Die Wechselbeziehungen zwischen Freiheit und Sicherheit wurden seit der Antike im-mer wieder erörtert. Das heißt aber nicht, dass zu dieser Thematik schon alles gesagt wurde. Vielmehr spiegelt sich im Verhältnis von Freiheit und Sicherheit die gesellschaftspolitische Entwicklung und der zivilisatorische Wandel des jeweiligen Gemeinwesens, so dass sich immer wieder neue Fragestellungen ergeben. Gegenwärtig stehen in diesem Zusammenhang der Einfluss der modernen Technik im Schutz- und Gewährleistungsstaat und die Rolle, die hierbei dem Datenschutz zukommt, im Mittelpunkt des Interesses. Einen Beitrag zur laufenden Diskussion leisten die Vorträge, die am 10. November 2007 anlässlich der 52. Jahrestagung der Deutschen Sektion der Internationalen Juristen-Kommission e.V. gehalten wurden und hiermit in schriftlicher Form einem breiten Publikum vorgelegt werden.
Zurück zur Übersicht der Fachthemen
I. Bermuda-Dreieck
Am 5. Dezember 1945 flog eine aus fünf Maschinen bestehende Schwadron Bomber der US-Marine von Florida in Richtung auf die Bahamas ab und verschwand spurlos. Dieser berühmte Flug 191 war der Ursprung der Legende vom Bermuda-Dreieck,2 in dem Menschen, Schiffe und Flugzeuge auf rätselhafte Weise verloren gehen.3 Den Eindruck eines unerklärlichen Verlustes gewinnt man auch bei den gegenwärtigen Diskussionen um Freiheit, Sicherheit und Datenschutz. Die Freiheit soll, so befürchten die einen, weltweit durch einen ausgerasteten US-Präsidenten und bei uns durch einen übereifrigen Bundesinnenminister bedroht sein. Von Sicherheit, sagen die anderen, könne keine Rede mehr sein, wenn praktisch hinter jeder Straßenecke islamistische Bombenleger und international agierende Menschen- und Drogenhändler lauern. Was den Datenschutz angeht, behaupten die einen, sei der gläserne Bürger bereits zum Plastinat mutiert. Die anderen bezeichnen den Datenschutz als perversen Grundrechtsschutz. Wenn an diesen Befunden auch nur ein Körnchen Wahrheit ist, haben wir es mit einem Grundrechteschwund zu tun, der der Erklärung bedarf.
II. Methodische Vorbemerkung
Freiheit, Sicherheit und Datenschutz sind staatsbezogen.
III. Freiheit
IV. Sicherheit
Die Freiheitsgrundrechte kollidieren mit den kollektiven und individuellen Sicherheitsbelangen. Ob es ein unbenanntes „Grundrecht auf Sicherheit“ gibt, ist umstritten.12 Was das Recht auf Leben und körperliche Unversehrtheit angeht, ist zwar neben dem Eingriffsverbot gegenüber der Staatsgewalt ein Schutzanspruch durch die Staatsgewalt anerkannt.13 Auch ein Teilnehmer an einer Massenveranstaltung hat jedoch kein subjektives Recht, dass ein sich im Zielanflug befindliches Renegade-Flugzeug mit unschuldigen Passagieren zu seiner Rettung abgeschossen wird.14 Das spricht gegen die Annahme eines (durchsetzbaren) Grundrechts auf Sicherheit.
2. Staatsziel Sicherheitsgewährleistung
Aus dem staatlichen Gewaltmonopol und dem Wesen der Verfassungsstaatlichkeit, zu der sich das Grundgesetz bekennt, folgt aber jedenfalls ein Staatsziel der Sicherheitsgewährleistung im Sinne einer objektiven Pflicht des Staates zur Abwehr von Gewalttätigkeiten Dritter. In zahlreichen Entscheidungen hat das Bundesverfassungsgericht ausgeführt, das menschliche Leben stelle innerhalb der grundgesetzlichen Ordnung einen Höchstwert dar. Demgemäß folge aus Art. 2 Abs. 2 Satz 1 in Verbindung mit Art. 1 Abs. 1 Satz 2 GG die umfassende, im Hinblick auf den Wert des Lebens besonders ernst zu nehmende Pflicht des Staates, jedes menschliche Leben zu schützen, es vor allem vor rechtswidrigen Angriffen von Seiten anderer zu bewahren.15 Das galt schon immer. Unstreitig ist die Bereinigung von Konflikten zwischen den Bürgern die zentrale Staatsaufgabe, die traditionell unter den Begriff der Gefahrenabwehr subsumiert wird.16 Das aktuelle Recht der Gefahrenabwehr geht zurück auf die Rechtsprechung des PrOVG, das den Zusammenhang von Gefahrenabwehr und Gefahrenbegriff herstellte und die Gefahr als solchen Zustand der Dinge definierte, „welcher die Besorgnis begründet, dass ein schädigendes Ereignis eintreten werde“.17 Die „Besorgnis“ war von Anfang an als Risikokomponente im Rahmen der prognostischen Gefahrenabwehr angelegt, geriet aber in Vergessenheit und wurde erst in den 70er Jahren des vergangenen Jahrhunderts reaktiviert und nunmehr als Risikovorsorge der Gefahrenabwehr zur Seite gestellt.18 Dem Zeitgeist wird man wohl Rechnung tragen und sich mit Schlagworten wie „Risikogesellschaft“19, „Umweltstaat“20, „Vorsorgestaat“ oder gar „ökologischem Verfassungsstaat“21 abfinden müssen. Problematisch wird es gleichwohl, wenn man den staatlichen Schutzanspruch bereits an dem Begriff des Risikos festmacht;22 denn in jedem Menschen steckt ein potentielles Risiko für seine Mitmenschen.
3. Untermaßverbot
Während bei Eingriffen in die Freiheit der Grundsatz der Verhältnismäßigkeit ein Übermaßverbot impliziert, d. h. nur der geringst mögliche Eingriff zugelassen wird, ist umgekehrt beim Schutz des menschlichen Lebens das Übermaßverbot zu beachten. Der Staat hat die größtmögliche Sicherheit für Leben und Gesundheit zu gewährleisten. Im Umweltschutz gilt es nicht nur, Grenzwerte von schädlichen Immissionen einzuhalten, sondern alles Machbare zu untenehmen, die Immissionen zu reduzieren. Ehe man Flugzeuge abschießt, muss man alles tun, um zu verhindern, dass Terroristen überhaupt in die Flugzeuge gelangen. Ist das geschehen, ist freilich der Schießbefehl zur Abwehr einer Katastrophe durch übergesetzlichen Notstand gedeckt.
V. Datenschutz
Technische Entwicklungssprünge rufen in Deutschland Angst hervor. Mit der Entwick-lung der Großrechnertechnologie zu Beginn der 1970er Jahre kam die Vorstellung vom „gläsernen Menschen“ auf. Das war damals noch reine Utopie. Dennoch stieß die Datenerhebung nach dem Volkszählungsgesetz 1983 auf massiven Widerstand. Im Rechtsstreit um dieses Gesetz nutzte das Bundesverfassungsgericht die Gelegenheit, die verfassungsrechtlichen Grundlagen des Datenschutzes umfassend darzustellen. Im Urteil vom 15. Dezember 198323 schuf es das Recht auf „informationelle Selbstbestimmung“, das die Befugnis des Einzelnen gewährleistet, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen.24 Das Recht auf informationelle Selbstbestimmung wurde freilich nicht schrankenlos gewährleistet. Insbesondere muss der Einzelne Einschränkungen dieses Rechts hinnehmen, die im überwiegenden Interesse anderer oder der Allgemeinheit liegen. Solche Beschränkungen bedürfen jedoch einer gesetzlichen Grundlage, aus der sich normenklar25 die Voraussetzungen und der Umfang der Beschränkungen ergeben und die dem hier besonders zu beachtenden Grundsatz der Verhältnismäßigkeit entspricht.26 Darauf aufbauend entwickelte sich in Deutschland ein ausgefeiltes Datenschutzrecht. Das benötigen wir auch dringend, weil sich seither das Datenumfeld gravierend verändert hat. Die Informationsgesellschaft ist Wirklichkeit geworden.27 In der Informationsgesellschaft besteht die Möglichkeit, automatisiert Informationen zu beschaffen und zu verarbeiten, um „Profile“ zu erstellen (Kundenprofil, Wählerprofil, Täterprofil, Gesundheitsprofil, Bewegungsprofil), die in ihrer Verknüpfung ein genaues Persönlichkeitsbild abgeben. Die individuelle Privatheit wird dadurch praktisch aufgehoben. Der Staat beansprucht zunehmend die Berechtigung, unbegrenzt solche Verknüpfungen vorzunehmen. Dem steht in Deutschland und in der EU das Datenschutzrecht entgegen.
Datenschutzrecht gibt es auf Verfassungs- und gemeinschaftsrechtlicher Ebene sowie in einfachgesetzlichen und untergesetzlichen Konkretisierungen. Dabei ist das bereichsspezifische vom subsidiären
2. Stoßrichtung
Was die Stoßrichtung des Datenschutzes angeht, ist wieder eine Dreiecksbeziehung festzustellen, nämlich der defensive Datenschutz, der offensive Datenschutz und der Datenzugangsschutz.28 In Relation zur ersten Dreieckbeziehung kann man auch die Abwehrkomponente, die Schutzkomponente und die Zugangskomponente unterscheiden.
a) Abwehrkomponente Beim Datenschutz geht es zunächst um die (defensive) Abwehrkomponente („Freiheitskomponente“). Da ein derartiges Grundrecht auf Datenschutz im Grundgesetz nicht ausdrücklich genannt ist, hätte das Bundesverfassungsgericht allein auf die allgemeine Handlungsfreiheit zurückgreifen können. Das tat es aber nicht, sondern stützte das „Recht auf informationelle Selbstbestimmung“ auf Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG. So ging das Gericht schon bisher vor, wenn es das Persönlichkeitsrecht gegenüber der allgemeinen Handlungsfreiheit aufwerten wollte. Dogmatisch war die Kombination des am weitesten beschränkbaren Grundrechts des Art. 2 Abs. 1 GG mit der nach h. M. unbeschränkbaren Menschenwürde eine heikle Angelegenheit. Dass sich eine Gleichung 0%+100%:2= 50% Beschränkbarkeit verbietet, liegt auf der Hand. Vielmehr ist methodisch wie folgt vorzugehen: Die allgemeine Handlungsfreiheit ist Bestandteil eines Wertesystems des Grundrechts. Dieses nimmt in Art. 2 Abs. 1 GG seinen Ausgang und markiert lediglich den Grundbereich unbenannter und benannter Freiheitsrechte, die sich auf einer gleitenden Skala auf Art. 1 Abs. 1 GG zubewegen. Je mehr man sich der Menschenwürde nähert, desto strenger sind die Voraussetzungen für die Einschränkung, desto größer wird die Begründungslast für die Beschränkung.29 Das ändert indessen nichts daran, dass es sich bei der informationellen Selbstbestimmung um ein beschränkbares Grundrecht handelt. Generell bedürfen solche Beschränkungen einer gesetzlichen Grundlage, aus der sich ihre Voraussetzungen und ihr Umfang klar und für die Betroffenen erkennbar ergeben. Ferner sind die Datenschutzgrundsätze zu beachten. Eingriffe, die hiergegen verstoßen, sind verfassungswidrig.
b) Schutz- und Sicherheitskomponente Nach der Rechtsprechung verpflichtet das informationelle Selbstbestimmungsrecht die staatlichen Organe, dem Einzelnen Schutz davor zu bieten, dass private Dritte ohne sein Wissen und ohne seine Einwilligung Zugriff auf seine Individualität kennzeichnenden Daten nehmen.30 Dabei spielt die Sicherheit der Kommunikation eine immer größere Rolle. Nicht der Staat bedeutet die größte Gefahr für die informationelle Selbstbestimmung, sondern die Neugier privater Dritter, denen umfassende Möglichkeiten des Datenzugriffs zur Verfügung stehen. Hier tritt die Schutzkomponente auf den Plan. Der Staat muss unbefugte Datenzugriffe Dritter verhindern. Der Pflicht des Staates korrespondieren aber grundsätzlich keine individuellen Ansprüche auf staatliches Einschreiten im Einzelfall.
c) Zugangskomponente
Der moderne Datenschutz ist ambivalent. Er dient nicht nur dazu, persönliche Daten vor den sprunghaft wachsenden technischen Zugriffsmöglichkeiten des Staates oder unbefugter Dritter abzuschirmen. Vielmehr sind Informationen unter den heutigen Lebensbedingungen „Rohstoff“ nicht nur der Produktion, sondern auch der Macht. Dass der Staat auf diesen Rohstoff zugreift und den Zugriff im Ineresse einer effektiven Aufga-benerfüllung optimiert, versteht sich von selbst. Daraus ergeben sich Konsequenzen für das Staat-Bürger-Verhältnis. Es gilt eine informationelle Machtbalance herzustellen. Die Informationsfreiheit galt bislang nur als Abwehrrecht, welches den Staat hindert, den Informationsfluss aus „allgemein zugänglichen Quellen“ zu unterbinden. Behör-denakten zählten nach herkömmlichem Verständnis nicht dazu. Insoweit hat aber auch in Deutschland mit dem Inkrafttreten des Informationsfreiheitsgesetzes des Bundes31 am 1. Januar 2006 ein Umdenken stattgefunden. Durch dieses Gesetz sollen die demokratischen Rechte jedes Einzelnen durch einen allgemeinen und voraussetzungslosen Zugang zu amtlichen Informationen des Bundes unter Berücksichtigung des Daten- und Geheimnisschutzes verstärkt werden. Auch die Länder Brandenburg, Berlin,32 Bremen33 Schleswig-Holstein, Nordrhein-Westfalen und das Saarland haben Informationsfreiheitsgesetze erlassen. Daneben bestehen spezielle Informationszugangsgesetze.34 Zweck dieser Gesetze ist es, durch ein umfassendes Informationsrecht das in Akten festgehaltene Wissen und Handeln öffentlicher Stellen unter Wahrung des Schutzes personenbezogener Daten unmittelbar zugänglich zu machen, um über die bestehenden Informationsmöglichkeiten hinaus die demokratische Meinungs- und Willensbildung zu fördern und eine Kontrolle des staatlichen Handelns zu ermöglichen. Die Informationsfreiheit hat nur dann zurückzutreten, wenn ein umfassender Informationsanspruch dem Schutzweck eines Spezialgesetzes oder dem generellen Schutzzweck des Schutzes persönlicher Daten zuwiderlaufen würde.35 Die internationale und nationale Rechtsentwicklung läuft somit auf die Anerkennung eines Rechts auf Zugang zu Behördeninformationen zu, das mit Belangen des defensiven Datenschutzes und Geheimnisschutzes kollidieren kann. Gelegentlich kann der Zugangsanspruch auch den Schutzanspruch ergänzen. Schutz- und Zugangsschutz laufen etwa synchron bei der staatlichen Durchsetzung des Anspruchs auf Zulassung von Parabolantennen trotz entgegenstehender Mietverträge.36
VI. Beziehungsgeflecht im Kampf gegen Terrorismus
und Organisierte Kriminalität
1. Ausgangslage
Der verfassungsrechtliche Befund lautet, dass Freiheit einerseits eine vorstaatliche Position ist, in die der Staat nachträglich eingreift, dass vielfach Freiheit andererseits aber erst durch den Staat vermittelt wird. Rudoph W. Giuliani führte kürzlich aus: “At the core of all Americans is the belief that all human beings have inalienable rights that proceed from God but must be protected by the state.”37 Freiheit und Sicherheit gehören untrennbar zusammen. „Ohne Sicherheit ist keine Freiheit“,38 formulierte von Humboldt. Freiheit kann umfassend nur in Sicherheit ausgelebt werden. Die Freiheit des einen erfordert die Freiheitsbeschränkung anderer. Maßnahmen zur Gewährleistung der Sicherheit greifen zwangsläufig in die vorstaatliche Freiheit ein. Sie müssen daher gerechtfertigt werden und akzeptabel sein. Nicht akzeptabel sind Eingriffe, die unnötig sind oder von der vorstaatlichen Freiheit nicht mehr viel übrig lassen.
Freiheit, Sicherheit und Datenschutz ergaben bislang ein ausgewogenes
2. Terrorismus
Die Terrorismusbedrohung ist nichts Neues. Schon immer gab es terroristische Anschläge. Als Reaktion auf die als Amerikanisierung und westlicher Imperialismus empfundene Globalisierung hat jedoch im Verlauf der 1990er Jahre eine spiegelbildliche Globalisierung des Terrors stattgefunden, der zur Hauptwaffe des Islamismus wurde. Die Bildung transnationaler Netzwerke, die weltweite Rekrutierung von Mitgliedern und die Nutzung der Medien fanden ihren Höhepunkt in den Anschlägen vom 11. September 2001 auf das Word Trade Center in New York und das Pentagon. Kennzeichen des modernen Terrorismus ist es, dass die Terroristen ihr Leben opfern, um möglichst viele Unschuldige auf möglichst spektakuläre Weise zu töten, mit dem Ziel, hoch zivilisierte Staaten, deren modernster technischer Errungenschaften sie sich dabei bedienen, zu verteufeln und archaische Werte durchzusetzen. Die islamistischen Angriffe richten sich gegen die gesamte westliche Zivilisation und sparen die Bundesrepublik Deutschland nicht aus. Anfang September 2007 gelang es deutschen Behörden im Einsatz gegen das internationale Terrornetz Dschihad-Union offenbar schwere Bombenattentate gegen amerikanische und usbekische Einrichtungen – Generalbundsanwältin Harms sprach von den bisher schwerwiegendsten Anschlagsplanungen in Deutschland – zu verhindern. Vorausgegangen war der bis dato größte Einsatz deutscher Sicherheitskräfte, bei dem 300 Beamte seit sechs Monaten Tag und Nacht im Einsatz waren. Ob hierbei die Online-Durchsuchung von Computern zum Einsatz kam, ist nicht ganz klar. Während Justizministerin Zypries dies bestreitet, lautet es aus Sicherheitskreisen, es sei sehr wohl in Computer mit technischen Mitteln eingedrungen worden.39 Wie dem auch sei, technische Mittel zu Terrorismusabwehr stehen offenbar zur Verfügung oder können entwickelt werden. Dagegen ist an sich nicht einzuwenden. Generalbundsanwältin Harms wurde mit den Äußerungen zitiert: „Wir müssen technisch auf Augenhöhe mit den Ter-roristen bleiben und dürfen nicht nur hinterher hecheln.“40 Ich meine, wir sollten den Terroristen technisch immer einen Schritt voraus sein. Das heißt aber nicht, dass wir faktisch auf Augenhöhe mit den Terroristen bleiben, Terrorismus mit Gegenterror beantworten und die internationale Kriminalität mit ihren eigenen Waffen schlagen dürften. Das will auch niemand. Trotzdem wurde die Gesetzgebungsmaschinerie angekurbelt, um fragwürdige Rechtsgrundlagen zur Verbrechensbekämpfung zu schaffen.
Aufgerufen zum Tätigwerden fühlten sich die Gesetzgeber auf allen Ebenen. Auf euro-päischer Ebene sind vor allem die VO Nr. 2580/2001 vom 27.10.200141 und Nr. 881/200242 hervorzuheben, die auf die Austrocknung der Finanzströme Osamar Bin Ladens, der Al-Quaida, der Taliban und weiterer aufgelisteter internationaler Terrorgruppen richten.43 Datenschutzrechtlich bedeutsam ist die Rechtsprechung des EuGH zum Schengener Informationssystem (SIS).44 Eine Zusammenstellung und Würdigung der nationalen Antiterrorgesetzgebung findet sich auf der Homepage des HDSB.45
3. Organisierte Kriminalität
Weniger spektakulär, aber nicht weniger gefährlich, ist die internationale organisierte Kriminalität, die so sehr zum festen Begriff geworden ist, dass man das Adjektiv „organisiert“ getrost groß schreiben kann. Erfasst werden neben Rauschgifthandel und Geldwäsche, Menschen- und Waffenschmuggel, Schleusung von illegalen Migranten, die Verschiebung von Kraftfahrzeugen und anderen hochwertigen Produkten, Produktpiraterie und sonstige Wirtschaftsstraftaten und Taten, die sich des Internets bedienen oder das Internet selbst angreifen (Cyber Crimes). Das Auswärtige Amt verweist in diesem Zusammenhang auf Schätzungen der Vereinten Nationen, wonach jährlich mehrere hundert Mrd. US-Dollar umgesetzt werden. Dadurch werde die internationale Sicherheit und Stabilität massiv gefährdet. Die international organisierte Kriminalität erfordert international koordinierte Abwehrmaßnahmen. Die Vereinten Nationen verabschiedeten 1994 in Neapel den „Globalen Aktionsplan gegen das organisierte Verbrechen“ und richteten eine Verbrechensverhütungskommission (Commission on Crime Prevention and Criminal Justice) ein. An 15. November 2000 verabschiedete die Generalversammlung der VN das Übereinkommen gegen die grenzüberschreitende organisierte Kriminalität, das durch mehrere Zusatzprotokolle ergänzt wird. Der Europarat vereinbarte mehrere Konventionen zur Verbrechensbekämpfung, darunter die Konvention betreffend die Geldwäsche sowie die Ermittlung und Einziehung von Erträgen aus Straftaten (1990).46 Wichtig ist auch das Übereinkommen gegen Datennetzkriminalität, das am 23. November 2007 in Budapest von 26 Staaten einschließlich Deutschlands geschlossen wurde. Ferner wurden Einrichtungen zur Bekämpfung der Organisierten Kriminalität geschaffen wie die Financial Action Task Force (FATF) und die Lyon-Gruppe der G8. Diese Einrichtungen verfügen über umfassende Datenbestände, auf die nur nach Maßgabe nationalen Datenschutzrechts zugegriffen werden darf.
4. Folgerung
Jede Stärkung staatlicher Kontroll- und Eingriffsmöglichkeiten bedeutet zugleich eine Reduzierung des persönlichen Freiheitsraums der Bürgerinnen und Bürger. Das ist auch im Interesse größtmöglicher Sicherheit nicht grenzenlos möglich. Dennoch wird gerade der Datenschutz als Fessel für den Sicherheitsstaat empfunden. Das Argument ist verbreitet, man habe nichts zu verbergen und sei mit Dateneingriffen bei sich und damit auch bei anderen einverstanden, wenn diese Eingriffe nur einem vernünftigen Zweck dienten. In der Tat: Wer ist nicht erleichtert darüber, dass eine Videoüberwachung die Ergreifung von Kofferbombenlegern ermöglichte? Wer freut sich nicht, dass mit Hilfe von Überwachungskameras ein Autobahnmörder gefasst werden konnte? Die unter VII. aufgeführten Beispiele sollen als Gegenrechnung aufzeigen, dass die Fülle der möglichen Datenzugriffe am Menschenbild des Grundgesetzes rühren.
Vorab noch eine allgemeine Bemerkung: Ausfluss der Menschenwürde ist ein für Dritte unzugänglicher Bereich individueller Privatheit, den das Bundesverfassungsgericht seit dem Elfes-Urteil47 anerkennt. In seiner Mikrozensusentscheidung von 1969 hat das Bundesverfassungsgericht ausgeführt, dass es mit der Menschenwürde nicht zu vereinbaren wäre, wenn der Staat das Recht für sich in Anspruch nehmen könnte, den Menschen zwangsweise in seiner ganzen Persönlichkeit zu registrieren und zu katalogisieren.48 Im Anschluss an seinen ersten Präsidenten Wintrich49 führte das Gericht weiter aus, eine umfassende Einsichtnahme in die persönlichen Verhältnisse seiner Bürger sei dem Staat auch deshalb versagt, weil dem Einzelnen um der freien und selbstverantwortlichen Entfaltung seiner Persönlichkeit willen ein „Innenraum“ verbleiben müsse, in dem er „sich selbst besitzt“ und „in den er sich zurückziehen kann, zu dem die Umwelt keinen Zutritt hat, in dem man in Ruhe gelassen wird und ein Recht auf Einsamkeit genießt“. Man ist erinnert an „Heartbreak Hotel“ von Elvis Presley.50 Die Kernbereichslehre wurde also schon lange vor dem Grundrecht auf informationelle Selbstbestimmung geboren. Im Zusammenhang mit dem Datenschutz wurde sie nur aktualisiert und ist dabei ad absurdum geführt zu werden. Das Bundesverfassungsgericht hat einen Kernbereich privater Lebensgestaltung anerkannt, der vor Datenzugriffen des Staats absolut geschützt sein soll. Was diesen Kernbereich ausmacht, ist noch ungeklärt. Meist wird der Kernbereich räumlich gesehen51 und - von der Sonderproblematik des „Bildnisses aus dem Bereich der Zeitgeschichte“ abgesehen52 - auf den Wohnbereich beschränkt. Dadurch wird bildlich das Kind mit dem Bad ausgeschüttet. Es geht nicht an, dass im absolut geschützten Intimbereich des Bads abhörsicher terroristische oder kriminelle Aktionen vorbereitet werden können. Ähnliches gilt für die personelle Komponente des Kernbereichs. Auch in der Vertraulichkeit ehelicher oder familiärer Beziehungen oder im Kontakt mit Berufsgeheimnisträgern können terroristische Anschläge verabredet und Straftaten vorbereitet werden. Hier kann ebenfalls kein absoluter Schutz bestehen. Ein anderer Ansatz stellt auf die Formen der privaten Lebensgestaltung ab, so dass die „Privatheit“ auch im öffentlichen Raum,53 bei der Telekommunikation oder etwa im Reiseverkehr zu respektieren ist. Die Kernbereichslehre muss somit von Art. 13 GG gelöst werden, so dass sich auch Placebo-Lösungen wie das „Richterband“ erübrigen.54 Freilich fallen dann kriminelle Aktionen im räumlichen Intimbereich nicht automatisch unter den Kernbereichsschutz. Allein der zuletzt genannte Ansatz führt zu praktikablen Ergebnissen. Methodisch beruht er auf einer Abwägung.55 Die Abwägung gehört zum juristischen Handwerkszeug und ist bei der Entscheidungsfindung nicht hinwegzudenken.56 Gegen die Abwägung im Verfassungsrecht57 wird zwar gelegentlich vorgebracht, anders als bei der Planung, die es mit der Gestaltung von Sachzielen zu tun habe, gehe es im Verfassungsrecht um Rechtsanwendung.58 Gleichwohl ist die Abwägung eine unentbehrliche Methode nicht nur im Planungsrecht, sondern auch für den Umgang mit Grundrechten. Ohne umfassende Abwägung misslingt der Ausgleich konträrer Grundrechtspositionen in mehrpoligen Rechtsverhältnissen. Den Kritikern der Abwägungsmethode ist einzuräumen, dass durch die Gewichtung der Abwägungsbelange Unsicherheiten in die Verfassung hineingetragen werden. Es trifft aber nicht zu, dass das Grundgesetz für die Gewichtung der Abwägungsbelange keine Maßstäbe enthält. Der Gewichtung der Abwägungsbelange im Einzelfall liegt das Wertesystem des Grundgesetzes zugrunde, das den Werten unterschiedliche „Wertigkeit“ zumisst, wie ohnehin die Freiheitsrechte unterschiedliches Gewicht aufweisen. Dabei sind die jeweiligen Verfassungswerte in ihrer jeweiligen Beziehung zur Menschenwürde als dem Mittelpunkt des Wertesystems der Verfassung zu sehen.59 In Betracht kommt eine Werteskala. Schließlich lässt sich die korrekte Position auf der Skala zwischen Menschenwürde und Handlungsfreiheit auffinden. Lediglich die Endpunkte dieser Skala sollten nicht erreicht werden.
VII. Beispiele
1. Abwehr-, Freiheitskomponente
Die Freiheitskomponente knüpft an der Privatsphäre an, nimmt im kommunikativen Bereich Kontakt mit der Umgebung auf (namentlich durch Telekommunikation) und greift über in den Bereich mobiler Grundrechtsentfaltung, der wirtschaftlichen und politischen Betätigung.
a) Privatsphäre
Das Recht auf Privatheit, beginnend mit der physisch-psychischen Privatsphäre,60 verbietet es, den Menschen in seiner gesamten Persönlichkeit zu katalogisieren. Die Identifikation anhand von Einzelmerkmalen ist dagegen zulässig, auch wenn dadurch in die innere Privatsphäre eingedrungen wird.
Beantragt wurde eine verdeckte Online-Durchsuchung. Der Ermittlungsrichter des BGH lehnte den Antrag ab.90 Mit Beschluss vom 31. Januar 200791 wies der BGH die Beschwerde der Generalbundesanwaltschaft zurück, da die verdeckte Online-Durchsuchung mangels einer Ermächtigungsgrundlage unzulässig sei. Prompt fanden die Stimmen Gehör, die forderten, eine Ermächtigungsgrundlage zu schaffen. Als erste landesrechtliche Regelung sieht nunmehr § 5 Abs. 2 Nr. 11 Satz 1 3. Alt. i. V. m. § 7 des Gesetzes über den Verfassungsschutz in Nordrhein-Westfalen vom 20. Dezember 200692 vor: Heimliches Beobachten und sonstiges Aufklären des Internets, wie insbesondere die verdeckte Teilnahme an seinen Kommunikationseinrichtungen bzw. die Suche nach ihnen, sowie der heimliche Zugriff auf informationstechnische Systeme auch mit dem Einsatz technischer Mittel. Soweit solche Maßnahmen einen Eingriff in das Brief-, Post- und Fernmeldegeheimnis darstellen bzw. in Art und Schwere diesem gleichkommen, soll dieser nur unter den Voraussetzungen des Gesetzes zu Artikel 10 Grundgesetz zulässig sein.93 Gegen diese Regelung wurden fünf Verfassungsbeschwerden erhoben, die beim Bundesverfassungsgericht unter dem Az. 1 BvR 377/07 und 1 BvR 595/07anhängig sind. Verfassungsrechtlich ist bedeutsam, dass der PC mittlerweile am Kernbereich der Privatheit teilnimmt, da er vielen Menschen zur Aufbewahrung privatester Informationen (Fotografien, Tagebuchaufzeichnungen, persönliche Briefen, Reiseberichte u. dgl.) dient.94 Dass dieser Privatbereich durch vorab definierte Suchkriterien effektiv geschützt werden könnte, erscheint realitätsfern.95 Unabhängig wo sich der PC befindet, ist damit der Kernbereich privater Lebensgestaltung berührt. Das generelle Abstellen auf Art. 13 GG liegt neben der Sache.96 Die Geeignetheit und Erforderlichkeit der Online-Durchsuchung zur Terrorismus- und Kriminalitätsbekämpfung ist noch nicht dargetan. In der FAZ, die sich sonst mit Begeisterung über die Gutmenchenhaltung mokiert, erschien ein Artikel in vergleichbar moralisierender Tonlage mit dem Titel „Perverser Grundrechtsschutz“:97 Die Online-Durchsuchung wird man als ultima ratio der Gefahrenabwehr und Verbrechensbekämpfung nicht vollständig verhindern können. Gegenwärtig ist ihre Einführung gleichwohl rechtlich fragwürdig. Warnungen vor der Stasi- Wiedergeburt (so Chaos Computer Club) sind ebenso unberechtigt wie die Befürchtung, eng begrenzte Einsatzschranken der Online-Durchsuchungen würden in kürzester Zeit gelockert. Die Online-Durchsuchung ist im Übrigen weniger ein verfassungsrechtliches als ein informationspolitisches Problem. Auch von staatlicher Seite werden den Verbrauchern alle Arten technischer Geräte zur elektronischen Kommunikation schmackhaft gemacht mit der Empfehlung, alles zu tun, um die Sicherheit des Kommunikationsvorgangs zu gewährleisten. Wie lässt sich dann rechtfertigen, dass der Staat wie ein Einbrecher in den Kommunikationsvorgang eindringt, ohne dass die Betroffenen dies überhaupt bemerken?98 Ich habe mehrfach von einer „datenschutzpolitischen Sauerei“ gesprochen und mir dafür den Vorwurf intellektueller Niveaulosigkeit zugezogen. Dabei war das Schwein nur symbolisch für die Anwendung schmutziger Tricks gemeint: sus magis in caeno gaudet quam fote sereono.99 Hinzu kommt, dass unklar ist, wie die Online-Durchsuchung bei PCs funktionieren soll, die hinter einer Firewall oder einem Router mit Network Adress Translation liegen. Der Zugriff auf den zu überwachenden PC erfordert es entweder, sich physischen Zugang zum PC zu verschaffen, also ggf. in eine fremde Wohnung einzudringen und etwa einen Hardware-Keylogger zu installieren, der alle Tastatureingaben an die Fahnder sendet. Dies ist der Sache nach nur eine Variante des Lauschangriffs. Oder aber, und dies ist die eigentlich problematische Variante der Online-Durchsuchung, durch eine entsprechende Software werden solche Spähprogramme heimlich über das Internet oder durch E-mails installiert. In diesem Zusammenhang hat sich die Redewendung von den „Bundestrojanern“ etabliert. Diese können allerdings durch anspruchsvolle Betriebssysteme, Firewalls oder Virenabwehrprogramme wirkungslos gemacht werden. Möglich ist nur der Zugriff durch „Bundestrojaner“ vor der Verschlüsselung, der aber eine Sicherheitslücke eröffnet, die von Computerviren genutzt werden kann. Eine Verpflichtung der Softwarehersteller, von vornherein Sicherheitslücken in ihrer Software zur programmieren, straft die gesamte Informations- und Kommunikationspolitik der letzten Jahre Hohn. Hinzu kommt, dass die Online-Durchsuchung, um effektiv zu sein, auf alle informationstechnischen Systeme ausgedehnt werden müsste. Dass gegenwärtig von Online-Durch-suchungen, wegen der horrenden Kosten des Einsatzes nur sparsam Gebrauch gemacht werden würde, trägt nicht zur Beruhigung bei. Durch Ausweitung des Anwendungsfeldes der Online-Durchsuchung ließen sich aller Voraussicht nach auch die Kosten senken. Schlechterdings nicht nachvollziehbar ist unter diesen Umständen die Polemik in der FAZ gegen die Angst vorm Bundestrojaner.100 Die Datenschutzbeauftragen des Bundes und der Länder erhoben daher im Rahmen ihrer 73. Konferenz im März 2007 die Forderung an die Bundesregierung, die Landesregierungen und die Parlamente, auf die Schaffung von Ermächtigungsgrundlagen für die Online-Durchsuchung zu verzichten und warnten zugleich davor, die eGovernment Projekte zu konterkarieren, indem das Vertrauen der Bevölkerung in die Sicherheit der elektronischen Kommunikation mit Behörden zerstört wird. Auf der 74. Konferenz der Datenschutzbeauftragten am 24./25 Oktober 2007 wurde diese Forderung noch einmal bekräftigt.
„Die Erstellung von Bewegungsprofilen im Wege der automatisierten Datenverarbeitung greift nicht nur in die informationelle Selbstbestimmung, sondern auch in das Grundrecht auf Mobilität ein. Die Datenschutzgrundsätze müssen so interpretiert werden, dass das Grundrecht auf Mobilität voll zur Entfaltung kommt. Das Grundrecht auf Mobilität umfasst das Recht auf selbstbestimmten Ortswechsel. In dieses Grundrecht wird durch Datenzugriffe ständig eingegriffen. Vom freien Ortswechsel kann nicht die Rede sein, wenn man auf Schritt und Tritt beobachtet und die Beobachtung gespeichert und datenmäßig erfasst und verarbeitet wird“.
e) Politische Betätigung
Der Errichtung einer Antiterrordatei diente das Gesetz zur Errichtung gemeinsamer Dateien von Polizeibehörden und Nachrichtendiensten des Bundes und der Länder (Gemeinsame Dateien-Gesetz) vom 01.12. 2006.125 Gegen dieses Gesetz ist beim Bundesverfassungsgericht eine Verfassungsbeschwerde anhängig.126 Die Datei verknüpft zwar „nur“ bereits vorhandene Daten. Die datenschutzrechtliche Problematik besteht indessen darin, dass von derzeit über 40 verantwortlichen Stellen für einen kaum begrenzbaren Personenkreis (Zeugen an einem Attentat, Unfallbeteiligte) verdeckt Daten gespeichert werden können, über deren Existenz auch über das Auskunftsrecht des § 10 Abs. 2 ATDG keine abschließende Kenntniserlangung möglich ist. Der Rechtsschutz gegen eine unzulässige Datenspeicherung läuft dann weitgehend leer.
2. Schutzkomponente
Die Schutzkomponente umfasst die Fülle der möglichen Datenschutzverstöße durch Private von technischen Minispionen bis hin zur heimlichen Kamera- und Videoüberwachung. Hiergegen bietet das BDSG ein reichhaltiges Arsenal an Eingriffsermächtigungen, die freilich der technischen Entwicklung angepasst werden müssen. Auch hier ist abzuwägen. Jedenfalls müssen Anhaltspunkte dafür bestehen, dass das schutzwürdige Interesse des Überwachenden das Recht der Betroffenen auf informationelle Selbstbestimmung127 überwiegt, was bei der Aufklärung von geringfügigen Delikten verneint wird.128
VIII. Schlussbemerkung
Der Verfassungsstaat erfordert ein ausgewogenes Verhältnis von Freiheitsschutz und Sicherheitsgewährleistung. In Zeiten einer akuten Bedrohung durch internationalen Terrorismus und organisierte Kriminalität muss der Staat bestrebt sein, sich dem Bedrohungsszenario entsprechende Abwehrinstrumente zu schaffen. Das erklärt den Wunsch von Seiten der Sicherheitsbehörden nach stärkerer Kontrolle möglichst aller Lebensbereiche der Bevölkerung. Einen absoluten Schutz kann es aber niemals geben. Umgekehrt gibt es aber auch keine absolut kontrollfreien Räume. Die Absolutheit, mit der die Unantastbarkeitslehre bei der Menschenwürde verfochten wird, verleitet zwar dazu, Kernbereiche der Privatheit abzustecken. Auch der räumliche Intimbereich des individuellen Menschen darf jedoch für terroristische und kriminelle Aktionen nicht missbraucht werden. Die Annahme absolut geschützter räumlicher Kernbereiche verleitet obendrein dazu, den Schutz der Privatsphäre im öffentlichen Bereich zu relativieren. Maximale Freiheit ist ebenso wenig das Ziel wie maximale Sicherheit. Vielmehr geht es um die optimale Freiheit und Sicherheit als Ergebnis umfassender Abwägung, in deren Rahmen der Datenschutz angemessene Berücksichtigung findet.
Absolute Positionen führen zu einem Grundrechteschwund auf der Gegenseite. Für die Freiheit oder Sicherheit kann dann ungewollt der Bermuda-Effekt eintreten.
Wenn wir den von Hause aus relativen Datenschutz als lästige Fessel betrachten und ihn sehenden Auges immer mehr abbauen, besteht dagegen keine Bermuda-Situation. Der Verlust dieses zentralen Teilbereichs der Freiheit ist dann nicht unerklärlich. Wir haben ihn uns selbst zuzuschreiben.
IX. Thesen
(2) Freiheit im Rechtssinn setzt den Verfassungsstaat voraus. Neue Gesetze sind daraufhin zu überprüfen, ob sie im Einklang mit den Wesensmerkmalen des Verfassungsstaates stehen. Dabei ist darauf zu achten, dass staatbürgerliche Freiheitspositionen und staatliche Eingriffsbefugnisse in einem ausgewogenen Verhältnis stehen. Für die Ausgewogenheit kommt es darauf an, welche staatlichen Gegenleistungen die Eingriffsbetroffenen erhalten. Das Mindeste, was die Bürger von ihrem Staat erwarten, ist der Schutz von Würde, Leben, Freiheit und Eigentum (life, liberty, property or privacy).
(3) Die zulässige Intensität der Freiheitsbeschränkungen hängt ab von der Bedeutung des Freiheitsbereichs, in den eingegriffen wird. Nach der Systematik des Grundgesetzes schwebt die Freiheit zwischen der (schwachen) allgemeinen Handlungsfreiheit und den starken „schrankenlosen“ Freiheiten mit dem Fixpunkt der Menschenwürde. Dazwischen liegen unbenannte Freiheiten, die noch positioniert werden müssen.
(4) Aus dem bürgerlichen Gewaltverbot folgt eine staatliche Schutzpflicht. Ein (subjektives) Grundrecht auf Sicherheit scheitert an der fehlenden Durchsetzbarkeit im Einzelfall. Das ändert nichts an der Verpflichtung des Staates zur Gefahrenabwehr auch im Individualinteresse. Das Abstellen auf den Risikobegriff ist hier verfehlt, da sonst jeder Mensch ein Risiko für seine Mitmenschen wäre. Liegt dagegen eine Gefahr für Leib und Leben vor, gilt das Untermaßverbot.
(5) Im Volkszählungsurteil vom 15.12.1983 schuf das Bundesverfassungsgericht das Grundrecht auf „informationelle Selbstbestimmung“, das die Befugnis des Einzelnen gewährleistet, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen. Die informationelle Selbstbestimmung besteht nicht schrankenlos. Die Verteilung von Freiheit und Schranken erfolgt im bereichsspezifischen und allgemeinen Datenschutzrecht.
(6) Hinsichtlich der Stoßrichtung des Datenschutzes sind die Freiheitskomponente, die Schutzkomponente und die Zugangskomponente zu unterscheiden.
(7) Die Freiheitskomponente erfasst die informationelle Selbstbestimmung als Abwehrrecht, das in Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG verankert ist. Die Verbindung bedeutet nicht 0% + 100% : 2 = 50% Beschränkbarkeit. Vielmehr bewegt sich die informationelle Selbstbestimmung auf einer gleitenden Skala. Je mehr sich der konkrete Freiheitsbereich der Menschenwürde nähert, desto weniger kommt eine Beschränkung in Betracht.
(8) Die Schutzkomponente bezieht sich auf die Sicherheit der Kommunikation. Der Staat hat im Rahmen des Möglichen Eingriffe Dritter (Privater oder Staatsorgane fremder Staaten) in die informationelle Selbstbestimmung zu verhindern.
(9) Die Zugangskomponente beruht auf der Erwägung, dass Informationen Rohstoff der Macht sind. Durch den verstärkten Zugriff auf diesen Rohstoff erweitert der Staat seine Macht. Zum Ausgleich muss den Bürgern ebenfalls der Informationszugang erleichtert werden. Die elektronische Akte sollte daher so gestaltet werden, dass allgemein zugängliche von geheimhaltungsbedürftigen Teilen getrennt werden.
Einerseits gilt es, die vorstaatliche Freiheit vor staatlichen Eingriffen zu schützen. Andererseits wird Freiheit vielfach erst durch den Staat vermittelt. Das betrifft auch den Datenschutz. Freiheit, Sicherheit und Datenschutz bildeten bisher ein ausgewogenes Gesamtgefüge. Infolge der Bedrohung durch den internationalen Terrorismus und die Organisierte Kriminalität glauben manche, dieses Gefüge aufheben zu müssen.
(11) Der islamistische Terrorismus bedroht jede Zivilisation, also auch Deutschland. Die Terroristen bedienen sich der modernsten Technik. Insofern genügt es nicht, mit den Terroristen auf Augenhöhe zu bleiben. Wir müssen den Terroristen technisch immer einen Schritt voraus sein, dürfen aber nicht versuchen, sie mit ihren eigenen Waffen zu schlagen.
(12) Nicht weniger bedrohlich ist die Organisierte Kriminalität, die die internationale Sicherheit und Stabilität gefährdet. Gleichwohl darf auch hier die Verbrechensbekämpfung nur auf dem Boden des Rechts erfolgen.
(13) Jede Stärkung staatlicher Kontroll- und Eingriffsmöglichkeiten reduziert den persönlichen Freiheitsraum der Bürger. Freiheitsbeschränkungen sind auch im Interesse der Sicherheit nicht grenzenlos möglich. Der Datenschutz lässt sich von den Sicherheitsbehörden im Zusammenhang mit tagespolitischen Ereignissen leicht als Fessel für den Staat an den Pranger stellen, was zu einem Verlust der öffentlichen Sicherheit führe. Die Fülle der gegenwärtig bereits möglichen Eingriffe in die informationelle Selbstbestimmung zeigt umgekehrt jedoch einen Freiheitsverlust, der am Menschenbild des Grundgesetzes rührt.
(14) Das Bestreben, einerseits Freiheit und informationelle Selbstbestimmung eingriffsfest zu gestalten, bzw. andererseits Sicherheit vor jedem terroristischen und organisiert- kriminellen Angriff herzustellen, führt tendenziell zu Übertreibungen. Ein Beispiel ist die Anwendung der Kernbereichslehre auf die informationelle Selbstbestimmung.
(15) Die Freiheitskomponente des Datenschutzes ist zunächst in der inneren Privatsphäre berührt. Der Mensch darf nicht in seiner gesamten Persönlichkeit katalogisiert werden. Die Identifikation an Hand von Einzelmerkmalen, ist jedoch zulässig. Hier kommt auch eine DNA-Analyse in Betracht.
(16) Zur äußeren Privatsphäre zählt vor allem der Wohnbereich. Hier hat das Urteil des Bundesverfassungsgerichts vom 03.03.2004 (BVerfGE 109, 279) mit seiner rigiden Anwendung der Kernbereichslehre Verwirrung gestiftet. Der Kammerbeschluss vom 11.05.2007 (NJW 2007, 2753) rudert vorsichtig zurück. Das ist zu begrüßen. Tabuzonen lösen nur den Bermuda-Effekt aus.
(17) Das Bundesverfassungsgericht ordnet den Wohnbereich dem Art. 13 GG zu und läst den durch Art. 10 GG geschützten Telekommunikationsbereich an der Hauswand enden (BVerfGE 115, 166. Hier hält sich das Bundesverfassungsgericht nicht an die räumliche Unterscheidung der Schutzbereiche. Das ist sachgerecht, da die Telekommunikation heute nicht mehr allein von der Wohnung her abgewickelt wird.
(18) Da Daten von jedem Standort aus übermittelt werden können, muss die Privatsphäre nach außen ausgedehnt werden. Maßgeblich für die Privatheit ist der Inhalt der verarbeiteten Informationen.
(19) Standort und Gerätenummer der Mobilfunkgeräte lassen sich mit Hilfe eines IMSI-Catchers ermitteln. Dieser ist komplexer und datenschutzrechtlich brisanter als es im Beschluss des Bundesverfassungsgerichts vom 22.08.2006 (NJW 2007, 351) zum Ausdruck kommt.
(20) Wichtig sind auch die Verbindungsdaten der Anbieter technischer Kommunikati-onsdienste und Kommunikationsnetze, die nach der RL 2006/24/EG mindestens 6 Mo-nate auf Vorrat zu speichern sind. Der Eingriff in das Fernmeldegeheimnis ist jedoch nicht so gravierend, dass der Souveränitätsvorbehalt gegenüber dem Gemeinschaftsrecht aktiviert werden könnte.
(21) Allgemein- und datenschutzpolitisch besonders brisant ist dagegen die Online-Durchsuchung, die sich in eng begrenzten Fällen zwar verfassungsrechtlich rechtfertigen lässt, aber politisch fragwürdig ist, weil sie das Vertrauen der Bevölkerung in die Integrität der Staatsgewalt untergräbt. Gegen die Online-Durchsuchung nach dem Verfassungsschutzgesetz Nordrhein-Westafeln sind jedenfalls fünf Verfassungsbeschwerden anhängig.
(22) Die Mobilität wird beinträchtig durch GPS-Systeme sowie die Kamera- und Videoüberwachung. Nachdem das Bundesverfassungsgericht in der Entscheidung vom 12.04.2005 (DVBl. 2005, 765) die GPS-Überwachung geradezu bagatellisiert hatte verlangte es im Beschluss vom 04.04.2006 (BVerfGE 115, 320) als Voraussetzung für eine Rasterfahndung eine konkrete Gefahr für die Allgemeinheit oder Einzelne. Ob dies als Absage an die Übertragung der Risikokonzeption auf datenschutzrechtliche Fragen gewertet werden kann, lässt sich nicht definitiv sagen.
(23) Wirtschaftliche Betätigungen werden häufig durch staatliche Zugriffe auf Dateien erschwert. Dabei können auch personenbezogene Daten berührt werden. Das Bundesverfassungsgericht hat durch Beschluss vom 13.06.2007 (NJW 2007, 2464) den Zugriff auf Kontostammdaten vorerst gestoppt. Entsprechend Abfragemöglichkeiten werden sich aber auf Dauer nicht verhindern lassen.
(24) Politische Aktivitäten werden bereits durch die Existenz einer Anti-Terrordatei beeinflusst. Gegen das Gemeinsame Dateien-Gesetz wurde erwartungsgemäß bereits Verfassungsbeschwerde erhoben. Ob das Bundesverfassungsgericht die Gelegenheit nutzen wird, die heilige Kuh des Trennungsprinzips zu schlachten, erscheint zweifelhaft.
(25) Der Staat ist gehalten, die Computerkriminalität zu bekämpfen und Vorkehrung gegen die missbräuchliche Verwendung von RFID-Chips zu treffen.
(26) Der Staat hat einen ungehinderten Datenfluss aus allgemein zugänglichen Quellen zu gewährleisten. Dies ist eine Aufgabe der Daseinsvorsorge.
(27) Bei Vaterschaftstests hat die Informationsfreiheit des biologischen und des juristischen Vaters Vorrang vor dem Interesse der Mutter an der Wahrung ihrer Intimsphäre (BVerfGE 103,21).
(28) Das Internet ist eine allgemein zugängliche Quelle i. S. v. Art. 5 Abs. 1 Satz 1 GG. Maßnahmen zur Bekämpfung von Terroristen und Kriminellen, die sich des Internets bedienen, haben dem Rechnung zu tragen.
(29) Freiheit ist nur in Sicherheit möglich, aber Sicherheit muss der Freiheit dienen. Der Verfassungsstaat erfordert ein ausgewogenes Verhältnis von Freiheitsschutz und Sicherheitsgewährleistung. Absolute Abwägungssperren verhindern nur sachgerechte Erebnisse. Das Dogma von der Unabwägbarkeit der Menschenwürde verleitet dazu, undurchdringliche Kernbereiche der Privatheit zu errichten. Absolute kontrollfreie Räume darf es jedoch nicht geben. Umgekehrt ist ein Verlust von Privatheit nicht akzeptabel, der eintritt, sobald der Wohnbereich verlassen wird.
(30) Maximale Freiheit ist ebenso wenig Ziel des Verfassungsstaats wie maximale Sicherheit. Angestrebt werden kann nur eine optimale Freiheit und Sicherheit, in derer beiden Windschatten Platz für den Datenschutz ist. Absolute Positionen führen zum Grundrechteschwund.
In dem Dreiklang Freiheit, Sicherheit und Datenschutz spielt die Technik eine wichtige Rolle. An drei Beispielen soll erläutern werden, wie kleine Details darüber entscheiden können, ob eine Technik zur Überwachung geeignet ist oder nicht. Die Techniken werden bereits für Sicherheitsbelange genutzt und je nach Ausprägung ist die Freiheit unterschiedlich stark tangiert.
Der Begriff der Überwachung ist für jeden Betroffenen mit einer etwas anderen Bedeutung belegt. Eine übliche Definition für Überwachung differenziert zwischen der Observation und technischen Maßnahmen:
„Eine Observation (v. lat. observare = beobachten) ist das unauffällige, systematische Beobachten einer Person, von Sachen und Objekten zur Beschaffung von Beweisen, Ermittlungshinweisen und grundlegenden oder ergänzenden Erkenntnissen für weitere Maßnahmen.
Elektronische Überwachung: wird oft benutzt, um eine Beobachtung aus der Distanz mittels elektronischer Ausrüstung oder anderer technischer Mittel zu beschreiben. Neben technischen Maßnahmen kann Überwachung auch mit "low-tech" durchgeführt werden, etwa durch Beschattung.“1
Für die weiteren Ausführungen soll Überwachung bedeuten, dass ohne Wissen oder ohne Zustimmung des Betroffenen festgestellt werden kann, wo er sich wann aufgehalten hat.
An den Beispielen IMSI-Catcher und RFID bei Ausweisdokumenten wird die Bedeutung von Normen und Standards beleuchtet, die quasi ein Überwachungspotential schaffen. Bei Biometrie mit dem Fokus auf Pässe und Ausweise soll eine vielleicht nicht so bekannte Variante mit weniger Überwachungspotential dargestellt werden.
1. Der IMSI -Catcher2
Der IMSI-Catcher ist ein Gerät, mit dem in Mobilfunknetzen, die nach dem GSM-Standard3 betrieben werden, Handys lokalisiert und Telefonnummern ermittelt werden können. Er ist technisch auch in der Lage, Gespräche abzuhören. Diese Möglichkeit ergibt sich aber nur, weil im GSM-Standard vorgesehen ist, dass eine Basisstation ein Handy veranlassen kann, die Gesprächsverschlüsselung abzuschalten. Daraus ergibt sich die Feststellung:
Bei der Formulierung des GSM-Standards wurde die Möglichkeit des Abhörens vorgesehen.4
Zur Erläuterung sollen die verschiedenen Abläufe skizziert werden.
1.1 Normales Telefonat
Wenn das Handy eingeschaltet wird, ermittelt es alle in der Nähe befindlichen Basisstationen. Im Handy wird eine Liste von allen zugelassenen Basisstationen angelegt. Es sind solche des eigenen Anbieters mit einer ausreichenden Sendestärke. Mit der stärksten Basisstation wird dann eine Verbindung aufgebaut. Dazu werden die IMEI5 und die IMSI übertragen. Die Basisstation schickt die Daten weiter an Server des Anbieters, die als Infrastruktur dem Betrieb des Kommunikationsnetzes dienen.
Abb. 1: Handy-Nutzung Normalfall
Im HLR6 wird geprüft, ob die IMSI einem Vertragspartner zugeordnet ist. Wenn ja, wird die Information an den Sicherheitsserver weitergeleitet. Aus den nur dort und in der SIM7-Karte vorliegenden geheimen Schlüsselinformationen werden dann Schlüssel generiert, mit denen anschließend die Gespräche verschlüsselt übertragen werden. Diese und einige andere Daten werden zum MSC8 mit dem zugehörigen VLR9 übertragen und dort gespeichert. Voraussetzung für die verschlüsselte Übertragung der Gespräche ist das Schlüsselaustauschverfahren, welches auf einem Geheimnis aufsetzt, das zwischen der SIM-Karte und dem Sicherheitsserver des Mobilfunkanbieters aufgeteilt gespeichert wird. Nur dort sind die Schlüssel vorhanden.
Im Unterschied zu Gesprächen werden SMS10 unverschlüsselt übertragen.
1.2 IMSI-Catchen
Wenn Strafverfolgungsbehörden einen Verdächtigen überwachen, wissen sie oft nur, dass dieser ein Handy benutzt. Die Teilnehmernummer ist in der Regel nicht bekannt. Um diese zu erhalten, wird der IMSI-Catcher eingesetzt.
Der IMSI-Catcher simuliert eine Basisstation, die eine bessere Übertragung verspricht als andere Stationen. Wenn ein Handy feststellt, dass die neue Station einen besseren Empfang verspricht als die Station bei der es eingebucht ist, versucht es zu dieser Basisstation zu wechseln. Es sendet dazu IMEI und IMSI an die neue Station. Im vorliegenden Fall empfängt der IMSI-Catcher die Informationen und meldet gleich darauf technische Probleme an das Handy zurück. Das wechselt dann zurück zur alten Station.
Auf diese Weise erhält der IMSI-Catcher an den Orten, an denen überwacht wird, alle IMEIs und IMSIs der verschiedenen Anbieter und speichert sie mit Ort, Datum und Uhrzeit. Später wird verglichen, welche IMSI / IMEI Kombinationen verdächtig sind; z. B. solche die an allen Orten waren. Dann wird eine Überwachung entsprechend den rechtlichen Erfordernissen beantragt.
Abb. 2: IMSI feststellen / fangen
Aus Datenschutzsicht ist wichtig, dass es eine Datei gibt, in der auch von Unbeteiligten für eine längere Zeit nachvollziehbar ist, wann sie sich wo aufgehalten haben.
1.3 Abhören beim Anbieter
Wenn abgehört werden darf, stellt der Kommunikationsanbieter die nötigen Daten über eine dafür vorgesehene Schnittstelle den Sicherheitsbehörden zur Verfügung. Die Abläufe entsprechen ansonsten denen eines normalen Telefonats.
Abb. 3: Abhören von Gesprächen beim Anbieter
1.4 Abhören mit dem IMSI-Catcher
Der IMSI-Catcher ist gegenüber dem Anbieter mit einer eigenen Teilnehmernummer und einer eigenen IMSI eingebucht. Wenn er also ein Gespräch weiterleiten will, kann er gegenüber dem Anbieter das Gespräch verschlüsseln, weil dieser es für seine SIM-Karte verschlüsselt. Er kennt aber nicht das Geheimnis, mit dem er einen Schlüsselaustausch für das überwachte Handy durchführen könnte. Er muss also die Verschlüsselung ausschalten, wenn das Gespräch geführt werden soll.
Abb. 4 : Abhören von Gesprächen mit einem IMSI-Catcher
Folglich ist eine nicht verschlüsselte Gesprächsübertragung ein Indiz11 für eine Überwachung. Da der Anbieter ein Gespräch und auch eine SMS mit der Kennung des IMSI-Catchers annimmt, würden diese auch dem Gesprächspartner oder dem Empfänger einer SMS angezeigt. Falsche oder unterdrückte Rufnummern und ausbleibende SMS können somit ebenfalls ein Hinweis auf eine Überwachung sein.
Das Abhören mit dem IMSI-Catcher ist also nur möglich, weil der GSM-Standard vorsieht, dass die Gesprächs-Verschlüsselung durch die Basisstation abgeschaltet werden kann. Es muss sich zwar das Mobilfunkgerät gegenüber dem Anbieter ausweisen, aber der Anbieter kann seine Authentisierung gegenüber dem Gerät verweigern.
Im Standard wurde folglich die Abhörmöglichkeit mit spezifiziert. Jede Stelle, die einen IMSI-Catcher besitzt, kann daher unabhängig von den rechtlich zugelassenen Telekommunikationsüberwachungsmaßnahmen Gespräche abhören.
2. RFID12 und Biometrie13 am Beispiel von Ausweisdokumenten
2.1 Vorbemerkung zur ICAO14
Bei den beiden nächsten Beispielen spielt die ICAO eine wesentliche Rolle. Die ICAO ist eine Sonderorganisation der UNO. Sie erarbeitet Vorschläge, die von den Mitglieds-staaten auf Grundlage des Chicagoer Abkommens von 1944 umgesetzt werden. Die ICAO hat u. a. Standards für elektronische Reisepässe und andere Reisedokumente erarbeitet.15 Diese wurden 2004 in europäisches Recht16 übertragen. Wesentliche Elemente der Spezifikation waren die RFID-Technik und der Einsatz biometrischer Merkmale. Vorbehalte gegen die spezifizierte Technik wurden von vielen Stellen geäußert.17 Gerade die Aufnahme weiterer biometrischer Merkmale, in der EU hat man sich für den Fingerabdruck und nicht für die als Alternative mögliche Iris entschieden, hat zu Diskussionen geführt. Es stellt sich die Frage, ob es zwingend ist, die Entscheidung für Fingerabdrücke auch für nationale Nicht-Reisedokumente zu übernehmen.
In den folgenden Ausführungen wird davon ausgegangen, dass RFID und erweiterte Biometrie zum Einsatz kommt. Das Für und Wider eines Verzichts wird nicht diskutiert.
2.2 RFID am Beispiel Ausweisdokumente
RFID ist eine Technik, die es erlaubt aus einiger Entfernung Daten zwischen einem Chip und einem Lesegerät auszutauschen. Dabei muss kein direkter Kontakt zwischen Chip und Lesegerät hergestellt werden; es ist keine Sichtverbindung nötig. Die Daten können im Prinzip ohne Wissen und Wollen der Person, die den RFID-Chip bei sich führt, ausgelesen werden.18 Technisch wird durch das Lesegerät ein Magnetfeld erzeugt, das einen Strom in der zum Chip gehörenden Spule induziert. Der Chip benötigt den Strom, um arbeiten zu können. Die Daten werden vom Lesegerät und dem Chip jeweils mittels der Spulen durch Modulation des Magnetfeldes übertragen und als Änderung der Feldstärke gelesen.19
In der Diskussion zur RFID-Problematik bei Ausweisdokumenten wird das Problem oft auf die Frage reduziert, mit welchem Aufwand ein Auslesen oder Mitlesen der im Chip gespeicherten Daten möglich ist. Neben den Lesereichweiten wird dabei über die Güte der Zugriffsschutzmechanismen diskutiert. Die Bundesregierung sieht die Sicherheits-vorkehrungen als ausreichend an.20
Der Hessische Datenschutzbeauftragte betrachtet die vorgesehenen Sicherheitsvorkehrungen unter den unten erläuterten Annahmen ebenfalls als angemessen.
2.2.1 Lesereichweiten
Die Lesereichweiten unterscheiden sich erheblich je nachdem, ob der Chip aktiv ausgelesen werden soll oder die Kommunikation zwischen einem (zugelassenen) Lesegerät und dem Chip mitgeschnitten wird. Beim Auslesen ist die Energiezufuhr vom Lesegerät zum Chip das Element, das die Reichweite beschränkt. Nach dem heutigen Stand kann man für den bei Ausweisdokumenten eingesetzten Standard21 davon ausgehen, dass die erreichbaren Lesereichweiten höher sind als spezifiziert. Jedoch auch unter Laborbedingungen sind die Lesereichweiten nicht beliebig zu vergrößern; man kann für Sicherheitsbetrachtungen von folgenden maximalen Reichweiten ausgehen:
Aktives Lesen weniger als 1 Meter, Mitlesen der Kommunikation etwa 20m.22 Generell kann als Schutz gegen das unbemerkte Auslesen eines RFID-Chips dieser auch abge-schirmt werden. Solche „Faradayschen Käfige“ werden gerade für Reisepässe bereits angeboten.23
Als Zugriffsschutz für Reisepässe mit RFID-Chip sind BAC und EAC vorgesehen. Beide Funktionen prüfen, ob das Lesegerät berechtigt ist, die Daten auszulesen.26
Wegen der vergleichsweise geringen Schlüssellänge könnte die BAC ein Problem darstellen. Dies gilt jedoch nicht für das Auslesen. Der RFID-Chip ist kein Hochleistungscomputer. Um mit einer Brute-Force-Attacke die möglichen Schlüssel auszuprobieren,27 müsste man für lange Zeit, nicht nur Stunden, hinter der Person mit einem Lesegerät in kurzem Abstand hergehen. Wäre der Reisepass gestohlen, so hätte man aber sowieso alle Daten verfügbar und im Zweifel ein wesentlich besseres Lichtbild aus kurzer Entfernung aufgenommen. Das Mitlesen ist daher in diesem Zusammenhang das realistischere Angriffsszenario. Dazu muss das Abhörsystem aber in relativer Nähe zu einem zugelassenen Lesegerät installiert werden.28 Für die durch BAC geschützten Daten gibt es einfachere Wege, die gewünschten Informationen zu erhalten.
Sobald Fingerabdrücke gespeichert werden, kommt die EAC zum Einsatz. Bei EAC muss das Lesegerät ein Zertifikat des ausstellenden Landes haben. Dieses Zertifikat hat eine beschränkte Gültigkeit. Die Verschlüsselungsmechanismen selbst haben eine so hohe Güte, dass der Aufwand für eine Entschlüsselung zu hoch ist. Ein Szenario um unbefugt Daten auszulesen wäre, dass ein Lesegerät mit gültigem Zertifikat entwendet wird. Mit diesem könnten dann die Daten ausgelesen werden. Da die Zertifikate nur eine kurze Gültigkeitsdauer haben, schlägt nach kurzer Zeit die Gültigkeitsprüfung zu. Dazu muss beachtet werden, dass der RFID-Chip keine Uhr besitzt. Er kann die Gültigkeit im Prinzip nicht prüfen. Es wird lediglich bei jedem Lesevorgang das Datum, das vom Lesegerät mit überträgen wird, gespeichert und als letztes gültiges Datum vermerkt. Jeder spätere Lesevorgang muss nach diesem Zeitpunkt erfolgen und das Zertifikat muss dann noch gültig sein.
Der Pass muss immer wieder mit einem aktuellen Datum versorgt werden, damit die EAC ihre Funktion erfüllen kann. Deshalb sollte man vor einer Reise also einmal zur Bundespolizei gehen und das Dokument auf Lesbarkeit prüfen lassen. Damit wird auch das aktuelle Datum gesetzt und mit abgelaufenen Zertifikaten kann nicht mehr auf die Daten zugegriffen werden.
2.2.3 Bewegungsprofil
Diese Sicherheitsfunktionen helfen aber nicht gegen die Bildung eines Bewegungsprofils!
Jeder RFID-Chip, auch die der Ausweisdokumente, überträgt in der Initialisierungs-phase seine eindeutige Chip-ID29 an das Lesegerät. Dies geschieht analog der IMEI. Erst wenn Chip und Lesegerät miteinander kommunizieren, greifen die BAC oder EAC als Zugriffsschutz. Es wäre also möglich, nur an Hand dieser Informationen festzustellen, ob ein bestimmter Chip in der Nähe eines Lesegeräts ist. Durch die Kombination der Informationen vieler Lesegeräte könnte theoretisch ein Bewegungsprofil gebildet werden.30
Dieses Szenario wurde schon für sogenannte “logische Bomben” herangezogen. Man platziert in einem Aufzug oder einer Drehtür eine Bombe, die über ein Lesegerät aktiviert werden kann. Wenn dann die Chip-IDs der Pässe einer Reihe gefährdeter Personen bekannt wäre, könnten zielgenaue Anschläge begangen werden.31
Angesichts des Überwachungspotentials besitzen Deutsche Pässe eine besondere Funktion. Abweichend von der normalen standardkonformen Technik haben sie keine eindeutige Chip-ID, sondern bei jedem Lesevorgang wird eine Zufallszahl generiert, aus der die Chip-ID gebildet wird.32
Hierdurch wird verhindert, dass ein Bewegungsprofil gebildet werden kann.
2.3. Biometrie
Beim Einsatz biometrischer Verfahren muss als erstes geklärt werden, was erreicht werden soll. Geht es um eine Identifikation, d. h. soll mit einem Abgleich aus vielen gespeicherten Merkmalsätzen die richtige Person gefunden werden, oder um eine Verifikation, d. h. soll eine behauptete Identität mit einem gespeicherten Merkmal verglichen werden?
Bei Ausweisdokumenten geht es (meist) um eine Verifikation. Ein Ausweis wird vorgelegt und es soll überprüft werden, ob er für die Person ausgestellt wurde, die ihn vorlegt.
2.3.1 Das Lichtbild
Das Lichtbild ist als biometrisches Merkmal seit langem bei Ausweisdokumenten der Standard. Insofern ist es logisch, dass die ICAO ein (digitales) Lichtbild als primäres biometrisches Merkmal definiert hat. Hier gibt es keine Abweichung zur akzeptierten Ausprägung von Ausweisen.
Es stellt sich jedoch die Frage, inwieweit das digitale Lichtbild zur Überwachung geeignet ist.
Die Technik ist so weit fortgeschritten, dass sie im Prinzip zur Überwachung geeignet ist. Als Gegenbeweis wird manchmal auf das Ergebnis des Versuchs am Hauptbahnhof Mainz verwiesen.33 Dort hat das BKA über einen längeren Zeitraum versucht, Testpersonen mit Videoüberwachungstechniken im Menschenstrom zu identifizieren. Es nahmen 200 Pendler als Testpersonen teil, die aus den täglich etwa 23.000 Passanten am Mainzer Hauptbahnhof erkannt werden sollten. Als Ergebnis hat das BKA mitgeteilt, dass die Technik nicht für die Belange der Polizei geeignet sei. Es ist aber ein Trugschluss, dies als Beweis dafür zu sehen, dass die Technik nicht zur Überwachung geeignet ist. Für eine Überwachung reichen meist bereits Indizien wer wann wo war, um diesen dann nachzugehen.
Die Systeme sollten eine FAR34 von 0,1% haben; also nur in einem von 1.000 Fällen durfte eine Person fälschlicherweise als gesucht erkannt werden. Diese Zuverlässigkeit wird von Zeugen bei der Polizei oder vor Gericht nicht erreicht. Unter dieser Voraussetzung betrug die Erkennungsrate bei guten Lichtverhältnissen bis zu 60% und bei schlechten etwa 20%! Die FRR35 betrug entsprechend 40 % bzw. 80%. Zur Verdeutlichung der Zahlen sollen folgende Tabellen dienen, wobei in Klammern hypothetische Werte gesetzt sind, falls die Teilnehmerzahl 100 Personen gewesen wäre:
| Vom System als Test-Teilnehmer identifiziert |
Vom System nicht als Test-Teilnehmer identifiziert |
FAR 23 Personen (23 Personen |
22777 Personen 22877 Personen |
Nicht-Teilnehmer 22800 Personen 22900 Personen) |
| 120 Personen (60 Personen |
FRR 80 Personen 40 Personen |
Test-Teilnehmer 200 Personen 100 Personen) |
| 143 Personen ( 83 Personen |
22857 Personen 22917 Personen |
Passanten 23000 23000) |
In dieser Ausgangskonstellation erhält die Polizei bei 200 Testteilnehmern in 23 von 143 Fällen, das entspricht etwa 15%, eine Fehlinformation. Nehmen nur 100 Personen teil, werden also weniger Personen gesucht, so bleibt die Zahl der Fehlinformationen mit 23 gleich, aber es werden nur 60 gesuchte Personen erkannt; der Anteil der Falschmeldungen steigt auf fast 28%. Je weniger Personen gesucht werden, umso größer wird also der Anteil der Falschmeldungen.
| Vom System als Test-Teilnehmer identifiziert |
Vom System nicht als Test-Teilnehmer identifiziert |
|
| FAR 23 Personen |
22777 Personen | Nicht-Teilnehmer 22800 Personen |
| 40 Personen | FRR 160 Personen |
Test-Teilnehmer 200 Personen |
| 63 Personen | 22937 | Passanten 23000 |
Bei einer Erkennungsrate von 20% würde die Polizei in 23 von 63 Fällen, das entspricht mehr als einem Drittel, eine Fehlinformation erhalten. Würde die Zahl der Test-Teilnehmer bei 50 liegen, so hätte man in diesem Fall sogar eine Fehlerquote von fast 70%.
In der Gesamtschau kam das BKA zur Einschätzung, dass die Systeme für die Polizeiarbeit nicht gut genug sind.
Falls aber eine Stadt fast flächendeckend mit Videokameras zu Überwachungszwecken versehen wäre, ändert sich das Bild. Wenn eine Person im Sommer durch die Stadt spaziert und nur jede zweite Kamera sie erkennt, kann man aus der Kombination der Daten „wann und wo“ von mehreren Kameras den Weg rekonstruieren. Wenn man die Aufzeichnungen noch gezielt durchforschen kann mit dem Schwerpunkt auf Kleidung oder Utensilien, so reicht die sichere Identifizierung durch eine Kamera für ein Bewegungsprofil. Die Konsequenz kann nur lauten, dass Lichtbilder und Gesichtserkennung ein Überwachungspotential haben.
2.3.2 Der Fingerabdruck
Als sekundäres biometrisches Merkmal wurden von der ICAO Fingerabdruck oder Iris festgelegt. Man hat sich in der EU36 und in Deutschland für den Fingerabdruck entschieden.
Gegenüber der Öffentlichkeit hat man immer wieder als Grund für die Einführung von Fingerabdrücken als biometrischem Merkmal die damit einhergehende Fälschungssicherheit der Ausweise genannt. Diese Begründung verwundert, wenn man die Antwort der Bundesregierung auf eine Kleine Anfrage liest. Darin wird festgestellt, dass im Zeitraum von 2001 bis 2006 die Bundespolizei sechs Fälschungen deutscher Pässe entdeckt hat.37 Für Personalausweise wird eine Zahl von 88 Totalfälschungen genannt.38
Die Konsequenz ist, dass keine höhere Fälschungssicherheit benötigt wird.
Das biometrische Merkmal kann im Prinzip verhindern, dass eine Person einen Pass vorlegt, der für eine andere Person ausgestellt wurde. In diesem Fall würde das Merkmal der Verifikation dienen. Dies ergibt sich aus den Bestimmungen von § 3 Abs. 5 Personalausweisgesetz, § 16a, Satz 2 Paßgesetz oder Artikel 4 Abs. 3 der EU-Verordnung 2252/200439 wenn man sie konsequent anwendet. Der Fingerabdruck ist in diesem Punkt nicht unproblematisch. Bei ca. 2 % der Bevölkerung ist er nicht so ausgeprägt, dass er abgenommen, d.h. „enrollt“ werden kann40 (FER41). Außerdem gibt es Berufsgruppen wie beispielsweise Landarbeiter oder Handwerker und Sportler wie Handballer, bei denen der Abgleich zwischen gespeichertem und präsentiertem Merkmal oft zum Ergebnis „keine Übereinstimmung“ kommt (FNMR42), da seit der Passausstellung die Fingerabdrücke „beschädigt“ wurden. Vor diesem Hintergrund ist zu befürchten, dass es viele Personen gibt, bei denen die Verifikation unberechtigterweise keine Übereinstimmung signalisiert. Sollte der Wert der FRR bei 2 % liegen, betrifft es mehr als 1.000.000 Bundesbürger!
Unabhängig von der Frage, wie der Anteil gesenkt werden kann, sind unbedingt Schulungen der Beamten nötig, damit auf die Fehlermeldung beim Lesen der Ausweise richtig reagiert wird.
Das sind aber nicht die einzigen Probleme des biometrischen Merkmals Fingerabdruck. Fingerabdrücke haben ein Überwachungspotential. Man hinterlässt seine Fingerabdrücke an den Orten wo man war. Wenn jemand die Fingerabdrücke für Vergleiche besitzt, kann er feststellen, ob diese Person dort war. Im Zusammenhang mit Reisepässen wird oft gefragt, wie die Datenschutzbeauftragten dazu stehen, dass fremde Staaten die Pässe auslesen können, um die Daten zu speichern. Die Lösung dieses Problems hat aus Sicht des Hessischen Datenschutzbeauftragten deshalb keine hohe Priorität, weil fremde Staaten, die die Fingerabdrücke von Reisenden haben wollen, gar nicht auf die Reisepässe angewiesen sind. Der Reisende muss sie sich an der Grenze abnehmen lassen, um überhaupt einreisen zu dürfen! Nicht nur die USA, sondern seit dem 20. November 2007 auch Japan43 nehmen Reisenden bei der Einreise Abdrücke aller 10 Finger ab. In beiden Fällen wird kein für die EAC von der Bundesrepublik Deutschland he-rausgegebenes Zertifikat benötigt.
2.3.3 Alternativen: Iris oder Venenmuster
Es bleibt die Frage, ob es für den Personalausweis bessere Lösungen gibt. Für den Fingerabdruck gilt: ein Missbrauch ist nur durch die im Gesetz festgeschriebene Zweckbindung verhindert. Bei anderen Merkmalen wie der Iris oder dem Venenmuster der Fingerkuppen ist ein Überwachungspotential kaum oder nicht gegeben. Man hinterlässt keine Spuren, die durch einen Abgleich mit diesen Merkmalen zu der Aussage führen, dass man an einem bestimmten Ort war. Nach Aussagen der Hersteller sind die Werte für FAR und FRR44 bei beiden Merkmalen sogar besser als für Fingerabdrücke. Bei den biometrischen Merkmalen für den Personalausweis sollte noch einmal das Überwachungspotential betrachtet werden. Außer beim Lichtbild sollte es nicht vorhanden sein. Die Formulierung des Personalausweisgesetzes würde es zulassen, dass mit dem Venenmuster der Fingerkuppen gearbeitet wird.
Wenn über die Fälschungssicherheit von Ausweisen mit biometrischen Merkmalen zur Verifikation nachgedacht wird, sollte der Anker all dieser Vorkehrungen nicht vergessen werden, das Personenstandswesen. Sollte es möglich sein, einen echten falschen Ausweis ausgestellt zu bekommen, sind alle Sicherheitsmechanismen unwirksam. Gerade hier gibt es z. Z. Entwicklungen, bei denen der Anspruch einer dauerhaften Verfügbarkeit der Urkunden nicht zweifelsfrei gegeben ist.
2.3.4 Zusammenfassung
Zusammenfassend bleibt festzustellen:
Wenn statt Verifikation Identifikation das Ziel ist, sollte es die Politik auch so benennen! Wenn es tatsächlich um die Verifikation geht, sollte über bessere Mechanismen nachgedacht werden.
An einem Beispiel zeigt sich das datenschutzrechtliche Konfliktpotential noch einmal.
Am Frankfurter Flughafen gibt es Planungen, statt des Irismusters demnächst Fingerabdrücke zur Verifikation von Vielfliegern heranzuziehen. Es ist bedenklich, wenn die Überlegungen der Verantwortlichen zum Überwachungspotential sich auf die Aussage reduzieren lassen: „Die Zweckbindung ist durch organisatorische und technische Maßnahmen gewährleistet“.
4. Online-Durchsuchung
Das Thema Online-Durchsuchung wird derzeit heftig diskutiert.45 An dieser Stelle soll die Diskussion nicht erneut geführt werden, sondern lediglich auf ein praktisches Problem hingewiesen werden. In der Beratung müssen Datenschutzbeauftragte immer wieder Hinweise geben, wie eine ausreichende Datensicherheit erreicht werden kann. Bisher konnte auf entsprechende Informationen staatlicher Stellen verwiesen werden. Es fällt schwer, Bedenken zu zerstreuen, wenn staatliche Stellen sich die Möglichkeit zur Online-Durchsuchung schaffen.
Wie eine Online-Durchsuchung technisch genau abläuft ist weitgehend unklar.46 Allerdings hat das Bundesministerium des Innern47 glaubhaft versichert, dass keine Hintertüren in der Software in Auftrag gegeben werden. Aber damit ist nicht gesagt, dass deutsche Behörden nicht im Internet bei Auktionen mit bieten, auf denen exploits48 versteigert werden. Es spricht vieles dafür, dass dies der eingeschlagene Weg ist.49
Hier zeichnet sich ein Problem mit der Glaubwürdigkeit ab. Der Staat versucht im Rahmen von e-Government Initiativen den Bürger dazu zu bringen, das Internet für seine Kommunikation mit der Verwaltung und darüber hinaus zu benutzen. Er tut es und verlangt vom Bürger, dass dieser sich vor Angriffen schützt. Dazu erstellt er auch Informationen, wie man sich schützen kann.50
Gleichzeitig wird zugegeben, dass der Staat Hintertüren kennt, die es ihm erlauben, auf Rechnern Daten zu kopieren und an die überwachenden Behörden zu übertragen.51 Wie passt diese Tatsache mit seiner Aufgabe zusammen, Bürgern und Wirtschaft vor solchen Hintertüren zu warnen und möglichst sogar Vorschläge für Sicherheitsmaßnahmen zu machen? Wie soll ein Datenschutzbeauftragter weiterhin anfragenden Bürgern sagen, dass das BSI oder andere Stellen und damit ein Teil des Sicherheitsbereichs ein vertrauenswürdiger Ansprechpartner für IT-Sicherheitsbelange ist? Der Vertrauensschaden kann dadurch groß werden. Jedenfalls sind Bedenken gegenüber der Aussage angebracht, dass nur in wenigen Fällen die Software eingesetzt wird, wenn der Einsatz der RFS52 bereits bei Hooligans gefordert wird53, da diese über das Internet Krawalle absprechen.
Sollte der Staat Hintertüren oder exploits für sich nutzen, um auf Rechner zugreifen zu können, so kann er keinen Gewerbetreibenden oder anderen Bürger zwingen, diese Technik als Zugangsvoraussetzung für staatliche Leistungen zu nutzen.
5. Fazit
Es gibt viele moderne Techniken mit Überwachungspotential. In einigen Fällen kann man den öffentlich geäußerten Sicherheitsansprüchen genügen, ohne die Freiheit der Bürger übermäßig einzuschränken. Diese Wege sollten alle Beteiligten gehen. Wo sich die Wege trennen, sollte aber auch das Ziel klar gesagt werden, damit der Bürger sich entscheiden kann.