Biometrische Daten für Ermittler: Das Smart­phone kna­cken – mit dem Finger von Toten?

Als ein US-Polizeibeamter am 20. November 2016 Abdul Artan niederschoss, hatte dieser zuvor eine Menschengruppe auf dem Campus der Ohio State University überfahren. Der Verdacht der Ermittler vom FBI: Der Mann könnte für den sogenannten Islamischen Staat getötet haben.

Antworten erhofften sich die Ermittler von seinem Telefon: Der getötete Angreifer hatte ein iPhone 5 bei sich; mit seinen Fotos, Kontakten, Standortdaten und Nachrichten. Zum ersten Mal, so berichtete ein FBI-Forensiker dem Magazin Forbes, nutzte die Sicherheitsbehörde eine neue Methode: Die Ermittler drückten den blutigen Zeigefinger des Getöteten auf das Smartphone, um es mit dem Fingerabdruck zu entsperren.

Kein Einzelfall, wie mehrere Quellen aus Polizei- und FBI-Kreisen in den USA Forbes bestätigten. Es handle sich um eine recht gängige Praxis.

In einer Zeit, in der Hersteller ihre Smartphones immer stärker gegen ungewollte Zugriffe von außen aufrüsten und sich zudem werbewirksam weigern, den Behörden beim Knacken zu helfen, dürfte ein lebloser Finger eine willkommene Gelegenheit für Ermittler sein.

Oberstaatsanwalt und Cybercrime-Experte: "Wenn schon bei Lebenden möglich, dann auch bei Toten"

Das Bundeskriminalamt (BKA) teilt auf Anfrage von LTO mit, dass bei seinen IT-forensischen Abteilungen kein Fall bekannt sei, "in dem Fingerabdrücke von verstorbenen Tatverdächtigen zur Entsperrung von Smartphones genutzt wurden."

Bei der Zentral- und Ansprechstelle Cybercrime Nordrhein-Westfalen (ZAC NRW), einer Sondereinheit bei der Staatsanwaltschaft Köln, sind ebenfalls bislang keine derartigen Fälle mit Fingerabdrücken Getöteter bekannt.

"Aber das Entsperren von Smartphones beschäftigt uns in der Praxis sehr", sagt Markus Hartmann, Oberstaatsanwalt bei der ZAC NRW. Aus seiner Sicht stellt das den geeigneteren Weg dar als Ansätze wie "backdoor by design", also eine gesetzliche Verpflichtung zum herstellerseitigen Einbau von versteckten Hintertüren in der Smartphone-Technologie. "Das zerstört Vertrauen und gefährdet die Sicherheit der Technologie," zeigt sich der Ermittler überzeugt.

Er ist der Auffassung, "dass wir nach derzeit geltender Rechtslage dazu befugt sind, die Fingerabdrücke von lebenden Beschuldigten zu nutzen, um Smartphones zu entsperren". Und aus seiner Sicht ändert sich daran nicht deshalb wesentlich etwas, weil der Inhaber des Smartphones verstorben ist. "Wenn das schon bei Lebenden für die Ermittler möglich ist, dann wird das auch bei Toten möglich sein", sagt er und ergänzt: "Wenn nicht der Tod des Beschuldigten auch das Ende des Verfahrens ist."

Strafprozessrechtler: "Regelungslücke in der StPO"

Nach einer passgenauen Rechtsgrundlage mit rechtssicheren Eingriffsvoraussetzungen für das Entsperren von Smartphones sucht man aber in der Strafprozessordnung (StPO) vergeblich. Bis auf Weiteres behelfen sich die Ermittler mit den Vorschriften der §§ 81 a und § 81 b StPO.

"Die §§ 81a, 81b sind hierfür nicht tauglich", sagt Christian Rückert, der an der Universität Erlangen-Nürnberg zum Strafprozessrecht und Cybercrime forscht. "Der Gesetzgeber hatte bei diesen Normen nur den Eingriff in das Allgemeine Persönlichkeitsrecht und bei § 81a in die körperliche Unversehrtheit vor Augen – nicht aber den Eingriff in das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme, das sogenannte 'IT-Grundrecht', das bei der Smartphone-Entsperrung in ganz erheblichem Maße betroffen ist."

Für tote Beschuldigte oder tote Zeugen gehe das sogar noch deutlicher aus § 88 StPO hervor. Der Wortlaut der Vorschrift sei noch enger: Die erlaubten Maßnahmen zur Identitätsfeststellung von Toten sind explizit geregelt. Rückert betont weiter: "Auch Tote genießen zumindest postmortalen Persönlichkeitsschutz".

Der Tote, seine Erben und Dritte: Wen das geknackte Smartphone betrifft

Der Wissenschaftler weist außerdem darauf hin, dass sich auf dem Smartphone zudem oft auch persönliche Daten lebender Dritter finden - über die Kontakte, soziale Netzwerke oder auch die gespeicherten Bilder könnten die Ermittler unkontrollierten Zugriff auf all diese Informationen bekommen.  

Unklar sei dagegen bislang, so Rückert, in welchem Maße auch die Grundrechte oder zivilrechtliche Rechtspositionen der Erben des Toten betroffen sind. Das alles erhöhe das Bedürfnis für eine Spezialermächtigung in der StPO: Der Gesetzgeber müsse auch mit Blick auf den Wesentlichkeitsvorbehalt solche Fragen selbst entscheiden und eine Regelung treffen.

Denn auch die strafprozessuale Generalklausel nach §§ 161, 163 StPO hält er nicht für anwendbar. Die  Grundrechtseingriffe in das Allgemeine Persönlichkeitsrecht und in das IT-Grundrecht seien nicht nur "geringfügig", wie es die Rechtsprechung für die Generalklausel aber voraussetze.

Wenn der Beschuldigte zur Selbstbelastung verwendet wird

Die Regelungslücke liegt aus seiner Sicht an dem besonderen Charakter der Maßnahme, wenn mit dem Finger eines Lebenden oder Toten ein Smartphone entsperrt werden soll. Er versucht es mit der Übertragung von Grundsätzen aus der analogen Welt: "Aus den Normen, die eine Wohnungsdurchsuchung zulassen (§§ 102, 103, 105 StPO), ergibt sich gleichzeitig die Befugnis, die zu durchsuchende Wohnung und dort befindliche Gegenstände, wie z.B. Tresore, gewaltsam zu öffnen."

So könne man auch argumentieren, "dass, wenn die Datenerhebung und –verwertung, etwa aus einem beschlagnahmten Smartphone, nach vorhandenen Normen, also etwa §§ 94 ff. StPO, zulässig ist, auch die 'gewaltsame' 'Öffnung' des Geräts z.B. durch das technische Knacken der Verschlüsselung grundsätzlich rechtmäßig sein muss."

Auf der anderen Seite sei es aber – wegen Verstoßes gegen die Selbstbelastungsfreiheit – unzulässig, jemanden zur Herausgabe eines Passworts oder einer PIN zu zwingen. Das zugrunde gelegt, wäre das  technische Knacken von Smartphons zulässig, die erzwungene Mitwirkung des Smartphone-Inhabers dagegen unzulässig.

"Wird mit Zwang der Finger auf das Smartphone aufgelegt, steht das letztlich 'zwischen' diesen beiden Vorgängen, weil einerseits der Beschuldigte zum Entsperren 'verwendet' wird, andererseits er jedoch nicht wirklich 'aktiv' mitwirken muss."

Für genau diesen Fall bräuchte es aus Rückerts Sicht eine Eingriffsgrundlage in der StPO – aber an der fehlt es.

Wird die Koalition tätig?

Ob der Gesetzgeber in nächster Zeit tätig wird, ist ungewiss. Im Koalitionsvertrag finden sich außer einem vagen Hinweis darauf, dass die StPO modernisiert werden soll, keine konkreten Pläne für neue Befugnisnormen.

Aber auch die technische Seite erschwert den Ermittlern die Arbeit. Apple hatte zuletzt in seine Modelle etwa eine eigene "Anti-Polizei-Funktion" eingebaut. Wer schnell fünfmal hintereinander die Einschalttaste drückt, deaktiviert die Entsperrung durch den Fingerabdruck.

Und den Ermittlern kann schließlich auch zum Verhängnis werden, dass bei einigen Modellen nach Ablauf einer gewissen Zeit statt dem Fingerabdruck nur noch der Pin-Code hilft.

Auch im Fall des Angreifers auf dem Ohio State Campus kamen die Ermittler zu spät. Nach etwa sieben Stunden hatte sich das iPhone bereits in den Schlafmodus geschaltet und verlangte den Pin-Code. Der Zeigefinger des Toten führte in diesem Fall nicht ins Innere des Smartphones.