Einen direkten Zugriff der NSA wollte Steinmeier in keinem Fall gestatten. Aber es ging auch so: Der BND zapfte Frankfurt an, dann ging es per Datenleitungen nach Pullach und von dort in die Rechner der Mangfall-Kaserne in Bad Aibling. Die oft so umstrittene Station ist nun der Schauplatz einer nie da gewesenen Kooperation. 2004 sind die Amerikaner dort offiziell abgezogen, im Ort wurden Fähnchen geschwenkt, aber die Amerikaner sind noch da. Sie sitzen Seite an Seite mit dem BND und durchsuchen die Frankfurter Daten nach allem, was die Geheimdienste interessiert. "Joint Sigint Activity" nennen sie das. 24 Stunden am Tag kommen die Daten aus Frankfurt an.
Dass Eikonal überhaupt zustande kam, ist erstaunlich, denn im BND selbst gab es Warnungen und juristische Bedenken. Da war das Versprechen der Amerikaner, sich auf deutschem Boden an deutsches Recht zu halten, aber in einem Vermerk des BND stand, dass man dieses Versprechen aufgrund der "technischen Unterlegenheit" des BND gar nicht überprüfen könne. Mindestens bei verschlüsselten Verkehren könne der BND doch gar nicht beurteilen, was sich in den abgefangenen Daten befinde. Die "volle Kontrolle durch den BND ist real nicht möglich", stand in einem Vermerk für Hanning.
Die Deutsche Telekom musste dem Dienst behilflich sein
Ebenso heikel war die Frage, auf welcher Rechtsgrundlage man den Provider in Frankfurt überhaupt dazu bringen konnte, die Daten an den BND zu liefern. Der Name des Providers ist in den Akten für den Untersuchungsausschuss geschwärzt, aber Insider wissen, dass die Deutsche Telekom dem Dienst behilflich sein musste. BND und Telekom schlossen einen Vertrag, die Firma stellte dem BND den Zugang zu seinen Servern zur Verfügung - und bekam dafür monatlich 6000 Euro.
Durch die Server der Telekom strömten jeden Tag Millionen Daten, solche von Deutschen, die nach dem G-10-Gesetz nur unter strengen Voraussetzungen überwacht werden dürfen, und die von Ausländern - sogenannte Transitverkehre. Das besondere Interesse der NSA soll dabei russischen Daten gegolten haben. Das ging in Ordnung - nur die Daten der Deutschen sollten die Amerikaner eigentlich nicht bekommen. Zu diesem Zweck bastelte der BND dafür eigens einen Filter namens "Dafis", der die Telefonate und E-Mails von Deutschen heraussortieren sollte. Aber trotz aller Bemühungen, das Ding funktionierte nicht richtig, was schon bei Beginn der Operation bekannt war. Dafis sortierte bei einem Test 2003 nur etwa 95 Prozent aus. Auch später gab es Schwierigkeiten.
Um an die Transitverkehre zu kommen, sollte eine ziemlich kreative und selbst nach Auffassung mancher BND-Experten unzulässige Auslegung des G-10-Gesetzes helfen: "G-10 ist Türöffner für die Erfassung internationaler Verkehre", notierte ein BND-Beamter, und genau gegen diesen Vorgehen protestierte prompt ein Unterabteilungsleiter. Das sei rechtswidrig, auch Transitverkehre dürften - jedenfalls wenn sie mithilfe einer G-10-Genehmigung abgefangen würden - nur unter den engen Voraussetzungen dieses Gesetzes etwa nach Terroristen oder Waffenhändlern durchsucht werden. Alles andere müsse "spurenlos" gelöscht werden. Aber wie kann man spurenlos löschen, wenn die Daten weitergereicht werden? Sein Abteilungsleiter wiegelte ab: Alles in Ordnung, alles durch das BND-Gesetz gedeckt.