Die Auslagerung der Kernnetzinfrastruktur hat sich zu einer zunehmend verbreiteten Strategie für MVNOs und kleinere Netzbetreiber entwickelt, die ihre Investitionsausgaben senken und die Markteinführungszeit verkürzen möchten. Cloud-basierte Kernnetze, „Network-as-a-Service“ (NaaS)-Angebote und verwaltete Kernnetzdienste ermöglichen es Netzbetreibern, Dienste einzuführen und zu skalieren, ohne die erheblichen Investitionen tätigen zu müssen, die für den Aufbau und Betrieb einer eigenen Kerninfrastruktur erforderlich wären. Dieses Architekturmodell bringt jedoch spezifische Herausforderungen für die Telekommunikationsüberwachung mit sich, denen sich die Netzbetreiber stellen müssen, um Einhaltung von Rechtsvorschriften.
When the core network is outsourced, the technical capability to intercept communications resides with the infrastructure provider, while the operator keeps legal duties of its own. This article examines the challenges this creates, the models for addressing them, and the practical steps operators should take to ensure compliance when their core network is hosted or managed by a third party.
LI mit einem ausgelagerten Kernnetz
The fundamental challenge of outsourced core networks for LI is the separation of the legal obligation from the technical capability. The operator — as the registered provider of public electronic communications services — keeps legal LI duties. But the interception points, the network functions that process subscriber communications, and the infrastructure needed to capture and deliver intercepted data are operated by a third party.
Diese Trennung ist ausgeprägter als in der traditionellen MVNO-MNO-Beziehung, bei der der MNO zumindest anerkennt, dass er ein Telekommunikationsnetz betreibt, das mit entsprechenden regulatorischen Verpflichtungen verbunden ist. Anbieter von Kernnetz-Hosting-Diensten kommen möglicherweise aus dem Bereich der IT-Infrastruktur oder des Cloud-Computing und sind möglicherweise nicht umfassend mit den regulatorischen Anforderungen im Telekommunikationsbereich vertraut, einschließlich der Telekommunikationsüberwachung. Der Betreiber kann nicht davon ausgehen, dass der Hosting-Anbieter die Telekommunikationsüberwachung bei der Gestaltung seiner Infrastruktur oder in seinen Betriebsprozessen berücksichtigt hat.
Outsourcing infrastructure rarely removes your own obligations. Depending on national law and on who actually operates the core, the hosting provider may become obliged as well (in Germany the duty follows whoever operates the installation, § 170 TKG), but you remain responsible for your own Einhaltung der LI-Vorschriften duties and for choosing a provider that can implement orders. Regulators will not accept dependency on a third party as an excuse for non-compliance.
Hosting-Modelle für Kernnetzwerke und deren Auswirkungen auf LI
Die Auswirkungen auf LI hängen vom jeweiligen Hosting-Modell ab. Bei einem dedizierten Hosting-Modell verfügt der Betreiber über eine eigene Instanz der Kernnetzwerkfunktionen, die auf der Infrastruktur des Hosting-Anbieters ausgeführt wird. Der Betreiber verfügt möglicherweise über Administratorrechte zur Konfiguration der Netzfunktionen, einschließlich der LI-bezogenen Einstellungen. In diesem Modell kann der Betreiber potenziell eine eigene LI-Mediationsfunktion bereitstellen und diese mit den gehosteten Netzfunktionen verbinden, sofern der Hosting-Anbieter hinsichtlich Netzwerkkonnektivität und Zugriff kooperiert.
In einem Shared- oder Multi-Tenant-Modell teilt sich der Betreiber Instanzen von Kernnetzwerkfunktionen mit anderen Mandanten des Hosting-Anbieters. Dieses Modell ist kostengünstiger, führt jedoch zu einer zusätzlichen Komplexität für die LI, da die Überwachung auf die Teilnehmer des jeweiligen Betreibers beschränkt werden muss, ohne den Datenverkehr anderer Mandanten zu beeinträchtigen. Der Hosting-Anbieter muss mandantenbezogene Überwachungsfähigkeiten that can segregate traffic by operator, and label every delivery with the identifier of the operator that is legally performing the intercept, so that one tenant’s intercepts are never attributed to another.
Bei einem vollständig verwalteten Modell betreibt der Hosting-Anbieter das Kernnetz im Auftrag des Netzbetreibers und übernimmt dabei alle Konfigurations-, Wartungs- und Betriebsaufgaben. Der Netzbetreiber hat nur eingeschränkten oder gar keinen direkten Zugriff auf die Netzwerkfunktionen. Bei diesem Modell ist der Netzbetreiber bei der Implementierung und Ausführung von LI-Funktionen vollständig auf den Hosting-Anbieter angewiesen, was umfassende vertragliche Vereinbarungen und validierte technische Lösungen erfordert.
Vertragliche Anforderungen
Der Vertrag zwischen dem Betreiber und dem Hosting-Anbieter des Kernnetzes ist das wichtigste Instrument zur Gewährleistung der LI-Konformität in einem Outsourcing-Modell. Der Vertrag sollte ausdrücklich auf die Telekommunikationsüberwachung eingehen und dabei die Verpflichtung des Hosting-Anbieters zur Unterstützung der LI-Funktionalität innerhalb der gehosteten Infrastruktur sowie die spezifischen LI-Schnittstellen abdecken, die implementiert und unterstützt werden müssen, die Reaktionszeiten für die Aktivierung und Deaktivierung von Überwachungsmaßnahmen, die Sicherheits- und Vertraulichkeitsanforderungen für den Umgang mit ausgeleiteten Daten, die Prüf- und Testrechte des Betreibers, das Verfahren zur Umsetzung behördlicher Aktualisierungen und neuer LI-Anforderungen sowie die Haftungsverteilung bei LI-Fehlern.
Operators should not accept generic language or vague commitments regarding LI support. The contract should specify the concrete technical and operational deliverables that the hosting provider must supply, and should include measurable service levels with meaningful penalties for non-performance. LI compliance is a legal obligation backed by substantial fines (in Germany up to EUR 500,000 for not holding the required interception facilities, § 228 TKG), and the contractual arrangements must reflect this seriousness.
Optionen für die technische Architektur
Several technical architecture options can address LI in an outsourced core network environment. The first option is the operator-managed model, where the operator deploys its own LI management system (LIMS) und LI-Mediationsplattform: the LIMS provisions the hosted network functions over X1, and the mediation platform receives their X2/X3 output (ETSI TS 103 221 and 3GPP TS 33.127, used for 4G, IMS and 5G) or a vendor-specific equivalent. This requires the hosted network functions to expose LI interfaces that the operator’s mediation platform can consume. The operator retains control over Verwaltungsmandat, die Datenübermittlung sowie die Schnittstellen zur Weitergabe an die Strafverfolgungsbehörden.
Die zweite Option ist das vom Hosting-Anbieter verwaltete LI-Modell, bei dem der Hosting-Anbieter die LI-Infrastruktur als Teil des gehosteten Kernnetzwerkdienstes bereitstellt und betreibt. Der Hosting-Anbieter übernimmt im Auftrag des Betreibers die Aktivierung der Überwachung, die Datenerfassung und die Übermittlung an die Strafverfolgungsbehörden. Dieses Modell vereinfacht die technischen Anforderungen für den Betreiber, erfordert jedoch ein hohes Maß an Vertrauen in den Hosting-Anbieter sowie umfassende vertragliche und prüfungsbezogene Vereinbarungen.
The third option is a hybrid model, where certain LI functions are provided by the hosting provider (such as the points of interception within the network functions) and others are managed by the operator (such as the mediation function and handover interfaces). This model can provide a practical balance between operator control and hosting provider capability.
Sicherheitsaspekte
Die Sicherheit ausgeleiteter Daten in einer ausgelagerten Umgebung erfordert besondere Aufmerksamkeit. Ausgeleitete Kommunikationsdaten gehören zu den sensibelsten Datentypen im Telekommunikationsbetrieb, und ihr Schutz ist sowohl eine gesetzliche Vorschrift als auch eine praktische Notwendigkeit. In einem ausgelagerten Modell können ausgeleitete Daten die Infrastruktur des Hosting-Anbieters durchlaufen, wodurch zusätzliche Schwachstellen entstehen, die gesichert werden müssen.
The operator should ensure that intercepted data is encrypted in transit, and that any buffer that holds it before delivery is encrypted and kept no longer than delivery requires (in Germany, storing the content of the interception copy is not permitted, § 10 TKÜV). Access to LI systems and data should be strictly controlled and limited to authorised personnel, with comprehensive audit logging. The hosting provider’s personnel should be subject to appropriate vetting and confidentiality requirements. Physical security of the data centre hosting the LI infrastructure should meet the standards required by the national regulatory framework.
The operator should also consider the jurisdictional implications of hosting intercepted data in a third-party data centre. If the data centre is located in a different country from the operator’s home market, questions about data sovereignty, cross-border data transfers, and the applicability of foreign legal regimes may arise. Some countries settle this by law: in Germany the equipment that controls interception and the handover point must be operated in Germany (§ 14(1) TKÜV), and France requires LI systems to be installed on French territory (CPCE art. D. 98-7). Check the location rules of each market before choosing the hosting site. Operators should ensure that the location of the hosting infrastructure is compatible with their regulatory obligations and that appropriate data protection safeguards are in place.
Prüfung und Validierung
Unabhängig vom gewählten technischen Modell muss der Betreiber die LI-Fähigkeit durch End-to-End-Tests validieren. Diese Tests sollten alle vom nationalen Rahmenwerk geforderten TKÜ-Szenarien abdecken, einschließlich der Überwachung von Sprachverbindungen, SMS und Daten unter Verwendung verschiedener Methoden zur Zielidentifizierung. Die Tests sollten nicht nur überprüfen, ob die Überwachung aktiviert und die Daten übermittelt werden können, sondern auch, ob die Reaktionszeiten, die Datenqualität und die Sicherheit den geforderten Standards entsprechen.
In den Testprozess sollten gegebenenfalls die nationale technische Behörde oder die LEMF einbezogen werden, und die Tests sollten unter Bedingungen durchgeführt werden, die für die Produktionsumgebung repräsentativ sind. Die Betreiber sollten mehrere Testdurchläufe einplanen und die Testdokumentation als Nachweis für die Konformität aufbewahren.
Schlussfolgerung
Outsourcing the core network rarely outsources your own lawful interception obligations. Operators using hosted or managed core network services must proactively address LI compliance through comprehensive contractual arrangements, validated technical solutions, and rigorous testing. The specific approach will depend on the hosting model, the operator’s technical capabilities, and the requirements of the national regulatory framework. By treating LI compliance as a first-class requirement in the core network hosting decision — not an afterthought — operators can achieve the cost and efficiency benefits of outsourcing while maintaining full compliance with their lawful interception obligations.
Überlegungen zur Lieferantenauswahl
Bei der Auswahl eines Hosting-Anbieters für das Kernnetz sollten Netzbetreiber neben Leistung, Skalierbarkeit und Kosten auch die LI-Fähigkeit als wichtiges Bewertungskriterium berücksichtigen. Fragen Sie potenzielle Hosting-Anbieter nach ihren bestehenden LI-Fähigkeiten und ihrer Erfahrung. Unterstützen sie derzeit LI für andere Netzbetreiberkunden? Welche LI-Schnittstellen stellen sie aus ihren Netzwerkfunktionen bereit? Verfügen sie über validierte Integrationen mit Anbietern von LI-Mediationsplattformen? Wie sieht ihre Erfolgsbilanz bei der Unterstützung von regulatorischen Aktualisierungen und neuen LI-Anforderungen aus? Ein Hosting-Anbieter, der keine nennenswerten LI-Fähigkeiten und -Erfahrungen nachweisen kann, stellt ein erhebliches Compliance-Risiko dar, unabhängig davon, wie attraktiv sein kommerzielles Angebot auch sein mag.
Betreiber sollten zudem die Bereitschaft und Fähigkeit des Hosting-Anbieters prüfen, den Betreiber während des LI-Prüfungs- und Zertifizierungsprozesses bei der nationalen technischen Behörde zu unterstützen. Dieser Prozess erfordert in der Regel eine enge Zusammenarbeit zwischen dem Betreiber, dem Hosting-Anbieter und möglicherweise dem Anbieter der LI-Vermittlungsplattform. Ein Hosting-Anbieter, der reaktionsschnell, technisch kompetent und entschlossen ist, die Einhaltung der LI-Vorgaben zu unterstützen, ist ein weitaus wertvollerer Partner als einer, der LI als nebensächliches Anliegen betrachtet. Die Wahl des Hosting-Anbieters hat langfristige Auswirkungen auf die Fähigkeit des Betreibers, die LI-Konformität auch bei sich ändernden regulatorischen Anforderungen aufrechtzuerhalten, und dieser Faktor sollte im Auswahlprozess entsprechend gewichtet werden.
Die Verwaltung von LI mit einem ausgelagerten Kernnetz erfordert klare vertragliche Rahmenbedingungen und eine regelmäßige Überprüfung der Einhaltung der Vorschriften. Die Vereinbarung über das ausgelagerte Kernnetz muss ausdrückliche Bestimmungen zur Telekommunikationsüberwachung enthalten.
Verwandte Artikel
Weitere Informationen zu verwandten Themen finden Sie in diesen Artikeln:
- MVNO vs. MNO: Wer ist rechtlich verantwortlich für Telekommunikationsüberwachung (TKÜ)?
- Die MVNO LI-Checkliste: Alles, was Sie vor dem Going Live brauchen
- LI-Einhaltung als Dienstleistung: Welche SLAs sollten Sie tatsächlich einfordern?
Externe Ressourcen
Die folgenden externen Quellen bieten zusätzlichen Kontext und offizielle Dokumentation:
