Schweizer Überwachungsrecht: Neue Instrumente – aber wen betriffts?

29. November 2023

Am 1. Januar 2024 treten drei teilrevidierte Ausführungsverordnungen zum Schweizerischen Bundesgesetz betreffend die Überwachung des Post- und Fernmeldeverkehrs (BÜPF) in Kraft. Diese Bestimmungen stehen im Zusammenhang mit der 5G-Technologie: Erklärtes Ziel ist es, Überwachungslücken mit der Einführung neuer Auskunfts- und Überwachungstypen zu verhindern. Dieses (erste) Revisionspaket wirft einige grundsätzliche Fragen auf. Welche Anbieter von den Neuerungen betroffen sind, bleibt noch weitgehend unklar.

Worum es geht

Der Schweizerische Bundesrat hat die Revision des Überwachungsrechts zuletzt in zwei Teile aufgeteilt:

• Erstes Revisionspaket: Bestimmungen zur Anpassung von drei BÜPF-Verordnungen (VÜPF; VD-ÜPF und VVS-ÜPF) an die 5G-Technologie. Diese Bestimmungen treten am 1. Januar 2024 in Kraft.
• Zweites Revisionspaket: Neudefinition der Mitwirkungspflichtigen ("MWP") im Überwachungsrecht. Dieser Teil steht noch aus.

Der Schweizer Wirtschaftsverband der ICT- und Online-Branche (Swico) und die Sozialdemokratische Partei der Schweiz (SP) haben diese Zweiteilung der Revision im Rahmen der Vernehmlassung kritisiert. Sie machten geltend, die aktuellen Änderungen würden Pflichten festlegen, ohne konkret zu bestimmen, wer diesen Pflichten unterliegen wird. Dem Anliegen, das erste Änderungspaket zurückzuziehen und einen neuen Vorschlag zu erarbeiten, der auch das zweite Paket umfasst, wurde jedoch nicht entsprochen.

Das erste Revisionspaket hat zum Ziel, dem Schweizer Dienst Überwachung Post- und Fernmeldeverkehr ("Dienst ÜPF") ein gleichbleibendes Niveau der Überwachung des Post- und Fernmeldeverkehrs zu gewährleisten. Dazu werden zusätzliche Auskunfts- und Überwachungstypen eingeführt. Konkret beinhaltet das Revisionspaket:

• drei neue Auskunftstypen, um Identifikatoren (wie Adressierungselemente, Gerätenummern, Teilnehmernummern) der 5G-Technologie abzufragen und um bei gefälschten Telefonnummern (Spoofing) oder bei Anrufern mit unbekannter Telefonnummer eine Identifizierung zu ermöglichen;
• vier neue Überwachungstypen, um die genaue Position eines Mobilgeräts im Mobilfunknetz zu ermitteln (bisher konnte nur die ungefähre Position ermittelt werden, z.B. bei einer Notsuche nach einer vermissten Person oder einer Echtzeitüberwachung).

Zu den wichtigsten Änderungen dieses ersten Revisionspakets siehe auch unseren Beitrag "Modernisierung des Überwachungsrechts auf Verordnungsstufe (Teil 1)" vom 18. Februar 2022.

Die in der Vernehmlassung geäusserte Kritik

Die Vernehmlassung betreffend das erste Revisionspaket dauerte vom 16. Februar bis zum 23. Mai 2022. Beim Eidg. Justiz- und Polizeidepartement (EJPD) bzw. beim federführenden Dienst ÜPF gingen insgesamt 70 Vernehmlassungsantworten ein. Während die Kantone und die Strafverfolgungsbehörden die Vorlage grundsätzlich begrüssten, haben sie Telekommunikationsanbieterinnen und andere betroffene Anbieterinnen sowie Branchenverbände teilweise scharf kritisiert.

Es wurde kritisiert, dass nicht nur Bestimmungen im Zusammenhang mit der 5G-Technologie geändert werden, sondern auch andere, die eine Ausweitung der allgemeinen Überwachung darstellen und Mehraufwand für die MWP und Abstriche bei der Privatsphäre der Nutzer bedeuten. Die Kritik betraf insbesondere die Höhe der Entschädigung der MWP, die zur Identifikation der Teilnehmenden notwendigen Daten, die automatisierte Erteilung von Auskünften, die Positionsbestimmung und die kürzeren Bearbeitungsfristen.

Das EJPD hat letztlich nur einen Teil dieser Kritik berücksichtigt.

Was sich durch die Vernehmlassung noch geändert hat – und was nicht

Folgende Punkte, die in der Vernehmlassung aufgebracht wurden, flossen in die Überarbeitung der Vorlage ein:

• Anpassung oder Löschung verschiedener Bestimmungen, um das Verhältnis zwischen dem Mehraufwand für die MWP (insb. Systemanpassungen) und dem Nutzen für die Strafverfolgungsbehörden angemessen auszugleichen (Verhältnismässigkeit der Änderungen);
• Verschiebung einiger Bestimmungen in das zweite Revisionspaket, wie z.B. die Pflicht zur Lieferung der Ziel-Adressierungselemente (Ziel-Portnummern und Ziel-IP-Adressen);
• Löschung der Bestimmung, die die Anbieterinnen abgeleiteter Kommunikationsdienste (AAKD) mit weitergehenden Pflichten dazu verpflichten sollte, angebrachte Verschlüsselungen aufzuheben;
• Verlängerung der Übergangsfristen für die Systemanpassungen der MWP von 12 auf 24 Monate ab Inkrafttreten der VÜPF;
• Reduktion der Gebühren für die neuen Überwachungstypen der Positionsbestimmung sowie der Gesamtgebühr beim Auskunftstyp in Zusammenhang mit einem IMSI-Catcher-Einsatz (z.B. bei Notsuchen);
• Präzisierung, dass die AAKD mit weitergehenden Pflichten durch die neuen Auskunfts- und Überwachungstypen nicht betroffen sind und somit keine entsprechenden Pflichten haben;
• Pflicht zur automatisierten Auskunftserteilung beschränkt auf jene MWP, die bereits heute die Auskünfte automatisiert erteilen;
• Beschränkung der Regelung betreffend die Positionsbestimmung auf die 5G-Technologie und Verlängerung der Frist für die Implementierung von 12 bzw. 18 auf 24 Monate.

Folgende Punkte, die in der Vernehmlassung aufgebracht wurden, wurden nicht berücksichtigt:

• technologieneutrale Formulierungen in den Verordnungen: Nach Ansicht des EJPD würde das Gesamtkonzept der VÜPF gestört, wenn nur einzelne Bestimmungen technologieneutral formuliert würden (die entsprechende Forderung könne nur im Rahmen einer Totalrevision der VÜPF umgesetzt werden);
• Verlängerung der Bearbeitungsfristen für die Beantwortung gewisser Auskunftstypen: Das EJPD erachtet die in der VD-ÜPF vorgesehenen Fristen (wie z.B. Frist von sechs Stunden für pikettpflichtige Anbieterinnen) als angemessen, zumal eine zu späte Reaktion in bestimmten Fällen (wie z.B. anonyme Bombendrohung) verheerende Folgen haben könnte;
• Anpassung der Entschädigung der MWP: Das EJPD erachtet eine Entschädigung in Höhe von drei Schweizer Franken für alle einfachen Auskünfte unter Hinweis auf das Urteil 2C_650/2020 des Schweizerischen Bundesgerichts vom 27. Juli 2021 als angemessen.

Würdigung und Ausblick

Das Anliegen von Strafverfolgungsbehörden, mit neuen technologischen Entwicklungen wie namentlich der 5G-Technologie Schritt zu halten, ist nachvollziehbar.

Es überzeugt allerdings rechtssetzungstechnisch nicht, zunächst Pflichten festzulegen, ohne zu definieren, wer diesen Pflichten konkret unterliegt. Ist der Betroffenenkreis nicht hinreichend spezifiziert, kann nicht von einer rechtsgenügenden Konsultation (im Rahmen der Vernehmlassung) gesprochen werden. Wer von den einzelnen Neuerungen konkret betroffen ist, bleibt weitgehend unklar, bis die MWP im zweiten Paket neu definiert werden.

Mit den neuen Bestimmungen werden den MWP zahlreiche neue Pflichten auferlegt und den Strafverfolgungsbehörden im Gegenzug neue Instrumente in die Hand gegeben. Es ist fraglich, ob das eigentliche Revisionsziel – die Anpassung der Verordnungen an die 5G-Technologie – eingehalten oder nicht doch darüber hinausgeschossen wurde. Die Einführung neuer Pflichten auf dem Verordnungsweg wirft zudem grundrechtliche Fragen auf.

Es ist unbestritten, dass die in den Verordnungen vorgesehene höhere Dichte an zu liefernden Auskünften und die dafür zu schaffenden Ressourcen zu Mehraufwand seitens der mitwirkungspflichtigen Unternehmen führen werden. Das EJPD ist jedoch der berechtigten Forderung nach einer höheren Entschädigung nicht nachgekommen. Dies ist nicht nachvollziehbar, da es letztlich um nichts anderes geht als um Hilfestellung privater Anbieterinnen im Rahmen der Erfüllung staatlicher Aufgaben (siehe dazu auch das Postulat Nr. 19.4031 von Nationalrat Albert Vitali/Marcel Dobler vom 16. September 2019 und der gestützt darauf verfasste Bericht des Schweizerischen Bundesrats vom 18. Oktober 2023). Zwischen 2019 und 2022 hat sich die Anzahl Auskünfte gemäss einschlägiger Statistik des Dienstes ÜPF (https://www.li.admin.ch/de/stats) mehr als verdoppelt. Es ist davon auszugehen, dass dieser Trend anhalten und auch die Komplexität der Fälle weiter steigen wird.

Es ist positiv zu bewerten, dass einige kontroverse Bestimmungen in das zweite Revisionspaket verschoben wurden. Dadurch können die neuen Pflichten gleichzeitig mit der Definition der MWP eingeführt werden. Auch die Präzisierung im Wortlaut einzelner Bestimmungen der Verordnungen und die Verlängerung der Übergangsfrist sind zu begrüssen.

Unternehmen, die nach geltendem Recht als Anbieter von Fernmeldediensten oder abgeleiteten Kommunikationsdiensten qualifizieren, sollten sich mit den Änderungen des Überwachungsrechts vertraut machen und die weiteren Entwicklungen im Zusammenhang mit dem zweiten Revisionspaket verfolgen.

Aus Gründen der Rechtssicherheit wäre eine baldige Klärung der Mitwirkungspflichtigen wünschenswert.

Autor: Jonas D. Gassmann

Weitere Informationen:

• Bericht des EJPD vom 15. November 2023 über die Vernehmlassungsergebnisse zum Revisionspaket Verordnungen zum BÜPF (Teil 1);
• Verordnung über die Überwachung des Post- und Fernmeldeverkehrs (VÜPF), Änderung vom 15. November 2023;
• Verordnung des EJPD über die Durchführung der Überwachung des Post- und Fernmeldeverkehrs (VD-ÜPF), Änderung vom 15. November 2023;
• Verordnung über das Verarbeitungssystem für die Überwachung des Post- und Fernmeldeverkehrs (VVS-ÜPF), Änderung vom 15. November 2023 (inkl. Annex 1 und Annex 2);
• Erläuterungen des EJPD vom 15. November 2023 betreffend Revisionspaket Verordnungen zum BÜPF (Teil 1);
• Bericht des Schweizerischen Bundesrats vom 18. Oktober 2023 "Für ein verhältnismässiges Bundesgesetz betreffend die Überwachung des Post- und Fernmeldeverkehrs";
• Postulat Nr. 19.4031 von Nationalrat Albert Vitali/Marcel Dobler vom 16. September 2019;
• Vernehmlassungsunterlagen zum Revisionspaket Verordnungen zum BÜPF (Teil 1);
• Erläuternder Bericht des Schweizerischen Bundesrats vom 16. Februar 2022;
• Botschaft des Schweizerischen Bundesrats vom 27. Februar 2013 zum BÜPF;
• Botschaft des Schweizerischen Bundesrats vom 6. September 2017 zur FMG-Revision;
• Merkblatt des Dienstes ÜPF zur Abgrenzung FDA und AAKD vom 16. April 2019;
• Leitfaden des BAKOM zur Registrierung als FDA vom 28. August 2023