Die anlasslose Massenüberwachung der DNS-Anfragen aller Kunden von Vodafone ist vorerst abgewendet. Der Netzbetreiber wehrte sich dagegen erfolgreich mit einer Verfassungsbeschwerde. Klaus Landefeld von Branchenverband eco bewertet die Methode als „völlig ungeeignet“. Er hofft, dass sie dauerhaft verboten wird.

Ende November erging eine Eilentscheidung des Bundesverfassungsgerichts zu einer neuen Form der Massenüberwachung: Das Gericht stoppte einen Amtsgerichtsbeschluss, die einem Netzbetreiber das Mitprotokollieren von Billionen DNS-Anfragen vorgeschrieben hätte.

Das Amtsgericht Oldenburg hatte Vodafone zur Umsetzung von Überwachungsanordnungen verpflichtet, die monatlich sage und schreibe 12,96 Billionen DNS-Anfragen betroffen hätte. Der DNS-Server des Anbieters sollte überwacht werden, gestützt auf Paragraph 100a der Strafprozessordnung. Außerdem sollten die zur Identifizierung des Anschlussinhabers notwendigen Kundendaten mitgeliefert werden.

Doch der Telekommunikationskonzern wehrte sich und setzte sich nun vorerst durch. Die Vollziehung des amtsgerichtlichen Beschlusses ist für sechs Monate ausgesetzt, auch neue Anordnungen darf es nicht geben.

Das Bundesverfassungsgericht sieht „jedenfalls massenhafte Eingriffe“ in das Fernmeldegeheimnis der vierzig Millionen Vodafone-Kunden und erkennt Anhaltspunkte, dass die DNS-Massenüberwachung verfassungswidrig sein könnte. Viele völlig unverdächtige Kunden gerieten in die Überwachung und könnten sich nicht dagegen wehren. Denn die Überwachung findet heimlich statt, weswegen weder vorbeugender noch abwehrender Rechtsschutz möglich sei.

Wer ruft was auf?

Vodafone sollte DNS-Anfragen zu einem bestimmten Server abfangen, über den aber keine näheren Angaben bekannt sind. Das Domain Name System (DNS) übersetzt den Namen einer Website wie beispielsweise netzpolitik.org in Nummern (hier IPv4 144.76.255.209). Das könnte man mit den früher gebräuchlichen Telefonbüchern vergleichen. Allerdings wird nicht minutenlang gestöbert und geblättert, sondern die Namensauflösung wird in einem Bruchteil einer Sekunde geliefert.

Die Namensauflösung erfolgt technisch mehrstufig. Typisch ist heute die Server-assistierte iterative Form: Ein DNS-Stub-Resolver fragt den lokalen rekursiven DNS-Server, der die Anfrage (iterativ von der Wurzel abwärts) bis zum gesuchten Domain-Namen weiterleitet. Gebräuchliche DNS-Resolver und DNS-Server beschleunigen diese Namensauflösung dadurch, dass sie lokale DNS-Caches als Zwischenspeicher nutzen.

Zieht man den Vergleich mit dem Telefonbuch heran, dann wollten die Ermittler also eine Art Zielwahlüberwachung der gesamten Telefonie, um gezielt für eine vorgegebene Zieltelefonnummer herausfinden, wer alles diese Nummer angerufen hat.

13 Billionen DNS-Anfragen pro Monat mitprotokollieren

Vodafone gab dem Gericht die Anzahl von etwa fünf Millionen DNS-Server-Anfragen pro Sekunde im Anordnungszeitraum von einem Monat an. So errechnen sich die 12,96 Billionen DNS-Anfragen monatlich.

Um eine so große Anzahl für eine Überwachungsanordnung festzuhalten, müsste ein erheblicher Aufwand betrieben werden. Und je größer die eigene DNS-Infrastruktur des Netzbetreibers ist, desto aufwendiger wird es. Die Technik zur Protokollierung darf aber dabei die eigentliche Funktion, nämlich die schnelle Namensauflösung, nicht bremsen.

Das bedeutet einen großen organisatorischen und personellen Aufwand. Die DNS-Server-Systeme der Anbieter müssten sämtliche DNS-Anfragen aller Kundenanschlüsse daraufhin auswerten, ob diese einen bestimmten inkriminierten Server abfragen.

Klaus Landefeld, Vorstand des IT-Branchenverbandes eco, bewertet die Eilentscheidung des Bundesverfassungsgerichts positiv und hofft auf ein Ende der Überwachungsmethode: „Das war dringend notwendig, um diese neue Idee einer Schleppnetzfahndung im Internet zumindest vorübergehend, hoffentlich aber auch dauerhaft abzuwenden.“

Die Maßnahme sei „völlig ungeeignet“. Denn es müssten „faktisch alle Anbieter von DNS-Resolvern verpflichtet werden“. Doch selbst dann könnten diese Anbieter nur einen Teil der DNS-Anfragen ihren eigenen Kunden zuordnen, da diese auch Resolver von populären Drittanbietern wie etwa Google (8.8.8.8), Cloudflare (1.1.1.1) oder Quad9 (9.9.9.9) nutzten. Und selbst wenn die Methode Erfolg hätte, wäre der immense Aufwand „mit Sicherheit dem Ergebnis nicht angemessen“ und rechtfertigte nicht die „anlasslose Massenüberwachung der DNS-Anfragen aller Kunden“, so Landefeld.

Es drängt sich die Frage auf, weswegen diese offensichtlich wenig geeignete Maßnahme von den Ermittlern überhaupt gefordert wird. „Ich halte es persönlich für einen verzweifelten Versuch, die mangelhafte oder derzeit überhaupt nicht vorhandene Möglichkeit der (Rück-)Auflösung von Carrier-NAT durch die vorgeschaltete DNS-Abfrage zu umgehen“, sagt Landefeld. Die Ermittler wollen demnach an private IP-Adressen gelangen, auch wenn dies für die Netzbetreiber einen außerordentlichen Aufwand bedeutet und Millionen Kunden betroffen wären. Denn der DNS-Server vom Anbieter sieht vielleicht die private IP-Adresse des Kunden und nicht nur die öffentliche IP-Adresse, die sich eben viele Kunden (Carrier-grade NAT) teilen.

Es gibt auch andere technische Methoden, um an die gesuchte private IP-Adresse zu kommen, die bei der Verhältnismäßigkeitsprüfung nicht schon auf der ersten Stufe scheitern. Das sieht auch das hohe Gericht so. Landefeld fielen ebenfalls Alternativen ein, die ohne anlasslose Massenüberwachung auskämen. Den Ermittlern waren aber offenbar keine anderen Methoden eingefallen.

Wer die gesuchten Verdächtigen sind, ist bisher nicht bekannt. Akteneinsicht hatte der Netzbetreiber von der Staatsanwaltschaft nicht bekommen. Aber schwerwiegende Verfehlungen können es nicht sein. Denn das Bundesverfassungsgericht schreibt, es sei „nicht ersichtlich, dass die hier konkret verfolgten Delikte besonders schwer wögen oder die Ermittlung des Sachverhalts mit anderen Ermittlungsmethoden nicht ebenso erfolgsversprechend sein könnte“.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Wichtige Stimmen wie Amnesty International, Reporter ohne Grenzen und der Chaos Computer Club appellieren eindringlich an die Bundesregierung, die Chatkontrolle zu verhindern. Sie warnen vor einem Angriff auf die Pressefreiheit, einem IT-Sicherheitsalptraum und einer Gefahr für die Demokratie.

Die Entscheidung um die Chatkontrolle rückt näher. Wenn die Bundesregierung ihre bisher grundrechtsfreundliche Position ändert, könnte die EU das Überwachungsprojekt doch noch beschließen. Bei der so genannten Chatkontrolle geht es um eine EU-Verordnung, die sich gegen die Verbreitung von Darstellungen sexuellen Kindesmissbrauchs (sogenannte Kinderpornografie) richten soll.

Die EU verhandelt seit drei Jahren kontrovers. Die geplante Verordnung enthält Vorschriften, die Messenger wie WhatsApp, Signal, Threema oder Telegram verpflichten sollen, die Kommunikation aller Nutzer:innen ohne jeden Verdacht zu durchsuchen.

Eine breite Front lehnt die Chatkontrolle ab. Nicht nur die IT-Fachwelt und die Wissenschaft sind gegen diese anlasslose Massenüberwachung, sondern auch zivilgesellschaftliche Organisationen aller Art.

Wir haben uns umgehört, was zivilgesellschaftliche Organisationen von der Bundesregierung erwarten – und warum die Chatkontrolle so gefährlich ist. Die Ablehnung reicht von Digital- und Journalistenverbänden über Menschenrechtsorganisationen bis hin zu Fußballfans.

„Gesamte Bevölkerung unter Generalverdacht“

Die Chatkontrolle würde das „Ende einer breit verfügbaren, vertraulichen und sicher verschlüsselten Kommunikation in Europa“ bedeuten, sagt Tom Jennissen von der Digitalen Gesellschaft. „Die gesamte Bevölkerung würde unter Generalverdacht gestellt und ihre Endgeräte mit staatlich verordneter Spyware infiziert.“ Von der Bundesregierung erwartet Jennissen, dass sie sicherstellt, dass dieser „vollkommen unverhältnismäßige Angriff auf unsere Kommunikationsgrundrechte und die IT-Sicherheit endlich vom Tisch kommt“.

Svea Windwehr vom digitalpolitischen Verein D64 sagt, dass die Chatkontrolle Grundrechte untergrabe, aber ohne den Schutz von Betroffenen zu verbessern. Jede Form der Chatkontrolle zerstöre die Verschlüsselung und die Vertraulichkeit privater Kommunikation, einem Schutz, von dem alle Menschen profitieren. „Anstatt auf vermeintliche technische Lösungen für eine komplexe gesellschaftliche Herausforderung zu setzen, müssen Ansätze gestärkt werden, die Prävention, Care und Unterstützung von Betroffenen in den Fokus rücken“, so Windwehr.

Elina Eickstädt, Sprecherin des Chaos Computer Clubs, nennt die Chatkontrolle und den vorgesehenen Bruch von vertraulicher und verschlüsselter Kommunikation den „Anfang von einem IT-Sicherheitsalptraum“. Hintertüren würden nie nur für Strafverfolgungsbehörden funktionieren, sondern immer auch für andere. „Die Bundesregierung muss sich klar gegen jeden Bruch von vertraulicher und verschlüsselter Kommunikation stellen, sie darf keinen Entwurf annehmen, der diese Prinzipien verletzt“, so Eickstädt weiter.

„Massiver Angriff auf Pressefreiheit“

Arne Semsrott von Frag den Staat sieht in der Chatkontrolle einen „massiven Angriff auf die Pressefreiheit“. Medienschaffende seien darauf angewiesen, vertraulich mit Quellen zu kommunizieren und ihre Arbeit zu schützen. „Wird diese Möglichkeit mit der Chatkotrolle genommen, schadet das der freien Presse enorm“, sagt Semsrott.

Das bestätigt auch Anja Osterhaus von Reporter ohne Grenzen. Sichere Verschlüsselung sei „unverzichtbar für vertrauliche Kommunikation und unabdingbare Voraussetzung für die Pressefreiheit“. Verschlüsselung schütze Journalist:innen und ihre Quellen, das ermögliche investigative Recherchen und erlaube es Whistleblowern, Missstände mitzuteilen. „Chatkontrolle untergräbt nicht nur das Vertrauen in sichere Kommunikation, sie gefährdet auch den Quellenschutz und unterminiert damit das Grundrecht auf Pressefreiheit“, so Osterhaus weiter. Reporter ohne Grenzen fordert deswegen die Bundesregierung dazu auf, sich öffentlich gegen Chatkontrolle zu positionieren.

„Gefährdet die Demokratie“

Lena Rohrbach, Expertin für Menschenrechte im digitalen Zeitalter bei Amnesty International sagt: „Bei der Chatkontrolle stimmt gar nichts: Als anlasslose Massenüberwachung trifft sie alle Menschen in der EU – außer Straftäter:innen, die sie umgehen werden.“ Das Vorhaben der Chatkontrolle „gefährdet die Demokratie, weil sie eine beispiellose Kontrolle unserer Kommunikation ermöglicht, die leicht missbraucht werden kann.“ Auch sie weist darauf hin, dass Kinder „echten Schutz durch Prävention und zielgerichtete Ermittlung“ benötigen würden.

Noa Neumann aus dem Koordinierungskreis von Attac warnt vor einer „anlasslosen, präventiven Massenüberwachung und einer vollständigen Aushöhlung des Datenschutzes“. Die Bundesregierung sei dazu verpflichtet, die Rechte und die Privatsphäre von Menschen aktiv zu schützen. „Deshalb muss sie gegen die Einführung der Chatkontrolle stimmen“, so Neumann weiter.

Linda Röttig vom Dachverband der Fanhilfen erklärt, dass Fußballfans häufig von Überwachung und Datenbanken von Polizeibehörden betroffen und deswegen besonders alarmiert seien, wenn staatliche Überwachung immer weiter ausgebaut werden soll. „Daher erheben auch wir gegen die Chatkontrolle unsere Stimme und warnen gemeinsam mit vielen anderen vor den katastrophalen Folgen dieses Verordnungsentwurfs“, so Röttig weiter. Die Fußballfans fordern die Bundesregierung auf, sich gegen eine Einführung der Chatkontrolle auszusprechen und von dieser Position auch andere Mitgliedsstaaten zu überzeugen.

Druck auf Ministerien nötig

Die Bundesregierung wird sich vermutlich vor dem 14. Oktober auf eine Position einigen, dann wird im EU-Rat abgestimmt. Zur Debatte steht der dänische Vorschlag, der eine verpflichtende Chatkontrolle und Client-Side-Scanning beinhaltet.

Das Bündnis „Chatkontrolle stoppen“ ruft dazu auf, die relevanten Personen und Organisationen zu kontaktieren. Das sind vor allem die beteiligten Bundesministerien (Innen, Justiz, Digital, Familie) sowie die Fraktionen und Abgeordneten der Regierungs-Parteien im Bundestag. Am besten wirken direkte E-Mails und Telefonanrufe, oder auch rechtzeitig ankommende Briefe. Auf der Webseite des Bündnisses gibt es Tipps und Adressen, um selbst aktiv zu werden.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

In den kommenden Tagen wird die Bundesregierung entscheiden, wie sie am 14. Oktober in der EU zur Chatkontrolle abstimmt. Eines ist klar: Kommt die Chatkontrolle, wird es keine verschlüsselte und sichere Kommunikation mehr geben.

Der beliebte sichere Messenger Signal hat angekündigt, dass er Deutschland und Europa verlassen wird, wenn die Chatkontrolle kommt und sich keine Wege ergeben, sich dieser anlasslosen Massenüberwachung der privaten Kommunikation zu verweigern. Das hat Signal-Chefin Meredith Whittaker gegenüber der dpa gesagt, wie Tagesschau und Heise berichten. Es deutet sich an, dass eine Entscheidung über die Chatkontrolle am 14. Oktober fallen könnte – und die Position der Bundesregierung ist dabei entscheidend.

„Wenn wir vor die Wahl gestellt würden, entweder die Integrität unserer Verschlüsselung und unsere Datenschutzgarantien zu untergraben oder Europa zu verlassen, würden wir leider die Entscheidung treffen, den Markt zu verlassen“, sagte Meredith Whittaker der Nachrichtenagentur dpa.

Bei der so genannten Chatkontrolle geht es um eine EU-Verordnung, die sich gegen die Verbreitung von Darstellungen sexuellen Kindesmissbrauchs (sogenannte Kinderpornografie) richten soll. Sie wird seit drei Jahren kontrovers in der EU verhandelt, weil die Verordnung Vorschriften enthält, die Messenger wie WhatsApp, Signal, Threema oder Telegram verpflichten sollen, die Dateien aller Menschen auf deren Smartphones und Endgeräten ohne jeden Verdacht zu durchsuchen.

Chatkontrolle als Bedrohung für Privatsphäre und Demokratie

Dieses Durchleuchten von Dateien würde dazu führen, dass eine verschlüsselte und sichere Kommunikation für niemanden mehr möglich ist, weil die Dateien schon vor der eigentlichen Verschlüsselung angeschaut werden können. Die komplette IT-Fachwelt, führende Sicherheitsforscher, Wissenschaftler:innen aus aller Welt sowie zivilgesellschaftliche Organisationen aller Art lehnen daher die Chatkontrolle als Bedrohung für die Demokratie vehement ab. Das Suchen nach Inhalten ist technisch nicht auf bestimmte Inhalte zu begrenzen, sondern könnte in wenigen Handgriffen auch auf politisch missliebige Inhalte ausgeweitet werden.

Signal-Chefin Whittaker sagte der dpa, dass ihr Messenger niemals die Integrität seiner Ende-zu-Ende-Verschlüsselung untergraben werde. „Sie garantiert die Privatsphäre von Millionen und Abermillionen von Menschen auf der ganzen Welt, oft auch in lebensbedrohlichen Situationen.“ Signal lehne deshalb die Chatkontrolle ab. „Es ist bedauerlich, dass Politiker weiterhin einer Art magischem Denken verfallen, das davon ausgeht, dass man eine Hintertür schaffen kann, auf die nur die Guten Zugriff haben.“

Bundesregierung mauert

Während der Ampel-Regierung war die Ablehnung der Chatkontrolle nach anfänglichen Unstimmigkeiten mit dem Innenministerium relativ sicher. Das hat sich mit der neuen schwarz-roten Regierung geändert.

Die neue Bundesregierung, aber auch das beteiligte Innenministerium, das Justizministerium und der Digitalminister machen derzeit keine Aussagen, wie sie zur Chatkontrolle stehen und wie Deutschland am 14. Oktober im EU-Rat stimmen wird. Eine Entscheidung in der Bundesregierung soll in den nächsten Tagen fallen.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.