Der bayrische Trojaner – Vorbild für das BKA?
07.07.2008
Nachdem in Bayern der “Bayerntrojaner” beschlossen wurde, habe ich mir heute in Ruhe den neuen §34d Polizeiaufgabengesetz B angesehen. Aufgrund des Heise-Artikels, der schreibt:
Die bayerische Polizei darf künftig verdeckt auf Informationssysteme von Verdächtigen zugreifen […]
und dem fehlenden öffentlichen Aufschrei gehe ich mal davon aus, dass kaum einer den §34d gelesen hat – oder vestanden hat. Das was Heise.de schreibt ist nämlich nur ein kleiner Teil des Ganzen.
Der Entwurf ist hier zu finden, auf Seite 2 findet man den §34d. An dieser Stelle dank an die Kommentatoren hier im Blog, die den Entwurf überhaupt verlinkt haben.
Ich empfehle, den §34d PolAufG Bay in Ruhe zu lesen. Und ganz besonders mal den Punkt 3: Der sagt nämlich nichts anderes, als dass man nicht nur bei “Verdächtigen” zugreifen kann, sondern auch bei denen, die für Sie “Nachrichten” annehmen. Das sind also auf jeden Fall schonmal sämtliche Provider.
Die Befugnis zum Löschen und Ändern von Daten findet sich im zweiten Satz – und bezieht sich ausdrücklich ebenfalls nicht nur auf die Verdächtigen, sondern auf diejenigen, die “Mitteilungen” für diese annehmen bzw. verwalten. Das “verwalten” findet man zwar nicht im Gesetzestext, da man aber auch Maßnahmen gegen diejenigen ergreifen kann, die “Mitteilung weitergegeben haben” ist dies ein umfassender Zugriffs-Paragraph, unabhängig davon, ob nun Inhalte noch beim Provider liegen oder nicht. Hier entsteht eine faktische Haftung aus der Position des Nachrichten-Übermittlers heraus.
Die scheinbar eingrenzende Klausel im Satz 2 ist für mich keine, da beim Zugriff auf ein solches System ohnehin immer eine Gefahr für ein höheres Rechtsgut vorliegen muss und die Frage, ob eine “Erhebung zur Abwehr noch ausreichend ist” ohnehin im Beurteilungsspielraum der Behörde liegt.
Letztlich bleibt also die Vermutung, dass aufgrund des §34d PolAufG Bay demnächst Zugriffe auf Router stattfinden, um alle Netz-Zugriffe über einen Proxy umzuleiten – die Polizeibehörde kann sich hier ganz legal als Mittelsmann der “Man-of-the-middle”-Attacke etablieren. Dies praktischerweise aber nicht nur über den Router oder PC des Betroffenen, sondern auch direkt beim zuständigen Mail-Provider.
Und natürlich das polemische Beispiel, dass man angeschlossene Webcams und Mikrofone -ohne Kenntnis des PC-Nutzers- aktivieren kann. Mehr als eine Datenveränderung entsprechend dem zweiten Satz ist das auch nicht.
