1 BGs 210/14

Anordnung von IP-Tracking per präparierter Dateien nach §100g StPO • IP-Tracking zur Erhebung von IP-Adressen ist Verkehrsdaten-Erhebung im Sinne des §100g StPO und bedarf richterlicher Anordnung. • Die Erhebung von IP-Adressen durch präparierte Dateien (Lesebestätigungsdienst) ist als Telekommunikationsvorgang und damit als Erhebung von Verkehrsdaten zu qualifizieren. • §100g StPO ist einschlägig und anzuwenden, auch wenn die Ermittlungsbehörde selbst als Kommunikationspartner auftritt; die strengeren Voraussetzungen dieses Paragrafen sind zu prüfen und können vorliegen. • Die Maßnahme ist verhältnismäßig, wenn ohne sie die Sachverhaltsaufklärung wesentlich erschwert wäre und ein hoher Tatverdacht (Katalogtat) besteht. Unbekannte Mitglieder einer Tätergruppierung („E. B.“) werden verdächtigt, seit August 2012 gezielte elektronische Angriffe auf deutsche Behörden, Forschungseinrichtungen und Unternehmen durchzuführen. Bisher ausgewertete, sichergestellte Server ergaben keine Identifizierung der Täter oder der genutzten C2-Server; die Täter wechseln die Infrastruktur und verschleiern ihre IP-Adressen. Das Bundeskriminalamt infizierte Rechner mit der von der Tätergruppierung verwendeten Schadsoftware Havex RAT/Dragonfly und wollte darauf Dateien ablegen, die für die Täter attraktiv erscheinen. Diese Dateien sollten mit einem Lesebestätigungsdienst versehen werden (unsichtbares 1x1-Pixel-Bild), das beim Abruf die IP-Adresse, Zeitpunkt und Verbindungsdaten an den Server zurückmeldet. Ziel war die Ermittlung und Lokalisierung der von der Tätergruppierung genutzten IP-Adressen zur Identitätsaufklärung. Die Erhebung sollte in Echtzeit (IP-Tracking) und unter Einsatz technischer Mittel für drei Monate angeordnet werden. • Rechtsgrundlage ist §100g StPO; die Voraussetzungen dieser Vorschrift liegen vor, weil Verkehrsdaten erhoben werden sollen. • IP-Tracking durch präparierte Dateien stellt die Erhebung von Verkehrsdaten dar, weil beim automatischen Nachladen des eingebetteten Bildes ein Telekommunikationsvorgang ausgelöst wird und dabei IP-Adresse, Datum, Uhrzeit und Verbindungsdauer entstehen (§3 Nr.30 TKG, §96 Abs.1 TKG relevant für die Bestimmung von Verkehrsdaten). • Eine bloße Bestandsdatenauskunft nach §100j StPO scheidet aus, da weder IP-Adresse noch Dienstanbieter vorab bekannt sind; es geht um die vorgelagerte Ermittlung der IP-Adresse. • §100h Abs.1 Nr.2 StPO greift nicht abschließend; obwohl technische Mittel verwendet werden, verlangt die Erhebung der hier anfallenden Verkehrsdaten nach den erhöhten Anforderungen des §100g StPO. • Die Maßnahme greift in das Recht auf informationelle Selbstbestimmung; diese Intensität entspricht jedoch dem Regelfall des §100g StPO, da mit der Maßnahme nicht nur einmalige Daten, sondern gegebenenfalls ortsbezogene und zeitliche Verknüpfungen (Bewegungsprofile) ermittelt werden können. • Erforderlichkeit und Verhältnismäßigkeit sind gegeben: Ohne die Maßnahme wäre die Aufklärung wesentlich erschwert, weil die bisherigen Erkenntnisse keine Hinweise auf Identität oder C2-Server lieferten und die Täterinfrastruktur häufig wechselt; zudem besteht ein hoher Verdacht einer Katalogtat nach §100a Abs.2 Nr.1a StPO. • Die technische Vorgehensweise (unsichtbares nachgeladenes Bild) entspricht verbreiteten Tracking-Methoden und beschränkt die Erhebung auf Zeitpunkt, IP-Adresse und Verbindungsdaten; ein Durchsuchen des fremden IT-Systems findet nicht statt. Der Antrag auf Erhebung der IP-Adressen der Tätergruppierung „E. B.“ durch IP-Tracking mittels präparierter Dateien wurde angeordnet auf Grundlage des §100g StPO für drei Monate. Das Gericht hat zugunsten der Ermittlungsbehörde entschieden, weil die Maßnahme zur Identifizierung der Täter erforderlich und verhältnismäßig ist: ohne sie bliebe die Ermittlung wesentlich erschwert und es besteht ein hoher Tatverdacht auf Ausspähung in großem Umfang. Die Anordnung beschränkt sich auf die Erhebung von Verkehrsdaten (IP-Adresse, Datum, Uhrzeit, Verbindungsdauer) und greift nicht in Form einer Durchsuchung des betroffenen IT-Systems ein. Daher ist die Maßnahme mit den gesetzlichen Anforderungen vereinbar und rechtmäßig angeordnet worden.