- Daten-Speicherung.de – minimum data, maximum privacy - https://www.daten-speicherung.de -

Bundeskriminalamt und Ministerien: Wir speichern doch! [7. Ergänzung]

Gestern musste die Bundesregierung dem Bundestag Rede und Antwort stehen, weil viele Behörden personenbeziehbar speichern, wer wann welche ihrer Internetseiten betrachtet und nach welchen Suchworten durchsucht hat. Anlass der parlamentarischen Anfrage waren zwei Urteile [1], die deutlich gemacht haben, dass eine solche anlasslose, generelle Vorratsprotokollierung des Internet-Nutzungsverhaltens unzulässig ist, egal für welchen Zeitraum und egal für welchen Zweck.

Aus der Stellungnahme des Innenministeriums ergibt sich: Nur das Bundesjustizministerium und das Bundesfinanzministerium haben aus den Urteilen Konsequenzen gezogen und protokollieren Besuche ihrer Webseiten nicht mehr in personenbezogener Form. Die Mehrzahl der Bundesbehörden und Bundesgerichte – ebenso wie der Bundestag selbst – führen in ihren Besuchsprotokollen weiterhin die IP-Adressen der Besucher, welche die nachträgliche Identifizierung der Anschlussinhaber ermöglichen. Angeblich „prüfen“ diese Stellen zurzeit, welche Konsequenzen aus den Urteilen zu ziehen sind, obwohl doch die einzige Konsequenz sein kann, sich an die geltenden Gesetze zu halten und die Protokollierung personenbezogener Daten zu beenden. Staatssekretär Peter Altmeier (CDU) führte Sicherheits- und Statistikzwecke an, um die Speicherung zu rechtfertigen. Diese Argumente sind schon an anderer Stelle ausführlich juristisch [2] und inhaltlich [3] widerlegt worden.

Gleichzeitig bestätigt die Bundesregierung, dass das Bundeskriminalamt speichert, wer sich auf dem BKA-Portal über „manche Straftaten“ informiert. Die Informationsseite über die „militante Gruppe“ ist also nicht die einzige „Fangschaltung“, die Ermittlungsmaßnahmen gegen hunderte von Internetsurfern nach sich ziehen [4] kann [5]. Man hofft, dass sich unter den Besuchern solcher Seiten auch die Täter befinden. Bundeskriminalamt und Generalbundesanwalt halten die Speicherung für rechtmäßig und beabsichtigen offensichtlich, sie fortzusetzen. Juristisch wird die Maßnahme auf § 161 [6] und § 163 [7] der Strafprozessordnung gestützt. Dabei ist unter Juristen praktisch unstreitig, dass das Telemediengesetz den Umgang mit Nutzerdaten abschließend regelt. Und im Telemediengesetz heißt es bekanntlich (§ 15 TMG [8]): „Der Diensteanbieter darf personenbezogene Daten eines Nutzers nur erheben und verwenden, soweit dies erforderlich ist, um die Inanspruchnahme von Telemedien zu ermöglichen und abzurechnen“. Damit ist die Datenspeicherung des Bundeskriminalamts illegal. Wer dagegen klagt, wird nach meiner Überzeugung Erfolg haben.

Diskussion

In der Diskussion der Berliner Urteile zum Verbot der Speicherung von IP-Adressen haben sich erstaunlich viele Betreiber von Webseiten, die sich gegen eine staatlich verordnete Datensammlung (Vorratsdatenspeicherung) die Finger wund schreiben, plötzlich die Argumente der Befürworter einer Datenspeicherung zueigen gemacht, um ihre eigene Sammlung personenbezogener Daten zu rechtfertigen. Sie übersehen dabei allerdings, dass es für Internetnutzer keinen Unterschied macht, ob Anbieter unser Verhalten im Internet „freiwillig“ protokollieren oder aufgrund einer staatlichen Verpflichtung. In beiden Fällen zieht die Datenspeicherung dasselbe Missbrauchs- und Irrtumsrisiko nach sich und beeinträchtigt die unbefangene Internetnutzung. Auch auf „freiwillig“ gespeicherte Nutzungsprotokolle hat der Staat Zugriff.

Wer sich gegen eine staatlich angeordnete Vorratsdatenspeicherung einsetzt, ist nur dann glaubwürdig, wenn er selbst auf die Sammlung personenbezogener Kommunikationsspuren verzichtet, auch wenn sie in bestimmten Situationen „nützlich“ sein könnten. Gerade mit dieser Nützlichkeit argumentieren nämlich auch die Befürworter einer Vorratsdatenspeicherung. Wird die „freiwillige“ Protokollierung der Internetnutzung beibehalten, wird Bundesjustizministerin Zypries in einem Jahr sagen können: „Die Speicherung von Access-Logs im Internet machen schon heute 90% aller Betreiber. Wir wollen nur die Aufbewahrungsdauer verlängern.“ Und schon bekommen wir eine Speicherpflicht auch für Internet-Anbieter.

Der Ausweg kann nur ein konsequenter Protokollierungsverzicht sein, ein Verzicht auf jede „freiwillige“ Vorratsdatenspeicherung. Insofern soll Webmastern nochmals die Kampagne des Arbeitskreis Vorratsdatenspeicherung „Wir speichern nicht! [9]“ ans Herz gelegt werden. Hoffen wir, dass sich bald auch Bundeskriminalamt und Ministerien dafür anmelden.

Video

Video: Stellungnahme und Befragung des Staatssekretärs Peter Altmeier zur IP-Speicherung [10] (9 min., real stream)

Wortprotokoll (Auszug)

Welche Behörden und Einrichtungen des Bundes protokollieren die IP-Adressen – Internet-Protocol-Adressen – oder weitere Daten der Personen, die die Internetseiten dieser Behörden und Einrichtungen aufrufen? Auf welcher Rechtsgrundlage hat das Bundeskriminalamt die IP-Adressen von Besuchern der Internetseite der Behörde gespeichert, und auf welcher Rechtsgrundlage wurde von deren Internetprovidern Auskunft über die zugehörigen Anschlussinhaber verlangt?

Peter Altmaier, Parl. Staatssekretär beim Bundesminister des Innern:

Ich möchte Ihre Fragen wie folgt beantworten: Wir müssen zunächst einmal zwischen der Speicherung von IP-Adressen zu statistischen Zwecken bzw. aus IT-Sicherheitsgründen einerseits und der Speicherung von IP-Adressen als erste Ermittlungsmaßnahme andererseits unterscheiden.

Die generelle Speicherung der IP-Adressen zu Sicherheitsgründen oder aus statistischen Zwecken wird von der überwiegenden Zahl der Ressorts und des nachgeordneten Bereichs vorgenommen. An diese generelle Speicherung der IP-Adressen schließt sich keine Ermittlung der dahinter stehenden Personen an. Das heißt, es findet keine Personalisierung, also keine Zuordnung der Adresse zu einer konkreten Person, statt.

Es gibt Gründe für diese Speicherung. Sie wird zum einen unter Sicherheitsgesichtspunkten zur Ermöglichung effizienter Reaktionen auf Angriffe aus dem Internet für erforderlich gehalten. Dies wird unter anderem in dem vom Bundesamt für Sicherheit in der Informationstechnik herausgegebenen Maßnahmenkatalog „Sicherheit von Webanwendungen [11]“ vorausgesetzt. Unter Statistikgesichtspunkten dient die Speicherung der IP-Adressen dazu, feststellen zu können, wie das Internetangebot angenommen wird und welche Themenbereiche besonders gefragt sind. Im Übrigen erhalten wir häufig Anfragen von Parlamentariern zur Nutzungshäufigkeit und zum Kosten-Nutzen-Verhältnis von Internetangeboten. Die Beantwortung setzt natürlich eine entsprechende Speicherung voraus.

Das BMJ und das BMBF haben die Speicherung infolge eines Urteils des Amtsgerichts Berlin vom 23. November 2006 und der Entscheidung des Landgerichts Berlin vom 6. September 2007 nun allerdings gestoppt. Das bedeutet ganz konkret, dass beim Bundesministerium der Justiz derzeit weder IP-Adressen noch andere personenbezogene Daten der Personen protokolliert werden, die die Internetseite dieses Ministeriums aufrufen.

Im Geschäftsbereich des Bundesministeriums der Justiz werden IP-Adressen derzeit noch beim Bundesgerichtshof, beim Bundesfinanzhof, beim Bundesverwaltungsgericht, beim Bundespatentgericht und beim Deutschen Patent- und Markenamt für die Zwecke der Abrechnung kostenpflichtiger Internetangebote und/oder für die genannten statistischen Zwecke protokolliert. In welcher Weise sich das Urteil des Landgerichts Berlin vom 6. September 2007 auf diese Speicherungspraxis auswirkt, wird zurzeit geprüft. Dies gilt im Übrigen auch für alle anderen Ressorts der Bundesregierung und den nachgeordneten Bereich.

Die nur anlassbezogene Speicherung von IP-Adressen als erste Ermittlungsmaßnahme durch das BKA beruht auf der kriminalistischen Erfahrung, dass sich Täter bei manchen Straftaten, insbesondere bei solchen, die ein großes öffentliches Interesse geweckt haben, regelmäßig über den Fortgang der Ermittlungen informiert haben. Nur in solchen Fällen speichert das BKA die IP-Adressen unter Berufung auf die allgemeine Ermittlungsbefugnis aus § 161 [6] und § 163 [7] Strafprozessordnung. Diese Rechtsauffassung wird vom Generalbundesanwalt laut Vermerk vom 4. April 2005 gestützt. Das BKA ist im Verantwortungsbereich der Bundesregierung die einzige Behörde im nachgeordneten Bereich, die so verfährt.

Wolfgang Wieland (BÜNDNIS 90/DIE GRÜNEN): […]

Meine zweite Zusatzfrage bezieht sich auf das BKA. Halten Sie es nicht für kritikwürdig, dass eine staatliche Institution Informationen der Öffentlichkeit bewusst zur Verfügung stellt, quasi ein Lockangebot macht, indem sie sagt: „Hier kann man sich informieren“ – hier ging es um die sogenannte militante Gruppe –, und dass derjenige, der davon Gebrauch macht, gespeichert wird und hinterher geforscht wird, wer er denn ist, und er damit rechnen muss, in die Falle gegangen zu sein, weil man nämlich nunmehr polizeilich gegen ihn ermittelt? Kann ein solches Vorgehen das Vertrauen in staatliches Handeln fördern? Kann auf dem Weg zu E-Government, den wir ja gemeinsam beschreiten wollen, der Bürger beim Kommunizieren eigentlich noch Vertrauen haben, wenn er demnächst Trojaner befürchten muss und wenn er schon jetzt befürchten muss, dass es, wenn er beim BKA auch nur nachsieht, weitere Ermittlungsschritte gegen ihn zur Folge hat?

Peter Altmaier, Parl. Staatssekretär beim Bundesminister des Innern:

Herr Kollege Wieland, ich möchte zunächst in aller Form sagen, dass ich nicht glaube, dass irgendein Internetangebot staatlicher Stellen als Lockvogelangebot bezeichnet werden kann; vielmehr sind es Internetangebote, die sich an die Gesamtheit der Bürgerinnen und Bürger richten und von denen auch in erfreulich wachsender Zahl Gebrauch gemacht wird.

Ich habe vorhin gesagt – wenn Sie genau zugehört hätten, wüssten Sie das –, dass es bei manchen Straftaten, insbesondere solchen, die großes öffentliches Interesse geweckt haben, möglich ist, dass die Täter sich auf diesem Wege informieren. Ich halte es für nachvollziehbar, dass man in solchen einzelnen, abgegrenzten Fällen zu ermitteln versucht, wer hinter einer bestimmten IP-Adresse steht. Jedenfalls wird diese Praxis bislang auch von der Generalbundesanwaltschaft gestützt. Wir gehen davon aus, dass sie auf einer einwandfreien Rechtsgrundlage beruht.

Silke Stokar von Neuforn (BÜNDNIS 90/DIE GRÜNEN):

Herr Staatssekretär, die Website des BKA war bei mir bislang unter „Favoriten“ abgelegt. Ich finde sie höchst informativ, und von Zeit zu Zeit mache ich mich als innenpolitische Sprecherin sachkundig, indem ich auf die Website des BKA zurückgreife.

Ich muss jetzt das Geständnis ablegen, dass mich nach Rostock und den Auseinandersetzungen um den G-8-Gipfel auch die Internetseite zur militanten Gruppe interessiert hat. Daher meine Frage an Sie als Staatssekretär: Zähle ich jetzt zu den Verdächtigen? Bin ich jetzt beim BKA als gefährliche Linksextremistin gespeichert, oder hat die Analyse meines Zugriffs auf die BKA-Website in diesem Fall vielleicht ergeben, dass ich tatsächlich ein Informationsinteresse hatte?

Peter Altmaier, Parl. Staatssekretär beim Bundesminister des Innern:

Frau Kollegin, da Sie nach allen mir bekannten Informationen bei den Vorgängen in Heiligendamm nicht im Umfeld krimineller Handlungen, sondern sehr wohl staatstragend in Erscheinung getreten sind, können Sie davon ausgehen, dass Sie weder beim BKA noch irgendwo sonst als Verdächtige geführt werden.

Die Frage des Abgeordneten Hans-Christian Ströbele wird noch schriftlich beantwortet. Sie lautet: Welche Bundesministerien nebst nachgeordnetem Bereich speichern von Besuchern ihrer Internetseiten deren IP-Adressen, abgefragte Dateien oder Zugriffszeiten über die Dauer des jeweiligen Besuchs hinaus, wie etwa das Bundeskriminalamt es bei 417 Interessenten für die „militante gruppe“ allein binnen drei Wochen im März/April 2007 tat, und wird die Bundesregierung derartige Fangschaltungen sowie etwaige sicherheitsbehördliche Nachermittlungen über die Besucher – wie im genannten Fall des Bundeskriminalamts – nun kurzfristig und vollständig unterbinden, nachdem das Landgericht Berlin mit Berufungsurteil vom 6. September 2007 (Az. 23 S 3/07 [12]) dem Bundesministerium der Justiz derlei rechtskräftig verboten hat?

Vollständiges Protokoll als pdf-Dokument [13] (ab S. 22)

Ergänzung vom 24.10.2007:

Das Innenministeriums hat die Frage von Hans-Christian Ströbele am 11.10.2007 beantwortet [14]. Danach nehmen auch das Bildungsministerium, das Arbeitsministerium, der Bundesrechnungshof und das Bundeskriminalamt keine generelle Speicherung der IP-Adressen vor.

Unterdessen haben die FDP [15] und die Linke [16] ebenfalls ausführliche Fragen an die Bundesregierung gerichtet.

2. Ergänzung vom 07.11.2007:

Die Antwort [17] der Bundesregierung auf die Anfrage der FDP liegt vor. Sie ist zusammengefasst bei Heise [18].

3. Ergänzung vom 26.11.2007:

Die Antwort [19] der Bundesregierung auf die Anfrage der Linken liegt jetzt vor.

Wenn die Bundesregierung mitteilt, sie prüfe die Auswirkungen des Urteils intensiv, ist zu befürchten, dass sie nicht etwa ihre illegale Speicherpraxis an das geltende Recht, sondern das Recht an ihre illegale Speicherpraxis anpassen will, also eine Gesetzesänderung beabsichtigt, um die Speicherung von IP-Adressen zu legalisieren. Allerdings würde eine Regelung ähnlich § 100 TKG [20] nichts an dem Verbot der Vorratsspeicherung von IP-Adressen ändern. Denn die Gerichte legen [21] diese Vorschrift zutreffend so aus, dass sie nur eine anlassbezogene Speicherung rechtfertigt, der Normalbetrieb aber speicherfrei zu erfolgen hat.

4. Ergänzung vom 15.12.2007:

In den Handlungsempfehlungen [22] der Konferenz der Datenschutzbeauftragten des Bundes und der Länder für E-Government wird die Protokollierung von IP-Adressen mehrfach angesprochen.

Seite 13:

Die Frage, ob IP-Nummern personenbezogen sind, ist von großer Bedeutung, weil an verschiedenen Stellen des Internets IP-Adressen – teilweise zusammen mit anderen Nutzungsdaten – protokolliert werden und durch Zusammenführen dieser Daten Profile über das Nutzungsverhalten erstellt werden können. Auf jeden Fall sind statische IP-Adressen personenbezogene Daten, da diese einen direkten und andauernden Bezug zu dem Nutzenden enthalten und auf diesen ohne weiteres rückschließen lassen. Mit Hilfe Dritter ist es darüber hinaus aber bereits jetzt in vielen Fällen möglich, Internet-Nutzer und -Nutzerinnen auch bei nicht-statischen IP-Adressen zu identifizieren. Dynamische IP-Adressen müssen daher ebenfalls als personenbezogene Daten behandelt werden, da sie durch Zusammenführung mit den dahinter stehenden Zuordnungstabellen den Rückschluss auf bestimmbare Personen zulassen (vgl. §§ 3 Abs. 1 BDSG [23], 1 Abs. 2 TDDSG). Als Folge dieser Zuordnung sind für das Erheben, Verarbeiten, Nutzen und auch Löschen von IP-Adressen die Vorschriften für Verbindungs- bzw. Nutzungsdaten anzuwenden.

S. 33:

  • Bei reinen Informationsangeboten sollte auf eine vollständige Erfassung der IP-Adressen der Nutzer verzichtet werden, da diese für die Erbringung des Angebots und seine Abrechnung nicht erforderlich sind. Für die statistische Auswertung reichen gekürzte IP-Adressen aus.
  • Bei E-Government-Dienstleistungen dürfen nur diejenigen Nutzungsvorgänge protokolliert werden, bei denen dies aufgrund gesetzlicher Vorgaben erforderlich ist (z. B. automatisierte Abrufverfahren). Darüber hinaus dürfen Daten dann gespeichert werden, wenn konkrete Anhaltspunkte für eine missbräuchliche Inanspruchnahme vorliegen und soweit die Daten zur Missbrauchsaufklärung erforderlich sind. Diese Daten dürfen nicht für andere Zwecke genutzt werden.

S. 39:

Wenn die Nutzung eines Angebots die Erhebung personenbezogener Daten voraussetzt, sind die Nutzer über die Zweckbestimmung der Verarbeitung, für die die Daten bestimmt sind, zu unterrichten. Wenn Daten in Log-Dateien gespeichert werden, könnte eine Information folgendermaßen aussehen:

Mit Ihrem Zugriff auf diese Seite werden die um die letzten drei Ziffern verkürzte IP-Adresse Ihres Rechners und weitere Angaben (Datum, Uhrzeit, betrachtete Seite) auf unserem Server für Zwecke der Datensicherheit für zwei Monate gespeichert. Die Daten werden außerdem für statistische Zwecke ausgewertet. Durch die Verkürzung der IP-Adresse ist der Bezug der gespeicherten Daten auf Ihre Person ausgeschlossen.
Wir verwenden keine Cookies, Java-Applets oder Active-X-Controls. Sollten Sie noch Fragen zum Datenschutz haben, wenden Sie sich bitte an: […]

S. 40 (Elektronischer Behördenwegweiser/Informationsangebote):

  • Elektronische Behördenwegweiser müssen so gestaltet werden, dass die Bürgerinnen und Bürger grundsätzlich ohne Nennung ihres Namens die erforderlichen Informationen erhalten.
  • Eine personenbezogene Protokollierung der Abfragen hat zu unterbleiben.

S. 49 (Protokollierungen der Nutzung):

Die Protokolldaten werden bei kostenfreier Nutzung des Online-Dienstes nach Ende der jeweiligen Nutzung gelöscht; bei kostenpflichtiger Nutzbarkeit sind die Protokolldaten spätestens nach Ablauf von sechs Monaten nach Versendung der Rechnung und des Einzelnachweises zu löschen, soweit es nicht zu Einwendungen gekommen ist oder nach bereichsspezifischen Regelungen besondere Aufbewahrungsfristen zu beachten sind.

S. 55 (Schutz des Web-Angebots und der Infrastruktur des Anbieters):

Es ist technisch prinzipiell möglich, neben der Protokollierung der Administrationstätigkeiten auch die gesamte Kommunikation mit dem Webserver sehr detailliert durch die Firewall oder den Webserver selbst zu protokollieren.

Datenschutzrechtlich unproblematisch sind Verkehrs-Log-Dateien, die zum Beispiel der Optimierung des Webserver-Angebotes dienen, sofern folgende Randbedingungen eingehalten werden:

  • lediglich statistische Auswertung der Protokolle,
  • Anonymisierung der Logdaten z. B. durch gezielte Veränderung der IP-Adressen,
  • Auswertung der Daten innerhalb von drei Werktagen,
  • Löschen der Verkehrs-Log-Dateien sofort nach der Auswertung.

Leider beachtet der Bundesdatenschutzbeauftragte diese Grundsätze selbst nicht. Er protokolliert Zugriffe auf sein Internetportal über die Dauer des Nutzungsvorgangs hinaus in personenbezogener Form. Außerdem hat er eine Protokollierung sämtlicher Zugriffe auf Internetangebote des „Informationsverbunds Berlin-Bonn (IVBB) [24]“ unbeanstandet gelassen (21. Tätigkeitsbericht 2005-2006 [25], pdf-Seite 56). Eine Löschfrist ist offenbar nicht festgelegt worden – lediglich die Auswertung ist auf die Daten der letzten sechs Monate beschränkt worden!

Ergänzung vom 13.07.2008:

Zur Speicherung von Verkehrsdaten im Rahmen des Informationsverbunds Berlin-Bonn (IVBB) durch T-Systems siehe jetzt näher die Auskunft [26] der Bundesregierung vom 01.07.2008.

Ergänzung vom 21.03.2009:

Das Bundeskriminalamt musste jetzt die Aufzeichnung der Besucher seiner Homepage einstellen (Quelle [27]).

Der Bundesdatenschutzbeauftragte registriert auf Besucher seiner Homepage auch nicht mehr [28].

Ergänzung vom 01.04.2009:

Das Bundeskriminalamt hat versucht, Mitglieder der militanten gruppe (mg) auf seine Homepage zu locken und sie zu identifizieren. Es wurden 417 IP-Adressen ermittelt. Zum Gros dieser IP-Adressen konnten keine Nutzerdaten ermittelt werden. Weitere Daten gehörten Behörden und Presseorganen. Nur die deutsche Telekom konnte für 120 IP-Adressen Nutzerdaten vorlegen, die im späteren Verfahren jedoch keine Rolle spielten. Quelle 1 [29], Quelle 2 [30]