Interview mit dem FPD-Vertreter zur Verfassungsbeschwerde: "Der Staat­stro­janer schaut Ihnen beim Denken zu"

Herr Dr. Gazeas, Sie vertreten FDP-Bundestagsabgeordnete und ehemalige FDP-Minister bei einer Verfassungsbeschwerde gegen den sogenannten Staatstrojaner, die Sie heute offiziell eingereicht haben. Wogegen richtet sich die Beschwerde im Detail?

Dr. Nikolaos Gazeas: Unsere Verfassungsbeschwerde greift sowohl die Online-Durchsuchung als auch die Quellen-Telekommunikationsüberwachung, kurz Quellen-TKÜ, an. Beide basieren als Überwachungsinstrumente auf dem Staatstrojaner, er schleust sie in ein Computer-System oder in ein Smartphone ein.

Die Quellen-TKÜ nach § 100 a StPO dient bei der Strafverfolgung dazu, verschlüsselte Kommunikation an der Quelle abzuhören.

Heute läuft die klassische Telekommunikationsüberwachung bei Ermittlungen häufig leer, weil sie nicht an die verschlüsselten Inhalte kommt. Deshalb hat der Gesetzgeber diese Maßnahmen im Sommer 2017 in die StPO eingeführt.

Und die Online-Durchsuchung?

Die Online-Durchsuchung nach § 100 b StPO ermöglicht nicht nur den Zugriff auf einen Computer oder ein Smartphone, um dort Daten abzusaugen, sondern auch eine Live-Überwachung. Das ist im Prinzip, als würde, während Sie am Rechner sitzen, jemand hinter Ihnen stehen und Ihnen permanent über die Schulter schauen.

So lässt sich auch beobachten, wie Sie zum Beispiel einen Satz in einer E-Mail tippen und ihn dann wieder löschen. Der Trojaner schaut Ihnen beim Denken zu. Das stellt eine völlig neue Dimension der Überwachung dar – und unter allen heimlichen Maßnahmen der StPO den schwersten Eingriff.

"Kein Richter weiß, was er anordnet"

Können Sie diesen Eingriff überhaupt so genau benennen? Ihr Gutachten umfasst 150 Seiten. Wie schwierig ist die juristische Einschätzung zu einer polizeilichen Überwachungssoftware, deren genaue technische Funktionsweise man gar nicht im Detail kennt oder kennen darf?

Das macht es juristisch nicht schwieriger. Allerdings hat der Punkt, dass die genauen technischen Abläufe sich quasi in einer Black Box befinden, wiederum juristische Konsequenzen. In der Verfassungsbeschwerde rügen wir deshalb auch, dass keine hinreichende Kontrolle der Überwachung in der Praxis stattfinden kann. Man kann nämlich gar nicht nachvollziehen, ob eine eingesetzte Software tatsächlich nur das kann, was sie rechtlich darf.

Das heißt, das wäre auch für den eine solche Maßnahme anordnenden Richter nicht einschätzbar?

So ist es, und auch darin liegt aus meiner Sicht ein weiterer Verstoß gegen das IT-Grundrecht. Die Grundrechte entfalten ja auch eine verfahrenssichernde Funktion. Der Gesetzgeber muss also durch hinreichende Vorkehrungen sicherstellen, dass der Grundrechtsschutz eingehalten wird. Gegenwärtig wird der Richter keine Informationen dazu bekommen, was die Software kann.

Abgeordnete unter anderem der FDP im Bundestag haben mit Kleinen Anfragen sehr präzise Fragen zur Überwachungspraxis gestellt. Die Bundesregierung hat in ihren Antworten beinahe alle wichtigen Fragen unter Verweis auf eine Gefahr für das Staatswohl unbeantwortet gelassen. Wenn es also schon einem Abgeordneten im Rahmen seines verfassungsrechtlichen Fragerechts nicht möglich ist, an die relevanten Informationen zu kommen, dann ist das für einen Richter umso weniger möglich.

"Eine Chance für das BVerfG, neue Maßstäbe zu formulieren"

Sie haben das IT-Grundrecht angesprochen. Dieses hat das Bundesverfassungsgericht (BVerfG) im Jahr 2008 geschaffen, als es erstmals eine Grundsatzentscheidung zur Online-Durchsuchung traf. Was hat sich seitdem verändert, wieso sollten für den Einsatz des Staatstrojaners nun andere Maßstäbe gelten?

Als die mündliche Verhandlung beim BVerfG zu dieser Entscheidung stattfand, war beispielsweise das iPhone noch nicht auf dem deutschen Markt. Nur um ein Gefühl dafür zu bekommen: 2007 wurden etwa 1 Million iPhones weltweit verkauft, 2017 sind es 217 Millionen Geräte.

Das Smartphone hat im Leben der Menschen eine ganz zentrale Funktion eingenommen, es ist zu einem ausgelagerten Teil unseres Gehirns geworden. Wir speichern dort sensible Daten, Nachrichten, Fotos und Kontakte.

Es gibt mittlerweile eine quasi unbegrenzte Speicherkapazität für unsere Daten, kaum jemand räumt diese noch auf und entsorgt sie, der Umfang wächst also stetig an. Wenn es dann zu einer Online-Durchsuchung kommt, kann das bedeuten, dass quasi ein gesamtes Leben durchleuchtet wird.

Wo setzt die Verfassungsbeschwerde ihren Schwerpunkt?

Wir haben im Kern zwei Schwerpunkte: Das BVerfG bekommt mit diesem Verfahren erstmals Gelegenheit, einen verfassungsrechtlichen Maßstab dazu aufzustellen, in welchem Umfang eine Online-Durchsuchung zu repressiven Zwecken zulässig ist.

Soweit es um die Überwachung zu präventiven Zwecken, also zur Gefahrenabwehr geht, hat das BVerfG bereits in seinem Grundsatzurteil im Jahr 2008 Maßstäbe aufgestellt.  Im Urteil zum BKA-Gesetz aus dem Jahr 2016 hat es sie bestätigt.

In der Verfassungsbeschwerde gegen den Staatstrojaner übertragen wir diese Maßstäbe auf den repressiven Bereich der Strafverfolgung.

Daneben haben wir u.a. unter Zuhilfenahme von Statistiken und Studien die Veränderung des Nutzerverhaltens seit dem Grundsatzurteil des BVerfG im Jahr 2008 analysiert.

"Zu viele Straftaten, zu wenig Kontrolle"

Mit welchem Ergebnis?

Unter anderem ist der Katalog an Straftaten, zu deren Ermittlung die Online-Durchsuchung durchgeführt werden darf, zu umfangreich. Es fallen auch Delikte darunter, die dort nach dem bisherigen verfassungsrechtlichen Maßstab nicht hineingehören, etwa Bandendiebstahl, Geldwäsche- und Korruptionsdelikte. Das ist unverhältnismäßig.

Zudem sind aus meiner Sicht die momentan in der StPO vorgesehenen verfahrensrechtlichen Voraussetzungen, also die Sicherungen, verfassungsrechtlich unzureichend.  Der Name der Maßnahme "Online-Durchsuchung" legt ja nahe, dass es sich um ein gezieltes Absuchen eines Systems handelt, also ähnlich wie bei einer analogen Wohnungsdurchsuchung. Die verfahrensrechtlichen Vorschriften sehen jedoch Einschränkungen wie bei der klassischen analogen Durchsuchung gerade nicht vor.

"Weniger Voraussetzungen, aber mehr Konsequenzen als die Wohnraumdurchsuchung"

Ist denn die Online-Durchsuchung mit der im analogen Wohnraum überhaupt vergleichbar?

Nur begrenzt, denn die Online-Durchsuchung hat eine ganz erhebliche Streubreite. Bei einer Wohnraumüberwachung werden vielleicht nur eine Handvoll Menschen betroffen sein, die sich dort regelmäßig aufhalten. Bei einer einzigen Online-Durchsuchung dagegen werden mehrere hundert oder sogar mehrere tausend unbeteiligte Personen betroffen sein, deren Nachrichten ausgelesen werden.
In der Gesetzesbegründung führt der Gesetzgeber selbst aus, dass die Online-Durchsuchung von ihrer Eingriffsintensität mit einer Wohnraumüberwachung vergleichbar ist. Das ist schon zweifelhaft. Frappierend ist, dass der Gesetzgeber die Eingriffsvoraussetzungen für die Online-Durchsuchung noch nicht einmal konsequent gleich, sondern noch schwächer ausgestaltet hat als bei einer Wohnraumüberwachung.

Inwiefern?

Die Wohnraumüberwachung ist nur zulässig, wenn die Erforschung des Sachverhalts auf andere Weise "unverhältnismäßig erschwert oder aussichtslos wäre",  das ist das Brandzeichen dafür, dass diese Maßnahme nur ultima ratio ist. Bei der Formulierung in § 100 b StPO, also für die Online-Durchsuchung, heißt es lediglich "wesentlich erschwert oder aussichtslos wäre". Diese schwächere Subsidiaritäsklausel findet sich etwa auch bei der Telekommunikationsüberwachung. Bedeutet eine andere Maßnahme bei der Ermittlung bereits einen Mehraufwand, dann kann dies schon den Einsatz der Online-Durchsuchung rechtfertigen.

Auch beim Kernbereichsschutz, also dort, wo der höchstpersönliche Lebensbereich der Menschen betroffen ist, finden wir diese Wertungen wieder. Während bei der Wohnraumüberwachung in einem solchen Fall ein Abbruch der laufenden Überwachung vorgesehen ist, ist ein Abbruch im Fall von Kernbereichsbezug bei der Online-Durchsuchung nicht vorgesehen. Gerade bei der angesprochenen Live-Überwachung, dem Blick über die Schulter, der eingriffsintensiver als die Wohnraumüberwachung ist, muss aus meiner Sicht ein solcher Abbruch zwingend vorgesehen sein. Zudem ist gesetzlich nicht sichergestellt, dass ein Richter kernbereichsrelevante Daten sofort vorgelegt bekommt, bevor ein Staatsanwalt sie zur Kenntnis nimmt. Die konkrete gesetzliche Ausgestaltung ist auch aus diesem Grund verfassungswidrig.

"Quellen-TKÜ und Online-Durchsuchung verfassungskonform möglich – aber nicht so"

Wenn es um den Zugang zu einem fremden Computersystem oder zu einem Smartphone geht, dann wird ja neben infizierten E-Mails auch immer der Weg über eingebaute Schwachstellen thematisiert. Inwiefern stützt sich der Staatstrojaner auf diese Lücken und wie ist das verfassungsrechtlich zu bewerten?

In der Tat, das tragen wir vor. Die Verfassungsbeschwerde rügt auch, dass allein die Existenz von Maßnahmen wie der Online-Durchsuchung und der Quellen-TKÜ als solche zu einer erheblichen Gefährdung der IT-Sicherheit im Allgemeinen führt. Wenn Sicherheitslücken bewusst offengehalten werden, um als Einfallstore für Software zu dienen – dann können natürlich auch Dritte diese Lücken missbräuchlich nutzen und großen Schaden anrichten, wie wir etwa im Fall der Erpressersoftware wannacry gesehen haben.

Allerdings muss man bedenken, dass das BVerfG in seinem BKA-Urteil 2016 diesen Einwand nicht grundsätzlich gegen den Einsatz der Online-Dursuchung als solche hat gelten lassen. Daran wird die Online-Durchsuchung zu repressiven Zwecken also nicht scheitern.

Der Präsident des BKA, Holger Münch, hat in der vergangenen Woche noch einmal betont, wie wichtig es sei, bei Terrorismus und schwerer Kriminalität die verschlüsselte Kommunikation überwachen zu können. Wieviel soll denn Ihres Erachtens verfassungsrechtlich vom Staatstrojaner übrigbleiben?

Ich halte es für möglich, sowohl die Quellen-TKÜ als auch die Online-Dursuchung für den repressiven Bereich verfassungskonform auszugestalten – aber gerade das hat der Gesetzgeber bisher nicht verfassungsgemäß getan. Bei der Online-Durchsuchung sollte man sich prinzipiell die Frage stellen, ob es diese gravierend in die Freiheitsrechte eingreifende Überwachungsmaßnahme überhaupt zur Strafverfolgung geben soll. Schließlich geht es hier anders als im Falle der Gefahrenabwehr nicht darum, ein Rechtsgut zu retten. Das Strafrecht kommt hierfür immer zu spät.

Die Justizministerkonferenz hat im Juni 2018 in Eisenach einen Beschluss gefasst, wonach "die derzeit zulässigen Möglichkeiten zur Aufbringung der Software … mit erheblichen rechtlichen und tatsächlichen Problemen behaftet sind". Sie fordert deshalb, ein neues gesetzliches Betretungsrecht zu schaffen, um den Trojaner aufzuspielen. Inwiefern bereiten heimliche Maßnahmen wie die Online-Durchsuchung hier weiteren heimlichen Maßnahmen den Weg?

Das von Ihnen genannte Beispiel zeigt, wohin die Einführung der Online-Durchsuchung führt. Wenn heimlich in eine Wohnung eingebrochen werden darf, um Veränderungen an einem Computer vorzunehmen, dann erreicht das eine neue Qualität. Das erinnert an totalitäre Regime und Sabotageakte zwielichtiger Geheimdienste. Es wäre ein weiterer großer Verlust an Freiheit.

Herr Dr. Gazeas, wir danken Ihnen für das Gespräch.

Dr. Nikolaos Gazeas LL.M. ist Rechtsanwalt und Strafverteidiger in Köln und Partner der auf das Wirtschaftsstrafrecht und internationale Strafrecht spezialisierten Kanzlei GAZEAS. Er ist zudem Lehrbeauftragter der Universität zu Köln. In dem Verfassungsbeschwerdeverfahren vertritt er die Bundestagsabgeordneten der FDP (u.a. Christian Lindner, Dr. Marco Buschmann, Wolfgang Kubicki) sowie die drei bekannten Liberalen Sabine Leutheusser-Schnarrenberger, Gerhart Baum und Dr. Burkhard Hirsch.