Von Erich Möchel
Um Überwachungszugriffe durch Strafverfolger aus anderen Staaten abwickeln zu können, braucht es EU-weit möglichst einheitliche Standards. Im European Telecom Standards Institute (ETSI) arbeitet man bereits daran.
Am Werk ist dort das technische Kommitee TC-LI, das im Wesentlichen aus Technikern von Telekoms und ihren Zulieferern, aus Polizeitechnikern und einer Reihe von Beamten nationaler Geheimdienste besteht. Erst im Oktober wurde der neueste Stand des ETSI-Basisdokuments veröffentlicht, das die technisch-prozedurale Grundlage für Fernzugriffe durch Polizeibehörden auf Inhalte und Metadaten im EU-Raum bilden wird. Dasselbe ist auch mit den USA geplant.
Datenaustausch EU-weit und mit den USA
Public Domain
LEMF bedeutet „Law Enforcement Monitoring Facility“ und bezeichnet ein herkömmliches Monitoring-Center, über das Metadaten und Inhalte von Telekoms und Mobilfunkern an die Behörden überspielt werden.
Zu diesem Zweck hatte eine Delegation der EU-Kommission bereits im Sommer einen Termin bei US-Justizmіnister Jeff Sessions absolviert. Entweder hat es bis jetzt tatsächlich keine Reaktion der USA gegeben, oder die Kommission hält sie – aus welchem Grund auch immer – unter Verschluss. Warum dieser transatlantische Datenaustausch überhaupt in dieser frühen Phase des Projekts angegangen wurde, in der noch nicht einmal Fernzugriffe innerhalb EU-Europas akkordiert sind, liegt auf der Hand. Ministerrat und EU-Kommission wollen ja mit Facebook, Google und Co. vorwiegend US-Internetkonzerne unter das für europäische Telekoms gültige Überwachungsregime zwingen. Daraus ergibt sich natürlich die Notwendigkeit einer Klärung, welche Rahmenbedingungen dabei gelten.
Parallelaktionen an der Schnittstelle
Das Basisdokument für den geplanten grenzüberschreitenden Datenzugriff, die Technische Spezifikation ETSI TS 103 462, ist im Oktober in der Version 0.0.12 erschienen und erst 25 Seiten stark. Die technische Vorgehensweise ist darin dennoch bereits abgebildet, man bleibt bei dem Muster der für Telekomnetze entwickelten Überwachungsstandards und schreibt sie fort. Allerdings müssen die bestehenden Schnittstellen für die nationalen Strafverfolger nun erweitert werden, das heißt, es wird eine Version der ETSI-Schnittstelle für internationalen Datenweitergabe geben müssen.
Public Domain
Dieses Diagramm zeigt die bekannte ETSI-Schnittstelle in Mobilfunknetzen aus der Sicht der Polizeibehörden (LEA), die linkerhand gleich dreifach eingezeichnet sind. Die Schnittstelle kann standardmäßig um weitere Zugänge eben für „andere Behörden“ erweitert werden. Ebenso lässt sich der polizeilich überwachte Datenstrom auf eine weitere Schnittstelle für „andere Benutzer“ kopieren.
Technisch ist das kein größeres Problem. Das technische Konzept der ETSI-Überwachungsstandards war von Beginn an so ausgelegt, dass mehr als eine „Law Enforcement Agency“ andocken kann. Das Konzept ging stets von mehreren Behörden aus, die an den Schnittstellen parallel Daten abziehen würden. Die Vorgabe dabei war und ist: Strikte Trennung der überwachenden Behörden und Geheimhaltung der jeweiligen Aktivitäten voreinander.
Die Rolle der Geheimdienste
Die österreichische Delegation hat die „Facebook-Richtlinie“ zur Priorität in der österreichischen Ratspräsidentschaft ab Juli 2018 erklärt
Damit lassen sich die Interfaces auch unabhängig voneinander konfigurieren, weil Geheimdienste in jedem Mitgliedsstaat nun einmal weiterreichende Befugnisse haben als Polizeibehörden. Wobei den Diensten die ordentliche Aufbereitung der relevanten Datensätze für die Strafverfolger natürlich sehr entgegenkommt. Welche anderen Dienste quer durch EU-Europa ebenfalls Zugriff auf diese parallelen Interfaces haben und was dort unter welchen Regeln abgefangen und gespeichert wird, ist natürlich unbekannt.
Public Domain
Die linke Hälfte dieses Diagramms des sogenannten „Inter-LEMF“ zeigt das Prozedere der nationalen Polizeibehördern, rechterhand sieht man die anfragende Behörde aus einem anderen EU-Land oder Drittstaat. Da man über die Regeln auf der anderen nicht sicher sein könne, werde der rechte Teil womöglich offen gelassen, heißt es in der Anmerkung.
Das ETSI-Regelwerk gilt ja nur für „Law Enforcement“, also für die Strafverfolger. Welche Parallelaktionen für nationale Geheimdienstzwecke an diesen Interfaces in den verschiedenen EU-Mitgliedsstaaten laufen, ist abseits der jeweils Verantwortlichen niemandem bekannt. Hier ist also quasi strukturell zwischenstaatlicher Zwist beim grenzüberschreitenden Überwachen garantiert. Die ETSI-Spezifikation sieht deshalb vor, dass die von einer ausländischen Polizeibehörde verlangten Kommunikations- und Inhaltsdaten nur über die Schnittstellen der national zuständigen Strafverfolger weitergegeben werden dürfen.
Eine Lösung, ein neues Problem
Die Europol-Forderungen zur Überwachung sozialer Netze wurde im März dieses Jahres zur offiziellen Position des EU-Ministerrats. WhatsApp, Facebook und Co sollen Telekoms in punkto Überwachung gleichgestellt werden.
Damit lässt sich zwar einigermaßen sichergehen, dass eben nur die in einem gerichtlichen Durchsuchungsbefehl gelisteten Datenarten an die ausländische Polizeibehörde geliefert werden. Wie den Grafiken zu entnehmen ist eine nationale „Law Enforcement Monitoring Facility“ stets vorgeschaltet, die Anfragen von anderen Strafverfolgern entgegennimmt und die aus dem Telekomnetz gesammelten Daten und Inhalte weiterleitet. Diese Lösung aber schafft automatisch ein neues Problem.
ETSI
Das funktionale Diagramm in welche Kategorien und Formate die Daten an diesem Interface „Inter-LEMF“ geteilt und zur Weitergabe an eine andere Polizeibehörde bereitgestellt werden. Unter „Messaging“ werden zum Beispiel E-Mails, SMS und Chatmitschnitte in Textform überspielt. Am nächsten Interfacesegement Nummer zwei gibt es aggregierte Internet-Zugangsdaten, etc.
Was passiert, wenn zum Beispiel französische oder gar ungarische Strafverfolger mit einem EU-weit standardisierten „E-Warrant“, einem elektronischen Durchsuchungsbefehl bei den österreichischen Behörden anklopfen? Wird hierzulande eine Bewilligung durch einen Richter oder einen Staatsanwalt fällig, oder geht der Vorgang an der österreichischen Justiz überhaupt vorbei? Und was passiert mit den Datensätzen oder -strömen die dann über ein Monitoring Center der österreichischen Polizei nach Frankreich oder Ungarn gehen?
Zugriffsrechte ungeklärt
Darf das alles hierzulande routinemäßig mitgeschnitten werden, auch wenn kein Durchsuchungsbefehl eines österreichischen Gerichts vorliegt? Und was passiert, wenn andere, verdeckte Bewohner der ETSI-Schnittstellen Zugriffsrechte auf den Überwachungstransitverkehr anmelden?. Die grundsätzliche Problematik des Konstrukts zeigt sich deutlich, wenn man etwa das österreichische Bundesamt für Verfassungsschutz und Terrorbekämpfung durch – sagen wir – den polnischen Inlandsgeheimdienst ersetzt.
Nicht technische, sondern politisch-administrative Implikationen sind der Grund, warum es bei diesem internationalen Datenaustausch noch nicht weiter ist, obwohl man im ETSI bereits im Sommer 2016 begonnen hat. Offenbar ist man sich zwar über die generelle Vorgangsweise weitgehend einig, aber nicht über die Zugriffsrechte. Wie die jüngere Vergangenheit gezeigt hat, kann sich eine solche Situation – zum Beispiel nach jedem Anschlag und der folgenden aufgeregten Sicherheits-Diskussion – sehr schnell ändern.
Quelle. http://fm4.orf.at