- Daten-Speicherung.de – minimum data, maximum privacy - https://www.daten-speicherung.de -

Bundesjustizministerium: Surfprotokollierung durch Webseitenbetreiber illegal [2. Ergänzung]

In einem erstmals an dieser Stelle veröffentlichten Schreiben [1] vom 02.02.2009 bestätigt das Bundesjustizministerium, dass Betreiber von Internetportalen die Kennungen (IP-Adressen) der Besucher „nicht über den Zeitraum der Inanspruchnahme (Besuch der Webseite) hinaus“ speichern dürfen [2]. IP-Adresse und Nutzungszeitpunkt stellten personenbezogene Nutzungsdaten dar, die dem Telemediengesetz unterliegen, so das Schreiben des Ministeriums.

Staatliche Surfprotokollierung

Das Bundesjustizministerium zeichnete ursprünglich – wie viele andere Ministerien – in personenbeziehbarer Form auf, welche Seiten die Nutzer seines Portals interessierten. 2007 wurde das Ministerium unter Strafandrohung verurteilt [2], diese illegale, globale und pauschale Surfprotokollierung zu unterlassen.

Das Bundeskriminalamt setzte dagegen zunächst seine Praxis [3] fort, die Betrachter von Fahndungsausschreibungen auf der BKA-Homepage aufzuzeichnen und Ermittlungen gegen Personen einzuleiten, die „mit signifikanter Zugriffsfrequenz“ auf die offiziellen Informationen etwa über die „militante gruppe“ (mg) zugriffen. Zuletzt 16 BKA-Seiten waren mit einer derartigen Spionagefunktion versehen. Bei den nachverfolgten Internetnutzern handelte [4] es sich allerdings massenhaft um Behörden und Pressevertreter. Auch die Ermittlung der Identität privater Besucher der Seiten führte bei der Suche nach Mitgliedern der Vereinigungen nicht weiter.

Logfiles verboten

Mit dem nun veröffentlichten Schreiben setzt das Bundesjustizministerium der Homepageüberwachung zur Strafverfolgung ein Ende [5]. Das Ministerium bestätigt [3] in dem Schreiben vom 02.02.2009, dass die staatliche Homepageüberwachung mangels Rechtsgrundlage illegal war.

Im Einklang mit dem Amtsgericht Berlin [6], dem Landgericht Berlin [7] und dem Verwaltungsgericht Wiesbaden [8] bestätigt das Ministerium auch, dass IP-Adresse und Zeitstempel personenbezogene Daten sind [9], weil sie über die beim Zugangsanbieter gespeicherten Daten eine Identifizierung und Überwachung des Anschlussinhabers ermöglichen.

Um sich als Nutzer vor Internetüberwachung zu schützen, sollte man einen protokollierungsfreien Anonymisierungsdienst [10] einsetzen. Wie Internet-Anbieter eine Erfassung ihrer Besucher verhindern können, erläutert die Aktion „Wir speichern nicht! [11]“.

Bundesregierung plant Surfprotokollierung

Unterdessen treibt die Bundesregierung ein Vorhaben [12] voran, das die Protokollierung des Surfverhaltens im Internet zukünftig legalisieren soll: das geplante „Gesetz zur Stärkung der Sicherheit in der Informationstechnik des Bundes“. Dieser Gesetzentwurf des Bundesinnenministers soll jedem Anbieter von Internetdiensten – damit auch dem BKA – das Recht geben, das Lese-, Schreib- und Suchverhalten seiner Besucher ohne Anlass aufzuzeichnen – vorgeblich zum „Erkennen“ von „Störungen“. Mit Hilfe der über alle Internetnutzer gespeicherten Daten würden Rückschlüsse auf unsere persönlichen Interessen, Lebenssituation und Schwächen möglich. Die Surfprotokolle sollen ohne richterliche Anordnung an Polizei, Bundeskriminalamt, Geheimdienste sowie an die Unterhaltungsindustrie herausgegeben werden dürfen.

Der Arbeitskreis Vorratsdatenspeicherung betreibt eine Protestkampagne [12] gegen den Vorstoß, der zurzeit im Bundestag beraten wird. In Kürze wird der Innenausschuss des Bundestages eine öffentliche Anhörung zu dem Vorhaben durchführen. Es bestehen gute Chancen, dass das Vorhaben noch verhindert oder abgeschwächt wird.

Schreiben des Bundesjustizministeriums

Das Schreiben des Bundesjustizministeriums vom 02.02.2009, das auch als eingescanntes pdf-Dokument [1] verfügbar ist, im Wortlaut:

RB3 -zu 4104/8 – 1 – R5 39/2008

Berlin, 2, Februar 2009

Betreff: Homepageüberwachung
Hier: Maßnahmen des Bundeskriminalamtes im Rahmen von strafrechtlichen Ermittlungsverfahren der Länder

Das Bundeskriminalamt (BKA) betreibt eine Internetseite (www.bka.de), auf der u. a. Fahndungsausschreibungen eingestellt werden. Hierbei wird das BKA nicht nur in eigener Sache, sondern auch für Ermittlungsbehörden der Länder tätig. Gegenwärtig ist dies – soweit zugleich eine Homepageüberwachung erfolgt – in 16 Verfahren der Fall (vgl. beigefügte tabellarische Aufstellung). Bei der Homepageüberwachung werden mit technischen Maßnahmen (u. a. sogenannten Cookies1 [13] und Web Bugswww.bka.de [14]), die URL des Web Bug GIFs, den Zeitpunkt, an dem der Web Bug "angeschaut" wurde, den vom "Nutzer eingesetzten Browsertyp (z. B. Internet Explorer) sowie die Informationen eines zuvor gesetzten Cookies an einen Server des Webseitenbetreibers.“ href=“#“>2) bei ausgewählten Fahndungsseiten die Zugriffe von Internetnutzern in einer Weise registriert, die Schlüsse darauf zulässt, ob von einem bestimmten Computer oder Anschluss aus auffällig oft eine bestimmte Fahndungsmeldung abgerufen wurde (= sog. Homepageüberwachung). Durch die dabei erfolgende Registrierung der zugreifenden IP-Adresse und die sich anschließende Bestandsdatenauskunft nach den §§ 161 [15], 163 StPO [16] i. V. m. § 113 TKG [17] können Name und Anschrift des jeweiligen Anschlussinhaber ermittelt werden. Dahinter steht die Annahme, dass insbesondere die gesuchte Person an Informationen über die Fahndung nach ihr interessiert ist und deshalb die sie betreffende Fahndungsseite wiederholt aufrufen wird, so dass die Registrierung dieser Vorgänge zum Auffinden der Person beitragen kann.

Das Bundesministerium des Innern und das Bundesministerium der Justiz haben Fragen der Zulässigkeit der Homepageüberwachung geprüft und sind hierbei zu dem Ergebnis gelangt, dass die Homepageüberwachung durchgreifenden Bedenken begegnet. Die wesentlichen Gesichtspunkte hierbei sind:

  • Die Homepageüberwachung führt zu einer Speicherung und Verwendung personenbeziehbarer und damit personenbezogener Daten im Sinne des § 3 Abs. 1 BDSG [18], mithin zu einem Eingriff in das Grundrecht auf informationelle Selbstbestimmung, der dem Gesetzesvorbehalt unterliegt. Darüber hinaus erscheint auch das durch Art. 5 Abs. 2 Satz 1 GG [19] geschützte Recht, sich aus allgemein zugänglichen Quellen ungehindert zu unterrichten, beeinträchtigt.
  • Der Umstand, dass bei der Homepageüberwachung eine große Anzahl von Daten – sämtliche Internetzugriffe auf eine bestimmte Seiten der Homepage – erhoben, gespeichert und ausgewertet werden, lässt eine spezielle Befugnisnorm für dieses Vorgehen erforderlich erscheinen. Eine solche ist indessen nicht ersichtlich. Allenfalls könnte eine Anwendbarkeit der §§ 100a [20], 100b [21] und 100g StPO [22] in Erwägung gezogen werden. In den bislang bekannt gewordenen Fällen mangelt es aber schon an einer entsprechenden gerichtlichen Anordnung (§ 100b Abs. 1 StPO [21]). Ohne etwaigen gerichtlichen Entscheidungen zu dieser Frage vorgreifen zu wollen, erscheint es auch zweifelhaft, ob diese Regelungen eine – gegenüber einer gewöhnliche Telekommunikationsüberwachung anders geartete – Homepageüberwachung rechtfertigen können (BKA als Nachrichtenmittler im Sinne von § 10Oa Abs. 3 StPO [23]? Einsatz technischer Mittel, wie Cookies und Web Bugs, von TKÜ-Befugnis umfasst? Verhältnismäßigkeit?).
  • Die allgemeinen Befugnisse nach den §§ 161 [15], 163 StPO [16] bieten lediglich für solche Ermittlungshandlungen, die weniger intensiv in Grundrechte eingreifen, eine geeignete Rechtsgrundlage. Aus grundrechtlicher Sicht können diese Ermittlungsgeneralklauseln nicht die Speicherung einer großen Anzahl von – auch durch Artikel 5 Abs. 1 Satz 1 GG [19] geschützten – Daten erlauben, die bei den Zugriffen auf eine Homepage an den Homepagebetreiber übermittelt werden, um diese Daten als Ermittlungsansatz verwenden zu können. Es bedürfte, wie bereits ausgeführt, einer spezialgesetzlichen Norm, die – im Hinblick auf das Grundrecht, sich aus allgemein zugänglichen Quellen ungehindert unterrichten zu dürfen – zudem den Voraussetzungen des Artikels 5 Abs. 2 GG [19] genügen müsste.
  • Selbst wenn man aber die §§ 161 [15], 163 StPO [16] hinsichtlich der Homepageüberwachung als in Betracht kommende Befugnisnormen ansehen wollte, könnten diese die Homepageüberwachung im Ergebnis nicht rechtfertigen. Denn § 160 Abs. 4 StPO [24] bestimmt, dass eine (strafprozessuale) Maßnahme unzulässig ist, soweit besondere gesetzliche Verwendungsregelungen, entgegenstehen. Solche entgegenstehenden Verwendungsregelungen finden sich im Teiemediengesetz (TMG):
    Das Betreiben der (Fahndungs)Webseite ist ein Telemediendienst im Sinne des § 1 Abs. 1 TMG [25]. Nach § 15 Abs. 1 Satz 1 TMG [26] dürfen personenbezogene Daten eines Nutzers (Nutzungsdaten) nur erhoben und gespeichert werden, soweit dies erforderlich ist, um die Inanspruchnahme des Telemediendienstes zu ermöglichen und abzurechnen. Nutzungsdaten sind nach § 15 Abs. 1 Satz 2 TMG [26] insbesondere Merkmale zur Identifikation des Nutzers, wie z. B. die IP-Adresse, Angaben über Beginn und Ende sowie des Umfangs der jeweiligen Nutzung (Zeitpunkte des Besuchs der Fahndungswebseite) und Angaben über die vom Nutzer in Anspruch genommenen Telemedien (Fahndungsseite).
    Zur Inanspruchname des Dienstes müssen diese Daten vorliegend nicht über den Zeitraum der Inanspruchnahme (Besuch der Webseite) hinaus gespeichert oder verwendet werden. Auch eine Abrechnung im Sinne des § 15 Abs. 1 Satz 1 TMG [26] kommt bei unentgeltlich betriebenen Fahndungswebseiten nicht in Betracht. Da auch eine nach § 12 TMG [27] grundsätzlich mögliche, nach § 13 TMG [28] indessen an mehrere Voraussetzungen geknüpfte Einwilligung der Nutzer in die Erhebung und Verwendung der Daten regelmäßig nicht vorliegen wird, ist die Verwendung der vorgenannten Daten gemäß § 15 Abs. 4 TMG [26] über das Ende des Nutzungsvorgangs hinaus nicht zulässig.

Aufgrund dieser rechtlichen Überlegungen veranlasst der Generalbundesanwalt keine Maßnahmen zur Homepageüberwachung.

Das Bundesministerium des Innern hat parallel zu diesem Schreiben das Bundeskriminalamt über die vorstehenden rechtlichen Gesichtspunkte informiert und das Unterlassen von Maßnahmen zur Homepageüberwachung veranlasst.

Ich rege an, dass Sie die Strafverfolgungsbehörden in Ihrem Zuständigkeitsbereich entsprechend unterrichten.

Im Auftrag

Das Ministerium gab das Schreiben auf Anfrage nach dem Informationsfreiheitsgesetz frei.

Ergänzung vom 05.05.2009:

Auch der Bundesdatenschutzbeauftragte schreibt in seinem Tätigkeitsbericht 2007/2008 [29] (Seite 96):

Das Telemediengesetz setzt dem Anbieter einer Website für die Verwendbarkeit der technischen Nutzungsdaten (Protokolldaten), die der Nutzer beim Besuch eines Internet-Angebots hinterlässt, enge Grenzen. Erlaubt ist ihm danach die Verarbeitung für die technische Durchführung des Dienstes und für Abrechnungszwecke. Darüber hinaus dürfen die Nutzungsdaten im Einzelfall nur dann verwendet werden, wenn zu dokumentierende tatsächliche Anhaltspunkte für eine Leistungserschleichung vorliegen. Eine Verarbeitungsbefugnis für Datensicherheitszwecke oder – vorsorglich – für Strafverfolgungszwecke besteht nicht. Ebenso wenig zulässig ist die von einer Vielzahl der Website-Anbieter durchgeführte statistische Auswertung der Nutzungsdaten, da hierbei die IP-Adressen der Besucher, die als personenbezogene Daten anzusehen sind, verwendet werden.

Die Praxis vieler Anbieter steht im Widerspruch zu diesen strengen gesetzlichen Vorgaben. So speichern und verwenden manche Anbieter Nutzungsdaten zu Datensicherheitszwecken und für statistische Auswertungen. Vorschläge, das Problem dadurch zu lösen, dass man IP-Adressen kurzerhand zu nicht personenbezogenen Daten erklärt, was dann für die gesamten Nutzungsdaten gelten würde, hätte fatale datenschutzrechtliche Konsequenzen. Damit wäre jede beliebige Verwendung der Nutzungsdaten unabhängig von der Zweckbestimmung für den Anbieter und letztlich sogar für jedermann möglich (vgl. Nr. 7.11). Unter Verwendung der beim Zugangsprovider vorhandenen Informationen ist jedoch immer ein Personenbezug herstellbar. Ebenso, wenn von einem Internet-Anbieter formularmäßig auch persönliche Daten, z. B. bei einer Bestellung, erhoben werden. Allein schon aus diesen Gründen sind IP-Adressen im Regelfall als personenbezogene Daten anzusehen. Dafür spricht aber vor allem, dass Strafverfolgungsbehörden gerade die IP-Adressen, die bei Internet-Anbietern anfallen, dazu verwenden, die Identität mutmaßlicher Täter zu ermitteln (s. u. Nr. 7.10).

Ich habe im Jahr 2008 eine Umfrage bei den Bundesbehörden durchgeführt, um einen Eindruck über die dortige Speicherungspraxis bezüglich der Internet-Nutzungsdaten zu gewinnen. Anlass war das Urteil des Amtsgerichts Berlin-Mitte vom 27. März 2007 (5 C 314/06 [30]) – bestätigt durch das Landgericht Berlin als Berufungsinstanz durch Urteil vom 6. September 2007 (23 S 3/07 [31]) –, das dem Bundesministerium der Justiz untersagt, Nutzungsdaten über das Ende des Nutzungsvorgangs hinaus zu speichern. Meine Umfrage umfasste auch die Frage, ob und wie die Bundesbehörden statistische Auswertungen der Zugriffe auf ihre Websites durchführen. Das Ergebnis ist in jeder Hinsicht gemischt: Einige Behörden verzichten ganz auf die Speicherung der Nutzungsdaten, andere führen Datensicherheitsgründe für ein teils mehrmonatiges Vorhalten der Protokolldaten an. In vielen Fällen werden statistische Untersuchungen durchgeführt, um das Angebot zu optimieren. Nur in wenigen Fällen stehen Gesetz und Praxis in Einklang.

Angesichts dieser Situation halte ich einen verbindlichen Leitfaden zur rechtskonformen Verarbeitung von Nutzungsdaten für die Bundesbehörden für erforderlich.

Unabhängig davon gibt es Bestrebungen, das Telemediengesetz zu ändern und eine dem Telekommunikationsgesetz entsprechende Regelung aufzunehmen, die eine Verarbeitung der Nutzungsdaten „zum Erkennen, Eingrenzen und Beseitigen von Störungen und Fehlern“ erlaubt. Ich bin von der Notwendigkeit einer zusätzlichen Speicherung nicht überzeugt. Zunächst ist zu prüfen, ob nicht bereits verwendete, erforderlichenfalls zu optimierende Mittel (Firewalls) zur Verhinderung und Abwehr von Angriffen genügen.

Was die Verarbeitung für statistische Zwecke betrifft, soll jedoch alles beim Alten bleiben. Deshalb kann ich den Website-Anbietern nur raten, die Nutzungsdaten vor der Auswertung in geeigneter Weise zu anonymisieren, wie das auch bei den Besucherdaten meiner eigenen Website geschieht. Auch wenn dadurch das Ergebnis der Auswertung ein wenig verzerrt wird, reichen die anonymen Daten zur Optimierung des Internet-Angebots aus.

Der Tätigkeitsbericht [29] enthält auch interessante Details zur früheren Homepageüberwachung durch das Bundeskriminalamt (Seite 96). Ein Auszug:

Bei der Homepage-Überwachung werden Zugriffe auf Fahndungsseiten auf dem Webserver des BKA mit einem separaten Auswertungsserver protokolliert. Außerdem werden „Cookies“ oder „Web-Bugs“ auf dem Computer des Nutzers gespeichert. Damit wird es möglich, einen Nutzer wiederzuerkennen, wenn er die Seiten mehrfach mit zeitlichem Abstand betrachtet. Die Zugriffe werden u. a. mit Angaben über die Anzahl der aufgerufenen Seiten, Zeitpunkt und IP-Adresse der ersten und der letzten Nutzung sowie Informationen zum Provider aufgelistet. Zudem können weitere Informationen, etwa die aufgerufene Seite, aufgeführt werden. Damit wird eine exakte Rekonstruierung der Nutzung jedes einzelnen Absenders möglich. Die Nutzungsdaten bleiben auf dem Auswertungsserver bis zum Abschluss des jeweiligen Falles bzw. bis zur Beendigung der Maßnahme gespeichert.

2. Ergänzung vom 29.06.2009:

Der Focus veröffentlicht [32] weitere Informationen zur Surfprotokollierung durch das Bundeskriminalamt.