Das Verständnis der HI1-, HI2- und HI3-Schnittstellen ist für die korrekte Umsetzung der Telekommunikationsüberwachung von grundlegender Bedeutung. Das Herzstück jedes Systems zur Telekommunikationsüberwachung bildet eine Reihe standardisierter Schnittstellen, die regeln, wie ausgeleitete Kommunikation verwaltet, verarbeitet und an die Strafverfolgungsbehörden weitergeleitet wird. Im ETSI-Rahmenwerk – dem maßgeblichen Standard für die Telekommunikationsüberwachung in Europa und weiten Teilen der Welt – werden diese Schnittstellen als HI1, HI2 und HI3 bezeichnet. Zusammen bilden sie die vollständige Übergabearchitektur, die das Netz eines Betreibers mit dem Überwachungseinrichtung der Strafverfolgungsbehörden (LEMF). Trotz ihrer grundlegenden Bedeutung werden die Unterschiede zwischen diesen drei Schnittstellen häufig missverstanden, selbst von Fachleuten aus den Bereichen Telekommunikation und Strafverfolgung.
Dieser Artikel bietet eine klare, detaillierte Erklärung jeder Schnittstelle - was sie beinhaltet, wie sie funktioniert und warum sie wichtig ist. Das Verständnis von HI1, HI2 und HI3 ist nicht nur eine akademische Übung; es ist für jeden, der an der Entwicklung, Beschaffung, Einrichtung oder dem Betrieb eines Systems zur Telekommunikationsüberwachung beteiligt ist, unerlässlich.
Verständnis der HI1 HI2 HI3-Schnittstellen
Before examining each interface individually, it is important to understand where they sit within the broader LI architecture. The ETSI model divides the interception process into several functional components. In the classic ETSI model (TS 101 671), the key components on the operator’s side are the internal interception function (IIF), which performs the actual interception within the network, and the Mediationsfunktion (MF), which translates the intercepted data into the standardised formats required by the handover interfaces. Current ETSI and 3GPP architectures (TS 104 007, TS 103 221, 3GPP TS 33.127) call them the point of interception (POI) and the mediation and delivery function (MDF). On the law enforcement side, the LEMF receives the intercepted data and provides tools for analysis and investigation.
Die drei HI-Schnittstellen bilden die Grenze zwischen dem Bereich des Betreibers und dem Bereich der Strafverfolgungsbehörden. HI1 wickelt den administrativen Austausch ab, HI2 übermittelt überwachungsrelevante Informationen und HI3 den Inhalt der Kommunikation. Jede Schnittstelle arbeitet unabhängig, obwohl alle drei zusammenarbeiten müssen, um einen vollständigen TKÜ-Vorgang zu unterstützen. Durch die Trennung dieser Funktionen in verschiedene Schnittstellen wird sichergestellt, dass die administrativen, metadatenbezogenen und inhaltlichen Aspekte der Überwachung entsprechend ihren unterschiedlichen Anforderungen verwaltet, gesichert und verarbeitet werden können.
HI1: Die administrative Schnittstelle
HI1 ist die administrative Schnittstelle zwischen den Strafverfolgungsbehörden und dem Betreiber. Sein Hauptzweck besteht darin, den Überwachungsauftrag von der Strafverfolgungsbehörde an den Betreiber zu übermitteln und den Lebenszyklus der Überwachung zu verwalten - von der Aktivierung über die Änderung bis zur Deaktivierung. HI1 ist der Befehls- und Kontrollkanal für den TKÜ-Prozess.
Über HI1 teilt die Strafverfolgungsbehörde die Einzelheiten des Überwachungsauftrags mit, einschließlich der Identität der Zielperson (die durch Telefonnummer, IMSI, IMEI, IP-Adresse, E-Mail-Adresse oder eine andere Kennung angegeben werden kann), des Umfangs der Überwachung (nur Inhalt, nur Metadaten oder beides), der genehmigten Dauer und spezifischer Parameter oder Einschränkungen. Der Betreiber quittiert den Empfang des Auftrags, bestätigt die Aktivierung und meldet den Status der Überwachung zurück.
Mit HI1 können auch Änderungen an einer bestehenden Überwachung vorgenommen werden - z. B. die Verlängerung der Dauer, die Änderung der Zielkennung oder die Anpassung des Umfangs - sowie die Deaktivierung der Überwachung, wenn die Genehmigung abläuft oder widerrufen wird. In einigen Implementierungen unterstützt HI1 auch den Austausch von administrativen Metadaten wie Haftbefehlsnummern, Fallreferenzen und Operator Response Codes.
The implementation of HI1 varies significantly between jurisdictions and operators. In some countries, HI1 is a fully automated, machine-to-machine interface using defined protocols and message formats. In others, it remains a largely manual process, with interception orders delivered by fax, secure email, or physical document and acknowledged through similar channels. ETSI TS 103 120 now defines a complete electronic HI1 protocol, and 3GPP requires 5G networks to support it, but national legal and institutional arrangements still vary widely.
Die Sicherheit von HI1 ist von entscheidender Bedeutung, da es sensible Informationen über aktive TKÜ-Maßnahmen enthält. Ein unbefugter Zugriff auf HI1 könnte dem Ziel die Existenz einer TKÜ-Maßnahme offenbaren oder die Aktivierung nicht autorisierter TKÜ-Maßnahmen ermöglichen. Die Implementierungen müssen daher eine starke Authentifizierung, Verschlüsselung, Zugangskontrollen und Audit-Protokollierung umfassen.
HI2: Die Schnittstelle für abfangbezogene Informationen
HI2 ist die Schnittstelle für die Übermittlung von überwachungsrelevanten Informationen (IRI) an das LEMF. Bei den IRI handelt es sich um Metadaten, die mit der ausgeleiteten Kommunikation verbunden sind - das "Wer", "Wann", "Wo" und "Wie" der Kommunikation, ohne den eigentlichen Inhalt. HI2 wird oft als Metadatenschnittstelle bezeichnet, und die Informationen, die sie enthält, sind für die Ermittlungen der Strafverfolgungsbehörden von entscheidender Bedeutung, da sie häufig genauso viel oder mehr Ermittlungswert haben als der Inhalt selbst.
The IRI delivered over HI2 typically includes the identities of the communicating parties (calling and called numbers, IMSI, IMEI), the time and duration of the communication, the type of service (voice, SMS, data), the network elements involved, cell identifiers and location information, IP addresses and port numbers, and signalling information such as SIP headers or Diameter messages. The specific data elements included in the IRI vary depending on the type of communication and the network technology, and are defined in the applicable handover standard: ETSI TS 102 232-2 to -7 for IP-based services, ETSI TS 101 671 / 3GPP TS 33.108 for legacy mobile and circuit-switched services, and 3GPP TS 33.128 for 5G.
HI2-Daten werden mithilfe von ASN.1 (Abstract Syntax Notation One) kodiert, das ein formales, strukturiertes Format zur Darstellung der IRI-Datenelemente bereitstellt. Die Verwendung von ASN.1 gewährleistet, dass die Daten über verschiedene Implementierungen hinweg eindeutig kodiert und dekodiert werden können, was die Interoperabilität zwischen Betreibern und Strafverfolgungsbehörden. HI2 and HI3 are protected either by a private managed network, by a VPN (for example the IPsec crypto boxes mandated in Germany), or by TLS 1.2/1.3 with certificate-based mutual authentication, depending on the national framework; delivery uses TCP to ensure reliable, in-order delivery.
One of the complexities of HI2 is the need to generate IRI events in real time as the intercepted communication progresses. For a voice call, this means generating events for call setup, ringing, answer, call modification (such as hold or conference), and call release. For a data session, it means generating events for session establishment, address allocation, bearer activation, and session termination. The interception points in the network detect the call or session events, and the mediation function turns them into standard IRI records with accurate timestamps.
HI2 ist besonders wichtig für Ermittlungen, bei denen es um Standortverfolgung, Netzwerkanalyse und die Bewertung von Lebensmustern geht. Die über HI2 gelieferten Metadaten können Kommunikationsmuster, geografische Bewegungen und die Netznutzung aufzeigen, die für viele Arten von strafrechtlichen Ermittlungen von zentraler Bedeutung sind. Für die Betreiber ist die Gewährleistung der Vollständigkeit und Genauigkeit der HI2-Daten ein wichtiger Qualitätsmaßstab für ihre LI-Systeme.
HI3: Der Inhalt der Kommunikationsschnittstelle
HI3 is the interface for delivering the content of communications (CC) to the LEMF. CC is the actual substance of the intercepted communication — the voice audio, the web pages viewed, the emails sent and received, the files transferred. (SMS is the classic exception: in 3GPP networks its text is delivered as IRI over HI2.) HI3 is the interface that carries the material that law enforcement needs to understand what the target is communicating, as opposed to the metadata about how and when the communication occurs.
Format und Umfang der CC-Daten sind je nach Art der ausgeleiteten Kommunikation sehr unterschiedlich. Bei Sprachanrufen ist das CC ein Echtzeit-Audiostrom, der in der Regel mit Standard-Codecs wie AMR (Adaptive Multi-Rate) oder G.711 kodiert ist. Bei Datensitzungen besteht der CC aus den vom Ziel ausgetauschten IP-Paketen, die Webverkehr, E-Mail-Nachrichten, Dateiübertragungen, Streaming Media und jede andere Art von IP-basierter Kommunikation umfassen können. Das Datenvolumen, das bei einer einzelnen Datenüberwachung entsteht, kann um Größenordnungen größer sein als bei einer Sprachüberwachung.
HI3 delivery must be real-time for voice and near-real-time for data. The intercepted content must be delivered to the LEMF with minimal latency to support time-critical investigations. For IP-based handover (ETSI TS 102 232), all content, including voice, is wrapped in PS-PDUs and sent over TCP (protected by a VPN or TLS). Captured RTP media becomes the payload of these PDUs rather than being sent as RTP. Legacy circuit-switched handover uses ISDN bearer channels instead.
The handling of encrypted content on HI3 is one of the most challenging aspects of modern LI. If the target’s communications are encrypted at the application layer (for example, using end-to-end encryption in a messaging application), the operator may only be able to deliver the encrypted content on HI3, which is of limited value to law enforcement. Operators must remove any encryption they apply or manage themselves, or supply the keys (3GPP TS 33.126). End-to-end encryption applied by an over-the-top application is outside the operator’s control, so the operator can only deliver that content as it sees it — and the growing prevalence of such encryption is creating a widening gap between what law enforcement expects and what operators can deliver.
Wie die drei Schnittstellen zusammenarbeiten
Bei einer typischen TKÜ-Maßnahme arbeiten die drei Schnittstellen wie folgt zusammen: Zunächst übermittelt die Strafverfolgungsbehörde dem Betreiber über HI1 einen Überwachungsanordnung, in dem das Ziel, der Umfang und die Dauer festgelegt sind. Der Betreiber LI-Managementsystem processes the order, validates the warrant, and provisions the points of interception (POIs) and the mediation function over X1 to begin intercepting the target’s communications.
When the target initiates or receives a communication, the POIs capture the relevant signalling and content and pass them to the mediation function over X2 and X3. The mediation function processes this data, turning the detected events into IRI records encoded in ASN.1 format for delivery over HI2, and encapsulating the CC for delivery over HI3. Both streams are transmitted securely to the LEMF, where they are correlated and presented to investigators.
Während der gesamten Überwachung bleibt HI1 zu Verwaltungszwecken aktiv - die Strafverfolgungsbehörde kann damit Statusaktualisierungen anfordern, die Überwachungsparameter ändern oder einen Deaktivierungsbefehl erteilen. Wenn die Überwachung beendet ist, bestätigt der Betreiber die Deaktivierung über HI1 und stellt die Übertragung von IRI und CC über HI2 und HI3 ein.
Praktische Erwägungen für Betreiber
Die Betreiber, die die drei HI-Schnittstellen implementieren, müssen mehrere praktische Überlegungen anstellen. Die erste ist die Dimensionierung des Systems. Die Schnittstellen HI2 und HI3 müssen so dimensioniert sein, dass sie das erwartete Volumen gleichzeitiger Abfragen ohne Datenverlust oder übermäßige Latenzzeiten bewältigen können. Bei datenintensiven Abfangvorgängen können die Bandbreitenanforderungen für HI3 beträchtlich sein, und die Betreiber müssen sicherstellen, dass ihre Übertragungsinfrastruktur angemessen ausgestattet ist.
The second consideration is security. All three interfaces carry sensitive information and must be protected against unauthorised access, eavesdropping, and tampering. This requires a protected delivery path (a private network, VPN or TLS with mutual authentication, as the national framework prescribes) and comprehensive audit logging. Security failures on any of the three interfaces can compromise the integrity of the interception process and potentially expose sensitive law enforcement operations.
Der dritte Aspekt ist die Interoperabilität. Die Betreiber müssen sicherstellen, dass ihre HI-Implementierungen mit den von den Strafverfolgungsbehörden in ihrem Zuständigkeitsbereich verwendeten Systemen kompatibel sind. Dazu sind in der Regel formale Interoperabilitätstests erforderlich, was ein zeitaufwändiger Prozess sein kann. Die Betreiber sollten sich schon früh im Entwicklungsprozess mit den technischen Ansprechpartnern der nationalen Strafverfolgungsbehörden in Verbindung setzen, um Kompatibilitätsprobleme zu erkennen und zu lösen.
Schlussfolgerung
Die Schnittstellen HI1, HI2 und HI3 bilden das Rückgrat der ETSI-Architektur für die rechtmäßige Übergabe von Überwachungsdaten. HI1 stellt den administrativen Kontrollkanal bereit, HI2 liefert die umfangreichen Metadaten, die für Ermittlungen unerlässlich sind, und HI3 überträgt den eigentlichen Inhalt der ausgeleiteten Kommunikation. Zusammen ermöglichen sie eine vollständige, auf Standards basierende Überwachungsfunktion, die sowohl die Bedürfnisse der Betreiber als auch der Strafverfolgungsbehörden erfüllt. Das Verständnis der unterschiedlichen Rollen, technischen Anforderungen und praktischen Herausforderungen der einzelnen Schnittstellen ist für jeden, der an der Entwicklung, dem Einsatz oder dem Betrieb von TKÜ-Systemen in modernen Telekommunikationsnetzen beteiligt ist, von entscheidender Bedeutung.
Die ordnungsgemäße Implementierung der HI1-, HI2- und HI3-Schnittstellen ist unerlässlich für Einhaltung der TKÜ-Vorschriften. Die Betreiber müssen ihre HI1-, HI2- und HI3-Implementierungen vor der Inbetriebnahme gründlich testen.
Verwandte Artikel
Weitere Informationen zu verwandten Themen finden Sie in diesen Artikeln:
- ETSI TS 103 120 Explained: The Electronic HI1 Warrant Interface
- IRI vs. CC: Was überwachungsrelevante Informationen in der Praxis bedeuten
- X1/X2/X3-Schnittstellen in 5G: Die 3GPP LI-Architektur wird erklärt
Externe Ressourcen
Die folgenden externen Quellen bieten zusätzlichen Kontext und offizielle Dokumentation:
