Von Mathias Eberli

Digitale Daten nehmen bei der Beweisführung in Strafverfahren eine immer wichtigere Rolle ein. Gleichzeitig verlagert sich deren Speicherung zunehmend von heimischen Computern zu Datencentern irgendwelcher Clouddienstanbieter irgendwo auf der Welt. Wie können Strafverfolgungsbehörden solche digitalen Beweismittel erheben?

Durch die zunehmende Digitalisierung ist die Beweismittelerhebung für die Strafverfolgungsbehörden zwar ergiebiger, zweifelsohne aber auch herausfordernder geworden. Insbesondere aufgrund ihrer Fragilität ist der Umgang mit digitalen Daten komplexer als jener mit traditionellen Beweismitteln. Erschwerend kommt hinzu, dass digitale Daten öfter als traditionelle Beweismittel einen internationalen Bezug aufweisen, sei es, weil sie physisch auf einem Datenträger im Ausland lagern, sei es, weil sie von einer im Ausland domizilierten Gesellschaft gehostet werden.

Wie sind digitale Beweismittel mit Auslandbezug zu erheben?

Der Untersuchungsgrundsatz verpflichtet die Strafverfolgungsbehörde, alle für die Beurteilung der Tat und der beschuldigten Person bedeutsamen Tatsachen zu untersuchen, und dies, je nach Sachlage, auch im Ausland. Gleichzeitig beschränkt das Territorialitätsprinzip die hoheitlichen Befugnisse der Behörde auf das eigene Staatsgebiet. Hoheitliche Beweiserhebungen in Drittstaaten haben somit grundsätzlich über den oftmals beschwerlichen Weg der internationalen Rechtshilfe in Strafsachen zu erfolgen. Zwar sind je nach Fall auch schnellere Kanäle denkbar, so die internationale Polizeizusammenarbeit, Spezialabkommen wie die Cybercrime-Konvention oder die freiwillige Kooperation von Serviceprovidern mit der Strafverfolgung. Während der Polizeiweg und Spezialabkommen im Anwendungsbereich jedoch eng beschränkt sind, ist der direkte Verkehr mit Providern wenig verlässlich und kann Beweisverwertbarkeitsfragen aufwerfen.

Ansätze zur Erleichterung der grenzüberschreitenden Beweiserhebung

Die Strafverfolgungsbehörden weltweit kämpfen mit ähnlichen Problemen bei der grenzüberschreitenden Erhebung digitaler Beweismittel. Um der Sache Herr zu werden, haben einzelne Länder Speicherortvorgaben, sogenannte data localization laws, eingeführt und zwingen Serviceprovider so zur Datenspeicherung im Inland. Russland etwa hat im 2015 ein neues Datenschutzgesetz in Kraft gesetzt, welches sämtliche Unternehmen zur Speicherung und Verarbeitung der Daten russischer Bürger ausschliesslich auf russischem Staatsgebiet verpflichtet, wobei irrelevant ist, ob das betreffende Unternehmen in Russland domiziliert ist oder nicht. Solche Einschränkungen sind – zumindest in diesem Ausmass – nicht wünschenswert. Sie beeinträchtigen einerseits die wirtschaftlichen Entfaltungsmöglichkeiten der Unternehmen und lassen sich andererseits gegen ausländische Serviceprovider kaum durchsetzen.

Verbreitetet ist daher der Ansatz, die eigene Gebietshoheit hinsichtlich digitaler Daten weiter zu interpretieren als nach dem traditionellen Verständnis des Territorialitätsprinzips. So tendiert die jüngere Rechtsprechung verschiedener Staaten dazu, neben dem physischen Speicherort digitaler Daten vermehrt den Ort der effektiven Zugriffsmöglichkeit auf die Daten als entscheidenden Faktor für die Befugnis zu hoheitlichem Handeln anzusehen. So etwa Belgien, Dänemark und Norwegen. Auch neuere Entscheide aus der Schweiz deuten in diese Richtung: Das Bundesgericht hat im Jahr 2016 in Sachen Facebook Switzerland Sàrl sowie in Sachen Google Switzerland GmbH angedeutet, dass eine Schweizer Gesellschaft von den Schweizer Strafverfolgungsbehörden, unabhängig vom physischen Speicherort der Daten, zu deren Herausgabe angehalten werden könne, vorausgesetzt, sie verfüge über direkten Zugang zu den Daten oder über die Kontrolle über sie. Zudem handelt eine Strafverfolgungsbehörde, die über einen Internetzugang im Inland auf digitale Beweismittel im Ausland zugreift, gemäss eines Bundesgerichtsentscheids aus dem Jahr 2017 nicht im Ausland, sodass das Territorialitätsprinzip dadurch nicht tangiert ist. Unter Berücksichtigung der aktuellen Rechtsprechung präsentiert sich die Rechtslage in der Schweiz derzeit wie folgt:

Sind die Probleme damit vom Tisch?

Eine weite Interpretation des Territorialitätsprinzips bei digitalen Daten scheint richtig. Die Probleme sind damit aber nicht gelöst. So versagt ein weites Verständnis der eigenen Territorialität, wenn die zu erhebenden Daten im Ausland gespeichert sind, die Strafverfolgungsbehörde keinen direkten Zugriff auf die Daten hat und der Inhaber gleichzeitig nicht unter das Recht der betreffenden Behörde fällt. An einer grundsätzlichen Modernisierung des Rechtshilfeverfahrens zur Vereinfachung des grenzüberschreitenden Datenzugriffs führt damit kein Weg vorbei.

Auf internationaler Ebene ist diesbezüglich einiges im Gang. Die USA haben im Frühjahr 2018 den CLOUD-Act in Kraft gesetzt. Dieser eröffnet anderen Staaten die Möglichkeit, mit den USA ein bilaterales Abkommen abzuschliessen, das ihre Strafverfolgungsbehörden ermächtigen würde, US-Serviceprovider direkt aus dem eigenen Land heraus und nach eigenen Verfahrensregeln zur Herausgabe von Daten aufzufordern. Ein erstes solches bilaterales Abkommen wurde am 3. Oktober 2019 zwischen den USA und Grossbritannien unterzeichnet und wird voraussichtlich Anfang April 2020 in Kraft treten. Sowohl die EU als auch Australien stehen mit den USA ebenfalls in Verhandlungen zum Abschluss eines Abkommens basierend auf dem CLOUD-Act. Auf EU-Ebene wird derzeit ausserdem über ein Gesetzespaket debattiert, das innerhalb der EU den direkten Verkehr von Strafverfolgungsbehörden und Serviceprovidern etablieren soll. Es handelt sich dabei um das e-Evidence-Gesetzgebungspaket der Europäischen Kommission. Schliesslich bestehen auf Ebene des Europarates Bestrebungen, ein zweites Zusatzprotokoll zur Cybercrime-Konvention zu verabschieden, mit dem die Rechtshilfe innerhalb der Mitgliedstaaten vereinfacht werden soll.

Die Schweiz tut gut daran, sich aktiv an den Arbeiten für ein zweites Zusatzprotokoll zur Cybercrime-Konvention zu beteiligen. Daneben muss für sie nach der hier vertretenen Auffassung prioritär sein, sich um ein Verhandlungsmandat mit den USA zum Abschluss eines bilateralen CLOUD-Act-Abkommens zu bemühen. Ein solches Abkommen würde Beweiserhebungen mit US-Bezug massiv vereinfachen und beschleunigen. Angesichts der enormen Bedeutung von US-Techfirmen im Bereich der digitalen Datenspeicherung wäre damit schon einiges erreicht.

Autor: Mathias Eberli

Mathias Eberli, MLaw RA, CAS Forensics, MAS Economic Crime Investigation, Staatsanwalt bei der Staatsanwaltschaft III des Kantons Zürich Mathias Eberli beschäftigt sich beruflich mit der Verfolgung schwerer Wirtschaftsdelikte. Zuvor war er mehrere Jahre als Staatsanwalt für allgemeine Delikte tätig und absolvierte den MAS Economic Crime Investigation an der Hochschule Luzern. Abschluss dieser Weiterbildung bildete seine Masterarbeit zur Erhebung digitaler Beweismittel im Strafprozess.