LÖSUNGEN FÜR DIE TELKO- BRANCHE

LÖSUNGEN FÜR DIE TELKO- BRANCHE Vorratsdatenspeicherung 2.0 Aktueller Sachstand 19. Oktober 2015 LÖSUNGEN FÜR DIE TELKO- BRANCHE Cedros Gesellschaft für Datenverarbeitung mbh

Management Summary Aktueller Sachstand Der Bundestag hat am 16.10.2015 den umstrittenen Regierungsentwurf für eine neue Vorratsdatenspeicherung abgesegnet. Verbindungsdaten aller User, die bei der Telekommunikation, bei der Internet-Nutzung und im Mobilfunk anfallen, müssen gespeichert werden. Besteht ein hinreichendes Verdachtsmoment, müssen diese Daten auf Anfrage den Strafverfolgungsbehörden für Ermittlungen zur Verfügung gestellt werden. Provider müssen laut Gesetzentwurf Verbindungsinformationen zehn Wochen und Standortdaten vier Wochen lang speichern. Der Bereich E-Mail soll ausgenommen werden. Anforderungen an die Vorratsdatenspeicherung Verschlüsselte, zugriffsgeschützte Speicherung im Inland auf einem separaten, eigens für diesen Zweck bestimmten System Es ist eine zweckgerichtete Speicherung, zugriffsgeschützte und kontrollierte Verarbeitung sowie eine fristgerechte Löschung sicher zu stellen Die Daten dürfen ausschließlich zur Beantwortung von Behördenanfragen genutzt werden Lösung Mit dem cedros Data Retention Server c.-drs bietet cedros bereits heute eine preiswerte Speicherlösung, welche die gesetzlichen Anforderungen weitestgehend erfüllt. In Verbindung mit c.-ais wird der gesamte Auskunftsprozess vom Eingang per Fax, Email oder ETSI-ESB bis hin zur Erstellung einer Rechnung gemäß JVEG effizient und benutzerfreundlich unterstützt. www.cedros.com // 2

Inhaltsverzeichnis Management Summary... 2 Einleitung... 4 1.1 Rechtlicher Rahmen... 4 1.2 Hintergründe & Quellen... 5 Zusammenfassung des Gesetzesentwurfs... 6 1.3 Wer ist verpflichtet?... 6 1.4 Was muss gespeichert werden?... 6 1.5 Gibt es Ausnahmen?... 7 1.6 Wie lange sind die Daten vorzuhalten?... 7 1.7 Wie müssen die Daten geschützt werden?... 7 1.8 Wie und Wem sind die Daten herauszugeben?... 8 1.9 Gibt es eine Kostenerstattung?... 8 Lösungsskizze... 9 1.10 System zur Vorratsdatenspeicherung... 9 1.11 Cedros Angebot... 10 1.12 Vorstellung Cedros... 11 1.13 Referenzen... 11 www.cedros.com // 3

Einleitung 1.1 RECHTLICHER RAHMEN Grundsätzlich unterliegen die Verkehrsdaten dem Fernmeldegeheimnis und dem Recht auf informationelle Selbstbestimmung. Unter bestimmten gesetzlich geregelten Voraussetzungen darf jedoch ein Eingriff in diese vorgenommen werden. Die folgenden Gesetze regeln dazu den rechtlichen Rahmen. Sie legen weiterhin fest, unter welchen Umständen Daten gespeichert werden dürfen und wann sie gespeichert werden müssen. Welche Daten von der Verpflichtung betroffen sind und unter welchen Umständen sie herausgegeben werden müssen. TKG Telekommunikationsgesetz Teil 7: Fernmeldegeheimnis, Datenschutz, Öffentliche Sicherheit Abschnitt 2: Datenschutz 96 Erlaubt die Speicherung von Verkehrsdaten zu Abrechnungszwecken 100 Erlaubt die Verwendung gespeicherter Daten zur Eingrenzung von Störungen und zur Missbrauchsbekämpfung Abschnitt 3: Öffentliche Sicherheit 110 Verpflichtet Telekommunikationsanbieter Vorkehrungen zu treffen, die Überwachungsmaßnahmen und Auskünfte ermöglichen 113a Regelt die Speicherungspflicht und legt fest, welche Daten zu speichern sind 113b Regelt die Verwendung der nach 113a gespeicherten Daten 113c Regelt wem und wie die nach $113a gespeicherten Daten übermittelt werden 113d Regelt wie die nach 113a gespeicherten Daten geschützt werden müssen StPO Strafprozessordnung Abschnitt 8: Beschlagnahme, Überwachung des Fernmeldeverkehrs, Rasterfahndung, Einsatz technischer Mittel, Einsatz Verdeckter Ermittler und Durchsuchung 99; 95 Erlauben die Beschlagnahmung von Beweismitteln insbesondere von Postsendungen und Telegrammen 100a-b Erlaubt die Telefonüberwachung und regelt das Vorgehen 100g Verpflichtet zur Herausgabe von Verkehrsdaten (Eigentlich Erlaubt die Speicherung von Verkehrsdaten in Zusammenhang mit Straftaten) 100j Verpflichtet zur Bestandsdatenauskunft www.cedros.com // 4

Das Speichern von Verkehrsdaten für Administration und Missbrauchsbekämpfung ist nach TKG schon seit langem erlaubt. Zudem sind Telekommunikationsanbieter verpflichtet Vorkehrungen zu treffen, die Überwachungsmaßnahmen und Auskünfte ermöglichen ( 110 TKG). Art, Umfang und Verwendung sind in 113 ff. definiert. Die Strafprozessordung regelt den Zugriff auf diese Datenbestände ( 95, 99, 100 ff.) durch die Behörden. 1.2 HINTERGRÜNDE & QUELLEN Der Bundestag hat am 16.10.2015 den umstrittenen Regierungsentwurf für eine neue Vorratsdatenspeicherung abgesegnet. Die vormals etablierte Regelung musste nach dem Veto des Bundesverfassungsgerichts 2010 ausgesetzt werden. Der Europäische Gerichtshof verwarf dann Anfang April 2014 die EU-Richtlinie zur Vorratsdatenspeicherung. Die große Koalition wird als Antwort darauf die Vorratsdatenspeicherung in Deutschland wieder einführen. Demnach sollen die Verbindungsdaten aller User, die bei der Telekommunikation, bei der Internet-Nutzung und im Mobilfunk anfallen, gespeichert und den Strafverfolgern für Ermittlungen zur Verfügung gestellt werden. Provider müssen laut Gesetzentwurf Verbindungsinformationen zehn Wochen und Standortdaten vier Wochen lang speichern. Der Bereich E-Mail soll ausgenommen werden. Der Gesetzesentwurf im Wortlaut: http://dip21.bundestag.de/dip21/btd/18/050/1805088.pdf Unabhängig von der nun beschlossenen Vorratsdatenspeicherung dürfen TK-Anbieter Verkehrsdaten weiterhin zur Abrechnung und Störungsbeseitigung verwenden. Die Fristen sind im Telekommunikationsgesetz (TKG 96, 100) festgelegt. Für ein einheitliches Verständnis und eine einheitliche Auslegung der entsprechenden Paragraphen haben die Bundesnetzagentur (BNetzA) und der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) einen Leitfaden zum Speichern von Verkehrsdaten formuliert. Darin sind konkrete Empfehlung zu Datenarten und Speicherdauer enthalten. Dieser wurde auf Anregung von Telekommunikationsanbietern erstellt. Stand: 19.12.2012 http://www.bfdi.bund.de/shareddocs/publikationen/arbeitshilfen/leitfadenzumspeichernvonverkehrsdaten. pdf? blob=publicationfile&v=3 Im Folgenden geben wir einen Überblick zum aktuellen Sachstand beim Thema Vorratsdatenspeicherung gemäß Gesetzesentwurf der CDU/CSU und SPD vom 09.06.2015 www.cedros.com // 5

Zusammenfassung des Gesetzesentwurfs 1.3 WER IST VERPFLICHTET? Gemäß der neuen Fassung von 113a TKG werden Erbringer von öffentlich zugänglichen Telekommunikationsdiensten zur Speicherung der anfallenden Verkehrsdaten verpflichtet. Das Gesetz unterscheidet gezielt zwischen Erbringern und Mitwirkenden ( 3 Nr. 6 a) TKG). Nicht verpflichtet sind Mitwirkenden also Anbieter, die ihren Kunden nur eine kurzzeitige Nutzung des Telekommunikationsdienstes ermöglichen. Ausgeschlossen sind also Betreiber von Hotels, Restaurants und Cafés die ihren Kunden WLAN oder Telefonnutzung zur Verfügung stellen. Anbieter von E-Maildiensten sind ebenfalls nicht betroffen, da nach 113b TKG keine E-Mail-Verbindungsdaten gespeichert werden müssen. 1.4 WAS MUSS GESPEICHERT WERDEN? Im Rahmen der verpflichtenden Vorratsdatenspeicherung 2.0 sind folgende Daten zu speichern (gemäß 113b TKG): Für Telefondienste: Die Rufnummern des anrufenden und des angerufenen Anschlusses. Bei Weiterleitungen die Rufnummern aller weiteren beteiligten Anschlüsse. Start- und Endzeitpunkt der Kommunikation inklusive der Zeitzone. Im Falle von SMS der Zeitpunkt des Versands bzw. Empfangs der Nachricht. Art des genutzten Dienstes, wenn unterschiedliche Dienste genutzt werden können. Die internationale Kennung mobiler Teilnehmer für den anrufenden und den angerufenen Anschluss (IMSI) Die internationale Kennung des anrufenden und angerufenen mobilen Endgerätes (IMEI) Bei im Voraus bezahlten Diensten der Zeitpunkt der ersten Aktivierung. Die zugewiesenen IP-Adressen des anrufenden und des angerufenen Anschlusses sowie zugewiesene Benutzerkennungen bei Internet-Telefondiensten Bezeichnung der Funkzelle die vom anrufenden und angerufenen Anschluss zum Beginn der Verbindung genutzt wurde / Bezeichnung der Funkzelle die beim Beginn der Internetnutzung verwendet wurde Geografische Koordinaten und Hauptstrahlrichtung der betroffenen Funkantenne Anrufversuche. Sofern der Leistungserbringer diese Verkehrsdaten auch für die in 96 TKG genannten Zwecke speichert. (ABER: Nach Auffassung des BfDI und der BNetzA sind Verkehrsdaten zu Anrufversuchen unverzüglich zu löschen) Für Internetzugangsdienste: Die zugewiesene IP-Adresse Die eindeutige Kennung des Anschlusses Die zugewiesene Benutzerkennung Start- und Endzeitpunkt der Internetnutzung unter der zugewiesenen IP-Adresse inclusive der Zeitzone www.cedros.com // 6

1.5 GIBT ES AUSNAHMEN? Verbindungen von und zu so genannten privilegierten Rufnummern dürfen nicht gespeichert werden (gemäß 99 TKG). Privilegierte Rufnummern sind beispielsweise Rufnummern, die für die Telefonseelsorge oder die Gesundheitsberatung genutzt werden. Damit solche Nummern von der Speicherung ausgeschlossen werden können, müssen die Inhaber der Rufnummern einen entsprechenden Antrag bei der BNetzA stellen. Nach Prüfung werden die Rufnummern auf eine Liste gesetzt. Telekommunikationsdienstanbieter sind verpflichtet, ihre Daten gegen diese Liste abzugleichen. Die Liste wird in einem automatisierten Verfahren bereitgestellt. Inhalte der Kommunikation, Daten über aufgerufene Internetseiten und Daten von Diensten der elektronischen Post dürfen ebenfalls nicht gespeichert werden. 1.6 WIE LANGE SIND DIE DATEN VORZUHALTEN? Für die die verpflichtende Vorratsdatenspeicherung (TKG 113a) gilt: die Daten müssen im Inland gespeichert werden die Daten müssen nach 10 Wochen gelöscht werden abweichend davon sind die Informationen zum Standort (Funkzelle und geografische Koordinaten) bereits nach 4 Wochen zu löschen. (gemäß 113b TKG) Die im Rahmen der Vorratsdatenspeicherung gespeicherten Daten dürfen nur für Anfragen gemäß 100g StPO Absatz 2 und für Anfragen gemäß 100j StPO zur Ermittlung von Kundendaten zu einer dynamischen IP-Adresse verwendet werden ( 113b TKG). Der Zugriff auf Daten die gemäß 96 TKG zu Abrechnungs- und sonstigen Betrieblichen Zwecken gespeichert werden ist nach 100g StPO Absatz 1 weiterhin zulässig jedoch mit der Einschränkung das Standortdaten für retrograde Anfragen nicht ermittelt werden dürfen. 1.7 WIE MÜSSEN DIE DATEN GESCHÜTZT WERDEN? Der Gesetzentwurf sieht folgende technische und organisatorische Maßnahmen vor, um die Sicherheit der gespeicherten Daten zu gewährleisten: Technische Trennung (separates System, Trennung vom Internet) Daten, die im Rahmen der Vorratsdatenspeicherung herausgegeben wurden, müssen als solche gekennzeichnet sein Die Daten sind so aufzubewahren, dass Anfragen unverzüglich beantwortet werden können Verschlüsselte Speicherung der personenbezogenen Daten Revisionssichere Protokollierung 4-Augen Prinzip Einschränkung des Zutritts zu den Datenverarbeitungsanlagen (gemäß 113 d bis e TKG) www.cedros.com // 7

Die Maßnahmen zum Zugriffsschutz sind in einem Sicherheitskonzept, das der Bundesnetzagentur vorzulegen ist, zu dokumentieren. 1.8 WIE UND WEM SIND DIE DATEN HERAUSZUGEBEN? Daten, die im Rahmen der Vorratsdatenspeicherung gespeichert wurden, dürfen für die Verfolgung besonders schwerer Straftaten an eine Strafverfolgungsbehörde übermittelt werden. Die Strafverfolgungsbehörde muss in ihrem Antrag auf die entsprechende gesetzliche Bestimmung, welche das Speichern der Daten erlaubt, berufen. Ebenso dürfen Daten an Gefahrenabwehrbehörden der Länder übermittelt werden, wenn dies im Rahmen der Abwehr einer konkreten Gefahr für Leib, Leben oder Freiheit einer Person oder für den Bestand des Bundes oder eines Landes notwendig ist. Hier muss im Antrag ebenfalls auf die entsprechende gesetzliche Bestimmung, welche das Speichern der Daten erlaubt, verwiesen werden. Beide Fälle beinhalten die Ermittlung von Kundendaten zu einer dynamischen IP-Adresse. Welche Straftaten im Einzelnen als besonders schwer eingestuft sind, ist in der Strafprozessordnung 100g nachzulesen. Die Daten müssen so herausgegeben werden, wie dies bisher im Rahmen des manuellen Auskunftsverfahrens der Fall war. Hier gelten 113 TKG, 110 Absatz 2 und 3. Kurz zusammengefasst: Unternehmen mit mehr als 100.000 Kunden müssen für das Entgegennehmen und das Erteilen der Auskünfte eine gesicherte elektronische Schnittstelle (Stichwort ETSI-ESB) einrichten. (Beispiel-Lösungen: c.-sar und c.-ais). 1.9 GIBT ES EINE KOSTENERSTATTUNG? Kosten, die für die Einrichtung der Vorratsdatenspeicherung anfallen, sind von den Betreibern selber zu tragen. Sind diese für das jeweilige Unternehmen unverhältnismäßig hoch, kann eine Entschädigung beantragt werden. Die Anträge werden von der Bundesnetzagentur geprüft. www.cedros.com // 8

Lösungsskizze 1.10 SYSTEM ZUR VORRATSDATENSPEICHERUNG Unsere Lösung c.-drs - cedros Data Retention Server wird die gesetzlichen Anforderungen erfüllen. Sie speichert und sichert Verbindungsdaten für verschiedene Formate (Telefonie, IP-Zugang und E-Mail). Im Zentrum steht die flexible Vorgangsbearbeitung, welche die Verarbeitung verschiedener Datenströme (in der Regel CSV-Dateien) optimiert. c.-drs basiert auf IBM Informix 12 und ist somit enorm leistungsfähig und hoch skalierbar. Sie erlaubt eine Verarbeitung von Milliarden von Verbindungsdaten in über 10.000 Datensätzen pro Sekunde. Die Bedienung erfolgt über ein benutzerfreundliches Web-Interface. Abfragen können einfach erstellt und die Vorratsdaten unkompliziert exportiert werden. Im Rahmen des Mediationsverfahrens werden Daten in ein lesbares Format übersetzt oder in das ETSI-XML-Format umgewandelt. Für einen integrierten Workflow kann der Data Retention Server über eine Schnittstelle mit unserer Lösung c.- AIS (cedros Authority Information System) verbunden werden. So kann der gesamte Prozess der Behördenbeauskunftung aus einer einzigen Anwendung ohne Medienbrüche erfolgen. www.cedros.com // 9

Anlieferung der CDRs 100g StPO $96 TKG Ladeserver 100g StPo 113b TKG 100jStPO Sachbearbeiter c.-ais Anfrageverwaltung c.-drs Datenspeicherung ETSI Fax / E-Mail SINA-Box 1.11 CEDROS ANGEBOT Compliance- und Fraud-Beratung für TK-Unternehmen Lösungen für TK-Compliance o c.-drs: Speicherung von Verkehrsdaten o c.-ais: Bearbeitung von Auskunftsersuchen mit hohem Automatisierungsgrad o c.-sar: Elektronische Schnittstelle für Behörden (ETSI-ESB) Lösungen für Betrugserkennung & Fraud Management o c.-fast: Betrugserkennung in Echtzeit o c.-first: Fraud Identity Register o c.-fcm: Fraud Case Management Ganzheitlicher Ansatz: Prozessanalyse und Optimierung, Systemlösung, Application Management, Managed Service www.cedros.com // 10

1.12 VORSTELLUNG CEDROS Seit 25 Jahren sind wir in der Telekommunikationsbranche aktiv seit 25 Jahren stehen wir unseren Kunden als innovativer und loyaler Partner zur Seite. In dieser Zeit haben wir uns zu wahren Experten der Branche entwickelt. Jede Gesetzesnovellierung, jede neue Technologie hat uns herausgefordert und noch innovativer werden lassen. Wir beraten ganzheitlich und mit langjähriger Umsetzungserfahrung. Wir analysieren Prozesse, übernehmen das Anforderungs-Management, entwickeln maßgeschneiderte Lösungen und betreiben diese auch auf Wunsch. Unsere Lösungen und Prozesse ermöglichen den elektronischen Austausch zwischen Telekommunikationsunternehmen und Behörden. Zusätzlich bieten wir Wissen, Services und Lösungen an, mit denen Betrug an Telekommunikationsunternehmen erkannt und vermieden werden kann. Das Ergebnis: Wir helfen unseren Kunden, ihre Prozesse zu vereinfachen - sie effizienter zu gestalten. Unsere Kunden können sich auf ihr Kerngeschäft konzentrieren, um ihre gesetzeskonformen Prozesse kümmern wir uns. 1.13 REFERENZEN cedros verfügt über eine Vielzahl von Referenzen. Wir haben stets alle Projekte zur Zufriedenheit unserer Kunden abgeschlossen. Speziell im Bereich der Telekommunikationsanbieter möchten wir auf folgende Kundenprojekte verweisen: Vodafone: SIM Box Detection als Managed Service E-Plus Mobilfunk: Realisierung einer Vielzahl von Lösungsprojekten, u.a. Behördenauskunft, Fraud- Bearbeitung, Datenschutz-Plattform, Sales Force Automation sowie Managed Services im Bereich SIM Box Detection und Verkehrsdatenanalyse. 1&1 Internet AG: Behördenauskunft, Vorratsdatenspeicherung (international) Kabel Baden Württemberg: Behördenauskunft mit TKÜ-Integration und viele andere: z.b. Verkehrsdatenspeicherung von 1Mrd CDRs/Tag Auf Wunsch stellen wir gerne den direkten Kontakt zu unseren Referenzen her. IHRE ANSPRECHPARTNER Stefan Michaelis Andreas Schroeder Senior Consultant Business Development Software Architect Tel.: +49 2241 8834 36 Tel.: +49 2241 8834 60 stefan.michaelis@cedros.com andreas.schroeder@cedros.com www.cedros.com // 11