Das Bundesverfassungsgericht hat in einem Urteil ein Grundrecht auf Integrität und Vertraulichkeit informationstechnischer Systeme bestätigt. Sehen Sie dieses Recht durch den Bundestrojaner gefährdet?
Gegenstand der aktuellen Diskussion ist die Quellen-TKÜ. Sie ist abzugrenzen von der sogenannten Online-Durchsuchung, mit der ein Computer vollständig aus der Ferne ausgelesen werden kann.

Technisch gesehen ähneln sich beide Maßnahmen sehr. Bei beiden wird der Zielcomputer infiltriert. Das Bundesverfassungsgericht hat die Infiltration des Zielcomputers als „die entscheidende Hürde“ angesehen, um das System insgesamt auszuspähen. Daher ergibt sich bei beiden Maßnahmen ein Risiko für die Sicherheit des betroffenen Computers. Zu denken ist etwa an unabsichtliche Datenverluste oder einen Missbrauch der verwendeten Software durch Dritte. Wegen dieser Gefährdungslage muss die Datensicherheit der eingesetzten Software höher sein, als bei anderen sensiblen IT-Anwendungen.

Das Bundesministerium des Inneren hat eine standardisierte Leistungsbeschreibung zur Quellen-TKÜ erstellt, bevor die neue Software entwickelt wurde. Dazu habe ich Stellung genommen und wurde im weiteren Verlauf über den Fortschritt der Entwicklung informiert. Nachdem die Software zur Quellen-TKÜ freigegeben wurde, werde ich diese einer intensiven Prüfung unterziehen.

Der jetzt freigegebene Bundestrojaner soll Kommunikationsvorgänge überwachen, nicht aber weitere Daten ausspähen. Wie lässt sich sicherstellen, dass der Bundestrojaner sich auf diese sogenannte Quellen-TKÜ beschränkt?
Die eingesetzte Software muss technisch so ausgestaltet sein, dass sie keine anderen Daten auf dem Zielrechner des Betroffenen erfassen darf, also z.B. lokal gespeicherte E-Mails oder sonstige Dateien. Die Polizeibehörde muss dafür Vorkehrungen treffen, die technisch nicht trivial sind und hohe Anforderungen an die Datensicherheit stellen.

Zudem hat das Bundesverfassungsgericht nicht nur technische, sondern auch rechtliche Vorgaben gefordert. Der Gesetzgeber muss deshalb genau festlegen, in welchen Fällen die Polizeibehörde dieses Risiko für die Betroffenen eingehen darf und dabei für die Quellen-TKÜ einen noch strengeren Maßstab anlegen als für die „klassische“ Telekommunikationsüberwachung. Auch können entsprechende Maßnahmen nicht auf die allgemeinen Vorschriften der Strafprozessordnung oder des Artikel-10-Gesetzes gestützt werden.

Kritiker bezweifeln, dass sich mit dem freigegebenen Bundestrojaner effizient Verbrechen verhindern oder aufklären lassen. Wie sehen Sie das?
Als Datenschutzbeauftragte ist es nicht meine Aufgabe zu beurteilen, inwieweit eine Maßnahme tatsächlich aus polizeitechnischer Sicht effizient ist oder nicht. Dafür sehe ich die Strafverfolgungs- und Polizeibehörden in der Darlegungs- und Beweispflicht.

Nach Medienberichten hat das BKA die Software entwickelt, aber zusätzlich noch ein kommerzielles Produkt erworben. Wie bewerten Sie das?
Unabhängig davon, ob es sich um eine selbst entwickelte oder eingekaufte Software handelt kommt es letztlich darauf an, dass die rechtlichen und verfassungsrechtlichen Vorgaben erfüllt sind. Darüber hinaus müssen alle eingesetzten Mittel datenschutzrechtlich vollständig kontrollierbar sein.