Internet-Fahnder oder Datenkrake? Neue Regeln zur IP-Speicherung

Ist dieser Gesetzesentwurf nun der Weisheit letzter Schluss?

Auf den ersten Blick sollen Telekommunikationsanbieter künftig nur noch verpflichtet werden, drei Monate zu speichern, welcher Anschluss zu welcher Zeit welche IP-Adresse hatte – sozusagen die „Nummernschilder im Internet“.

Damit soll die bisherige (für verfassungswidrig erklärte) Vorratsdatenspeicherung ersetzt werden, die als breite, anlasslose Speicherung vieler Verbindungs- und Standortdaten aller Nutzer über längere Zeit angelegt war und sämtliche Telefonverbindungen, Bewegungsdaten, E-Mails sowie Internetnutzung umfasste.

Bei dem erneuten Anlauf zu einer gesetzlichen Regelung beschränkt sich der Gesetzentwurf auf IP-Adressen, Zeitpunkt/Dauer und Portnummern. Die Speicherdauer soll nur noch drei Monate – mit Sicherungsanordnung sechs Monate – umfassen mit anschließender Löschung. Es soll also keine vollständige Speicherung aller Verbindungsdaten mehr erfolgen, sondern nur eine „vorsorgliche, temporäre Zuordnung“ von IP-Adresse und Anschluss. Nicht erfasst werden Inhalte von Gesprächen oder Texten; die Crux dabei liegt aber darin, dass z.B. SMS-Inhalte technisch eng mit den Verbindungsdaten zusammenhängen.

Von dieser IP-Adress-Speicherung wären erfasst: Smartphones, PCs, Laptops, Tablets, vernetzte Autos („Connected Cars“), Smart-TVs, Smart-Home-Geräte (z.B. Kameras, Sprachassistenten, Heizungssteuerung), Apps verschiedenster Anbieter, SMS und andere Kurznachrichtendienste.

Zugriff auf diese IP- Adress-Speicherung sollen erhalten: Polizei und Staatsanwaltschaft (für die Strafverfolgung), Verfassungsschutz, BND, MAD (Sicherheits- und Nachrichtendienst), Zoll, Steuerfahndung sowie weitere Sicherheitsbehörden, wenn es um

• die Verfolgung von Internet- und IT-Kriminalität,
• Online-Betrug, Hasskriminalität,
• Darstellungen sexuellen Kindesmissbrauchs,
• Terrorismus und anderen Straftaten „erheblicher“ Intensität geht.

Ungewiss bleiben die Auswirkungen auf Datenschutz, Privatsphäre und Berufsgeheimnisse.

Denn auch ohne Kenntnis, z. B. des Gesprächsinhalts lassen sich aus IP-Adressen und Verkehrsdaten sensible weitere Informationen ableiten, insbesondere

• Bewegungsprofile (wann ist jemand wo online, z.B. zu Hause, unterwegs, im Büro?)
• Nutzungsgewohnheiten (welche Dienste werden wann verwendet?)
• In Kombination mit anderen Daten (Standorten, Logins, Gerätedaten) entsteht ein sehr genaues Bild des Alltags.

Unter Berücksichtigung der fortschreitenden Möglichkeiten mit KI-Auswertung können damit große Datenmengen automatisiert durchsucht und verknüpft werden. Besonders kritisch ist, dass bislang bestehende Schutzregeln der Strafprozessordnung für Berufsgeheimnisträger (wie z. B. Rechtsanwälte, Steuerberater, Wirtschaftsprüfer, medizinische Berufe usw.) nach dem Entwurf nicht vollständig gelten sollen.

Die Gesetzesbegründung suggeriert zwar, dass sich aus den gespeicherten IP-Daten angeblich keine Erkenntnisse darüber ergeben sollen, „mit wem Berufsgeheimnisträger kommuniziert haben“. Das ist – um im strafrechtlichen Kontext zu bleiben – als „untauglicher Versuch“ einer Begründung zu werten! Denn mit den gespeicherten Daten lassen sich sehr wohl Rückschlüsse auf Kommunikation und etwaige Rechercheaktivitäten der Berufsgeheimnisträger ziehen. Damit können und werden die Sicherheitsbehörden künftig in diese besonders geschützte Sphäre (Mandanten, Patienten, Quellen) eindringen.

Nicht nur aus diesem Aspekt bestehen erhebliche Bedenken gegen das beabsichtigte Gesetz. Zweifel bestehen auch an seiner Wirksamkeit bei der Bekämpfung der IT-Kriminalität. Trotz des weltweiten Internets kann damit eine IP-Speicherung nur innerhalb des Geltungsbereiches des Grundgesetzes Wirkung erfolgen. Zudem ist zu erwarten, dass das organisierte Verbrechen weiterhin der Strafverfolgung einen Schritt voraus sein wird und bereits längst bekannte Ausweichstrategien weiter professionalisieren wird, wie z.B.

• die Nutzung von Offshore-Servern im Ausland
• die Nutzung von Proxy-Server, VPN (Virtual Private Networks) und Tor-Browsern (Anonymisierungsnetzwerk) sowie
• anonymer E-Mail-Dienste, Messenger und nicht registrierter Smartphones.

Diese Erkenntnis ist nicht neu, auch nicht für den Gesetzgeber. Was bleibt nun als Fazit?

Über den Gesetzentwurf werden Bundestag und Bundesrat entscheiden. Sollte er unverändert verabschiedet werden, sind erneute Verfahren vor dem Bundesverfassungsgericht und dem Europäischen Gerichtshof zu erwarten, denn auch die neue Regelung bleibt – wenn auch in abgespeckter Form – faktisch eine anlasslose Datenspeicherung für alle auch unverdächtigen „normalen User“. Zudem wird damit die Erstellung weitreichender Bewegungs- und Nutzungsprofile, insbesondere bei Datenverknüpfung und KI-Auswertung, möglich.

Außerdem ist zu erwarten, dass es nicht bei der Speicherpflicht von drei Monaten bleibt, diese vielmehr mit Sicherungsanordnung regelmäßig auf sechs Monate verlängert wird. Dennoch muss bezweifelt werden, dass innerhalb dieser Zeit dem organisierten Verbrechen beizukommen und auf diesem Wege gerichtsfeste Ermittlungsergebnissen erzielt werden.

Unternehmen sollten sich auf mögliche Compliance-Anforderungen und neue Risikobewertungen einzustellen (u.a. Datenschutz, IT-Sicherheit, Betriebsgeheimnisse, Umgang mit Ermittlungsanfragen) gemäß dem Motto „Vorbeugen ist besser als heilen“.