LEMF-SOFTWARE
ICS LEMF: Überwachungsstelle für Strafverfolgungsbehörden und Betreiber
Empfangen, entschlüsseln und analysieren Sie rechtmäßig abgefangene Sprach- und IP-Daten in einer einzigen sicheren Anwendung. Betreiber nutzen die Test-LEMF-Edition, um ihre eigenen HI2- und HI3-Übermittlungen zu überprüfen.
Eine Überwachungseinrichtung für Strafverfolgungsbehörden (LEMF) ist das System auf Seiten der Behörde im Rahmen der rechtmäßigen Überwachung. Sie empfängt, speichert, entschlüsselt und analysiert die Daten, die Kommunikationsdienstleister (CSPs) aufgrund einer gerichtlichen Anordnung übermitteln. ICS LEMF ist die LEMF-Software von ICS, die für Behörden sowie als Test-LEMF für Betreiber verfügbar ist.
Wichtige Fakten
- Zwei Ausgaben: LEMF für Agenturen und Test-LEMF für Betreiber.
- Übergabestandards: ETSI TS 101 671, ETSI TS 102 232-1 bis -7, 3GPP TS 33.108 und TS 33.128.
- Bestell- und Anfragekanäle: HI1 gemäß ETSI TS 103 120 oder schriftliche Bestellungen per Fax und OCR; deutsches ETSI-ESB und E-Mail-ESB für Informationsanfragen.
- Bereitstellung: vor Ort, aktiv/aktiv über zwei Standorte hinweg, virtualisiert; ein Air-Gap-Betrieb kann unterstützt werden.
- Integrität der Beweismittel: Digitale Signatur bei der Erfassung, gehashte Exporte, vollständiger Prüfpfad, versionierte Neu-Dekodierung.
- Hintergrund: Mehr als 20 Jahre Erfahrung mit ICS im Bereich der rechtmäßigen Überwachung.
Was macht eine Überwachungseinrichtung der Strafverfolgungsbehörden?
Im ETSI- und 3GPP-Referenzmodell betreibt der Netzbetreiber die Verwaltungsfunktion, die Abhörstellen und die Vermittlungsfunktion. Die Behörde betreibt die LEMF. Drei Übergabeschnittstellen verbinden beide Seiten: HI1 für Informationen zu Genehmigungen, HI2 für abhörbezogene Informationen (IRI) und HI3 für den Kommunikationsinhalt (CC).
Das LEMF führt diese Datenströme zusammen. Es ordnet jeden Datensatz über seine „Lawful Interception Identifier“ (LIID) einem Fall zu und zeigt ihn nur autorisierten Benutzern an. Grundlegende Informationen finden Sie unter HI1, HI2 und HI3 erklärt.
Der Aufgabenbereich hat sich erweitert. Die Behörden erhalten mittlerweile Daten von Mobilfunkbetreibern, MVNOs, Internetdienstanbietern, VoIP- und OTT-Anbietern, wobei es sich größtenteils um verschlüsselten IP-Verkehr handelt. Eine moderne Überwachungsstelle der Strafverfolgungsbehörden muss Anbieter und richterliche Anordnungen in großem Umfang verwalten und IP-Daten in Beweismittel umwandeln.
ICS-LEMF-Module
ICS LEMF ist modular aufgebaut, sodass jede Behörde genau die Funktionen aktivieren kann, die sie für ihre Ermittlungen benötigt.
01
CSP-Management
Ein Anbieterregister mit Kontaktdaten, unterstützten Diensten, ETSI-Versionen, Endpunkten und Zertifikaten. Bei Onboarding-Tests und der Überwachung der Übertragungsqualität werden Lücken in der Flag-Sequenz, fehlerhafte Datensätze und nicht übereinstimmende IRIs erkannt.
02
Verwaltung von Optionsscheinen
Fallakten, LIIDs, Zielkennungen und Fristen, mit automatischen Erinnerungen und dem Vier-Augen-Prinzip. Abhöranordnungen werden über HI1 (ETSI TS 103 120) versendet, sofern der CSP dies unterstützt; andernfalls schriftlich mittels Faxvorlagen und OCR. Auskunftsersuchen erfolgen über ETSI-ESB oder E-Mail-ESB.
03
Empfangs-Backend
Rund um die Uhr aktiver/aktiver Empfang von HI2 und HI3 mit lokaler Zwischenspeicherung und digitaler Signatur bei der Erfassung. IRI und CC werden automatisch miteinander abgeglichen, und ETSI TS 103 462 regelt den Übergang zwischen LEMFs.
04
Entschlüsselung
Websitzungen, E-Mails (POP3, IMAP, SMTP), VoIP-Anrufe und Dateiübertragungen werden in lesbare Formate umgewandelt. Durch OCR und EXIF-Extraktion lassen sich Bilder und Dokumente durchsuchen.
05
Audio-Workbench
Wiedergabe mit Markern, Loops, nach Sprechrichtung getrennten Kanälen, Geschwindigkeits- und Tonhöhensteuerung sowie Filtern. Live-Monitoring, Sprach-zu-Text-Umwandlung, Sprecheridentifizierung und eine Dolmetscherfunktion sind enthalten.
06
IP-Analysen, Geodaten und Benachrichtigungen
DPI klassifiziert verschlüsselte Apps, während Karten, Zeitachsen und Entitätsgraphen Menschen, Geräte und Standorte miteinander verknüpfen. Warnmeldungen werden anhand von Nummern, IP-Adressen, Schlüsselwörtern, Zeitfenstern und Geofences ausgelöst. Ein PCAP-Export nach Wireshark sowie eine Decoder-Plugin-API sind enthalten. Mehr erfahren
Wie ICS LEMF eine Takteinheit verarbeitet
Jede Überwachung verläuft nach dem gleichen festgelegten Ablauf, vom Gerichtsbeschluss bis zur Löschung.
1
Entgegennahme von Haftbefehlen
Der Fallmanager hält die Rechtsgrundlage, die Ziele, die Leistungen und den Zeitraum fest.
2
Aufgabenverteilung
ICS LEMF vergibt die LIID und übermittelt den Auftrag über HI1 oder schriftlich an den CSP.
3
Empfang
HI2- und HI3-Lieferungen werden bei Ankunft zwischengespeichert und quittiert.
4
Korrelation
IRI und CC werden der Kennzahl zugeordnet und auf Vollständigkeit überprüft.
5
Entschlüsselung
Lesbarer Datenverkehr wird zu Produkten, und DPI klassifiziert verschlüsselten Datenverkehr.
6
Analyse
Analysten und Dolmetscher arbeiten mit Zeitachsen, Karten, Diagrammen und der Audio-Workbench.
7
Exportieren und Löschen
Die Ergebnisse werden als gehashtes Exportdatum ausgegeben, und das Löschen wird protokolliert.
Welche Standards unterstützt die Überwachungseinrichtung der Strafverfolgungsbehörden?
ICS LEMF entspricht den von europäischen Netzbetreibern verwendeten Handover-Standards von ETSI und 3GPP sowie den deutschen nationalen Verfahren.
| Standard | Geltungsbereich |
|---|---|
| ETSI TS 101 671 | HI2/HI3-Übergabe für leitungsvermittelte Dienste |
| ETSI TS 102 232-1 | Gemeinsamer Rahmen für IP-basierte Übergabe |
| ETSI TS 102 232-2 bis -7 | Dienstspezifischer IP-Übergang: E-Mail, Internetzugang, Layer 2, IP-Multimedia, PSTN/ISDN-Dienste, Mobilfunk |
| 3GPP TS 33.108 | Übergang von 3GPP-Netzen zu 4G und IMS |
| 3GPP TS 33.128 | Übergabe der 5G-Netze |
| ETSI TS 103 120 | HI1: Garantien, Aufgabenstellungen und Lieferanweisungen |
| ETSI TS 102 657 | Übergabe von gespeicherten Daten, Grundlage des deutschen ETSI-ESB |
| ETSI TS 103 462 | Übermittlung abgefangener Daten zwischen LEMFs |
| TR TKÜV (Deutschland) | Nationale Übergabevorschriften, ETSI-ESB und E-Mail-ESB |
Die Spezifikationen werden veröffentlicht von Der ETSI-Ausschuss für rechtmäßige Überwachung und 3GPP.
Bereitstellungsoptionen
ICS LEMF passt sich an die Sicherheitsarchitektur Ihrer Behörde an.
01
Vor Ort in Ihrem Rechenzentrum
ICS LEMF läuft auf Hardware im eigenen Rechenzentrum der Behörde. Alle Daten verbleiben unter der Kontrolle der Behörde.
02
Aktiv/Aktiv über zwei Standorte hinweg
Zwei geografisch getrennte Standorte empfangen und verarbeiten Daten parallel. Fällt ein Standort aus, läuft der andere weiter, und lokale Puffer sichern die eingehenden Daten.
03
Virtualisiert
Die Software läuft auf der Virtualisierungsplattform der Behörde und lässt sich horizontal skalieren, wenn die Anzahl der Anbieter und die Umfang der Maßnahmen zunimmt.
04
Air-Gapped-Betrieb
Ein Air-Gapped-Betrieb wird unterstützt. ICS LEMF kann ohne Internetverbindung ausgeführt werden, und ICS stimmt den Aktualisierungspfad für Decoder und DPI-Signaturen mit der Behörde ab.
Sicherheit und Integrität der Beweismittel
Ein LEMF liefert Beweismaterial, daher muss jeder Schritt vor Gericht nachvollziehbar sein.
- Signatur bei der Erfassung: Die Rohdaten werden sofort nach ihrer Speicherung signiert.
- Exporte mit Hash-Wert sowie ein lückenloses Protokoll aller Zugriffe.
- Versionsbasierte Neu-Dekodierung: Wenn sich ein Decoder ändert, bleiben frühere Ergebnisse und Anmerkungen weiterhin sichtbar.
- Sperre für privilegierte Inhalte: Aufzeichnungen, die unter die Ausschlussregel fallen, können gekennzeichnet und gesperrt werden.
- Vorbild: Systemadministrator, LI-Administrator, Fallbetreuer, Analyst und Dolmetscher, bis hinunter auf die Fallebene.
- Lösch-Workflows in diesem Dokument festzuhalten, wann und warum Daten gelöscht wurden.
LEMF für Agenturen und Test-LEMF für Betreiber
ICS LEMF ist in zwei Versionen mit demselben Empfangs- und Dekodierungskern erhältlich. Behörden nutzen die vollständige Überwachungsanlage für Strafverfolgungszwecke. Betreiber verwenden die Test-LEMF, um ihre eigene Abhörkette von der Empfangsseite aus zu überprüfen.
In Deutschland sind Betreiber gemäß § 170 TKG und der TKÜV zur Überwachung verpflichtet, und die BNetzA prüft ihre Lösung im Rahmen eines Abnahmeverfahrens. Der Test LEMF zeigt vor und während der Abnahme, ob die HI2- und HI3-Übermittlungen vollständig und korrekt formatiert sind. Im täglichen Betrieb führt er End-to-End-Tests durch und löst Alarme aus, wenn Übermittlungen fehlschlagen oder fehlerhaft formatiert sind.
| Aspekt | LEMF für Agenturen | LEMF-Test für Bediener |
|---|---|---|
| Benutzer | Strafverfolgungsbehörden | Mobilfunknetzbetreiber, Mobilfunk-Discounter, Internetdienstanbieter, VoIP- und OTT-Anbieter |
| Zweck | Überwachung, Analyse und Faktenlage | Übergabeprüfung und LI-Kettenprüfung |
| Eingabe | HI1, HI2 und HI3 von vielen CSPs | Die eigenen HI2- und HI3-Lieferungen des Betreibers |
| Wichtigste Funktionen | Durchsuchungsbefehle, Dekodierung, Audio, IP-Analyse, Export | Format- und Vollständigkeitsprüfungen, End-to-End-Tests, Alarme |
| Wann es verwendet wird | Dauerbetrieb | Vor und während der Zulassung durch die BNetzA, danach fortlaufend |
Warum ICS?
01
Wir kennen beide Seiten der Übergabe
ICS führt täglich rechtmäßige Überwachungsmaßnahmen für Netzbetreiber durch, und diese Erfahrung prägt die Art und Weise, wie ICS LEMF die Übermittlungen überprüft.
02
Erfahrung im Bereich der Regulierung
ICS verfügt über mehrere Zulassungen der BNetzA für Abhörlösungen und kennt sich mit den TKÜV- und TR-TKÜV-Vorschriften im Detail aus.
03
Team mit Sicherheitsfreigabe
Unsere Mitarbeiter verfügen über eine Sicherheitsüberprüfung durch das Bundesministerium des Innern und sind zum Umgang mit Verschlusssachen berechtigt.
04
Für eigene Module verfügbar
Die Decoder-Plugin-API und unsere Integrationsdienste ermöglichen es Ihnen, Protokolle hinzuzufügen und bestehende Systeme anzubinden.
Häufig gestellte Fragen
Was ist eine Überwachungseinrichtung der Strafverfolgungsbehörden?
Eine Überwachungseinrichtung der Strafverfolgungsbehörden (LEMF) ist das behördliche System im Rahmen der rechtmäßigen Überwachung. Es tauscht Informationen zu Überwachungsanordnungen über HI1 mit Kommunikationsdienstanbietern aus und empfängt über HI2 Informationen zur Überwachung sowie über HI3 die Überwachungsinhalte. Es speichert, entschlüsselt und analysiert diese Daten für befugte Ermittler, Analysten und Auswerter und führt einen lückenlosen Prüfpfad für gerichtliche Zwecke.
Was ist der Unterschied zwischen einem LEMF und einem LIMS?
Ein System zur Verwaltung rechtmäßiger Überwachungsmaßnahmen (LIMS) läuft auf der Betreiberseite. Es verwaltet die Überwachungsziele und steuert die Überwachungspunkte sowie die Vermittlungsfunktion. Die LEMF läuft auf der Seite der Behörde und empfängt die Ergebnisse. Beide sind über die Übergabeschnittstellen HI1, HI2 und HI3 miteinander verbunden, und ICS bietet Produkte für beide Seiten an.
Welche Übergabestandards unterstützt ICS LEMF?
ICS LEMF unterstützt ETSI TS 101 671 für leitungsvermittelte Dienste und ETSI TS 102 232, Teile 1 bis 7, für IP-Dienste. Mobilfunknetze werden durch 3GPP TS 33.108 bis einschließlich 4G und durch TS 33.128 für 5G abgedeckt. HI1 verwendet ETSI TS 103 120, und ETSI TS 103 462 regelt den Handover zwischen LEMFs.
Was ist der LEMF-Test für Bediener?
Das Test-LEMF ist eine Version des ICS-LEMF für Netzbetreiber. Es empfängt die betreibereigenen HI2- und HI3-Übermittlungen und überprüft vor und während der Abnahme durch die BNetzA deren Format und Vollständigkeit. Im täglichen Betrieb testet es die Abhörkette durchgängig und löst Alarme aus, wenn Übermittlungen fehlschlagen oder fehlerhaft ankommen.
Kann ICS LEMF verschlüsselten Datenverkehr analysieren?
ICS LEMF durchbricht keine End-to-End-Verschlüsselung. Es entschlüsselt den gesamten Datenverkehr, der noch lesbar ist, und klassifiziert verschlüsselten Datenverkehr mithilfe von Deep Packet Inspection, TLS-Fingerprinting und der Analyse von Datenverkehrsmustern. Analysten erkennen, welche Anwendung wann und wie intensiv genutzt wurde. Sie können diese Aktivitäten mit Standorten, Geräten und anderen Zielen im selben Fall in Zusammenhang bringen.
Kann ICS LEMF in einem Air-Gapped-Netzwerk betrieben werden?
Ein Air-Gapped-Betrieb wird unterstützt. ICS LEMF läuft vor Ort, in einem Rechenzentrum oder im Aktiv-Aktiv-Modus über zwei Standorte hinweg und kann ohne Internetverbindung betrieben werden. ICS vereinbart mit der Behörde, wie Updates für Decoder und DPI-Klassifikatoren in die sichere Umgebung gelangen. Die Behörde behält die Kontrolle über alles, was importiert wird.
Sehen Sie sich das ICS LEMF in Aktion an
Vereinbaren Sie eine Demo für Ihre Agentur oder fragen Sie nach, wie der Test LEMF Ihre Übergabe vor der nächsten Abnahme überprüfen kann.