2011/08/19 OGH wiederholt Fehlentscheidung zur Auswertung von IP-Adressen
MMag. Michael Krenn
Gerichte glänzen durch völliges Unverständnis über die Natur der Internet-Protokolle - Diskussion über statische und dynamische IP-Adressen ist eine Scheindebatte - der Konflikt um die Frage, unter welchen Bedingungen eine Auswertung dynamischer IP-Adressen zur strafrechtlichen Verfolgung zulässig ist, geht in eine weitere Runde.
Die Generalprokuratur – oberste Instanz der Staatsanwaltschaft - hatte die Auffassung vertreten, dass eine Bekanntgabe der Teilnehmerdaten zu einer zugehörigen IP-Adresse den Bestimmungen zur Verarbeitung von Verkehrsdaten zu entsprechen habe. Eine Übermittlung wäre nur nach richterlicher Genehmigung bei Straftaten, die mit einer mehr als 6-monatigen Freiheitsstrafe bedroht sind, erlaubt.
Der OGH blieb seiner bereits 2005 geäußerten Auffassung treu, dass es sich dabei um eine einfache Bekanntgabe von Stammdaten eines Teilnehmers handle, die immer zu lässig sei (OGH 15Os172/10y).
Begriffsbestimmung - IP-Adresse - Stammdaten - Verkehrsdaten
IP-Adressen erlauben eine logische Kennzeichnung von einzelnen Datenpaketen im Internet. Es zumindest zwei Adressen benötigt, eine "Absende-" und eine "Ziel-"adresse. Einmal weggeschickt entwickeln diese Datenpakete weitgehend Eigenständigkeit und haben keinen Konex zu einem bestimmten Gerät. Der Datenverkehr (Datenpakete) wird dann zwischen jenen Geräten abgewickelt, die gerade zum Zeitpunkt des Empfangs die Zuständigkeit für eine bestimmte IP-Adresse für sich beanspruchen (Computern und andere Endgeräte). Der Empfangszeitpunkt ist in der Regel nicht ident mit dem Sendezeitpunkt und in der Zwischenzeit können die "verantwortlichen" Endgeräte ihre zugeordnete IP-Adresse auswechseln oder einem anderen Gerät übertragen.
Im Gegensatz zu einer Hausanschrift oder einem KFZ-Kennzeichen kann jedoch die Zuständigkeit innerhalb von Millisekunden wechseln, es können auch mehrere Geräte für dieselbe IP-Adresse zuständig sein oder auch ein Gerät für mehrere IP-Adressen verantwortlich sein. Hinzu kommt, dass gleichzeitig mehrere Benutzer diese Geräte parallel nutzen können und gleichzeitig unterschiedlichste Internetdienste und Internetinhalte damit in Anspruch nehmen.
Es kann Nutzungsformen geben, bei denen diese Eigenschaft des Wechsels der Zustündigkeiten innerhalb von Millisekunden gezielt genutzt wird. Klassischerweise gerade bei kriminellen Aktionen, bei bestimmten Formen der "Man-in-the-middle-Attack" oder der "Denial-of-Service"-Angriffen sind derartige blitzschnelle Wechsel zum Verwischen von Spuren von Bedeutung.
Der Vergleich mit einem Telefonanschluss oder eines KFZ-Kennzeichens ist völlig irreführend. Würde man das Internetprotokoll (TCP/IP) mit dem Kennzeichnungssystem im Straßenverkehr vergleichen, müsste man sich vorstellen, dass eine beliebg große Zahl von unterschiedlichen Fahrzeugtypen (vom Fahrrad bis Flugzeug) mit unterchiedlichen Zielen, Fortbewegungsarten und unterschiedlichen Inhalten gleichzeitig unterwegs sind und zu allem Überdruss noch an beliebigen Stellen ihre Kennzeichnung ändern können. Wohl kaum jemanden würde es wagen, aus dem bloß abstrakt Vorhandensein eines Fahrzeugkennzeichens eine bestimmte Person einer Straftat zu beschuldigen oder auch nur zu erwarten, dass eine bestimmte Person einen völligen Überblick über das Verkehrsgeschehen aller Fahrzeuge mit einem Kennzeichen zu allen beliebigen Zeitpunkten hätte.
Jeder würde erwarten, dass zusätzlich eine Beschreibung des Fahrzeugs, des Orts einer angeblichen Straftat und auch des Inhalts der Straftat erforderlich sind, um überhaupt ein Ermittlungsverfahren gegen eine bestimmte Person zu beginnen. Zeit, Fahrzeugbeschreibung, Ort und Inhalt wären im Internet aber genau jene Verkehrs- und Inhaltsdaten, deren Verwertung der Gesetzgeber stark beschränkt hat.
Um eine Aussage über die (Un)Rechtmäßigkeit einer Internetaktion treffen zu können, müssen die Verkehrsinformationen konkreter Datenpakete, in der Regel sogar deren Inhalte analysiert werden. Beides, Auswertung der Verkehrsinformation und Auswertung von Kommunikationsinhalten sind jedoch durch zahlreiche Verfassungs- und Spezialgesetze, beginnend beim Staatsgrundgesetz bis hin zum Telekommunikationsgesetz, eingeschränkt.
Eine an sich triviale Tatsache, die jedoch bei den Gerichten noch nicht angekommen ist. Der Hauptgrund liegt im oben beschriebenen völligen Unverständnis über die technische "Natur" von IP-Paketen und dem Internetprotokoll. Ein weit verbrietetes technisches System, dass unmittelbare Auswirkungen auf unsere Vorstellung über Kommunikation, unser Kommunikationsverhalten und damit unser Rechtsystem hat.
Dynamische vs. statische IP-Aressen
Meist wird die beschriebene komplexe Situation auf die Frage "statische" oder "dynamische" IP-Adresse reduziert. Bei Verwendung dynamischer IP-Adressen kann die Identität des Anschlussinhabers erst nach Durchsuchung von Log-Files, welchem Anschluss zu dem angegebenen Zeitpunkt die dynamische IP-Adresse zugeordnet war, bestimmt werden. Stammdaten (Name, Adresse, ...) beziehen sich auf die Identiät des Anschussinhabers, Verkehrsdaten (Ziel-IP-Adresse und Uhrzeit) auf sein Verhalten innerhalb eines Komminkationsnetzes.
Faktum ist, dass unabhängig ob die IP-Adresse einem Computer "statisch" oder dynamisch" zugeordnet ist, strafrechtlich relevante Erkenntnisse erst aus der Analyse der konkreten Datenpakete gewinnen lassen. Erst deren - letztlich inhaltliche - Analyse erlaubt zu erkennen, ob ein Missbrauch im Sinne von Straf-, Zivil- oder Verwaltungsbestimmungen vorliegt. Um jedoch der willkürlichen Ausspähung von Kommunikation einen Riegel vorzuschieben, hat eben der Gesetzgeber diese inhaltliche Analyse an das Vorhandensein einer bestimmten schwere eines Delikts gebunden.
Auskunftspflicht des Providers bei Anfrage der Staatsanwaltschaft?
Gegen einen Beschuldigten war ein Ermittlungsverfahren wegen gewerbsmäßigen Betruges geführt worden, weil er im Verdacht stand, unter Angabe falscher Kontonummern über die Website der ÖBB „Online-Tickets“ im Wert von insgesamt 529 Euro bezogen zu haben. Die ÖBB gaben die dabei an vier verschiedenen Tagen vom Verdächtigen benutzten IP- Adressen ergänzt durch die jeweilige Uhrzeit bekannt. Aufgrund dessen ordnete die zuständige Staatsanwaltschaft Steyr die Sicherstellung der Auswertungsunterlagen hinsichtlich der Stammdaten (Name, Anschrift) des Benutzers an. Dem dagegen eingebrachten Einspruch des Internet-Providers gab weder das zuständige Landes- noch das Oberlandesgericht Steyr Folge, dies unter Berufung auf die in der 2005 ergangenen OGH-Entscheidung 11Os57/05z vertretene Auffassung, die betreffende Auskunft sei formlos durch Zeugeneinvernahme zu erteilen. Die Generalprokuratur erhob dagegen eine Nichtigkeitsbeschwerde zur Wahrung des Gesetzes an den Obersten Gerichtshof, mit welcher massive Zweifel an dieser Rechtsauffassung geäußert wurden.
Generalprokuratur: IP-Adressen als Verkehrsdaten
Laut Generalprokuratur sind IP-Adressen im Sinne des § 92 Abs 3 Z 4 TKG 2003 „Verkehrsdaten“, die zum Zwecke der Weiterleitung einer Nachricht an ein Kommunikationsnetz oder zum Zwecke der Fakturierung dieses Vorgangs verarbeitet werden. Nach § 134 Z 2 StPO sei eine „Auskunft über Daten einer Nachrichtenübermittlung“ nur unter den in § 135 Abs 2 StPO genannten Voraussetzungen aufgrund einer gerichtlichen Bewilligung anzuordnen. Der zu 11 Os 57/05z erfolgte Ausspruch des OGH, dass im Strafverfahren die Abfrage, welcher Person eine bereits bekannte dynamische IP-Adresse zu einem bestimmten Zeitpunkt zugeordnet war, gemäß § 103 Abs 4 TKG 2003 formlos erfolgen könne, sei unrichtig.
Verarbeitung von IP-Adressen versus Kommunikationsgeheimnis?
Nach § 103 Abs 4 TKG 2003 hat der Betreiber in einem Teilnehmerverzeichnis eingetragene Daten gegenüber gerichtlichen Ersuchen, die sich auf die Aufklärung und Verfolgung einer bestimmten Straftat beziehen, bekannt zu geben. Für die Ermittlung der Stammdaten der Anschlussinhaber dynamischer IP-Adressen, die sich nicht in einem Teilnehmerverzeichnis („Telefonbuch“) befinden sind die Verkehrsdaten erforderlich. Strafrechtliche Judikatur und Literatur gingen davon aus, dass die - nicht selten auch auf den Inhalt der Kommunikation hinweisenden - Verkehrsdaten vom Schutzbereich des Art 10a StGG (Kommunikationsgeheimnis) umfasst seien. Dies gelte auch bei IP-Adressen, da zwar Gegenstand der Auskunft bloß Stammdaten seien, diese jedoch nur durch Verarbeitung von Verkehrsdaten auf Seiten des Anbieters ermittelt werden könnten.
Weiters dürften aus datenschutzrechtlichen Erwägungen IP-Adressen nur so lange in personenbezogener Form gespeichert werden, als dies für die Herstellung und Aufrechterhaltung der jeweiligen Verbindung - einschließlich der Behebung allfälliger Störungen - erforderlich sei. Für die Verrechnung sei deren Speicherung im Allgemeinen nicht nötig. Eine Auskunft darüber, wem eine bestimmte IP-Adresse zu einem bestimmten Zeitpunkt zugeordnet war, könne daher auch nur in der - verhältnismäßig kurzen - Zeit erfolgen in der dieses Verkehrsdatum in personenbezogener Form zur Herstellung und Aufrechterhaltung der Verbindung sowie zur Behebung diesbezüglicher Störungen gespeichert werden darf.
OGH: formlose Bekanntgabe von IP-Adressen / Speicherpflicht des Anbieters
Grundsätzlich hält der OGH in seiner Entscheidung daran fest, dass es sich bei den von der Staatsanwaltschaft begehrten Daten, nämlich Namen und Adressen bestimmter Internet-User, um Stammdaten und nicht um die an anderer Stelle der StPO beschriebenen Verkehrsdaten handle. Für eine Auskunft über Stammdaten, also Name und der Anschrift eines Internet-Users zur Aufklärung von Straftaten, gelten die gesetzlichen Einschränkungen - richerliche Genehmigung und Strafrahmensgrenze - nicht. Es spielt dabei nach Meinung des Höchstgerichts keine Rolle, ob Grundlage für die Erlangung der begehrten Stammdaten eine dynamische IP-Adresse - also Verkehrsdaten - seien. Die bloße interne Verarbeitung von Verkehrsdaten durch den Anbieter stelle keinen Eingriff in das Kommunikationsgeheimnis dar.
Weiters habe der Anbieter, um Auskunftsersuchen zwecks Aufklärung und Verfolgung einer bestimmten Straftat nachkommen zu können, gegebenenfalls zur Verifizierung der Stammdaten erforderliche Verkehrsdaten zu speichern.
OGH Entscheidung problematisch
Die ergangene Entscheidung ist formalistisch und problematisch. Die gesetzliche Einschränkung der Auskunft auf Straftaten mit einer sechs Monate Freiheitsstrafe übersteigenden Strafdrohung (§ 135 StPO) gilt für Auskunft über Verkehrsdaten“ und nicht für die interne Verarbeitung von Verkehrsdaten, zur Auskunftserteilung über Stammdaten. Interpretiert man das Gesetz in dieser völlig formalistischen Weise, so erweist sich die Bestimmung als sinnlos, da naturgemäß eine Behörde nicht an einer IP-Adresse interessiert ist, sondern immer nur an dem zugehörigen Stammdatum. Diese Form der Interpretation ist unsachlich und ungerecht, da immer dort, wo – aus welchen Gründen immer - eine bestimmte IP-Adresse zufällig bekannt ist (wie hier durch den Kontakt zur ÖBB-Homepage) Stammdaten ohne Einschränkung zu übermitteln wären, wenn dies nicht der Fall ist, eine Vergehensaufklärung hingegen daran scheitern würde, dass der Anbieter IP-Adressen nur in den Grenzen des § 135 StPO beauskunften muss.
Ein tieferer Sinn dieser Gesetzeslage ist nicht einsichtig, da nicht erkennbar ist, weshalb Straftaten, bei denen das Tatopfer in den Besitz von Verkehrsdaten, die auf einen Täter hinweisen, gelangt aufklärungswürdiger sind als andere Delikte. Eine derartige Rechtslage kann - so man tatsächlich die OGH –Interpretation teilt - nicht dem verfassungsgesetzlichen Gleichheitsgrundsatz entsprechen. Darüber hinaus sind die schützenswerten Daten natürlich die Stammdaten des Betroffen und nicht IP-Adressen, mit denen isoliert niemamd viel anfängt.
Auch eine zeitlich unbeschränkte Speicherpflicht von IP-Adressen für Anbieter - die das Höchstgericht in der Entscheidung anklingen lässt - ist durch das Gesetz keineswegs gedeckt.
Resumee
Der Oberste Gerichtshof hat seine Rechtsauffassung aus 2005 in der besprochenen Entscheidung wiederholt und ist auf die sinnvollen Argumente der Generalprokuratur in keiner Weise eingegangen. In Anbetracht dieses Umstandes hat der Gesetzgeber hier eine klare Regelung zu treffen, um bestehende Unsicherheiten auf allen Seiten zu beseitigen. Es geht hier keineswegs um „Täterschutz“ sondern darum, klare und sinnvolle Regelungen über Eingriffe in das Kommunikationsgeheimnis zu schaffen, die von der gesetzlichen Sanktion idente Straftatbestände gleich beurteilen.
Archiv --> OGH 15Os172/10y
mehr --> Vorratsdatenspeicherung was genau kommt auf uns zu?
|
