Deanonymisierung im Tor-Netzwerk – Technische Möglichkeiten und rechtliche Rahmenbedingungen

Über einen Honeypot-Server könnten Ermittlungsbehörden einen gefälschten Darknet-Marktplatz aufsetzen, über den zum Schein Drogen oder Waffen angeboten werden. Dadurch wären sie in der Lage, zu beobachten, welche Plattform-Mitglieder sich für welche illegalen Produkte interessieren, welche Versandart ausgewählt wird und welche Kontakt- beziehungsweise Lieferadressen auf den Webseiten angegeben werden. Diese Informationen könnten sodann als Anknüpfungspunkte für weitergehende strafrechtliche Ermittlungen herangezogen werden. Allerdings können sich Handelsplattformen im Tor-Netzwerk nur etablieren, wenn tatsächlich inkriminierte Güter über die in Rede stehenden Webseiten gehandelt werden. Plattformen, über die nur zum Schein illegale Waren angeboten werden, würden in der Praxis daher schnell als „Fake-Marktplätze“ enttarnt werden. Möglich wäre es jedoch, echte Plattformen von zuvor bereits ermittelten Tatverdächtigen zu übernehmen und zum Zwecke der Strafverfolgung über Honeypot-Server weiterzubetreiben, wie es etwa bei der Übernahme des Online-Marktplatzes „Hansa Market“ durch niederländische Ermittler*innen der Fall war.¹² Bis zur Abschaltung der Webseite ließen die Behörden sämtliche über „Hansa Market“ angebahnte Handelsgeschäfte weiterlaufen, wodurch tausende Informationen über ausländische Plattform-Kund*innen gesammelt und an Europol übergeben werden konnten.¹³

Hierzulande wäre eine Übernahme von echten Darknet-Plattformen wie „Hansa Market“ und deren Weiterführung über behördliche Honeypot-Server rechtlich allerdings nicht möglich. Durch den Betrieb von Online-Plattformen, auf denen tatsächlich ein Austausch krimineller Waren stattfindet, werden nämlich verschiedene Straftatbestände aus dem Kern- und Nebenstrafrecht verwirklicht.¹⁴ Wer Drogen-Marktplätze und andere kriminell ausgerichtete Online-Plattformen im Tor-Netzwerk betreibt, macht sich folglich strafbar. Hierzulande sind Ermittlungsbeamt*innen jedoch grundsätzlich nicht berechtigt, zum Zwecke der Strafverfolgung selbst Straftaten zu begehen. Zwar kennt auch die deutsche Rechtsordnung gesetzliche Ausnahmeregelungen von diesem Grundsatz. Für das Betreiben von Online-Plattformen im Tor-Netzwerk ist dies jedoch nicht der Fall. In den Niederlanden, USA und Australien sind solche Ermittlungshandlungen hingegen zulässig. Dass ein Weiterbetrieb krimineller Plattformen über Honeypot-Server jedoch auch im Ausland erhebliche rechtliche Schwierigkeiten mit sich bringt, hat der Fall der Kinderporno-Tauschbörse „Childsplay“ deutlich gemacht. Die Webseite wurde für ganze elf Monate nach der Verhaftung des Plattform-Administrators von australischen Ermittlungsbehörden weiterbetrieben.¹⁵ Da in dieser Zeit kinderpornografische Dateien von den Plattform-Mitgliedern weltweit verbreitet und ausgetauscht werden konnten, wurde das Vorgehen der Ermittler*innen vom Kinderhilfswerk der Vereinten Nationen als ein Verstoß gegen die UN-Kinderrechtskonvention gewertet.¹⁶ Auch Vertreter*innen von Amnesty International verurteilten das Vorgehen der australischen Ermittler*innen als menschenrechtswidrig und inakzeptabel.¹⁷ In Deutschland wäre eine Übernahme und Weiterführung von kriminellen Online-Marktplätzen und Kinderporno-Tauschbörsen über Honeypot-Server jedenfalls unzulässig.

Ermittlungsbehörden könnten die Webseiten bekannter Darknet-Plattformen fälschen und die Kund*innen dieser Plattformen auf die manipulierten Phishing-Webseiten locken. Sollten sie dort ihre Login-Informationen eingeben, würden diese nicht an den Darknet-Dienst geschickt, sondern direkt an die Ermittler*innen weitergeleitet werden. Mit den ausgespähten Login-Informationen könnten sich diese sodann auf den echten kriminellen Plattformen und Marktplätzen anmelden und auf die Accounts der Plattform-Kund*innen zugreifen. Dadurch könnten die Ermittler*innen an beweiserhebliche Informationen gelangen, wie zum Beispiel in der Vergangenheit getätigte Käufe und Verkäufe, Lieferadressen oder Bitcoin-Wallets der Plattfom-Kund*innen.

Aus rechtlicher Perspektive ermächtigt die Online-Durchsuchung i. S. v. § 100b StPO Ermittlungsbehörden zwar unter besonderen Voraussetzungen dazu, in informationstechnische Systeme tatverdächtiger Personen einzugreifen, um an deren Zugangsdaten und Passwörter zu gelangen.¹⁹ Beim Aufsetzen von Phishing-Webseiten wird jedoch nicht mithilfe von forensischer Software in ein informationstechnisches System i. S. v. § 100b Abs. 1 StPO eingegriffen. Vielmehr würden die Betroffenen durch eine technische Manipulation dazu gebracht werden, ihre Login-Informationen täuschungsbedingt an die ermittelnden Behörden weiterzuleiten. Für das Betreiben von Phishing-Webseiten kann § 100b Abs. 1 StPO daher nicht als Ermächtigungsgrundlage herangezogen werden. Ebenso wenig könnte das Abgreifen von Zugangsdaten und Passwörtern auf § 100 h Abs. 1 S. 1 Nr. 2 StPO gestützt werden, welcher die Verwendung technischer Mittel zu Observationszwecken regelt. Denn der Betrieb der beschriebenen Phishing-Webseiten würde gerade nicht der Lokalisierung oder Beobachtung der ausgespähten Personen dienen, sondern lediglich das Abgreifen ihrer Login-Informationen bezwecken, um diese im Anschluss für weitergehende Ermittlungen auf den Plattformen zu verwenden. Auch ein Rückgriff auf die Ermittlungsgeneralklausel aus §§ 161 Abs. 1 S. 2 i. V. m. 163 Abs. 1 S. 2 StPO könnte die ermittelnden Beamt*innen nicht pauschal zum Aufsetzen und Betreiben von Phishing-Webseiten ermächtigen. Ein solches Vorgehen würde in vielen Fällen auch Personen betreffen, gegen die kein Anfangsverdacht i. S. v. § 152 Abs. 2 StPO besteht. Wie etwa die 2016 vom Netz genommene Webseite „Deutschland im DeepWeb“ deutlich macht, werden einige der Webseiten, über die im Tor-Netzwerk Straftaten angebahnt und abgewickelt werden, nämlich auch als Treffpunkte für den anonymen Austausch über Nachrichten aus Politik und Wirtschaft, IT-Sicherheit und andere strafrechtlich irrelevante Themen genutzt.²⁰ Die Registrierung als Nutzer*in auf einer solchen Webseite ist daher allein nicht ausreichend, um einen Anfangsverdacht i. S. v. § 152 Abs. 2 StPO gegen sämtliche auf einer Plattform registrierten Personen zu begründen. Das pauschale Abgreifen von Login-Informationen über Phishing-Webseiten wäre nach geltender Rechtslage daher unzulässig.

Zur Identifizierung von tatverdächtigen Personen im Tor-Netzwerk kann es zielführend sein, Informationen wie verwendete Account-Namen, E-Mail-Adressen oder öffentliche Forenbeiträge zusammenzutragen und diese Datensätze mit Hilfe spezieller Analysesoftware auszuwerten.²¹ Im Rahmen dieses Verfahrens, das als Open Source Intelligence (kurz OSINT) bezeichnet wird, werden sämtliche Informations- und Datenquellen verwendet, die im Internet – also sowohl im Clear- als auch im Darknet – frei zugänglich sind und für deren Zugriff keine besondere Legitimation benötigt wird.²² Auf diese Weise können detaillierte Bewegungs- und Persönlichkeitsprofile über gesuchte Personen erstellt werden, die Ansatzpunkte für weitergehende Ermittlungsmaßnahmen bieten. Unter Umständen lassen sich sogar eindeutige Verknüpfungen zwischen den verwendeten Online-Profilen und der tatsächlichen Identität der gesuchten Personen herstellen, wie es etwa im Falle des Betreibers der Handelsplattform „Silk Road“ der Fall war.²³

In welchen Grenzen hierzulande personenbezogene oder personenbeziehbare Daten aus dem Clear- und Darknet in strafprozessualen Ermittlungsverfahren erhoben und verarbeitet werden dürfen, ist eine in der strafrechtlichen Praxis relevante, rechtswissenschaftlich jedoch bislang nur spärlich diskutierte Frage.²⁴ Feststeht, dass für die automatisierte Sammlung und Auswertung von OSINT-Daten eine Ermächtigungsgrundlage erforderlich ist, da hierdurch in das Grundrecht auf informationelle Selbstbestimmung aus Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG eingegriffen wird. Auch wenn dies auf den ersten Blick nahe liegt, kommt § 98a StPO (Rasterfahndung) als strafprozessuale Befugnisnorm für die Sammlung und Auswertung von OSINT-Daten allerdings nicht in Betracht.²⁵ Zwar ergibt sich eine gewisse „Verwandtschaft“ zu § 98a StPO vor allem daraus, dass im Rahmen beider Verfahren verschiedene Datensätze zu Ermittlungszwecken maschinell miteinander abgeglichen werden.²⁶ Allerdings werden im Rahmen von § 98a StPO keine öffentlich zugänglichen Datensätze verwendet, während bei der Auswertung von OSINT-Daten ausschließlich auf Informationen zugegriffen wird, die von jedermann im Internet aufgerufen und eingesehen werden können. Obwohl auf die Ermittlungsgeneralklausel aus § §161 Abs. 1 S. 2 i. V. m. 163 Abs. 1 S. 2 StPO bloß geringfügige Grundrechtseingriffe gestützt werden können, ist diese daher grundsätzlich als Rechtsgrundlage für die automatisierte Auswertung von OSINT-Informationen in Betracht zu ziehen. Erwähnenswert ist in diesem Zusammenhang beispielsweise die von der niederländischen Forschungseinrichtung TNO entwickelte Analysesoftware „Dark Web Monitor“, die seit Juli diesen Jahres durch die Zentralstelle Cybercrime Bayern (ZCB) in Bamberg getestet wird.²⁷

Im Rahmen strafrechtlicher Ermittlungsverfahren ist das Ausnutzen solcher Dokument-Exploits als „IP-Tracking“ bekannt. Dabei stellen Ermittlungsbehörden Dateien über das Internet zum Abruf bereit, die mit einer Lesebestätigungsfunktion versehen sind.²⁸ Diese Lesebestätigungsfunktion besteht aus funktionslosen, transparenten Bildern oder anderen Dateieinbettungen.²⁹ Wird das präparierte Dokument geöffnet, werden die Dateieinbettungen von einem externen Server nachgeladen, ohne dass der dabei anfallende Datenverkehr von der Tor-Software anonymisiert wird. Die IP-Adresse des Internetanschlusses, von dem aus die Datei aufgerufen wurde, kann daher an den externen Server übertragen und schließlich an die Ermittlungsbehörden weitergeleitet werden. Typischerweise eignen sich für derartige Einbettungen Dokumentenformate wie Word oder PDF eher als reine Multimediaformate für Bild und Video wie JPG oder MP4. Aber auch für Multimediaformate beziehungsweise für Software, die zur Verarbeitung und Betrachtung von Bildern und Videos eingesetzt wird, sind in der Vergangenheit Schwachstellen bekannt geworden, die theoretisch zu Deanonymisierungszwecken ausgenutzt werden könnten.

Aus rechtlicher Perspektive besteht Uneinigkeit darüber, ob das „IP-Tracking“ zum Zwecke der Strafverfolgung als Verwendung eines sonstigen für Observationszwecke bestimmten technischen Mittels i. S. v. §100 h StPO³⁰ oder als Erhebung von Verkehrsdaten i. S. v. §100 g StPO³¹ anzusehen ist. Dennoch bleibt festzuhalten, dass für ein entsprechendes Vorgehen bereits nach geltender Rechtslage eine ausreichende rechtliche Grundlage besteht, die in der Strafverfolgungspraxis vielseitige Ermittlungsansätze bietet. Beispielsweise hat der Bundestag im Januar 2020 der Verwendung künstlicher kinderpornografischer Dateien im Rahmen strafrechtlicher Ermittlungsverfahren zugestimmt.³² Seither können Ermittlungsbeamt*innen computergenerierte Abbildungen verwenden, um sich Zugriff auf entsprechend gesicherte Webseiten im Tor-Netzwerk zu verschaffen.³³ Denkbar wäre es, diese computergenerierten Abbildungen mit entsprechenden Dokument-Exploits zu versehen, sodass die IP-Adressen derjenigen Personen, die auf die von den Ermittlungsbehörden hochgeladenen Dateien zugreifen, dokumentiert und als Anknüpfungspunkte für weitere Ermittlungsmaßnahmen genutzt werden können.

Über das Tor-Netzwerk geroutete Datenpakete werden so verschlüsselt, dass jeder Tor-Knoten nur die Information erhält, von welchem Tor-Knoten die aktuellen Datenpakete gesendet wurden und an welchen Tor-Knoten die Datenpakete weitergeleitet werden müssen. Auf diese Weise wird der über das Tor-Netzwerk geleitete Datenverkehr anonymisiert. Dieser Effekt kann jedoch umgangen werden, wenn die Datenpake abgefangen und ausgewertet werden, bevor sie verschlüsselt oder nachdem sie entschlüsselt wurden. Aus technischer Sicht kann dies erreicht werden, indem auf den Rechnern der zu überwachenden Personen eine forensische Software installiert wird, die unbemerkt Bildschirmaufnahmen tätigt oder Tastatureingaben protokolliert.

Aus rechtlicher Perspektive ist es denkbar, ein solches Vorgehen auf die im Sommer 2017 neu in die StPO aufgenommenen Ermittlungsbefugnisse der §§ 100a, b StPO zu stützen. § 100a Abs. 1 S. 2 StPO (Quellen-Telekommunikationsüberwachung) ermächtigt Ermittlungsbehörden etwa dazu, in informationstechnische Systeme verdächtiger Personen einzugreifen, wenn dies notwendig ist, um die Überwachung und Aufzeichnung von telekommunikationsbezogenen Daten in unverschlüsselter Form zu ermöglichen. Unter den Voraussetzungen des § 100b StPO (Online-Durchsuchung) dürfen die Ermittler*innen darüber hinaus auch sonstige, nicht kommunikationsbezogene Daten der Betroffenen erheben. Insofern kann eine Umgehung der Anonymisierung von Kommunikationsdaten im Tor-Netzwerk bereits auf Grundlage der geltenden strafprozessualen Ermittlungsbefugnisse erreicht werden. Um die genannten Ermittlungsmaßnahmen einzuleiten, müssen den Behörden allerdings bereits diejenigen Personen bekannt sein, deren Geräte überwacht werden sollen. Daher ist weder die Quellen-Telekommunikationsüberwachung aus § 100a StPO, noch die Online-Durchsuchung aus § 100b StPO dazu geeignet, zu einer initialen Identifizierung von tatverdächtigen Personen im Tor-Netzwerk beizutragen. Dennoch können Ermittlungsbehörden durch Maßnahmen i.S.d. §§ 100a, b StPO Informationen erhalten, die eine Identifizierung weiterer tatverdächtiger Personen ermöglichen.

Diese Angriffe werden in der Informatik als Korrelationsangriffe oder „Timing-Analysen“ bezeichnet und sind ein bekanntes Problem im Tor-Netzwerk.³⁴ Allerdings kann durch ein solches Vorgehen nur in Erfahrung gebracht werden, welche Personen über Tor miteinander kommunizieren. Wird von den Beteiligten eine Ende-zu-Ende-Verschlüsselung eingesetzt, bleiben die Kommunikationsinhalte selbst wiederum geheim. Hinzu kommt, dass nur eine global agierende, äußerst einflussreiche Institution im Stande wäre, ausreichend viele Tor-Knoten zu betreiben, um solche Korrelationsangriffe erfolgreich umsetzen zu können. Nach derzeitigem Stand ist dies allerdings nicht der Fall. Selbst geheimdienstliche Allianzen wie die „Five Eyes“ wären nur in der Lage, einen kleinen, zufälligen Teil der über das Tor-Netzwerk gerouteten Datenpakete zu überwachen.³⁵ Die NSA äußerte sich in den von Edward Snowden geleakten „Tor-Stinks“-Dokumenten sogar dahingehend, dass es in der Praxis wohl niemals möglich sein wird, alle Tor-Nutzer*innen im Rahmen von „Timing-Analysen“ gleichzeitig überwachen zu können.³⁶

Auch aus rechtlicher Perspektive wäre das Monitoring von Datenpaketen zu Strafverfolgungszwecken als unzulässig einzustufen. Dies liegt daran, dass in einer globalen Überwachung und Rückverfolgung von Datenpaketen bereits keine strafprozessuale Maßnahme gesehen werden kann. Voraussetzung für die Einleitung eines strafrechtlichen Ermittlungsverfahrens ist gem. §152 Abs. 2 StPO nämlich das Vorliegen tatsächlicher Anhaltspunkte dafür, dass die von einer Ermittlungsmaßnahme betroffenen Personen eine verfolgbare Straftat begangen haben. In Anbetracht dessen, dass die Verwendung von Anonymisierungstechnologien wie der Tor-Software hierzulande ein grundrechtlich geschütztes Verhalten darstellt und zahlreichen positiven Verwendungszwecken dient, können die Nutzer*innen der Tor-Software jedoch nicht pauschal verdächtigt werden, das Tor-Netzwerk zur Anbahnung und Abwicklung von Straftaten zu nutzen.