Das BKA und AN.ON

Das Recht auf Anonymität und die Strafverfolgung: Was bleibt, ist Zweifel

Das Landgericht Frankfurt am Main stellte am vergangen Montag, dem 15. September, fest, dass der Beschluss des Amtsgerichts Frankfurt, auf Antrag des Bundeskriminalamtes (BKA) Verbindungsdaten von Benutzern des Anonymisierungsdienstes AN.ON (Anonymität.online) aufzuzeichnen, unwirksam ist und es keinerlei rechtliche Grundlage für die Erhebung der Daten in diesem Fall gegeben hat.

Die Vorgeschichte dieses Urteils ist ein einziges Dilemma, aus dem die Projektpartner, das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) bzw. die TU-Dresden, zumindest als Teilsieger hervorgehen. Trotzdem werden die Anbieter des Anonymizers für die Zukunft vermutlich einige ihrer Nutzer verloren haben und die ganze Thematik wird mit einem bitteren Beigeschmack behaftet bleiben, schließlich ist der versprochene "Schutz der Privatsphäre im Internet" nur noch mit einem großen "aber" gültig.

Angefangen hat die ganze Geschichte Ende Juni 2003, als Beamte des Landeskriminalamtes Hessen sich bei den Projektpartnern erkundigten, in wie weit eine Auskunft über die IP-Adresse eines JAP-Nutzers möglich sei, gegen den wegen Besitz von Kinderpornographie ermittelt wurde. Diese Frage bezog sich zum damaligen Zeitpunkt allerdings noch auf die Herausgabe von Datensätzen aus der Vergangenheit. Dass diese beim JAP (Java Anon Proxy) nicht protokolliert werden, ist eine Selbstverständlichkeit, sieht genau dies doch das Teledienstdatenschutzgesetz (TDDSG) vor:

(1) Der Diensteanbieter darf personenbezogene Daten eines Nutzers ohne dessen Einwilligung nur erheben, verarbeiten und nutzen, soweit dies erforderlich ist, um die Inanspruchnahme von Telediensten zu ermöglichen und abzurechnen (Nutzungsdaten).

§ 6 TDDSG

Kurz darauf meldete sich das BKA und erkundigte sich unter anderem nach den gesetzlichen Möglichkeiten, mit denen ein richterlicher Beschluss die Überwachung in einem bestimmten Zeitraum rechtskräftig erzwingen kann. Die Projektpartner wiesen auf §§ 100 a,b StPO (Straftat nach einem präzisen Straftatenkatalog) hin, worauf die Beamten den Eindruck erweckten, dass so ein Beschluss in kürzester Zeit "beschafft" werden könnte.

Es vergingen vier Tage, bis das BKA dem ULD einen Beschluss des Ermittlungsrichters des Amtsgerichts Frankfurt am Main per Telefax zugehen liess.

Zum Erstaunen der Projektpartner bezog sich der Beschluss aber nicht auf den genannten StPO-Paragraphen, sondern auf einen allgemeingültigen, nämlich §§ 100 g,h StPO (Straftat von erheblicher Bedeutung). Er umfasst vor allem die Herausgabe von Datensätzen aus der Vergangenheit, welche aber sich aus datenschutzrechtlichen Gründen nicht im Besitz der Projektpartner befanden durften. Das hatte letztendlich zur Folge, dass das Landgericht Frankfurt am 11.7. den Beschluss aussetzte und am 15.9. feststellte, dass es keine rechtliche Grundlage für diesen gab. Gleichzeitig bezieht sich §§ 100 g,h StPO nur auf die Herausgabe von Daten, die zu einem bestimmten Zeitpunkt bereits durch andere Rechtsvorschriften rechtmäßig erhoben wurden.

Wie sich der Begründung zum Gesetzentwurf der §§ 100 g,h StPO entnehmen lässt, ist mit der Regelung eine Verpflichtung zur Speicherung von Verbindungsdaten nur für Zwecke der Strafverfolgung, wie sie § 100a ermöglicht, nicht verbunden.

Die Projektpartner vermuten, dass für einen rechtskräftigen Beschluss nach Artikel §§ 100 a,b die Voraussetzungen seitens des BKAs möglicherweise nicht ausreichten.

"Technisches Versehen"

Am 11. Juli setzt das Landgericht Frankfurt den Amtsgerichtsbeschluss außer Kraft, am 26. August ging diese Nachricht beim ULD in Kiel ein. Aufgrund eines "technischen Versehens", so eine Begleitnotiz, konnte die Mitteilung nicht eineinhalb Monate früher geschickt werden.

Dieser unbedeutende Umstand hatte zur Folge, dass die Protokollierung in der Zeit einen Datensatz lieferte. Dieser wäre im Grunde sofort zu löschen gewesen bzw. hätte gar nicht entstehen dürfen, wenn nicht der Landgerichtsbeschluss soviel Zeit bis zu seinem Ziel benötigt hätte. Das BKA erfuhr über eine Pressemitteilung, dass ein Datensatz gespeichert worden war, und erwirkte prompt am 30. August, also kurz nach Bekanntgabe des ersten Teilerfolges der Projektpartner, beim Amtsgericht Frankfurt einen erneuten Beschluss, diesmal zur Herausgabe eines Datensatzes. Nach Ansicht der Projektpartner handelte es sich bei diesem Durchsuchungs- und Beschlagnahmebeschluss um eine rechtsmissbräuchliche Umgehung des ersten Landgerichtsbeschlusses.

Diese Ansicht teilt unter anderem die Initiative STOP1984, die sich in einer Presseerklärung hinter die Datenschützer aus Kiel und die Programmierer aus Dresden stellte:

STOP1984 spricht sich entschieden dagegen aus, dass die Möglichkeit der anonymen Kommunikation und das Vertrauen in Anonymisierungsdienste wie dem JAP durch derartige Methoden der Strafverfolgung gleichermaßen terminiert werden. Trotz der vorläufigen Entfernung der Überwachungsfunktion im JAP, bleiben größere Zweifel an der Authentizität des Dienstes.

Wie geht es weiter?

Nach dem Vorfall ist das Vertrauen in JAP geschwächt. Über das Verhalten der JAP-Betreiber wurde viel und heftig gestritten. Man hätte beispielsweise einen deutlich sichtbaren Hinweis auf der Startseite des AN.ON-Projektes platzieren können, doch konnten die Folgen einer solchen Aktion nicht vollständig abgeschätzt werden. Deshalb bemüht sich das ULD momentan auch um eine juristische Klärung, wie eine Aufklärung den Nutzern gegenüber überhaupt noch möglich ist.

Da es sich um den ersten Versuch einer Strafverfolgungsbehörde handelte, auf den Anonymisierungsdienst Einfluss zu nehmen, waren die Betreiber nicht auf derartige Konfrontationen vorbereitet, weshalb die Öffentlichkeitsarbeit zweifellos am Anfang vernachlässigt wurde. Trotz dieser rechtlichen Unklarheit wurde im Quellcode die Überwachungsfunktion klar als solche gekennzeichnet. (als "Crime Detection").

Die Projektpartner sehen sich durch die Entscheidungen des LG Frankfurt in ihrem Kurs bestätigt, ihren Anonymitätsdienst strikt auf dem Boden der bestehenden Gesetze zu betreiben. Dies bedeutet zum einen, dass das aus dem Grundgesetz ableitbare und im Teledienstedatenschutzgesetz ausdrücklich gewährleistete Recht auf anonyme Nutzung des Internet gegen alle Angriffe verteidigt und künftig durch technische Weiterentwicklungen gefestigt wird. Es bedeutet auf der anderen Seite aber auch, dass richterliche Beschlüsse auf der Grundlage von §§ 100a, 100b StPO von AN.ON, so wie von jedem anderen auch, zu beachten sind.

Pressemitteilung der JAP-Betreiber

In Deutschland, das scheint festzustehen, kann es zukünftig keinen wirklichen Anonymisierungsdienst mehr geben. Eine absolute Anonymität würde auch für diejenigen gelten, die sich strafbar gemacht haben. Der Konsens zwischen den Interessen der Strafverfolgung und der Verwirklichung von Datenschutz, Anonymität und Recht auf Privatsphäre scheint daher folgendermaßen zu sein: Nur in einem Einzelfall, nach richterlicher Anordnung in Bezug auf § 100 a,b StPO und wenn andere Möglichkeiten aussichtslos oder wesentlich erschwert wären, kann die Überwachung angeordnet werden.

Wie allerdings sieht es aus, wenn für einen Einzelfall der Zugriff auf eine Website überwacht wird und dabei neben dem vermeintlichen Straftäter weitere Benutzer gefunden werden? Wenn mit der Begründung, man überwache nur eine ganz bestimmte Person, weitere Personen enttarnt werden, wäre dann die Speicherung ihrer Daten noch durch einen Gerichtsbeschluss gerechtfertigt oder müsste man ihn nur weit genug fassen, um diesen Problematik zu umgehen?

Was bleibt, ist Zweifel

Ein kleines deutsches Gericht und die größte deutsche Strafverfolgungsbehörde haben innerhalb von gut zwei Monaten das Vertrauen in einen bis dahin anerkannten Anonymitätsdienst untergraben. Ist eine Überwachungsfunktion einmal technisch realisiert, so fällt es schwer zu glauben, dass sich die Projektpartner zukünftig erfolgreich gegen jede Art der Einmischung von Seiten des Staates wehren und trotzdem einen legalen Dienst anbieten können.

Wer sich bei der JAP-Nutzung noch weiter absichern möchte, kann zum Beispiel einen der von STOP1984 aufgeführten Proxies vor die Mixkaskade des JAP schaltet. Solch ein Proxy arbeitet zwischen dem PC des Benutzers und der JAP-Mixkaskade. Wenn sichergestellt werden kann, dass auf diesem Proxy keinerlei Logs über die Nutzer geführt werden, so kann ein anonymes Surfen ermöglicht werden, da der zum User gewandte Endmix des JAP nur die Adresse des Proxy "sieht" und somit nicht direkt die IP des Benutzers erkennen kann. Wie im Fall JAP ist aber auch bei normalen Proxies in keiner Weise garantiert, dass diese wirklich sicher sind. Je nach Proxy unterscheidet sich die letztendliche Sicherheit.