Anfrage Hess (03.1069): E‑Post-Überwachung
Erledigt
Eingereichter Text
Aufgrund der Verordnung über die Überwachung des Post- und Fernmeldeverkehrs vom 31. Oktober 2001 werden alle Fernmeldedienstanbieter, darunter zählen auch die Internetservice-Provider, gezwungen, ab 1. Januar 2003 sämtliche Verbindungsdaten für mindestens sechs Monate zu speichern.
In diesem Zusammenhang drängen sich folgende Fragen auf:
1. Aufgrund welcher Rechtsgrundlage dürfen privatrechtliche Organisationen (Internet-Provider usw.) überhaupt digitale Daten ihrer Kunden aufbewahren?
2. Ermöglicht nicht die Speicherung sämtlicher E‑Post- und Internetdaten eine optimale Plattform für moderne Wirtschaftsspionage, indem gespeicherte Datenbanken und Datenmengen dieses Ausmasses geradezu zur Vorselektion von Zielen oder zur Auswertung von wirtschaftlichen Beziehungsnetzen Vorschub leisten?
3. Wie soll sichergestellt werden, dass nur berechtigte Personen Zugriff auf diese digitalen Daten haben?
4. Ist sich der Bundesrat bewusst, dass eine Mehrheit der privaten und kommerziellen Internetbenutzer keine eigenen Verschlüsselungsprogramme erstellen können, sondern auf käufliche Programme angewiesen sind, bei denen die Sicherheit gegen professionelle Spionage nicht vorhanden ist?
5. Weiss die Landesregierung, dass bei Verschlüsselungen in US-Programmen die massgeblichen Codes den US-Behörden bekannt sind, oder gibt es für den Bundesrat einen absoluten Schutz der Daten durch Verschlüsselung?
6. Diese Massnahmen richten sich insbesondere gegen das organisierte Verbrechen und Terroraktivitäten. Also gegen Profis! Wie will aber der Bundesrat verhindern, dass nicht auch unbescholtene Personen bei Auswertungen der Polizei unötig in Untersuchungen verwickelt werden, insbesondere dann, wenn echte Adressen von unbescholtenen Bürgern als Deckadressen verwendet werden?
7. Wie hoch sind die Kosten dieser Massnahme? Wird die Rechnung dieser Überwachung von den Providern nicht schliesslich einfach dem Benutzer präsentiert?
8. Zeugt die Grundhaltung dieser Überwachungsmassnahme nicht davon, dass jeder kriminell sein könnte und deshalb vorsorglich und permanent überwacht werden muss?
Antwort des Bundesrats
Die Verpflichtung der Provider, bestimmte Daten den Strafverfolgungsbehörden auf Gesuch hin zur Verfügung zu stellen, ergibt sich einerseits aus dem Bundesgesetz über den Datenschutz (DSG; SR 235.1; Art. 13 Abs. 1 Bst. A) sowie aus dem Bundesgesetz über die Überwachung des Post- und Fernmeldeverkehrs vom 6. Oktober 2000 (BÜPF; SR 780.1; Art. 15 Abs. 3). Die dazugehörende Verordnung über die Überwachung des Post- und Fernmeldeverkehrs vom 31. Oktober 2001 (VÜPF; SR 780.11) enthält demgegenüber nur die entsprechenden Ausführungsbestimmungen. Die Pflicht, gewisse Daten zur Verfügung zu halten gilt für alle Provider, d. h. sowohl für die Telekommunikations-Provider (TSP) wie auch für die Internet-Provider (ISP).
Grundsätzlich ist zu unterscheiden zwischen denjenigen Daten, die die Provider speichern und denjenigen, die die Provider dem Dienst für Besondere Aufgaben (DBA) übermitteln und die dort temporär gespeichert werden. Je nach Bereich (TSP und ISP bzw. DBA), der betrachtet wird, sind der Umfang, der Inhalt, der Verwendungszweck und die Dauer der Speicherung der Daten sowie die Rechtsgrundlage unterschiedlich.
1. Die Berechtigung, Daten zu speichern, ergibt sich aus dem Datenschutzgesetz (Art. 4 DSG; SR 235.1), dem Fernmeldegesetz (Art. 43 FMG; SR 784.10) und dem BÜPF. Art. 4 des Datenschutzgesetzes besagt, dass Personendaten nur rechtmässig beschafft werden dürfen. Die Rechtmässigkeit der Speicherung der Daten des Fernmeldeverkehrs ergibt sich aus Artikel 43 FMG. Darin ist festgehalten, dass alle Daten, die bei der Fernmeldekommunikation (zwangsläufig) ausgetauscht werden, dem Fernmeldegeheimnis unterliegen. Die Ausnahme von diesem Fernmeldegeheimnis ist im BÜPF gesetzlich verankert.
2. Jede Speicherung von Daten schafft auch die Möglichkeit des unberechtigten Zugriffs auf diese Daten. Es ist Sache desjenigen, der eine Datenbank aufbaut und betreibt, den unberechtigten Zugriff zu verhindern.
Ohne Aufbau und Betrieb von Datenbanken ist die Fernmeldekommunikation nicht möglich. Soweit Datenbanken aufgebaut werden (müssen), unterliegen die Provider dem Fernmeldegeheimnis und sind damit verpflichtet, ihre Daten gegen unbefugte Zugriffe zu schützen. Der DBA hat für diejenigen Daten, die er im Einzelfall von den Providern überliefert erhält, ein umfassendes technisches und organisatorisches Sicherheitskonzept aufgebaut, das den unberechtigten Zugriff auf die Daten verhindert.
Anzumerken ist, dass die hier zur Diskussion stehenden Daten (insbesondere die so genannten Randdaten aus dem Kommunikationsverkehr, d. h., wer hat wann mit wem wie lange kommuniziert) nur beschränkten Wert für die Wirtschaftsspionage haben.
3. Wie bereits erwähnt, ist es Sache der Provider, den unberechtigten Zugriff auf ihre Datenbanken zu verunmöglichen. Für diejenigen Daten, die der DBA übermittelt erhält, besteht ein betriebliches und organisatorisches Sicherheitskonzept. Aus nahe liegenden Gründen kann auf Einzelheiten nicht eingegangen werden. Eckpunkte des Konzeptes sind einerseits die technische Abschirmung des Systems (z. B. Firewall), andererseits organisatorische Massnahmen (z. B. Benutzeradministration).
4. Es ist dem Bundesrat bekannt, dass die Internetbenutzer in der Regel keine eigenen Verschlüsselungsprogramme erstellen und benutzen, sondern diese käuflich erwerben. Es liegt jedoch in der Verantwortung der Internetbenutzer bzw. der Teilnehmer am E‑Mail-Verkehr, hochsensible Daten entweder mit eigenen Schlüsseln zu versehen oder für die Übermittlung der Daten andere Kommunikationswege zu benutzen.
5. Es gibt keinen absoluten Schutz durch Verschlüsselungen, jede Verschlüsselung kann entschlüsselt werden. Entscheidend für die Qualität der Sicherheit eines bestimmten Verschlüsselungsprogrammes ist der Rechner- bzw. Zeitaufwand, der für dessen Entschlüsselung aufgewendet werden muss. Untersuchungen haben jedoch gezeigt, dass häufig die Ursache einer ungenügenden Verschlüsselung nicht deren Qualität ist, sondern der falsche Umgang der Benutzer mit der Technologie. Sehr oft sind Daten zudem nur während eines gewissen Zeitraumes sensibel, d. h., ab einem gewissen Zeitpunkt werden sie vom Datenherrn selbst bewusst öffentlich gemacht oder sie haben ihre Bedeutung verloren. In der Regel ist deshalb kein absoluter Schutz vor Entschlüsselungen nötig, sondern ein relativer Schutz genügt.
6. Die Überwachung des Fernmeldeverkehrs bezieht sich immer auf eine konkrete Person, die bereits dringend tatverdächtig ist, oder auf einen bestimmten Anschluss, der einer tatverdächtigen Person zugeordnet werden kann. Die Fernmeldedaten eines unbescholtenen Bürgers werden im Rahmen der Überwachung des Fernmeldeverkehrs nur dann erfasst, wenn er mit einem Tatverdächtigen kommuniziert oder dessen Anschluss benutzt.
Das Instrument der Fernmeldeüberwachung ist aber nur ein Instrument, das die Strafverfolgungsbehörden im Rahmen ihrer Ermittlungen einsetzen können. Während eines Ermittlungsverfahrens ergibt sich ohne weiteres, wessen Daten aus dem Fernmeldeverkehr nur zufällig – weil er als unbescholtener Bürger in Kontakt mit einem Tatverdächtigen steht – erhoben wurden und für das Strafverfahren nicht relevant sind. Die Bearbeitung solcher Daten ist im BÜPF genau geregelt. Gleich verhält es sich mit Deckadressen, deren Funktion im Rahmen einer Strafverfolgung früher oder später erkannt wird. Bei diesen Adressen liegt es im Übrigen auch im Interesse desjenigen, dessen Adresse missbraucht wird, dass dieser Missbrauch im Rahmen von Strafverfahren aufgedeckt wird.
7. Die Kosten der Massnahmen setzen sich aus den Investitions- und Betriebskosten des DBA und der Provider zusammen. Gemäss den gesetzlichen Bestimmungen wendet der DBA – wie jede andere Verwaltungseinheit – einen Gebührentarif an, der einen kostendeckenden Betrieb des DBA gewährleisten muss. Die Provider haben die Investitionskosten selber zu tragen und sind für ihre Dienstleistung im Einzelfall angemessen zu entschädigen.
Bei den Investitionskosten beim DBA kann zwischen den Investitionskosten für die E‑Mail-Überwachung und den Investitionskosten für die übrigen Massnahmen der Überwachung des Fernmeldeverkehrs nicht unterschieden werden. Für alle Massnahmen wird die gleiche Hard- und Software eingesetzt. Zurzeit wird der DBA technisch und betrieblich neu organisiert. Die Investitionskosten in die neue Technologie belaufen sich dabei auf etwa 7 bis 10 Millionen Franken, verteilt auf 5 Jahre.
Für die Deckung der Betriebskosten verlangt der DBA gestützt auf den Gebührentarif je nach Massnahme im Bereich der E‑Mail-Überwachung zwischen 20 und 200 Franken (vgl. Gebühren- und Entschädigungstarif, Anhang zur VÜPF).
Die Investitionskosten der Provider sind von der Grösse bzw. dem Kundenstamm des Unternehmens abhängig und belaufen sich nach Schätzungen auf etwa 80 000 bis 100 000 Franken pro Provider. Die Entschädigung für die einzelne Dienstleistung richtet sich ebenfalls nach dem oben erwähnten Tarif und beträgt zwischen 20 und 750 Franken.
Ob ein Provider die Kosten, die nicht durch die erwähnte Entschädigung bereits abgedeckt sind, überwälzt bzw. überwälzen kann, dürfte vor allem von der Marktsituation abhängen.
8. Die Verpflichtung zur Speicherung von Randdaten zum E‑Mail-Verkehr ergibt sich aus Artikel 15 Absatz 3 BÜPF und ist eine analoge Regelung, wie sie für die Anbieterinnen anderer Fernmeldedienste (z. B. Telefonie) auch gilt. Die Daten aus dem Kommunikationsverkehr werden von den Providern nur dann an den DBA weitergeleitet, wenn ein vom Richter genehmigtes Gesuch einer Strafverfolgungsbehörde vorliegt. Diese Gesuche beziehen sich auf konkrete Teilnehmer und Teilnehmerinnen am Fernmeldeverkehr bzw. auf konkrete Anschlüsse und bestimmte, vom Gesetzgeber genau umschriebene Daten aus dem Fernmeldeverkehr.
Würden diese Daten – bei denen es sich zu einem Grossteil um Daten handelt, die für die Rechnungstellung benötigt werden – von den Providern erst dann gespeichert, wenn ein konkretes Gesuch vorliegt, wäre das Instrument der Fernmeldeüberwachung für die Strafverfolgungsbehörden in vielen Fällen wertlos. Dem Anliegen des Datenschutzes wird dadurch Rechnung getragen, dass nur dann Daten zu den Strafverfolgungsbehörden ausgeleitet werden, wenn das vorerwähnte Bewilligungsprozedere durchgeführt worden ist und die Ausleitung zudem auf rückwirkend sechs Monate beschränkt ist. Die rückwirkende Ausleitung bezieht sich ausserdem nur auf die so genannten Randdaten (Zeitpunkt, Dauer und Teilnehmende an der Kommunikation), nicht aber auf E‑Mail-Inhalte.