Kitabı oku: «Der strafprozessuale Zugriff auf Inhaltsdaten in der Cloud»
Der strafprozessuale Zugriff auf Inhaltsdaten in der Cloud
Dirk Meinicke
Fachmedien Recht und Wirtschaft | dfv Mediengruppe | Frankfurt am Main
Abkürzungshinweise
Die hier verwendeten Abkürzungen richten sich (soweit nichts anderes angegeben ist) nach Kirchner, Abkürzungsverzeichnis der Rechtssprache, 8. Aufl. 2015.
Bibliografische Information der Deutschen Nationalbibliothek
Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.
ISBN: 978-3-8005-1755-8

© 2020 Deutscher Fachverlag GmbH, Fachmedien Recht undWirtschaft, Frankfurt am Main
Das Werk einschließlich aller seiner Teile ist urheberrechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Urheberrechtsgesetzes ist ohne Zustimmung des Verlages unzulässig und strafbar. Das gilt insbesondere für Vervielfältigungen, Bearbeitungen, Übersetzungen, Mikroverfilmungen und die Einspeicherung und Verarbeitung in elektronischen Systemen.
Druck: WIRmachenDRUCK GmbH, Backnang
Printed in Germany
Vorwort
Die Idee zu dieser Arbeit ist im Jahre 2009 auf der 10. Herbstakademie „Inside the Cloud – Neue Herausforderungen für das Informationsrecht“ der Deutschen Stiftung für Recht und Informatik entstanden. Mein erster Dank gilt an dieser Stelle Prof Dr. Hans Kudlich, der sich frühzeitig zur Betreuung der Arbeit bereiterklärt und zugleich die Verzögerungen toleriert hat, die mit der berufsbegleitenden Fertigstellung des Vorhabens einhergegangen sind. Prof. Dr. Safferling danke ich für die zügige Erstattung des Zweitgutachtens.
Darüber hinaus geht mein Dank an Prof. Dr. Prof. h.c. Jürgen Taeger, der als Vorsitzender des Vorstandes der DSRI nicht nur die eingangs erwähnte Tagung organisiert hat, sondern auch in den folgenden Jahren so freundlich war, mich immer wieder zu Vorträgen auf der Herbstakademie einzuladen. Dies hat mit erheblich dazu beigetragen, dass ich immer wieder neben dem beruflichen Alltag Zeit für wissenschaftliche Fragestellungen gefunden habe, was letztlich die Grundlage dafür war, dass ich die nun vorliegende Arbeit fertigstellen konnte. Ich bin glücklich und dankbar, dass das Thema trotz der inzwischen vergangenen Zeit praktisch nichts an Aktualität verloren hat.
| Oberhausen, Oktober 2020 | Dr. iur. Dirk Meinicke, LL.M. |
Inhaltsverzeichnis
1 Abkürzungshinweise
2 Vorwort
3 A. Einleitung
4 B. Technische Grundlagen I. Definition und grundlegende Charakteristika 1. Ressource-Pooling 2. Rapid Elasticity 3. On Demand self-service 4. Broad network-access 5. Measured service II. Abgrenzung zu ähnlichen Technologien 1. Verteilte Systeme: Cluster- und Grid-Computing 2. IT-Outsourcing 3. Das Application-Service-Provider-Modell 4. Utility-Computing III. Service-Modelle 1. Software-as-a-Service (SaaS) 2. Platform-as-a-Service (PaaS) 3. Infrastructure-as-a-Service (IaaS) IV. Verschiedene Arten von Clouds 1. Öffentliche Cloud 2. Nichtöffentliche Cloud 3. Community-Cloud 4. Hybride Cloud V. Technische Grundvoraussetzungen für Cloud Computing 1. (Breitband-)Internet, Hochleistungsserver, Multicore-Prozessoren und Web 2.0 2. Virtualisierung VI. Technische Einzelheiten 1. Anforderungen an Cloud-Systeme und charakteristische Merkmale a) Transparenz b) Ausfallsicherheit und hohe Verfügbarkeit c) Elastizität und Skalierbarkeit 2. Datensicherheit a) Grundsätzliches b) Datensicherungsstrategie c) Arten der Datensicherung und Speichermedien 3. Datenlokalität VII. Zusammenfassende Problemfokussierung und weiterer Gang der Untersuchung
5 C. Der verfassungsrechtliche Rahmen strafprozessualer Ermittlungsmaßnahmen I. Verfassungsrechtliche Vorüberlegungen 1. Gesetzesvorbehalt und Eingriffsnorm a) Allgemeiner Eingriffsvorbehalt und Wesentlichkeitskriterium b) Analogieverbot und Bestimmtheitsgebot im Verfahrensrecht 2. Konsequenz: Notwendigkeit einer bereichsspezifischen Eingriffsnorm II. Zwischenergebnis und Folgerungen für die Untersuchung
6 D. Strafprozessualer Zugriff auf Cloud Computing-Systeme de lege lata I. § 94 StPO als Grundlage für Ermittlungen in Cloud Computing-Systemen 1. Mögliche Beschlagnahmegegenstände in Cloud-Sachverhalten a) Hardware und Speichermedien als Beschlagnahmegegenstände b) Daten als Beschlagnahmeobjekte aa) Die ablehnende Ansicht von Bär bb) Die bejahende Ansicht des BVerfG und der h.L. cc) Stellungnahme c) Verfahrensweisen zur Sicherstellung von Daten 2. Der Zugriff auf beim Provider zwischengespeicherte E-Mails als Blaupause für Cloud-Sachverhalte? a) Technische Grundlagen der E-Mail-Kommunikation275 aa) Übertragung zum Mail(out)Server bb) Übertragung zum Mail(in)Server cc) Der Abruf der E-Mail durch den Empfänger b) Rechtsprechung und Schrifttum zum E-Mail-Zugriff im Überblick aa) Hintergrund: Die Einteilung der E-Mail-Kommunikation in „Phasen“ bb) E-Mail-Zugriff zwischen Beschlagnahme und TKÜ (a) Rechtsprechung (b) Literatur (aa) Das Meinungsbild vor BVerfG NJW 2009, 2431ff. (bb) Die Reaktionen im Schrifttum auf BVerfG NJW 2009, 2431ff. (cc) Keine Ermächtigungsgrundlage für den Zugriff auf E-Mails c) Folgerungen für die vorliegende Untersuchung 3. Die Unzulänglichkeit der §§ 94ff. StPO als Ermächtigung zum Eingriff in die Cloud a) „IT-spezifische“ Gefährdungslage in Cloud-Sachverhalten aa) Das neue Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme (a) Schutzbereich (aa) Schutz des Systems als System (bb) Negative Abgrenzung: Das Verhältnis zu den Art. 2 Abs. 1, 10, 13 GG (1) Art. 13 GG (2) Art. 10 GG (3) Recht auf informationelle Selbstbestimmung (cc) Bestimmung des Schutzbereichs vom Eingriff her (dd) Die Cloud als System i.S.d. IT-Grundrechts (b) Schranken bb) Untauglichkeit der Beschlagnahmevorschriften als Ermächtigungsnorm für den Zugriff auf die Cloud cc) Zwischenergebnis: Unanwendbarkeit der §§ 94ff. StPO II. §§ 99f. StPO (Postbeschlagnahme) 1. Norminhalt 2. Keine Anwendbarkeit beim Zugriff auf die Cloud III. § 100a StPO (Überwachung der Telekommunikation) 1. Zur großen praktischen Relevanz der TKÜ in Cloud-Sachverhalten 2. Der Telekommunikationsbegriff a) Der strafprozessuale Telekommunikationsbegriff aa) Grundlagen bb) Erweiterungen b) Der Telekommunikationsbegriff im TKG c) Eigene Stellungnahme zum Telekommunikationsbegriff aa) Die Anwendung des Methodenkanons bb) Grundrechtsspezifische Aspekte cc) Probleme des Kernbereichsschutzes dd) Abschließende kritische Würdigung 3. Zwischenergebnis IV. Online-Durchsuchung und Quellen-TKÜ (§§ 100a Abs. 1 S. 2, S. 2, 100b StPO n.F.) 1. Die Rechtslage bis zum 24.08.2017 a) Quellen-TKÜ aa) Begriff und technischer Hintergrund bb) Rechtliche Bewertung in Rechtsprechung und Schrifttum cc) Bewertung des Diskussionsstandes b) Die Online-Durchsuchung: Technische Grundlagen und rechtliche Bewertung vor der Neuregelung in § 100b StPO aa) Technische Grundlagen522 bb) Rechtliche Bewertung nach alter Rechtslage (a) Strafrechtliche Rechtsprechung zur „Online-Durchsuchung“ (aa) Beschl. des Ermittlungsrichters v. 21.2.2006, StV 2007, 60 (bb) Beschl. des Ermittlungsrichters vom 25.11.2006 (cc) BGH Beschl. v. 31.1.2007 (b) Die Behandlung der strafprozessualen Online-Durchsuchung im Schrifttum 2. Die Neuregelung durch das Gesetz zur effektiveren und praxistauglicheren Ausgestaltung des Strafverfahrens a) Quellen-TKÜ nach §§ 100a Abs. 1 S. 2 und S. 3 StPO aa) Inhalt der Neuregelung im Überblick bb) Kritische Würdigung b) Online Durchsuchung nach § 100b StPO n.F. aa) Inhalt der Neuregelung im Überblick bb) Kritische Würdigung V. § 110 Abs. 3 StPO und die transnationale Dimension des Zugriffs auf in der Cloud gespeicherte Daten 1. Die Anwendbarkeit von § 110 Abs. 3 StPO beim Zugriff auf inländische Clouds 2. § 110 Abs. 3 StPO und grenzüberschreitender Zugriff a) Der Souveränitätsgrundsatz aa) Allgemeines bb) Mögliche Rechtfertigungen bei Verstößen (a) Gewohnheitsrecht (b) Völkerrechtliche Vereinbarungen: Die Cybercrime-Konvention b) Jüngste europäische Entwicklungen: Das Marktortprinzip aa) Allgemeiner Inhalt des Kommissionsvorschlags bb) Konkrete Ausgestaltung und Verfahren cc) Kritische Würdigung (a) Mangelnder Grundrechtsschutz (b) Verstoß gegen den Souveränitätsgrundsatz (c) Beschränkung des einseitigen Vorgehens auf die Sicherungsanordnung VI. Zusammenfassung der Ergebnisse: Derzeit keine Ermächtigungsgrundlage für Zugriff auf in der Cloud gespeicherte Daten/Übergangszeit
7 E. Verwertbarkeit unzulässig erlangter Daten I. Grundlagen und Begrifflichkeiten 1. Der Aufklärungsgrundsatz 2. Die unterschiedlichen Kategorien der Beweisverbote a) Kurzer Überblick über die Begrifflichkeiten b) Zur Relevanz selbstständiger Beweisverwertungsverbote im vorliegenden Zusammenhang II. Die unselbstständigen Beweisverwertungsverbote 1. Die Rechtsprechung (insbesondere Abwägungslehre) 2. Einzelne Ansätze aus der Literatur im Überblick III. Beweisverwertungsverbote bei Verstößen gegen Rechtshilfevorschriften IV. Eigene Stellungnahme für die vorliegende Fallgruppe
8 F. Zusammenfassung der Ergebnisse
9 Literaturverzeichnis
A. Einleitung
„Das Internet kennt keine Grenzen.“1 Mit dieser Feststellung illustriert die Europäische Kommission im Jahr 2018 die Notwendigkeit einer europaweit einheitlichen Regelung für den grenzüberschreitenden strafprozessualen Zugriff auf elektronische Beweismittel. Die von der Kommission vorgeschlagene Verordnung nehme „das spezifische Problem ins Visier, das durch die Volatilität elektronischer Beweismittel und die internationale Dimension entsteht“.2 An späterer Stelle gibt die Begründung des Verordnungsentwurfs einen guten zusammenfassenden Überblick über die Struktur jener Technologie, bei der das besagte spezifische Problem der Volatilität und Internationalität in besonderer Weise entsteht.
„In vielen Fällen werden Daten nicht mehr auf dem Gerät eines Nutzers gespeichert, sondern über eine Cloud-Infrastruktur grundsätzlich für den Zugang von jedem beliebigen Ort aus zur Verfügung gestellt. Diensteanbieter müssen nicht in jedem Staat niedergelassen sein oder dort Server unterhalten, sondern können vielmehr eine zentrale Verwaltung und dezentrale Systeme nutzen, um Daten zu speichern und ihre Dienste anzubieten. Sie tun dies, um den Lastausgleich zu optimieren und um schneller auf Ersuchen der Nutzer um Daten zu reagieren. Inhalt verteilende Netze (content delivery networks, CDN) werden in der Regel eingesetzt, um das Bereitstellen von Inhalten durch das Kopieren von Inhalten auf verschiedene Server in aller Welt zu beschleunigen. Damit können Unternehmen Inhalte von dem Server liefern, der dem Nutzer am nächsten ist oder der die Kommunikation durch ein schwächer frequentiertes Netzwerk leiten kann.“3
Nun ist die die Relevanz moderner Kommunikationsmittel für die Strafverfolgung insgesamt alles andere als eine neue Erkenntnis, sondern vielmehr fast schon ein Allgemeinplatz.4 Auch wurde das Phänomen Cloud-Computing schon vor einigen Jahren erstmals in den Fokus strafprozessualer Diskussionen gerückt5 und ist zuletzt auch Gegenstand einzelner Monographien6 gewesen. Dass die mit dem strafprozessualen Zugriff auf Cloud-Systeme verbundenen Fragestellungen gleichwohl weiterhin nicht befriedigend gelöst sind, hat aus Sicht des Verf. im Wesentlichen zwei Ursachen: Zum einen sind Cloud-Sachverhalte praktisch immer inter- bzw. transnational, weil die Daten im absoluten Regelfall auf Servern außerhalb des Bundesgebietes gespeichert sind, womit das nationale Recht allein keine Handhabe zur Beantwortung der aufgeworfenen Rechtsfragen bietet.7 Zum anderen zeigen sich die Schwierigkeiten beim Umgang mit Cloud-Sachverhalten als Symptom eines tiefergehenden Defizits, das darin besteht, dass der bundesdeutsche Gesetzgeber bislang wenig Mühe darauf verwendet hat, den Katalog strafprozessualer Ermittlungsbefugnisse an die Herausforderungen des digitalen Zeitalters anzupassen.8 Die erst kürzlich eingeführten Vorschriften zu Quellen-TKÜ und Online-Durchsuchung9 haben insofern zwar die richtige Zielrichtung, sind aber in einem hektischen und fragwürdigen Verfahren verabschiedet worden und weisen dementsprechend eine Reihe von Mängeln auf.
Die Diskussion über Cloud-Sachverhalte im nationalen Recht wird daher letztlich unweigerlich auf die klassischen Maßnahmen der Beschlagnahme bzw. Durchsuchung und der Telekommunikationsüberwachung (TKÜ) zurückgeworfen. Weil nun aber die Notwendigkeit des Zugriffs auf Cloud-Daten zur Gewährleistung einer effektiven Strafverfolgung angesichts der ubiquitären Verbreitung dieser Technologie unbezweifelbar ist, scheint sich eine gewisse Tendenz im Schrifttum bemerkbar zu machen, die überkommenen Eingriffsbefugnisse in einer Weise zu interpretieren, die den Zugriff auf die Cloud sicherstellt.10 Dieser Tendenz wird in der vorliegenden Arbeit mit Nachdruck entgegengetreten. Dem wird die Einsicht entgegengehalten, dass der staatliche Zugriff auf Datenbestände in informationstechnischen Systemen mit Blick auf Intensität und Reichweite des Grundrechtseingriffs eine neuartige Qualität hat. Das ist vom Ersten Senat des Bundesverfassungsgerichts in seiner Entscheidung zur (präventiven) Online-Durchsuchung – sowie anschließend in der Entscheidung zum BKAG – im Grundsatz zutreffend herausgearbeitet worden.11
Weil in informationstechnischen Systemen also permanent (oft vom Nutzer unbemerkt) unterschiedlichste Daten gespeichert und erzeugt werden, aus denen sich in der Gesamtheit nicht selten aussagekräftige Persönlichkeitsbilder, Bewegungsprofile und Verhaltensmuster ableiten lassen, ist es unabdingbar, dass die wesentlichen Voraussetzungen des strafprozessualen Zugriffs auf entsprechende Daten vom Gesetzgeber in bereichsspezifischer und klarer Weise bestimmt werden. Die Uminterpretation geltender Vorschriften ist demgegenüber kein gangbarer Weg. Damit lässt sich das Ergebnis dieser Untersuchung an dieser Stelle vorwegnehmen: Das geltende Recht sieht – da auch die kürzlich neu in die Strafprozessordnung eingefügten Vorschriften zu Quellen-TKÜ und Online-Durchsucheng einer kritischen (verfassungsrechtlichen) Prüfung nicht standhalten – derzeit keine Ermächtigungsgrundlage für den Zugriff auf Cloud-Systeme vor. Das ist unter dem im Grundsatz anerkennenswerten Bedürfnis nach effektiver Strafverfolgung unbefriedigend, wobei den gravierendsten Auswirkungen durch die Anerkennung einer Übergangsfrist begegnet werden kann.12 Im Übrigen sollte es nach Ansicht des Verf. aber auch Aufgabe einer rechtswissenschaftlichen Arbeit sein, ein entsprechendes Regelungsdefizit klar zu benennen, anstatt im vorauseilenden Gehorsam der gerichtlichen Praxis vermeintliche „Lösungen“ anzubieten und damit den Gesetzgeber von seiner Verantwortung zu entlasten.
Die Rechtsprechung – namentlich ist hier der Zweite Senat des Bundesverfassungsgerichts zu nennen – hat in der Vergangenheit die eine oder andere Chance verpasst, den Gesetzgeber an seine verfassungsrechtlich verbürgte Verantwortung zu erinnern, die darin besteht, die wesentlichen Voraussetzungen neuartiger Grundrechtseingriffe in hinreichend bestimmter Weise zu regeln. In erster Linie ist hier die Entscheidung zum strafprozessualen Zugriff auf beim Diensteanbieter gespeicherte E-Mails zu nennen,13 eine Maßnahme, die in technischer Hinsicht ein Unterfall der Cloud-Problematik ist. Zuletzt wurde auch die Überwachung des Surfverhaltens, und damit ein der Intensität nach mit einer Online-Durchsuchung zumindest teilweise vergleichbarer Eingriff, auf die herkömmliche Telekommunikationsüberwachung gestützt.14 Indem die Judikatur bis hin zum Zweiten Senat des Bundesverfassungsgerichts in dieser Weise das Instrumentarium der Zwangsmaßnahmen im geltenden Recht auf neuartige Eingriffe mit ihren spezifischen Gefährdungslagen ausdehnt, konnte für die Praxis eine trügerische Scheinsicherheit geschaffen werden dahingehend, dass der mit Blick auf die Bedürfnisse effektiver Strafverfolgung ohne Frage notwendige Zugriff auf informationstechnische Systeme – speziell auf die heute besonders weit verbreitete E-Mail-Kommunikation – auch ohne Gesetzesänderung möglich sein würde.
Indes zeigt sich spätestens bei der Rechtslage hinsichtlich der Überwachung des Surfverhaltens, dass solche Lösungen auf der Basis des überkommenen geltenden Rechts vermutlich nicht von Dauer sein können. Denn während der für das Strafrecht zuständige Zweite Senat am BVerfG diese Maßnahme in wenig überzeugender Weise unter Berufung auf § 100a StPO für zulässig erklärt hat, gibt es Rechtsprechung des für die präventiven Ermittlungsmaßnahmen zuständigen Ersten Senats, die diesem Verständnis recht eindeutig entgegensteht. Womöglich ist daher das letzte Wort noch nicht gesprochen hinsichtlich der Frage, ob die StPO in ihrer geltenden Fassung den Herausforderungen des digitalen Zeitalters gewachsen ist. Nach der hier entwickelten Lösung, die sich auf dem sicheren Boden allgemeiner verfassungsrechtlicher Maßstäbe verortet,15 scheitert das geltend Recht hieran beinahe schon krachend.
Den grundsätzlich richtigen Weg für eine zukünftige gesetzliche Regelung weist aus Sicht des Verfassers der eingangs erwähnte Verordnungsvorschlag der Europäischen Kommission.16 Darin wird ebenso simpel wie revolutionär das sog. Marktortprinzip implementiert, wonach die Strafverfolgungsorgane den Zugriff auf etwaige Daten unabhängig von ihrem konkreten – häufig gar nicht mehr zuverlässig zu ermittelnden – Speicherort an dem Ort vornehmen, an der der Serviceprovider seine Dienste anbietet. Damit wird der ansonsten unvermeidliche loss of location,17 der Verlust eines erreichbaren Ortes für den ermittlungsbehördlichen Zugriff auf die in der weltweiten informationstechnischen Netzwerkstruktur zirkulierenden Daten, verhindert. Sofern dann – was dem Vorschlag der Kommission leider gründlich misslingt – Eingriffsnormen geschaffen werden, die den sensiblen Anforderungen eines zeitgemäßen Grundrechts- und Verfahrensschutzes Rechnung tragen, müssen effektive Strafverfolgung einerseits und tragfähiger Grundrechtsschutz andererseits auch im „Strafprozessrecht 4.0“ keine unüberwindbaren Gegensätze bleiben.
Die vorliegende Untersuchung geht zur Klärung der beim strafprozessualen Zugriff auf Cloud-Systeme auftretenden Fragen wie folgt vor: Zunächst werden im ersten Abschnitt die technischen Grundlagen etwas näher geschildert, die für das Funktionieren von Cloud-Anwendungen von Bedeutung sind (B). Anschließend müssen die verfassungsrechtlichen Rahmenbedingungen skizziert werden, die bei der Suche nach einschlägigen Ermächtigungsnormen zu beachten sind (C), bevor darauf aufbauend die einzelnen in Betracht kommenden Eingriffsgrundlagen innerhalb des deutschen Strafprozessrechts auf ihre Eignung zur Legitimation des Zugriffs auf die Cloud hin untersucht werden (D). Schließlich ist zu der Frage der Verwertbarkeit von rechtswidrig erlangten Daten Stellung zu nehmen (E), bevor die Arbeit mit einer Zusammenfassung der wesentlichen Ergebnisse endet (F). Die Untersuchung beschränkt sich dabei auf die Voraussetzungen eines Zugriffs auf Inhaltsdaten,18 weil diese unter dem Gesichtspunkt eines angemessenen Grundrechtsschutzes von herausragender Bedeutung sind.19
1 COM(2018) 225 final vom 17.4.2018, S. 1. 2 COM(2018) 225 final vom 17.4.2018, S. 2. 3 COM(2018) 225 final vom 17.4.2018, S. 16 4 Der Hinweis hierauf wurde bereits im Jahr 2011 als „inflationär“ bezeichnet, vgl. Kudlich, GA 2011,193; aus der Literatur näher etwa Klesczewski, ZStW 123 (2011), S. 737ff.; umfassend Sieber, DJT-Gutachten, C 35ff.; C 62ff. und C 103ff. 5 Frühzeitig etwa Obenhaus, NJW 2010, 651ff.; M. Gercke, CR 2010, 345ff. 6 Dalby, Grundlagen; Wicker, Strafanspruch, jew. passim. 7 Vgl. hierzu unten D.V. 2. 8 Siehe bereits knapp hierzu Meinicke, StV 2012, 463 sowie vertiefend ders., in: Scholz/Funk (Hrsg.), S. 73, 75ff.; grds. ebenso auch Sieber, DJT-Gutachten, C 155f. 9 Hierzu unten D. IV. 10 Siehe etwa den Hinweis auf „unüberwindbare praktische Schwierigkeiten“ beim Zugriff auf im Ausland gespeicherte Daten bei Wohlers/Jäger, in: SK-StPO, § 102 Rn. 15a a.E.; ausführlich nunmehr für eine „Problemlösung“ auf der Basis des geltenden Rechts Wicker, Strafanspruch, S. 333ff. 11 Hierzu eingehend unten D I 3 a). 12 Siehe unten D. VI. 13 Vgl. hierzu unten D. I. 2. 14 Dazu unter D. III. 15 Vgl. zu diesen unten C. 16 Dazu unten D.V. 2. b). 17 Begriff von Spoenle, Cloud Computing, S. 5. 18 Vgl. zu diesem im TKG nicht ausdrücklich definierten Begriff statt Vieler B. Gercke, GA 2012, 474, 484f. 19 Zum Zugriff auf andere (insbesondere Bestands-)Daten vgl. nur Dalby, Grundlagen, S. 56ff.
B. Technische Grundlagen
Nachstehend werden also zunächst die wichtigsten Grundbegriffe sowie die technischen Hintergründe des Phänomens „Cloud Computing“ skizziert. Diese technisch-empirische Befundaufnahme soll einen präzisen Zugang zu den spezifischen rechtlichen Problemen beim strafprozessualen Zugriff auf in der Cloud gespeicherte Daten ermöglichen.
I. Definition und grundlegende Charakteristika
In einer knappen Definition20 lässt sich Cloud Computing als Möglichkeit zur Nutzung von IT-Infrastruktur, die über ein Netzwerk (i.d.R. das Internet) zur Verfügung gestellt wird, beschreiben, wobei vom Anbieter je nach Bedarf z.B. Speicherplatz, Rechenleistung oder Software bereitgestellt werden kann.21 Der Kunde nutzt also den Zugang zum Internet, um die von einem anderen zur Verfügung gestellte Soft- und Hardware zu verwenden.22 Es lassen sich insbesondere fünf charakteristische Merkmale von Cloud Computing ausmachen:23
1. Ressource-Pooling
Zunächst ist das Konzept des sog, Ressource-Pooling zu nennen. Damit ist das Zusammenfassen („Poolen“) bestimmter physischer Ressourcen, z.B. von Rechenleistung, Speicherkapazität oder Netzwerkbandbreite gemeint, wodurch ein zentral abrufbarer Vorrat entsteht, der bedarfsorientiert auf die einzelnen Nutzer verteilt wird.24 Die Verteilung erfolgt auf der Basis sog. Virtualisierungen, das bedeutet, dass durch die Einführung einer logischen Abstraktionsebene von der tatsächlich vorhandenen Hardware abstrahiert wird.25 Es werden also logische Ressourcen auf physische Ressourcen abgebildet, wobei der Benutzer einer logischen Ressource in der Anwendung keinen Unterschied im Vergleich zur Verwendung der physischen Ressource selbst erkennen kann.26 Wer Cloud Computing-Leistungen in Anspruch nimmt, erhält also virtuell seine eigene (physische) Struktur, „ein Stück Hardware, Betriebssystem und Software für sich selbst“,27 während er sich tatsächlich mit einer Vielzahl anderer Nutzer dieselben Ressourcen teilt. Diese Technik der Virtualisierung ist für die Funktionsweise des Cloud Computing von großer Bedeutung (vgl. auch unten).28
Der Parallelbegriff im Bereich der Datenhaltung zum auf physische Ressourcen bezogenen Begriff der Virtualisierung ist das sog. Konzept der Mandantenfähigkeit, der Multi-Tenancy. Dabei wird von physischen Datenbeständen abstrahiert und mit lediglich logisch separierten Einheiten gearbeitet, weshalb nur eine einzige Software-Basis für alle Nutzer zum Einsatz kommt.29
2. Rapid Elasticity
Ein weiteres zentrales Funktionsmerkmal von Cloud Computing-Systemen ist die sog. „rapid Elasticity“ (im Deutschen inzwischen meist als „unverzügliche Elastizität“ übersetzt). Diese hat zur Folge, dass das System extrem flexibel auf wechselnde Belastungen reagieren kann, was für den Nutzer den Eindruck erweckt, er könne über praktisch unbegrenzte Ressourcen verfügen.30 Dieses Phänomen der scheinbaren Unerschöpflichkeit wird auch als „infinite Scalability“ bezeichnet.31 Die Vorteile lassen sich z.B. anhand eines Konzertveranstalters veranschaulichen, der Tickets online anbietet.32 Arbeitet dieser mit einer Cloud Plattform, spielt es keine Rolle, ob gerade Karten für den Auftritt eher unbekannter Bands oder eines internationalen Weltstars im Angebot sind. Selbst wenn es im letztgenannten Fall zu einem plötzlichen und sprunghaften Anstieg der Zugriffe kommt, verhindert die rapid Elasticity, dass die Server „in die Knie gehen“ und die Seite für Nutzer nicht mehr verfügbar ist.
3. On Demand self-service
In engem Zusammenhang mit dem Phänomen der rapid Elasticity steht der sog. „on demand self-service“, was mit „bedarfsorientierter Selbstbedienung“ übersetzt werden kann. Dieses Konzept ermöglicht es dem Nutzer eines Cloud-Dienstes, jederzeit und ohne die Einschaltung von Mitarbeitern des Anbieters praktisch vollautomatisiert („automatic computing“) die erforderliche Menge an Ressourcen anzupassen, wodurch der Anbieter zugleich Personal einspart und so attraktive Preise zur Verfügung stellen kann.33 Zusätzliche Leistungen, z.B. Serverzeit oder Speicherplatz, können vom Nutzer in der Situation einer kurzfristig eintretenden Bedarfserhöhung regelmäßig online gebucht und sodann vom Anbieter meist innerhalb weniger Minuten oder gar Sekunden bereitgestellt werden.34 Diese Automatisierung ist zwingend erforderlich, um die schnelle und flexible Nutzbarkeit der Cloud-Angebote zu realisieren, wodurch deren Attraktivität erheblich gesteigert wird, da Erhöhungen der Leistungsfähigkeit für den Nutzer anderenfalls zumeist mit Installationen oder gar Hardwarezukäufen verbunden sind.35
4. Broad network-access
Die jederzeitige flexible Nutzung von Cloud-Diensten erfordert weiterhin einen umfassenden Netzwerkzugriff („broad network-access“).36 Das besagt im Kern nichts anderes, als dass die angebotenen Leistungen für den Nutzer standardmäßig über das Internet verfügbar sein sollten.37 Dadurch wird insbesondere die dezentrale Nutzung über unterschiedliche Endgeräte gewährleistet, von herkömmlichen Rechnern über Notebooks, Tablets und sogar Smartphones, sofern eine hinreichend große Bandbreite zur Verfügung steht.38
5. Measured service
Als fünftes funktionelles Merkmal des Cloud Computing kann die nutzungsbezogene Zahlung angesehen werden, was die Messung des Nutzungsvolumens erfordert, (engl. „measured service“).39 Die Notwendigkeit einer Messung, die je nach Art der genutzten Ressourcen unterschiedlich abläuft, folgt letztlich aus den vier zuvor dargestellten Prinzipien.40 Ein transparentes und einsichtiges Kontrollverfahren dient sowohl den Interessen des Anbieters als auch des Nutzers (vgl. etwa die Internetseite trust.salesforce.com).41
20 Vgl. zu den Definitionsschwierigkeiten im Einzelnen Dalby, Grundlagen, S. 149f. 21 Vossen/Haselmann u.a., Cloud-Computing, S. 20; vgl. außerdem den Nachw. zu der – in der Sache ähnlichen, jedoch etwas ausführlicheren – Definition des Branchenverbandes BITKOM bei Schorer, in: Hilber, Handbuch, C/1, Rn. 7. 22 Vossen/Haselmann u.a., Cloud-Computing, S. ix: „Cloud Computing is using the Internet to access someone else’s software running on someone else’s hardware in someone else’s data center“. 23 Nach Vossen/Haselmann u.a., Cloud-Computing, S. 21 sowie Schorer, in: Hilber, Handbuch, C/1, Rn. 8 m.w.N. 24 Vossen/Haselmann u.a., Cloud-Computing, S. 22. 25 Vossen/Haselmann u.a., Cloud-Computing, S. 18; vgl. zur Virtualisierung in Cloud-Systemen auch Meir-Huber, Cloud Computing, S. 13. 26 Vossen/Haselmann u.a., Cloud-Computing, S. 17; auch Metzger/Reitz u.a., Cloud Computing, S. 15f. 27 Metzger/Reitz u.a., Cloud Computing, S. 3f. 28 Meir-Huber, Cloud Computing, S. 22. 29 Vossen/Haselmann u.a., Cloud-Computing, S. 22; zur Mandantenfähigkeit auch Metzger/Reitz u.a., Cloud Computing, S. 14. 30 Metzger/Reitz u.a., Cloud Computing, S. 14; Vossen/Haselmann u.a., Cloud-Computing, S. 23. 31 Vossen/Haselmann u.a., Cloud-Computing, S. 23. 32 Angelehnt an Meir-Huber, Cloud Computing, S. 12f. 33 Vossen/Haselmann u.a., Cloud-Computing, S. 23f. 34 Metzger/Reitz u.a., Cloud Computing, S. 13 mit einem Beispiel. 35 Vossen/Haselmann u.a., Cloud-Computing, S. 23f. 36 Vossen/Haselmann u.a., Cloud-Computing, S. 24. 37 Metzger/Reitz u.a., Cloud Computing, S. 13. 38 Vossen/Haselmann u.a., Cloud-Computing, S. 24. 39 Vossen/Haselmann u.a., Cloud-Computing, S. 24; Metzger/Reitz u.a., Cloud Computing, S. 15. 40 Vossen/Haselmann u.a., Cloud-Computing, S. 24 41 Metzger/Reitz u.a., Cloud Computing, S. 15.
II. Abgrenzung zu ähnlichen Technologien
Bereits in den 1960er Jahren wurden Konzepte entwickelt, mit denen höhere Anforderungen an die Leistungsfähigkeit von Rechnern nicht mehr ausschließlich durch die Konstruktion immer leistungsstärkerer einzelner („Super“-)Rechner, sondern durch die (sowohl effizientere als auch flexiblere) Zusammenschaltung mehrerer Rechner bewältigt werden sollten.42 Diese Vorläufer des Cloud Computing und die Unterschiede zur heute verwendeten Technologie werden nachfolgend dargestellt, um auf diesem Wege die Besonderheiten der hier in Rede stehenden Technologie deutlicher herauszuarbeiten.
1. Verteilte Systeme: Cluster- und Grid-Computing
Sowohl beim sog. „Cluster-“ als auch beim „Grid-Computing“ werden zunächst mehrere Rechner zu sog. „Knoten“ verbunden, um dann wiederum mehrere dieser „Knoten“ zu einem Gesamtsystem zu verbinden. Der zentrale Unterschied zwischen „Cluster-“ und „Grid-Computing“ besteht insoweit darin, dass ersteres auf der Zusammenschaltung mehrerer identischer Knoten besteht, die an einem Ort über ein Hochgeschwindigkeitsnetzwerk verbunden werden, während bei letzterem die einzelnen „Knoten“ hinsichtlich Hardware, Software sowie im Hinblick auf die Anbindung an das „Grid“ differieren.43 „Grid-Computing“ wird typischerweise für einen sehr begrenzten und klar spezifizierten Anwenderkreis verwendet, z.B. in der Wissenschaft oder im Pharma-Segment.44 Der Zugriff erfolgt insoweit meist eher über ein organisationseigenes Intranet als über das Internet.45
Eine entscheidende Weiterentwicklung bei Cloud-Systemen gegenüber den Vorläufern besteht in der erheblich höheren Dynamik und Flexibilität. Während in Grid- und Cluster-Systemen die verfügbaren Ressourcen meist im Vorfeld verteilt werden, erfolgt bei Cloud-Systemen eine bedarfsorientierte Bereitstellung, weshalb nur Cloud-Systeme auf sich verändernden Ressourcenbedarf adäquat reagieren können.46 Außerdem ist der Grad der Virtualisierung bei Cloud Computing deutlich höher, wo ausschließlich mit virtuellen Ressourcen gearbeitet wird.47 Letztlich dürfte der Hauptgrund für den „Siegeszug“ der Cloud-Technologie nicht zuletzt in ihrer Ausrichtung an Wirtschaftlichkeitsaspekten liegen, die bei Grid- und Cluster-Verfahren nicht bzw. nur in geringerem Maße gegeben ist.48
2. IT-Outsourcing
Cloud Computing steht im Kontext des seit den 1980er-Jahren zunehmend verbreiteten Konzepts des sog. IT-Outsourcing, das vor allem für die Vielzahl der Unternehmen relevant wird, für die IT zwar wichtig ist, jedoch nicht zu ihren eigenen Kernkompetenzen zählt.49 Die Cloud-Technologie in ihrer heutigen Form ist jedoch eine deutliche Modifikation bzw. Weiterentwicklung klassischer Outsourcing-Konzepte.50 So ermöglicht die für Cloud Computing charakteristische vollständige Entkopplung von Kundenstandort und Rechenzentrum eine wesentlich höhere Flexibilität aufgrund der Verteilbarkeit der ausgelagerten Dienste auf unterschiedliche Standorte.51 Zudem sinkt die Abhängigkeit des Kunden vom Anbieter, da er jederzeit auf unterschiedliche Cloud-Dienste von unterschiedlichen Anbietern zugreifen kann und sich im Regelfall nicht langfristig an einen Dienstleister binden muss.52 Das hat allerdings auch zur Folge, dass der Kunde keine individuelle Anpassung der angebotenen Dienste durch den Anbieter erwarten kann, sondern dass er diese regelmäßig selbst vornehmen muss.53
3. Das Application-Service-Provider-Modell
Das sog. Application-Service-Provider-Modell (ASP) ist ein direkter Vorläufer des Cloud Computing in der Variante des Software-as-a-Service (dazu siehe unten). Auch beim ASP werden dem Kunden bedarfsorientiert Softwareanwendungen zur Verfügung gestellt, etwa über einen Terminal-Server-Zugang.54 Der Anbieter stellt die Anwendung i.d.R. über das Internet oder ein privates Datennetz bereit und übernimmt für den Kunden Aufgaben wie Administration, Datensicherung sowie das Einspielen von Upgrades oder Patches.55 Hier unterscheidet sich ASP vom sog. Applikations-Hosting, bei dem ebenfalls eine Software zur Verfügung gestellt wird, der Kunde aber Administration usw. selbst übernimmt.56 Ebenso wie das eigentliche Cloud Computing ist auch das ASP-Modell eine besondere Form des IT-Outsourcing.57 Wenn das ASP-Konzept heute trotz der großen Parallelen zu Cloud Computing (speziell SaaS) als weitgehend durch letzteres überholt anzusehen ist, so liegt das daran, dass bei ASP-Modellen praktisch keine gemeinsame Nutzung physischer Ressourcen stattfindet, sondern für jeden Nutzer eine dezidiert-individuelle Infrastruktur bereitzustellen ist, weshalb die gewünschten Skaleneffekte letztlich oft nicht erreicht werden.58
4. Utility-Computing
Eher eine (in der Rückschau in mancherlei Hinsicht durchaus prophetische) Vision aus den Anfangszeiten des Internets als eine tatsächlich relevante Vorläufertechnologie des Cloud Computing verbirgt sich hinter dem Stichwort „Utility Computing“. Der Informatiker John McCarthy sagte anlässlich eines Vortrags auf dem MIT Centennial 1961 voraus, dass es eines Tages möglich sein werde, Rechnerleistung im Rahmen der öffentlichen Versorgung vergleichbar mit dem Strom- oder dem Telefonnetz zu beziehen.59 Nachdem einige frühe Versuche, diese Vision in die Tat umzusetzen gescheitert waren, nicht zuletzt wegen fehlender Verbreitung des Internets und unzureichender Hardware, wurde sie mit dem Aufkommen von Cloud Computing wieder aufgegriffen und ist heute in mancher Hinsicht bereits Realität.60
42 S. Vossen/Haselmann u.a., Cloud-Computing, S. 13ff. 43 S. Vossen/Haselmann u.a., Cloud-Computing, S. 15f. 44 Meir-Huber, Cloud Computing, S. 19; Repschläger/Pannicke u.a., HMD 2010, 6, 7 mit einem Beispiel; Metzger/Reitz u.a., Cloud Computing, S. 24. 45 Vossen/Haselmann u.a., Cloud-Computing, S. 25. 46 Vossen/Haselmann u.a., Cloud-Computing, S. 25f. 47 Vossen/Haselmann u.a., Cloud-Computing, S. 25f. 48 Vgl. dazu Repschläger/Pannicke u.a., HMD 2010, 6, 7; außerdem zur deutlich höheren kommerziellen Bedeutung von Cloud Computing gegenüber der Grid-Technoplogie Meir-Huber, Cloud Computing, S. 19. 49 Vgl. Vossen/Haselmann u.a., Cloud-Computing, S. 16. 50 Schmidt-Bens, Cloud Computing, S. 2f. 51 Vossen/Haselmann u.a., Cloud-Computing, S. 26f., die allerdings auch ein Beispiel für Prozesse benennen, die sich nicht für eine Auslagerung in die Cloud eignen. 52 Schmidt-Bens, Cloud Computing, S. 3. 53 Vossen/Haselmann u.a., Cloud-Computing, S. 27. 54 Vossen/Haselmann u.a., Cloud-Computing, S. 16f. 55 Metzger/Reitz u.a., Cloud Computing, S. 23. 56 Metzger/Reitz u.a., Cloud Computing, S. 23. 57 Repschläger/Pannicke u.a., HMD 2010, 6, 7; Metzger/Reitz u.a., Cloud Computing, S. 24. 58 Vossen/Haselmann u.a., Cloud-Computing, S. 17; auch Repschläger/Pannicke u.a., HMD 2010, 6, 7, wonach es sich bei ASP und SaaS um „das gleiche Modell, [...] aber unterschiedliche Entwicklungsstufen und Ausprägungen“ handelt. 59 Vgl. das abgedruckte Originalzitat bei Vossen/Haselmann u.a., Cloud-Computing, S. 19; ferner Repschläger/Pannicke u.a., HMD 2010, 6; siehe aber auch Schorer, in: Hilber, Handbuch, C/1, Rn. 2, wo das Konzept des Utility-Computing dem kanadischen Forscher und Wissenschaftsminister Douglas Parkhill zugeschrieben wird, wobei dessen Buch erst 1966 erschien. 60 Vossen/Haselmann u.a., Cloud-Computing, S. 19.
III. Service-Modelle
Cloud-Services werden in unterschiedlichen Modellen angeboten, die üblicherweise in die drei Kategorien SaaS, PaaS und IaaS unterteilt sind.61 Teilweise wird die Kombination der Modelle auch als Everythingas-a-Service (EaaS) bezeichnet.62
1. Software-as-a-Service (SaaS)
Das bislang wohl am weitesten verbreitete Modell zur Bereitstellung von Cloud-Anwendungen läuft unter der Bezeichnung „Software-as-a-Service (SaaS)“.63 Hier stellt der Provider eine Software zur Verfügung, die vom Endkunden über einen Webbrowser benutzt, jedoch hinsichtlich Wartung, Aktualisierung, Fehlerbeseitigung usw. ausschließlich vom (Cloud-) Provider betrieben wird.64 Der Nutzer kann somit von unterschiedlichen (auch mobilen) Endgeräten aus jederzeit auf seine Anwendungen (Dokumente) zugreifen, ohne dass die entsprechende Software auf den Endgeräten noch installiert sein muss.65 Unter die Rubrik „SaaS“ fallen z.B. klassische Webmail-Dienste wie „Web.de“ oder „Microsoft Hotmail“ sowie etwa SalesForce CRM oder Google Docs.66 SaaS bietet eine breite Palette von Einsatzmöglichkeiten und ist deshalb sowohl für kommerzielle (Business) als auch für private Nutzer von großem Interesse.67 Google bietet z.B. Tabellenkalkulations-, Textverarbeitungs- und Präsentationssoftware via SaaS an, was für Firmenkunden besonders interessant sein kann.68
Herkömmliche Webmail-Dienste bilden i.Ü. den ersten – bislang nicht immer als solchen benannten – Berührungspunkt zwischen Cloud Computing (in Form von SaaS) und strafprozessualen Ermittlungen, da die Möglichkeiten des Zugriffs von Ermittlern auf in Webmail-Accounts gespeicherte E-Mails Gegenstand einer breiten Diskussion in Rechtsprechung und Schrifttum ist (dazu näher siehe unten). Sofern zunehmend Firmen dazu übergehen sollten, Teile ihrer betriebsbezogenen Unterlagen (z.B. Buchhaltung) über SaaS-Anwendungen zu verwalten,69 können vergleichbare Probleme zukünftig auch vermehrt in Wirtschaftsstrafverfahren auftreten, wenn die Ermittler bei Durchsuchungen in den Firmengebäuden auf der dort vorgefundenen Hardware keine Daten finden.
2. Platform-as-a-Service (PaaS)
Unter dem Schlagwort „Platform-as-a-Service (PaaS)“ versteht man die Bereitstellung einer Entwickler-Plattform, auf der die Nutzer – es wird sich regelmäßig um Web-Entwickler handeln – eigene Programme kreieren und hosten können.70 Geläufige Beispiele hierfür sind die „Google App Engine“ oder „Microsoft Windows Azure“. Solche Anwendungen stellen dem Benutzer eine vollständige Entwicklungsumgebung für Programmierarbeiten zur Verfügung.71 PaaS-Angebote sind die Basis für die Entwicklung von SaaS-Anwendungen, die bei Nutzung von PaaS-Technologien produziert werden können, ohne dass der Entwickler eigene IT-Kapazitäten vorhalten muss.72 Der PaaS-Anbieter legt zur Ermöglichung einer umfassenden Automatisierung regelmäßig bestimmte Rahmenbedingungen fest, etwa die Programmiersprache und verwendbare Bibliotheken, während der Kunde im Übrigen seine Programme nach eigenem Belieben gestalten kann.73 Häufig liegen bereits einzelne Komponenten einer Entwicklung als vom Anbieter bereitgestellte Dienste vor.74
3. Infrastructure-as-a-Service (IaaS)
Bei „Infrastructure-as-a-Servie (IaaS)“ stellt der Anbieter (virtuelle) Hardware oder Infrastrukturdienstleistungen bereit, also vor allem Speicherplatz, Rechnerkapazität oder Netzwerkbandbreite.75 Anders als bei PaaS ist der Kunde bei IaaS-Modellen vollständig für die Installation und Nutzung des Betriebssystems sowie etwaiger Anwendungskomponenten verantwortlich, während der Cloud-Anbieter ausschließlich die Hardware/die Infrastruktur zur Verfügung stellt.76 IaaS-Anwendungen bieten dem Nutzer lediglich das „Rohmaterial“, während er vollständig frei über die softwaretechnische Nutzung entscheiden kann.77 Die erforderlichen Ressourcen lassen sich je nach Bedarf des Nutzers in ihrem Volumen flexibel anpassen.78 Durch eine gezielte Lastverteilung, das sog. „Load Balancing“, stellt der Anbieter sicher, dass für jeden Kunden die erworbenen Leistungen stets verfügbar sind.79 Alternativ kann der Kunde aber auch dezidiert für ihn bereitgestellte Ressourcen in Anspruch nehmen, was allerdings regelmäßig mit höheren Kosten verbunden ist.80 Das typische Anwendungsbeispiel aus dem Bereich des IaaS ist die Bereitstellung von Rechenleistung („Compute“), was im Begriff „Cloud Computing“ zum Ausdruck kommt.81 Ein bekanntes Beispiel für IaaS sind die Amazon Web Services.82
61 Vossen/Haselmann u.a., Cloud-Computing, S. 3, 28; vgl. zu gelegentlich gebrauchten weiteren Kategorien Terplan/Voigt, Cloud, S. 27f.; außerdem Schorer, in: Hilber, Handbuch, C/1, Rn. 24 und 27f. 62 Dalby, Grundlagen, S. 155. 63 Laut einer Studie von PWC nutzen zwei Drittel aller dort befragten Unternehmen SaaS-Anwendungen, s. Vehlow/Golkowsky, Cloud Computing. 64 Vossen/Haselmann u.a., Cloud-Computing, S. 28. 65 Metzger/Reitz u.a., Cloud Computing, S. 21; Schorer, in: Hilber, Handbuch, C/1, Rn. 24; vertiefend Meir-Huber, Cloud Computing, S. 46ff. 66 Zu diesen und weiteren Beispielen Schmidt-Bens, Cloud Computing, S. 16; Vossen/Haselmann u.a., Cloud-Computing, S. 28; Metzger/Reitz u.a., Cloud Computing, S. 22; Dalby, Grundlagen, S. 166ff. 67 Meir-Huber, Cloud Computing, S. 47. 68 Schorer, in: Hilber, Handbuch, C/1, Rn. 26. 69 Vgl. zu Bürosoftware als SaaS auch Schorer, in: Hilber, Handbuch, C/1, Rn. 54 und 61. 70 Näher Vossen/Haselmann u.a., Cloud-Computing, S. 29. 71 Schmidt-Bens, Cloud Computing, S. 17; Metzger/Reitz u.a., Cloud Computing, S. 21. 72 Repschläger/Pannicke u.a., HMD 2010, 6, 10; Schorer, in: Hilber, Handbuch, C/1, Rn. 23. 73 Vossen/Haselmann u.a., Cloud-Computing, S. 29. 74 Metzger/Reitz u.a., Cloud Computing, S. 21. 75 Vossen/Haselmann u.a., Cloud-Computing, S. 30; Schmidt-Bens, Cloud Computing, S. 17; Metzger/Reitz u.a., Cloud Computing, S. 21; Schorer, in: Hilber, Handbuch, C/1, Rn. 22. 76 Schmidt-Bens, Cloud Computing, S. 17. 77 Meir-Huber, Cloud Computing, S. 42 spricht von der „untersten Schicht“. 78 Vgl. Repschläger/Pannicke u.a., HMD 2010, 6, 9. 79 Meir-Huber, Cloud Computing, S. 42. 80 Schorer, in: Hilber, Handbuch, C/1, Rn. 22. 81 Vossen/Haselmann u.a., Cloud-Computing, S. 30. 82 Siehe hierzu etwa Schmidt-Bens, Cloud Computing, S. 17f.; siehe auch Schorer, in: Hilber, Handbuch, C/1, Rn. 22 a.E.
IV. Verschiedene Arten von Clouds
Es existieren unterschiedliche Arten von Clouds. Nach der geläufigen Unterteilung werden insoweit öffentliche, nichtöffentliche (private), Community- und Hybride-Clouds unterschieden.
1. Öffentliche Cloud
In einer öffentlichen Cloud (Public Cloud) können grundsätzlich beliebig viele Nutzer ohne Zugangsbeschränkung – ggf. gegen eine Nutzungsgebühr – die angebotenen Dienste in Anspruch nehmen.83 Insbesondere große Anbieter, wie z.B. Google, Microsoft oder Amazon, treten als Betreiber von öffentlichen Clouds in Erscheinung.84 Bei diesen Anbietern funktioniert der Vertragsabschluss regelmäßig im Wege eines sog. „click-through statement“, das direkt online abgeschlossen wird und dem Nutzer den unmittelbaren Zugang zu den gewünschten Diensten ermöglicht.85 Typischerweise bei nationalen Anbietern kann die Vertragsgrundlage aber auch in einem schriftlichen Vertragswerk bestehen, das wesentlich größere Spielräume für spezifische Gestaltungen der Zusammenarbeit zwischen Anbieter und Nutzer (sog. Service-Level-Agreements, SLA) ermöglicht.86
2. Nichtöffentliche Cloud
Eine nichtöffentliche Cloud (Private Cloud) wird demgegenüber regelmäßig für eine einzige Organisation/Firma bzw. deren Mitglieder/Mitarbeiter betrieben, wobei die Organisation/Firma entweder selbst die Verwaltung übernimmt oder diese Aufgabe an einen externen Dienstleister überträgt.87 Im engeren Sinne sollte von einer nichtöffentlichen Cloud jedoch erst gesprochen werden, wenn die oben angegebenen Cloudspezifischen Kriterien erfüllt sind, so dass eine Abgrenzung z.B. von reinen Server-Virtualisierungen gewährleistet bleibt.88 Derartige private/nichtöffentliche Clouds bieten den Nutzern – neben einer Bewältigung von Problemen im Bereich Datensicherheit –89 ein hohes Maß an Individualisierung, führen jedoch auch zu deutlich erhöhten Kosten.90 Sie sind daher regelmäßig nur für große Organisationen attraktiv und werden z.B. in Universitätsrechenzentren eingesetzt.91 Dabei kann der Anbieter entweder die nötige Hard- und Software „schlüsselfertig“ im Rechenzentrum des Kunden aufbauen und den Betrieb in der Folgezeit per Fernwartung übernehmen (sog. „on premises, managed service, private cloud“) oder der Kunde stellt über das Internet eine Verbindung zu Hard- und Software des Anbieters her, die sich in dessen Rechenzentrum befinden („off premises cloud“).92
3. Community-Cloud
Eine spezielle Form der nichtöffentlichen Cloud ist die sogenannte Community-Cloud, die von mehreren Organisationen mit ähnlichen Anforderungen gemeinsam genutzt wird, z.B. im Gesundheitswesen, bei Banken und Sparkassen oder bei Steuerberatern.93 Letztlich handelt es sich um einen Zusammenschluss mehrerer „Private Clouds“, durch den die beteiligten Organisationen Kosteneinsparungen realisieren können.94 Community-Clouds finden vor allem dort Anwendung, wo die Cloud-Nutzer zwar die Sicherheit einer nichtöffentlichen Cloud benötigen, jedoch (z.B. aufgrund mangelnder Größe) keine eigene Cloud betreiben können oder wollen.95
4. Hybride Cloud
Von einer sogenannten hybride Cloud spricht man, wenn mehrere Clouds durch Standards oder proprietäre Technologien verknüpft werden, um den Austausch von Daten und Programmen – z.B. zum Zweck einer Lastbalancierung zwischen mehreren Clouds einer Organisation – zu ermöglichen.96 Häufig werden Teile des IT-Portfolios eines Unternehmens in einer privaten Cloud betrieben, während andere Teile in eine öffentliche Cloud ausgelagert werden.97 Ein weiterer Anwendungsfall ist das sog. Cloud-Bursting, das „Ausbrechen“ aus einer Cloud in eine weitere, wenn die Ressourcen der ersten nicht mehr ausreichen.98 Auch dann, wenn etwa aus Sicherheitsgründen Teile des Datenbestandes eines Unternehmens nicht außerhalb von Europa gelagert werden sollen, kann eine hybride Cloud die adäquate Lösung sein, indem zum einen globale SaaS-Lösungen verwendet, bestimmte Daten aber in einer lokalen Cloud abgelegt werden.99
83 Vossen/Haselmann u.a., Cloud-Computing, S. 30. 84 Meir-Huber, Cloud Computing, S. 40. 85 Schorer, in: Hilber, Handbuch, C/1, Rn. 18 mit einem Überblick über Vor- und Nachteile aus Unternehmenssicht. 86 Schorer, in Hilber, Handbuch, C/1, Rn. 19. 87 Vossen/Haselmann u.a., Cloud-Computing, S. 30; Schmidt-Bens, Cloud Computing, S. 18. 88 Schorer, in: Hilber, Handbuch, C/1, Rn. 13. 89 Metzger/Reitz u.a., Cloud Computing, S. 18. 90 Vgl. Meir-Huber, Cloud Computing, S. 41. 91 Vossen/Haselmann u.a., Cloud-Computing, S. 30. 92 Schorer, in: Hilber, Handbuch, C/1, Rn. 14ff. 93 Vossen/Haselmann u.a., Cloud-Computing, S. 31. 94 Metzger/Reitz u.a., Cloud Computing, S. 19. 95 Vossen/Haselmann u.a., Cloud-Computing, S. 31. 96 Vossen/Haselmann u.a., Cloud-Computing, S. 31; auch Meir-Huber, Cloud Computing, S. 41. 97 Die Windows Azure-Plattform bietet etwa solche Lösungen an, vgl. Schmidt-Bens, Cloud Computing, S. 20; zum Zusammenspiel von öffentlichen und nichtöffentlichen Clouds im Rahmen von hybride Cloud-Konzepten auch Metzger/Reitz u.a., Cloud Computing, S. 19f.; näher außerdem Schorer, in: Hilber, Handbuch, C/1, Rn. 20. 98 Vossen/Haselmann u.a., Cloud-Computing, S. 31. 99 Metzger/Reitz u.a., Cloud Computing, S. 20.
V. Technische Grundvoraussetzungen für Cloud Computing
Es waren unterschiedliche Entwicklungen und Fortschritte in der Informationstechnologie erforderlich, bevor Cloud Computing in der heutigen Form technisch realisierbar wurde. Die wesentlichen Entwicklungsschritte sollen im nachfolgenden Abschnitt im Überblick dargestellt werden.
1. (Breitband-)Internet, Hochleistungsserver, Multicore-Prozessoren und Web 2.0
Zunächst sind Entwicklung und Verbreitung der Internettechnologie ersichtlich eine unabdingbare Voraussetzung für die Existenz von Cloud-Technologien. Dabei lässt sich der Begriff „Internet“ grundsätzlich in zwei unterschiedlichen Richtungen deuten. Zum einen kann darunter die physische Verbindung von Rechnern und anderen Endgeräten wie Mobiltelefonen oder Fernsehern auf der ganzen Welt mittels Koaxialkabeln, Kupferdrähten, Glasfasern und Radiowellen verstanden werden.100 Dem steht es nahe, wenn das BVerfG das Internet als „elektronische[n] Verbund von Rechnernetzwerken“101 beschreibt. Zum anderen bezeichnet der Begriff „Internet“ aber auch eine einheitliche, auf dem TCP/IP-Modell basierende Verständigungsmethode, die den Datenaustausch zwischen den physisch miteinander verbundenen Rechnern und Rechnernetzwerken ermöglicht.102 Dabei wird jedem der beteiligten Rechner durch das Internet Protocol (IP) eine eigene IP-Adresse zugeordnet.103 Das Transmission Control Protocol (TCP) sorgt sodann für eine Funktionalität des Datenaustausches, vor allem dafür, dass die in kleinere Teile zerlegten Datenpakete beim Empfänger wieder richtig zusammengefügt und eventuelle Fehler gemeldet werden.104
Es ist letztlich die Kombination der weltweit verbundenen physischen Ressourcen und der von diesen genutzten einheitlichen Kommunikationsverfahren, durch die nicht nur internetbasierte Anwendungen wie das World Wide Web, E-Mail-Kommunikation, Instant Messaging und Internettelefonie ermöglicht werden.105 Vielmehr ist diese Infrastruktur eben auch Grundvoraussetzung für die Idee des Cloud Computing, da ohne Internettechnologie der Zugriff der Nutzer auf die in der Cloud gespeicherten Daten von ihren jeweiligen (auch unterschiedlichen) Endgeräten nicht denkbar wäre. Damit Cloud Computing zu einem für ein breites Publikum verfügbaren Phänomen werden konnte, war überdies nicht nur das Internet als solches notwendig, sondern hinzukommen musste vielmehr auch die große Verbreitung leistungsfähiger (Breitband-)Anschlüsse.106 Auch Hochleistungsserver sind als technische Grundbedingung der Funktionstauglichkeit von Cloud Computing unabdingbar.107
Insbesondere die Erfindung der Multicore-Prozessoren, bei denen sich auf einem Chip mehrere Recheneinheiten (Kerne) befinden, war eine Voraussetzung dafür, dass Cloud Computing zu einer preisgünstigen – und damit in größerem Umfang marktfähigen – Dienstleistung werden konnte.108 Heutzutage arbeiten Server meist mit mehreren Multicore-Prozessoren, wobei durch Virtualisierungstechnologien jeder einzelne Kern als (virtueller) CPU verwendet werden kann.109
Schließlich sind die Verknüpfung mit den Standard-Webbrowsern und dem Web 2.0 sowie die Anwendung von Cloud-Konzepten auf mobilen Endgeräten von großer Bedeutung für die erfolgreiche Verbreitung der Technologie. Grundsätzlich soll für den Nutzer allein der Internetzugang über einen gebräuchlichen Browser (Internet Explorer, Firefox, Safari, Chrome usw.) notwendig sein, um den Zugang zu den unterschiedlichen Anwendungen zu erhalten, während lokale Installation bzw. Konfiguration von Software obsolet wird.110 In Kombination mit Web 2.0 entsteht eine attraktive Darstellung der Cloud-Dienste, die der Nutzer über den Browser wie herkömmliche Software bedienen kann, so dass ein interaktives Arbeiten ermöglicht wird.111 Diese Dienste sind über mobile Endgeräte (sog. „Thin Clients“) überall und jederzeit verfügbar, wodurch der klassische PC an Bedeutung einbüßt.112 Auch die Bedeutung des verwendeten Betriebssystems wird geringer, da dieses in letzter Konsequenz nur noch dazu dient, die Nutzung des Browsers – und damit den Zugang zu den gewünschten Cloud-Diensten – zu ermöglichen.113
2. Virtualisierung
Die Technik der Virtualisierung (vgl. bereits oben), worunter in der Informatik üblicherweise die Abbildung logischer Ressourcen auf physische Ressourcen (= Hardware) verstanden wird,114 spielt für das Cloud Computing eine zentrale Rolle.115 Durch die Implementation von Virtualisierungstechnologien wird mittels einer zusätzlich geschaffenen (logischen) Ebene zwischen Software- und Hardwareumgebung eine Abstraktion von der tatsächlich physisch vorhandenen Hardware bewirkt, wobei dem Benutzer der Unterschied zwischen logischen und physischen Ressourcen idealerweise verborgen bleibt.116 Dieses Instrument ermöglicht es, dass unterschiedliche Benutzer gleichzeitig und unabhängig voneinander auf dieselbe Hardware (z.B. Speicherplatz und/oder Rechenleistung) zugreifen und dabei verschiedene Programme ausführen können, ohne dass dabei die Sicherheit oder die Individualität der einzelnen Nutzer in Frage gestellt wird.117 Grundsätzlich kann zwischen Hardware- und Softwarevirtualisierung, innerhalb letzterer wiederum zwischen System- und Anwendungsvirtualisierung unterschieden werden.118
Durch Virtualisierung lassen sich deutliche Kostensenkungen bewirken, da die sog. Beschreibungsdatei, über die virtuelle Ressourcen erzeugt werden, wenn sie einmal fertiggestellt wurde, beliebig viele Ressourcen erzeugen kann, ohne dass physisch zusätzliche Hardware angeschafft werden muss.119 Nur durch die Nutzung solcher Verfahren ist es den Anbietern von Cloud Computing also möglich, einer Vielzahl von Nutzern die entsprechenden Leistungen zu vergleichsweise niedrigen Kosten anzubieten.
Generell gilt, dass Cloud Computing nicht auf völlig neuartigen Technologien beruht, sondern dass die entsprechenden Verfahren und Methoden in der Informationstechnologie bereits seit einiger Zeit existieren.120 Die größten Veränderungen, die durch die zunehmende Verbreitung von Cloud-Technologien bewirkt werden, spielen sich vielmehr in den Prozess- und Organisationsstrukturen der diese Technologie betrieblich nutzenden Unternehmen ab.121
100 Kurose/Ross, Computernetzwerke, S. 23. 101 BVerfGE 120, 274 (276). 102 Böckenförde, Ermittlung, S. 32. 103 Störing, Zugriffsmöglichkeiten, S. 12f. 104 Meininghaus, Zugriff, S. 7; Scherff, Computernetzwerke, S. 320f. 105 Kurose/Ross, Computernetzwerke, S. 26. 106 Metzger/Reitz u.a., Cloud Computing, S. 3; Meir-Huber, Cloud Computing, S. 13. 107 Metzger/Reitz u.a., Cloud Computing, S. 3, die Hochleistungsserver als das „Herz von Cloud Computing“ bezeichnen. 108 Schorer, in: Hilber, Handbuch, C/1, Rn. 37. 109 Schorer, in: Hilber, Handbuch, C/1, Rn. 37. 110 Metzger/Reitz u.a., Cloud Computing, S. 4 und 13; zu den Anforderungen an den verwendeten Browser näher Schorer, in: Hilber, Handbuch, C/1, Rn. 32ff. 111 Metzger/Reitz u.a., Cloud Computing, S. 4. 112 Schorer, in: Hilber, Handbuch, C/1, Rn. 91. 113 Schorer, in: Hilber, Handbuch, C/1, Rn. 35. 114 Vossen/Haselmann u.a., Cloud-Computing, S. 17. 115 Metzger/Reitz u.a., Cloud Computing, S. 15; Meir-Huber, Cloud Computing, S. 22; vgl. aber auch den Hinweis bei Schorer, in: Hilber, Handbuch, C/1, Rn. 13, dass die Verwendung von Virtualisierungstechniken allein es nicht rechtfertigt, von Cloud Computing zu sprechen, sofern nicht auch die weiteren charakteristischen Merkmale erfüllt sind; vertiefend zur Virtualisierung siehe Schorer, a.a.O., Rn. 40ff. 116 Vossen/Haselmann u.a., Cloud-Computing, S. 17f.; zur Verwendung sog. Hypervisoren in diesem Zusammenhang näher Schorer, in: Hilber, Handbuch, C/1, Rn. 40f. 117 Metzger/Reitz u.a., Cloud Computing, S. 3f. 118 Näher Meir-Huber, Cloud Computing, S. 23. 119 Schorer, in: Hilber, Handbuch, C/1, Rn. 42. 120 Schorer, in: Hilber, Handbuch, C/1, Rn. 29. 121 Schorer, in: Hilber, Handbuch, C/1, Rn. 29.
VI. Technische Einzelheiten
Im Folgenden Abschnitt sollen die technischen Anforderungen und Charakteristika von Cloud Computing-Systemen etwas näher dargestellt werden.
1. Anforderungen an Cloud-Systeme und charakteristische Merkmale
a) Transparenz
Eine wichtige Anforderung an Cloud-Systeme ist die Transparenz, wobei dieser Begriff im Hinblick auf seine heute oft gebräuchliche Verwendung eher kontraintuitiv ist. Gemeint ist, dass sämtliche Einzelheiten der technischen Abwicklung der Cloud, also z.B. die Verteilung der einzelnen Komponenten und Ressourcen, die Details der jeweils zugrunde liegenden Datenbanken oder die ablaufenden Programmroutinen dem Nutzer, der lediglich eine einheitliche Oberfläche wahrnimmt, verborgen bleiben (und insoweit gerade nicht im üblicherweise gebräuchlichen Sinne transparent sind!).122 Transparenz bedeutet in diesem Kontext also vielmehr Unsichtbarkeit.123 Damit in direktem Zusammenhang steht die automatisierte Administration von Cloud-Diensten, in deren Rahmen der Provider üblicherweise insbesondere die folgenden Leistungen „unsichtbar“ für den Nutzer erbringt: Software-Upgrades, Versionswechsel, Sicherheits-Patches, Service-Packs und sonstige Aspekte der Software-Wartung, Hardware-Wartung (z.B. Speichererweiterung oder Austausch fehlerhafter Festplatten).124 Im umgekehrten (herkömmlichen) Sinne transparent, nämlich für den Nutzer nachvollziehbar, soll dagegen die Messung des Verbrauchs stattfinden, für die Dashboards wie die AWS Management Console zum Einsatz kommen, welche eine Verwaltung von Rechen-, Speicher- und anderen Cloud-Ressourcen ermöglichen.125
b) Ausfallsicherheit und hohe Verfügbarkeit
Weitere zentrale Leistungsmerkmale von Cloud Computing-Systemen sind die Ausfallsicherheit sowie die hohe Verfügbarkeit. Das dahinter stehende Grundprinzip ist schlichte Redundanz, indem z.B. auf zusätzlicher Hardware identische Softwaresysteme ablaufen, so dass idealerweise bei Ausfall eines Systems das andere ohne Verzögerungen oder Datenverluste „einspringen“ kann.126 Man kann auch von „Replikation“ oder (engl.) „Mirroring“ sprechen, wenn dieselben Daten synchron an verschiedenen Orten bereitgehalten werden.127 Auf diese Weise können Cloud Computing-Provider häufig eine Verfügbarkeit von 99,9 % garantieren, die bei traditionellem Hosting kaum erreichbar ist.128 Allerdings bedarf die identische Vorhaltung von Daten angesichts von (virtualisierter) Replikation spezieller Algorithmen, die insbesondere in der Lage sein müssen, vorübergehende Unterbrechungen der Netzverbindungen zu berücksichtigen.129
c) Elastizität und Skalierbarkeit
Die „Skalierbarkeit“ ist ein „fundamentales Konzept aller verteilten Systeme“ und meint im Grundsatz das Laufzeitverhalten des Systems unter den Bedingungen von sich änderndem In- oder Output.130 Sie kann entweder in vertikaler Hinsicht erfolgen, indem einer Einheit des Systems („Knoten“) z.B. zusätzliche Speicherkapazität hinzugefügt wird, oder es wird horizontal skaliert, indem das System um zusätzliche „Knoten“ (Hardware) ergänzt wird.131 Anwendungen in der Cloud können aufgrund der praktisch beliebig verfügbaren Ressourcen (Virtualisierung!) sehr gut auf wachsenden (oder sinkenden) In- bzw. Output reagieren.132 Das hat die sog. Elastizität des Systems zur Folge, das sich nahezu ohne Vorlaufzeit an einen veränderten Ressourcenbedarf anpassen kann.133
2. Datensicherheit
a) Grundsätzliches
Es ist naheliegend, dass die Sicherheit von Informationen und Daten für denjenigen, der Cloud-Computing-Anwendungen nutzt, von zentraler Bedeutung sind, wobei einerseits die Sicherheit gegenüber dem unberechtigten Zugriff Dritter (Informationssicherheit) und andererseits der Schutz vor dem Verlust der Daten (Datensicherung) zu berücksichtigen ist. Für ersteres ist vor allem auf Verschlüsselungstechniken, für letzteres – wie bereits angesprochen – auf Redundanz zurückzugreifen.134 Darüber hinaus ist das Thema Datensicherung aber auch für Fragen der (strafrechtlichen) Ermittlungstätigkeit in Cloud-Systemen von Relevanz. Denn je nach dem zugrundeliegenden Sicherungsverfahren finden die Ermittler unterschiedlich vollständige Datensätze vor, wenn sie bei einem Provider auf die Daten zugreifen, zumal bei bestimmten Verfahren auch eine Wiederherstellung gelöschter Daten135 möglich ist. Auch die Frage, wo die Daten physisch aufbewahrt werden, kann aus der Sicht der Ermittler eine große Rolle spielen.136 Daher werden nachfolgend die Grundlinien unterschiedlicher Sicherungskonzepte vorgestellt.
b) Datensicherungsstrategie
Der Cloud-Anbieter benötigt eine Datensicherungs- oder Backup-Strategie, in die regelmäßig die folgenden Aspekte einzubeziehen sind:137
• Regelmäßigkeit und Zeitpunkt von Datensicherungen, Zeitfenster zu deren Erstellung, notwendige Historie, Zeitpunkt der Löschung älterer Backups,
• redundante und örtlich getrennte Aufbewahrungen der die Sicherung enthaltenden Medien,
• regelmäßige Prüfung von Vollständigkeit, Integrität und Wiederherstellbarkeit,
• Automatisierbarkeit sowie Anwendbarkeit von Standards bzw. von Datenkompression und
• Sicherung der Transportwege für Daten vom Anwender zum Service und zurück.
Kombiniert werden muss eine Datensicherungsstrategie mit einer Wiederherstellungsstrategie, bei der die Verfahren zur Wiederherstellung im Unternehmen immer mehreren Mitarbeitern bekannt sein sollten.138
c) Arten der Datensicherung und Speichermedien
Grundsätzlich sind Datensicherungsverfahren aus der Verwendung von Datenbank- und Dateisystemen bekannt und können im Wesentlichen auf den Cloud-Kontext übertragen werden.139 Datenbanksysteme unterhalten zu Wiederherstellungszwecken sog. Log-Dateien, in denen sämtliche Transaktionen protokolliert werden und die potentiell unendlich anwachsen.140 Um den für einen Wiederherstellungsvorgang notwendigen Aufwand (die sog. „Redo History“) zu begrenzen, werden von Zeit zu Zeit sogenannte Checkpoints gesetzt.141 Es kommt zu einer Übertragung der Änderungen aus der Log-Datei in die Datenbank, so dass die entsprechenden Einträge aus der Log-Datei gelöscht werden können.142 Außerdem können in bestimmten Intervallen Datenbankzustände von Platte auf Band gesichert werden.143 Kommen Log-Dateien zum Einsatz, ist bei einer etwaigen strafprozessualen Beschlagnahme zu beachten, dass durch das Auslesen dieser Dateien womöglich umfassende Einblicke in das Nutzungsverhalten des Anwenders gewonnen werden können.144
Von diesem Ausgangspunkt sind in Cloud-Systemen folgende Verfahren gebräuchlich:
Vollsicherung (engl. Full Backup): Bei einer Vollsicherung werden die zu sichernden Daten (i.d.R. ein komplettes Laufwerk oder ein komplettes Verzeichnis) vollständig auf ein Sicherungsmedium kopiert und dabei häufig noch komprimiert, z.B. bei einer SaaS-Anwendung die komplette Datenbank, in der Daten aller Mandanten gespeichert sind.145 In besonderen Fällen – insbesondere zur Vereinheitlichung mehrerer Systeme – erfolgt ein sog. Image Backup, eine Abbildsicherung, bei der ein 1 : 1-Abbild eines Datenträgers erstellt wird, das nicht nur Nutzdaten, sondern auch Systemdateien und sonstige Einstellungen enthält.146
Inkrementelles Backup und differenzielles Backup (engl. Incremental Backup bzw. Differential Backup): Diese Verfahren führen zu einer deutlichen Reduzierung der anfallenden Datenmengen, indem ausschließlich solche Änderungen (veränderte, hinzugefügte, gelöschte Daten) gesichert werden, die seit der letzten Sicherung aufgetreten sind, wobei bei einem differenziellen Backup sämtliche Unterschiede zur letzten Vollsicherung, bei einem inkrementellen Backup hingegen immer zur jeweils aktuellsten Sicherung erfasst werden.147 Die Wiederherstellung muss hier allerdings aus zwei (differenziell) oder vielen (inkrementell) partiellen Backups zusammengesetzt werden, wodurch sich der Zeitaufwand für den Sicherungsvorgang erhöht.148
Umgekehrte Deltas (engl. Reverse Deltas): Besonders bei größeren und sich eher langsam verändernden Datenmengen kann das Verfahren der sog. Reverse Deltas ein sinnvolles Sicherungsinstrument sein, bei dem stets der aktuelle Stand der Daten als Backup gespiegelt wird, um sodann beim Abgleich mit einem neuen Stand lediglich die Änderungen (sog. „Deltas“) aufzuzeichnen, mit deren Hilfe ältere Zustände des Datenbestands rekonstruiert werden können.149 Dieses Verfahren findet z.B. in Apples TimeMachine Anwendung.150
Kontinuierliche Datensicherung (engl. Continuous Data Protection): Bei kontinuierlichen Datensicherungen werden anstelle von periodischen Backups grundsätzlich alle Veränderungen des Dateisystems (üblicherweise auf Byte- oder Block-Ebene) aufgezeichnet.151 Anhand der somit entstehenden Log-Dateien können alte Datenstände wiederhergestellt werden – was für die Ermittlungsbehörden natürlich besonders interessant sein kann –, wobei die Sicherung auf einem separaten Backup-System durchgeführt werden muss, da es anderenfalls keinen wirksamen Schutz gegen Datenverlust auf dem eigentlichen Host gäbe.152
Grundsätzlich können (und werden auch zumindest teilweise) auch im Cloud-Segment weiterhin herkömmliche Medien für die Datensicherung verwendet werden, also Magnetbänder, Festplatten oder optische Datenträger (CDs, DVDs und Blue-Rays), die alle aufgrund ihrer unterschiedlichen Eigenschaften für unterschiedliche Anwendungsfelder geeignet sind.153 Insbesondere den Solid-State-Drives (SSDs) kommt eine stetig wachsende Bedeutung zu, bei denen eine Speicherung auf der Basis von rein elektronischen Flash-Speichern erfolgt.154 SSDs besitzen keine beweglichen Teile und weisen deshalb eine deutlich geringere Fehleranfälligkeit auf als Festplatten, bieten sehr geringe Zugriffszeiten und hohen Durchsatz.155 Allerdings sind sie bislang deutlich teurer und kleiner in ihrer Kapazität als herkömmliche Speichermedien (v.a. im Vergleich zu Magnetbändern), weshalb SSDs bisher eher als Pufferspeicher und weniger als Backup-Lösung zum Einsatz kommen.156
Eine zusätzliche Komplexität kann das Backupverfahren schließlich dadurch erhalten, dass in Cloud-Systemen nicht automatisch jedem Anwender eine „eigene“ Datenbankinstanz zukommt, sondern dass vielmehr im Rahmen von Multi-Tenancy-Konzepten (siehe oben) sogar die Datensätze unterschiedlicher Anwender in ein und derselben Datenbanktabelle gespeichert werden.157 Hier ergeben sich auch Herausforderungen für eine rechtlich akzeptable Regelung des Zugriffs auf solche Datenbestände, da die Anforderungen an die Zulässigkeit umso höher werden, je mehr Daten von unbeteiligten Personen betroffen sind.
3. Datenlokalität
Grundsätzliche Schwierigkeiten ergeben sich für den Zugriff von Ermittlungsbehörden auf in der Cloud abgelegte Daten mit Blick auf Fragen der Datenlokalität. Es ist gerade kennzeichnend für Cloud Computing – und ein wichtiger Unterschied zu bisherigen IT-Outsourcing Methoden –, dass die für die Datenspeicherung verwendeten Server prinzipiell überall auf der Welt stehen können und dass selbst für den Nutzer nicht immer ohne weiteres feststellbar ist, wo sich die Daten (aktuell) befinden.158 Teilweise werden dem Nutzer unterschiedliche Speicherregionen zur Auswahl angeboten, so z.B. bei den Amazon Web Services die Regionen US Standard, ER (Data Center in Irland), US West (Nord-Kalifornien), sowie Asien-Pazifik (Singapur) und Asien-Pazifik (Tokio).159 Eine weitere für den hier behandelten Kontext relevante Besonderheit besteht darin, dass die Daten nicht notwendig auf einem bestimmten Server gespeichert werden, wo auch immer dieser sich befinden mag, sondern dass auch die Bildung eines weltweit verteilten Clusters möglich ist, bei dem die Daten auf eine nicht genauer definierte Menge kooperierender Rechner verteilt sind.160 Im Falle eines Nutzerzugriffs wird dynamisch entschieden, welche Rechner heranzuziehen sind.161
Aus alldem folgt für die hier behandelten strafprozessualen Fragestellungen: Es wird sich oft schwierig (oder gar nicht) feststellen lassen, wo sich die in einer Cloud gespeicherten Daten im Zeitpunkt eines beabsichtigten Zugriffs durch die Ermittlungsbehörden befinden. Das ist selbst für die Benutzer nicht immer ohne weiteres nachvollziehbar, was im Übrigen vor allem im Unternehmensbereich zu einer teilweise zurückhaltenden Haltung gegenüber Cloud Computing geführt hat.162 Damit ist es – im Regelfall einer Datenlokalität außerhalb des Bundesgebiets – für die Ermittler aber oft bereits gar nicht zu entscheiden, gegenüber welchem Land z.B. ein Rechtshilfeersuchen zu erstatten ist. Bisweilen finden sich die Datenpakete sogar über mehrere Standorte verteilt und sind somit überhaupt nicht an einem einheitlichen Ort als möglicher Gegenstand eines ermittlungsbehördlichen Zugriffs verfügbar. Dieser Umstand wird sich im Laufe der Untersuchung als eine der zentralen faktischen Schwierigkeiten beim Zugriff auf in der Cloud abgelegte Daten erweisen.
Allerdings ist darauf hinzuweisen, dass sich aus derselben technischen Besonderheit – der oft fehlenden Nachvollziehbarkeit der Datenlokalität in der Cloud – auch Nachteile für eine kriminogene Nutzung ergeben können. Insbesondere ist auch die vollständig erfolgte Löschung von Daten oft nicht sicher überprüfbar, da der Nutzer nie ausschließen kann, dass sich trotz eines in der Benutzeroberfläche eingegebenen Löschauftrags irgendwo in der Cloud-Architektur noch eine redundante Kopie der Daten befindet,163 auf die dann trotz der Löschung ein Zugriff der Strafverfolgungsorgane potentiell möglich bleibt. Überhaupt kann die für Cloud Computing typische fehlende Herrschaft des Nutzers über die in der Cloud abgelegten Daten für Kriminelle einen Grund darstellen, von einer Speicherung potentiell belastender Informationen in der Cloud abzusehen. Zudem implementieren die Cloud-Provider unterschiedliche Sicherungskonzepte (siehe bereits oben), in deren Rahmen z.B. Momentaufnahmen eines Datenbestandes gespeichert werden (sog. Snapshots) oder sämtliche Transaktionen anhand von Log-Dateien nachvollziehbar bleiben (sog. Forward Recovery).164 Solche und andere Sicherungsmaßnahmen, die das Vertrauen der „redlichen“ Cloud-Nutzer stärken sollen, können Kriminelle gerade abschrecken.
Die Praxis zeigt allerdings, dass z.B. Webmail-Dienste – die ebenfalls eine Form von SaaS sind – häufig ohne größere Bedenken von Kriminellen verwendet werden. Im Übrigen existieren unterschiedliche Anonymisierungs- und Verschlüsselungsverfahren, durch die Risiken eines Zugriffs Dritter (auch der Mitarbeiter des Cloud-Anbieters) begrenzt werden können.165
122 Vgl. zu den insoweit oft erforderlichen sog. transaktionalen Garantien, durch die gewährleistet ist, dass sich ein Mehrbenutzersystem für jeden einzelnen Nutzer wie ein Einbenutzersystem darstellt vgl. Vossen/Haselmann u.a., Cloud-Computing, S. 52. 123 Zum Vorstehenden Vossen/Haselmann u.a., Cloud-Computing, S. 49. 124 Vossen/Haselmann u.a., Cloud-Computing, S. 53. 125 Vossen/Haselmann u.a., Cloud-Computing, S. 54. 126 Vossen/Haselmann u.a., Cloud-Computing, S. 50. 127 Schorer, in: Hilber, Handbuch, C/1, Rn. 47. 128 Meir-Huber, Cloud Computing, S. 34f. 129 Vossen/Haselmann u.a., Cloud-Computing, S. 50f. und näher S. 55ff. 130 Vossen/Haselmann u.a., Cloud-Computing, S. 13f. 131 Vossen/Haselmann u.a., Cloud-Computing, S. 14f. 132 Näher hierzu Meir-Huber, Cloud Computing, S. 32f. 133 Vossen/Haselmann u.a., Cloud-Computing, S. 53. 134 Vossen/Haselmann u.a., Cloud-Computing, S. 52f. 135 Dazu Vossen/Haselmann u.a., Cloud-Computing, S. 69f. 136 Zu diesem Aspekt siehe Vossen/Haselmann u.a., Cloud-Computing, S. 69. 137 Vossen/Haselmann u.a., Cloud-Computing, S. 70. 138 Vossen/Haselmann u.a., Cloud-Computing, S. 70f. 139 Vossen/Haselmann u.a., Cloud-Computing, S. 71. 140 Vossen/Haselmann u.a., Cloud-Computing, S. 71. 141 Vossen/Haselmann u.a., Cloud-Computing, S. 71. 142 Vossen/Haselmann u.a., Cloud-Computing, S. 71. 143 Vossen/Haselmann u.a., Cloud-Computing, S. 71. 144 Vossen/Haselmann u.a., Cloud-Computing, S. 190. 145 Vossen/Haselmann u.a., Cloud-Computing, S. 71. 146 Vossen/Haselmann u.a., Cloud-Computing, S. 71. 147 Vossen/Haselmann u.a., Cloud-Computing, S. 71. 148 Vossen/Haselmann u.a., Cloud-Computing, S. 71f. mit dem Hinweis auf die Möglichkeit, vollständige Backups aus den partiellen Backups zu synthetisieren. 149 Vossen/Haselmann u.a., Cloud-Computing, S. 72, die von einem „umgekehrten inkrementellen bzw. differenziellen Backup“ sprechen. 150 Vossen/Haselmann u.a., Cloud-Computing, S. 72. 151 Vossen/Haselmann u.a., Cloud-Computing, S. 72. 152 Vossen/Haselmann u.a., Cloud-Computing, S. 72. 153 Näher zu allem Vossen/Haselmann u.a., Cloud-Computing, S. 72f. 154 Vossen/Haselmann u.a., Cloud-Computing, S. 73. 155 Vossen/Haselmann u.a., Cloud-Computing, S. 73. 156 Vossen/Haselmann u.a., Cloud-Computing, S. 73. 157 Hierzu Vossen/Haselmann u.a., Cloud-Computing, S. 75 und 180. Vormals war es üblich, die Sicherheit und Integrität der den einzelnen Mandanten zugeordneten Datenbeständen durch physische Trennung der verwendeten Systeme zu gewährleisten, was sich jedoch als unwirtschaftlich herausgestellt hat. Heute werden dagegen Virtualisierungskonzepte zur Anwendung gebracht, die einen parallelen Betrieb unterschiedlicher Mandanten auf derselben Hardware ermöglichen, vgl. zum Ganzen Schorer, in: Hilber, Handbuch, C/1, Rn. 43ff. 158 Schmidt-Bens, Cloud Computing, S. 3; Metzger/Reitz u.a., Cloud Computing, S. 14; auch Terplan/Voigt, Cloud, S. 191. 159 Vossen/Haselmann u.a., Cloud-Computing, S. 6f., zur Datenlokalität auch, S. 77. 160 Metzger/Reitz u.a., Cloud Computing, S. 50f.; zur Fragmentierung von Daten auch Vossen/Haselmann u.a., Cloud-Computing, S. 178. 161 Metzger/Reitz u.a., Cloud Computing, S. 50f. 162 Vossen/Haselmann u.a., Cloud-Computing, S. 177. 163 Zu diesem Aspekt Vossen/Haselmann u.a., Cloud-Computing, S. 177. 164 Vossen/Haselmann u.a., Cloud-Computing, S. 70f. 165 Vgl. dazu im Überblick Schmidt-Bens, Cloud Computing, S. 73ff.; zu den Grenzen möglicher Verschlüsselungen aber Schorer, in: Hilber, Handbuch, C/1, Rn. 85.
VII. Zusammenfassende Problemfokussierung und weiterer Gang der Untersuchung
Daten an sich stellen die herkömmliche Dogmatik der strafprozessualen Zwangsmaßnahmen bereits vor nicht unerhebliche Herausforderungen, was vor allem mit ihrer fehlenden Körperlichkeit zu tun hat.166 Sofern es sich nun um solche Daten handelt, die in einer Cloud-Architektur gespeichert sind, lassen sich unter Berücksichtigung der vorstehenden Darstellung der technischen Grundlagen zwei darüber hinausgehende (miteinander zusammenhängende) spezielle Probleme festhalten.167 Es sind dies zum einen die dezentrale Speicherung und zum anderen die flexible Datenlokalität. Der Speicherort von Daten wird computergesteuert bestimmt, verändert sich ständig und lässt sich im Nachhinein oft nur schwer rekonstruieren, zumal Datenpakete nicht selten aufgeteilt werden.168 Länderkennungen der Domain-Adressen (z.B. .de oder .com) sind im Wesentlichen frei wählbar und haben insofern praktisch keine indizielle Bedeutung für die Ermittlung des Standortes der Datenspeicherung.169 Die klassische Durchsuchung beim Beschuldigten, bei der dessen Hardware beschlagnahmt wird, um im weiteren Verlauf der Ermittlungen die darauf befindlichen Daten auszuwerten, geht somit ins Leere, wenn vom Beschuldigten Cloud-Dienste genutzt werden.170 Denn selbst wenn in diesem Fall möglicherweise noch Endgeräte vorgefunden werden, befinden sich auf diesen eben keine Daten. Beispiele können Ermittlungen wegen des Besitzes strafbaren Video-, Bild- oder Textmaterials sein (etwa nach den §§ 86f., 130ff., 184f. StGB), aber auch Konstellationen der Wirtschaftskriminalität, bei denen Unternehmen durchsucht werden, die ihre Buchhaltung und andere potentiell beweiserhebliche Vorgänge über Cloud-Anwendungen nutzen.
Unproblematisch wäre der Zugriff unter solchen Umständen im Grunde nur möglich, wenn der Beschuldigte die ausgelagerten Daten freiwillig herausgibt, wobei es selbst in diesem Fall völkerrechtliche Zugriffshindernisse geben kann (vgl. dazu unten D V 2a bb (b)). Inwieweit die Ermittlungsbehörden nach der geltenden Gesetzeslage – namentlich gemäß § 110 Abs. 3 StPO – dazu befugt sind, von einem etwaig rechtmäßig beschlagnahmten Endgerät aus auf die im Rahmen eines Cloud-Dienstes gespeicherten Daten zuzugreifen, wird später noch zu erörtern sein. Zu bedenken ist aber auch, dass der Beschuldigte theoretisch überhaupt keine eigenen Endgeräte benötigt, da der von jedem erdenklichen Rechner aus (z.B. in einem öffentlichen Call Shop) auf seine Datenbestände zugreifen kann.
Diese umfassende Dezentralisierung der Datenspeicherung sowie auch des Zugriffs auf die gespeicherten Datenbestände ist eine große Herausforderung für die Ermittlungsbehörden in rechtlicher wie auch in tatsächlicher Hinsicht. Sie könnten versuchen, dem dadurch zu begegnen, dass direkt beim Anbieter des Cloud-Dienstes auf die Daten zugegriffen wird. Im Kontext des Zugriffs auf webbasiert gespeicherte E-Mails des Beschuldigten ist häufig diese Vorgehensweise gewählt worden (näher dazu unten D I 2). Der Gedanke dahinter ist, dass die Server des Providers beschlagnahmt werden, auf denen sich die Daten befinden. Hier stoßen wir aber auf das zweite bereits angesprochene Problem, die flexible Datenlokalität in Cloud-Systemen. Wie soeben dargestellt wurde, werden Datenpakte in der Cloud aufgeteilt und die Daten befinden sich innerhalb der Serverstruktur des Anbieters gleichsam „ständig in Bewegung“. Der Speicherort wird also permanent verändert (gesteuert durch Algorithmen), wobei sich dieser Prozess letztlich an technischen Bedürfnissen sowie wirtschaftlichen Interessen des Diensteanbieters ausrichtet. Das bedeutet, dass es womöglich einen Zugriff an unterschiedlichen Orten erfordern würde, um alle Bestandteile eines Datensatzes zu erlangen. Hierzu müssten die Ermittler aber überhaupt wissen, wo sich die Daten aktuell befinden. Zudem wird sich der Speicherungsort häufig außerhalb Deutschlands befinden, weshalb das später noch vertiefend erörterte Problem der Transnationalität zur Geltung kommt.
Zur Verdeutlichung sei folgendes Beispiel gebildet: Die Ermittler erfahren, dass potentiell beweiserhebliche Daten des Beschuldigten B, der Dienste beim Cloud-Anbieter C nutzt, zum Zeitpunkt t0 auf Servern von C in Irland gespeichert sind. Unverzüglich wird ein Rechtshilfeverfahren zur vorläufigen Sicherung der Daten eingeleitet. Zum Zeitpunkt t1, in dem in Irland über dieses Rechtshilfeersuchen entschieden wird, ist das entsprechende Datenpaket jedoch aufgeteilt worden und befindet sich nun auf Servern in Litauen und der Tschechischen Republik. Die Beschlagnahme in Irland erbringt somit keine Ergebnisse. Es bedarf wenig Phantasie, um diese Konstellation hin zu einem endlosen Wettrennen der Ermittlungsbehörden gegen die ständig im Netzwerk des Cloud-Anbieters (womöglich weltweit) zirkulierenden Daten fortzuentwickeln. Ein Wettlauf, den die Ermittlungsbehörden kaum gewinnen können.
Natürlich ist dieses Problem nicht neu. Doch zeigt die jüngste Aktivität der Europäischen Kommission, dass eine Lösung, die zum einen den Bedürfnissen der Ermittlungsorgane und gleichzeitig den Rechten der potentiell Betroffenen gleichermaßen Rechnung trägt, bislang noch nicht gefunden ist. Im praktischen Ermittlungsalltag wird dem drohenden Verlust der Daten im transnationalen Nirvana wohl in erster Linie dadurch begegnet, dass im Rahmen herkömmlicher Maßnahmen der Telekommunikationsüberwachung eine Aufzeichnung der Internetdaten erfolgt. Jedenfalls solche Daten, die nach Beginn der Überwachung auf den Server eines Cloud-Anbieters übertragen werden, können dann – sofern sie nicht verschlüsselt sind – abgefangen werden, bevor sie auf dem Territorium eines anderen Staates gespeichert werden. Auch die inzwischen in § 100b StPO eingeführte strafprozessuale Online-Durchsuchung kann insoweit als Versuch gewertet werden, möglichst viele Daten auf dem System des Beschuldigten zu sichern, so dass Probleme einer eventuellen späteren externen Speicherung im Ausland sich gar nicht erst stellen.
In der vorliegenden Arbeit wird untersucht, inwiefern sich unter Rückgriff auf die heute geltenden strafprozessualen Eingriffsnormen Maßnahmen rechtfertigen lassen, mit denen die skizzierten Probleme bewältigt werden können. Dabei wird sich zeigen, dass – unter Berücksichtigung der einschlägigen verfassungsrechtlichen Maßgaben (dazu C) – weder eine Beschlagnahme von in einer Cloud gespeicherten Daten nach den §§ 94ff. bzw. § 99 StPO (D I bzw. II) noch eine Aufzeichnung sämtlicher Internetdaten gem. § 100a Abs. 1 S. 1 StPO (D III) zulässig ist. Auch die – ohnehin höchst problematischen – durch das Gesetz zur effektiveren und praxistauglicheren Ausgestaltung des Strafverfahrens neu eingeführten Vorschriften zur Quellen TKÜ (§ 100a Abs. 1 S. 2, S. 3 StPO) bzw. zur Online-Durchsuchung (§ 100b StPO) vermögen nicht alle durch das Phänomen Cloud Computing aufgeworfenen Schwierigkeiten zu bewältigen (D IV). Schließlich sind die rechtlichen Probleme beim grenzüberschreitenden Zugriff bislang nicht adäquat gelöst (D V). Für den innerstaatlichen Bereich kommt somit nach der hier zu Grunde gelegten Sichtweise angesichts des Fehlens einer passenden Ermächtigungsgrundlage lediglich für eine Übergangszeit ein Zugriff auf in einer Cloud gespeicherte Daten unter den Voraussetzungen der §§ 100b, 100c StPO in Betracht (D VI). Unter Verstoß hiergegen erlangte Beweismittel sollten regelmäßig einem Beweisverwertungsverbot unterliegen (E).
166 Warken, NZWiSt 2017, 289, 291. 167 Vgl. auch Dalby, Grundlagen, S. 6f. 168 Zusf. und m.w.N. hierzu Warken, NZWiSt 2017, 289, 296. 169 Heinson, IT-Forensik, S. 267. 170 Zu dieser Problematik Dalby, Grundlagen, S. 6f.
C. Der verfassungsrechtliche Rahmen strafprozessualer Ermittlungsmaßnahmen
Im folgenden Abschnitt werden die verfassungsrechtlichen Rahmenbedingungen untersucht, die bei der Anordnung strafprozessualer Zwangsmaßnahmen zu berücksichtigen sind. Da eine grundlegende Reform der Regelungen des Achten Abschnitts der StPO angesichts der Herausforderungen des digitalen Zeitalters nach wie vor aussteht, unbeschadet der eher hektisch und unüberlegt eingefügten §§ 100a Abs. 1 S. 2, S. 3, 100b StPO, wird besonderes Augenmerk darauf zu legen sein, inwiefern der interpretatorischen Weiterentwicklung des Anwendungsbereichs überkommener Eingriffsgrundlagen durch das Verfassungsrecht Grenzen gezogen sind.
I. Verfassungsrechtliche Vorüberlegungen
Dass Strafprozessrecht und Verfassungsrecht eine Vielzahl von Verschränkungen aufweisen, dürfte als allgemein anerkannt gelten.171 Das Strafverfahrensrecht ist maßgeblich durch den Antagonismus zwischen der Durchsetzung des staatlichen Strafanspruchs einerseits und der Wahrung der Rechte des Beschuldigten andererseits gekennzeichnet, der auf beiden Seiten verfassungsrechtlich überformt ist.172 Daraus ergibt sich eine gegenläufige verfassungsrechtliche Gesamtprägung des Strafverfahrens insofern, als das Rechtsstaatsprinzip nicht nur eine faire Ausgestaltung und Anwendung des Strafverfahrensrechts mit Blick auf die Rechtsposition des Beschuldigten als Verfahrenssubjekt fordert, sondern auch die Berücksichtigung der Belange einer funktionstüchtigen Strafrechtspflege nicht nur gestattet, sondern sogar verlangt.173 Auf der einen Seite ist es demnach eine mit Verfassungsrang ausgestattete Aufgabe des Strafverfahrensrechts, das auf Rechtsgüterschutz ausgerichtete materielle Strafrecht durchzusetzen. Hierzu bedarf es nicht zuletzt deshalb effektiver Ermittlungsinstrumente, weil ein vorwiegend auf General- bzw. Spezialprävention bedachtes Strafrecht seine Zwecke nur erfüllen kann, wenn seine Anwendung im größtmöglichen Maße auf Wahrheit und richtiger Rechtsanwendung beruht.174 Somit benötigen die Ermittlungsbehörden geeignete Mittel und Instrumente, um diese Aufgabe der Wahrheitsfindung wahrnehmen zu können. Das Prinzip der Rechtsstaatlichkeit, die Pflicht des Staates, die Sicherheit seiner Bürger und deren Vertrauen in die Funktionsfähigkeit der staatlichen Institutionen zu schützen, und der Anspruch aller in Strafverfahren Beschuldigter auf Gleichbehandlung erfordern grundsätzlich, dass der Strafanspruch durchgesetzt wird, also auch eingeleitete Verfahren fortgesetzt und rechtskräftig verhängte Strafen vollstreckt werden.175 Es kann daher kein vernünftiger Zweifel daran bestehen, dass die Gewährleistung der „Funktionstüchtigkeit der Strafrechtspflege“ von der ständigen verfassungsgerichtlichen Rechtsprechung mit Recht als Verfassungsauftrag betrachtet wird.176 Dementsprechend ist dem Staat insbesondere der Verzicht auf die Verwirklichung seines Strafanspruchs einschließlich der Vollstreckung einer Strafe von Verfassung wegen untersagt.177
Dieses Verfassungspostulat einer effektiven Strafrechtspflege unterliegt nun aber seinerseits wieder in erheblichem Maße verfassungsimmanenten Beschränkungen. Dies folgt schon aus den soeben skizzierten Gedanken zu den Aufgaben des Strafverfahrensrechts, da eine positive Generalprävention nur dann möglich ist, wenn sich der Staat in der Durchsetzung seines Strafanspruches selbst beschränkt und den Bürger nicht zum hilflosen Objekt des Strafverfahrens degradiert.178 Insofern stehen der Schutz der Freiheitsrechte des Bürgers und der staatliche und damit auch letztlich dem Bürger zustehende Anspruch auf ein justizförmiges Verfahren als eigenständiger Bestandteil des rechtsstaatlichen Strafverfahrens in einem strukturellen Spannungsverhältnis.179 Dabei ist im Zusammenhang mit Ermittlungsmaßnahmen der Strafverfolgungsorgane insbesondere zu bedenken, dass der Beschuldigte zum maßgeblichen Zeitpunkt zwingend als unschuldig zu gelten hat. Die Unschuldsvermutung ist nicht nur in Art. 6 Abs. 2 EMRK und Art 48 Abs. 1 der Charta der Grundrechte der europäischen Union (GRC) ausdrücklich aufgeführt; sie genießt darüber hinaus als Ausprägung des Rechtsstaatsprinzips Verfassungsrang.180 Des Weiteren ist sie auch nach europarechtlichen Vorgaben als Grundrecht anzuerkennen, welches die europäischen Mitgliedstaaten schützen müssen.181 Die Unschuldsvermutung muss aufgrund dieser Gewichtung daher nicht erst ab Klageerhebung gelten,182 sondern bereits ab der Einleitung von Ermittlungen.183 Das Ermittlungsverfahren richtet sich insofern somit streng genommen stets gegen einen Unschuldigen, mag sich dieser später auch als schuldig erweisen.
Daraus folgt indes natürlich nicht die Unzulässigkeit jedweder Zwangsmaßnahmen vor der Feststellung der Schuld. Denn streng genommen müsste die konsequente Annahme, dass der von den Ermittlungen Betroffene unschuldig ist dazu führen, dass Zwangsmaßnahmen gegen ihn überhaupt nicht angewendet werden dürfen.184 Dies wäre aber ersichtlich widersinnig. Insofern behandelt die Unschuldsvermutung in ihrem Kern nur die Aussage, dass eine Person vor einer Verurteilung weder als schuldig bezeichnet noch so behandelt werden darf.185
Letztlich dienen strafprozessuale Ermittlungen bis zu einem gewissen Grad sogar der Realisierung der Unschuldsvermutung, die voraussetzt, dass das Strafverfahren geeignete Instrumente zur Wahrheitsfindung vorsieht, damit es Schuld oder Unschuld jeweils zu Tage fördern kann.186 Denn für Strafverfolgungs- und Ermittlungsverfahren ist nicht die Schuld des Betroffenen Voraussetzung, sondern lediglich das Vorliegen des Verdachts; strafprozessuale Zwangsmaßnahmen dienen daher der Klärung eines Strafvorwurfs.187 Daher entfaltet die Unschuldsvermutung eine begrenzende Funktion im Zusammenhang mit der Zulässigkeit solcher Maßnahmen. Diese sind nämlich gegen jeden Beschuldigten nur in einem solchen Umfang zulässig, in dem sie auch gegenüber einem Unschuldigen als noch verhältnismäßig anzusehen wären.
Ergeben sich also aus der Unschuldsvermutung keine grundsätzlichen Bedenken gegen die Anordnung von Zwangsmaßnahmen zur Aufklärung des Sachverhalts, richtet sich der Blick nun auf den allgemeinen Gesetzesvorbehalt, dem aus verfassungsrechtlicher Perspektive erhebliche Bedeutung bei der Formulierung der Legitimationsbedingungen für solche Maßnahmen zukommt.188 Die diesbezügliche Relevanz des Gesetzesvorbehalts soll im folgenden Abschnitt – soweit es für die vorliegende Untersuchung von Bedeutung ist – untersucht werden.
1. Gesetzesvorbehalt und Eingriffsnorm
a) Allgemeiner Eingriffsvorbehalt und Wesentlichkeitskriterium
Es darf heute als weitgehend unbestritten gelten, dass strafprozessuale Zwangsmaßnahmen maßgeblich dadurch gekennzeichnet sind, dass sie in Grundrechte des Beschuldigten eingreifen.189 Somit entspricht es zu Recht der allgemeinen Auffassung, dass das verfassungsrechtlich verankerte Prinzip des allgemeinen Gesetzesvorbehalts im Strafprozessrecht uneingeschränkt anwendbar ist190 Es kann sich insofern um Eingriffe in spezielle Grundrechte handeln, wie etwa Art. 10 GG191, Art. 12 Abs. 1 GG192, Art. 13 Abs. 1 GG193 oder Art. 14 Abs. 1 GG. Darüber hinaus kann es zu Eingriffen in das aus dem Rechtsstaatsprinzip194 folgende Recht auf ein faires Verfahren („fair-trial-Grundsatz“) oder in das allgemeine Persönlichkeitsrecht kommen.195
Besondere Bedeutung kommt hierbei der heimlichen Aufzeichnung von Daten und anderen Überwachungsmaßnahmen zu, die namentlich mit Blick auf das allgemeine Persönlichkeitsrecht in seinen unterschiedlichen Ausprägungen – sowie unter dem Gesichtspunkt der die Rechtsschutzgarantie aus Art. 19 Abs. 4 GG196 – zu würdigen ist. Hier hat sich inzwischen in der verfassungsrechtlichen Doktrin ein Verständnis durchgesetzt, wonach weniger der auf Befehl und Zwang beruhende unmittelbare und finale Eingriff in eine geschützte Rechtsposition entscheidend für die Charakterisierung als Grundrechtseingriff ist; ein solcher liegt vielmehr bei jedem staatlichen Handeln vor, das in zurechenbarer Weise dem Einzelnen ein grundrechtlich geschütztes Verhalten ganz oder teilweise unmöglich macht (sog. moderner Eingriffsbegriff).197 Gerade mit Blick auf den Bereich moderner Technologien enthält die Strafprozessordnung heute eine Vielzahl an Eingriffsmaßnahmen, was die Bedeutung des modernen Eingriffsbegriffs in diesem Zusammenhang erheblich erhöht.198 Darüber hinaus hat das BVerfG speziell bei tief in die Privatsphäre des Betroffenen eingreifenden Überwachungs- und Ermittlungsmaßnahmen im Zusammenhang mit elektronischer Datenverarbeitung die besondere Bedeutung des Verhältnismäßigkeitsgrundsatzes betont.199
Nach klassischem Verständnis ist eine gesetzliche Grundlage für jedes staatliche Handeln erforderlich, durch das in grundrechtliche Freiheiten des Bürgers eingegriffen wird.200 Dieser Gesetzesvorbehalt fußt einerseits auf rechtsstaatlichem, andererseits auf demokratietheoretischem Fundament.201 Aus dem Rechtsstaatsprinzip folgt er deshalb, weil er die Vorhersehbarkeit und Berechenbarkeit staatlichen Handelns garantiert, die nicht gegeben wäre, wenn die Exekutive über Art und Umfang zulässiger Eingriffe frei disponieren könnte. Die Relevanz unterschiedlicher Auffassungen zum Gesetzesvorbehalt abhängig von der Natur der öffentlichen Maße wird insbesondere im Strafprozess relevant, da Ermittlungshandlungen häufig Realhandlungen darstellen. Dem gegenüberüber fordert die Lehre des Totalvorbehalts eine gesetzliche Grundlage für jegliches hoheitliches Handeln.202 Die Absehbarkeit kann insbesondere nur dann gewährleistet werden, wenn die Normen klar und verständlich sind, so dass an dieser Stelle erkennbar ist, wie im Strafverfahren Gesetzesvorbehalt und Bestimmtheitsgrundsatz ineinandergreifen.203
Damit ist gewährleistet, dass die Grenzen der dem Zugriff des Staates entzogenen Freiheitsausübungsbefugnisse des Bürgers durch abstrakte Gesetze geregelt werden. Zugleich verwirklicht der Gesetzesvorbehalt auch einen demokratischen Grundsatz, indem sichergestellt wird, dass allein der unmittelbar vom Volk legitimierte Gesetzgeber die Grenzen der Freiheitsausübung – und die damit korrespondierenden Grenzen der Zugriffsbefugnisse staatlicher Organe – festlegt. Der demokratische Gedanke wird insbesondere dadurch verwirklicht, dass der Umfang und die erlaubte Intensität der Grundrechtseingriffe in den grundlegenden Aspekten im parlamentarischen Verfahren öffentlich unter Mitwirkung auch der nicht die Regierung tragenden Abgeordneten diskutiert wird.204
Vor dem Hintergrund der soeben skizzierten, aus den fundamentalen Staatsprinzipien des Grundgesetzes abgeleiteten Überlegungen hat das Bundesverfassungsgericht die sog. Wesentlichkeitstheorie entwickelt, die besagt, dass der demokratisch legitimierte Gesetzgeber zwar nicht alle, wohl aber alle wesentlichen grundrechtsrelevanten Entscheidungen selbst zu treffen hat.205 Die Systematik der Wesentlichkeitstheorie weist insofern Parallelen zur Ermächtigungsregelung des Art. 80 Abs. 1 Satz 2 GG auf, wo grundrechtssensible Bereiche betroffen sind. Wesentlich sind entsprechende Entscheidungen insofern jedenfalls dann, wenn sie für die Verwirklichung von Grundrechten erheblich sind.206 Damit ist nach zutreffender Auffassung indes – jedenfalls für den Bereich der strafprozessualen Eingriffsnormen – keine Einschränkung des klassischen Eingriffsvorbehalts verbunden.207 Insbesondere darf der Gesetzgeber nicht die wesentlichen Entscheidungen der fachgerichtlichen Rechtsprechung überlassen.208 Es bleibt vielmehr dabei, dass jeder Eingriff im herkömmlichen Sinne einer gesetzlichen Grundlage bedarf, mit anderen Worten also eine im vorstehenden Sinne „wesentliche“ Regelung darstellt. Die Wesentlichkeitstheorie ergänzt und erweitert den klassischen Eingriffsvorbehalt lediglich dahingehend, dass neben Grundrechtseingriffen in diesem Sinne auch andere grundrechtsrelevante Entscheidungen unmittelbar vom Gesetzgeber zu treffen sein können.
Diesbezüglich ist allerdings auch zu berücksichtigen, dass die Schwellentheorie, wonach erst ab einer relevanten, verifizierbaren Eingriffsintensität ein beachtlicher Grundrechtseingriff vorliegt, auch im Strafverfahren anwendbar bleibt, um die Ermittlungspraxis nicht zu überfordern oder zu blockieren.209 Allerdings sind solche Betrachtungen nur im Rahmen von unerheblichen Eingriffen in das Persönlichkeitsrecht anzuerkennen.210 Eine solche Unerheblichkeit kann sich etwa bei der Spurensuche ergeben wenn diese nicht innerhalb der besonders geschützten räumlichen Sphäre erfolgt,211 oder bei Erkundigungen, die zwar der Erhebung von personenbezogenen Daten dienen, aber insoweit einen Bagatellbereich von Art. 2 Abs. 1 GG darstellen.212 Nach anderer Ansicht ist die Frage einer Bagatellbeeinträchtigung kein Aspekt der Eingriffshandlung, sondern die Intensität auf dogmatisch-struktureller Grundlage stets eine Frage der Rechtfertigungsebene, so dass der Gesetzesvorbehalt auch in diesen Fällen nicht umgangen werden kann.213 Besondere Relevanz für aktuelle Entwicklungen sind in diesem Zusammenhang sog. „Internet-Streifen“, in deren Rahmen auf nicht zugangsgeschützte Daten zugegriffen wird.214 Weil in der hier untersuchten Fallgestaltung ein solcher Bagatellbereich regelmäßig deutlich überschritten wird, bedarf es jedoch keiner näheren Auseinandersetzung mit der Frage, ob er überhaupt anzuerkennen ist.
Ein anderer Ansatz, um den Eingriffscharakter abzulehnen, liegt in der hoheitlichen Vorgehensweise zur Informationserlangung. Nach einer Formulierung in der Rechtsprechung ist eine „passive Informationserlangung ohne Eingriffscharakter“215 möglich. Dies bedeutet etwa, dass ein passives Verhalten von verdeckt ermittelnden Beamten und V-Leuten, die sich in einem gewissen Umfeld bewegen und dort Informationen lediglich wahrnehmen, ohne gesetzliche Ermächtigungsgrundlage zulässig sein kann. Entscheidendes Kriterium ist insofern die Aktivität, auf der die staatliche Informationserlangung beruht.216 Auch dieser Aspekt ist vorliegend indes zu vernachlässigen, da hier nur der aktive Zugriff auf Daten im Wege strafprozessualer Zwangsmaßnahmen in Rede steht.
Gegenstand der nachfolgenden Untersuchung sind insbesondere die Herausforderungen für strafprozessuale Ermittlungen angesichts neuer Technologien. Von großer Bedeutung ist deshalb die Frage, inwieweit eine existierende strafprozessuale Eingriffsnorm einer „zeitgemäßen“ Auslegung zugänglich ist,217 sofern Umstände auftreten, die bei Abfassung der Norm nicht bekannt waren und letztlich nicht bekannt sein konnten. Insofern ist zunächst zu untersuchen, ob bzw. in welchem Umfang die aus dem materiellen Strafrecht geläufigen Grundsätze des Art. 103 Abs. 2 GG/§ 1 StGB auch für das Strafprozessrecht Geltung beanspruchen können.
b) Analogieverbot und Bestimmtheitsgebot im Verfahrensrecht
Das sog. Gesetzlichkeitsprinzip des § 1 StGB, das in Art. 103 Abs. 2 GG mit Verfassungsrang ausgestattet ist, wird nach herkömmlichem Verständnis in vier unterschiedliche Ausprägungen unterteilt: das Verbot unbestimmter Strafgesetze, das Rückwirkungsverbot, das Verbot strafbegründenden oder strafschärfenden Gewohnheitsrechts sowie das Analogieverbot. Andere Autoren lehnen diese Unterteilung konstruktiv ab und fassen das Gesetzlichkeitsprinzip insgesamt als einen qualifizierten Gesetzesvorbehalt auf.218 Es sprechen jedoch beachtliche Gründe dagegen, Art. 103 Abs. 2 GG im Strafverfahrensrecht unmittelbar anzuwenden.219 Selbst wenn der Wortlaut eine gegenteilige Auslegung wohl zuließe, streitet nicht zuletzt die historische Entstehung des Gesetzlichkeitsprinzips gegen seine Übertragung auf das Verfahrensrecht.220
Hintergrund des in Art. 103 Abs. 2 GG verfassungsrechtlich verankerten Grundsatzes ist insbesondere die generalpräventive Funktion des materiellen Strafrechts, für die es im Bereich des Prozessrechts keine unmittelbare Entsprechung gibt. Insbesondere der Begriff der „Strafe“, welcher als „missbilligende hoheitliche Reaktion auf ein schuldhaftes Verhalten“221 aufgefasst wird, zeigt, dass es sich bei materiellem Strafrecht um eine hoheitliche „Missbilligung“ menschlichen Verhaltens handelt, so dass der Strafe ein unmittelbarer, wertender Zugriff auf das Persönlichkeitsrechts des Bürgers zu Grunde liegt, verstärkt durch den Begriff der Schuld,222 wodurch sich das materielle Strafrecht erheblich von anderen hoheitlichen Eingriffen unterscheidet und daher die besondere Regelung des Art. 103 Abs. 2 GG nicht auf andere Eingriffssysteme außerhalb des materiellen Strafrechts anzuwenden ist. Aus diesem Grund ist Art. 103 Abs. 2 GG auch nicht lediglich eine Bestätigung der allgemeinen Eingriffslehren, sondern bezieht sich stringent auf die einzigartige Besonderheit des materiellen Strafrechts innerhalb der allgemeinen hoheitlichen Eingriffsbefugnisse.223
Darüber hinaus dient das strafrechtliche Analogieverbot aus Art. 103 Abs. 2 GG dazu, zu gewährleisten, dass der Gesetzgeber die Entscheidung zu treffen hat, ob und mit welchem Umfang ein bestimmtes Rechtsgut mit den Mitteln des Strafrechts zu verteidigen ist.224 Rechtsanwender dürfen diese Entscheidungen nicht ignorieren oder korrigierend eingreifen.225 Der Vorschrift kommt daher eine freiheitsgewährleistende und kompetenzwahrende Doppelfunktion zugute, welche ihrerseits – strukturell durchaus parallel zum verfassungstheoretischen Hintergrund der bereits skizzierten Wesentlichkeitstheorie – die Aspekte aus Demokratie- und Rechtsstaatsprinzip berücksichtigen und ihre Gültigkeit im materiellen Strafrecht gewährleisten. Insofern bezieht sich die Vorschrift nur auf die materiellen Voraussetzungen der Strafbarkeit und der Strafandrohung,226 so dass sich direkt aus Art. 103 Abs. 2 GG nach vorzugswürdiger Auffassung keine Konsequenzen für die Reichweite strafprozessualer Eingriffsnormen herleiten lassen.
Indes wäre es mehr als voreilig, wenn man daraus schließen würde, eine praeter legem stattfindende Anwendung solcher Eingriffsnormen im Wege der Analogie sei ohne weiteres zulässig.227 Denn auch wenn das für das materielle Strafrecht konzipierte Analogieverbot aus Art. 103 Abs. 2 GG nicht unmittelbar zur Anwendung gelangt, ist doch in der Ausformung der Konsequenzen, die sich aus dem Gesetzlichkeitsprinzip ergeben, namentlich mit Blick auf das Erfordernis der gesetzlichen Bestimmtheit von Strafgesetzen, die nicht durch analoge oder gewohnheitsrechtlicher Strafbegründung umgangen werden dürfen,228 im Ergebnis weitgehend übereinstimmt mit den Anforderungen, die sich aus den allgemeinen Grundsätzen zum Gesetzesvorbehalt ergeben. Denn die Zulassung der analogen Anwendung strafprozessualer Eingriffsnormen hätte die Missachtung sowohl der rechtsstaatlichen als auch der demokratietheoretischen Komponente des Gesetzesvorbehalts zur Folge,229 da unter diesen Umständen die gebildeten Regeln nicht auf einer parlamentarischen Entscheidung beruhen würden, sondern auf derjenigen des Rechtsanwenders. Diese Einschätzung ist nachfolgend näher zu begründen:
Die analoge Anwendung strafprozessualer Eingriffsnormen stellt einen Verstoß gegen die rechtsstaatliche Komponente des Gesetzesvorbehalts dar, weil die allgemeinen Grundsätze zur Vorhersehbarkeit und Berechenbarkeit des staatlichen Eingriffshandelns in Grundrechte nicht gewährleistet wären, könnten die Exekutivorgane oder die Judikative außerhalb des Anwendungsbereichs der gesetzlichen Regelungen in die Rechtspositionen der Betroffenen eingreifen. Die demokratietheoretische Komponente wäre betroffen, weil es im Falle der analogen Anwendung von Eingriffsnormen nicht der vom Volk legitimierte Gesetzgeber wäre, der darüber entscheidet, unter welchen Voraussetzungen die Einschränkung von Grundrechten zulässig ist, sondern allein die Strafverfolgungsbehörden bzw. der Ermittlungsrichter. Damit folgt, unbeschadet der Nichtanwendbarkeit von Art. 103 Abs. 2 GG im Verfahrensrecht, aus dem allgemeinen verfassungsrechtlichen Prinzip des Gesetzesvorbehalts ein Verbot der analogen Anwendung strafprozessualer Ermächtigungsnormen.230 Einer entsprechenden Anwendung von Regeln, die für den Betroffenen günstig sind und daher nicht in Grundrechte eingreifen, ist insofern allerdings dogmatisch zulässig.231
Doch erschöpfen sich die Parallelen zwischen Gesetzesvorbehalt im Verfahrensrecht und Gesetzlichkeitsprinzip im materiellen Strafrecht nicht im Verbot belastender Analogien. Auch hinsichtlich der Bestimmtheit einschlägiger Normen gelten für materielles wie für formelles Strafrecht im Ergebnis vergleichbare Grundsätze.232 Im materiellen Strafrecht soll das Verbot unbestimmter Strafgesetze sicherstellen, dass für die Normadressaten klar erkennbar ist, welches Verhalten mit Strafe bewährt ist und welches nicht. In der jüngeren Vergangenheit hat das BVerfG darüber hinaus das materiellrechtliche Bestimmtheitsgebot auch auf die Judikative erstreckt, die insbesondere bei unbestimmten Gesetzen zu einer konkretisierenden und präzisierenden Auslegung angehalten ist.233
Ähnliches gilt aufgrund des Gesetzesvorbehalts in jeglichem Eingriffsverhalten des Staates in Grundrechte und daher auch unweigerlich und insbesondere im Verfahrensrecht mit seinen teilweise erheblichen Eingriffen.234 Für den Bürger soll prinzipiell aufgrund der gesetzlichen Eingriffsnorm vorhersehbar sein, unter welchen Voraussetzungen er mit Beeinträchtigungen seiner subjektiven (Grund-)Rechtspositionen zu rechnen hat.235 Darüber hinaus ist nach der Rechtsprechung anerkannt, dass das materielle Grundrecht auch Maßstäbe für eine Verfahrensgestaltung setzt, welche einen effektiven Grundrechtsschutz ermöglicht.236 Insbesondere bei heimlichen Ermittlungsmethoden, bei denen ein Betroffener im Regelfall allenfalls im Rahmen einer nachträglichen Offenlegung Rechtsschutzmöglichkeiten nach Art. 19 Abs. 4 Satz 1 GG erfährt, ist dieser Verfahrensschutz von erheblicher Bedeutung. Der Gesetzgeber muss durch eine hinreichend klare und präzise Normgestaltung dafür Sorge tragen, dass insbesondere bei solchen heimlichen Maßnahmen eine effektive und vorbeugende Kontrolle stattfindet.237
2. Konsequenz: Notwendigkeit einer bereichsspezifischen Eingriffsnorm
Anhand der vorstehenden Ausführungen wird deutlich, dass einer analogen Anwendung strafprozessualer Eingriffsnormen unüberwindbare verfassungsrechtliche Hindernisse entgegenstehen. Es hat sich gezeigt, dass, jedenfalls im Bereich durchschnittlich eingriffsintensiver strafprozessualer Zwangsmaßnahmen, allein der Gesetzgeber befugt ist, die Voraussetzungen – jedenfalls alle wesentlichen Voraussetzungen – festzulegen, unter denen ein Eingriff in eine spezifische verfassungsrechtlich geschützte Rechtsposition zulässig ist.238 Dies führt zur Forderung nach hinreichend bestimmten bereichsspezifischen Ermächtigungsgrundlagen, die einer Ausdehnung über den vom Gesetzgeber vorgegebenen Eingriffs- bzw. Regelungsbereich durch Analogiebildung oder Schaffung gewohnheitsrechtlicher Eingriffsgrundlagen hinaus nicht zugänglich sind. Das deckt sich inhaltlich mit den Anforderungen, die das Bundesverfassungsgericht im Volkszählungsurteil für Eingriffe in das Recht auf informationelle Selbstbestimmung aufgestellt239 und die es auf Eingriffe in die Telekommunikationsfreiheit übertragen hat. Bei diesen müssen demnach „der Anlass, der Zweck und die Grenzen des Eingriffs in der Ermächtigung bereichsspezifisch, präzise und normenklar festgelegt werden“.240 Für die folgende Untersuchung ist hiernach von folgenden Prämissen auszugehen:
Die in der Strafprozessordnung vorgesehenen Eingriffsgrundlagen dürfen nur innerhalb ihres spezifischen Eingriffsbereichs angewendet werden. Hat der Gesetzgeber in einer Ermächtigungsnorm einen bestimmten Eingriff in ein bestimmtes Grundrecht geregelt und entsprechend die Eingriffsvoraussetzungen hierauf abgestimmt, kann dieselbe Norm nicht – auch nicht innerhalb des möglichen Wortsinnes – den Eingriff in eine andere grundrechtlich geschützte Rechtsposition begründen. Ausnahmen können höchstens dann bestehen, wenn eine sog. Minus-Maßnahme vorliegt, der mögliche Anwendungsbereich der Norm also nicht voll ausgeschöpft wird. Eine solche Erweiterung ist jedoch dann als unzulässig einzustufen, wenn sie sich gegenüber der Eingriffsermächtigung als aliud darstellen, da sonst wieder eine Umgehung besteht.241 Die Entscheidung darüber, ob dieser neuartige Eingriff unter den in der Norm genannten Voraussetzungen zulässig ist, obliegt allein dem Gesetzgeber.
171 Siehe hierzu nur Kudlich, Missbrauchsverbot, S. 160f. sowie ders., in ders./Monitel/Schuhr (Hrsg.), S. 233f., jeweils m.w.N. 172 Zum Folgenden eingehend Wohlers, in: SK-StPO4, vor § 94 Rn. 1ff. m.w.N. 173 Vgl. zu Letzterem vor allem Landau NStZ 2007, 121ff.; allgemein zur Notwendigkeit der Abwägung von Rechten des Beschuldigten und Funktionstüchtigkeit der Strafrechtspflege siehe nur BVerfG NJW 2012, 907, 909 mit zahlreichen weiteren Nachw.; frühzeitig krit. gegenüber dem Topos der effektiven Strafrechtspflege Hassemer StV 1982, 275ff.; weiterführend zum Ganzen Kudlich, Missbrauchsverbot, S. 166ff. m.w.N. 174 Siehe nur Kudlich, Missbrauchsverbot, S. 125f. m.w.N. 175 Vgl. hierzu und zum Folgenden statt Aller BVerfGE 46, 214, 222ff.; aus jüngerer Zeit etwa BVerfGE 133, 168, 199 m.w.N. 176 BVerfGE 46, 214, 222. 177 BVerfGE 46, 214, 222f. 178 Wohlers, in: SK-StPO4, vor § 94, Rn. 2; eingehend BVerfGE 133, 168, 200f. mit ausführlichen Nachweisen aus der Rechtsprechung. 179 BVerfGE 57, 250, 274ff. Gercke, in: HK-StPO, vor §§ 94ff. Rn. 3. 180 Vgl. etwa BVerfGE 19, 342, 347. 181 EuGH, Rs. C-199/92P, Hüls, Slg 1999, I-4283 Rn 149; Rs. C-235/92P, Montecatini, Slg 1999, I-4539 Rn 175f. 182 So etwa die Formulierung in Art 48 Abs. 1 GRC. 183 Valerius, in: BeckOK-StPO, Art. 6 EMRK, Rn. 31; van Vormizeele, in: Schwarze/Becker/Bär-Bouyssière-EU-Kommentar, Art. 48 GRC, Rn. 6. 184 Van Vormizeele, in: Schwarze/Becker/Bär-Bouyssière-EU-Kommentar, Art. 48 GRC, Rn 3. 185 EGMR NJW 2011, 1789f.; BVerfGE 74, 358, 371; BGH NJW 1975, 1829, 1831; van Vormizeele, in: Schwarze/Becker/Bär-Bouyssière-EU-Kommentar, Art. 48, GRC Rn. 3 186 Wohlers, in: SK-StPO4, vor § 94, Rn. 9 m.w.N. 187 BVerfGE 82, 106, 115; 188 Vgl. hierzu Kudlich, Missbrauchsverbot, S. 128ff.; knapp auch bereits Meinicke, Zugriff, S. 33ff. 189 Grundlegend Amelung, Rechtsschutz, S. 15f.; Amelung, JZ 1987, 737, 745; ferner etwa Roxin/Schünemann u.a., Strafverfahrensrecht, § 29, Rn. 3; Böckenförde, Ermittlung, S. 113f.; Menges, in: Löwe/Rosenberg-StPO, vor § 94, Rn. 1; weitere Nachw. bei Kudlich, Missbrauchsverbot, S. 118. 190 Statt vieler Roxin/Schünemann u.a., Strafverfahrensrecht, § 2, Rn. 4. 191 Vgl. etwa BGH StV 2001, 214ff. 192 BVerfG NJW 2000, 3557ff. („Fall Theissen“). 193 Vgl. für einen solchen Fall etwa BVerfGE 42, 212ff. 194 Vgl. im Zusammenhang mit § 99 StPO BVerfGE 57, 250, 270ff. 195 Vgl. nur BGHSt 34, 39ff. (unzulässige Tonbandaufnahmen). 196 BVerfGE 100, 313, 364. 197 Siehe nur di Fabio, in: Maunz/Dürig, GG, Art. 2 Abs. 2 Rn. 60 m.w.N.. 198 Vgl. Menges, in: Löwe/Rosenberg-StPO, vor §§ 94 Rn. 1ff. 199 Zuletzt BVerfG NJW 2016, 1781, 1784 m.w.N. aus der verfassungsgerichtlichen Rspr. 200 Siehe nur Bethge/Weber-Dürler, Grundrechtseingriff, S. 40; Wohlers, in: SK-StPO, vor § 94, Rn. 14 – jew. m.w.N.; Kudlich, Missbrauchsverbot, S. 129; zur Entstehung der Lehre vom Gesetzesvorbehalt Rogall, ZStW 1991, 907, 913ff.; zur weitergehenden sog. Lehre vom Totalvorbehalt, nach der eine gesetzliche Grundlage für jegliches hoheitliches Handeln gefordert ist, siehe Menges, in: Löwe/Rosenberg-StPO, vor §§ 94 Rn. 1 201 Vgl. die kurze Zusf. bei Böckenförde, Ermittlung, S. 123f. m.w.N; BVerfGE 133, 277, 336f. 202 Vgl. zur Gesamtdarstellung 203 Vgl. hierzu aus der Rechtsprechung des BVerfG BVerfGE 133, 277, 336f.; BVerfGE 110, 33, 53ff.; BVerfGE 120, 378, 407f., – alle m.w.N. 204 BVerfGE 133, 277, 336f. 205 St. Rspr., vgl. etwa BVerfGE 34, 165, 192f.; 40, 237, 249; 45, 400, 417f.; 61, 260, 275; zusf. hierzu Kirchhof, in: Maunz/Dürig, GG, Art. 83 Rn. 33, nach dessen Einschätzung die „überkommene Formel der ‚Wesentlichkeitstheorie‘ [...] mehr eine heuristische Wegweisung als eine trennscharfe Grenze für den Gesetzesvorbehalt“ ist. 206 Vgl. hierzu BVerfGE 49, 89, 126f. 207 Wohlers, in: SK-StPO4, vor § 94, Rn. 17 m.w.N.; sehr deutlich Böckenförde, Ermittlung S. 120f. 208 BVerfGE 88, 103, 115ff. 209 Vgl. Menges, in: Löwe/Rosenberg-StPO, vor § 94, Rn. 32 m.w.N. 210 Etwa BGH NStZ 1996, 450ff. für den Einsatz eines verdeckten Ermittlers (zw.). 211 BVerfG NJW 1996 ,771ff. 212 BGSt 38, 214, 227. 213 Gerke, in: HK-StPO, vor §§ 94ff., Rn. 10. 214 Kudlich, JA 2000, 227; Graf, DRiZ 1999, 281. 215 BVerfG NStZ 2000, 489, 490. 216 Zum Ganzen: Menges, in: Löwe/Rosenberg-StPO, vor § 94, Rn. 47. 217 Zum Ganzen schon Gusy, StV 1998, 526. 218 Vgl. zu beiden Modellen Kuhlen, in: FS-Otto, S. 89ff. m.w.N. 219 Ausführlich Bär, Zugriff, S. 88ff.; i. Erg. Ebenso und m.w.N. auch zur Gegenansicht Böckenförde, Ermittlung, S. 116ff.; ferner Kudlich, Missbrauchsverbot, S. 139f.; ders., in: ders./Montiel/Schuhr (Hrsg.), S. 233, 239ff. 220 Zusf. und m.w.N. Krey, ZStW 1989, 838, 854; siehe außerdem Kudlich, in: ders./Montiel/Schuhr (Hrsg.), S. 233, 241f.; a.A. etwa Jahn, in: Kudlich/Montiel/Schuhr (Hrsg.), S. 223, 225ff.. insbesondere S. 230f. m.w.N. 221 BVerfGE 26, 186, 204; BVerfGE 45, 346, 351. 222 BVerfGE 20, 323, 331, BVerfGE 25, 269, 285. 223 Schmidt-Aßmann, in: Maunz/Dürig-GG, Art. 103 Abs. 2 GG, Rn. 163ff. m.w.N. 224 BVerfGE 71, 108, 116; BVerfGE 92, 1, 19; BVerfGE 126, 170, 197. 225 BVerfGE 64, 389, 393; BVerfGE 126, 170,197. 226 BGH NStZ 2014, 392, Rn. 23. 227 Knappe Zusf. hierzu bei Kudlich, GA 2011, 193, 194f.; vertiefend ders., Missbrauchsverbot, S. 141ff. 228 BVerfGE 71, 108, 115; BVerfGE 82, 236, 269; BVerfGE 92, 1, 12; BVerfGE 126, 170, 197f. 229 Überzeugend zum Ganzen Wohlers, in: SK-StPO, vor § 94, Rn. 21ff., insb. Rn. 27; ferner Schäfer, in: Löwe/Rosenberg-StPO, vor § 94, Rn. 22f. – jew. m.w.N. 230 Deutlich Krey, ZStW 1989, 838, 854ff.; i. Erg. ebenso Wohlers, in: SK-StPO, § 161, Rn. 8 a.E. m.w.N. (Fn. 11); Bär, Handbuch, S. 18ff. 231 BGH NStZ 2001, 604, 606. 232 Zu den Anforderungen an die Bestimmtheit strafprozessualer Eingriffsnormen eingehend und m.w.N. Wohlers, in: SK-StPO, vor § 94, Rn. 22ff. 233 Vgl. hierzu BVerfGE 92, 1, 12ff.; BVerfGE 126, 170, 195ff. 234 Kudlich, in: ders./Montiel/Schuhr (Hrsg.), S. 233, 246: Der Gesetzesvorbehalt gilt im Strafverfahrensrecht „in besonderem Maße“. 235 Wohlers, in: SK-StPO, vor § 94, Rn. 23. 236 BVerfGE 65, 1, 44ff. 237 Vgl. BVerfG NJW 2016, 1781, 1786. 238 Siehe auch Kudlich, in: ders./Montiel/Schuhr (Hrsg.), S. 233, 247f. 239 BVerfG NJW 1984, 419, 422. 240 BVerfG NJW 2004, 2213, 2215a. E; näher zur Bedeutung dieser Rechtsprechung im Zusammenhang mit Art. 10 GG Durner, in: Maunz/Dürig-GG, Art. 10, Rn. 136ff. 241 Vgl. Menges, in: Löwe/Rosenberg-StPO, vor § 94, Rn. 32ff. m.w.N.
Ücretsiz ön izlemeyi tamamladınız.