BVerwG zu BND-Überwachung an Internetknotenpunkt: Geheim­di­enst darf weiter Rechen­zen­tren anzapfen

Als das Bundesverwaltungsgericht (BVerwG) in Leipzig am Mittwochabend gegen 22.30 Uhr dann doch noch seine Entscheidung verkündete, waren die Vertreter von Kläger und Beklagte längst auf dem Weg nach Hause. In Zukunft werden die beiden Streitparteien wohl weiter zusammenarbeiten müssen.

Das BVerwG hat dem Bundesnachrichtendienst (BND) Recht gegeben. Er darf in großem Stil bei dem privaten Betreiber eines Internetknotenpunktes in Frankfurt am Main Daten abgreifen (Urt. v. 30. Mai 2018 Az. 6 A 3.16). Das Bundesinnenministerium (BMI) darf per Anordnung das Unternehmen zwingen, bei der strategischen Überwachung des BND mitzuhelfen. Dagegen hatte sich der Betreiber De-Cix gewehrt; man wolle sich nicht länger zum "Komplizen" des BND machen, hatte Aufsichtsratsmitglied Klaus Landefeld vor Prozessbeginn erklärt. Das Aufgabengebiet des deutschen Auslandsgeheimdienstes BND liegt zwar in der Informationsbeschaffung mit Auslandsbezug, allerdings macht er sich seit Jahren einen Standortvorteil im Zentrum von Deutschland zunutze: In Frankfurt am Main liegt der nach eigenen Angaben weltgrößte Internetknotenpunkt.

Massenüberwachung in Frankfurt am Main – ohne konkreten Verdacht

Durch ihn fließen jeden Tag mehr als fünf Terabyte pro Sekunde, in Form von E-Mails, WhatsApp-Nachrichten, Chats, Social Media Posts – von über 700 Internetdiensteanbietern aus mehr als 60 Ländern, aus Russland genauso wie aus dem Nahen Osten, aus Asien wie auch aus Deutschland. Und damit im großen Stil auch durch die digitalen Finger des BND.

Der Geheimdienst hat sich dort an bestimmten Glasfaserkabeln ein sog. Y-Stück installieren lassen: Die durchfließenden Daten werden in einen zweiten Kabelarm des Y-Stücks kopiert, der BND erhält so eine komplette Kopie der Daten, einen sog. "full take". Das nennt man strategische Telekommunikationsüberwachung oder auch anlasslose Massenüberwachung - also eine Überwachung ohne konkreten Verdacht. Der BND filtert anschließend die Daten nach bestimmten Suchbegriffen, überprüft sie auf nachrichtendienstliche Relevanz und verwertet sie weiter.Die Betreibergesellschaft hatte das Abzapfen bei ihr lange Zeit geduldet, nun wehrte sie sich aber vor dem BVerwG. Das Unternehmen wirft dem BND vor, dass er an ihrem Standort auch innerdeutsche Kommunikation mitliest – was dem BND nicht erlaubt ist.

Deutsche Kommunikation aus Überwachung aussortieren – aber wie?

Nach § 5 Abs. 1 des Artikel 10 Gesetzes zur Beschränkung des Brief-, Post- und Fernmeldegeheimnisses (G-10-Gesetz) darf eine strategische Überwachung nur für "internationale Telekommunikationsbeziehungen" erfolgen. Die entscheidende Frage ist also, wie stellt der BND sicher, dass er aus dem Datenstrom keine Kommunikation zwischen deutschen Staatsbürgern mitliest.

Im Vorfeld war klar geworden, dass die Anwälte von De-Cix dem BND eine solche trennscharfe Aussortierung nicht zutrauen. Dass der BND sich nicht darauf verlässt nur nach E-Mail-Adress-Endungen ".de" oder einer deutschen Ländervorwahl zu unterscheiden, dürfte dabei klar sein. An der Tauglichkeit der Filtertechnik hatte aber auch die Bundesdatenschutzbeauftragte erhebliche Zweifel. Für den BND ist es zugleich heikel, allzu viel über sein genaues Vorgehen preiszugeben. Das Leipziger Urteil ist für ihn nun äußerst glücklich ausgefallen, er musste nicht zu sehr in Details zu seinem Umgang mit den Daten gehen, weil das BVerwG die Feststellungsklage der Betreiberin bereits aus anderen Gründen für nicht begründet hielt. Soweit die Pressemitteilung des Gerichts das erkennen lässt, wird sich die Urteilsbegründung nicht mit der Frage der Aussortierung deutscher Kommunikation beschäftigen.

Internetknotenbetreiber kann sich nicht auf Art. 10 GG berufen

Prüfungsgegenstand sei nur die Anordnungen des BMI aus den Jahren 2016 und 2017, die den Betreiber zur Mitwirkung zwingen – nicht aber die dahinter liegenden Beschränkungen des Fernmeldeverkehrs. Das BVerwG stellt klar, dass sich das Unternehmen zwar auf die Berufsfreiheit nach Art. 12 GG berufen könne, allerdings nicht auf den Schutz des Fernmeldegeheimnisses aus Art. 10 Abs. 1 GG. "Dieses Grundrecht schützt die Vertraulichkeit der Telekommunikationsverkehre", teilt das BVerwG mit. "Darauf kann sich jedoch die Klägerin in ihrer Eigenschaft als Vermittlerin von Telekommunikationsverkehren nicht berufen." Damit sind die spannenden Fragen rund um die Befugnisse und ihre Voraussetzungen nach dem G-10-Gesetz größtenteils vom Tisch.

Das BVerwG, das in erster Instanz für die Rechtssache des BND zuständig ist, führt weiter aus, dass für die Rechtmäßigkeit der Beschränkungsanordnung allein die beklagte Bundesrepublik Deutschland die Verantwortung trägt.

Das BMI hatte auf Antrag des BND Beschränkungen des Fernmeldegeheimnisses für die Frankfurter Rechenzentren auf der Grundlage von § 5 G-10-Gesetz angeordnet. Das G-10-Gesetz konkretisiert einfachgesetzlich, unter welchen Voraussetzungen Grundrechtseingriffe in das Fernmeldegeheimnis nach Art. 10 GG möglich sind.An der Anordnung selbst hatte der 6. Senat des BVerwG nichts auszusetzen. Sie lege insbesondere in noch hinreichend bestimmter Weise die Verpflichtung zur Bereitstellung der Datenströme fest, die über die in der Beschränkungsanordnung aufgeführten Übertragungswege abgewickelt werden.

Auch genügten die gesetzlichen Grundlagen der Verpflichtungsanordnungen den Anforderungen an eine Berufsausübungsregelung nach Art. 12 Abs. 1 GG.

Für den BND dürfte die Entscheidung des BVerwG einen wertvollen Sieg bedeuten. Mit dem Zugriff auf den Datenknotenpunkt behält er eine wichtige Verhandlungsmasse im internationalen Austausch mit anderen Geheimdiensten.

Operation "Eikonal" durch Snowden und NSA-Skandal aufgedeckt

Nach den Enthüllungen von Edward Snowden und dem Skandal zur NSA-Überwachung, hatte der deutsche Gesetzgeber die strategische Fernmeldeaufklärung des BND 2016 auf eine eigene und neue gesetzliche Grundlage gestellt. Darin wurde auch der Zugriff auf Internetknotenpunkte wie den in Frankfurt am Main legalisiert. Durch die Arbeit des NSA-Untersuchungsausschuss im Bundestag wurde öffentlich, dass der BND über mehrere Jahr Daten in Frankfurt abgezapft und auch an den US-amerikanischen Geheimdienst NSA weitergegeben hat, die Operation lief unter dem Codenamen "Eikonal". Das Vorgehen in Frankfurt am Main ist seitdem nicht mehr geheim.

Klägeranwalt: "Der BND hat sich den größten Teich ausgesucht"

Der stellvertretende Grünen-Fraktionsvorsitzende und frühere Obmann im NSA-Untersuchungsausschuss, Konstantin von Notz, schrieb auf dem Kurznachrichtendienst Twitter zu der Entscheidung des BVerwG: "Problem mit dem FullTakes des #BND in Frankfurt am #D-Cix ist u.a., dass so alle Dienste aller Länder an allen Knotenpunkten anlasslos abfischen. Das gilt für die Kommunikation aller BürgerInnen seien sie Richter, Journalisten, Hebammen, Ärztinnen, Politiker".

Der Rechtsanwalt der Klägerin Sven-Erik Heun betonte vor dem Prozess: "Der BND hat sich den größten Teich ausgesucht, in dem er fischen kann". Dabei ließen die Anordnungen aus dem BMI nicht erkennen, ob sie das zuständige Kontrollgremium des Bundestags überhaupt durchlaufen haben.

Dagegen erläuterte Rechtsanwalt Wolfgang Roth für die Bundesregierung, dass die Regierung als Schutz für von Überwachungen Betroffene die G-10-Kommission des Bundestages installiert habe.
Diese Kommission müsse die Eingriffe in das Fernmeldegeheimnis erlauben. Eine detailliertere Anordnung könne es aufgrund der Geheimhaltung nicht geben, betonte Roth.

Die gesetzliche Ermächtigung des § 5 G-10-Gesetz hält der Betreiber De-Cix für verfassungswidrig. Das Aufsichtsratsmitglied Landefeld hatte bereits im Vorfeld des Leipziger Verfahrens angekündigt, dass man notfalls bis nach Karlsruhe zum Bundesverfassungsgericht ziehen wolle.

Update 31.05.2018, 15.30 Uhr:

Das Management von De-Cix kündigte am Donnerstag an, das Bundesverfassungsgericht anzurufen. So solle geklärt werden, ob das Unternehmen zur Umsetzung von Anordnungen verpflichtet ist, "welche zwar formal korrekt sein mögen, aber aus unserer Sicht inhaltlich weiter fragwürdig sind". Das Urteil des Bundesverwaltungsgericht gebe aber insofern Rechtssicherheit, als es klargestellt habe, dass die Verantwortung ausschließlich die Bundesregierung und ihre Organe tragen müssten.


mit Material der dpa