«Cyber-Crime wird staatlich geduldet»

3. Februar 2014

René Schuhmacher, plädoyer 1/14

Datenschutz · Jahrelang hat Rainer J. Schweizer, emeritierter Professor an der Universität St. Gallen, die Eidgenössische Datenschutzkommission präsidiert. Er kritisiert den Angriff von Staaten und Konzernen auf die Privatsphäre der Bürger scharf.

plädoyer: Möchten Sie in einer Welt leben, in der Ihre Gespräche und private Korrespondenz aufgezeichnet und Ihre Festplatte ohne Ihr Wissen durchwühlt werden können. Und Fotos oder Fingerabdrücke via Computerhersteller bei Behörden und andern Unbefugten landen?

Schweizer: Es gibt Korrespondenz, Telefonate und E-Mails, bei denen es mir egal ist, wenn andere Leute davon Kenntnis haben. Dann gibt es aber auch Situationen, die ich als hochbedenklich erachte. Das ist mir bei der Internetnutzung bewusst geworden: Ich habe neu das Betriebssystem Windows H auf meinem Laptop, bei dem man die Aufzeichnung der Abfragen unterdrücken kann. Bei jedem Neustart erscheint der Rapport dennoch wieder. Das System ist von vornherein auf Kontrolle ausgelegt und wird durch externe Zugriffe so genutzt. Die permanente Ausnützung meiner Kommunikation ist rechtswidrig.

Haben Sie ein Facebook-Profil?

Nein. Social Networks wie Facebook sind meist noch schlimmer, weil sie ohne Wissen und gar ohne Zustimmung der von Teilnehmern eingebrachten Dritten deren Informationen beliebig weitergeben. Nutzen dann die Geheim- und Staatsschutzdienste diese technischen Möglichkeiten, entsteht eine verheerende Situation. Man hat keine Garantie mehr, dass die Kommunikation nicht von Geheimdienstlern ausgespäht wird. In Heft 3/12 der Zeitschrift «Sicherheit & Recht» plädiere ich deshalb dafür, dass die Schweiz nicht wie geplant dem Nachrichtendienst mehr Macht gibt, sondern zuerst die freie Kommunikation sichert.

Das Schweizer Datenschutzgesetz soll persönliche Daten der Bevölkerung vor Missbrauch schützen. Das Gesetz interessiert doch weder die Staaten noch die Unternehmen, die mit den Daten Geld machen wollen.

Man kann tatsächlich sagen, das Datenschutzgesetz ist das Papier nicht mehr wert, auf dem es steht. Wir dürfen aber nicht resignieren, sonst unterstützen wir das Geschäft der multinationalen IT-Branche und die illegale Beschnüffelung durch die Nachrichtendienste.

Wer soll wirksame Instrumente gegen die unbeschränkte Datensammlerei von Behörden und Unternehmen entwickeln?

Auch wenn viele Kommunikationsnetze international funktionieren, kommen wir angesichts der fundamentalen Rechtsgütergefährdungen nicht darum herum, nationale Gesetze und Sicherheitsgarantien zu beschliessen. Damit erhalten wir zumindest in diesem Rechtsraum bestimmte Abwehrrechte und Garantien. Ich verstehe gut, dass die EU sagt, man müsse für die 28 Mitgliederstaaten einen einheitlich hohen Standard schaffen. Diese Datenschutzverordnung wurde im Spätherbst 2003 in der Rechtskommission des Parlaments beraten und soll nun verschärft werden. Aber es scheint, der Ministerrat bis hin zu Bundeskanzlerin Angela Merkel versuche, die Sache zu verzögern.

Kümmert das Microsoft?

Das amerikanische Verständnis im Datenschutz ist: «Jeder soll sich selbst wehren. Business geht vor.» Die Schweiz wird als Kleinstaat von den USA kein Datenschutz- und schon gar kein No-Spy-Abkommen erhalten. Es ist also unerlässlich, dem Wildwuchs von staatlichen und privaten Schnüffeleien Grenzen zu setzen und im europäischen und schweizerischen Recht gezielt Instrumente für den informationellen Persönlichkeitsschutz zu entwickeln. Ein praktisches Beispiel ist das Gegendarstellungsrecht. Mit Artikel 28g ZGB kann man direkt beim Medienunternehmen ein Begehren auf Gegendarstellung einer Aussage stellen, erst dann ruft man den Richter an. Im Datenschutzgesetz aber muss man erst ans Bezirksgericht und erhebliche Kostenvorschüsse leisten, um sein Recht geltend zu machen. Haben Anbieter wie Facebook keine Niederlassung in der Schweiz, sind kaum Gerichtsverfahren möglich. Dabei könnte der Gesetzgeber Anbieter von Telekomdiensten verpflichten, einen Sitz in der Schweiz zu bezeichnen.

Man kann direkt bei Google beantragen, einen Eintrag zu löschen, seit das Unternehmen einen Sitz in der Schweiz hat.

Es gibt in Deutschland Gerichtsurteile, die Google zwangen, Einträge zu löschen. In der Schweiz fehlen meines Wissens solche Entscheide bislang, und die Kosten wären wohl sehr hoch. Gut wäre deshalb ein gesetzliches Recht auf direkten Widerspruch, wie es das Datenschutzgesetz in Artikel 12 Absatz 2 litera b als zivilrechtlichen Anspruch vorsieht, ebenso das Recht auf Löschung. Staatliche Realakte wie falsche Warnungen einer Behörde kann man direkt anfechten, ohne zuerst eine Verfügung einzufordern. So sollte man auch direkt gegen private Internetrechtsverletzungen vorgehen können. Zudem muss das unbefugte Verwenden von Daten zur Identifikation einer Person bestraft werden, wie in Frankreich. Solche neuen Gesetze wären erhebliche Schritte. Ich spreche im Konjunktiv. Die Politik bewegt sich kaum. Es ist erschütternd.

Was lähmt die Politik? Das eigene Datensammelinteresse?

Trotz parlamentarischer Vorstösse zeigt der Bundesrat keine Initiative. Cyber-Crime wird staatlich geduldet. Es braucht eine nationale, eine europäische und eine Uno-Politik. Ich habe gewisse Hoffnung, denn Cyber-Crime macht der Wirtschaft zunehmend Sorgen.

Der Eidgenössische Datenschützer Hanspeter Thürsagt, die Wirtschaft sei Hauptziel der Datenspionage - in der Schweiz vorab Pharmakonzerne und Banken.

Er hat recht. Die Gefahr dahinter ist: Wenn die Wirtschaft ihre eigenen und die Geheimhaltungsinteressen der Kunden nicht mehr sicherstellt, verliert sie an Glaubwürdigkeit. Das ist ein erhebliches Kapital. Auch in anderen Bereichen wird schamlos geplündert, etwa in der Kunst. Diese kriminelle Situation erfasst alle Bereiche. Das Straf-, das Datenschutz- und das Urheberrecht reichen nicht.

Das scheint dem Bundesrat nicht bewusst zu sein. Er will E-Voting amtlich fördern. Ist künftig nachprüfbar, wer wie abgestimmt hat?

Ja. Gemäss Artikel 3 Staatsschutzgesetz (beziehungsweise BWIS) sind das Stimm-, Petitions- und Statistikgeheimnis unantastbar. Das soll nun relativiert werden.

Der deutsche Publizist Hans Magnus Enzensberger sprach in einer ARD-Sendung von post-demokratischen Zuständen. Der Bürger werde zum Untertan, er habe nichts mehr zu sagen. Was in Grundgesetzen stehe, werde nur noch gewährleistet, wenn es datenunabhängig funktioniere.

Ich bin nicht dafür, dass man versucht, die breiten Informationszugangsmöglichkeiten zu unterbinden. Aber es braucht erhebliche Korrekturen. Wikipedia etwa ist voller falscher Daten, wie sie der Brockhaus nie hatte. Vor allem habe ich den Eindruck, dass unser Staat wohl aus aussen- und wirtschaftspolitischen Gründen lieber zuschaut, wie von den USA, von China (dem neuen Freihandelspartner!) und anderen Staaten aus die Grundlagen einer offenen Demokratie unterminiert werden - zum Teil in Zusammenarbeit mit Schweizer Firmen und Amtsstellen. Doch wir müssen zuerst selbst erkennen, wie sich unser Kommunikationsverhalten fundamental verändert und wie sehr wir kulturellen Moden nachlaufen. Wir müssen uns bewusst sein, was Umberto Eco betonte: Das Internet

ersetzt nicht die Erkenntnisfähigkeiten und der Computer nicht das Denken. Wir müssen selbst wieder eine Kultur vertraulicher Information schaffen. Soll man Liebesbriefe oder Beileidsschreiben tatsächlich im Internet schreiben? Das ist falsch, sowohl wegen der fehlenden Vertraulichkeit als auch wegen des Verlusts an Respekt.

Sollten Ärzte, Anwälte oder Geistliche aufs Internet verzichten, um das Berufsgeheimnis zu wahren?

Eine gute Frage. Konsequent wäre, dass solche Personen diese Kommunikationskanäle nicht verwenden dürften. Wir müssen feststellen, dass die Kommunikation übers Internet miserabel ist. Wir müssen uns in der demokratischen Kommunikation Formen und Inhalt überlegen und uns nicht einfach mit Schutt und Geröll von den meist amerikanischen und chinesischen IT-Unternehmen abfertigen lassen. Das gilt nicht zuletzt auch für die Behörden.

Der Präsident des deutschen Anwaltsvereins, Professor Wolfgang Ewer, sprach im Zusammenhang mit der Totalüberwachung der Bürger von Schutzpflichten der Regierung. Sehen Sie auch eine Fürsorgepflicht des Staates?

Der Staat hat gemäss der Theorie des Europäischen Gerichtshofs für Menschenrechte, die das Bundesgericht zögerlich mitträgt, gewisse fundamentale Schutzpflichten. Doch sie bestehen nur bei schwerer Gefährdung. Man darf daraus nicht generelle Leistungspflichten und Rahmenbedingungen ableiten. Aber es fragt sich, ob in der elektronischen Kommunikation nicht schon eine schwere Gefährdung vorliegt, sodass sich Schutzpflichten über Feststellungsbegehren oder Strafanzeigen einfordern liessen.

Ein britischer Jurist hat in Strassburg gegen die Überwachung seines Internetverkehrs durch den britischen Staat geklagt. Geben Sie dieser Klage eine Chance?

Ja, ich gebe ihr eine Chance und bin gespannt, ob auch der EuGH in Luxemburg Schritte unternimmt. Es sind Strassburg und Luxemburg, die heute die EMRK und nach dem Lissaboner Vertrag nun die Grundrechts-Charta der EU wirklich ernst nehmen.Davon verspreche ich mir,dass die Gerichte die Unabhängigkeit haben, den Individualrechtsschutz in Europa zu sichern. Was das Bundesgericht in Lausanne anbelangt, bin ich mir nicht so sicher. Die informationsrechtlichen Urteile der letzten Jahre zeigten wenig Grundsätzlichkeit. Das Grundrecht auf Datenschutz hat das Bundesgericht allerdings als ungeschriebenes Grundrecht Anfang der 1990er-Jahre anerkannt. 1999 kam die neue Bundesverfassung, in der die persönliche Freiheit nicht sehr glücklich normiert wurde. Artikel 13 Absatz 2 BV (Datenschutz) ist missglückt. Da steht nur «Schutz vor Missbräuchen». Das heisst: der Betroffene trägt die Beweislast, dass Google seine Daten missbraucht hat. Das kann es ja wohl nicht sein. Es ist dringlich, dass die Schweiz beim Persönlichkeitsschutz Verfassungsergänzungen vornimmt.

Ist von Verwaltung und Politik Unterstützung zu erwarten? In Hamburg will die Initiative «Rechtsanwälte gegen Totalüberwachung» die Öffentlichkeit sensibilisieren, da die Anwaltschaft Verantwortung für Rechtsstaat und Demokratie trage. Stünden solche Ziele nicht auch rechtswissenschaftlichen Fakultäten in der Schweiz gut an?

Wir haben nun seit fünf Jahren eine Finanzmarkt- und Bankenkrise. Was da an gravierend Rechtsstaatswidrigem gelaufen ist, ist unglaublich, etwa mit rückwirkenden Strafbestimmungen, Missachtung der Unschuldsvermutung oder partieller Privatisierung der Amts- und Rechtshilfe. Ebenso sind die schweizerischen Reaktionen auf die fortgesetzten Verletzungen der Berufs- und Amtsgeheimnisse unzureichend. Etwa wenn heute Anwaltskanzleien keine andere Möglichkeit haben, als ihre Klienten zu warnen, dass die E-Mail-Kommunikation nicht vertraulich ist und man besondere Verschlüsselungstechniken verwenden sollte. Oder wenn der Bundesrat ein separates, schwerer angreifbares Kommunikationsnetz nur für die Bundesverwaltung plant. Es braucht wohl eine nationale Datenschutz- und Datensicherheitsstrategie. Sie sollte, um nur ein Beispiel zu nennen, die Swisscom und andere Telekomunternehmen dazu verpflichten, möglichst angriffssichere Hosts in der Schweiz zu führen und anderen Privatfirmen anzubieten.

Bei der schweizerischen Staatsschutzdiskussion ist ebenfalls ein Abbau von Verteidigungsrechten und strafprozessualen Garantien festzustellen. Auch da versucht der Staat weiter zu gehen, als es die Bundesverfassung vorsieht.

Ich habe in den 1990er-Jahren die These vertreten, dass der Bund in einem Kernbereich von gewalttätigem Extremismus oder Spionagebekämpfung eine gewisse Kompetenz haben soll. Das ist wohl weiterhin richtig. Aber die VBS Vorlage bringt eine extreme Ausweitung: Der Nachrichtendienst will nämlich präventiv-polizeilich weit über den Staatsschutz hinausgehen, inklusive Einsatz von neuen Zwangsmassnahmen - aber ohne offene gerichtliche Kontrolle. Es geht hier um ein Rechtsstaatsproblem: Geheimdienst und Staatsschutz ziehen ausserhalb aller justiziellen Verfahren im Inland und mit dem Ausland geheime Kommunikationen auf. Sie unterlaufen mit diesen Datenaustauschen jegliche gesetzliche Überprüfung. Der Verkehr mit ausländischen Diensten ist in der Schweiz bisher völlig regelfrei.

Wie soll man Nachrichtendienste kontrollieren?

Wir müssen uns eingestehen, dass die bisherigen Kontrollmechanismen in der Schweiz wie im Ausland kaum viel taugen - sogar die parlamentarische Kontrolle. Die für den Staatsschutz zuständige Delegation der GPK hat nun immerhin begonnen, Fälle anzusehen. Nun werden auch mal Akten angefordert. Das ist eine erfreuliche Entwicklung. Aber man wird dennoch an der Nase herumgeführt. Ich musste als Gerichtspräsident diese Nachrichtendienste 13 Jahre lang im Falle von Auskunftsgesuchen überwachen. Wenn jemand ein Auskunftsgesuch stellt, wird zuerst der Datenschutzbeauftragte beigezogen. Dann entscheidet heute ein Abteilungspräsident des Bundesverwaltungsgerichts, früher war es eine Kammer des schweizerischen Datenschutzgerichts. In jenen Jahren lagen dem Gericht praktisch nie dieselben Akten von einer Sitzung zur anderen vor - und kaum je dieselben Akten, die der Datenschutzbeauftragte Thür zuvor gesehen hatte! Ein direkter Zugriff auf die Dateien wurde nie zugelassen. Ein solcher Kontrollmechanismus ist untauglich.

Was muss sich ändern?

Es müsste ein kontradiktorisches Gerichtsverfahren geben mit mindestens einem unabhängigen Datenschutzanwalt mit Klagerecht. Ein Datenschutzbeauftragter ist in Ordnung, da er Protokollierungen und Löschungen in der Informatik kontrollieren kann.

Das heisst, man muss ein kontradiktorisches Verfahren schaffen, bei dem einzelne Betroffene ihre Rechte einklagen könnten?

Ja, und die parlamentarische Kontrolle müsste auch viel mehr eine Fallkontrolle sein. Sie müsste vor allem über jeden Einsatz von geheimen Zwangsmitteln informiert werden, so wie in Deutschland.

Schwebt Ihnen ein internationales Gericht vor, etwa bei der Uno, bei dem der Einzelne seine Rechte einklagen könnte?

Das wird nicht möglich sein, denn mindestens die Vetomächte USA, China und Russland sind dagegen. Dass die Uno die entscheidenden Schritte macht, ist unwahrscheinlich. Mein Vorschlag ist: Es sind gezielt Verteidigungsrechte für die einzelnen Menschen zu schaffen - im nationalen, europäischen und internationalen Recht. Darüber hinaus ist zu prüfen, welche Instrumente einsetzbar sind. Voraussetzung ist, dass der Bundesrat hinsteht und sagt, dass das Handeln von Unternehmen, anderen Staaten und eventuell gar von eigenen Dienststellen kriminell ist und dass unser Recht verbessert werden muss, um den Bürger zu schützen. Wie sich Behörden bislang vor der Verantwortung drücken, erinnert an die Zeit vor der Fichen-Affäre! Doch immer sind wir selber verantwortlich für unseren Privatsphärenschutz, und wir müssen die Situation auch kulturell überdenken.