Bürgerrechte & Polizei/CILIP 71 (1/2002)

Cybercrime

Die Zukunft elektronischer Überwachung

von Albrecht Funk

Die neuen digitalen Informationstechnologien, mit deren Hilfe wir in der virtuellen Realität des Internets kommunizieren und konsumieren, recherchieren und Geschäfte abwickeln, haben ihre Unschuld verloren. Polizei und Geheimdienste wittern hinter der angeblichen Anonymität des Netzes Kriminelle und fordern neue Überwachungsmöglichkeiten.

Nicht mehr die neue Ökonomie der Informationsgesellschaft macht Schlagzeilen, sondern Kriminelle, die bei der Tatbegehung von den Segnungen digitaler Telekommunikation profitieren: Päderasten, die Kinderpornographie in internationalen Usergroups austauschen, Drogenschmuggler, die ihre Geschäfte über Mobiltelefon nur noch verschlüsselt betreiben und dabei die neueste Krypto-Software verwenden – und natürlich Terroristen, die – so die Vermutung von "Experten" – geheime Botschaften in unschuldige Webseiten postierten und so weltweite Netzwerke steuern. Auch die Hacker und Cyberpunks, die in der Vergangenheit die Rolle der Bösewichte, die das Gute fördern, spielten, büßen ihren Robin-Hood-Nimbus ein.

Sicherheitsapparate haben den Missbrauch des Internets durch Kriminelle und die Frage, wie im Cyberspace für Recht und Ordnung gesorgt werden kann, bereits Anfang der 90er Jahre zum Gegenstand von Forderungen nach erweiterten Zuständigkeiten und Eingriffsbefugnissen gemacht. Die Strafverfolgung drohe – so die Klage von FBI und BKA – an den technischen und rechtlichen Hürden der notwendigen elektronischen Überwachung des Cyberspace durch die Polizei zu scheitern.[1] Die Geheimdienste wiederum, allen voran die US-amerikanische NSA, begannen die neuen Möglichkeiten elektronischer Überwachung extensiv zu nutzen, vor allem im Ausland, wo ihr Informationshunger keine verfassungsrechtlichen Grenzen kennt.[2] Sicherheitsexperten begannen zugleich davor zu warnen, dass die Angriffe von Terroristen, Erpressern und Schurkenstaaten die Sicherheit der für das Funktionieren unserer Gesellschaften bedeutsamen Infrastruktur bedrohten.[3]

Zum Politikum wurde Cybercrime jedoch erst in dem Maße, wie das Internet nicht mehr nur die Angelegenheit einer kleinen Gemeinde von Computerfachleuten war, sondern sich zu einem wirtschaftlich bedeutsamen Raum entwickelte. Sicherheit und Ordnung des Cyberspace wurden zur Vorbedingung für das weitere Wachstum des Internet und der IT-Industrie.[4] Die Gesetzgebungsmaschine, mit deren Hilfe dem gesetzlosen Treiben Einhalt geboten werden soll, gewann Mitte der 90er Jahre rasch an Fahrt. Und da das Internet ein potentiell globales Kommunikationsnetz darstellt, wurde Cybercrime zugleich auf die Agenda internationaler Gremien gesetzt: vom Europarat über die G8 und die OECD bis hin zu öffentlich kaum bekannten Organisationen wie der World Intellectual Property Organization (WIPO) oder dem International Narcotics Control Board (INCB).

Beherrschendes Thema der nationalen und internationalen Expertengremien ist der Kontrollverlust von Polizei und Justiz, die – so die Annahme – mit den vorhandenen Instrumentarien der wachsenden Gesetzlosigkeit im Cyberspace nicht Herr werden können. Die Anonymisierung von Nachrichten ermögliche es häufig nicht, die kriminellen Urheber aufzuspüren. Gesetzliche Beschränkungen der Überwachung digitaler Kommunikation und Datenströme würden die Ermittlungen der Strafverfolgungsbehörden erschweren. Die Grenzenlosigkeit des Internet erlaube es transnational organisierten Verbrechern, ihre Tätigkeit vor nationalen Strafverfolgungsbehörden zu verstecken. Frei zugängliche Software ermögliche es Hackern und Crackern, selbst in gut gesicherte Systeme einzudringen und Datenströme anzuzapfen.[5]

Die mitgelieferten Fakten unterstützen die weitreichenden Forderungen der Sicherheitsfachleute nur in den wenigsten Fällen. Hinter den Steigerungsraten von 60-70%, die deutsche und US-amerikanische Kriminalstatistiken jährlich bei der Computerkriminalität registrieren, verbergen sich zunächst und vor allem Verstöße gegen das Urheberrecht oder Computerbetrug – gewöhnliche Eigentumskriminalität unter Zuhilfenahme des Internet, deren Verfolgung nur in den wenigsten Fällen neue Überwachungsbefugnisse erfordert. Es fehlt nach wie vor an systematischen, empirischen Belegen für Antworten auf die Frage, wo wer mit welchen Methoden das bestehende System der Strafverfolgung grundsätzlich in Frage stellt, wie Doris Dennig für die USA und Großbritannien festhielt.[6] Ebenso zutreffend ist diese Aussage für Deutschland, wo das Justizministerium zwar beim Max-Planck-Institut eine Studie zur Abhörpraxis nach altem Recht in Auftrag gegeben hat, zugleich jedoch mit den neuen §§ 100g und h der Strafprozessordnung erst einmal normative Fakten geschaffen hat.[7]

Mutmaßungen über die Ausbreitung des Cybercrime kritisch unter die Lupe zu nehmen, bedeutet nicht, die Augen vor der Wirklichkeit zu verschließen. Die BewohnerInnen des Netzes sind keine besseren BürgerInnen, umso weniger, als die globale Reichweite und der (zumeist illusionäre) Glaube, anonym agieren zu können, abweichendes Verhalten nur weiter befördern. Dass Individuen oder Gruppen den Raum neuer Möglichkeiten vermehrt für unmoralische, verwerfliche Ziele nutzen, ist kaum zu bestreiten. Cybercrime ist wie jede andere Form ungesetzlichen Verhaltens eine soziale Tatsache, wie Emile Durkheim vermerkt. Sie ist eine unvermeidbare Folge der Bemühen staatlicher Autoritäten, die Allgemeingültigkeit gesellschaftlicher Ordnung dadurch zu demonstrieren, dass abweichendes Individualverhalten verfolgt und negativ sanktioniert wird. Versuche der NetzbenutzerInnen, soziale Normen für das Verhalten von Individuen im Internet und virtuellen Gemeinschaften wie LamdaMoo zu formulieren, gab es früh. Zum Kriminalitätsproblem wurde der Cyberspace jedoch erst in den letzten Jahren, im Zuge der Bemühungen staatlicher Autoritäten, den zum anarchischen und rechtlosen Raum deklarierten Cyberspace zu ordnen und zu regulieren.

Die Formel vom Cybercrime als "Missbrauch" des Internet führt deshalb in die Irre. Sie verschleiert, dass der Ruf nach Kriminalisierung sich nicht von der Frage trennen lässt, wie der neu geschaffene Raum gesellschaftlicher Kommunikation politisch gestaltet und gebraucht werden soll. Hinter den moralischen Kreuzzügen gegen Kinderpornographie und "islamischen Terrorismus", dem Ruf nach Kriminalisierung der Softwarepiraten und der verstärkten elektronischen Überwachung verbergen sich Interessenkoalitionen privater und staatlicher Akteure, die mit aller Macht die zukünftige Ordnung der "public rights" und "public wrongs" im Cyberspace in ihrem Sinne zu gestalten suchen. Die Diskussion um Cybercrime dreht sich nicht um Gesetzlosigkeit und Missbrauch, sondern um die zukünftige Architektur des Raumes öffentlicher und privater Kommunikation im Internet.[8] Bei den transatlantischen Bemühungen, dem Kopieren von Musik, Bildern oder Software mit neuen Strafbestimmungen zu begegnen, geht es nicht primär um den Schutz der Urheberrechte, sondern vor allem um die Aushöhlung der "public domain" mit "open codes" und freien Zugangsmöglichkeiten zugunsten einer kommerziellen Dot.Com-Öffentlichkeit. Neue Strafnormen für die "Störung des Systems", das unerlaubte Eindringen in andere Systeme oder die Datenveränderung kriminalisieren zwar die Aktivitäten von Hackern und Crackern, bieten jedoch dem individuellen PC-Nutzer oder Systembetreiber kaum zusätzliche Sicherheit. Im Gegenteil: Die Kriminalisierung bedeutet zwangsläufig mehr "policing", mehr elektronische Überwachung – ein Prozess, der wie die "Internationale AG Datenschutz in der Telekommunikation" befürchtet, "zu einer erheblichen Absenkung des Datenschutzstandards für alle Nutzer von Telekommunikationsnetzen führen kann."[9]

Der symbolische Gebrauch des Strafrechts wälzt die Risiken und Kosten einer ungesicherten Infrastruktur auf die Endnutzer ab, während die Vertreiber notorisch unsicherer Software in den USA vom Gesetzgeber bewusst vor weitreichenden Schadensersatzklagen geschützt werden. Ansonsten sei der technische Fortschritt und das Wachstum der Branche, der Wirtschaft generell und damit auch der Gesellschaft insgesamt gefährdet. Die Gefahr eines neuen High-Tech-Terrorismus schließlich, der gezielt gegen die Infrastruktur der neuen Informationsgesellschaften gerichtet ist, diente in der Agenda der amerikanischen Regierung für den Ausbau der National Information Infrastructure schon 1994 dazu, die Sicherung der kritischen Systeme zum Gegenstand nationaler Sicherheitspolitik zu erheben und damit zum Objekt geheimdienstlicher und militärischer Einflussnahme. Mit dem, was als Cyberterrorismus antizipiert wird, haben die Terrorakte des 11. September zwar wenig zu tun, trotz aller (Des-)Informationen über die technische Omnipotenz bin Ladens. Den Forderungen nach einer stärkeren (elektronischen) Überwachung und Sicherung des Cyberspace haben die Terrorakte jedoch neuen Auftrieb gegeben.

Als empirische Beschreibung einer bestimmten Verbrechenswirklichkeit bleibt die Diskussion um Cybercrime, -terrorismus und -warfare dürftig. Beherrscht wird sie von der interessierten Antizipation drohender Übel, welche die anvisierte Sicherheitsarchitektur des Cyberspace legitimiert. Materielle Gestalt gewinnt Cybercrime nicht dort, wo Gefahren beschworen werden, sondern dort, wo die zur Abwehr dieser Gefahren erforderliche elektronische Überwachung normiert wird.

Cyberspace als elektronischer Überwachungsraum

Visionäre wie der frühere Präsident des Bundeskriminalamts Horst Herold haben früh erkannt, dass Datenverarbeitung und computergestützte Kommunikationstechnologien Strafverfolgungsbehörden und Geheimdiensten bislang unbekannte Möglichkeiten der Überwachung eröffnen. Heute erlauben die Digitalisierung und Bündelung aller möglichen Formen der Telekommunikation, die Überwachung und Kontrolle von Datenströmen in einem Maße auszudehnen, das vor 30 Jahren undenkbar war. Technisch lässt sich durch die Erfassung der Daten, die BürgerInnen bei der Nutzung ihrer Mobiltelefone und Kreditkarten, ihrer Computer und Webbrowser hinterlassen, das Netzwerk ihrer sozialen Kommunikation weitgehend rekonstruieren, ohne dass auch nur der geringste Versuch unternommen wird, den Inhalt der Kommunikation selbst zu überwachen. Programme wie Carnivore ermöglichen es, aus Datenpaketen, die für die überwachende Behörde relevanten Informationen herauszufiltern oder durch die gezielte Infiltrierung von Computern (durch "legale", staatlich genutzte Trojan Horse-Progamme wie DIRT oder Magic Lantern) den gesamten Datenverkehr einer Person zu überwachen.[10] Technisch wird der Cyberspace zu einem potentiell schrankenlosen Überwachungsraum, in dem die physische Separierung von Privaträumen und öffentlichen Räumen ebenso hinfällig wird wie die Trennung zwischen Form und Inhalt von Kommunikation.

Was technisch möglich ist – nämlich die Konstruktion des Cyberspace als sicherheitspolizeilichem Raum totaler elektronischer Überwachung – verstößt jedoch gegen Grundprinzipien einer freiheitlichen und demokratischen Organisation von Staat und Gesellschaft. DatenschützerInnen und die neuen Bürgerrechtsorganisationen der Netizens (NetzbürgerInnen) beharren deshalb auf einer Architektur des Cyberspace, die auf drei verfassungsrechtlichen Pfeilern beruht: auf der strikten rechtsstaatlichen Begrenzung staatlicher Eingriffe in die Rechte der BürgerInnen, auf einer weder staatlich noch durch private Monopole kontrollierten, demokratischen Öffentlichkeit und auf dem Schutz privater Kommunikation durch einen transparenten, das Recht auf informationelle Selbstbestimmung achtenden Datenschutz.

Die kritischen Einwände und Proteste von ExpertInnen und Bürgerrechtsgruppen haben die rapide Transformation des Cyberspace in einen elektronischen Überwachungsraum nicht aufhalten können. An der von Sicherheitsapparaten wie Regierungen seit der Entstehung moderner Staaten vertretenen Position, dass es keinen Bereich menschlicher Kommunikation geben darf, der dem Zugriff von Polizei und Geheimdiensten prinzipiell entzogen sein kann, rütteln nur wenige.[11] Strittig ist in der gesetzgeberischen Diskussion deshalb nicht, dass die neuen digitalen Telekommunikationsnetze der elektronischen Überwachung durch Sicherheitsapparate zugänglich sein müssen. Die Frage dreht sich vielmehr nur darum, wie, in welchen Fällen, in welchem Umfange, mit welchen rechtsstaatlichen Kontrollen dies geschehen soll.

Die Entscheidung, den Cyberspace durch vorgeschriebene Schnittstellen und "digital switches" überwachbar zu machen, geht einher mit einer massiven Ausweitung der Möglichkeiten von Nachrichtendiensten und Polizeien, Datenströme zu überwachen, zu filtern und zu speichern. Dies gilt für die USA wie für die BRD, trotz aller Beteuerungen (so auch der rot-grünen Bundesregierung im Falle der Telekommunikationsüberwachungsverordnung, TKÜV), dass von einer "Ausweitung" der polizeilichen und geheimdienstlichen Überwachungsbefugnisse und -voraussetzungen keine Rede sein könne. Die Eingriffsvoraussetzungen für intensive Einzelüberwachungen, deren Kosten in den USA mit durchschnittlich 50.000 Dollar angesetzt werden, und das Abhören oder Mitlesen von Kommunikationsinhalten sind in der Tat – zumindest vor dem 11.9. – kaum verändert worden.[12] Die Revolution vollzieht sich hinter der Fassade der alten Befugnisse, mit denen Telefongespräche abgehört, Briefe geöffnet und selbst intime Tagebucheintragungen strafprozessual verwertet werden dürfen. Was die amerikanischen Pen/Trap und Wiretap Statutes, die Novellierung des G10-Gesetzes, das Telekommunikationsgesetz (TKG) und die TKÜV verbindet, ist das Bemühen der Gesetzgeber, die Datenströme digitaler Kommunikation durch drei Maßnahmebündel umfassend und extensiv zugänglich zu machen.[13]

Das erste zielt auf die Durchsetzung einer abhörfreundlichen Architektur digitaler Netze bei den privaten Betreibern. So schreibt der amerikanische Communications Assistance Law Enforcement Act (CALEA), abgestuft nach der Intensität der Netznutzung, sowohl die bereitzustellenden Kapazitäten für simultan nutzbare Überwachungen (zwischen 48.000 und 52.000) als auch die Form des Zugriffs vor (kontinuierlich, online).[14]

Das zweite Bündel gesetzgeberischer Maßnahmen sichert den Zugriff der Sicherheitsbehörden auf die in der digitalisierten Telekommunikation in Hülle und Fülle anfallenden Daten rechtlich ab: angefangen von den Kundenkarteien bis hin zu Listen aller Anrufe/E-Mails etc. für eine bestimmte Adresse oder der Liste aller Aktivitäten eines bestimmten Telnehmers (Bestands- und Verkehrsdaten bzw. pen register bzw. track/trace). Die Unterscheidung zwischen einer bloßen Erfassung der Anrufe von einem und für einen Anschluss und dem eigentlichen Abhören, die im 20. Jahrhundert Überwachung begrenzte, verschwimmt in der digitalisierten Telekommunikation. Die alte Unterscheidung wird zum Einfallstor für die extensive Erhebung einer Vielzahl digitaler Daten, indem die Erhebung rechtlich als ein, verglichen mit der Überwachung von Kommunikationsinhalten, geringerer Eingriff interpretiert wird. Faktisch ist jedoch in vielen Bereichen (Webnutzung, Standortbestimmung von Mobiltelefonnutzern etc.) die Erfassung dieser "Verkehrsdaten" von einem Erfassen der Inhalte nicht zu trennen. Sie erlauben die Erstellung von Datenprofilen, deren Tiefe und inhaltliche Aussagekraft in vielen Fällen weit über das hinausgehen, was einE BürgerIn beim Abhören seiner/ihrer Gespräche hinzunehmen hat.

Ein drittes Maßnahmebündel schließlich erzwingt von den privaten BetreiberInnen, Daten für polizeiliche und geheimdienstliche Zwecke vorrätig zu halten – und zwar auch über den Zeitpunkt hinaus, wo dies aus betrieblichen Gründen erforderlich ist (siehe etwa die Heraufsetzung der Speicherfristen für Verbindungsdaten in der Telekommunikations-Datenschutzverordnung, TDSV).

Cyberspace: (nicht) überwachbarer Überwachungsraum?

Der extensive Zugriff auf eine Flut digitalisierter Daten hat die Möglichkeiten der Sicherheitsapparate, Bewegungsprofile zu erstellen, Data-mining oder Rasterfahndungen zu betreiben, erheblich verstärkt. Die Effektivität solcher Methoden hängt jedoch maßgeblich davon ab, inwieweit auch der Inhalt der von Verdachtspersonen oder potentiellen Informationsquellen generierten Datenströme abgehört oder gelesen werden kann. Die Frage, die Geheimdienste wie Polizeien gleichermaßen beunruhigt, ist aber gerade, ob die staatlichen Sicherheitsapparate die Segnungen der Digitalisierung von Informationen genießen können, ohne zugleich dem Alptraum nicht mehr dechiffrierbarer und damit überwachbarer digitaler Datenströme ausgesetzt zu sein. Das Konzept von zwei getrennten "Public Keys" für Chiffrierung und Dechiffrierung revolutionierte Mitte der 70er Jahre eine bis dahin im Arkanbereich der Geheimdienste betriebene Kryptografie. Da diese Methode prinzipiell jeder Privatperson die Möglichkeit einräumt, ihre Daten vor jedem fremden Zugriff zu schützen, wurde die Public Key-Kryptologie von den Geheimdiensten sofort als massive Bedrohung ihres Monopols wahrgenommen.[15] Zunächst bemühte sich die US-Regierung schlicht, die Verbreitung der Methode zu verhindern. Dann suchte sie die amerikanische Vorherrschaft im IT-Sektor dazu zu nutzen, den Export von Krypto-Software mit mehr als 64 Bits zu verbieten, die Anfang der 90er Jahre nur schwer oder nicht zu dechiffrieren waren. Zugleich bot sie national wie international einen "Escrowed Encryption Standard" an, d.h. einen geheimen, alleine den US-Sicherheitsbehörden bekannten Algorithmus, der als Verschlüsselung in einen nicht manipulierbaren Chip (Clipper) inkorporiert wird. Der Clipper-Versuch scheiterte am Desinteresse ausländischer Staaten, die sich nicht in die kryptografische Obhut der USA begeben wollten, – aber auch am Widerstand amerikanischer Computerexperten. Auch das Exportverbot erwies sich als Bumerang, indem es ausländischen Anbietern (wie Brokate aus der BRD) auf dem Feld starker Verschlüsselung Wettbewerbsvorteile verschaffte.

Faktisch handelt es sich bei der Frage, wie stark die Kryptografie für die Bürger im Netz sein darf, immer noch um ein theoretisches Problem. Selbst in den USA wird im Wiretap-Bericht des Jahres 2000 die Zahl der Fälle, in denen Strafverfolgungsbehörden den Inhalt überwachter Kommunikation nicht entschlüsseln konnten, mit Null angegeben.[16] Doch in dem Maße, wie die Netizens konkret erfahren, wie ungeschützt ihre private Kommunikation im Internet ist, wird auch deren Nachfrage nach Public Key-Verschlüsselungsprogrammen wachsen, die in einer für Laien handhabbaren Form angeboten werden.

Das FBI experimentiert deshalb bereits mit Trojan Horse-Programmen (Magic Lantern), die es ihm erlauben, Passwort und Algorithmus beim Nutzer selbst abzufragen. Und es mehren sich die Meldungen, dass die amerikanische Regierung durch Kooperation mit und Druck auf die Anbieter von Kryptoprogrammen (wie Pretty Good Privacy) und Anti- Virus Software (wie McAfee) die Unsichtbarkeit ihrer Überwachung sicherzustellen sucht.[17]

Mit dem Kampf gegen das Verbrechen hat der technologische Wettkampf zwischen verfeinerter elektronischer Überwachung und Kryptografie wenig zu tun. Verschlüsselung spielt nicht nur hier und heute keine Rolle für die Bekämpfung von Cybercrime. Auch in der Zukunft wird die Existenz starker Kryptoprogramme, wie Duffie/Landau plausibel begründen, nur von untergeordneter Bedeutung für Zwecke der Strafverfolgung sein.[18]

Der Streit um die Kryptografie ist nur verständlich als Kampf um Vorherrschaft im Cyberspace. Mit ihrem Clipper Chip diente sich die amerikanische Regierung als vertrauensvoller Wahrer der Sicherheit des Cyberspace und damit aller Netizen an – im Austausch für die Möglichkeit, als Verwahrer des Schlüssels Daten dort lesen und abhören zu können, wo ihr dies aus Gründen der (nationalen) Sicherheit erforderlich erscheint. Der erste Versuch eines Staates, sich als "trustfull third party" zu etablieren, scheiterte. Weitere Versuche werden folgen, durch die USA, die EU und andere lokale Leviathane. Wer über den Code verfügt, übt Herrschaft aus im Cyerspace, national und international. Wer keine Schlüssel hat, büßt Macht ein.

Albrecht Funk ist Mitherausgeber von Bürgerrechte & Polizei/CILIP und lebt derzeit in Pittsburgh (USA).