Vorratsdatenspeicherung

Begriff, Zweck und gespeicherte Daten

Vorratsdatenspeicherung verpflichtet Anbieter öffentlich zugänglicher elektronischer Kommunikationsdienste oder Betreiber öffentlicher Kommunikationsnetze, bestimmte Telekommunikationsdaten ohne konkreten Tatverdacht für einen festgelegten Zeitraum aufzubewahren. Strafverfolgungsbehörden sollen sie zur Ermittlung, Feststellung und Verfolgung von Straftaten nutzen können. Erklärter Zweck ist vor allem die bessere Verhütung und Verfolgung schwerer Straftaten, organisierter Kriminalität und des Terrorismus.

Gespeichert werden nicht die Kommunikationsinhalte, sondern insbesondere Verkehrs- und Standortdaten sowie eindeutige Gerätekennungen. Dazu können Telefonnummern, Zeitpunkt und Dauer eines Gesprächs, der Standort eines Mobiltelefons, verwendete IP-Adressen und E-Mail-Verbindungsdaten gehören. Daten über aufgerufene Internetseiten und Inhalte elektronischer Post waren von der EU-Regelung ausgenommen. Anders als bei Abrechnungsdaten oder einem gewünschten Einzelverbindungsnachweis erfolgt die Speicherung sämtlicher Kunden anlasslos und länger, als es für Vertragszwecke erforderlich wäre.

Aus den Daten lässt sich rückwirkend rekonstruieren, wer wann, wo und mit wem kommuniziert hat. Dadurch können soziale Netzwerke, Bewegungen, Gewohnheiten und Interessen sichtbar werden, obwohl Kommunikationsinhalte nicht erfasst werden. Die Vorratsdatenspeicherung unterscheidet sich von einer gezielten Telekommunikationsüberwachung: Diese beginnt aufgrund einer konkreten Maßnahme bei einem bestimmten Teilnehmer und erhebt Daten erst für die Zukunft; bei der Vorratsdatenspeicherung halten Anbieter die Daten vorsorglich für einen möglichen späteren Behördenzugriff bereit.

Eine begrenzte Variante ist die IP-Vorratsdatenspeicherung. Sie hält fest, welche IP-Adresse zu welcher Zeit für einen Internetanschluss verwendet wurde. Behörden können eine von einer Website gemeldete IP-Adresse damit einem Anschluss zuordnen. Die eindeutige Zuordnung zu einer einzelnen Person ist dadurch jedoch nicht gewährleistet.

Entwicklung und Begründung

Früher wurden Telefonverbindungen von Hand hergestellt und für die Abrechnung notiert. Automatische Vermittlungsstellen zeichneten zunächst nur Gebühren auf. Seit Anfang der 1980er Jahre speicherten Computer für jeden Kommunikationsvorgang abrechnungsrelevante Datensätze. Dies ermöglichte Einzelverbindungsnachweise, schuf aber zugleich umfangreiche Datenbestände, deren Nutzung durch Ermittlungsbehörden und Geheimdienste früh als Grundrechtsrisiko kritisiert wurde.

Befürworter begründen die Vorratsdatenspeicherung damit, dass elektronische Kommunikation stark zugenommen habe und Verkehrsdaten bei der Aufklärung schwerer Straftaten ein notwendiges und wirksames Werkzeug seien. Neue Geschäftsmodelle wie Flatrates, Prepaid- und Gratisdienste führten dazu, dass Anbieter weniger Daten für Abrechnungszwecke benötigten. Als Beispiel wird angeführt, Telekommunikationsdaten hätten zur Aufklärung der Anschläge von Madrid 2004 entscheidend beigetragen. Weitere genannte Einsatzfelder sind Kindesmissbrauch, Phishing, Rechtsradikalismus und organisierte Kriminalität.

Die Wirksamkeit ist umstritten. Eine Studie des Max-Planck-Instituts stellte fest, dass sich der Wegfall der Vorratsdatenspeicherung nicht als Ursache von Veränderungen der Aufklärungsquote nachweisen lasse. Auf Grundlage von Zahlen des Bundeskriminalamts errechneten Kritiker für Deutschland im günstigsten Fall eine Erhöhung der durchschnittlichen Aufklärungsquote von 55 % auf 55,006 %, also um 0,006 Prozentpunkte.

Europäische Union und Rechtsprechung

Die EU-Grundrechtecharta schützt in Artikel 7 die Achtung der Kommunikation und in Artikel 8 personenbezogene Daten. Trotzdem beschloss die EU eine allgemeine Regelung: Das Europäische Parlament stimmte am 14. Dezember 2005 mit 378 Stimmen gegen 197 Stimmen bei 30 Enthaltungen für die Richtlinie 2006/24/EG. Der Rat nahm sie am 21. Februar 2006 mehrheitlich an. Vorgesehen war grundsätzlich eine Mindestspeicherfrist von sechs Monaten. Die Richtlinie sollte zugleich unterschiedliche nationale Pflichten vereinheitlichen, die den Binnenmarkt für elektronische Kommunikationsdienste beeinträchtigten.

Irland bestritt die gewählte Rechtsgrundlage, doch der Europäische Gerichtshof wies die Klage am 10. Februar 2009 ab. Das Urteil betraf nur die Zuständigkeit und nicht die Vereinbarkeit der Speicherung mit den Grundrechten.

Mit Urteil vom 8. April 2014 in den verbundenen Rechtssachen C-293/12 und C-594/12 erklärte die Große Kammer des Europäischen Gerichtshofs die Richtlinie für ungültig. Sie verletzte die Grundrechte auf Achtung des Privat- und Familienlebens und auf Schutz personenbezogener Daten nach Artikel 7 und 8 der Grundrechtecharta sowie den Verhältnismäßigkeitsgrundsatz aus Artikel 52. Beanstandet wurden insbesondere die unterschiedslose Erfassung aller Personen, die fehlende Begrenzung auf konkrete besonders schwere Straftaten, der nicht auf das absolut Notwendige beschränkte Personenkreis mit Datenzugang und das Fehlen einer vorherigen Genehmigung durch ein unabhängiges Gericht. Außerdem waren weder eine unwiderrufliche Löschung nach Fristablauf noch eine Speicherung innerhalb der EU gewährleistet. Die Aufhebung galt unmittelbar in der gesamten EU, beseitigte aber nicht automatisch die nationalen Umsetzungsgesetze.

Am 21. Dezember 2016 bekräftigte der EuGH das Verbot einer allgemeinen und unterschiedslosen Speicherung auch für nationale Regelungen. Mit Urteil vom 30. April 2024 änderte er jedoch seine zuvor restriktive Linie: Zumindest IP-Adressen dürfen danach anlasslos zur Verfolgung jeglicher Kriminalität gespeichert werden.

Umsetzung in Deutschland, Österreich und weiteren Staaten

Deutschland setzte die EU-Richtlinie zum 1. Januar 2008 um. Nach Massenklagen erklärte das Bundesverfassungsgericht die Vorschriften am 2. März 2010 für verfassungswidrig und nichtig. Das Gesetz verletzte Artikel 10 des Grundgesetzes, das Telekommunikationsgeheimnis, weil konkrete Datensicherheitsmaßnahmen fehlten und die Hürden für staatliche Zugriffe zu niedrig waren. Die Anbieter mussten die gesammelten Daten sofort löschen.

Ein neues Gesetz wurde im Oktober 2015 beschlossen und trat am 18. Dezember 2015 in Kraft. Nach einem Beschluss des Oberverwaltungsgerichts Nordrhein-Westfalen vom 22. Juni 2017 verstießen die Vorschriften gegen EU-Recht. Die Bundesnetzagentur setzte die Pflicht daraufhin faktisch aus, indem sie auf Anordnungen und Bußgeldverfahren wegen Nichtumsetzung verzichtete.

Österreich beschloss nach einem EU-Vertragsverletzungsverfahren die Einführung zum 1. April 2012. Nachdem der EuGH die Richtlinie verworfen hatte, hob der österreichische Verfassungsgerichtshof am 27. Juni 2014 die nationale Umsetzung ohne Reparaturfrist auf. Ein derart schwerer Grundrechtseingriff müsse mit Datenschutzgesetz und Europäischer Menschenrechtskonvention vereinbar sein. Nach § 167 Telekommunikationsgesetz 2021 besteht stattdessen die Rufdatenrückerfassung: In bestimmten Fällen dürfen bereits rechtmäßig gespeicherte Daten nachträglich bekannt gegeben und ausgewertet werden.

Auch Gerichte anderer Staaten begrenzten die Speicherung. Rumäniens Verfassungsgericht hob 2009 ein Gesetz zur sechsmonatigen Speicherung auf; es bezeichnete die Regelung als exzessiv und als Verstoß gegen Artikel 8 der Europäischen Menschenrechtskonvention. Das tschechische Verfassungsgericht verwarf die dortige Regelung wegen Verletzungen von Privatsphäre und informationeller Selbstbestimmung. In den Niederlanden setzte ein Gericht das Gesetz am 11. März 2015 vorerst außer Kraft. Frankreich führte am 23. Januar 2006 eine Speicherung für zwölf Monate ein, Schweden 2012 für sechs Monate. Im Vereinigten Königreich beträgt die Dauer zwölf Monate; im Juli 2014 wurde die Speicherung erneut gesetzlich beschlossen.

In der Schweiz müssen Mobilfunkanbieter unter anderem Rufnummern, SIM-, IMSI- und IMEI-Kennungen, Antennenstandort und Hauptstrahlrichtung sowie Datum, Zeit und Dauer sechs Monate speichern. Internetanbieter bewahren ebenfalls bestimmte Anschluss-, Teilnehmer-, IP- und E-Mail-Umschlagdaten sechs Monate auf. Beschwerden dagegen wurden zuletzt vom Schweizer Bundesgericht am 2. März 2018 abgewiesen.

Kritik, Risiken und mögliche Alternativen

Die Kritik richtet sich vor allem gegen den umfassenden Grundrechtseingriff bei umstrittenem Nutzen. Betroffen sind das Fernmeldegeheimnis und die informationelle Selbstbestimmung, also das Recht, grundsätzlich selbst über die Verwendung eigener personenbezogener Daten zu bestimmen. Journalisten befürchten eine Schwächung von Pressefreiheit und Informantenschutz. Auch die Vertraulichkeit bei Ärzten, Rechtsanwälten, Seelsorgern und Beratungsstellen kann beeinträchtigt werden.

Das Wissen um die Protokollierung kann Menschen von vertraulicher oder politischer Kommunikation abschrecken. Nach einer Forsa-Umfrage würde die Mehrheit der Befragten telefonische oder elektronische Beratung etwa durch Eheberatungsstellen, Psychotherapeuten oder Drogenberatungsstellen meiden; jeder dreizehnte Befragte gab an, dies sei bereits tatsächlich geschehen. Auch Hinweisgeber könnten davon abgehalten werden, Missstände zu melden.

Verkehrsdaten besitzen hohe Aussagekraft, lassen sich aber nicht immer eindeutig einer Person zuordnen. Deshalb bestehen zugleich Missbrauchs- und Irrtumsrisiken: möglich sind falsche Verdächtigungen, staatliches Vorgehen gegen politische Gegner, Wirtschaftsspionage oder die Nutzung durch Erpresser und Sensationsjournalisten. Kritisiert werden außerdem geschätzte jährliche Investitions- und Unterhaltskosten in dreistelliger Millionenhöhe, die letztlich Telekommunikationskunden tragen könnten. Kleine Anbieter würden im Wettbewerb stärker belastet als große Netzbetreiber.

Als Alternative wird häufig Quick Freeze genannt. Dabei werden vorhandene Daten aufgrund einer konkreten Anordnung eingefroren. Das Verfahren hilft allerdings nicht, wenn die Anbieter die benötigten Daten beim Bekanntwerden einer Straftat bereits gelöscht haben. Kritiker warnen außerdem vor einer schrittweisen Ausweitung der Speicherung auf weitere Lebensbereiche. Im November 2012 wurden Pläne bekannt, auch Chats und Beiträge in sozialen Netzwerken vergleichbaren Überwachungs- und Speicherregeln zu unterwerfen.

Umgehung und technische Grenzen

Professionelle Täter können die Aussagekraft gespeicherter Daten unter anderem durch Telefonzellen, fremde Mobiltelefone, Internetcafés, Proxy-Server, Virtual Private Networks (VPN) oder Anonymisierungsverfahren vermindern. Ein VPN baut eine verschlüsselte Verbindung zu einem zwischengeschalteten Server auf. Der Internetanbieter erkennt dadurch nicht, welche Website aufgerufen wird, und der Websitebetreiber sieht die IP-Adresse des VPN statt derjenigen des Anschlusses. Die Speicherung der IP-Adresse des eigenen Internetanschlusses wird dadurch jedoch nicht verhindert. Die Anonymisierung setzt außerdem voraus, dass der VPN-Server vertrauenswürdig ist und die Zuordnung seiner ein- und ausgehenden IP-Adressen nicht gespeichert wird.

Beim Onion Routing, etwa mit einem Tor-Client, wird der Datenverkehr verschlüsselt und über mehrere Stationen geleitet. Kritiker halten die Vorratsdatenspeicherung deshalb für möglicherweise kontraproduktiv: Sie könne die Verbreitung solcher Verschleierungstechniken fördern und dadurch selbst eine gezielte Überwachung bei konkretem Verdacht erschweren.

Offen sind zudem technische Fragen etwa zur erneuten Vergabe derselben IP-Adresse über längere Zeit, zu teilweise unveränderten IPv6-Adressen und zum sogenannten IP-Nachhall, bei dem eine Adresse noch Tage nach dem Ende ihrer Nutzung gespeichert bleibt. Der Artikel beschreibt solche Verfahren als möglicherweise rechtswidrige Formen einer faktischen Vorratsdatenspeicherung.