Telekommunikationsüberwachung: Wie E-Mail-Überwachung in Deutschland funktioniert
E-Mail-Provider in Deutschland sind verpflichtet, die Kommunikation ihrer Nutzer den Ermittlungsbehörden zur Verfügung zu stellen, wenn ein gültiger Richterbeschluss vorliegt. Doch die geltenden Regelungen bringen massive Probleme für kleine und mittelgroße Provider mit sich, weil diese teure Investitionen in Infrastruktur und Personalkosten leisten müssen. Und das, obwohl die Beschlagnahmung von E-Mails meist auch ohne diese Vorgaben reibungslos funktioniert. Immer wieder beklagen sich Provider zudem über unrechtmäßige Anfragen und Formfehler der Polizei.
Die Befugnis zum Abhören von Telekommunikationsinhalten ist in der Telekommunikationsüberwachungsverordnung (TKÜV) geregelt(öffnet im neuen Fenster). Darin ist festgelegt, dass Polizeibehörden auf Bundes- und Landesebene und der Zoll Inhalte von Kommunikation mit einem Richterbeschluss abhören beziehungsweise beschlagnahmen können. Die Verordnung regelt nicht nur die Pflicht zur Herausgabe der Daten, sondern verpflichtet Provider auch auf bestimmte technische Maßnahmen, auf die wir im weiteren Verlauf des Artikels eingehen werden.
Was bedeutet "geschäftsmäßig"?
Eine Anordnung zur Überwachung von E-Mail-Inhalten kann fast jeden Provider treffen, auch, wenn der Dienst nur semiprofessionell betrieben wird – das wird oft missverstanden. Schon wer regelmäßig seinen Freunden einen E-Mail-Dienst zur Verfügung stelle, könne betroffen sein, sagt Peer Heinlein. Er ist Jurist und berät seit Jahren zahlreiche E-Mail-Provider in Deutschland, er ist auch Autor eines Standardwerks zum Thema Postfix-Server.
Entscheidend sei, ob der Dienst "geschäftsmäßig" angeboten werde, also mehr als eine unregelmäßige Gefälligkeit darstelle, sagt Heinlein. Auf eine Bezahlung des Dienstes kommt es dabei nicht an.
Unternehmen können zur Überwachung der eigenen Mitarbeiter verpflichtet werden
Auch Unternehmen können angewiesen werden, die Postfächer von Mitarbeitern zu beschlagnahmen, wenn sie ihren eigenen Mailserver betreiben und ihren Mitarbeitern die private Nutzung von E-Mails gestatten. Lädt ein Mitarbeiter am Arbeitsplatz zum Beispiel illegal urheberrechtlich geschützte Werke herunter oder wird wegen verleumdender E-Mails ermittelt, kann das Unternehmen zur Herausgabe der Informationen gerichtlich verpflichtet werden.
Das Unternehmen kann sich nicht einfach mit einer Klausel aus der Verpflichtung befreien, denn es reicht nicht aus, wenn die private Nutzung des Kontos zum Beispiel im Arbeitsvertrag verboten, in der Praxis aber die private Nutzung geduldet wird. Hier komme es auf die "gelebte Praxis" an, sagt Heinlein. Ebenfalls irrelevant für die Pflicht zur Überwachung ist die Größe eines Mailproviders.
'Das Chlorhühnchen der E-Mail-Überwachung'
Die Pflicht zur Herausgabe ist nicht an die Größe des Unternehmens gebunden. Jeder geschäftsmäßige Provider muss im Zweifelsfalls in der Lage sein, angefragte Informationen vollständig und zeitnah herauszugeben. Oft wird angenommen, dass nur größere Provider, die eine sogenannte Sina-Box einsetzen müssen, Kommunikationsinhalte auf Anfrage der Behörden herausgeben müssen.
Doch das ist falsch: "Die Größe eines Providers hat nichts damit zu tun, ob er zu einer Telekommunikationsüberwachung verpflichtet ist", erklärt Heinlein. Denn die Anschaffung der Sina-Box soll nur die Übertragung der abgehörten Informationen vereinfachen und absichern. Angeschafft werden muss das Gerät von Providern, die eine bestimmte Anzahl von Verträgen mit Kunden überschreiten. Vor einigen Jahren waren das noch 100.000, heute liegt die Grenze bei 10.000 Verträgen.
Die Sina-Box wurde in den 90er Jahren entwickelt, unter anderem um einen sicheren Austausch zwischen Bundesbehörden an den beiden Standorten der Bundesregierung in Berlin und Bonn zu gewährleisten. Das Konzept für die "Sichere-Internetzwerk-Architektur" (Sina) wurde von der Bundesregierung ausgeschrieben, der Hersteller Secunet gewann diese Ausschreibung und stellt die Geräte seitdem her.
Doch dass die Sina-Box tatsächlich maßgeblichen Einfluss auf die Überwachung von E-Mails hat, ist ein Missverständnis: "Die Sina-Box ist quasi das Chlorhühnchen der Telekommunikationsüberwachung – sie ist Teil des Problems, aber eben nur ein kleiner Teil davon, so wie das Chlorhühnchen nur ein kleiner Teil der Probleme bei TTIP ist", sagt Heinlein.
Im Internet kursieren zahlreiche Missverständnisse rund um die Sina-Box – aber das Gerät erhält keinen direkten Zugriff auf die Systeme der Provider, auch ein Fernzugriff durch Behörden ist damit nicht möglich. Es findet auch keine Speicherung von Daten auf dem Gerät selbst statt. Die Box dient lediglich dazu, per VPN eine verschlüsselte Verbindung zu den Strafverfolgungsbehörden aufzubauen, wie das Unternehmen auch in eigenen FAQ darstellt [PDF(öffnet im neuen Fenster)].
So soll gewährleistet werden, dass Daten aus staatlich angeordneten Überwachungsmaßnahmen weder manipuliert noch von Fremden eingesehen werden können. Die gleichen Geräte werden auch zum Beispiel von deutschen Botschaften im Ausland verwendet, um eine sichere Kommunikation zu ermöglichen.
Verschlüsseltes VPN-Gateway
Die Sina-Boxen nutzen zur Absicherung ein Ipsec-VPN. Die Verbindung ist mit AES-256 verschlüsselt, der Schlüsselaustausch wird mit dem Elliptic-Curve-Diffie-Hellman (ECDH) abgesichert und bietet Forward Secrecy, ältere Nachrichten können also selbst dann nicht entschlüsselt werden, wenn ein Angreifer in den Besitz des geteilten Geheimnisses kommt. Das kleinste Gerät kostet nach Angaben des Herstellers rund 5.000 Euro und ist unter anderem als Desktopvariante umgesetzt. Größere Geräte bieten mehr Bandbreite, können in ein 19-Zoll-Server-Rack montiert werden und kosten ungefähr das Doppelte.
Hersteller Secunet sagt im Gespräch mit Golem.de, dass die erforderlichen Integrationsleistungen für Provider recht gering ausfallen würden. "Die Public-Key-Infrastruktur für die Geräte wird von der Bundesnetzagentur bereitgestellt", sagte Patrick Franitza von Secunet im Gespräch mit Golem.de. Das bestätigt die Bundesnetzagentur auf Anfrage von Golem.de.
Die Behörde schreibt außerdem: "In der Regel sind IP-Adressen für die Sina-Box und die an dem jeweiligen Telekommunikationsvorgang beteiligten Komponenten anzugeben. Die Dienstleistung der Bundesnetzagentur zur Teilnahme am Verfahren sowie der Betrieb der zentralen Public Key Infrastructure für die Sina-Boxen der Teilnehmer ist kostenlos." Die Anschaffung einer Sina-Box und die Integration in die eigenen Systeme ist für die Provider, die die Nutzergrenze überschreiten, aber nur der erste Schritt, denn die notwendigen Anpassungen der eigenen Infrastruktur kosten enorm viel Geld und Zeit.
Die Probleme beginnen bei der Dokumentation
Deutlich teurer ist für die Provider die restliche Anpassung ihres Systems an die rechtlichen Vorgaben. Um eine einfachere Selektion der zu überwachenden E-Mails zu gewährleisten, wird spezielle Software für Lawful-Intercept-Schnittstellen verwendet, von Herstellern wie Utimaco.
Es bleibt jedoch nicht bei den Kosten für die Anschaffung entsprechender Hard- und Software. "Provider müssen alle Schnittstellen und Vorgänge in ihren Systemen anhand eines langen Kataloges dokumentieren – das ist mit einem enormen Zeit- und Personalaufwand verbunden", sagt Heinlein.
In dieser Dokumentation muss der Bestand der eigenen Server genauso erfasst werden wie die Schnittstellen der Geräte und wie diese mit dem Lawful-Intercept-Gateway verbunden sind. Die Sina-Box spielt auch hier nur eine untergeordnete Rolle. Diese Dokumentation zu erstellen, ist sehr aufwendig und gerade für kleinere Provider mit unverhältnismäßig hohen Kosten und Arbeitsausfall verbunden.
Enormer finanzieller Kraftakt
Insgesamt kann mit den Anschaffungen, dem Zeitaufwand und den damit verbundenen möglicherweise notwendigen Investitionen der eigenen Serversysteme ein Betrag von 100.000 bis 200.000 Euro zusammenkommen – für kleine bis mittlere Provider ein enormer Kostenaufwand.
Dieser Kostenaufwand lässt sich für kleinere Provider nur schwer rechtfertigen. Transparenzberichte verschiedener kleiner und mittelgroßer Anbieter zeigen, dass konkrete Anfragen für Telekommunikationsüberwachung oft nur im niedrigen einstelligen Bereich pro Jahr liegen. So kostet dann jede angeordnete Telekommunikationsüberwachung umgerechnet mehrere Tausend oder sogar Zehntausend Euro. Erstattet bekommen die Provider hingegen nur eine Aufwandsentschädigung, die meist unter 50 Euro pro Fall liegt.
Für größere Unternehmen wie die Deutsche Telekom sind die Grenzkosten pro angeordneter E-Mail-Überwachung deutlich geringer, auch die Anschaffungskosten fallen im Vergleich mit dem regulären Betrieb weniger stark ins Gewicht. Im vergangenen Jahr überwachte die Telekom ausweislich ihres eigenen Transparenzberichts(öffnet im neuen Fenster) 49.229 Konten, wobei die Zahl auch Verlängerungen bestehender Anordnungen umfasst. Andere Maßnahmen wurden deutlich häufiger durchgeführt, in 549.233 Fällen wurde zum Beispiel die IP-Adresse der Nutzer herausgegeben.
Immer wieder gibt es unverschlüsselte Anfragen
Provider haben neben den technischen und finanziellen Hürden immer wieder mit falschen Anfragen durch Polizeibehörden zu tun. "Oft beginnt es mit der falschen Form", sagt Heinlein, "denn elektronische Anfragen müssen über eine gesicherte Verbindung gestellt werden." Immer wieder würden Provider jedoch mit Anfragen einzelner Polizeidienststellen per unverschlüsselter Mail konfrontiert, die zudem keinen gültigen Beschluss eines Richters enthalten. "In diesem Fall würde ein Provider, der die Daten trotzdem herausgibt, selbst Datenschutzrecht verletzen und könnte sich selbst strafbar machen", sagt Heinlein, der studierter Jurist ist.
Die Anfragen der Polizei variieren auch inhaltlich. Grundsätzlich werden bei einer Telekommunikationsüberwachung alle neu eingehenden und ausgehenden Mails registriert und weitergegeben, wenn die Anfrage berechtigt ist. Der Beschluss muss von einem Richter unterzeichnet sein und ist meist für einige Wochen gültig, kann aber bei Bedarf mit einem erneuten Beschluss verlängert werden. Zusätzlich zu den Mails werden meist noch Logdateien abgefragt, die der Provider hat.
Behörden können aber auch den Bestand eines Postfachs mitabfragen. Wird eine TKÜV durchgeführt, werden dann in der Regel auch Bewegungen innerhalb eines Postfachs aufgezeichnet – denn es könnte auch eine Kommunikation stattfinden, ohne dass tatsächlich Mails versendet werden, etwa, wenn Entwürfe per IMAP auf dem Server abgelegt und von einer zweiten Person abgeholt und wieder vom Server gelöscht werden.
Keine Durchsuchung nach Stichwörtern
Eine Filterung des Postfachs nach bestimmten Stichwörtern wird jedoch nicht vorgenommen. Es werden also keine "Über-Selektoren" eingesetzt, die gezielt eine Kommunikation über ein Zielobjekt erfassen, sondern die Inhalte eines bestimmten Postfachs für einen bestimmten Zeitpunkt. Unklarheiten kann es geben, wenn die Polizei ein bestimmtes Alias abfragt, das einem konkreten Postfach zugeordnet ist, das aber nicht selbst eindeutig Gegenstand der Ermittlungen ist.
Die Praxis zeigt, dass die teuren Vorgaben eigentlich nicht notwendig sind oder aber erst bei deutlich größeren Providern vorgeschrieben werden sollten. Denn wenn bei einem kleineren Provider eine Anordnung auf Telekommunikationsüberwachung eines bestimmten Accounts eingeht, kann der Provider mit der Polizei vereinbaren, in welcher Form die Daten übergeben werden. "Das kann zum Beispiel als Importdatei für Thunderbird oder Outlook geregelt werden", erklärt Heinlein. Die Dateien können verschlüsselt per Mail gesendet oder auf einer DVD, Festplatte oder einem anderen Datenträger übergeben werden. Bei größeren Providern wird dieser Prozess einfach nur durch die Sina-Box vereinfacht, die es ermöglicht, Daten an die Behörden weiterzuleiten.
In anderen Fällen seien aber auch Accounts beim gleichen E-Mail-Provider angelegt worden, damit Polizeibehörden im Webmail-Interface auf die Mails zugreifen können. "Nicht alle Polizisten sind IT-Profis, nicht jeder weiß, wie man E-Mail-Dateien in Thunderbird oder Outlook importiert", sagt Heinlein. Auch im Bereich der Überwachung von E-Mails können also pragmatische Lösungen gefunden werden, die den Behörden die zur Arbeit notwendigen Informationen zur Verfügung stellen und die Provider nicht unnötig überfordern.
- Anzeige Hier geht es zu den besten Deals auf Mobilfunk, Internet und mehr bei der Telekom Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.