Konflikt zwischen Apple und der britischen Regierung

Ausgangspunkt ist eine auf den britischen Investigatory Powers Act gestützte Anordnung gegenüber Apple. Die britischen Behörden verlangten Zugriffsmöglichkeiten auf besonders geschützte iCloud-Daten.

Apple setzte sich hiergegen gerichtlich zur Wehr und nahm seine Funktion Advanced Data Protection (ADP) für britische Nutzer zeitweise zurück.

Inzwischen hat der Streit auch die US-Politik erreicht. Der demokratische Senator Ron Wyden und der republikanische Kongressabgeordnete Warren Davidson kritisieren insbesondere die weitreichende Geheimhaltung des Verfahrens vor dem britischen Investigatory Powers Tribunal (IPT).

Nach ihrer Auffassung darf eine ausländische Regierung nicht durch Geheimhaltungsanordnungen verhindern, dass ein US-Unternehmen gegenüber dem US-Kongress über staatliche Zugriffsverlangen Auskunft erteilt.

Die zentrale Rechtsfrage

Der Fall berührt eine grundsätzliche Frage:

Darf ein Staat einen Anbieter verpflichten, technische Möglichkeiten für den Zugriff auf verschlüsselte Daten zu schaffen – selbst wenn dadurch die Sicherheit der Verschlüsselung insgesamt beeinträchtigt werden könnte?

Wie wäre die Rechtslage in Deutschland?

Auch deutsche Ermittlungs- und Sicherheitsbehörden verfügen über weitreichende Befugnisse zum Zugriff auf digitale Daten. Maßgeblich sind je nach Fall insbesondere die Strafprozessordnung (StPO) sowie die jeweiligen Polizei- und Nachrichtendienstgesetze.

Eine mit dem britischen Ansatz vergleichbare allgemeine Befugnis, einen Anbieter zur Einführung einer universellen „Hintertür“ in eine Ende-zu-Ende-Verschlüsselung zu verpflichten, besteht jedoch nicht ohne Weiteres.

Staatliche Überwachungsmaßnahmen müssen in Deutschland insbesondere mit dem Fernmeldegeheimnis aus Art. 10 GG, dem allgemeinen Persönlichkeitsrecht und dem vom Bundesverfassungsgericht entwickelten Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme vereinbar sein.

Hinzu kommen die Vorgaben der EU-Grundrechtecharta und der Datenschutz-Grundverordnung (DSGVO.

Quellen-TKÜ und Online-Durchsuchung

Das deutsche Strafprozessrecht kennt mit der Quellen-Telekommunikationsüberwachung gemäß § 100a StPO und der Online-Durchsuchung gemäß § 100b StPO Instrumente, mit denen unter engen gesetzlichen Voraussetzungen auch auf ansonsten verschlüsselte Kommunikation oder Daten zugegriffen werden kann.

Der rechtliche Ansatz ist jedoch ein anderer: Im Mittelpunkt steht grundsätzlich der Zugriff auf das konkrete Endgerät eines Betroffenen und nicht die generelle Schwächung der Verschlüsselung eines Dienstes für sämtliche Nutzer.

Verschlüsselung als rechtliches Spannungsfeld

Der Apple-Fall zeigt exemplarisch den Konflikt zwischen effektiver Strafverfolgung und Gefahrenabwehr einerseits sowie Datenschutz und IT-Sicherheit andererseits.

Eine absichtlich geschaffene Zugriffsmöglichkeit kann schließlich nicht nur staatlichen Stellen den Zugang erleichtern. Jede technische Schwächung einer Verschlüsselungsarchitektur kann zugleich neue Angriffsflächen für Cyberkriminelle oder ausländische Nachrichtendienste schaffen.

Aus deutscher und europäischer Perspektive wäre deshalb eine Verpflichtung zur systematischen Schwächung sicherer Ende-zu-Ende-Verschlüsselung mit erheblichen verfassungs- und unionsrechtlichen Fragen verbunden. Gerade die Verhältnismäßigkeit, die technische Sicherheit und der Schutz unbeteiligter Nutzer würden dabei eine zentrale Rolle spielen.

„Alle akzeptieren“? Dann auch „Alles ablehnen“

Das Verwaltungsgericht Hannover hat sich mit der Gestaltung eines Cookie-Banners eines Medienunternehmens beschäftigt. Der niedersächsische Datenschutzbeauftragte hatte beanstandet, dass das Ablehnen von Cookies deutlich umständlicher war als das Akzeptieren.

Das Gericht bestätigte wesentliche Kritikpunkte der Datenschutzbehörde. Besonders wichtig für Webseitenbetreiber ist dabei: Wird auf der ersten Ebene des Cookie-Banners eine gut sichtbare Schaltfläche „Alle akzeptieren“ angeboten, muss dort grundsätzlich auch eine entsprechend gut erkennbare Möglichkeit zum „Alles ablehnen“ vorhanden sein.

Es reicht daher nicht aus, das Akzeptieren mit einem Klick zu ermöglichen, während Nutzer für eine Ablehnung zunächst „Einstellungen“ öffnen und sich durch weitere Menüs bewegen müssen.

Warum ist das rechtlich wichtig?

Eine Einwilligung in nicht notwendige Cookies muss nach den datenschutzrechtlichen Vorgaben insbesondere freiwillig, informiert und eindeutig erfolgen.

Wird die Gestaltung eines Cookie-Banners gezielt so gewählt, dass Nutzer leichter zustimmen als ablehnen können, kann die Freiwilligkeit der Einwilligung infrage stehen.

Die Entscheidung für oder gegen Cookies darf nicht durch die Gestaltung des Banners in eine bestimmte Richtung gelenkt werden.

Was war an dem Cookie-Banner problematisch?

Das Gericht betrachtete nicht nur einzelne Schaltflächen, sondern die Gestaltung des Banners insgesamt.

Das Ablehnen von Cookies war deutlich aufwendiger als das Akzeptieren. Hinzu kamen wiederholte Aufforderungen zur Zustimmung sowie Formulierungen, die nach Auffassung des Gerichts missverständlich waren.

Auch wichtige Informationen waren nicht sofort ausreichend erkennbar. Dazu gehörten unter anderem Angaben zu eingebundenen Partnern und Drittdiensten, möglichen Datenübermittlungen in Drittstaaten sowie zum Widerruf einer Einwilligung.

Insgesamt sah das Gericht deshalb keine ausreichend informierte, freiwillige und eindeutige Einwilligung.

Was bedeutet das für eine normale Webseite?

Wichtig ist zunächst: Nicht jede Webseite benötigt automatisch einen Cookie-Banner.

Werden ausschließlich technisch notwendige Cookies oder vergleichbare Technologien eingesetzt, für die keine Einwilligung erforderlich ist, muss hierfür grundsätzlich keine Einwilligung abgefragt werden.

Relevant wird der Cookie-Banner insbesondere dann, wenn Analyse-, Marketing-, Tracking- oder sonstige nicht notwendige Dienste eingesetzt werden, die eine vorherige Einwilligung erfordern.

In diesem Fall sollte der Nutzer bereits auf der ersten Ebene eine echte Wahlmöglichkeit erhalten.