Der IT-Sicherheitsblog

Das Bundesverfassungsgericht (BVerfG) hatte durch den Beschluss vom 27. Mai 2020 (veröffentlicht am 17. Juli 2020; Bestandsdatenauskunft II) den § 113 TKG und die korrespondierenden Paragrafen (§ 22a Bundespolizeigesetz, § 8d Bundesverfassungsschutzgesetz, § 4b MAD-Gesetz, § 7 Absatz 5 - 9, § 15 Absatz 2 - 6 Zollfahnungsdienstgesetz, § 4 BND-Gesetz und die §§ 10 und 40 Bundeskriminalamtgesetz) für verfassungswidrig erklärt. Nach dem sog. „Doppeltürmodell“ des BVerfG muss es für jede Berechtigung einer Behörde, Daten zu erheben, auch eine Zulässigkeit der Gegenseite (hier TK-Dienste Anbieter) zum Liefern der Daten geben.

Dies führte dazu, dass der Bundespräsident das am 18. Juni 2020 in 3. Lesung vom Bundestag beschlossene Gesetz zur Bekämpfung des Rechtsextremismus und der Hasskriminalität wegen verfassungsrechtlicher Bedenken nicht ausgefertigt hat. Dieses Gesetz sollte u.a. die Regelungen des § 113 TKG in entsprechender Form in das Telemediengesetz einbringen und ist damit von dem Urteil des BVerG unmittelbar betroffen.

Die Bundesregierung hat nun den Entwurf eines „Gesetzes zur Anpassung der Regelungen über die Bestandsdatenauskunft an die Vorgaben aus der Entscheidung des Bundesverfassungsgerichts vom 27. Mai 2020“ in des Gesetzgebungsverfahren eingebracht, um das Urteil des BVerfG umzusetzen. Am 13. Januar steht dieser Gesetzentwurf zur ersten Beratung auf der Tagesordnung des Bundestages.

Auskünfte dürfen nur einzelfallbezogen und zweckgebunden erteilt werden und es bedarf "begrenzender Eingriffsschwellen, die sicherstellen, dass Auskünfte nur bei einem auf tatsächliche Anhaltspunkte gestützten Eingriffsanlass eingeholt werden können", wie es in der Pressemeldung des BVerfG vom 17. Juli 2020 heißt.

Meine Synopse zu diesen Regelungen stellt die aktuell geltende Fassung des § 113 TKG neben die geplanten neuen Regelungen aus der BT-Drs. 19/25294 und verglicht sie außerdem mit den Regelungen, die das Gesetz zur Bekämpfung des Rechtsextremismus und der Hasskriminalität in das TMG einfügen sollte. Auch wird der Vergleich mit den neuen geplanten Regelungen gezogen. Der Vollständigkeit sind auch die Regelungen des geplanten Telekommunikations-Telemedien-Datenschutz-Gesetz (TTDSG, Referentenentwurf vom 14.7.2020) enthalten. Diese werden sicherlich an die neuen Regelungen angepasst.

Auch wenn die Datenschutzreglungen des TKG und des TMG in dem TTDSG zusammengeführt werden sollen, bleibt eine Asymmetrie. Der § 113 bleibt im TKG, die entsprechenden Regelungen im § 15a TMG sollen aber in das TTDSG wandern.

Auskünfte dürfen nach TKG-E und TMG-E nur erteilt werden an:

• Behörden, die für die Verfolgung von Straftaten und Ordnungswidrigkeiten zuständig sind

• Behörden, die für Abwehr von Gefahren für die öffentliche Sicherheit oder Ordnung zuständig sind.

• das Bundeskriminalamt

• das Zollkriminalamt

• die Verfassungsschutzbehörden des Bundes und der Länder

• den Militärischen Abschirmdienst

• den Bundesnachrichtendienst

Im Bereich der Telemeiden sind auch Auskünfte an Behörden der Zollverwaltung und die nach Landes-recht zuständigen Behörden, um beim Vorliegen tatsächlicher Anhaltspunkte für Schwarzarbeit oder illegale Beschäftigung den Auftraggeber zu ermitteln, zulässig.

Nach § 113 Abs. 1 Satz 2 TKG dürfen „Daten, mittels derer der Zugriff auf Endgeräte oder auf Speichereinrichtungen, die in diesen Endgeräten oder hiervon räumlich getrennt eingesetzt werden, geschützt wird“, herausgegeben werden. Hiermit sind eindeutig Passworte gemeint. Voraussetzung für die Herausgabe sind die Regelungen des § 113 Abs. 3 TKG. Zur Frage, ob die Passwörter vor der Herausgabe entschlüsselt werden müssen gibt es im TKG keine Aussage.

Nach dem § 15a Abs. 1 Satz 2 TMG-E dürfen „Passwörter oder andere Daten, mittels derer der Zugriff auf Endgeräte oder auf Speicher-einrichtungen, die in diesen Endgeräten oder hiervon räumlich getrennt eingesetzt werden, geschützt wird“ auf Basis des § 15a Abs. 2 TMG-E nicht herausgeben werden. Die Herausgabe von Passworten ist in § 15b TMG-E geregelt. Die Herausgabe von „Passwörtern und anderen Zugangsdaten“ ist auf die „Verfolgung besonders schwerer Straftaten nach § 100b Absatz 2 der Strafprozessordnung“ (§ 15b Abs. 2 Nr. 1 TMG-E) und die „Abwehr einer konkreten Gefahr für Leib, Leben oder Freiheit einer Person [oder] für den Bestand des Bundes oder eines Landes“ (§ 15b Abs. 2 Nr. 2 TMG-E) beschränkt. Die Herausgabe muss außerdem in beiden Fällen durch ein Gericht angeordnet werden.

In § 15b Abs. 3 Satz 2 TMG-E wird eindeutig klargestellt, dass „Passwörter und andere Zugangsdaten“ nicht entschlüsselt werden müssen: „Eine Verschlüsselung der Daten bleibt unberührt.“

Dass die rechtliche Barriere für die Herausgabe von Passwörtern im TKG niedriger ist, als in den geplanten Regelungen im TMG ist verwunderlich. Hier würde man sich eine größere Synchronität der Regelungen wünschen.