Das Bundesverfassungsgericht hat heute einen Beschluss des 2. Senats veröffentlicht, in dem sich dieser mit den Anforderungen an die Beschlagnahme von Datenträgern und darauf gespeicherter Daten auseinandergesetzt hat.

Hintergrund des Verfahrens ist eine Verfassungsbeschwerde einer Rechts- und Steuerberatungskanzlei, deren Kanzleiräume durchsucht und Datenträger beschlagnahmt wurden. Der Senat sieht in der Durchsuchung und Sicherstellung des vollständigen Datenbestands von Berufsgeheimnisträgern einen erheblichen Eingriff in das Recht auf informationelle Selbstbestimmung, dem durch die strikte Beachtung des Verhältnismäßigkeitsgrundsatzes und durch die Beachtung von Verfahrensregelungen begegnet werden müsse.
Ein Datenzugriff weise wegen der Vielzahl verfahrensunerheblicher Daten eine
Streubreite auf und beziehe zahlreiche Personen in den Wirkungsbereich
ein, die in keiner Beziehung zu dem Tatvorwurf stehen. Daher müsse der
Zugriff auf für das Verfahren bedeutungslose Informationen im Rahmen des
Vertretbaren vermieden werden. Bereits im Verfahrensstadium der
Durchsicht sei deshalb eine sorgfältige Sichtung und Trennung der Daten je nach ihrer Verfahrensrelevanz geboten.

Eine kurze Zusammenfassung der Entscheidung kann auch der entsprechenden Pressemitteilung des BVerfG entnommen werden.

Das Deutsche Notarverzeichnis 2005 ist erschienen und kann u.a. auf den Seiten der Bundesnotarkammer bestellt werden.

Gestern fanden in Sophia-Antipolis (Nizza/Frankreich) die Feierlichkeiten zum 10-jährigen Bestehen von W3C in Europa. Bemerkenswert von der Perspektive eines Blawgers waren die Vorträge von Isabelle Falque-Pierrotin (Forum des Droits sur Internet) und Peter Brown vom Europäischen Parlament. Die Vorträge sind vom Programm aus verlinkt. Falque-Pierrotin sprach über den teilweise gescheiterten Versuch der Internet-Regulierung und die Erfahrungen des Forum des Droits sur Internet, die einen neuen Weg aufzeigen könnten.

Die Zahl der Phishing-E-Mails nimmt beständig zu. Das Phänomen wird weltweit zum Problem. Die Schäden sind so enorm, dass die Politik in aller Welt beginnt, sich mit Phishing zu beschäftigen; leider nicht koordiniert.

Doch wird Phishing inzwischen auch zum Politikum. So fordert Martina Krogmann (CDU) nun, das wer Phishing-Mails aussendet, selbst strafbar ist, weil erst der Vermögensschaden zu einer Strafbarkeit führe. Der Satz "Diese hinterlistige Abzocke im Internet ist hochkriminell und muss sofort aufhören" lässt allerdings schon die Ungegorenheit der Forderung erkennen. Insbesondere verkennt Frau Krogmann die internationale Dimension des Phishing, die sich nicht mit solchen Parolen bekämpfen lässt.

Die Bundesnotarkammer schlägt vor, den Geschäftspartner zu identifizieren und dazu die qualifizierte elektronische Signatur breit anzuwenden. Wenn Online-Banking aber von der qualifizierten elektronischen Signatur abhängig wäre, dann hätten wir noch kein Online-Banking, weil die Technologie nicht im Browser implementiert ist. Darüber hinaus bietet die qualifizierte elektronische Signatur im Falle des Phishing keinen über SSL hinausgehenden Schutz, denn auch SSL verifiziert (auch basierend auf X.509v3), ob die Daten tatsächlich von dem Rechner kommen, der als der Bank-Rechner bezeichnet wird. Der Irrtum des Phishing-Opfer ist also auch mittels SSL aufzulösen. Das Problem ist vielmehr, dass das Phishing-Opfer gerade dies nicht tut.

Carola Ernesti meint, § 202a StGB reiche aus. Es gehe nur noch darum, dass der Versuch in § 202a StGB nicht strafbar sei. Der Wortlaut ist zwar passend, aber das Kriterium einer Überwindung eines Zugangshindernisses greift nicht, denn das Phishing-Opfer gibt ja die Daten freiwillig ein. Es findet gerade kein Bruch von Gewahrsam statt.

Rolf Jürgen Franke versucht es mit den §§ 269, 270 StGB, denn der Versuch ist strafbar. Dies hat viel für sich, denn der Phisher benutzt die abgefangen Credentials (Pin/Tan) um sie an eine neue Erklärung anzuhängen. Die §§ 269, 270 StGB sind parallel zum Urkundenbegriff ausgestaltet. Die durch das Credential gesicherte Erklärung kommt gerade nicht vom Empfänger. Aber auch hier gilt, dass die Zusendung der Phishing-E-Mail eine reine Vorbereitungshandlung ist.

Ich bin der Meinung, dass es sich letztlich um einen Betrug und/oder Computerbetrug (§§ 263, 263a StGB) handelt. Hier allerdings fehlt es an der Unmittelbarkeit zwischen Täuschungshandlung und Vermögensverfügung, da die Tat des § 269 StGB dazwischen liegt. Die Unmittelbarkeit wurde aber eingeführt, um den Tatbestand des versuchten Betruges nicht uferlos werden zu lassen. Das Kriterium der Unmittelbarkeit könnte man für anachronistisch halten, denn es bewirkt letztlich, dass aberwitzige Betrügereien mit vielen Zwischenhandlungen und einem grossen Vertrauen auf die Dummheit der Menschen (® Einstein) nicht erfasst werden können. Lässt man also die Unmittelbarkeit weg, dann setzt der Phisher mit dem Zusenden der E-Mail schon zu einem Betrug an. Damit ist man aber bei einer Abwägung zwischen zwei Übeln: Eine Aufweichung der Unmittelbarkeit führt zur ungewollten Kriminalisierung vieler Handlungen, aber sie wird wohl kaum eine Phishing-Mail verhindern.

Der Kernpunkt des Phishing liegt aber eindeutig in der Täuschung mit anschliessender Vermögensschädigungsabsicht. Phishing ist dabei die optimale Ausnutzung einer Schwäche in der Benutzerführung von Browsern und in HTML - Mails. Es nutzt Schwächen der internationalized domain names (IRI), indem das russische A zwar eine andere Domain ergibt, aber im Browser als A dargestellt wird. Phishing nutzt die Tatsache, dass die Browser auch dann ein gelbes geschlossenes Schloss anzeigen, wenn der Browser den von Verisign zertifizierten Server des Phishers besucht, denn es wird der Name nicht angezeigt. Es nutzt Fehler in der Gestaltung von Bankseiten, denn dort werden Frames verwendet und man kann die eigene Seite in diese Frames hineinladen. Da der Focus auf einen Bank-Frame gesetzt wird, zeigt der Browser eine valide SSL-Verbindung an. Erst wenn man in das Phishing-Fenster klickt, verschwindet die Sicherung, aber wer merkt das noch?

Letztlich handelt es sich also um ein Problem der Browser und Mail-Software. Dazu gibt es auch schon einige Initiativen. Die Prominenteste unter ihnen ist wohl Antiphishing.org. Dort kann man sehen, dass die technischen Probleme rund um das Phishing von einer sehr breiten Koalition von Firmen und Organisationen angegangen wird. Wenn die Politik helfen will, dann soll sie den Universitäten Geld geben, damit die Unis und ihre Entwickler und Studenten an der Lösung teilnehmen können. Code is Law sagt Lessig und er meint: Die Technik hat ein Problem geschaffen und kann es auch wieder beseitigen. Eine deutsche Beteiligung kann deutsche Aspekte in die Diskussion bringen. Resourcen für diejenigen, die zur Beseitigung des Problems beitragen können, sind wesentlich effektiver, als das Geld in ein neues Gesetz zu stecken, das die Phisher ohnehin nicht beeindrucken dürfte.

Bis dahin finde ich die Initiative des LKA Rheinland-Pfalz zu Phishing interessant: In einer Pressemitteilung werden eine ganze Reihe von Tips und Verhaltensregeln gegeben. Das LAWgical hat versucht einen solchen Angriff nachzuvollziehen und auch schon ein Anti-Phishing Tools gefunden.

Das eGovernment treibt weiter blüten. In Frankreich kann man sich auf einem zentralen nationalen Service ummelden. Man muss sich also nur eine Adresse merken und spart sich die Suche auf der Site von Kleinwölferode. Allerdings kann man das Zertifikat der Finanzverwaltung nicht zur Authentifizierung benutzen. Also gilt es, sich ein weiteres Passwort zu merken. Single-sign on in der Verwaltung wäre ein Vorteil, begegnet aber datenschutzrechtlichen Bedenken.