43Die Vermittler

Wer bringt mich ins Netz?

Beispiel:

Herr Schneider lebt in Berlin und steht mit seinem in Karlsruhe wohnenden Sohn in regelmäßigem Kontakt über WhatsApp. Er fragt sich, ob sein Internetprovider dabei nur die zur Übertragung notwendigen Informationen herausfiltern oder die Datenpakete auch inhaltlich näher untersuchen kann.

Access- und Networkprovider

Sog. Access- und Networkprovider vermitteln den Zugang zum Internet. Sie stellen keine eigenen Dienste bereit, sondern eröffnen lediglich den Zugang zu fremden Informationen. Für zivil-, straf- oder öffentlich-rechtliche Rechtsverstöße sind sie daher nicht verantwortlich (§ 8 TMG).

Während sich der Accessprovider als Anbieter von Kommunikationsdiensten in direktem Kontakt mit den Endkunden befindet (etwa Telekom oder Unitymedia), stellt der Networkprovider die technische Infrastruktur zur Übermittlung der Webinhalte zur Verfügung und steht mit dem Nutzer nur mittelbar in Verbindung.

Urheber der von den Access- und Networkprovidern übermittelten Inhalte sind die sog. Content-Provider (Inhalteanbieter). Weil sie eigene Informationen zur Nutzung bereithalten, trifft sie im Falle von Rechtsverstößen die volle rechtliche Verantwortung (§ 7 Abs. 1 TMG). Hierin liegt der maßgebliche 44Unterschied zu den Access- und Networkprovidern, die aufgrund ihrer Mittlerfunktion von einer Haftung für rechtswidrige Inhalte befreit sind.

Achtung, die Provider lesen mit

Um die jeweiligen Nutzerdaten an das gewünschte Ziel weiterleiten zu können, bedienen sich die Provider der sog. Packet Inspection. Mit Hilfe dieser Technologie wird der sog. Header, also der Kopf eines Datenpakets, herausgefiltert. Hieraus lässt sich entnehmen, von welchem Nutzer die Daten stammen und an welchen Zielort sie übermittelt werden sollen.

Was ist Deep Packet Inspection?

Die sog. Deep Packet Inspection (DPI) (tiefgreifende Paketanalyse) ermöglicht den Providern darüber hinaus einen Zugriff auf die Dateninhalte. Dabei handelt es sich um eine Überwachungs- und Filtertechnologie, mit der die Provider auf die von den Nutzern übertragenen Datenpakete einwirken können, indem sie inhaltlich verändert, umgeleitet, vollständig zurückgehalten oder gespeichert werden. Herrn Schneiders WhatsApp-Nachrichten können also grundsätzlich gelesen, ausgewertet und schlimmstenfalls sogar manipuliert oder unterdrückt werden.

Für die Zwecke der Netzwerksicherheit und des Netzwerkmanagements kann ein solches Eingreifen in den Datenverkehr durchaus von Nutzen sein. Auf diese Weise können Angriffe auf das Netz (etwa durch gefälschte Webseiten oder E-Mails) verhindert oder der Zugang zu 45rechtswidrigen (z. B. kinderpornographischen) Internetseiten blockiert werden. Zugleich kann die Überlastung bestehender Übertragungskapazitäten vermieden werden, indem bestimmte Dienste, wo es technisch geboten ist, mit verminderter Geschwindigkeit übertragen werden.

Wesentliches Ziel der DPI ist es jedoch, die Vorlieben und Interessen der Provider-Kunden zu Werbezwecken herauszufinden. Dabei wird das Surfverhalten der Nutzer (z. B. E-Mail-Verkehr, besuchte Webseiten) auf die Verwendung bestimmter Schlüsselwörter überprüft. Diese Erkenntnisse können anschließend für den Einsatz personalisierter Werbung genutzt werden (sog. Behavioral Targeting).

Auch die staatlichen Geheimdienste haben grundsätzlich die Möglichkeit, im Wege der DPI auf unverschlüsselte Inhalte aus E-Mails, Internettelefonie oder sonstigen Online-Diensten zuzugreifen. Zudem kann die DPI zur Vorratsdatenspeicherung eingesetzt werden.

Deep Packet Inspection und Datenschutz

Den Reglementierungen des Datenschutzrechts ist die DPI nur dann unterworfen, wenn personenbezogene Daten überwacht oder gefiltert werden. Dies sind solche Angaben, anhand derer eine Person eindeutig bestimmt werden kann oder zumindest bestimmbar ist. Könnten die Provider etwa bestimmte über WhatsApp geführte Dialoge eindeutig Herrn Schneider zuordnen, wäre der Personenbezug gegeben. Gleiches würde dann gelten, wenn Herr Schneider den Providern (noch) nicht als konkreter Nutzer von WhatsApp bekannt wäre, eine Identifizierung anhand der über ihn gesammelten Daten aber möglich wäre.

46Sind personenbezogene Daten betroffen, hängt die datenschutzrechtliche Zulässigkeit der DPI maßgeblich davon ab, zu welchem Zweck sie eingesetzt wird. Sofern die zu übermittelnden Inhalte durchleuchtet werden, um sog. Schadprogramme, die auf dem Computer des Nutzers schädigende Funktionen ausführen, herauszufiltern (Netzwerksicherheit), besteht ein berechtigtes Interesse der Provider an der Datenerhebung. Die Gewährleistung der Netzwerksicherheit überwiegt dabei die datenschutzrechtlichen Belange des einzelnen Nutzers.

Geht es den Providern indessen darum, gewisse, besonders datenintensive Dienste zu erkennen und sodann zu verlangsamen, um die allgemeine Übertragungslast zu reduzieren (Netzwerkmanagement), stellt dies grundsätzlich keine Berechtigung zur Nutzung der DPI dar. Etwas anders gilt jedoch dann, wenn das Bremsen bestimmter Datenpakete technisch erforderlich ist, um sensiblere Daten ordnungsgemäß übertragen zu können.

Wird die DPI genutzt, um individuell auf den Nutzer abgestimmte Werbung zu platzieren, ist dies mit dem Datenschutzrecht insoweit vereinbar, als die jeweilige Person als solche nicht identifizierbar ist. Um zielgerichtete Anzeigen schalten zu können, ist eine namentliche Erfassung des Nutzers auch nicht erforderlich. Vielmehr genügt es, ihn anhand seiner Internetaktivitäten in bestimmte werberelevante Interessenbereiche einzuordnen.

Allerdings sind die Provider nicht berechtigt, Daten der Nutzer im Wege der Vorratsdatenspeicherung zu erfassen. Ein deutsches Gesetz zur Legitimation der Vorratsdatenspeicherung ist auch künftig nicht zu erwarten, weil sich 47ein solches Gesetz an den Vorgaben der europäischen Vorratsdatenspeicherungsrichtlinie orientieren müsste. Diese Richtlinie hat der Europäische Gerichtshof im April 2014 allerdings für unverhältnismäßig und damit ungültig erklärt.

Mit Blick auf die nähere Zukunft ist anzunehmen, dass der Einsatz der DPI stärker gesetzlich beschränkt werden wird. Um einer technisch nicht gerechtfertigten Diskriminierung von Diensten sowie der Überwachung der Nutzer entgegenzuwirken, hat die neue Bundesregierung im Jahr 2013 festgelegt, die DPI zu diesen Zwecken gesetzlich zu untersagen. In welchem Umfang die entsprechende Filtertechnik dann verboten sein wird, kann allerdings erst anhand eines konkreten Gesetzesentwurfs beurteilt werden.

Praxistipp: Verschlüsseln Sie Ihre Daten

Effektiven Schutz vor der Datenüberwachung durch DPI bieten sog. Virtual Private Networks (VPN). Dabei handelt es sich um private Netzwerke, die die Daten des Nutzers vor der Übertragung verschlüsseln und an der jeweiligen Zieladresse wieder entschlüsseln. Während der Übermittlung werden die Daten durch eine Art Tunnelsystem geschleust, welches einen unbefugten Zugriff von außen (etwa durch die Provider) verhindert.

Eine Übersicht über kommerzielle VPN-Anbieter mit entsprechendem Leistungs- und Preisvergleich finden Sie unter:

http://www.vpnanbieter.net/

http://www.vpnvergleich.net/.

Eine Übersicht über kostenfreie VPN-Anbieter finden Sie unter: http://www.vpnvergleich.net/#kostenlos.

48Suchmaschinen und Datenschutz

Beispiel:

Frau Müller möchte sich im Internet über verschiedene Singleportale informieren. Hierfür nutzt sie eine Suchmaschine und gibt die Begriffe „Partnersuche in München“ ein. Kann Frau Müller verhindern, dass der Suchmaschinenbetreiber ihre Suchanfrage speichert?

Was wird gespeichert?

Wer die Dienste einer Suchmaschine in Anspruch nimmt, muss damit rechnen, dass der jeweilige Betreiber die übermittelten Daten, also die Internet Protocol (IP)-Adresse des Nutzers, die von ihm verwendeten Suchbegriffe und angeklickten Suchergebnisse, für eine gewisse Zeit speichert. In welchem Umfang dies geschieht, hängt davon ab, welche Dienste konkret genutzt werden. Anders als bei sog. Sign-In-Diensten wie der Erstellung eines E-Mail-Accounts (etwa „Gmail“ von Google) bedarf es bei der Suchanfrage von Frau Müller keiner Zugangskennung unter Angabe von personenbezogenen Daten (z. B. Name oder Telefonnummer). Damit ist sie dem Suchmaschinenbetreiber zwar nicht namentlich bekannt. Jedoch kann Frau Müller im Hinblick auf sämtliche von ihrem Computer gestellten Suchanfragen als eine bestimmte Nutzerin identifiziert werden.

49Wie wird gespeichert?

Sobald Frau Müller die Website der gewünschten Suchmaschine aufruft, wird der von ihr genutzte Computer anhand seiner individuellen IP-Adresse erkannt. Dies ist erforderlich, damit die angeforderten Daten (z. B. die Ergebnisse einer Suchanfrage) an die jeweilige Zieladresse versendet werden können. Allerdings wird die IP-Adresse von den Suchmaschinenbetreibern auch über die Dauer der konkreten Suchanfrage hinaus protokolliert und über einen gewissen Zeitraum hinweg gespeichert.

Welche Suchanfragen ein Nutzer stellt und welche Ergebnistreffer er auswählt, wird mithilfe der sog....