Gesetzentwurf: Behörden sollen Zugriff auf User-Passwörter erhalten

Ende 2019 veröffentlichte das Bundesjustizministerium unter Ministerin Christine Lambrecht (SPD) einen neuen Gesetzentwurf zur “Bekämpfung des Rechtsextremismus und der Hasskriminalität”. Was zuerst einmal positiv klingt, erregt zahlreiche Gemüter. Denn dieser Gesetzentwurf sieht vor, dass Ermittler erleichterten Zugriff auf Online-Passwörter bei Facebook, Google, WhatsApp und Co erhalten. Konkret: E-Mail-Provider, Betreiber von sozialen Netzwerken sowie alle weiteren Unternehmen, die Online-Dienste anbieten, sollen die Zugangsdaten eines Users herausgeben müssen, wenn Sicherheitsbehörden dies verlangen.

Transfer von Bestands- und Nutzungsdaten an Sicherheitsbehörden

Eine kleine Änderung mit großer Wirkung: Das Telemediengesetz (TMG) soll so ergänzt werden, dass Online-Unternehmen künftig Bestandsdaten herausgeben müssen, “mittels derer der Zugriff auf Endgeräte oder auf Speichereinrichtungen, die in diesen Endgeräten oder hiervon räumlich getrennt eingesetzt werden, geschützt wird”. Einfach ausgedrückt handelt es sich dabei um die Passwörter von Kunden bzw. Usern.

Auch wenn das Ziel, die Bekämpfung von Hasskriminalität im Netz, prinzipiell löblich ist, würde eine solches Gesetz die Privatsphäre von Bürgern tiefgreifend bedrohen. Sowohl Vertreter der Digitalwirtschaft als auch zahlreiche Politiker kritisieren deshalb den Vorstoß des Bundesjustizministeriums.

Bislang dürfen Strafverfolgungsbehörden und Geheimdienste nur auf die IP-Adressen von Verdächtigen zugreifen – und das auch nur nach richterlichem Beschluss.

Erweiterung des NetzDG geplant

Das im Volksmund auch “Facebook-Gesetz” genannte NetzDG ist am 1.1.2018 in Kraft getreten und regelt den Umgang sozialer Netzwerke mit Nutzer-Hinweisen zu Hass-Postings. So müssen „offensichtlich rechtswidrige Inhalte“ binnen 24 Stunden nach Eingang einer Nutzer-Beschwerde gelöscht oder gesperrt werden. Bei Inhalten, die nicht offensichtlich rechtswidrig sind, haben die Betreiber sieben Tage Zeit für deren Prüfung. Halten die Betreiber sozialer Medien die Vorschriften nicht ein, drohen Bußgelder in Millionenhöhe.

Mit der Umsetzung Gesetzentwurfs des Bundesjustizministeriums würde das NetzDG bedeutend erweitert werden. Anbieter sollen beispielsweise verpflichtet werden, bei bestimmten Straftatbeständen neben den IP-Adressen auch die Portnummer an das Bundeskriminalamt (BKA) weiterzugeben. Allerdings müssen die Portnummer dafür erst einmal gespeichert werden, was deutlich über die Vorratsdatenspeicherung (wurde wegen verfassungsrechtlicher Bedenken ausgesetzt) hinausgeht.

Auch zahlreiche Vorschriften der DSGVO würden hierdurch ad absurdum geführt: Meist sind die Zugangsdaten von Usern für die Mitarbeiter eines Online-Unternehmens überhaupt nicht einsehbar, sondern verschlüsselt hinterlegt. Um Ermittlungsbehörden Zugangsdaten auf Verlangen weitergeben zu können, müssten die Kennwörter unverschlüsselt hinterlegt werden.

Justizministerium verteidigt Pläne

Trotz kritischer Stimmen des Verbandes der Internetwirtschaft eco, des Digitalverbands Bitkom sowie des Bundesverbands Digitale Wirtschaft (BVDW) verteidigt das Bundesjustizministerium seine Pläne. Im Gespräch mit der dpa erläuterte ein Sprecher des Ministeriums, dass es grundlegend nur wenige Fälle geben werde, in denen die tatsächliche Herausgabe von Passwörtern verlangt wird – beispielsweise bei Terrorismus-Straftaten.

Außerdem würden Unternehmen auch nur dann zur Herausgabe verpflichtet, wenn es technische Möglichkeiten gibt, verschlüsselt gespeicherte Passwörter zu entschlüsseln. Eine Pflicht, Passwörter unverschlüsselt zu speichern, wird es laut Bundesjustizministerium künftig nicht geben.

Zudem müsse (ebenso wie bei der Herausgabe von IP-Adressen) ein Richter entscheiden, ob ein Passwort angefordert werden dürfe oder nicht.