Jusletter IT

Am 9. Dezember 2013 kommentiert der britische Guardian «To the National Security Agency analyst writing a briefing to his superiors, the situation was clear: their current surveillance efforts were lacking something. The agency’s impressive arsenal of cable taps and sophisticated hacking attacks was not enough. What it really needed was a horde of undercover Orcs».¹ Was sich zuerst wie eine Parodie der Satierezeitschrift «The Onion» liest hatte aber einen sehr realen Hintergrund. Unter den letzten Enthüllungen über die Aktivitäten der amerikanischen NSA durch die «Snowden-Dokumente» befanden sich auch Memoranden aus dem Jahre 2008, die anzeigten dass sowohl NSA als auch das FBI seit einiger Zeit virtuelle Online-Welten, und insbesondere populäre Rollenspiele wie World of Warcraft, zur Beobachtung verdächtiger Aktivitäten infiltriert hatten. Die Sicherheitsdienste hatten signifikante Kapazitäten aufgebaut, um insbesondere das Xbox-Live-Konsolennetzwerk mit seinen mehr als 48 Million Spielern zu infiltrieren. Von Orks in World of Warcraft zu Avataren in Second Life reichen die Rollen, die Agenten dabei annahmen, um in Echtzeit Informationen sammeln zu können. Eine NSA-Studie aus dem Jahre 2008 mit dem Titel «Exploiting Terrorist Use of Games & Virtual Environments» beschreibt Online-Rollenspiele als eine Umgebung mit besonders vielen Angriffszielen, in denen sich die Agenten «ungetarnt tarnen können»² Laut dem NSA-Dokument ermöglicht diese Art der Überwachung die Planung und Durchführung von Hacking-Attacken, eine Profilerstellung der sozialen Netzwerke von Verdächtigen durch sogenannte «buddy lists» und ihre Interaktionen mit anderen Spielern, die Erlangung identifizierender Daten wie z.B. Fotos, von Geodaten und einer Sammlung von Kommunikationsdaten. Darüber hinaus konnte Überwachung jederzeit in Rekrutierung umgewandelt werden.

Allerdings gab es bereits damals schon ein Problem: es hatten sich so viele verschiedene Dienste, und so viele unterschiedliche Agenten eine virtuelle Online-Personae zugelegt, dass die Gefahr bestand, dass sie sich gegenseitig bespitzelten. Ein formales Verfahren des «deconfliction» wurde daher als notwendig erachtet, um die Aktionen zu koordinieren.

Wie so oft bei geheimdienstlicher Tätigkeit ist es schwer, Details über die Operationen heraus zu finden. Doch schon lange bevor die Snowden-Dokumente an die Öffentlichkeit kamen, haben Schriftsteller über diese Art der Ermittlung spekuliert. Zur besseren Illustration und als Gedankenexperiment werden wir eine solche fiktiven Schilderung zum Ausgangspunkt unserer Analyse der rechtlichen Probleme der Überwachung von Online-Rollenspielen machen.

Ausgangspunkt für unsere Überlegungen ist der Kriminalroman Roadside Crosses des amerikanischen Schriftstellers Jeffrey Deaver.³ Hier eine kurze Zusammenfassung der für unsere Analyse wichtigsten Elemente:

Die Monterey-Halbinsel wird von einer Reihe brutaler Verbrechen erschüttert. Bald stellt sich heraus, dass der Mörder seine Opfer über ihre Internetaktivitäten ausgesucht hat, und sehr effizient personenbezogene Daten, die diese leichtsinnig auf ihren Blogs oder Facebook-Seiten veröffentlicht haben, zur Planung der Verbrechen benutzt.

Ein Jugendlicher aus einem problematischen familiären Umfeld wird bald zum Hauptverdächtigen. Ermittlungen ergeben, dass er von einem MMORPG (Massively Multiplayer Online Role-Playing Game) mit einer für diese Spiele üblichen gewalttätigen Ausrichtung besessen war. Jeden Tag verbrachte er viele Stunden online, wahrscheinlich damit beschäftigt, Zwerge, Drachen und Ritter im Schwerkampf zu töten. Obgleich der Zusammenhang zwischen Gewalt in Online-Rollenspielen und Gewaltbereitschaft in der Realität stark umstritten ist,⁴ bildet sich für die Polizei ein klares Profil: antisozialer Einzelgänger mit guten bis sehr guten Computer-Kenntnissen, die für die Tat notwendig waren, und das zerrüttete Elternhaus bilden ein plausibles Profil, eine überzeugende «Erzählung» mit nachvollziehbaren Motiven.⁵ Als er dann scheinbar die Flucht ergreift, erhärtet sich der Verdacht. Doch selbst auf der Flucht ist seine «Abhängigkeit» von dem Spiel zu groß,⁶ und er meldet sich von verschiedenen Orten zum Spielen an.

Um ihn in der wirklichen Welt ausfindig zu machen und Beweise gegen ihn sammeln zu können, melden sich zwei der Fahnder (im Buch zivile Experten, die die Polizei unterstützen) bei dem MMORPG an und legen sich Avatare, digitale Repräsentationen ihrer Persönlichkeiten zu. Als Schwertkämpfer betreten sie den Kontinent «Aetheria» und beginnen die Suche nach dem Flüchtigen. Virtuelle Welten haben ihre eigene Geographie, und ihre Suche ähnelt daher einer Suche in der wirklichen Welt. Um die Richtung zu finden, befragen sie die Avatare von anderen Spielern, und auch eine KI-Konstruktion, einen virtuellen non-player Charakter (NPC). Diese NPCs werden vom Spielentwickler programmiert und vom Plattform-Besitzer zur Verfügung gestellt. NPCs haben eine Vielzahl von Aufgaben und Rollen, die sie in dem Spiel übernehmen können, als Gegner oder Verbündete von wirklichen Spielern, als teil der Umwelt, oder auch in einem gewissen Rahmen als Schiedsrichter, die z.B. Spieler abmahnen wenn diese Regelverstöße begehen.⁷ Sie sammeln aber auch Daten über Spieler und geben diese auf Anfrage auch an dritte Personen weiter, wenn dies für das Spiel notwendig ist. So kann etwa eine NPC einem Spieler erst als Verbündeter beistehen, ihn dann aber auch an Feinde «verraten». Diese Funktion machen sich die Ermittler zu nutze, und können so das «virtuelle Haus» des Verdächtigen im Spiel lokalisieren. Sie finden es verlassen vor, doch als sie es betreten, erwartet sie eine Überraschung. Obwohl das generelle Thema des MMORPG ein Abenteuerspiel ist, in dem Helden und Heldinnen gefährliche Abenteuer bestehen und Feinde besiegen müssen, hat der Verdächtige die Rolle eines «Heilers» übernommen. Andere Spieler suchen ihn auf, um ihre Avatare nach einer Schlacht gesunden zu lassen. Zu arm, um sich im echten Leben ein Medizinstudium leisten zu können, hat er im Spiel, der alternativen Wirklichkeit, für sich einen konsistenten «Lebensplan» geschaffen, indem er seine Werte, Wünsche und Handlungen in einer Weise in Einklang bringen kann, die ihm in den Strukturen der physikalischen Welt verwehrt bleiben.⁸ Im Licht dieser Information müssen unsere Detektive ihre Hypothese überdenken – bald finden sie den wirklichen Täter.

Für das Recht der polizeilichen Ermittlung und das Datenschutzrecht wirft Deavers Geschichte einige wichtige Fragen auf:

1. Wie sind die Eigenschaften eines Avatars datenschutzrechtlich zu verstehen? Sind sie personenbezogene Daten des «Eigentümers» des Avatars, und können sie insbesondere in den Kreis der Daten des § 3 Abs. 9 BDSG, fallen, also als Daten über ethnische Herkunft, die politische Meinung, religiöse oder philosophische Überzeugungen, die Gewerkschaftszugehörigkeit, die Gesundheit und das Sexualleben sein? In diesem Falle unterlägen sie nach § 4d Abs. 5 BDSG der Vorabkontrolle.
2. Sind Informationen, die Spieler in einer MMORPG über sich preisgeben – und dies sind unter anderem die Eigenschaften des Avatars – öffentlich zugänglich, wenn das Spiel hinter einer «paywall» liegt, oder zumindest der Registrierung bedarf? Hat in diesem Fall der Anbieter des Spiels «freiwillig» der Polizei Zugang gewährt, obwohl er zumindest zu einem gewissen Grade von ihnen getäuscht wurde? In der Entscheidung des Bundesverfassungsgerichts zum Einsatz von «Trojanern» spielte diese Unterscheidung eine wichtige Rolle,⁹ unser Beispiel zeigt, wie problematisch sie aber sein kann.
3. Was ist der Status der Ermittler in unserer Geschichte? Sind sie «Verdeckte Ermittler», in welchem Fall §§ 110a ff. StPO einschlägig wäre? Insbesondere würde dies bedeuten, dass diese Art des Ermittelns nur in besonders schwerwiegenden Fällen zulässig wäre und staatsanwaltschaftlicher Genehmigung bedürfte. Macht es einen Unterschied, dass es im Moment für sie nicht möglich ist dem Spiel als «Polizisten» beizutreten? Dessen Software strukturiert seine Wirklichkeit so, dass Teilnahme nur durch einen der vorgegebenen Avatar-Typen möglich ist, die alle in den Gesamtrahmen der zur virtuellen Welt gehörenden «Legende» als Abenteuerspiel passen. Gibt es hier Handlungsspielraum, oder sogar Handlungsbedürfnis, de lege lata, etwa durch einen normierten «Polizei-Avatar» der das öffentliche und offene ermitteln in einer Spielwelt ermöglichen würde?¹⁰
4. Wie weit dürfen die Polizisten Normen verletzen, wenn dies für die verdeckte Untersuchung notwendig ist? Regelmäßig werden sie zumindest die EULAs und ToS, die Geschäftsbedingungen des Spielanbieters, bei der Anmeldung verletzen, da diese die Registrierung typischerweise an den Zweck des Spielens binden. Zumindest in den USA kann dies aufgrund einer umstrittene Rechtsreform zur Kriminalisierung von diesen prima facie vertragsrechtlichen Verletzungen geführt haben,¹¹ so dass zumindest unter diesen Gesetzen oder dieser Interpretation der Gesetze, der verdeckte Ermittler schon durch die Anmeldung eine Straftat begangen hätte.
5. Handeln sie exterritorial, und werden dadurch Fragen des internationalen Rechts berührt? In Frage käme hier zum einen eine Verletzung der Souveränität des Landes auf dessen Servern das Spiel läuft. Oder ist gar das «Recht Aetherias» das hier relevante, wenn wir virtuelle Welten als supranationale, staatenähnliche Gebilde ernst nehmen würden?¹²
6. Wie ist das betreten der «virtuellen Wohnung» rechtlich einzuordnen? Ist dies eine «zusätzliche» Hausdurchsuchung, oder sind bloß virtuelle Häuser nicht von Art. 10 GG geschützt?
7. Was ist, juristische gesehen, der Status der NPC und der Status der polizeilichen Interaktion mit ihr? Sollten wir ihre Befragung rechtlich als ein «Verhör» konzeptualisieren, als Abfrage einer Datenbank, oder benötigen wir eine dritte Option? Wenn sie wie in der Geschichte dazu gebracht wird, sich anders als von ihrem Programmierer geplant zu verhalten (d.h. nicht nur Informationen die für das Spiel wichtig sind preis gibt), ist dies «hacking», selbst wenn nicht direkt Computer Code verwendet wurde?
8. Das Überwachen einer virtuellen Welt kann resourcenintensiv sein. Wenn der Verdächtige in einer anderen Zeitzone ist, wie es bei globalen Spielen häufig der Fall sein wird, müsste 24 Stunden lang ein Polizist am Spiel teilnehmen. Anstelle sich persönlich unter dem registrierten Avatar einzuloggen, könnte die Polizei daher auch einen bot verwenden, der zumindest Routineaktionen ohne direkte Kontrolle durchführen kann, etwa andere Spieler fragen, ob sie den Avatar der Zielperson gesehen haben. Da die Polizei dazu einige technische Schutzmaßnahmen der Plattform umgehen muss, wirft dies besondere Fragen auf.

Unser Fokus in diesem Beitrag sind die Punkte 1, 7 und 8, da sie es erlauben, Parallelen zur «Trojanerentscheidung»¹³ des Bundesverfassungsgerichts zu ziehen.

Es erscheint offensichtlich, dass Informationen bezüglich des Avatar einer Person in der Regel persönliche Daten sein werden. Sofern Spielern nicht automatisch, und für jedes Einloggen aufs Neue, ein Avatar durch einen Zufallsgenerator zugewiesen wird, sollte es in der Regel möglich sein, über den Avatar auch dessen Eigentümer zu identifizieren – Avatare sind in der Regel Identitäten, und lassen daher eine Wiedererkennung zu. Dies aber muss einen Benutzer systematisch mit seinem Avatar verbinden, die Daten dafür sind notwendigerweise persistent. Ohne diese Möglichkeit der Identifizierung von Benutzern durch ihre Avatare wäre es in der Tat sinnlos, für Polizei oder Geheimdienste als «Mitspieler» in Online-Welten Informationen zu sammeln, und so spielt denn auch die Möglichkeit der Benutzeridentifikation eine wichtige Rolle in den NSA-Dokumenten. Auch die Technologie kann hier helfen: Artimetrics bezeichnet dabei die Forschungsrichtung die versucht Algorithmen zu entwickeln, die die akkurate Identifizierung, Klassifizierung und Authentifizierung von Avataren in virtuellen Welten studiert.¹⁴ Dabei ist die Ermittlung von kriminellen Onlineaktivitäten eines der intendierten Anwendungsgebiete.¹⁵

Problematischer ist die Frage, ob Eigenschaften meines Avatar auch sensitive persönliche Daten sein können. Zum einen ist es natürlich wahr, dass ein Avatar häufig Eigenschaften haben wird, die radikal anders sind als die seines Besitzers. Muskel-bepackte Helden sind in Online-Rollenspielen überdurchschnittlich vertreten, es ist unwahrscheinlich, dass ihre Eigentümer den gleichen Grad der körperlichen Fitness haben werden. Häufig sind Avatare Phantasiefiguren – Zwerge, Orks, Drachen – oder Gestalten der Geschichte. Wer in einem Online-Rollenspiel, das im Mittelalter angesiedelt ist, die Rolle des Großinquisitors annimmt, ist nicht notwendigerweise katholisch, oder auch nur männlich. Weder eine politische Vorliebe für eine Theokratie, noch Gewaltbereitschaft in dem Versuch, sie herbeizuführen, kann ohne weiteres geschlossen werden. Wenn ein Spieler einen Großteil seiner Zeit in solch einer Rolle verbringt, könnten wir mit Turkle¹⁶ argumentieren, dass dies nichtsdestotrotz seine (oder ihre) Identität ist, doch wäre dies immer noch eine problematische Ausdehnung des Begriffs der «sensitiven Daten». Andererseits zeigt aber eine Fülle von psychologischen Studien zur Internetbenutzung, dass Eigenschaften aus der Offline-Welt durchaus in die Online-Welt so projiziert werden, dass mit großer Wahrscheinlichkeit Rückschlüsse auf die «echten» Eigenschaften eine Person gezogene werden können.¹⁷ Geschlechterwandel etwa ist möglich, aber selten, und kann häufig durch typische Verhaltensmuster entdeckt werden.¹⁸ Wer durch seinen Avatar an virtuellen Sexspielen teilnimmt, sagt damit auch einiges über seine sexuelle Orientierung.¹⁹ Gerade bei «Problemnutzern» wie dem Verdächtigen in der Deaver-Erzählung lassen sich über das Verhalten im Netz Rückschlüsse auf psychologische und medizinische Probleme herleiten.²⁰ So können wir sagen, dass in gewisser Weise die Erfassung von Verhalten in virtuellen Welten dem Persönlichkeitskern besonders nahe kommt – es ermöglicht nicht nur Rückschlüsse darauf, was eine Person ist, sondern auch darüber, was sie träumt gerne sein zu wollen. Zu diesen Eigenschaften des Avatars selber kommen dann noch die relationalen Eigenschaften – der Freundeskreis und auch wieder gerade für Problemnutzer das gesamte soziale Umfeld. Dies wurde auch im NSA-Bericht besonders hervorgehoben, in dem es gerade auch darum geht, die sozialen Netzwerke, Freundeskreise und Kontakte von Verdachtspersonen aufzuzeigen. Im «Trojanerurteil» beschreibt das Verfassungsgericht die Gefahr der Online-Überwachung als Möglichkeit, dass «sich ein umfassendes Bild vom Nutzer des Systems ergeben kann». Überwachung von Online-Rollenspielen in virtuellen Welten hat zumindest das Potenzial, ähnlich schwer in die Persönlichkeitsrechte der Betroffenen einzugreifen.²¹

Im gleichen Urteil unterschiedet das Gericht zwischen Datenerhebung, bei der «die Verfassungsschutzbehörde Inhalte der Internetkommunikation auf dem dafür technisch vorgesehenen Weg zur Kenntnis nimmt», und solchen, bei denen die Integrität der Informationssysteme durch technische Maßnahmen kompromittiert wird, und Daten damit durch «hacking» dem System sozusagen entrungen werden müssen. In unserem Fall ist es fraglos der Fall, dass die Beamten als verdeckte Ermittler handeln. Sie verschafften sich außerdem Zugang zu Kommunikation, die nicht jedem zugänglich ist. Insofern ist die Situation anders als etwa das einfache Lesen des Blogs eines Verdächtigen. Durch eine Anmeldung zu andern Zwecken als dem Spielen wird das System auch in einer gewissen Weise «manipuliert» – die Eintragungen, die die Polizisten bei der Registrierung machen, werden vom System in Computercode übersetzt, der dann wiederum eine Reaktion der Plattform – hier Zugang zum Spiel – auslöst. Andererseits erlaubt das Gericht es der Polizei ausdrücklich, durch «Legenden», etwa unter einem Pseudonym, an Diskussionen in einem Chatraum teilzunehmen. Trotz einiger «bedenklicher» Entwicklungen in den USA halten wir es für problematisch, eine Registrierung, die die Geschäftsbedingungen einer Webseite verletzt als «unautorisierten Zugriff» und damit einem hack gleichzusetzen. Sofern es sich also um menschliche Ermittler handelt, ist das neue Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme nicht einschlägig, und die allgemeinen Datenschutzbestimmungen greifen ein. Auch diese allerdings sind ausreichend, um die «fishing expeditions» die anscheinend auf populären Online-Spielplattformen stattfanden, bedenklich erscheinen zu lassen.

Anders könnte sich die Situation aber gestalten, wenn nicht wirkliche Polizisten, sondern bots die Überwachung übernehmen. Technisch gesehen hätten die Beamten in der Deaver-Novelle ohne größere Probleme ein Software-Programm an ihrer Stelle die Welt betreten lassen können. Dieses hätte etwa eine vorformulierte Frage an alle Avatare stellen können, denen es online begegnet: «ist XYZ online, und wo ist er?» Sobald eine positive Antwort gegeben wird, informiert es die Polizei, sodass ohne große Ressourcenimplikationen eine 24stündige Überwachung möglich ist. Derartige bots sind technisch möglich, und werden in der Tat häufig von Spielern zum «schwindeln» benutzt.

Derartige bot-Spieler stellen für Online-Spielplattformen ein Problem dar: sie werden etwa gerne von Spielern verwendet, die monotone und zeitaufwendige arbeiten (wie z.B. «Gold abbauen») nicht selber durchführen wollen. Insbesondere für Plattformen die Werbeeinnahmen als Einnahmequelle haben, und daher darauf angewiesen sind, dass Spieler möglichst lange eingeloggt sind, ist dies ein Problem. Aber auch andere Betreiber versuchen, dieses Verhalten als «Verstoß gegen die Spielregeln» zu unterbinden, auch um «in-Spiel-Inflation» von Gütern zu verhindern.²² Zusätzlich zum Vertragstext, den Terms of Service, der typischerweise das Benutzen von bots verbietet, gibt es daher eine ganze Reihe von technischen Möglichkeiten, um die Teilnahme von bots an online-Spielen wenn nicht zu verhindern, so doch aufzudecken und zu erschweren. Automatisches Registrieren zum Beispiel können «Agent exclusion clauses» im html-Text einer Website verhindern²³, allerdings nur für bots, die so programmiert sind diese zu lesen und zu respektieren. Aufwendiger sind «reverse Turing»- oder auch «CAPTCHA»-Tests, in denen der Mensch/bot aufgefordert wird, Aufgaben wie etwa Gesichter- oder Bilderkennungsaufgaben zu bewältigen, die zur Zeit Maschinen normalerweise nicht lösen können.²⁴ Viele dieser Maßnahmen verhindern nur automatische Registrierung, nicht aber Registrierung durch einen Menschen, der dann seinen bot für ihn Handlungen durchführen lässt. Es gibt aber auch die Möglichkeit, CAPTCHA-Tests realistisch in ein Spielumfeld einzubauen, wo es dann auch noch nach der Registrierung bots identifizieren und blockieren kann.²⁵ Zudem gibt es eine ganze Reihe von automatischen und semi-automatischen Methoden, bots im Spiel durch ihr Verhalten zu identifizieren, entweder interaktiv oder auch durch rein passives Profiling.²⁶ Die Polizei würde also zumindest diese technischen Sicherungen umgehen müssen. Dies würde dann die Frage aufwerfen, ob dies einen vergleichbaren Tatbestand zu der Überwachung durch den Bundestrojaner erzeugt – auch dort werden softwaregestützte Schutzmechanismen überwunden, um eine Infiltrierung durch ein semi-autonomes Softwarekonstrukt zu ermöglichen, und dadurch die Sicherheit und Vertraulichkeit von ICT-Systemen kompromittiert. Allerdings dienen die zu überwindenden Schutzmaßnahmen hier nicht dem Privatheitsschutz, was ein potenziell relevanter Unterschied ist.

Unsere Analyse hat mehr Fragen aufgeworfen als Antworten geben können. Als wir die Forschung zu diesem Thema begannen, hielten wir es für eine reine intellektuelle Übung, an der wir durch Deavers Novelle Interesse gefunden hatten. Seitdem haben die Snowden-Enthüllungen gezeigt, dass die Wirklichkeit der Fantasie schon lange voraus war. Dass die Praxis der amerikanischen und britischen Geheimdienste, der Umfang in dem sie ohne richterliche Genehmigung und nicht zielgerichtet Online-Spiele überwachen mit deutschen Vorstellungen zum Datenschutz unvereinbar ist, sollte klar sein. Wie genau aber ein verfassungskonformer Rechtsrahmen für die Ermittlung in virtuellen Welten ausgestaltet werden kann, bedarf weiterer Diskussionen, deren Dringlichkeit wir zu zeigen gehofft haben.

---

 

Wiebke Abel

Postdoctoral Research Fellow, SCRIPT Centre, School of Law, The University of Edinburgh

Old College, Edinburgh EH8 9YL

wabel@staffmail.ed.ac.uk

 

Burkhard Schafer

Professor for Computational Legal Theory, Director, SCRIPT Centre School of Law, The University of Edinburgh

Old College, Edinburgh EH8 9YL

b.schafer@ed.ac.uk

 

---