Jusletter IT

Gemäss Artikel 26 des Bundesgesetzes betreffend die Überwachung des Post- und Fernmeldeverkehrs (BÜPF) in Verbindung mit Art. 273 Strafprozessordnung (StPO) müssen Anbieterinnen von Fernmeldediensten die Randdaten des Fernmeldeverkehrs während sechs Monaten aufbewahren und diese auf Anordnung eines Gerichts den Strafverfolgungsbehörden herausgeben.

Randdaten sind Daten, aus denen hervorgeht, mit wem, wann, wie lange und von wo aus die überwachte Person Verbindung hat oder gehabt hat, sowie die technischen Merkmale der entsprechenden Verbindung (Art. 8 Bst. b BÜPF).

Diese Vorratsdatenspeicherung erfolgt grundsätzlich flächendeckend und anlasslos. D.h. die Randdaten jeder Kommunikationsverbindung, die in der Schweiz über öffentliche Netze läuft, werden gespeichert, unabhängig davon, ob gegen die betroffenen Personen der Verdacht einer kriminellen Handlung besteht.

Zu diesen Randdaten gehören insbesondere auch die «IP-Adressen», die Internetanschlüssen zugeordnet sind. Jedes Gerät, das an das Internet angebunden ist, hat eine IP-Adresse und ist unter dieser für andere Geräte im Internet erreichbar. Insbesondere erhält auch jeder Teilnehmeranschluss vom Provider mindestens eine IP-Adresse zugewiesen.

Wenn die Strafverfolger im Internet ein Delikt verfolgen wollen, erkennen sie oftmals, von welcher IP-Adresse aus dieses Delikt verübt wurde. Dies daher, weil Zugriffe auf Server oftmals geloggt werden. Mithilfe dieser IP-Adresse können sie vom Provider, zu dem die IP-Adresse gehört, verlangen, dass dieser aus seinen gemäss Art. 26 BÜPF gespeicherten Vorratsdaten die Zuordnung zwischen IP-Adresse und Teilnehmeranschluss herstellt. Auf diese Weise wird der Anschluss identifiziert, von dem aus das Delikt begangen wurde.

Die Abfrage der Teilnehmeridentifikation durch die Strafverfolgungsbehörden läuft – wie alle Abfragen von Telekomdaten – zwingend über den eidgenössischen Dienst Überwachung Post Fernmeldeverkehr («Dienst ÜPF») gemäss den im BÜPF und den zugehörigen Verordnungen geregelten Verfahren.

IP-Adressen des Typs IPv4, die heute noch meistens Verwendung finden, sind allerdings ein knappes Gut. Jeder Internetprovider erhält von der für die Vergabe der IP-Adressen zuständigen Organisation RIPE nur eine beschränkte Zahl solcher Adressen zugeteilt.

Aufgrund der geringen Zahl an IP-Adressen ist es für einen Internetprovider nicht möglich, jedem seiner Kunden eine feste («statische») IP-Adresse zuzuteilen. Dies daher, weil der Provider mehr Kunden als IP-Adressen hat. Der Provider muss deshalb die verfügbaren IP-Adressen unter seinen Kunden aufteilen.

Eine erste Variante für eine solche Aufteilung ist die Vergabe «dynamischer» IP-Adressen. Der Provider teilt den Kunden zu diesem Zweck aus dem ihm von RIPE zugeteilten Pool von IP-Adressen jeweils temporär eine IP-Adresse zu, so lange der Kunde im Internet eingeloggt ist.

Heutzutage sind aber die meisten Internet-Geräte, wie Mobiltelefone oder Internet-Router für Festnetzanschlüsse, dauerhaft im Internet eingeloggt. Entsprechend ist auch mit einer dynamischen Vergabe von IP-Adressen nicht mehr viel zu gewinnen. Dies daher, weil auch bei dynamischen IP-Adressen für jeden mit dem Internet verbundenen Kunden immer eine gesonderte IP-Adresse nötig ist.

Eine zweite Variante, IP-Adressen auf verschiedene Kunden aufzuteilen, ist sogenannte «Network Address Translation» oder «Netzwerkadressübersetzung» NAT. NAT ermöglicht die quasi gleichzeitige Verwendung einer Adresse IPv4-Adresse durch mehrere Kunden.

NAT ist eigentlich ein Mechanismus, der seit vielen Jahren in Computernetzwerken Anwendung findet. Jedes ganz normale private Computernetzwerk, beispielsweise ein Büro- oder Heimnetzwerk, erhält von aussen grundsätzlich nur eine (öffentliche) IP-Adresse des Typs IPv4 zugewiesen. Und zwar unabhängig davon, wie viele Geräte (z.B. Laptops, Drucker, etc.) sich in diesem privaten Netz befinden. Zwar erhält jedes Gerät, das in diesem Netz angeschlossen ist, eine eigene IP-Adresse, denn nur über diese Adresse kann es eindeutig identifiziert werden. Allerdings ist diese IP-Adresse privat und hat nur innerhalb des privaten Netzes Gültigkeit.

Öffentlich im Internet sichtbar ist immer nur die IP-Adresse desjenigen Geräts, das die Verbindung von diesem Netz ins Internet herstellt («Router» oder «Gateway» genannt).

Aufgabe dieses Routers ist insbesondere die «Übersetzung» zwischen den privaten IP-Adressen in dem hinter ihm liegenden privaten Netz und der öffentlichen IP-Adresse, die er selber im Internet hat.

Wenn beispielsweise ein Nutzer von einem Laptop im privaten Netz eine Website aufruft, meldet der Laptop dem Router, dass er eine Verbindung zu einem bestimmten Server im Internet herstellen möchte. Der Router sendet diese Anfrage an den Server im Internet weiter, setzt aber als Absenderadresse des Datenpakets seine eigene öffentliche IP-Adresse ein, und nicht die private Adresse des Laptops im privaten Netz.

Bei diesem Übersetzungsvorgang merkt sich der Router, dass er dem entsprechenden Server eine Anfrage des Laptops geschickt hat. Kommt die Antwort des Servers zurück, so setzt er als Zieladresse in dem Datenpaket wieder die (vorgehend gemerkte) private Adresse des Laptops ein und leitet das Paket an diesen über das private Netz weiter.

Auf diese Weise können sich prinzipiell sehr viele Geräte in einem privaten Netz eine einzige öffentliche IP-Adresse teilen. Limitiert wird dies nur durch die Speicher- und Rechenkapazität des Routers, der nicht beliebig viele dieser Übersetzungsvorgänge ausführen kann.

NAT kann nun aber nicht nur beim Anschluss von privaten Netzwerken an das Internet genutzt werden, sondern auch auf Ebene des Providers. Diesfalls ist die Rede von «Carrier-grade NAT» (cgNAT).

Ziel des Providers ist dabei, die knappe Ressource der IPv4-Adressen zu schonen. Er kann mit einem solchen Carrier-grade NAT Tausende von Kunden hinter einer einzelnen öffentlichen IP-Adresse gruppieren, ohne jedem einzelnen von diesen Kunden eine eigene öffentliche IP-Adresse zu vergeben.

Gegen aussen treten alle diese Kunden mit derselben IP-Adresse auf.

Das Problem für die Vorratsdatenspeicherung gemäss BÜPF ist nun aber, dass es nicht mehr reicht, dass der Provider die IP-Adresse, die er dem Kunden zugeordnet hat, aufzeichnet. Denn gleichzeitig haben Hunderte oder Tausende von Kunden dieselbe öffentliche IP-Adresse.

Eine erste Lösung für dieses Problem hätte daher sein können, künftig nicht mehr nur aufzuzeichnen, welcher Kunde wann welche IP-Adresse hat, sondern auch, welche Server der Kunde im Internet ansteuert.

Darin läge nun aber ein eigentlicher Paradigmenwechsel bei der Telekom-Vorratsdatenspeicherung, der so vom Gesetzgeber nicht gewollt war.

Gegenstand der Vorratsdatenspeicherung sind nach der ursprünglichen Konzeption des BÜPF einzig Randdaten, aus denen hervorgeht, mit wem, wann, wie lange und von wo aus (insb. von welcher IP-Adresse aus) die überwachte Person Verbindung hat oder gehabt hat (vgl. Ziffer 1).

Inhaltsdaten aber, d.h. welche Gesprächsinhalte übermittelt werden, oder auch, welche Ziele der Teilnehmer im Internet ansurft, sind nach der Konzeption des BÜPF nicht Gegenstand der Vorratsdatenspeicherung.¹

Der Eingriff in die Grundrechte der betroffenen Person wäre denn auch viel erheblicher, wenn nicht nur die IP-Adressen der Teilnehmer, sondern gleichzeitig auch sämtliche Bewegungen im Schweizer Internet überwacht würden. Für eine derartig invasive Überwachung von Inhalten besteht im BÜPF keine gesetzliche Grundlage.

Aus diesem Grund griff der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte in den Prozess der Verordnungsgebung ein. Er verlangte eine klare Regelung, welche festlegen sollte, dass die Identifizierung des Teilnehmers bei der Verwendung von cgNAT nicht über die Speicherung der Verbindungsziele erfolgt. Dies wurde in der Folge denn auch im erläuternden Bericht zur Verordnung zum BÜPF (VÜPF) klargestellt.²

In der Praxis erfolgt die Durchführung nun so, dass anstelle einer Zwischenspeicherung von IP-Adresse des Zielservers und des Kunden, wie dies vorstehend geschildert wurde (sogenanntes «nicht-deterministisches» Verfahren), ein Verfahren verwendet wird, das die vom Kunden angesprochenen Adressen (und Portnummern) mit einem Algorithmus übersetzt, so dass später auch ohne die Speicherung des Zielservers wieder eine Zurückrechnung möglich ist (sogenanntes «deterministisches Verfahren»).

Anstelle der Speicherung nutzt der Algorithmus ein Zusammenspiel der vom Kunden verwendeten IP-Adressen und den sogenannten «Ports». Bei Ports handelt es sich um weiteres Adressierungselement in IP-Netzen, wobei im Prinzip 65536 Ports pro IP-Adresse nutzbar sind, aber in der Praxis nur sehr wenige verwendet werden. Dementsprechend besteht hier ein erhebliches «Sparpotential», sodass viele private IP-Adressen auf eine öffentliche Adresse «gemappt» werden können.

Die nach dem deterministischen Verfahren arbeitende Software weist den Nutzern nach einem festen Algorithmus nacheinander (öffentliche) IP-Adressen und Ports zu. Der erste Block von Ports auf der ersten öffentlichen IP-Adresse wird der (privaten) IP-Adresse des ersten Teilnehmers zugewiesen. Der nächste Bereich von Ports auf derselben öffentlichen Adresse wird der (privaten) IP-Adresse des nächsten Nutzers zugewiesen usw., bis die erste öffentliche IP-Adresse nicht über genügend Ports für den nächsten Nutzer verfügt. Dieser erhält dann den ersten Portblock auf der nächsten öffentlichen IP-Adresse zugewiesen, etc.³

Weil bei diesem deterministischen Verfahren die von den Nutzern angesteuerten Zieladressen im Internet nicht mehr gespeichert werden müssen, erfüllt dieses Verfahren den Grundsatz der Datensparsamkeit (als Ausfluss des datenschutzrechtlichen Verhältnismässigkeitsprinzips nach Art. 4 Abs. 2 Datenschutzgesetz). Dies im Gegensatz zum normalen, nicht-deterministischen Ansatz.

Die deterministische Lösung ist zudem der einzige Weg, den Anforderungen des BÜPF gerecht zu werden, gemäss dem ausschliesslich Randdaten, nicht aber Inhaltsdaten, zu denen auch Zieladressen gehören, gespeichert werden dürfen.

Auch bei Verwendung dieses Verfahrens führt die Vorratsdatenspeicherung bei cgNAT bei den Internetprovidern dazu, dass sehr grosse Datenmengen für sechs Monate gespeichert werden müssen.

Zudem sind oftmals die Zeitstempel der beteiligten Systeme nicht besonders präzise (es kommt insbesondere auch auf die Zeitangabe beim besuchten Server an). Nachdem Tausende von Kunden eine IP-Adresse gleichzeitig nutzen können, kommt es auf jede Hundertestel-Sekunde an, um einen Kunden präzise zu idenfizieren. Oft gehen die Abfragen der Strafverfolgungsbehörden daher ins Leere, weil die Zeiten nicht genau übereinstimmen.

Im Weiteren sind die Betreiber von Servern nicht verpflichtet überhaupt IP-Daten zu loggen, weil sie keine Fernmeldediensteanbieter sind,⁴ und es kommt vor, dass insbesondere die genutzten Ports gar nicht geloggt werden. Die Strafverfolger haben diesfalls nur die Ziel-IP-Adresse des Servers zur Verfügung, aber nicht den Ziel-Port. Diesfalls kann mir dem deterministischen System nicht auf den konkreten Teilnehmer geschlossen werden.

In der Konsequenz ist die Wirksamkeit und Verlässlichkeit der Vorratsdatenspeicherung bei cgNAT also eher zweifelhaft.

Dabei ist aber zu beachten, dass die anlasslose Vorratsdatenspeicherung von Randdaten zur Deliktsbekämpfung aus grundrechtlicher Sicht generell kritisch zu sehen ist. So schloss eine Studie des Max-Planck-Institutes für ausländisches und internationales Strafrecht, dass zwischen Vorratsdatenspeicherung und Delikt-Aufklärungsrate kein direkter Zusammenhang nachweisbar sei.⁵

Simon Schlauri