Cyberkriminalität: Das Ohr am Datenstrom

Was dürfen die Agenten abhören? Die Verfassungsrichter schicken Korrekturen in die Zentrale des Bundesnachrichtendienstes in Berlin. (Foto: Imago)

Das Bundesverfassungsgericht schränkt die Befugnisse des BND bei der Überwachung von Telekommunikation ein. Die Korrekturen fallen allerdings zurückhaltend aus.

Bundesnachrichtendienst (BND) und Bundesverfassungsgericht pflegen, wenn man das so ausdrücken will, eine langjährige Beziehung mit einer Konstante: Wenn sie aufeinandertreffen, dann werden ein paar Paragrafen für verfassungswidrig erklärt. So war es 1999, so war es 2020, als Karlsruhe die Massenüberwachung von Ausländern im Ausland beanstandete, und so ist es auch dieses Mal: Die Befugnisse des BND bei der Überwachung der Telekommunikation zwischen Deutschland und dem Rest der Welt sind zu unpräzise geregelt und bedürfen einer effektiveren Kontrolle, hat der Erste Senat des Gerichts entschieden.

Gegenstand der Verfassungsbeschwerde war die sogenannte strategische Inland-Ausland-Fernmeldeüberwachung, die der BND zur Aufklärung von Cybergefahren betreibt. Das mag nach altertümlichen Telefonen klingen, gemeint ist damit aber ein gewaltiger digitaler Datenstrom, der über Satellit, vor allem aber durch Internetkabel transportiert wird. Dabei erfasst der BND komplette Rohdatenströme, also die gesamte Kommunikation aus Mails oder Telefonaten, die durch die jeweils kontrollierten Kabel fließt oder durch die Luft schwirrt.

Geklagt hatten unter anderem Menschenrechtsaktivisten

Ziel ist die „strategische“ Überwachung, also die Suche nach Gefährdungen der Cybersicherheit. Der Unterschied zur polizeilichen Überwachung: Der BND hat keine konkreten Verdächtigen im Visier, sondern kontrolliert „anlasslos“ – mit dem Ziel, Bedrohungen überhaupt erst zu identifizieren.

In einem mehrstufigen Verfahren versucht der BND, die Spreu vom Weizen zu trennen. Rein inländische Kommunikation, die nicht „anlasslos“ überwacht werden darf, wird durch ein Datenfilterungssystem automatisch ausgesondert und gelöscht, etwa mithilfe der Landesvorwahl 0049 oder der Toplevel-Domain „.de“. Danach kommen Selektoren zum Einsatz, also Suchbegriffe, die gezielt nach sicherheitsrelevanten Inhalten fahnden. Und irgendwann setzen sich dann auch Menschen an die Auswertung.

Das alles ist im G10-Gesetz aus dem Jahr 2015 geregelt, gegen das Menschenrechtsaktivisten, ein Rechtsanwalt sowie Amnesty International geklagt hatten, unterstützt von der Gesellschaft für Freiheitsrechte. Das Bundesverfassungsgericht hat ihnen überwiegend recht gegeben – und seine Entscheidung für ein verfassungsrechtliches Update benutzt. Denn die letzte Entscheidung zur Inland-Ausland-Aufklärung stammt aus dem Jahr 1999.

Nach den Worten des Gerichts hat sich die Kommunikation seit damals fundamental gewandelt, einfach deshalb, weil sie in großem Ausmaß digital stattfindet. Die Befugnis zur Überwachung der Kommunikation habe daher eine „außerordentliche Reichweite“ und bedeute einen gravierenden Eingriff ins grundrechtlich geschützte Fernmeldegeheimnis. Das gelte auch deshalb, weil sich die Analysemöglichkeiten der Nachrichtendienste weiterentwickelt hätten. Zudem werde die strategische immer mehr zur individuellen Überwachung – etwa durch personenbezogene Suchbegriffe.

Für die Nachbesserung lassen die Richter dem Gesetzgeber Zeit

Nicht weniger dramatisch ist aus Sicht des Gerichts allerdings der Fortschritt bei der Cyberkriminalität. Digitale Kommunikation begünstige das Agieren internationaler Netzwerke mit staatlichen wie nicht staatlichen Akteuren. Cyberangriffe könnten gar zu einer „Destabilisierung des Gemeinwesens“ führen, wenn sie auf die IT-Infrastruktur der Wasser- und Energieversorgung gerichtet seien oder auf das Gesundheitswesen. Das könne „ein vergleichbares Ausmaß wie die Gefahr eines bewaffneten Angriffs erreichen“.

Vor diesem Hintergrund ist es wenig überraschend, dass die höchstrichterlichen Korrekturen am G10-Gesetz eher moderat ausgefallen sind. Die deutlichste Veränderung werden die Vorgaben des Gerichts zur G10-Kommission bringen. Ihre Kontrollbefugnis ist dem Beschluss zufolge besonders wichtig, weil sie fast schon die einzige rechtsstaatliche Sicherung bietet. Der individuelle Rechtsschutz, also die Klage Betroffener, fällt bei der äußerst diskreten Überwachung weitgehend aus. Die Kommission soll daher mit hauptamtlichen Mitgliedern bestückt werden und nicht wie bisher vorwiegend mit ehrenamtlichen Ex-Politikern. Eine „fachlich kompetente, professionalisierte gerichtsähnliche Kontrolle“ müsse gesetzlich sichergestellt sein.

Beanstandet hat das Gericht zudem die Ausfilterung rein inländischer Kommunikation. In der Praxis scheint dies zwar zu funktionieren, doch ist der entsprechende Paragraf nicht klar genug formuliert. Auch beim Schutz des „Kernbereichs privater Lebensgestaltung“ moniert das Gericht, dass die Suchbefugnisse nicht eindeutig genug begrenzt sind. Hinzu kommen verbesserte Dokumentationspflichten.

Heißt: Die Korrekturen fallen zurückhaltend aus, die Vorgaben aus Karlsruhe werden die Möglichkeiten des BND nicht empfindlich einschränken. Und für eine Nachbesserung lässt das Gericht dem Gesetzgeber viel Zeit: Erst Ende 2026 muss die Korrektur vollzogen sein, bis dahin gilt das Gesetz weiter.