Online-Durchsuchungs-Urteil

Durch Gesetz vom 20. Dezember 2006 erhielt die Verfassungsschutzbehörde Nordrhein-Westfalens in § 5 II Nr. 11 VSG NRW die Befugnis zum heimlichen Beobachten und sonstigen Aufklären des Internets sowie zum heimlichen Zugriff auf informationstechnische Systeme „auch durch Einsatz technischer Mittel“, also zur sogenannten Online-Durchsuchung. Für Eingriffe in Art. 10 GG verwies sie pauschal auf das G-10-Gesetz; eine qualifizierte Eingriffsschwelle, einen Richtervorbehalt oder Vorkehrungen zum Schutz des Kernbereichs privater Lebensgestaltung enthielt sie nicht. Gegen diese und weitere Vorschriften des Gesetzes erhoben fünf Beschwerdeführer in zwei Verfahren unmittelbar Verfassungsbeschwerde.

Welches Grundrecht schützt die Nutzer informationstechnischer Systeme vor heimlicher staatlicher Infiltration, wenn weder Art. 10 GG noch Art. 13 GG noch das Recht auf informationelle Selbstbestimmung den Schutzbedarf voll erfassen? Unter welchen Voraussetzungen darf der Staat ein solches System heimlich infiltrieren? Wann ist eine Maßnahme statt dessen an Art. 10 GG zu messen?

§ 5 II Nr. 11 VSG NRW wurde für unvereinbar mit Art. 2 I i.V.m. Art. 1 I GG, Art. 10 I GG und Art. 19 I 2 GG und für nichtig erklärt; im Übrigen wurden die Verfassungsbeschwerden teils zurückgewiesen, teils verworfen. Das allgemeine Persönlichkeitsrecht umfasst ein Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme. Es schließt Schutzlücken: Art. 10 GG erfasst nur die laufende Kommunikation, Art. 13 GG nur Systeme in der Wohnung und unabhängig vom Ort keine Infiltration, und das Recht auf informationelle Selbstbestimmung trägt der besonderen Gefährdung nicht ausreichend Rechnung, die entsteht, wenn ein komplexes System als Ganzes zugänglich wird. Eingriffe sind sowohl zu präventiven Zwecken als auch zur Strafverfolgung möglich, aber nur unter strengen Voraussetzungen. Eine heimliche Infiltration, mit der die Nutzung überwacht und Speicher ausgelesen werden können, ist nur zulässig, wenn tatsächliche Anhaltspunkte einer konkreten Gefahr für ein überragend wichtiges Rechtsgut bestehen: Leib, Leben und Freiheit der Person oder Güter der Allgemeinheit, deren Bedrohung die Grundlagen oder den Bestand des Staates oder die Grundlagen der Existenz der Menschen berührt. Die Maßnahme kann schon gerechtfertigt sein, wenn sich der Eintritt der Gefahr in näherer Zukunft noch nicht hinreichend wahrscheinlich feststellen lässt, sofern bestimmte Tatsachen auf eine im Einzelfall durch bestimmte Personen drohende Gefahr hinweisen. Die Infiltration ist grundsätzlich unter Richtervorbehalt zu stellen, und das Gesetz muss Vorkehrungen zum Schutz des Kernbereichs privater Lebensgestaltung enthalten. Die nordrhein-westfälische Regelung genügte dem nicht: Sie war zu unbestimmt, setzte keine qualifizierte Eingriffsschwelle voraus, enthielt keinen Kernbereichsschutz, und soweit sie Eingriffe in Art. 10 GG erlaubte, verletzte sie das Zitiergebot. Abzugrenzen ist die Quellen-Telekommunikationsüberwachung: Beschränkt sich eine Ermächtigung auf die Erhebung der Inhalte und Umstände laufender Telekommunikation, ist allein Art. 10 I GG der Maßstab, wenn technisch und rechtlich sichergestellt ist, dass die Überwachung darauf beschränkt bleibt. Wer im Internet öffentlich zugängliche Inhalte wahrnimmt, greift grundsätzlich nicht in Grundrechte ein; eine Kenntnisnahme auf dem technisch vorgesehenen Weg greift nur dann in Art. 10 GG ein, wenn die Stelle nicht von einem Kommunikationsbeteiligten autorisiert ist. Zur Nichtigkeit beider Alternativen im Einzelnen: Für die Online-Durchsuchung (Alt. 2) verlangte das Gesetz nur tatsächliche Anhaltspunkte dafür, dass sich Erkenntnisse über verfassungsfeindliche Bestrebungen gewinnen lassen; das ist weder hinsichtlich der Tatsachenbasis noch hinsichtlich des Gewichts der zu schützenden Rechtsgüter eine hinreichende Eingriffsschwelle. Eine vorherige Prüfung durch eine unabhängige Stelle war nicht vorgesehen. Zum Kernbereich verlangte der Senat ein zweistufiges Schutzkonzept: Das Gesetz muss so weit wie möglich verhindern, dass kernbereichsrelevante Daten erhoben werden; ist das wie bei der Online-Durchsuchung praktisch unvermeidbar, muss in der Auswertungsphase gesichert sein, dass solche Daten unverzüglich gelöscht werden und nicht verwertet werden dürfen. Auch die Internetaufklärung (Alt. 1) war nichtig: Sie greift in Art. 10 GG ein, wenn die Behörde zugangsgesicherte Kommunikation mit Zugangsdaten überwacht, die sie ohne oder gegen den Willen der Beteiligten erlangt hat, etwa mit einem per Keylogging erlangten Passwort für ein E-Mail-Postfach oder einen geschlossenen Chat. Für solche Eingriffe fehlte eine ausreichende Rechtfertigung, und das Zitiergebot war verletzt. Internetaufklärung ohne Grundrechtseingriff, etwa das Lesen öffentlich zugänglicher Seiten, bleibt der Behörde aber möglich. Die Befugnis zur Abfrage von Kontoinhaltsdaten bei Kreditinstituten (§ 5a I VSG NRW) hielt der Senat dagegen für verfassungsgemäß.

Mit dem Urteil schuf das BVerfG nach dem Recht auf informationelle Selbstbestimmung (Volkszählung, 1983) eine zweite Ausprägung des allgemeinen Persönlichkeitsrechts für das digitale Zeitalter. Das „IT-Grundrecht“ schützt nicht einzelne Daten, sondern das Vertrauen darauf, dass ein genutztes System nicht als Ganzes ausgespäht wird. Die Anforderungen des Urteils wurden zum Bauplan für spätere Gesetze: Der Bund schuf 2009 eine Befugnis zur Online-Durchsuchung für das BKA zur Terrorabwehr, die das BVerfG 2016 im BKAG-Urteil in Teilen beanstandete; seit 2017 erlaubt § 100b StPO die Online-Durchsuchung auch zur Strafverfolgung, § 100a StPO die Quellen-TKÜ. Die Unterscheidung zwischen Online-Durchsuchung (IT-Grundrecht) und Quellen-TKÜ (Art. 10 GG) ist bis heute zentral, ebenso die Formel von der konkreten Gefahr für ein überragend wichtiges Rechtsgut, die das Gericht für verdeckte Überwachungsmaßnahmen weiterentwickelt hat. Beim Kernbereichsschutz knüpft das Urteil an den Großen Lauschangriff (BVerfGE 109, 279) an, der den Schutz für heimliche Überwachung ausgeformt hatte, und passt ihn mit einem zweistufigen Schutzkonzept an den Zugriff auf IT-Systeme an.

Schutzbereichsabgrenzung in fester Reihenfolge: Art. 10 GG (laufende Kommunikation), Art. 13 GG (räumliche Sphäre der Wohnung), danach das allgemeine Persönlichkeitsrecht in seinen Ausprägungen. Für den Zugriff auf das System als Ganzes das IT-Grundrecht; für einzelne Daten außerhalb eines solchen Zugriffs das Recht auf informationelle Selbstbestimmung. Quellen-TKÜ: allein Art. 10 GG, wenn technisch und rechtlich auf laufende Kommunikation beschränkt; sonst IT-Grundrecht. Rechtfertigung: Eingriffsschwelle sind tatsächliche Anhaltspunkte einer konkreten Gefahr für ein überragend wichtiges Rechtsgut, nicht bloß ein Verdacht; Richtervorbehalt; Kernbereichsschutz; Bestimmtheit; bei Eingriffen in Art. 10 GG das Zitiergebot. Typischer Fehler: jede Datenerhebung über das Internet als Eingriff werten; das Lesen öffentlich zugänglicher Seiten ist grundsätzlich keiner. Zur Abgrenzung von Art. 13 GG gilt: Art. 13 GG schützt die räumliche Sphäre und greift, wenn Ermittler in die Wohnung eindringen, um etwa Spähsoftware aufzuspielen, oder wenn ein infiltriertes System genutzt wird, um Vorgänge in der Wohnung zu überwachen. Gegen die Infiltration eines Systems als solche schützt Art. 13 GG nicht, auch wenn das Gerät in der Wohnung steht; dafür ist das IT-Grundrecht da. Geschützt ist es nur bei Systemen, die allein oder in ihren Vernetzungen personenbezogene Daten in einem Umfang und in einer Vielfalt enthalten können, dass ein Zugriff Einblick in wesentliche Teile der Lebensgestaltung oder ein aussagekräftiges Bild der Persönlichkeit ermöglicht; dazu zählen Computer und Smartphones, nicht dagegen nicht vernetzte Steuerungsanlagen der Haustechnik mit nur punktuellem Datenbezug, bei denen das Recht auf informationelle Selbstbestimmung genügt.