Die Polizei als Wolkenkratzer.

Transkript

1 Die Polizei als Wolkenkratzer. Grundrechtsschutz beim Cloud Computing? Prof. Dr. Dirk Heckmann, MdBayVerfGH Lehrstuhl für Öffentliches Recht, Sicherheitsrecht und Internetrecht Prof. Dr. Dirk Heckmann

2 Gliederung I. Einleitende Provokationen II. III. IV. Grundrechtsschutz gegen staatlichen IT-Einsatz: Karlsruhe unter Beobachtung Cloud Computing: Verlagerung der Privat- und Geschäftssphäre in den virtuellen Raum Polizeiliche Zugriffe auf Daten in der cloud? V. Fazit und rechtspolitischer Ausblick Prof. Dr. Dirk Heckmann Folie2/20

3 I. Einleitende Provokationen => Sicherheitsarchitektur im überforderten Rechtsstaat Irrtum 1: Wir leben in einem Überwachungsstaat! Prof. Dr. Dirk Heckmann Folie3/20

4 I. Einleitende Provokationen => Sicherheitsarchitektur im überforderten Rechtsstaat Nein! Wir schaffen allenfalls Voraussetzungen hierzu, wenn zusätzlich zahlreiche Hürden genommen werden. Prof. Dr. Dirk Heckmann Folie4/20

5 I. Einleitende Provokationen => Sicherheitsarchitektur im überforderten Rechtsstaat Irrtum 2: Neue Polizeibefugnisse gewährleisten Sicherheit! Prof. Dr. Dirk Heckmann Folie5/20

6 I. Einleitende Provokationen => Mein alternatives Konzept Technikeinsatz ja bitte, aber: kreativ intelligent verantwortungsbewusst ideologiefrei Ausgangsthese: Grundrechtsschutz durch Technik! Weniger Befugnisse, mehr Befähigung für die Polizei! Prof. Dr. Dirk Heckmann Folie6/20

7 II. Grundrechtsschutz gegen staatlichen IT-Einsatz => Karlsruhe unter Beobachtung Prof. Dr. Dirk Heckmann Folie7/20

8 II. Grundrechtsschutz gegen staatlichen IT-Einsatz => Karlsruhe unter Beobachtung hinreichende Bestimmtheit konkrete Gefahr hohe Eingriffsschwellen Kernbereichsschutz Richtervorbehalt Prof. Dr. Dirk Heckmann Folie8/20

9 III. Cloud Computing => Verlagerung der Privat- und Geschäftssphäre in den virtuellen Raum Technischer Hintergrund: Was geschieht mit den Daten beim Cloud Computing? Empirischer Hintergrund: Welches Interesse hat der Staat an den Daten in der Cloud? Dogmatischer Hintergrund: Einordnung der Wolke in grundrechtsrelevante Schutzbereiche Prof. Dr. Dirk Heckmann Folie9/20

10 IV. Polizeiliche Zugriffe auf Daten in der cloud? => Ausgangsfälle Fallgruppe A ( offene Ermittlungen) Fall 1: A ist verdächtig, Mitglied einer terroristischen Vereinigung zu sein, sein Rechner wird im Zuge strafprozessualer Ermittlungen beschlagnahmt. Die Ermittler finden auf dem Rechner Zugangsdaten zu einer cloud und sehen sich die dort hinterlegten Inhalte an. Erlaubt? Fall 2: Tatverdacht wie bei Fall 1, nur haben die Ermittler bereits Anhaltspunkte, dass der Verdächtige über einen ganz bestimmten Anbieter von cloud-computing kommuniziert. Die Staatsanwaltschaft will nun beim cloud-computing-anbieter die in der cloud abgelegten Inhalte des A beschlagnahmen. Darf Sie das? Prof. Dr. Dirk Heckmann Folie10/20

11 IV. Polizeiliche Zugriffe auf Daten in der cloud? => Ausgangsfälle Fallgruppe B ( verdeckte Ermittlungen) Fall 3: Gegen A ermittelt das BKA im Wege einer Online-Durchsuchung. Bei der Auswertung der dabei gewonnenen Ermittlungsergebnisse werden Zugangsdaten zu einer cloud gefunden. Sind die Ermittler befugt mit Hilfe der Zugangsdaten auf die Inhalte der cloud des A zuzugreifen? Prof. Dr. Dirk Heckmann Folie11/20

12 IV. Polizeiliche Zugriffe auf Daten in der cloud? => Lösung Fall 1 Beschlagnahme gerechtfertigt nach 94 ff. StPO Nachfolgender Zugriff auf cloud nach neuem 110 Abs. 3 StPO gerechtfertigt? 110 [Durchsicht von Papieren und elektronischen Speichermedien] 3) 1 Die Durchsicht eines elektronischen Speichermediums bei dem von der Durchsuchung Betroffenen darf auch auf hiervon räumlich getrennte Speichermedien, soweit auf sie von dem Speichermedium aus zugegriffen werden kann, erstreckt werden, wenn andernfalls der Verlust der gesuchten Daten zu besorgen ist. 2 Daten, die für die Untersuchung von Bedeutung sein können, dürfen gesichert werden; 98 Abs. 2 gilt entsprechend. Grundsätzlich ja. Aber umstritten, ob auch ein Zugriff auf Daten gestattet ist, die auf einem ausländischen Server liegen! Prof. Dr. Dirk Heckmann Folie12/20

13 IV. Polizeiliche Zugriffe auf Daten in der cloud? => Lösung Fall 2 Beschlagnahme der cloud-inhalte beim Anbieter grundsätzlich möglich! Rechtsprechung des BVerfG, v BvR 902/06 Beschlagnahme von s beim Provider Leitsatz Die Sicherstellung und Beschlagnahme von s auf dem Mailserver des Providers sind am Grundrecht auf Gewährleistung des Fernmeldegeheimnisses aus Art. 10 Abs. 1 GG zu messen. 94 ff. StPO genügen den verfassungsrechtlichen Anforderungen, die an eine gesetzliche Ermächtigung für solche Eingriffe in das Fernmeldegeheimnis zu stellen sind. Prof. Dr. Dirk Heckmann Folie13/20

14 IV. Polizeiliche Zugriffe auf Daten in der cloud? => Lösung Fall 2 Probleme: 1. Kann eine cloud Gegenstand einer Beschlagnahme sein? Nach BVerfG wohl Ja! 94 StPO ist so zu verstehen, dass auch nichtkörperliche Gegenstände beschlagnahmefähig sind (also auch eine virtuelle cloud) Prof. Dr. Dirk Heckmann Folie14/20

15 IV. Polizeiliche Zugriffe auf Daten in der cloud? => Lösung Fall 2 Probleme: 2. Wird durch die mögliche Speicherung der Inhalte auf über die ganze Welt verteilte Serverfarmen bei Beschlagnahme in exterritoriale Rechtsordnung eingegriffen? Ungeklärt, worauf man abstellen soll! Unternehmenssitz Serverstandort Beschlagnahme zulässig (bei nationalem Anbieter; unerheblich ist, wo Daten im Einzelfall gespeichert sind) Beschlagnahme unzulässig (wenn Daten auf ausländischem Server liegen) Prof. Dr. Dirk Heckmann Folie15/20

16 IV. Polizeiliche Zugriffe auf Daten in der cloud? => Lösung Fall 3 1. Vorgängige Online-Durchsuchung unter den Voraussetzungen des 20k BKA-G zulässig 2. Ist nachfolgender Zugriff auf cloud als eigenständige, weitere Online-Durchsuchung zu bewerten? Falls ja, bestehen folgende Probleme: Formal: erneute Entscheidung eines Richters erforderlich? Materiell: Vertiefter Eingriff? o Zugriff auf Informationstechnisches System eines Nichtstörers (des Anbieters) o Größere Streuwirkung (weil auch Dateien Dritter, die die cloud des Verdächtigen mitnutzen können, betroffen sind) Prof. Dr. Dirk Heckmann Folie16/20

17 IV. Polizeiliche Zugriffe auf Daten in der cloud? => Lösung Fall 3 Nach Rechtsprechung des BVerfG v BvR 370/07 (Rn. 289 ff.) liegt wohl keine eigenständige Online-Durchsuchung vor, sondern ein sogenanntes heimliches Aufklären des Internets. Begründung: Zugriff erfolgt auf technisch vorgesehenem Weg, ohne dazu vom Kommunikationspartner autorisiert zu sein. Beispiel des BVerfG: So liegt es etwa, wenn ein mittels Keylogging erhobenes Passwort eingesetzt wird, um Zugang zu einem -Postfach oder zu einem geschlossenen Chat zu erlangen. Voraussetzung: Ausreichend bestimmte Eingriffsgrundlage! Prof. Dr. Dirk Heckmann Folie17/20

18 IV. Polizeiliche Zugriffe auf Daten in der cloud? => Lösung Fall 3 Problem: Ermächtigungsgrundlage? Lösungswege Generalklausel? Keine, Gesetzgeber muss tätig werden Eingriff von Ermächtigung zu vorgängiger Online-Durchsuchung als Folgemaßnahme gedeckt? nein, bereichsspezifische Regelung erforderlich contra pro neuer Eingriff Bestimmtheitsgrundsatz typische Folgemaßnahme Drittbetroffenheit Prof. Dr. Dirk Heckmann Folie18/20

19 V. Fazit und rechtspolitischer Ausblick Fazit o Der polizeiliche Zugriff auf IT-Systeme ist zu Zwecken der Kriminalitätsbekämpfung notwendig, aber rechtsstaatlich begrenzt. o Das BVerfG erlaubt die Online-Durchsuchung und die Beschlagnahme von s, übersieht dabei aber die Konsequenzen zunehmender Virtualisierung der Datenspeicherung. o Es besteht dringender Regelungsbedarf, die Eingriffsmöglichkeiten im grenzüberschreitenden virtuellen Raum neu zu justieren. Prof. Dr. Dirk Heckmann Folie19/20

20 Prof. Dr. Dirk Heckmann Danke für Ihre Aufmerksamkeit! Prof. Dr. Dirk Heckmann Folie20/20