Bundestrojaner: Staatsschutz oder Grundrechtsverletzung?

Rund 300.000 Menschen versammelten sich vergangenen Samstag in Feierlaune auf der Regenbogenparade in Wien. Dabei befanden sich die Teilnehmerinnen stets in Sicherheit; zu verdanken ist das aber vielleicht in erster Linie den Sicherheitsbehörden, die womöglich einen geplanten Anschlag auf die Pride-Parade vereitelten. Kurz vor deren Beginn wurden drei junge Männer verhaftet, die eines Komplotts verdächtigt werden. Nach dem Vorfall wird wieder die Debatte um mehr Möglichkeiten der technischen Überwachung - Stichwort Bundestrojaner - laut: ein Tauziehen zwischen der effektiven Prävention von Straftaten und dem Schutz der Grundrechte auf Privatsphäre und Datenschutz.

Bundestrojaner – bald Realität…?

Angelehnt an die griechische Mythologie, versteht man unter „Trojanern“ im EDV-Jargon einen Oberbegriff für eingeschleuste Schadsoftware. Der Begriff Bundestrojaner bezeichnet in diesem Zusammenhang einen von staatlicher Stelle autorisierten Trojaner, mit dem die Überwachung von Computern, Smartphones etc ermöglicht werden soll. Diese Überwachungsmaßnahme ist für Staaten deshalb derzeit so interessant, weil die meisten Messenger-Dienste (wie WhatsApp, Telegram oder Signal) eine Ende-zu-Ende-Verschlüsselung aufweisen.

Wo ist hier das Problem? Bereits derzeit besteht für Strafverfolgungsbehörden die Möglichkeit, Nachrichten zu überwachen, die über ein Kommunikationsnetz oder einen Dienst einer Informationsgesellschaft gesendet, übermittelt oder empfangen werden. Das sind zum Beispiel Telefongespräche, SMS, E-Mails, Sprachnachrichten etc. Natürlich müssen hier aus grundrechtlichen Gesichtspunkten („big brother is watching you“) strenge Voraussetzungen eingehalten werden. Etwa muss die Überwachung zur Aufklärung einer mit mehr als einjähriger Freiheitsstrafe bedrohten Straftat erforderlich erscheinen und die überwachte Person dringend verdächtig sein, diese Straftat begangen zu haben. Sollte die Überwachung zulässig sein – worüber stets ein Gericht entscheiden muss – können die Inhaltsdaten dann beim Telekommunikationsanbieter, zum Beispiel bei einer Telefongesellschaft, erhoben werden. Allerdings können verschlüsselte Nachrichten auf diese Weise nicht ausgewertet werden, dafür bestehen derzeit keine technischen Möglichkeiten.

Hier würde der Bundestrojaner einhaken und direkt an der Quelle der Kommunikation ansetzen, zB direkt am Smartphone oder Laptop, vor Verschlüsselung am Sendegerät oder nach Entschlüsselung am Empfangsgerät.

…oder doch ein totes Pferd?

Dem ersten Anlauf des Gesetzgebers im Jahr 2018, einen Bundestrojaner einzuführen, erteilte der Verfassungsgerichtshof (VfGH) mit Erkenntnis vom 11.12.2019 eine deutliche Absage und hob die Bestimmungen als verfassungswidrig auf. Die vertrauliche Nutzung von digitalen Nachrichtendiensten sei ein wesentlicher Bestandteil des Grundrechts auf Achtung des Privatlebens nach Artikel 8 der Europäischen Menschenrechtskonvention. Die Überwachung durch einen Bundestrojaner stelle einen gravierenden Eingriff dar, der nur in „äußerst engen Grenzen“ zulässig sei. Bemerkenswert daran ist, dass das Gesetz alle Rechtsschutzmechanismen ausschöpfte, die die Strafprozessordnung bisher bei geheimen Überwachungsmethoden vorsah: Die Maßnahme sollte gerichtlich bewilligt werden, die Rechtsschutzbeauftragte hätte über Kontrollbefugnisse verfügt, es bestanden Protokollierungspflichten und nicht sämtliche erlangten Beweise durften verwertet werden. Unter anderem bemängelte der VfGH allerdings, dass es nicht nur zu Beginn der Maßnahme eine unabhängige Kontrolle (durch das Gericht) geben müsse, sondern auch während der laufenden Überwachung – die Rechtsschutzbeauftragte erfülle diese Anforderungen nicht.

Verfassungskonforme Regelung fraglich

Kürzlich getätigte Aussagen des Leiters der Direktion für Staatsschutz und Nachrichtendienst (DSN) lassen vermuten, dass nun erneut an der Umsetzung eines Bundestrojaners gefeilt wird. Das angesprochene Erkenntnis des VfGH erklärte zwar die damalige rechtliche Ausgestaltung des Bundestrojaners für verfassungswidrig, hielt ihn jedoch nicht per se als unzulässig. Dennoch bleibt dem Gesetzgeber hier wohl wenig Spielraum zur (Neu-)Gestaltung des Staatstrojaners und der Pfad der verfassungsrechtlichen Zulässigkeit wird ein schmaler sein, nicht zuletzt da einige vom VfGH als problematisch erachtete Aspekte des Bundestrojaners in seinem Wesen begründet sind. Erwähnenswert ist aber, dass in den meisten europäischen Ländern – so etwa auch in Deutschland – solche staatlichen Maßnahmen bereits existieren.

Mit der Kritik am Umsetzungsversuch wird jedenfalls nicht gespart. Datenschützerinnen warnen neben den erheblichen Eingriffen in die Privatsphäre, dass sich Bundestrojaner nur durch bestehende Sicherheitslücken in Betriebssystemen einschleusen lassen. Der Staat müsste also einerseits – womöglich über fragwürdige Wege – Informationen über diese Sicherheitslücken erhalten und sich dazu noch für das Fortleben dieser Lücken stark machen. Das Vorhandensein solcher Lücken könnte dann wiederum nicht nur zur Gefahr für Private werden, die sich krimineller Hacker-Angriffen ausgesetzt sehen, sondern auch in puncto Spionageabwehr Bedenken aufwerfen.

Überhaupt sehen Kritikerinnen die Rechte von Beschuldigten auch in anderen Punkten schon nach derzeitiger Rechtslage ausbaufähig. Etwa gelten Datenträger in der Strafprozessordnung als „Gegenstände“ und können daher wie zB Messer und Behälter sichergestellt werden. Im Vergleich zur Nachrichtenüberwachung bestehen hier jedoch deutlich weniger strenge Voraussetzungen (keine richterliche Genehmigung, kein „dringender Tatverdacht“). So können folglich auch Nachrichten auf beschlagnahmten Smartphones ohne weitere Erfordernisse umfassend ausgewertet werden. Eine Anpassung an die Voraussetzungen der Nachrichtenüberwachung wurde bereits von mehreren Seiten vorgeschlagen. Letztlich bleibt es bei all diesen Fragen ein Austarieren zwischen dem Interesse an der Strafverfolgung und den Grundrechten der Betroffenen – ein Unterfangen, das Augenmaß erfordert.

Kurz gesagt:

• Der Begriff Bundestrojaner bezeichnet einen von staatlicher Stelle autorisierten Trojaner, mit dem die Überwachung von Computern, Smartphones etc ermöglicht werden soll.

• Ein vom Gesetzgeber unternommener Versuch, einen Bundestrojaner einzuführen, scheiterte am Verfassungsgerichtshof, der die Bestimmungen im Jahr 2019 als verfassungswidrig aufhob. Insbesondere verletzten diese das Grundrecht auf Achtung des Privatlebens nach Artikel 8 der Europäischen Menschenrechtskonvention, das auch die vertrauliche Nutzung von digitalen Nachrichtendiensten erfasst.

• Da der VfGH einen Bundestrojaner in „äußerst engen Grenzen“ dennoch als zulässig ansah, könnte ein weiterer Umsetzungsversuch bevorstehen.