Kaum eine Diskussion im Parlament und in der Bevölkerung entfacht eine derartige Kontroverse wie das Thema Vorratsdatenspeicherung (die offiziell gar nicht mehr so heißt - sondern "Einführung einer Speicherpflicht und Höchstspeicherfristen für Verkehrsdaten"). Gestritten wird darüber, ob Strafverfolgung und Terrorbekämpfung über dem Grundrecht des Menschen steht, seine Daten zu schützen. Das Bundesverfassungsgericht (BVerfG) hat mit seinem Urteil vom März 2010 klargestellt, dass die Speicherung von Verkehrsdaten auf Vorrat das Fernmeldegeheimnis verletzt, die Grundrechte GG § 1 und § 10 missachtet und somit die freiheitlich-demokratische Grundordnung gefährdet. Aber das Gericht hält die Vorratsdatenspeicherung auch "nicht für grundsätzlich unvereinbar" mit dem Grundgesetz, sofern "hinsichtlich der Datensicherheit ein besonders hoher Standard normenklar und verbindlich vorgegeben wird". Nach der Sommerpause wird dem Parlament ein neuer Gesetzesentwurf zur Abstimmung vorgelegt.

Der Regierungsentwurf für das neue Gesetz sieht drei Ansätze vor, die Vorgaben des BVerfG umzusetzen:

• eine Begrenzung der Datenerhebungen auf besonders schwere Straftaten,

• die Festlegung von sehr kurzen Speicherdauern und

• die Forderung einer hohen Datensicherheit.

Eine Auflage zur Gewährleistung der Datensicherheit ist, dass die TK-Anbieter nur Technik einsetzen dürfen, die bezüglich der Datensicherheit dem Stand der Technik beziehungsweise dem Stand der Wissenschaft und Technik entspricht. Zur Eingrenzung des "Standes der Technik" sollen drei Institutionen einen Anforderungskatalog an solch ein Sicherheitskonzept erstellen, der fortlaufend aktuell gehalten wird: die Bundesnetzagentur, das Bundesamt für Sicherheit in der Informationstechnik (BSI) und die Bundesbeauftragte für Datenschutz und Informationsfreiheit (BFDI).

Herkömmlicher Datenfluss

Verkehrsdaten fallen bei der Nutzung von Telekommunikationsdiensten beim TK-Anbieter an. Die Daten besagen, wer wann mit wem kommuniziert hat. Diese Verkehrsdaten werden vom TK-Anbieter aufgesammelt und an die Verschlüsselungseinheit geleitet. Das Schlüsselmanagement liefert dafür Schreibschlüssel an die Verschlüsselungseinheit. Die verschlüsselten Verkehrsdaten werden in einem Massenspeicher abgelegt. Momentan müssen diese verschlüsselten Einheiten durch eine Löscheinheit regelmäßig und zügig gelöscht werden, dies passierte automatisiert und nach einer konfigurierten Frist. Die Verkehrsdaten werden kurzfristig für die Rechnungsstellung der TK-Anbieter an Ihre Kunden benötigt und deshalb gespeichert.

Bei einem Auskunftsersuchen durch eine staatliche Behörde wird durch das Berechtigungsmanagement geprüft, ob das Ersuchen juristisch berechtigt ist. Ist das der Fall, werden die angefragten Datenblöcke identifiziert und entschlüsselt. Die Daten werden vor Weitergabe an staatliche Behörden vom Berechtigungsmanagement freigegeben und über die vorgesehene Schnittstelle erfolgt die Übergabe an die Behörden.

Während des Prozesses sehen einzelne Mitarbeiter die Daten unverschlüsselt ein. Sie können diese exportieren und theoretisch auch illegal verwenden. Die Gefahr einer missbräuchlichen Verkettung massenhafter Daten und der Erstellung aussagekräftiger Profile durch Dritte oder den Staat ist gegeben. Bei herkömmlichen Systemen sind keine technischen Grenzen gesetzt, die die Einhaltung gesetzlicher Regelungen erzwingen. Das bedeutet: Selbst wenn alle technischen Komponenten zur Sicherung der Daten auf den neusten Stand gebracht und vorbeugende organisatorische Maßnahmen getroffen werden, so bleibt als Sicherheitsrisiko in diesen Systemen stets der Faktor "Mensch".

Sealed Freeze - Risikofaktor Mensch ausschließen

Unter vielen Menschen finden sich immer wieder einzelne, die fahrlässig, bestechlich oder erpressbar sind. Der geschilderte herkömmliche Datenfluss stellt damit einen nicht unerheblichen Risikofaktor dar. Diesen Risikofaktor gilt es durch technische Maßnahmen auszuschließen und die Zugriffsmöglichkeiten auf Daten so eng wie möglich und nur so weit wie notwendig zu gestalten, denn in die Rechte des Bürgers soll möglichst wenig eingegriffen werden. Der erforderliche Datenschutz wird erreicht, wenn beim TK-Anbieter kein Zugriff mehr auf die Vorratsdaten mehr besteht und bei Zugriff durch Ermittlungsbehörden durch ein regelbasiertes technisches Verfahren nur im Rahmen der gesetzlichen Vorgaben erfolgen kann. Die bereits heute existierende "Sealed Freeze"-Technologie schützt die Daten automatisch vor den Blicken unbeteiligter Dritter und der Zugriff wird durch technische Reglementierungen, sogenannten Policies, zielgenau begrenzt.

Im Unterschied zu herkömmlicher Verschlüsselungstechnik werden die Schlüssel innerhalb eines gekapselten Systems verwaltet. Die Verschlüsselungseinheit bezieht die Schreibschlüssel aus dem automatischen Schlüsselmanagement der Sealed-Freeze-Infrastruktur, Mitarbeiter des TK-Anbieters oder andere Personen haben keine Kenntnis über den Leseschlüssel. Durch Policies wird der Löschvorgang im System programmiert. Wird ein Auskunftsersuchen bearbeitet, initiiert das ebenfalls gekapselte Berechtigungsmanagement die Freigabe des Leseschlüssels über das automatische Berechtigungsmanagement (Policy Gate) der Sealed-Freeze-Infrastruktur. Dabei werden auch Filterkriterien vom Berechtigungsmanagement an das automatische Berechtigungsmanagement übergeben.

Wenn beispielsweise Auskunft zu den Gesprächen in einem bestimmten Zeitraum und einer bestimmten Funkzelle verlangt wird, kann die Frage eingegrenzt sein: "Fand in diesem Zeitraum in dieser Funkzelle eine Kommunikation mit dieser Telefonnummer statt? Daten anderer Kommunikationen aus dieser Zelle in diesem Zeitraum können durch das automatische Berechtigungsmanagement weggefiltert werden. Vom Policy Gate erfolgt die Freigabe des Leseschlüssels beim Schlüsselmanagement, falls die dort programmierte "Policy" (die gesetzlich festgelegten Voraussetzungen für eine Erhebung) erfüllt sind. Diese Einheiten befinden sich in der so genannten "Data Clean-up Area" der Infrastruktur, sodass kein Zugriff zu den entschlüsselten Daten möglich ist. Vom automatischen Schlüsselmanagement wird der Leseschlüssel zur Entschlüsselungseinheit übertragen, dort wird die Entschlüsselung vorgenommen. Auch diese Einheiten befinden sich in der so genannten "Data Clean-up Area" der Sealed-Freeze-Infrastruktur, sodass kein Zugriff zu den entschlüsselten Daten möglich ist. Bevor die Daten an die staatliche Behörde fließen, werden sie hierfür vom automatischen Berechtigungs-Management freigegeben, das heißt sie durchlaufen noch mal einen Filter, dessen Einstellungen bereits im Vorfeld definiert wurden.

Nur für Berechtigte

Die auskunftsersuchende staatliche Behörde verfügt über Zugangsdaten: Nutzername und Passwort sowie einen zweiten Faktor zur Authentisierung. Über eine sichere elektronische Verbindung erfolgt die Übergabe der juristisch berechtigt angefragten Verkehrsdaten an die staatliche Behörde. Nur diese Personen sind in der Lage diese Daten zur Kenntnis zu nehmen. Keine Person im Verantwortungsbereich des TK-Anbieters kann dies tun.

Dieses Verfahren entlastet nicht nur den unbescholtenen Bürger unter "General-Verdacht" zu geraten, wenn er sich zufälligerweise zur gleichen Zeit in einer Funkzelle aufhält wie der gesuchte Verbrecher, sondern dieses Verfahren entlastet auch die TK-Dienstleister. Als vor ein paar Jahren die Vorratsdatenspeicherung eingeführt werden sollte, investierten die TK-Anbieter bereits Millionen in Speichersysteme. Kommt nun die Massendatenspeicherung, müssten neben den Investitionen in Technologie und Technik auch noch personell für organisatorische Sicherheitsmaßnahmen (Vier-Augen-Prinzip) aufgestockt werden. Würde sich die moderne Sealed-Freeze-Technologie durchsetzen, wäre eine Auslagerung der versiegelten Verkehrsdaten aller TK-Anbieter an ein Dienstleister möglich. Damit lassen sich neben der Datensicherheit auch hohe Kosteneinsparungen sowohl für die TK-Provider als auch für die Behörden realisieren. (sh)