Bürgerrechte & Polizei/CILIP 105 (Mai 2014)

Verdachtslose Rasterfahndung des BND

Eine Zehnjahresbilanz 2002-2012

von Jürgen Scheele

In seinen jährlichen Berichten publiziert das Parlamentarische Kontrollgremium des Bundestages auch Zahlen über die strategische Telekommunikationsüberwachung des Bundesnachrichtendienstes (BND). Je für sich haben die immer gleich gehaltenen "Unterrichtungen" wenig Aussagekraft. Eine Auswertung über einen Zeitraum von zehn Jahren lässt jedoch Muster erkennen.[1]

Gegenstand der folgenden Auswertung sind Art, Umfang und Entwicklung der strategischen Fernmeldeüberwachung des BND nach § 5 des Artikel-10-Gesetzes (G 10). Diese betrifft die Überwachung von internationalen Telekommunikationsverkehren, die von oder nach Deutschland geführt werden. Nicht erfasst sind folglich die strategischen Kontrollen der Telekommunikation in sogenannten Individualmaßnahmen (§ 8 G 10), die bei Gefahr für Leib oder Leben einer Person im Ausland (z.B. in Entführungsfällen) angeordnet werden können. Ebenfalls nicht erfasst ist die strategische Überwachung der Telekommunikation im "offenen Himmel", d.h. von Telekommunikationsverkehren, die ihren Ausgangs- und Endpunkt jeweils im Ausland haben. Zahlen zum Umfang dieser nicht den Regularien des G 10 unterliegenden Überwachung des Auslands sind nicht bekannt.

Strategische Beschränkungen des Fernmeldegeheimnisses nach § 5 G 10 dürfen auf Antrag des BND für internationale Telekommunikationsbeziehungen angeordnet werden, soweit eine gebündelte Übertragung erfolgt. Gebündelt meint Übertragungswege via Lichtwellenleiter, Koaxialkabel, Satellit oder Richtfunk. Richtfunkverkehre zur Übertragung internationaler Telekommunikation allerdings spielen seit mehr als zehn Jahren in Europa keine Rolle mehr, auch Satellitenverbindungen werden zunehmend weniger genutzt.[2] Der Fokus der Überwachungsmaßnahmen liegt heute auf Lichtwellen- und Koaxialkabel. Konkret erfolgt die Überwachung mittels vom BND vorgeschlagener und von der G 10-Kommission genehmigter Suchbegriffe. Sie sind sowohl formaler - z.B. Telefonnummern und E-Mail-Adressen - als auch inhaltlicher Art. Erstere sollen so ausgestaltet sein, dass deutsche Staatsbürger nicht gezielt erfasst werden. Letztere beinhalten beispielsweise Beze1ichnungen aus der Waffentechnik oder Namen von Chemikalien, aber auch "gängige und mit dem aktuellen Zeitgeschehen einhergehende Begriffe". Zudem sind in der Überwachungsanordnung die Gebiete, über die Informationen gesammelt werden sollen, und die Übertragungswege zu bezeichnen. Ferner ist festzulegen, welcher Anteil der auf den gewählten Übertragungswegen zur Verfügung stehenden Übertragungskapazität überwacht werden darf. Es gilt eine 20-Prozent-Kapazitätsgrenze. Sodann werden die Telekommunikationsverkehre auf die Verwendung der Suchbegriffe hin elektronisch gescannt.

Steigende Netzüberwachung, sinkende Trefferrelevanz

Über die zehn Jahre hinweg deutlich auszumachen sind mehrere Technologiephasen mit entsprechenden Switch-Punkten oder Technologieübergängen. Hierunter sind sowohl ein Austausch von Hard- und Software als auch eine bessere Konfiguration von Hard- und Software in dem Sinne zu verstehen, dass sich die Parameter (erfasste Treffer, relevante Treffer, Effizienz) signifikant verändern. Ein erster Übergangspunkt datiert mit Beginn des 2. Halbjahrs 2004, ein zweiter mit Beginn des Jahres 2007. Bekräftigt wird dieser Befund auch durch eine in den Unterrichtungen für den Zeitabschnitt 7/2004-12/2006 gesondert aufgeführte, zwischengeschaltete Kategorie "Weitergabe an die Auswertung".

Tab.: Art, Umfang und Entwicklung Strategischer Beschränkungen nach § 5 G 10 2001-2012*

* Erläuterung: Die Zahlenangaben sind den Unterrichtungen durch das PKGr aus den entsprechenden Bundestagsdrucksachen entnommen. "Erfasst" benennt nach Suchbegriffen qualifizierte Treffer. "Ausgewertet" steht für Weitergabe an die Auswertung. "Relevant" bezeichnet nachrichtendienstlich relevante Meldungen aus der Menge der erfassten Treffer. Unter "Relation" wird jeweils das Verhältnis von relevanten Treffern zu erfassten Treffern subsumiert. Sie kann als Maß der Effizienz gelesen werden: je kleiner der Wert, desto geringer die Effizienz.

Insgesamt ist bis zum Jahr 2011 eine Zunahme der erfassten Treffer, eine Abnahme der relevanten Treffer sowie ein Sinken der Effizienzrelation festzustellen. Sprich: In der Gesamtheit ist eine sinkende Trefferrelevanz bei stark steigender Netzüberwachung zu verzeichnen. Erst ab dem Berichtszeitraum 2011 lässt sich eine Ausnahme von diesem Befund konstatieren. Hier mit der Besonderheit, dass der auffallende Rückgang in der Zahl der erfassten Treffer in Reaktion auf den Negativrekord in der Telekommunikationsüberwachung des Vorjahres erfolgte. Dieser fand seinerzeit auch in den Medien einen breiteren Widerhall und wurde vom BND mit einer Spamwelle zu erklären versucht.[3]

In der Folge wurde das vom BND angewandte automatisierte Selektionsverfahren "optimiert". Dazu beigetragen hätten, so berichtete das PKGr nachträglich, "eine verbesserte Spamerkennung und -filterung, eine optimierte Konfiguration der Filter- und Selektionssysteme und eine damit verbundene Konzentration auf formale Suchbegriffe in der ersten Selektionsstufe".[4] Die Begrifflichkeiten "Konfiguration der Filter- und Selektionssysteme" und "erste Selektionsstufe" allerdings lassen aufhorchen. Wird die Konfiguration der Software geändert, so dass die Filter- und Selektionsalgorithmen nicht länger Treffer auf Basis einzelner Suchbegriffe generieren, sondern in sequenzieller Verarbeitung, werden vormals als erfasste Treffer registrierte Meldungen in der Statistik nicht mehr gezählt. Dem naheliegenden Gedanken, dass die ursprüngliche Zahlengrundlage verlassen wurde, wollte sich jedoch weder die G 10-Kommission noch das PKGr stellen.

Zahlen außer Kontrolle

Vielmehr hob Letzteres am 29. Februar 2012 seine Verpflichtung zur Geheimhaltung auf und gab eine öffentliche Bewertung ab, mit der es den BND entlastete: Die hohe Zahl der im Jahr 2010 erfassten E-Mails sei "ein bislang einmaliger Ausreißer aufgrund einer weltweiten Spamwelle" gewesen. Zugleich sei deutlich geworden, "dass aufgrund von Verfahrenssicherungen der inländische E-Mail-Verkehr nicht betroffen ist."[5] Die Erklärung ist aus dreierlei Gründen bemerkenswert. Erstens: Mit dem Verweis auf vermeintlich nicht betroffene inländische E-Mail- Verkehre unterschlug das PKGr den Hinweis darauf, dass diese nach § 5 G 10-Gesetz generell nicht der Überwachung durch den BND unterworfen sein dürfen. Zudem wurde nicht konkretisiert, in welcher Form denn sichergestellt war, dass inländische E-Mail-Verkehre, die - beispielsweise ohne eine ".de"-Endung versehen - über Server im Ausland geroutet werden, nicht erfasst wurden.

Zweitens: Der Ausweis eines sehr hohen Spam-Anteils von etwa 90 Prozent des internationalen E-Mail-Aufkommens für 2010 bildete keine Besonderheit. Gleich oder ähnlich hohe Spam-Anteile wurden bereits für 2007, 2008 und 2009 benannt.[6] Der Spam-Anteil konnte also mitnichten den "Ausreißer" erklären.

Drittens: Eine Plausibilitätsprüfung durch Abgleich mit internationalen Spam-Statistiken fand nicht statt. Eine solche hätte sofort Zweifel aufgeworfen. Die Behauptung des BND von einem gegenüber 2009 höheren Spam-Anteil in 2010 widersprach entsprechenden Jahresanalysen über internationale IT-Bedrohungen durch Sicherheitsunternehmen wie McAfee und Kapersky.[7] Deren Zahlen zufolge bildete 2009, in dem die Anzahl der erfassten Treffer um ein Vielfaches niedriger lag als in 2010, das Spam-Rekordjahr weltweit - eine Diskrepanz, die zumindest erklärungsbedürftig erscheint.

Ausreichende Indizien lagen demzufolge vor, um einen Sachverständigen mit der Untersuchung des Vorfalls zu beauftragen. Das ist dem PKGr mit einer Mehrheit von zwei Dritteln seiner Mitglieder möglich (§ 7 Abs. 1 PKGrG), wurde im vorliegenden Fall aber erst gar nicht in Erwägung gezogen. Umstandslos wurde die Erklärung des BND akzeptiert, bestehende Kontrollbefugnisse blieben ungenutzt. Ein Sachverhalt, der sich auch an anderer Stelle zeigt und zugleich strukturelle Ursachen hat. Beispielsweise stuft das Bundeskanzleramt Informationen darüber, wie viele Telekommunikationsverkehre durch den BND tatsächlich gefiltert werden, als "geheim" ein.[8] Eine rechtliche Verpflichtung zur Geheimhaltung jedoch besteht nicht. Vielmehr ist diese Ausdruck eines praktizierten Kontrolldefizits, das bereits bei Einführung der eingangs genannten 20-Prozent-Kapazitätsgrenze zu Tage trat. Deren Ausgestaltung bildete nicht nur eine der wesentlichen Grundlagen für die verdachtslose Rasterfahndung des BND im Vergleichszeitraum 2002-2012. Sie enthält zugleich die Bedingungen für ihre künftige Ausweitung.

20 Prozent von allem

Die 20-Prozent-Regel wurde mit der Novellierung des G 10- Gesetzes vom 26. Juni 2001 eingeführt - also noch vor den für weitere Gesetzesverschärfungen folgenreichen Ereignissen vom 11. September. Vorausgegangen war eine Entscheidung des Bundesverfassungsgerichts vom 14. Juli 1999, die den Gesetzgeber verpflichtete, das G 10 in Teilen nachzubessern. Das geschah auch: Zu den Nachbesserungen allerdings traten Erweiterungen, die über den Regelungsauftrag des Gerichts hinausgingen. Hierzu zählte die neu aufgenommene 20-Prozent-Grenze. Sie war das Resultat einer einfachen wie beflissentlichen Addition. Zuvor hatte das Bundesverfassungsgericht positiv vermerkt, dass die strategische Fernmeldekontrolle - entsprechend der damals geltenden Gesetzeslage - auf den internationalen nicht leitungsgebunden Telekommunikationsverkehr (Richtfunk und Satellit) begrenzt war und dessen quantitativer Anteil "etwa zehn Prozent des gesamten Fernmeldeaufkommens" betrug. Da die Leitwegebestimmung nach Kapazität und Auslastung automatisch erfolge, so das Gericht seinerzeit weiter, könne zudem weder von den Kommunikationsteilnehmern noch vom BND vorhergesehen werden, ob ein Kommunikationsvorgang leitungsgebunden oder nicht leitungsgebunden verlaufe. Ergo sei "eine flächendeckende Erfassung jedenfalls des internationalen Fernmeldeverkehrs nicht zu besorgen" - daher eine tatsächliche Erfassung individueller Kommunikationsverkehre mit dem Ausland "nur selten der Fall".[9]

Dennoch machte man sich nun daran, die Überwachungsverfügbarkeit auszuweiten. Unter Darbietung einer abenteuerlichen Argumentation postulierte die Bundesregierung: Es sei "nicht beabsichtigt, den Umfang der bisherigen Kontrolldichte zu erweitern".[10] Die neue Technologie der Paketvermittlung (Packet Switching) geböte es aber, die Obergrenze der Erfassungskapazität für die strategische Fernmeldekontrolle auf 20 Prozent heraufzusetzen. Als Beleg führte man das Beispiel eines Telefax an, dessen Anfang über einen Lichtwellenleiter, dessen Mittelteil über Satellit und dessen Ende über Koaxialkabel geroutet würden.

An die Wand gemalt wurde das Gespenst einer mit steigender Anzahl der Pakete exponentiell abnehmenden Wahrscheinlichkeit, alle Pakete zusammenfügen zu können. Auf das Beispiel des aus drei Paketen bestehenden Telefax bezogen: Da die Pakete erst kurz vor ihrem Ziel ("etwa an der letzten Vermittlungsstelle vor dem Empfänger") wieder zusammengesetzt würden, wäre die strategische Fernmeldekontrolle ohne das Aufspüren der einzelnen Pakete auf den unterschiedlichen Übertragungswegen "sinnlos und unverwertbar".[11] Mit dieser Erzählung war nicht nur ein Bild der Leitwegebestimmung und Paketvermittlung gezeichnet, das der tatsächlichen physikalischen Netzwerkarchitektur nicht entsprach. Hinter dem Kabelverzweiger oder dem Hauptverteiler der Vermittlungsstelle begann und beginnt eben kein dezentralisiertes Kommunikationsnetz ohne Hierarchien, in dem die Leitwegeberechnung völlig ungebündelt, hierarchisch unstrukturiert und technisch wie ökonomisch ineffizient erfolgt.[12] Man unterschlug ferner, dass ein Abgreifen aller Pakete an der richtigen Stelle, etwa dem Kern- oder Backbonenetz bzw. den Internet-Austauschknoten (CIX), faktisch möglich ist.

In der Konsequenz wurden den zehn Prozent aus der Überwachung der zuvor allein nicht leitungsgebundenen Kommunikation (Richtfunk und Satellit) weitere zehn Prozent - sozusagen additiv für die leitungsgebundene Kommunikation (Glasfaser- und Koaxialkabel) - aufgeschlagen und rechtlich auf 20 Prozent der gesamten elektronischen Kommunikation ausgedehnt. Zugleich wurden die Telekommunikationsanbieter verpflichtet, an den technischen Übergabepunkten in ihren Einrichtungen eine vollständige Kopie der Telekommunikation auszuleiten. Das bedeutet: Nicht einzelne Verkehre werden mittels Suchbegriffen ausgewertet, sondern der Rohdatenstrom im Rahmen der Kapazitätsgrenze.[13] Potenziell ist somit an sechs von 30 Tagen eines Monats eine vollständige Überwachung der elektronischen Kommunikation möglich. Das entspricht einer kompletten Erfassung aller Meta- und Inhaltsdaten über diesen Zeitraum oder einem doppeltem "Full take", wie er von einem System wie XKeyscore aufgezeichnet und ausgewertet werden kann.[14]

Die Bundesregierung hat bereits bestätigt, dass ein "Full take" und eine Nutzung von XKeyscore "im Rahmen und in den Grenzen des Artikel 10-Gesetzes zulässig" sei.[15] Im Unklaren ließ sie, ob das auch für eine Speicherung von Daten - XKeyscore hält die Daten drei Tage lang in einem Zwischenspeicher vor - gelten würde. Ebenfalls bestätigte die Bundesregierung jüngst, dass das System vom BND seit 2007 in der Außenstelle Bad Aibling eingesetzt und seit 2013 in zwei weiteren, nicht näher genannten Außenstellen getestet wird.[16] In diesem Fall ließ sie offen, ob XKeyscore auch im Rahmen der Kommunikationsüberwachung des G 10 erprobt wird.

Noch allerdings gilt ein solches Kontrollszenario als Zukunftsmusik. Eine Überwachung in den Dimensionen von "Full take" und 20 Prozent erforderte eine technische Aufrüstung und zusätzliche Finanzmittel für Personal sowie Rechen- und Serverkapazitäten - etwa in Form jener 100 Mio. Euro, die nach Presseinformationen für ein sogenanntes "Technikaufwuchsprogramm" des BND vorgesehen sind.[17] Gegenwärtig ist der Umfang der Erfassung durch die bestehenden technischen und personellen Kapazitäten begrenzt, nicht durch rechtliche Beschränkungen. Hans de With, vormaliger Vorsitzender der G 10-Kommission, teilte denn auch in einem taz-Interview mit, dass die Kapazitätsgrenze derzeit nicht ausgeschöpft werde, der BND mithin "nur 5 Prozent" der von und nach Deutschland geführten internationalen Verkehre erfasse.[18]

Ein näherer Blick auf die Dimension dieser fünf Prozent fördert allerdings Erstaunliches hinsichtlich der möglichen Überwachungsintensität zu Tage. Wird der gesamte in Deutschland anfallende Netzwerkverkehr nach Protokollen und Protokollklassen differenziert, entfiele auf E-Mail (SMTP, IMAP, POP3), Voice over IP (VoIP) und Instant Messaging (IM) ein Anteil von zusammen 4,71 Prozent. Die E-Mail-Protokolle allein betrachtet ergäben einen Anteil von 3,69 Prozent am Gesamtverkehr. Das jedenfalls ist einer Studie zur Messung und Analyse des nationalen und globalen Internet Traffic zu entnehmen, die von einem Hersteller von Technologien zu Deep Packet Inspection (DPI) 2008/2009 durchgeführt wurde.[19]

Fehlende technische Kontrolle

Die Zahlen sind in Ermangelung von Vergleichswerten mit Vorsicht zu betrachten. Sie deuten aber an, dass selbst eine Kapazitätsgrenze von fünf Prozent eine flächendeckende Erfassung der Individualkommunikation ermöglichen würde. Somit kann man dem Diktum des Bundesverfassungsgerichts von 1999, eine solche Erfassung sei nur selten der Fall, heute nicht mehr folgen. Zugleich sind die grundlegenden Voraussetzungen für eine effektive technische Kontrolle der strategischen Fernmeldeüberwachung bereits jetzt nicht gegeben. Eine solche hätte vier Mindestanforderungen zu erfüllen:

Sie müsste erstens sicherstellen, dass in Beschränkungsmaßnahmen nach § 5 G 10 tatsächlich eine Bereinigung um innerdeutsche Verkehre stattfindet. Zweitens müsste gewährleistet werden, dass eine physikalische oder logische Trennung zwischen jenen Erfassungssystemen besteht, die bezogen auf eine Kapazitätsschranke nach den Deliktsbereichen aus § 5 G 10 operieren, und solchen, die prozentual unbeschränkt zugreifen können - etwa in der Überwachung der reinen Ausland-Kommunikation oder auch in sogenannten Individualmaßnahmen (§ 8 G 10). Drittens müsste verifiziert werden, dass die Integrität des informationstechnischen Erfassungssystems jederzeit gegeben ist - indem beispielsweise von außen nicht auf die Protokolldatei zugegriffen werden kann, das Nachladen von Programmcodes zum Ausführen nicht genehmigter Funktionen ausgeschlossen bleibt und auch keine Hintertüren zu einem Zugriff auf die Erfassungssysteme bestehen.

Dazu ist zuallererst eine regelmäßige, unabhängige Begutachtung der eingesetzten Hard- und Software unabdingbar. Andernfalls ist nicht überprüfbar, was an den technischen Übergabepunkten geschieht. Eine solche Kontrolle findet in der Praxis nicht statt, man vertraut vielmehr technologisch dem BND. Aus den gleichen Gründen ist viertens die Überwachung der Telekommunikation im "offenen Himmel" einer rigiden Kontrolle zu unterwerfen. Inzwischen gesteht die Bundesregierung selbst ein, dass "an beliebigen Orten der Welt Kommunikationen mit Deutschlandbezug, darunter auch innerdeutsche Verkehre, auftreten" können.[20] Damit ist auch in der technologischen Praxis eine Trennung in Kommunikation, die dem Grundrecht des Fernmeldegeheimnisses aus Art. 10 GG unterworfen ist, und solcher, für die das nicht gilt, obsolet geworden. Auch das zählt zur BND-Rasterfahndungsbilanz im Zeitraum 2002-2012.