Dr. Mathias Grzesiek

Dr. Mathias Grzesiek ist Partner der auf Wirtschafts- und Steuerstrafrecht spezialisierten Kanzlei Rosinus | Partner Rechtsanwälte PartG mbB in Frankfurt/M. Er berät nationale und internationale Unternehmen sowie Privatpersonen in allen Fragen des Wirtschafts- und Steuerstrafrecht sowie IT- und Compliance-Themen.
Dr. Mathias Grzesiek ist Partner der auf Wirtschafts- und Steuerstrafrecht spezialisierten Kanzlei Rosinus | Partner Rechtsanwälte PartG mbB in Frankfurt/M. Er berät nationale und internationale Unternehmen sowie Privatpersonen in allen Fragen des Wirtschafts- und Steuerstrafrecht sowie IT- und Compliance-Themen.
Landgericht Ravensburg: Nutzung von Fingerabdrücken zur Entsperrung beschlagnahmter Mobiltelefone ist rechtmäßig

Landgericht Ravensburg: Nutzung von Fingerabdrücken zur Entsperrung beschlagnahmter Mobiltelefone ist rechtmäßig

Das Landgericht Ravensburg hat mit Beschluss vom 14. Februar 2023 (Az. 2 Qs 9/23 jug, hier abrufbar bei Burhoff) bestätigt, dass die Beschlagnahme des Mobiltelefons des Beschuldigten sowie die Abnahme und Nutzung seiner Fingerabdrücke zum Entsperren des Telefons rechtmäßig sind.

Der Beschuldigte wird eines Verstoßes gegen das Betäubungsmittelgesetz verdächtigt, insbesondere der Anstiftung zur unerlaubten Einfuhr von Betäubungsmitteln in nicht geringer Menge und des versuchten unerlaubten Erwerbs von Betäubungsmitteln. Im Rahmen der Ermittlungen wurde sein Zimmer durchsucht und sein Mobiltelefon beschlagnahmt.

Gegen den Beschluss des Amtsgerichts Ravensburg legte der Beschuldigte Beschwerde ein, insbesondere gegen die Anordnung zur Abnahme und Nutzung seiner Fingerabdrücke zum Entsperren seines Telefons. Das Landgericht entschied jedoch, dass die Beschwerde unbegründet ist.

In seiner Begründung stellte das Gericht fest, dass die Voraussetzungen des § 81b Abs. 1 gegeben sind. Die angeordneten Maßnahmen sind von der einschlägigen Ermächtigungsgrundlage gedeckt und verhältnismäßig. Die Anordnung zur Abnahme von Fingerabdrücken des Beschuldigten auch gegen seinen Willen und die Anordnung zur Nutzung der hieraus resultierenden biometrischen Daten für Zwecke der Entsperrung des Mobiltelefons finden ihre Grundlage in § 81b Abs. 1 StPO.

Im Wortlaut heißt es:

Durch die offene Formulierung wird erreicht, dass sich der statische Gesetzeswortlaut an den jeweiligen Stand der Technik anpasst (vgl. Rottmeier/Eckel, NStZ 2020, S. 193 (194)). Mit der „technikoffenen“ Formulierung hat der Gesetzgeber zum Ausdruck gebracht, dass auch solche Maßnahmen gedeckt sind, die dem gesetzlichen Leitbild der Abnahme und Verwendung von äußeren körperlichen Beschaffenheitsmerkmalen zu Identifizierungs- oder Tat nachweiszwecken entsprechen (vgl. Rottrneier/Eckel, NStZ 2020, S. 193 (195)). Im weiteren Sinn kommt der Nutzung der festgestellten Fingerabdrücke zum Entsperren eines Mobiltelefons auch eine Identifizierungsfunktion zu (vgl. ebenda).

Landgericht Ravensburg, 2 Qs 9/23 jug

Das Gericht betonte, dass die Abnahme und Verwendung von Fingerabdrücken zum Entsperren des Mobiltelefons notwendig und mithin verhältnismäßig ist. Insbesondere bleibt das Grundrecht des Beschuldigten auf informationelle Selbstbestimmung hinter dem Interesse der Allgemeinheit an einer effektiven Strafrechtspflege zurück.

Die Identifizierungsfunktion wird hier im Unterschied zum klassischen Fall des § 81b StPO allerdings nicht unmittelbar zum Führen eines Tatnachweises verwendet, sondern als Zwischenziel zur Erlangung der für den Nachweis erforderlichen gespeicherten Daten. Inwieweit die Maßnahme notwendig für das Strafverfahren ist, ist eine Frage der noch zu thematisierenden Verhältnismäßigkeit. Die Verwendung von biometrischen Körpermerkmalen zur Entschlüsselung von Daten durch einen Abgleich mit den im Endgerät hinterlegten Schlüsselmerkmalen ist deshalb auch vom Wortlaut umfasst (vgl. ebenda; LG Baden-Baden Beschluss vom 26. November 2019 – 2 Qs 147/19; Goers in: BeckOK StPO, 46. Edition, 01.01.2023, § 81b Rn. 4.1).

Bei der Abwägung ist zu berücksichtigen, dass die Speicherung der Fingerabdrücke von nur kurzer Dauer ist und der Zweck der Maßnahme mit dem Entsperren des Mobiltelefons erreicht ist. Zudem ist zu beachten, dass es sich um eine offene Ermittlungsmaßnahme handelt und der Beschuldigte eine Tat vorgeworfen wird, die die Grenze eines Bagatelldelikts deutlich übersteigt.

Anmerkung:

Die Entscheidung behandelt die rechtliche Frage der biometrischen Entsperrung von Daten im Strafverfahren. Gemäß § 81b StPO ist es zulässig, Lichtbilder, Fingerabdrücke und ähnliche Maßnahmen beim Beschuldigten aufzunehmen, entweder zum Zweck des Strafverfahrens oder des Erkennungsdienstes. Der Beschuldigte muss nicht aktiv daran mitwirken, aber zwangsweise durchgeführte Maßnahmen dulden. Es ist jedoch umstritten, ob § 81b StPO auch zur Entsperrung biometrischer Verschlüsselungen verwendet werden kann. Die Ansichten in der Literatur sind geteilt. Der Normtext selbst bezieht sich eindeutig nicht auf biometrische Entschlüsselungsversuche. Einige argumentieren, dass § 81b StPO für die Entsperrung verwendet werden kann (so vertreten von Rottmeier/Eckel NStZ 2020, 193 (195 f.), während andere dies ablehnen (Nadeborn/Irscheid StraFo 2019, 274f.; Neuhaus, StV 7/2020, 489f.; Grzesiek/Zühlke, StV-S 3/2021, 117f.). Das Hauptziel der Norm ist die Identifizierung des Beschuldigten für die weitere Verwendung im Strafverfahren. Es ist jedoch fraglich, wie diese weitere Verwendung im Verfahren gestaltet werden kann und ob sie auch bei informationstechnischen Systemsperren relevant ist.

Obwohl das strafrechtliche Analogieverbot im Strafprozessrecht möglicherweise nicht gilt (umstr.), ist der Anwendungsbereich von § 81b StPO nicht eröffnet, da er ein anderes Ziel verfolgt. Auch wenn die nach § 81b StPO gestattete Entnahme von Fingerabdrücken eine scheinbare Nähe aufweist, ist zu bemängeln, dass die Fingerabdrücke zur Identifizierung des Beschuldigten und nicht zum Zugriff auf Daten erhoben werden. Es handelt sich um eine zweistufige Maßnahme, bei der das Gerät im ersten Schritt entschlüsselt wird und dann in einem zweiten Schritt auf die entsperrten Daten zugegriffen wird. Die klare Unterscheidung zwischen Identifikationsmaßnahmen und Beweissicherungsmaßnahmen ist ein zwingendes Erfordernis des Strafprozessrechts. Die nun entschlüsselten Daten dürfen nicht wie von vornherein unverschlüsselte Daten behandelt werden, da dies die betroffenen Rechtsgüter und Grundrechtspositionen nicht berücksichtigt.

Aus hiesiger Sicht fehlt es de lege lata weiterhin an einer Rechtsgrundlage für die zwangsweise biometrische Entsperrung; insbesondere § 81b StPO ermächtigt die Ermittlungspersonen nicht zum Auflegen des Fingers auf einen Fingerabdruckscanner unter Anwendung von unmittelbarem Zwang.

Posted by Dr. Mathias Grzesiek in Cybercrime, IT-Strafrecht, Rechtsprechung
EU Cyber Resilience Act: Ein Schritt in Richtung stärkere digitale Sicherheit

EU Cyber Resilience Act: Ein Schritt in Richtung stärkere digitale Sicherheit

Das Problem der Cyberkriminalität verursacht jährlich Kosten von 5,5 Billionen Euro, wie beispielsweise der Angriff auf eine Netzverwaltersoftware, der 500 Supermarktfilialen zur Schließung zwang, oder der Ransomware-Wurm WannaCry, der 200.000 Computer in 150 Ländern infizierte. Solche Cyberangriffe können den gesamten Binnenmarkt innerhalb von Minuten lahmlegen.

Die Lösung ist der Cyber Resilience Act (CRA), dessen Entwurf im September 2022 von der Europäischen Kommission angenommen wurde. Im Juni 2023 werden die Mitgliedstaaten im Rat der Telekommunikation darüber beraten, und eine Abstimmung im Plenum wird nach der Sommerpause erwartet. Um die Anforderungen des CRA erfolgreich umzusetzen, ist es ratsam, sich bereits jetzt darauf vorzubereiten.

Die Verordnung zielt darauf ab, Produkte mit digitalen Elementen sicherer zu gestalten und Hersteller dazu zu verpflichten, sich während des gesamten Lebenszyklus eines Produkts um dessen Sicherheit zu kümmern. Zudem sollen Bedingungen geschaffen werden, die es Nutzern ermöglichen, Cybersicherheit bei der Auswahl und Verwendung solcher Produkte zu berücksichtigen. Die Verordnung betrifft alle Software- oder Hardwareprodukte und deren Datenfernverarbeitungslösungen sowie deren Komponenten, die getrennt in Verkehr gebracht werden sollen.

Alle Hersteller, Bevollmächtigten, Einführer, Händler und natürliche oder juristische Personen, die das Produkt unter eigenem Namen oder Marke oder nach wesentlichen Änderungen in Verkehr bringen, müssen die Pflichten der Verordnung erfüllen.

Produkte mit digitalen Elementen dürfen nur auf den Markt gebracht werden, wenn sie den in Anhang I Abschnitt 1 der Verordnung aufgeführten Cybersicherheitsanforderungen entsprechen und ordnungsgemäß installiert, gewartet, verwendet und aktualisiert werden. Hersteller, Einführer und Händler haben unterschiedliche Pflichten in Bezug auf die Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung, Informationsbereitstellung und Überwachung. Darüber hinaus sind sie verpflichtet, bei festgestellten Schwachstellen oder Zwischenfällen entsprechende Maßnahmen zu ergreifen und diese innerhalb von 24 Stunden an die ENISA zu melden.

Bei Nichteinhaltung der Pflichten drohen Geldbußen von bis zu 15.000.000 Euro oder 2,5 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres. Bei Verstößen gegen andere Pflichten aus der Verordnung können Geldbußen von bis zu 10.000.000 Euro oder 2 % des weltweiten Jahresumsatzes verhängt werden. Bei der Mitteilung falscher, unvollständiger oder irreführender Angaben drohen Geldbußen von bis zu 5.000.000 Euro oder 1 % des weltweiten Jahresumsatzes.

Posted by Dr. Mathias Grzesiek in Cybersecurity
Die Entschlüsselung von Smartphones gegen den Willen des Beschuldigten

Die Entschlüsselung von Smartphones gegen den Willen des Beschuldigten

Zur Herausgabe eines Passworts ist der Beschuldigte eines Strafverfahrens aufgrund der Selbstbelastungsfreiheit bekanntlich nicht verpflichtet. Ist ein Smartphone mittels PIN-Code gesichert, muss dieses daher zunächst „geknackt“ werden, bevor Ermittlungsbehörden auf die Daten zugreifen können. Doch wie verhält es sich mit biometrisch gesicherten Endgeräten? Dürfen Ermittler das Smartphone eines Beschuldigten – gegen seinen Willen – durch das Auflegen seines Fingers oder durch das Vorhalten vor sein Gesicht entsperren? Sieht die StPO für die Überwindung biometrischer Barrieren eine Befugnisnorm vor?

Mit diesen und weiteren Fragen beschäftigen sich Daniel Zühlke und ich im aktuellen Heft der Spezialausgabe des Strafverteidigers.

Hier eine kurze Zusammenfassung des Beitrags:

Das Smartphone als »ultimatives Beweismittel«

Ein intensiv genutztes verschlüsseltes Smartphone wird durch die Ansammlung persönlicher Daten zum »ultimativen Beweismittel« für die Ermittlungsbehörden, da es das gesamte Leben des Beschuldigten dokumentiert und Aufschluss über Aufenthaltsorte, Kommunikationsinhalte, Kontakte, Gewohnheiten und sogar Schlafzeiten und -Qualität gibt. Die Auswertung stellt einen der tiefsten (offenen) Eingriff e in das Persönlichkeitsrecht des Beschuldigten dar. Smartphones unterliegen als Sonderfall informationstechnischer Systeme daher besonderem Schutz, da sie Daten über nahezu jeden Lebensbereich des Verwenders gesammelt bereithalten und der Nutzer auf die Vertraulichkeit dieser Daten schutzwürdig vertraut. Bereits die bloße Verschlüsselung intensiviert den Grundrechtseingriff bei einer Auswertung maßgeblich; das Vertrauen des Verwenders in seinen informationstechnischen Selbstschutz ist seinerseits rechtlich schützenswert.

Beschlagnahme und Auswertung des verschlüsselten Smartphones

Beschlagnahmen die Ermittlungsbehörden verschlüsselte Smartphones, die im Strafverfahren gegen den Willen des Beschuldigten verwertet werden sollen, ist eine Entschlüsselung notwendig, um die Daten auszulesen. Da Smartphones auf verschiedene Arten gesichert sein können, bestehen mehrere Optionen, die Schwierigkeiten teils praktischer, teils rechtlicher Natur unterliegen.

Keine Pflicht des Beschuldigten zur Mitteilung des Passworts

Die überwiegende Anzahl der Smartphones ist durch (mindestens) ein Passwort gesichert, das zum Entsperren des Gerätes benötigt wird. Hinzu kommt ein oftmals abweichender Code für die SIM-Karte. Nach dem Nemo-tenetur-Grundsatz, welcher zu den essentiellen Prinzipien eines rechtsstaatlichen Strafverfahrens gehört, darf niemand gezwungen werden, sich selbst zu belasten. Einem Beschuldigten steht es danach frei, sich zum Tatvorwurf zu äußern oder von seinem Schweigerecht Gebrauch zu machen. Auch im Übrigen darf er nicht gezwungen werden, aktiv an der  Aufklärung des Sachverhaltes mitzuwirken. Folglich ist er auch nicht zur Mitteilung eines Passworts bzw. PIN-Codes verpflichtet.

Ohne Kenntnis des Passworts bzw. PIN-Codes verbleibt für die Behörden nur die sehr zeitaufwendige und teure Möglichkeit des »Knackens« der Verschlüsselung durch systematisches und automatisiertes Durchtesten aller möglichen Kombinationen – i.d.R. durch Beauftragung eines entsprechenden Dienstleisters. Diese sog. Brute-Force-Methode hat zudem keine Erfolgsgarantie. Das Verfahren ist daher nach Möglichkeit durch wirksamere und zügigere Verfahrensweisen zu ersetzen, um das Ermittlungsverfahren effizienter zu gestalten und zugleich den Grundrechtseingriff bei der Beschlagnahme des Smartphones möglichst gering zu halten.

Keine Rechtsgrundlage für die zwangsweise biometrische Entsperrung

Fingerabdrucksensoren und die Entsperrung via Gesichtserkennung setzen sich am Smartphone-Markt immer weiter durch. Kaum ein modernes Mobiltelefon verfügt nicht mehr über die technische Möglichkeit der Fingerabdruckerkennung. Eine rechtlich brisante und höchstrichterlich noch nicht entschiedene Frage ist, ob Ermittlungsbehörden den Finger des Beschuldigten zwangsweise auf den Scanner legen, oder den Beschuldigten für eine Gesichts- oder Iriserkennung fixieren dürfen.

Nach der hier vertretenen Ansicht fehlt kann die Entsperrung des Smartphones nicht unter erzwungener Mitwirkung des Beschuldigten erfolgen. Dies gebietet der nemo-tenetur-Grundsatz. Den Ermittlungsbehörden stehen einzig die Durchsuchung gem. § 102 StPO zum Auffinden verschriftlichter Passwörter, sowie die Online-Durchsuchung gem. § 100b StPO zur Verfügung. Andernfalls verbleibt lediglich die Entsperrung im Wege der »brute-force«-Methode. Für das Auflegen des Fingers auf den Fingerabdrucksensor oder das Öffnen des Auges für einen Retinascan unter Anwendung von unmittelbarem Zwang hält die StPO keine hinreichende Rechtsgrundlage bereit.

*Update vom 19.10.2021* Den vollständigen Beitrag gibt es aktuell in der der Gratis-Ausgabe des StV Heft 3/2021.

Fußnoten

[1] Der vollständige Beitrag findet sich hier: Die Entschlüsselung von Smartphones gegen den Willen des Beschuldigten, StV-S 2021, Heft 3, S. 117 – 124 .

Posted by Dr. Mathias Grzesiek in IT-Strafrecht, Literaturempfehlung, Praxistipps