Informationen zu Intercept bilden das Rückgrat der Metadaten jedes rechtmäßiges Abfangen Maßnahme. Bei der Telekommunikationsüberwachung sind zwei Datenkategorien für jede Überwachungsmaßnahme von grundlegender Bedeutung: überwachungsbezogene Informationen (IRI) und Kommunikationsinhalte (CC). Diese beiden Datentypen bilden den Kern dessen, was ein Betreiber bei der Ausführung eines Überwachungsanordnungs an die Strafverfolgungsbehörden übermittelt, und sie werden im ETSI-Rahmenwerk über separate Übergabeschnittstellen übertragen – HI2 für IRI und HI3 für CC. Zwar verstehen die meisten Fachleute den grundlegenden Unterschied – IRI sind Metadaten, CC sind Inhalte –, doch sind die praktischen Auswirkungen dieser Unterscheidung differenzierter, als es auf den ersten Blick erscheint.
In diesem Artikel wird untersucht, was IRI und CC in der Praxis tatsächlich bedeuten, welche Datenelemente sie jeweils umfassen, wie sie generiert und übermittelt werden und warum die Unterscheidung für Betreiber, Strafverfolgungsbehörden und das breitere Ökosystem der Telekommunikationsüberwachung von Bedeutung ist.
Was abfangbezogene Informationen bedeuten
Intercept-related information encompasses all the metadata associated with an intercepted communication. In the simplest terms, IRI answers the questions: who communicated, with whom, when, for how long, using what service, and from where? It does not include the substance of the communication itself — that is the domain of CC. IRI is defined by the applicable handover standard: the ETSI TS 102 232 series for IP-based services, ETSI TS 101 671 / 3GPP TS 33.108 for legacy mobile and circuit-switched services, and 3GPP TS 33.128 for 4G/5G under the current 3GPP architecture. These specify the data elements, encoding formats, and delivery mechanisms for different network technologies.
Die spezifischen Datenelemente, die in den IRI enthalten sind, hängen von der Art der Kommunikation und der beteiligten Netztechnologie ab. Bei einem herkömmlichen Sprachanruf umfasst die IRI in der Regel die anrufende Nummer (A-Nummer), die angerufene Nummer (B-Nummer), die IMSI und IMEI des Zielgeräts, den Zeitpunkt der Einleitung des Anrufs, den Zeitpunkt der Beantwortung, die Dauer des Anrufs, die Zellkennungen zu Beginn und während des Anrufs (mit Standortinformationen) und die Art des Anrufs (angenommen, besetzt, keine Antwort, weitergeleitet). Bei einer IP-Datensitzung kann die IRI die IP-Adresse des Ziels, den zugewiesenen APN (Access Point Name), die Trägerparameter, die Start- und Endzeit der Sitzung sowie das übertragene Datenvolumen enthalten.
IRI is generated as a series of events that correspond to the progression of the communication. The ETSI standards define specific IRI event types for different stages of a communication — for example, a call setup event, an answer event, a call release event, and various supplementary service events. Each event carries the relevant data elements and an accurate timestamp. Interception points in the network elements detect these events in the signalling (SIP, Diameter, GTP, SS7 and others) and pass them to the Mediationsfunktion, which turns them into standard IRI records in ETSI format.
Eines der wichtigsten Merkmale der IRI ist ihr strukturierter Charakter. Da IRI im ASN.1-Format nach genau definierten Datenstrukturen kodiert sind, können sie von Strafverfolgungssystemen automatisch geparst, verarbeitet und analysiert werden. Dieses strukturierte Format ermöglicht eine automatische Korrelation, Musteranalyse und Data-Mining-Operationen, die bei unstrukturierten Daten viel schwieriger wären. Der ermittlungstechnische Wert von IRI sollte nicht unterschätzt werden - in vielen Fällen sind die von IRI bereitgestellten Metadaten genauso wertvoll wie der Inhalt selbst oder sogar noch wertvoller als dieser.
Definieren von CC: Die Inhaltsebene
Content of communication is the actual substance of the intercepted communication — the words spoken in a phone call, the web pages browsed during a data session, the files attached to an email. CC represents what was communicated, as opposed to the contextual information about the communication. CC is delivered over the HI3 interface to the LEMF.
The format of CC varies dramatically depending on the type of communication. For voice calls, CC is a real-time audio stream, typically encoded using codecs such as AMR (Adaptive Multi-Rate), AMR-WB (Wideband), or G.711. The audio must be delivered in real time so that law enforcement can monitor the conversation as it occurs, though it is also typically recorded for later review. SMS is a notable exception: in 3GPP networks the message text travels with the IRI over HI2, not as CC over HI3, and whether the full text may be delivered depends on the scope of the warrant. For data sessions, CC consists of the IP packets exchanged by the target, which may contain web browsing traffic, email content, application data, streaming media, and any other type of IP-based communication.
Die Überwachung von Daten erzeugt ein wesentlich höheres CC-Volumen als die Überwachung von Sprache. Ein einzelner Sprachanruf erzeugt einen kontinuierlichen Audiostrom mit relativ geringer Bandbreite, während eine Datensitzung je nach Aktivität der Zielperson Gigabytes an Datenverkehr erzeugen kann. Diese Diskrepanz hat wichtige Auswirkungen auf die Dimensionierung von LI-Systemen, die Bandbreite von HI3-Übertragungskanälen und die erforderliche Speicherkapazität in der LEMF.
The delivery of CC must be timely. For voice interception, this means real-time delivery with minimal latency. For data interception, near-real-time delivery is typically required, though the exact requirements may vary by jurisdiction. For IP-based handover, ETSI TS 102 232-1 delivers CC over TCP, protected by a VPN or TLS; legacy circuit-switched handover uses ISDN bearer channels.
Warum die Unterscheidung wichtig ist
The distinction between IRI and CC is not merely technical — it has significant legal, operational, and strategic implications. From a legal perspective, many jurisdictions treat metadata and content differently. Some interception orders may authorise the collection of both IRI and CC, while others may be limited to metadata only. The legal thresholds for obtaining authorisation may differ, with content interception typically requiring a higher standard of evidence or a more serious category of offence. Operators must be able to activate IRI-only, CC-only and combined IRI-plus-CC intercepts independently, as the scope of the interception order dictates what data can be collected and delivered.
Aus operativer Sicht haben IRI und CC unterschiedliche Merkmale in Bezug auf Umfang, Format, Verarbeitungsanforderungen und Liefermechanismen. IRI ist relativ kompakt und strukturiert und eignet sich daher gut für die automatische Verarbeitung und Analyse. CC ist potentiell umfangreich und variiert stark im Format, was unterschiedliche Handhabungs-, Speicher- und Analyseansätze erfordert. Die Betreiber müssen ihre LI-Systeme so konzipieren, dass sie beide Datentypen effizient verarbeiten können, mit geeigneten Puffer-, Flusskontroll- und Quality-of-Service-Mechanismen.
Aus strategischer und ermittlungstechnischer Sicht liefern IRI und CC unterschiedliche Arten von Erkenntnissen. IRI ermöglicht Musteranalysen, die Kartierung von Netzwerken, die Standortverfolgung sowie die Ermittlung von Kommunikationsmustern im Zeitverlauf. CC bietet direkten Einblick in den Inhalt bestimmter Kommunikationen, erfordert jedoch unter Umständen einen erheblichen Aufwand bei der Aufbereitung und Analyse – insbesondere bei Datenabgriffen, die große Mengen an gemischten Medieninhalten liefern. Strafverfolgungsbehörden erkennen zunehmend den strategischen Wert von Metadaten, und bei einigen Ermittlungen können IRIs im Mittelpunkt der Überwachungsmaßnahmen stehen.
IRI in modernen Netzen
Der Übergang von leitungsvermittelten zu paketvermittelten Netzen hat den Umfang und die Komplexität der IRI erheblich erweitert. In herkömmlichen Telefonnetzen war die IRI relativ einfach - die Rufaufbau-Signalisierung lieferte einen genau definierten Satz von Metadatenelementen. In modernen IP-Netzen ist die Signalisierungslandschaft viel vielfältiger und komplexer und umfasst Protokolle wie SIP, Diameter, GTP-C und verschiedene Protokolle der Anwendungsschicht.
VoLTE, for example, uses SIP signalling over the IMS (IP Multimedia Subsystem) core, combined with Diameter for authentication and policy control and GTP for bearer management. Generating complete IRI for a VoLTE call requires interception points in several IMS and packet-core functions, whose events the mediation function must correlate into one coherent picture of the call. The ETSI standards define specific IRI data elements for IMS-based services, but the practical implementation can be challenging.
In 5G networks, the complexity increases further. The service-based architecture of the 5G core introduces new network functions and signalling interfaces that must be monitored for IRI generation. The 3GPP LI architecture for 5G defines specific point-of-interception (POI) locations and IRI data elements for 5G services, but operators must ensure that each 5G network function’s built-in point of interception is enabled and delivers the 3GPP-defined X2 records (TS 33.128), and that their mediation and delivery function supports them.
Die Auswirkungen der Verschlüsselung auf CC
Eine der größten Herausforderungen für die Bereitstellung von CC in modernen Netzen ist die zunehmende Verbreitung von Verschlüsselung. Eine Ende-zu-Ende-verschlüsselte Kommunikation - wie sie beispielsweise von Messaging-Anwendungen mit E2EE bereitgestellt wird - kann auf der Netzwerkebene nicht sinnvoll ausgeleitet werden. Der Betreiber kann zwar die verschlüsselten Pakete ausleiten, aber ohne die Verschlüsselungsschlüssel ist der Inhalt unverständlich. Dies führt zu einer Situation, in der der Betreiber zwar IRI liefern kann (die aus der Netzsignalisierung generiert werden und nicht vom Zugriff auf den Inhalt abhängen), aber keine brauchbaren CC bereitstellen kann.
This encryption challenge has become one of the central policy debates in the lawful interception community. Law enforcement agencies argue that encryption creates blind spots that hinder criminal investigations, while privacy advocates maintain that strong encryption is essential for protecting fundamental rights. The resolution of this debate — if one is reached — will have profound implications for the CC component of lawful interception. In the meantime, operators must remove any encryption they provide or manage, or hand over the keys. End-to-end encryption that an over-the-top application controls is outside their reach, so they deliver that content as they see it, while being transparent with law enforcement about the limitations imposed by encryption.
Praktische Erwägungen für Betreiber
Operators implementing LI systems must ensure that their points of interception and their mediation function together produce complete, accurate, and timely IRI and CC for all services and network technologies in their portfolio. This requires every relevant network function to support standard X2/X3 delivery (ETSI TS 103 221-2, 3GPP TS 33.128), and careful attention to correlation and timing in the mediation function.
Um zu überprüfen, ob IRI und CC korrekt generiert werden, sind Tests unerlässlich. Die Betreiber sollten umfassende Tests anhand der ETSI-IRI-Datenstrukturdefinitionen durchführen und sicherstellen, dass alle erforderlichen Datenelemente vorhanden sind und für jeden Ereignistyp korrekt ausgefüllt werden. Die CC-Übertragung sollte für alle unterstützten Medientypen auf Genauigkeit, Timing und Vollständigkeit getestet werden.
Schließlich müssen die Betreiber ihre LI-Systeme pflegen, wenn sich ihre Netze weiterentwickeln. Neue Dienste, neue Protokolle und neue Netztechnologien erfordern Aktualisierungen der IRI-Generierung und der CC-Erfassungsfunktionen. Ein TKÜ-System, das zum Zeitpunkt der Einführung vollständig konform war, kann mit der Veränderung des Netzes nicht mehr konform sein, so dass die fortlaufende Wartung und Entwicklung ein wichtiger Bestandteil des Konformitätsprogramms ist.
Schlussfolgerung
IRI und CC sind die beiden Säulen der Überwachungsdatenbereitstellung. IRI liefert die strukturierten Metadaten, die eine Musteranalyse, Standortverfolgung und Kommunikationszuordnung ermöglichen. CC liefert den eigentlichen Inhalt der ausgeleiteten Kommunikation und bietet einen direkten Einblick in die Kommunikation der Zielpersonen. Zusammen ergeben sie ein vollständiges Bild, das die Ermittlungen der Strafverfolgungsbehörden unterstützt. Für die Betreiber ist das Verständnis der technischen, rechtlichen und betrieblichen Auswirkungen von IRI und CC - und der Aufbau von LI-Systemen, die beides effektiv handhaben - eine wesentliche Voraussetzung für die Erfüllung ihrer gesetzlichen TKÜ-Pflichten in modernen Telekommunikationsnetzen.
Die genaue Erfassung von überwachungsrelevanten Informationen ist eine Grundvoraussetzung für TKÜ-Maßnahmen. Die Betreiber müssen sicherstellen, dass ihre Systeme alle erforderlichen überwachungsrelevanten Informationsfelder erfassen.
Verwandte Artikel
Weitere Informationen zu verwandten Themen finden Sie in diesen Artikeln:
- HI1 vs. HI2 vs. HI3: Die drei Lawful-Interception-Schnittstellen im Überblick
- Wie eine Mediationsfunktion funktioniert: Die Brücke zwischen Ihrem Netzwerk und den Strafverfolgungsbehörden
- ETSI TS 103 120 Explained: The Electronic HI1 Warrant Interface
Externe Ressourcen
Die folgenden externen Quellen bieten zusätzlichen Kontext und offizielle Dokumentation:
