Beantwortung der Mündl. Anfrage der FDP zum Datenschutz bei der Polizei

Transkript

1 Presse Niedersächsisches Ministerium für Inneres und Sport Beantwortung der Mündl. Anfrage der FDP zum Datenschutz bei der Polizei Sitzung des Niedersächsischen Landtages am 17. Dezember 2015; Fragestunde Nr. 56 Das Niedersächsische Ministerium für Inneres und Sport antwortet namens der Landesregierung auf die Mündliche Anfrage der Abgeordneten Dr. Stefan Birkner, Jan-Christoph Oetjen, Jörg Bode und Dr. Marco Genthe (FDP) wie folgt: Vorbemerkung der Abgeordneten Aus dem 22. Tätigkeitsbericht der Landesbeauftragten für Datenschutz ergeben sich Mängel im Bereich der niedersächsischen Praxis der polizeilichen Telekommunikationsüberwachung (TKÜ). Die Landesbeauftragte weist darauf hin, dass sie bereits im vorangegangen Bericht auf einige datenschutzrechtliche und technisch-organisatorische Mängel hingewiesen hat. Dem Innenministerium liegt hiernach eine Liste über 44 Mängelpunkte für das seit Oktober 2012 in den Wirkbetrieb gestartete Verfahren vor, die noch als offen oder unerledigt zu bewerten seien. Mit der TKÜ geht ein hoher Eingriff in die Grundrechte der Bürgerinnen und Bürger einher, weshalb der Staat hier besonders sorgfältig die Eingriffe rechtfertigen muss und das Verfahren selbst datenschutzrechtlich einwandfrei zu sein hat. Vorbemerkung der Landesregierung Vor dem Hintergrund der rasanten technischen Entwicklung und der zunehmenden Verlagerung der Telekommunikation in das Internet besteht das dringende Erfordernis, die Instrumente für die Erkenntnisgewinnung der Sicherheitsbehörden den veränderten Gegebenheiten anzupassen. Kommunikation wird durch die technischen Entwicklungen der nächsten Jahre in wesentlich stärkerem Maße internetbasiert, mobil, verschlüsselt, unter Nutzung internationaler Anbieter und Strukturen und mit wesentlich höherem Datenaufkommen stattfinden. Dabei sind auch weiterhin die Aspekte des Datenschutzes mit hoher Priorität zu berücksichtigen. Im Rahmen der im Jahr 2010 europaweit ausgeschriebenen Systemtechnik zur Durchführung von Telekommunikationsüberwachungen in Niedersachsen wurde vor Beginn des Ausschreibungsverfahrens der behördliche Datenschutzbeauftragte des Landeskriminalamtes Niedersachsen zur Durchführung der erforderlichen Vorabkontrolle eingebunden. Gleichzeitig wurde dem Landesbeauftragten für Datenschutz Niedersachsen das erstellte Leistungsverzeichnis sowie weitere für die Vorabkontrolle benötigten Dokumente zur Einsichtnahme und Bewertung übermittelt. Hierbei wurden durch den Landesbeauftragten für Datenschutz Niedersachsen keine Kritikpunkte oder Bedenken gegen das geplante Vorhaben geäußert. Aufgrund unterschiedlichster technischer Problemstellungen konnte die neue Systemtechnik zur Telekommunikationsüberwachung erst am 22. Oktober 2012 mit einem stark reduziertem Lavesallee 6, Hannover Tel.: (0511)

2 Leistungsumfang in den eingeschränkten Wirkbetrieb überführt werden. In diesem Zusammenhang ist festzustellen, dass das Landeskriminalamt Niedersachsen auf der Grundlage vertragsrechtlich festgelegter Bedarfe schon seit Systembeauftragung und -aufbau die Behebung erkannter Mängel gegenüber dem Dienstleister einforderte. Die in diesem Zusammenhang eingetretenen zeitlichen Verzögerungen sind insofern durch das Landeskriminalamt Niedersachsen nicht zu vertreten. Die von der Landesbeauftragten für Datenschutz Niedersachsen beschriebenen Mängelpunkte werden, soweit technisch und fachlich umsetzbar, durch das Landeskriminalamt Niedersachsen in einem kontinuierlichen Dialog zur Landesbeauftragten für den Datenschutz weiterhin priorisiert betrachtet und bearbeitet. Die Abhängigkeit vom Dienstleister der Systemtechnik zur Telekommunikationsüberwachung ist hierbei in weiten Teilen maßgeblich. Es ist vorgesehen, dass mit dem Aufbau des geplanten Rechen- und Dienstleistungszentrums Polizei im Verbund der norddeutschen Küstenländer ab Frühjahr 2016 der Dialog weiter intensiviert wird und vor diesem Hintergrund die spezifischen Aspekte des Datenschutzes im Zusammenhang mit der Telekommunikationsüberwachung zielgerichtet berücksichtigt werden. 1. Wie haben sich die TKÜ-Fallzahlen beim LKA in den Jahren ab 2010 entwickelt (bitte aufschlüsseln nach Rechtsgrundlagen)? Die Telekommunikationsüberwachung wird im 100a der Strafprozessordnung (StPO) und in Niedersachsen im 33a des Niedersächsischen Gesetzes über die öffentliche Sicherheit und Ordnung (NdsSOG) gesetzlich geregelt. Getroffene Maßnahmen aller Polizeibehörden in Niedersachsen nach 33a NdsSOG: Jahr Maßnahmen Getroffene Maßnahmen nach 100a StPO aller Polizeibehörden in Niedersachsen: Gemäß 100b Abs. 5 StPO obliegt die statistische Erhebung der gem. 100a StPO angeordneten Maßnahmen der Telekommunikationsüberwachung dem Bundesamt für Justiz. Dieses erstellt jährlich eine Übersicht zu den im Berichtsjahr bundesweit gem. 100a StPO 1 Gemäß 33a (2) NdsSOG kann sich eine Datenerhebung auf die Inhalte der Telekommunikation einschließlich der innerhalb des Telekommunikationsnetzes in Datenspeichern abgelegten Inhalte, die Verkehrsdaten gemäß 96 Telekommunikationsgesetzes oder auf die Standortkennung einer aktiv geschalteten Mobilfunkendeinrichtung beziehen

3 angeordneten Telekommunikationsüberwachungsmaßnahmen und veröffentlicht diese unter der Internetadresse Danach wurden folgende Überwachungsanordnungen für Niedersachsen registriert: Jahr Anzahl der Verfahren Erstanordnungen Verlängerungsanordnungen 2. Welche Mängel liegen im Einzelnen vor? Die im 22. Tätigkeitsbericht der Landesbeauftragten für Datenschutz Niedersachsen genannten 44 Mängelpunkte beinhalten in Teilen Aspekte der Verschlusssachenanweisung des Landes Niedersachsens und unterliegen diesbezüglich der Geheimhaltung. Infolgedessen ist eine detaillierte Darstellung einzelner Mängel im Rahmen der Beantwortung, um die Funktionsfähigkeit der Systemtechnik als auch immanente Organisations- und Personaldaten nicht zu gefährden, nicht möglich. Die aufgezeigten Problemfelder der Mängelpunkte wurden durch die Landesbeauftragte für den Datenschutz Niedersachsen gebündelt und lassen sich unter folgenden Punkten darstellen: a) Insbesondere sind die Aussagen zur Risikoanalyse, auch nach Berücksichtigung des Überarbeitungsstandes vom 18. Oktober 2012 noch unvollständig. Es ist deshalb nicht bestimmbar, ob alle erforderlichen Maßnahmen gemäß 7 Abs. 2 NDSG getroffen worden sind. b) Des Weiteren ist die erforderliche Mandantenfähigkeit des Verfahrens im datenschutzrechtlichen Sinne nicht erwiesen. c) Das Rechte-Rollen-Konzept ist zu vervollständigen. d) Die Protokollierung ist um die fehlenden Komponenten und Maßnahmen zu ergänzen. e) Die Dokumentenlage ist in Teilen lückenhaft, sodass weder der gesicherte und rechtssichere Betrieb noch eine Revisionssicherheit gewährleistet werden kann. f) Aufgrund des festgestellten sehr hohen Schutzbedarfes ist die Verschlüsselung der Inhalts- und der Verkehrsdaten vorzunehmen. g) Die Fernwartung ist nur mit besonderen, der Schutzstufe sehr hoch angemessenen Sicherheitsmaßnahmen, zulässig

4 3. Was hat das LKA bzw. das Innenministerium seit Oktober 2012 unternommen, um die datenschutzrechtlichen Mängel abzustellen? Basierend auf den festgestellten Problemstellungen im Systembetrieb der Telekommunikationsüberwachung und auf Grundlage der erstellten Mängelpunkte wurden dem beauftragten Dienstleister durch das Landeskriminalamt Niedersachsen in den zurückliegenden Jahren systemtechnische Änderungen abverlangt und wiederkehrend auf die Erstellung und Übersendung der für den Systembetrieb erforderlichen Dokumente und Konzepte gedrungen. In Bezug auf die in der Antwort zur Frage 2 gebündelten Problemfelder ergeben sich aktuell folgende Sachstände: Zu 2a) Insbesondere sind die Aussagen zur Risikoanalyse, auch nach Berücksichtigung des Überarbeitungsstandes vom 18. Oktober 2012 noch unvollständig und in der Folge nicht bestimmbar, ob alle erforderlichen Maßnahmen gemäß 7 Abs. 2 NDSG getroffen worden sind. Die aktuellste Risikoanalyse mit Stand vom 18. Dezember 2012 wurde an die Landesbeauftragte für Datenschutz Niedersachsen und an die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen (Datenschutzbehörden) übermittelt. Diese wird fortgeschrieben und im Zusammenwirken mit der Fertigstellung des IT- Sicherheitskonzeptes finalisiert. Ausgehend von der bereits übermittelten Risikoanalyse fehlen aktuell noch bei 31 von 274 aufgeführten Einzelpunkten die Bewertungen des zu betrachtenden Risikos. Die Abarbeitung dieser Einzelpunkte wird mit dem parallelen Aufbau des geplanten Rechen- und Dienstleistungszentrums Polizei im Verbund der norddeutschen Küstenländer ab Frühjahr 2016 berücksichtigt. Zu 2b) Des Weiteren ist die erforderliche Mandantenfähigkeit des Verfahrens im datenschutzrechtlichen Sinne nicht erwiesen. Insbesondere bei der bemängelten Ausgestaltung hinsichtlich der Mandantentrennung und der externen Protokollierung sind aufgrund einer im Mai 2015 mitgeteilten Produktabkündigung durch den Dienstleister keine Änderungen mehr zu erwarten. Vor dem Hintergrund, dass die übermittelten Unterlagen durch das Landeskriminalamt Niedersachsen an die Landesbeauftragte für Datenschutz Niedersachsen im Rahmen der datenschutzrechtlichen Vorabkontrolle diesbezüglich nicht bemängelt wurden, ist die Systemtechnik, in Bezug auf die Mandantentrennung und die Protokollierung, vom Dienstleister vertragskonform aufgebaut und installiert worden. Es ist beabsichtigt, die im Detail verfeinerten und innerhalb der durch die Datenschutzbehörden erstellten Orientierungshilfen Mandantenfähigkeit, Version 1.0, vom 11. Oktober 2012 und Datenschutzgerechte Protokollierung, Rel , vom 20. August 2010 zum Ausdruck gebrachten Anforderungen im Rahmen des unter Punkt 2 a genannten Rechen- und Dienstleistungszentrums zu berücksichtigen und umzusetzen. Zu 2c) Das Rechte-Rollen-Konzept ist zu vervollständigen. Das Rechte- und Rollenkonzept wird durch das Landeskriminalamt Niedersachsen beständig fortgeschrieben und nach Upgrade / Funktionserweiterung auf den finalen Versionsstand, im Zusammenwirken mit der Fertigstellung des IT-Sicherheitskonzeptes, welches auch vollumfänglich für das oben genannte Rechen- und Dienstleistungszentrums Polizei im Verbund der norddeutschen Küstenländer zu berücksichtigen sein wird, finalisiert

5 Zu 2d) Die Protokollierung ist um die fehlenden Komponenten und Maßnahmen zu ergänzen. Die seitens der Landesbeauftragten für den Datenschutz bemängelten Punkte konnten teilweise behoben werden. In Bezug auf den geforderten Protokollierungsumfang konnten innerhalb der Systemtechnik entsprechende Anpassungen umgesetzt werden. Bezüglich einer zusätzlichen Protokollierungseinheit außerhalb der eigentlichen Systemtechnik wird auf die Beantwortung zu 2b) verwiesen. Zu 2e) Die Dokumentenlage ist in Teilen lückenhaft, so dass weder der gesicherte und rechtssichere Betrieb, noch eine Revisionssicherheit gewährleistet werden kann. Die Übermittlung des durch das Landeskriminalamt Niedersachsen bei dem Dienstleister im Rahmen der Auftragsvergabe abverlangten IT-Sicherheitskonzeptes verzögerte sich um mehrere Monate. Erst nachdem der Dienstleister den TÜV-Süd mit der Erstellung des IT- Sicherheitskonzeptes beauftragte, konnte dieses dem Landeskriminalamt Niedersachsen zur Verfügung gestellt werden. In der Analyse der weit über DIN A4 Seiten starken Dokumentation wurden durch das Landeskriminalamt Niedersachsen wiederkehrend Defizite festgestellt, so dass diese in großem Umfang durch den Dienstleister nachgebessert werden mussten. Bedingt durch die weiterhin vorliegenden Anpassungs- und Ergänzungserfordernisse in der Ausgestaltung der verwendeten Systemtechnik muss auch die Dokumentenlage weiterhin angepasst werden. Erste Auszüge wurden am 21. Mai 2013 im Gesamtumfang von 556 DIN A4 Seiten erstellt und an die Datenschutzbehörden übermittelt. Die inhaltliche Abstimmung dazu dauert an. Zu 2f) Aufgrund des festgestellten sehr hohen Schutzbedarfes ist die Verschlüsselung der Inhalts- und der Verkehrsdaten vorzunehmen. Auch bei der ganzheitlichen Verschlüsselung aller im System vorhandenen Inhalts- und Verkehrsdaten sind tiefgreifende Veränderungen innerhalb der Systemtechnik erforderlich, die im Rahmen des aktuellen Projektes, unter Verweis auf die Produktabkündigung des Dienstleisters, nicht mehr zu gewährleisten sind. Vor diesem Hintergrund wurden besondere Schutzmaßnahmen gegen einen unzulässigen räumlichen Zutritt und somit auch zur Verhinderung eines ungewollten Dateizugriffes getroffen. Zu 2g) Die Fernwartung ist nur mit besonderen, der Schutzstufe sehr hoch angemessenen Sicherheitsmaßnahmen, zulässig. Im Rahmen der am 11. Oktober 2012 durchgeführten Inaugenscheinnahme durch die Datenschutzbehörden wurde von diesen entsprechender Nachbesserungsbedarf in der Ausgestaltung des Fernwartungszuganges geäußert. Aufgrund dessen erfolgte bereits im direkten Anschluss eine konzeptionelle Neubetrachtung der Umsetzungsmöglichkeiten für die Fernwartung. Nach Analyse der am Markt zur Verfügung stehenden Möglichkeiten wurden zu Beginn des Jahres 2013 erste Beschaffungsmaßnahmen initiiert und eine neue und restriktivere Zugangsmöglichkeit durch den in Anspruch genommenen Dienstleister geschaffen. Nach Abschluss der Aufbau- und Testphase, der konzeptionellen Betrachtungen und abschließenden Abstimmung mit dem Dienstleister wurde die neue Fernwartungslösung am 13. Mai 2013 in Betrieb genommen. Das neue Fernwartungskonzept wurde im Mai 2013 an die Datenschutzbehörden übermittelt