Katalog, Verordnung, Richtlinie
Die Regelungen zur Vorratsspeicherung von Daten im TKG verlangen nicht nur die Erstellung eines Anforderungskatalogs, sondern verweisen auch auf die TKÜV und TR TKÜV. Auch diese Vorschriften müssen angepasst werden.
Die Telekommunikationsanbieter müssen bei der Vorratsspeicherung von Daten einen besonders hohen Standard der Datensicherheit und Datenqualität gewährleisten. Auch dies war eine Forderung des BVerfG, die in das
Gesetz übernommen wurde. Wie das konkret erfolgen soll, regelt das Telekommunikationsgesetz (TKG) nur im
Ansatz und verlagert stattdessen die Aufgabe der Konkretisierung gemäß § 113f TKG in einen Anforderungskatalog. Diesen hat die Bundesnetzagentur (BNetzA) zusammen mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) und mir erstellt. Sofern die zur Vorratsspeicherung Verpflichteten die hier festgelegten
Vorgaben berücksichtigen, sollte man diesbezüglich von einem ausreichenden Sicherheitsniveau ausgehen können.
Die Speicherung der Verkehrsdaten soll in einer zentralen Speicherinfrastruktur vorgenommen werden, die
sowohl physisch als auch logisch durch Firewall-Systeme gegen Angriffe geschützt ist (vgl. Kasten b zu
Nr. 12.2.2).
Über die Grundarchitektur hinaus mussten bei der Erstellung des Katalogs allerdings viele technisch-organisatorische Detailfragen geklärt werden. Dies gestaltete sich nicht immer einfach, da einerseits ein
sehr hohes Schutzniveau erreicht werden musste, das andererseits aber in der Praxis mit einem noch vertretbaren Aufwand umsetzbar sein sollte.
Eine der Anforderungen war z. B., die irreversible Löschung der speicherpflichtigen Verkehrsdaten nach Ablauf
der Speicherfrist zu gewährleisten. Moderne Speichermedien (magnetische Festplatten wie auch SSD) können
fehlerhafte Sektoren deaktivieren, also dem Zugriff des Betriebssystems entziehen. Damit ist ein zuverlässiges
Löschen nicht mehr möglich. Daher ist vorgesehen, die „Vorratsdaten“ mit Tagesschlüsseln verschlüsselt zu
speichern. Wenn der Tagesschlüssel nach Ablauf der vorgesehenen Speicherdauer zuverlässig gelöscht wird,
gelten auch die verschlüsselten Daten als gelöscht. Hierzu ist ein zuverlässiges Schlüsselmanagement erforderlich. Eine tatsächliche Löschung der verschlüsselten Daten ist zwar weiterhin erforderlich, muss jedoch nicht
mehr mit besonderem Aufwand betrieben werden.
Eine weitere besondere Herausforderung ist auch die sichere Gestaltung des Abfragesystems. Das TKG verweist hierzu in § 113c Absatz 3 auf die Regelungen der Verordnung über die technische und organisatorische
Umsetzung von Maßnahmen zur Überwachung der Telekommunikation (TKÜV) und die Technische Richtlinie
zur Umsetzung gesetzlicher Maßnahmen zur Überwachung der Telekommunikation und zum Auskunftsersuchen für Verkehrsdaten (TR TKÜV). Auch wenn diese Verweisung wohl Synergien mit bereits bestehenden
Abfragesystemen für andere Auskunftszwecke (z. B. Bestands- und Verkehrsdatenauskünfte aus betrieblich
genutzten Daten) schaffen sollte, führt sie bei der Gestaltung des Anforderungskatalogs eher zu Problemen.
Statt im Rahmen des Anforderungskatalogs die Auskunft der Daten beim oben bereits dargestellten Gesamtkonstrukt mit zu regeln, musste das Thema ausgeklammert und im Rahmen der Überarbeitung der TKÜV und der
zugehörigen Technischen Richtlinie umgesetzt werden. Dabei wäre es zumindest sinnvoll gewesen, diese Vorschriften parallel zur Erstellung des Anforderungskatalogs anzupassen. Da aber die Federführung für die
Er- und Überarbeitung der jeweiligen Regelung bei unterschiedlichen Stellen liegt, wurde zuerst der Anforderungskatalog erstellt und im Nachgang die Überarbeitungen der TKÜ und sodann der TR TKÜV in Angriff
genommen. Deswegen konnten letztere bis Redaktionsschluss noch nicht fertig gestellt werden. Erste Entwürfe
dafür liegen mir bereits vor und eine finale Veröffentlichung der Vorschriften noch vor dem Beginn der verpflichtenden Speicherung im Juli 2017 ist nach derzeitigem Stand wahrscheinlich. Ob aufgrund der Umsetzungsfristen bzw. der Zeit für eine technische Realisierung Übergangslösungen eingesetzt werden müssen,
bleibt abzuwarten.
BfDI 26. Tätigkeitsbericht 2015-2016
– 145 –