Die kontrollierte Telekommunikationsüberwachung Dieses Modell – das häufig als „LI Compliance as a Service“ vermarktet wird – hat bei MVNOs, kleineren Netzbetreibern und neuen Marktteilnehmern, denen die internen Ressourcen, das Fachwissen oder die Größe fehlen, um eine eigene TKÜ-Infrastruktur aufzubauen und zu betreiben, erheblich an Bedeutung gewonnen. Bei diesem Modell übernimmt ein spezialisierter Anbieter im Auftrag des Betreibers die Bereitstellung, den Betrieb und die Wartung des LI-Systems und kümmert sich um alle Aspekte, von der Bearbeitung von Durchsuchungsbefehlen bis hin zur Datenübermittlung an die Strafverfolgungsbehörden. Die Vorteile liegen auf der Hand: geringere Investitionskosten, eine schnellere Erreichung der Compliance-Anforderungen und der Zugang zu Fachwissen, ohne ein internes LI-Team aufbauen zu müssen.
Die Auslagerung des LI-Betriebs bedeutet jedoch nicht, dass die rechtliche Verantwortung ausgelagert wird. Der Betreiber bleibt rechtlich für die Einhaltung der Überwachungspflichten verantwortlich, und jedes Versäumnis des Managed-Service-Anbieters wirkt sich direkt auf den Betreiber aus. Dies macht die Service-Level-Vereinbarung (SLA) zwischen dem Betreiber und dem Managed-LI-Anbieter zu einem der wichtigsten Verträge, die der Betreiber unterzeichnet. Dennoch akzeptieren viele Betreiber – insbesondere diejenigen, die neu im Bereich der LI-Dienste sind – allgemeine SLAs, ohne vollständig zu verstehen, was sie benötigen, was sie fordern sollten und wo die tatsächlichen Risiken liegen.
Dieser Artikel enthält einen detaillierten Leitfaden zu den SLA-Bestimmungen, auf deren Einhaltung Betreiber bei der Beauftragung von Managed-LI-Diensten bestehen sollten, und stützt sich dabei auf die praktischen Anforderungen des Betriebs in regulierten europäischen Märkten.
Warrant Activation Time
The single most critical SLA metric for managed LI services is the warrant activation time — the elapsed time from the receipt of a valid interception order to the activation of the intercept and the commencement of data delivery to law enforcement. National rules usually require activation without undue delay rather than a fixed number of hours. Germany, for example, requires 24/7 telephone reachability and acceptance of orders outside business hours within six hours (§ 12 TKÜV). Turn these rules into measurable SLA targets.
Das SLA sollte die maximale Aktivierungszeit für Standard- und Eilaufträge festlegen, wobei klar definiert sein muss, was unter den jeweiligen Kategorien zu verstehen ist. Bei Eilaufträgen – also solchen, die eine sofortige Aktivierung erfordern – sollte das SLA eine Aktivierung innerhalb von Stunden und nicht von Tagen vorsehen. Das SLA sollte außerdem festlegen, wie die Aktivierungszeit gemessen wird: ab dem Zeitpunkt des Eingangs des Auftrags beim Managed-Service-Anbieter, ab dem Zeitpunkt seiner Validierung oder ab dem Zeitpunkt, zu dem das Ziel im Netzwerk identifiziert wird. Jede Definition führt zu einer anderen effektiven Aktivierungszeit, und der Betreiber sollte auf einer Definition bestehen, die den regulatorischen Erwartungen entspricht.
Die Strafen für die Überschreitung der Aktivierungsfrist sollten angemessen sein. Eine Geldstrafe, die im Verhältnis zum Auftragswert unerheblich ist, bietet dem Anbieter kaum einen Anreiz, das Ziel zu erreichen. Die Betreiber sollten Strafen aushandeln, die der Schwere der Verpflichtung Rechnung tragen – einschließlich, in extremen Fällen, des Rechts, den Vertrag zu kündigen, wenn die Aktivierungsfristen wiederholt nicht eingehalten werden.
Systemverfügbarkeit und Betriebszeit
The LI system must be available continuously. Downtime beyond the short buffering window loses interception data, which can compromise law enforcement investigations and expose the operator to regulatory sanctions. The SLA should specify a minimum availability target that matches the availability of the network service being intercepted (in Germany § 6(2) TKÜV requires this as far as reasonably achievable), typically 99.9% or higher, and should define how availability is measured, including whether planned maintenance windows are excluded from the calculation.
Die SLA sollte außerdem die maximal zulässige Ausfallzeit für einen einzelnen Vorfall sowie die maximale kumulierte Ausfallzeit innerhalb eines Messzeitraums regeln. Ein System, das eine jährliche Verfügbarkeit von 99,91 TP8T erreicht, bei dem jedoch ein einzelner 8-stündiger Ausfall auftritt, entspricht möglicherweise nicht den Anforderungen des Betreibers, auch wenn es das Gesamtziel erfüllt. Betreiber sollten sowohl Gesamtziele als auch Verfügbarkeitsziele pro Vorfall festlegen.
Redundanz- und Failover-Maßnahmen sollten im SLA festgelegt werden. Der Managed-Service-Anbieter sollte eine redundante Infrastruktur mit automatischen Failover-Funktionen betreiben, und im SLA sollten das Recovery Time Objective (RTO) und das Recovery Point Objective (RPO) für verschiedene Ausfallszenarien festgelegt werden. Der Betreiber sollte überprüfen, ob die Redundanzarchitektur des Anbieters tatsächlich funktioniert – und nicht lediglich ein Standby-System ist, dessen Aktivierung manuelle Eingriffe erfordert.
Vollständigkeit und Qualität der Daten
Die SLA sollte die Vollständigkeit und Qualität der ausgeleiteten Daten regeln. Dies umfasst sowohl IRI als auch CC. Die Vollständigkeit von IRI bedeutet, dass für jede ausgeleitete Kommunikation alle erforderlichen Metadatenereignisse generiert werden, wobei alle obligatorischen Datenfelder korrekt ausgefüllt sind. Die Vollständigkeit von CC bedeutet, dass der Inhalt jeder ausgeleiteten Kommunikation lückenlos, ohne Ausfälle oder Verfälschungen erfasst und übermittelt wird.
Measuring data completeness in a managed LI environment can be challenging, as the operator may not have direct visibility into the interception process. The SLA should therefore include provisions for regular quality audits, in which the operator or an independent third party verifies completeness and accuracy using test targets and test calls (never live measures) against reference test scenarios. The frequency and methodology of these audits should be specified in the SLA.
Probleme hinsichtlich der Datenqualität, die bei Audits festgestellt oder von Strafverfolgungsbehörden gemeldet werden, sollten festgelegten Behebungsprozessen und Fristen unterliegen. In der SLA sollte die maximale Frist festgelegt werden, innerhalb derer der Managed-Service-Anbieter Probleme hinsichtlich der Datenqualität untersuchen und beheben muss, und es sollten Eskalationsverfahren für anhaltende oder schwerwiegende Qualitätsprobleme vorgesehen sein.
Sicherheit und Vertraulichkeit
Der Managed-Service-Anbieter verarbeitet einige der sensibelsten Daten im gesamten Geschäftsbetrieb des Betreibers. Das SLA muss umfassende Sicherheitsbestimmungen enthalten, die den Schutz der ausgeleiteten Daten, die Vertraulichkeit der laufenden Überwachungsmaßnahmen sowie die Sicherheit des Personals und der Infrastruktur des Managed-Service-Anbieters abdecken.
Specific security requirements should include encryption of data at rest and in transit, role-based access control with multi-factor authentication, physical security of data centres and equipment, personnel vetting and security clearance requirements, and incident response procedures for security breaches. The SLA should require the managed service provider to comply with relevant security standards — such as ISO 27001 — and should include the right for the operator to conduct security audits or to require the provider to submit to independent security assessments. Check national location and logging rules too. In Germany the operator must ensure, and the contract must require, that the provider operates the LI control systems in Germany (§ 14 TKÜV), keeps complete activation logs that its operating staff cannot access (§ 16 TKÜV), and supports the operator’s quarterly audit reports to the BNetzA (§ 17 TKÜV).
Vertraulichkeitsbestimmungen sind im Zusammenhang mit LI besonders wichtig. Der Managed-Service-Anbieter darf die Tatsache einer Überwachung gegenüber keiner anderen Partei offenlegen als denjenigen, die zur Kenntnisnahme berechtigt sind. Das SLA sollte konkrete Vertraulichkeitsverpflichtungen enthalten, die sich auf alle Mitarbeiter des Anbieters erstrecken, die Zugriff auf das LI-System haben, und die Folgen eines Verstoßes gegen die Vertraulichkeit genau festlegen.
Einhaltung gesetzlicher Vorschriften und Berichterstattung
Die regulatorischen Verpflichtungen des Betreibers gehen nicht auf den Managed-Service-Anbieter über. In der SLA sollten die Verantwortlichkeiten der einzelnen Parteien in Bezug auf Einhaltung von Rechtsvorschriften, und sollte Bestimmungen enthalten, die sicherstellen, dass der Betreiber seinen Melde- und Prüfungspflichten nachkommen kann. Dazu gehört die Verpflichtung des Managed-Service-Anbieters, lückenlose Prüfpfade zu führen, dem Betreiber regelmäßig Compliance-Berichte vorzulegen und den Betreiber bei behördlichen Inspektionen oder Prüfungen zu unterstützen.
In der SLA sollte auch die Verpflichtung des Anbieters geregelt werden, sich über Änderungen der gesetzlichen Vorschriften auf dem Laufenden zu halten. Da sich die nationalen LI-Anforderungen weiterentwickeln – neue technische Spezifikationen, aktualisierte Verfahrensvorschriften, Änderungen an Vorratsspeicherung von Daten Verpflichtungen – der Managed-Service-Anbieter muss seine Systeme und Prozesse entsprechend anpassen. Das SLA sollte Fristen für die Umsetzung von regulatorischen Änderungen festlegen und Bestimmungen enthalten, wonach der Anbieter den Betreiber über anstehende Änderungen und deren Auswirkungen informieren muss.
Übergangs- und Auslaufbestimmungen
One of the most overlooked aspects of managed LI SLAs is the exit strategy. Operators should consider what happens when the contract ends — whether by expiration, termination, or transition to a different provider. The SLA should include detailed transition provisions covering the transfer of active measures to a new system, the handover of audit and protocol records that are still within their legal retention period, confirmed deletion of everything else (intercepted content is not retained and therefore not part of an exit), the timeline for the transition, and the managed service provider’s obligation to continue operating during the transition period.
Lock-in risk is a legitimate concern with managed LI services. Operators should evaluate the portability of their LI data and configurations, and should negotiate SLA provisions that minimise lock-in. This includes the right to access and export configuration data and records still within their retention period in standard formats, the availability of documentation and configuration information needed for transition, and reasonable notice periods and transition timelines.
Vorfallmanagement und Eskalation
The SLA must define clear incident management and escalation procedures. Different incident types — system outages, data quality issues, security incidents, missed activation targets — should have defined severity levels, response times, and escalation paths. The escalation procedures should include named contacts at both the operator and the managed service provider, with defined communication channels and response obligations for each severity level. The SLA must also cover statutory notifications: who informs the agencies of faults and interruptions without delay, with cause, impact and expected duration (in Germany § 13 TKÜV), and who confirms each activation and deactivation time to them.
In der SLA sollten regelmäßige Besprechungen zur Leistungsüberprüfung vorgeschrieben werden, die ein Forum für die Erörterung der Leistung im Vergleich zu den SLA-Zielen, die Überprüfung von Vorfällen und deren Behebung sowie die Planung anstehender Änderungen oder Verbesserungen bieten. Diese Besprechungen sollten mindestens einmal monatlich stattfinden, wobei bei schwerwiegenden Vorfällen oder Leistungsabweichungen zusätzliche Überprüfungen anberaumt werden sollten.
Schlussfolgerung
„LI Compliance as a Service“ bietet überzeugende Vorteile für Betreiber, denen die Ressourcen oder das Fachwissen fehlen, um eine eigene TKÜ-Infrastruktur aufzubauen und zu betreiben. Der Erfolg des Managed-Service-Modells hängt jedoch vollständig von der Qualität und Vollständigkeit des SLA ab. Betreiber müssen SLAs einfordern, die die Zeit bis zur Aktivierung eines Überwachungsbeschlusses, die Systemverfügbarkeit, die Datenvollständigkeit, die Sicherheit, die Einhaltung gesetzlicher Vorschriften, Übergangsbestimmungen und das Störungsmanagement regeln – mit messbaren Zielen, angemessenen Vertragsstrafen und einer klaren Verantwortungszuweisung. Ein gut ausgehandeltes SLA schützt den Betreiber, gewährleistet die Einhaltung gesetzlicher Vorschriften und schafft die Grundlage für eine produktive und nachhaltige Partnerschaft mit dem Managed-Service-Anbieter.
Achten Sie bei der Bewertung von LI-Compliance-as-a-Service-Angeboten nicht nur auf den Preis. Ein umfassender LI-Compliance-as-a-Service-Vertrag sollte alle Aspekte Ihrer regulatorischen Verpflichtungen abdecken.
Verwandte Artikel
Weitere Informationen zu verwandten Themen finden Sie in diesen Artikeln:
- In-House LI vs. Managed LI Operations: Ein Entscheidungsrahmen für MVNOs
- Worauf ist bei einem LIMS (Lawful Interception Management System) zu achten?
- So bewerten Sie eine LI-Mediationsplattform: 7 Fragen, die Sie einem Anbieter stellen sollten
Externe Ressourcen
Die folgenden externen Quellen bieten zusätzlichen Kontext und offizielle Dokumentation:
