Cyber-Security - Adlas - Magazin für Sicherheitspolitik

RECHTSRAHMEN
Verlängerung der Speicherung ist auf Wunsch einer Vertragspartei möglich.
Außerdem haben die Vertragsstaaten nationalstaatliche Möglichkeiten für eine
Echtzeitüberwachung nicht nur der Verkehrs- beziehungsweise Verbindungsdaten
– also wer wann mit wem kommuniziert – sondern auch der Inhalte
dieser Kommunikation zu schaffen. Die Konvention ermöglicht es außerdem,
dass von Dienstanbietern eine ganze Reihe persönlicher Informationen –
beispielsweise Namen, Adresse, Telefonnummer und Kontoverbindungsdaten
– über ihre Kunden an die Strafverfolgungsbehörden herausgegeben werden
müssen. Und dies bereits beim bloßen Anfangsverdacht einer Straftat.
Der Bundesbeauftragte für Datenschutz, Peter Schaar, sieht diese Entwicklung
kritisch: »Gerade im Kampf gegen den Terrorismus werden die Grenzen
immer mehr verlagert. Wir gehen mit hoher Geschwindigkeit in Richtung gläsernen
Bürger. Ich fürchte um unseren Rechtsstaat«.
Der »Hackerparagraf« ist ein
zweischneidiges Schwert.
Neben diesen grundsätzlichen Einwänden stellte sich zudem schnell heraus,
dass auch die Umsetzung der Konvention in nationales Recht der Unterzeichnerstaaten
nicht völlig problemlos verlaufen würde und zum Teil erhebliche
Unterschiede festzustellen waren. So haben sich beispielsweise die
USA, welche die Cybercrime-Konvention 2006 ratifizierten, einem Zusatzprotokoll
des Abkommens nicht angeschlossen, das unter anderem die Verbreitung
rassistischer Propaganda unter Verbot stellt. Denn dann müssten
die US-Strafverfolger gemäß der Konvention auch gegen eigene Bürger ermitteln,
selbst wenn die ihnen zur Last gelegte Tat nach nationalem US-
Recht nicht strafbar wäre. Dies ist einer der Gründe, warum gerade Staaten
wie die USA, aber auch Russland oder China erhebliche Vorbehalte dagegen
haben, anderen Staaten in solchen Fällen im Sinne der Konvention Unterstützung
bei der Strafverfolgung zu gewähren.
In anderen Fällen schoss man bei der Umsetzung der Konvention zum Teil
weit über das Ziel hinaus – was dann nicht mehr, sondern weniger digitale
Sicherheit zur Folge hatte. So wurde beispielsweise in Deutschland mit dem
im Mai 2007 im Bundestag mit großer Mehrheit verabschiedeten »Hackerparagrafen«
– Paragraf 202c des Strafgesetzbuches, Vorbereiten des Ausspähens
und Abfangens von Daten – Artikel 6 der Konvention in nationales
Recht umgesetzt. Das Gesetz stellt unter anderem die Herstellung und die
Verbreitung so genannter »Hackertools« unter Strafe. Sicherheitsexperten
kritisierten das Gesetz bereits im Vorfeld, da es nicht klar definiert, welche
Software genau in Zukunft illegal sein sollte. Es wurde außer Acht gelassen,
dass Software zum »Ausspähen und Abfangen von Daten« gleichzeitig auch
dazu genutzt werden kann, die Sicherheit eines Systems zu testen um dann
Angriffe besser abwehren zu können. Die Unterscheidung zwischen Hackertool
und Sicherheitswerkzeug kann in der Realität daher eigentlich erst in
Verbindung mit der Intention des Nutzers getroffen werden. Da das Gesetz
dies nicht ausdrücklich vorsieht, sahen sich IT-Sicherheitsexperten in
Deutschland mit Inkrafttreten des Gesetzes ihrer Arbeitsmittel beraubt – oder
mit einem Bein im Gefängnis. Ein Beleg für die Problematik dieser nationalen
Umsetzung der Konvention war die unmittelbar nach Inkrafttreten 2007 wegen
Verstoß gegen Paragraf 202c erstattete Strafanzeige – gegen das BSI.
Zudem zeigt die Entwicklung seit der Verabschiedung der Konvention,
dass die Kriminalität im Netz trotz allem weiter ansteigt. Ein reines Verbot
von »Hackertools« schreckt die eigentlichen Kriminellen offenbar nicht ab.
Wichtige Faktoren, welche Cyberkriminalität oft überhaupt erst ermöglichen
– beispielsweise zum Teil gravierende Sicherheitsmängel in Netzen und Systemen
oder der leichtsinnige Umgang vieler Nutzer mit persönlichen Daten
– werden von der Konvention überhaupt nicht berührt. Wie in fast allen Feldern
der Kriminalitätsbekämpfung wäre allerdings Vorbeugung das vermutlich
wirksamste Mittel – beispielsweise durch die gesetzliche Verpflichtung
von Netzbetreibern und Softwareherstellern auf Sicherheitsmindeststan-
>>
ADLAS 1/2013 ISSN 1869-1684 28