Das Modell der verwalteten rechtmäßigen Überwachung – oft als „LI Compliance as a Service“ vermarktet – hat bei MVNOs, kleineren Betreibern und neuen Marktteilnehmern, denen die internen Ressourcen, das Fachwissen oder die Größe fehlen, um eine eigene Überwachungsinfrastruktur aufzubauen und zu betreiben, erheblich an Bedeutung gewonnen. Bei diesem Modell übernimmt ein spezialisierter Anbieter im Auftrag des Betreibers die Bereitstellung, den Betrieb und die Wartung des Abhörsystems und kümmert sich um alle Aspekte, von der Bearbeitung von richterlichen Anordnungen bis hin zur Datenübermittlung an die Strafverfolgungsbehörden. Die Vorteile liegen auf der Hand: geringere Investitionskosten, schnellere Erreichung der Compliance-Anforderungen und Zugang zu Fachwissen, ohne ein internes Abhörteam aufbauen zu müssen.
Die Auslagerung des LI-Betriebs bedeutet jedoch nicht, dass die rechtliche Verantwortung ausgelagert wird. Der Betreiber bleibt rechtlich für die Einhaltung der Überwachungspflichten verantwortlich, und jedes Versäumnis des Managed-Service-Anbieters wirkt sich direkt auf den Betreiber aus. Dies macht die Service-Level-Vereinbarung (SLA) zwischen dem Betreiber und dem Managed-LI-Anbieter zu einem der wichtigsten Verträge, die der Betreiber unterzeichnet. Dennoch akzeptieren viele Betreiber – insbesondere diejenigen, die neu im Bereich der LI-Dienste sind – allgemeine SLAs, ohne vollständig zu verstehen, was sie benötigen, was sie fordern sollten und wo die tatsächlichen Risiken liegen.
Dieser Artikel enthält einen detaillierten Leitfaden zu den SLA-Bestimmungen, auf deren Einhaltung Betreiber bei der Beauftragung von Managed-LI-Diensten bestehen sollten, und stützt sich dabei auf die praktischen Anforderungen des Betriebs in regulierten europäischen Märkten.
Was „LI Compliance as a Service“ umfasst
Die wichtigste SLA-Kennzahl für Managed-LI-Dienste ist die Aktivierungszeit der Anordnung – also die Zeit, die vom Eingang einer gültigen Überwachungsanordnung bis zur Aktivierung der Überwachung und dem Beginn der Datenübermittlung an die Strafverfolgungsbehörden vergeht. Nationale Vorschriften legen in der Regel maximale Aktivierungszeiten fest, die je nach Gerichtsbarkeit und Dringlichkeit des Falles von einigen Stunden bis zu einigen Werktagen reichen können.
Das SLA sollte die maximale Aktivierungszeit für Standard- und Eilaufträge festlegen, wobei klar definiert sein muss, was unter den jeweiligen Kategorien zu verstehen ist. Bei Eilaufträgen – also solchen, die eine sofortige Aktivierung erfordern – sollte das SLA eine Aktivierung innerhalb von Stunden und nicht von Tagen vorsehen. Das SLA sollte außerdem festlegen, wie die Aktivierungszeit gemessen wird: ab dem Zeitpunkt des Eingangs des Auftrags beim Managed-Service-Anbieter, ab dem Zeitpunkt seiner Validierung oder ab dem Zeitpunkt, zu dem das Ziel im Netzwerk identifiziert wird. Jede Definition führt zu einer anderen effektiven Aktivierungszeit, und der Betreiber sollte auf einer Definition bestehen, die den regulatorischen Erwartungen entspricht.
Die Strafen für die Überschreitung der Aktivierungsfrist sollten angemessen sein. Eine Geldstrafe, die im Verhältnis zum Auftragswert unerheblich ist, bietet dem Anbieter kaum einen Anreiz, das Ziel zu erreichen. Die Betreiber sollten Strafen aushandeln, die der Schwere der Verpflichtung Rechnung tragen – einschließlich, in extremen Fällen, des Rechts, den Vertrag zu kündigen, wenn die Aktivierungsfristen wiederholt nicht eingehalten werden.
Systemverfügbarkeit und Betriebszeit
Das LI-System muss kontinuierlich verfügbar sein. Jede Ausfallzeit führt zum Verlust von Überwachungsdaten, was strafrechtliche Ermittlungen beeinträchtigen und den Betreiber dem Risiko behördlicher Sanktionen aussetzen kann. Die SLA sollte ein Mindestverfügbarkeitsziel festlegen – in der Regel 99,9% oder höher – und definieren, wie die Verfügbarkeit gemessen wird, einschließlich der Frage, ob geplante Wartungsfenster bei der Berechnung unberücksichtigt bleiben.
Die SLA sollte außerdem die maximal zulässige Ausfallzeit für einen einzelnen Vorfall sowie die maximale kumulierte Ausfallzeit innerhalb eines Messzeitraums regeln. Ein System, das eine jährliche Verfügbarkeit von 99,91 TP8T erreicht, bei dem jedoch ein einzelner 8-stündiger Ausfall auftritt, entspricht möglicherweise nicht den Anforderungen des Betreibers, auch wenn es das Gesamtziel erfüllt. Betreiber sollten sowohl Gesamtziele als auch Verfügbarkeitsziele pro Vorfall festlegen.
Redundanz- und Failover-Maßnahmen sollten im SLA festgelegt werden. Der Managed-Service-Anbieter sollte eine redundante Infrastruktur mit automatischen Failover-Funktionen betreiben, und im SLA sollten das Recovery Time Objective (RTO) und das Recovery Point Objective (RPO) für verschiedene Ausfallszenarien festgelegt werden. Der Betreiber sollte überprüfen, ob die Redundanzarchitektur des Anbieters tatsächlich funktioniert – und nicht lediglich ein Standby-System ist, dessen Aktivierung manuelle Eingriffe erfordert.
Vollständigkeit und Qualität der Daten
Die SLA sollte die Vollständigkeit und Qualität der abgefangenen Daten regeln. Dies umfasst sowohl IRI als auch CC. Die Vollständigkeit von IRI bedeutet, dass für jede abgefangene Kommunikation alle erforderlichen Metadatenereignisse generiert werden, wobei alle obligatorischen Datenfelder korrekt ausgefüllt sind. Die Vollständigkeit von CC bedeutet, dass der Inhalt jeder abgefangenen Kommunikation lückenlos, ohne Ausfälle oder Verfälschungen erfasst und übermittelt wird.
Die Überprüfung der Datenvollständigkeit in einer verwalteten LI-Umgebung kann eine Herausforderung darstellen, da der Betreiber möglicherweise keinen direkten Einblick in den Erfassungsprozess hat. Das SLA sollte daher Bestimmungen für regelmäßige Qualitätsprüfungen enthalten, bei denen der Betreiber oder ein unabhängiger Dritter die Vollständigkeit und Richtigkeit der erfassten Daten anhand von Referenz-Testszenarien überprüft. Die Häufigkeit und Methodik dieser Prüfungen sollten im SLA festgelegt werden.
Probleme hinsichtlich der Datenqualität, die bei Audits festgestellt oder von Strafverfolgungsbehörden gemeldet werden, sollten festgelegten Behebungsprozessen und Fristen unterliegen. In der SLA sollte die maximale Frist festgelegt werden, innerhalb derer der Managed-Service-Anbieter Probleme hinsichtlich der Datenqualität untersuchen und beheben muss, und es sollten Eskalationsverfahren für anhaltende oder schwerwiegende Qualitätsprobleme vorgesehen sein.
Sicherheit und Vertraulichkeit
Der Managed-Service-Anbieter verarbeitet einige der sensibelsten Daten im gesamten Geschäftsbetrieb des Betreibers. Das SLA muss umfassende Sicherheitsbestimmungen enthalten, die den Schutz der abgefangenen Daten, die Vertraulichkeit der laufenden Überwachungsmaßnahmen sowie die Sicherheit des Personals und der Infrastruktur des Managed-Service-Anbieters abdecken.
Zu den spezifischen Sicherheitsanforderungen sollten die Verschlüsselung von gespeicherten und übertragenen Daten, eine rollenbasierte Zugriffskontrolle mit Multi-Faktor-Authentifizierung, die physische Sicherheit von Rechenzentren und Geräten, Anforderungen an die Sicherheitsüberprüfung und Sicherheitsfreigabe des Personals sowie Verfahren zur Reaktion auf Sicherheitsvorfälle gehören. Die SLA sollte den Managed-Service-Anbieter zur Einhaltung relevanter Sicherheitsstandards – wie beispielsweise ISO 27001 – verpflichten und das Recht des Betreibers vorsehen, Sicherheitsaudits durchzuführen oder vom Anbieter zu verlangen, sich unabhängigen Sicherheitsbewertungen zu unterziehen.
Vertraulichkeitsbestimmungen sind im Zusammenhang mit LI besonders wichtig. Der Managed-Service-Anbieter darf die Tatsache einer Überwachung gegenüber keiner anderen Partei offenlegen als denjenigen, die zur Kenntnisnahme berechtigt sind. Das SLA sollte konkrete Vertraulichkeitsverpflichtungen enthalten, die sich auf alle Mitarbeiter des Anbieters erstrecken, die Zugriff auf das LI-System haben, und die Folgen eines Verstoßes gegen die Vertraulichkeit genau festlegen.
Einhaltung gesetzlicher Vorschriften und Berichterstattung
Die regulatorischen Verpflichtungen des Betreibers gehen nicht auf den Managed-Service-Anbieter über. Das SLA sollte die Verantwortlichkeiten jeder Partei hinsichtlich der Einhaltung gesetzlicher Vorschriften klar abgrenzen und Bestimmungen enthalten, die sicherstellen, dass der Betreiber seinen Melde- und Prüfungspflichten nachkommen kann. Dazu gehört die Verpflichtung des Managed-Service-Anbieters, lückenlose Prüfpfade zu führen, dem Betreiber regelmäßig Compliance-Berichte vorzulegen und den Betreiber bei behördlichen Inspektionen oder Prüfungen zu unterstützen.
Die SLA sollte auch die Verpflichtung des Anbieters regeln, sich über Änderungen der gesetzlichen Vorschriften auf dem Laufenden zu halten. Da sich die nationalen LI-Anforderungen weiterentwickeln – neue technische Spezifikationen, aktualisierte Verfahrensvorschriften, Änderungen bei den Aufbewahrungspflichten –, muss der Managed-Service-Anbieter seine Systeme und Prozesse entsprechend anpassen. Das SLA sollte Fristen für die Umsetzung regulatorischer Aktualisierungen festlegen und Bestimmungen enthalten, wonach der Anbieter den Betreiber über anstehende Änderungen und deren Auswirkungen informieren muss.
Übergangs- und Auslaufbestimmungen
Einer der am häufigsten übersehenen Aspekte von SLAs für Managed LI ist die Ausstiegsstrategie. Betreiber sollten sich überlegen, was nach Vertragsende geschieht – sei es durch Ablauf, Kündigung oder Wechsel zu einem anderen Anbieter. Das SLA sollte detaillierte Übergangsbestimmungen enthalten, die die Übertragung aktiver Überwachungsmaßnahmen auf ein neues System, die Übergabe historischer Daten und Prüfprotokolle, den Zeitplan für den Übergang sowie die Verpflichtung des Managed-Service-Anbieters zum weiteren Betrieb während der Übergangsphase regeln.
Das Risiko der Anbieterabhängigkeit ist bei verwalteten LI-Diensten ein berechtigter Grund zur Sorge. Betreiber sollten die Übertragbarkeit ihrer LI-Daten und -Konfigurationen prüfen und SLA-Bestimmungen aushandeln, die diese Abhängigkeit minimieren. Dazu gehören das Recht auf Zugriff auf und Export aller Daten in Standardformaten, die Verfügbarkeit der für den Wechsel erforderlichen Dokumentation und Konfigurationsinformationen sowie angemessene Kündigungsfristen und Zeitpläne für den Wechsel.
Vorfallmanagement und Eskalation
Das SLA muss klare Verfahren für das Störungsmanagement und die Eskalation festlegen. Für verschiedene Arten von Störungen – Systemausfälle, Probleme mit der Datenqualität, Sicherheitsvorfälle, verfehlte Aktivierungsziele – sollten festgelegte Schweregrade, Reaktionszeiten und Eskalationspfade vorgesehen sein. Die Eskalationsverfahren sollten namentlich benannte Ansprechpartner sowohl beim Betreiber als auch beim Managed-Service-Provider umfassen, mit festgelegten Kommunikationskanälen und Reaktionspflichten für jede Schweregradstufe.
In der SLA sollten regelmäßige Besprechungen zur Leistungsüberprüfung vorgeschrieben werden, die ein Forum für die Erörterung der Leistung im Vergleich zu den SLA-Zielen, die Überprüfung von Vorfällen und deren Behebung sowie die Planung anstehender Änderungen oder Verbesserungen bieten. Diese Besprechungen sollten mindestens einmal monatlich stattfinden, wobei bei schwerwiegenden Vorfällen oder Leistungsabweichungen zusätzliche Überprüfungen anberaumt werden sollten.
Schlussfolgerung
„LI Compliance as a Service“ bietet überzeugende Vorteile für Betreiber, denen die Ressourcen oder das Fachwissen fehlen, um eine eigene Abhörinfrastruktur aufzubauen und zu betreiben. Der Erfolg des Managed-Service-Modells hängt jedoch vollständig von der Qualität und Vollständigkeit des SLA ab. Betreiber müssen SLAs einfordern, die die Zeit bis zur Aktivierung eines Überwachungsbeschlusses, die Systemverfügbarkeit, die Datenvollständigkeit, die Sicherheit, die Einhaltung gesetzlicher Vorschriften, Übergangsbestimmungen und das Störungsmanagement regeln – mit messbaren Zielen, angemessenen Vertragsstrafen und einer klaren Verantwortungszuweisung. Ein gut ausgehandeltes SLA schützt den Betreiber, gewährleistet die Einhaltung gesetzlicher Vorschriften und schafft die Grundlage für eine produktive und nachhaltige Partnerschaft mit dem Managed-Service-Anbieter.
Achten Sie bei der Bewertung von LI-Compliance-as-a-Service-Angeboten nicht nur auf den Preis. Ein umfassender LI-Compliance-as-a-Service-Vertrag sollte alle Aspekte Ihrer regulatorischen Verpflichtungen abdecken.
Verwandte Artikel
Weitere Informationen zu verwandten Themen finden Sie in diesen Artikeln:
- In-House LI vs. Managed LI Operations: Ein Entscheidungsrahmen für MVNOs
- Worauf ist bei einem LIMS (Lawful Interception Management System) zu achten?
- So bewerten Sie eine LI-Mediationsplattform: 7 Fragen, die Sie einem Anbieter stellen sollten
Externe Ressourcen
Die folgenden externen Quellen bieten zusätzlichen Kontext und offizielle Dokumentation:
