Jusletter IT

Der Mensch spielt nur, wo er in voller Bedeutung des Worts Mensch ist, und er ist nur da ganz Mensch, wo er spielt.

Friedrich Schiller

Am 9. Dezember 2013 kommentierte der britische Guardian «To the National Security Agency analyst writing a briefing to his superiors, the situation was clear: their current surveillance efforts were lacking something. The agency’s impressive arsenal of cable taps and sophisticated hacking attacks was not enough. What it really needed was a horde of undercover Orcs».¹ Was sich zuerst wie eine Parodie der Satirezeitschrift «The Onion» liest, hatte einen sehr realen Hintergrund. Unter den letzten Enthüllungen über die Aktivitäten der amerikanischen NSA durch die «Snowden-Dokumente» befanden sich auch Memoranden aus dem Jahre 2008, die anzeigten, dass sowohl die NSA als auch das FBI und der britische Geheimdienst «Government Communications Headquarters» (GCHQ) seit einiger Zeit virtuelle Online-Welten und insbesondere populäre Rollenspiele wie World of Warcraft zur Beobachtung verdächtiger Aktivitäten infiltriert hatten.² Die Sicherheitsdienste hatten signifikante Kapazitäten aufgebaut, um insbesondere das Xbox Live Konsolennetzwerk mit seinen mehr als 48 Millionen Spielern zu infiltrieren. Von Orks in World of Warcraft zu Avataren in Second Life reichen die Rollen, die Agenten dabei annahmen, um in Echtzeit Informationen sammeln zu können. Eine NSA-Studie aus dem Jahre 2008 mit dem Titel «Exploiting Terrorist Use of Games & Virtual Environments» beschreibt Online-Rollenspiele als eine Umgebung mit besonders vielen Angriffszielen, in denen sich die Agenten «ungetarnt tarnen können.»³

Das Interesse, das die Sicherheitsdienste an dem Verhalten von Bürgern in virtuellen Welten anscheinend zeigen, veranschaulicht drastisch, wie sehr das virtuelle Online-Leben mit dem realen Offline-Leben immer mehr verschmilzt. Je mehr Zeit wir online verbringen und dort Kontakte und Netzwerke aufbauen, desto mehr wird dieses virtuelle Leben ein essentieller Bestandteil unserer Persönlichkeit. Es findet ein Prozess statt, den man als «Virtualisierung» des Lebens bezeichnen kann. Psychologen und Soziologen beschreiben schon seit einiger Zeit den Einfluss, den dieser Prozess auf unser Leben hat, wenn vieles, was unser Leben ausmacht, aus digitalen Daten und Informationen besteht und bestimmte soziale Kontakte teilweise nur im virtuellen Leben bestehen und ausgelebt werden.⁴ Neben die Virtualisierung tritt dabei zunehmend die «gamification», der Gedanke, dass immer mehr Lebensabläufe in der Form von «Spielen» stattfinden und spieltypische Elemente und Prozesse immer häufiger in spielfremden Kontexten auftreten.⁵ Geheimdienste und andere Ermittlungsbehörden haben daher ein verstärktes Interesse daran, Zutritt zu diesen virtuellen Welten zu haben, Zugriff auf diese Daten und die Kommunikation von Spielern zu erlangen. Zum einen ermöglicht dies Aufschlüsse über die sozialen Netzwerke von Zielpersonen. Abstrakt betrachtet sind diese Spielwelten erst einmal ein Kommunikationsmedium, und es ist zumindest nicht a priori auszuschließen, dass es daher auch von kriminellen Gruppen benutzt werden kann, um Informationen auszutauschen – insbesondere dann, wenn die Beteiligten befürchten müssen, dass konventionelle Kommunikationsmedien, wie ihr E-Mail-Konto oder auch nur das Telefon, bereits überwacht werden. Darüber hinaus aber, und dies ist das hauptsächliche Thema dieses Beitrages, ermöglicht es auch Einsichten in die Psychologie von Verdachtspersonen, etwa ihre Risikobereitschaft oder «Führungsqualitäten». Diese schwieriger zu erfassenden Eigenschaften scheinen zumindest auch eine Rolle für die Sicherheitsbehörden gespielt zu haben, wurden doch anscheinend Einsichten in das Spielverhalten auch dazu verwendet, möglicherweise geeignete Rekruten zu identifizieren.⁶

Die rechtliche Einordnung dieser Art von Überwachungstätigkeiten wirft eine Reihe von neuen Fragen auf, die sich an der Schnittstelle von Datenschutzrecht, polizeilichem Ermittlungsrecht und der Psychologie und Soziologie der neuen Medien bewegen. Unterschieden werden kann dabei auch, ob der polizeiliche Eingriff auf einem konkreten Tatverdacht beruht und sich nur gegen spezifische Verdachtspersonen richtet, oder ob die Überwachung von Online-Spielen Teil der kriminalpräventiven Massenüberwachung geworden ist. In beiden Fällen fragt sich, wie und in welchem Umfang Datenschutzbestimmungen und Ermittlungsgrundsätze, die für die physische Welt entwickelt wurden, auf diese virtuellen Welten anzuwenden sind. Damit stellt sich auch die Frage nach der Natur von (virtuellen) Spielen. In Deutschland hat dabei das Bundesverfassungsgericht (BVerfG) in seinem Urteil zur «Online-Durchsuchung» mit der Schaffung des Grundrechtes auf Vertraulichkeit und Integrität informationstechnischer Systeme («IT Grundrecht») einen rechtlichen Rahmen geschaffen, der versucht, der subjektiven Bedeutung, die wir immer mehr unseren Online-Leben zumessen, gerecht zu werden.⁷ In Großbritannien hingegen ist die rechtliche Situation noch weitestgehend ungeklärt. In einem Gutachten von Jemima Stratford QC für die parlamentarische Arbeitsgruppe zu Dronen vom 29. Januar 2014 kommt es allerdings zu erheblichen Zweifeln bezüglich der Rechtmäßigkeit sowohl der Datenerhebung als auch der Datennutzung durch den Britischen Geheimdienst GCHQ.⁸ Es ist vielleicht an sich schon bemerkenswert, dass eine Arbeitsgruppe zu Dronen die erste parlamentarische Gruppe geworden ist, die einen externen rechtlichen Experten zum Thema der Online-Überwachung befragt und das Ergebnis auch öffentlich gemacht macht. Der Grund dafür – und die Hauptsorge für Stratford – ist das Problem der möglicherweise illegalen Weiterverwendung der Daten, die von britischen Behörden gesammelt und an die USA weitergegeben werden. Insbesondere befürchtet sie, dass deren Verwendung für die Planung von Dronen-Angriffen britische Beamte zu potentiellen Beihelfern von Straftaten werden lässt. Obgleich der Bericht daher schwerpunktmäßig Einschränkungen in der Verwendung der Daten analysiert, kommt er auch zu einer skeptischen Einschätzung der Methoden, mit denen die Daten erhoben wurden. Ihre Analyse, wie die meisten der rechtlichen Stellungnahmen zu diesem Thema, nimmt dabei an, dass die auf den Snowden-Dokumenten beruhenden Medienberichte korrekt sind. Dabei reflektiert sie deren selektive und unsichere Natur. Obgleich die britischen Stellen wiederholt versichert haben, dass alle Aktivitäten rechtskonform durchgeführt wurden und auf juristische Beratung beruhten, ist bislang nichts über die Natur oder den Inhalt dieser Rechtsauskunft bekannt. Stratford analysiert nicht die Überwachung von Online-Spielwelten, deren Existenz erst nach ihrem Bericht bekannt wurde. Sie ist aber besonders kritisch gegenüber den Versuchen, eine «pattern of life» Analyse durchzuführen, die sowohl Verdächtige als auch Unbeteiligte in ihrer Gesamtperson zu erfassen sucht. Für diese Art der Analyse sind, wie wir sehen werden, Daten von Spielwelten besonders relevant.

In unserem Beitrag entwickeln wir anhand der vorhandenen Fakten einen ersten Fragenkatalog mit den nach unserer Auffassung dringlichsten Rechtsfragen. Im nachfolgenden Teil analysieren wir einige dieser Fragen aus einer rechtsvergleichenden Perspektive. Wir diskutieren die rechtliche Einordnung nach britischem Recht und vergleichen diese mit deutschem Recht. In Großbritannien hat der GCHQ spätestens seit 2008 Online-Spiele überwacht und infiltriert. Daher steht auch für uns die Frage nach der Rechtmäßigkeit dieser Tätigkeiten nach britischem Recht im Vordergrund. Generell ermöglicht das Medium Internet aufgrund seines vernetzten und grenzenlosen Designs extraterritoriale Ermittlungsarbeit. In Online-Rollenspielen können sich Personen verschiedenster Herkunft häufig in Koalitionen zusammenschließen, in World of Warcraft etwa den «Zünften» («guilds»), sodass es in der Regel nicht möglich sein wird, die Überwachung auf Angehörige des eigenen Landes zu beschränken, oder auf Spieler, die sich geographisch innerhalb der eigenen Jurisdiktion befinden. Ebenso wenig wird normalerweise der Ort des Servers, auf dem die virtuelle Welt läuft, eine sachliche Grenze für Ermittlungs- und Überwachungstätigkeiten sein, womit es aus der Perspektive einzelner Spieler unmöglich wird, vorherzusagen, mit welcher Art von staatlicher Überwachung sie konfrontiert werden können. Langfristig verlangt dies daher nach unserer Ansicht eine internationale Harmonisierung von datenschutzrechtlichen und ermittlungstechnischen Gesetzen und Vorschriften. Ob und wie sich dies zumindest innerhalb der EU umsetzen lassen könnte, deuten wir mit unserem Beitrag für das britische und deutsche Recht an.

Die Snowden-Dokumente zeigen, dass die britische Geheimdienstbehörde GCHQ zusammen mit der NSA Vorreiter im Infiltrieren und Überwachen von Online-Spielen ist.⁹ GCHQ ist diejenige britische Geheimdienstbehörde, die sich in erster Linie mit Kryptographie, Verfahren zur Datenübertragung und der Fernmeldeaufklärung befasst. Der GCHQ, und insbesondere die Unterorganisation «Communications Electronics Security Group (CESG)», ist für die Sicherung der elektronischen Kommunikation und Computersysteme des Vereinigten Königreichs zuständig.¹⁰ Es bildet zusammen mit der NSA und anderen angelsächsischen Geheimdiensten eine Allianz (sogenannte «Fünf Augen», eine UK/USA/CA/AU/NZ Allianz) zur technischen Nachrichtengewinnung. Es ist anzunehmen, dass unter dieser Allianz auch viele der gemeinschaftlichen Internet- und Telekommunikationsspionageaktivitäten ausgeführt wurden, die unter dem Codenamen «Tempora» gelaufen sind. Tempora ist der Codename einer britischen Geheimdienstoperation zur Überwachung des weltweiten Telekommunikationsverkehrs, die in ihrem Umfang wahrscheinlich sogar über das amerikanische PRISM Projekt hinausgeht. Unter den Konzepten «Mastering the Internet» und «Global Telecoms Exploitations», wurden von GCHQ Internetknotenpunkte und transatlantische Datenverbindungen angezapft. Dies erlaubt GCHQ den gesamten Datenverkehr, der über das transatlantische Glasfasernetz nach Großbritannien hineinfließt oder das Land verlässt, auszuspähen. Laut den Snowden-Dokumenten wurden zur Überwachung und Analyse der Daten über 200 Glasfaserverbindungen angezapft und 500 Mitarbeiter eingesetzt. Theoretisch zumindest gibt dies GCHQ Zugriff auf 21.6 Petabytes pro Tag, das zweihundertfache der gesamten Sammlung der Britischen Nationalbibliothek.¹¹ Laut GCHQ werden dabei Kommunikationen zwischen Parteien in Großbritannien herausgefiltert – dies gibt, wie auch bei der amerikanischen NSA, den Gedanken wieder, dass rein innerstaatliche Aktivitäten nicht in ihren Zuständigkeitsbereich fallen. Es ist aber unklar, wie dies technisch umsetzbar sein soll.

In diesem Zusammengang mag die «manuelle» Überwachung von Online-Spielen in der Tat kaum mehr als eine Fußnote sein. Wie so oft bei geheimdienstlicher Tätigkeit ist es schwer, Details über die Operationen herauszufinden. Den Snowden-Dokumenten ist zu entnehmen, dass eine der zentralen Motivationen und Begründungen für die Überwachungstätigkeiten war, dass Terroristen oft «feature-reiche» Internetdienste wie E-Mails, VoIP und Webforen ausnutzen, um miteinander zu kommunizieren und Daten auszutauschen. Daher ist es nach Auffassung von GCHQ und NSA sehr wahrscheinlich, dass Terroristen die Kommunikationsmöglichkeiten von Online-Spieleplattformen und virtuellen Welten ebenfalls weitreichend ausnutzen würden.¹² Eine Überwachung und Infiltrierung dieser virtuellen Welten wurde daher als eine vielversprechende Datenquelle angesehen. Diese Annahme wurde auch durch die rapide wachsende Spielerzahl gestützt. Online-Spiele haben mittlerweile eine weltweite Spielerzahl von ca. 400 Milliarden Spielern¹³ und die Spielindustrie eine Wachstumsrate von 20%, im Vergleich zu z.B. einer 7,5% Wachstumsrate der Fernsehindustrie.¹⁴

Laut dem NSA-Dokument ermöglicht die Überwachung von Online-Spielen die Planung und Durchführung von Hacking-Attacken, eine Profilerstellung der sozialen Netzwerke von Verdächtigen durch sogenannte «buddy lists» und ihre Interaktionen mit anderen Spielern, die Erlangung identifizierender Daten wie z.B. Fotos, Geodaten und einer Sammlung von Kommunikationsdaten. Darüber hinaus könnte Überwachung jederzeit in Rekrutierung von Informanten umgewandelt werden.

Die Überwachung soll insbesondere durch Spielpräsenz durchgeführt werden.¹⁵ Dies bedeutet, dass NSA- und GCHQ-Agenten sich als Spieler anmelden, aktiv am Spiel teilnehmen und dieses ggf. auch beeinflussen. Dies ermöglicht ihnen, die relevanten Daten und Spielerinformationen zu sammeln und Rückschlüsse auf Netzwerke in der realen Welt zu ziehen. Bei diesen Tätigkeiten sind sie durch ihre Avatare getarnt und können somit von anderen Spielern und den Spielbetreibern nicht als Ermittler identifiziert werden. Das NSA-Dokument spezifiziert weiterhin als eine Möglichkeit der Datenerlangung, Partnerschaften mit «prominenten» Avataren oder virtuellen Firmenrepräsentationen z.B. in Second Life einzugehen. Dies führt zur weiteren «Einbettung» des verdeckten Ermittlers in das neue soziale Umfeld und zum Aufbau einer «Legende». Anders als in Deutschland, wo der Einsatz verdeckter Ermittler durch § 110a ff. der Strafprozessordnung (StPO) und die «Gemeinsamen Richtlinien der Justizminister und der Innenminister der Länder über die Inanspruchnahme von Informanten sowie über den Einsatz von Vertrauenspersonen (V-Personen) und Verdeckten Ermittlern im Rahmen der Strafverfolgung» streng geregelt ist, fehlt in Großbritannien ein rechtlicher Rahmen. Insbesondere ist er nicht nur subsidiär und bei schwerwiegenden Straftaten zulässig. Dieser ungeregelte Einsatz verdeckter Ermittler hat unlängst zu schweren Missbräuchen in der «Offline-Welt» geführt. Erst kürzlich ist Großbritannien wegen Menschenrechtsverletzungen durch verdeckte Ermittler ins internationale Scheinwerferlicht geraten.¹⁶ In der «Marc Kennedy Affäre»¹⁷ hatten verdeckte Ermittler jahrzehntelang politische Protestgruppen infiltriert. Unter ihren künstlichen Identitäten waren sie feste Beziehungen auch intimer Natur mit Mitgliedern der Zielgruppe eingegangen. Ziel war, ihren neuen Identitäten mehr Glaubhaftigkeit zu verleihen und einen besseren Zugang zu internen Informationen der politischen Gruppen zu erlangen. Einige haben in diesem Doppelleben sogar Kinder gezeugt. Nach Beendigung der verdeckten Ermittlungen – und somit der Aufgabe ihrer künstlichen Identitäten – sind sie aus dem Leben der überwachten Mitglieder spurlos verschwunden. Die Betroffenen dieser Handlungen machen Verletzungen ihrer Menschenrechte auf den Schutz ihrer Privatsphäre geltend.¹⁸ Britische Gerichte haben sich bisher mit dem Thema noch nicht befasst, doch als Konsequenz wird der Einsatz von verdeckten Ermittlern nun stärker reguliert.¹⁹ Allerdings ist es unklar, ob diese Regeln auch auf Online-Welten ausgedehnt werden sollen.

Die Geheimdienste haben jedoch nicht nur menschliche Agenten eingesetzt, um Online-Spiele zu überwachen, sondern auch Software-Produkte, die insbesondere vom GCHQ entwickelt worden sind.²⁰ Eine «Vollzeitüberwachung» von Online-Spielen durch menschliche Agenten ist eine ressourcenintensive Aufgabe, die in der Regel mit den bestehenden Kapazitäten nicht durchführbar ist. Daher ist das «Outsourcing» von Überwachungstätigkeiten an Software-Produkte eine Möglichkeit, um Online-Spiele umfassend zu überwachen sowie Metadaten zu sammeln und auszuwerten.

Fraglich ist, wie diese Überwachungstätigkeiten rechtlich einzuordnen sind. Ganz konkret werfen die durch den Bericht rudimentär beschriebenen ermittlerischen Tätigkeiten einige wichtige Fragen für das Recht der polizeilichen Ermittlung und das Datenschutzrecht auf:

1. Wie sind die Eigenschaften eines Avatars datenschutzrechtlich zu verstehen? Wenn diese mit der natürlichen Person in der realen Welt verknüpft sind und ggf. die Avatareigenschaften zu einem festen Bestandteil der Persönlichkeit des Spielers werden, dann könnte das Sammeln dieser Daten datenschutzrechtlichen Gesetzen und Rechtsvorschriften unterliegen.
2. Sind Informationen, die Spieler in einer «Massively Multiple Online Role-Playing Game» (MMORPG) über sich preisgeben – und dies sind unter anderem die Eigenschaften des Avatars – öffentlich zugänglich, wenn das Spiel hinter einer «paywall» liegt oder zumindest der Registrierung bedarf? Hat in diesem Fall der Anbieter des Spiels «freiwillig» der Polizei Zugang gewährt, obwohl er zumindest zu einem gewissen Grad von ihnen getäuscht wurde? In der deutschen «IT Recht» Entscheidung des BVerfG zum Einsatz von «Trojanern» spielte diese Unterscheidung eine wichtige Rolle.²¹
3. Was ist der Status der Ermittler? Wie bereits oben angegeben, sind sie nach deutschem Recht wahrscheinlich als verdeckte Ermittler einzustufen, was bedeuten würde, dass diese Art des Ermittelns nur in besonders schwerwiegenden Fällen zulässig wäre und staatsanwaltschaftlicher Genehmigung bedürfte. Macht es einen Unterschied, dass es im Moment für die Polizei überhaupt nicht möglich ist, dem Spiel als «Polizisten» beizutreten? Dessen Software strukturiert seine Wirklichkeit so, dass Teilnahme nur durch einen der vorgegebenen Avatar-Typen möglich ist, die alle in den Gesamtrahmen der zur virtuellen Welt gehörenden «Legende» als Abenteuerspiel passen. Gibt es hier Handlungsspielraum, oder sogar Handlungsbedürfnis, de lege lata, etwa durch einen normierten «Polizei-Avatar», der das öffentliche und offene Ermitteln in einer Spielwelt ermöglichen würde?²²
4. Wie weit dürfen die Polizisten Normen verletzen, wenn dies für die verdeckte Untersuchung notwendig ist? Regelmäßig werden sie zumindest die «End User License Agreements» (EULAs) und die Geschäftsbedingungen des Spielanbieters («Terms of Service», kurz ToS) bei der Anmeldung verletzen, da diese die Registrierung typischerweise an den Zweck des Spielens binden. Zumindest in den USA könnte dies aufgrund einer umstrittenen Rechtsreform zur Kriminalisierung von diesen prima facie eigentlich nur vertragsrechtlichen Verletzungen geführt haben,²³ sodass wenigstens unter diesem Gesetz (oder dieser Interpretation des Gesetzes) der verdeckte Ermittler schon durch die Anmeldung eine Straftat begangen hätte.
5. Handeln sie exterritorial und werden dadurch Fragen des internationalen Rechts berührt? In Frage käme hier zum einen eine Verletzung der Souveränität des Landes, auf dessen Servern das Spiel läuft. Oder ist gar das «Recht Aetherias» das hier relevante, wenn wir virtuelle Welten als supranationale, staatenähnliche Gebilde ernst nehmen würden?²⁴
6. Wie ist das Betreten einer «virtuellen Wohnung» rechtlich einzuordnen? Ist dies eine «zusätzliche» Hausdurchsuchung oder sind bloß virtuelle Häuser nicht von einschlägigen Gesetzen geschützt (z.B. Art 10 des Grundgesetzes [GG] in Deutschland)?
7. Was ist, juristisch gesehen, der Status der polizeilichen Interaktion mit sogenannten «Non-player Characters» (NPC), künstlichen Intelligenzen, die die Spielwelt bevölkern? Sollten wir ihre Befragung rechtlich als ein «Verhör» konzeptualisieren, als Abfrage einer Datenbank, oder benötigen wir eine dritte Option? Wenn sie dazu gebracht wird, sich anders als von ihrem Programmierer geplant zu verhalten (d.h. nicht nur Informationen, die für das Spiel wichtig sind, preisgibt), ist dies «Hacking», selbst wenn nicht direkt Computer Code verwendet wurde?
8. Das Überwachen einer virtuellen Welt kann ressourcenintensiv sein. Wenn der Verdächtige in einer anderen Zeitzone ist, wie es bei globalen Spielen häufig der Fall sein wird, müsste 24 Stunden lang ein Polizist am Spiel teilnehmen. Anstelle sich persönlich unter dem registrierten Avatar einzuloggen, könnte die Polizei daher auch – wie oben beschrieben – einen Bot verwenden, der zumindest Routineaktionen ohne direkte Kontrolle durchführen kann, etwa andere Spieler fragen, ob sie den Avatar der Zielperson gesehen haben. Da die Polizei dazu einige technische Schutzmaßnahmen der Plattform umgehen muss, wirft dies besondere Fragen auf.

In diesem kurzen Beitrag ist es uns nicht möglich, alle aufgeworfenen Fragen zu analysieren. Unser Fokus im Beitrag liegt daher auf den Punkten 1, 7 und 8, da sie es unter anderem erlauben, Parallelen zur Entscheidung des BVerfG zu ziehen,²⁵ und somit auf Rechtsprechung zurückzugreifen. Dies ist insbesondere dann relevant, wenn Gesetze hinter dem technischen Fortschritt und hinter den technischen Möglichkeiten zurück bleiben.

Die Frage, wie Eigenschaften eines Avatars datenschutzrechtlich einzuordnen, und somit vor Zugriffen durch staatliche Behörden geschützt sind, bestimmt sich nach den datenschutzrechtlichen Vorschriften des jeweiligen Landes.

Die Arbeit der britischen Geheimdienste, und somit auch des GCHQ, sind geregelt im «Regulation of Investigatory Powers Act 2000 (RIPA)» (Gesetz über die Regulierung der Ermittlungsbehörden). Allerdings behandelt RIPA, wie der Stratford-Bericht heraushebt, vor allem die Verwertbarkeit der Daten in einem Gerichtsverfahren, was für einen Großteil des geheimdienstlichen Datensammelns irrelevant ist. RIPA erlaubt zudem nur die Erhebung von Metadaten. Es ist wahrscheinlich, dass bereits TEMPORA diese Vorschrift verletzt und auch den Inhalt von Kommunikationen gespeichert hat. Im Kontext der Überwachung von Online-Spielen schließlich ist dies unvermeidbar, da der Inhalt der Kommunikation das Hauptziel des staatlichen Eingriffes darstellt. Zudem sind die Behörden an den «Human Rights Act 1998 (HRA)» (Menschenrechtsgesetz) und an die «European Convention on Human Rights (ECHR)» (Europäische Menschenrechtskonvention) gebunden. Stratford kommt zu dem Ergebnis, dass selbst da, wo RIPA das Verhalten der britischen Geheimdienste erlaubt, RIPA selber in seiner gegenwärtigen Form nicht normkonform und insbesondere mit Europäischem und internationalem Menschenrecht- und Datenschutzrecht unvereinbar ist.²⁶ Kontrolliert werden Sicherheitsbehörden durch das «Parliamentary Intelligence and Security Committee» (Parlamentarische Intelligenz- und Sicherheitskomitee), den «Interception Commissioner» (Überwachungsbeauftragten) und das «Investigatory Powers Tribunal» (Überwachungsbefugnisse Tribunal). Anders als ihr amerikanisches Gegenstück, dem Foreign Intelligence Surveillance Court (FISA Court oder FIS) gibt es keine Pläne, die Entscheidungen des Tribunals zu veröffentlichen. Von 2000 bis 2009 hatte das Tribunal 956 Beschwerden zu entscheiden, von denen nur vier aufrecht gehalten wurden.²⁷

Relevant für die Ermittlungsbefugnisse des GCHQ ist, wie die Eigenschaften eines Avatars nach britischem Recht einzuordnen sind, und ob diese vor Eingriffen durch Ermittler besonders geschützt sind. RIPA regelt alleine das Verhalten und die Befugnisse von Ermittlungsbehörden, ohne dabei die Ziele der Ermittlungstätigkeiten näher zu definieren. Daher muss hier auf den HRA und die ECHR zurückgegriffen werden. Diese regeln beide in den jeweiligen Art. 8, dass die Privatsphäre, das Familienleben, die Wohnung und der Briefverkehr vor Eingriffen geschützt sind. Dieser Artikel ist also sehr weit gefasst. Die Privatsphäre beinhaltet auch das Speichern, die Verwendung oder Preisgabe persönlicher Informationen. Der Artikel liefert jedoch keine Definition davon, was persönliche Informationen oder Daten sind.

Eine Definition von persönlichen Daten kann im «Data Protection Act 1998 (DPA)» (Datenschutzgesetz) gefunden werden. Dieser regelt in Art. 1 Abs. 1 DPA, dass «personal data» solche Daten sind, die einer lebenden Person zuzuordnen sind, und diese Person aufgrund dieser Daten (Variante a) oder aufgrund dieser Daten und weiterer Informationen, welche ebenfalls im Besitz des Datenkontrolleurs sind, bzw. von diesem leicht zu beschaffen sind (Variante b), identifiziert werden kann. Fraglich ist daher, ob Avatar-Daten unter diesen Begriff fallen und somit durch Art. 8 HRA und ECHR vor Eingriffen durch staatliche Organe geschützt sind.

Es erscheint offensichtlich, dass Informationen bezüglich des Avatars einer Person in der Regel persönliche Daten sein werden. Persönliche Daten sind z.B. CCTV Aufnahmen, anhand derer eine Person mithilfe von anderen Aufnahmen identifiziert werden kann.²⁸ Sofern Spielern nicht automatisch und für jedes einloggen aufs Neue ein Avatar durch einen Zufallsgenerator zugewiesen wird, sollte es in der Regel möglich sein, über den Avatar auch dessen Eigentümer zu identifizieren – Avatare sind in der Regel Identitäten und lassen daher eine Wiedererkennung zu. Dies aber muss einen Benutzer systematisch mit seinem Avatar verbinden, die Daten dafür sind notwendigerweise persistent. Ohne diese Möglichkeit der Identifizierung von Benutzern durch ihre Avatare wäre es in der Tat sinnlos für Polizei oder Geheimdienste, als «Mitspieler» in Online-Welten Informationen zu sammeln und so spielt denn auch die Möglichkeit der Benutzeridentifikation eine wichtige Rolle in den NSA-Dokumenten. Auch die Technologie kann hier helfen: Artimetrics bezeichnet dabei die Forschungsrichtung, die Algorithmen zur akkuraten Identifizierung, Klassifizierung und Authentifizierung von Avataren in virtuellen Welten entwickelt.²⁹ Dabei ist die Ermittlung von kriminellen Online-Aktivitäten eines der intendierten Anwendungsgebiete.³⁰

Insbesondere in Online-Rollenspielen wird häufig die Webcam-Funktion genutzt, da es die Möglichkeit gibt, mithilfe von speziellen Software-Programmen in Echtzeit die eigenen Gesichtsausdrücke via Webcam dem Avatar zu verleihen.³¹ Diese Möglichkeit verstärkt die Verschmelzung der realen mit der virtuellen Identität und führt dazu, dass Avatarinformationen noch stärker mit der Persönlichkeit des Spielers verknüpft sind. Identifizierung der zugrundeliegenden Eigentümer des Avatars wird in diesen Fällen erheblich erleichtert sein. Insbesondere auch in virtuellen Welten mit sexuellen Inhalten bringt dies jede Überwachung damit noch näher an den engsten Intimbereich einer Person. In der Tat hat ein kürzlich durch Edward Snowden veröffentlichtes Dokument aufgezeigt, dass der GCHQ seit 2008 die Webcams von Yahoo-Nutzern abgehört und durch die Webcam gemachte Bilder gesammelt hat.³² Alleine in einem Zeitraum von sechs Monaten im Jahr 2008 hat der GCHQ Bilder von 1,8 Millionen Yahoo-Nutzern gesammelt. Es wurde hierbei zwar nicht der Videostream komplett abgespeichert, aber alle fünf Minuten ein Standbild aufgenommen. Laut dem Dokument hat der GCHQ versucht, mithilfe von automatischer Gesichtserkennungs-Software die Personen auf den abgefangenen Bildern zu identifizieren. Ziel war dabei, verdächtige Personen aus einer existierenden Liste zu erkennen, und neue «Ziele» auszumachen. Die Auswahl der belauschten Chats sei dabei wahllos gewesen. Allerdings kann dem von Snowden veröffentlichten Dokument zum Abhören der Webcams entnommen werden, dass hierbei unter anderem auch Aufnahmen sexueller Natur gewesen sind – in der Tat scheinen einige Ermittler davon überrascht gewesen zu sein, wie häufig Webcam-Benutzer Bilder von intimen Körperteilen übertragen.³³ Hier kann daher davon ausgegangen werden, dass Informationen über einen Avatar in der Regel persönliche Daten i.S.d. DPA sind.

Online-Spielwelten, Webcams und sexuelle Aktivität online überschneiden sich in mehrerer Hinsicht. Wie bereits erwähnt, sind Webcams zunehmend eine zusätzliche Funktionalität in Online-Spielen.³⁴ In der Zukunft werden auch zunehmend «Ganzkörpersensoren» hinzukommen, die zusammen mit Webcams dem Online-Spieler erlauben, Bewegungen und Körperreaktionen aus der physischen Welt direkt in die Online-Welt zu übertragen. Die erhöhte Authentizität des Erlebnisses wird dabei die Grenzen zwischen virtuellem und physischem Empfinden und ihre jeweilige Funktion für die Identitätsbildung weiter verwischen.³⁵ Mit der größeren Authentizität nimmt aber auch die Möglichkeit zu, vom Online-Verhalten Rückschlüsse auf die physische Person des Spielers vorzunehmen. So können etwa von Haltung und Bewegung eines Avatars, der durch Webcam und Sensoren mit dem Spieler verbunden ist, auch Rückschlüsse auf mentale Problem wie Depressionen gemacht werden.³⁶ Auch damit erhöht sich die datenschutzrechtliche Problematik, die durch die Überwachung von sensorunterstützen Online-Spielen entstehen. Diese größere Ähnlichkeit zur Realität, und die Einbeziehung von optischen und haptischen Elementen hat vorhersehbarer Weise auch zu neuen Formen des Ausdrucks der Sexualität in Online-Welten geführt.³⁷ Diese kommen dadurch qualitativ immer näher an sexuelle Erlebnisse in der physischen Welt³⁸ und damit den Kernbereich des Rechts auf Privatheit heran. Neben der Form der Interaktion, immer realistischeren Ansätzen, die die Grenzen zwischen physischen Körpern und Online-Repräsentationen verschwimmen lassen, haben viele der Online-Welten auch ein sexuelles Thema, entweder indirekt, nur durch die Benutzer erzeugt wie in Second Life;³⁹ direkt, als das Thema des Online-Spiels selber; oder auch als eine Form der benutzerinitiierten Subversion, wenn ein ansonsten nicht sexuelles Thema vom Plattformeigentümer vorgegeben wurde, die Spieler aber trotzdem Wege finden, dem Spiel erotische Aspekte zu geben. Dies geschah unter anderem in World of Warcraft,⁴⁰ dem Online-Spiel, das in der Überwachung durch GCHQ besonderer Aufmerksamkeit erhielt. Es ist nicht bekannt, ob auch Online-Rollenspiele überwacht wurden, die ein explizites sexuelles Thema haben. Möglichkeiten gäbe es genug, von den Eroge-Spielen (ein Portmanteau Wort aus «Erotik» und «Game»), die sich insbesondere in Japan großer Beliebtheit erfreuen⁴¹ und in ihrer interaktiven Form Dating und Flirten zwischen Spielern verlangen, zu Dating/Spielplattformen wie Red Light Center, Singles: Flirt Up Your Life und Playboy: The Mansion. In all diesen Fällen muss davon ausgegangen werden, dass jedwede Überwachung auch sensible persönliche Daten Unbeteiligter sammeln wird.

Fraglich ist aber, ob auch andere Avatarinformationen sensible Daten sein könnten. Art. 2 DPA definiert, was sensible persönliche Daten sind. Diese sind Informationen über den ethnischen Hintergrund, politische Meinung, religiöse Zugehörigkeit, Gesundheitszustand, das Sexualleben und Vorstrafen. Ob es sich bei Avatardaten auch um sensible Daten im Sinne des Art. 2 DPA handelt, ist problematischer. Zum einen ist es natürlich wahr, dass ein Avatar häufig Eigenschaften haben wird, die radikal anders sind als die seines Besitzers. Muskelbepackte Helden sind in Online-Rollenspielen überdurchschnittlich vertreten, es ist unwahrscheinlich, dass ihre Eigentümer den gleichen Grad der körperlichen Fitness haben werden. Typischerweise sind Avatare Phantasiefiguren – Zwerge, Orks, Drachen – oder Gestalten der Geschichte. Wer in einem Online-Rollenspiel, das im Mittelalter angesiedelt ist, die Rolle des Großinquisitors annimmt, ist nicht notwendigerweise katholisch, oder auch nur männlich. Weder eine politische Vorliebe für eine Theokratie, noch Gewaltbereitschaft in dem Versuch, sie herbeizuführen, kann ohne weiteres daraus geschlossen werden. Wenn ein Spieler einen Großteil seiner Zeit in solch einer Rolle verbringt, könnten wir mit Turkle⁴² argumentieren, dass dies nichtsdestotrotz seine (oder ihre) Identität ist, doch wäre dies immer noch eine problematische Ausdehnung des Begriffs der «sensitiven Daten». Andererseits zeigt aber eine Fülle von psychologischen Studien zur Internetbenutzung, dass Eigenschaften aus der Offline-Welt durchaus in die Online-Welt so projiziert werden, dass mit großer Wahrscheinlichkeit Rückschlüsse auf die «echten» Eigenschaften eine Person gezogen werden können.⁴³ Geschlechterwandel etwa ist möglich, aber selten, und kann häufig durch typische Verhaltensmuster entdeckt werden.⁴⁴ Wer durch seinen Avatar an virtuellen Sexspielen teilnimmt, sagt damit auch einiges über seine sexuelle Orientierung aus.⁴⁵ Gerade bei «Problemnutzern» lassen sich über das Verhalten im Netz Rückschlüsse auf psychologische und medizinische Probleme herleiten.⁴⁶ So können wir sagen, dass in gewisser Weise die Erfassung von Verhalten in virtuellen Welten dem Persönlichkeitskern besonders nahe kommt – es ermöglicht nicht nur Rückschlüsse darauf, was eine Person ist, sondern auch darüber, was sie träumt, gerne sein zu wollen. Zu diesen Eigenschaften des Avatars selber kommen dann noch die relationalen Eigenschaften – der Freundeskreis und auch wieder gerade für Problemnutzer das gesamte soziale Umfeld. Dies wurde auch im NSA-Bericht besonders hervorgehoben, in dem es gerade darum geht, die sozialen Netzwerke, Freundeskreise und Kontakte von Verdachtspersonen aufzuzeigen.

Insofern sind Avatardaten vor Zugriffen von Ermittlungsbehörden grundsätzlich geschützt und ein Spieler hat das Recht, über die Preisgabe und Verwertung dieser Daten selber zu bestimmen. In Art. 8 HRA kann durch Geheimdienste jedoch eingegriffen werden, wenn dieser Eingriff gerechtfertigt ist. Dies ist immer dann der Fall, wenn der Eingriff notwendig und verhältnismäßig ist. Notwendig ist er gemäß Art. 8 Abs. 2 HRA unter anderem dann, wenn er Kriminalität verhindert. Dies bietet somit Geheimdiensten in Großbritannien die Möglichkeit, die Überwachungstätigkeiten von Online-Spielen durchzuführen, solange ein vom Gesetz definierter Grund vorliegt. Allerdings ist es sehr fraglich, ob unspezifische Überwachungen darunter fallen können. Sogenannte «fishing expeditions» sind in der Regel unverhältnismäßig, und es fehlt an empirischen Belegen, dass die Überwachung von Spielwelten wirklich zur Verhinderung von Straftaten geführt hätte.

In Deutschland gilt prinzipiell für Ermittlungen, dass gemäß Art. 2 Abs. 1 GG in Verbindung mit Art. 1 Abs. 1 GG das Recht auf informationelle Selbstbestimmung einschlägig ist.⁴⁷ Dies bedeutet, dass generell der Einzelne die Befugnis hat, über die Preisgabe und Verwendung persönlicher Daten selber zu bestimmen. Es stellt sich daher die Frage, ob die Eigenschaften eines Avatars persönliche Daten des «Eigentümers» des Avatars sind. Ähnlich wie im britischen Recht kann eine Definition von persönlichen Daten im Deutschen Bundesdatenschutzgesetz (BDSG) gefunden werden.

Gemäß § 3 Abs. 1 BDSG sind personenbezogene Daten Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener). Dies bedeutet, Daten sind dann personenbezogen, wenn sie eine Person bestimmen können. Diese Definition ist im Kern identisch mit der nach britischem Recht. Wie oben analysiert, kann auch ein Avatar ein virtuelles Abbild einer Person sein und verknüpft mit Benutzerkontodaten auf die Identität schließen lassen.

Bei Avatardaten würde es sich nach deutschem Recht dann um sensible Daten handeln, wenn diese in den Kreis der Daten des § 3 Abs. 9 BDSG fallen, also als Daten über ethnische Herkunft, die politische Meinung, religiöse oder philosophische Überzeugungen, die Gewerkschaftszugehörigkeit, die Gesundheit und das Sexualleben sind. In diesem Falle unterlägen sie nach § 4d Abs. 5 BDSG der Vorabkontrolle. Wir argumentieren hier, gestützt auf die empirischen Studien zur Psychologie der virtuellen Welt, dass die letzten zwei Kategorien direkt einschlägig sein können. Auch virtuelle Ausdrücke der menschlichen Sexualität sind Ausdruck des Sexuallebens. Gerade hier kann «Fantasie» oder «Spiel» nicht sinnvoll von «Wirklichkeit» unterschieden werden. Dass direkter physischer Kontakt dabei fehlt, ist unerheblich, weder verlangt der Wortlaut des Gesetzestexts, dass «Sexualleben» ausschließlich physischer Kontakt ist, noch wäre normativ-evaluierend solch eine Einschränkung sinnvoll.⁴⁸ Gesundheit wiederum schließt auch geistige Gesundheit ein. Gerade über diese lassen sich durch Spielverhalten aber häufig Rückschlüsse ziehen.⁴⁹ Problematischer sind Kategorien wie ethnische Herkunft oder Gewerkschaftszugehörigkeit – jemand der einen Ork in World of Warcraft spielt und sich einer Zunft anschließt, deren Ziel der Sturz des Lich Kings ist, ist natürlich nicht ethnisch ein Ork, hat republikanische Überzeugungen und ist in einer Gewerkschaft. Wie oben beschrieben, ist es zumindest strittig, ob es sich bei Avatardaten auch um sensible Daten handeln kann. Im «Trojanerurteil» beschreibt das Verfassungsgericht die Gefahr der Online-Überwachung als Möglichkeit, dass «sich ein umfassendes Bild vom Nutzer des Systems ergeben kann».⁵⁰ Für Großbritannien erlaubt RIPA gerade diese «Analyse des Lebensprofils», was aber – wie Emima Stratford argumentiert – wahrscheinlich europarechtswidrig ist. Überwachung von Online-Rollenspielen in virtuellen Welten hat zumindest das Potential, ähnlich schwer in die Persönlichkeitsrechte der Betroffenen einzugreifen. Insbesondere dann, wenn es sich um Daten über sexuelle Handlungen handelt, generell aber eben auch gerade dadurch, dass die Totalität der Daten ein Gesamtbild einer Person wiedergibt.

Wir können also festhalten, dass Avatardaten in beiden Rechtssystemen persönliche Daten der Spieler darstellen und somit durch Datenschutzgesetze vor Eingriffen geschützt sind. Es ist zumindest nicht auszuschließen, dass es sich potentiell auch um sensible Daten handeln könnte, die besonders vor Zugriffen geschützt sind.

Im britischen Rechtssystem ist generell durch eine Gesetzesänderung staatliches Hacking gemäß Art. 10 «Computer Misuse Act 1990» (Computer-Missbrauch-Gesetz) ermöglicht worden. Daher ist hier prinzipiell erst einmal unerheblich, wie der Zugang zu den Kommunikationsdaten erfolgt. Dieses Recht ist jedoch eng an die Voraussetzungen der in RIPA geregelten Ermittlungsbefugnisse geknüpft. Verdeckte Ermittlungen sind generell in Abschnitt 2 RIPA geregelt. Hier ist in Art. 29 RIPA geregelt, dass gezielte verdeckte Ermittlungen (targeted covert surveillance) von Verdächtigen möglich sind. Diese gezielte Ermittlung ist definiert als «verdeckte Überwachung, die im Rahmen einer spezifischen Ermittlung unternommen wird, höchstwahrscheinlich private Informationen über eine Person hervorbringen wird und zum Zwecke der Kriminalitätsprävention oder Verhinderung einer schweren Straftat erfolgt». Details zu den Rechten und Pflichten der verdeckten Ermittler, wie oben diskutiert, fehlen und wurden in der Vergangenheit sehr permissiv gehandhabt. Allerdings sind damit sogenannte «fishing expeditions» nicht erlaubt. Diese ungezielten Überwachungen stellen jedoch laut NSA-Dokumenten zumindest einen großen Teil der Überwachungstätigkeiten von Online-Spielen dar. Viele der Überwachungen waren gerade nicht darauf ausgelegt, bereits identifizierte Verdächtige zu überwachen, sondern insbesondere Metadaten und Kommunikationsdaten auf Auffälligkeiten zu untersuchen. Selbst wenn jedoch ausschließlich ein bestimmter Verdächtiger überwacht werden soll, so muss auch dieser in einem ersten Schritt im Spiel identifiziert werden. Somit besteht in diesem Stadium eine gezielte Überwachung nur dieser spezifischen Person ebenfalls nicht. Daher erscheint es nach britischem Recht fraglich, ob diese Tätigkeiten rechtlich unbedenklich sind.

Gemäß Art. 8 Abs. 4 RIPA ist es jedoch möglich, diese Voraussetzungen zu umgehen, wenn die Überwachung sich auf Daten bezieht, die während der Übertragung durch ein Telekommunikationssystem abgefangen werden. Da Kommunikationsdaten aus virtuellen Welten durch Telekommunikationsmedien übertragen werden, ist dies hier der Fall. Weiterhin muss ein Minister ein Zertifikat ausgestellt haben, welches die Handlungen für notwendig befindet, und dies aufgrund z.B. einer Terrorgefahr der Fall ist (Art. 5 Abs. 3 RIPA definiert die zulässigen Gründe). Damit gibt es nach britischem Recht eine rechtliche Möglichkeit, unspezifizierte Ermittlungen und Überwachungen von Online-Spielen und virtuellen Welten, also sogenannte fishing expeditions, durchzuführen, wenn ein Minister von der Notwendigkeit überzeugt ist.

In Deutschland hat das BVerfG in seinem Urteil zum «IT Grundrecht» festgestellt, dass zwischen Datenerhebung, bei der «die Verfassungsschutzbehörde Inhalte der Internetkommunikation auf dem dafür technisch vorgesehenen Weg zur Kenntnis nimmt» und einer solchen, bei der die Integrität der Informationssysteme durch technische Maßnahmen kompromittiert wird und Daten damit durch «hacking» dem System sozusagen entrungen werden müssen, unterschieden werden muss.⁵¹ Vorliegend ist es fraglos der Fall, dass die Beamten als verdeckte Ermittler handeln. Sie verschafften sich außerdem Zugang zu Kommunikation, die nicht jedem zugänglich ist. Insofern ist die Situation anders als etwa das einfache Lesen des Blogs eines Verdächtigen. Durch eine Anmeldung zu andern Zwecken als dem Spielen wird das System auch in einer gewissen Weise «manipuliert» – die Eintragungen, die die Polizisten bei der Registrierung machen, werden vom System in Computercode übersetzt, der dann wiederum eine Reaktion der Plattform – hier Zugang zum Spiel – auslöst. Andererseits erlaubt das Gericht es der Polizei ausdrücklich, durch «Legenden», etwa unter einem Pseudonym, an Diskussionen in einem Chatraum teilzunehmen. Trotz einiger «bedenklicher» Entwicklungen in den USA halten wir es für problematisch, eine Registrierung, die die Geschäftsbedingungen einer Webseite verletzt, als «unautorisierten Zugriff» und damit einem Hack gleichzusetzen. Sofern es sich also um menschliche Ermittler handelt, ist das neue Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme nicht einschlägig und die allgemeinen Datenschutzbestimmungen greifen ein. Auch diese allerdings sind ausreichend, um die «fishing expeditions», die auf populären Online-Spielplattformen stattfanden, bedenklich erscheinen zu lassen.

Eine (grundrechtsrelevante) Kompromittierung von ICT-Systemen und virtuellen Welten könnte jedoch dann vorliegen, wenn nicht menschliche Ermittler, sondern Bots die Überwachung übernehmen. Technisch gesehen können die Beamten aufgrund der vom GCHQ entwickelten Software-Programme ohne größere Probleme ein Software-Konstrukt an ihrer Stelle die virtuelle Welt betreten lassen. Dieses könnte sogar eine vorformulierte Frage an alle Avatare stellen, denen es online begegnet: «Ist XYZ online, und wo ist er?» Sobald eine positive Antwort gegeben wird, informiert es die Polizei, so dass ohne große Ressourcenimplikationen eine 24-stündige Überwachung möglich ist. Derartige Bots sind technisch möglich und werden in der Tat häufig von Spielern zum «schwindeln» benutzt.

Derartige Bot-Spieler stellen für Online-Spielplattformen ein Problem dar: sie werden etwa gerne von Spielern verwendet, die monotone und zeitaufwendige Arbeiten (wie z.B. «Gold abbauen») nicht selber durchführen wollen. Insbesondere für Plattformen, die Werbeeinnahmen als Einnahmequelle haben und daher darauf angewiesen sind, dass Spieler möglichst lange eingeloggt sind, ist dies ein Problem. Aber auch andere Betreiber versuchen, dieses Verhalten als «Verstoß gegen die Spielregeln» zu unterbinden, auch um «in-Spiel Inflation» von Gütern zu verhindern.⁵² Zusätzlich zum Vertragstext, den Terms of Service, der typischerweise das Benutzen von Bots verbietet, gibt es daher eine ganze Reihe von technischen Möglichkeiten, um die Teilnahme von Bots an Online-Spielen, wenn nicht zu verhindern, so doch aufzudecken und zu erschweren. Automatisches Registrieren zum Beispiel können «Agent exclusion clauses» im html-Text einer Website verhindern⁵³, allerdings nur für Bots, die so programmiert sind, diese zu lesen und zu respektieren. Aufwendiger sind «reverse Turing» oder auch «CAPTCHA»-Tests, in denen der Mensch/Bot aufgefordert wird, Aufgaben wie etwa Gesichter- oder Bilderkennung zu bewältigen, die zurzeit Maschinen normalerweise nicht lösen können.⁵⁴ Viele dieser Maßnahmen verhindern nur automatische Registrierung, nicht aber Registrierung durch einen Menschen, der dann seinen Bot für ihn Handlungen durchführen lässt. Es gibt aber auch die Möglichkeit, CAPTCHA-Tests realistisch in ein Spielumfeld einzubauen, wo es dann auch noch nach der Registrierung Bots identifizieren und blockieren kann.⁵⁵ Zudem gibt es eine ganze Reihe von automatischen und semi-automatischen Methoden, Bots im Spiel durch ihr Verhalten zu identifizieren, entweder interaktiv oder auch durch rein passives Profiling.⁵⁶ Die Geheimdienste würden also zumindest diese technischen Sicherungen umgehen müssen.

Da das britische Rechtssystem, wie oben unter 3.2 erörtert, staatliches Hacken prinzipiell zulässt, könnten britische Geheimdienste und andere Ermittlungsbehörden im gesetzlichen Rahmen diese virtuellen Welten auch mit Bots infiltrieren. Hier würde diese Art der Infiltrierung aber in erster Linie vertragsrechtliche Fragen mit dem Spielentwickler aufwerfen, da die Schutzmaßnahmen gegen Bots nicht dem Schutz der Spieler und deren Privatsphäre dienen.

In Deutschland würde dagegen die Frage aufgeworfen, ob dies einen vergleichbaren Tatbestand zu der Überwachung durch den Bundestrojaner erzeugt – auch dort werden softwaregestützte Schutzmechanismen überwunden, um eine Infiltrierung durch ein semi-autonomes Software-Konstrukt zu ermöglichen und dadurch die Sicherheit und Vertraulichkeit von ICT-Systemen kompromittiert. Allerdings dienen die zu überwindenden Schutzmaßnahmen hier nicht dem Privatheitsschutz, was ein potentiell relevanter Unterschied ist. Zwar werden technologische Schutzmaßnahmen umgangen und dadurch die Integrität des Informationssystems kompromittiert, um im Ergebnis einen Eingriff in die Privatsphäre zu ermöglichen, doch fehlt es hier an dem direkten kausalen Zusammenhang zwischen der technologischen Umgehungsmaßnahme und der Verletzung der Privatsphäre. Zwar hat das BVerfG nicht ausdrücklich gesagt, dass die Manipulation des Informationssystems eine Umgehung von dedizierten Maßnahmen zum Schutz der Privatheit sein muss, doch scheint eine solche enge Interpretation sachangemessen zu sein. Sollte zum Beispiel die Polizei einen DRM-Schutz (Digital Rights Management) umgehen, um einen Videoclip mit verdächtigen Informationen auf ihrem eigenen Musikplayer spielen zu können, so scheint dies nicht die Art von Bedenken zu erzeugen, die das Gericht in seiner Entscheidung leiteten. Ziel der DRM ist es, Verletzung von Urheberrecht zu verhindern, Ziel der CAPTCHA-Software ist es, Inflation von virtuellem Gold zu verhindern, die legitimen Interessen des Eigentümers dieser Schutzmaßnahmen werden durch das polizeiliche Handeln nicht geschädigt. Im Gegensatz dazu schädigt die Polizei genau das intendierte Gut, wenn sie technologische Maßnahmen zum Schutz der Privatsphäre in ihrer Ermittlungsarbeit umgeht.

Eine interessante Variante ergibt sich, wenn die Untersuchungsbeamten oder Geheimdienstler selber wiederum Daten nicht von anderen Spielern, sondern von künstlichen Intelligenzkonstrukten (AI) erlangen. Virtuelle Welten haben ihre eigene Geographie und ihre Suche ähnelt daher einer Suche in der wirklichen Welt. Um die Richtung zu finden, helfen häufig virtuelle non-player Charaktere (NPC). Diese NPC werden vom Spielentwickler programmiert und vom Plattformbesitzer zur Verfügung gestellt. NPC haben eine Vielzahl von Aufgaben und Rollen, die sie in dem Spiel übernehmen können, als Gegner oder Verbündete von wirklichen Spielern, als Teil der Umwelt oder auch in einem gewissen Rahmen als Schiedsrichter, die z.B. Spieler abmahnen, wenn diese Regelverstöße begehen.⁵⁷ Sie sammeln aber auch Daten über Spieler und geben diese auf Anfrage an dritte Personen weiter, wenn dies für das Spiel notwendig ist. So kann etwa ein NPC einem Spieler erst als Verbündeter beistehen, ihn dann aber auch an Feinde «verraten». Wie ein solches «Verhör» eines NPC durch einen Polizisten oder Geheimdienstler rechtlich einzustufen ist, ist unklar. Technisch betrachtet handelt es sich um eine Datenbankabfrage, aber die Art wie diese graphisch repräsentiert wird, bringt sie näher an ein Verhör. Handelt es sich um eine Datenbankabfrage, so stellt sich die Frage, ob die Täuschungshandlungen der Beamten «hacking» darstellen. Subjektiv mag dies nicht so aussehen – der Beamte tippt eine Frage ein («Wo ist Ork Grul, wir brauchen ihn für einen Angriff auf die Burg?») und erhält eine Antwort («Er ist in der Taverne»). Doch diese natürlich-sprachliche Interaktion verschleiert die zugrundeliegende Logik: Aus der Sicht des Computers erhält er einen symbolischen Input und produziert nach strikten Regeln einen Output, dies ist nicht anders als z.B. ein Einloggen mit einem Passwort. Wenn es daher eine Manipulation der Integrität eines Informationssystems ist, ohne Autorität eine Passwortaufforderung zu umgehen, so kann man argumentieren, dass es genauso eine Manipulation ist, eine Reaktion eines NPC unter Vorspielung eines falschen Sachverhalts zu erzwingen. In beiden Fällen wird der Computer dazu gebracht, anders als vom Programmierer geplant zu reagieren.

Der Mensch ist Homo Faber und Homo Ludens, Schöpfer und Spieler. In virtuellen Welten werden beide Bestimmungen eins, hier wird er zum Schöpfer seiner eigenen Welten, zum Zwecke des Spiels. In diesen Welten wird er aber auch Schöpfer seines (digitalen) Selbst, der ultimative «self-made man». Nicht was der genetische Zufall uns zugeteilt hat, bestimmt dort unsere Eigenschaften, sondern was wir frei für uns wählen. Für Hannah Arendt insbesondere ist Homo Faber zu unterscheiden vom «Animal Laborans» dem «arbeitenden Tier».⁵⁸ Als Animal Laborans reduziert sich unser Dasein auf das Arbeiten zur Existenzsicherung und unsere Produkte auf ihren praktischen Nutzen zu diesem Endzweck. Für Homo Faber jedoch ist das menschliche Werk als für sich stehend wertvoll. Die gleiche phänomenologische Unterscheidung finden wir oft in den Selbstbeschreibungen von Partizipierenden in Online-Rollenspielen. Das profane Alltagsleben ist nur von instrumentellem Nutzen, das wirkliche Leben findet im Spiel statt, wo unsere Schöpfungen, und dies schließt unseren Avatar ein, Wert in sich selbst erhalten.⁵⁹ Stärker noch finden wir diese Divergenz in der Unterscheidung zwischen dem Viator Mundi, dem Mensch als einem Reisenden durch die Welt, in der er nie ganz heimisch wird, und dem Faber Mundi als einem Schöpfer und damit Beherrscher der Welt. Ideengeschichtlich wird dabei der erstere mit dem Mittelalter, Faber Mundi dagegen mit dem Selbstverständnis der Neuzeit identifiziert.⁶⁰ Im virtuellen Raum vervollkommnet sich diese Entwicklung, werden hier doch Welten nun wirklich neu geschaffen und nicht nur wie in der Vergangenheit unter den Zwängen und Einschränkungen physikalischer Gesetze modifiziert.

Vor Arendt, und ohne den Term «Homo Faber», aber in gezielter Abgrenzung gegen die Mechanisierung der Lebensabläufe, die die industrielle Revolution brachte, betonte Friedrich Schiller in seinen Briefen «Über die ästhetische Erziehung des Menschen» die Bedeutung des Spielens. Zumindest für ihn stehen sich Homo Ludens und Homo Faber unvereinbar gegenüber. «Nur im Spiel», so Schiller, «ist die Ganzheitlichkeit der menschlichen Fähigkeiten zu realisieren». Wir erinnern uns in diesem Zusammenhang, dass das deutsche BVerfG gerade die Erfassung des Menschen in seiner Ganzheitlichkeit als die große Gefahr der Online-Überwachung hervorgehoben hatte. Wenn wir der Schiller’schen Analyse folgen, so können wir der Überwachung von Online-Spielen ein besonders großes Gefahrepotential zuschreiben. Zu einer ähnlichen Analyse kommnt Herbert Marcuse. In «Der eindimensionale Mensch» betont er die Bedeutung des Spiels als Gegengewicht zur Vorherrschaft der «instrumentellen Vernunft», die für Industriegesellschaften charakteristisch ist. Diese lasse keinen Platz mehr für Ganzheit, Persönlichkeitsentfaltung und autonome Selbstwerdung – demokratische Werte, die gerade auch durch permanente Überwachung gefährdet sind.

So argumentierte etwa Bloustein, dass:

«[t]he man who is compelled to live every minute of his life among others and whose every need, thought, desire, fancy or gratification is subject to public scrutiny, has been deprived of his individuality and human dignity. Such an individual merges with the mass. His opinions, being public, tend never to be different; his aspirations, being known, tend always to be conventionally accepted ones; his feelings, being openly exhibited, tend to lose their quality of unique personal warmth and to become the feelings of every man».⁶¹

Ähnlich argumentiert Simitis, dass der Konflikt zwischen den «demokratischen Rechten» auf Redefreiheit und Transparenz mit dem Schutz der Privatsphäre oft auf einem Missverständnis beruht und dass ganz im Gegenteil auch die Privatsphäre eine wichtige Rolle darin spielt, Teilnahme am öffentlichen Leben zu erleichtern. In der Tat zeigt die Erfahrung mit totalitären Systemen, dass die systematische Verletzung der Privatsphäre oft zu einer «Gesellschaft der Mitläufer» führen kann.⁶²

Die gegenseitige Abhängigkeit zwischen Schutz der Privatsphäre und Schutz anderer zentraler Charakteristiken der offenen, pluralistischen Demokratie wird auch von Charles Raab hervorgehoben, der argumentiert, dass Werte wie persönliche Autonomie, Privatsphäre und informationelle Selbstbestimmung «are important not primarily because individuals may wish to live in isolation (for they do not, mostly), but so that they can participate in social and political relationships at various levels of scale, and so that they can undertake projects and pursue their own goals».⁶³

Wenn nun der einzige Ort in der industriellen Gesellschaft, in der Autonomie und Gesamtentfaltung der Persönlichkeit noch möglich sind, im Spiel ist, und andererseits staatliche Überwachung eine Gefahr für diese Werte darstellt, so müssen wir schließen, dass die Überwachung von Spielen in der Tat eine potentiell besonders schwere Verletzung von Bürgerrechten in der demokratischen Gesellschaft sein kann.

Das Konzept des «Homo Ludens» ist vor allem durch Johan Huizinga bekannt geworden.⁶⁴ Dieser versuchte zu zeigen, dass sich unsere kulturellen Systeme wie Politik, Wissenschaft, Religion und insbesondere auch das Recht ursprünglich aus spielerischen Verhaltensweisen durch Selbstorganisation entwickelten. Aus Spiel wird «heiliger Ernst», wenn es sich über Ritualisierungen institutionell verfestigt. Sobald sich die Regeln einge-«spielt» haben, sind sie nicht mehr ohne weiteres zu ändern, nehmen nun Zwangscharakter an. In Online-Welten finden wir, dass zwar einerseits Freiräume geschaffen werden, in denen alte Zwänge in Frage gestellt werden können. Andererseits zeigen aber empirische Studien, dass sich normative Regeln aus der physischen Welt subtil wieder Raum schaffen.⁶⁵

Letztlich sind sowohl Homo Ludens als auch Homo Faber durch den Spielbegriff definierbar. Für Warwitz und Rudolf etwa sind Homo Ludens und Homo Faber zwei unterschiedliche Formen der Weltaneignung im Spiel.⁶⁶ Homo Ludens findet im selbstgenügsamen, zweckfreien Spiel trotz oder gerader wegen seiner Zufälligkeit und seinen nicht-essentiellen Möglichkeiten Sinn. Der Prozess der Sinngebung führt aber auch als Nebenprodukt zur Welterkenntnis. Homo Faber hingegen betont Lernen durch das zweckgerichtete, strategische Spielen und gewinnt so Welterkenntnis. Er instrumentalisiert somit das Spiel gezielt als Lernspiel. In virtuellen Online-Rollenspielen finden wir beide Ausprägungen des Spieltypus. Zum einen gibt es Spiele, die das Zufallselement von traditionellen «Bleistift und Papier» Rollenspielen wie Dungeons and Dragons übernehmen und in virtuellen Welten umsetzen.⁶⁷ Strategie ist wichtig, doch eröffnet der Zufall einen Platz für das Unvorhergesehene und Unplanbare. Das Ziel ist in erster Linie hedonistisch,⁶⁸ und doch ist der «Nebeneffekt» der Sinngebung und Welterkenntnis relevant auch für Homo Politikus und den Mensch als politisches und soziales Wesen. Insbesondere können sozial und politisch wichtige Eigenschaften erworben werden, wie auch die Fähigkeit zum politischen Widerstand.⁶⁹ Auch hier zeigt sich die Gefahr, wenn Spielwelten der staatlichen Überwachung ohne zureichenden Rechtsschutz preisgegeben werden. Auf der anderen Seite findet sich auch der Typus des «Homo Faber beim Spiel», mit mehreren Studien, die das Potential von virtuellen Online-Rollenspielen für strukturiertes Lernen hervorheben.⁷⁰ In virtuellen Online-Spielen kommen somit Homo Faber und Homo Ludens zusammen, sie sind nicht nur ein nebensächlicher Zeitvertreib, sondern können für unser Selbstverständnis und unsere Identitäten konstitutive Funktionen übernehmen.

Die Bedeutung des Spiels für das Entstehen des Rechts als soziales Phänomen wurde von Huizinga betont. Eine andere, normativ-anthropologische Verbindung zwischen Recht und Spiel findet sich im einflussreichen Versuch einer Neubegründung des Naturrechts durch John Finnis. In dessen Natural law and Natural Rights ist «Spielen» als einer der kulturübergreifenden menschlichen Werte aufgelistet, denen letztendlich alle gerechten Gesetzte dienen müssen.⁷¹

Dass britische und amerikanische Geheimdienste in großem Maße Online-Spiele überwachen, mag am Anfang wie eine schlechte Parodie klingen, zu evokativ ist das mentale Bild des Möchtegern James Bond, dessen einzige Chance auf «Aktion» es ist, in World of Warcraft als Elf feindliche Orks zu überwachen. Vor dem Hintergrund der Enthüllungen über PRISM und TEMPORA erscheint es schlimmstenfalls als eine Verschwendung von Steuergeldern, nichts mehr als eine amüsante Fußnote zum Skandal. Wir haben zu zeigen versucht, dass dies ein gefährliches Missverständnis wäre. Überwachung von Spielwelten ist potentiell einer der schwerwiegendsten Angriffe auf den Privatheitsschutz, der denkbar ist. Wie wir zu zeigen versucht haben, erlaubt die Überwachung von Online-Spielen nicht nur empirisch verlässliche Rückschlüsse auf die «reale» Person des Spielers, ihre physischen, emotionalen und sexuellen Charakteristika, es erfasst zudem ihre Träume, Wünsche und Hoffnungen, nicht nur wer oder was wir sind, sondern auch was wir gerne sein würden. Sie stellt damit einen Schritt zur Gesamterfassung einer Person dar, eine Möglichkeit die sowohl für Großbritannien, aber auch für Deutschland eines erheblich strikteren Rechtsrahmens bedarf, als dies zur Zeit der Fall ist.

Wiebke Abel, 

Postdoctoral Research Fellow

SCRIPT Centre, School of Law, The University of Edinburgh, Old College

Edinburgh EH8 9YL

wabel@staffmail.ed.ac.uk

Burkhard Schafer, 

Professor for Computational Legal Theory, Director

SCRIPT Centre School of Law, The University of Edinburgh, Old College

Edinburgh EH8 9YL

b.schafer@ed.ac.uk