Die Einführung der 20-Prozent-Regelung erfolgte mit der Novellierung des G 10-Gesetzes vom 26. Juni 2001 – also noch vor den für weitere Gesetzesverschärfungen folgenreichen Ereignissen vom 11. September. Der Überarbeitung vorausgegangen war die bereits genannte Entscheidung des Bundesverfassungsgerichts vom 14. Juli 1999. Durch sie wurde der Gesetzgeber verpflichtet, das G 10 in Teilen nachzubessern. Das geschah auch: Zu den Nachbesserungen allerdings traten Erweiterungen, die über den Regelungsauftrag des Gerichts hinausgingen. Hierzu zählte die neu aufgenommene 20-Prozent-Grenze. Diese war das Resultat einer einfachen wie beflissentlichen Addition. Doch der Reihe nach:
Seinerzeit hatte das Bundesverfassungsgericht positiv vermerkt, dass die strategische Fernmeldekontrolle – entsprechend der damals geltenden Gesetzeslage – auf den internationalen nicht leitungsgebunden Telekommunikationsverkehr (Richtfunk und Satellit) begrenzt war und dessen quantitativer Anteil „etwa zehn Prozent des gesamten Fernmeldeaufkommens“ betrug. Da die Leitwegebestimmung nach Kapazität und Auslastung automatisch erfolge, so das Gericht weiter, könne zudem weder von den Kommunikationsteilnehmern noch vom BND vorhergesehen werden, ob ein Kommunikationsvorgang leitungsgebunden oder nicht leitungsgebunden verlaufe. Ergo sei „eine flächendeckende Erfassung jedenfalls des internationalen Fernmeldeverkehrs nicht zu besorgen“ – daher eine tatsächlich Erfassung individueller Kommunikationsverkehre mit dem Ausland „nur selten der Fall“. (1 BvR 2226/94, 1 BvR 2420/95, 1 BvR 2437/95, Rz. 222/223)
Zum Zeitpunkt der Urteilsfindung war nach den Angaben von Bundesregierung und BND die Ausweitung der Überwachung auf E-Mails noch angestrebt (ebd., Rz. 90, 230). Eine vollautomatische Auswertung anhand von Suchbegriffen war in der Praxis nur im Telex-Bereich möglich, bei dem seit Oktober 1997 einbezogenen Telefax-Verkehr bloß partiell und im Telefonverkehr, mangels ausreichend entwickelter Spracherkennungsverfahren, überhaupt nicht. Zudem gelangten täglich 15.000 Telekommunikationsverkehre (hochgerechnet auf 365 Tage: 5.475.000 Verkehre) in die Umwandlungsgeräte des Nachrichtendienstes. Davon unterlagen 700 dem Geltungsbereich des G 10, enthielten 70 Suchbegriffe und waren 20 relevant. 14.000 Verkehre täglich unterlagen nach Rechtsansicht des BND der Aufgabenzuweisung aus § 1 des Gesetzes über den Bundesnachrichtendienst (BNDG). Sprich: Ein Anteil von ca. 93 Prozent der Verkehre wurde der keiner (gesonderten) Kontrolle unterliegenden Überwachung der Ausland-Ausland-Telekommunikation zugerechnet.
Zwei Jahre später wurden laut der amtlichen Begründung zur Neufassung des G 10 (BT-Drs. 14/5655, S. 18) täglich bereits ca. 100.000 Telekommunikationsverkehre (hochgerechnet auf 365 Tage: 36.500.000 Verkehre) in die Empfangsanlagen des BND geleitet und der Wortdatenbank zugeführt. Davon unterlagen etwa 750 dem Geltungsbereich des G 10, enthielten 40 Suchbegriffe und waren 3 relevant. Der Anteil des Ausland-Ausland-Verkehrs – hier der Vollständigkeit halber ergänzt – betrug etwa 99 Prozent. Schon damals galt demnach, was eingangs für den Zeitraum 2001–2011 (Teil I) insgesamt festgestellt wurde: Ein Mehr an Überwachung führt nicht zu einem Mehr an Trefferrelevanz.
Dennoch wurde nun die Ausweitung der Überwachungsverfügbarkeit in Angriff genommen. Unter Darbietung einer nach zeitgenössischen wie heutigen Maßstäben abenteuerlichen Argumentation postulierte die von SPD und Grünen gestellte Bundesregierung: Es sei „nicht beabsichtigt, den Umfang der bisherigen Kontrolldichte zu erweitern“. Die neuartige Technologie der Paketvermittlung (Packet Switching) geböte es aber, die Obergrenze in der Erfassungskapazität für die strategische Fernmeldekontrolle auf 20 Prozent heraufzusetzen. Als Beleg dazu wurde das Beispiel eines Telefaxes angeführt, dessen Anfang über einen Lichtwellenleiter, dessen Mittelteil über Satellit und dessen Ende über Koaxialkabel geroutet würden.
An die Wand gemalt wurde das Gespenst einer mit Anzahl der Pakete exponentiell abnehmenden Wahrscheinlichkeit, alle Pakete zusammenfügen zu können. Oder auf das Beispiel des aus drei Paketen bestehenden Telefax bezogen: Da die Pakete erst kurz vor ihrem Ziel – „etwa an der letzten Vermittlungsstelle vor dem Empfänger“ – wieder zusammengesetzt würden, wäre die strategische Fernmeldekontrolle ohne das Aufspüren der einzelnen Pakete auf den unterschiedlichen Übertragungswegen „sinnlos und unverwertbar“ (BT-Drs. 14/5655, S. 17).
Mit dieser Erzählung war nicht nur ein Bild der Leitwegebestimmung und Paketvermittlung gezeichnet, dass der bestehenden physikalischen Netzwerkarchitektur tatsächlich nicht entsprach. Hinter dem Kabelverzweiger oder dem Hauptverteiler der Vermitllungsstelle begann und beginnt eben kein dezentralisiertes Kommunikationsnetz ohne Hierarchien, in dem die Leitwegeberechnung vollständig ungebündelt, hierarchisch unstrukturiert und technisch wie ökonomisch ineffizient erfolgt. Auch wurde unterschlagen, dass ein Abgreifen aller Pakete an der richtigen Stelle, etwa dem Kern- oder Backbonenetz bzw. den Internet-Austauschknoten (CIX), faktisch möglich ist. Ferner wurden den 10 Prozent aus der geheimdienstlichen Praxis in der Überwachung der zuvor allein nicht leitungsgebundenen Kommunikation (Richtfunk und Satellit) weitere 10 Prozent – sozusagen additiv für die leitungsgebundene Kommunikation (Glasfaser- und Koaxialkabel) – aufgeschlagen und rechtlich auf 20 Prozent der gesamten elektronischen Kommunikation ausgedehnt.
All das erfolgte vor dem Hintergrund, dass, wie in der Gesetzesbegründung festgehalten, die internationale Telekommunikation bereits seinerzeit „durchgängig digital“ (ebd.) übertragen wurde. Lediglich die PDS-Fraktion bezweifelte zu jener Zeit – der Beratungsverlauf im Bundestag kann hier nachgelesen werden – die behaupteten technischen Konsequenzen des Packet Switching. In einem Änderungsantrag (BT-Drs. 14/5998) forderte sie eine Reduzierung der Kapazitätsschranke auf 5 Prozent. Vor dem Hintergrund, dass die leitungsgebundene Kommunikation schon damals um ein Vielfaches höher lag als die nicht leitungsgebundene, sollte auf diese Weise die vom Bundesverfassungsgericht akzeptierten 10 Prozent in der Praxis der Überwachungsverfügbarkeit rechtlich fixiert werden. Auch das war, wie noch zu zeigen sein wird, ein durchaus blauäugiger Wert.
Zunächst aber zur Dimension des Zahlenwerts 20 Prozent: Die gesetzlich zur Kooperation verpflichteten Telekommunikationsanbieter haben nach § 27 Abs. 2 der Telekommunikationsüberwachungs-Verordnung (TKÜV) an den technischen Übergabepunkten in ihren Einrichtungen eine vollständige Kopie der Telekommunikation auszuleiten. Das bedeutet: Nicht einzelne Verkehre werden mittels Suchbegriffen ausgewertet, sondern der Rohdatenstrom im Rahmen der Kapazitätsgrenze (BT-Drs. 17/9640, S. 5). Potenziell ist somit an 6 von 30 Tagen eines Monats eine vollständige Überwachung der elektronischen Kommunikation möglich. Das entspricht einer kompletten Erfassung aller Meta- und Inhaltsdaten über diesen Zeitraum oder einem doppeltem „Full take“, wie er von einem System wie XKeyscore – hier wiedergegeben nach den technischen Darlegungen aus dem PRISM-Bericht Caspar Bowdens für das Europäische Parlament (The US surveillance programmes and their impact on EU citizens‘ fundamental rights, S. 13/14) – aufgezeichnet und ausgewertet werden kann.
Die Bundesregierung hat bereits bestätigt, dass ein „Full take“ und eine Nutzung von XKeyscore „im Rahmen und in den Grenzen des Artikel 10-Gesetzes zulässig“ sei (BT-Drs. 17/14560, S. 23). Im Unklaren ließ sie, ob das auch für eine Speicherung von Daten – XKeyscore hält die Daten drei Tage lang in einem Zwischenspeicher vor – gelten würde. Ebenfalls bestätigte die Bundesregierung jüngst, dass das System vom BND seit 2007 in der Außenstelle Bad Aibling eingesetzt wird und seit 2013 in zwei weiteren, nicht näher genannten Außenstellen getestet wird (ebd., S. 21). In diesem Fall ließ sie offen, ob in den beiden weiteren Außenstellen XKeyscore im Rahmen der Überwachung der Ausland-Ausland-Kommunikation oder des G 10 erprobt wird. Zudem gestand sie ein, dass dem seit 2007 im Einsatz befindlichen System bei Einführung keine Unterrichtungsrelevanz beigemessen wurde. Eine Unterrichtung der G 10-Kommission erfolgte erst am 29. August 2013, eine Unterrichtung des Parlamentarischen Kontrollgremiums am 16. Juli 2013 (BT-Drs. 17/14739, S. 27).
Noch allerdings erscheint ein solches Kontrollszenario als Zukunftsmusik. Eine Überwachung in den Dimensionen von „Full take“ und 20 Prozent bedürfte einer technischen Aufrüstung und zusätzlicher Finanzmittel für Personal sowie Rechen- und Serverkapazitäten – etwa in Form jener 100 Mio. EUR, die nach Spiegel-Informationen für ein sogenanntes „Technikaufwuchsprogramm“ des BND vorgesehen sind. Gegenwärtig ist offenbar der Umfang der Erfassung vor allem durch die vorhandenen technischen und personellen Kapazitäten begrenzt, nicht durch rechtliche Beschränkungen. Hans de With, Vorsitzender der G 10-Kommission, teilte denn auch in einem Taz-Interview mit, dass die Kapazitätsgrenze derzeit nicht ausgeschöpft werde, der BND mithin „nur 5 Prozent“ der von und nach Deutschland geführten internationalen Verkehre erfasse.
Ein näherer Blick auf die Dimension des Zahlenwerts 5 Prozent allerdings fördert auch hier Erstaunliches in Hinsicht auf die mögliche Überwachungsintensität zu Tage. Wird der gesamte in Deutschland anfallende Netzwerkverkehr nach Protokollen und Protokollklassen differenziert, entfiele auf E-Mail (SMTP, IMAP, POP3), Voice over IP (VoIP) und Instant Messaging (IM) ein Anteil von zusammen 4,71 Prozent. Die E-Mail-Protokolle allein betrachtet ergäben, bezogen auf den Zeitraum 2008/2009, einen Anteil von 3,69 Prozent am Gesamtverkehr. Das jedenfalls ist einer Studie zur Messung und Analyse des nationalen und globalen Internet Traffic zu entnehmen, die von Ipoque, einem Hersteller von Technologien zu Deep Packet Inspection (DPI) aus Leipzig, durchgeführt wurde (Internet Study 2008/2009, S. 2 u. 13).
Die Zahlen sind in Ermangelung von Vergleichswerten sicherlich mit Vorsicht zu betrachten. Sie deuten aber an, dass selbst eine Kapazitätsgrenze von 5 Prozent eine flächendeckende Erfassung der Individualkommunikation ermöglichte. Grundsätzlich gilt: Eine jegliche Kapazitätsgrenze bleibt willkürlich gewählt, solange sie nicht in ein Verhältnis gesetzt wird zu der Wahrscheinlichkeit einer tatsächlichen Erfassung individueller Kommunikationsverkehre. Dem Diktum des Bundesverfassungsgerichts aus dem Jahr 1999, eine Erfassung sei nur selten der Fall, kann daher heute nicht mehr gefolgt werden. Zugleich sind aus dem Voranstehenden vier Mindestanforderungen für eine effektive technische Kontrolle der strategischen Fernmeldeüberwachung abzuleiten.
Eine solche müsste erstens sicherstellen, dass in Beschränkungsmaßnahmen nach § 5 G 10 tatsächlich eine Bereinigung um innerdeutsche Verkehre stattfindet. Zweitens müsste gewährleistet werden, dass eine physikalische oder logische Trennung zwischen jenen Erfassungssystemen besteht, die bezogen auf eine Kapazitätsschranke nach den Deliktsbereichen aus § 5 G 10 operieren, und solchen, die prozentual unbeschränkt zugreifen können – etwa in der Überwachung der Ausland-Ausland-Kommunikation oder auch in sogenannten Individualmaßnahmen nach § 8 G 10. Drittens müsste verifiziert werden, dass die Integrität des informationstechnischen Erfassungssystems jederzeit gegeben ist – indem beispielsweise von Außen nicht auf die Protokolldatei zugegriffen werden kann, das Nachladen von Programmcode zum Ausführen nicht genehmigter Funktionen ausgeschlossen bleibt und auch keine Hintertüren zu einem Zugriff auf die Erfassungssysteme bestehen.
Dazu ist zuallererst eine regelmäßige, unabhängige Begutachtung der eingesetzten Hard- und Software notwendig und unabdingbar. Andernfalls ist nicht überprüfbar, was an den technischen Übergabepunkten geschieht. Entsprechend würde nicht kontrolliert, sondern dem BND vertraut. Aus den gleichen Gründen ist viertens die Überwachung der Ausland-Ausland-Kommunikation dem G 10 zu unterwerfen. Inzwischen gesteht die Bundesregierung selbst ein, dass „an beliebigen Orten der Welt Kommunikationen mit Deutschlandbezug, darunter auch innerdeutsche Verkehre, auftreten“ können (BT-Drs. 17/14739, S. 14). Damit ist auch in der technologischen Praxis eine Trennung in Kommunikation, die dem Grundrecht des Brief-, Post- und Fernmeldegeheimnis aus Art. 10 GG unterworfen ist, und solcher, für die das nicht gilt, obsolet geworden.
Die Frage schließlich, ob die G 10-Kommission in der Lage ist, dieses Aufgabenspektrum zu meistern, kann vorab beantwortet werden. Die Antwort lautet: Nein! Zu letzterem hat sie keine rechtliche Befugnis, für die Bewältigung der vorangehenden drei Aufgaben ist sie personell, finanziell und technologisch nicht aufgestellt.
tl;dr
Die rechtlichen Voraussetzungen zur Überwachung von 20 Prozent der gesamten elektronischen Kommunikation wurden vor 9/11 geschaffen, sie ermöglichen einen „Full Take“; selbst die tatsächlich ausgeschöpfte Kapazität von 5 Prozent reicht aus, um die gesamte E-Mail-Kommunikation zu erfassen.
Teil I: Sinkende Trefferrelevanz bei stark steigender Netzüberwachung
Teil II: Zahlen außer Kontrolle
[…] Teil III: 20 Prozent von allem […]
[…] Teil III: 20 Prozent von allem […]
[…] Erfassungssystemen gewährt. Doch ist eine effektive technische Kontrolle – nach Kriterien wie in Teil III skizziert – aufgrund der personellen Zusammensetzung, aber auch von fehlenden finanziellen […]