Protokollierungspflichten bei IT-Ermittlungsmaßnahmen

Eine Beweiskette mit fehlenden Gliedern – Protokollierungspflichten im Rahmen strafrechtlicher IT-Ermittlungsmaßnahmen

Beweismittel aus der Auswertung von Smartphones etc. können Beschuldigte schwer belasten. Umso wichtiger sind die Integrität und Authentizität der Daten. Dafür muss die Polizei Protokolle zu ihren technischen Ermittlungsmaßnahmen anfertigen und die Staatsanwaltschaft Einsicht in die Protokolle gewähren.

Warum sind Protokolle so wichtig?

Eine Veränderung von Datensätzen können ungeübte Augen nur selten erkennen. Meta-Daten geben unter anderem den Zeitpunkt der Entstehung und der Bearbeitung der Daten wieder. Eine Analyse dieser Metadaten gibt Aufschluss über die Urheberschaft und Authentizität der erhobenen Daten.

Wenn sich Ermittlungsbehörden einen Zugang zu komplexen IT-Systemen (z. B. Smartphones oder Laptops) des Beschuldigten verschaffen, greifen sie hierdurch in das Grundrecht auf Integrität und Vertraulichkeit solcher IT-Systeme aus Art. 2 Abs. 1 iVm. Art 1 Abs. 1 GG ein. Werden dabei Telekommunikationsvorgänge des Nutzenden überwacht, greifen sie in das Grundrecht des Nutzenden und seiner Telekommunikationsteilnehmer auf Vertraulichkeit der Telekommunikation aus Art. 10 GG ein. Das Bundesverfassungsgericht hat für Eingriffe in diese sensiblen Grundrechte hohe Hürden gezogen. Das zuständige Gericht und die Verteidigung können die Einhaltung dieser Hürden nur mit Hilfe eines lückenlosen Protokolls über die Maßnahme überprüfen. Im Zweifel ermöglichen sie allein die Wahrnehmung des Grundrechts von Beschuldigten auf einen effektiven Rechtsschutz gem. Art. 19 Abs. 4 GG.

Welche Protokollpflichten gibt es in der StPO?

Protokollpflichten hat der Gesetzgeber bereits explizit für die Quellen-Telekommunikationsüberwachung aus § 100a Abs. 1 S. 2 StPO und die Online-Durchsuchung gem. § 100b StPO gesetzlich geregelt. Bei diesen Maßnahmen greift die Staatsanwaltschaft mit Hilfe eines Programmes heimlich auf das Endgerät eines Beschuldigten zu, um Chat-Nachrichten mitzulesen oder gespeicherte Daten zu kopieren. Die Staatsanwaltschaft muss bei diesen Maßnahmen festhalten, zu welchem Zeitpunkt die Maßnahme stattfand, welches Programm den Zugang ermöglicht hat, welche Ermittler den Eingriff vorgenommen haben und welche Veränderungen am Endgerät vorgenommen wurden. Insbesondere muss die Staatsanwaltschaft den Quell-Code des eingesetzten Programmes der Verteidigung und dem Gericht zur Verfügung stellen.

Welche Protokollpflichten gibt es im allgemeinen Datenschutzrecht?

Daneben sieht bereits das allgemeine Datenschutzrecht Protokollpflichten für Ermittlungsbehörden beim Umgang mit personenbezogenen Daten vor. Gemäß 70 Abs. 1 BDSG (bzw. der entsprechenden landesrechtlichen Norm) muss die Ermittlungsbehörde als sog. Verantwortliche insbesondere erforderliche technische und organisatorische Maßnahmen, die gem. § 64 Abs. 1 BDSG dem Schutz der Daten dienen, in allgemeiner Form festhalten. Dies umfasst alle organisatorischen und technischen Tätigkeiten und Vorkehrungen, die der Sicherstellung der Integrität der Daten dienen.  Hierbei sollen jedoch lediglich Kategorien der Datenverarbeitung protokolliert werden. Eine Protokollierung von Einzelmaßnahmen ist nicht vorgeschrieben.

Eine konkrete Protokollierungspflicht entspringt auch nicht aus dem Auskunftsrecht betroffener Personen aus § 57 BDSG. Betroffene haben gem. § 57 Abs. 1 Nr. 4 BDSG das Recht, alle verfügbaren Informationen über die Herkunft der Daten von der Verantwortlichen zu erlangen. Für die Erfüllung dieses Anspruchs reicht jedoch die Nennung der allgemeinen Herkunft der Daten, technische Einzelheiten müssen Ermittlungsbehörden nicht übermitteln.

Fazit

Obwohl Protokolle in Verfahren, bei denen Daten als Beweismittel dienen, häufig die einzige Möglichkeit darstellen, effektiven Rechtsschutz zu ermöglichen, machen Gesetzgeber und Rechtsprechung hierzu kaum Vorgaben. Einzig die Protokollierungspflichten bezüglich der Quellen-Telekommunikationsüberwachung und der Online-Durchsuchung sind vom Gesetzgeber geregelt.  Das allgemeine Datenschutzrecht bietet hingegen keinen hinreichenden Grundrechtsschutz für Beschuldigte. Im Rahmen technischer Ermittlungsarbeiten besteht somit weiterhin ein Regelungsbedarf.

Diana Nadeborn