. h. auch insoweit bestehen gravierende gesetzgeberische Defizite, die im Interesse der Bürgerinnen und Bürger schnellstmöglich beseitigt werden müssen. In Folge dieser Entwicklung ist es mir angesichts der mir zur Verfügung stehenden geringfügigen Personal- und Sachmittel nicht mehr möglich, meine gesetzlich zugewiesenen Beratungs- und Kontrollaufgaben angemessen zu erfüllen. Damit ist es mir auch nicht mehr möglich, die vom Bundesverfassungsgericht in seinem Urteil zum Antiterrordateigesetz betonte Kompensationsfunktion meiner Kontrollen für die betroffenen Bürgerinnen und Bürger sachgerecht zu gewährleisten, d. h. an Stelle der Betroffenen zu überprüfen, ob ihre Rechte bei heimlichen Eingriffen der Sicherheitsbehörden gewahrt worden sind."

Quelle: Tätigkeitsbericht der Bundesdatenschutzbeauftragten 2013 & 2014, S.36

Diese Aussage ist ein Warnruf der Bundesdatenschutzbeauftragten. Wir sehen dringenden Bedarf, den Forderungen der BfDI dahingehend zu entsprechen, dass ihr schnellstmöglich mehr Personal- und Sachmittel zur Verfügung gestellt werden. Auch, damit sie auf eine sichere und rechtskonforme Praxis von Auskunftsvorgängen, wie z.B. bei Abfragen nach §113 TKG, drängen und diese mit vermehrten Kontrollen flächendeckend bewirken kann. Dasselbe gilt für die Ausstattung der Landesdatenschutzbeauftragten. Die Kontrollorgane müssen insgesamt besser ausgestattet werden, damit bestehenden Missständen effektiv begegnet werden kann.

Wenn es um Eingriffe in die Grundrechte von Bürgerinnen und Bürgern geht, werden Kritiker häufig mit dem Argument beruhigt, dass diese nur unter strengen Voraussetzungen und nur „mit Richtervorbehalt“ erfolgen dürften. Der Verweis auf den Richtervorbehalt ist ein beliebtes Argument: Denn das Vertrauen der Bürgerinnen und Bürger in die Justiz ist Umfragen zufolge wesentlich größer als das Vertrauen in die Bundesregierung. Auch aktuell wird wieder mit dem Richtervorbehalt argumentiert: Diesmal geht es um die geplante Wiedereinführung der Vorratsdatenspeicherung.

Dem Kontrollinstrument des Richtervorbehaltes wird jedoch schon seit vielen Jahren vorgeworfen, in der Praxis wenig effektiv zu sein. Zu diesem Schluss kamen zum Beispiel zwei groß angelegte Studien, die bereits 2003 von der Universität Bielefeld und dem Max-Planck-Institut für ausländisches und internationales Strafrecht veröffentlicht wurden. Beide Studien belegten damals zahlreiche Mängel des Verfahrens. Das MPI kam beispielsweise zu dem Schluss, dass nur in absoluten Ausnahmefällen einer beantragten Überwachungsmaßnahme nicht stattgegeben wurde.

Die Studie der Universität Bielefeld konstatierte damals, dass nur ein Viertel der Überwachungen entsprechend den Verfahrensvorschriften angeordnet worden sei. Darüber hinaus würden die Abhörmaßnahmen meist auf Anordnungen beruhen, die vermuten lassen, dass die Richter ihre Entscheidung nicht eigenständig treffen.

Und ein Staatsanwalt, der damals von den Wissenschaftlern des MPI befragt worden war, gab zum Thema E-Mail-Überwachung gar zu Protokoll:

„Im Bereich der E-Mail-Überwachung ist eine Aktualisierung und Klarstellung notwendig, da herrscht Chaos. Es gibt die irrsten Rechtsauffassungen und egal, welchen Antrag ich stelle, der Richter gibt dem in diesen Fällen statt."

Quelle: Studie des Max-Planck-Institutes für ausländisches und internationales Strafrecht, S.226

Auch wir setzen uns schon seit einiger Zeit mit der Frage auseinander, wie das vom Gesetzgeber bei Überwachungsmaßnahmen vorgesehene Kontrollinstrument des Richtervorbehaltes in Deutschland ausgestaltet ist – und wie seine Wirksamkeit kontrolliert bzw. evaluiert wird. Anlass für diese Auseinandersetzung war unter anderem eine angeordnete Telekommunikations-Überwachung (TKÜ), bei der sowohl wir als auch unsere Anwälte die angegebene Anlassstraftat für nicht ausreichend gehalten hatten. Übrigens: Wenn Sie denken, dass eine Überwachungsmaßnahme (TKÜ) Sie nicht betreffen könnte, weil Sie keine Straftaten begehen - das ist falsch. In der Praxis wird durchaus auch die Kommunikation von Menschen aus dem Umfeld eines Verdächtigen überwacht oder beschlagnahmt. Auch, wenn gegen diese Personen überhaupt kein Tatverdacht besteht.

1. Gesetzgeber evaluiert Wirksamkeit des Kontrollinstrumentes des Richtervorbehaltes nicht ausreichend

Wenn gegen einen Verdächtigen ermittelt wird und Polizeibeamte bei der Staatsanwaltschaft die Beschlagnahmung oder die Überwachung eines E-Mail-Postfaches anregen, ist der Rechtsschutz des Betroffenen durch die Heimlichkeit der Maßnahme stark eingeschränkt. Er kann vor der Entscheidung des zuständigen Ermittlungsrichters nicht angehört werden. Der Richter soll dieses Defizit ausgleichen: Er soll den Fall prüfen und nur wenn er zur Überzeugung gelangt, dass die Telekommunikation des Verdächtigen tatsächlich überwacht oder beschlagnahmt werden sollte, dem Antrag der Staatsanwaltschaft stattgeben. Die Information, wie oft ein Richter eine beantragte Überwachungsmaßnahme ablehnt, ist deshalb ein wichtiger Indikator dafür, wie wirksam das Kontrollinstrument des Richtervorbehaltes tatsächlich ist. Würden in einem Staat beispielsweise allen Anträgen auf Überwachung stattgegeben, wäre dies ein starker Hinweis darauf, dass sich der Rechtsstaat auf dem Weg in einen Überwachungsstaat befindet.

Wie oft ein Richter einen Antrag auf Überwachung ablehnt, wird statistisch nicht erfasst

Wie oft ein Richter eine Überwachungsmaßnahme ablehnt, wird in Deutschland statistisch jedoch meist nicht erfasst. Im jährlichen Bericht des Bundesamtes der Justiz wird lediglich die Anzahl der erlassenen Beschlüsse aufgeführt, in denen Maßnahmen nach §100a Abs. 1 StPO angeordnet wurden, sowie die Anzahl der durchgeführten Überwachungsmaßnahmen (vgl. § 100b Abs. 5, 6 StPO). Die Länder müssen diese Zahlen an das Bundesamt der Justiz melden. Zahlen darüber, wie häufig einem Antrag auf eine Überwachungsmaßnahme durch einen Richter nicht entsprochen wurde, finden sich in der Statistik hingegen nicht. Der Richtervorbehalt ist also ein Kontrollinstrument, von dem tatsächlich weitgehend unbekannt ist, wie wirksam es ist.

Posteo befragte Justizministerien aller Länder

Wir wollten wissen, ob die entsprechenden Zahlen evtl. doch in den Bundesländern vorliegen. Deshalb haben wir Anfang des Jahres bei den Justizministerien der Länder schriftlich um Auskunft gebeten.

Zunächst fielen die Antworten enttäuschend aus. Wir erhielten immer wieder dieselben Rückmeldungen, in denen uns mitgeteilt wurde, dass keine Statistiken darüber geführt werden, wie häufig eine beantragte Überwachung nicht bewilligt wurde. Daher sei nicht bekannt, in wie vielen Fällen TKÜ-Anträge abgelehnt wurden. Dass die Zahl der abgelehnten Überwachungsanordnungen nicht erhoben werde, habe den Grund, dass hierfür in den Gesetzestexten keine Berichtspflichten existieren.

So erklärte uns unter anderem das bayerische Staatsministerium der Justiz:

„Die Berichtspflicht nach § 100b Abs. 5, Abs. 6 StPo sieht schlicht keine Pflicht zur Erfassung von abgelehnten Anträgen vor, weswegen dazu auch keine Statistik besteht.“

Und das hessische Justizministerium teilte uns mit, dies würde einen manuellen Auswertungsaufwand erfordern, „der mir unverhältnismäßig erscheint und den Strafverfolgungsbehörden nicht zugemutet werden kann.“

Doch dann erhielten wir die Information, nach der wir gesucht hatten: Aus Berlin erhielten wir die Antwort, dass der Berliner Senat seit dem Jahr 2006 die Anzahl der abgelehnten Überwachungsmaßnahmen erfasst.

Galerie 5: Einige Antworten der Justizministerien

• 
• 
• 
• 
• 
• 
• 
• 
• 
• 

Und wir waren schockiert.

Nach 2007 wurde kein einziger Antrag auf Überwachung mehr abgelehnt

In Berlin ist nach dem Jahr 2007 kein einziger Antrag auf Telekommunikationsüberwachung mehr abgelehnt worden (siehe die jeweiligen Jahresberichte des Senats über die Praxis der Telefonüberwachung nach §§ 100 a, 100 b StPO).

Insgesamt wurden zwischen 2008 und 2015 in Berlin 17.487 Anschlüsse überwacht. Die Anzahl der angeordneten Überwachungen stieg über die Jahre hinweg deutlich an.

Wir schlagen deshalb vor, die Berichtspflichten zu Kontroll- und Evaluierungszwecken nach § 100b Abs. 5, Abs. 6 StPO dahingehend anzupassen, dass nicht nur die Anzahl der angeordneten TKÜ-Maßnahmen statistisch erfasst wird, sondern auch die Anzahl der abgelehnten Anträge auf eine TKÜ, um die Wirksamkeit des Richtervorbehaltes zu überprüfen.

Zeit- und Personalmangel in den Gerichten

Studien zufolge trägt seit Jahren auch Zeit- und Personalmangel an den Gerichten zu der Situation bei. Hier sehen wir einen wichtigen Ansatzpunkt, die Kontrolle von Observationsvorgängen zu stärken. Bereits in der Studie des Max-Planck-Institutes aus dem Jahr 2003 erklärte beispielsweise ein Ermittlungsrichter unter Hinweis auf seine hohe Arbeitsbelastung, dass er für das Prüfen eines TKÜ-Beschlusses nur zehn bis maximal 30 Minuten Zeit habe. Ein anderer Richter gab damals an, er setze seine "Überprüfungsprioritäten" zwangsweise auf schwerwiegendere Eingriffe, etwa auf körperliche Eingriffe oder Haftbefehle. Die Studie stellte darüber hinaus fest, dass regelmäßig polizeiliche Anregungen auf eine TKÜ durch die Staatsanwaltschaft und den Ermittlungsrichter übernommen werden. Die Begründungen von TKÜ-Anordnungen würden "ausweislich der Akten und nach Selbsteinschätzung befragter Kriminalbeamter nahezu ausschließlich durch die Polizei" geschrieben, nicht etwa durch die Richter selbst.

Im Hinblick auf die Arbeitsbelastung der Richter scheint in den vergangenen Jahren keine Verbesserung eingetreten zu sein:

Aus einer aktuellen Studie, dem Roland Rechtsreport 2014, geht hervor, dass neun von zehn befragten Richtern und Staatsanwälten es für notwendig halten, zusätzliche Richter und Staatsanwälte einzustellen. 85 Prozent der Befragten bewerten die personelle Ausstattung der Gerichte als schlecht. Und mehr als zwei Drittel der Befragten gab an, für ihre Rechtsfälle zu wenig Zeit zu haben. Eine überwiegende Mehrheit der Richter und Staatsanwälte (72 Prozent) vertrat sogar die Ansicht, dass sich die Rahmenbedingungen für die Rechtsprechung in Deutschland aktuell verschlechtern. Dabei ginge es vor allem um zu wenig Personal.

Wir halten es für bedenklich, dass solche Zustände offensichtlich seit Jahren bestehen. Ebenso wie die Tatsache, dass nach den Studien aus dem Jahr 2003 offenbar keine Anstrengungen unternommen wurden, die zu einer tatsächlichen Verbesserung bei der Kontrolle der Überwachungsvorgänge geführt hätten. Dies führt in der Praxis offenbar zu Statistiken wie denen aus Berlin, die unseres Erachtens nach einem Rechtsstaat nicht mehr gerecht werden. Wenn Überwachungsmöglichkeiten in Deutschland immer weiter ausgebaut werden, während diese Mängel fortbestehen, ist dies eine Entwicklung, die der Demokratie nicht zuträglich sein kann.

Da die Bundesregierung aktuell die Vorratsdatenspeicherung (Gesetz zur Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten) wieder einführt und diese öffentliche Stellen zu Grundrechtseingriffen berechtigen wird, die mit dem Instrument des Richtervorbehaltes kontrolliert werden sollen, fordern wir den Bundesjustizminister Heiko Maas dazu auf, das Gesetz zu stoppen. Wenn Überwachungsmöglichkeiten in Deutschland immer weiter ausgebaut werden, während die in unserem Transparenzbericht aufgezeigten Mängel fortbestehen und offenbar jeder Antrag auf Überwachung bewilligt wird, ist dies eine Entwicklung, die der Demokratie nicht zuträglich sein kann. Die Vorratsdatenspeicherung wird öffentliche Stellen zu Grundrechtseingriffen berechtigen, die mit dem Instrument des Richtervorbehaltes kontrolliert werden sollen. Seiner zugedachten Kontrollaufgabe wird das Instrument ausweislich der von uns dokumentierten Zahlen offenbar schon seit Jahren nicht mehr gerecht. Auch die Kontrolle der Auskunftsverfahren ist mangelhaft. Häufig bestehen nicht einmal Statistik- oder Berichtspflichten. Bei der Bestandsdatenauskunft nach § 113 TKG herrschen in der Praxis chaotische Zustände: Fast alle Ersuchen, die uns erreichen, sind rechtswidrig. Wir befürchten, dass es hier nach der Einführung des Gesetzes zu einem weiteren Anstieg der rechtswidrigen Abfragen kommt.

Erstellt am 17. Januar 2018, 18:00 Uhr

In den letzten neun Jahren wurden sämtliche 14.476 Überwachungs-Anordnungen der Berliner Staatsanwaltschaften genehmigt, die letzte Ablehnung gab es 2007.
Netzpolitik.org stellt hierzu einen lesenswerten Artikel mit aktuellen statistischen Angaben bereit.