Iris-Scan, Gesichtserkennung, stimmengesteuerte Verschlüsselungstechnik und der biometrische Fingerabdruck. Neben der klassischen Passwortblockade haben in den vergangenen Jahren neue Features und Sicherheitsmechanismen Einzug in unsere Smartphones gehalten. Statt für jedermann beobachtbarer Passworteingabe oder offensichtlicher Wischgesten versprechen sie einen schnelleren Zugriff auf das Handy und dank Authentifizierungsmöglichkeit zugleich einen höheren Schutzstandard für den Nutzer. Soweit so gut. Was im Alltag vielfach eine Erleichterung ist, kann spätestens für diejenigen, die in Konflikt mit dem Gesetz stehen, zu einem echten Nachteil werden. Denn während dem Smartphone als solchem regelmäßig wenig Beweisbedeutung zukommt, sind die auf dem Gerät gespeicherten Anruferlisten, Chatverläufe, Fotos und sonstige Daten umso mehr von Interesse der Strafverfolgungsbehörden. Mit dem vorstehenden Beitrag soll der Frage nachgegangen werden, ob und unter welchen Voraussetzungen die Strafverfolgungsbehörden einen Beschuldigten zum Entsperren seines Smartphones zwingen können.
Fallbeispiel
Man stelle sich folgendes Szenario vor. Eine Person, nennen wir ihn Herrn X, gerät in den Fokus von Polizei und Staatsanwaltschaft. Der Vorwurf lautet, er soll von einer Überwachungskamera aufgezeichnet worden sein, wie er am Bahnhofsvorplatz Drogen verkaufte. Ein Verstoß gegen das Betäubungsmittelgesetz liegt nahe. Herr X wird von den ermittelnden Polizeibeamten noch Vorort aufgegriffen und zwecks Identitätsfeststellung auf die Wache verbracht. Neben Drogen und Bargeld in „handelsüblichen Mengen“ wird Herrn X das Smartphone abgenommen. Die ermittelnden Beamten vermuten, dass sich auf dem Handy Kontaktdaten seiner Abnehmer finden werden und dass sich Anhand der Chatverläufe der Zeitraum seines Handelns und die Menge der veräußerten Drogen nachvollziehen lassen.
Herr X, der sich zu den ihm gegenüber eröffneten Vorwürfen nicht äußern möchte, macht nach rechtmäßig erfolgter Belehrung von seinem Schweigerecht Gebrauch. Die Preisgabe des Passwortes verweigert er. Da das Smartphone des X über eine Fingerkuppensensorentechnik verfügt, überlegen die Beamten, ob es zulässig ist, den Beschuldigten im Rahmen der Strafverfolgung auch mittels Zwang zur Duldung der Entsperrung seines durch biometrische Merkmale gesperrten Smartphones zu bringen. Dieselbe Frage stellt sich auch bei einer Duldung eines Gesichts- oder Irisscans, sowie einer Stimmenauthentifizierung.
Keine spezifische Ermächtigungsgrundlage
Das nicht alles erlaubt ist, was technisch möglich ist, liegt auf der Hand. Diese Binsenweisheit gilt im Strafprozess umso mehr. Damit Straftaten aufgedeckt und zur Anklage gebracht werden können, eröffnet die Strafprozessordnung der Staatsanwaltschaft und der Polizei einen Katalog an repressiven Maßnahmen. Hoheitliches Handeln, welches in Rechte des Beschuldigten eingreift ist stets an das Erfordernis einer Ermächtigungsgrundlage geknüpft.
Problematisch ist im vorliegenden Fall, dass eine spezifische Regelung für die Verwendung des Fingers des Beschuldigten zum Entsperren eines Smartphones und den daran anknüpfenden Zugriff auf die auf dem Smartphone gespeicherten Daten derzeit nicht existiert. Ungeachtet dessen sind die Strafverfolgungsbehörden in der Praxis dazu übergegangen, die Voraussetzungen des § 81a StPO (Körperliche Untersuchungen) bzw. die Voraussetzungen des § 81b StPO (Erkennungsdienstliche Maßnahmen beim Beschuldigten) auf gerade diese Fälle entsprechend anzuwenden. Nach einem weiten Verständnis soll der biometrische Fingerabdruck gemäß § 81b StPO nicht bloß angefertigt, sondern auch – etwa zum Entsperren eines Smartphones – verwendet werden dürfen. Voraussetzung ist jedoch, dass dies zur Durchführung eines Strafverfahrens erfolgt und die im Fokus der Strafverfolgung stehende Person Beschuldigtenstatus besitzt. Als Argument wird eine Parallele zu der Sicherstellung nach § 94 StPO gezogen. Diese Norm erlaubt nicht nur die bloße Sicherstellung eines Gegenstandes, sondern auch die Auswertung desselben (siehe dazu Bäumerich, NJW 2017, 2718).
Selbstbelastungsfreiheit
Einer der zentralen Verfahrensgrundsätze der Strafprozessordnung ist die Selbstbelastungsfreiheit (nemo tenetur Prinzip). Sie gilt für den Beschuldigten im gesamten Strafverfahren und besagt, dass niemand verpflichtet werden darf, aktiv an der eigenen Verurteilung mitzuwirken. Der Beschuldigte besitzt das Recht zu schweigen. Eine Verletzung der Aussagefreiheit hat im Hinblick auf ein späteres Gerichtsverfahren stets ein Beweisverwertungsverbot dieses Beweismittels zur Folge.
- Soweit das Smartphone des Herrn X durch eine PIN-Eingabe geschützt ist und er diese nicht offenlegen will, ist jedes zwangsweise Hinwirken auf die Preisgabe dieser Daten nach § 136a Abs. 1 StPO verboten. Die Rechtslage ist in dieser Konstellation eindeutig.
Weniger klar ist die Situation, wenn das Smartphone durch biometrische Merkmale vor dem Zugriff Dritter geschützt wird. Ob etwa das zwangsweise „zur Verfügung stellen“ des Daumens, der Iris, des Gesichts oder die Abgabe einer Stimmprobe eine aktive (dann unzulässige) oder passive (dann wohl zulässige) Handlung des Beschuldigten darstellt und damit in den Schutzbereich der Selbstbelastungsfreiheit eingreift, bedarf einer nähergehenden Differenzierung.
- Die Abgabe einer Stimmprobe ist mit der „gesprochenen Preisgabe“ des Passwortes/PIN vergleichbar. Es liegt in beiden Fällen eine Aktion des Sprechenden vor, sodass eine zwangsweise Herbeiführung der Stimmprobe beim Beschuldigten ebenfalls mit einem Verstoß gegen die Selbstbelastungsfreiheit einhergeht.
- Dagegen wird das bloße Auflegen des Daumens, das Scannen von Iris und/oder Gesicht eine rein passive Duldung angesehen. Eine Parallele wird hier zu § 81a StPO, der bloßen Duldung einer Blutentnahme gezogen, einer Maßnahme, die zur Ermittlung des Blutalkoholwertes erforderlich ist. Ebenso verhält es sich bei den sog. Erkennungsdienstlichen Maßnahmen (§ 81b StPO), bei denen der Beschuldigte die Abnahme seiner Fingerabdrücke dulden muss. Auch hier fehlt es an einer aktiven Handlung, da die biometrischen Merkmale, ohne ein weiteres Zutun des Beschuldigten, bereits vorhanden sind. Vielfach wird die Auffassung vertreten, dass es keinen Unterschied mache, ob nun die biometrischen Merkmale des Daumens eines Beschuldigten zur Erstellung eines Abdrucks auf dem Papier genutzt werde oder zum bloßen Auflegen auf dem „Homebutton“ des Smartphones oder einer vergleichbaren Sensorfläche.
Als erstes Zwischenfazit kann festgehalten werden, dass sowohl der unter Zwang „verwendete“ Daumenabdruck, das zwangsweise erfolgte Scannen von Iris und/oder Gesicht, grundsätzlich keinen Eingriff in die Selbstbelastungsfreiheit darstellen. Das bedeutet, dass nach der wohl vorherrschenden Auffassung die Polizei das Smartphone auf diesem Wege entsperren darf.
Datenschutz: Recht auf informationelle Selbstbestimmung und das „IT-Grundrecht“
Neben der Selbstbelastungsfreiheit könnten auch der Datenschutz, namentlich das Recht auf informationelle Selbstbestimmung und das vom Bundesverfassungsgericht entwickelte IT-Grundrecht betroffen sein. Das Recht auf informationelle Selbstbestimmung gibt dem Einzelnen die Befugnis, selbst zu entscheiden, wann, wem und innerhalb welcher Grenzen persönliche Lebenssachverhalte offenbart werden, es gehört zu den zentralen Schutzzwecken des Datenschutzes. Dies gilt auch für den Beschuldigten, er kann über die Preisgabe und Verwendung seiner persönlichen Daten selbst bestimmen.
Aus datenschutzrechtlicher Hinsicht relevant ist das IT-Grundrecht. Es schützt zunächst das Interesse des Nutzers, dass die von einem informationstechnischen System erzeugten, verarbeiteten und gespeicherten Daten vertraulich bleiben (BVerfGE 120, 274 (314)). Ein Eingriff in dieses Grundrecht ist aber auch dann anzunehmen, wenn die Integrität des geschützten informationstechnischen Systems angetastet wird, indem auf das System zugegriffen wird.
- Soweit zur Entsperrung des Smartphones Daumenabdruck-, Iris- oder Gesichtsscan zum Einsatz kommen, liegt ein datenschutzrelevanter Eingriff in beide Grundrechte des Beschuldigten vor. Die auf dem Smartphone gespeicherten Daten des Herrn X lassen nicht nur auf den Ermittlungsanlass begrenzte Erkenntnisse zu, sondern ermöglichen Rückschlüsse auf die konkrete Lebensführung des Beschuldigten.
Abwägung und Verhältnismäßigkeit
Im Gegensatz zur Selbstbelastungsfreiheit folgt aus einem hoheitlichen Eingriff in das Recht auf informationelle Selbstbestimmung oder einem hoheitlichen Eingriff in das IT-Grundrecht nicht automatisch ein überwiegendes, schützenswertes Interesse des Beschuldigten. Das Bundesverfassungsgericht hat in seiner Entscheidung aus 2008 deutlich gemacht, dass diese Grundrechte nicht schrankenlos gewährleistet sind, sondern mit dem Strafverfolgungsanspruch des Staates abgewogen werden müssen (BVerfGE 120, 274 (315)).
Eine starre Regel, in welchen Fällen, welches Interesse überwiegt, gibt es nicht. Es gilt vielmehr die Abwägung im konkreten Einzelfall. Problematisch ist allerdings, dass bereits mit der eigentlichen Auswertung der Daten – also noch bevor ein Erkenntnisgewinn für die Strafverfolgungsbehörden vorliegt – möglicherweise bereits in den geschützten Kernbereich der informationellen Selbstbestimmung oder das IT-Grundrecht eingegriffen wird. Auf Seiten der Ermittlungsbehörden wird von der Strafprozessordnung das Vorliegen eines Anfangsverdachts gefordert. Ein solcher ist gegeben, wenn tatsächliche Anhaltspunkte für eine Straftat vorliegen, um bei den Strafverfolgungsbehörden Verfahrenshandlungen auszulösen. Reine Mutmaßungen oder ein vager Verdacht reichen nicht.
Ausgehend vom eingangs skizzierten Beispielfall müssten Polizei und Staatsanwaltschaft eindeutige Anhaltspunkte vorweisen können, um den Eingriff in die Rechte des Beschuldigten Herrn X zu rechtfertigen. Diese könnten sich vorliegend aus der Videoaufzeichnung am Bahnhofsvorplatz und den am Körper des X sichergestellten Drogen ergeben. Herr X wurde vorliegend über einen längeren Zeitraum beobachtet, wie er sein Smartphone benutzte und wenig später zwischen ihm und einem Abnehmer ein Austausch von Geld und Drogen stattfand. Ein Anfangsverdacht wegen unerlaubten Handeltreibens mit Betäubungsmitteln (§ 29 Abs. 1 BtMG) liegt vor. Auf Grundlage dieses Anfangsverdachts haben sich Anhaltspunkte dergestalt verdichtet, dass der X das Smartphone zur Kommunikation mit seinen Abnehmern verwendete. Somit würde das Strafverfolgungsinteresse an einer unter Zwang erfolgten Entsperrung und anschließenden Auswertung des Smartphones höher wiegen, als der Schutz des Beschuldigten.
Dagegen dürfte es willkürlich und damit unzulässig sein, wenn die Polizei das Smartphone des X unter Anwendung von Zwang entsperrt, ohne den X beim Verkauf von Drogen beobachtet zu haben oder sonstige Kenntnis zu besitzen. Diese Fälle will die Strafprozessordnung gerade ausschließen. Ein vager Verdacht ist hier nicht ausreichend.
Bewertung
Zweifellos bietet der Beispielfall jede Menge juristischen Zündstoff. In den USA wird die unter Zwang erfolgte Entsperrung eines durch biometrische Merkmale gesicherten Smartphones von den Gerichten als rechtmäßig angesehen. Es ist daher nur eine Frage der Zeit, wann mit ersten gerichtlichen Entscheidungen in Deutschland gerechnet werden kann.
Sowohl aus strafrechtlicher, als auch aus datenschutzrechtlicher Sicht ist das Vorgehen der Strafverfolgungsbehörden bedenklich. Das Kernproblem besteht darin, dass mangels einer klaren Regelung die Grenzen des Eingriffs undefiniert sind. Welche Daten dürfen von den Strafverfolgungsbehörden im konkreten Fall eingesehen werden? Wie ist mit sogenannten Zufallsfunden umzugehen? Denn einmal entsperrt, ist der Zugriff auch auf solche Daten eröffnet, denen keine Beweisbedeutung zukommt.
Mangels klarer Eingriffsbefugnisse besteht die Gefahr, dass die Selbstbelastungsfreiheit umgangen wird. Wie gesehen liegt wohl kein Eingriff in die Selbstbelastungsfreiheit vor, allerdings mutet es seltsam an, wenn trotz eines entgegenstehenden Willens des Betroffenen die Passwortsperre durch Verwenden eines biometrischen Schlüssels ausgetrickst werden kann.
Aber auch die informationelle Selbstbestimmung und das IT-Grundrecht drohen ohne eine klare Regelung ausgehöhlt zu werden, etwa wenn die Auswertung nicht auf einen bestimmten Bereich begrenzt wird, sondern sich auf sämtliche auf dem Smartphone befindliche bezieht. Gerade weil in diesen Fällen der Kernbereich höchstsensibler Daten betroffen sein wird, sollte die zwangsweise Entsperrung eines Smartphones von einer Entscheidung eines Richters abhängen. Eine solche Befugnis sieht § 81b StPO allerdings nicht vor.
In den USA kommt die hier diskutierte Praxis nicht nur im Rahmen der Strafaufklärung, sondern vermehrt auch bei den US-Grenzschützern zum Einsatz. Von solchen Szenarien sind wir hierzulande zwar (noch) weit entfernt. Der Gesetzgeber ist aber gefordert, eine Regelung zu schaffen, die einerseits dem Strafaufklärungsanspruch der Behörden genügt und andererseits das Beschuldigteninteresse nicht aus dem Blick verliert.