Strategische Inland-Ausland-Fernmelde­über­wachung durch den BND im Bereich der Cybergefahren teilweise verfas­sungs­widrigBundes­verfassungs­gericht fordert verhält­nis­mäßige Ausgestaltung

Die Beschwer­de­füh­renden sind deutsche und ausländische Staats­an­ge­hörige, die beruflich und privat mittels E-Mail, Telefon und Messen­ger­diensten Kontakt ins Ausland oder vom Ausland nach Deutschland unterhalten. Ein Beschwer­de­führer ist als Rechtsanwalt im Bereich des Datenschutz- und IT-Rechts tätig. Bei einem weiteren Beschwer­de­führer handelt es sich um den deutschen Ableger einer internationalen Nicht­re­gie­rungs­or­ga­ni­sation für den Schutz der Menschenrechte. Weitere Beschwer­de­führende engagieren sich für den Menschen­rechts­schutz im Ausland. Beide Verfas­sungs­be­schwerden richten sich unmittelbar gegen die im November 2015 neu in das Artikel 10-Gesetz eingefügte Befugnis des Bundes­nach­rich­ten­dienstes zur strategischen Inland-Ausland-Fernmel­de­über­wachung nach § 5 Abs. 1 Satz 3 Nr. 8 G 10 im Bereich der Cybergefahren. Die Befugnis bezieht sich auf die Gefahr des internationalen kriminellen, terroristischen oder staatlichen Angriffs mittels Schadprogrammen oder vergleichbaren schädlich wirkenden infor­ma­ti­o­ns­tech­nischen Mitteln auf die Vertraulichkeit, Integrität oder Verfügbarkeit von infor­ma­ti­o­ns­tech­nischen Systemen und Netzen in Fällen von erheblicher Bedeutung mit Bezug zur Bundesrepublik Deutschland. Die Verfas­sungs­be­schwerden richten sich außerdem gegen verschiedene bereits zuvor eingeführte Regelungen, die diese Befugnis flankieren. Konkret ermächtigt die Vorschrift zur Erfassung und Speicherung von Telekom­mu­ni­ka­ti­o­ns­roh­da­ten­strömen aus Übertra­gungswegen, zur Auswertung dieser Rohdaten durch den automatisierten Abgleich mit Suchbegriffen, zur händischen Auswertung der heraus­ge­fil­terten Daten sowie zur weiteren eigenen Verwendung der als nachrich­ten­dienstlich relevant eingestuften Daten. Abzugrenzen ist die strategische Inland-Ausland-Fernmel­deauf­klärung von der strategischen Ausland-Ausland-Fernmel­deauf­klärung nach dem BND-Gesetz. Dabei geht es um die Überwachung des Telekom­mu­ni­ka­ti­o­ns­verkehrs, an dem ausschließlich ausländische Kommu­ni­ka­ti­o­ns­teil­nehmende im Ausland beteiligt sind. Generell nicht strategisch überwachen darf der Bundesnachrichtendienst den Telekom­mu­ni­ka­ti­o­ns­verkehr, an dem auf beiden Seiten ausschließlich deutsche Staats­an­ge­hörige oder inländische Personen beteiligt sind.

Überwachung trotz des "besonders hohen Eingriffsrechts" grundsätzlich zulässig

Die Verfas­sungs­be­schwerden sind, soweit sie zulässig sind, überwiegend begründet. Die Ermächtigung zur Datenerhebung und weiteren Daten­ver­a­r­beitung im Wege der strategischen Inland-Ausland-Fernmel­deauf­klärung nach § 5 Abs. 1 Satz 3 Nr. 8 G 10 verletzt das Fernmel­de­ge­heimnis aus Art. 10 Abs. 1 GG, weil sie nicht in vollem Umfang dem Verhält­nis­mä­ßig­keits­grundsatz genügt. Die angegriffene Ermächtigung in § 5 Abs. 1 Satz 3 Nr. 8 G 10 betrifft den sachlichen Schutzbereich von Art. 10 Abs. 1 GG(Fernmel­de­ge­heimnis/Telekom­mu­ni­ka­ti­o­ns­ge­heimnis). Mit der grund­recht­lichen Verbürgung aus Art. 10 Abs. 1 GG soll historisch vermieden werden, dass der vermittelte Meinungs- und Infor­ma­ti­o­ns­aus­tausch über Entfernungen deswegen unterbleibt oder nach Form und Inhalt verändert wird, weil die Beteiligten damit rechnen müssen, dass staatliche Stellen sich in die Kommunikation einschalten und Kenntnisse über die Kommu­ni­ka­ti­o­ns­be­zie­hungen oder Kommu­ni­ka­ti­o­ns­inhalte gewinnen. Das Telekom­mu­ni­ka­ti­o­ns­ge­heimnis begegnet nach wie vor alten sowie neuen Persön­lich­keits­ge­fähr­dungen, die sich aus der gestiegenen Bedeutung der Infor­ma­ti­o­ns­technik für die Entfaltung des Einzelnen ergeben. Der sachliche Schutzbereich des Telekom­mu­ni­ka­ti­o­ns­ge­heim­nisses aus Art. 10 Abs. 1 GG umfasst zuvörderst den Kommu­ni­ka­ti­o­ns­inhalt.

Die strategische Telekommunikationsüberwachung ist ein Instrument von besonders schwerem Eingriffs­gewicht, insbesondere weil sie anlasslos gegenüber jeder Person erlaubt ist und allein durch bestimmte Zwecksetzungen final angeleitet wird. Sie hat unter den heutigen Bedingungen der Kommu­ni­ka­ti­o­ns­technik und ihrer Bedeutung für die Kommu­ni­ka­ti­o­ns­be­zie­hungen eine außer­or­dentliche Reichweite. Das Eingriffs­gewicht dieser Befugnis ist nicht mehr zu vergleichen mit demjenigen der Befugnisse, über die das BVerfG in seiner Entscheidung zur strategischen Inland-Ausland-Fernmel­deauf­klärung im Jahr 1999 zu entscheiden hatte, sondern übersteigt dieses deutlich. Zugleich haben sich die Analy­semög­lich­keiten der Nachrich­ten­dienste weiter­ent­wickelt. Durch die Möglichkeit der Verwendung formaler Suchbegriffe rückt die strategische Telekom­mu­ni­ka­ti­o­ns­über­wachung näher an die individuelle Telekom­mu­ni­ka­ti­o­ns­über­wachung heran. Diesem besonders schweren Eingriffs­gewicht steht ein überragendes öffentliches Interesse an einer wirksamen Inland-Ausland-Fernmel­deauf­klärung gegenüber. Die für die Gewichtung dieses öffentlichen Interesses bedeutsamen Umstände sind sowohl mit Blick auf die grundlegend gewandelte außen- und sicher­heits­po­li­tische Lage als auch hinsichtlich der erheblich gesteigerten technologischen Möglichkeiten, auf die bei der Entwicklung von Gefahrenlagen zulasten der staatlichen Interessen der Bundesrepublik Deutschland zurückgegriffen werden kann, ebenfalls nicht mehr mit den Gegebenheiten der Entscheidung des BVerfG im Jahr 1999 vergleichbar.

An der Früherkennung von Cybergefahren aus dem Ausland, die von außen- und sicher­heits­po­li­tischer Bedeutung für die Bundesrepublik Deutschland sind, zum Schutz von kritischen digitalen Infrastrukturen oder vergleichbar wichtigen infor­ma­ti­o­ns­tech­nischen Systemen besteht ein überragendes öffentliches Interesse. Die Zahl der internationalen Cyberangriffe auf infor­ma­ti­o­ns­tech­nische Systeme in der Bundesrepublik Deutschland ist hoch und nimmt weiterhin zu. Das Gefähr­dungs­po­tential internationaler Cyberangriffe ist außerordentlich hoch. Im Zuge der digitalen Transformation der Gesellschaft, Wirtschaft, Verwaltung und Politik hängen nahezu alle Lebensbereiche immer stärker von einer funkti­o­nie­renden digitalen Infrastruktur und deren Sicherheit ab. Auch die Verfas­sungs­organe und die anderen notwendigen Faktoren des Verfas­sungs­lebens sind zur Wahrnehmung ihrer Aufgaben in zunehmendem Maße von der Nutzung infor­ma­ti­o­ns­tech­nischer Systeme abhängig. Internationale Cyberangriffe auf kritische digitale Infrastrukturen oder vergleichbar wichtige infor­ma­ti­o­ns­tech­nische Systeme zielen auf eine Desta­bi­li­sierung des Gemeinwesens und können zur Bedrohung für die verfas­sungs­mäßige Ordnung, den Bestand und die Sicherheit des Bundes oder der Länder sowie für Leib, Leben und Freiheit werden. In der digital transformierten Gesellschaft kann die Gefahr internationaler Cyberangriffe auf die IT-Infrastruktur elementarer und überle­bens­wichtiger Bereiche – etwa die Versorgung mit Wasser und Energie sowie das Transport- und Gesund­heitswesen – ein vergleichbares Ausmaß wie die Gefahr eines bewaffneten Angriffs erreichen. Dieser ist in § 5 Abs. 1 Satz 3 Nr. 1 G 10 von Anfang an als legitimer Grund für die strategische Fernmel­de­über­wachung anerkannt worden.

Dokumentation wird zu schnell gelöscht

Die Befugnis zur strategischen Inland-Ausland-Fernmel­deauf­klärung ist trotz ihres besonders hohen Eingriffs­ge­wichts aufgrund des überragenden öffentlichen Interesses grundsätzlich mit Art. 10 Abs. 1 GG vereinbar, bedarf aber der verhält­nis­mäßigen Ausgestaltung. § 5 Abs. 1 Satz 3 Nr. 8 G 10 genügt den Anforderungen an die Begrenzung und Strukturierung der strategischen Inland-Ausland-Fernmel­deauf­klärung nicht vollumfänglich. Es fehlt eine hinreichend bestimmte und normenklare Regelung zur Aussonderung von Daten aus der reinen Inlands­kom­mu­ni­kation, an der nur deutsche Staats­an­ge­hörige oder inländische Personen beteiligt sind. Zwar sieht § 5 Abs. 1 Satz 3 Nr. 8 G 10 vor, dass nur internationale Telekom­mu­ni­ka­ti­o­ns­be­zie­hungen überwacht werden dürfen. Bei der Durchführung der strategischen Inland-Ausland-Fernmel­deauf­klärung werden aber zwingend auch Daten aus rein inländischen Telekom­mu­ni­ka­ti­o­ns­ver­kehren miterfasst. Das betrifft jedenfalls die digitale, paket­ver­mittelte Telekom­mu­ni­kation, die in der Praxis den weit überwiegenden Anteil der internationalen Telekom­mu­ni­kation ausmacht (unter anderem die gesamte Kommunikation über das Internet). Das Artikel 10-Gesetz enthält keine Vorgaben dazu, wie mit diesen notwendig miterfassten Daten aus rein inländischen Telekom­mu­ni­ka­ti­o­ns­ver­kehren umzugehen ist.

Ebenfalls nicht in vollem Umfang ausreichend sind die Vorkehrungen zum Schutz des Kernbereichs der privaten Lebens­ge­staltung. Zur Entfaltung der Persönlichkeit im Kernbereich privater Lebens­ge­staltung gehört die Möglichkeit, innere Vorgänge, Überlegungen und Erlebnisse höchst­per­sön­licher Art zum Ausdruck zu bringen. Geschützt ist insbesondere die nicht­öf­fentliche Kommunikation mit Personen des höchst­per­sön­lichen Vertrauens, die in der berechtigten Annahme geführt wird, nicht überwacht zu werden. Die gezielte Kernbe­reich­s­er­fassung ist auch gegenüber ausländischen Personen im Ausland unzulässig, sodass Suchbegriffe, die den Kernbereich der Lebens­ge­staltung betreffen, gegenüber diesen Personen nicht eingesetzt werden dürfen. § 5 Abs. 2 Satz 3 in Verbindung mit § 5 Abs. 2 Satz 2 Nr. 2 G 10 regelt dies für ausländische Personen im Ausland nicht hinreichend bestimmt und normenklar.

Zudem sieht § 5 Abs. 2 Satz 6 G 10 eine zu kurze Frist für die Löschung der Dokumentation über die Durchführung der strategischen Inland-Ausland-Fernmel­deauf­klärung vor. Nach dieser Vorschrift ist die Dokumentation am Ende des Kalenderjahres, das dem Jahr der Protokollierung folgt, zu löschen. Diese Aufbe­wah­rungsfrist ist zu kurz, um den von der Überwachung Betroffenen effektiven subjektiven Rechtsschutz zu ermöglichen. Die starre Frist nimmt keinen Bezug auf die Regelungen zur Benach­rich­tigung der von den Maßnahmen Betroffenen. Diese erfolgt erst nach der endgültigen Einstellung der jeweiligen Maßnahme. Dass die Protokolldaten zu diesem Zeitpunkt noch vorhanden sind, ist nicht sichergestellt.

Überwachung muss kontrolliert werden

Schließlich genügt die Ausgestaltung der unabhängigen objek­ti­v­recht­lichen Kontrolle durch die G 10-Kommission nicht durchgehend den insoweit bestehenden besonders hohen Anforderungen. Die Kontrolle muss unter anderem die faktische Schwäche der individuellen Rechts­schutz­mög­lich­keiten ausgleichen, die aus den nur begrenzten Auskunfts- und Benach­rich­ti­gungs­pflichten über die strategische Telekom­mu­ni­ka­ti­o­ns­über­wachung folgt. Als Ersatz ist eine fachlich kompetente, profes­si­o­na­li­sierte gericht­s­ähnliche Kontrolle sicherzustellen, die materiell und verfahrensmäßig einer gerichtlichen Kontrolle gleichwertig, insbesondere mindestens ebenso wirkungsvoll ist. Dem genügt nicht, dass die Mitglieder der G 10-Kommission lediglich ein öffentliches Ehrenamt innehaben statt wie verfas­sungs­rechtlich geboten hauptamtlich tätig zu sein. Zudem stellt das Artikel 10-Gesetz nicht sicher, dass der G 10-Kommission Mitglieder mit richterlicher Erfahrung angehören.

Die Unver­ein­ba­r­keits­er­klärung von § 5 Abs. 1 Satz 3 Nr. 8 G 10 ist mit der Anordnung der vorübergehenden Fortgeltung der Norm zu verbinden. Die beanstandete Befugnis kann für die Sicherheit der Bundesrepublik Deutschland, insbesondere bei Berück­sich­tigung der potentiellen Dynamik bedrohlicher Entwicklungen unter den Bedingungen der Infor­ma­ti­o­ns­technik, auch kurzfristig große Bedeutung gewinnen. Mit Blick auf das Telekom­mu­ni­ka­ti­o­ns­ge­heimnis gilt sie unter anderem mit der Maßgabe der Pflicht zur Aussonderung der Daten aus rein inländischen Telekom­mu­ni­ka­ti­o­ns­ver­kehren fort. Außerdem dürfen auch gegenüber ausländischen Personen im Ausland keine Suchbegriffe, die den Kernbereich der privaten Lebens­ge­staltung betreffen, eingesetzt werden.