Das Bundesverfassungsgericht (1 BvR 2771/18) hat sich zur Frage geäußert, wie damit umzugehen ist, wenn Ermittlungsbehörden Kenntnis von Zero-Day-Schwachstellen erhalten – und dies ggfs. für eigene Ermittlungsmaßnahmen nutzen wollen. In einem solchen Fall sind Sicherheitsbehörden zur Abwägung der gegenläufigen Belange und unter Umständen zur Meldung an den Hersteller verpflichtet. Diese Rechtsprechung wurde in einer weiteren Entscheidung noch weiter ausgebaut, die in einem Update 2022 hier (am Ende) aufgenommen wurde.
Abwägung bei Ausnutzung von Sicherheitslücken
Dabei abzuwägen sind die Interessen der Strafverfolgung gegenüber dem Grundrecht auf Integrität informationstechnischer Systeme:
- Art. 10 Abs. 1 GG begründet neben einem Abwehrrecht einen Auftrag an den Staat, vor dem Zugriff privater Dritter auf die dem Fernmeldegeheimnis unterfallende Kommunikation zu schützen.
- a) Die grundrechtliche Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme verpflichtet den Staat, zum Schutz der Systeme vor Angriffen durch Dritte beizutragen.
b) Die grundrechtliche Schutzpflicht des Staates verlangt auch eine Regelung zur grundrechtskonformen Auflösung des Zielkonflikts zwischen dem Schutz informationstechnischer Systeme vor Angriffen Dritter mittels unbekannter Sicherheitslücken einerseits und der Offenhaltung solcher Lücken zur Ermöglichung einer der Gefahrenabwehr dienenden Quellen-Telekommunikationsüberwachung andererseits. - Für die Geltendmachung einer gesetzgeberischen Schutzpflichtverletzung bestehen spezifische Darlegungslasten. Eine solche Verfassungsbeschwerde muss den gesetzlichen Regelungszusammenhang insgesamt erfassen. Dazu gehört, dass die einschlägigen Regelungen des beanstandeten Normkomplexes jedenfalls in Grundzügen dargestellt werden und begründet wird, warum diese verfassungsrechtlich unzureichend schützen.
- Richtet sich eine Verfassungsbeschwerde unmittelbar gegen ein Gesetz, kann nach dem Grundsatz der Subsidiarität auch die Erhebung einer verwaltungsgerichtlichen Feststellungs- oder Unterlassungsklage zu den zuvor zu ergreifenden Rechtsbehelfen gehören. Das ist nicht erforderlich, wenn die Beurteilung einer Norm allein spezifisch verfassungsrechtliche Fragen aufwirft und von einer vorausgegangenen fachgerichtlichen Prüfung keine verbesserte Entscheidungsgrundlage zu erwarten wäre (stRspr). Dies gilt auch im Falle der Rüge einer gesetzgeberischen Schutzpflichtverletzung.
Grundsätzlich, so das Ergebnis dieser Entscheidung, werden Ermittlungsbehörden in der Lage sein, Sicherheitslücken für sich zu nutzen, ohne diese zwingend melden zu müssen. Die Entscheidung spielt noch keine größere Rolle, wird aber erhebliche Auswirkungen in Zukunft haben, speziell bei Quellen-TKÜ und Online-Durchsuchung.
„Ausnutzen von IT-Sicherheitslücken durch Behörden“ weiterlesen
