Einleitung
Der deutsche Staat und seine europäischen Partner haben ein umfassendes System zur Überwachung, Zuordnung und Kontrolle von Online-Aktivitäten aufgebaut und bauen es weiter aus. Dieses Papier beschreibt die wahrscheinlichen technischen Fähigkeiten dieses Systems: die eingesetzten oder in Entwicklung befindlichen Technologien, die rechtlichen Befugnisse, mit denen sie betrieben werden, und die Gesamtkapazität, die sie in ihrer Gesamtheit schaffen.
Der folgende Bericht ist inferenziell. Er stützt sich auf öffentlich zugängliche Quellen – Gesetzgebung und Gesetzesentwürfe, staatlich finanzierte Forschungsprogramme, Beschaffungsunterlagen, veröffentlichte technische Standards, Nachrichtenberichte und die bekannten Fähigkeiten kommerziell erhältlicher Überwachungs- und Analysetools – um ein Bild dessen zu zeichnen, was das System vermutlich leisten kann. Keine einzelne Quelle ist ausreichend; das Bild entsteht aus der Kombination. Wo das Papier eine Fähigkeit beschreibt, bedeutet dies, dass die technische Infrastruktur existiert oder aufgebaut wird, dass die rechtliche Befugnis zu ihrer Nutzung besteht oder angestrebt wird und dass die operative Nutzung dem öffentlich Bekannten entspricht. Es bedeutet nicht, dass die Fähigkeit in jedem Detail durch offizielle Offenlegung bestätigt wurde.
Dieses Papier behandelt rechtliche Einschränkungen bei der Nutzung dieser Technologien nicht als bedeutende Begrenzungen der Systemfähigkeiten. Das deutsche Recht enthält weitreichende Ausnahmen für nachrichtendienstliche und polizeiliche Nutzung von Techniken, die durch private Akteure strafbar wären, und die Geschichte der einschlägigen Gesetze – jeweils vom Gerichtshof aufgehobene und in modifizierter Form wieder eingeführte Fassungen – deutet darauf hin, dass rechtliche Grenzen in diesem Bereich in der Praxis verhandelbar sind. Was der Staat darf, ist von der Frage zu unterscheiden, wozu er technisch in der Lage ist; dieses Papier behandelt Letzteres.
Das Papier befasst sich auch nicht mit außergerichtlicher Durchsetzung, dem Einsatz künstlicher Intelligenz bei der Überwachung oder automatisierten Entscheidungsfindung, noch mit Umgehungstechnologien und neuen Alternativen, die Teile dieser Infrastruktur unwirksam machen könnten. Jeder dieser Aspekte wird in nachfolgenden Papieren behandelt. Ziel hier ist es nicht, eine präzise Grenze zwischen dem Möglichen und dem Unmöglichen zu ziehen, sondern einen Gesamtüberblick über die wahrscheinliche Ausgestaltung des Systems zu geben.
Das Ausmaß des Systems ist insgesamt weitreichend:
- Kommunikation. Massenhafte Abhörmaßnahmen, Vorratsdatenspeicherung und Kompromittierung von Endgeräten.
- Identität. IP-zu-Teilnehmer-Auflösung und verpflichtende Identitätsbindung.
- Standort. Mobilfunk, WLAN, Videoüberwachung, automatisierte Nummernschilderkennung und Funkfrequenzüberwachung.
- Inhalt. Abschaltungen von Plattformen, Provider-Filterung, DNS-Blocking, und Suchmaschinen-Deindexierung.
- Finanzen. Transaktionsüberwachung und Kontensteuerung auf Ebene von PSD2, MiCA und Geldwäschevorschriften.
- Reichweite. Grenzüberschreitende Datenübertragung und extraterritoriale Vollstreckung auf Grundlage von EU-Instrumenten.
Die gleichen Fähigkeiten zur Sammlung, Zuordnung und Kontrolle dienen allen staatlichen Zielen unterschiedslos. Ein Werkzeug, das für die Suche nach Drogenhändlern gebaut wurde, kann – ohne jede technische Veränderung – Dissidenten finden; eine Datenbank, die zur Aufdeckung von Steuerbetrug eingerichtet wurde, kann ebenso gut politische Gesinnung erfassen. Die Architektur ist nicht nach Zweck getrennt.
Sammlung und Überwachung
Die erste und bekannteste Schicht der Architektur besteht aus passiver und verpflichtender Datenerhebung: Erfassung von Kommunikation im Transit und Speicherung von Metadaten im Ruhezustand.
Massenhafte Kommunikationsüberwachung
Die massenhafte Kommunikationsüberwachung in Deutschland ist primär Aufgabe des Bundesnachrichtendienstes (BND), des Bundesnachrichtendienstes im Ausland, auf Grundlage des Artikel 10-Gesetzes. Erfassungspunkte sind große Internet-Knotenpunkte wie DE-CIX in Frankfurt, Fernverkehrsleitungen und die europäischen Landepunkte internationaler Unterseekabel. Der technische Betrieb an diesen Standorten erfolgt mittels Selektor-basiertem Filtern: Der gesamte Datenstrom wird mit Identifikatorlisten auf Leitungsebene verglichen, übereinstimmende Datenströme werden gespeichert und weiterverarbeitet, der Rest verworfen. Das Ausmaß der Erfassung, die verwendeten Selektoren und die Speicherfristen sind geheim.
Vorratsdatenspeicherung
Die Vorratsdatenspeicherung ist konzeptionell von der Überwachung zu unterscheiden. Nach dem Prinzip der Vorratsdatenspeicherung sind Telekommunikations- und Internetanbieter verpflichtet, Verkehrs- und Standortmetadaten – Teilnehmeridentität, Gesprächsdaten, IP-Zuordnungsprotokolle, Funkzellen-Verbindungen und ähnliches – für eine gesetzlich vorgeschriebene Zeit zu speichern, in der Strafverfolgungsbehörden darauf zugreifen können. Die deutsche Umsetzung hat eine umstrittene Rechtsgeschichte: Mehrere Fassungen des Gesetzes wurden durch das Bundesverfassungsgericht und den Europäischen Gerichtshof aufgehoben bzw. in modifizierter Form wieder eingeführt. Die zugrunde liegende Fähigkeit und der politische sowie regulatorische Druck zum Erhalt dieser bleiben über alle Runden hinweg bestehen.
Zuordnung und Identität
Die Sammlungsebene erfasst Daten. Die Attribution-/Identitätsschicht verknüpft die Daten mit natürlichen Personen. Für die meisten Zwecke alltäglicher Strafverfolgung ist die Zuordnung der bindende Engpass, da abgefangener Datenverkehr oder gespeicherte Metadaten für eine Anklage wenig Wert haben, solange sie keiner namentlichen Person zugeordnet werden können.
IP-zu-Teilnehmer-Auflösung
Der Hauptmechanismus, mit dem eine IP-Adresse oder ein Online-Identifier auf einen namentlich bekannten Teilnehmer zurückgeführt wird, ist die Bestandsdatenauskunft. Die einschlägigen Vorschriften der Strafprozessordnung und des Telekommunikationsgesetzes ermächtigen die Strafverfolgung, von Internetanbietern die Herausgabe von Teilnehmerdaten zu einer Netzadresse zu verlangen. Dies ist das alltägliche technische Bindeglied zwischen einer Online-Aktion – einem Beitrag, einer Nachricht, einer Dateiübertragung – und einer bestimmten Person, und es ist der Mechanismus, mit dem die große Mehrheit der Strafverfahren zu Online-Äußerungen oder -Handlungen eingeleitet wird. Ebenso macht er die Vorratsdatenspeicherung nutzbar, indem gespeicherte Metadaten bedarfsweise auf identifizierbare Personen rückführbar sind.
Physische Zuordnung
Physische Zuordnung bezeichnet die Fähigkeit, den physischen Standort, die Bewegung oder Identität einer Person oder eines Geräts unabhängig von Netzwerkdaten festzustellen. Dazu zählen:
- Funkfrequenzüberwachung und Laufzeit-basierte Geolokalisierung von Sendern, mit der sich Geräte auf physischer Ebene lokalisieren lassen – unabhängig von MAC- oder IMSI-Wechsel auf höheren Protokollebenen.
- IMSI-Catcher, die als gefälschte Basisstationen Mobilfunk-Identifikatoren erfassen und Verschlüsselung teilweise zurückstufen können.
- Videoüberwachung und automatisierte Kennzeichenerkennung sowohl im urbanen Raum als auch auf Autobahnen, eingespeist in Datenbanken des Bundeskriminalamts (BKA) und der Landespolizeibehörden.
- War-Driving und Funkfrequenz-Fingerabdruckdatenbanken, sowohl kommerziell (vom WiGLE-Typ) als auch staatlich erhoben, die Standorte beobachteter WLAN-Access-Points und Bluetooth-Geräte erfassen.
Die praktische Bedeutung physischer Zuordnung liegt in der Querschnitt-Verknüpfung: Die Kombination von Netzwerk-, Mobilfunk-, Funkfrequenz- und Video-Daten macht es möglich, Ausweichstrategien auf Einzelebene, die jeweils für eine Schicht funktionieren würden, zu umgehen.
Identitätsbindung
Identitätsbindung bezeichnet die strukturelle Einschreibung von Individuen in Systeme, die ihre Online-Aktivitäten an eine verifizierte Rechtsidentität koppeln. Das geschieht auf zwei Ebenen.
Auf Betriebssystem- und Wallet-Ebene sind der deutsche Personalausweis mit Online-Ausweisfunktion und die europäische Digital Identity Wallet nach eIDAS 2 die Hauptinstrumente: Beide bieten eine kryptografisch verifizierte Identität, die Online-Diensten vorgelegt werden kann.
Auf Plattformebene erfüllen Echtnamenspflicht (Klarnamenpflicht in der deutschen Diskussion) sowie Altersverifizierungsanforderungen nach Jugendmedienschutz-Staatsvertrag (JMStV) und neuen EU-Regelungen eine ähnliche Bindungsfunktion, allerdings über kommerzielle Intermediäre statt staatliche Nachweise. Beide Ebenen haben legitime Ziele: Betrugsprävention, Verbraucherschutz, Authentifizierung von Geschäften, Jugendschutz. Beide Ebenen beschränken durch den Einsatz ihrer Technologie zugleich die praktische Anonymität der Nutzer.
Software-Attestierung
Software-Attestierung ist eine weitere Komponente der Attributionsebene. Der EU Cyber Resilience Act (CRA), die NIS2-Richtlinie und sektorspezifische Vorgaben setzen Anforderungen an die Sicherheitsmaßnahmen von Produkten mit digitalen Bestandteilen im europäischen Markt. Im Wortlaut schreibt der CRA kein flächendeckendes Signieren aller Software explizit vor. Die Kombination aus CRA, NIS2 und angrenzenden Plattformmaßnahmen – Google Play Entwickler-Verifikation, Apple-Notarisierung, das Attestierungs-Framework der eIDAS-2-Wallet sowie das neue Zertifizierungs- und Konformitätsregime des Bundesamts für Sicherheit in der Informationstechnik (BSI) – schafft aber die technische und regulatorische Infrastruktur, mit der das verpflichtende Signieren aller Software auf Massenmarkt-Geräten zukünftig möglich wird. Ob dieser Schritt umgesetzt wird, ist politisch; die Infrastruktur wird bereits geschaffen.
Endgeräte-Kompromittierung
Die in diesem Abschnitt beschriebenen Fähigkeiten verwenden Techniken, die, angewandt von Privaten, nach deutschem Recht (insbesondere nach dem Strafgesetzbuch zu unbefugtem Datenzugriff und Abfangen) schwere Straftaten darstellen. Ihre Nutzung durch den Staat beruht auf gesetzlicher Legitimation, unterscheidet sich technisch aber nicht von der privaten Anwendung.
Der Bundestrojaner
Der deutsche Staat betreibt eine Fähigkeit, in der Presse meist als Bundestrojaner bezeichnet, zur verdeckten Installation von Software auf Zielgeräten. Rechtlich werden zwei Varianten unterschieden: Quellen-Telekommunikationsüberwachung (Quellen-TKU), die laufende Kommunikation am Endgerät vor Verschlüsselung mitliest, und Online-Durchsuchung, die breiter gespeicherte Daten auf kompromittierten Geräten durchsucht. Technisch beruhen beide auf der Ausnutzung von Software-Schwachstellen, teils nicht offenbarten („Zero-Day“), um Kontrolle über vom Nutzer verwaltete Hardware zu gewinnen. Das Vorgehen ist von kriminellen Einbrüchen nicht unterscheidbar, weder in der Methode noch oft im benutzten Exploit; das Unterscheidungsmerkmal ist der richterliche Beschluss.
Client-Side Scanning
Client-Side Scanning folgt derselben Logik: Auf dem Gerät des Nutzers installierte Software durchsucht dessen Daten ohne dessen Zustimmung. Der europäische Chatkontrolle-Vorschlag – formal die Verordnung zur Bekämpfung des sexuellen Missbrauchs von Kindern (CSAR) – würde Anbieter von Ende-zu-Ende-verschlüsselten Messenger-Diensten verpflichten, Nachrichteninhalte am Gerät vor der Verschlüsselung mit Datenbanken verbotener Inhalte abzugleichen. Die EU-Expertengruppe „Going Dark“ empfiehlt weitergehende Zugriffsanforderungen an Gerätehersteller, Plattformen und Messenger-Anbieter. Deutschlands Haltung ist gemischt: Bundesbehörden befürworten die Vorschläge teilweise, während die Bundesregierung sie in Ratsverhandlungen zeitweise bremst. Die technische Natur des Client-Side Scanning, falls es verpflichtend würde, entspricht Software, die auf dem Nutzergerät ohne dessen Zustimmung Inhalte überwacht – funktional nicht unterscheidbar von kommerzieller Spyware, der Unterschied ist allein die Rechtsgrundlage.
Missbrauch von Zertifikatsstellen
Das TLS-Ökosystem beruht auf einer Menge Zertifizierungsstellen, deren Signaturen von Browsern und Betriebssystemen vertraut werden. Ein Staat, der eine Zertifizierungsstelle in seiner Jurisdiktion zur Ausstellung beliebiger Zertifikate zwingen oder dafür sorgen kann, dass solche Zertifikate von genutzten Browsern standardmäßig akzeptiert werden, erlangt die Fähigkeit, Man-in-the-Middle-Angriffe auf sonst verschlüsselte Verbindungen durchzuführen. Der eIDAS-2-Rahmen enthält Vorgaben zu Qualified Website Authentication Certificates (QWACs), die genau aus diesem Grund im Zentrum öffentlicher Kontroversen standen. Browserhersteller und Bürgerrechtsorganisationen kritisieren, diese Bestimmungen schüfen genau diese staatliche Einflussmöglichkeit. Der finale Text wurde auf Druck der Browseranbieter entschärft, beseitigte das Risiko aber nicht grundsätzlich. In Kombination mit der beschriebenen Software-Attestierung erlaubt Kontrolle sowohl über Zertifikatsaustellung als auch Attestierung einem Staat prinzipiell das Mitlesen aller verschlüsselten Kommunikation, die Geräte in seiner Hoheit verlässt oder erreicht.
Inhaltskontrolle und Unterdrückung
Während die vorherigen Abschnitte sich auf den Zugang zu Daten beziehen, geht es hier darum, was Nutzer überhaupt lesen, erreichen oder veröffentlichen dürfen. Die beschriebenen Fähigkeiten sind selten verdeckt: Sie arbeiten mit öffentlichen Regeln, Blocking-Hinweisen und amtlichen Takedown-Anordnungen.
DNS-Manipulation
DNS-Manipulation durch das Einspeisen falscher Antworten, statt ehrlicher Rückgabe von Blockseiten, ermöglicht es Internetanbietern, Nutzer unbemerkt auf Ersatzseiten umzuleiten, ohne dass der Block sichtbar wird. Als Inhaltskontrollmechanismus ist dies eine Art Man-in-the-Middle-Angriff auf das DNS-Protokoll; zur Überwachung oder Verkehrsumleitung ist es dieselbe Technik, für die staatliche Akteure in anderen Ländern lange kritisiert werden.
Filterung auf Provider-Ebene
Filterung auf Provider-Ebene ist die umfassendste Form. Internetanbieter erhalten Sperranordnungen von Gerichten, Regulierungsbehörden oder – in einer Grauzone – informell koordinierte staatliche Wünsche, denen inzwischen routinemäßig freiwillig gefolgt wird. Filterlisten und Blockseiten werden über die Infrastruktur des Providers und immer mehr auch über Update-Mechanismen von kundenseitigen Geräten wie vom Provider gelieferte Router verbreitet. Fortgeschrittene Implementierungen integrieren auch Überwachungsfähigkeiten in diese CPE-Geräte und ermöglichen einen Einblick in das Heimnetzwerk des Nutzers – ohne dessen Mitwirkung.
DNS-Blocking
Fordert der Browser eines Nutzers eine gesperrte Domain an, liefert der DNS-Server des Providers eine Antwort, die den Browser auf eine Informationsseite weiterleitet: Der Nutzer sieht, dass eine Sperre erfolgt ist. Bei der in der vorherigen Sektion beschriebenen DNS-Manipulation hingegen erfolgt die Umleitung stillschweigend, ohne sichtbare Spur. Beide Techniken nutzen dieselbe Infrastruktur – die Providerkontrolle über DNS-Antworten –, eine ist sichtbar, die andere verdeckt.
Plattformbasierte Filterung
Plattformbasierte Filterung erfolgt durch große Inhaltsplattformen selbst und basiert auf dem deutschen Netzwerkdurchsetzungsgesetz (NetzDG) sowie dem späteren EU Digital Services Act (DSA). Diese Normen erzwingen gesetzliche Reaktionszeiten für das Entfernen gemeldeter illegaler Inhalte. In der Praxis bedeutet die Kombination von kurzen Fristen und hohen Meldezahlen, dass die große Mehrzahl der Löschungen ohne individuelle richterliche Prüfung erfolgt, auch wenn interne Beschwerdemöglichkeiten bestehen.
Ebenfalls umfasst ist das Deindexieren durch Suchmaschinen, wodurch Inhalte nicht gelöscht, aber den Standard-Zugriffswegen entzogen werden. Auch gehören dazu Meldeabläufe, bei denen Plattformen bestimmte Inhalte direkt ans BKA übermitteln.
Beschlagnahme von Hosting und Infrastruktur
Deutsche Strafverfolgungsbehörden können heimische Hosting-Anbieter wie Hetzner, IONOS oder STRATO verpflichten, auf Anordnung von Staatsanwaltschaft oder Gericht Daten herauszugeben oder Inhalte zu entfernen, sowie im Rahmen strafrechtlicher Ermittlungen physisch Server auf deutschem Boden beschlagnahmen. Domainintervention ist durch Kooperation von DENIC und anderen Registraren bei rechtlicher Anordnung möglich. Während Providerfilterung Datenströme im Transit betrifft und Plattformfilterung Drittanbieterinhalte, betrifft Beschlagnahme von Hosting direkt die Speicherebene und zwingt jene, die die Infrastruktur kontrollieren.
Kontrolle der Finanzwege
Die Finanzeinheit ist relevant, weil jede Online-Aktivität mit ökonomischer Komponente – Spenden, Abo-Zahlungen, Kauf von Privacy-Tools, Betrieb unabhängiger Publikationen – über sie läuft und damit den dort geltenden Kontrollen unterliegt.
Die zweite Zahlungsdiensterichtlinie (PSD2), ihr erwarteter Nachfolger (PSD3 und die Zahlungsdiensteverordnung), SEPA und der geplante digitale Euro, sowie die AML/KYC-Pflichten aus der Markets in Crypto-Assets Regulation (MiCA) und der EU-Geldwäscheverordnung schaffen gemeinsam ein Kontrollregime, in dem Transaktionshistorien, Kontosalden, Gegenparteien und Zahlungsmetadaten für Aufsichtsbehörden zugänglich sind und so auch für Polizei und Verwaltung. Kontopfändungen und Verweigerung von Zahlungsdiensten wirken als faktische Durchsetzungsmaßnahmen gegen missliebige Aktivitäten, wo Strafverfahren zu aufwendig oder langwierig wären.
Blockchain-Überwachung erweitert diese Regime auf Kryptowährungen. Das BKA und die Frankfurter Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) nutzen kommerzielle Analysetools – vor allem TRM Labs und Chainalysis – für Adressclustering, Akteurszuordnung und Nachverfolgung von Geldflüssen über Börsen. Die Fähigkeiten sind praxisreif: Die Kingdom-Market-Abschaltung (2023), Operation Final Exchange (2024, Beschlagnahme von 47 No-KYC-Börsen), und Movie2k.to (Nachverfolgung eines alten Bitcoin-Trails bis zur Beschlagnahme von fast 50.000 BTC) beruhten auf On-Chain-Analyse und Durchsuchungsanordnungen zu Bestandsdaten. MiCA und EU AMLR verpflichten Krypto-Dienstleister zur Transaktionsüberwachung und Verdachtsmeldungen an die BaFin, was in Strafanzeigen mündet. Die bekannte Lücke: Privacy-Kryptowährungen wie Monero oder Zcash wurden bisher in keinem Fall in Deutschland rückverfolgt, und auch Cross-Chain-Bridges und dezentrale Börsen sind mit heutigen Mitteln kaum zuverlässig attribuierbar.
Grenzüberschreitender Datenaustausch und extraterritoriale Reichweite
Europol und seine Internet Referral Unit koordinieren Inhaltsmeldungen EU-weit. Das Schengener Informationssystem (SIS II) stellt Datenbanken zu Personen und Gegenständen von Interesse zur Verfügung. Der Prüm-Rahmen regelt den gegenseitigen Zugriff auf biometrische Daten und KFZ-Zulassungen. Die EU e-Evidence-Verordnung ermöglicht unmittelbare Herausgabe- und Sicherungsanordnungen an Anbieter in anderen Mitgliedstaaten, unter Umgehung klassischer Rechtshilfewege. Der Digital Services Act gewährt EU-Regulatoren bestimmte Zugriffs- und Kontrollbefugnisse gegenüber Dienstleistern mit Nutzern in der EU, unabhängig vom Sitz des Anbieters.
In Summe bedeutet dies: Der Zugriff des deutschen Staates auf Inhalte, Metadaten und Identitätsdaten ist nicht an die Landesgrenze gebunden; Daten innerhalb der EU sind grundsätzlich so erreichbar wie inländische, und bestimmte Daten außerhalb der Union sind durch extraterritoriale Regelungen zugänglich, deren genaue Reichweite Gegenstand juristischer Auseinandersetzungen bleibt.
Das BSI als institutioneller Überbau
Mehrere der beschriebenen Ebenen laufen in einer Bundesbehörde zusammen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die Prüfbehörde für Kryptoprodukte im regulierten Sektor, die technische Instanz für Cyber Resilience Act und NIS2 in Deutschland, Zertifizierer des eID-Ausweises, Mitgestalter des europäischen eIDAS 2-Wallets und zentraler IT-Sicherheitskoordinator des Bundes. Es ist de facto das Zugangsorgan für die Zulassung von Software und Hardware im regulierten deutschen Sektor.
Das BSI ist nicht unabhängig wie ein Verfassungsgericht. Es ist eine nachgeordnete Behörde des Bundesministeriums des Innern (BMI), das auch das BKA und die Bundespolizei beaufsichtigt. Dieselbe institutionelle Achse prüft Kryptoprodukte, bewilligt Attestierungsrahmen, definiert die technischen Standards für Identitätsbindung – und berichtet an das Ministerium, dessen Polizei und Innensicherheit am direktesten von Einschränkungen dieser Schutzmaßnahmen profitieren. Zertifizierung, Attestierung und Identitätsinfrastruktur werden von einer Behörde administriert, deren Berichtslinie zu jenen führt, deren operative Interessen den Schutzinteressen der Bürger widersprechen, die diese Zertifikate eigentlich schützen sollen.
Gesamtkapazität
Als Gesamtsystem ermöglichen die beschriebenen Fähigkeiten gegen Otto-Normalnutzer, die keine besonderen Schutzmaßnahmen ergreifen, Folgendes:
Der Inhalt der meisten Kommunikation ist erreichbar. Massenhafte Überwachung an Internet-Knotenpunkten, Einflussnahme auf TLS-Zertifikate, Melde- und Takedown-Vorgaben auf Plattformen, Gerätekompromittierung auf richterliche Verfügung und – bei den in Entwicklung befindlichen Fähigkeiten – verpflichtendes Client-Side-Scanning decken die Hauptwege ab, wie Kommunikationsinhalte staatlich einsehbar werden. Starke Ende-zu-Ende-Verschlüsselung mindert dieses Risiko für technisch versierte Nutzer, aber die Kombination aus Endgerätekompromittierung und dem aufkommenden Client-Side-Scanning adressiert genau diese Lücke.
Jede Online-Aktion unter einem Alltags-Abonnement ist einer Person zuordbar. Aus Bestandsdatenauskunft (IP-zu-Teilnehmer-Zuordnung) und Vorratsdatenspeicherung folgt, dass jetzt durchgeführte Aktionen binnen Stunden zugeordnet werden können und monatealte Aktionen rückwirkend, solange die Speicherfrist nicht abgelaufen ist.
Standort und Bewegung sind durchgängig rekonstruierbar. Mobilfunk, WLAN, Videoüberwachung, KFZ-Automatik und Funkfrequenzüberwachung schaffen in Kombination eine Schichtkorrelation, die MAC- oder IMSI-Wechsel und gängige physische Anonymisierungsmethoden nutzlos machen.
Finanztransaktionen und -beziehungen sind einsehbar. PSD2 und das darauf aufbauende Regime machen Konto- und Transaktionsdaten sowie Gegenparteien für Aufsichtsbehörden und Behörden zugänglich. MiCA und EU-AML-Vorgaben erheben dieses Niveau auf Krypto-, und der geplante digitale Euro würde dieses Niveau auf Bargeldtransaktionen heben, falls er wie geplant umgesetzt wird.
Die Reichweite des deutschen Staates endet nicht an der Landesgrenze. Durch e-Evidence, SIS II, Prüm, Europol und DSA sind Daten in anderen EU-Staaten faktisch genauso erreichbar wie im Inland, und bestimmte Kategorien außerhalb der Union sind durch globale Vorgaben im Zugriff – wenn auch teils umstritten.
Das Fazit: Für Bürger mit Standardgeräten und Software verfügt der deutsche Staat über die stehende Fähigkeit, Kommunikation, Bewegung, Beziehungen und Finanzen auf Abruf zu rekonstruieren. Die Gruppe, die dies zuverlässig umgehen kann, ist klein, untypisch und auf Werkzeuge, Modelle und Disziplin angewiesen, die sie außerhalb der Standardsysteme platzieren.
Schlussfolgerungen
Die hier beschriebene Überwachungsarchitektur erscheint umfassend. Doch das beschriebene System ist das entworfene System – das System, wie es der Staat sich wünscht. Offengelassen bleibt, ob es gegen entschlossene Akteure tatsächlich funktioniert, und die Antwort, die nachfolgende Papiere vertieft ausführen, lautet: In wesentlichen Punkten ist dies nicht der Fall.
Eine Reihe aktueller und aufkommender Technologien – Ende-zu-Ende-Verschlüsselung, Onion-Routing, Mesh-Netzwerke, Software-Defined Radio, Commodity-Mikrocontroller jenseits der Attestierungsinfrastruktur, privacy-wahrende Kryptoprotokolle, dezentrale Infrastruktur und physische Alternativen zum überwachten Netz – können jeden Bestandteil der hier beschriebenen Architektur umgehen. Ein Folgepapier wird die Kostenstruktur dieser Auseinandersetzung im Detail analysieren; bislang scheint, dass die Umgehungskosten schneller sinken als die Überwachungskosten steigen und neue staatliche Fähigkeiten üblicherweise binnen weniger Jahre von Commodity-Gegenmaßnahmen entschärft werden.
Die strukturellen Kosten des Systems akkumulieren sich derweil unabhängig von konkretem Durchsetzungserfolg. Die Infrastruktur wird zum hochattraktiven Einbruchsziel, bietet Erpressungspotenzial für alle mit sensiblen Profilen, und untergräbt die Unabhängigkeit der Institutionen, die sie eigentlich kontrollieren sollten. Diese Kosten treffen gerade jene Bereiche, an deren Funktionieren der Staat selbst Interesse hat – Banken, Medizin, Anwälte, Unternehmen, Journalismus, Notfallkommunikation – und steigen mit der Reichweite der Erhebung.
Die These, die nachfolgende Papiere prüfen und vertreten werden, ist: Die Hauptwirkung dieses Systems ist die Kühlung legitimer Aktivitäten gewöhnlicher Bürger, während die eigentlich adressierten entschlossenen Akteure das System routinemäßig umgehen. Wenn das stimmt, ist die angemessene Politik gezielte Strafverfolgung mit klassischen Mitteln statt Infrastruktursurveillance, deren Kosten auf der zu schützenden Bevölkerung lasten.
Dieses Dokument wurde automatisch übersetzt. Es können Fehler enthalten sein. Die maßgebliche Fassung ist die englische Version.