Missing Link: Die Atomisierung der Überwachung

Klaus Landefeld gehört zu den Menschen, die man gerne Internet-Pioniere nennt. 1995 gründete er des IP-Service-Provider Nacamar. Seine erste Überwachungsanordnung erhielt er allerdings schon vorher – als Betreiber von Mailboxsystemen und LAN-Infrastrukturen mit seinen Unternehmen Landefeld Datenkommunikation und Compatible Computer Systems.

Landefeld ist Gründungsmitglied wichtiger Netz-Institutionen wie der Denic und dem Amsterdamer Internet-Exchange-Knoten. Seit über 20 Jahren ist er in verschiedenen Funktionen beim DE-CIX und dessen Träger, dem eco Verband, tätig. Er berät zudem an vielen Stellen die Politik, etwa im Ausschuss für Technische Regulierung in der Telekommunikation (ATRT) der Bundesnetzagentur und im Vertragskommittee der 25 Jahre alten Budapest-Konvention zu Cybercrime.

Nach über drei Jahrzehnten am Puls der Netze zieht Landefeld im Gespräch mit heise online Bilanz und warnt vor der Gefahr einer überbordenden Überwachung, die durch atomisierte, immer mehr Eingriffe erlaubende Gesetze ermöglicht wird.

30 Jahre Überwachung: Atomisierung der Gesetze

Schon viele Jahre vor den Enthüllungen von Edward Snowden war es fast ein offenes Geheimnis, dass der DE-CIX Ziel von Überwachung war. Wann haben Sie zum ersten Mal vom DE-CIX-Untermieter BND erfahren?

Das ist wohl die falsche Frage – der BND hatte bereits viele Jahre lang versucht, sich am DE-CIX anzuhängen, und wir haben uns lange dagegen gewehrt. In den 90er Jahren gab es mal eine Arbeitsgruppe unter dem Titel “Going Dark” für die Strafverfolgungsbehörden.

Diese Arbeitsgruppe war ganz konstruktiv. Bis die Dienste dazu kamen und forderten, die Provider müssten sofort alles an sie herausgeben. Das führte letztlich dazu, dass die meisten Anbieter die Arbeitsgruppe unter Protest verließen.

Die Zusammenarbeit mit der Polizei war schon kompliziert, aber für die Weitergabe von Daten an Geheimdienste existierte einfach keine Rechtsgrundlage. Ein paar Jahre später, ich denke ausgelöst von 9/11, standen die Geheimdienste wieder auf der Matte. Wir haben weiter auf die fehlende Rechtsgrundlage verwiesen. Dann wurden wir ins Kanzleramt gebeten. Dort wurde den Providern klar gemacht, wie wichtig diese Datenausleitung für den Bestand der Bundesrepublik sei…

Eine gerichtliche Überprüfung hat der DE-CIX dann erst 2016 angestrengt.

Nach den Snowden-Enthüllungen haben wir gesagt, wir machen das in der Form nicht mehr, und haben ein Verfahren angestrengt. Eine Anordnung nicht umzusetzen, ist schwierig – also haben wir uns durch den Instanzenweg gewehrt. Bei G10-Anordnungen gab es eine klare Rechtsgrundlage, dagegen kann man sich wehren.

Schwieriger ist es bei den Anordnungen, die via Kanzleramt kamen, und praktisch ohne Rechtsgrundlage. Wir haben argumentiert, dass die BND-Ermächtigung nur auf Auslandsverkehre zielen kann. Der DE-CIX vermittelt aber überwiegend Netzverkehre innerhalb von Frankfurt, und man sieht es einer IP-Adresse ja nicht an, was für ein Verkehr das ist. Das kann am ehesten noch der Leitungsinhaber beantworten.

Vor dem Bundesverwaltungsgericht hat der DE-CIX allerdings verloren.

Eigentlich sind unsere Fragen vom Gericht nicht entschieden worden. Zuerst hat das Bundesverwaltungsgericht nicht in der Sache geurteilt, sondern die Klage abgewiesen – wir seien nicht klageberechtigt. Dann sind wir vor das Bundesverfassungsgericht gezogen. Das hat unsere Klagen, streng genommen, nie behandelt.

In einem von Reporter ohne Grenzen angestrengten Verfahren wurde klargestellt, dass das BND-Gesetz (BNDG) in seiner damaligen Form verfassungswidrig ist. Mittlerweile gibt es schon wieder zwei Iterationen des BNDG. Der jüngste Entwurf rührt aus dem zuletzt ergangenen Karlsruher Urteil. Unsere Frage bleibt allerdings nach wie vor unerledigt, obwohl schon das Bundesverwaltungsgericht gewisse Zweifel an der Rechtmäßigkeit des BND-Gesetzes eingeräumt hatte.

Man sagt ja, verzögertes Recht ist verweigertes Recht.

(lacht) Nun ja, man kann ein Verfassungsgericht ja nicht wirklich auffordern, jetzt zu entscheiden. Es gibt einen harten Kern anhängiger Verfahren zum G10-Gesetz und zum BND-Gesetz, die noch auf Erledigung warten. In diesem Bodensatz stecken noch sehr schwierige Rechtsfragen. Ich denke, wenn entschieden ist, dass Regelungen, um die es in einem Verfahren geht, nicht verfassungsgemäß sind und geändert werden müssen, sollte man andere Verfahren zu den entsprechenden Paragraphen nicht einfach liegen lassen.

Warum legt der DE-CIX nicht die Hände in den Schoß, leitet nicht mehr aus und weist darauf hin, dass die Rechtslage unklar ist?

Eine Anordnung enthält regelmäßig Hinweise zur Dringlichkeit der Maßnahme. Da wird mit dem Bestand der Bundesrepublik Deutschland argumentiert. Von einer aufschiebenden Wirkung des Verfahrens können wir daher, trotz seiner Dauer, nicht profitieren. Einer Anordnung nicht Folge zu leisten, ist nicht so einfach.

Geheimdienstaufsicht nicht existent

Obwohl ein ehemaliger Vorsitzender der G10-Kommission sagte, man habe die Kommission, die beaufsichtigen soll, “hinter die Fichte” geführt?

Das ist so. Allerdings muss man unterscheiden zwischen G10 und BNDG. Bei letzterem werden Anordnungen aus meiner Sicht nicht sauber begründet, und die nachlaufende Aufsicht funktioniert nicht gut. Der im Zug einer Neufassung des Gesetzes eingeführte Unabhängige Kontrollrat ist ja nett, vielleicht funktioniert das sogenannte gerichtsähnliche Kontrollorgan auch.

Anders sieht es mit dem für die technische Prüfung geschaffenen Gremium aus: Ich habe bis heute noch keine Regeln für die Prüfungen oder Prüfkriterien gesehen, die Mitglieder der technischen Kommission sind zu keinem Treffen bereit – und da bin ich nicht allein. Auch in anderen Unternehmen, die Anordnungen erhalten – eine überschaubare Zahl – ist noch nie jemand aufgetaucht. Keiner kennt die Prüfer.

Wenn die vorgesehene Kontrolle aber nur auf Papier passiert und nie jemand nachschaut, ob Realität und Anordnung übereinstimmen, existiert faktisch keine Prüfung. Wozu arbeiten dann im Kontrollrat mittlerweile über 40 Leute? Im Rahmen der geplanten Neufassung wäre eine Nachjustierung möglich. Leider geht man aber, soweit ich das sehe, in eine andere Richtung.

In welche Richtung?

Noch mehr Eingriffsbefugnisse, noch mehr Rechte, und der tragischste Teil: die Rechteausweitung ins Inland. Wurde für die letzte Fassung noch extra eine Regelung für EU-Bürger geschaffen, weil diese einen ähnlichen Schutz wie Inländer genießen sollen, plant man das Ausspähen durch den Auslandsgeheimdienst nun sogar im Inland, mit ganz obskuren Begründungen. Schon beim letzten Mal hatte man argumentiert, man brauche Standortdaten aus dem Inland, damit man wisse, wann im Inland keine Überwachung erfolgen darf.

Kommen wir zu einem anderen Untoten, dem Gesetzentwurf zur Vorratsdatenspeicherung. Der Bundesrat fordert nun sogar sechs statt drei Monate Speicherfrist und zusätzliche Datenklassen. Würde Sie sagen, prima, das erhöht die Erfolgschancen in einer nächsten Runde vor dem Verfassungsgericht?

(lacht) Im Prinzip ja. Im Regierungsentwurf fehlt ja bereits die Begründung, warum man bei der Speicherdauer über die Studie des BKA hinausgehen will. Die hatte gesagt, eine Speicherung von 3 bis 4 Wochen genügt. Laut Regierungsentwurf ist das für andere Phänomenbereiche zu kurz. Allerdings wird das nicht mit Zahlen untermauert. Der EuGH hat in seiner jüngsten Entscheidung eine saubere Begründung für eine eventuell längere Speicherfrist gefordert.

Andererseits erreichen Anfragen bezüglich Delikten wie Einbruch, Diebstahl, Betrug oder ähnliches von allen möglichen deutschen Staatsanwaltschaften die Telekommunikationsprovider oft mit großer Verzögerung. Die Frage ist, warum.

Als Anbieter erhalten wir häufig sofort Meldung von unseren Kunden, wenn diese Opfer einer Cyberattacke werden. Die Teams, die von Kundenseite an der Bereinigung arbeiten, reden mit uns. Wenn es um Verschlüsselung oder Ransomware geht, hat man oft nur beim Anbieter noch Daten. Innerhalb von ein oder zwei Tagen sind die dann bei uns und wir sammeln Daten, stellen sie zusammen, auch um sie den Strafverfolgungsbehörden zu übergeben.

Nicht selten kommen diese erst nach Wochen, manchmal nach Monaten. Manchmal gibt es vier Wochen nach Erstattung einer Anzeige immer noch kein Aktenzeichen – ohne das kann man keine Beweismittel erheben. Das ist natürlich ein Ressourcenthema. Wenn man aber bei einer Anzeige noch nicht mal die Daten abfragt, die der Telekommunikationsprovider extra bereitgestellt hat, ist die ganze Argumentation mit zu kurzen Speicherfristen etwas schief.

Es bedürfte eher mehr Ressourcen bei den Ermittlern?

Das ist das Kernproblem. Nicht zuletzt, weil wir durch KI gerade eine massive Beschleunigung beobachten. Die Zahl erfolgreicher Hacks steigt rasant und die Exploits, die benutzt werden, sind oft nur ein paar Stunden alt. Wenn unsere Cybercrime-Divisions hier nicht mithalten können und der Meinung sind, sie können mehrere Monate später um die Ecke kommen, irren sie sich. Selbst wenn sie von uns dann noch etwas bekommen könnten, sind Daten oder Folge-Daten schon wieder weg.

Ich verfolge das Thema Überwachung seit über 30 Jahren. 1993 hatte ich den ersten Fall, in dem ich zur Zusammenarbeit aufgefordert wurde und seither arbeite ich mit den LKAs und dem BKA – Wahnsinn! Und das Problem hat sich nicht verändert. Es ist immer das Gleiche: Dass die Cyberermittler – mit wenigen Ausnahmen – nicht so genau wissen, wie sie vorgehen sollen, und abhängig sind vom Wissen der Anbieter.

Nach so vielen internationalen Konferenzen sind wir nicht entscheidend weiter. Das gilt für andere Länder in Europa ebenso. Allenfalls, wenn Leib und Leben bedroht sind, wird über Grenzen hinweg verfolgt. Dinge wie Betrug fallen hinten runter.

Das heißt, man hält einfach nicht Schritt mit der Entwicklung…

Genau. Natürlich wird nun auch der Einsatz von KI als defensives Werkzeug geplant, und gerade bei der Auswertung großer Datenmengen sind automatisierte und korrelierende Analysen sinnvoll. Wenn Angreifer KI verwenden, müssen Verteidiger das auch tun.

Die Frage ist, wie weit darf man gehen? Wenn ich alles nur Erdenkliche übereinanderlegen will, möglichst noch mit Palantir-Software, ist das überbordend. Man muss das sinnvoll begrenzen. Das ist eine eigene, wichtige Debatte.

Was hat sich in den 20 Jahren verändert in der Debatte über die Vorratsdatenspeicherung?

Man möchte nach wie vor eine Speicherung von IP-Adresszuordnungen zu Nutzern haben. Unverändert umstritten bleibt, was alles mitgespeichert werden soll. Als wir 2004 die ersten Diskussionen über einen Gesetzesentwurf zur Vorratsdatenspeicherung hatten, warf ein Netzbetreiber einen riesigen Stapel Papier quer über den Boden und sagte, da sind die Daten, die bei uns für eine einzelne SMS anfallen. Irgendwo in der Mitte ist die eigentliche Nachricht. Was davon sollen wir nun eigentlich speichern?

Die erste Antwort damals war, wir wollen alles. In manchen EU-Ländern kann man heute die praktische Umsetzung solcher Maximalforderungen bewundern. Italien verlangt etwa sechs Jahre Telefoniedaten. Der EuGH hat diese ursprünglichen Gesetze in der Sache eigentlich für unzulässig erklärt.

Trotzdem wird lang gespeichert…..

Bei uns speichert man heute weniger Verbindungsdaten. Auch ein besserer Schutz der gespeicherten Daten ist vorgesehen. Nach und nach wurden Dienste herausgenommen, anfangs war SMS, Email und Telefonie drin, dann wurde die E-Mail gestrichen. Im aktuellen Neuentwurf ist gar keine Speicherung von Diensten vorgeschrieben. Allerdings: Das ist eben nur der Entwurf für die VDS.

Parallel haben wir, meist über EU-Regelungen, neue Beauskunftungsvorschriften bekommen. Das ist, was ich die Atomisierung der Überwachungsgesetzgebung nenne. In der E-Evidence-Verordnung etwa steht zwar keine explizite Speicherfrist, das Unternehmen muss hier einfach nur alles herausgeben, was es hat.

Die E-Evidence-Verordnung erlaubt den Datenaustausch über europäische Grenzen hinweg.

Die E-Evidence-Verordnung erlaubt unseren Strafverfolgungsbehörden, auf alle Daten zugreifen, die Diensteanbieter irgendwo in der EU gespeichert haben, und zwar über ein vollelektronisches System. Alles, was auf Basis irgendwelcher europäischer VDS-Regime in der EU gespeichert ist, steht dem Zugriff durch die Strafverfolger offen. Auch dann, wenn die dortige Speicherpraxis bei uns von den Gerichten kassiert wurde, und die Daten bei uns so nicht gespeichert werden dürfen.

80 bis 85 Prozent aller Telekommunikationsvorgänge finden heute als „Over the top“-Dienste statt. SMS oder klassische Telefonie spielen nur noch eine verschwindende Rolle. Sitzland der neuen Dienste – Whatsapp, Messenger oder iMessage – ist dann Irland. Dort muss ein Jahr gespeichert werden. Ich brauche also in Deutschland gar nicht mehr zu speichern und ich bekomme dort auch Kurznachrichten, E-Mail, Social Media oder weitere Dienste.

Heißt das, die Vorratsdatenspeicherung wird obsolet?

Die Frage, die sich für mich stellt, lautet, ob unserem Gesetzgeber bewusst war, dass ihm die Daten alle zur Verfügung stehen. Hat er die Neufassung deshalb so schlank gestaltet, oder ist das Zufall? Externalisieren wir damit auch elegant Kosten? In Dänemark kommt für die sehr aufwändigen Speichersysteme und die Realisierung von Nicht-Korrelierungsmöglichkeiten mittlerweile der Staat auf.

Die deutsche Politik sagt jetzt einfach, das brauchen wir alles nicht. Wir speichern nur IP-Daten und lassen Verbindungsdaten, also alles, wo individuelle Kommunikationsvorgänge drin sind, weg – wohl wissend, dass sie mit E-Evidence das Werkzeug haben, um eben diese Daten abzufragen.

Weil VDS ein nationales Vorhaben und E-Evidence die Umsetzung einer EU-Vorgabe ist, sagt man natürlich, man habe das nicht berücksichtigt. Wenn das tatsächlich so sein sollte, wäre das auch problematisch. Man muss dann wohl feststellen, dass niemand auf die Wirkung parallel umgesetzter Maßnahmen achtet.

Die fehlende Überwachungsgesamtrechnung…

Ja. Jedes Referat guckt sich nur den Gesetzentwurf an, an dem es gerade arbeitet, ob der für sich genommen verfassungsgemäß ist. Man kann fast zugestehen, dass die IP-Adressspeicherung, für sich allein betrachtet, vielleicht sogar unkritisch ist, auch wenn die Drei-Monatsfrist unbegründet ist.

Die Kernfrage bleibt aber doch, kann ich das im Konzert der vielen neuen Eingriffe allein betrachten? Das Verfassungsgericht hat die Idee der Überwachungs-Gesamtrechnung aufgegriffen, und unter der Ampel wurde eine erste Statistik in Auftrag gegeben.

Das Projekt liegt aber aktuell auf Eis?

Das Ergebnis wurde dieses Jahr veröffentlicht. Aktuell wird wohl diskutiert, ob die Wissenschaftler das selbst in Eigenregie fortführen – es ist leider noch keine Anschlussfinanzierung da.

Die Wissenschaftler konstatieren, dass die Zahlen explodieren. Die Zunahme an Überwachungsmaßnahmen ist katastrophal, ich war selbst etwas überrascht. Ich bin eben nur Experte für Telekommunikationsdaten, das ist aber bei weitem nicht der größte Phänomenbereich.

Viel stärker zu Buch schlagen etwa Finanz- oder Fluggastdaten. Was da an Daten ausgetauscht wird, stellt die Telekom-Daten völlig in den Schatten. Eine Neufassung des Begriffs Überwachungsgesamtrechnung müsste diese vielen verschiedenen Zugriffs- und auch Korrelationsmöglichkeiten berücksichtigen.

Wie könnte man das Verfassungsgericht mit der “Gesamtrechnung” befassen?

Vielleicht ist es hilfreich, dass im geplanten BKA-Gesetz KI und das Zusammenführen und Analysieren verschiedener Datenquellen vorgesehen sind. Das führt zu einer neuen Qualität. Normalerweise befasst sich das Gericht nur mit einzelnen Normen, nicht dem Zusammenspiel mehrerer. Aber durch die Vielzahl der neuen Maßnahmen halte ich das absolut für notwendig. Vielleicht haben wir hier in Deutschland mit unserem Verfassungsrecht sogar die besten Chancen.

Möglicherweise kommt uns ein Fauxpas der Regierung hier sogar zu Hilfe. Als die Regierung die E-Evidence-Verordnung umsetzte, hat sie nur den eingehenden Pfad reguliert. Also das, was die ausländischen Strafverfolger in Deutschland anfragen dürfen. Was unsere Strafverfolger in anderen Ländern abfragen können, ist witzigerweise im Vorratsdatenspeicherungsgesetz mit drin.

Ich glaube, damit lässt sich einfacher argumentieren, dass hier einerseits die Speicherung der Daten, andererseits aber auch ein umfassender Zugriff im Ausland geregelt sind. Hier sehe ich eine Chance für eine breiter angelegte Verfassungsbeschwerde.

Wachsender Datenhunger

Wer kann verpflichtet werden, Behörden im Ausland Auskunft auf Basis der E-Evidence-Verordnung zu gewähren?

Der DE-CIX ist für Polizeiarbeit nicht relevant. Spannend ist, dass nun viel mehr Unternehmen zur Auskunft verpflichtet werden. Der eco-Verband geht von 70.000 aus, das Justizministerium von 50.000. Europaweit werden es rund 450.000 Diensteanbieter sein. Bisher waren rund 700 Unternehmen verpflichtet. Shopping-Betreiber, Cloud-Services, Gaming-Anbieter mit integrierten Chats, sie werden alle erstmals zur Auskunft verpflichtet.

Die Shop-Betreiber müssen aber nicht bevorraten…

Das tun sie aber ohnehin und sie speichern aus internen Gründen teils viel länger. Auch Anbieter wie Booking.com oder Uber, die einen guten Einblick zulassen, wo sich Leute wie bewegt haben, sind erfasst. Und der Hunger nach Daten kennt fast keine Grenzen.

Im letzten Herbst gab es eine Wunschliste der EU-Mitgliedsländer, was man gerne im geplanten neuen europaweiten Ansatz für die VDS haben wollte. Da standen dann auch Lebensmittel-Lieferdienste drin. Ich muss gestehen, ich war schon fast happy, das zu sehen. Denn wenn das nicht ein Auslöser für ein EuGH-Urteil gegen den gläsernen EU-Bürger ist, weiß ich auch nicht.

Welche Entwicklung bereitet Ihnen am meisten Sorge?

Der KI-Einsatz im Polizeidienst rangiert da ganz oben. Natürlich hoffen wir alle auf höhere Aufklärungsquoten. Die Kehrseite ist, dass KI nur mehr oder weniger korrekte Korrelationen ausspuckt und ich als Bürger ganz plötzlich gezielt überwacht werde. Solche Überwachungsmöglichkeiten sollen ebenfalls grenzübergreifend in Europa erleichtert werden. Das ist die nächste Stufe von E-Evidence, da geht es auch um Inhalte aus Live-Überwachung.

Und: Wie ist ein Missbrauch der Überwachungssysteme zu verhindern? Ein gehackter Law-Enforcement-Account kann alle möglichen gespeicherten Daten, inklusive Cloud-Inhalte einzelner Bürger, abfragen. EU- und nationales Recht sorgen dafür, dass alle Telekommunikationsanbieter Systeme zur Angriffserkennung am Start haben müssen. Eigentlich müssten das auch die Strafverfolgungsbehörden und die Staaten installieren.

Einige Länder räumen ein, dass man nicht davon ausgehen kann, dass ein System für 27 Länder und weit über 10.000 Strafverfolgungsbehörden absolut sicher sein kann. Andere EU-Mitgliedsländer sagen, das System sei per Definition sicher. Da haben wir als Industrievertreter uns kaputtgelacht.

Diese Gefahren zu negieren, ist einfach brandgefährlich. Schon heute kann ich im Darknet gehackte Law-Enforcement-Account-Anfragen kaufen, für 70 Euro oder so. Das wird nun pan-europäisch.

Spannend wird auch: Wie greifen die Geheimdienste, die ja eigentlich nicht dazu berechtigt sind, auf solche Daten zu. Wer auditiert das? Wer macht die Revision, ob der Geheimdienst Daten so abgefragt hat, und zwar europaweit? Wenn man den Entwurf zum BND-Gesetz anschaut fürchte ich, dass oft ein Datensee angelegt und nicht einmal mehr Daten von Bundesbürgern ausgefiltert werden.

Herr Landefeld, vielen Dank für das Gespräch.

(vbr)