Jusletter IT

Mit der zunehmenden Verschiebung der Kommunikation auf Internetdienste (E-Mails, soziale Medien, Internettelefonie) und der technischen Entwicklung hin zu «Cloud Computing» hat sich auch der Ermittlungsfokus der Strafverfolgungsbehörden verschoben. Deren Arbeit wird durch diese Beweisverlagerung in die digitale Welt zunehmend komplexer, was besonders darin gründet, dass die gängigen Internetdienste vom Ausland aus (üblicherweise den USA) operieren – man denke an Google, Facebook, WhatsApp oder Microsoft. Der Blick der Strafverfolger schweift damit regelmässig über die Landesgrenzen hinaus. In diesem grenzüberschreitenden Kontext müssen den Behörden effektive Eingriffsbefugnisse zur Verfügung gestellt werden, die es ihnen ermöglichen, die für inländische Strafverfahren erforderlichen Beweismittel weiterhin sicherzustellen.¹

Einer konkreten Fragestellung in diesem digitalen Dunstkreis hat sich das Bundesgericht in einem jüngeren Entscheid angenommen: Dürfen schweizerische Strafverfolgungsbehörden im Rahmen eines inländischen Strafverfahrens, als Ausfluss ihrer strafprozessualen Befugnisse, direkt auf Benutzerkonten bei ausländischen abgeleiteten Internetdiensten (im konkreten Fall Facebook) zugreifen, beweisrelevante Daten sicherstellen und diese sodann im inländischen Strafverfahren verwerten?² Mit dem direkten Zugriff ist hier nicht die Aufforderung an ausländische Provider zur Herausgabe von Daten gemeint, die ebenfalls Problemfelder aufwirft, sondern vielmehr das eigenhändige Einloggen auf Benutzerkonten durch eine Strafbehörde unter Verwendung ihr bekannter Zugangsdaten.

Der direkte Zugriff auf elektronische Informationen im Ausland würde die Strafverfolgung schlagkräftiger und effizienter machen: Zufolge der Trägheit der internationalen Rechtshilfe würde das Risiko minimiert, dass beweisrelevante Informationen nicht mehr erhältlich, weil gelöscht, sind.³ Allein, mit der Billigung des unmittelbaren Online-Datenzugriffs könnten die offiziellen Rechtshilfewege und das völkerrechtliche Territorialitätsprinzip untergraben werden.⁴ Dies besonders vor dem Hintergrund, dass das durch die Schweiz ratifizierte Übereinkommen über Cyberkriminalität vom 23. November 2001 (Cybercrime-Konvention, CCC)⁵ bereits gewisse Erleichterungen für die grenzüberschreitende Beweisbeschaffung vorsieht (vgl. nachstehend, Rz. 33 ff.).

Das Urteil des Bundesgerichts 1B_29/2017 vom 24. Mai 2017 wird vorliegend nur unter dem Aspekt der geschilderten Fragestellung des direkten Online-Zugriffs auf Daten im Ausland untersucht. Entsprechend wird auf eine Erläuterung sämtlicher Erwägungen – es handelt sich um einen speziellen Sachverhalt versuchter Kollusionshandlungen durch einen Untersuchungshäftling bzw. dessen Lehrerin – verzichtet. Insbesondere werden die Ausführungen des Bundesgerichts, wonach die Kommunikation über abgeleitete Internetdienste wie Facebook nicht den Art. 269 ff. der Strafprozessordnung (StPO) unterliege, womit es seine in BGE 143 IV 21 ff. begründete Rechtsprechung bestätigte,⁶ nicht näher untersucht.

Gegen den sich in Untersuchungshaft befindenden Beschwerdeführer führte die Staatsanwaltschaft eine Strafuntersuchung wegen qualifizierten Betäubungsmittelhandels. Anfangs Juni 2016 stellte das Personal des Untersuchungsgefängnisses einen Zettel sicher, den der Beschwerdeführer aus dem Gefängnis schmuggeln wollte. Auf diesem Papier hatte er die Zugangsdaten (Benutzername und Passwort) zu seinem Facebook-Account notiert. Mit Verfügung vom 9. Juni 2016 liess die Staatsanwaltschaft das Facebook-Konto des Beschwerdeführers unter Verwendung der ermittelten Login-Daten sichten und beweisrelevante Chat-Nachrichten sicherstellen.⁷ Nachdem der Beschwerdeführer anlässlich einer Einvernahme mit so erlangten Nachrichten konfrontiert worden war, beantragte er deren Siegelung.⁸

Die Vorinstanz – das Regionale Zwangsmassnahmengericht Berner Jura-Seeland – prüfte in ihrem Entscheid vom 14. Dezember 2016 die Zulässigkeit der der Erhebung der versiegelten Aufzeichnungen zugrunde liegenden Untersuchungsmassnahmen. Das Gericht erwog, die Chat-Nachrichten seien zwar als grundsätzlich durchsuchbare Aufzeichnungen i.S.v. Art. 246 StPO einzustufen. Jedoch hätten sich die Server, auf die zugegriffen worden sei, im Ausland befunden, weshalb die Staatsanwaltschaft ein Gesuch um internationale Strafrechtshilfe hätte stellen müssen. In Anwendung von Art. 141 Abs. 2 StPO erkannte die Vorinstanz jedoch nicht auf Unverwertbarkeit der rechtswidrig erlangten Nachrichten, da die Beweiserhebung hier der Aufklärung einer schweren Straftat diene.⁹ Zumal der Sichtung der Nachrichten auch keine überwiegenden Geheimnisinteressen der beschuldigten Person entgegenstünden, könnten die Aufzeichnungen entsiegelt werden.

Das Bundesgericht wies die von der beschuldigten Person dagegen erhobene Beschwerde ab. Die Durchsuchung des Zettels als solchen, auf dem der Beschwerdeführer seine Login-Daten notiert hatte, stufte das Bundesgericht zunächst als ebenso zulässig ein wie die anschliessende Onlinerecherche, hinsichtlich welcher auf Art. 246 i.V.m. Art. 241 Abs. 3, Art. 263 Abs. 3 und Art. 265 Abs. 4 StPO habe abgestützt werden können.¹⁰ Berechtigte Geheimnisinteressen seitens der beschuldigten Person, die gegen eine Entsiegelung sprächen, sah das Bundesgericht sodann keine.¹¹

Der Einwand der beschuldigten Person, die Chat-Nachrichten dürften nicht verwertet werden, da die online erhobenen Nachrichten auf Servern im Ausland (vermutungsgemäss in den USA) gespeichert gewesen seien, weshalb der direkte Zugriff auf die Chat-Nachrichten gegen das Territorialitätsprinzip verstossen habe und die Rechtshilfe umgangen worden sei,¹² wurde vom Bundesgericht ebenso wenig gehört. Es hielt in Erwägung 7.10 fest:

 

«Im vorliegenden Fall erfolgte kein Datenerhebungs- oder Editionsbefehl der Untersuchungsbehörde gegenüber FB USA, FB Irland oder FB Schweiz. Ebenso wenig nahm die Staatsanwaltschaft (gestützt auf die Cybercrime-Convention oder auf dem Rechtshilfeweg) hoheitliche Handlungen im Ausland vor. Vielmehr hat die Untersuchungsbehörde – von in der Schweiz befindlichen Computern, Servern und IT-Infrastrukturen aus – eigene Ermittlungen im Internet aufgenommen. Diese Online-Recherche war möglich geworden, weil die Staatsanwaltschaft über einen abgefangenen Kassiber (den der Beschuldigte aus dem Untersuchungsgefängnis zu schmuggeln versucht hatte) in den Besitz der Zugangsdaten des FB-Accounts des Beschuldigten gelangt war.

 

Wer über einen Internetzugang im Inland einen abgeleiteten Internetdienst benutzt, der von einer ausländischen Firma angeboten wird, handelt nicht ‹im Ausland›. Auch der blosse Umstand, dass die elektronischen Daten des betreffenden abgeleiteten Internetdienstes auf Servern (bzw. Cloud-Speichermedien) im Ausland verwaltet werden, lässt eine von der Schweiz aus erfolgte gesetzeskonforme Online-Recherche nicht als unzulässige Untersuchungshandlung auf ausländischem Territorium (im Sinne der dargelegten Praxis) erscheinen […].»¹³

Das bundesgerichtliche Verdikt, das sich nicht auf Facebook beschränkt, sondern sich ausdrücklich auf sämtliche abgeleiteten Internetdienste – darunter ausländische Host-Provider, Anbieter von Cloud-Services, Chat-Foren, Austauschplattformen von Dokumenten, Shopping-Portale, Google hinsichtlich von Suchabfragen¹⁴ wie auch (jedoch nur in Schranken)¹⁵ E-Mail-Dienst-Anbieter – bezieht, zeitigt für die Praxis massive Auswirkungen: Soweit die allgemeinen Durchsuchungsvoraussetzungen erfüllt sind,¹⁶ kann direkt auf Konten der beschuldigten Person oder Dritter bei derartigen ausländischen Diensten zugegriffen werden. Verwertbarkeitsprobleme stellen sich, jedenfalls aus dogmatischen Überlegungen (Stichwort: Territorialitätsprinzip), anscheinend keine.

Unerheblich wird dabei sein, ob die betroffene Person in die Durchsuchung der Online-Konten einwilligt und ihre Login-Daten freiwillig preisgibt oder die Strafverfolgungsbehörden diese auf anderem Wege erhältlich machen, etwa durch Sichtung beschlagnahmter Unterlagen. Ebenfalls nicht ausgeschlossen ist, dass auf den sichergestellten elektronischen Geräten spezifisch nach den Login-Daten zu derartigen Internetdiensten geforscht wird. Solch gezielte Nachforschungen dürften im Nachgang zum gegenständlichen Urteil vielmehr zunehmen.

Einfach gemacht wird dieses Vorgehen durch die Benutzer selber, nämlich dadurch, dass man gemeinhin aus Bequemlichkeit seine wichtigsten – oder, wie der Verfasser, aus Vergesslichkeit der jeweils gewählten Benutzernamen und Passwörter sämtliche – Zugangsdaten für solche Dienste in seinem Internet-Browser abspeichert. Diese Aufzeichnungen sind je nach Browser entweder als ungeschützte Listen frei zugänglich oder – so im Falle des weit verbreiteten Internet-Explorers – zwar in einem speziellen Format abgespeichert, jedoch mit entsprechenden, auch online verfügbaren Tools lesbar. Noch einfacher gestaltet sich der Zugriff über ein sichergestelltes Mobiltelefon, das sich bei erstmaliger PIN-Eingabe oder bei Aufstarten entsprechender Apps direkt mit den verschiedensten Diensten verbindet, ohne dass eine Eingabe der Zugangsdaten erforderlich wäre. Es existieren spezielle Programme, mit denen nicht nur die lokalen Daten eines Mobiltelefon oder Tablets gespiegelt, sondern auch Daten eines Facebook-Accounts über das Gerät direkt «abgesaugt» werden können, sofern dieses mit Facebook verbunden ist. Diese Programme werden von den Strafverfolgungsbehörden bereits eingesetzt.

Der vom Bundesgericht als rechtmässig erachtete Online-Zugriff setzt zum einen voraus, dass die Zugangsdaten in strafprozessual zulässiger Weise erhoben worden sind. Zum anderen muss – nebst Vorliegen der üblichen Voraussetzungen einer Zwangsmassnahme gemäss Art. 197 StPO – vermutet werden, dass sich in den online bzw. im Ausland gespeicherten Aufzeichnungen zu beschlagnahmende Informationen befinden, insbesondere Beweismittel (Art. 246 StPO).¹⁷ An diese Vermutung werden in der Rechtsprechung keine hohen Anforderungen gestellt: Es genügt bereits die potenzielle Erheblichkeit,¹⁸ denn «[d]ie Durchsuchung erst soll gerade Aufschluss über den konkreten Zusammenhang mit den untersuchten Straftaten ergeben»¹⁹. Einzige Schranke dürfte hier das Verbot von «fishing expeditions» darstellen, also das gezielte Durchsuchen von Aufzeichnungen nach Beweisen ohne ausreichenden Anfangsverdacht bzw. um einen solchen erst zu begründen.²⁰

Wie und von wo aus der Online-Zugriff erfolgt, also bspw. noch anlässlich einer Hausdurchsuchung nach freiwilliger Bekanntgabe der Login-Daten durch die betroffene Person an dessen Computer, durch die Strafverfolgungsbehörden im Nachgang zur Hausdurchsuchung auf dem sichergestellten Gerät oder von polizeieigenen EDV-Anlagen aus, ist dabei irrelevant. Die Einschränkung Simon Bangerters²¹, ein Zugriff auf solche externen Daten, hinsichtlich derer die betroffene Person zugriffsberechtigt sei, dürfe nur innerhalb der Räumlichkeiten erfolgen, die vom Hausdurchsuchungsbefehl abgedeckt seien, findet in den Überlegungen des Bundesgerichts keine Stütze. Erforderlich ist nur, aber immerhin, dass die Zugriffe hinreichend dokumentiert werden, sodass den im Nachgang zuweilen erhobenen Manipulationsvorwürfen vorderhand der Boden entzogen wird.

Zutreffen dürfte der Einwand Bangerters aber insoweit, als der Durchsuchungsbefehl hinreichend bestimmt zu sein hat, damit der Eingriff für die von der Massnahme betroffene Person rechtsgenüglich ersichtlich ist und im Nachgang auf seine Rechtmässigkeit überprüft werden kann. Freilich müssen der Online-Zugriff wie auch die vorgängige Suche nach entsprechenden Zugangsdaten gesetzeskonform angeordnet werden (vgl. Art. 241 StPO). Sofern etwa im Rahmen einer Durchsuchung explizit nach Zugangsdaten zu für die Untersuchung potenziell relevanten Internetdiensten geforscht werden soll, sollte dies im Befehl explizit aufgeführt werden, möglichst bereits mit namentlicher Nennung der Online-Plattformen, auf denen beweisrelevante Informationen vermutet werden (vgl. jedoch die Einschränkung in Rz. 18). Falls sodann bspw. ein sichergestelltes EDV-Gerät direkt dazu verwendet werden soll, um auf Daten bei ausländischen abgeleiteten Internetdiensten zuzugreifen, so ist dies in der Anordnung ebenfalls entsprechend zu verzeichnen.

Es gilt dabei darauf zu achten, dass nicht anwaltlich vertretene Durchsuchungsbetroffene über die weiten Möglichkeiten des Zugriffs auf Online-Datenbanken orientiert werden, gerade wenn sie um Einwilligung in die Entsperrung ihrer Datenträger ersucht werden.²² Bei anwaltlich vertretenen Personen ist dagegen davon auszugehen, dass der Rechtsanwalt mit den rechtlich und technisch möglichen Instrumenten der Strafverfolgungsbehörden vertraut ist. In jedem Fall sind die betroffenen Personen über die erfolgte Sicherstellung der Daten zu informieren und ihnen ist Gelegenheit zu geben, die Siegelung zu verlangen.²³

Im Kontext der Siegelung ist gemäss Bundesgericht zu unterscheiden zwischen der Siegelung der Zugangsdaten als solchen – die in Papierform oder auf einem elektronischen Gerät sichergestellt worden sind –, die ihrerseits unter das Privatgeheimnis fallen können (Art. 13 BV und Art. 264 Abs. 1 lit. b StPO),²⁴ und der Siegelung der im Internet sichergestellten Informationen. Soweit sich der Betroffene ganz grundsätzlich gegen den Gebrauch der Zugangsdaten und die Durchsuchung seiner Konten bei abgeleiteten Internetdiensten zur Wehr setzen will, hat er bereits gegen die Verwendung der Login-Daten Einsprache zu erheben bzw. deren Siegelung zu verlangen. Will er dagegen bloss einwenden, die konkreten beschlagnahmten Nachrichten dürften nicht verwertet werden, so kann er dies auch noch tun, wenn er die Zugangsdaten als solche nicht versiegeln lassen hat (vgl. Art. 264 Abs. 3 StPO). Die zwei Einwände fallen insoweit zeitlich wie sachlich auseinander. Anzumerken bleibt, dass, auch wenn die Siegelung hinsichtlich der Zugangsdaten beantragt wird, dies die Ermittler nicht daran hindert, eine Grobsichtung der Online-Aufzeichnungen vorzunehmen und diese insbesondere zur Beweissicherung vorsorglich sicherzustellen.²⁵

Problematisch ist im Zusammenhang mit der Ausgestaltung des Durchsuchungsbefehls wie auch der Information über die Durchsuchung und das Siegelungsrecht das zeitliche Moment: Wird der beschuldigten Person bereits im Vorfeld angezeigt, dass bspw. ihr Facebook-Account durchsucht werden soll, so wird ihr u.U. ermöglicht, vor der Datensicherung ihr Passwort zu ändern oder ihre Daten zu löschen. Dadurch würde die Ermittlungsmassnahme vereitelt. Es wird daher sachgerecht sein, der beschuldigten Person den Durchsuchungsbefehl betreffend die Online-Konten erst nach Sicherung der Daten zu eröffnen. Ebenfalls sollte entsprechend, aus Praktikabilitätsüberlegungen, im Regelfall vom vorstehend genannten Erfordernis der namentlichen Nennung der Online-Plattformen im vorgelagerten Durchsuchungsbefehl (i.e. Suche nach den Zugangsdaten; vgl. vorstehend, Rz. 14) verzichtet werden; ein allgemeiner Hinweis darauf, dass sich die Suche mitunter auch auf Login-Daten zu allfälligen für die Strafuntersuchung relevanten Plattformen erstreckt, dürfte in diesem Stadium genügen. 

Diese Spezifizierungen hinsichtlich des Inhalts der Durchsuchungsbefehle sowie der Siegelung gelten übrigens auch dann, wenn Daten inländischer abgeleiteter Internetdienste Gegenstand der Ermittlungen sind.

Sofern die Strafverfolgungsbehörden folglich vermuten, dass sich auf Konten ausländischer abgeleiteter Internetdienste – etwa bei Gmail, auf Facebook, Dropbox oder in einer Cloud – zu beschlagnahmende Informationen befinden, wird es inskünftig zum Standard gehören, anlässlich von Hausdurchsuchungen oder im Rahmen der forensischen Auswertung elektronischer Geräte nach entsprechenden Zugangsdaten zu forschen, soweit diese durch die berechtigten Personen nicht freiwillig ausgehändigt werden, und sich unter Verwendung der ermittelten Login-Daten Zugang zu den Benutzerkonten zu verschaffen.²⁶ Die in der Folge sichergestellten elektronischen Beweise können dann im inländischen Strafverfahren verwertet werden. So kann der prima vista beschwerliche Gang über die Rechtshilfe bzw. direkte Anfragen bei den ausländischen Providern (vgl. dazu nachstehend, Rz. 35 und 36) vermieden werden; an die Datenherausgabe stellen die verschiedenen ausländischen Dienste denn auch zuweilen hohe, teilweise voneinander abweichende Anforderungen.²⁷

Mit der Möglichkeit des direkten Zugriffs auf im Ausland gespeicherte Daten qua inländischen Strafprozessrechts stellt das Bundesgericht den Strafverfolgungsbehörden ein griffiges Instrument zur Verfügung, um der zunehmenden Verschiebung von Beweismitteln in die digitalen Weiten des Internets Herr zu werden. So sachgerecht dies rechtspolitisch auch sein mag: Es ist vor dem Hintergrund des völkerrechtlichen Territorialitätsprinzips (vgl. nachstehend, Rz. 21 ff.) und der engen Leitlinien der Cybercrime-Konvention (vgl. nachstehend, Rz. 33 ff.) de lege lata nicht umsetzbar.

Das Territorialitätsprinzip stellt eine der völkerrechtlichen Souveränität entfliessende Schranke staatlichen Handelns dar. Es dient nicht nur der Begrenzung der Anwendbarkeit innerstaatlichen Strafrechts auf ausländische Sachverhalte – wovon freilich Ausnahmen existieren²⁸ –, sondern limitiert zugleich staatliches Handeln auf das eigene Hoheitsgebiet.²⁹ Gänzlich verboten ist die Vornahme amtlicher Handlungen auf fremdem Territorium zwar nicht.³⁰ Sofern derartiges Verhalten aber nicht ausdrücklich durch internationale (Rechtshilfe-)Abkommen, bilaterale Verträge oder zumindest ad hoc-Genehmigungen erlaubt ist, stellt es einen unzulässigen Eingriff in die staatliche Souveränität dar und kann nach ausländischem Recht gegebenenfalls entsprechend geahndet werden; unbewilligte amtliche Handlungen auf fremdem Territorium werden auch nach schweizerischem Recht sanktioniert (Art. 299 StGB; vgl. auch Art. 271 StGB). In Verletzung des Territorialitätsprinzips erhobene Beweise können zudem im innerstaatlichen Strafverfahren gegebenenfalls nicht verwertet werden (vgl. nachstehend, Rz. 42 f.).

Insbesondere «eigenmächtige Handlungen mit Zwangs- und Eingriffscharakter auf fremdem Hoheitsgebiet»³¹ verletzen die staatliche Souveränität und sind daher völkerrechtswidrig. Somit sind, sofern dafür nicht die Rechtshilfe des fremden Staats in Anspruch genommen wird, etwa Verhaftungen von Personen im Ausland durch schweizerische Beamte ebenso unzulässig wie die Durchführung von Einvernahmen, die Vornahme von Augenscheinen oder die direkte Vollstreckung von Urteilen.³² Dasselbe gilt gemäss Bundesgericht für den Versand von Vorladungen an im Ausland domizilierte beschuldigte Personen, die nicht mit Zwangsandrohungen versehen sein dürfen, mithin als blosse Einladungen auszugestalten sind.³³

Klar erscheint damit, dass die Strafverfolgungsbehörden nicht physisch im Ausland Beweise erheben dürfen, ohne den Rechtshilfeweg zu beschreiten resp. ohne dass solche Handlungen in einem Abkommen explizit erlaubt wären. Eigenmächtige Hausdurchsuchungen oder die Sicherstellung und Durchsuchung von elektronischen Geräten oder Unterlagen auf fremdem Staatsgebiet sind damit untersagt.

Nicht anders gelagert sind Beweisbeschaffungssituationen, in denen sich die Strafbehörden zwar nicht physisch auf ausländischem Staatsgebiet aufhalten, aber in der Schweiz Untersuchungshandlungen vornehmen, die sich auf die fremde Gebietshoheit auswirken. Der Zugriff auf Computersysteme im Ausland von einem Standort in der Schweiz aus stellt gerade einen solchen Anwendungsfall sog. extraterritorialer Hoheitsakte dar.³⁴ Auch die Observation von Personen auf der deutschen Uferseite des Rheins durch schweizerische Polizisten von einer Badi in Schaffhausen aus könnte man als solches Handeln einstufen, genauso wie die Video-Einvernahme eines im Ausland befindlichen Beschuldigten durch ein schweizerisches Gericht. Solches Verhalten verletzt das Völkerrecht ebenfalls, soweit es in seinen Wirkungen einem Hoheitsakt direkt auf fremdem Staatsgebiet gleichkommt.³⁵ Immerhin dort, wo kein eigentlicher sich auf ein fremdes Staatsgebiet auswirkender Zwang vorliegt, wird keine Souveränitätsverletzung zu erblicken sein.³⁶

Eine Beschlagnahmeverfügung, die sich auf Vermögenswerte «im Ausland» bzw. «weltweit» bezog, wurde entsprechend vom Bundesstrafgericht als Verletzung der Souveränität desjenigen Staates eingestuft, in dem sich das Vermögen befand.³⁷ Editionsverfügungen an eine im Inland ansässige Partei zur Beschaffung von im Ausland gelagerten Aufzeichnungen würden die Souveränität des ausländischen Staates ebenso verletzen und wären entsprechend völkerrechtswidrig, selbst wenn die Person Zugang zu derartigen Beweismitteln hätte.³⁸

Dasselbe hat und muss prinzipiell für im Ausland gespeicherte Daten gelten, wie das Bundesgericht denn auch unlängst im Zusammenhang mit einer direkt von Facebook USA herausverlangten «IP-History» festgestellt hat: «Aufgrund des internationalstrafrechtlichen Grundsatzes der Territorialität ist ein direkter hoheitlicher Zugriff der schweizerischen Strafbehörden auf im Ausland domizilierte Anbieter von Internetdiensten nicht zulässig. Vielmehr war für die von der Staatsanwaltschaft gewünschte Datenerhebung der Weg der internationalen Rechtshilfe in Strafsachen zu beschreiten»³⁹.

In BGE 143 IV 21 ff. sodann, in dem die schweizerische Facebook-Tochtergesellschaft zur Herausgabe von Informationen aufgefordert worden war, die effektiv von Facebook Irland gehalten wurden, verneinte das Bundesgericht, dass Facebook Schweiz «titulaire des informations» wäre, weshalb die Staatsanwaltschaft auf den Rechtshilfeweg verwiesen wurde.⁴⁰ Hingewiesen wurde darin zudem darauf, dass die schweizerische Gesellschaft weder einen direkten noch sonstigen tatsächlichen Zugriff auf die ausländischen Daten hätte.⁴¹ Nicht ausdrücklich beurteilt wurde dabei, ob eine Edition an Facebook Schweiz möglich gewesen wäre, hätte die Gesellschaft über die angesprochene Zugriffsmöglichkeit bzw. -berechtigung auf die in Irland gespeicherten Daten verfügt. Etwas weiter ging das Bundesgericht im gleichentags erschienenen, jedoch unpublizierten Urteil zu einer Edition bei Google Switzerland: Darin wies es die Sache an die Vorinstanz zurück, da nicht hinreichend eruiert worden sei, inwieweit die herausverlangten Daten zu einem Gmail-Account der schweizerischen Tochtergesellschaft zur Verfügung gestanden seien.⁴² Es fügte dabei an: «[L]a personne visée par l’injonction de produire doit être le possesseur ou le détenteur des données visées, ou tout au moins en avoir le contrôle, c’est-à-dire avoir un pouvoir de disposition, en fait et en droit, sur ces données […]. S’il devait apparaître que la société suisse ne peut effectivement pas, en fait ou en droit, disposer des données requises par le Ministère public, celui-ci n’aura d’autre choix que de s’adresser par voie d’entraide judiciaire aux autorités américaines pour obtenir les renseignements désirés»⁴³.

Dem kann – jedenfalls soweit die Ausführungen auf die schweizerische StPO und nicht die Cybercrime-Konvention (CCC) abstützen⁴⁴ – indes nicht gefolgt werden. Eine inländische Person darf nicht gestützt auf inländisches Strafprozessrecht verfügungsweise aufgefordert werden, für die Strafverfolgungsbehörden im Ausland verfügbare Beweismittel zu beschaffen, auch wenn es sich dabei um Daten handelt, hinsichtlich derer sie zugriffsberechtigt ist.⁴⁵ Die rechtliche Situation ändert sich im Vergleich zu (bspw. in einem Archiv im Ausland gelagerten) Beweisen in Papierform nicht bloss deshalb, weil die Beweismittel hier in digitaler Form erhältlich sind. In beiden Fällen würde eine Privatperson für staatliche Zwecke instrumentalisiert, mithin die internationale Rechtshilfe unterlaufen. An aus- oder inländische Internetdienste gerichtete Zwangsmassnahmen – inklusive Editionsverfügungen – hinsichtlich im Ausland gespeicherter Daten sind damit nicht zulässig bzw. nur, soweit das Rechtshilferecht (insbesondere die CCC) dies zulässt (vgl. dazu nachstehend, Rz. 33 ff.).

Das gilt im Grundsatz auch für den direkten, eigenhändigen Zugriff der Strafverfolgungsbehörden auf im Ausland gespeicherte Daten. Zulässig, zumal keine Zwangsmassnahme, ist immerhin die Sicherstellung von Daten, die zwar im Ausland, jedoch öffentlich zugänglich sind («open source»), wie etwa ein öffentliches LinkedIn- oder Facebook-Profil, Informationen aus dem Web-Auftritt einer Firma oder einer Verwaltung, eine auf einer Sharing-Plattform frei verfügbare Datei oder die Ermittlung von Domaininformationen über «WhoIs»-Datenbanken. Auf solche Daten kann, mangels eigentlicher Zwangsausübung, von der Schweiz aus frei zugegriffen werden.⁴⁶ Insoweit ist Art. 32 lit. a CCC, der den direkten Zugriff auf derartige Informationen explizit erlaubt, ohne dass ein Rechtshilfeersuchen gestellt werden müsste, bloss deklaratorischer Natur (zur CCC siehe nachstehend, Rz. 35).⁴⁷

Weitaus kniffliger wird es bei nicht öffentlich zugänglichen, insbesondere passwort- oder durch sonstige Barrieren geschützten ausländischen Quellen, da sich der Zugriff unter Überwindung der Zugangssicherung, die Durchsuchung sowie die anschliessende Sicherstellung und Beschlagnahme als Zwangsmassnahmen mit hoher Intensität auf das ausländische («digitale») Hoheitsgebiet auswirken. Verschiedentlich wird daher der Zugriff durch Ermittlungsbehörden auf Daten im Ausland als Eingriff in die Gebietshoheit des betreffenden Staates gewertet;⁴⁸ an derartige Beweismittel könne man nur über die internationale Rechtshilfe gelangen (bzw. bloss dann auf direktem Weg, falls dies in internationalen Übereinkommen explizit so vorgesehen ist).⁴⁹

Im diesem Zusammenhang fällt der Begriff des sog. Zugriffsprinzips.⁵⁰ Danach wird bei Computerdaten nicht auf den Standort des Datenträgers abgestützt, auf dem die Informationen gespeichert sind, sondern darauf, wer von wo aus Zugriff auf die verfahrensrelevanten Daten hat. Die Herrschaft über die Daten liege bei derjenigen Person, die über die Zugriffsberechtigung verfüge, und nicht bei derjenigen, die im physischen Besitze des Datenträgers sei.⁵¹ Das führen einzelne Autoren – insbesondere der vom Bundesgericht im titelerwähnten Urteil angeführte Simon Bangerter – als Begründung an, weshalb in der Durchsuchung und Beschlagnahme von im Ausland gespeicherten Daten durch schweizerische Behörden in der Schweiz keine Souveränitätsverletzung zu sehen sei.⁵² Die Zulässigkeit des Online-Zugriffs soll danach mit anderen Worten allein von der Rechtmässigkeit der inländischen Ermittlungshandlung abhängen.⁵³ Dem folgt implizit auch das Bundesgericht im gegenständlichen Urteil wie auch zuvor im angesprochenen Google-Entscheid.⁵⁴

Das Zugriffsprinzip ändert an den Auswirkungen staatlicher Online-Zugriffe auf das fremde Hoheitsgebiet, wo der eigentliche Erfolg der Massnahme eintritt, derweil nichts.⁵⁵ Zwar dürfte das fehlende physische Tätigwerden von Beamten auf fremdem Staatsgebiet die durch Art. 299 StGB gezogenen Grenzen noch nicht überschreiten. Sie treten jedoch, was ihre Eingriffsintensität betrifft, keineswegs hinter die äquivalenten physischen Ermittlungstätigkeiten (die Durchsuchung des Speicherträgers im Ausland durch schweizerische Beamten) zurück, die eindeutig unzulässig wären.⁵⁶ Dazu kommt, dass durch den Online-Abruf Datenverarbeitungsvorgänge im Ausland ausgelöst werden;⁵⁷ der Zugriff hinterlässt im Zielstaat folglich nachvollziehbare Spuren. Der ermittelnde Beamte kann sich dort schlimmstenfalls je nach nationaler Gesetzgebung wegen Hackings, der Verletzung von Geschäfts- und Fabrikationsgeheimnissen oder der Missachtung fremder Hoheitsrechte strafbar machen.⁵⁸ Digitale Beweisaufnahmen von der Schweiz aus erfolgen für den ausländischen Staat darüber hinaus heimlich, was sie – angesichts der Nachrichtendienst-Skandale der jüngeren Vergangenheit – aus dessen Sicht noch gefährlicher macht.⁵⁹ Es ist bereits aus diesen Gründen essenziell, dass derartige Ermittlungshandlungen durch das Rechtshilferecht abgesichert sind. Dazu kommt, dass die Cybercrime-Konvention den direkten Zugriff auf ausländische Daten bereits in beschränkter Weise erlaubt und damit, e contrario, jede darüber hinausgehende Beweisbeschaffung – zumindest im Verhältnis der Konventionsstaaten untereinander – als Eingriff in die staatliche Souveränität gewertet wird; auch der direkte grenzüberschreitende Zugriff auf Computerdaten, und nicht etwa allein Editions- bzw. Auskunftsaufforderungen an ausländische Internetdienste, untersteht nämlich der Cybercrime-Konvention.⁶⁰

Vom Bundesgericht im gegenständlichen Urteil unbeachtet blieb demnach, dass die Schweiz die internationale Zusammenarbeit hinsichtlich des Zugriffs auf in anderen Vertragsstaaten gespeicherte Computerdaten mit der Ratifizierung der Cybercrime-Konvention (CCC) explizit geregelt hat. Diese supranationale Lösung wurde gerade auch deshalb notwendig, weil die innerstaatlichen Ermittlungskompetenzen in diesem Bereich zufolge der staatlichen Souveränität limitiert sind. Die USA, in dem die in der Praxis wichtigsten abgeleiteten Internetdienste (darunter Facebook) domiziliert sind, haben die Konvention ebenfalls ratifiziert.

Art. 31 Abs. 1 CCC – versehen mit der Marginalie «Rechtshilfe beim Zugriff auf gespeicherte Computerdaten» – sieht explizit den Rechtshilfeweg für die Durchsuchung, Sicherstellung und Beschlagnahme sowie die Weitergabe von Daten vor, die auf Computersystemen gespeichert sind, welche sich im Hoheitsgebiet einer anderen Vertragspartei befinden. Die Ratifizierungsstaaten haben damit gerade nicht das Territorialitätsprinzip zugunsten eines wie auch immer gearteten Zugriffsprinzips aufweichen wollen, sondern bestehen auch in diesem Bereich im Grundsatz weiterhin auf die förmliche Rechtshilfe in Strafsachen.

Durch die Schaffung des (self-executing) Art. 32 CCC wurde immerhin in zwei Konstellationen auf die Notwendigkeit eines Rechtshilfeersuchens verzichtet: Einerseits ist der Zugriff auf öffentlich zugängliche gespeicherte Computerdaten zulässig, gleichwohl, wo sich die Daten geographisch befinden (lit. a). Andererseits – und im Vergleich zu anderen Rechtshilfeakkorden sehr weitgehend – darf eine Vertragspartei gemäss Art. 32 lit. b CCC «auf gespeicherte Computerdaten, die sich im Hoheitsgebiet einer anderen Vertragspartei befinden, mittels eines Computersystems in ihrem Hoheitsgebiet zugreifen oder diese Daten empfangen, wenn sie die rechtmässige und freiwillige Zustimmung der Person einholt, die rechtmässig befugt ist, die Daten mittels dieses Computersystems an sie weiterzugeben». Das legitimiert nicht nur eine direkte Anfrage bei ausländischen Providern zur Herausgabe von Informationen, sondern gerade auch den eigenhändigen Zugriff der Behörden über bestehende Benutzerkonten. Darüber hinaus sieht Art. 18 Abs. 1 lit. b CCC für sog. Bestandesdaten⁶¹ vor, dass «ein Diensteanbieter, der seine Dienste im Hoheitsgebiet der Vertragspartei anbietet, Bestandsdaten in Zusammenhang mit diesen Diensten, die sich in seinem Besitz oder unter seiner Kontrolle befinden, vorzulegen hat». Die bundesgerichtliche Rechtsprechung zur (extraterritorialen) Auslegung dieser Bestimmung ist allerdings etwas ambivalent.⁶²

In der CCC wird folglich – jedenfalls für die Vertragsstaaten – verbindlich festgelegt, unter welchen Umständen die schweizerischen Behörden direkt auf im Ausland befindliche Daten zugreifen können und wann sie ein förmliches Rechtshilfebegehren zu stellen verpflichtet sind. Das erhellt, dass der Zugriff auf ausländische Daten unabhängig davon, dass sich die Strafverfolgungsbehörden bei derartigen Ermittlungen nicht physisch auf ausländischem Gebiet aufhalten, als prinzipieller Eingriff in die Territorialität gewertet wird. Im Rahmen der Ausarbeitung der CCC stellte sich denn auch gerade heraus, «dass kein Konsens erreicht werden konnte für weitergehende Regeln, unter welchen Voraussetzungen ein unilateraler Zugriff eines Staates auf Daten, die sich in einem anderen Vertragsstaat befinden, ohne Genehmigung desselben erfolgen kann»⁶³.

Im Jahr 2015 hat das Bundesgericht diese Grenzen – in fast identischer Besetzung wie im hier besprochenen Urteil – noch ausdrücklich anerkannt:

 

«Mit Art. 32 CCC haben sich die Vertragsstaaten auf einen minimalen (restriktiven) gemeinsamen Konsens für einen grenzüberschreitenden («extraterritorialen») Zugriff geeinigt […].»⁶⁴

Weiter hielt es ausdrücklich fest:

 

«Aus Art. 23, Art. 25 Abs. 4 und Art. 39 Abs. 3 CCC folgt, dass in allen Fällen, bei denen die (Ausnahme-)Voraussetzungen von Art. 32 CCC nicht gegeben sind, die fragliche Datenerhebung bzw. rückwirkende Überwachung im Ausland auf dem förmlichen Rechtshilfeweg (hier gestützt auf Art. 31 CCC bzw. das RVUS) zu beantragen ist. Die Vertragsstaaten des Übereinkommens haben sich (über die Bestimmungen von Art. 32 CCC hinaus) nicht auf weitergehende «extraterritoriale» Zugriffe von Strafverfolgungsbehörden einigen können […].»⁶⁵

Weshalb diese Ausführungen keine Geltung mehr beanspruchen sollten, ist nicht ersichtlich. Soweit es sich beim neuen Urteil um eine implizite Praxisänderung handeln sollte, wäre eine solche jedenfalls nicht gerechtfertigt: Wird anerkannt, dass der Zugriff auf im Ausland gespeicherte Daten über den Rechtshilfeweg erfolgen muss, falls Art. 32 CCC nicht anwendbar ist, so bleibt für die bundesgerichtliche Erwägung, dass die Strafbehörde hier nicht «im Ausland» handle und der inländische Durchsuchungsbefehl ausreiche, kein Raum. Nationale Durchsuchungsbefugnisse können derartige Eingriffe in fremde Souveränitätsrechte nicht legitimieren.⁶⁶

In den Gremien des Europarates wird mittlerweile immerhin ein Zusatzprotokoll zur CCC erwogen, das einen weitergehenden direkten transnationalen Zugriff durch Ermittlungsbehörden erlauben soll.⁶⁷ Bis es jedoch soweit ist, entspricht es dem Willen der Ratifizierungsstaaten, direkte Ermittlungshandlungen nur in den geschilderten engen Grenzen zuzulassen.

Hinsichtlich Ländern, die sich der Konvention nicht angeschlossen haben, muss schliesslich angesichts der vorstehenden Ausführungen davon ausgegangen werden, dass das Territorialitätsprinzip hier jedweden Online-Zugriff auf nichtöffentliche Daten verbietet und daher einzig die Beschreitung des Rechtshilfewegs in Frage kommt.⁶⁸

Wird durch den direkten Zugriff auf ausländische Datenträger das Territorialitätsprinzip verletzt und damit die Rechtshilfe in Strafsachen umgangen bzw. die Befugnisse der CCC überschritten, so haben die Strafverfolgungsbehörden den Beweisverlust zufolge Unverwertbarkeit zu gewärtigen. Die Verletzung des Territorialitätsprinzips bzw. die Umgehung des Rechtshilfewegs kann somit im inländischen Strafprozess gerügt werden.⁶⁹

Die Vorinstanz im gegenständlichen Fall ging dabei von einem relativen Verwertungsverbot i.S.v. Art. 141 Abs. 2 StPO aus, womit die Beweise verwertet werden dürfen, soweit sie zur Aufklärung einer schweren Straftat erforderlich sind.⁷⁰ Gleich entschieden die Zürcher Gerichte in ihren Urteilen zum «Kristallnacht-Tweet».⁷¹ Fraglich ist derweil, ob das völkerrechtliche Territorialitätsprinzip und das Erfordernis des Beschreitens des Rechtshilfewegs tatsächlich bloss als Gültigkeitsvorschriften einzustufen sind⁷² oder ob angesichts ihrer Wichtigkeit nicht vielmehr von einem absoluten Verwertbarkeitsverbot ausgegangen werden muss (bspw. in der Gestalt eines Verstosses gegen den ordre public).⁷³ Näher zu prüfen wäre immerhin, ob die Möglichkeit besteht, für in rechtswidriger Weise erlangte Beweismittel ein nachträgliches förmliches Rechtshilfeverfahren durchführen zu lassen, um die Unverwertbarkeit der Beweise abzuwenden.

Der eigenhändige Zugriff auf Benutzerkonten bei ausländischen abgeleiteten Internetdiensten im Rahmen eines inländischen Strafverfahrens ist nach vorliegender Auffassung nur in den engen Grenzen des Art. 32 CCC erlaubt, soweit die Konvention auf den Sachverhalt Anwendung findet; in allen anderen Fällen gilt es, ein förmliches Rechtshilfegesuch zu stellen. Das ist aus naheliegenden Gründen nicht sachgerecht, entspricht aber dem aktuellen internationalen Konsens. Bis dieser eine Anpassung widerfährt, gelten die folgenden Regeln:

Im Grundsatz:

• Falls sich die Daten effektiv auf den sichergestellten EDV-Geräten befinden, etwa weil Gmail-E-Mails in Kopie im Microsoft Outlook abgespeichert oder Facebook-Informationen im Cache auffindbar sind, dann kommen die üblichen inländischen Regeln zur Beweisbeschaffung (Art. 246 StPO, bei E-Mails ggf. auch Art. 269 ff. StPO) zum Tragen.⁷⁴
• Eine Aufforderung an einen inländischen oder ausländischen Provider zur Herausgabe von auf einem Datenträger im Ausland gespeicherten Informationen ist prinzipiell⁷⁵ unzulässig.
• Geht es um öffentlich zugängliche Daten im Ausland, so bedarf es keines Rechtshilfeersuchens, sondern es kann direkt darauf zugegriffen werden (für die Vertragsstaaten des CCC vgl. deren Art. 32 lit. a).

Im Geltungsbereich der CCC:

• Gibt eine verfügungsberechtigte Person ihre Login-Daten zu ausländischen abgeleiteten Internetdiensten freiwillig preis und willigt in die Online-Durchsuchung ein, so steht es den Strafverfolgungsbehörden in Anwendung von Art. 32 lit. b CCC offen, an den ausländischen Serviceprovider zu gelangen und um Übermittlung der Daten zu ersuchen⁷⁶ oder aber direkt durch Nutzung der Zugangsdaten auf die Informationen zuzugreifen und diese sicherzustellen. Freilich steht es auch jeder Privatperson frei, die eigenen, bei einem ausländischen Provider gespeicherten Daten (etwa E-Mails oder Chat-Nachrichten) den Strafverfolgungsbehörden in Kopie zur Verfügung zu stellen.⁷⁷ Wer über die Daten i.S.v. Art. 32 lit. b CCC rechtmässig verfügen kann, beurteilt sich «primär nach dem nationalen Recht des Staates, in welchem die betreffende Person handelt»⁷⁸, i.e. nach schweizerischem Recht. Hinsichtlich der geschäftlichen E-Mail-Adresse kann folglich beispielsweise der Arbeitgeber in die Herausgabe einwilligen.
• Entgegen der Auffassung in der Botschaft⁷⁹ fällt unter die Ausnahme in Art. 32 lit. b CCC auch die Konstellation, in welcher der ausländische Internetprovider bzw. -dienstanbieter die Daten auf Aufforderung hin freiwillig herausgibt, soweit er dazu berechtigt ist.⁸⁰ Hierzu stellen die Strafverfolgungsbehörden bei den Diensten eine direkte Anfrage auf Herausgabe der gewünschten Daten. Diese sind zur Weiterleitung der Informationen berechtigt, wenn sie sich «in ihren Allgemeinen Nutzungsbedingungen bzw. Datenverwendungsrichtlinien ein solches Weiterleitungsrecht an in- und ausländische Strafverfolgungsbehörden gegenüber ihren Kunden ausbedungen haben’⁸¹ – was bei den bekannten Internetdiensten in aller Regel der Fall ist.⁸² Die konkludente Einwilligung in Gestalt einer formlosen Herausgabe der Daten reicht dabei aus, dass die Beweisbeschaffung als konventionskonform gilt.⁸³ Kooperieren die Dienstanbieter derweil aus welchen Gründen auch immer nicht – deren Verhalten ist denn auch zuweilen nicht nachvollziehbar –, so ist zur Erhebung der Daten auf den förmlichen Rechtshilfeweg auszuweichen.⁸⁴
• Im Übrigen bleibt nur der Weg über die Rechtshilfe (Art. 31 CCC). Zur Beweissicherung sieht Art. 29 CCC immerhin ein spezielles vorläufiges Sicherungsverfahren vor.
• Namentlich ausgeschlossen ist damit der vom Bundesgericht erlaubte eigenhändige Zugriff der Strafverfolgungsbehörden auf ein Facebook-Benutzerkonto unter Verwendung rechtmässig sichergestellter Zugangsdaten, jedenfalls soweit die betroffene Person nicht in die Online-Durchsuchung einwilligt.

Hinsichtlich übriger Staaten:

• Ausserhalb des Geltungsbereichs der CCC ist – vorbehältlich spezieller Regelungen in bilateralen Rechtshilfeverträgen (s.e.&o. bislang inexistent) – hinsichtlich nichtöffentlicher Daten stets der ordentliche Rechtshilfeweg zu beschreiten.

Folgen der Verletzung:

• Werden diese Leitplanken nicht eingehalten, so gelten die im Ausland erhobenen Beweise als im innerstaatlichen Strafverfahren unverwertbar (mindestens relativ i.S.v. Art. 141 Abs. 2 StPO).

Als Folge der voranschreitenden Digitalisierung und der damit einhergehenden Internationalisierung stossen die nationalen Rechtsordnungen im Bereich der strafprozessualen Beweisbeschaffung an ihre Grenzen. Für einmal besteht der legislatorische Handlungsbedarf nicht auf nationaler, sondern auf internationaler Ebene: Es gilt, zwischenstaatliche Lösungen zu suchen, mit denen dem dargelegten Problem der Beweisverschiebung ins Ausland effektiv begegnet werden kann. Das Territorialitätsprinzip darf und muss in diesem Bereich kritisch hinterfragt werden;⁸⁵ gegebenenfalls hat es hier zur Wahrung der Effektivität der Strafverfolgung gar gänzlich zurückzutreten. Durch bewusstes Überschreiten der in der Cybercrime-Konvention eingeräumten Befugnisse durch die Strafverfolgungsbehörden, was vom Bundesgericht im besprochenen Urteil grosszügig abgenickt wurde, ist dagegen nichts gewonnen.

---

 

PD Dr. Damian K. Graf, LL.M. (Cambridge), Rechtsanwalt und Solicitor of England and Wales (n.p.), Staatsanwalt für Wirtschaftsdelikte (NW).