Motion Molina (18.3507): Umsetzung des BÜPF gemäss Abstimmungsdispositiv

Eingereichter Text

Der Bundesrat wird beauftragt die Verordnung über die Überwachung des Post- und Fernmeldeverkehrs (VÜPF) dahingehend anzupassen, dass durch die Mitwirkungspflichtigen gemäss Artikel 2 Buchstaben b.-f. BÜPF bei der Internet-Kommunikation ausschliesslich die Steuerdaten (Header) gespeichert werden dürfen.

Begründung

Bei der Revision des BÜPF wurde vom Bundesrat wiederholt versichert, dass von der Speicherung der Internet-Kommunikation ausschliesslich die Randdaten (Header) betroffen und durch die Mitwirkungspflichtigen gespeichert werden. Gemäss der jetzigen Umsetzung des BÜPF in der entsprechenden Verordnung durch den Bundesrat können durch die Provider aber die gesamten Datenpakete, also auch die “Surfdaten”, systematisch gespeichert werden. Dies ist ein zusätzlicher Eingriff in die Grundrechte unbescholtener Bürgerinnen und Bürger, die durch den Gesetzgeber so nicht vorgesehen war und entsprechend korrigiert gehört.

Stellungnahme des Bundesrats vom 29.8.18

Weder das Bundesgesetz vom 18. März 2016 betreffend die Überwachung des Post- und Fernmeldeverkehrs (BÜPF; SR 780.1) noch dessen Ausführungsverordnungen schreiben den Mitwirkungspflichtigen vor, Inhalte (Nutzdaten) der Internetkommunikationen aufzubewahren. Insbesondere müssen weder die gesamten IP-Datenpakete inklusive Nutzdaten, noch alle sogenannten IP-Kopfdaten (IP-Header) aufbewahrt werden. Es besteht somit keine gesetzliche Grundlage, um rückwirkend herauszufinden, welche Webseiten eine bestimmte Person besucht hat und erst recht nicht was kommuniziert wurde. Dies ist nur in Echtzeit und mittels einer von der Staatsanwaltschaft angeordneten und gerichtlich genehmigten Überwachung und nur ab Aktivierungszeitpunkt möglich.

Gefordert wird lediglich, dass gewisse Anbieterinnen in der Lage sein müssen, rückwirkend die Urheberschaft oder Herkunft einer bestimmten Internetverbindung eindeutig zu identifizieren. Und dies auch nur, sofern die berechtigte Behörde die notwendigen insbesondere zeitlichen Angaben zur gesuchten Verbindung liefert. Letztlich wird nichts anderes verlangt als bei einer Telefonbuchabfrage. Man möchte den Kunden identifizieren können, der eine bestimmte Internetverbindung zu einem bestimmten Zeitpunkt aufgebaut hat. Es wird jedoch nicht nach einer Telefonnummer, sondern nach einer Herkunfts-IP-Adresse gesucht.

Viele Anbieterinnen setzen nicht-eindeutige Verfahren, z. B. “Carrier-Grade Network Address Translation” (CGNAT), zur Zuteilung von IP-Adressen an ihre Kunden ein. Das bedeutet, dass viele Kunden gleichzeitig die gleiche öffentliche Herkunfts-IP-Adresse benutzen. In solchen Fällen führt eine Abfrage anhand einer Herkunfts-IP-Adresse und eines bestimmten Zeitpunkts zu vielen Treffern. Die Zuordnung der Internetverbindungen zum einzelnen Kunden kann nur die Anbieterin vornehmen, die das CGNAT-System betreibt. Diese Anbieterin muss deshalb weitere Informationen aufbewahren, als nur die dem Kunden zugeteilte öffentliche Herkunfts-IP-Adresse und den Zeitpunkt der Zuteilung. Die Aufbewahrung der Ziel-IP-Adressen, gestützt auf welche der Domain-Name einer besuchten Internetseite herausgefunden werden könnte, kann daher erforderlich sein, wenn die Anbieterin sie für die eindeutige Identifikation der Urheberschaft oder Herkunft einer bestimmten Internetverbindung benötigt.

Gemäss Art. 22 BÜPF sind die Anbieterinnen verpflichtet, dem Dienst ÜPF alle Angaben zu liefern, welche die Identifikation der Täterschaft ermöglichen. Den Anbieterinnen steht es jedoch frei, wie sie diese Identifikation technisch sicherstellen. Gestützt auf Art. 22 Abs. 2 BÜPF hat der Bundesrat die Randdaten zum Zweck der Identifikation in Art. 21 der Verordnung vom 15. November 2017 über die Überwachung des Post- und Fernmeldeverkehrs (VÜPF; SR 780.11) bestimmt. Randdaten enthalten keine Angaben zum Inhalt des Fernmeldeverkehrs, sondern geben nur Auskunft darüber, wie wer wann wo mit wem in Verbindung steht bzw. stand. Die Randdaten über die Zuteilung und Übersetzung von IP-Adressen und Portnummern sind zum Zwecke der Identifikation während sechs Monaten aufzubewahren und dann zu vernichten, um den Eingriff in die Grundrechte möglichst klein zu halten.

Weiter ist anzumerken, dass die Aufbewahrungspflicht der Randdaten zum Zweck der Identifikation nicht alle Anbieterinnen betrifft, sondern nur die Anbieterinnen von Fernmeldediensten, die nicht von bestimmten Überwachungspflichten befreit wurden (Art. 26 Abs. 6 BÜPF, Art. 51 VÜPF), sowie die Anbieterinnen abgeleiteter Kommunikationsdienste mit weitergehenden Überwachungspflichten (Art. 27 Abs. 3 BÜPF, Art. 52 VÜPF). Somit sind nur einige grosse Anbieterinnen betroffen.

Schliesslich wird im Erläuternden Bericht zur VÜPF ausdrücklich darauf hingewiesen, dass aus datenschutzrechtlicher Sicht Verfahren zu implementieren sind, bei denen die Speicherung der Verbindungsziele (Ziel-IP-Adressen) nicht erforderlich und daher zu unterlassen ist. Andererseits möchte der Bundesrat nicht in die Wirtschaftsfreiheit der Anbieterinnen eingreifen und schreibt daher nicht das Verfahren vor, sondern nur den Zweck, nämlich die Identifikation der Täterschaft bei Straftaten über das Internet und die Identifikation von Personen bei Bedrohungen der inneren oder äusseren Sicherheit.