Wednesday, August 14, 2013 - 01:56

Vorratsdatenspeicherung vs. Grundrechte. Eine Studie soll es richten

Eine Studie - bzw. eine Publikation - der Universität Kassel soll es richten. Auch wenn die Studie inhaltlich durchaus auf dem richtigen Weg ist, übersieht auch sie ein relevantes Detail.

Wir sind mittlerweile so von den Argumenten verblendet, dass wir uns mehrheitlich eher fragen wie lange etwas gespeichert wird anstatt die eigentlich relevante Frage zu stellen: WOZU? Es gibt auch keinen Grund eine generische Speicherfrist zu definieren. Warum sollten Standortdaten so lange vorgehalten werden wie IP Verbindungen? Ist das ein ungeschriebenes Gesetz?

Die VDS ist ein massiver Eingriff in die Rechte der Bürger. Sie ist zu legitimieren. Braucht dafür aber eben eine ähnlich schwerwiegende Begründung.

Es macht die Sache einfacher ist keine Begründung

Ein gerne und häufig vorgebrachtes Argument ist die vermeintliche Tatsache, dass man ohne diese Daten nichts beweisen könnte und der vermeintliche Täter damit straffrei davon käme.

Das ist grundsätzlich richtig. Liegt aber nicht an der VDS sondern an 2 grundsätzlichen Prinzipien unseres Rechtsstaates. Man braucht Beweise und es gibt das Primat der Unschuldsvermutung. Nur weil jemand in einem kompletten Offline-Mord nicht verurteilt werden kann heißt das keinesfalls das er unschuldig ist. Umgekehrt heißt es eben auch nicht, dass er bei Schuld garantiert auch schuldig gesprochen wird. Da spielen viele Faktoren eine Rolle. Wenn ich im Vorfeld Beweise gegen jeden sammele von denen ich zum Zeitpunkt der Erhebung nicht mal weiß welche Beweiskraft die überhaupt haben könnten ist das schlicht eine Umkehr der Unschuldsvermutung. Und die Daten, die hier erhoben werden sollen haben es durchaus in sich. Eine Speicherung von Beweisen auf Vorrat macht die Ermittlung natürlich einfacher. Es macht sie dadurch aber nicht legitimer, denn mit der Begründung könnte man so einiges legitimieren.

Ein Beweis muss auch etwas beweisen

Ermittlungsbehörden sammeln Beweise üblicherweise zum Zweck der Beweisführung. Da wir hier über Straftaten sprechen reden wir selbstverständlich auch über Beweise, die dem vermeintlichen Täter die Straftat in Gänze oder in Teilen beweisen können.

Was genau beweisen Standortdaten eines Mobiltelefons in diesem Kontext? Sie können eine Anwesenheit implizieren. Aber diese Anwesenheit ist weder hinreichend präzise noch beweist sie tatsächlich irgendwas außer eben der Anwesenheit. Was nicht so wirklich viel ist. In diesem Kontext haben wir im Übrigen eigentlich auch eine eher gegenteilige Rechtsauffassung. Nämlich im Straßenverkehrsrecht. Für eine Beweisführung braucht man ein Beweisfoto. Die Anwesenheit des Fahrzeugs ist kein hinreichender Beweis. Warum sollte also die Anwesenheit meines Telefons ein Beweis sein? Es beweist dasselbe wie beim Fahrzeug. Die Anwesenheit des überwachten Gerätes. Nicht des vermeintlichen Besitzers.

Ähnliches gilt für Kommunikationsdaten...Metadaten. Wer hat mit wem kommuniziert. Wenn ich ein Telefonat mit einer Person führe können die Daten dies natürlich implizieren. Eigentlich implizieren sie ähnlich wie oben nur die Verbindung zwischen 2 Geräten. Aber was genau ist die Kommunikation für ein Beweis in Bezug auf eine begangene Straftat? Diese Daten können Ermittlungsbehörden einen Überblick über das erweiterte Umfeld einer Person verschaffen. Ohne aber zu wissen WORUM es bei der Kommunikation geht hat die Kommunikation für sich genommen schlicht keinen Aussagekraft. Es macht es eben lediglich einfacher. Ist aber kein Beweis für irgendetwas das relevant wäre.

Dann haben wir noch den ganzen Blumenstrauß der Internetkriminalität. Mal abgesehen von der Gefährlichkeit der IP als Beweis haben wir hier zumindest etwas, das einem Beweis inhaltlich etwas näher steht.

Diesen Bereich kann man grundsätzlich ganz gut aufteilen.

Da hätten wir einmal das liebe Urheberrecht. Urheberrechtsverletzungen im Internet wo eine IP relevant wäre, beschränken sich in aller Regel auf Filesharing. Wenn ich auf dieser Seite ein urheberrechtlich geschütztes Bild zeige benötigt man dafür ja nicht meine IP. Mal abgesehen davon, dass man die auch gar nicht hätte. Urheberrechtsverletzungen in diesem Kontext sind extrem einfach. Entweder man hat die IP und den vermeintlichen Täter quasi sofort und bekommt die Daten frei Haus mit der Anzeige geliefert oder es wird keine Anzeige geben. Die StA. muss sich also eigentlich nur entscheiden ob sie das überhaupt verfolgt und dann die Daten anfordern. Dafür reicht eine Speicherfrist von unter 4W aus. Schafft man es nicht in diesem Zeitraum Anzeige zu stellen oder die StA. schafft es nicht in diesem Zeitraum die Daten anzufordern, dann ist das eben so. Schlampigkeit und Überlastung sind keine hinreichenden Gründe für Grundrechtseinschränkungen.

Dann haben wir einen grundsätzlich ähnlichen Bereich. Einbrüche, Hacken, etc. Auch in diesem Fall sollte es dem Opfer möglich sein die Straftat innerhalb von 1W zumindest festzustellen. Ansonsten gilt oben Genanntes und auch hier gilt Inkompetenz ist kein hinreichender Grund für Grundrechtseinschränkungen. Stellt man das Problem 3 Monaten später bei einem Audit fest ist das ärgerlich aber ganz sicherlich nicht
mein Problem.

Dann hätten wir noch so was wie "Stalking" und "Beleidigungen". Auch für diese gilt das oben Genannte.  Es muss möglich sein dies zeitnah zu einer Anzeige zu bringen. Ich kann keine VDS damit begründen weil Hanna evtl. 3 Monate später merken könnte das User X sie auf FB eine dumme Kuh genannt hat oder ihr möglicherweise in der Email von vor 6 Wochen nachgestiegen ist.

Eine beliebtes Argument noch zum Abschluss. Kinderpornographisches Material. Neben Terrorismus das Traumargument jeder Polizeigewerkschaft obwohl die meisten ihrer Mitglieder weder mit dem einen noch mit dem anderen tatsächlich auch was zu tun haben.

Vorratsdaten dürften bei dieser Straftat einen recht überschaubaren nutzen haben. Zum einen kann ich anhand der Daten nicht erkennen was der Nutzer tut sondern lediglich wo er etwas tut. Eine VDS kann belegen, dass der Leser dieses Artikels auf diesem Server war. Sie kann aber nicht belegen welche Seite er gelesen hat oder ob er überhaupt auf dieser Domain war. Auf diesem Server liegen z.Zt. etwa ein Dutzend Domains. Hat irgendeiner meiner Kunden in seinem Paket vorsätzlich oder über einen - mir dann äußerst peinlichen Zwischenfall - kinderpornographisches Material gibt es aus Sicht der VDS absolut keinen Unterschied zwischen einem Besucher, der dies vorsätzlich lädt, einem der dies versehentlich lädt, einem Nutzer, der diesen Artikel liest oder einem Nutzer, der auf einer Sportseite die aktuellen Ergebnisse abfragt. Die VDS liefert für alle genau dieselben Daten.

Strafrechtlich überhaupt relevant sind nur die ersten beiden und davon eigentlich auch nur der 1. Wenn ich mich nackt auf der Straße zeige bin ich ja in aller Regel Exhibitionist und nicht der Rest der Welt Spanner. Für den Umstand, dass ich mich ihnen optisch aufdränge sind sie jetzt nicht zwingend verantwortlich nur weil sie einkaufen wollten.

Um den ersten Kandidaten jetzt über die VDS Daten zu erwischen muss ich Zugang zum Server haben. Ist dieser Server kein Opfer wird es dort kein Material geben, was weitere Hinweise liefert. Das wird erst entstehen wenn ich anfange dort zu protokollieren. Etwas, dass der Betreiber der Seite ganz sicher nicht tut. Es ist genauso dämlich wie eine Bestechung in einem öffentlich zugänglichen Bericht zu vermerken.

In diesem Fall könnte man auch noch anmerken, dass dieses Material nicht beliebig verfügbar ist. Man ist also auf eine beschränkte Anzahl von Quellen angewiesen. Z.B. den nicht protokollierenden Server oben. Die Wahrscheinlichkeit, das ein Nutzer mit Intention es sich zu beschaffen wieder kommt ist also recht groß und damit auch die Wahrscheinlichkeit ihn kurzfristig ermitteln zu können sobald ich den Server übernommen habe - was ich für eine Beweisführung sowieso muss.

Auch in diesem eher unappetitlichen Kontext gibt es Alternativen, die - von homöopathischen Ausnahmen abgesehen - grundsätzlich sowieso angewendet werden müssen, um irgendwas aufzubauen was sich dann auch ein Beweis nennen kann.

Gerade das letzte Beispiel sollte hinreichend zeigen wie gefährlich die Daten aus der VDS in diesem Kontext sind. Zugegeben. Die Konstellation, das einer meiner Kunden aktiv sowas hostet ist arg überschaubar und das dürfte wohl auch beim Rest so sein. Allerdings ist es deutlich weniger unwahrscheinlich bei einem Hoster der grundsätzlich pornographisches Material hostet. Und die Beschaffung von diesem ist nicht grundsätzlich verboten. Die Konstellation kann auch durchaus auch noch subtiler konstruiert sein. Z.B. weil der Hoster grundsätzlich mit dem Recht etwas auf Kriegsfuß steht und neben dem KiPo Betreiber auch fragwürdige Werbung hostet, die dann auf ganz anderen Seiten eingeblendet wird. Üblicherweise ebenfalls auf nicht ganz kosheren. Allerdings ist der Verdacht der Beschaffung von Kinderpornographie jetzt nicht ganz angemessen bei einer Person, die sich lediglich den neuesten Kino Streifen in denkbar schlechter Qualität als Stream anschaut. Ich weiß nicht mal ob das überhaupt strafbar ist. Mal abgesehen vom Umstand, dass es ein Verbrechen ist sich sowas überhaupt anzutun.

Grundsätzlich kann man bei den erhobenen Daten feststellen, das sie datenschutzrechtlich in unterschiedlichem Ausmaß hochgradig bedenklich sind. Hinzu kommt, das nichts davon wirklich irgendwas tatsächlich auch in Gänze oder Teilen beweist. Wenn hier also argumentiert wird, dass ohne die VDS Beweise fehlen, dann frage ich mich wie man diesen sekundären Indizien etwas beweisen will?

Ich war Sonntag abends um 21:00 in einem 100m Umkreis um einen Mord? Vermutlich nicht alleine. Besonders lustig allerdings wenn ich doch der Einzige mit einem Telefon war und der Mörder sein Telefon lieber zu Hause gelassen hat. Ich habe 2 x mit Achmed dem toten Terroristen telefoniert. Ja habe ich. Ich vermiete Autos und er wollte eins mieten. Macht mich das Telefonat jetzt verdächtig oder macht mich die Tatsache, dass ich Autos vermiete unverdächtig?

Der Mörder der sein Telefon zu Hause gelassen hat wirft auch gleich eine weitere Frage auf. Wenn mein anwesendes Telefon mich verdächtig macht...macht sein Telefon zu Hause ihn dann unverdächtiger? Weil er ja scheinbar zu Hause war?

Die VDS macht die Arbeit der Polizei einfacher. Sie macht sie aber gefährlich einfacher. Der auf den sich die Ermittlungen konzentrieren ist immer der, der die beste Quote beim Verdacht gebucht hat. Gibt es keine VDS ist das u.U. niemand. Gibt es sie ist es der mit der ungünstigsten Quote. Das wird man zwar abstreiten allerdings gibt es sowas wie Ermittlungsdruck. Zu was sowas führt konnte man kürzlich mehrfach bewundern. Grandiose Leistungen von Kripo und Staatsanwaltschaft, die auf ähnlich dolle Daten zurückgegriffen hatten. Nämlich auf Überwachungskameras. Man sollte meinen, dass die eigentlich zuverlässig sind. Sind sie wohl auch. Allerdings nicht wen man Verdacht an grundsätzlicher Kleidung, Gang und Größe fest macht. Wenn man es dann auch noch schafft das so zu verkaufen, dass 2 Tage später ein facebook Flashmob einen unschuldigen Jugendlichen lünchen möchte, dann sollten wir diesen Helden der Nation die fristlose Kündigung schicken und nicht eine VDS in die Hand drücken, die grundsätzlich nur Gangart und Hosenfarben liefert.