OCG Pressemeldungen 2007

Wien, 17. Dezember 2007

Stellungnahme der Österreichischen Computer Gesellschaft (OCG) zur Online-Durchsuchung

Auch das Internet ist immer mehr zu einem Hilfsmittel zur Begehung von Straftaten geworden. In der öffentlichen Wahrnehmung sind neben Kinder­schändung und Wirtschaftsdelikten die Terrordelikte in den Vordergrund getreten. Dies hat Angst in der Bevölkerung ausgelöst und zur Bereitschaft geführt, mehr als bisher Freiheit gegen Sicherheit einzutauschen. Der Verlust der Freiheit führt auf längere Sicht aber nur allzu leicht auch zum Verlust der angestrebten Sicherheit. Im Rechtsstaat gilt es daher stets, diese beiden Grundbedürfnisse gegeneinander abzuwägen. Bei „Freiheit“ handelt es sich nicht nur um ein Schlagwort aus  Sonntagsreden. Wer weiß oder befürchten muss, beobachtet zu werden, richtet sein Verhalten danach ein. Er versucht daher, möglichst wenig Angriffsflächen zu bieten, möglichst wenig aufzufallen, jedem prinzipiell zu misstrauen und mit keinem Menschen so gut befreundet zu sein, dass dieser nicht später einmal zu seinem Feind werden könnte. Niemand darf eine unbedachte Äußerung fallen lassen und muss selbst bei Arzt- oder Rechtsanwaltsbesuchen damit rechnen, dass  Spuren hinterlassen werden, die später einmal schaden könnten.

Gründe zur Ausdehnung der Beobachtung gibt es immer mehr. Ein großer Teil des Werbemülls, dessen Bewältigung beachtliche materielle und zeitliche Ressourcen frisst, entsteht durch Data Mining in den verschiedensten Formen, und viele von uns haben sich schon daran gewöhnt, sogar wenn sie selbst betroffen sind. Was der Wirtschaft recht ist, muss dem Staat billig sein, und da ist es wenig überraschend, wenn er auch z.B. zur Verbesserung der pädagogischen und medizinischen Betreuung ausführliche Datenprofile erhebt und vernetzt, die großes Interesse bei künftigen Arbeitgebern oder Versicherern auslösen.  Aber nur wenige wagen es, sich dem ungerechtfertigten Verdacht auszusetzen, durch datenschutz­rechtliche Prinzipienreiterei Pädophilen und Terroristen Tür und Tor zu öffnen. Wühlt aber der demokratische Rechtsstaat allzu unbefangen im Leben der anderen, so unterminiert er das Vertrauen seiner Bürger und besorgt damit erst recht die Geschäfte des internationalen Terrorismus. Er erzieht den Staatsbürger zum Herrn Karl.

Diese sorgfältige Abwägung der Rechtsgüter ist gerade jetzt in doppelter Weise notwendig: bei der „Online-Durchsuchung“ und bei der Vorratsdatenspeicherung.

Die Grundsatzeinigung zur Online-Durchsuchung („Bundestrojaner“) hat am 17.10.2007 den Ministerrat passiert und es zeigt sich, dass diese Abwägung im Prinzip sorgfältig vorgenommen worden ist. Voraussetzung ist im wesentlichen die Notwendigkeit der Durchsuchung zur Aufklärung eines mit mehr als zehn Jahren bedrohten Verbrechens, organisierte Kriminalität oder Terrordelikte, dringender Tatverdacht, eine besondere Anordnung der Staatsanwaltschaft, die vor der Durchführung vom Gericht zu genehmigen ist, deren Kontrolle durch den Rechtsschutzbeauftragten, die Verständigung sämtlicher Personen, deren Daten ermittelt wurden, strenge Vernichtungsregelungen von unzulässig ermittelten oder für die Untersuchung nicht bedeutsamer Daten und nicht zuletzt eine verschuldens­unabhängige Haftung des Bundes für Schäden, die durch eine Online-Untersuchung verursacht wurden.

Bedenken bestehen somit nicht gegen die Grundsatzregelung als solche sondern das Fehlen von Aussagen darüber, auf welche Weise die Online-Untersuchung stattfinden soll. Dabei geht es nicht nur um technische Einzelheiten von untergeordneter Bedeutung, die getrost den IT-Fachleuten überlassen werden können. Vielmehr können Staatsanwalt, Richter und Rechtsschutzbeauftragter ihre Aufgaben erst dann sinnvoll erfüllen, wenn sie wissen, welchen konkreten Eingriff sie im Einzelfall zu beurteilen haben und welche Nachteile er für den Observierten, aber auch für Dritte haben kann.

Klar festgehalten werden muss also im Gesetz und in der darauf basierenden Anordnung der Strafverfolgungsbehörden, welcher Art die Untersuchung sein soll. Die Beschlagnahme eines Computers bei einer Hausdurchsuchung und die anschließende Auswertung der darauf gespeicherten Daten ist jetzt schon zulässig. Problematischer, aber im Grund auch nichts prinzipiell Neues ist das „Verwanzen“ des Rechners an Ort und Stelle. Am Heikelsten ist die Untersuchung „aus der Ferne“ ohne Sachpräsenz (Remote Forensic Software), welche in ihrer konkreten Durchführung die verschiedensten Formen annehmen kann.

Sie ist seit langem Gegenstand ausführlicher Diskussionen, in denen die Online-Untersuchung teils als so gut wie praktisch undurchführbar, teils als technisch bereits völlig unproblematisch machbar dargestellt wird. Diese Meinungsunterschiede sind weniger auf mangelnde Sachkunde oder mangelnde Integrität der Diskussionsteilnehmer zurückzuführen, als vielmehr auf den technischen Fortschritt bei der Entwicklung der Observierungsangriffe und der dagegen entwickelten  Verteidigungsmittel. Strittig und gerade auch in rechtlicher Hinsicht zu klären ist die Notwendigkeit der Mitwirkung des Inhabers, des Entwicklers, des Betreuers und des Betreibers des Betriebssystems, des Providers und des IT-Sicherheitsunternehmens. Nicht übersehen darf man dabei, dass bewusst geschaffene Sicherheitslücken auch von Dritten ausgenützt werden können, was früher oder später auch mit Sicherheit geschehen wird, mag es auch nicht an die Öffentlichkeit dringen; und dass „Bundestrojaner“ oder Man-in-the-middle-Angriffe systematisch nicht nur von der Republik durchgeführt werden können, sondern auch von anderen, ausländischen Behörden und ebenso von Privaten, die auch schon bisher Speerspitze des Fortschritts auf diesem Gebiet gewesen sind. Der Observierte genießt wenigstens den Vorteil, dass er möglicherweise mit Hilfe der Sicherheitsbehörden leichter zu Backup-Kopien seines Systems und seiner Daten kommen kann.

Besonders problematisch ist die Vorratsspeicherung von Daten, die aus Gründen politischer und wirtschaftlicher Abhängigkeiten klein- und schöngeredet werden muss. Entscheidend hierbei ist nämlich, dass nicht zuletzt wegen dieser Abhängigkeiten die ausdrücklichen rechtsstaatlichen Garantien nach wie vor fehlen, wie sie immerhin der österreichischen Grundsatzeinigung über die auf den konkreten Fall beschränkte Online-Untersuchung zugrunde liegen. Da die Sicherheitsbehörden andernfalls in der Überfülle des Materials ertrinken, haben sie auch noch gar keine andere Wahl, als ein Profiling nach rassischen, ethnischen, religiösen und geschlechtlichen Gesichtspunkten durchzuführen und dies aus politischer Notwendigkeit nachträglich zu bestreiten. Es liegt zwar eine europäische Richtlinie vor (RL 2006/24/EG), doch hat Irland dagegen am 6.7.2006 Nichtigkeitsklage eingebracht, sodass unmittelbarer Handlungsbedarf für Österreich derzeit noch nicht besteht.

 Der deutsche Gesetzesentwurf, der mit 1.1.2008 in Kraft treten soll, erweckt allerdings erhebliches Unbehagen und kann auf keinen Fall als Vorbild für Österreich dienen. Begründet werden die Vorschriften zur Vorratsdatenspeicherung mit der Notwendigkeit zur Kriminalitäts- und Terrorismusbekämpfung, doch wird die gebotene Rechtsgüterabwägung zwischen Freiheit und Sicherheit unter dem Druck von Interessengruppen nur sehr unvollkommen vorgenommen. Die Vorrats­speicherung betrifft insbesondere keineswegs nur schwerste Delikte. Daher soll z.B. sogar die Zollverwaltung für Schwarzarbeitsbekämpfung auskunftsberechtigt sein und selbst in Internet-Tauschbörsen begangene Urheberrechtsverletzungen sollen dem Zugriff unterliegen. Auch wenn Verletzungen fremden geistigen Eigentums nicht als Kavaliersdelikt zu bagatellisieren sind, können sie doch in ihrer Schwere nicht Terrorattacken gleich zu achten sein.

Es wäre auch weltfremd zu meinen, wer nichts angestellt habe, müsse sich vor Überwachung nicht fürchten. So sind z.B. Krankheitsgeschichten nicht für jedermann bestimmt, auch nicht für den Arbeitgeber und schon gar nicht für mobbende Arbeitskollegen. Rein illustrativ sei hier an einen Fall erinnert, der sich im Vorjahr in Wien ereignet hat: Die Pissschalen einer Toiletteanlage waren grob geschmacklos (sexistisches „Mundpissoir“) und der Betreiber wurde deshalb politisch attackiert. Er hat sich - den Medienberichten zufolge - damit verantwortet, dass die Wiener Stadtpolitiker unter den Benützern der Anlage nichts Anstößiges daran gefunden hätten. Wie der Betreiber überhaupt Kenntnis von dieser Benützung erlangt hat, wurde in den Medien nicht erwähnt, entsprechendes Videomaterial wurden auch nicht ins Internet gestellt, doch hätten diese Benützer allen Anlass gehabt, sich vor einer solchen Bloßstellung zu fürchten.

Wenn der hier drohenden Entwicklung nicht energisch entgegengetreten werden kann, so wird sich der Mensch dieses Jahrhunderts damit abfinden müssen, dass seine Privatsphäre nur mehr eine scheinbare, jederzeit rückwirkend entziehbare ist; und dass sein Verhalten von den Verwaltern dieser Daten jederzeit gegen ihn benützt werden kann. Diese Verwalter haben die Deutungshoheit, er muss also damit rechnen, dass diese Daten in entstellter, lückenhafter Form und hämisch kommentiert an die Öffentlichkeit gebracht werden. Es ist eine Erfahrungstatsache, dass Geheimhaltungsvorschriften meist ein nur sehr unvollkommener Schutz sind, und der beschränkten Amtsverschwiegenheit in der Verfassung steht die unbeschränkte Auskunftspflicht gegenüber den Medien und anderen einflussreichen Gruppierungen in der Realität gegenüber. Es darf nicht dazu kommen, dass der Grundrechtseingriff die Regel ist, sein Verbot die mühevoll zu begründende Ausnahme.