Das britische Untersuchungsbefugnisgesetz 2016

Das Untersuchungsbefugnisgesetz 2016 ist ein umfassender rechtlicher Rahmen, der der britischen Nachrichtendienstgemeinschaft eine Reihe von Werkzeugen zur Überwachung und Datenerfassung bietet. Das Gesetz, oft als “Schnüfflercharta” bezeichnet, erlaubt es den Nachrichtendiensten, digitale Kommunikationen und Online-Aktivitäten legal zu überwachen. Das Gesetz ist hoch umstritten, Kritiker äußern besorgniserregende Bedenken hinsichtlich der Privatsphäre und der Menschenrechte. Befürworter argumentieren, dass es für die nationale Sicherheit im digitalen Zeitalter notwendig ist.

Dieser Artikel bietet eine tiefgreifende Untersuchung des britischen Untersuchungsbefugnisgesetzes 2016 – seine Entwicklung, Hauptbestimmungen, Schlüsselmerkmale und Rolle des Untersuchungsbefugniskommissars. Er analysiert auch Auswirkungen des Gesetzes auf Telekommunikations- und Internetdienstanbieter, die Reaktion der Cybersicherheitsbranche und die verschiedenen rechtlichen Herausforderungen und Kritiken, denen es gegenübersteht. Schließlich vergleicht der Artikel das Gesetz mit ähnlichen internationalen Gesetzen, untersucht seine Beziehung zur Datenschutz-Grundverordnung (DSGVO) und erörtert dessen Bedeutung für die nationale Sicherheit und den persönlichen Datenschutz.

Was ist das britische Untersuchungsbefugnisgesetz 2016?

Das Untersuchungsbefugnisgesetz 2016, das offiziell am 29. November 2016 in Kraft getreten ist, bildet die Grundlage des Überwachungsrechts in Großbritannien. Dieses Gesetz bietet einen rechtlichen Rahmen für die Durchführung von Überwachungs- und Datensammlungsaktivitäten der Nachrichtendienste im Interesse der nationalen Sicherheit.

Das Gesetz vereinheitlicht und erweitert die Befugnisse verschiedener vorheriger Gesetze und führt neue Maßnahmen wie die Verpflichtung für Internetdienstanbieter (ISP), die Verbindungsdaten der Benutzer zu speichern, ein. Nichtsdestotrotz wurde es aufgrund von Datenschutzbedenken einer breiten Kritik und rechtlichen Herausforderungen ausgesetzt.

Ursprung des Untersuchungsbefugnisgesetzes

Das Untersuchungsbefugnisgesetz 2016 entstand vor dem Hintergrund bedeutender politischer Veränderungen in Großbritannien. Die Snowden-Leaks im Jahr 2013, die Massenüberwachungsprogramme der US- und britischen Regierungen offenbarten, führten zu Diskussionen über Umfang und Rechtmäßigkeit solcher Praktiken.

Im Zuge einer wachsenden Forderung nach Transparenz schlug die britische Regierung ein neues Gesetz zur Vereinheitlichung und Klarstellung ihrer Untersuchungsbefugnisse vor. Dieser Vorschlag stieß auf Widerstand, wurde aber dennoch schließlich zum Untersuchungsbefugnisgesetz 2016.

Das britische Parlament spielte in der Entstehung des Untersuchungsbefugnisgesetzes eine entscheidende Rolle. Ein Gesetzesentwurf wurde einer Vorlegislaturprüfung durch einen gemeinsamen Ausschuss beider Parlamentskammern unterzogen, welcher auf der Grundlage von Expertenaussagen und öffentlichen Einreichungen Empfehlungen zur Verbesserung des Gesetzesentwurfs gab.

Die öffentliche Reaktion auf die Bildung des Gesetzes war gemischt. Viele lehnten es ab und äußerten Besorgnis über die Auswirkungen auf die Privatsphäre und das Potenzial für staatliche Übermacht. Öffentliche Kampagnen gegen das Gesetz fanden erhebliche Unterstützung, konnten aber letztendlich seine Verabschiedung nicht verhindern.

Andererseits begrüßten einige Gesellschaftsbereiche, die die Sicherheit über die Privatsphäre stellen, das Gesetz und glaubten, dass es die notwendigen Werkzeuge bietet, um modernen Bedrohungen entgegenzuwirken. Die Stärke dieser polarisierten Ansichten unterstreicht die Komplexität und die Herausforderungen des Überwachungsrechts.

Die Auswirkungen des Investigatory Powers Act auf den Datenschutz

Der Investigatory Powers Act hat erhebliche Auswirkungen auf den Datenschutz im Vereinigten Königreich. Das Gesetz verleiht verschiedenen Regierungsbehörden umfangreiche Überwachungsbefugnisse – einschließlich der Fähigkeit zur Sammlung und dem Zugriff auf persönliche Daten und Internetaktivitäten in großem Maßstab. Dies wirkt sich in mehreren Punkten auf den Datenschutz aus, einschließlich:

• Internetverbindungsdaten (Internet Connection Records – ICRs): Das Gesetz verpflichtet Kommunikationsdienstleister, ICRs für bis zu einem Jahr aufzubewahren. Diese Datensätze enthalten ein detailliertes Logbuch aller von Nutzern im Vereinigten Königreich besuchten Websites.
• Bulk-Datensammlung: Geheimdienste dürfen gesetzlich große Mengen an Daten aus zahlreichen Quellen sammeln, nicht nur von verdächtigen Verbrechern. Zu diesen Bulk-Daten zählen persönliche Details wie Finanzdaten, Kommunikationsdaten, Reisedaten und Gesundheitsdaten.
• Hackbefugnis: Das Gesetz legalisiert die Befugnis der Regierungsbehörden, in Geräte, Netzwerke und Dienste einzudringen. Dies kann die Überwachung einzelner Zielobjekte oder größeren Gruppen umfassen.
• Zugriff auf persönliche Daten ohne einen Durchsuchungsbefehl: Einigen Behörden ist es gestattet, auf persönliche Daten zuzugreifen, ohne einen Durchsuchungsbefehl einholen zu müssen, wodurch ein bedeutender rechtlicher Schutz umgangen wird.
• Datenaustausch: Das Gesetz ermöglicht auch den Austausch von Daten zwischen verschiedenen öffentlichen Stellen. Dadurch könnte sich die Anzahl der Personen, die Zugriff auf persönliche Daten haben, potenziell erhöhen.
• Umgehung der Verschlüsselung: Das Gesetz ermöglicht es der Regierung, Unternehmen gesetzlich dazu zu verpflichten, elektronischen Schutz zu entfernen. Dadurch wird im Grunde die Verschlüsselung umgangen und die Datensicherheit möglicherweise beeinträchtigt.

Hauptbestimmungen des Investigatory Powers Act

Das Gesetz bietet einen rechtlichen Rahmen für die Überwachung von Kommunikationen, das Hacking von elektronischen Geräten, die Sammlung von Bulk-Daten und die Nutzung von persönlichen Datensätzen. Es regelt auch die Verfahren zur Erlangung von Durchsuchungsbefehlen, den Schutz journalistischer und rechtlich privilegierter Kommunikationen und bindet Telekommunikationsbetreiber in die Anstrengungen zur nationalen Sicherheit ein. Die folgende Tabelle fasst die wichtigsten Bestimmungen des Gesetzes zusammen.

Überwachung der Kommunikation	Der Investigatory Powers Act von 2016 erlaubt die Überwachung der Kommunikation, wie z.B. Telefonanrufe, E-Mails und Online-Aktivitäten. Er verpflichtet Telekommunikationsunternehmen dazu, die “Kommunikationsdaten” der Nutzer für ein Jahr aufzubewahren und zugänglich für Sicherheitsbehörden zu machen.
Gezielte Übergriffe auf Geräte	Das Gesetz ermöglicht gezieltes und großflächiges Hacking von elektronischen Geräten durch Geheimdienste, wenn es für die nationale Sicherheit, die Verhinderung schwerer Straftaten oder den Schutz des wirtschaftlichen Wohlergehens des Vereinigten Königreichs als notwendig erachtet wird.
Bulk-Datensammlung	Das Gesetz enthält Bestimmungen für die Bulk-Sammlung von Kommunikationsdaten und anderen “relevanten Daten” durch Geheimdienste. Sie können große Mengen an Daten über Individuen sammeln, einschließlich persönlicher Details, Kommunikationsverläufe und Informationen über Online-Aktivitäten.
Aufsicht und Rechenschaftspflicht	Das Gesetz schafft eine Kontrollbehörde (Investigatory Powers Commissioner – IPC), die überwacht, wie die Strafverfolgungsbehörden ihre Befugnisse nach diesem Gesetz ausüben. Der IPC hat die Fähigkeit, Handlungen zu überprüfen, die Öffentlichkeit über die Nutzung dieser Befugnisse zu informieren und Änderungen vorzuschlagen.
Schutz vor Überwachung	Das Gesetz beinhaltet Schutzmaßnahmen für journalistische und rechtlich privilegierte Kommunikationen vor staatlicher Überwachung. Dies bedeutet, dass spezielle Prozeduren befolgt werden müssen, bevor auf diese Kommunikationen zugegriffen werden kann.
Durchsuchungsbefehle und Autorisierungen	Das Gesetz legt fest, wie Durchsuchungsbefehle für gezielte Überwachungen und Bulk-Sammlungen erteilt werden. Die Befehle müssen sowohl von einem Staatssekretär als auch von einem Justizkommissar genehmigt werden.
Nutzung von Kommunikationsdaten zur Identifizierung journalistischer Quellen	Den Strafverfolgungsbehörden ist es erlaubt, Kommunikationsdaten zur Identifizierung journalistischer Quellen zu nutzen, wenn dies zur Wahrung der nationalen Sicherheit oder zur Verhinderung einer Straftat als notwendig erachtet wird.
Internetverbindungsdaten	Das Gesetz verpflichtet Internetdienstanbieter dazu, Internetverbindungsdaten (ICRs) für bis zu einem Jahr aufzubewahren und diese für Strafverfolgungs- und Geheimdienste zugänglich zu machen.
Nutzung von Bulk-Personendatensätzen	Das Gesetz erlaubt den Sicherheitsbehörden die Verarbeitung von Bulk-Personendatensätzen. Diese können verschiedene Datenarten über viele Personen enthalten, von denen die meisten für die Sicherheitsdienste allerdings von keinem Interesse sind.
National Security Notices	Das Gesetz erlaubt es dem Staatssekretär, Verpflichtungen für Telekommunikationsbetreiber in Bezug auf die nationale Sicherheit auszugeben. Dazu kann z.B. die Bereitstellung technischer Hilfe oder Informationen für die Regierung gehören.

Rolle des Untersuchungsrichters des Gesetzes

Der Untersuchungsrichter des Gesetzes wird vom britischen Premierminister ernannt. Sein Mandat umfasst eine Vielzahl von Befugnissen, einschließlich der Prüfung und Genehmigung von Anordnungen zur Überwachung und Ausrüstungsstörung, Überwachung der Nutzung von Kommunikationsdaten und großen persönlichen Datensätzen sowie der Überprüfung der operationellen Aktivitäten von Sicherheits- und Nachrichtendiensten. Der Untersuchungsrichter ist auch befugt, Empfehlungen zu geben und Leitlinien zur Nutzung der Untersuchungsbefugnisse auszuarbeiten, um sicherzustellen, dass sie auf gesetzliche, notwendige und angemessene Weise genutzt werden.

Wie vergleicht sich das Untersuchungsbefugnisgesetz mit ähnlichen Gesetzen?

Das britische Untersuchungsbefugnisgesetz geht weiter als ähnliche Gesetze in Demokratien wie den USA, Australien oder Deutschland, wenn es um die Speicherung und den Zugang zu Daten geht. Werfen wir einen genaueren Blick auf die wichtigsten Ähnlichkeiten und Unterschiede zwischen dem Untersuchungsbefugnisgesetz 2016 und ähnlichen internationalen Gesetzen.

Das Untersuchungsbefugnisgesetz 2016 im Vergleich zum US-amerikanischen Patriot Act

Vergleichen wir die beiden Gesetze, hat der USA Patriot Act Bestimmungen für Überwachung und Sammlung von Kommunikationsdaten, ähnlich wie das Untersuchungsbefugnisgesetz. Das britische Gesetz erscheint jedoch invasiver, insbesondere aufgrund seiner Anforderungen an die Sammlung und Speicherung großer Datenmengen. Im Gegensatz zum Untersuchungsbefugnisgesetz zwingt das US-amerikanische Gesetz Unternehmen nicht, Zugänge zu verschlüsselten Kommunikationen zu schaffen.

Das Untersuchungsbefugnisgesetz 2016 im Vergleich zum australischen Assistance and Access Act

Der australische Assistance and Access Act ist dem Untersuchungsbefugnisgesetz ähnlich, da beide Gesetze den Zugang zu verschlüsselten Kommunikationen vorschreiben. Während das britische Gesetz jedoch die Einrichtung von “dauerhaften Fähigkeiten” zur Überwachung verlangt, sieht das australische Gesetz die Ausstellung von technischen Unterstützungsanfragen, -hinweisen oder verbindlichen Richtlinien vor, um die Industrie zur Unterstützung zu zwingen.

Das Untersuchungsbefugnisgesetz 2016 im Vergleich zum deutschen G10-Gesetz

Das deutsche G10-Gesetz, ähnlich wie das Untersuchungsbefugnisgesetz, erlaubt die Überwachung von Nicht-Staatsbürgern zu Zwecken der Auslandssicherheit. Es bietet jedoch keine umfangreichen Befugnisse zur Sammlung von großen Datenmengen. Das G10-Gesetz gewährt eher spezifischere Überwachungserlaubnisse und hat einen anderen Kontrollmechanismus, nämlich ein parlamentarisches Kontrollgremium anstelle eines Kommissars.

Das Untersuchungsbefugnisgesetz und die Datenschutz-Grundverordnung (DSGV)

Das Untersuchungsbefugnisgesetz bemüht sich, die Prinzipien der Datenminimierung, Zweckbindung und Sicherheit der DSGV zu erfüllen. Insbesondere schreibt es strenge Beschränkungen für die Verwendung der gesammelten Daten vor, begrenzt ihre Verwendung auf spezielle Ermittlungen und stellt sicher, dass die Daten sicher gespeichert sind. Darüber hinaus ist jeder Zugang zu gespeicherten Daten der Genehmigung des Kommissars unterworfen, um sicherzustellen, dass er mit den Prinzipien der DSGV übereinstimmt.

Bereiche des Konflikts zwischen dem Untersuchungsbefugnisgesetz und der DSGV

Trotz der Bemühungen, die Einhaltung zu gewährleisten, sind Konflikte zwischen dem Untersuchungsbefugnisgesetz und der DSGV bemerkenswert. Die Anforderung des Gesetzes an die massenhafte Datenerhebung und -speicherung scheint dem Grundsatz der Datenminimierung der DSGV zu widersprechen. Ebenso könnten die Bestimmungen des Gesetzes für den umfassenden Datenzugriff durch Nachrichtendienste möglicherweise den Standpunkt der DSGV in Bezug auf den Schutz der Privatsphäre und den Datenschutz verletzen.

Öffentliche Meinung und die Kontroversen um das Gesetz

Seit seiner Einführung hat das Untersuchungsbefugnisgesetz 2016 Kontroversen und Debatten ausgelöst. Befürworter argumentieren, dass das Gesetz die notwendigen Instrumente zur Bekämpfung des Terrorismus und schwerer Kriminalität bietet und es den Strafverfolgungsbehörden ermöglicht, mit dem technologischen Fortschritt Schritt zu halten. Kritiker hingegen behaupten, dass das Gesetz die persönlichen Freiheiten einschränkt, mit seinen weitreichenden Befugnissen und der wahrgenommenen mangelnden Kontrolle. Die öffentliche Meinung zu dem Gesetz ist geteilt, geprägt von Bedenken bezüglich Datenschutz, persönlicher Freiheiten und der Notwendigkeit solch großer Befugnisse im Namen der nationalen Sicherheit.

Kiteworks hilft Organisationen, die sensiblen Kundendaten privat zu halten

Compliance ist ein kritischer Aspekt des modernen Geschäftsbetriebs. Compliance hat viele Gesichter: staatlich, national, regional und branchenspezifisch. Während diese Quellen variieren können, bleibt die zugrundeliegende Anforderung immer dieselbe: den Datenschutz des Kunden gewährleisten und dies gegenüber den Regulierungsbehörden nachweisen können. Unternehmen müssen die Compliance erfüllen oder mit hohen Strafen und Bußgeldern rechnen. Unternehmen weltweit, insbesondere in stark regulierten Branchen wie Finanzdienstleistungen und Gesundheitswesen, haben die regulatorische Compliance als Kostenfaktor akzeptiert, sehen darin aber auch eine Möglichkeit, die Kundenloyalität aufzubauen und zu erhalten.

Das Beantworten von Anfragen und Vorladungen der Strafverfolgungsbehörden ist umstrittener, da Unternehmen in der Regel daran gehindert werden, ihre Kunden darüber zu informieren, dass eine Strafverfolgungsbehörde nach ihren Aufzeichnungen gefragt hat. Telekommunikations-, soziale Medien- und Cloud-Speicheranbieter sind häufige Ziele von Strafverfolgungsbehörden und sie sind verpflichtet, Vorladungen Folge zu leisten. Cloud-Speicheranbieter, die auf Mehrmandanten-Basis arbeiten, verwalten die Verschlüsselungsschlüssel ihrer Kunden und können daher Zugang zu Kundendaten gewähren. Wenn eine Strafverfolgungsbehörde Kundendaten per Vorladung anfordert, sind Cloud-Speicheranbieter verpflichtet, diese herauszugeben.

Das Private Content Network von Kiteworks konsolidiert Drittanbieter-Kommunikationskanäle wie E-Mail, sichere Dateifreigabe, sichere Dateiübertragung (MFT) und SFTP und schützt sie mit einem gehärteten virtuellen Gerät, das die Angriffsfläche für diese anfälligen Anwendungen effektiv verkleinert. Der sensible Inhalt, den Organisationen mit Kiteworks teilen, wird durch zahlreiche Sicherheitsfunktionen geschützt, darunter granulare Zugriffskontrollen, automatische Ende-zu-Ende-Verschlüsselung, Sichtbarkeit aller Dateiaktivitäten —wer hat was, wann und wie an wen gesendet—, Sicherheitsintegrationen mit ATP, DLP, CDR und anderen Lösungen, Multifaktor-Authentifizierung und umfassende Prüfprotokolle.

Kiteworks bietet auch eine Vielzahl von sicheren Bereitstellungsoptionen, einschließlich On-Premises, privat, Hybrid und FedRAMP Virtual Private Cloud. Die Kunden verwalten ihre Verschlüsselungsschlüssel selbst, so dass weder Strafverfolgungsbehörden noch Kiteworks Zugang zu ihren Inhalten haben.

Um mehr über das Private Content Network von Kiteworks und seine umfassenden Datenschutzfunktionen zu erfahren, vereinbaren Sie noch heute eine individuelle Demo.

 

Zurück zum Risiko- & Compliance-Glossar