Wagnisse eines TOR-Server-Betreibers: Fluch und Segen von Anony­mi­sie­rungs­di­ensten

Es verwundert nicht, dass die Umleitung von Internetzugriffen über andere IP-Adressen ein beliebtes Mittel ist, um die Privatsphäre zu schützen. Hierfür gibt es diverse Techniken, wobei gerne auch das TOR-Netzwerk genutzt wird. Dessen Entwicklung wurde wie das IP-Protokoll ursprünglich von der Defense Advanced Research Projects Agency (DARPA), einem Teil des US Department of Defense, unterstützt.

Das TOR-Netzwerk besteht aus einer Vielzahl von Servern, mit denen sich Nutzer über eine frei erhältliche Software verbinden können. Eine Verbindungsanfrage in das Internet wird über mindestens drei Server geleitet. Die Daten des Nutzers gelangen an einen zufällig ausgewählten Server (Entry Node), werden von dort an einen gleichfalls zufällig ausgewählten zweiten Server weitergeleitet (Middle Node) und verlassen das TOR-Netzwerk über einen ebenso zufällig ausgewählten dritten Server (Exit Node). Dabei hat jede Station nur Kenntnis über den unmittelbaren Vorgänger und Nachfolger in der Kommunikationskette, so dass die zur Identifikation der Kommunikationspartner benötigten Daten wirksam verborgen werden können.

Bei dem angesteuerten Ziel der Internetverbindung ist dagegen nur die IP-Adresse des Exit-Node sichtbar. Die mit dieser Anonymisierung verbundene Erschwerung der Verfolgbarkeit von Rechtsverletzungen macht es für Kriminelle besonders attraktiv, TOR-Server zu benutzen. Dabei stellt sich unmittelbar die Frage, ob die Betreiber eines Exit-Nodes – wegen Beihilfe – in die Verantwortung genommen werden können, wenn Straftatbestände (wie Urheberrechtsverletzungen, aber auch Verbreitungs- und Äußerungsdelikte wie Volksverhetzung oder Beleidigungen etc.) durch die das TOR-Netzwerk nutzenden Personen begangen werden, also ob der Anonymisierungsdienstebetreiber strafrechtlich für fremdes Verhalten einstehen muss.

Haftungsprivilegierung für Provider?

Dabei sind die speziellen Regeln der §§ 7-10 Telemediengesetz (TMG) zu beachten. Zwar begründen diese keine Verantwortlichkeit und enthalten auch keine strafrechtlichen Tatbestände (vgl. BGH, Urt. v. 30.06.2009, Az. VI ZR 210/08). Als umfassend für alle Rechtsgebiete geltende horizontale Querschnittsklauseln begrenzen sie jedoch die Verantwortlichkeit von Providern. Nur wenn neben einer sich direkt aus strafrechtlichen Vorschriften ergebenden Verantwortlichkeit keine Haftungsprivilegierung nach dem TMG gegeben ist, lässt sich eine strafrechtliche Verantwortlichkeit begründen.

Demnach bietet es sich an, zunächst zu untersuchen, ob eine Haftungsprivilegierung nach TMG einschlägig ist, da es bei einem positiven Ergebnis nicht mehr darauf ankommt, ob aus den allgemeinen strafrechtlichen Vorschriften (eigentlich) eine strafrechtliche Haftung begründet werden könnte. Für die Betreiber von Anonymisierungsservern kommt eine Privilegierung nach § 8 TMG in Betracht. Diese Vorschrift betrifft hauptsächlich Access-Provider (welche den Zugang zum Internet vermitteln), Network-Provider (Informationsvermittler im Internet) und nach § 8 Abs. 3 TMG solche Anbieter, die Nutzern einen Internetzugang über das (private oder öffentliche) WLAN zur Verfügung stellen. Der Grund für diese Privilegierung besteht darin, dass diese Provider regelmäßig keine Kenntnis von den Inhalten haben und ihnen deshalb auch eine effektive Kontrolle nicht möglich ist.

Dies trifft auch auf die Betreiber von TOR-Servern zu, so dass es nachvollziehbar ist, dass diese in der Rechtsprechung mit den Personen gleichgestellt werden, die Dritten ihr WLAN zur Verfügung stellen (vgl. BGH, Urt. v. 26.07.2018, Az.I ZR 64/17). Allerdings darf der Provider nicht die Übermittlung veranlasst (§ 8 Abs. 1 Nr. 1 TMG) oder den Adressaten der Information ausgesucht haben (§ 8 Abs. 1 Nr. 2 TMG). Ebenso führt eine Auswahl oder Veränderung der übermittelten Informationen (§ 8 Abs. 1 Nr. 3 TMG) oder ein kollusives Zusammenwirken mit dem Nutzer zu einem Wegfall der Haftungsprivilegierung (§ 8 Abs. 2 TMG).

Strafbarkeitsrisiko nur bei aktivem Tun

Demnach ist immer ein entsprechend ausgerichtetes positives Tun des Verantwortlichen für eine etwaige strafrechtliche Verantwortlichkeit erforderlich, so dass ein Nichtstun (Unterlassen) nicht zu einem Wegfall der Haftungsprivilegierung führen kann. Ein Strafbarkeitsrisiko entsteht nur bei einem aktiven Tun eines Providers, welches über die bloße Bereitstellung des Anonymisierungsdienstes hinausgeht und von den Strafverfolgungsbehörden nachzuweisen wäre. Konsequenterweise schadet auch eine positive Kenntnis des Anonymisierungsdiensteanbieters von etwaigen rechtswidrigen Inhalte nicht, selbst wenn er nicht dagegen vorgeht.

Nach § 10 TMG kommt es zwar nur bis zur Kenntniserlangung über rechtswidrige Inhalte zu einem Ausschluss der Verantwortlichkeit. Allerdings setzt diese Vorschrift eine Speicherung (und damit verbunden eine Art Sachherrschaft) über die Daten voraus, was beim Anonymisierungsdiensteanbieter regelmäßig nicht gegeben ist.

Da § 8 Abs. 1 S. 2 TMG auch noch explizit regelt, dass eine Inanspruchnahme eines Providers wegen einer rechtswidrigen Handlung eines Nutzers auf Schadensersatz oder Beseitigung oder Unterlassung einer Rechtsverletzung ausgeschlossen ist, könnten sich die Betreiber von TOR-Servern eigentlich zurücklehnen. Allerdings geraten regelmäßig die Exit-Node-Betreiber in den Fokus von Ermittlungsmaßnahmen, da es deren IP-Adresse ist, die bei etwaigen Rechtsverletzungen mitgeloggt werden. Insofern ist zwar (bis auf die genannten Ausnahmen wie insbesondere ein kollusives Zusammenwirken mit den Straftätern) eine materiell-strafrechtliche Haftung ausgeschlossen.

Allerdings müssen sich die Exit-Node-Betreiber verdeutlichen, dass sich bei der Begehung von Straftaten durch die Nutzer der Anfangsverdacht gegen sie richtet und damit ein rein praktisches Risiko besteht, dass gegen sie Ermittlungsmaßnahmen (bis hin zu Hausdurchsuchungen und etwaigen Beschlagnahmungen) eingeleitet werden. Diese werden – auch unter Verkennung der Sach- und Rechtslage durch die Strafverfolgungsbehörden – durchaus bis zu einer Anklageerhebung vorangetrieben.

Der Autor Prof. Dr. Kai Cornelius lehrt Strafrecht an der Universität Regensburg. Zu seinen Tätigkeitsschwerpunkten zählen u.a. strafrechtliche Fragen in der Informationstechnologie.