Die gesetzlichen Verpflichtungen zur Überwachung im Bereich des Internets der Dinge (IoT) nehmen rasant zu, da vernetzte Geräte in den Netzwerken immer weiter verbreitet sind. Das Internet der Dinge (IoT) verändert Branchen von der Logistik über die Landwirtschaft bis hin zum Gesundheitswesen und zu Smart Cities. Milliarden vernetzter Geräte kommunizieren mittlerweile über Mobilfunk- und Nicht-Mobilfunknetze und generieren dabei riesige Mengen an Machine-to-Machine-Daten (M2M). Für Telekommunikationsbetreiber – insbesondere solche, die LPWAN-Konnektivität (Low Power Wide Area Network) und M2M-Dienste anbieten – bringt dieses Wachstum nicht nur geschäftliche Chancen mit sich, sondern auch zunehmende regulatorische Verpflichtungen, darunter die rechtmäßige Überwachung.
Die Anwendung von Verpflichtungen zur rechtmäßigen Überwachung auf IoT- und M2M-Kommunikation ist ein sich entwickelnder Regulierungsbereich, doch die Richtung ist klar: Da der IoT-Datenverkehr zunimmt und für strafrechtliche Ermittlungen immer relevanter wird, erwarten Regulierungsbehörden und Strafverfolgungsbehörden zunehmend, dass Betreiber in der Lage sind, diese Kommunikation zu überwachen. Dieser Artikel untersucht den aktuellen Stand der Überwachungspflichten für IoT-Betreiber, die damit verbundenen technischen Herausforderungen sowie die Maßnahmen, die Betreiber zur Vorbereitung ergreifen sollten.
Warum die rechtmäßige Überwachung im IoT-Bereich wichtig ist
Die Frage, ob IoT- und M2M-Kommunikation unter die Verpflichtungen zur rechtmäßigen Überwachung fällt, ist in erster Linie rechtlicher Natur, und die Antwort variiert je nach Rechtsordnung. In der Europäischen Union gilt die Verpflichtung zur Unterstützung der rechtmäßigen Überwachung im Allgemeinen für Anbieter von elektronischen Kommunikationsdiensten, die der Öffentlichkeit zur Verfügung stehen. Die Einstufung der IoT-Konnektivität als öffentlicher elektronischer Kommunikationsdienst hängt von der Art des Dienstes, der Beziehung zum Endnutzer und der spezifischen nationalen Umsetzung des EU-Rechtsrahmens ab.
In Deutschland gilt die TKÜV (Telekommunikations-Überwachungsverordnung) für alle Anbieter öffentlich zugänglicher Telekommunikationsdienste, und die BNetzA hat darauf hingewiesen, dass Betreiber, die IoT-Konnektivitätsdienste anbieten, je nach Art ihres Angebots in den Geltungsbereich fallen können. In anderen EU-Mitgliedstaaten ist die Rechtslage weniger eindeutig definiert, doch geht der allgemeine Trend zu einer umfassenderen Anwendung der LI-Verpflichtungen, da IoT-Dienste immer weiter verbreitet sind und die Strafverfolgungsbehörden neue Anwendungsfälle für IoT-Daten identifizieren.
Selbst wenn die rechtliche Lage unklar ist, sollten Betreiber die praktische Realität berücksichtigen: Wenn die Strafverfolgungsbehörden einen gültigen Überwachungsbeschluss in Bezug auf ein IoT-Gerät in Ihrem Netzwerk vorlegen, wird von Ihnen erwartet, dass Sie diesem nachkommen. Ein Betreiber, der nicht nachweisen kann, dass er in der Lage ist, die Überwachung von IoT-Kommunikation zu unterstützen, geht ein regulatorisches Risiko ein – unabhängig davon, ob die gesetzliche Verpflichtung für IoT-Dienste in der jeweiligen Rechtsordnung ausdrücklich festgelegt ist.
Warum IoT-Daten für die Strafverfolgung wichtig sind
IoT-Geräte generieren Daten, die für strafrechtliche Ermittlungen von großer Bedeutung sein können. Vernetzte Fahrzeuge liefern Standortdaten, Fahrmuster und Kommunikationsprotokolle. Smart-Home-Geräte zeichnen Umgebungsdaten, Nutzungsmuster und in manchen Fällen Audio- oder Videoaufnahmen auf. Tragbare Gesundheitsgeräte erfassen biometrische Daten und Bewegungsmuster. Industrielle IoT-Sensoren können Betriebsabläufe, Bewegungen in der Lieferkette und Umgebungsbedingungen aufzeigen. Selbst einfache M2M-Geräte wie Verkaufsautomaten oder Verbrauchszähler generieren Standort- und Nutzungsdaten, die bei bestimmten Ermittlungen relevant sein können.
Da sich die Strafverfolgungsbehörden des Ermittlungspotenzials von IoT-Daten zunehmend bewusst werden, ist es immer wahrscheinlicher, dass sie von IoT-Betreibern die Überwachung oder Offenlegung von Daten verlangen. Betreiber, die diesen Aufforderungen nicht nachkommen können, müssen nicht nur mit regulatorischen Konsequenzen rechnen, sondern laufen auch Gefahr, von den Strafverfolgungsbehörden als unkooperativ eingestuft zu werden, was weitreichende Auswirkungen auf die Beziehung des Betreibers zu den Regulierungsbehörden haben kann.
Technische Herausforderungen des IoT LI
Die Umsetzung der rechtmäßigen Überwachung von IoT- und M2M-Kommunikation birgt mehrere technische Herausforderungen, die sich erheblich von der herkömmlichen Sprach- und Datenüberwachung unterscheiden. Die erste Herausforderung ist die Vielfalt der Kommunikationsprotokolle. IoT-Geräte kommunizieren über eine Vielzahl von Protokollen – MQTT, CoAP, LwM2M, HTTP und proprietäre Protokolle – über verschiedene Netzwerktechnologien wie LTE-M, NB-IoT, LoRaWAN, Sigfox und Satellitennetzwerke. Jedes Protokoll und jede Netzwerktechnologie weist unterschiedliche Eigenschaften auf, die sich darauf auswirken, wie die Überwachung durchgeführt werden kann.
Die zweite Herausforderung betrifft das Volumen und das Muster der Kommunikation. Im Gegensatz zu Sprachanrufen oder Web-Browsing-Sitzungen ist die IoT-Kommunikation in der Regel kurz, selten und mit geringer Bandbreite. Ein Sensor überträgt möglicherweise alle Stunde nur wenige Byte an Daten. Dieses Muster macht herkömmliche, sitzungsbasierte Abhörverfahren weniger relevant und erfordert LI-Systeme, die einzelne Datenübertragungen statt fortlaufender Sitzungen erfassen können.
Die dritte Herausforderung ist die Zielidentifizierung. IoT-Geräte können anhand von IMSI, IMEI, IP-Adresse oder gerätespezifischen Kennungen identifiziert werden, die nicht den herkömmlichen Teilnehmerkennungen entsprechen. Die Zuordnung dieser Kennungen zu einem bestimmten Ziel – insbesondere wenn das Gerät nicht einer Einzelperson, sondern einer Organisation gehört – kann komplex sein. Das LI-System muss ein breiteres Spektrum an Identifikator-Typen unterstützen und in der Lage sein, diese Identifikatoren bestimmten Geräten und Datenströmen innerhalb des Netzwerks zuzuordnen.
Die vierte Herausforderung betrifft Verschlüsselung und Sicherheit. Viele IoT-Protokolle nutzen eine Verschlüsselung auf Anwendungsebene, was bedeutet, dass der Betreiber zwar den verschlüsselten Datenverkehr erfassen, aber nicht auf den Inhalt zugreifen kann. Die von CoAP und MQTT verwendeten DTLS- und TLS-Implementierungen verschlüsseln beispielsweise die Anwendungsdaten möglicherweise so, dass der Betreiber sie nicht entschlüsseln kann. Diese Einschränkung muss den Strafverfolgungsbehörden bei der Beantwortung von Abhöranfragen transparent mitgeteilt werden.
Eine fünfte Herausforderung ist der schiere Umfang der IoT-Implementierungen. Ein Betreiber kann Millionen von IoT-Geräten in seinem Netzwerk haben, und das LI-System muss in der Lage sein, bestimmte Geräte innerhalb dieser großen Gerätegruppe effizient zu identifizieren und abzufangen. Die Systeme, die für die Verwaltung herkömmlicher, teilnehmerbasierter Abhörmaßnahmen verwendet werden, lassen sich möglicherweise ohne Anpassungen nicht effektiv auf Gerätegruppen im IoT-Maßstab skalieren.
Spezifische Überlegungen zu LPWAN
LPWAN-Technologien – darunter NB-IoT, LTE-M, LoRaWAN und Sigfox – weisen spezifische Eigenschaften auf, die sich auf die Umsetzung von LI auswirken. NB-IoT und LTE-M werden im 3GPP-Ökosystem betrieben und über das Mobilfunk-Kernnetz bereitgestellt. Grundsätzlich lassen sich dieselben LI-Mechanismen, die für andere Mobilfunkdienste gelten, auch auf den NB-IoT- und LTE-M-Datenverkehr anwenden. Die geringe Bandbreite und der intermittierende Charakter des Datenverkehrs erfordern jedoch LI-Systeme, die einzelne Datenübertragungen erfassen können, anstatt kontinuierliche Sitzungen zu überwachen.
LoRaWAN und Sigfox arbeiten außerhalb des 3GPP-Ökosystems und nutzen proprietäre oder auf offenen Standards basierende Netzwerkarchitekturen. Die Anwendung von LI auf diese Technologien ist in Bezug auf Standards weniger klar definiert, und Betreiber müssen möglicherweise maßgeschneiderte Abhörlösungen entwickeln. Die Netzwerkarchitektur von LoRaWAN umfasst beispielsweise Gateways, Netzwerkserver und Anwendungsserver, und der Abhörpunkt muss möglicherweise auf der Ebene des Netzwerkservers angesiedelt sein, um den Datenverkehr zu erfassen, bevor er an die Anwendungsschicht weitergeleitet wird.
IRI und CC für die IoT-Kommunikation
Die ETSI-IRI-Datenstrukturen, die in erster Linie für die Sprach- und Datenkommunikation konzipiert wurden, erfassen möglicherweise nicht alle für die IoT-Kommunikation relevanten Metadaten. IoT-spezifische Metadaten – wie Gerätetyp, Sensorwerte, Firmware-Version, Betriebsparameter und Zugehörigkeit zu Gerätegruppen – können für strafrechtliche Ermittlungen wichtig sein, werden jedoch von den Standard-IRI-Definitionen nicht abgedeckt. Betreiber müssen möglicherweise ihre Funktionen zur IRI-Generierung erweitern, um IoT-spezifische Datenelemente einzubeziehen, gegebenenfalls in Abstimmung mit der nationalen LI-Behörde.
Der Datenumfang bei der IoT-Kommunikation ist in der Regel deutlich geringer als bei Sprach- oder Datensitzungen, kann jedoch hinsichtlich des Formats vielfältiger sein. Der Inhalt einer IoT-Übertragung kann beispielsweise eine JSON-Nutzlast, ein binärer Sensorwert, eine Protocol-Buffer-Nachricht oder ein proprietäres Datenformat sein. Das LI-System muss in der Lage sein, diese Inhalte in einem Format zu erfassen und bereitzustellen, das von den Strafverfolgungsbehörden verarbeitet und analysiert werden kann. In vielen Fällen ist die Bereitstellung der rohen Protokoll-Nutzdaten zusammen mit den IRI-Metadaten der praktischste Ansatz.
Vorbereitung auf die IoT-LI-Verpflichtungen
Betreiber, die IoT- und M2M-Dienste anbieten, sollten proaktive Maßnahmen ergreifen, um sich auf die LI-Verpflichtungen vorzubereiten, auch wenn die regulatorischen Anforderungen noch nicht vollständig definiert sind. Bewerten Sie zunächst die regulatorische Lage in jedem Markt, in dem Sie tätig sind, und ziehen Sie dabei Rechtsberater sowie die zuständige nationale Regulierungsbehörde zu Rate. Zweitens sollten Sie Ihre aktuellen LI-Fähigkeiten anhand der spezifischen Anforderungen an die IoT-Überwachung bewerten und dabei Lücken bei der Zielidentifizierung, der Verkehrserfassung, der IRI-Generierung und der CC-Übermittlung ermitteln.
Drittens: Erstellen Sie eine technische Roadmap zur Erweiterung Ihrer LI-Fähigkeiten zur Unterstützung der IoT-Überwachung. Diese Roadmap sollte die Integration von IoT-Netzwerkelementen in die LI-Vermittlungsfunktion, die Erweiterung der Zielidentifizierung zur Unterstützung von IoT-Gerätekennungen sowie die Erfassung von IoT-spezifischen Metadaten und Inhalten umfassen. Viertens: Setzen Sie sich mit Ihrem LI-Lösungsanbieter in Verbindung, um dessen Roadmap für die IoT-LI-Unterstützung zu verstehen und seine Entwicklungsprioritäten entsprechend Ihren Anforderungen mitzugestalten.
Dokumentieren Sie abschließend Ihren Ansatz zur Einhaltung der IoT-LI-Vorschriften, einschließlich etwaiger Einschränkungen Ihrer derzeitigen Kapazitäten und der Maßnahmen, die Sie ergreifen, um diese zu beheben. Diese Dokumentation ist von großem Wert, um den Aufsichtsbehörden nachzuweisen, dass Sie sich in gutem Glauben um die Einhaltung der Vorschriften bemühen, auch wenn Ihre Kapazitäten noch nicht vollständig ausgereift sind.
Schlussfolgerung
Das Wachstum des IoT und der M2M-Kommunikation führt zu neuen Verpflichtungen für Netzbetreiber im Bereich der rechtmäßigen Überwachung, die sowohl durch regulatorische Entwicklungen als auch durch die zunehmende Bedeutung von IoT-Daten für Ermittlungszwecke bedingt sind. Die technischen Herausforderungen der IoT-Überwachung sind zwar erheblich – sie reichen von der Vielfalt der Protokolle über Datenverkehrsmuster und Zielidentifizierung bis hin zu Verschlüsselung und Umfang –, doch sind sie nicht unüberwindbar. Netzbetreiber, die ihre regulatorischen Risiken einschätzen, ihre technischen Fähigkeiten bewerten und in IoT-fähige Lösungen zur Überwachung investieren, werden gut aufgestellt sein, um diesen neuen Verpflichtungen nachzukommen und die Compliance auch bei weiterem Wachstum des IoT-Ökosystems aufrechtzuerhalten.
Die Schnittstelle zwischen dem Internet der Dinge (IoT) und der rechtmäßigen Überwachung wirft zudem weiterreichende Fragen zum Umfang der Überwachung in einer zunehmend vernetzten Welt auf. Da Alltagsgegenstände vernetzt werden und Datenströme erzeugen, verschwimmt die Grenze zwischen Kommunikationsüberwachung und allgemeiner Datenerfassung zunehmend. Betreiber sollten proaktiv mit Regulierungsbehörden und Branchenverbänden zusammenarbeiten, um die Gestaltung des entstehenden Rahmens für die IoT-Überwachung mitzugestalten, und dabei praktisches technisches Fachwissen einbringen, um sicherzustellen, dass die daraus resultierenden Anforderungen sowohl für die Strafverfolgung wirksam als auch für die Betreiber umsetzbar sind.
Der Umfang der Verpflichtungen zur rechtmäßigen Überwachung im IoT-Bereich variiert je nach Rechtsordnung und Art der Dienstleistung. Betreiber sollten die für sie geltenden Anforderungen an die rechtmäßige Überwachung im IoT-Bereich bereits in einer frühen Phase ihrer Bereitstellungsplanung erfassen.
Verwandte Artikel
Weitere Informationen zu verwandten Themen finden Sie in diesen Artikeln:
- Network Slicing in 5G SA: Wie es das LI-Targeting erschwert (und vereinfachen kann)
- eSIM und rechtmäßiges Abhören: Was die RSP-Architektur für die Einhaltung der Vorschriften bedeutet
- MVNO vs. MNO: Wer ist rechtlich verantwortlich für rechtmäßiges Abhören?
Externe Ressourcen
Die folgenden externen Quellen bieten zusätzlichen Kontext und offizielle Dokumentation:
