Bundesverfassungsgericht: Posteo muss IP-Adresse speichern

Ermittler wollten von Posteo die IP-Adressen eines Verdächtigen haben. Doch der E-Mail-Anbieter speichert diese Daten gar nicht. Muss er aber können, hat nun das Verfassungsgericht entschieden.

Datensparsame E-Mail-Anbieter wie Posteo müssen die IP-Adressen ihrer Kunden an Strafverfolger herausgeben können, auch wenn sie diese gar nicht erheben wollen. Mit dieser Entscheidung hat das Bundesverfassungsgericht eine Verfassungsbeschwerde von Posteo abgewiesen.

In der Pressemitteilung des Gerichts heißt es dazu: "Es verstößt nicht gegen das Grundgesetz, dass der Anbieter eines E-Mail-Dienstes im Rahmen einer ordnungsgemäß angeordneten Telekommunikationsüberwachung verpflichtet ist, den Ermittlungsbehörden die IP-Adressen der auf ihren Account zugreifenden Kunden auch dann zu übermitteln, wenn er seinen Dienst aus Datenschutzgründen so organisiert hat, dass er diese nicht protokolliert".

Posteo hatte sich selbst vom Zugriff auf IP-Adressen ausgesperrt

Ausgangspunkt war die 2016 vom Amtsgericht Stuttgart angeordnete Telekommunikationsüberwachung eines Verdächtigen, der in Drogenhandel und illegalen Waffenbesitz verstrickt gewesen sein soll. Posteo wurde damals für insgesamt vier Monate verpflichtet, alle gespeicherten sowie weiter anfallende Daten des Betroffenen herauszugeben. Darunter auch die IP-Adressen, über die er sich mit Posteos Servern verbindet. Mithilfe dieser Adresse wollten die Ermittler den Verdächtigen selbst oder zumindest den Anschlussinhaber beim entsprechenden Internetprovider identifizieren.

Posteo erklärte jedoch, sein System so gestaltet zu haben, dass IP-Adressen gar nicht erst erhoben, sondern automatisch verworfen und durch andere ersetzt würden. Auf diese Weise habe sich Posteo selbst vom möglichen Zugriff auf die echten IP-Adressen ausgeschlossen. Mit dem Ansatz wirbt die Firma explizit um Kunden: Man biete anonyme Postfächer "für alle, die genug von der allgegenwärtigen Überwachung im Internet haben". Eine Pflicht, "technische Vorkehrungen zur Erhebung von Daten zu treffen, die allein für Überwachungszwecke benötigt würden und während des üblichen Geschäftsbetriebes nicht anfielen", erkannte Posteo nicht.

Die Staatsanwaltschaft war anderer Ansicht. Paragraf 100b der Strafprozessordnung (StPO) und Paragraf 110 des Telekommunikationsgesetzes (TKG) würden Posteo zur Mithilfe bei der Überwachung verpflichten, konkretisiert in weiteren Verordnungen und Technischen Richtlinien. "Auf eigene Kosten technische Einrichtungen zur Umsetzung gesetzlich vorgesehener Maßnahmen zur Überwachung der Telekommunikation vorzuhalten und organisatorische Vorkehrungen für deren unverzügliche Umsetzung zu treffen", heißt es im TKG dazu wörtlich.

Umbau würde laut Posteo mindestens 80.000 Euro kosten

Posteo wehrte sich weiter mit juristischen Mitteln und argumentierte unter anderem, ein Zwang zum Umbau seines Systems sei rechtswidrig, würde zwölf Monate dauern und mindestens 80.000 Euro kosten. Das sei unverhältnismäßig viel. Das Landgericht Stuttgart als nächsthöhere Instanz wies das zurück.

Mit einer Verfassungsbeschwerde wollte Posteo schließlich feststellen lassen, dass der Zwang zum Umbau der technischen Infrastruktur einer Verletzung der Berufsausübungsfreiheit (Artikel 12 Grundgesetz) und des Rechts auf freie Entfaltung der Persönlichkeit (Artikel 2 Grundgesetz) entspricht. Das Bundesverfassungsgericht hat die Beschwerde nun als "zum Teil bereits unzulässig, im Übrigen jedenfalls unbegründet" zurückgewiesen, wie es in der Entscheidung selbst heißt.

Der Eingriff in die Berufsausübungsfreiheit sei von der StPO und ihren konkretisierenden Vorschriften durchaus gedeckt und nicht verfassungswidrig. Zudem werde "dem Beschwerdeführer eine sinnvolle Ausübung seines Berufs nicht faktisch unmöglich gemacht". Zwar sei das Anliegen von Posteo, ein datensparsames und dadurch für Nutzer attraktives Geschäftsmodell anzubieten, "grundsätzlich durchaus schützenswert". Das entbinde die Firma jedoch nicht von ihren Pflichten zur Unterstützung rechtmäßiger Überwachungsmaßnahmen.

Eine Sprecherin von Posteo zeigt sich auf Anfrage von SPIEGEL ONLINE "sehr überrascht von dieser Entscheidung". Sie kehre die bisherige Auskunftssystematik um: "Bisher war unbestritten, dass sich die Auskunftspflicht nur auf Daten bezieht, die bei Telekommunikationsanbietern tatsächlich auch vorliegen. Nun sollen Unternehmen Daten offenbar auch alleinig für Ermittlungszwecke erheben - Daten, die beim Anbieter nachweislich so gar nicht anfallen und die er im Geschäftsbetrieb auch nicht benötigt".

Bürgerrechtler: "Keine Vorratsdatenspeicherung durch die Hintertür"

Posteo sieht sich von einer Stellungnahme der damaligen Bundesbeauftragten für den Datenschutz, Andrea Voßhoff, bestätigt. Die hatte von einem "Präzedenzfall" geschrieben und davor gewarnt, Anbieter zur Speicherung von Daten, deren einziger Nutzungszweck die Strafverfolgung ist, zu verpflichten.

Der Verfassungsrechtler und Bürgerrechtler Ulf Buermeyer findet hingegen, man solle die Entscheidung des Bundesverfassungsgerichts "nicht überbewerten". Hier werde "keine Vorratsdatenspeicherung durch die Hintertür" eingeführt. Denn es gehe erstens ausschließlich um IP-Adressen, die während des im Überwachungsbeschluss festgelegten Zeitraum anfielen, und zweitens um die ganz spezielle Systeminfrastruktur von Posteo. Eine generelle Pflicht zur Speicherung von IP-Adressen ergebe sich daraus nicht. Daher sei die Entscheidung "nicht skandalös, auch wenn hier ein Provider mit Mehraufwand belastet wird, der sich für den Datenschutz seiner Kunden einsetzt".

Posteo kündigte eine "architektonische Lösung" an, die "die Sicherheit und die Rechte unserer Kundinnen und Kunden nicht beeinträchtigt. Wir werden nicht damit beginnen, die IP-Adressen unserer unbescholtenen Kundinnen und Kunden zu loggen. Ein konservativer System-Umbau ist für uns keine Option."

Ob die Herausgabe der IP-Adressen im vorliegenden Fall überhaupt etwas gebracht hätte, ist unklar. Der Verdächtige könnte seine IP-Adresse zum Beispiel mithilfe des Tor-Browsers verschleiert haben. Dann hätte die Polizei den Anschlussinhaber nicht ermitteln können.
spiegel.de