Konflikt zwischen Apple und der britischen Regierung

Ausgangspunkt ist eine auf den britischen Investigatory Powers Act gestützte Anordnung gegenüber Apple. Die britischen Behörden verlangten Zugriffsmöglichkeiten auf besonders geschützte iCloud-Daten.

Apple setzte sich hiergegen gerichtlich zur Wehr und nahm seine Funktion Advanced Data Protection (ADP) für britische Nutzer zeitweise zurück.

Inzwischen hat der Streit auch die US-Politik erreicht. Der demokratische Senator Ron Wyden und der republikanische Kongressabgeordnete Warren Davidson kritisieren insbesondere die weitreichende Geheimhaltung des Verfahrens vor dem britischen Investigatory Powers Tribunal (IPT).

Nach ihrer Auffassung darf eine ausländische Regierung nicht durch Geheimhaltungsanordnungen verhindern, dass ein US-Unternehmen gegenüber dem US-Kongress über staatliche Zugriffsverlangen Auskunft erteilt.

Die zentrale Rechtsfrage

Der Fall berührt eine grundsätzliche Frage:

Darf ein Staat einen Anbieter verpflichten, technische Möglichkeiten für den Zugriff auf verschlüsselte Daten zu schaffen – selbst wenn dadurch die Sicherheit der Verschlüsselung insgesamt beeinträchtigt werden könnte?

Wie wäre die Rechtslage in Deutschland?

Auch deutsche Ermittlungs- und Sicherheitsbehörden verfügen über weitreichende Befugnisse zum Zugriff auf digitale Daten. Maßgeblich sind je nach Fall insbesondere die Strafprozessordnung (StPO) sowie die jeweiligen Polizei- und Nachrichtendienstgesetze.

Eine mit dem britischen Ansatz vergleichbare allgemeine Befugnis, einen Anbieter zur Einführung einer universellen „Hintertür“ in eine Ende-zu-Ende-Verschlüsselung zu verpflichten, besteht jedoch nicht ohne Weiteres.

Staatliche Überwachungsmaßnahmen müssen in Deutschland insbesondere mit dem Fernmeldegeheimnis aus Art. 10 GG, dem allgemeinen Persönlichkeitsrecht und dem vom Bundesverfassungsgericht entwickelten Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme vereinbar sein.

Hinzu kommen die Vorgaben der EU-Grundrechtecharta und der Datenschutz-Grundverordnung (DSGVO.

Quellen-TKÜ und Online-Durchsuchung

Das deutsche Strafprozessrecht kennt mit der Quellen-Telekommunikationsüberwachung gemäß § 100a StPO und der Online-Durchsuchung gemäß § 100b StPO Instrumente, mit denen unter engen gesetzlichen Voraussetzungen auch auf ansonsten verschlüsselte Kommunikation oder Daten zugegriffen werden kann.

Der rechtliche Ansatz ist jedoch ein anderer: Im Mittelpunkt steht grundsätzlich der Zugriff auf das konkrete Endgerät eines Betroffenen und nicht die generelle Schwächung der Verschlüsselung eines Dienstes für sämtliche Nutzer.

Verschlüsselung als rechtliches Spannungsfeld

Der Apple-Fall zeigt exemplarisch den Konflikt zwischen effektiver Strafverfolgung und Gefahrenabwehr einerseits sowie Datenschutz und IT-Sicherheit andererseits.

Eine absichtlich geschaffene Zugriffsmöglichkeit kann schließlich nicht nur staatlichen Stellen den Zugang erleichtern. Jede technische Schwächung einer Verschlüsselungsarchitektur kann zugleich neue Angriffsflächen für Cyberkriminelle oder ausländische Nachrichtendienste schaffen.

Aus deutscher und europäischer Perspektive wäre deshalb eine Verpflichtung zur systematischen Schwächung sicherer Ende-zu-Ende-Verschlüsselung mit erheblichen verfassungs- und unionsrechtlichen Fragen verbunden. Gerade die Verhältnismäßigkeit, die technische Sicherheit und der Schutz unbeteiligter Nutzer würden dabei eine zentrale Rolle spielen.