Archiv zur Kategorie Internet-Zugangsprovider

Gericht: Quick Freeze statt Vorratsdatenspeicherung [ergänzt am 19.09.2009]

Ein Urteil des Landgerichts Hamburg belebt die Diskussion um Alternativen zur Totalprotokollierung der Telekommunikation (Vorratsdatenspeicherung).

Hintergrund

Als SPD, CDU und CSU die verfassungswidrige Vorratsdatenspeicherung einführten, legten sie fest, dass die anlasslos für die gesamte Bevölkerung erfassten Informationen nur für staatliche Zwecke genutzt werden dürfen (§ 113b TKG). Eine Nutzung zur Auskunfterteilung an private Rechteinhaber scheidet daher aus.

Als bisher einziger Internet-Zugangsanbieter weigert sich Hansenet („Alice DSL“) bereits, überhaupt ohne Anlass zu speichern, welcher seiner Kunden wann unter welcher IP-Adresse im Netz unterwegs war. Hansenet erteilt darüber folglich auch keine Auskünfte an private Tauschbörsenjäger.

Eine der betroffenen Firmen hat daraufhin vor dem Landgericht Hamburg geklagt und verlangt, dass Hansenet künftig auf ihr Verlangen die Daten von Nutzern, welche die Firma einer Urheberrechtsverletzung verdächtigt, notiert. Dabei meldet die Firma allein über 100 Hansenet-Nutzer pro Tag.

Das Urteil des Landgerichts Hamburg

Der Antrag der Firma hatte vorläufig Erfolg: Das Landgericht Hamburg ordnete in erster Instanz an, dass in Fällen, in denen

  • der Rechteinhaber eine Rechtsverletzung feststellt,
  • er die IP-Adresse des Verletzers Hansenet während der Geschäftszeiten mitteilt und
  • die Internetverbindung des Verletzers noch nicht getrennt ist

Hansenet die zur etwaigen späteren Auskunfterteilung erforderlichen Verkehrsdaten festzuhalten hat (Urteil vom 11.03.2009, Az. 308 O 75/09).

Die Anordnung des Landgerichts entspricht exakt dem Quick-Freeze-Verfahren („schnell einfrieren“), das Datenschützer seit Jahren als Alternative zur flächendeckenden Vorratsdatenspeicherung empfehlen.

Urteil falsch

Das Urteil des Landgerichts Hamburg widerspricht allerdings nach meiner Überzeugung der aktuellen Gesetzeslage und dürfte daher in den höheren Instanzen keinen Bestand haben. Die bestehenden Gesetze sehen ein Quick-Freeze-Verfahren nicht vor. Bei Einführung des urheberrechtlichen Auskunftsanspruchs in § 101 UrhG war von einem Quick-Freeze-Verfahren keine Rede.

Das Landgericht begründet seine Entscheidung mit dem Argument, nach § 96 Abs. 2 Satz 1 TKG dürften Verkehrsdaten über das Ende der Verbindung hinaus verwendet werden, soweit sie für die durch § 101 Abs. 2 UrhG begründeten Zwecke erforderlich seien.

Die Formulierung des § 96 Abs. 2 TKG, an die das Landgericht anknüpft, hat aber eine andere Bedeutung. Zur Begründung der Vorschrift schrieb die Bundesregierung:

Die bestehende Formulierung in § 96 Abs. 2 Satz 1 TKG „Die…Verkehrsdaten dürfen…nur verwendet werden, sofern …“ führt durch das Wort „nur“ in Verbindung mit der nach dem Wort „sofern“ folgenden abschließenden Aufzählung der zulässigen Zwecke zu dem nicht beabsichtigten Rückschluss, dass die Daten nicht für die durch die §§ 100g, 100h der Strafprozessordnung (StPO), § 8 Abs. 8 und 10 des Bundesverfassungsschutzgesetzes (BVerfSchG), § 10 Abs. 3 des Gesetzes über den Militärischen Abschirmdienst (MAD-Gesetz) und § 8 Abs. 3a des Gesetzes über den Bundesnachrichtendienst (BND-Gesetz) sowie durch Landesrecht geregelte Erteilung von Auskünften über Verkehrsdaten an die Strafverfolgungs- und Sicherheitsbehörden verwendet werden dürften. Eine derartige Interpretation steht allerdings im Widerspruch zu dem eindeutig erkennbaren Willen des Gesetzgebers, dem bis zum Inkrafttreten des Telekommunikationsgesetzes vom 22. Juni 2004 durch § 3 TDSV Rechnung getragen wurde. Zur Klarstellung des Gewollten wird daher die Aufzählung der zulässigen Zwecke um die Wörter „oder für die durch andere gesetzliche Vorschriften begründeten“ ergänzt.

Der Gesetzgeber wollte mit der Bezugnahme auf andere gesetzliche Vorschriften also nur klarstellen, dass Auskünfte über ohnehin vorhandene Daten erteilt werden dürfen, wenn andere Gesetze dies vorschreiben. Er wollte aber nicht zur Datenspeicherung für mögliche künftige Auskünfte ermächtigen.

Vor dem missverständlichen Wortlaut hatte ich gleichwohl schon damals gewarnt. Der zuständige Referent der SPD-Bundestagsfraktion versicherte daraufhin: „Der Ausdruck ‚verwenden‘ erweitert die Speicherungsmöglichkeiten nicht, da er sich nur auf ohnehin bereits legitim gespeicherte Daten bezieht.“

Selbst wenn man den Wortlaut des § 96 Abs. 2 TKG wie das Landgericht auslegen wollte, ermächtigt er nicht zu einer Speicherung für mögliche zukünftige Auskünfte: Im Zeitpunkt des „Zurufs“ steht nämlich noch nicht fest, ob die Speicherung der Nutzerdaten tatsächlich zur Erfüllung eines Auskunftsanspruchs „erforderlich“ ist. Ein Auskunftsanspruch entsteht nämlich nur unter bestimmten Voraussetzungen. Die Bundesregierung schrieb im Gesetzentwurf: „Dabei ist die richterliche Anordnung der Auskunftspflicht über Verkehrsdaten die Voraussetzung für den Auskunftsanspruch des Rechtsinhabers gegenüber dem Internet-Provider.“ Entsteht der Auskunftsanspruch danach erst mit einer richterlichen Auskunftsanordnung, so kann der Zugangsanbieter im Vorfeld weder verpflichtet noch berechtigt sein, Datenspeicherungen vorzunehmen.

Die Auslegung des LG Hamburg verstößt folglich sowohl gegen den Willen des Gesetzgebers wie auch gegen den Wortlaut des Gesetzes.

Grob falsch ist die weitere, nicht begründete Meinung des Landgerichts, eine siebentägige Speicherung der Zuordnung von IP-Adressen sei „generell zulässig“. Das Gegenteil ist der Fall.

Grundidee richtig

Wenngleich das Urteil im Widerspruch zur aktuellen Gesetzeslage steht, ist das angeordnete Quick-Freeze-Verfahren rechtspolitisch im Bereich schwerer Straftaten als Alternative zur flächendeckenden, verdachtslosen Totalspeicherung zu begrüßen. Die Cybercrime-Konvention des Europarats verpflichtet Deutschland sogar, ein Quick-Freeze-Verfahren einzuführen. Nach Art. 17 des Abkommens über Computerkriminalität muss Deutschland sicher stellen, „dass die umgehende Sicherung von Verkehrsdaten […] mög­lich ist“. Diese Möglichkeit besteht bisher nicht.

Das Urteil des Landgerichts Hamburg widerlegt zugleich die Argumentation, dass das Quick-Freeze-Verfahren nicht funktioniere. In Zeiten von Flatrate-Internetzugängen bleibt die Internetverbindung oft den ganzen Tag lang bestehen. Wenn Strafverfolger hier zügig agieren und mit dem Zugangsanbieter kooperieren, besteht eine beträchtliche Erfolgswahrscheinlichkeit auch ohne Vorratsdatenspeicherung.

Aufgabe der Politik ist es somit, die Vorratsdatenspeicherung zugunsten eines Quick-Freeze-Verfahrens abzuschaffen. Aufgabe der Gerichte wird es sein, das Landgericht Hamburg zu korrigieren, was die Auskunfterteilung an private Rechteinhaber angeht.

Ergänzung vom 16.08.2009:

Der österreichische Oberste Gerichtshof (OGH) hat nunmehr entschieden, aus einer Auskunftspflicht könne kein Recht und keine Pflicht zur Aufbewahrung von Daten zum Zwecke einer späteren Auskunftserteilung abgeleitet werden (Urteil vom 14.7.2009, 4 Ob 41/09x). Zur Begründung heißt es:

Zunächst fehlt es an einer ausdrücklichen Regelung, wonach die Speicherung und Verarbeitung von Verkehrsdaten zum Zweck der Erteilung von Auskünften nach § 87b Abs 3 UrhG zulässig ist. Eine implizite Ableitung aus der urheberrechtlichen Bestimmung (so insb Schachter in Kucsko [Hrsg], urheber.recht [2008] 1273; Schanda, MR 2006, 215), ist nicht möglich. […]

Zum anderen kann die Annahme einer bloß impliziten Regelung dem gemeinschaftsrechtlichen Erfordernis einer Anordnung durch „Rechtsvorschrift“ nicht genügen. Durch diesen formellen Gesetzesvorbehalt soll offenkundig Rechtssicherheit geschaffen werden, die bei Annahme einer bloß impliziten Anordnung, wie auch das vorliegende Verfahren beweist, nicht gegeben ist. Dies schließt – anders als bei einer Auskunft über den Betreiber eines Mehrwertdienstes, die keine Verarbeitung von Verkehrsdaten erfordert (4 Ob 7/04i = SZ 2004/33) – auch eine Analogie zur Füllung einer planwidrigen Lücke im TKG 2003 aus.

Ergänzung vom 19.09.2009

Das Oberlandesgericht Karlsruhe hat entschieden, bis zur Entscheidung über den Auskunftsantrag eines Rechteinhabers könne das Gericht die einstweilige Aufbewahrung der zur Auskunfterteilung erforderlichen Verkehrsdaten anordnen (Az. 6 W 47/09; ebenso OLG Köln, 6 Wx 2/08). Die Speicherung sei „für die durch andere gesetzliche Vorschriften begründeten Zwecke erforderlich“ (§ 96 TKG).

Dass das Landgericht Hamburg eine Speicherpflicht schon auf bloßen Zuruf des Rechteinhabers sieht, hat inzwischen auch Dr. Jens Schulze zur Wiesche von JUCONOMY Rechtsanwälte als verfehlt bezeichnet (MMR 2009, 574; Abruf kostenpflichtig).

Kommentare (9)

Internetsperren umgehen

In meinem vorigen Beitrag wurde dargelegt, weshalb es gute Gründe gibt, die vom Bundestag beschlossenen Internetsperren zu umgehen. Hier wird erklärt, wie das technisch möglich ist.

Dabei beschränke ich mich nicht nur auf die hinreichend bekannte Änderungsmöglichkeit der genutzten DNS-Server. Denn seit Einführung der seit 2009 überwiegend praktizierten Vorratsdatenspeicherung empfiehlt sich für nicht netzexhibitionistisch veranlagte Surfer ohnehin die Benutzung von Internet-Anonymisierungsdiensten. Diese habe ich auf ihre Sperrfestigkeit und die Speicherpraxis von DNS-Abfragen (also Domaineingaben ihrer Nutzer) befragt. Dabei habe ich mich, wie nach meinem Test von Internet-Anonymisierungsdiensten vom Januar 2009 vielfach angeregt, auf vorratsspeicherfreie Anonymisierungsdienste beschränkt.

Stufe 1: Änderung des DNS-Servers

Nach § 2 Abs. 2 des beschlossenen Zugangserschwerungsgesetzes müssen Provider zumindest DNS-Anfragen, können aber auch URLs und IP-Adressen blockieren. „DNS“ bedeutet in diesem Zusammenhang „Domain Name System“. DNS-Server sind dafür verantwortlich, eingegebene Domains (z.B. www.wolfgang-schaeuble.de) ähnlich einem Telefonbuch in die tatsächliche IP-Adresse des Zielservers (z.B. 213.218.169.222) zu übersetzen, unter der dieser nur erreichbar ist. Die IP-Adresse kann man übrigens auch direkt in das Adressfeld des Browsers eingeben und wird, soweit unter der IP-Adresse nur eine einzelne Website erreichbar ist, zur selben Seite wie bei Eingabe der Internetadresse gelangen. Theoretisch könnte man also ohne DNS-Server auskommen, müsste die IP-Adresse dazu aber erst einmal kennen beziehungsweise mühsam bei den internationalen Registrys in Erfahrung bringen. In der Praxis ist man daher auf DNS-Server angewiesen, und zumindest solche DNS-Server der größeren Internetprovider werden künftig kraft Gesetzes die sogenannte Namensauflösung einer Domain in die zugehörige IP-Adresse verweigern. Allerdings ist der für die jeweilige Internetverbindung verwendete DNS-Server leicht austauschbar. Das heißt, der eigene Computer zieht einfach nicht mehr den korrupten DNS-Server des eigenen Providers zu Rate, sondern den eines Dritten, wahlweise außerhalb des deutschen Territoriums. Geht man davon aus, dass die Provider aus Kostengründen bis auf Weiteres nur DNS-Server und damit quasi nur die „Umleitung“, nicht aber die IP-Adressen selbst sperren werden, lassen sich die Sperren leicht umgehen.

Öffentliche DNS-Server zum Eintragen sind etwa hier, hier oder hier zu finden. Bei unbekannten IP-Adressen empfiehlt es sich, bei der regionalen Registry durch Eingabe der IP-Adresse des DNS-Servers in das WhoIs-Feld herauszufinden, wer der Betreiber des DNS-Servers ist. Wer etwa T-Online-Kunde ist und den andernorts empfohlenen DNS-Server 195.50.140.71 verwenden möchte, wird so herausfinden, dass es sich dabei um einen Server von Arcor handelt, mit dem er lediglich vom Regen in die Traufe gelangt. Zu bedenken ist bei der Auswahl fremder DNS-Servers ferner, dass der amtlichen Regierungsbegründung zufolge auch Staaten wie

  • Finnland und
  • Italien kraft Gesetzes;
  • Norwegen,
  • Dänemark und
  • Schweden kraft Sperrvertrags;
  • USA kraft Selbstverpflichtung;
  • Großbritannien,
  • Niederlande,
  • Schweiz,
  • Neuseeland,
  • Südkorea,
  • Kanada und
  • Taiwan auf unbekannter Rechtsgrundlage

staatlich gesperrte DNS-Server verwenden (obwohl zumindest keiner der von mir befragten Anonymisierungsdienste in diesen Ländern von entsprechenden Verpflichtungen weiß), so dass auch deren Benutzung nicht risikolos ist. Es ist mir auch nicht bekannt, inwieweit in diesen Ländern Anfragen oder Anfrageversuche der „falschen“ Seiten, was durchaus nicht kriminell motiviert sein muss, zur Strafverfolgung genutzt werden und fix eine polizeiliche Hausdurchsuchung nach sich ziehen können. Liegt der gewählte DNS-Server andererseits zu weit ab vom Schuss, können die Anfragen entsprechend länger dauern.

Benutzer von Anonymisierungs- oder sonstigen VPN-Diensten mit PPTP-Einwahl unter Windows sollten bedenken, dass sich Windows aus irgendeinem Grund trotz aktiver VPN-Verbindung teils nach wie vor der DNS-Server der Originalverbindung (z.B. T-Online) bedient, man also unnötig von Sperren betroffen sein könnte. Das sollte man überprüfen, auch nach der Änderung der DNS-Server, statt sich in falscher Sicherheit zu wiegen. Manchmal erkennt man den tatsächlich verwendeten DNS-Server daran, dass man bei URL-Vertippern zu einer anbieterspezifischen Fehlermeldung oder Suchmaschine umgeleitet wird. Ansonsten kann man unter Windows in der Dos-Box „nslookup“ eingeben. Die Zuteilungsnehmer der dann angezeigten IP-Adressen können wie oben beschrieben über die Registrys ermittelt werden.

Bild1/2: durchklicken.
Screenshot 1: Anleitung zur Änderung des DNS-Servers unter Windows

Bild2/2: durchklicken und anstelle der Zahlen 1.2.3.4 und 5.6.7.8 den gewünschten DNS- und gegebenenfalls Ersatz-DNS-Server eintragen.
Screenshot 2: Anleitung zur Änderung des DNS-Servers unter Windows

Der österreichische Anonymisierungsdiensteanbieter Surfonym empfiehlt gar, einen eigenen DNS-Server zu betreiben und hat dazu eine Anleitung veröffentlicht. Der Vorteil dessen liegt darin, dass man seine Daten dann keinem zentralen DNS-Server eines Dritten mehr anvertrauen muss, der theoretisch URL-Anfragen sperren oder mitschneiden könnte. Andererseits übernimmt ein fremder DNS-Server eine gewisse Pseudonymisierungsfunktion: Der Rootserver, an den jeder DNS-Server seine Anfragen rückreicht, sieht im einen Fall nur die IP-Adresse des anfragenden Dritt-DNS-Servers, im anderen ist diese aber, wenn man den DNS-Server selbst betreibt, die eigene. Zwar soll die Betreiberin der Rootserver, ICANN, derzeit wegen der großen Datenmengen (wohl praktisch alle URL-Eingaben weltweit) angeblich nicht die Absicht haben, Anfragen zu speichern. 1961 hatte aber auch niemand hat die Absicht, eine Mauer zu errichten.

Anfragen bei den Pressestellen der Internetanbieter

  • United Internet,
  • Arcor,
  • Hansenet,
  • Versatel,
  • QSC,
  • Manitu,
  • Kabel Deutschland und
  • Kabel BW

ergaben übereinstimmend, dass bislang weder DNS- noch IP-Sperrungen vorgenommen würden (was zumindest bei großen Providern mit Sitz in NRW auf Grund der Büssow’schen Sperrverfügungen erstaunlich erscheint). Nach Inkrafttreten der Sperrverpflichtung wolle man bis auf Weiteres nur auf DNS-Ebene sperren. Bislang würden DNS-Anfragen auch nicht vorratsgespeichert. Skepsis scheint bei Unitymedia angebracht: Dort sperre man zwar nichts. Unitymedia beschränkte sich hinsichtlich der DNS-Speicherung aber auf die etwas kärgliche Aussage, es würden „keine personenbezogenen Daten gespeichert“. Das ist nicht selten ein Euphemismus dafür, dass doch IP-Adressen gespeichert werden (deren Personenbezug geleugnet wird, weil das Speichern wegen des Personenbezugs in der Regel rechtswidrig ist). T-Online will zwar nicht speichern, bekennt sich aber als Sperrer rechtswidriger Inhalte zumindest auf den eigenen Servern. Der Geschäftsführer des Internetproviders Manitu äußerte auf Anfrage, heute wie künftig nichts zu speichern und nichts zu sperren; inwieweit das Vorhaben rechtlich Bestand haben wird, wird sich zeigen. Das Sperrgesetz sieht im Übrigen vor, Anbieter mit weniger als 10.000 Nutzern von der Verpflichtung auszunehmen (§ 2 Abs. 1), was man bei der Auswahl des DNS-Servers ebenfalls berücksichtigen sollte. Letztlich wird es aber wohl ohnehin keine Möglichkeit geben, alle DNS-Betreiber zu ermitteln, um die Sperrpflicht vollständig durchzusetzen.

Stufe 2: Anonymisierungsdienst

Wie lange sich die Internetprovider auf DNS-Filter beschränken und der nach eigener Einschätzung netzignorante Gesetzgeber nicht neuerlich auf dumme Gedanken kommt, ist ungewiss. Speziell Unternehmen des staatsnahen Telekom-Konzerns (der zu rund 32% der Bundesrepublik gehört) haben in der Vergangenheit Jahre lang eine Vorratsdatenspeicherung (wenn auch, hoffentlich, nicht von DNS-Anfragen) betrieben, ohne dazu verpflichtet oder auch nur berechtigt gewesen zu sein, oder die Aktivierung von Prepaidkarten ohne Not von der Vorlage eines Ausweises abhängig gemacht (zur Umgehung siehe Alternativanbieter sowie unseren Kartentausch). Es ist also nicht gesagt, dass alle Provider bei den Mindestanforderungen bleiben werden. Letztlich empfiehlt sich schon heute und allein zur Umgehung der Vorratsdatenspeicherung die Benutzung eines Internet-Anonymisierungsdiensts. Damit surft man im Internet nicht nur unter nicht zuordenbarer IP-Adresse, sondern es wird auch der DNS-Server des Anonymisierungsanbieters benutzt und IP- und URL-Sperren des Internet-Zugangsproviders laufen leer. Auch bekommt der Internetprovider praktisch den gesamten Datenverkehr mit dem Anonymisierungsdienst nur noch in verschlüsselter Form zu Gesicht. Das schadet auch unabhängig von Sperr- und Vorratsdatenspeichergesetzen nichts, da der Bundesnachrichtendienst bekanntlich gemäß §§ 1, 5 G10-Gesetz ohne gerichtliche Anordnung den gesamten dort auflaufenden Telekommunikationsverkehr direkt beim Provider abhören, aufzeichnen, nach Stichworten durchsuchen und weiterübermitteln kann, wobei schon der Verdacht auf Drogendelikte als Anlass genügt. In den USA haben Geheimdienste noch weitergehende Befugnisse.

Anlässlich des Sperrgesetzes habe ich daher alle im Januar getesteten, vorratsspeicherfreien Anonymisierungsdienste befragt, welche DNS-Server dort für die Nutzer zum Einsatz kommen und welche Praxis hinsichtlich der Speicherung von DNS-Anfragen und der Filterung jeweils gilt. Die Speicherung von DNS-Anfragen ist auch insofern relevant, als sich durch sie Surfprofile erstellen ließen, die in ihrer Aussagekraft die bisher auf Vorrat gespeicherten Verbindungsdaten deutlich übersteigen – jede Menge Stoff also für den geneigten Symbol- und Überwachungsgesetzgeber im Lauf der kommenden Legislaturperioden. Offen ist noch, ob dies unter der Überschrift „Terrorismus-“ oder „Kinderpornografiebekämpfung“ stattfinden wird. Bei der aktuellen Einschränkung durch das Sperrgesetz haben sich Bundesregierung und Gesetzgeber für Letzteres entschieden, so dass turnusmäßig als nächstes wieder die Terrorbekämpfung an der Reihe sein könnte.

a. ANON/Jondonym

Bei den Mixkaskaden von ANON/Jondonym ist der letzte Mix für die Wahl des DNS-Servers verantwortlich. In der Regel, aber nicht immer, komme der DNS-Server des jeweiligen Hosters zur Anwendung, so Jondos-Geschäftsführer Rolf Wendolsky, so dass Sperrungen nicht ausgeschlossen erscheinen. Es empfähle sich zumindest, darauf zu achten, dass der letzte Mix der Kaskade keiner eines sperrpflichtigen Staats ist. Leider gibt es zur Zeit keine Kaskade, deren letzter Mixserver nicht in einem der obigen gefährdeten Länder steht. Speicher- und – bis auf die Jondos-eigene empfohlene Sperrliste – sperrfreie DNS-Server erwarten die Nutzer bis auf Weiteres bei den Endmixen

  • „Jupiter“ (=Kaskade „Zeitwort-Speedpartner-Galaxyconsult“),
  • „Saturn“ (=Kaskade „Opossum-Unsu-Saturn“),
  • „GPF“ (=Kaskade „Jondos-GPF“),
  • „Exarkun“ (=Kaskade „Euklid-Rose-Exarkun“),
  • „Secure Internet 1″ (=Kaskade „Pimenidis-Behrens-Secure Internet“) und
  • „Nicole“ (=Kaskade „Circinus-Benda-Nicole“), wobei die beiden Letztgenannten aus der Schweiz auch die von Jondos empfohlenen Seiten nicht sperren.

Einige andere Mixbetreiber haben nicht geantwortet. Das Ausweichen auf fremde DNS-Server ist für Nutzer des Diensts leider nicht ohne Weiteres vorgesehen oder höchstens per aufwändiger SOCKS-Applikation, was ein Nachteil ist. Demnach bietet Jondonym zwar gute Anti-Sperr-Maßnahmen an, man muss aber die richtigen Kaskaden kennen und verwenden und kann sich nicht generell darauf verlassen. Andererseits ist eine dezentrale Netzarchitektur einem zentralistischen System letzten Endes überlegen.

Informationsfreiheits-Note: +.

b. Perfect Privacy

Der internationale Anonymisierungsdienst Perfect Privacy stellt seinen Nutzern automatisch von ihm selbst betriebene, sperr- und speicherfreie DNS-Server bereit. Nur ersatzweise kämen DNS-Server lokaler Netzbetreiber zum Einsatz, die nicht zwingend Perfect-Privacys Datenschutzstandards erfüllten. Allerdings sei ein Ausfall der eigenen DNS-Server selten und es sei wegen der großen Datenmenge bei DNS-Servern derzeit unüblich Zugriffe zu speichern. Damit ist Sperrfestigkeit bei Perfect Privacy insoweit gegeben, als die eigenen DNS-Server nicht ausfallen. Perfect Privacy weist darauf hin, dass Nutzer jederzeit andere DNS-Server eintragen können, und dass ein großer Teil der internationalen Netzbetreiber offene DNS-Server betreibt. OpenVPN-Nutzer sollten dazu in die .ovpn-Datei die Zeile „dhcp-option DNS x.x.x.x“ einfügen sollten, wobei „x.x.x.x“ für die IP-Adresse des DNS-Servers steht. Die Zeile kann auch mehrfach hintereinander eingefügt werden, wobei jene Server ersatzweise zum Einsatz kommen.

Informationsfreiheits-Note: +.

c. Linkideo

Der Low-cost-Anonymisierer Linkideo aus Jersey betreibt keine eigenen DNS-Server, sondern verwendet die DNS-Server seiner Hoster. Über Logging- und Sperrpraxis sei ihm nichts bekannt, bisher seien ihm keine Einschränkungen bekannt geworden. In meinem Test stellte ich Server in den Niederlanden, Großbritannien und den USA fest. Alle diese Länder sind sperrgefährdet. Linkideo-Nutzer, die auf eine Einwahl per PPTP angewiesen sind, können und sollten für die Verbindung abweichende DNS-Server einstellen.

Informationsfreiheits-Note: O.

d. Xerobank

Beim panamaischen Anonymisierungsspezialist Xerobank kommen nur eigene, selbst betriebene DNS-Server des jeweils letzten Mixservers zur Anwendung. Diese seien nach außen hin verschlüsselt und speicherfrei. Irgendeine Form von Sperrung finde nicht statt und werde strikt abgelehnt. Damit bleiben Xerobank-Nutzer von Sperrungen verschont. Ein Wechsel der DNS-Server sei für OpenVPN-Nutzer unter den gleichen Voraussetzungen wie bei Perfect Privacy möglich. Xerobank hält die eigenen DNS-Server aber für sicherer. Alles Genannte gilt in gleicher Weise für das Light-Produkt „ShadowVPN“.

Informationsfreiheits-Note: ++.

e. Trackbuster

Eigene DNS-Server betreibt auch der Anonymisierungsdienst Trackbuster, der seit einigen Wochen die Vorratsdatenspeicherung ausgesetzt hat und derzeit mit Hilfe einer Mannheimer Anwaltskanzlei daran arbeitet, dies rechtlich durchzusetzen. Wie auch bei den anderen Anbietern sind die DNS-Server nicht von Nichtkunden nutzbar. Eine Speicherung oder irgendeine Form von Sperrung finde nicht statt. Sperrfestigkeit erscheint zur Zeit gegeben, da der Anbieter zwar in Deutschland sitzt und operiert, derzeit aber nur eine dreistellige Zahl von Kunden hat. Die Verwendung eigener DNS-Server ist wie oben geschildert möglich.

Informationsfreiheits-Note: +.

f. Surfonym

Surfonym betreibt eigene DNS-Server in Österreich, die soft- und hardwaremäßig in der Kontrolle des Anbieters sind und nichts sperren oder speichern und ebenfalls nur für Kunden zugänglich sind. Für staatliche Sperrungen bleibt bei Surfonym sonach nach aktueller Kenntnis kein Raum. Die Verwendung eigener DNS-Server ist Kunden möglich.

Informationsfreiheits-Note: ++.

Keine Antwort erreichte mich vom Schweizer Anonymisierungsdienst Ivacy.

Jonas

Kommentare (5)

Schützen Internetsperren Kinder?

1. Unberechenbarkeit des Zugangserschwerungsgesetzes

Der Gesetzgeber hat am 25.06.2009 das „Zugangserschwerungsgesetz“ (ZugErschwG) [1] beschlossen, das Internetprovider verpflichten soll, den Zugriff auf Seiten mit kinderpornografischem Inhalt zu sperren. Angeblich soll dies geeignet sein Kindesmissbrauch zu reduzieren, obwohl ein Kausalzusammenhang zwischen Nachfrage kinderpornografischer Werke und Missbrauch bislang nicht nachgewiesen ist [2]. Problematisch ist auch, dass die strafgesetzliche Definition kinderpornografischer Schriften etwa in der Formulierung „von einiger Erheblichkeit“ unscharf ist, in der Praxis moralische Wertungen entscheiden [3] und die Behörden bereits die bisherigen Strafgesetze zur Kinder- und Jugendpornografie teils willkürlich auslegen [4]. Damit ist zwangsläufig auch das Ausmaß der daran anknüpfenden, geplanten Internetsperren und somit der Eingriff in die Grundrechte aller Internetnutzer unberechenbar.

Nicht erst die Prefetch-Funktion des Browsers, sondern bereits simple Werbeeinblendungen etwa von Freehostern aus Staaten mit abweichender Kinderpornografiedefinition kann dazu führen, dass ohne Wissen und Wollen des Nutzers hierzulande illegale Seiten aufgerufen werden. Ob der Abruf vorsätzlich erfolgte oder nicht, ist von außen nicht erkennbar.

Das verstößt in gewissem Umfang gegen das Herkunftslandprinzip, wonach sich die Zulässigkeit eines Angebots nach seinem Herkunftsstaat bemisst. Verstöße gegen das Herkunftslandprinzip können zu unauflösbaren Konflikten zwischen Rechtssystemen führen, wie bereits heute die exzessiv umgesetzt Vorratsdatenspeicherung zeigt: So verpflichtet § 3 Nr. 6b TKG auch Internetanbieter mit Sitz in Großbritannien, aber einer Infrastruktur in Deutschland zur 6-monatigen Vorratsdatenspeicherung. Dagegen verpflichtet Großbritannien alle Internetanbieter mit Sitz in Großbritannien zu einer 12-monatigen Vorratsdatenspeicherung [5], so dass britische Telekommunikationsanbieter, die auch in Deutschland tätig sein wollen, gegen mindestens eine Rechtsordnung verstoßen. Nach welchem Recht sollen sich gesetzestreue Pornografieanbieter künftig richten? Grenzfälle sind beispielsweise dort denkbar, wo Darsteller nicht unter 18 sein dürfen, in Deutschland aber schon nicht wie unter 18 aussehen dürfen. Ob das im Sinne der europäischen Dienstleistungsfreiheit ist, erscheint fraglich.

Schon der – sich hinterher als unbegründet herausstellende – Verdacht der Begehung kinderpornografischer Delikte kann die Vernichtung der beruflichen und privaten Existenz zur Folgen haben. Um nur einige Beispiele zu nennen, in denen Unschuldige von einem falschen Verdacht betroffen waren:

  • Ein 67-jähriger Wiesbadener geriet unter Verdacht, sich Kinderpornografie beschafft zu haben, weil von seinem Bankkonto entsprechende Abbuchungen vorgenommen wurden. Tatsächlich hatten aber Unbekannte seine Kreditkartendaten missbraucht. Am 15. Dezember 2006 sollten seine Computer im Büro und sämtliche Speichermedien beschlagnahmt werden. Seine private Wohnung, das Geschäft und das Auto sollten durchsucht werden. Nur weil sich der Betroffene nachhaltig beschwerte und ihm seine Bank schnell Belege faxte, brachen die Ermittler die Durchsuchung ab. Quelle
  • Die Wohnung eines deutschen Professors wurde durchsucht und seine Computer beschlagnahmt, weil er Kinderpornografie über das Internet verbreitet haben soll. Tatsächlich hatte sein Internet-Zugangsanbieter der Polizei eine falsche Auskunft erteilt. Quelle
  • Die US-amerikanische Polizei durchsuchte die Wohnung eines Unschuldigen nach Kinderpornografie. Der Betroffene berichtet, dass eine militärisch auftretende Einsatztruppe vor seiner Tür stand und ihn mit einer Waffe bedrohte. Es wurden Kameras, Computer, DVDs und VHS-Kassetten mitgenommen. Erst später stellte sich heraus, dass der Polizei die falsche IP-Adresse gegeben worden war. Quelle
  • Ein junger Navy-General und 38 weitere Personen aus England nahmen sich das Leben, nachdem sie aufgrund von Datenspuren beschuldigt und teilweise verurteilt worden waren, sich Kinderpornografie beschafft zu haben. Der junge Navy-General war vom Dienst suspendiert worden, obwohl sich die Vorwürfe gegen ihn in den Ermittlungen zuvor nicht erhärtet hatten (Quelle). Im April/Mai 2007 stellte sich heraus, dass ein großer Teil der 7.000 verdächtigen Briten Opfer von Kreditkartenbetrügern waren, darunter wohl auch mehrere der Menschen, die sich das Leben genommen hatten. Quelle Teil 1, Teil 2, Quelle 2, Quelle 3, Quelle 4, Quelle 5, Quelle 6.

Auch den SPD-Bundestagsabgeordneten Jörg Tauss kostete ein Ermittlungsverfahren wegen des Verdachts des Besitzes kinderpornografischer Materialien alle Parteiämter, obwohl der Verfahrensausgang noch offen ist. Gerade hier bedürfte es also Rechtsklarheit.

Ein weiterer Faktor der Unberechenbarkeit sind Link-Ketten: Wird etwa ZEIT ONLINE indiziert, weil dort in einem Artikel zum Whistleblower-Portal Wikileaks verlinkt wurde und Wikileaks die dänische Kinderporno-Sperrliste veröffentlicht hat? Die Rechtsprechung zur Verantwortlichkeit fremder Web-Inhalte ist uneinheitlich. Das Landgericht Karlsruhe bejahte im März 2009 letztinstanzlich die Rechtmäßigkeit einer Hausdurchsuchung wegen mittelbarer Verlinkung auf die dänische Sperrliste.

2. Unkontrollierbarkeit des Zugangserschwerungsgesetzes

Der Grundrechtseingriff durch Internetsperren (der formaljuristisch in der Regel nicht als Zensur zu werten sein wird, weil die Indizierung erst nach der Veröffentlichung stattfindet) ist darüber hinaus weithin demokratisch unkontrollierbar. Denn die Sperrlisten sollen geheim bleiben, auch wenn die nächste Datenpanne, wie Berichten zufolge bereits bei der dänischen Sperrliste geschehen, auch hierzulande nicht lange auf sich warten lassen dürfte. Ein Durchsickern ist schon deshalb wahrscheinlich, weil laut § 1 Abs. 1 des Gesetzes täglich allen sperrpflichtigen Internetanbietern die Liste übermittelt werden soll und schon eine undichte Stelle für die Veröffentlichung der kompletten Sperrliste genügt. Dank dynamischer IP-Adressen kann im Grunde auch jeder DNS-Betreiber behaupten, 10.000 Nutzer zu haben und deshalb sperrpflichtig zu sein. Er benötigt nicht einmal eine Netzinfrastruktur, sondern jeder Windows-PC kann leicht einen DNS-Server betreiben, wie im Folgeartikel beschrieben. Über das nicht unerhebliche Risiko, auf diese Weise Pädophilen eine regelmäßig gepflegte Liste einschlägiger Seiten auf dem Silbertablett zu servieren, scheint man in Berlin nicht nachgedacht zu haben. Geradezu hilflos mutet § 3 des Gesetzes an, der offenbar Pannen per Gesetz verbieten will. Man bedenke, dass es selbst Microsoft als Einzelunternehmen nicht gelang, den eigenen Windows-Quellcode unter Verschluss zu halten, obwohl Microsoft angesichts potenziell existenzbedrohlicher Folgen hier gewiss nicht die Zügel schleifen ließ. Dass sich selbst Staatsanwaltschaften bislang fernmeldegeheimnisgeschützte Daten per passwortgeschützter ZIP-Datei beauskunften lassen, [6] zerstört auch jede Resthoffnung auf Sicherheitskenntnisse seitens der Behörden. Zwar eröffnet das Gesetz in § 12 TMG gesperrten Contentanbietern den Verwaltungsrechtsweg. Doch Internetnutzer dürften in die Röhre schauen, wenn sie verdutzt feststellen, dass ihre Tageszeitung aus welchem Grund auch immer gesperrt wurde.

Wie ferner der dänischen Sperrliste Berichten zufolge zu entnehmen war, waren jedenfalls zur Zeit ihrer Veröffentlichung mitnichten nur kinderpornografische Seiten indiziert, was gegen die Möglichkeit einer zielgenauen Filterung spricht. Realistisch betrachtet wird eine solche sogar ganz regelmäßig nicht möglich sein, da es unwahrscheinlich ist, dass eine Webseite ausschließlich maßgeschneidert rechtswidriges Material veröffentlicht – soweit eine klare Beurteilung selbst ohne länderübergreifenden Sachverhalt überhaupt machbar ist. Im Gegenteil sind etwa bestimmte Pflichtinformationen des Anbieters sogar vorgeschrieben und können folglich nicht rechtswidrig sein. Es ist deshalb zweifelhaft, ob das Gesetz die verfassungsmäßige Verhältnismäßigkeit wahrt. Eine weitere willkürliche Treffunsicherheit ergibt sich daraus, dass hinter Domain-Namen oft mehrere IP-Adressen völlig unterschiedlicher Angebote stehen, die dann in Mitleidenschaft gezogen werden. Rechtlich bemängelt wird daneben, dass das Gesetz formell auf verfassungswidrige Weise zustande gekommen sein soll, weil eine Lesung zu wenig stattgefunden habe.

3. Von der Leyen und die Kriminalstatistik

Von einem Nachweis eines Kausalzusammenhangs zwischen der Nachfrage kinderpornografischer Werke und tatsächlichem Missbrauch und damit auch der kinderschützenden Wirkung von Internetsperren ist Bundesministerin von der Leyen weit entfernt. Man geht ja auch nicht davon aus, dass die boulevardmediale Veröffentlichung von Einbruchsfotos bei Dieter Bohlen kausal für Einbrüche ist.

Bereits von der Leyens kriminalstatistischen Argumente, die einen Handlungsbedarf suggerieren sollen, halten einer Überprüfung aus mehreren Gründen nicht stand. Verfahren wegen des Besitzes, der Verschaffung und der Verbreitung von Kinderpornografie haben 2008 laut amtlicher Kriminalstatistik um 18% abgenommen [7]. Zwar war die Verfahrenszahl 2007 um 57% gestiegen, das BKA äußert aber selbst, dass der Anstieg eine vorübergehende Tendenz auf Grund einiger Großermittlungsverfahren gewesen sei. [8]

Es ist außerdem eine kriminologische Binsenweisheit, dass die Kriminalstatistik allenfalls die Belastung der Justizbehörden, nicht aber die Kriminalitätsentwicklung belegt. [9] So können sich Taten vom – naturgemäß nicht erfassten – Dunkelfeld ins Hellfeld verlagern und umgekehrt, etwa durch eine höhere Kontrollintensität oder eine verstärkte Anzeigebereitschaft. Dadurch ergibt sich ein statistischer Anstieg, obwohl sich das tatsächliche Verhalten nicht verändert hat. [10] Gerade die Anzeigebereitschaft ist als beeinflussendes Element nicht zu unterschätzen, denn über 90% aller strafrechtlichen Ermittlungsverfahren gehen auf Anzeigen von Zeugen oder Betroffenen zurück. [11] Als Nichtanzeigemotive kommen etwa Angst vor Problemkonfrontation oder vor Rache, fehlendes Vertrauen in die Justizbehörden, Angst vor Offenlegung der Privatsphäre, Scham, Resignation, Regelung auf anderem Wege oder auch schlicht Anwaltskosten in Betracht. [12] Gerade innerfamiliäre Gewalt wurde früher mangels gesellschaftlicher Ächtung seltener zur Anzeige gebracht, obwohl das Schlagen von Kindern oder Ehefrau damals verbreiteter als heute gewesen sein dürfte. Änderungen der Kriminalstatistik können weiterhin durch Veränderungen des Straf- oder Strafverfahrensrechts begründet sein. Beispielsweise führte das 2. Strafrechtsreformgesetz 1969 fast zu einer Halbierung der Verurteilungen innerhalb eines Jahres. [13] Selbst die Bundesregierung beeinflusst die Zahl der gerichtlichen Verurteilungen, indem sie in ihren Richtlinien an die Staansanwaltschaften (RiStBV) den Rechtsbegriff des „öffentlichen Interesses“ auslegt, der über die vorzeitige Einstellung von Ermittlungsverfahren entscheidet. [14] Auch erfassen die Statistiken die Schwere der Taten nicht, so dass es sein kann, dass eine Straftat hinsichtlich ihrer Häufigkeit zwar zu-, ihre durchschnittliche Schwere aber unbemerkt abnimmt. [15] Bleich/Kossel weisen schließlich zutreffend darauf hin, dass die Statistik nur die Ermittlungsverfahren, nicht aber die tatsächlichen Verurteilungen misst. In der Praxis führt aber weniger als ein Drittel aller Ermittlungsverfahren zu einer Verurteilung. Speziell bei den hier angeführten Großverfahren sprechen mehrere Staatsanwaltschaften von einer noch höheren Einstellungsquote.

Wenn man in die Kriminalstatistik, wie von der Leyen, unbedingt eine Kriminalitätsentwicklung hineininterpretieren will, spricht sie eher gegen einen Kausalzusammenhang zwischen Kinderpornografie und Missbrauch. Sind nämlich die Ermittlungsverfahren wegen kinder- und jugendpornografischer Schriften im Lauf der vergangenen 4 Jahre leicht um 7% angestiegen, sind die Ermittlungsverfahren wegen sexuellen Kindesmissbrauchs im selben Zeitraum um 14% gesunken. [16] In einem ZEIT-Interview darauf angesprochen, konterte von der Leyen, der (hier gesunkene) Missbrauch finde ja nicht nur in Deutschland statt. Gut – die (hier gestiegene) Internet-Kinderpornografie dann aber erst recht nicht.

Auch eine Gegenüberstellung der Fallzahlen der unterschiedlichen Tatbestandsschlüssel lässt keinen Raum für die Mutmaßung, dass Kindesmissbrauch maßgeblich zum Zweck der Kinderpornografieproduktion stattfinde, was im Fall der angeblich so problematischen „Kinderpornoindustrie“ aber der Fall sein müsste: Der sexuelle Missbrauch (auch) zum Zweck der Produktion zu verbreitender Kinderpornografie wird nämlich als eigenständiges Delikt erfasst (§ 176a Abs. 3 StGB) und macht nur 0,7% aller sexuellen Kindesmissbrauchsverfahren aus. Darin enthalten sind auch unentgeltliche Produktionen, so dass der Anteil der „Kinderpornoindustrie“, der eine Sperre theoretisch den wirtschaftlichen Wind aus dem Segel nehmen könnte, am sexuellen Missbrauch als noch geringer einzustufen ist. Der Düsseldorfer Rechtsanwalt Udo Vetter, der in vielen Fällen an kinderpornografischen Verfahren beteiligt war, bezweifelt ähnlich wie das Landeskriminalamt Bayern, dass es eine solche „Kinderpornoindustrie“ überhaupt gibt.

In der Tat schreibt die Bundesregierung in ihrer amtlichen Begründung zwar (mit erstaunlich runden Zahlen) etwa, man habe in Norwegen durch Internetsperren täglich 15.000, in Schweden 50.000 Zugriffe abgefangen, zur zeitgleichen Entwicklung der Missbrauchsverfahren in Norwegen und Schweden schweigt sich die Regierung aber aus. [17] Wie Vetter weiter berichtet, zählten zu den Verbreitungswegen von Kinderpornografie nach seiner Erfahrung auch E-Mail und Post. In diesem Bereich liefen aber selbst Sperren von IP-Adressen ins Leere, es sei denn, man würde den ganzen E-Mail-Dienst blockieren. Dass mit einem Wechsel des DNS-Servers, spätestens aber bei Verwendung eines Anonymisierungsdiensts (dessen Nutzung man notfalls auch unbeweisbar gestalten kann) ohnehin alle Sperrungen leerlaufen, liegt auf der Hand.

Selbst Gegner des Sperrgesetzes haben mit „Löschen statt Sperren“ nur die Flucht nach vorn gewagt und das Credo der – nach dem Verständnis eines freiheitlichen Rechtsstaats begründungspflichtigen – Bundesregierung nicht hinterfragt, wonach das Bannen kinderpornografischer Darstellungen zum Kinderschutz taugen soll. Andernfalls handelte es sich aber um nichts als billigen Aktionismus, der mangels Verhältnismäßigkeit verfassungswidrig ist. Zwar gehören Aufnahmen von Privatpersonen generell ohne deren Einwilligung nicht veröffentlicht, erst recht nicht Filme missbrauchter Kinder. Dies aber aus Gründen des Persönlichkeitsschutzes der Dargestellten und nicht, weil erwiesen wäre, dass es künftige Missbrauchsfälle verhindere. Das ist aber ausweislich der amtlichen Regierungsbegründung [18] ausdrücklich die Motivation des Gesetzes.

Wer die Wirksamkeit von Verboten ungeprüft unterstellt, dem sollte das folgende Beispiel zu denken geben: In Dänemark gab es bis 1967 steigende Zahlen für die Herstellung und den Absatz verbotener pornographischer Literatur. Schon zwei Jahre nach der Aufhebung diesbezüglicher Verbotsbestimmungen gingen diese Zahlen rapide zurück. Es liegt nahe, dass dies auf einen Sättigungsprozess durch Befriedigung der diesbezüglichen Neugierde der Bevölkerung zurückzuführen ist. Dass in der Folge die Prostitution in Dänemark zugenommen habe, ist nicht ersichtlich. Ein zweites Beispiel: In den Niederlanden wird trotz der Legalisierung des Cannabis-Verkaufs nicht mehr, sondern weniger Cannabis konsumiert als in Deutschland. Die Zahl der Konsumenten geht dort trotz der legalen Verfügbarkeit der Droge zurück. Dementsprechend lässt sich auch in anderen Bereichen nicht von vornherein behaupten, dass die erschwerte Zugänglichkeit unerwünschten Materials sozial nützliche Auswirkungen habe. Der Soziologe Wolfgang Sofsky hat die gleichwohl allgemein vorherrschende „Politik des Verbots“ schon vortrefflich analysiert und kritisiert.

4. Internationale Verpflichtungen

Die Bundesregierung ist zur Sperrung von Internetseiten auch nicht völkerrechtlich verpflichtet. Der Rahmenbeschluss zur Bekämpfung der sexuellen Ausbeutung von Kindern und der Kinderpornografie [19], an dessen Zustandekommen die deutsche Bundesregierung maßgeblich mitgewirkt hat, verpflichtet ebenso wenig wie die Cybercrime-Convention [20] zu präventiven Sperrmaßnahmen. Was die dort festgelegte Strafbarkeit für kinderpornografische Tatbestände angeht, hat das Bundesverfassungsgericht im Lissabon-Urteil [21] entschieden, dass die Strafgesetzgebung nur unter besonderen Voraussetzungen völkerrechtlich ausgelagert werden darf. Eine Ausnahme nimmt das Gericht für staatenübergreifende schwere Kriminalität an, die bei sexueller Ausbeutung von Kindern auch als möglich angesehen wird. Je weniger aber die Verbreitung von Kinderpornografie jenseits von politischer Show mit tatsächlichem Missbrauch zu tun hat, desto verfassungswidriger ist die Umsetzungspflicht.

5. Der Tanz ums goldene Kalb

Im Zuge seiner modernen Form einer symbolpolitischen Hexenjagd der letzten Jahre auf alles, was um drei Ecken herum mit Kinder- oder Jugendpornografie assoziiert werden könnte (etwa Scheinpornografie), nimmt der Gesetzgeber mit dem Sperrgesetz einmal mehr kollaterale Grundrechtseingriffe von zweifelhaftem Nutzen in Kauf. Nicht ersichtlich ist beispielsweise, welchem Kind oder Jugendlichen dadurch geholfen wird, dass auch frei erfundene Sexualromane strafbar sein können oder dass Bilder von minderjährig aussehenden Volljährigen kriminalisiert werden [22]. Wenig sinnvoll erscheint auch, dass der 17-jährige Ehemann (übrigens seit jeher) gesetzlich zum Beischlaf mit seiner gleichaltrigen Ehefrau verpflichtet ist (sic!), sich aber wegen des Besitzes jugendpornografischer Schriften strafbar macht, wenn er seine Frau ohne deren Zustimmung in pornografischer Weise fotografiert. [23] Wegen Besitzverschaffung von Kinderpornografie strafbar wäre auch ein Journalist, der im Zusammenhang mit Kompetenzüberschreitungen des Bundeskriminalamts prüft oder darüber berichtet, inwieweit eine an die Öffentlichkeit gelangte Sperrliste wirklich nur kinderpornografisches Material enthält. Zwar enthält das Strafgesetzbuch in § 184b Abs. 5 eine etwas unverständliche Ausnahmeregelung für die ausschließliche „Erfüllung rechtmäßiger beruflicher Pflichten“. Freiberufliche Journalisten unterliegen aber keiner „Pflicht“ irgend etwas zu recherchieren, außerdem liegt nach der Rechtsprechung des Bundesverfassungsgerichts kein „Beruf“ vor, wenn die Tätigkeit nicht dem Lebensunterhalt dient (Blogbetreiber).

Ansonsten fällt mir zum Beitrag des Gesetzgebers in puncto Gewaltschutz von Kindern, welche den Staat noch nicht einmal einen Kita-Platz wert zu sein scheinen, noch ein, dass der Gesetzgeber es erst 2001 für an der Zeit hielt, die elterliche Prügelstrafe zu verbieten. Die nunmehr den Kinderschutz wiederentdeckende CDU stimmte dagegen. [24] Und auch, dass der Staat seit 2000 bei gleichzeitiger Verschärfung der Strafgesetze auch im Kinderpornografiebereich 4% der Stellen bei der Polizei gestrichen hat, die nun für Ermittlungen nicht mehr zur Verfügung stehen. Aber Gesetze schreiben kostet ja nichts.

6. Begehrlichkeiten werden geweckt

Die Erfahrung zeigt: Einmal vorhandene Daten und Infrastrukturen wecken Begehrlichkeiten. Es ist schon jetzt absehbar, dass die Beteuerungen der Bundesregierung, keine anderen als kinderpornografische Inhalte sperren zu wollen, spätestens unter künftigen Regierungen in sich zusammenfallen werden. Diese Salamitaktik ist hinlänglich bekannt.

  • Beispiel Verbindungsdaten: Bundesjustizministerin Zypries hatte Jahre lang behauptet, eine Nutzung von Verbindungsdaten zum Zweck der Auskunft an private Rechteinhaber sei mit ihr nicht zu machen. Dann wurde es still, und seit 2008 steht in § 101 UrhG das Gegenteil.
  • Beispiel Kontenabfrage: Die Einführung der Kontenabfrage wurde damit begründet, die Daten würden zur Bekämpfung von Terrorismus und Geldwäsche von der BaFin benötigt. [25] Tatsächlich wurden Abfragen zu 98% von Staatsanwaltschaften auch für Bagatellfälle getätigt. [26] 2005 wurde auch allen Finanzämtern, Sozialämtern, Arbeitsagenturen und Bafög-Stellen Zugriff gewährt. Vor Kurzem hat der Bundestag nun ein Gesetz beschlossen, wonach Gerichtsvollzieher nicht nur Meldedaten, das Ausländerzentralregister, Kfz-Halterdaten, Sozialversicherungsdaten und das Ausländerzentralregister anzapfen dürfen (alle für andere Zwecke eingerichtet), sondern eben auch Kontoabfragen durchführen dürfen, also im Auftrag privater Gläubiger.
  • Beispiel Industrie- und Handelskammern: Die IHKs erheben unter Berufung auf ihre staatlichen Aufgaben zwangsweise personenbezogene Daten ihrer Mitglieder oder besorgen sich diese von anderen Behörden. Seit einiger Zeit verhökern sie diese Daten auch mir nichts, dir nichts auf dem privaten Adressmarkt – die IHK Berlin gibt das offen zu.

Neue Nutzungszwecke eines Instruments sind also schnell erdacht, und gehe es nur darum, ein politisches Symbol gegen einen Terroranschlag in Timbuktu zu setzen. Gleiches gilt für die Absicht des Gesetzgebers, die Daten abrufender Nutzer nicht zur Strafverfolgung zu verwenden (§ 5 des Gesetzes). Zum einen dürfte die Halbwertszeit dieser Regelung kurz sein. Zum anderen ist sie trivial zu umgehen, indem Behörden einfach nicht die Sperrliste, sondern die „gesperrten“ Seiten überwachen, deren Daten wie gehabt ausgewertet werden dürfen. Das Zurückverfolgen einer IP-Adresse bedarf in Deutschland nicht einmal eines Gerichtsbeschlusses (§ 113 TKG). Das wurde bei Ermittlungen wegen des Verdachts von Kinderpornografie schon bisher so gemacht und funktioniert auch ohne Mitwirkung des Contentanbieters und nachträglich, etwa durch Serverbeschlagnahme, da die meisten Serverbetreiber illegal anlasslos in Logfiles das Verhalten ihrer Nutzer mitschneiden.

Das Land Hessen hat geäußert, nach Inkrafttreten des Sperrgesetzes wolle es dieses auch auf Glücksspielseiten ausweiten. Es ist absehbar, dass nicht nur die Inhaber gewerblicher Schutz- und Urheberrechte – gegebenenfalls vor der europäischen Hintertür – Schlange stehen und fleißig Lobbying betreiben werden, sondern schon bald ein Rattenschwanz von sperrfähigen Straftaten wie im über 10 mal erweiterten § 100a StPO folgt. Dieser erlaubte früher Telefonüberwachung nur wegen schwerer Straftaten wie Mord oder Hochverrat, heute unter Umständen schon wegen gemeinschaftlichen Haschischrauchens. Der schwere Eingriff in das Persönlichkeitsrecht der Beschuldigten (für die noch immer die Unschuldsvermutung gilt) wird zunehmend inflationär genutzt, und das – wohlgemerkt – bei einer Verurteilungsquote von schlussendlich unter einem Drittel.

7. Staatliche Willkür

Teils verstoßen staatliche Stellen offen gegen eigene Gesetze, weil sie schlicht keine Lust haben, den Pflichten, die sie anderen auferlegen, auch selbst nachzukommen. So sammelte das Bundesjustizministerium über Jahre hinweg illegal Daten über alle Besucher seines Internetportals. Weitere Bundesbehörden wie das für die zu sperrenden Seiten zuständige Bundesinnenministerium tun dies bis heute.

Eine auf Wikileaks 2008 veröffentlichte Kinderporno-Sperrliste dänischer Behörden zeigte Berichten zufolge, dass auch nicht kinderpornografische Seiten indiziert waren. Zuvor hatten finnische Internetaktivisten 785 gesperrte Internetportale untersucht und enthüllt, dass die Mehrzahl legale Pornografie abbildete. Das finnische BKA ließ beispielsweise auch das Portal einer Violinenfabrik und die Seiten eines Hörgeräteherstellers sperren.

Eine unabhängiges Handeln des BKA ist schon deshalb nicht möglich, weil es der Fachaufsicht, also auch politisch motivierten Weisungen, des Bundesinnenministeriums unterworfen ist. Damit kann der Bundesinnenminister ohne gerichtliche Beteiligung Internetseiten sperren lassen. Zwar sieht § 9 des Sperrgesetzes ein Kontrollgremium beim Bundesdatenschutzbeauftragen vor, dass eine Löschung veranlassen kann. Der schon bisher unter chronischer Ressourcenknappheit leidende Bundesdatenschutzbeauftragte ist jedoch auch im Ressort des Bundesinnenministeriums angesiedelt und wird sich hüten, sich mit diesem anzulegen. Es sind auch keine Sanktionen für den Fall vorgesehen, dass Beschlüsse des Bundesdatenschutzbeauftragten nicht umgesetzt werden.

8. Zentrale Sperrinfrastruktur

Nur teilweise nachvollziehbar ist allerdings die Kritik, durch das Gesetz werde erstmals eine staatliche Infrastruktur zur Internetsperrung errichtet. Denn eine solche gibt es längst. Richtig ist jedoch, dass zentrale (Bundes-)Maßnahmen grundsätzlich einschneidender sind als solche der Bundesländer, weil die Pluralität verloren geht und Fehler sich gleich bundesweit auswirken. Auch hatte bislang das Bundesinnenministerium keine Einflussmöglichkeiten auf Sperrungen der Länder.

9. Ergebnis

Nach alledem spricht vieles dafür, sich gegen das „ZugErschwG“ zu wehren. Gerade als unschuldiger Bürger hat man ein Recht auf die Freiheit eines Internetzugangs, der nicht den Vorstellungen von Supernanny Schäuble untersteht. Wie das geht, auch für Nutzer von Anonymisierungsdiensten, steht im folgenden Beitrag.

Jonas

Fußnoten:

[1] BT-Drs. 16/13411.
[2] Wüstenberg in: Archiv für Urheber- und Medienrecht, 2009, 497, 512.
[3] Wüstenberg in: Archiv für Urheber- und Medienrecht, 2009, 497, 501.
[4] Wüstenberg in: Archiv für Urheber- und Medienrecht, 2009, 497, 511.
[5] Data Retention Regulations 2007, Nr. 4 Abs. 2.
[6] Starostik in: Schriftsatz vom 09.06.2009 in BVerfG 1 BvR 256/08, S. 11.
[7] Polizeiliche Kriminalstatistik 2008, S. 41, Schlüssel 143200, 143300.
[8] Polizeiliche Kriminalstatistik 2008, S. 8.
[9] Eisenberg, Kriminologie, 6. Aufl. 2005, S. 147.
[10] Eisenberg, Kriminologie, 6. Aufl. 2005, S. 151.
[11] Albrecht, Kriminologie, 3. Aufl. 2005, S. 144.
[12] Albrecht, Kriminologie, 3. Aufl. 2005, S. 145.
[13] Albrecht, Kriminologie, 3. Aufl. 2005, S. 237.
[14] Eisenberg, Kriminologie, 6. Aufl. 2005, S. 147.
[15] Eisenberg, Kriminologie, 6. Aufl. 2005, S. 156.
[16] Polizeiliche Kriminalstatiktik 2006, S. 32, Schlüsselnr. 131000;
Polizeiliche Kriminalstatiktik 2007, S. 32, Schlüsselnr. 1310;
Polizeiliche Kriminalstatistik 2008, S. 40, Schlüsselnr. 1310.
[17] BT-Drs. 16/12850, S. 5.
[18] BT-Drs. 16/12850, S. 5.
[19] Rahmenbeschluss 2004/68/JI des Rats v. 22.12.2003, ABl. EU L 13 v. 20.01.2004, S. 44.
[20] Übereinkommen über Computerkriminalität v. 23.11.2001.
[21] BVerfG, Urt. v. 30.06.2009 – 2 BvE 2/08 Rn. 252 ff., 359 ff.
[22] So Reinbacher/Wincierz, ZRP 2007, 195, 197.
[23] Wüstenberg in: Archiv für Urheber- und Medienrecht, 2009, 497, 514.
[24] Bundestags-Plenarprotokoll.
[25] BT-Drs. 14/8017, S. 122.
[26] Reichling, DuD 2008, 670, 671 m.w.N.

Kommentieren

Gericht: Hansenet muss Vorratsdatenspeicherung zunächst nicht umsetzen [ergänzt am 18.11.2009]

Die Bundesnetzagentur darf den bundesweit tätigen Telekommunikationsanbieter Hansenet, auch bekannt unter der Marke Alice, einstweilen nicht dazu verpflichten, die Vorratsdatenspeicherung umzusetzen. Das hat das Verwaltungsgericht Köln mit Beschluss vom 20.05.2009 (Az. 21 L 234/09) entschieden.

Hansenet weigert sich bislang, die IP-Adressen seiner Internetkunden auf Vorrat zu speichern, so dass die Nutzer weitgehend anonym im Netz surfen. Per Verfügung vom 27.01.2009 hatte die Bundesnetzagentur Hansenet daher zur sofortigen Umsetzung der Vorratsdatenspeicherung verpflichtet. Dagegen hat Hansenet erfolgreich die Anordnung der aufschiebenden Wirkung beantragt. Die Gerichtsentscheidung bedeutet, dass gegen Hansenet einstweilen keine Zwangsmittel wegen Nichtumsetzung der Vorratsdatenspeicherung verhängt werden dürfen.

Gerichtssprecher und Verwaltungsrichter Uhlenberg zufolge lag der Grund der Entscheidung allerdings in formalen Ermessensfehlern: Die Bundesnetzagentur habe pflichtwidrig keine Abwägung für und wider die Verfügung durchgeführt. Zu Fragen über die Rechtsmäßigkeit der Vorratsdatenspeicherung sei es so erst gar nicht gekommen, weswegen man das Gesetz – im Unterschied zum Verwaltungsgericht Berlin im Fall BT Germany – auch nicht dem Bundesverfassungsgericht vorgelegt habe. Uhlenberg räumte ein, dass die Bundesnetzagentur die beanstandeten Mängel ihrer Verfügung vom 27.01.2009 noch nachträglich beheben könne. Weist die Bundesnetzagentur Hansenets Widerspruch zurück, müsste Hansenet dagegen erneut das Verwaltungsgericht anrufen. Ob das Gericht in diesem Fall zu einer Überprüfung der Vorratsspeicherpflicht kommen werde, ließ Uhlenberg offen.

Nach dem Gesetz zur Vorratsdatenspeicherung gemäß §§ 113a, b TKG müssen Telekommunikationsanbieter Verbindungsdaten aller Bürger, unbesehen dessen, ob auch nur der Verdacht einer rechtswidrigen Handlung vorliegt, für 6 Monate auf Vorrat speichern. Seit 2009 drohen Anbietern bei Nichtumsetzung hohe Bußgelder. Das Bundesverfassungsgericht prüft derzeit eine vom Bürgerrechtsbündnis Arbeitskreis Vorratsdatenspeicherung initiierte Grundrechtsbeschwerde, die von 34.000 Bürgern wegen Verletzung ihres informationellen Selbstbestimmungsrechts mitgetragen wird und damit eine der größten in der Geschichte Deutschlands ist. Letzter Verfahrensstand ist, dass das Bundesverfassungsgericht im April 2009 einen weiteren kritischen Fragenkatalog zur Wirksamkeit der Vorratsdatenspeicherung versandt hat. Mehrere Anbieter haben ferner vor dem Verwaltungsgericht Berlin durchgesetzt, die Vorratsdatenspeicherung bis zur Hauptsacheentscheidung des Bundesverfassungsgerichts wegen unverhältnismäßiger Kosten nicht umsetzen zu müssen. Auch das Verwaltungsgericht Wiesbaden meldete Bedenken hinsichtlich der Rechtmäßigkeit der Totalerfassung des Telekommunikationsverhaltens aller Bürger an. Das Gesetz zur Vorratsdatenspeicherung beruht zwar auf einer Europäischen Richtlinie, die allerdings von der deutschen Bundesregierung, namentlich Bundesjustizministerin Zypries (SPD), aktiv mit vorangetrieben worden war.

Jonas

Ergänzung vom 13.10.2009:

Ich wurde zu den Folgen gefragt, sollte die Verfassungsbeschwerde gegen die Vorratsdatenspeicherung (Az. 1 BvR 256/08 und 1 BvR 508/08) ganz oder teilweise abgewiesen werden. Vorab halte ich diesen Fall für unwahrscheinlich, weil ich von der Unvereinbarkeit einer anlasslosen Totalprotokollierung unseres Telekommunikationsverhaltens mit unseren Grund- und Menschenrechten überzeugt bin. Sollte der Fall gleichwohl eintreten, werde ich die weiteren Möglichkeiten des Rechtsschutzes ausschöpfen. Dazu zählt erstens eine Beschwerde vor dem Europäischen Gerichtshof für Menschenrechte. Dass die Vorratsdatenspeicherung die Europäische Menschenrechtskonvention verletzt, habe ich bereits ausführlich begründet. Sollte das Bundesverfassungsgericht die Beschwerde ganz oder teilweise abweisen, ohne zuvor den Gerichtshof der Europäischen Gemeinschaften (EuGH) angerufen zu haben, kommt zweitens auch eine Klage vor den Zivilgerichten in Frage, um die EG-Richtlinie zur Vorratsdatenspeicherung endlich auf ihre Vereinbarkeit mit den Gemeinschaftsgrundrechten überprüfen zu lassen. Einstweilen gehen wir aber davon aus, dass das Bundesverfassungsgericht den Gerichtshof der Europäischen Gemeinschaften (EuGH) anrufen wird und die Vorratsdatenspeicherung in der Folge auf europäischer und deutscher Ebene für verfassungswidrig erklärt wird.

Ergänzung vom 27.10.2009:

Nach der oben genannten Entscheidung des Verwaltungsgerichts Köln hat die Bundesnetzagentur am 06.07.2009 einen weiteren Bescheid erlassen, der Hansenet wieder zur Umsetzung der Vorratsdatenspeicherung verpflichtet. Einen Antrag auf Aussetzung dieser Verfügung hat das Verwaltungsgericht Köln am 08.09.2009 abgelehnt (Az. 21 L 1107/09). Hansenet hat gegen diese Entscheidung Beschwerde eingelegt, über die das Oberverwaltungsgericht noch nicht entschieden hat. In der Zwischenzeit muss das Unternehmen der Verfügung Folge leisten. Auf Anfrage wegen der aktuellen Speicherpraxis teilte mir Hansenet am 27.10.2009 mit:

Wir werden die Vorratsdatenspeicherung bis zu einer endgültigen Entscheidung nicht vollumfänglich umsetzen. Bitte haben Sie Verständnis dafür, dass wir Ihnen bis dahin auch keine weiteren Details geben können.

Ergänzung vom 31.12.2009:

Laut WirtschaftsWoche speichert Hansenet die IP-Adressen seiner Internetkunden weiterhin nicht auf Vorrat.

Ergänzung vom 18.11.2009:

Die Beschwerde von Hansenet gegen die Entscheidung des VG Köln war ohne Erfolg (OVG Münster, Az. 13 B 1392/09).

Das OVG Münster betont in seiner Entscheidung zwar, dass offen ist, ob die Vorratsdatenspeicherung mit den Grundrechten vereinbar ist. Es bezeichnet die Vorratsdatenspeicherung als „anlasslose Überwachung, mithin eine ohne Vorliegen eines Anfangsverdachts oder eines konkreten Hinweises eingeleitete Kontrolle“.

Gleichwohl müsse Hansenet den Speicherzwang bis zur Klärung umsetzen.
Dies gelte selbst dann, wenn dadurch „finanzielle Folgen drohen, die nach Abschluss des Hauptsacheverfahrens nicht im Wege der Staatshaftung rückgängig gemacht werden könnten“.

Anderen Anbietern kann man nur raten, vor das grundrechtsfreundlichere Verwaltungsgericht Berlin zu ziehen, bevor die Bundesnetzagentur mit Sitz in Bonn einen Verpflichtungsbescheid erlässt, der nur noch vor den Gerichten Nordrhein-Westfalens anfechtbar ist. Die Bundesnetzagentur hat gegen die Entscheidungen des VG Berlin allesamt Beschwerde eingelegt, über die noch nicht entschieden ist.

Kommentare (3)

Bundesverfassungsgericht prüft Informationsweitergabe an das Ausland

Unter dem Aktenzeichen 2 BvR 637/09 prüft das Bundesverfassungsgericht zurzeit die Verfassungsbeschwerde zweier Juristen gegen die Weitergabe persönlicher Informationen über Deutsche an das Ausland. Die Beschwerdeführer wollen die deutsche Zusammenarbeit etwa mit den USA stoppen, weil sie darin eine „Beihilfe zu nachfolgenden Menschenrechtsverletzungen“ im Ausland sehen.

Die am 23. März eingereichte Verfassungsbeschwerde richtet sich konkret gegen die Entscheidung des Bundestages, dem Übereinkommen des Europarats vom 23. November 2001 über Computerkriminalität beizutreten. Entgegen seines Titels ist dieses Abkommen weder auf Europa noch auf Computerkriminalität beschränkt. Mit dem Beitritt im Jahre 2008 hat sich Deutschland vielmehr verpflichtet, einer Vielzahl von Staaten „im größtmöglichen Umfang […] Beweismaterial in elektronischer Form für eine Straftat“ zu verschaffen. Auf Anforderung eines der zurzeit 25 Vertragsstaaten muss die deutsche Polizei beispielsweise Computer beschlagnahmen und Aufzeichnungen über Telefonverbindungen oder Handybewegungen sichern und an das Ausland weitergeben.

Die Beschwerdeführer befürchten, im Zuge dieser weitreichenden Zusammenarbeit könnten jederzeit sie betreffende Daten an unsichere Drittstaaten wie die USA oder Albanien gelangen, selbst wenn sich die Ermittlungen gegen ganz andere Personen richteten. Solche Informationsauslieferungen könnten eine weitere Überwachung, eine Aufnahme in Flugverbotslisten oder Terrorverdachtslisten, eine Vernehmung oder Festnahme bei der Einreise oder eine Bestrafung bis hin zur Todesstrafe oder Folterung nach sich ziehen, etwa im Zuge des US-amerikanischen „Krieges gegen Terror“. Die Zusammenarbeit des Bundeskriminalamts mit den USA habe bereits dazu geführt, dass der Deutsche Zammar im Jahr 2001 in ein syrisches Foltergefängnis verbracht worden sei.

Die 93-seitige Beschwerdeschrift kritisiert das Abkommen vom 23.11.2001 als verfassungswidrig, weil es Deutschen keinerlei Schutz vor Verletzungen ihrer Menschenrechte im Ausland biete. Informationen aus Deutschland dürften im Ausland unbegrenzt auf Vorrat gespeichert und nach Gutdünken zweckentfremdet werden, ohne dass eine Aufsicht durch unabhängige Datenschutzbeauftragte bestehe und gerichtlicher Rechtsschutz gegen illegale Maßnahmen in Anspruch genommen werden könne. Deutsche würden von einer Übermittlung ihrer Daten an das Ausland nicht einmal benachrichtigt. Ausländische Stellen könnten private Handydaten oder Wohnungsdurchsuchungen ohne Anlass „ins Blaue hinein“ fordern, selbst wenn der Betroffene mit der angeblichen Straftat nichts zu tun habe. Das Abkommen erlaube es ausländischen Staaten auch, von international tätigen Unternehmen wie SWIFT oder Vodafone beliebig Informationen über deutsche Kunden anzufordern.

Besonders scharf kritisiert die Beschwerdeschrift die Zusammenarbeit mit den USA. Die USA seien auf dem Gebiet des Schutzes der Grundrechte anderer Staatsangehöriger ein Entwicklungsland. Die USA inhaftierten Einreisende aus Europa ohne Angabe von Gründen, überwachten unbescholtene Europäer anhand ihres Zahlungsverkehrs (SWIFT) und ihrer Telekommunikation (ECHELON), verhängten Flugverbote und Finanzsperren ohne gerichtliche Verfahren, verschleppten Menschen aus Europa in Lager außerhalb der USA und vollstreckten die Todesstrafe an Europäern. Jede deutsche Auslieferung von Informationen über Europäer stelle eine „Beihilfe zu nachfolgenden Verletzungen ihrer Menschenrechte im Wege der beschriebenen US-Praktiken dar“. Von 47 Staaten weltweit schützten nur Singapur, Malaysia, Russland und China persönliche Daten schlechter als die USA.

Insgesamt möchten die Beschwerdeführer mit dem Verfahren erreichen, dass das Bundesverfassungsgericht die deutsche Zusammenarbeit mit Staaten ohne gleichwertigen Grundrechtsschutz verbietet. „Bis zur Entscheidung des Bundesverfassungsgerichts warne ich den Deutschen Bundestag davor, einer noch weiter gehenden Informationsauslieferung an das Ausland zuzustimmen“, erklärt der Jurist Patrick Breyer als einer der Beschwerdeführer. „Insbesondere muss der neueste Vorstoß der Bundesregierung gestoppt werden, im europäischen Alleingang einer ungenannten Zahl US-amerikanischer Behörden und Geheimdienste einen direkten Online-Abgleich von Fingerabdrücken und DNA-Körperproben mit deutschen Datenbanken zu ermöglichen. Jede derartige Zusammenarbeit bringt Menschen in Deutschland in die Gefahr von Menschenrechtsverletzungen und verstößt gegen das Grundgesetz.“

Weitere Informationen:

Ergänzung vom 05.05.2009

Die Zusammenfassung der Verfassungsbeschwerde im Wortlaut:

a) Die Grundrechte schützen davor, dass die deutsche Staatsgewalt internationale Verpflichtungen eingeht, die sie ganz oder teilweise nur unter Verletzung der Grundrechte erfüllen kann. Die Grundrechte schützen außerdem davor, dass die deutsche Staatsgewalt Grundrechtsverletzungen durch ausländische Staaten zurechenbar herbeiführt.

b) Als Grundrechtseingriff der deutschen Staatsgewalt zuzurechnen sind solche Maßnahmen ausländischer Staaten, welche die typische und vorhersehbare Folge von Handlungen der deutschen Staatsgewalt sind oder in denen sich ein von Anfang an bestehendes „echtes Risiko“ einer solchen Folgemaßnahme verwirklicht.

c) Die Besonderheiten der internationalen Zusammenarbeit rechtfertigen es nicht, zurechenbare Folgemaßnahmen ausländischer Staaten an einem – im Vergleich zu unmittelbaren innerdeutschen Grundrechtseingriffen – von vornherein minderen Grundrechtsstandard zu messen.

d) In keinem Fall darf die deutsche Staatsgewalt Grundrechtseingriffe durch ausländische Staaten zurechenbar herbeiführen, die gegen Deutschlands bestehende völkerrechtliche Verpflichtungen zur Wahrung der Menschenrechte verstoßen, namentlich gegen die Europäische Menschenrechtskonvention.

e) Interessen der Allgemeinheit rechtfertigen eine grundrechtseingreifende Zusammenarbeit mit Staaten, welche ihrerseits die Grundrechte schützen – und zwar sowohl durch materielle Regeln als auch durch ein Verfahren zur Kontrolle ihrer Einhaltung – in einer Art, die wenigstens als gleichwertig zu dem vom Grundgesetz gewährten Schutz anzusehen ist, soweit nicht trotz des generell gleichwertigen Schutzniveaus im Einzelfall gleichwohl eine Grundrechtsverletzung durch den ausländischen Staat zu befürchten ist.

f) Grundrechtspositionen Dritter rechtfertigen eine Zusammenarbeit mit Staaten ohne gleichwertigen Grundrechtsschutz im Notstandsfall zur Abwendung einer gegenwärtigen Gefahr für Leib, Leben oder Freiheit, soweit nicht eine Verletzung der Menschenwürde durch den ausländischen Staat zu besorgen ist.

g) Im Übrigen ist eine Zusammenarbeit mit Staaten ohne gleichwertigen Grundrechtsschutz nicht gerechtfertigt.

h) Das hier angefochtene Zustimmungsgesetz verletzt das Zitiergebot (Art. 19 GG), weil es das Fernmeldegeheimnis und die Unverletzlichkeit der Wohnung einschränkt, ohne diese ausdrücklich zu benennen.

i) Das Zustimmungsgesetz verletzt das Recht auf informationelle Selbstbestimmung (Art. 2, 1 GG), das Fernmeldegeheimnis (Art. 10 GG), die Unverletzlichkeit der Wohnung (Art. 13 GG), das Recht auf effektiven Rechtsschutz (Art. 19 Abs. 4 GG) und weitere Grundrechte, weil es Grundrechtsverletzungen zurechenbar nach sich zieht, die sich auch durch eine möglichst grundrechtsschonende Umsetzung und Anwendung des Abkommens vom 23.11.2001 nicht vermeiden lassen. Eine zweite Grundrechtsverletzung liegt darin, dass der Gesetzgeber nicht einmal seine wenigen Möglichkeiten ausgeschöpft hat, für eine möglichst grundrechtsschonende Anwendung des Abkommens Sorge zu tragen.

j) Das angefochtene Zustimmungsgesetz beschränkt die genannten Grundrechte unverhältnismäßig weit gehend, indem es die deutschen Rechtshilfestellen zur unmittelbaren Vornahme (mangelnde Eingriffsschwelle für deutsche Rechtshilfehandlungen) und zur mittelbaren Herbeiführung (Informationsweitergabe an Staaten ohne Eingriffsschwelle, Zweckbindung, Protokollierung, Benachrichtigung, Auskunftsanspruch, Berichtigungsanspruch, Beaufsichtigung, Rechtsweg) unverhältnismäßiger Grundrechtseingriffe ohne die gebotenen Sicherungsvorkehrungen zwingt und ermächtigt sowie die übrigen Vertragsstaaten zu unmittelbaren Grundrechtsverletzungen ermächtigt.

Kommentare (6)

Weitere Anbieter von Vorratsdatenspeicherung befreit [ergänzt am 07.12.2009]

Das Verwaltungsgericht Berlin hat neben den Telekommunikationsanbietern BT Germany und QSC auch die Freenet-Mobilfunktöchter Mobilcom, Debitel (inklusive Talkline), Klarmobil und Callmobile einstweilen von der Vorratsdatenspeicherung befreit. Das geht aus einem Beschluss vom 16.01.2009 im Verfahren VG 27 A 331.08, hervor. In seiner Begründung bezeichnet das Gericht die Umsetzung der umstrittenen Vorratsdatenspeicherung auf Kosten der Unternehmen als verfassungswidrig, erst recht, weil sie reine Reseller ohne eigenes Netz seien. Auch ein geplantes Entschädigungsgesetz sei absehbar verfassungswidrig, weil es weder die hohen Anschaffungs- noch laufenden Unterhaltskosten berücksichtige, die bei Umsetzung der Vorratsdatenspeicherung zu erwarten seien.

Auf Anfrage teilte das Verwaltungsgericht mit, im ersten Verfahren von BT Germany habe es die Frage der Verfassungsmäßigkeit dem Bundesverfassungsgericht vorgelegt, dem damit nunmehr mehrere Anträge zur Vorratsdatenspeicherung vorliegen. Solange das Bundesverfassungsgericht nicht abschließend über die Verfassungsmäßigkeit der Vorratsdatenspeicherung entschieden habe, werde das Gericht die Befreiungen voraussichtlich auch nicht aufheben. Befreiungsanträge noch weiterer Unternehmen lägen der ausschließlich zuständigen Kammer nicht vor und würden auch nicht erwartet. Die Bundesnetzagentur habe nämlich Anbietern, die die Speicherung ohne Gerichtsbeschluss verweigerten, Ende Januar die Speicherung per Verfügung angeordnet.

Das ist insofern ungünstig, als ein davon betroffener Anbieter auf diese Weise erstens in die Defensive gerät und binnen eines Monats gegen die Verfügung vorgehen muss, da sie andernfalls ungeachtet ihrer möglichen Rechtswidrigkeit bestandskräftig wird (§ 43 Abs. 2 VwVfG). Zweitens ist für die hiergegen gerichtete Klage nicht mehr das den Unternehmen bislang wohlgesonnene Berliner Verwaltungsgericht zuständig, sondern das Verwaltungsgericht Köln (§ 52 Nr. 2 VwGO).

Hansenet vorratsspeichert nicht…

Von den Pressestellen der Bundesnetzagentur, Hansenets und des Verwaltungsgerichts Köln war zu erfahren, dass die Bundesnetzagentur mit Verfügung vom 27.01.2009 tatsächlich Hansenet zur Vorratsdatenspeicherung verpflichtet hat, weil Hansenet nicht wie vorgesehen vorratsspeichert. Gegen die Verfügung klagt Hansenet derzeit vor dem Verwaltungsgericht Köln (Az. 21 L 234/09). Eine Entscheidung, auch über den Eilantrag des Anbieters vom 20.02.2009, steht laut Gerichtssprecher Uhlenberg noch aus.

Bis dahin speichert Hansenet seit 2008 keinerlei IP-Adressen, auch nicht für die früher übliche Dauer von 5 Tagen, so Hansenets Pressesprecher Carsten Nillies. Alle übrigen Verbindungsdaten würden aber gespeichert. Das hat für Hansenets Kunden zur Folge, dass ihr Surfverhalten nach Verbindungsende nicht mehr ohne Weiteres auf ihren Anschluss zurückgeführt werden kann.

…und einige Mobilfunkanbieter ebenfalls nicht

Von Interesse ist, welche Verbindungsdaten die vom Verwaltungsgericht Berlin befreiten Mobilfunkanbieter nun tatsächlich speichern. Denn sie haben die Wahl, in welchem Maß sie die Vorratsdatenspeicherung umsetzen. Bei Talkline vermeldete ein Mitarbeiter der Datenschutzabteilung auf Anfrage, Verbindungsdaten würden in der Regel wie bisher 80 Tage lang gespeichert, auf Wunsch auch nur bis Rechnungsversand. IP-Adressen mobiler Internetverbindungen würden überhaupt nicht gespeichert. Genau die gleiche Speicherpraxis praktiziert Debitel laut Kundenbetreung. Mobilcom speichert die Daten laut Kundenbetreuung 90 Tage; ob eine Löschung mit Rechnungsversand möglich ist, blieb unklar. Zumindest vor Einführung der Vorratsdatenspeicherung musste diese Möglichkeit kraft Gesetzes angeboten werden. Ein vorliegender Vertragsbogen von 2006 bestätigt, dass Mobilcom dies auch anbot. Klarmobil spricht und sprach in den Geschäftsbedingungen von einer 180-tätigen Speicherung, aber mit der Möglichkeit der Löschung bei Rechnungsversand. Callmobile speichert laut AGB und Kundenbetreuung stets 180 Tage ohne Wahlmöglichkeit.

Leider werden, soweit ersichtlich, alle online wie in Offline-Shops bezogenen Karten sämtlicher der genannten Anbieter auf die Personalausweisdaten registriert, so dass man allenfalls durch den Kartentausch an eine anonyme Mobilfunkkarte kommen könnte. Das gilt selbst für die wenig bekannte und nur in Freenet-Filialen erhältliche Klarmobil-Prepaidkarte. Mindestens Callmobile fordert auch noch zwingend die Angabe einer Bankverbindung.

Vorratsdatenspeicherung, die Zweite

Doch Vorsicht: Die Reseller ohne eigenes Netz wie alle genannten Freenet-Töchter bekommen die Verbindungsdaten lediglich von den Netzbetreibern übermittelt, die teilweise ihrerseits vorratsspeichern. Vodafone-Pressesprecher Dirk Ellenbeck räumte dies ein, meinte allerdings, solche Daten würden von Vodafone grundsätzlich nicht beauskunftet. Dabei fiel beiläufig auch die Information ab, dass Vodafone die gesetzliche Auflage, Rufnummern von Resellerkunden auf Wunsch verkürzt oder nur bis Rechnungsversand zu speichern, nie umgesetzt hatte. T-Mobiles Pressesprecher Philipp Blank gab dagegen an, man richte sich nach den Speicher- und Beauskunftungswünschen des beauftragenden Resellers. Diese konnte ich leider nicht ermitteln, anscheinend sind einige Anbieter abermals auf eine Auskunftsklage erpicht. Von den Netzbetreibern E-Plus und O2 war auch keine Stellungnahme zur Handhabung von Reseller-Verbindungsdaten zu erhalten. Hinsichtlich eigener Kundendaten bestätigten die Pressestellen der Netzbetreiber Deutsche Telekom einschließlich T-Online, T-Mobile, Vodafone, Arcor und Versatel, die Vorratsdatenspeicherung ohne juristischen Widerstand umgesetzt zu haben. Im Übrigen bestätigte United Internet dasselbe für 1&1, GMX und Web.de und deren E-Mail-Angebote, ebenso die E-Plus-Discounter Alditalk und Simyo.

Vorratsdatenspeicherung, die Dritte

Selbst, wenn der Netzbetreiber aber nicht speichert, können immer noch Vorratsdaten anfallen: Nach Angaben des Bundesdatenschutzbeauftragten werden üblicherweise 120 Tage lang Verbindungsdaten zur Interconnectionabrechnung in einer weiteren Datenbank gespeichert. Damit hat es die Bewandtnis, dass beispielsweise ein Gespräch eines Arcor-Anschlusses zu einem Telekom-Anschluss dazu führt, dass die Telekom von Arcor ein minütliches Entgelt für den Einlass in ihr Netz von Arcor verlangen kann, zu dessen Nachweis die Anbieter offenbar unterschiedslos die vollständigen Kundenverbindungsdaten speichern. Umfang und Zulässigkeit dieser „Vorratsdatenspeicherung durch die Hintertür“ waren kürzlich Erörterungsgegenstand beim Bundesdatenschutzbeauftragten.

Jonas

Ergänzung vom 07.12.2009:

Das Oberverwaltungsgericht Berlin-Brandenburg hat die Entscheidung des Verwaltungsgerichts Berlin mit Beschluss vom 02.12.2009 aufgehoben. Damit müssen die Unternehmen – mit Ausnahme eines Webhosters – die Vorratsdatenspeicherung einstweilen umsetzen.

Kommentare (2)

Auskunft über vorratsgespeicherte Kommunikationsdaten [ergänzt]

Seit 2008 müssen die Anbieter von Telefon-, Handy-, E-Mail-, Internetzugangs- und Anonymisierungsdiensten aufzeichnen, wer mit wem an welchem Standort in Kontakt gestanden hat (Vorratsdatenspeicherung). Zurzeit wird kontrovers diskutiert, ob man als Inhaber eines Telefon- oder Handyanschlusses, eines E-Mail-Kontos, eines Internetzugangsvertrags oder eines Anonymisierungsdienst-Zugangs von seinem Anbieter Auskunft über die auf Vorrat gespeicherten Kommunikationsdaten verlangen kann.

Auskunft auch über Vorratsdaten

Im Grundsatz gibt § 34 Bundesdatenschutzgesetz (BDSG) jeder Person einen Anspruch auf Auskunft über die zu ihrer Person gespeicherten Daten (siehe Auskunftsrecht). § 93 Telekommunikationsgesetz (TKG) sieht eine Informationspflicht des TK-Anbieters vor und bestimmt: „Das Auskunftsrecht nach dem Bundesdatenschutzgesetz bleibt davon unberührt.“ Das Auskunftsrecht nach § 34 BDSG besteht also im Grundsatz auch gegenüber TK-Anbietern.

Teilweise wird die Auskunft über Verkehrsdaten, die auf Vorrat gespeichert werden (§ 113a TKG), verweigert mit dem Argument, die Verwendung dieser Daten sei gesetzlich nur für bestimmte staatliche Zwecke erlaubt, zu denen die Auskunfterteilung an den Betroffenen nicht gehöre (§ 113b TKG). Eine gesetzliche Verwendungsbeschränkung steht der Auskunfterteilung an den Betroffenen aber nicht entgegen. Es ist Voraussetzung jedes Eingriffs in unsere Privatsphäre, dass der Zweck der Daten verbindlich festgelegt wird. Eine solche Festlegung findet sich in jedem Gesetz über persönliche Daten, ohne dass damit der gesetzliche Auskunftsanspruch ausgeschlossen wäre. Dass in gesetzlichen Zweckbestimmungen nicht immer auch die Auskunfterteilung an den Betroffenen ausdrücklich erwähnt wird, schließt diese nicht aus.

Teilweise wird der Auskunft über vorratsgespeicherte Verkehrsdaten entgegen gehalten, Vorratsdaten seien nur aufgrund gesetzlicher Anordnung gespeichert, und eine Auskunfterteilung würde einen unverhältnismäßigen Aufwand erfordern (§§ 34 Abs. 4, 33 Abs. 2 Satz 1 Nr. 2 BDSG). Die Auskunfterteilung über Verkehrsdaten kann aber schon deshalb keinen unverhältnismäßigen Aufwand erfordern, weil Deutschlands Telekommunikationsanbieter täglich über 100mal Verbindungsdaten an Staatsbehörden weitergeben. Wenn dem Staat routinemäßig Auskunft erteilt wird, können solche Auskünfte auch an den Betroffenen keinen unverhältnismäßigen Aufwand erfordern. – Im Übrigen verstößt §§ 34 Abs. 4, 33 Abs. 2 Satz 1 Nr. 2 BDSG gegen Art. 12 der Datenschutzrichtlinie 95/46/EG. Die Richtlinie befreit bei Unverhältnismäßigkeit nur von der Initiativbenachrichtigung (Art. 11 Abs. 2), nicht aber von dem Auskunftsanspruch (Art. 12, siehe auch die Begründung des Gesetzentwurfs auf S. 45).

Schutz von Mitbenutzern und anonymen Anrufern

Die einzige Einschränkung des Auskunftsanspruchs über Vorratsdaten, die – auch nach Ansicht des Bundesdatenschutzbeauftragten – besteht, betrifft Daten, die wegen eines überwiegenden Interesses anderer Personen geheim gehalten werden müssen (§§ 34 Abs. 4, 33 Abs. 2 Satz 1 Nr. 3 BDSG). Wo die Vorratsdaten andere Personen neben dem Anschlussinhaber betreffen, können sie diesem nicht ohne Weiteres mitgeteilt werden.

Als andere Personen sind erstens die Mitbenutzer des Anschlusses zu berücksichtigen. Nach § 99 TKG kann der Inhaber eines Anschlussinhaber einen Einzelverbindungsnachweis nur verlangen, wenn er vor dem maßgeblichen Zeitraum alle zum Haushalt gehörenden Mitbenutzer des Anschlusses darüber informiert hat, dass ihm die Verkehrsdaten bekannt gegeben werden. Bei Anschlüssen in Betrieben und Behörden sind die Mitarbeiter zu informieren und der Betriebsrat zu beteiligen. Anrufe bei Beratungseinrichtungen wie der Telefonseelsorge dürfen in keinem Fall mitgeteilt werden, um vor dem Bekanntwerden der zugrunde liegenden Notlage zu schützen. Auf die Auskunft über Vorratsdaten übertragen bedeutet dies: Wenn der Anschlussinhaber bereits einen Einzelverbindungsnachweis erhält oder seinen Anschluss alleine nutzt, ist ihm umfassend Auskunft zu erteilen. Andernfalls erhält er Auskunft nur mit Einwilligung aller Mitbenutzer. Kontakte mit Beratungseinrichtungen sind von dem Auskunftsanspruch ausgenommen, wenn der Betroffene nicht ausnahmsweise ein besonderes Interesse an der Mitteilung gerade solcher Verbindungen hat.

Andere Personen, deren Geheimhaltungsinteresse das Auskunftsinteresse des Anschlussinhabers überwiegen kann, sind dessen Kommunikationspartner. Die vom Anschluss aus gewählten Rufnummern sind nicht geheimhaltungsbedürftig, weil sie der Anschlussnutzer selbst gewählt hat. Auf Vorrat gespeichert werden jedoch auch Informationen über eingegangene Verbindungen (§ 113a TKG). Die Rufnummern, von denen aus der Anschluss des Auskunft ersuchenden Kunden angewählt worden ist, unterliegen dem Fernmeldegeheimnis. Man kann die Anzeige der eigenen Rufnummer bei dem Angerufenen aus gutem Grund verhindern (§ 102 TKG), um anonym anzurufen (z.B. bei der Presse). Diese wichtige Möglichkeit darf nicht unterlaufen werden, indem der Angerufene nachträglich eine Auskunft seines Anbieters über die eingegangene Verbindung einholt. Allerdings kann im Einzelfall das Auskunftsinteresse des Angerufenen höher zu bewerten sein als das Geheimhaltungsinteresse, insbesondere bei klar rechtswidrigen oder sogar strafbaren Anrufen. Der Telekommunikationsanbieter darf die Rufnummern eingehender Verbindungen also nicht beauskunften, solange nicht der Kunde ein besonderes Interesse daran glaubhaft macht. Andere Daten über eingehende Verbindungen sind dagegen ausnahmslos offenzulegen, etwa die Zeit eingehender Verbindungen und die Funkzelle des angerufenen Mobiltelefons.

Zusammenfassung

Als Ergebnis ist festzuhalten, dass jeder Inhaber eines Telefon- oder Handyanschlusses, eines E-Mail-Kontos, eines Internetzugangsvertrags oder eines Anonymisierungsdienst-Zugangs einen Anspruch auf Auskunft über die darüber ein- und ausgegangenen Verbindungen hat, wenn er 1. einen Einzelverbindungsnachweis erhält oder 2. seinen Zugang alleine benutzt oder 3. die Einwilligung aller Mitbenutzer vorlegt. Mitzuteilen sind ihm alle zu seinem Zugang gespeicherten Daten einschließlich der auf Vorrat gespeicherten Informationen nach § 113a TKG. Verbindungen zu Beratungsstellen und die Rufnummern eingehender Verbindungen dürfen im Normalfall nicht mitgeteilt werden.

Ergänzung vom 09.04.2009:

Eine Muster-Auskunftanforderung ist nun im Netz aufgetaucht:

Sehr geehrte Damen und Herren,

ich mache hiermit von meinem Auskunftsrecht (nach Artikel 34 Bundesdatenschutzgesetz und insbesondere Artikel 93 Telekommunikationsgesetz (TKG)) Ihnen gegenüber Gebrauch. Bitte senden Sie mir alle, insbesondere auch die nach Artikel 113a des TKG (also im Rahmen der sogenannten Vorratsdatenspeicherung), zu meiner Person gespeicherten Daten. Ich nutze den Account XXX alleine, die Einwilligung eventueller Mitnutzer entfällt also.

Vielen Dank für Ihren Aufwand,

XXX

2. Ergänzung vom 19.04.2009:

OVG Münster, Urteil vom 11. 12. 1974 – IV A 1340/73, NJW 1975, 1335:

Daher haben die tatsächlichen Beteiligten eines Telefonats gegen die Post einen Anspruch darauf, daß das Fernmeldegeheimnis auch gegenüber dem Inhaber des Fernsprechanschlusses gewahrt bleibt, wenn dieser nicht selbst Gesprächsteilnehmer war. Die Post kann deshalb, wenn der Inhaber eines Fernsprechanschlusses Auskunft über sämtliche von seinem Anschluß aus geführte Telefongespräche begehrt, die Erteilung der Auskunft von dem Nachweis abhängig machen, daß in dem fraglichen Zeitraum nur der Anschlußinhaber selbst telefoniert hat oder daß sämtliche Mitbenutzer des Anschlusses die Post von der Wahrung des Fernmeldegeheimnisses entbinden. (Vgl. Aubert, aaO, S. 77.) Eine Ausnahme kann möglicherweise dann Platz greifen, wenn zwischen dem Anschlußinhaber und der Post Streit über die Höhe der Telefonrechnung entstanden ist, der nur durch die begehrte Auskunft ausgeräumt werden kann; ein solcher Fall ist hier jedoch nicht gegeben.

Kommentare (5)

Datenschutzfreundlich surfen mit QSC [ergänzt am 07.12.2009]

Die Unternehmen BT Germany und QSC mitsamt Tochtergesellschaft haben vor dem Verwaltungsgericht Berlin erwirkt, dass sie die Vorratsdatenspeicherung bis auf Weiteres nicht umsetzen müssen. Das gilt jedenfalls solange, bis entweder das Bundesverfassungsgericht im Hauptsacheverfahren über die Verfassungsmäßigkeit der Vorratsdatenspeicherung entschieden hat oder die Berliner Anordnung in höherer Instanz aufgehoben wird. Aus dieser Situation ergibt sich für Kunden die Möglichkeit, die 6-monatige Vorratsdatenspeicherung zu umgehen, ohne einen Anonymisierungsdienst nutzen zu müssen.

Bei BT Germany besteht insoweit das Problem, dass das Unternehmen keine Produkte für Privatkunden, sondern nur für Geschäftskunden wie Internetprovider im Portfolio hat. Auch die Idee, auf BT Germanys Infrastruktur aufsetzende Reseller zu nutzen, dürfte daran scheitern, dass die Reseller eine eigenständige Vorratsdatenspeicherpflicht treffen wird, so dass eine Löschung seitens BT Germany nichts nützen würde, was auch BT Germanys Pressestelle bestätigte.

Konkret verbleibt jedoch die Möglichkeit, die „Q-DSL home“-Anschlüsse von QSC zu nutzen, um der seit 2009 gesetzlich angeordneten 6-monatigen Vorratsdatenspeicherung zu entgehen. QSC bietet die DSL-Anschlüsse ab 29 € monatlich inklusive Flatrate und bietet Geschwindigkeiten bis 16.000 KBit/s, soweit verfügbar. „Achillesfersen“ der Produktlinie sind die im Vergleich zu TDSL (also ADSL der Deutschen Telekom) deutlich geringere örtliche Verfügbarkeit in nur etwa 200 Städten, die mindestens 12-monatige Vertragslaufzeit sowie der Wegfall des Telefonanschlusses, an dessen Stelle allenfalls Internettelefonie tritt. Zwar basiert der Geschäftskundenanschluss „Q-DSL pro“ tatsächlich auf TDSL, so dass die Probleme „Telefonanschluss“ und „Verfügbarkeit“ gelöst wären, jedoch kommen hier feste IP-Adressen zur Anwendung, was den Datenschutzvorteil zunichte macht. Andererseits wird QSC in den verfügbaren Gebieten regelmäßig höhere Geschwindigkeiten als die Deutsche Telekom erzielen. Dies ergibt sich aus mehreren Gründen:

  • Die Anschlüsse „Q-DSL home 3072“ und „Q-DSL home 1536“ basieren technisch auf SDSL, was neben identischer Sende- und Empfangsdatenrate bedeutet, dass auch die reichweitenstarken, niederen Telefon-Leitungsfrequenzen für DSL genutzt werden.
  • Der Anschluss „Q-DSL home 16.000“ basiert auf der ADSL2+-Technik und verzichtet zwar auf die Nutzung der reichweitenstarken niederen Telefonfrequenzen. Der Anschluss wird aber, ebenso wie die beiden obigen SDSL-Anschlüsse und anders als viele ADSL1-Anschlüsse der Deutschen Telekom ratenadaptiv geschaltet. Das heißt, dass die Geschwindigkeit für jede Verbindung neu ausgehandelt und auf etwaige Eventualitäten wie Einstreuungen angepasst wird, so dass auf den festen Sicherheitsabstand der Deutschen Telekom verzichtet werden kann, auf Grund dessen viele Leitungskapazitäten aus übertriebener Vorsicht und mangelnder Anpassungsfähigkeit generell brachliegen. Die Deutsche Telekom bietet ADSL2+ regulär nur bei ihren 16.000-KBit/s-Anschlüssen an, die sie aber anders als QSC erst ab einer tatsächlich verfügbaren Datenrate von 6.304 KBit/s schaltet. Allein mit ratenadaptiver Schaltung kann die effektive DSL-Geschwindigkeit häufig verdreifacht werden.

Auf Anfrage, welche Daten denn nun genau wie lange gespeichert würden, erklärte QSCs Pressestelle, IP-Adressen würden kürzer als 1 Woche gespeichert. Sonstige Verbindungsdaten würden bei echten Flatratetarifen genauso lang, im Übrigen (etwa das Verbindungsvolumen bei sog. Fair-Flat-Tarifen) bis zu 6 Monate gespeichert. Beides gilt auch für QSCs VoIP-Produkt „IPfonie privat“. Aus alledem folgt als Fazit für den Nutzer, dass Internet-Nutzungsspuren immerhin in der Regel nicht länger als 1 Woche lang einem Anschluss zugeordnet werden können.

Jonas

Ergänzung vom 02.04.2009:

Laut Pressebericht nimmt QSC keine Privatkunden mehr an.

Ergänzung vom 07.12.2009:

Das Oberverwaltungsgericht Berlin-Brandenburg hat die Entscheidung des Verwaltungsgerichts Berlin mit Beschluss vom 02.12.2009 aufgehoben. Damit müssen die Unternehmen die Vorratsdatenspeicherung einstweilen umsetzen.

Kommentare (1)

Test: Internet-Anonymisierungsdienste

Nachdem ab 2009 auch Internetprovider zur 6-monatigen Vorratsspeicherung von IP-Adressen verpflichtet sind, ist es technisch möglich, das Surfverhalten und die E-Mail-Kontakte jeden Nutzers 6 Monate lang und ohne Gerichtsbeschluss zu einem bestimmten Anschluss zurückverfolgen. Zwar speichern die Internetanbieter keine Kommunikationsinhalte wie aufgerufene Seiten, jedoch speichern viele Seiten die Aufrufe selbst gemeinsam mit Ihrer IP-Adresse, die von Ihrem Internetprovider vergeben und vorratsgespeichert wird, so dass bei Zusammenführung der Daten eine Zurückverfolgung möglich ist. IP-Adressen (Beispiel: 77.87.229.75) spielen für die Anonymität im Internet eine zentrale Rolle, weil sie zu einem bestimmten Zeitpunkt internetweit eindeutige Anschlusskennungen sind, die zur Kommunikation im Internet erforderlich sind. Eine Maßnahme gegen die Identifizierbarkeit über die IP-Adresse können Anonymisierungsdienste darstellen. Sie verschlüsseln nicht nur die Kommunikation zwischen Ihrem Rechner und dem Anonymisierungsdienst, was Sie unter anderem vor Ihrem Internetprovider schützt, sondern sie lassen den Nutzer nach außen hin unter veränderter IP-Adresse auftreten. In diesem Fall hinterlassen Sie beim Surfen nur die IP-Adresse des Anonymisierungsdiensts, während Ihr Internetanbieter aber nur Ihre originäre IP-Adresse sehen und speichern kann. Der Anonymisierungsdienst fungiert also als Mittler zwischen Ihrem Rechner und den angesurften Seiten. Eine Zuordnung von Surfspuren zu einem bestimmten Anschluss wird so erheblich erschwert. Ein Nebeneffekt von Anonymisierungsdiensten ist, dass sie auch staatliche Sperrmaßnahmen unterlaufen.

Zwar gibt es auch zahlreiche kostenlose und anmeldefreie Proxyserver, die ganz ähnlich funktionieren. Diese sind aber oft unzuverlässig und die Daten werden unverschlüsselt übertragen, so dass Ihre Daten einschließlich etwaiger Passwörter auf dem Weg dorthin und vom Proxyserver selbst beobachtet werden können. Bei vielen solcher Proxys handelt es sich um von Kriminellen gekaperte Rechner, denen Ihre Daten anzuvertrauen nicht ungefährlich ist. Ich habe deshalb im Januar 2009 mehrere internationale Anonymisierungsdienste insbesondere unter dem Aspekt der Anonymisierungsqualität und des Datenschutzes unter die Lupe genommen. Die Reihenfolge der getesteten Services beinhaltet keine Wertung.

Kurzübersicht

  Sitzland Kein Logging irgendwelcher Verbindungs-daten, auch nicht teil-, orts- oder zeitweise Keinerlei E-Mail-Sperren Preis
1. Jondonym International
ab 6,15 €/GB
2. Tor International
0
3. Cyberghost VPN Deutschland
ab 0 €
4. Perfect Privacy International
ab 10 €/Monat
5. Relakks Schweden
ab 5 €/Monat
6. Internet Anonym VPN Deutschland
ab 12 €/Monat u. 25 GB
7. Ivacy Schweiz
ab 8,33 €/Monat od. 0,50 €/GB
8. Linkideo Jersey
ab 2 €/Monat
9. Xerobank/ShadowVPN Panama
ab 10 US$/Monat u. 10 GB
10. Swiss VPN Schweiz
5 US$/Monat
11. Safersurf Deutschland
5,90 €/Monat
12. Witopia USA
3,33 US$/Monat
13. Trackbuster Deutschland
5 €/Monat
14. Your Freedom Deutschland
ab 0 €
15. Surfonym Premium Österreich
10 €/Monat
16. BananaVPN Zypern
ab 15 US$/Monat
17. VPN Out USA
ab 8,33 US$/Monat u. 83 GB
18. Hideway Österreich
ab 6 €/Monat inkl. 10 GB
19. Hotspot VPN USA
ab 8 US$/Monat
20. Mad VPN China
ab 9 US$/Monat u. 5 GB
21. VPN Accounts Zypern
ab 15 US$/Monat
22. Tiggers Welt Deutschland
ab 3 €/Monat inkl. 1 GB
23. Public VPN USA
ab 5,83 US$/Monat
24. PRQ Tunnel Schweden
()
ab 8 €/Monat
25. Torrent Freedom/ Crypto Cloud Kanada
ab 11,58 US$/Monat
26. Trilightzone VPN International
ab 6,67 €/Monat
27. Anonine Schweden
ab 3,25 €/Monat
28. AlwaysVPN USA
ab 5,72 €/Monat
29. Roadwarrior USA
ab 15,42 €/Monat u. 15 GB
30. AceVPN USA
ab 3,10 €/Monat
31. 12VPN China
ab 1,99 €/Monat
32. VPN Privacy Kanada
ab 8,27 €/Monat
33. Strong VPN USA
ab 4,33 €/Monat
34. HideIP VPN Rumänien
ab 6,15 US$/Monat
35. Solvpn USA
ab 16,67 US$/Monat
36. Your Private VPN International
ab 5 €/Monat
37. TuVPN Singapur
ab 8 €/Monat
38. VPNUK England
ab 6,50 GBP/Monat
39. Cinipac Panama
ab 10 €/Monat
40. Ideal VPN Frankreich
4,90 €/Monat
41. VPN Master Niederlande
ab 3,95 €/Monat

1. Jondonym

Eine bei richtiger Bedienung gute Anonymisierungsqualität im Rahmen dieses Tests dürfte Jondos mit Jondonym bieten. In einem quelloffenen Java-Client kann der Nutzer die Route seiner Daten selbst bestimmen. Zur Verfügung stehen dazu sogenannte Mixkaskaden, also Ketten von bis zu 3 Servern weltweit verteilter Betreiber. Wer davon vorratsspeichert – bislang ausschließlich deutsche Mixbetreiber –, wird im Client angezeigt. Selbst mit Vorratsdatenspeicherung ist eine Aufdeckung, so Geschäftsführer und Diplom-Wirtschaftsinformatiker Rolf Wendolsky, nur dann möglich, wenn alle Mixe der verwendeten Kaskade vorratsspeichern und der Zielserver, also etwa eine angesurfte Webseite, die IP-Adresse des letzten Mixes und den sogenannten Quellport jeder einzelnen Datenübertragung speichert. Quellports werden von Ihrem Betriebssystem bei jeder Anfrage zufällig vergeben, sodass zwar kein direkter Rückschluss auf übertragene Inhalte, Dienste oder URLs möglich ist, dennoch lassen die Daten Rückschlüsse darüber zu, wann Sie Daten übertragen haben. Bislang speichern Seitenbetreiber Quellports gewöhnlich nicht, so dass eine Zurückverfolgung möglich wäre, auszuschließen ist es aber nicht. Aus diesen Gründen empfiehlt es sich, eine Kaskade mit wenigstens einem speicherfreien Mix zu verwenden, um die Anonymität nach außen zu sichern, am besten aber mit ausschließlich speicherfreien Mixes, um auch bei den Jondonym-Mixes keine Datenhalden entstehen zu lassen. Auf den speichernden Mixes werden die Vorratsdaten derart verschlüsselt, dass eine Entschlüsselung beim Mix nicht möglich ist. Diebstahl und Beschlagnahme blieben somit immerhin ergebnislos. Die Übertragung zu und zwischen den Mixen erfolgt mehrfach verschlüsselt. Auch kennt kein Mix sowohl den absendenden als auch den empfangenden Rechner. Daraus ergibt sich der Vorteil, dass eine – möglicherweise erzwungene – Überwachung ins Leere läuft, solange nicht die gesamte Mixkaskade betroffen ist.

Bei Jondonym wurden akzeptable Geschwindigkeiten um 1.000-2.000 KBit/s regelmäßig nur mit den kostenpflichtigen Premiumservern und mit gemessener Pingzeit von über 300 ms erreicht. Selbst hier schwankte die Geschwindigkeit auf Grund der mehreren aufeinander angewiesenen Mix-Server relativ stark, was ebenfalls viele Anwendungen ausschließen wird. Die Premium-Anonymisierungsleistung bezahlt der Jondonym-Kunde auch mit einem Premiumpreis von über 6 € pro Gigabyte. Kundenanfragen wurden schnell, freundlich und überdurchschnittlich kompetent beantwortet. Als Bezahlarten für Jondonym werden Bargeldversand, Paysafecard, Überweisung und Paypal angeboten. Paypal ist ein verbreitetes luxemburgisches Bezahlsystem des Auktionshauses eBay, bei dessen Datenschutzbestimmungen sich Datenschützern schon mal der Magen umstülpt: Unter anderem behält sich Paypal dort vor, Kunden- und Transaktionsdaten in weitem Umfang an internationale Behörden, Auskunfteien und Adresshändler zu übermitteln. Auch der viel gerühmte Paypal-Käuferschutz, der bei Nicht- oder Schlechtleistung das Geld erstatten soll, ist kein überzeugendes Argument. Denn erstens gilt dieser nur für eBay-Artikel, zweitens nur für körperliche Gegenstände, drittens entpuppt er sich auch sonst bei eingehendem Studium der Nutzungsbedingungen als freiwillige Kulanzleistung. Im Gegenteil beruhen Paypals Entscheidungen teils auf gar keinen oder auf Parteigutachten, und Kundenkonten und -guthaben werden unvermittelt und ohne Verzinsung eingefroren – bei Anforderung zahlreicher persönlicher Dokumente, die nichts mit Paypal zu tun haben, wie das Magazin WISO vom 23.03.2009 zeigt, dem Paypal ein Interview verweigerte. Nur begrenzt ist eine anonyme Paypal-Nutzung möglich. Demgegenüber gewährleistet die Paysafecard einen höheren Anonymitätsgrad: Dabei kaufen Sie an einer der zahlreichen Verkaufsstellen (Rossmann, Netto Markendiscount, Aral, Total, Agip, Shell, Westfalen und viele Lotto-Annahmestellen, Callshops und Handyautomaten) ähnlich wie bei Handyguthaben eine Art Gutschein, der ohne Angabe personenbezogener Daten bei allen Akzeptanzstellen durch Eingabe eines Zahlencodes eingelöst werden kann. Überweisungen werden von Ihrer Bank aus abgaben- und handelsrechtlichen Gründen regelmäßig viele Jahre lang gespeichert. Viele Banken ermöglichen nach wie vor anonyme Barüberweisungen von kleineren Beträgen, meist allerdings gegen ein Entgelt von 10 €. Wie wichtig anonyme Bezahlmethoden sein können, veranschaulicht die „Operation Mikado“ aus dem Jahr 2007: Damals wurden – ohne gerichtlichen Beschluss – Umsätze sämtlicher deutscher Kreditkarten durchforstet, um einzelne mutmaßliche Käufer von Kinderpornografie zu ermitteln. In der Folge kam es auch zu Hausdurchsuchungen bei Unschuldigen. Bereits der Verdacht der Begehung kinderpornografischer Straftaten kann aber das Ende der beruflichen und privaten Existenz bedeuten, mag sich der Betroffene auch als völlig unschuldig und womöglich selbst als Opfer von Straftaten herausstellen. Nachdem auch das Bundesverfassungsgericht das Vorgehen der Behörden abgesegnet hat, ist die nächste „Operation Mikado“ nur eine Frage der Zeit.

Technik-Exkurs: Jondonym vs. 1-Mix-Lösungen – Anonymität oder Geschwindigkeit?

Störend wirkt die Schwerfälligkeit des Java-Clients in Jondonym, der außerdem nur die Verbindungen solcher Programme erfasst, in denen Jondonym als HTTP- oder SOCKS-Proxyserver eingetragen wird. Das heißt, Jondonym greift nur bei solchen Programmen, bei denen man dies aktiv eingibt, was längst nicht alle Programme unterstützen. Auch halten sich Flash- oder andere Browser-Plugins nicht immer an die Proxy-Einstellungen des Browsers, so dass sie am Anonymisierer „vorbeilaufen“. Zur Abhilfe dessen bietet das Unternehmen zwar den kostenlosen Jondofox an, einen speziell konfigurierten Firefox, der aber das Problem sonstiger Programme noch immer nicht löst und somit auf halbem Wege stehenbleibt. Anders als bei den meisten Diensten, die nur 1 Anonymisierungsserver („1-Hop-Systeme“) zwischenschalten, ist es auf Grund der hohen Anonymität, aber verhältnismäßig niedrigen Geschwindigkeit des Netzwerks und der Client-Software und nicht zuletzt wegen der hohen Preise nicht denkbar etwa VoIP-Telefonie mit Jondonym zu kombinieren. Auf der anderen Seite bergen 1-Hop-Lösungen ohne Serverkaskadierung, die dank verbreiteter VPN-Standards meist alle Programme erfassen, ein erhöhtes Risiko, dass ein lokaler Beobachter im Netz des Nutzers (ISP, WLAN) durch Größen- und Zeitanalysen des verschlüsselten Datenstroms mit bis zu 90-prozentiger Trefferquote auf abgerufene Webseiten schließen kann. Gegen diese Angriffe hilft keine Verschleierung der IP-Adresse, von Identifizierungsgefahren durch Plugins, ActiveX, Webbugs, Cookies, Flash-Cookies und Browser-Header abgesehen. Allerdings spielen solche sogenannten Side-channel-Angriffe nur für Nachrichtendienste eine Rolle, gegen deren Mittel die meisten der hier vorgestellten Anonymisierungsdienste mangels gezielter Gegenmaßnahmen ohnehin nicht ausreichend schützen. Ferner erkauft man sich die höhere Geschwindigkeit schnellerer 1-Hop-Lösungen ohne verschachtelte Verschlüsselung und -anonymisierung mit dem Nachteil, dass der Anonymisierungsanbieter den Nutzer einschließlich seiner Inhaltsdaten, womöglich unter behördlichem Druck, leichter im Alleingang überwachen kann, was selbst bei Tor möglich ist. Das kann bei dubiosen Offshore-Anonymisierungsdiensten eher der Fall sein als bei einem geregelten, vorratsspeichernden Internetprovider. Problematisch an VPN-Lösungen gegenüber dem aktiv einzubindenden Jondonym-Client kann auch sein, dass im Fall von VPN-Verbindungsabbrüchen Verkehr unbemerkt am VPN-Tunnel „vorbeilaufen“ kann, wenn die Firewall dies nicht blockiert. Allein der Client des Anonymisierers Ivacy stoppt dieses Vorbeilaufen auf Wunsch.

2. Tor

Tor ist ein kostenloser, aber nicht zu verachtender Anonymisierungsdienst. Er wird mit den Programmen Privoxy, einer bedienungsfreundlichen Erweiterung für den Browser Firefox und der Tor-Benutzeroberfläche Vidalia ausgeliefert. Ähnlich wie bei Jondonym werden Verbindungen durch eine zufällig ausgewählte Kette von Rechnern geleitet und so anonymisiert. Diese Kette ist nicht statisch, sondern wechselt alle paar Minuten. Die Kommunikation zwischen den Serverknoten ist verschlüsselt und kein Server kennt sowohl Ausgangs- als auch Endserver. Tor hat keinen bestimmten Betreiber, sondern jedermann kann teilnehmen und Teil des Tor-Netzwerks werden. Auf Grund des sogenannten Onion-Routing-Prinzips der verschachtelten Mehrfachverschlüsselung (daher auch die Zwiebel im Tor-Logo) würde selbst ein Abhören mehrerer Knotenpunkte nicht ohne Weiteres den Nutzer offenbaren. Das dezentrale Konzept hat, ähnlich wie bei Peer-to-peer-Netzwerken, den Vorteil, dass es keine zentrale Stelle gibt, an der Sperr- oder Abhörmaßnahmen installiert werden könnten, die alle Nutzer betreffen würden. Auch führt ein Nichtfunktionieren einzelner Knoten nicht zur Unbenutzbarkeit des kompletten Diensts.

Kritikpunkt von Tor ist die niedrige Geschwindigkeit. Nachteil des offenen Konzepts ist ferner, dass man sich auf unbekannte Betreiber unter anderem des Endservers verlassen muss, der die übertragenen Dateninhalte wie etwa E-Mail-Passwörter zwangsläufig unverschlüsselt zu Gesicht bekommt, um sie ins Internet verschicken zu können. Das gilt jedenfalls dann, wenn der Nutzer keine Ende-zu-Ende-Verschlüsselung zum Zielserver ähnlich SSL beim Onlinebanking einsetzt. Der schwedische Hacker Dan Egerstad wies nach, dass jedermann manipulierte Endserver aufsetzen und damit sensible Daten abfischen kann; so soll es ihm gelungen sein, darüber zahlreiche Zugangsdaten von Diplomaten auszuspähen. Auch will Egerstad durch Geoanalysen herausgefunden haben, dass inzwischen ein beträchtlicher Teil der anonymen Tor-Server mutmaßlich von US-amerikanischen und chinesischen Nachrichtendiensten betrieben wird. 2006 wies der britische Informatiker Steven Murdoch nach, dass durch Zeitanalysen Tor-Knoten trotz Verschlüsselung wiedererkannt und der Weg der Daten so nachvollzogen werden könne. Der Angriff soll allerdings nur funktionieren, wenn die sogenannten hidden services in Tor vom Nutzer aktiviert sind, über die der Angreifer künstliche Last erzeugt, um hieraus zeitliche Schlüsse zu ziehen.

3. Cyberghost VPN

Cyberghost VPN ist ein Angebot des Ulmer Softwarehauses S.A.D. Der Kunde ist dabei auf einen proprietären, etwas trägen und derzeit nur für Windows angebotenen VPN-Client angewiesen, der im Test auch in der kostenlosen Version (dafür mit werbeträchtiger Warteschlange beim Verbindungsaufbau) gute und konstante Geschwindigkeit um 2.000 KBit/s herum lieferte. Zahlenden Nutzern garantiert der Dienst diese Geschwindigkeit sogar. Die Installation des Windows-Clients, der eine virtuelle Netzwerkkarte installiert und auf der Software OpenVPN zu basieren scheint, erfordert Microsoft .NET 3.0. Durch die VPN-Software werden alle Verbindungen erfasst und verschlüsselt. Allerdings hat der Anbieter die gängigen E-Mail-Ports für Thunderbird, Outlook etc. gesperrt. Hier wird der Anbieter seinem Konzept der Anonymität untreu. Nicht beantwortet wurde die Frage, was die Sperrung eingehender Mails zur angeblichen Spam-Vermeidung beiträgt. Negativ fällt ferner auf, dass der Anbieter bei der Registrierung ohne Not eine zu verifizierende E-Mail-Adresse verlangt. Diese darf auch keine Wegwerfadresse sein; wer etwas Geduld mitbringt, wird allerdings fündig. E-Mail-Adressen zu speichern verpflichtet zu sein behauptet indes nicht einmal Cyberghost VPN. Wie weit vom Anbieter geäußerte Pläne zur Errichtung einer Infrastruktur im Ausland gediehen sind, wurde gleichfalls nicht beantwortet. Als Zahlungsmöglichkeit bietet der Dienst Click&Buy und Paypal an, daneben den anonymen Kauf von Paketen in Geschäften wie Mediamarkt. Click&Buy ist eine britischer Zahlungsdienstleister, bei dem ähnlich wie bei Paypal bequem per Lastschrift oder Kreditkarte bezahlt werden kann. Die Datenschutzbestimmungen lesen sich etwas gemäßigter als bei Paypal, so sollen Daten an Behörden nur bei gesetzlicher Verpflichtung übermittelt werden. Auch hier finden jedoch ein Austausch mit Auskunfteien wie der Schufa und ein Missbrauch von Kundendaten zu Werbezwecken statt. Bei kostenpflichtiger Nutzung von Cyberghost VPN zahlt der Kunde 10 € für 40 GB, zahlungsunwillige Nutzer müssen sich mit 10 GB pro Monat und Account begnügen. Der Kundenservice des Unternehmens zeigte sich freundlich und kooperativ – solange keine kritischeren Fragen gestellt wurden.

Entgeistert: Wie anonym ist Cyberghost VPN?

Der seit 2009 vorratsspeichernde Anbieter von Cyberghost VPN, S.A.D., will die Anonymität seiner Nutzer dadurch wahren, dass sich mehrere Nutzer eine externe IP-Adresse teilen, so dass die Vorratsspeicherung von IP-Adressen dennoch keine eindeutige Identifizierung ermöglichen muss. Man spricht dabei von „IP-Sharing“, was im Übrigen bei allen hier vorgestellten Anonymisierungsdiensten Standard ist. „Das ist wie in der Weihnachtszeit: Wenn viele das selbe Nikolauskostüm anhaben, kann hinterher keiner sagen, wer hinter dem einzelnen Kostüm steckt. Auch, wenn der Kostümverleih aufschreibt, wer sich ein Kostüm ausgeliehen hat“, erklärte S.A.D. das Vorgehen auf Anfrage. So einfach ist es allerdings bei genauem Hinschauen im Fall Cyberghost VPNs nicht: Mag eine behördliche Anfrage mit nur einem Nutzungsdatum als Anhaltspunkt (etwa einer aufgezeichneten IP-Adresse mit Zeit) noch zu Tausenden Verdächtigen führen, sieht dies bei Kombinationen mehrerer Nutzungsvorgänge anders aus. So speichern Ebay oder Amazon jeden Klick selbst unangemeldeter Besucher und können Surfer oftmals per Cookie unterscheiden; auch das Tauschprogramm Emule sendet jedes Mal einen gleichbleibenden Client-Hash, also eine eindeutige Prüfsumme. Doch nun vergab Cyberagent im Test 3 verschiedene IP-Adressen, so dass mit jedem neuen Nutzungsvorgang der Kreis der Verdächtigen etwa gedrittelt wird, geht man davon aus, dass der Gesuchte unter gleichbleibender Cyberghost-VPN-Benutzerkennung arbeitet. Da eine DSL-Verbindung regelmäßig alle 24 Stunden zwangsgetrennt wird, dauert ein Nutzungsvorgang maximal 1 Tag. Bei angenommenen 100.000 Cyberghost-VPN-Nutzern ist ein gesuchter Nutzer damit auch ohne Inhaltsspeicherung seitens Cyberghost VPN nach 11 Nutzungsvorgängen, bei täglicher Nutzung mithin nach 11 Tagen eingekreist und kann dann über die seitens Cyberghost VPN vorratsgespeicherte und herauszugebende Original-IP-Adresse endgültig identifiziert werden. Dabei müsste die Anonymisierung trotz Vorratsdatenspeicherung bei Weitem nicht so schlecht sein, würde Cyberghost VPN die Benutzerkennungen zumindest nicht in Verbindung mit den Vorratsdaten speichern, denn erst sie ermöglicht eine „Bündelung“ der vorratsgespeicherten IP-Adressen zu einem Benutzer, der schließlich anhand seiner Original-IP-Adresse ermittelt werden kann.

Einen nachhaltigen Schutz gewährleistet Cyberghost VPN selbst dann nicht, wenn man Anonymität im Sinne einer nur subjektiven Anonymität gegenüber angesurften Webseiten verstehen will. Etwa kann der Seitenbetreiber die Nutzeridentität im Wege der Akteneinsicht (§ 406e StPO) in Erfahrung bringen, wie es auch Rechteinhaber bei Tauschbörsennutzern seit jeher tun – mal mit mehr, mal mit weniger Erfolg. Um in den Genuss eines Ermittlungsverfahrens zu kommen, muss der Nutzer auch keine schwere Straftat begangen haben. Auf diese Mängel angesprochen, entgegnete S.A.D. zunächst, man könne sich keine Internetstraftat vorstellen, auf Grund derer selbst nach der einstweiligen Anordnung des Bundesverfassungsgerichts zur Vorratsdatenspeicherung auch Original-IP-Adressen vom Anschluss des Nutzers herauszugeben seien. Als dies mit dem Beispiel der Verbreitung kinderpornografischer Schriften widerlegt wurde, verlagerte S.A.D. sich darauf, man sei gesetzlich nun mal zur Speicherung von Benutzerkennungen verpflichtet, was für nichtphysische Anschlusskennungen aber nicht zutrifft (BT-Drs. 16/6979 S. 46 zu § 111). Im Gegenteil könnte die Vorgehensweise sogar gegen § 113b TKG verstoßen, weil Vorrats- von Abrechnungsdaten, hier also den Benutzerkennungen, voneinander abzugrenzen sind (Frage 1). Hierauf äußerte S.A.D. nur noch, Straftäter wolle man ja nicht schützen. Dabei verkennt S.A.D., dass bis zur rechtskräftigen Verurteilung zu Recht das Menschenrecht der Unschuldsvermutung gilt; beispielsweise könnte im genannten Fall schlicht das ungeschützte WLAN des beschuldigten Anschlussinhabers missbraucht worden sein. Folglich schützt Cyberghost VPN weder Schuldige noch Unschuldige konsequent. An dieser Beurteilung vermag letztlich auch ein im Auftrag der Computerbild angefertigtes Gutachten einer Tochtergesellschaft des TÜVs Rheinland über Cyberghost VPN nichts zu ändern, worauf sich S.A.D. berief, welches aber auf Nachfrage keiner der drei Beteiligten herausgeben wollte. Einem einzig verfügbaren, in weiten Teilen reißerisch geschriebenen Beitrag der Computerbild (Heft 24/2008, S. 50) ist aber zu entnehmen, dass das Gutachten aus 2008, also dem Zeitraum vor Beginn der insoweit aber wichtigen Vorratsspeicherung bei Cyberghost VPN stammt. In den 5 Sätzen, die die Zeitschrift der Vorratsdatenspeicherung widmet, schreibt sie selbst, dass „Details“ dazu noch „völlig unklar“ seien (S. 48). Interessant ist ferner, dass die Frage an den TÜV anscheinend war, ob den Nutzern „Anonymität garantiert werden“ könne (S. 50), die Antwort laut abgedrucktem TÜV-Prüfsiegel aber nur lautete, die „Identität des Anwenders“ werde „durch Cyberghost verschleiert.“ S.A.D. vermochte am Schluss der Debatte nicht mehr schlüssig darzulegen, welchen Anonymitätsvorteil Cyberghost VPN vor diesem Hintergrund überhaupt gegenüber beliebigen Internetprovidern haben sollte, die ihre Kundendaten schließlich auch nicht wie sauer Bier feilbieten. Im Gegenteil kann man dort vermuten, dass sie sich über ihre datenschutzrechtlichen Pflichten qualifiziert haben beraten lassen, und dass juristische Beurteilungen nicht von Produktentwicklern getroffen werden, die zudem etwas versprechen, was es genauso wenig wie 100-prozentige Sicherheit geben kann: 100-prozentige Anonymität. Diplom-Informatiker Frank Heimburger dazu: „100 Prozent Anonymität kann niemand bereitstellen. Wer das verspricht und dabei zusätzlich vorratsspeichert, macht sich unglaubwürdig.“

Ergänzung vom 2009-07-26: Cyberghost hat inzwischen die Werbung, 100% Anonymität herstellen zu können, entfernt. Weiterhin werden laut einer E-Mail von S.A.D. vom 24.03.2009 Nutzer-E-Mail-Adressen und Verbindungsdaten separat gespeichert und die Daten können einander technisch nicht nachträglich zugeordnet werden. Würde das stimmen, wären die in obigem Rechenbeispiel genannten Anonymisierungsmängel weitgehend obsolet, abgesehen davon, dass zu S.A.D.s zwangsweiser Erhebung der E-Mail-Adresse nach wie vor keine Rechtsgrundlage besteht. Wie S.A.D. diese Trennung sicherstelle, wollte das Unternehmen aber auf Anfrage nicht mitteilen.

4. Perfect Privacy

Perfect Privacy hat kein Sitzland, sondern ist ein loser, internationaler Zusammenschluss von Privatpersonen. Angeblich arbeitet der Anbieter nichtkommerziell, und Einnahmen fließen fast ausschließlich in Infrastruktur und Rechtsverteidigung. Der Anbieter betreibt aktuell 20 nutzbare Server in 17 Ländern, viele davon außerhalb der EU, bei denen jeweils alle Nutzer unter derselben IP-Adresse surfen. Auf die Problematik angesprochen, dass auch der Berliner Server unabhängig vom Wohnsitz der Betreiberpersonen vorratsdatenspeicherpflichtig sein könnte (§ 3 Nr. 6 b TKG), äußerte Perfect Privacy, man sei auf den Berliner Server nicht angewiesen und werde ihn gegebenfalls abziehen.

Nach ausdrücklicher Bestätigung speichert Perfect Privacy nach Verbindungsende weder IP-Adressen noch sonstige Logdaten. Allerdings soll Perfect Privacy dies schon einmal ernsthaft erwogen haben, nachdem mehrere Serververträge wegen Spam-Versands gekündigt worden waren. Auch behält sich der Anbieter vor, nach eigenem Ermessen im Verdachtsfall bei laufender Verbindung zurückzuverfolgen, wer sich mit bestimmten Servern verbindet. Der Kunde kann bei jeder Einwahl entscheiden, welchen Server er nutzen möchte, wobei wegen der je nach Aufenthaltsort variierenden Geschwindigkeiten für den Alltagsgebrauch regelmäßig nur ein kleiner Kreis in Frage kommen wird. So wurden in Hongkong oder Panama nur etwa 300 KBit/s im Downstream erreicht, in Moskau oder Luxemburg dagegen bis zu 9.000 KBits/s bei einem Upstream von jeweils etwa 10% und einer Pingzeit zwischen 60 und 900 ms. Der Server in Roubaix, Frankreich war im Test ausgefallen und Teheran steht nur Jahresabonnenten zur Verfügung. Im Schnitt erzielten alle Server gemeinsam ordentliche 2.800 KBit/s. Die große Auswahl internationaler Server hat unter anderem den Vorteil, je nach Bedarf unter verschiedenen IP-Adressen auftreten zu können und beispielsweise TV-Sendungen anzuschauen, die auf nationale IP-Bereiche beschränkt sind, sofern die Geschwindigkeit dazu ausreicht. Wollen außerdem Seitenbetreiber Nutzer von Anonymisierungsdiensten aussperren, müssen sie so zumindest einigen Aufwand in Kauf nehmen, den sie meist scheuen. Portsperren, insbesondere im Mailbereich, bestanden im Test nicht. Angeboten wird neben PPTP auch OpenVPN und ein SSH-Zugang mit vorkonfiguriertem, auch auf Dauerverbindung einstellbarem Client. PPTP-Verbindungen werden von Windows von Haus aus unterstützt; man braucht lediglich in den Netzwerkverbindungen eine VPN-Verbindung einzurichten. PPTP ist schnell, jedoch ist die dort eingesetzte Verschlüsselung MPPE schwach, weswegen empfohlen wird, ein mindestens 8- bis 12-stelliges Passwort mit Zahlen und Sonderzeichen zu wählen, da die Verschlüsselungsqualität unmittelbar auf dem bei jeder Verbindung gleichbleibenden Passwort beruht. Das macht MPPE im Vergleich zu OpenVPN anfälliger gegen Brute-Force-Angriffe, etwa Wörterbuchattacken. Wie Blowfish ist auch MPPE dafür bekannt, einige – auch lange – angreifbare Passwörter zu haben. Auch der Verschlüsselungsalgorithmus selbst ist unsicherer als moderne wie das in OpenVPN eingesetzte AES. Hinzu kommt, dass die unsichere Windows-Implementation besonders anfällig für Side-channel-Angriffe wie etwa das Rückrechnen der Verschlüsselungsschritte auf Grund von Zeitmessungen macht. Schließlich ist OpenVPN auch schneller, weil es Datenkomprimierung unterstützt. Hier muss sich der Nutzer also zwischen Komfort und Sicherheit entscheiden. Im Test des Berliner Servers über mehrere Tage hinweg kam es zwar selten zu Verbindungsabbrüchen, im Großen und Ganzen erwiesen sich Geschwindigkeit und Verbindung aber (vor allem im Vergleich zu anderen Anbietern) als stabil. Ein optionaler OpenVPN-Client mit passenden Konfigurationsdateien für Windows und Mac steht Kunden zur Verfügung, ferner Zugangsmöglichkeiten über Squid und Socks 5.

Im Mitgliederbereich stellt Perfect Privacy zahlreiche nützliche Tipps zur Geschwindigkeitsoptimierung bereit. Auch Port-Forwarding wird auf Anfrage angeboten. Das bedeutet, dass Ihr Rechner auf bestimmten „Kanälen“ für fremde Rechner aus dem Internet ansprechbar ist, ohne vorher eine Anfrage etwa zum Aufruf einer Webseite gestellt zu haben. Denn da bei Anonymisierungsdiensten hinter einer IP-Adresse mehrere Nutzer stehen, kann der Anonymisierungsdienst nicht angeforderte Verbindungsanfragen sonst nicht zuordnen. Das Problem ist auch von Routern und Firmennetzwerken bekannt. Interessant ist diese Spezialität aber vorwiegend für Onlinespieler, Filesharer oder Serverbetreiber, zur gewöhnlichen Internetnutzung brauchen Sie das Feature nicht und fahren ohne es auch sicherer. Die Server scheinen nur teilweise verschlüsselt zu sein, so dass bei Beschlagnahme oder Diebstahl eine Liste der Pseudonyme und verschlüsselten Passwörter auslesbar ist. Die im Test zugewiesenen Benutzerkennungen waren allerdings nichtssagend, enthielten also keinen Namen oder ähnliches. Für eine Monatsflatrate zahlt der Nutzer je nach Laufzeit 10 bis 25 € für unbegrenzte Nutzung, wobei Perfect Privacy an seine Nutzer appelliert, im Schnitt nicht viel mehr als 100 GB monatlich zu verbrauchen. Dies wird allerdings (auch mangels Logdaten) nicht überprüft. Bei einzelnen, schwach angebundenen Servern wird besonders um maßvolle Nutzung gebeten. Als Zahlungsmöglichkeiten stellt Perfect Privacy Bargeldversand nach Neuseeland, Paysafecard, Paypal, Kreditkarte, Liberty Reserve und Webmoney zur Verfügung. Dabei gestaltete sich die Paysafecard-Zahlung abenteuerlich: Nach der Anmeldung, die immerhin über Wegwerfadressen erfolgen kann, musste man auf eine manuelle Bestätigungsmail warten. Als diese nach einigen Stunden kam, sollte der Paysafecode gemailt werden, der dann offenbar wiederum von einem Mitarbeiter nach einem weiteren Tag manuell eingelöst wurde und zur Übersendung der Zugangsdaten führte. Eine kostenlose Testnutzung bietet Perfect Privacy nicht an. Auf E-Mails wurde teils schleppend, aber freundlich und kompetent geantwortet. Es existiert auch ein deutscher Ansprechpartner. Perfect Privacys E-Mail schloss mit der schönen Losung: „If privacy is outlawed, only outlaws will have privacy.“

5. Relakks

Relakks soll ein seit 2006 bestehendes Unternehmen der schwedischen Piratenpartei sein und sie mitfinanzieren. 50.000 Nutzer will der Dienst bereits haben. Gesurft wurde im Test unter einer schwedischen IP-Adresse des Netzbetreibers Labs2. Hinsichtlich des E-Mail-Verkehrs wurde eine Sperre auf Port 25, nicht aber 465 festgestellt. Bei der Anmeldung forderte Relakks eine E-Mail-Adresse, für die auch eine Wegwerfadressen genutzt werden konnte. Im Übrigen war nicht zu ermitteln, welche Daten Relakks wie lange vorratsspeichert. Anfragen an Relakks, an die schwedische Piratenpartei sowie an den Netzbetreiber Labs2 blieben unbeantwortet. Die Angaben auf der Internetseite, wonach Verkehrsdaten an die Behörden herausgegeben würden, sobald ein Nutzer einer nach schwedischem Recht mit mindestens 2 Jahren Freiheitsstrafe bewehrten Straftat verdächtig ist, deutet auf eine Vorratsdatenspeicherung hin. Auch gegenüber anderen Kunden soll der Anbieter eine Vorratsdatenspeicherung eingeräumt haben; die Speicherfrist variiert zwischen 1 und 6 Monaten. Vor dem Hintergrund der umstrittenen Beschlagnahme der Stockholmer Piratebay-Server 2006 scheint dies nicht ohne Risiko für Kunden. Hinsichtlich der Vorratsdatenspeicherung muss auch für die Piraten gelten: klarmachen zum Ändern.

Im Geschwindigkeitstest wurden gute 4.000 KBit/s im Downstream und 600 KBit/s im Upstream bei einer Pingzeit von etwa 115 ms erreicht. Um zu bezahlen, musste man sich jedoch erst durch einen schwedischen Bezahldialog des Dienstleisters Paynova quälen. Bezahlt werden kann mit schwedischen Konten oder per Kreditkarte. Es liegen keine Informationen über Vorkehrungen vor, wonach Vorratsdaten nicht mit Bezahldaten zusammengeführt werden könnten. Relakks kostet 5 € pro Monat oder 50 € für 1 Jahr. Der Support bewegte sich leider auf der Nulllinie.

6. Internet Anonym VPN

Internet Anonym VPN ist die Anonymisierungssoftware des Frankfurter Anbieters Steganos. Sie ist zu unterscheiden vom eingestellten Vorgängerprodukt Internet Anonym und wird im Gegensatz zu Cyberghost VPN nicht mehr über Ladengeschäfte vertrieben, sondern im Onlinehandel. Ohne die für Windows und Mac verfügbare Software, die weniger träge als jene von S.A.D. ist, ist das Produkt nicht nutzbar. Wie Cyberghost VPN installiert die Software eine virtuelle Netzwerkkarte. Im Test musste nicht nur die Seriennummer in die Software eingegeben und online abgeglichen werden, sondern vorher auch noch auf der Steganos-Website unter zwingender Eingabe einer gültigen E-Mail-Adresse aktiviert werden. Wegwerfadressen sind gesperrt; auch hier ist aber auch hier das Glück mit dem Tüchtigen.

Nach Aktivierung betrug die Datenrate im Test ca. 800 KBit/s im Down- (nachts mehr) und Upstream bei einer Pingzeit von ca. 90 ms. Während der Mail-Empfang uneingeschränkt funktionierte, war der Mailversand auf Port 25 (nicht aber 465) gesperrt, nachdem Steganos angeblich wegen Spamversands auf eine Blacklist gesetzt worden war. Die im Test zugewiesenen IP-Adressen, die sich alle Nutzer eines Servers teilten, stammten von 1&1. Steganos‘ Client zeigt in einer Hinweisbox ehrlicherweise an, dass vorratsgespeichert wird und eine objektive Anonymität nicht erreicht wird. Die Verbindung zu Steganos‘ Servern ist 128-Bit-SSL-verschlüsselt. Gespeichert werden auf Grund der Vorratsdatenspeicherung Original- und ersetzte IP-Adressen und Zeiten. Benutzernamen wie bei Cyberghost VPN werden nicht mitgeloggt. Zwar werde die Summe des Datenvolumens gemeinsam mit der Seriennummer gespeichert, spätestens 45 Minuten nach Verbindungsende werde der Zusammenhang zwischen den Verbindungsdaten und der Seriennummer aber gelöscht, so dass danach nicht von einer IP-Adresse auf Benutzer oder Seriennummern geschlossen werden könne. Auch ein „Einkreisen“ gesuchter Nutzer ist trotz Vorratsdatenspeicherung allenfalls anhand der Onlinezeiten möglich, weil ohne an die Verbindungsdaten gekoppelte Benutzernamen oder Seriennummern das Suchkriterium von verbindungsübergreifend gleichbleibenden Benutzernamen oder Seriennummern entfällt. Einem gleichbleibenden, vorratsgespeicherten Benutzernamen steht es natürlich gleich, wenn der Kunde einen Internetzugang mit statischer Original-IP-Adresse verwendete, wie es bei manchen Kabel-, aber auch DSL-Internetanbietern der Fall ist, und dies bekannt ist oder geraten wird. Eine statische IP-Adresse bedeutet, dass die vom Internetanbieter dem Rechner zugewiesene, für die Zeit der Verbindung internetweit eindeutige Kennung in Form der IP-Adresse auch bei der nächsten Verbindung die gleiche ist, was auch unabhängig vom Anonymitätsgrad Hackerattacken und gezielte Sperrungen durch Seitenbetreiber begünstigt. Benutzer statischer IP-Adressen sollten daher zur Sicherheit generell auf Anonymisierungsdienste mit Vorratsdatenspeicherung verzichten.

Zur Weitergabe von Nutzerdaten gibt Steganos an, pro Woche etwa 10 Anfragen von Bestands- (Name, Anschrift) und Verbindungsdaten (IP-Adresse, Verbindungszeiten von Nutzern) zu erhalten. Das Unternehmen habe eine Anwaltskanzlei damit beauftragt. Dabei würden Bestandsdatenabfragen generell nicht beantwortet, zumal Steganos über keine Bestandsdaten verfüge. Verbindungsdaten würden nur auf Grund eines Gerichtsbeschlusses bei Verdacht einer schweren Straftat herausgegeben werden. Dazu sei es zwischen 2006 und 2009 nur einmal gekommen. Da allerdings ein Großteil von Steganos‘ Kunden nach außen hin unter derselben IP-Adresse surft, ergibt die Rückverfolgung dieser IP-Adressen umgekehrt einen Großteil der Kunden, obwohl nur einer tatverdächtig ist. Im Klartext heißt das für Steganos-Nutzer: Zwar ist dank Vorratsdatenspeicherung eine Identifizierung über den Internetanbieter auf Fälle schwerer Straftaten begrenzt, während Bestandsdatenauskünfte direkt beim Internetanbieter ohne gerichtlichen Beschluss und bereits bei Ordnungswidrigkeiten zulässig sind. Dafür kommt es, ist ein beliebiger Nutzer einer schweren Straftat verdächtig, zur Identifizierung und möglicherweise zu Ermittlungen gegen alle Steganos-Nutzer, die zur Tatzeit zufällig die selbe IP-Adresse zugewiesen bekommen hatten. Es findet also unter Nutzern von Steganos, aber auch generell bei vorratsspeichernden Anonymisierungsdiensten eine Art „Solidarisierung des Ermittlungsrisikos“ statt.

Was den Preis betrifft, bietet Steganos für Internet Anonym VPN 5 verschiedene Modelle an, die zwischen 1 Monat mit 25 GB für 12 € und 12 Monaten ohne Trafficlimit für 300 € rangieren.

7. Ivacy

Im Alpenland Schweiz hat die Potesta Steuerberatung AG ihren Sitz und betreibt über eine Tochtergesellschaft den Anonymisierungsdienst Ivacy. Ivacy ermöglicht die VPN-Einwahl bei drei Servern in Großbritannien, USA und Russland. Zu allen Servern kann man sich per PPTP einwählen, zum russischen auch per OpenVPN und IPSec, wobei Letzteres im Test öfter nicht stabil funktionierte. Für PPTP und IPSec-Verbindungen kann optional der für Windows, Mac und Linux verfügbare Client verwendet werden, der auch so eingestellt werden kann, dass im Fall eines Verbindungsabbruchs keine Verbindungen am VPN-Tunnel vorbeilaufen. Port 25 ist gesperrt, 465 (SMTP über SSL) jedoch nicht; für zahlende Nutzer fällt die Sperre weg. An Daten speichert Ivacy nach eigenen Angaben nur Benutzerkennung und nur im Fall eines Volumentarifs die Gesamtsumme des im Abrechnungszeitraum vom Nutzer verbrauchten Datenvolumens; Verbindungsdaten wie insbesondere IP-Adressen werden laut Ivacy nicht gespeichert. Auf eine Schweizer Verpflichtung zur Vorratsdatenspeicherung angesprochen, hieß es, sobald eine Behörde Ivacy zur Vorratsdatenspeicherung verpflichten wolle, werde die Betreibergesellschaft das Sitzland wechseln; an genehmen Ländern habe die Steuerberatung eine ganze Reihe zur Auswahl. Alle Nutzer eines Servers surfen unter derselben externen IP-Adresse.

Im Geschwindigkeitstest über PPTP schnitten die Server unterschiedlich ab: am besten der britische Server mit 2.000-4.000 KBit/s im Down- und 600 KBit/s im Upstream bei einer Pingzeit von etwa 110 ms, am schlechtesten mit nur etwa halb so guten Werten der amerikanische. Ein Radiostream mit 256 KBit/s lief aber stets flüssig. Neben Port-Forwarding bietet Ivacy auch kostenlosen Usenet-Zugang. Optional bietet Ivacy außerdem ein Firefox-Plugin an, mit dem auch auf solchen Rechnern über Ivacy gesurft werden kann, auf denen kein Client installiert werden kann oder wo eine Firewall VPN-Verbindungen verhindert; leider kam hier im Test keine Verbindung zustande. Zum Schnuppern bietet Ivacy kostenlose Testaccounts mit 100 MB Datenvolumen an. Bei der Anmeldung zeigt Ivacy beispielhaft, welche Kundendaten wirklich zur Bereitstellung eines VPN-Diensts erforderlich sind: Benutzername und Passwort – mehr nicht. Zahlenden Nutzern offeriert Ivacy 3 Tarife: 1 Monat Flatrate für 10 €, 3 Monate Flatrate für 25 € und für Wenignutzer 0,50 € pro GB ohne Verfall. Das Unternehmen betont, dass es echte Flatrates anbiete und Vielnutzer nicht diskriminiere. Bezahlt werden kann mit Paypal, Kreditkarte oder Ukash. Der Kundenservice reagierte mit unterschiedlicher Geschwindigkeit, aber freundlich und aufgeschlossen. Aktuell denkt der Anbieter über den Aufbau eines SIP-Servers nach, über den anonyme Voice-over-IP-Telefonie möglich sein soll.

8. Linkideo

Im preislichen Spitzenfeld liegt der Anonymisierungsdienst Linkideo. Sitz Linkideos ist die Insel Jersey, die nicht EU-Mitglied ist. Im Rahmen eines unbefristeten Sonderangebots bietet Linkideo einen VPN-Zugang mit echter Flatrate für nur 2 € Monatspreis an. Obwohl nur der kleinste Tarif mit nominellem Geschwindigkeitslimit von 512 KBit/s gebucht und bezahlt wurde, wurde offenbar der unlimitierte größte Tarif freigeschaltet, in dem zwischen 2.000 und 3.000 KBit (tagsüber weniger) im Down- und 800 KBit im Upstream bei einer Pingzeit von 70 ms erreicht wurden. Andere Kunden berichteten dasselbe. Auf die Speicherung personenbezogener Daten angesprochen erklärte Linkideo, es würden bei der Nutzung keinerlei Logdaten, insbesondere keine IP-Adressen gespeichert. Allerdings würden die Bezahl-Dienstleister und Linkideo die Zahlungsdaten speichern und eine Verknüpfung zwischen Benutzername und Bezahldaten sei technisch denkbar.

Linkideos drei nutzbare Server in den Niederlanden, Großbritannien (uk.linkideo.com) und den USA (usa.linkideo.com) warte der Anbieter selbst. Alle Nutzer eines Servers seien unter derselben externen IP-Adresse unterwegs. Portsperren, insbesondere auf 25 und 465, konnten im Test nicht festgestellt werden, allerdings neigte der niederländische Server im Test an manchen Tagen zu Verbindungsabbrüchen. Im größten (und bezahlten) Tarif für 10 € monatlich bietet der Anbieter neben auch offiziell unbegrenzter Geschwindigkeit Port-Forwarding an. Zur Zeit bietet Linkideo nur Zugang per PPTP, also dem in Windows eingebauten VPN-Standard an. Bei entsprechender Nachfrage stehe man aber OpenVPN ebenso aufgeschlossen über wie datenschutzfreundlicheren Bezahlmöglichkeiten. Einstweilen kann nur über den kanadischen Zahlungsdienstleister Alertpay bezahlt werden, der Zahlung per Kreditkarte und wohl auch Überweisung auf EU-Konten anbietet. Beim kleinsten Tarif steht außerdem die Bezahlung per Anruf bei internationalen Premiumnummern einschließlich deutschen 0900-Nummern zur Verfügung, was im Test gelang, und was beispielsweise auch von einer anonymen Prepaidkarte aus denkbar wäre. Eine kostenlose Testnutzung ist nicht vorgesehen. Die Suche nach ungesperrten Wegwerfadressen für die Anmeldung erspart der Anbieter dem Kunden. Der Support reagierte teilweise träge, aber freundlich und fachkundig.

9. Xerobank; ShadowVPN

Ein 18-stufiges Anonymisierungskonzept verfolgt das von Xerobank genutzte Netzwerk des gleichnamigen in Panama ansässigen Anonymisierungsspezialisten. Kunden stehen dafür Server in insgesamt 28 Ländern zur Verfügung. Mehrfache gleichzeitige Nutzung eines Zugangs ist erlaubt, allerdings ist der monatliche Traffic auf 75 GB limitiert. Auf Anfrage wird auf echte Flatrate umgeschaltet, woraufhin aber keine gleichzeitigen Mehrfacheinwahlen mehr möglich sind. Jede Verbindung passiert 3 der Server, von denen sich bei jeder Verbindung mindestens 2 in verschiedenen Staaten und mindestens 1 außerhalb der EU befinden. Die Route kann je nach Port oder anderen Kriterien ähnlich wie bei Tor auch verbindungsimmanent unterschiedlich sein. Alle Server kommunizieren untereinander komprimiert und verschlüsselt, dabei werden teilweise nach dem Zufallsprinzip Verbindungen in andere zusammengefasst, um Überwacher in die Irre zu führen. Die IP-Adressen werden intern mehrfach ausgetauscht, wobei kein Server alle Tauschschlüssel kennt. Zum Schutz der Nutzer werden nur mit OpenVPN oder IPSec verschlüsselte Einwahlen akzeptiert. Um Analysen von Zeit oder verschlüsselten Daten zu erschweren, generiert jeder Server auch künstlichen Datenverkehr und sendet mit zufälliger Verzögerung. Letzteres ist im Produkt Onyx (siehe unten) auch vom Kundenrechner aus möglich, der zudem wie auch die Server Paketgrößen zufällig ändern kann, um Lauschern auch hier keine Angriffsfläche zu bieten. Kunden surfen unter denselben IP-Adressen, wobei externe IP-Adressen teils auch bei laufender Session transparent ausgetauscht werden. Alle beteiligten Datenträger seien datei- und partitionsweise verschlüsselt, so der Betreiber. Servermanipulationen lösten stufenweise eine Software- bis Hardware-Selbstzerstörung aus. Entscheidungen und Zugriffsmöglichkeiten seien auch unternehmensintern vertraglich dezentral verteilt, um ungute Machtansammlungen zu vermeiden. Weitere Anonymisierungsvorrichtungen erklärt der Anbieter in einem Whitepaper. Ferner erhalten alle Xerobank-Kunden eine ausschließlich über IMAPs/SMTPs nutzbare Xerobank.net-E-Mail-Adresse, die nicht nur keine Logdaten speichert, sondern auch bei ausgehenden E-Mails die Original-IP-Adresse entfernt, ohne den Nutzer mit Mengenlimitierungen zu gängeln. Als weiteres Feature bietet Xerobank hoch entwickelte Antizensurmaßnahmen zur Umgehung von Internetprovider- oder Firewall-Sperren, wie sie längst auch in Deutschland zur Anwendung kommen und ausgeweitet werden sollen. Xerobanks Einwahlserver akzeptieren TCP- und UDP-Verbindungen auf allen Ports einschließlich 80, der für gewöhnliche WWW-Seiten genutzt wird, so dass praktisch jegliche Internetverbindung gesperrt werden müsste, um Xerobank auszusperren. Für den Fall, dass gezielt Xerobanks Server gesperrt werden, aktiviert Xerobank auf Wunsch individuelle Relayserver zur Tarnung, die Verbindungen entgegennehmen und an den Xerobank-Einwahlpunkt weiterreichen. Dabei lässt sich der Verkehr dorthin beispielsweise als HTTPs-Verbindung tarnen, wobei Xerobank zum Schein auch tatsächlich eine HTTPs-Seite aufsetzen kann. Sogar die Möglichkeit, dass Zensoren schlicht jegliche verschlüsselte Kommunikation unterbinden, unterläuft Xerobank, indem mit Covert channel communication eine Form der Steganografie angewendet wird. Das bedeutet, dass überhaupt die Existenz einer Verbindung zu Xerobank und damit erst recht deren Verschlüsselung nicht ohne Weiteres nachweisbar ist.

Logdaten speichert Xerobank über das Sessionende hinaus nicht, lediglich das tägliche Datenvolumen wird für 7 Tage gespeichert. Dabei kann man sich darüber streiten, ob diese Daten überhaupt datenschutzrechtlich relevant sind, weil sie lediglich mit einer unpersonalisierten Kundenkennung verbunden gespeichert werden, die auch nicht ohne Weiteres auf die Person zurückgerechnet werden kann, so dass die Daten als mehr oder minder anonymisiert gelten dürften. Laut Xerobank kann jeder Accountinhaber auf Anfrage auf einen Modus umstellen, bei dem überhaupt keine Logdaten aufgezeichnet werden, allerdings liefen die Daten dann nur über einen Server mit entspechend geringerer Anonymisierungsleistung. Auf Behördenanordnungen aus anderen Ländern, insbesondere den USA und Großbritannien reagiere Xerobank grundsätzlich nicht. Keine der seit der Gründung anno 2004 360 eingegangenen internationalen Verfügungen und Gerichtsentscheidungen habe irgendeine Wirkung gezeitigt. Für die Anonymisierung von bei der Zahlung anfallende und sonstige Kundenbestandsdaten vor sich selbst habe Xerobank eine Schweizer Bank unter Vertrag genommen, die für jeden Kunden ein anonymes Nummernkonto einrichte, unter dem Xerobank seine Kundenkonten ausschließlich führe. Im Test wurden Verbindungen über den downloadbaren Client OpenVPN aufgebaut, was unproblematisch funktionierte. Allerdings zeigte sich, dass die Serienschaltung der Server und sonstigen Finessen des Betreibers ihren Tribut von der Leistung fordern: Die Geschwindigkeit betrug nur etwas über 300 KBit/s im Down- und etwas über 200 KBit im Upstream bei Pingzeiten von über 300 ms. Es wurden alle Verbindungen und Ports erfasst und auch beim Mailversand zeigten sich keine Probleme. Leider wird nur Kreditkartenzahlung angeboten. Xerobank äußert, man akzeptiere nach Absprache auch Bargeldversand, wobei es aber aber an eine Adresse in den USA geschickt werden müsse.

Wem Geschwindigkeit und Preis wichtiger als Anonymität sind, dem bietet das Unternehmen alternativ das Produkt ShadowVPN an. Hierbei sind keine gleichzeitigen Mehrfach-Logins möglich und der monatliche Traffic ist auf 10 GB limitiert. Der Zugang erfolgt ebenfalls über OpenVPN. Die Geschwindigkeit dieses abgespeckten Produkts betrug im Test immerhin um 1.000 KBit/s im Down- und 200 KBit/s im Upstream bei einer Pingzeit von 160 ms. Die Serverkaskadierung und die sich daraus ergebenden Vorteile entfallen, im Übrigen kommt dieselbe Infrastruktur zum Einsatz (derzeit nur ein Einwahlserver in den Niederlanden). Alle Kunden surfen über dieselbe gemeinsame externe IP-Adresse, Portweiterleitungen werden absichtlich nicht angeboten, weil Xerobank sie für ein Anonymitätsrisiko hält.

Xerobank ist inklusive geschütztem Onlinespeicherplatz für stattliche 35 US$ monatlich erhältlich, ein Testaccount wird für 1 US$ angeboten. Die „Light“-Variante ShadowVPN (vorkonfigurierter Client erhältlich für Windows, Mac und Linux) ist für 10 US$ monatlich erhältlich. Vor allem Geschäftskunden und Regierungen bietet das Unternehmen ferner das hier nicht getestete Produkt „Onyx“ an, dass sich durch noch mehr Anonymisierungsmaßnahmen als Xerobank, höhere Geschwindigkeit, einen Side-channel-Angriffe gezielt abwehrenden Hardwarerouter sowie je nach Traffic 4- (180 GB) bis 7-stellige Monatspreise (150 TB) auszeichnet. Onyx könne es hinsichtlich des Anonymisierungsgrads selbst mit Nachrichtendiensten aufnehmen, glaubt der Anbieter. Nachdem Onyx leider auch das Interesse terroristischer Organisationen geweckt habe, verkaufe man Onyx nur noch an ausgewählte Kunden. Bezahlt werden können alle Produkte mit Kreditkarte und bei Jahresabonnements nach Absprache auch per Bargeldversand. Der Support antwortete schnell, freundlich, fachkundig und in erfrischend richtigem Englisch. Teammitglied und Kryptologe Steve Topletz war Mitentwickler des Anonymisierungsprodukts Torpark, sein Kollege Kyle Williams entwickelte die Anonymisierungssoftware JanusVM und ist zertifizierter Cisco-Partner; mit von der Partie ist auch Verfassungsrechtler und Programmierer Michael Badnarik, der 2006 Präsidentschaftskandidat der Libertarian Party war. Für 2009 plant das Unternehmen, starker Ende-zu-Ende-Echtzeitverschlüsselung für Mobilfunktelefone und anonyme und verschlüsselte VoIP-Dienste mit starker Verschlüsselung mit Anbindung an das öffentliche Telefonnetz auf den Markt zu bringen. Außerdem laufen Betatests anonymer und verschlüsselter Jabber-Server.

10. Swiss VPN

Nicht primär als Anonymisierungsdienst, sondern vor allem als Schutz in ungeschützten Umgebungen wie offenen WLANs versteht sich der Schweizer Dienst Swiss VPN. Verkehrsdaten und IP-Adressen werden 6 Monate lang auf Vorrat gespeichert und nach Schweizer Recht an dortige Behörden herausgegeben. Der Dienst basiert auf mehreren in der Schweiz untergebrachten Servern und die Nutzer erhalten Schweizer IP-Adressen. Unterstützt werden nur PPTP ohne eigenen Client und das eher exotische EAP-TTLS; die Unsicherheit der PPTP-Verschlüsselung will Swiss VPN dadurch ausgleichen, dass den Kunden sichere, unveränderliche Passwörter zugeteilt werden. Eine anbieterseitige Serverkaskadierung findet nicht statt. Swiss VPN ist nicht auf bestimmte Protokolle beschränkt und es werden keine Mail-Ports gesperrt. Da der Anbieter keinen kostenlosen Testaccount zur Verfügung stellen wollte, wurde auf einen Geschwindigkeitstest verzichtet. Zwar werden für die Anmeldung selbst überhaupt keine Bestandsdaten wie Benutzerkennung, Passwort oder E-Mail-Adresse abgefragt, jedoch ist Zahlung nur per Kreditkarte und Paypal möglich. Nach Anbieterauskunft können diese Daten auch mit Vorratsdaten zusammengeführt werden. Die Kosten betragen 5 US$ monatlich, wobei der Kunde seine Vertragslaufzeit von 1-12 Monaten selbst festlegen kann. Der Support reagierte rasch und leidlich freundlich.

11. Safersurf Anonympaket

Das Safersurf Anonympaket arbeitet offenbar als Proxy, der in die Browser eingetragen werden kann, aber nicht muss. Es zeigte sich, dass sich Safersurf daher auch nicht mit bereits vorhandenen Proxys zur Werbefilterung verträgt. Im Test ersetzte Safersurf die IP-Adresse nach außen hin durch eine eigene und entfernte Betriebssystem und Referrer aus den übermittelten Daten. Nach Herstellerangaben werden außerdem Trackingdaten von Google, Doubleclick, IVW und anderen entfernt, die zur Erstellung von Benutzerprofilen verwendet werden können. Obwohl der HTTP- und E-Mail-Proxy grundsätzlich alle Ports erfassen soll und keine gesperrt oder gedrosselt werden sollen, erfolgte bei Empfang und Versand von E-Mails über POP3 und SMTP (z.B. Thunderbird, Outlook) keine Anonymisierung. Laut Beschreibung soll der anonyme E-Mail-Versand wohl so funktionieren, dass E-Mails über einen Mailserver von Safersurf versendet werden, der daraufhin die Absenderadresse durch eine solche ersetzt, die Antworten 10 Tage lang an den Absender zurückleitet und spätere Antworten zurückweist. Auch Emule wurde nicht anonymisiert, so dass die Anonymisierung letztlich offenbar nur HTTP-Verkehr sowie über Safersurf gesendete E-Mails erfasst.

Die gemessene Web-Geschwindigkeit lag bei 1.000-2.000 KBit/s im Down- und 300 KBit/s im Upstream. Die Pingzeit betrug meist über 300 ms. Der nach eigenen Angaben 10 deutsche Server betreibende Anbieter aus Leipzig speichert gemäß der Vorratsdatenspeicherung IP-Adressen und Zeit. Statische Benutzernamen wie bei Cyberghost VPN werden nicht gespeichert. Das getestete „Anonympaket“ kostet 5,90 € monatlich bei einer Mindestlaufzeit von 3 Monaten, die der Kunde per Lastschrift oder Kreditkarte begleichen kann. Der Service antwortete schnell und freundlich. Meldungen wie diese oder der bizarre Formen annehmende Krieg gegen den Heise-Zeitschriftenverlag lassen den Nutzer allerdings etwas ratlos hinsichtlich der Seriosität des Anbieters zurück.

12. Witopia Personal VPN

Der VPN-Anbieter Witopia aus Virginia sieht sein Angebot vor allem als Schutz in ungesicherten WLANs. Der Kunde kann sich über PPTP oder OpenVPN einwählen. Verbindungsdaten einschließlich IP-Adressen werden für 1 Woche auf Vorrat gespeichert, eine Herausgabe erfolgt nach US-amerikanischem Recht. Mehrere Nutzer teilen sich eine öffentliche IP-Adresse. Die Daten der Nutzer laufen über zwei Server in Kalifornien und Nordvirginia, wobei die Standorte nach Geschwindigkeit der Anbindung ausgewählt wurden. Eine Sperrung bestimmter Ports findet laut Anbieter nicht statt. Eine Bestellung erfordert die Angabe einer vollständigen Post- und E-Mail-Adresse. Kurioserweise werden dabei Wegwerf-, nicht aber Hotmail-Adressen akzeptiert. Eine Zusammenführung der auf Vorrat gespeicherten Verkehrsdaten mit Zahlungsdaten ist möglich. Wegen technischer Schwierigkeiten, die aber nicht notwendig beim Anbieter liegen müssen, konnte ein Test leider nicht erfolgreich durchgeführt werden. Der Preis beträgt 40 US$ für eine Jahresflatrate. Akzeptierte Zahlungsmethoden sind Paypal und Kreditkarte. Der Support reagierte schnell und freundlich.

Ergänzung vom 2009-08-11: Seit einiger Zeit sperrt Witopia eine unbestimmte Zahl von Bit-Torrent-Indexsites, darunter Pirate Bay und Isohunt. Auf Nachfrage räumte Witopia das Verhalten ein und gab als Grund den hohen Aufwand von Copyright-Verfahren an, weil viele Dateien als Honeypot von Behörden dienten.

13. Trackbuster

Ausschließlich auf den Zugangsstandard OpenVPN setzt der deutsche Anonymisierungsanbieter Trackbuster. Als vorratsspeicherpflichtiges Unternehmen speichert Trackbuster die Original- und die ausgewechselte IP-Adresse sowie Start- und Endzeitpunkt der Verbindung. Immerhin werden keine Benutzerkennungen wie bei Cyberghost VPN gespeichert, die eine Einkreisung in Frage kommender Original-IP-Adressen erleichtern könnten. Auch ist es nach Anbieterangaben nicht möglich, Verkehrs- mit Zahlungsdaten zusammenzuführen. Gleichwohl ist der Anonymisierungsgrad auf Grund der Vorratsdatenspeicherung zwangsläufig geringer. Das Unternehmen beteiligt sich an der Verfassungsbeschwerde gegen die Vorratsdatenspeicherung des Arbeitskreises Vorratsdatenspeicherung. Alle maßgeblichen Server, die sich nach Anbieterangabe ausschließlich in Deutschland befinden, werden vom Anbieter selbst gewartet. Die Serienschaltung mehrer Server ist nicht vorgesehen. Der Dienst ist nicht auf HTTP-Verkehr beschränkt und es werden auch keine Ports gesperrt, was im Test bestätigt werden konnte. Weiter wurden im Test angenehme Geschwindigkeiten von gut 3.000 KBit im Down- und 800 KBit/s im Upstream bei erfreulichen Pingzeiten um 70 ms gemessen. Die zugewiesene IP-Adresse stammte aus Deutschland, wo nach Angaben des Anbieters sämtliche Server stehen. Für seine Dienste berechnet das Unternehmen monatlich 5 € ohne Zeit- oder Volumenbegrenzung. Pflichtangaben bei der Anmeldung sind nur Benutzername und Passwort, optional eine E-Mail-Adresse. Positiv ist, dass der Kunde seine Vertragslaufzeit monatsgenau (1-12) selbst auswählen kann. Als Zahlungsmittel werden Banküberweisung und Paypal akzeptiert. Der Service antwortete schnell und freundlich.

Ergänzung vom 2009-07-26: Seit mehreren Wochen hat Trackbuster einer Bestätigung von Geschäftsführer Stefan Mocken zufolge jegliche Vorratsdatenspeicherung eingestellt, weil Trackbuster diese für rechtswidrig halte.

14. Your Freedom

Eher als Ausweg gegen sperrende und zensierende Netzanbieter sieht sich der Anbieter Your-freedom. Als in Deutschland ansässiger Anbieter werden die vorgeschriebenen Verbindungsdaten auf Vorrat gespeichert, wobei alle Nutzer eines Servers unter gleicher externer IP-Adresse surfen. Derzeit betreibt der Anbieter weltweit 21 Server in Deutschland, Frankreich, Großbritannien, den USA, Kanada, in Kürze auch in der Schweiz und in Singapur. Auf jedem Server hielten sich Nutzer in dreistelliger Zahl auf. Die Standorte und Anbindungen wurden auf Geschwindigkeit optimiert. Eine Kaskadierung der Server ist nicht vorgesehen. Die Nutzung erfolgt über einen proprietären Client mit eigener, zugegeben schwacher Verschlüsselung ähnlich WEP; OpenVPN ist möglich, setzt aber auch den proprietären Client voraus. Neben der Vorratsdatenspeicherung blockiert der Anbieter eine ganze Reihe von Ports, namentlich 37, 135, 137-139, 161 und 162 UDP sowie 37, 135, 139, 445, 6667 und 8080 TCP. Gesperrt ist auf den US-Servern ferner Filesharing und allgemein IRC. Hinsichtlich E-Mails sperrt der Anbieter Port 465; E-Mails auf Port 25 (unverschlüsselt) werden vom anbietereigenen Server auf Viren und Spam hin überprüft, außerdem die Empfängerzahl begrenzt und die E-Mails werden gegebenenfalls ausgebremst. Bei der Anmeldung wird neben Benutzername und Passwort eine E-Mail-Adresse abgefragt und überprüft, für die Wegwerfadressen verwendet werden können. Je nach Bandbreite verlangt der Anbieter für eine Flatrate ein Monatsentgelt zwischen 0 und 20 €, wobei zwischen verschiedenen Laufzeiten zwischen 1 und 12 Monaten gewählt werden kann. Als Zahlungsmittel bietet der Anbieter vor allem Kreditkarte, Paypal und Liberty Reserve, aber auch Ukash an. Auch hier reagierte der Service schnell und freundlich.

15. Surfonym Premium

Surfonym Premium heißt das VPN-Angebot des Hosters Freak Internet Services Ltd. mit Sitz in Österreich. Gespeichert werden keinerlei Verbindungsdaten wie IP-Adressen, Verbindungszeiten oder Benutzernamen. Im Geschwindigkeitstest wurden etwa 4.000 KBit/s um Down- und 700 KBit/s im Upstream bei einer Pingzeit um die 100 ms erreicht. Portsperren gibt es nicht, auch nicht auf Port 25 oder 465. Alle Benutzer der 5 in Wien stehenden Server sind unter derselben IP-Adresse unterwegs. Port-Forwarding wird zwar nicht angeboten, allerdings kann der Kunde – ein Alleinstellungsmerkmal Surfonyms – durch Anhängen des Suffixes „@ext.surfonym.com“ an den Benutzernamen eine individuelle IP-Adresse erhalten und ist unter dieser aus dem Internet auf allen Ports erreichbar, wobei dieses Feature nur bei PPTP funktioniert. Neben PPTP (vpn.surfonym.com) werden neben einem Web-Proxy auch OpenVPN sowie Socks 5 mit optionaler SSH-Verschlüsselung unterstützt. Socks bietet die Möglichkeit, gezielt bestimmte Programme zu anonymisieren; so könnte es beispielsweise sinnvoll sein, die Tauschbörse zu anonymisieren, das Telefonieprogramm aber wegen des Zeitversatzes auszunehmen. Da Socks selbst keine Verschlüsselung beinhaltet, empfiehlt sich eine SSH-Verschlüsselung, die beispielsweise mit dem von Surfonym bereitgestellten und erfolgreich getesteten kostenlosen Programm Bitvise Tunnelier möglich ist. Leider kam es im mehrtägigen Test sowohl mit PPTP und OpenVPN als auch mit Socks zu nicht ganz seltenen abgebrochenen oder eingeschlafenen Verbindungen.

Zahlungsdaten wie Kreditkarteninformationen werden zwar nicht beim Anbieter gespeichert, vom Benutzernamen könnte aber eine Verbindung zu den Zahlungsdaten hergestellt werden. Bei der Anmeldung verlangt Surfonym nur Name und E-Mail-Adresse, wofür eine Wegwerfadresse im Test funktionierte. Für den Fall, unter die Vorratsspeicherpflicht zu fallen, plant der Anbieter einen Abzug aus der EU. Die Kosten für das hier beschriebene Produkt Surfonym Premium betragen verbrauchsunabhängig 10 €. Wer sich mit verschlüsselten HTTP- und Socks-Proxys begnügt, zahlt im Member-Tarif sogar nur 5 €. Ganz kostenlos, allerdings mit Werbung versehen ist schließlich der Free-Tarif mit einem unverschlüsselten, supportlosen Web-HTTP-Proxy, der immerhin optional den Referrer und fremde Cookies entfernen sowie die URL verschlüsselt übertragen kann. Im Test funktionierte das kostenlose Angebot nicht. Bezahlt werden kann nur mit Paypal und Egold, bei mehreren Monaten Vorauszahlung nach Absprache auch anders. Erfolgreich getestet wurde Bargeldversand an eine Wiener Adresse. Der Service antwortete kurz angebunden, aber freundlich und zeitnah.

16. BananaVPN

IP-Adressen, Verbindungszeiten und Datenvolumina für die Dauer eines Monats speichert der zyprische VPN-Anbieter BananaVPN. Dabei sieht sich der Anbieter nicht primär als Anonymisierer, sondern will wohl die IP-Adressen auswechseln, so dass in einigen Ländern gesperrte Internetseiten wie Online-Casinos und ähnliches betreten werden können. Nutzern eines Servers wird dieselbe externe IP-Adresse zugewiesen. Serverkaskadierung wird nicht unterstützt. Der Anbieter räumt ein, schon auf Polizeianfrage alle gewünschten Daten herauszugeben. Das bei BananaVPN bevorzugte Einwahlprotokoll ist PPTP, laut Website auch IPSec. Es ist auch möglich, Verkehrsdaten mit Zahlungsdaten in Verbindung zu bringen. Blockiert sollen lediglich einige ungenannte P2P-Ports sein. Einen kostenlosen Testaccount gewährte der Anbieter nicht, weswegen auf einen Test verzichtet wurde. Nennenswert mag noch sein, dass der Anbieter Server und IP-Adressen in Großbritannien (15 US$ monatlich), den USA und in Deutschland (jeweils 20 US$ pro Monat) anbietet. Für 25 € wird außerdem ein separater US-Server mit eigener dynamischer IP-Adresse angeboten, der vor allem für eine reibungsfreie VoIP-Erreichbarkeit vorgesehen ist. Etwas „Banane“ ist leider auch der Datenschutz bei der Anmeldung, bei der Name, E-Mail- und Postadresse und auch noch die Telefonnummer abgefragt werden. Als Zahlungsmittel stehen nur Kreditkarten zur Verfügung. Eine kostenlose Testnutzung für Kunden ist nicht vorgesehen, in den ersten 3 Tagen will der Anbieter aber bei Unzufriedenheit den vollen Preis zurückerstatten. Auf Anfragen wurde schnell, etwas missmutig und mit mittelmäßiger Sachkunde geantwortet.

17. VPN Out

Einer der wenigen ansatzweise datenschutzfreundlichen US-amerikanischen VPN-Anbieter ist VPN Out. Der Zugang erfolgt ausschließlich über den Standard OpenVPN, also verschlüsselt. Auch alle drei Server des Anbieters mit Standort USA, die vom eigenem Personal gewartet werden, sind verschlüsselt. Es werden jeweils einen Monat lang Logdateien mit den Verbindungsinformationen aufgezeichnet, die sich auch auf allerdings frei wählbaren Benutzernamen beziehen. Nicht gespeichert werden Original-IP-Adressen der Nutzer, und allen Nutzern eines Servers wird dieselbe externe IP-Adresse zugewiesen. Bei der Anmeldung abgefragte Informationen sind Benutzername, Passwort, Name und E-Mail-Adresse, bei der auch Wegwerfadressen funktionierten. Der Anbieter ermutigte dazu, falsche Namen anzugeben. Er räumt ein, dass die geloggten Benutzernamen nachträglich mit personenbezogene Zahlungsdaten verbunden werden können, so dass sich das Nichtspeichern der Original-IP-Adressen unter Umständen als nutzlos erweist, weil eine Identifizierung über die Bezahldaten vorgenommen werden kann. VPN Out blockiert Port 25, nicht aber 465. Im Test zeigte der US-Server eine gute Geschwindigkeit von über 6.000 KBit/s im Down- und etwa 600 KBit/s im Upstream bei einer ebenfalls guten Pingzeit von nur 60 ms. Der Anbieter bietet 4 Tarife an, die von 15 GB über 3 Monate für 25 US$ bis hin zu 1 TB über 12 Monate für 100 US$ reichen. Die Bezahlung kann leider nur per Paypal erfolgen. Bei der Beantwortung der Fragen bewies der Betreiber große technische und rechtliche Kenntnisse.

18. Hideway

Mit „surfen ohne Vorratsdatenspeicherung“ wirbt der seit 2007 bestehende und in Österreich ansässige VPN-Anbieter Hideway. Das allerdings stimmt bei genauem Hinsehen nicht ganz. So werden zwar keine internen oder externen IP-Adressen oder sonstige Verbindungsinhalte gespeichert, wohl aber pro Verbindung der Benutzername, die Verbindungszeit und das übertragene Datenvolumen, wenn auch jeweils nur einen Tag lang. Daneben speichert der Anbieter für 7 Tage jeweils die Summe des täglichen Volumens und der Onlinezeit pro Benutzername. Unbefristet gespeichert werden die Stammdaten in Form von Name, Post- und E-Mail-Adresse; allerdings ist eine Anmeldung auch unter Angabe nur einer E-Mail-Adresse möglich, wenn man per Vorabüberweisung oder Anruf einer deutschen, österreichischen oder schweizerischen Premiumnummer zahlt. Letzteres funktionierte im Test unter Verwendung einer Wegwerfadresse einwandfrei. Im Übrigen werden Zahlungen per Lastschrift auch von deutschen Konten, Kreditkarte, Giropay, dem österreichischen EPS und Paybox sowie Paypal akzeptiert. Nur beim 0900-Anruf und bei Giropay werden die Zahlungsdaten nicht bei Hideway gespeichert; eine Rückverfolgung der Benutzernamen zu den Zahlungsdaten bleibt in jedem Fall denkbar. Der Anbieter gibt an, bisherige Behördenanfragen auf Herausgabe von Nutzerdaten seien erfolgreich abgewehrt worden.

Alle Kunden sind über denselben Server in Österreich unter derselben österreichischen IP-Adresse im Netz, Port-Forwarding wird nicht angeboten. Eine anbieterseitige Serverkaskadierung ist nicht vorgesehen. Für den Fall einer gesetzlichen Vorratsspeicherpflicht plant der Anbieter schon jetzt eine Verlegung ins Ausland. Eine Verbindung zum Dienst ist ausschließlich via OpenVPN möglich, das für Windows vorkonfiguriert zum Download bereitsteht; Benutzer andere Betriebssysteme können ebenfalls OpenVPN verwenden und die Hideway-Konfigurationsdateien herunterladen. Im Test erfolgte die Freischaltung schnell und es wurden gute Geschwindigkeiten von etwa 3.500 KBit/s im Down- und 700 KBit/s im Upstream bei einer Pingzeit von knapp 80 ms erreicht. E-Mails können via Port 25 verschickt werden, durchlaufen dort allerdings einen Proxyserver, der auf Spam prüft und die Zahl ausgehender E-Mails gegebenenfalls limitiert. Dabei fiel auf, dass der Proxyserver keine SMTP-Authentifizierung nach RFC 2554 unterstützt. Das heißt in der Praxis, dass man vor jedem Mailversand erst E-Mails abrufen muss und der E-Mail-Provider diese Art der Authentifizierung unterstützen muss. Der SSL-verschlüsselte E-Mail-Versand auf Port 465 war gesperrt, ansonsten sollen keine Portsperren bestehen. Der Anbieter bietet optional Verträge mit automatischer Verlängerung (Abonnements) an, die auch etwas günstiger sind; die Laufzeit kann der Kunde mit 1, 3 oder 6 Monaten selbst wählen. Dabei stehen monatliche Volumenkontingente von wahlweise 10, 50 oder 120 GB zur Verfügung, Flatrates werden nicht angeboten. Die monatlichen Nicht-Abonnementpreise bewegen sich zwischen 8 und 20 €. Auf Anfragen reagierte der Anbieter freundlich, fachkundig und auch am Wochenende zügig.

19. Hotspot VPN

Hotspot VPN heißt das Angebot der Wifi Consulting, Inc. Das in den USA ansässige Unternehmen bietet 2 Produkte: Hotspot VPN 1 wird als speziell zur sicheren Internetnutzung für Mobiltelefone deklariert, scheint aber ein gewöhnlicher PPTP-Zugang zu sein, gegen dessen Verwendung am PC weder Technisches noch die Allgemeinen Geschäftsbedingungen sprechen. Die Messdaten von etwa 1.400 KBit/s im Downstream, 300 KBit/s im Upstream und einer Pingzeit von 270 ms sind allerdings verbesserungsfähig. Eine Monatsflatrate kostet rund 9 US$, bei Jahresbuchung werden 2 Monatsgebühren erlassen. Es gibt auch 1-, 3- und 7-Tageszugänge zu allerdings wenig lohnenden Preisen. Der Tarif Hotspot VPN 2 ist speziell für die PC-Nutzung vorgesehen und setzt auf OpenVPN, das unter Windows als fertig konfiguriertes Paket heruntergeladen werden kann; Mac- und Linuxnutzer erhalten Dateien zur Selbstinstallation. Für alle Systeme werden aber gute Installationsanleitungen bereitgestellt, für Windows gibt es sogar eine Videoanleitung. Unterstützt werden hier Verschlüsselungen von wahlweise 128 Bit Blowfish, 192- oder 256 Bit AES, wobei mit stärkerer Verschlüsselung der Preis steigt und die Geschwindigkeit sinkt. Im Geschwindigkeitstest schnitt Hotspot VPN 2 kurioserweise mit relativ stark schwankenden 1.000 MBit/s im Down-, 180 KBit/s im Upstream und schlechten 380 ms Pingzeit schwächer ab als die Mobiltelefonvariante und der Verbindungsaufbau ließ mehrere Sekunden auf sich warten. Gelegentlich kam es dabei auch zu Fehlern, einmal schlief die Verbindung ein. Der Preis beträgt je nach Verschlüsselungsstärke zwischen rund 11 und 14 US$ pro Monat, auch hier mit Ermäßigungen bei Jahresverträgen.

Der Anbieter speichert IP-Adressen, Verbindungszeiten und Benutzernamen für 1 Woche, darüber hinausgehende Daten werden nicht gespeichert. Alle Benutzer der etwa 20 Server, die in den USA verteilt sind und die der Anbieter selbst wartet, sind unter derselben IP-Adresse im Internet. Individuelle IP-Adressen hat das Unternehmen genauso wenig im Angebot wie Port-Forwarding. Bei der Anmeldung werden Name, E-Mail-Adresse (Wegwerfadresse funktionierte) und Telefonnummer abgefragt. Die Server werden nicht kaskadiert. Die Frage, unter welchen Voraussetzungen der Anbieter Daten etwa an Behörden herausgeben würde, wusste der Support in Gestalt des „Presidents“ persönlich nicht zu beantworten. Der Anbieter behauptet, ein Zusammenhang zwischen Benutzername und Zahlungsdaten könne nicht hergestellt werden. Portsperren würden teilweise hinsichtlich trojanischer Pferde eingesetzt, im Test fielen bei sinnvollen Programmen keine Probleme einschließlich E-Mailabruf und -versand auf den Ports 25 und 465 auf. Bezahlt werden kann nur mit Paypal oder Kreditkarte. Der Service antwortete rasch und freundlich, teilweise aber mit ein wenig ausbaubedürftiger Sachkunde.

20. Mad VPN

Wer seinen Datenschutz verschlimmbessern will, ist beim chinesischen Anbieter Mad VPN richtig. Der Anbieter vorratsspeichert Zeit, Original- und zugewiesene IP-Adresse und Benutzername gleich 2 Jahre. Auf einfache Anfrage jeglicher internationaler „Behörden und Geheimdienste“ gebe man alle Daten heraus. Der Anbieter machte auf Anfrage auch wenig Hoffnung, dass man dadurch Anonymität erreiche, dass mehrere Nutzer unter derselben externen IP-Adresse surften. Bevorzugt vergebe man nämlich individuelle IP-Adressen, so dass unter den auf Wunsch aber erhältlichen Sammel-IPs (Portweiterleitungen werden nicht angeboten) auch angesichts der vielen Server nicht immer viele Nutzer pro Server online seien. Der Anbieter bietet Server mit entsprechenden IPs aus den USA, Kanada, UK, Deutschland, Niederlanden, Italien, Spanien, Tschechien, Türkei und Japan zu verschiedenen Preisen. Auch die deutsche Polizei sei sehr engagiert beim Stellen von Anfragen auf Herausgabe von Nutzerdaten und IP-Adressen, gern auch ohne gerichtlichen Beschluss. Der Anbieter begründete seine laxe Handhabe damit, dass angeblich viele Betrüger aus anderen Ländern den Zugang nutzten, weil sie sich bei einem chinesischen Anbieter offenbar sicher wähnten. Darauf angesprochen, dass jedenfalls die zweijährige Vorratsdatenspeicherung des deutschen Servers gegen deutsches Recht (§ 113a, 3 Nr. 6 b TKG) verstoßen und zur Abschaltung führen könne, meinte Mad VPN, man fürchte um die Serververträge, wenn man nicht kooperiere, und wolle keinen Behördenärger.

Auf Grund angeblich gern missbrauchter Paypal-Accounts fordert der Anbieter von allen Paypal-Bezahlern Name, Adresse, E-Mail und Telefonnummer und rufe den Kunden dort auch zurück. Nur eine E-Mail-Adresse frage man bei Zahlung per Alertpay und Western Union ab. Es sei möglich, von Benutzernamen auf Zahlungsdaten zu schließen. Der Anbieter unterstützt nur PPTP, wobei die (ohnehin schwache) Verschlüsselung separat beantragt werden muss, angeblich senke sie die Geschwindigkeit. Port 25 ist gesperrt, IRC (Ports 6660-6670, 6679, 6697, 7000-7002, 9999) werde nur auf Wunsch freigeschaltet. Im Test stellte sich heraus, dass E-Mail-Abruf verschlüsselt und unverschlüsselt sowie SSL-verschlüsselter E-Mail-Versand immerhin funktionieren. Gesperrte Seiten gebe es nicht; in der Tat klappte das Aufrufen des letzten Chinaberichts von Amnesty International ohne Probleme. Wegen es relativ günstigen Preises (9 US$ für 1 Monat mit 5 GB) wurde der USA-Server getestet, dessen Leistung mit etwa 1.300 KBit/s im Downstream, 200 KBit/s im Upstream bei einer Pingzeit von 400 ms auch wegen starker Schwankungen wenig zu begeistern vermochte. Der Service war sehr freundlich, schnell, verständnisvoll, bewies Humor und bietet Support auch per Skype-Chat an.

21. VPN Accounts

„Die Vorratsdatenspeicherung ist ein großes Problem“, schreibt der zyprische Anbieter VPN Accounts und vorratsspeichert deshalb selbst Verbindungszeiten, Original- und zugewiesene IP-Adressen und Datenvolumen seiner Nutzer für 1 Monat. Der Anbieter stellt in Aussicht, demnächst seinen Sitz nach Mexiko verlagern zu wollen und dort möglicherweise weniger vorratszuspeichern. Der Anbieter bietet eine Vielzahl von Tarifen unter deutschen, britischen und US-amerikanischen Servern und IP-Adressen an; alle Nutzer eines Servers surfen gewöhnlich unter derselben IP-Adresse. Port-Forwarding wird nicht angeboten, auf Wunsch können aber Pakete mit individueller IP-Adresse gebucht werden. Der Monatspreis für eine Flatrate beginnt bei 15 US$. Gezahlt werden kann mit Paypal oder Kreditkarten über den Dienstleister Plimus.com, eine Verbindung zwischen Benutzernamen und Zahlungsdaten könne hergestellt werden. Immerhin besteht der Anbieter darauf, Daten nur bei gerichtlicher Anordnung herauszugeben. Als Einwahlmethoden werden PPTP und L2TP mit IPSec-Verschlüsselung unterstützt. Ports werden nicht gesperrt, was hinsichtlich aller Standard-E-Mail-Ports (110, 995, 25, 465) bestätigt werden konnte. Jedoch sind Filesharer laut Anbieter unerwünscht. Im Test konnte die IPSec-Verbindung über L2TP gar nicht hergestellt werden und über PPTP wurden über den US-Server mit Ach und Krach 1.000 KBit/s im Down- und 200 KBit/s im Upstream bei einer Pingzeit von 390 ms erreicht. Der Anbieter stellt Einrichtungsanleitungen für Windows und Mac bereit. Eine Serverkaskadierung findet nicht statt. Der Service antwortete freundlich, aber träge.

22. Tiggers Welt

Gute Messwerte, derzeit aber eine geringe Anonymisierungsleistungsleistung bietet der Stuttgarter VPN-Anbieter Tiggers Welt. Verbindungsdaten einschließlich IP-Adressen werden aktuell 1 Monat und Datenvolumina summenmäßig täglich gespeichert, der Anbieter arbeitet an der Umsetzung der Vorratsdatenspeicherung. Standardmäßig werden statische IP-Adressen vergeben. Das bedeutet, dass die vergebene IP-Adresse bei jeder Verbindung dieselbe ist, was sich für den Kunden wie eine unbefristete Vorratsdatenspeicherung auswirkt. Auf ausdrücklichen Wunsch bietet Tiggers Welt jedoch dynamische IP-Adressen an. Es surfen nicht mehrere Kunden unter derselben IP-Adresse, so dass die Identität des Nutzers eindeutig rückverfolgbar ist, andererseits Port-Forwarding sich erübrigt. Für die Zukunft hat der Anbieter verschiedene Anonymisierungskonzepte vor Augen, etwa das Leiten der Daten über ausgesuchte, fremde, unentgeltliche und deshalb speicherfreie TOR-Server oder wenigstens das Teilen einer IP-Adresse unser mehreren Nutzern (IP-Sharing). Schon jetzt bietet der Anbieter eine per Web-Interface steuerbare Firewall an, die insofern sinnvoll ist, als lokale Firewalls bei VPN-Zugängen teilweise umgangen werden und somit ihre Wirkung verlieren. Der Anbieter ist Eigentümer der verwendeten Infrastruktur, die Daten auf den Servern werden nicht verschlüsselt. Bei der Anmeldung werden Name, Adresse, E-Mail und Telefonnummer abgefragt, bezahlt werden kann per Rechnung und Lastschrift. Die eingegebenen Daten sollen plausibel sein; solange Rechnungen beglichen würden, fänden keine nähere Überprüfung statt. Im Übrigen behält sich der Anbieter vertraglich vor, Inkassobüros einzusetzen; ferner enthalten die AGB eine Schufa-Klausel, die laut Anbieter bisher aber keine Anwendung findet.

Der Dienst kann derzeit nur per OpenVPN verwendet werden, wobei kein vorkonfigurierter Client angeboten wird, sondern der Kunde sich die Konfigurationsdateien selbst im Mitgliederbereich des Anbieters downloaden und in das Config-Unterverzeichnis des Programms kopieren muss. Im Test funktionierte das. Der Server ist auf allen TCP- und UDP-Ports erreichbar, was ein Sperren des Zugangs durch restriktive Administratoren oder Provider erschwert. Im Test wurden deutsche IP-Adresse zugewiesen, die auf den Anbieter selbst registriert sind. Es wurden ca. 4.100 KBit/s im Downstream und etwa 950 KBit/s im Upstram bei einer guten Pingzeit von unter 70 ms erreicht. Dabei muss angemerkt werden, dass die Pingzeit schon des reinen, VPN-freien Internetanschlusses hier 60 ms beträgt und im Bereich um 950 KBit/s im Upstream auch das physische Ende der Fahnenstange des verwendeten Internetanschlusses erreicht ist. Es ist also gut möglich, dass Tiggers Welt an schnelleren Internetanschlüssen noch höhere Geschwindigkeiten bietet. Tiggers Welt sperrt keinerlei Ports, im Test wurden insbesondere keine Mail-Sperren festgestellt. Preislich bietet Tiggers Welt 2 Tarife: „Starter“ kostet 3 € pro Monat inklusive 1 GB Datenverkehr, ist aber an eine 6-monatige Mindestvertragslaufzeit gebunden. Der Tarif „Frequent flyer“ kostet 10 € pro Monat, beinhaltet 10 GB Datenverkehr und hat keine Mindestlaufzeit. Der Anbieter bietet auch maßgeschneiderte Produkte und machte einen innovativen, freundlichen Eindruck.

Ergänzung vom 2009-07-26:Tiggers Welt auf bietet nun auf Wunsch auch gemeinsam genutzte IP-Adressen (IP-Sharing) an. Das heißt, ein Nachvollziehen eines konkreten Nutzers ist trotz Vorratsdatenspeicherung nicht ohne Weiteres möglich.

23. Public VPN

Eine gar unbefristete Vorratsdatenspeicherung der Einwahlzeiten, Benutzernamen und IP-Adressen müssen Kunden des US-amerikanischen Providers Public VPN hinnehmen. Wählt man sich über den Verbindungsstandard L2TP mit IPSec-Verschlüsselung statt über PPTP ein, sollen zwar abweichend hiervon keine IP-Adressen gespeichert werden, im Test funktionierte diese Variante aber nicht. Der Anbieter wartet seine in den USA zu verortenden Server selbst und bietet auf seinen Internetseiten gute Einrichtungsanleitungen auch für Mac-Nutzer. Serverkaskadierung ist nicht Teil des Angebots. Alle Nutzer eines Servers surfen unter derselben IP-Adresse, Port-Forwarding ist nicht möglich. Bei der Anmeldung fordert der Anbieter immerhin nur E-Mail-Adresse, Benutzername und Passwort vom Kunden und bietet eine Benachrichtigungsoption bei niedrigem Guthaben. Diesen kleinen Vorteil der Datensparsamkeit macht Public VPN sogleich wieder zunichte, indem anschließend nur Zahlungen über die Ebay-Tochter Paypal akzeptiert werden, gegen deren Datenschutz-Policy Public VPNs unbefristete Vorratsdatenspeicherung von Verbindungsdaten nachgerade ein Volkszählungsurteil ist. Zutreffend wies der Anbieter von sich aus darauf hin, zum anonymen Surfen könne man sich nicht auf Public VPN verlassen. Wenig zu begeistern vermochte Public VPN im Geschwindigkeitstest: Schwankende 550 KBit/s wurden im Downstream, etwa 230 KBit/s im Upstream erreicht, dies alles bei einer Pingzeit von etwa 420 ms, so dass selbst mit DSL-1.000-Anschlüssen nur bedingt Freude aufkommen dürfte. Dafür ist der Preis niedrig: Eine Monatsflatrate schlägt mit 7 US$ zu Buche, bei Jahresbuchung werden 2 Monatspreise erlassen. Angeblich wird Port 25 (E-Mail-Versand) blockiert, ferner die Standardports für Bittorrent 6881-6889, wobei der Anbieter die Sinnlosigkeit dieses Unterfangens wegen verstellbarer Ports selbst erkannte. Überraschend konnten im Test allerdings keinerlei Sperren von E-Mail-Ports festgestellt werden. Als katastrophal erwies sich der Service, der erst nach 10 Tagen und mehreren Nachfragen Zeit für die Beantwortung einiger Fragen zu finden glaubte.

24. PRQ Tunnel

Seine eigenen Server in Schweden ohne jegliche Vorratsdatenspeicherung betreibt der schwedische Hoster und Anonymisierungsanbieter PRQ. Das Angebot ist zwar auch für Surfer nutzbar und es werden auch keinerlei Ports gesperrt, insbesondere keine für den Mailverkehr relevanten. Primär richtete sich das Angebot aber an Serverbetreiber, weswegen ausnahmslos statische IP-Adressen vergeben werden. Das heißt, die IP-Adresse ist individuell und bei jeder Verbindung gleich und wird bereits aus technischen Gründen zumindest bis zum Vertragsende gespeichert, weswegen eine Deanonymisierung der Kunden auch ohne Vorratsdatenspeicherung möglich ist. Zwar begnügt sich der Anbieter angeblich bei der Anmeldung mit einer E-Mail-Adresse und will die Anmeldedaten von sich aus auf Anfrage auch nur auf gerichtlichen Geschluss herausgeben, der in Schweden nur bei Verdacht einer Straftat mit 2-jähriger Mindestfreiheitsstrafe zu erlangen sei. Allerdings werden nur die nicht anonymen Zahlungsmethoden Paypal, Wire Transfer und Western Union unterstützt und eine Zusammenführung damit ist nach Angaben des Anbieter möglich. Verwendet wird ausschließlich die Zugangsmethode OpenVPN, wobei man sich die Konfigurationsdateien selbst aus einer E-Mail zusammenschreiben muss.

Im Test fiel negativ auf, dass nicht immer, aber zeitweise alle paar Minuten die VPN-Verbindung einschlief. Auch von der Geschwindigkeit von offiziell 10.000 KBit/s wurden hier nur knapp 4.000 im Downstream erreicht, im Upstream knapp 1.000, wobei bei Letzterem mein Testanschluss der Flaschenhals sein kann. Die Pingzeit von einem deutschen Strato-Server betrug 106 ms, wovon etwa 50 ms auf meinen Anschluss entfallen. Support-Anfragen wurden zügig beantwortet. Der Anbieter bietet ausschließlich Flatrates an, drosselt aber je nach Tarif die Geschwindigkeit. 512 KBit/s gibt es schon für 8 €/Monat, ein Zugang mit 10 MBit/s kostet 13 €/Monat, weitere Geschwindigkeiten und IP-Adressen stehen auf der Internetseite. Zum Thema Internetsperren äußerte sich der Anbieter dahin, dass er selbst betriebene DNS-Server verwende (also Domainsperren des eigenen Internetproviders unterlaufen werden können), irgendeine Form von DNS- oder IP-Sperren oder eine Speicherung von DNS-Anfragen finde nicht statt.

25. Torrent Freedom/Crypto Cloud

Speziell für Filesharer konzipiert, aber auch für andere Surfer potenziell interessant sind die amerikanischen Dienste Torrent Freedom und Crypto Cloud. Beide sind Schwestermarken, funktionell identisch und sollen zusammengeführt werden. Geschäftssitz des Unternehmens ist Kanada. Der Geschäftsführer, Douglas Spink, war nach einem Bericht des Seattle Post Intelligencer lokal als gescheiterter Geschäftsmann bekannt, bis er der Seattle Times zufolge 2005 vom Washington Western District Court zu einer dreijährigen Freiheitsstrafe wegen Kokainhandels verurteilt wurde. Derzeit promoviert er nach eigener Aussage an der University of Portland über anonyme Netzwerke. Eine Vorratsdatenspeicherung irgendwelcher Verbindungsdaten finde nicht statt, lediglich die Traffic-Summe wird gespeichert und im Kundenbereich angezeigt. Zur Zeit betreibt der Anbieter 3 Server in den Niederlanden, England und Chicago, wobei er die kompletten physischen Server angemietet und vollverschlüsselt hat. Die Accountdaten werden auf eigenständigen Servern gespeichert. Der Nutzer kann im Web-Kundenbereich von Torrent Freedom jeweils einstellen, welchen der Server er bei der nächsten Einwahl benutzen möchte. Alle Nutzer eines Servers teilen sich dieselbe IP-Adresse, so dass eine Zurückverfolgung eines konkreten Nutzers anhand der nach außen hin sichtbaren IP-Adresse im Nachhinein nicht ohne Weiteres möglich ist. Eine Verkettung mehrerer Server ist nicht möglich, so dass die Anonymisierung zumindest nicht geheimdienstefest erscheint. Zur Anmeldung wird nur eine funktionierende E-Mail-Adresse benötigt, leider sind zur Zahlung im Wesentlichen Kreditkarten und Paypal vorgesehen, auf Anfrage würden aber auch anonyme Methoden wie Bargeldversand akzeptiert. Obwohl der Anbieter dafür Sorge getroffen haben will, dass eine Rückverfolgung der Anmeldedaten über die Zahlungsdaten nicht möglich ist, gilt es zu bedenken, dass allein in Deutschland Bankumsätze 10 Jahre lang gespeichert werden, so dass per Rasterfahndung bei den Zahlungsstellen relativ schnell der Kreditkarten-Kundenstamm von Torrent Freedom aufgedeckt werden kann. Da Datenbanken erfahrungsgemäß ständig nach einer Weile zweckentfremdet und Ermittlungsbefugnisse ausgeweitet werden, erscheint es ratsam, nicht in solch einer Datenbank zu stehen. Beispielsweise fand eine Rasterfahndung der Kreditkartenumsatzdaten in Deutschland unter anderem im Rahmen der „Operation Mikado“ statt und führte zu zahlreichen Hausdurchsuchungen Betroffener, die sich später als unschuldig herausstellten. Erst recht ist der Datenschutz der eBay-Tochter Paypal indiskutabel, was der Betreiber sogar selbst zugibt; dass der Geldempfänger ein verurteilter Drogenhändler ist, dürfte nicht zur Unverdächtigkeit beitragen. Während der Benutzung von Torrent Freedom kann der Kunde seine Accountdaten immerhin jederzeit im Kundenbereich ändern, 10 Tage nach der Abmeldung werden alle Accountdaten gelöscht. Zur Benutzung des Diensts ist ein zum Download bereitstehender Client erforderlich, der auf OpenVPN aufbaut, letztlich aber doch wie bei Cyberghost VPN proprietär und damit potenziell unsicher ist, der Quellcode soll aber auf Wunsch herausgegeben werden. Clients für Linux und Mac seien vorhanden, aber noch nicht völlig ausgereift. Zeit und Datenvolumen würden nicht begrenzt, Sperren irgendwelcher Ports fänden nicht statt, die gängigen Mail-Ports waren im Test ungesperrt. Der Anbieter behauptet, sollte eine gerichtliche Überwachungsanordnung eintreffen, künftige Besucher bestimmter Seiten zu identifizieren (wie bei Jondos), werde er den Dienst schließen.

Beim Test des niederländischen Einwahlservers belief sich die Geschwindigkeit zu einem Berliner Strato-Server auf etwa 2.500 KBit/s im Downstream und etwa 700 KBit/s im Upstream mit erfreulicher Ping-Zeit von knapp 70 ms, von denen etwa 50 auf meinen Internetanschluss entfallen. Der Verbindungsaufbau dauerte mit teils 40 Sekunden recht lang und bisweilen war die Verbindung tot, was auf Überlastungen hindeutet. Beim britischen Einwahlserver erreichte ich Geschwindigkeiten von etwa 1.400 KBit/s im Downstream und 300 im Upstream bei einer Pingzeit von insgesamt 88 ms aus Berlin. 1.200 KBit/s im Downstream und 400 im Upstream bei einer Pingzeit von 280 ms aus Berlin wurden beim Server in Chicago erreicht. Ein einmonatiger Zugang kostet je nach Laufzeit zwischen 12 und 17 €, die im Voraus zu entrichten sind. Eine nette Idee ist, dass auf Anfrage Schüler-, Studenten- und Aktivistenrabatte gegeben werden, iranische Nutzer erhalten Gratiszugänge.

Der Schutz vor staatlichen Serversperren wie in Deutschland durch das Zugangserschwernisgesetz erscheint bei Torrent Freedom ausbaufähig. Zwar sperrt Torrent Freedom selbst keinerlei DNS-Einträge oder IP-Adressen, verlässt sich aber auf die DNS-Server seiner Hoster. Inwieweit die Hoster DNS-Eingaben speicherten, wisse man nicht, eine Zuordnung der Anfragen zu bestimmten Nutzern sei aber jedenfalls wegen des Anonymisierungsnetzwerks nicht möglich. Ein manueller Wechsel der verwendeten DNS-Server sei ohne größeren Aufwand nicht möglich.

26. Trilightzone VPN

Gleich eine ganze Palette von Anonymitätsprodukten bietet Trilightzone an: Dazu gehören unter anderem anonyme E-Mail-Accounts, „Offshore-Hosting“, die anonyme Registrierung von Domains, der Betrieb von DNS-Servern (im Zusammenhang mit der aufkommenden staatlichen DNS-Zensur interessant) und natürlich anonyme VPN-Internetzugänge. Alle Produkte sind nicht Teil eines Gesamtpakets, sondern werden separat berechnet. Hinter dem Anbieter Trilightzone stecken, ähnlich wie bei Perfect Privacy, mehrere internationale Privatpersonen; Kontaktdaten werden nicht preisgegeben, so dass ein Vertrauensrisiko bleibt. Einen Geschäftssitz gibt es nicht. Für sein VPN-Produkt betreibt der Anbieter zur Zeit insgesamt 23 physische und vollverschlüsselte Server in Deutschland, den Niederlanden, Luxemburg, Tschechien, Hong Kong und den USA. Es werden keinerlei Verbindungsdaten gespeichert, lediglich die Summe des verbrauchten Datenvolumens wird gespeichert. Allen Nutzern eines Servers wird dieselbe IP-Adresse zugewiesen, so dass man von außen nicht ohne Weiteres identifiziert werden kann. Remote port forwarding ist nicht möglich bzw. nur beim Alternativprodukt „Trishell“, einem Linux-Shellaccount, der auch eine Verkettung von Servern und andere Funktionen erlaubt. Auf Wunsch werden zwar auch „gewöhnlichen“ VPN-Nutzern feste IP-Adresse angeboten, auf denen aber noch immer keine Portweiterleitung möglich ist. Der Zugang findet über OpenVPN, wenn ein Kunde darauf besteht, auch über das einfachere, aber unsicherere PPTP/MPPE statt. Zur Anmeldung genügt eine gültige E-Mail-Adresse, die Loginkennungen können aber technisch mit Zahlungsdaten zusammengeführt werden, und Datenherausgaben auf gerichtlicher Beschlussbasis schließt der Anbieter auch nicht aus. Als Zahlungsmethoden werden nur Paypal inkl. Kreditkarte, Western Union, Moneygram, Pecunix, Liberty Reserve und Bargeldversand unterstützt. Sperren von Ports oder Domains finden nicht statt. Es werden auch keine DNS-Anfragen protokolliert oder fremde DNS-Server benutzt, ein kundenseitiges Ersetzen der DNS-Server ist möglich. Gerüchte, dass Trilightzone ein Wiederverkäufer des umstrittenen Anonymisierungsdiensts Privacy.li sei, dementierte der Anbieter; umgekehrt sei Privacy.li ein Wiederverkäufer von Trilightzone. Ein kleiner Nachteil des Angebots ist, dass Kunden nicht automatisch alle vorhandenen Server nutzen können, sondern diese jeweils separat buchen müssen, wobei ab 2 Servern die Mindestvertragslaufzeit von 3 auf 12 Monate steigt. Das Preisspektrum reicht von 6,67 € monatlich für eine Flatrate bei einem Serverstandort bis hin zu 27 € monatlich bei Freischaltung aller 6 Standorte und 12-monatiger Mindestvertragslaufzeit. Kürzere Vertragslaufzeiten sind möglich, aber auf den Monat heruntergerechnet teurer und volumenbegrenzt.

Beim Test des deutschen Einwahlknotens wurde eine Geschwindigkeit von ca. 4.500 KBit/s im Downstream und 400 KBit/s im Upstream erreicht, die allerdings durch die unterstützte Kompression gesteigert werden kann. Die Pingzeit zu einem Berliner Strato-Server betrug 80 ms, von denen 50 ms auf meinen Internetanschluss entfallen. Angeblich schützt der Anbieter Kunden durch selbst geschriebene Scripts vor Verkehrsanalyse (etwa durch Geheimdienste) durch antitime correlation und traffic crowding, wogegen mir die relativ hohen Geschwindigkeiten zu sprechen scheinen. Gesperrte Ports konnten im Test nicht festgestellt werden, E-Mails wurden nicht behindert. Die Kundenbetreuung von Trilightzone war ausgenommen freundlich und flott. Die Webseite des Betreibers trägt das „Wir speichern nicht“-Siegel, was heißt, dass kein Logging personenbezogener Daten wie IP-Adressen beim Webseitenbesuch erfolgt.

27. Anonine

Anonine ist ein weiterer einfacher und günstiger Internet-Anonymisierungsanbieter, zu dem man einen Datentunnel aufbauen und über den man ein- und ausgehende Verbindungen aller Programme des eigenen Rechners zwecks Anonymisierung leiten kann. Sitzland Anonines ist Schweden. Dort stehen auch die Server des Anbieters; die zugewiesenen IP-Adressen stammen von einem Stockholmer Hoster – der ebenfalls von Anonine betrieben wird. Weitere Server oder eine Verkettung gibt es nicht. Anonine ist einer wenigen Anbieter, die jedem Nutzer eine individuelle und bei jeder Verbindung wechselnde (dynamische) IP-Adresse zuweisen. Damit ist der Rechner prinzipiell auf allen Ports aus dem Internet ansprechbar und Probleme wegen Portweiterleitungen bei Online-Spielen oder Filesharing erübrigen sich. Andererseits kann man sich nicht hinter einer Massen-IP-Adresse verstecken und ist daher darauf angewiesen, dass der Anbieter keine Verbindungsdaten aufzeichnet. Gesperrt werden zudem trotz individueller IP-Adresse eingehende Verbindungen bis Port 1024, wohl, damit kein eigener Webserver undähnliche Dienste betrieben werden, außerdem sind ausgehend die Mail-Sendeports 25 und 465 (SMTP über SSL) gesperrt.

Anonine nimmt keinerlei Speicherung von Verbindungsdaten vor, auch nicht von IP-Adressen. Bei der Anmeldung gibt sich der Dienst mit einer gültigen E-Mail-Adresse und einem selbst gewählten Benutzernamen und -passwort zufrieden, allerdings wird außer in Schweden (Bezahlung auch per Telefon und SMS) nur Bezahlung über das wenig datenschutzfreundliche Paypal einschließlich Kreditkartenzahlung angeboten, so dass personenbezogene Daten gespeichert werden und auch mit den bei Anonine vorliegenden Nutzungsdaten verknüpft werden können (z.B. könnten bei laufender Verbindung die Kreditkartendaten zugeordnet werden). Eine Datenherausgabe an Behörden erfolgt laut Anbieter gemäß schwedischem Recht nur bei Vorlage eines Gerichtsbeschlusses im Fall des Verdacht einer Straftat, die nach schwedischem Recht mit einer Mindestfreiheitsstrafe von 2 Jahren oder mehr bedroht ist. Die Einwahl ist nur über PPTP möglich. Die Download-Geschwindigkeit betrug je nach Tageszeit 3.500 bis 5.200 KBit/s, die Upstream-Geschwidigkeit etwa 680 KBit/s. Die Pingzeit zu einem Berliner Server verlängerte sich von 50 ms bei meinem Anschluss auf 98 ms über Anonine. Zum Thema Internetsperren äußerte Anonine, man greife nur auf eigene DNS-Server zurück und verwende keinerlei Sperren (also keine Fremdbestimmung durch Dritte). DNS-Anfragen würden auch nicht protokolliert. Anonine-Nutzern steht es – wie bei allen PPTP-Zugängen – jederzeit frei, in ihren Einstellungen andere DNS-Server einzutragen. Als einer der günstigsten Anbieter im Test verlangt Anonine pro Monat nur umgerechnet 3,90 € für eine vollwertige Flatrate. Wer eine Laufzeit von 3 oder 12 Monaten bucht, zahlt sogar nur 3,55 bzw. 3,25 € monatlich. Die Kundenbetreuung antwortete schnell und freundlich.

28. AlwaysVPN

In den USA ansässig ist der Anbieter AlwaysVPN. Die Verbindungsdaten einschließlich Zeit und eingehende sowie ausgehende IP-Adresse werden für 2 Wochen vorratsgespeichert. Darüber hinaus wird von jedem Inhalts-Request (also etwa jedem Webseitenaufruf oder Chat-Nachrichtenversand), ähnlich den vorratsspeichernden Jondony-Mixen, der Quell- und Zielport gespeichert, was eine Art Inhaltsdatenspeicherung darstellt und jedenfalls über die deutsche Vorratsdatenspeicherung hinausgeht. Obwohl allen Usern die gleiche IP-Adresse zugewiesen wird, kann somit der Nutzer mit guten Chancen technisch zurückverfolgt werden, wenn der Zielserver (z.B. ein Internetforum) den Quellport des Zugriffs mitloggt. Das sei bei Urheberrechts-Auskunftsersuchen in den USA stets der Fall, so AlwaysVPN, und auch in Deutschland ist das ohne weiteres möglich. Der Quellport wird gewöhnlich von Windows für jede Anfrage fortlaufend vergeben und kann Werte bis 65.535 haben. Problematisch an der Speicherung außer der geringen Anonymität ist, dass dadurch Nutzungsprofile erstellt werden, die über die reinen Verbindungsdaten und das in Deutschlad Zulässige hinausgehen. Zwar werden keine URLs an sich gespeichert, das erledigen aber oft die Seitenbetreiber. Der Anbieter erklärte, die rechtlichen Voraussetzungen für die Übermittlung von Nutzerdaten an Behörden kenne er nicht, er habe eine Anwaltskanzlei damit beauftragt. Im Zweifel sei ihm ein reibungsfreier Betrieb aber wichtiger als der Schutz der Kundendaten. Port-Weiterleitungen oder individuelle IP-Adressen werden nicht unterstützt. Der Anbieter nutzt 2 Server in den USA (im Test in Missouri), die nicht in Serie geschaltet werden können. Für die Anmeldung benötigt der Anbieter einen Benutzernamen, Passwort, Name und eine E-Mail-Adresse. Als Bezahlmethode wird nur Paypal angeboten.

Im Paxistest wurden wegen der großen Entfernung zu einem Berliner Server nur 1.260 KBit/s im Downstream und 155 KBit/s im Upstream bei einer um 300 ms verlängerten Pingtime erreicht; mit dem zur Verfügung gestellten UDP-Verbindungsprofil war praktisch keine Verbesserung erkennbar. Die Einwahl erfolgt nur verschlüsselt über OpenVPN, der Nutzer kann wahlweise entweder die Konfigurationsdateien selbst installieren (bei MacOS und Linux nötig) oder ein fertiges installierbares Paket herunterladen. Positiv ist, dass auch Verbindungen auf einzelnen anderen Ports wie TCP 80 oder 443 akzeptiert werden, so dass sich die VPN-Verbindung gegenüber dem eigenen Provider oder Administrator ggf. SSL-verschlüsselte Webseite ähnlich dem Onlinebanking oder ähnliches tarnen lässt. AlwaysVPN hat nach eigenen Angaben derzeit 1.600 Kunden. Die Mail-Versandports 25 und 465 sind blockiert. Im Hinblick auf Internetzensur verwendet AlwaysVPN OpenDNS, also kommerzielle Dritt-DNS-Server, die angeblich nichts sperren. Ob und in welchem Maß OpenDNS eingegebene URLs vorratsspeichert, weiß der Anbieter nicht. Preislich bietet AlwaysVPN mehrere Volumentarife, wobei das kleinste 5 GB beinhaltet und 8,50 US$ (derzeit 5,72 Euro) kostet, das größte 80 GB für 47 US$ (derzeit 31,62 Euro). Der Support antwortete kompetent, schnell und freundlich.

29. Roadwarrior

Sicherlich zu den Highend-Anonymisierungsdiensten gehört Roadwarrior des unscheinbaren Anbieters Cryptohippie. Cryptohippie als Vertragspartner des Kunden und Verwalter der Bestandsdaten sitzt in den USA. Für den Netzwerkbetrieb und die Verkehrsdaten sind aber 3 Tochterunternehmen mit Sitz in Panama, der Schweiz und in Deutschland zuständig, und ein Datenaustausch findet im Regelfall nicht statt. An Verbindungsdaten wird beim Consumerprodukt „Roadwarrior“ wegen des Volumentarifs die Traffic-Summe pro Tag gespeichert, sonst allerdings nichts, auch keine IP-Adressen. Bei den Enterprise-Produkten findet überhaupt keine Speicherung statt. Bei massiven Spam-Beschwerden behält sich Cryptohippie aber vor, im Einzelfall, vorübergehend und gezielt den Verkehr auf den Mail-Ports 25, 465 und 587 für 2 Tage zu speichern oder betroffene Empfängerserver vorübergehend zu sperren, dies sei bisher aber noch nie vorgekommen. Die Roadwarrior-Server werden von Cryptohippie selbst gewartet. Auf die Vorratsdatenspeicherpflicht angesprochen, entgegenete Cryptohippie, notfalls werde man die Server aus den betreffenden Ländern abziehen, es gebe genügend Ausweichmöglichkeiten. Im Übrigen sei eine Speicherung in Deutschland wegen der internationalen Kaskaden nutzlos, beim hier praktizierten IP-Sharing sowieso (was stimmt); außerdem würde man eine Speicherung, falls vorgenommen, den Nutzern der betroffenen Server vorher bekanntgeben. Die Nutzer surfen unter gemeinsamerrexternen IP-Adresse. Zudem sind die Server kaskadiert. Das heißt, der Verkehr passiert zuerst 3 Anonymisierungsserver, von denen mindestens 2 von verschiedenen Unternehmen aus verschiedenen Staaten betrieben werden. Zudem fasst der mittlere Server Verbindungen verschiedener Nutzer zusammen oder trennt sie, um Zuordnungen per Trafficanalyse (z.B. durch Geheimdienste) zu erschweren. Außerdem wird jeder Verkehr zwischen den Knoten verschlüsselt. Eine Identifizierung des Nutzers auf Behördenanfrage findet nur statt, wenn alle Knotenbetreiber, also mindestens 2 Betreiber in mindestens 2 Ländern, sowie die Betreibergesellschaften in Panama und den USA jeweils mit Gerichtsbeschlüssen bedacht werden und dann die fragliche Verbindung noch aktiv ist, was sehr unwahrscheinlich ist. Entsprechend sei es auch noch nie zu einer Identifizierung oder einer sonstigen Herausgabe brauchbarer Daten auf behördliche Initiative hin gekommen. Alle internationalen Gerichtsbeschlüsse in dreistelliger Zahl seit 2002, noch mehr Polizeianfragen sowie vorgekommene Hausdurchsuchungen, Einreiseverweigerungen und Festnahmen von Mitarbeitern liefen bislang ins Leere. Roadwarrior-Kunden stellt Cryptohippie derzeit 8 Kaskaden (also eine Gruppe wie beschrieben hintereinandergeschalteter Anonymisierungsserver) zu je 3 Servern zur Verfügung, die aktuell auf Deutschland, die Niederlande, Schweiz, USA und Kanada verteilt sind. Eine zweistellige Zahl von Servern in teils weiteren Ländern ist für Enterprise-Kunden reserviert.

Alle Server sind mit AES-128 vollverschlüsselt, so dass Diebstahl und Beschlagnahme sinnlos wären. Die Auswahl der Kaskade erfolgt normalerweise automatisch je nach Geschwindigkeit, eine Auswahl von Hand per Änderung der Konfigurationsdateien ist aber machbar. Weitere Details über die Netzwerkstruktur beschreibt Cryptohippie in einem Prospekt. Nach erfolgter Einwahl, die per OpenVPN und L2TP/IPSec möglich ist (im Enterprise-Produkt auch GRE/IPSec, PPP over Mix und OpenVPN over MIX) und für die OpenVPN-Konfigurationsdateien für Windows, MacOS und Linux bereitstehen, ist stets auch noch ein verschlüsselter Web-Login nötig, weil keiner der 3 Anonymisierungsserver den Benutzernamen und der Authentifizierungsserver keine Verbindungsdaten kennen soll. Mehrfach-Logins sind möglich, das Datenvolumen wird dann eben schneller verbraucht. Portweiterleitung und individuelle IP-Adresse auf dem Endserver sind nur im Enterprise-Produkt möglich. Im Praxistest erreichte ich trotz aller Netzwerkfinessen ordentliche 2.900 KBit/s im Downstream und 410 KBit/s im Upstream bei einer Pingzeitverlängerung von einem Berliner Stratoserver von nur 17 ms. Neben dem OpenVPN-Zugangsprofil per UDP steht auch eines per TCP zur Verfügung, bei dem ähnliche Werte gemessen wurden. Die externe IP war deutsch, aber auf den Cryptohippie-Ableger in Panama registriert. Für die Anmeldung müssen keinerlei Daten angegeben werden, was vorbildlich ist; die Zugangsdaten werden nach der Anmeldung im Browser angezeigt. Als Zahlungsmethode wird Kreditkarte angeboten, auf Anfrage sind aber auch Bargeldversand (leider offenbar nur in die USA), Pecunix oder andere Wege möglich.

Das Produkt „Roadwarrior“ umfasst auch eine E-Mail-Adresse im Cryptohippie-Netz mit 1 GB verschlüsseltem Speicher, wobei keinerlei Logging stattfindet, außerdem würde der ausgehende E-Mail-Header im Sinne des Datenschutzes „bereinigt“. Allerdings würden über diesen Mailserver ausgehende E-Mails mit einem Wasserzeichen versehen, so dass bei Spam-Beschwerden für Cryptohippie eine Zuordnung und Kündigung möglich sei. Inklusive ist außerdem eine sogenannte Secure network disk mit 250 MB Speicherplatz. Dort gespeicherte Daten werden mit einem Nutzerschlüssel verschlüsselt, Cryptohippie hat darauf keinen Zugriff. Sie werden außerdem nahezu in Echtzeit gespiegelt, wobei sich der Spiegel immer in einem abweichenden Land befindet. Der Speicherplatz ist nur aus dem Cryptohippie-Netz und dort nur via SSH erreichbar. Außerdem im Roadwarrior-Paket enthalten ist ein im Cryptohippie-Netz befindlicher und nur für Kunden erreichbarer Jabber-Server, bei dem alle gespeicherten Daten und Verbindungen verschlüsselt sind. Zum Thema Internetzensur: Cryptohippie verwendet eigene DNS-Server und zensiert nichts, der Anbieter behält sich aber vor, bei schweren Angriffen auf Wunsch des Angegriffenen dessen Server temporär zu sperren, ähnlich verhalte es sich mit Torrent-Trackern bei massiven Urheberrechtsbeschwerden. DNS-Anfragen (aufgerufene URLs) werden nicht gespeichert, es werden also insoweit keine Surfprofile erstellt.

Das Enterprise-VPN-Produkt, um das es hier aber nicht vorrangig gehen soll, umfasst einen speziell programmierten Hardware-Router und kostet 500 US$ Einrichtung und weitere 500 US$ pro Jahr. Schließlich bietet Cryptohippie neben seinen VPN-Produkten separat weitere Produkte wie sogenannte Location agnostic servers an, dedizierte Server mit Root-Zugriff, die sich im Cryptohippie-Netz befinden und deren Standort angeblich nicht ermittelt werden kann. Standardmäßig seien diese nur für Cryptohippie-Nutzer zugänglich und würden meist von internationalen Arbeitsteams eingesetzt. Ein öffentlicher Zugang auf diese Server ist nur gegen Vorlage des Ausweises möglich. Der übliche Preis für Location agnostic servers beginnt bei etwa 300 Euro pro Monat.

Roadwarrior wird nur in Jahresverträgen mit monatlich 15 GB Datenvolumen vertrieben, die 275 US$ kosten, umgerechnet derzeit pro Monat gut 15 Euro. Bürgerrechtsaktivisten erhalten einen Rabatt von 25 US$ auf den Jahrespreis, was 14 Euro pro Monat entspricht. Wird das Datenvolumen überschritten, passiert in der Regel nichts, solange andere Accounts entsprechend weniger verbrauchten. Ist das nicht der Fall, kann der Kunde entweder 1 Euro pro GB nachzahlen, oder seine Laufzeit wird entsprechend gekürzt. Als Ausgleich für den langen Jahresvertrag können Unzufriedene aber innerhalb der ersten 30 Tage kündigen und erhalte den vollen Preis zurück, wenn nicht mehr als 2 GB verbraucht wurden. Der Service bei Cryptohippie zeigte sich zwar sehr kompetent und freundlich, leider wurde mehrfach auch gar nicht geantwortet.

30. AceVPN

Der VPN-Anbieter AceVPN macht ein Geheimnis aus seinem Sitzland. Dass die meisten Server in den USA untergebracht sind, die Kundenbetreuung ein einwandfreies Englisch spricht und einige andere Indizien deuten auf die USA hin. AceVPN nimmt standardmäßig keine Vorratsdatenspeicherung vor. Bestimmte Nutzungsmuster lassen allerdings im Verdachtsfall von Hacking, Spamming und „Bedrohungen“ automatisch eine 7-tägige Speicherung der ein- und ausgehenden IP-Adresse, der Verbindungszeiten und aufgerufenen URLs (also Inhaltsdaten) anspringen, was insoweit eine Verschlimmbesserung der Vorratsdatenspeicherung ist. Auf wiederholtes Nachfragen wollte AceVPN diese Muster nicht näher definieren (besonders, wie ein Muster für eine Bedrohung aussehen soll) oder mitteilen, ob diese Maßnahmen auch unbeteiligte Nutzer treffen und wie lange sie jeweils andauern. Von daher scheint es recht spekulativ sich darauf zu verlassen. Alle Nutzer eines Servers surfen nach außen hin unter gemeinsamer IP-Adresse. Es werden weder feste IP-Adressen noch Portweiterleitungen noch hintereinandergeschaltete Server angeboten. Der Nutzer kann bei der Einwahl, die über PPTP oder OpenVPN erfolgen kann, wählen, ob er sich in Frankreich, Großbritannien oder den USA einwählen will, wo AceVPN in 4 Bundesstaaten Server betreibt.

Von seinen Nutzern will AceVPN bei der Anmeldung Name, Adresse, E-Mail-Adresse und auch noch die Telefonnummer wissen, „um uns vor Missbrauch zu schützen“. VPN-Verbindungen auf anderen Ports (um Portsperren im eigenen Netzwerk zu umgehen) können auf Anfrage eingerichtet werden. Um personenbezogene Daten an Behörden herauszugeben, reicht AceVPN schon der Verdacht „ernsthaften Missbrauchs“, wie auch immer sich das genau definieren mag. Zwar sind die Server verschlüsselt und insoweit vor Beschlagnahmen etc. geschützt, was aber wenig nützt, wenn der Anbieter Daten freiwillig unter schwammigen Voraussetzungen herausgibt. AceVPN behauptet, Kunden aus 135 Ländern zu haben, wobei es noch nie zu einem Auskunftsersuchen gekommen sei. Die Zahlung ist nur per Kreditkarte über Paypal, Moneybookers und Libertyreserve möglich, eine Zusammenführung mit den Verbindungsdaten ist möglich. Ein Test ergab zumindest bei den nahegelegenen Servern in Frankreich und Großbritannien gute Geschwindigkeitswerte von etwa 3,800 KBit/s im Downstream und 360 KBit/s im Upstream bei einer Verlängerung der Ping-Zeit um nur etwa 10 ms. In den USA waren die Werte mit 850 KBit/s in Downstream und 50 KBit/s im Upstream und einer Ping-Verlängerung von 270 ms wie erwartet schlechter. Der Datendurchsatz kann aber vergrößert werden, da bei OpenVPN standardmäßig Komprimierung unterstützt wird (wie allerdings bei den meisten OpenVPN-Anbietern). Port 25 ist gesperrt, Mails können aber (verschlüsselt) über Port 465 verschickt werden. Zu Internetsperren: AceVPN betreibt eigene DNS-Server und blockiert unbekannte Seiten, die AceVPN als Malware-, Phishing-, „bedrohliche“ oder als Hackingseiten einstuft. Gesperrt werden auch Filesharing- oder andere Seiten, auf denen nach Ansicht AceVPNs das Urheberrecht verletzt wird. AceVPN berechnet pro Monat und 50 GB einen Betrag von 5 US$, umgerechnet 3,38 Euro, bei einem Jahresvertrag mit dem gleichen monatlichen Volumen nur 3,10 Euro. Der Service antwortete schnell und freundlich.

31. 12VPN

Auch einen VPN-Anonymisierungsdienst bietet der Provider 12VPN aus Hong Kong an. Alle Verbindungsdaten (eingehende und ausgehende IP-Adresse, Zeiten und das übertragene Datenvolumen) werden 3 Monate lang auf Vorrat gespeichert. Alle Nutzer eines Servers, wobei es derer mehrere in den USA und Großbritannien gibt, surfen jeweils unter derselben ausgehenden IP-Adresse. Der Anbieter gibt zu, dass deshalb anhand der Vorratsdaten nicht zurückverfolgt werden könne, wer wann etwas im Internet gemacht habe, wohl aber, wann wer online war. Individuelle oder statische IP-Adressen oder Port-Forwarding hat 12VPN nicht im Angebot. Bei der Anmeldung werden nur ein Benutzername und eine E-Mail-Adresse erfragt, allerdings sind diese Daten mit jenen der Bezahlung kombinierbar, und die ist nur per Kreditkarte über Paypal oder Plimus oder das chinesische Alipay möglich. Eine Einwahl ist neben OpenVPN und PPTP auch über L2TP (IPSec-verschlüsselt) möglich. Konfigurationsdateien stehen für alle wichtigen Betriebssysteme zur Verfügung, jedoch werden keine installationsfertigen OpenVPN-Pakete zur Verfügung gestellt, weil der Anbieter dies für zu gefährlich für seine Kunden hält, leider erschwert das eine für Anfänger einfache Einrichtung. Nach erfolgter Einwahl werden europäische Nutzer aus Geschwindigkeitsgründen automatisch dem britischen VPN-Server zugewiesen. Eine Einwahl auf anderen Ports, um Portsperren des Ausgangsnetzwerks zu umgehen, ist auf Anfrage möglich. Nach Angaben 12VPNs werden die E-Mail-Ports 25 und 465 gesperrt. Auf eine Einwahl habe ich verzichtet, weil der Anbieter keinen Probeaccount zur Verfügung stellen wollte und weder datenschutzfreundliche Bezahlmöglichkeiten bestehen noch der Dienst sonst besonders interessant erscheint.

Was Internetzensur angeht, verwendet der Anbieter ausschließlich eigene DNS-Server und blockiert den Zugriff auf bestimmte Torrent-Tracker. DNS-Anfragen (welche Seiten aufgerufen wurden) werden nicht gespeichert, die Verwendung anderer DNS-Server ist möglich. 12VPN behauptet, Nutzerdaten nicht ohne Gerichtsbeschluss herausgeben zu wollen. Preislich bietet 12VPN 3 Pakete an: Das Lite-Paket beinhaltet 5 GB Daten monatlich und kostet nur 2,95 US$ (1,99 Euro), wobei ein 6-Monatsvertrag abgeschlossen werden muss. Bei einem Jahresvertrag sinkt der Preis noch etwas weiter. Das Personal-Paket mit 100 GB kostet 10 US$ (6,76 Euro) pro Monat bei monatlicher Kündigungsmöglichkeit, bei einem Jahresvertrag weniger. Die Corporate-Tarife beinhalten noch größere Datenmengen und kosten noch mehr. Für alle Tarife bietet der Anbieter eine 7-tägige Money-back-Garantie. Die Kundenbetreuung war nett und schien für chinesische Verhältnisse relativ kompetent und datenschutzbewusst.

32. VPN Privacy

VPN Privacy ist ein Anonymisierungsanbieter aus Kanada, der je einen Server in Kanada und den USA gemietet hat und aktuell (Stand: November 2009) nach eigenen Angaben etwa 250 Nutzer hat. Allgemein wird eine 5-tägige Vorratsdatenspeicherung der Verbindungszeiten und IP-Adressen durchgeführt. Als einer der wenigen Anbieter bietet VPN Privacy statische (verbindungsübergreifend gleichbleibende) und für jeden Nutzer individuelle IP-Adressen an. Es werden damit alle Ports weitergeleitet. Andererseits ist so eine Rückverfolgung des Nutzers auch nach Ablauf der 5 Tage leicht möglich (externe IP-Adresse -> VPN-Privacy-Benutzername -> Bestandsdaten bzw. Original-IP-Adresse -> Identität des Anschlussinhabers). Das würde selbst dann gelten, wenn VPN Privacy nicht schon selbst Name, E-Mail-Adresse und Telefonnummer abfragen würde. Eine Hintereinanderschaltung von Anonymisierungsservern findet nicht statt. Der Zugang ist nur via PPTP möglich. Erfreulich ist, dass VPN Privacy eine ausführliche Einrichtungsanleitung auch für Mac-Nutzer bereitstellt. Bezahlt werden kann mit Paypal, Kreditkarte oder Western Union.

Der Test ergab, dass keine Ports gesperrt werden, auch der Versand von E-Mails auf Port 25 funktionierte. Laut AGB des Anbieters ist das Senden von E-Mails auf diesem Port verboten, der Anbieter erklärte aber auf Anfrage, er habe normalerweise nichts dagegen, der Versand von Massen-E-Mailwerbung werde durch eine automatische Routine erkannt und blockiert. Lustigerweise verbietet VPN Privacy dies seinen Nutzern in den AGB, behält sich selbst darin aber vor, den Nutzern Werbe-E-Mails zu senden. Naturgemäß war im Test die Geschwindigkeit wegen der langen Distanz mäßig: Sowohl beim US- als auch beim kanadischen Server wurden gut 2.000 KBit/s ms im Downstream und etwa 360 KBit/s im Upstream gemessen, die Pingzeit von einem Berliner-Stratoserver verlängerte sich um 210 ms. VPN Privacy sperrt aktiv keine Seiten oder IP-Adressen, verlässt sich aber auf die DNS-Server seiner Hoster. Beim US-Server verbieten die Nutzungsbedingungen Torrent-Nutzung. DNS-Anfragen (URLs) werden nicht vorratsgespeichert. Es ist möglich abweichende DNS-Server zu verwenden. VPN Privacy verlangt für 1 Monat umgerechnet 10,64 € ohne Datenbegrenzung, bei einem Jahresvertrag sinkt der Monatspreis auf 8,27 €. Es werden auch Verträge für eine Woche oder 3 oder 6 Monate angeboten. Der Service war zwar freundlich, reagierte aber nicht auf alle E-Mails.

33. Strong VPN

Der VPN-Anbieter StrongVPN hat seinen Geschäftssitz in den USA und ist seit 1995 als Hoster tätig. Er bietet VPN-Zugänge an, die alle per Flatrate abgerechnet werden. Zu diesem Zweck stehen den Kunden derzeit 62 Server in den folgenden 10 Staaten zur Verfügung, wobei pro Staat meist auch mehr als ein Standort besteht: USA, Großbritannien, Kanada, Niederlande, Norwegen, Luxemburg, Deutschland, Schweiz, Russland und Hong Kong. Die Server können in zahlreichen verschiedenen Kombinationen gebucht werden, meist in 3-, 6- oder 12-Monatsverträgen. Beispielsweise kostet ein einzelner Standort in New York mit einfachem PPTP-Zugang 7 US$ pro Monat, alle Standorte zusammen, zu nutzen via OpenVPN, kosten dagegen 30 US$ pro Monat. Will man allerdings zwischen den gebuchten Servern hin- und herwechseln, muss man für jeden solchen Wechsel noch einmal Geld bezahlen, erhält aber immerhin ein kleines Kontingent kostenloser Wechsel. Einige wenige Server haben auch L2TP-Zugang mit IPSec-Verschlüsselung. Alle Server sind nach Angaben des Anbieters vor unbefugten Zugriffen geschützt. Sowohl für die Einrichtung von PPTP- als auch von OpenVPN-Zugängen ist eine gute Anleitung vorhanden. OpenVPN unterstützt eine Schlüssellänge bis 2.048 Bit. Eine Hintereinanderschaltung von Servern wird nicht unterstützt.

Bezahlt werden kann mit Paypal, Kreditkarte, Moneybookers und E-Passport. Beim Bezahlvorgang werden Name, Adresse, Telefonnummer und E-Mail-Adresse abgefragt. Auch sonst ist StrongVPN in puncto Datenschutz und Transparenz nicht die erste Wahl: IP-Adressen und Verbindungszeiten werden für für eine Zeit gespeichert, über die der Anbieter keine Auskunft geben will, die Frist liege unter 2 Jahren. Anders als bei anderen Anbietern teilen sich bei StrongVPN auch nicht mehrere Nutzer eine gemeinsame externe IP-Adresse, was einen gewissen Schutz bietet, sondern es werden stets individuelle IP-Adressen an die Nutzer vergeben. Diese seien normalerweise statisch (über die Vertragsdauer gleich bleibend, was die Erstellung von Nutzungsprofilen erleichtert), einige Server unterstützten aber auch dynamische IP-Adressen (mit jeder Verbindung unterschiedlich). Identifizierungen und Datenherausgaben an Behörden erfolgten nur auf Grund eines US-amerikanischen Gerichtsbeschlusses, wozu aber schon ein Betrugsverdacht ausreichen könne. Bei der Rechtshilfe zu ausländischen Ermittlungsverfahren seien die US-Behörden erfahrungsgemäß zurückhaltend und täten dies meist erst ab einer bestimmten Erheblichkeitsschwelle. Allerdings gebe man bei Urheberrechtsbeschwerden oder auch Spam, die man täglich bekomme, zwar keine Daten heraus, ermittle aber den Nutzer und sperre den betreffenden Account. Blockierte Ports, etwa auf 25, gebe es nicht.

Sinn des Angebots sei es weniger, so StrongVPN, Anonymität herzustellen. Wichtiger sei es, Nutzern mittels internationalen IP-Adressen etwa Zugang zu regional begrenzten Fernsehangeboten zu verschaffen sowie Nutzern aus zensurfreudigeren Ländern einen unzensierten Internetzugang zu ermöglichen. Deswegen betreibe StrongVPN auch eigene DNS-Server, auf denen keinerlei Sperrung stattfinde. Leider belässt StrongVPN deren Speicherpraxis und Speicherfrist im Dunkeln und verweist auf die allgemeinen Ausführungen zu Logfiles. Es wäre also denkbar, dass auch aufgerufene Internetseiten knapp 2 Jahre personenbezogen auf Vorrat gespeichert werden. Laut den veröffentlichten Nutzerberichten kommen die meisten Nutzer aus China. Seine Kundenzahl wollte der Anbieter nicht nennen; da aber angeblich rund 2.800 IP-Adressen zur Verfügung stehen, können jedenfalls nicht mehr gleichzeitig eingewählt sein. Auf einen Praxistest verzichtete ich, da der Anbieter keinen Testaccount zur Verfügung stellte und vorratsspeichert. Interessierten Kunden bietet StrongVPN jedoch eine 7-Tage-money-back-Garantie an. Der Service war im Chat und im Gespräch freundlich. Andererseits war auf zwei E-Mail-Anfragen zuvor nicht reagiert worden.

34. HideIP VPN

Der VPN-Anbieter HideIP VPN ist ein Anonymisierungsanbieter, der seinen Sitz in Rumänien hat. Rumänien machte unlängst von sich reden, als das dortige Verfassungsgericht als erstes Gericht Europas die Vorratsdatenspeicherung als verfassungswidrig verwarf. HideIP VPN stellt 8 Server in den Staaten USA, Kanada, Großbritannien und Deutschland bereit. Alle sind vor äußeren unbefugten Zugriffen geschützt. Es findet eine 5-tägige Vorratsdatenspeicherung von Verbindungszeit, IP-Adresse und Benutzername statt. Grundsätzlich surfen alle Nutzer über dieselbe öffentliche IP-Adresse, so dass hierdurch trotz der Vorratsdatenspeicherung das Rückverfolgen erschwert würde. Portweiterleitungen werden nicht angeboten. Auf Wunsch sind aber gegen Aufpreis individuelle IP-Adressen erhältlich, die dann allerdings statisch, also verbindungsübergreifend gleichbleibend sind. Bisher seien, obwohl HideIP VPN über 2.000 Kunden haben will, noch keine Behördenanfragen nach verdächtigen Nutzern ins Haus geflattert; wie man diese beantworte, wisse der Anbieter nicht genau zu sagen. Von gerichtlichen Beschlüssen schien er nicht viel zu halten. Bei der Anmeldung werden Name, Adresse, E-Mail und Telefonnummer abgefragt, der Anbieter hat aber nichts gegen Falschangaben einzuwenden. Bezahlt werden kann leider nur über Paypal einschließlich Kreditkarten sowie den Bezahldienstleister Plimus, der Überweisung auf ein deutsches Konto, Schecks, Giropay und Sofortüberweisung akzeptiert. Gibt man ein anderes Herkunftsland wie Tuvalu an, könnte man sich wohl theoretisch um die zum Preis hinzukommende Mehrwertsteuer herumdrücken, hätte dann allerdings weniger Zahlungsmöglichkeiten zur Verfügung.

Der deutsche Server (de.hideipvpn.com), der aktuell über den Thüringer Hoster Keyweb angebunden ist, erzielte mit einem ADSL-16.000-Testanschluss gute Geschwindigkeiten von rund 5.800 KBit/s im Down- und 700 KBit/s im Upstream. Der Ping zu einem Berliner Stratoserver verlangsamte sich durch das Netz um 20 ms. Auf dem britischen Server wurden immer noch 5.600 KBit bzw. 680 KBit/s erreicht, ein Ping dauerte gut 30 ms länger. An dritter Stelle stand der kanadische Server (de.hideipvpn.com) mit 1.100 KBit bzw. 270 KBit/s und einem Ping-Aufschlag von 320 ms. Das Schlusslicht bildete der US-Server mit nur 330 KBit bzw. 320 KBit Down- und Upstream und einem um 260 ms verlangsamten Ping. Auf allen Servern sind die Ports 25 und seltsamerweise 22 wegen Spam-Beschwerden gesperrt, ein E-Mail-Empfang auf Port 110 und der Versand über Port 465 waren aber möglich. Auf den US-, kanadischen und britischen Servern seien darüber hinaus typische Filesharing-Ports gesperrt, wer sie umgeht, riskiert laut Nutzungsbedingungen eine Accountsperrung. Alle Server sind via PPTP und OpenVPN nutzbar, letzteres allerdings nur bei monatlich 9,99 US$, für die es dann aber auch alle Standorte gibt. Ansonsten kostet ein Standort 5,99 US$ bis auf Deutschland, das 7,99 US$ kostet. Leichte Vergünstigungen gibt es bei 3- und 6-Monatsabonnements. Bei Angabe deutscher Adresse kommt zu allen Preisen noch die Mehrwertsteuer hinzu. Alle Tarife beinhalten Flatrates. Positiv ist, dass OpenVPN-Verbindungen auch über Nicht-Standard-Ports (etwa 443) möglich sind, so dass etwa VPN-Sperrungen restriktiver Firmennetzwerke umgangen werden können. Weiterhin ist in allen Paketen ein optionaler HTTP-Proxyzugang im Preis enthalten, den man im Browser eintragen kann. Das verschlüsselt zwar nichts, schützt aber bei Web-Traffic auch vor der Vorratsdatenspeicherung und umgeht außerdem DNS-Zensurfilter des Providers. Denkbar ist dies z.B. auf fremden Computern in unbekannten Netzwerken, wo man keine VPN-Software installieren kann oder will. Zum Thema „Internetsperr-Festigkeit“ äußerte HideIP VPN, er nutze die DNS-Server seiner Hoster. Was dort gesperrt werde, wisse er nicht, eine Speicherung von DNS-Abfragen (aufgerufene URLs) finde aber nicht statt. Ein Austauschen der DNS-Server ist möglich. Der Sevice antwortete etwas schleppend, zwei E-Mails zuvor waren ganz ignoriert worden.

35. Solvpn

Solvpn ist ein VPN-Anbieter mit Sitz in den USA. Es werden alle Verbindungsdaten (Verbindungszeit, Benutzername, IP-Adressen) für 1 Jahr auf Vorrat gespeichert. Es gibt nur einen vor Drittzugriffen geschützten Server in den USA, der Zugang ist nur per OpenVPN möglich (1024-Bit-RSA-Schlüssel). OpenVPN ist unter anderem für Windows, Mac und Linux verfügbar. Immerhin werden Verbindungen auch auf alternativen Ports akzeptiert. Solvpn behauptete zwar, jeder Nutzer erhalte eine individuelle IP-Adresse, der Test deutet aber eher darauf hin, dass sich die Nutzer eine öffentliche IP-Adresse teilen. Portweiterleitungen werden nicht angeboten. Die Kundenzahl benennt Solvpn mit „Hunderte“. Eine anonyme Anmeldung ist nicht ohne Weiteres möglich; die Bezahlung kann nur per Kreditkarte via Paypal unter Angabe der Anschrift oder über ein angemeldetes Paypal-Konto erfolgen. Im Test mit einem deutschen ADSL-16.000-Anschluss war die Geschwindigkeit so, wie sie bei US-Servern aus Deutschland zu erwarten war: Im Downstream wurden etwa 1.400 KBit/s, im Upstream 390 KBit/s erreicht. Ein Ping von einem Berliner Strato-Server brauchte 250 ms länger als direkt über den Internetprovider. Gesperrte Ports gibt es nicht, der Mailversand war uneingeschränkt möglich. Solvpn will Kundendaten auf jede Behördenanfrage hin herausgeben. Zur Internet-Zensurfestigkeit gab Solvpn an, die DNS-Server seines Hosters zu verwenden, der aber Anfragen – aufgerufene URLs – weder sperre noch protokolliere. Ein Austausch des DNS-Servers ist möglich. Mehrere E-Mail-Anfragen an Solvpn wurden nicht beantortet, einige Antworten waren widersprüchlich. Der Anbieter bietet einen Live-Chat auf der Webseite an, der aber zu üblichen US-Geschäftszeiten während des Tests nie besetzt war. Zudem ist Solvpn für die angebotene Leistung recht teuer: 1 Monat Einzelserver kostet 20, 3 Monate 55, 6 Monate 110 und 12 Monate 200 US$. Abrechnet wird per Flatrate.

36. Your Private VPN

Your Private VPN ist ein Zusammenschluss mehrerer, in der Welt verteilter Personen von geheimnisvoller Herkunft. Es wird deutsprachiger Support angeboten. Bei Your Private VPN stehen allen Kunden Anonymisierungsserver in Rotterdam, Amsterdam, London und Dallas zur Verfügung. Eine Einwahl ist nur per PPTP mit MPPE-Verschlüsselung möglich. Für Windows- und Mac-Nutzer bietet der Anbieter eine gute Einrichtungsanleitung an. Darüber hinaus bietet er für Windows ein Programm an, das die Verbindung einrichtet. Der Anbieter speichert bei jeder Verbindung für 15 Tage das Verbindungsdatum (nicht die genaue Verbindungszeit), den Benutzernamen, den benutzten Server, den gebuchten Tarif und die verbrauchte Trafficmenge, da trotz Flatrate Nutzer mit allzu großem Datenverkehr nicht erwünscht sind, obwohl es bisher nur einmal zur Beanstandung gekommen sei. IP-Adressen werden nicht gespeichert. Alle Nutzer eines Servers surfen unter derselben öffentlichen IP-Adresse. Portweiterleitungen für Verbindungen aus dem Internet werden nicht angeboten. Filesharing ist erlaubt, nicht aber auf dem US-Server. Der Verstoß kann mit unwiderruflicher Accountsperrung geahndet werden. Eine Bezahlung ist via Paypal und anonym per Ukash möglich. Bezahlt man mit Ukash, wird vom Anbieter nur eine E-Mail-Adresse zur Übersendung der Zugangsdaten abgefragt. Die Zusammenführung des Benutzernamens mit Zahlungsdetails ist möglich. Ein Test der Server mit einem ADSL-16.000-Anschluss ergab wie erwartet gute Geschwindigkeiten bei den europäischen VPN-Servern (Rotterdam: 6.200 KBit/s im Downstream, 700 KBit/s im Upstream, Ping-Verlängerung um nur 5 ms im Vergleich zu einer VPN-losen Verbindung; Amsterdam: 3.400 KBit/s Downstream, 600 KBit/s Upstream, Ping-Verlängerung um 8 ms; London: 5.800 KBit/s Downstream, 680 KBit/s, Ping-Verzögerung 20 ms). Auf dem US-Server wurden nur 1.600 KBit/s im Downsream und 320 ms im Upstream gemessen, ein Ping brauchte 260 ms länger. Portsperren gab es nicht, der Versand von E-Mails ist also wie gewohnt möglich. Der Anbieter will allerdings ein Skript laufen haben, das bei besonders hohem Verkehr auf Port 25 (Spam) Alarm schlägt, ebenso auf den Ports 21 und 22 (Bruteforce-Angriffe von SSH und FTP). Die Hintereinanderschaltung von Servern zur Erhöhung der Anonymität ist nicht vorgesehen.

Zur Kundenzahl will der noch junge Anbieter Your Private VPN keine Angaben machen. Behördenanfragen zur Herausgabe von Nutzerdaten habe es noch nicht gegeben, der Anbieter ist der Meinung, dass es bei verschlüsselten Datenträgern, fehlenden IP-Adressen und Wohnsitz der Server-Vertragsnehmer in abenteuerlichen Ländern wenig herauszugeben gebe. Zur Internet-Zensurfestigkeit gab der Anbieter Folgendes an: Es werden eigene DNS-Server betrieben, die nichts protokollieren und nichts sperren. Es werden auch keine IP-Adressen gesperrt. Ein Austausch des DNS-Servers ist möglich. Your Private VPN bietet drei Geschwindigkeiten an: Der 2.000-KBit-Zugang („Silver“) zu allen Servern kostet 6 €/Monat oder 15 €/3 Monate. Der 6.000-KBit/s-Zugang („Gold“) kostet 10 €/Monat oder 25 €/3 Monate. Der unlimitierte Zugang („Premium“) kostet 15 €/Monat oder 38 €/3 Monate. Bei Zugrundelegung der 1-Monatspreise und Bezahlung per Paypal ist jeweils auch ein Abonnementvertrag möglich. Der Service antwortete rasch, freundlich und netzwerktechnisch kompetent.

37. TuVPN

Ein noch junges Unternehmen ist der VPN-Anonymisierungsdienst TuVPN mit Sitz in Singapur. Er speichert Verbindungszeiten und die übertragene Verbindungs-Datenmenge ohne zeitliche Begrenzung; überhaupt nicht gespeichert werden dagegen IP-Adressen und natürlich Inhalte (URLs usw.). Dadurch ergibt sich die zwiespältige Situation, dass zwar eine Rückverfolgung von Internetaktivitäten praktisch verunmöglicht wird, sich dafür aber bei TuVPN selbst Verbindungsprofile anhäufen, und das deutlich länger als nach der deutschen oder europäischen Vorratsdatenspeicherung. Für eine angebliche No-Logging-Policy ist das ein wenig dreist, dass keine Inhaltsdaten protokolliert werden, sollte selbstverständlich sein. Als Gegenmaßnahme sollte man zumindest anonym mit Ukash zahlen, so dass wenigstens eine Zuordnung dieser Daten über die Zahlungsdaten nicht möglich ist. Den Kunden stehen Server in Großbritannien (London), der Schweiz (Zürich), Rumänien (Bukarest) und den USA (Chicago) zur Verfügung. Bis Ende Februar soll außerdem ein Server im asiatischen Raum hinzukommen. Rumänien ist insofern interessant, als die Vorratsdatenspeicherung dort für verfassungswidrig erklärt wurde. Es stehen die Zugangsmethoden PPTP, OpenVPN und Squid, jeweils mit Anleitungen zur Verfügung. OpenVPN-Verbindungen sind auch auf Port 443 möglich, so dass die Verbindung gegenüber sperrfreudigen Netzwerkadministratoren als HTTPS-Verbindung getarnt werden kann. Nutzer teilen sich eine IP-Adresse, Remote port forwarding ist standardmäßig möglich. Dabei werden 5 Ports weitergeleitet, die sich aus der von TuVPN vergebenen IP-Adresse errechnen (siehe FAQ von TuVPN). Individuelle oder feste IP-Adressen sind nicht möglich. Portsperren gibt es nicht, lediglich zur Spam-Begrenzung wird auf Port 25 ggf. gedrosselt.

Zur Anmeldung verlangt TuVPN Name und E-Mail. Zur Zusammenarbeit mit staatlichen Behörden hat TuVPN keine klaren Richtlinien. Bei Bagatellen soll keine Zusammenarbeit stattfinden, allerdings will TuVPN nach eigenen Angaben beispielsweise bei Verdacht auf Übertragung von kinderpornografischen Daten mit Behörden zusammenarbeiten und Daten herausgeben. Zwar ist mangels IP-Adressen eine Rückverfolgung nicht möglich, TuVPN behält sich aber vor, im Verdachtsfall für künftige Verbindungen zu filtern, wer etwa eine bestimmte verdächtige Seite aufruft. Sicherheit für die Nutzer bringt das nicht, denn erstens ist anscheinend nicht einmal TuVPN selbst klar, bei welchen Tatbeständen kooperiert wird; zweitens wird gerade Kinderpornografie in unterschiedlichen Staaten unterschiedlich definiert; drittens erweist sich ein behördlicher Verdacht im Nachhinein oft als irrtümlich, sogar die deutliche Mehrheit aller Strafverfahren wird eingestellt, sodass es unschuldige Nutzer treffen kann. Bisher habe sich die Frage angesichts der bislang erst etwa 300 Kunden noch nie gestellt. Bezahlt werden kann mit Moneybookers, 2checkout einschließlich Kreditkarte, sowie Ukash. Im Test mit einem ADSL-16-MBit-Anschluss konnte ich keine Portsperren feststellen. Die Geschwindigkeiten der meisten Server lag im üblichen ordentlichen Rahmen, nur die Anbindung in Rumänien war mit 2.600 KBit/s im Downstream und 460 KBit/s im Upstream und einer Erhöhung der Pingzeit zu einem Berliner Strato-Server von 64 ms für ein Nachbarland mäßig. Schlechtere Performance boten nur die USA (2.010/350 KBit/s, plus 217 ms Latenz). Zur Zensuranfälligkeit: TuVPN verlässt sich auf die DNS-Server seiner Hoster. Es seien derzeit keine Sperrungen bekannt. DNS-Anfragen (URLs) würden dort nicht gespeichert. Die Kunden können den DNS-Server wie bei allen Diensten austauschen. Die Kosten für den Anonymitätszugang belaufen sich auf 12 € pro Monat bei unbegrenzter Nutzung aller Server, bei einem 3- oder 6-Monatsabo werden Ermäßigungen gewährt. Die Kundenbetreuung zeigte sehr freundlich. Die Internetseite ist auf Englisch, Spanisch und Chinesisch verfügbar.

38. VPNUK

Der Anonymisierungsdienst VPNUK hat seinen Geschäftssitz, wie der Name richtig vermuten lässt, in Großbritannien, prüft aber derzeit aus Datenschutzgründen eine Verlegung auf die Virgin Islands. Der Anbieter speichert keinerlei Verbindungsdaten, insbesondere keine IP-Adressen. Zusätzlich teilen sich verschiedene Nutzer eine IP-Adresse (IP-Sharing), was eine Rückverfolgung weiter erschwert. Es stehen insgesamt Dutzende Server in Großbritannien, USA, Kanada (Quebec), Deutschland, Spanien (Marratxi auf Mallorca), Schweiz (Zürich), Niederlande (Amsterdam) und Frankreich zur Verfügung. Wer eine eigene IP-Adresse benötigt, kann diese gegen Aufpreis auf den Servern in den USA und Großbritannien bekommen. Bei Letzterem ist es sogar möglich, Accounts für mehrere Benutzer zu buchen, die günstiger als eine Einzelbestellung sind. Alle Server sind verschlüsselt, der Anbieter will unter keinen Umständen Kundendaten herausgeben. VPNUK lässt pro Server nur eine bestimmte Kundenzahl zu, so dass auch bei großer Nachfrage für ausreichend Geschwindigkeit gesorgt ist. Die Benutzung ist über die Standards PPTP, OpenVPN und L2TP/IPSec möglich. OpenVPN-Verbindungen sind auch auf Port 443 möglich, um Verbindungen zum Anonymisierungsdienst im Netzwerk zu tarnen. Portsperren gibt es nicht. Davon konnte ich mich im Test auch überzeugen; leider scheint VPNUK auch Spammer anzuziehen, weswegen zumindest die PPTP-Server auf Spam-Blacklists standen und ein Mailversand über GMX deshalb nicht möglich war. Über die OpenVPN-Server klappte es. Bislang hat der Anbieter nach eigenen Angaben über 3.000 Kunden.

Etwas zu wünschen übrig lassen die Zahlungsweisen: Es werden nur Paypal einschließlich Kreditkarte, Moneybookers und Google Checkout angeboten. Die Geschwindigkeiten waren im Test mit einem ADSL-16.000-KBit/s-Anschluss im Großen und Ganzen wie üblich. Beim US-Server dauerte ein Ping zu einem Berliner Server 180 ms länger als sonst und es wurden 2.260 KBit/s im Downstream erreicht, was für US-Verhältnisse von Deutschland recht gut erscheint. In Kanada wurden 2.050 KBit/s im Downstream erreicht, Pingzeit plus 200 ms. In Spanien lag die Downloadrate bei 4.690 KBit/s im Downstream und 730 KBit/s im Upstream, die Pingzeit verlängerte sich um 62 ms. Recht gut war die Geschwindigkeit auch in Frankreich und der Schweiz mit je ungefähr 5.800 KBit/s und 420 KBit/s im Down- und Upstream bei einer Pingzeitverlängerung von 23 ms (Niederlande nur 5 ms). Zur Zensurrestistenz: VPNUK betreibt eigene DNS-Server und speichert keine URL-Anfragen. Gesperrt werden lediglich einige Filesharing-Seiten in den USA und Großbritannien, weil dort Raubkopien vermehrt per DMCA-Beschwerden (Beispiel) geahndet werden. Preislich kostet die unbegrenzte Nutzung eines Servers für einen Monat meist 6,50 GBP (Spanien und Schweiz etwas mehr), ein optional erhältlicher zweiter Server 3,50 GBP, ein dritter dann aber wieder 5 GBP. Die Kundenbetreuung war freundlich, allerdings ein wenig überlastet, E-Mail-Anfragen wurden meist erst nach 2 oder 3 Tagen beantwortet. Andererseits bietet VPNUK einen Online-Chat an, der anders als bei den meisten Anbietern im Testzeitraum auch tatsächlich besetzt war.

39. Cinipac

Seinen Geschäftssitz in Panama hat der Anonymisierungsanbieter Cinipac. Cinipacs Prinzip, keinerlei Verbindungsdaten zu speichern, gilt nicht nur für den angebotenen VPN-Dienst, sondern auch für die Webspace-Angebote (abgesehen von Admin-Logins und Errorlogs, die 24 Stunden gespeichert werden) und den E-Mail-Dienst, wovon es auch eine kostenlose, wenn auch leicht dubios aussehende Variante gibt. Bei Webspace-Angeboten registriert Cinipac die Domain auf Wunsch auf sich selbst und garantiert, dass das die Präsenz nicht abgeschaltet wird. Außerdem bietet Cinipac registrierte SIM-Karten des britischen Anbieters Sim4Travel an, auf Wunsch auch T-Mobile-, Vodafone-, E-Plus- und T-Mobile-USA-SIM-Karten (siehe auch Kartentausch). In Kürze will Cinipac SIM-Karten auch in Verbindung mit Handys anbieten. Obendrein bietet Cinipak einen öffentlich zugänglichen, kostenlosen und speicherfreien Jabber-Server (zum Chatten). VPN-Nutzern bietet Cinipac Server in den Niederlanden und in Malaysia, die USA-Server sind temporär ausgebucht. Gewöhnlich teilen sich die Nutzer eines Servers eine IP-Adresse, auf Wunsch sind Portweiterleitungen (außer in den USA) und individuelle IP-Adressen möglich. Cinipac mietet keine Server, sondern ist selbst Eigentümer. Alle VPN-Server sollen vollverschlüsselt sein, zudem würden dort nur Kunden-IDs gespeichert, so dass eine Beschlagnahme nutzlos wäre. Sonstige Rechner seien Truecrypt-verschlüsselt. Eine Datenherausgabe an Behörden will Cinipac unter allen Umständen verhindern, allerdings behalte man sich vor, bei erheblichen Straftaten wie der Verbreitung von Kinderpornografie über gemieteten Webspace den Account abzuschalten. Als Zugangsmethoden werden OpenVPN (auf Anfrage auch über alternative Ports) und Socks angeboten, PPTP befindet sich in Vorbereitung. Gesperrte oder ausgebremste Ports gibt es nicht, was auch im Test bestätigt werden konnte. Dort erreichte ich mit einem ADSL-16.000-KBit/s-Testanschluss in den Niederlanden die dort übliche Geschwindigkeit (ca. 5.200 KBit/s im Downstream), in Malaysia nur 320 KBit/s im Downstream, 75 KBit/s im Upstream und der Ping zu einem Strato-Server brauchte satte 470 ms mehr. Zur Thema Internetzensur: Cinipac verwendet eigene, speicherfreie DNS-Server. Gesperrt werden lediglich für Nutzer der Server USA oder Malaysia ein einzelner russischer Hoster (Wahome). Beim Anmelden fragt der Anbieter Name, Adresse, Telefonnummer und ein Passwort ab. Immerhin sind unter den Bezahlweisen einige datenschutzfreundliche: Ukash, Paysafecard, Webmoney, Pecunix, Moneybookers, Paypal und Liberty Reserve. Die Preise belaufen sich auf 10 € monatlich für den Niederlande- oder USA-Server, 15 € für den Malaysia-Server, jeweils zuzüglich 5 € Einrichtungsentgelt. Es wird ein deutscher Support angeboten, der sich im Test freundlich zeigte. Allein der Support-Chat auf der Anbieterseite war, soweit ersichtlich, nie besetzt.

40. Ideal VPN

Ideal VPN ist ein seit 2008 bestehender Anonymisierungsdienst aus Frankreich. Er vorratsspeichert Benutzernamen, Datum und Zeit und das Datenvolumen jeder Verbindung für 12 Monate. Angeblich werden keine IP-Adressen gespeichert. Die Speicherung geschehe, um die Serverauslastung besser zu steuern. Mehrere Nutzer surfen über dieselbe externe IP-Adresse. Portforwarding ist voreingestellt möglich. Es stehen mehrere Server in Deutschland und den Niederlanden zur Verfügung. Eine Kaskadierung findet nicht statt. Zur Verbindungsherstellung wird nur PPTP mit MPPE-Verschlüsselung unterstützt. Port 25 (SMTP) ist gesperrt, ein Mailverstand über Port 465 (SSL) war im Test wenigstens möglich. Beim Test des niederländischen Servers war die Geschwindigkeit wie in den Niederlanden üblich. Eine Herausgabe von Daten will Ideal VPN dann vornehmen, wenn das Gesetz den Anbieter dazu zwingt; wann das der Fall ist, scheint der Betreiber selbst nicht so genau zu wissen. Personenbezogene Anmeldedaten fragt Ideal VPN überhaupt nicht ab, unterstützt aber andererseits nur Zahlung per Paypal bzw. Kreditkartenzahlung ebenfalls per Paypal, was die Anonymität in vielen Fällen wieder zunichte machen dürfte. Idéal VPN verwendet eigene, speicherfreie DNS-Server und sperrt nach eigenen Angaben keinerlei DNS- oder IP-Adressen. Eine Flatrate kostet monatlich 4,90 €. Auf Anfragen wurde nicht immer ganz schnell, aber doch freundlich geantwortet.

41. VPN Master

VPN Master heißt ein Anonymisierungsdienst mit Sitz in den Niederlanden, der derzeit (März 2010) etwa 500 Kunden hat. Es werden keinerlei Verbindungsdaten mitgeloggt. Mehrere Nutzer teilen sich eine externe IP-Adresse, individuelle IP-Adressen oder Portweiterleitungen werden nicht angeboten. Es stehen Server in den Niederlanden und den USA bereit. Bei der Anmeldung werden Name, Adresse und Telefonnummer abgefragt, auch ist eine Bezahlung nur per Paypal und Kreditkarte möglich. Eine Datenherausgabe an Behörden erfolgt laut VPN Master nur im Fall einer gerichtlichen Anordnung. Als Verbindungsstandards werden PPTP und OpenVPN unterstützt, das optional auch auf Port 80 funktioniert. Portsperren gibt es keine und konnten im Test auch nicht festgestellt werden. Die Geschwindigkeiten waren im Test wie bei den genannten Ländern üblich. VPN-Master verwendet eigene DNS-Server, die nichts speichern und nichts sperren. Es werden auch keine IP-Adressen gesperrt. VPN Master kostet pro Monat zwischen 4 und 8 US$ für eine Flatrate, je nachdem, ob man einen 12-, 3- oder 1-Monatsvertrag bestellt. Der Support antwortete fachkundig, mitunter aber auch überhaupt nicht. Ein Live-Chat wird angeboten, der aber leider bei keinem von drei Versuchen besetzt war.

Fazit

Schlimmer als keine Sicherheit ist falsche Sicherheit. Behalten Sie deshalb bei allen großartigen Vorteilen, die Anonymisierungsdienste bieten können, immer im Hinterkopf, dass es absolute Anonymität nicht gibt – auch nicht mit den besten Anonymisierungsdiensten. Vielmehr gehen Sie mit der Benutzung von Anonymisierungsdiensten ein neues Risiko ein, indem Sie dem Anonymisierer, der womöglich im Ausland sitzt und dessen rechtlich kaum habhaft zu werden ist, Ihre Daten anvertrauen. Anonymität ist grundsätzlich nur annäherungsweise erreichbar, und sie aufzuheben ist stets nur eine Frage des Aufwands. Verwenden Sie, wo immer möglich, Ende-zu-Ende-Verschlüsselung wie SSL oder PGP, so dass auch der Anonymisierungsanbieter nicht mitlesen kann. Forschungen der Universität Regensburg in Kooperation mit Jondos haben ergeben, dass selbst bei sicherer Verschlüsselung und Anonymisierung der IP-Adresse durch eine Zeit- und Volumenanalyse allein des verschlüsselten Verkehrs an nur einem Punkt zwischen Rechner und Anonymisierer (z.B. bei Ihrem Internetprovider) das Ansurfen bestimmter vermuteter Webseiten mit großer Wahrscheinlichkeit zugeordnet werden kann. Bei den üblichen VPN-Implementierungen wie OpenVPN und IPSec soll die Erfolgswahrscheinlichkeit dessen bei über 90% liegen.

Im Übrigen sind Sie bei keinem Anonymisierungsdienst anonym, solange sie eingewählt sind. Denn für die Dauer der Verbindung ist der Weg zu Ihnen technisch auf jeden Fall zurückverfolgbar, andernfalls könnten Sie keine Daten empfangen. Im Übrigen müssen bei Vorliegen der rechtlichen Voraussetzungen auch Anonymisierungsdienste alle greifbaren Benutzerdaten an Behörden herausgeben, woran auch die Entscheidung des Bundesverfassungsgerichts zur Vorratsdatenspeicherung nichts ändert. Lassen Sie sich nicht einreden, ein Anonymisierungsanbieter gebe gespeicherte Daten nicht heraus: Angesichts drohender Maßnahmen wie Beschlagnahme, Verhängung von Zwangs- und Bußgeldern, Inhaftierung der Geschäftsführung, Zwangsstilllegung, Gewerbeuntersagung oder gar einem Strafverfahren wegen Strafvereitelung werden Anonymisierungsanbieter behördlichen Anordnungen realistischerweise Folge leisten, soweit technisch machbar. Vielmehr deuten solche heroischen Ansinnen auf fehlenden juristischen Sachverstand hin, der ihre Daten in größere Gefahr bringen kann als ein seriöser Provider mit Vorratsdatenspeicherung. Achten Sie deshalb darauf, dass der Anbieter von vornherein so wenig wie möglich speichert. Werden Sie hellhörig, wenn Ihnen ein Anbieter Dinge wie 100%-ige Anonymität im Internet verspricht, die es nicht gibt. Bezahlen Sie kein Geld dafür, dass URLs oder sonstige Verbindungsinhalte nicht gespeichert werden – das geschieht auch sonst nicht, jedenfalls nicht beim Internetzugangsanbieter.

Bedenken Sie außerdem bei der Benutzung von Anonymisierungsdiensten, dass eBay- und Paypal-Konten teilweise wegen Hackingverdachts gesperrt wurden, nachdem deren rechtmäßiger Inhaber über Anonymisierungsserver darauf zugriff. Im Test verweigerte GMX die Anmeldung eines E-Mail-Kontos über Perfect Privacy. Auch sonst kann es sein, dass Seitenbetreiber Zugriffe über Anonymisierungsdienste mit der Begründung blockieren, diese würden häufig zu missbräuchlichen Zwecken genutzt. Handeln Sie auch bei hohem Anonymitätsgrad verantwortungsvoll im Internet. Alles andere erschwert Ihrem Anonymisierungsanbieter das Leben, erhöht dessen Preise und ist Wasser auf die Mühlen von (Un-)Sicherheitspolitikern.

Sichern Sie Ihren Browser und nutzen Sie Software, um dessen Header mit Browserbezeichnung, Sprache und anderen Informationen bei jedem Seitenaufruf zu entfernen. Löschen Sie Flash- und sonstige Cookies regelmäßig. Meiden Sie nach Möglichkeit datenhungrige Seiten und geben Sie Ihre Daten nur dort an, wo unbedingt nötig. Ein Anonymisierungsdienst auf dem höchsten technischen Niveau nützt nichts, wenn Sie Ihre Daten durch diesen freiwillig herausgeben. Sichern Sie Ihren Rechner mit restriktiv eingestellten Software- und Router-Firewalls, Antiviren- und Spyware-Programmen. Bedenken Sie beim Ausprobieren von Free- und Shareware, dass sich kostenlose Programme zunehmend durch Spyware finanzieren, also Ihr Nutzerverhalten aufzeichnen und verkaufen. Häufige Quellen von Schadsoftware jeder Art sind auch ohne ausreichenden Schutz genutzte Raubkopien, Tauschbörsen und fremde Datenträger. Schützen Sie sich vor Diebstahl, Beschlagnahme oder sonstigen Fremdzugriffen durch Vollverschlüsselungsprogramme wie etwa das quelloffene und kostenlose Truecrypt.

Vorschläge zur Ergänzung dieser Übersicht im Forum sind willkommen.

Zuletzt aktualisiert am: 20.02.2010

Jonas

Kommentare (18)

Keine Vorratsdatenspeicherung für unentgeltliche Dienste [ergänzt am 05.03.2010]

Spätestens ab dem 01.01.2009 müssen Anbieter bestimmter öffentlich zugänglicher Telekommunikationsdienste Verkehrsdaten ihrer Nutzer auf Vorrat speichern (§ 113a TKG). Das gilt für Anbieter von Festnetztelefonie, Mobiltelefonie, Internettelefonie, E-Mail, Internetzugang und Anonymisierungsdiensten. Bisher noch unbeachtet ist aber, dass die Speicherpflicht nur für entgeltliche oder kommerzielle Dienste gilt. Unentgeltliche Dienste müssen nicht auf Vorrat speichern. Ihnen ist die Vorratsdatenspeicherung sogar unter Bußgeldandrohung verboten.

Gesetzeslage

Die Pflicht zur Vorratsdatenspeicherung ergibt sich in Deutschland aus § 113a TKG. Diese Vorschrift ist nur auf „Telekommunikationsdienste“ anwendbar. Nach § 3 Nr. 24 TKG sind „Telekommunikationsdienste“ nur „in der Regel gegen Entgelt erbrachte Dienste“. Zur Erläuterung dieses Merkmals heißt es in der Begründung des entsprechenden Gesetzentwurfs: „Diese Definition entspricht Art. 2 Buchstabe c S. 1 RRL“.

Gemeint ist die EG-Richtlinie 2002/21/EG über einen gemeinsamen Rechtsrahmen für elektronische Kommunikationsnetze und -dienste. Diese Richtlinie definiert als „elektronische Kommunikationsdienste“ ebenfalls nur „gewöhnlich gegen Entgelt erbrachte Dienste“. Ursprünglich hatte die Kommission sogar nur „gegen Entgelt erbrachte Dienste“ einbeziehen wollen. Dies entsprach dem damals gültigen deutschen Telekommunikationsgesetz von 1996, das weitgehend nur für „das gewerbliche Angebot von Telekommunikation“ galt.

Das Europaparlament forderte jedoch eine Erweiterung der Rahmenrichtlinie auf alle Dienste, die „auf kommerzieller Basis“ erbracht werden. Zur Begründung führte es an: „Elektronische Kommunikationsdienste können auch ohne Entgelt, aber dennoch auf kommerzieller Basis angeboten werden“. Der Rat entschied sich schließlich für die jetzige Formulierung, wonach alle „gewöhnlich gegen Entgelt erbrachte[n] Dienste“ erfasst sind. Eine Begründung für diese Formulierung gab der Rat nicht.

Es liegt jedoch auf der Hand, dass als Kompromiss schlichtweg die Definition von Dienstleistungen aus dem EG-Vertrag übernommen wurde (Art. 50 EG). Der EG-Vertrag definiert Dienstleistungen in Artikel 50 wie folgt: „Dienstleistungen im Sinne dieses Vertrags sind Leistungen, die in der Regel gegen Entgelt erbracht werden, soweit sie nicht den Vorschriften über den freien Waren- und Kapitalverkehr und über die Freizügigkeit der Personen unterliegen. Als Dienstleistungen gelten insbesondere: a) gewerbliche Tätigkeiten, b) kaufmännische Tätigkeiten, c) handwerkliche Tätigkeiten, d) freiberufliche Tätigkeiten.“ Das Merkmal „in der Regel gegen Entgelt erbracht“ wurde also wortgleich in die TK-Rahmenrichtlinie übernommen, was sich auch an den anderen Sprachfassungen der Richtlinie zeigt. Diese Anlehnung an den EG-Vertrag war sinnvoll, denn die Rahmenrichtlinie ist auf Grundlage der Binnenmarktkompetenz der EG ergangen. Die EG darf keine Dienstleistungen regulieren, die nicht Gegenstand des Binnenmarktes sind.

Die Definition elektronischer Kommunikationsdienste in der Rahmenrichtlinie gilt nach Art. 2 Abs. 1 der Richtlinie 2006/24/EG auch für die Vorratsdatenspeicherung. Die Richtlinie zur Vorratsdatenspeicherung gilt nach ihrem Art. 3 nur für „elektronische Kommunikationsdienste“ in diesem Sinne. Weitere Dienste konnte die Richtlinie zur Vorratsdatenspeicherung auch nicht einbeziehen, denn sie ist ebenfalls auf der Grundlage der Binnenmarktkompetenz ergangen (Art. 95 EG) und darf daher nur den Binnenmarkt regeln.

Die Reichweite des § 113a TKG ist somit letztlich identisch mit der Reichweite des Art. 50 EG. Der deutsche Gesetzgeber wollte nicht nur die Definition des „Telekommunikationsdienstes“ in § 3 TKG dem EG-Recht entnehmen (siehe Begründung). Auch die Vorratsdatenspeicherung selbst wollte er insoweit nur entsprechend der europarechtlichen Vorgaben umsetzen. Das ergibt sich schon aus dem Titel des Umsetzungsgesetzes, aber auch aus der Entwurfsbegründung (Seiten 30 und 69). Der Bundestag wollte (außer Anonymisierungsdiensten) nur diejenigen Anbieter zur Vorratsdatenspeicherung verpflichten, die er nach der EG-Richtlinie zur Vorratsdatenspeicherung verpflichten musste. Das Bundesverfassungsgericht hat auch zum Europäischen Haftbefehl entschieden, dass Vorgaben des Europarechts möglichst grundrechtsfreundlich und restriktiv umzusetzen sind. Auch bei der Anwendung des Umsetzungsgesetzes ist eine grundrechtsfreundliche Auslegung vorzunehmen. Eine verfassungskonforme Auslegung des § 113a TKG verlangt, die Vorratsdatenspeicherung nicht – unter Verstoß gegen deutsche Grundrechte und das Verhältnismäßigkeitsgebot – weiter zu ziehen als europarechtlich geboten.

Rechtsprechung zum Merkmal „in der Regel gegen Entgelt“

Zu der Frage, wann eine Leistung „in der Regel gegen Entgelt erbracht“ wird, sind viele Entscheidungen des Europäischen Gerichtshofs ergangen. Im Grundsatzurteil „Humbel“ aus dem Jahr 1988 hat der Gerichtshof entschieden: „Nach Artikel 60 Absatz 1 EWG-Vertrag fallen unter das Kapitel über die Dienstleistungen nur ‚Leistungen, die in der Regel gegen Entgelt erbracht werden‘. Selbst wenn der Begriff des Entgelts in den Artikeln 59 ff. EWG-Vertrag nicht ausdrücklich definiert worden ist, kann seine Bedeutung aus Artikel 60 Absatz 2 EWG-Vertrag erschlossen werden, wonach als Dienstleistungen insbesondere gewerbliche, kaufmännische, handwerkliche und freiberufliche Tätigkeiten gelten. Das Wesensmerkmal des Entgelts ist also, daß es die wirtschaftliche Gegenleistung für die betreffende Leistung darstellt, wobei die Gegenleistung in der Regel zwischen dem Erbringer und dem Empfänger der Leistung vereinbart wird.“

In späteren Urteilen hat der Gerichtshof klargestellt, dass eine solche Gegenleistung auch vorliegen kann, wenn sie von einer anderen Person als dem Empfänger der Leistung gezahlt wird. So wird das Privatfernsehen als gegen Entgelt erbrachte Leistung angesehen, weil es werbefinanziert ist. In der Tat kann man das Privatfernsehen als entgeltliche Leistung an die Werbekunden ansehen, die dazu dient, Zuschauer für die Werbeeinblendungen anzuziehen. Auch hat der Gerichtshof die Leistungen von Krankenhäusern als gegen Entgelt erbracht angesehen, weil die Krankenhäuser von den Krankenkassen – wenn auch im Wege von Pauschalen – finanziert werden.

Wichtig ist nun, dass der Gerichtshof auf den jeweiligen Dienst abstellt. Das Merkmal „in der Regel“ geht also nicht so weit, dass die Mehrzahl aller Dienste einer Art entscheidend wäre. Vielmehr hat der Gerichtshof beispielsweise bei Universitäten festgestellt, dass die Dienstleistungsfreiheit auf öffentliche, aus Steuergeldern finanzierte Universitäten keine Anwendung findet, auf Privathochschulen derselben Art aber doch. Entscheidend ist also, ob der jeweilige Anbieter seine Leistungen „in der Regel gegen Entgelt“ erbringt oder nicht. Entsprechend Art. 2 EG muss der Dienst dem „Wirtschaftsleben“ zuzuordnen sein.

Am Beispiel öffentlicher Schulen hat der Gerichtshof festgestellt, dass deren staatliche Finanzierung noch keine entgeltliche Leistung begründet. Bei der staatlichen Finanzierung handele es sich nicht um eine Gegenleistung gerade für die erbrachten Leistungen. Sogar ein zwingend erhobenes Schulgeld begründe keine entgeltliche Leistung, solange die Einrichtung im wesentlichen aus öffentlichen Mitteln finanziert werde. Dass ein Dienst (notwendig) auf die eine oder andere Weise finanziert werden muss, begründet also noch keine entgeltliche Leistung. Die Finanzierung muss vielmehr gerade als Gegenleistung für den Dienst angesehen werden können.

Anwendung auf die Pflicht zur Vorratsdatenspeicherung

Für Telekommunikationsdienste und die Pflicht zur Vorratsdatenspeicherung gilt danach folgendes:

In der Regel gegen Entgelt erbracht werden jedenfalls diejenigen Dienste, die sich im Wesentlichen aus Gegenleistungen der Nutzer finanzieren. Solche Dienste müssen also auf Vorrat speichern.

In der Regel gegen Entgelt erbracht werden auch diejenigen Dienste, die sich im Wesentlichen aus Werbeeinnahmen – etwa Bannerwerbung – finanzieren und die auf Gewinnerzielung gerichtet sind. Danach müssen etwa die kommerziellen Freemail-Dienste auf Vorrat speichern, auch wenn ihre Nutzer kein Entgelt zahlen müssen.

In der Regel unentgeltlich erbracht werden dagegen Dienste, für die keine wesentliche Gegenleistung erbracht wird, weder von den Nutzern noch von Dritten. Bietet beispielsweise eine Privatperson einen Freemaildienst, einen öffentlichen WLAN-Internetzugang oder einen Tor-Server unentgeltlich und aus eigenen Mitteln finanziert an, so liegt kein in der Regel gegen Entgelt erbrachter Telekommunikationsdienst vor und gilt die Vorratsdatenspeicherungspflicht nach § 113a TKG nicht.

In der Regel unentgeltlich erbracht werden auch staatliche Dienste. Manche Gemeinden bieten beispielsweise kostenlose Internetzugänge oder E-Mail-Konten an. Solche im Wesentlichen steuerfinanzierten Dienste sind von der Vorratsdatenspeicherung ausgenommen. Dies gilt selbst dann, wenn von den Nutzern zwar ein Unkostenbeitrag erhoben wird, dieser aber nur einen untergeordneten Teil der Kosten deckt. Diese Konstellation ist nicht anders zu beurteilen als die Erhebung von Schulgeld oder Studiengebühren, über die der Europäische Gerichtshof bereits entschieden hat.

Dementsprechend verliert auch ein privater unentgeltlicher Dienst seinen unentgeltlichen Charakter nicht stets dadurch, dass ein Unkostenbeitrag erhoben oder entgeltliche Werbung eingeblendet wird, solange die Einnahmen daraus nur einen untergeordneten Beitrag zu den Kosten des Dienstes ausmachen. Wer sicher gehen will, von der Pflicht zur Vorratsdatenspeicherung ausgenommen zu sein, sollte auf solche Finanzierungsquellen allerdings verzichten.

Dienste, die von nicht-kommerziellen Anbietern (z.B. Privatpersonen oder Vereinen) ohne Gewinnerzielungsabsicht erbracht werden, die aber ihre Unkosten im Wesentlichen aus Zahlungen der Nutzer oder der Werbekunden decken, werden als „in der Regel gegen Entgelt erbracht“ anzusehen sein. Denn das Merkmal „gegen Entgelt“ fordert keine Gewinnerzielungsabsicht. Dementsprechend hat der Europäische Gerichtshof etwa Privatschulen oder Krankenhäuser als entgeltliche Anbieter angesehen, ohne eine Gewinnerzielungsabsicht vorauszusetzen. Auch nicht-kommerzielle Angebote unterfallen danach der Vorratsdatenspeicherung, wenn sie gegen Entgelt erbracht werden.

Zweifelhaft ist die Behandlung von Diensten, deren Unkosten zwar im Wesentlichen aus eigenen Mitteln gedeckt werden, die aber von kommerziellen Anbietern „nebenbei“ als Serviceleistung angeboten werden. Beispielsweise bieten einige Unternehmen neben ihren kostenpflichtigen Leistungen auch einen öffentlichen kostenlosen Webmail-Dienst an. Die Frage ist, ob schon in der Eigenwerbung, also der Werbung für die eigenen kommerziellen Angebote des Unternehmens, ein Entgelt für den an sich kostenlosen Dienst zu sehen ist. Art. 50 EG erfasst insbesondere gewerbliche Dienste, und ein kommerzielles Unternehmen dient stets der Gewinnerzielung. Zudem hat der Gerichtshof zur Tabakwerbung entschieden, dass kommerzielle Werbung dem Binnenmarkt unterfällt.

Unentgeltliche Dienste eines kommerziellen Unternehmens sind daher als „in der Regel gegen Entgelt erbracht“ anzusehen, wenn sie der Werbung für entgeltliche Angebote des Unternehmens dienen. Bei kommerziellen Unternehmen spricht ein gewisser Anschein dafür, dass ihre Dienstleistungen letztlich der eigenen Gewinnerzielung dienen. Gleichwohl muss nicht jeder Dienst eines kommerziellen Unternehmens der Werbung für die eigenen entgeltlichen Angebote dienen. Ist beispielsweise das unentgeltliche Angebot von der gewerblichen Tätigkeit des Anbieters klar getrennt, weil es etwa über ein gesondertes Portal ohne Eigenwerbung angeboten wird, so wird ein in der Regel unentgeltliches Angebot vorliegen, das nicht der Vorratsdatenspeicherung unterfällt. Ist das unentgeltliche Angebot hingegen in den kommerziellen Auftritt des Unternehmens eingebettet, so wird in der Regel ein Werbeinteresse und damit ein entgeltliches Angebot anzunehmen sein.

Zusammenfassend ist festzuhalten, dass von der Pflicht zur Vorratsdatenspeicherung solche Angebote ausgenommen sind, die im Wesentlichen aus eigenen Mitteln des Anbieters finanziert werden und die auch nicht der Werbung für kostenpflichtige Leistungen dienen. Bietet beispielsweise eine Privatperson einen E-Mail-Dienst, einen öffentlichen WLAN-Internetzugang oder einen Tor-Server unentgeltlich an, den sie im Wesentlichen aus eigenen Mitteln und nicht aus Einnahmen der Nutzer oder von Werbekunden finanziert, so gilt die Vorratsdatenspeicherungspflicht nach § 113a TKG nicht.

Verbot der Vorratsdatenspeicherung für nicht-kommerzielle Angebote

Unentgeltliche Angebote sind nicht nur von der Pflicht zur Vorratsdatenspeicherung ausgenommen. Der Anbieter darf auch nicht „freiwillig“ Daten auf Vorrat speichern. Dies ergibt sich aus § 96 Abs. 2 TKG, wonach Verkehrsdaten nach Beendigung der Verbindung unverzüglich zu löschen sind, wenn sie nicht „für die durch […] gesetzliche Vorschriften begründeten Zwecke erforderlich sind“. Diese Löschungspflicht gilt laut § 91 TKG für alle geschäftsmäßigen Anbieter von Telekommunikationsdiensten. Dies sind nach § 3 Nr. 10 TKG alle „nachhaltigen“ Anbieter von Telekommunikation, auch wenn ihr Angebot unentgeltlich ist.

Dass eine „freiwillige“ Vorratsdatenspeicherung, wie sie zur Zeit etwa Internetzugangsanbieter praktizieren, auch nicht aus „Sicherheitsgründen“ nach § 100 TKG vorgenommen werden darf, ist schon an anderer Stelle ausführlich erläutert worden.

Wer gegen das Verbot der Vorratsdatenspeicherung in § 96 TKG verstößt, handelt ordnungswidrig und kann von der Bundesnetzagentur mit einer Geldbuße bis zu zehntausend Euro belegt werden (§ 149 Abs. 1 Nr. 17 TKG). Eine Anzeige kann jeder erstatten. Ordnungswidrig handelt allerdings auch, wer nicht auf Vorrat speichert, obwohl er dazu verpflichtet ist. Jeder Anbieter von Telefonie, E-Mail, Internetzugang oder Anonymisierung sollte daher sicher stellen, dass er sich korrekt verhält. Im Zweifelsfall sollte er bei der Bundesnetzagentur nachfragen.

Nichtöffentliche Dienste

Die Vorratsdatenspeicherung gilt nur für Angebote, die öffentlich zugänglich sind (§ 113a TKG). Es handelt sich um eine selbständige Einschränkung neben der oben genannten Entgeltlichkeit. Die Vorratsdatenspeicherungspflicht gilt also nur, wenn ein Dienst sowohl in der Regel entgeltlich erbracht wird als auch öffentlich zugänglich ist. Fehlt auch nur eine dieser beiden Voraussetzungen, ist die Vorratsdatenspeicherung nicht anwendbar und verboten.

Öffentlich zugänglich ist ein Dienst, wenn ihn jeder – und nicht nur bestimmte Benutzergruppen – nutzen kann. Dass ein Dienst nur Mitgliedern eines Vereins offen steht, ändert nichts an seiner öffentlichen Zugänglichkeit, wenn jeder Vereinsmitglied werden kann. Nicht öffentlich zugänglich sind dagegen Dienste etwa von Arbeitgebern oder Universitäten, weil diese nur von einer begrenzten Personengruppe in Anspruch genommen werden können. Diese Anbieter sind zur Vorratsdatenspeicherung weder verpflichtet noch berechtigt.

Ausweichmöglichkeiten für entgeltliche Dienste

Die deutsche Vorratsdatenspeicherungspflicht gilt nicht für Personen und Unternehmen, die ihren Sitz im Ausland haben. Sie müssen sich dann allerdings an das Recht in ihrem Sitzland halten.

Die FDP hat einen Gesetzentwurf vorgelegt, demzufolge in Deutschland auch über den 01.01.2009 hinaus keine Bußgelder wegen Nichtumsetzung der Vorratsdatenspeicherung verhängt werden sollen. Ob die Koalition Einsicht zeigt und diesem Entwurf zustimmt, muss aber bezweifelt werden.*

Deutsche Anbieter sind nach einer Entscheidung des Verwaltungsgerichts Berlin solange nicht zur Vorratsdatenspeicherung verpflichtet, wie sich die Bundesnetzagentur nicht zur vollständigen Erstattung ihrer Umsetzungskosten verpflichtet für den Fall, dass das Bundesverfassungsgericht die Vorratsdatenspeicherung oder den Ausschluss der Kostenerstattung für verfassungswidrig erklärt.

Anbieter, die sich auf die fehlende Kostenerstattung berufen wollen, um auch 2009 nicht auf Vorrat speichern zu müssen, sollten die Bundesnetzagentur unter Fristsetzung auffordern, sich zu verpflichten, entweder ihre Kosten im Fall der Verfassungswidrigkeit zu erstatten oder aber von einer Erzwingung der Vorratsspeicherung abzusehen. Ein solches Aufforderungsschreiben könnte etwa so aussehen:

Bundesnetzagentur
Referat IS 16
Postfach 80 01
55003 Mainz
Fax: (06131) 18 5632

Sehr geehrte Damen und Herren,

ich biete einen öffentlich zugänglichen Telekommunikationsdienst für Endnutzer an, nämlich … (Festnetztelefonie / Mobiltelefonie / Internettelefonie / E-Mail / Internetzugang / Anonymisierungsdienst). § 113a TKG verpflichtet mich daher, Verkehrsdaten auf Vorrat zu speichern. Die Anschaffung und Einrichtung der dazu erforderlichen Anlagen würde mir jedoch erhebliche Investitions- und Vorhaltekosten verursachen, die mir nicht erstattet würden (§ 110 TKG).

Unter Berufung auf den Beschluss des Verwaltungsgerichts Berlin vom 17.10.2008 (Az. VG 27 A 232.08) fordere ich Sie daher auf, sich zu verpflichten

a) meine Investitions- und Vorhaltekosten zu erstatten, falls die Vorratsdatenspeicherungspflicht oder der Ausschluss der Kostenerstattung für verfassungswidrig erklärt werden oder

b) keine Maßnahmen zur Erzwingung der Vorratsdatenspeicherung gegen mich einzuleiten.

Falls Sie mir nicht bis zum … (zwei Wochen ab Briefdatum) eine solche Zusicherung übersenden, werde ich einen Antrag auf Erlass einer entsprechenden einstweiligen Anordnung bei dem Verwaltungsgericht Berlin einreichen lassen.

Mit freundlichem Gruß,

Falls diese Aufforderung keinen Erfolg hat, sollte man vor dem Verwaltungsgericht Berlin eine einstweilige Anordnung erwirken, wie sie die British Telecom bereits erhalten hat. Der Erfolg eines solchen Antrags ist nach der bereits ergangenen Entscheidung als nahezu sicher anzusehen.* Die Entscheidung des Verwaltungsgerichts hebt nämlich nicht maßgeblich auf die Situation gerade der British Telecom ab, sondern nennt grundsätzliche Argumente, die für jeden Anbieter gelten. Das Verwaltungsgericht Berlin ist auch für Anbieter im gesamten Bundesgebiet zuständig, weil sich der Antrag gegen das Bundeswirtschaftsministerium mit Sitz in Berlin richtet (siehe den ungekürzten Beschluss).

Weitere Informationen:

Ergänzung vom 09.12.2008:

Für die hier vorgenommene Auslegung des Merkmals „in der Regel gegen Entgelt“ spricht auch die Parallele zu § 5 Telemediengesetz (TMG). Auch § 5 TMG erfasst nämlich nur „in der Regel gegen Entgelt“ angebotene Dienste. Dazu heißt es in der Begründung des Gesetzentwurfs, dass Angebote, „die keinen wirtschaftlichen Hintergrund haben“, ausgenommen seien. Auch das Oberlandesgericht Hamburg hat bereits entschieden, dass „nicht-kommerzielle Angebote“ nicht erfasst sind. Das Oberlandesgericht Düsseldorf meint sogar, selbst das Einblenden von Werbebannern begründe noch kein Handeln gegen Entgelt.

In Österreich hat sich das OLG Innsbruck ausführlich mit dem Merkmal „in der Regel gegen Entgelt“ beschäftigt und stets einen kommerziellen Hintergrund des jeweiligen Angebots gefordert:

Laut den Gesetzesmaterialien (siehe dazu die EB-RV abgedruckt bei Burgstaller/Minichmayr E-Commerce-Gesetz Praxiskommentar zu § 3) handelt es sich bei den von der E-Commerce-Richtlinie (EC-RL) geregelten Diensten der Informationsgesellschaft – grob gesagt – um kommerzielle elektronische Dienste, um Dienste, die in Ertragsabsicht erbracht werden. Nach der Rechtsprechung des Europäischen Gerichtshofes muss das Entgelt die wirtschaftliche Gegenleistung für die bereitgestellte Leistung darstellen. Der Ausdruck „in der Regel gegen Entgelt“ wirft laut den Gesetzesmaterialien einige Verständnisfragen auf. Er wurde dennoch beibehalten. Auslegungsprobleme können sich demnach im Zusammenhang mit dem Entgeltlichkeitserfordernis dann ergeben, wenn – wie es gerade im Internet häufig der Fall ist – zunächst unentgeltlich Leistungen zur Verfügung gestellt werden und der Nutzer erst dann ein Entgelt entrichten muss, wenn er eine vorerst unentgeltlich in Anspruch genommene Leistung weiter beziehen will. Im Allgemeinen wird demnach hier eine Gesamtschau anzustellen sein, sodass auch die unentgeltlich angebotenen Leistungen schon Bestandteil eines Dienstes der Informationsgesellschaft sind. Ferner ist es nicht erforderlich, dass ein Nutzer für jede einzelne Dienstleistung ein Entgelt entrichtet. Vielmehr liegt auch dann ein Dienst der Informationsgesellschaft vor, wenn eine einzelne Leistung unentgeltlich abgerufen werden kann; diesem Abruf aber eine – entgeltliche – Rahmenbeziehung zugrundeliegt. Darüber hinaus ist es nicht geboten, dass die Dienste von demjenigen vergütet werden, der sie empfängt. Auch eine von einem Sponsor finanzierte, vom Nutzer unentgeltlich abrufbare Website kann beispielsweise ein Dienst der Informationsgesellschaft sein. Selbst ein content-Angebot, das zwar ohne Werbeeinschaltungen, aber als Eigenwerbung in einem Kommunikationsnetz bereit gestellt wird, ist ein Dienst der Informationsgesellschaft (EB-RV).

Ergänzung vom 13.12.2008:

Erwartungsgemäß hat der Rechtsausschuss des Bundestages mit den Stimmen von SPD und Union gegen die Stimmen von FDP, Grünen und Linken empfohlen, den Gesetzentwurf der FDP zur Verlängerung der Übergangsfrist zur Vorratsdatenspeicherung abzulehnen. SPD und Union haben es nicht für nötig gehalten, ihre Ablehnung zu begründen. Zu näheren Einzelheiten und zum Ausgang der Endabstimmung am 18.12.2008 siehe das Informationssystem des Bundestags.

Ergänzung vom 16.12.2008:

Nach Auskunft der Bundesregierung ist gegen den Beschluss des Verwaltungsgerichts Berlin, wonach die British Telecom nicht zur Vorratsdatenspeicherung verpflichtet sei, Beschwerde eingelegt worden. Eine Entscheidung des Oberverwaltungsgerichts über die Beschwerde liegt noch nicht vor.

Ergänzung vom 15.01.2009:

Besser als aus der deutschen Fassung der Telekommunikationsrichtlinie 2002/21/EG ergibt sich aus den anderen Sprachfassungen, dass der jeweilige Dienst – und nicht die Mehrzahl der Dienste einer Art – gewöhnlich gegen Entgelt erbracht werden muss.

In der englischen Fassung lautet Art. 2 Buchst. c RiL 2002/21/EG:

„electronic communications service“ means a service normally provided for remuneration […]

Auch in der französischen Fassung definiert Art. 2 Buchst. c „service de communications électroniques“ als „le service fourni normalement contre rémunération […]“. Nur die deutsche Fassung verursacht Verwirrung, weil „elektronische Kommunikationsdienste“ im Plural als „gewöhnlich gegen Entgelt erbrachte Dienste“ definiert werden. Diese schlechte Übersetzung kann allerdings keinen Einfluss auf die einheitliche und zutreffende Auslegung des Begriffs haben.

Ergänzung vom 03.02.2009:

Das Verwaltungsgericht Berlin hat am 16.1.2009 auch einem Antrag des Anbieters QSC stattgegeben. Das Unternehmen dürfe nicht mit einem Bußgeld bestraft werden, wenn es die Infrastruktur zur Vorratsdatenspeicherung nicht bereithalte, entschied das VG Berlin.

Der Beschluss vom 16.01.2009 (Az. VG 27 A 322.08) steht im Volltext zum Abruf bereit. Er macht deutlich, dass er nicht auf den Besonderheiten des Einzelfalls beruht, sondern dass jeder Anbieter einen solchen Beschluss erwirken kann.

Ergänzung vom 21.04.2009:

Auf Anfrage des Europaabgeordneten Alexander Alvaro (FDP/ALDE) bestätigt die EU-Kommission in ihrer Antwort vom 16.04.2009:

Gemäß Artikel 2 der Richtlinie über die Datenvorratsspeicherung finden u. a. die Begriffsbestimmungen der Rahmenrichtlinie 2002/21/EG Anwendung. In Artikel 2 Buchstabe c) der Rahmenrichtlinie wird der Begriff „elektronische Kommunikationsdienste“ definiert. Eine Komponente der Begriffsbestimmung besteht darin, dass der Dienst „gewöhnlich gegen Entgelt erbracht“ wird. Dies gibt den Wortlaut von Artikel 50 des Vertrages zur Gründung der Europäischen Gemeinschaft wieder, der den Begriff „Dienstleistungen“ im Zusammenhang mit der Freizügigkeit und dem freien Dienstleistungs- und Kapitalverkehr definiert. Diese Begriffsbestimmung ist für die Auslegung der Rahmenrichtlinie und der Richtlinie über die Datenvorratsspeicherung maßgeblich, da sich beide Richtlinien auf Artikel 95 EG-Vertrag stützen, der Maßnahmen für das Funktionieren des Waren-, Personen-, Dienstleistungs- und Kapitalbinnenmarktes zum Gegenstand hat.

Die Begriffsbestimmung der Dienstleistung laut EG-Vertrag verlangt nicht, dass die Gebühr von dem Dienstleistungsnutzer oder –teilnehmer erhoben wird, sondern sie deckt auch Sachverhalte ab, bei denen Dritte die Gebühr bezahlen. Unter die Begriffsbestimmung fallen insbesondere Dienstleistungen kommerzieller Art. Andererseits handelt es sich bei einer Tätigkeit, die nicht selbst wirtschaftlicher oder kommerzieller Art ist oder mit einer solchen Tätigkeit in Verbindung steht, nicht um eine Dienstleistung im Sinne des EG-Vertrags.

Nicht die Kommission ist für die Auslegung des Gemeinschaftsrechts zuständig, sondern die Gerichte und in letzter Instanz der Europäische Gerichtshof. Um festzustellen, ob eine Tätigkeit eine Dienstleistung darstellt, muss jeder Fall einzeln geprüft werden.

Die EU-Kommission bestätigt damit erstens, dass die Pflicht zur Vorratsdatenspeicherung nur für Angebote gilt, die wirtschaftlicher oder kommerzieller Art sind oder mit einer solchen Tätigkeit in Verbindung stehen, nicht aber für unentgeltliche Dienste ohne kommerziellen Hintergrund. Zweitens bestätigt sie, dass es auf das jeweilige Angebot ankommt und „jeder Fall einzeln geprüft werden“ muss. „In der Regel gegen Entgelt erbrachte Dienste“ bietet ein Anbieter daher nur an, wenn er selbst für seine Dienste regelmäßig ein Entgelt erhält, und nicht schon, wenn für Dienste dieser Art Entgelte branchenüblich sind. Bietet beispielsweise eine Privatperson oder ein Verein einen E-Mail-Dienst, einen öffentlichen WLAN-Internetzugang oder einen Tor-Server unentgeltlich an, den sie im Wesentlichen aus eigenen Mitteln und nicht aus Einnahmen der Nutzer oder von Werbekunden finanzieren, so gilt die Vorratsdatenspeicherungspflicht nicht.

Es ist zu hoffen, dass auf der Grundlage dieser Rechtslage viele private, speicherfreie Dienste entstehen werden, um die verfassungswidrige Vorratsdatenspeicherung bis zu ihrer Aufhebung zu umgehen.

Ergänzung vom 21.07.2009:

Das Bundesjustizministerium hat namens der Bundesregierung am 02.06.2009 wie folgt zu der Frage Stellung genommen (Az. IV B 1 – 1004 E (5968) – 46 426/2008):

Die tatsächliche Entgeltlichkeil des Telekommunikationsdienstes ist kein Tatbestandsmerkmal in § 113a TKG. Nach der Definition des § 3 Nr. 24 TKG reicht es für die Bejahung eines Telekommunikationsdienstes aus, dass dieser „in der Regel gegen Entgelt“ erbracht wird. Nach § 113a TKG ist zudem erforderlich, dass der Telekommunikationsdienst „öffentlich zugänglich ist“ und „für Endnutzer“ erbracht wird.

Das Merkmal „in der Regel gegen Entgelt“ in der Begriffsbestimmung gemäß § 3 Nr. 24 TKG wird von der BNetzA auf die Art des Dienstes (den Typus des Dienstes) und nicht auf das konkrete Dienstangebot bezogen ausgelegt. Da Telefonie-, Dienste der elektronischen Post oder Internetzugangsdienste „in der Regel gegen Entgelt“ erbracht werden (wenn auch häufig als Teil eines pauschalierten Entgelts oder um Kunden an ein Unternehmen zu binden oder auch nur um Werbung zu lancieren), handelt es sich bei diesen Diensten um einen Telekommunikationsdienst im Sinne von § 3 Nr. 24 TKG. Hiernach unterliegen die in § 113a TKG aufgeführten Dienste auch dann, wenn sie im individuellen Fall unentgeltlich (altruistisch) angeboten werden, grundsätzlich der Speicherpflicht, sofern sie für die Öffentlichkeit und für Endnutzer erbracht werden.

In der Praxis der BNetzA ist als konkretes Beispiel für z. T. auch unentgeltlich erbrachte Dienste insbesondere das Angebot von E-Mail-Diensten zu nennen, zumal diese Dienste häufig auch im Zusammenhang mit einer anderen Dienstleistung erbracht werden und dann als kostenlose Zusatzdienstleistung wahrgenommen werden. Dies ist z. B. häufig bei dem Angebot von Web-Space, Intemetauftritten von Foren, Vereinen und sonstiger Interessensvertretungen so. Bei Anfragen zur Verpflichtung zur Vorratsdatenspeicherung bei E-Mail kommt regelmäßig der Aspekt der Unentgeltlichkeit dieser Dienste zur Sprache. In zahlreichen Foren im Internet wird demgegenüber die Meinung vertreten, dass keine Verpflichtung zur Speicherung von Vorratsdaten besteht, wenn das konkrete Dienstangebot unentgeltlich ist. Bei den anderen beiden Diensten des § 113a TKG (Telefonie und Internetzugänge) wurde die Unentgeltlichkeit bisher noch nicht als Argumentationsgrundlage für eine fehlende Verpflichtung zur Vorratsdatenspeicherung herangezogen.
Bei den Anonymisierungsdiensten ist das Feld in der Praxis uneinheitlich. Es gibt vereinzelt auch unentgeltliche Angebote. Dem Grunde nach ist der Dienst aber in der Regel entgeltlich.

Die Europäische Kommission hat im April 2009 auf die Anfrage eines Mitgliedes des Europäischen Parlaments geantwortet, der in Artikel 3 Absatz 1 der RL 2006/24/EG verwendete Begriff „elektronische Kommunikationsdienste“ werde von Artikel 2 lit. c der RL 2002/21/EG (Rahmenrichtlinie für elektronische Kommunikations netze und -dienste) definiert. Nach dieser Definition müsse es sich um „gewöhnlich gegen Entgelt erbrachte Dienste“ handeln. Das entspreche Artikel 50 EG. Elektronische Kommunikationsdienste, die weder selbst einen wirtschaftlichen oder gewerblichen Charakter hatten noch mit einer solchen Tätigkeit in Verbindung stünden, seien keine Dienste im Sinne von Artikel 50 EG. Um festzustellen, ob eine Tätigkeit als Dienstleistung einzustufen sei, müsse jeder Fall einzeln beurteilt werden, was letztlich Sache der Gerichte sei.

Ergänzung vom 29.07.2009:

Auf Anfrage der Bundestagsabgeordneten Grietje Staffelt (Bündnis 90/die Grünen) antwortete der Staatssekretär des Bundeswirtschaftsministeriums Dr. Otremba im Namen der Bundesregierung am 27.07.2009 (BT-Drs. 16/13855, Seite 17):

Frage:

Teilt die Bundesregierung die Auffassung der Europäischen Kommission (Antwort E-0969/2009 vom 16. April 2009) sowie der Oberlandesgerichte Hamburg und Düsseldorf (OLG Hamburg vom 03.04.2007, 3 W 64/07; OLG Düsseldorf vom 18.12.2007, 1-20 U 17/07), wonach ein elektronischer Kommunikationsdienst, der „nicht selbst wirtschaftlicher oder kommerzieller Art ist oder mit einer solchen Tätigkeit in Verbindung steht“, nicht zum Kreis der „in der Regel gegen Entgelt erbrachte[n] Dienste“ im Rechtssinne gehört ?

Antwort:

Eine Komponente der Bestimmung des Begriffes „elektronische Kommunikationsdienste“ nach Artikel 2 Buchstabe c) der Richtlinie 2002/21/EG des Europäischen Parlaments und des Rates (Rahmenrichtlinie) besteht darin, dass der Dienst „gewöhnlich gegen Entgelt“ erbracht wird. Hierin entspricht die Definition dem Wortlaut der Definition des allgemeinen Dienstleistungsbegriffs in Art. 50 EG-Vertrag.

Die Bundesregierung teilt die in der Antwort E-0969/2009 der Europäischen Kommission vom 16. April 2009 geäußerte Auffassung, dass es sich bei einer Tätigkeit, die weder selbst einen wirtschaftlichen oder gewerblichen Charakter hat noch mit einer solchen Tätigkeit in Verbindung steht, bereits nicht um eine Dienstleistung im Sinne von Artikel 50 EG-Verfrag und damit erst Recht nicht um einen elektronischen Kommunikationsdienst handelt. Bei der Beurteilung des Charakters einer Tätigkeit ist daher im Einzelfall zu prüfen, ob derartige Tätigkeiten „gewöhnlich gegen Entgelt“ erbracht werden.

Auch im Einzelfall entgeltfrei erbrachte Dienste können damit von Artikel 50 EG erfasst sein, denn der EG-Vertrag verlangt, wie die EU-Kommission weiter ausführt, nicht „dass die Gebühr von dem Dienstleistungsnutzer oder —teilnehmer erhoben wird, sondern deckt auch Sachverhalte ab, bei denen Dritte die Gebühr bezahlen“.

Die Gerichtsentscheidungen des OLG Hamburg vom 03.04.2007, 3 W 64/07 und des OLG Düsseldorf vom 18.12.2007, 1-20 U l 7/07 betreffen Telemediendienste, die nach dem Telemediengesetz (TMG) zu beurteilen waren. Feststellungen zu Telekommunikationsdiensten, die im deutschen Recht den europarechtlichen Begriff der elektronischen Komimmikationsdienste ausfüllen, wurden in diesen Gerichtsentscheidungen nicht getroffen.

Frage:

Sind solche nicht-kommerziellen und nicht-wirtschaftlichen elektronischen Kommunikationsdienste von der Pflicht zur Vorratsdatenspeicherung nach § 113a des Telekommunikationsgesetzes betroffen, wenn ja warum ?

Antwort:

Von der Pflicht zur Speicherung von Daten nach § 113a TKG ist derjenige betroffen, der öffentlich zugängliche Telekommunikationsdienste für Endnutzer erbringt. Telekommunikationsdienste sind nach § 3 Nr. 24 TKG in der Regel gegen Entgelt erbrachte Dienste, die ganz oder überwiegend in der Übertragung von Signalen über Telekommunikationsnetze bestehen, einschließlich Übertragungsdienste in Rundfunknetzen.

Ob nicht-kommerzielle und nicht-wirtschaftliche Tätigkeiten als elektronische Kommunikationsdienste im Sinne von Art. 2 Buchstabe c der Rahmenrichtline 2002/21/EG bzw. Telekommunikationsdienste im Sinne von § 3 Nr. 24 TKG einzustufen und damit von § 113a TKG betroffen sind, lässt sich nicht pauschal beantworten. Wie bereits im Hinblick auf die allgemeine Dienstleistungsdefinition in Art. 50 des EG-Vertrages, ist im Einzelfall im Hinblick auf die Art der Dienstleistung zu prüfen, ob eine Tätigkeit „gewöhnlich gegen Entgelt erbracht“ wird. Das Merkmal „in der Regel gegen Entgelt erbracht“ wird auch im Rahmen des Telekommunikationsgesetzes auf die Art der Diensteerbringung (mithin den Dienstetypus) und die Branchenüblichkeit, nicht jedoch auf die Entgeltlichkeit eines konkreten Dienstangebotes bezogen.

Zum Beispiel werden Internet-Telefoniedienste, E-Mail-Dienste und Internetzugangsdienste in der Regel gegen Entgelt erbracht (wenn auch häufig als Teil eines pauschalierten Entgelts oder werbefinanziert), weshalb es sich bei diesen Diensten um Telekommunikationsdienste im Sinne von § 3 Nr. 24 TKG handelt. Daher unterliegen solche Dienste grundsätzlich auch dann der Speicherpflicht, wenn sie im Einzelfall unentgeltlich angeboten werden.

Diese Auffassung der Bundesregierung und der Bundesnetzagentur ist aus den oben genannten Gründen falsch.

Ergänzung vom 02.10.2009:

Laut Bundesnetzagentur sind all diejenigen Webhoster von der Vorratsdatenspeicherung befreit, bei denen ein Kunde ein Email-Postfach erst einrichten muss, bevor es zur Verfügung steht. Weiter lesen…

Ergänzung vom 03.11.2009:

Auf Anfrage des Europaabgeordneten Alexander Alvaro (FDP) antwortete EU-Kommissarin Viviane Reding im Namen der EU-Kommission am 16.10.2009 (Auszug):

Die Begriffsbestimung in Artikel 2 Buchstabe c der Rahmenrichtlinie dient dazu, den Geltungsbereich des gesamten Rechtsrahmens für elektronische Kommunikationsnetze und Kommunikationsdienste im Sinne von Artikel 1 dieser Richtlinie zu definieren. Daher gelten für Dienste, auf die diese Begriffsbestimmung anwendbar ist, alle einschlägigen Bestimmungen der diesen Rechtsrahmen bildenden Richtlinien und anderer damit zusammenhängender Gemeinschaftsvorschriften, beispielsweise der Richtlinie 2006/24/EG über die Vorratsspeicherung von Daten, sowie die einschlägigen nationalen Rechtsvorschriften zur Umsetzung dieser Instrumente und die in diesen Instrumenten festgelegten Pflichten und Verfahren.

Die Begriffsbestimmung in Artikel 2 Buchstabe c der Rahmenrichtlinie spiegelt den Wortlaut von Artikel 50 des Vertrags zur Gründung der Europäischen Gemeinschaft wider, in dem der Begriff „Dienstleistungen“ in Bezug auf eine wirtschaftliche Tätigkeit sowie in Zusammenhang mit dem freien Personen-, Dienstleistungs- und Kapitalverkehr definiert wird. Damit es sich um eine Dienstleistung im Sinne des EG-Vertrags handelt, muss vor allem – wie bereits in der vorhergehenden Antwort der Kommission und vom Herrn Abgeordneten selbst in seiner Anfrage gesagt – die Verbindung zu einer Tätigkeit wirtschaftlicher oder kommerzieller Art bestehen.

Die EU-Kommission bekräftigt damit erneut, dass nur solche Dienstleistungen unter die Richtlinie zur Vorratsdatenspeicherung fallen, die eine „Verbindung zu einer Tätigkeit wirtschaftlicher oder kommerzieller Art“ aufweisen. Bei unentgeltlichen, nicht-kommerziellen Diensten besteht daher keine Pflicht zur Vorratsdatenspeicherung.

Ergänzung vom 09.12.2009:

Zu der Frage, ob kommerzielle Webhoster zur Vorratsspeicherung von E-Mail-Daten verpflichtet und berechtigt sind, heißt es im Beschluss des OVG Berlin-Brandenburg vom 02.12.2009 (Az. OVG 11 S 32.09):

Gemäß § 113 a Abs. 1 TKG hat derjenige, der öffentlich zugängliche TK-Dienste für Endnutzer erbringt, von ihm bei der Nutzung erzeugte oder verarbeitete Verkehrsdaten für sechs Monate zu speichern bzw. im Falle nicht eigener Erzeugung oder Verarbeitung der Daten die Speicherung sicherzustellen und den Verantwortlichen zu benennen. Nach Absatz 3 sind hiervon erfasst auch Anbieter von Diensten der elektronischen Post. Nur insoweit behauptet die Antragsgegnerin vorliegend auch eine Verpflichtung der Antragstellerin nach § 113 a TKG. Hieran bestehen allerdings nach Auffassung des Senats erhebliche Zweifel.

Gemäß § 3 Nr. 24 TKG sind TK-Dienste in der Regel gegen Entgelt erbrachte Dienste, die ganz oder überwiegend in der Übertragung von Signalen über TK-Netze bestehen, einschließlich Übertragungsdienste in Rundfunknetzen. Diensteanbieter ist nach § 3 Nr. 6 TKG jeder, der ganz oder teilweise geschäftsmäßig TK-Dienste erbringt oder an der Erbringung solcher Dienste mitwirkt. Nach Auffassung der Antragsgegnerin ist Anbieter der E-Mail-Funktionalität bzw. des E-Mail-Dienstes derjenige, der das elektronische Postfach (mailbox) einrichtet, d.h. die Kennung bestimmt, ohne Beteiligung des Webspace-Anbieters selbstständig die Homepage gestaltet und konfiguriert, Nachrichtendienste implementiert etc. sowie das Postfach aktiviert, und es betreibt. Erfolgt dies eigenverantwortlich durch den Kunden, dem vom Webspace-Anbieter lediglich die notwendige Hardware nebst der für die Internetpräsenz notwendigen Software – auch die für die Grundkonfiguration – zur Verfügung gestellt wird, ist jener der Anbieter (vgl. dazu die detaillierten Ausführungen im von der Antragstellerin vorgelegten Schreiben der Antragsgegnerin vom 24. August 2009 im Verfahren VG 27 L 180.09). Diese beruft sich insoweit darauf, dass das elektronische Postfach nach der Begründung des Gesetzentwurfs zu § 113 a TKG (BT-Drs. 16/5846, amtl. Abdruck S. 71 bzw. Internetabdruck S. 176 f.) die „entscheidende Quelle und Senke der E-Mail-Kommunikation“ sei. Dass diese Annahme unzutreffend ist, kann jedenfalls im vorliegenden Verfahren des vorläufigen Rechtsschutzes nicht festgestellt werden.

Wenn die Antragsgegnerin demgegenüber mit Schriftsatz vom 30. September im vorliegenden Verfahren darauf abstellt, die bloße „Unterstützung“ der Kunden durch das Zur-Verfügung-Stellen einer – die Einrichtung des Postfachs und die Verwaltung erleichternden – Konfigurationssoftware begründe die Anbieterstellung der Antragstellerin, dürfte das schon mit den eben genannten Ausführungen im Schriftsatz vom 24. August 2009 nicht zu vereinbaren sein, zumal auch der mit diesem Schreiben freigestellte Anbieter ein entsprechendes Konfigurationstool bereithält. Jedenfalls erscheint eine derartige Abgrenzung für die Frage, wer Anbieter im Sinne von Betreiber des E-Mail-Dienstes ist, wenig überzeugend. Denn die bloße Erleichterung der selbstständigen Einrichtung des Postfachs und des eigenverantwortlichen Betreibens dürfte keine Mitwirkung an der Erbringung des TK-Dienstes, d.h. der Signalübertragung über TK-Netze, sein. Welche Dienste im Bereich des Datentransfers die Antragstellerin anbietet, die auf der Grundlage ihrer vorherigen Abgrenzung unter § 113 a TKG fallen sollen, bezeichnet die Antragsgegnerin nicht. Vielmehr hält sie ihre eigene Einschätzung wohl selbst nicht für abschließend, wenn sie „zurzeit keinen Grund, von der getroffenen Einordnung des Diensteangebots abzuweichen“, sieht.

Im Übrigen lässt der Vergleich des Angebots an E-Mail-Dienstleistungen der Antragstellerin mit dem des Webhosting-Unternehmens im Verfahren VG 27 L 180.09, wie seitens der Antragstellerin zu Recht vorgetragen wird, in der Tat keine Unterschiede erkennen, stellt doch auch der dortige Anbieter seinen Kunden ein Konfigurationstool u.a. für E-Mail-Adressen zur Verfügung (vgl. die Angebote im Internet). Nach alledem spricht viel dafür, die Antragstellerin nicht als Anbieterin von TK-Dienstleistungen nach § 113 a TKG anzusehen. Dass sie sich selbst – wohl in Unkenntnis der von der Bundesnetzagentur als maßgeblich angesehenen Kriterien – als solche angesehen hat, ist unerheblich.

Siehe auch den Schriftsatz der Bundesnetzagentur vom 24.08.2009.

Ergänzung vom 05.03.2010:

Mit Urteil vom 02.03.2010 (Az. 1 BvR 256/08) hat das Bundesverfassungsgericht die Vorratsdatenspeicherung (§§ 113a und 113 TKG) aufgehoben und für nichtig erklärt. Obwohl deswegen zurzeit unerheblich ist, wie unentgeltliche Dienste zu behandeln sind, hat das Bundesverfassungsgericht auch diese Frage – entsprechend der hier vertretenen Auffassung – entschieden (Abs. 294):

Die Speicherungspflichten richten sich an solche Diensteanbieter, die öffentlich zugänglich Telekommunikationsdienste in der Regel gegen Entgelt für Endnutzer erbringen (vgl. § 113a Abs. 1, § 3 Nr. 24 TKG) und damit an Dienstleister, die die Dienste jedenfalls typischerweise zu Erwerbszwecken anbieten.

Kommentare (16)

« Vorherige Einträge
 
Stoppt die Vorratsdatenspeicherung! Jetzt klicken & handeln!Willst du auch bei der Aktion teilnehmen? Hier findest du alle relevanten Infos und Materialien: