Die managed lawful interception model — often marketed as LI Compliance as a Service — has gained significant traction among MVNOs, smaller operators, and new market entrants who lack the internal resources, expertise, or scale to build and operate their own interception infrastructure. Under this model, a specialist provider deploys, operates, and maintains the LI system on behalf of the operator, handling everything from warrant processing to data delivery to law enforcement. The appeal is clear: reduced capital expenditure, faster time to compliance, and access to specialist expertise without the need to build an in-house LI team.
Die Auslagerung des LI-Betriebs bedeutet jedoch nicht, dass die rechtliche Verantwortung ausgelagert wird. Der Betreiber bleibt rechtlich für die Einhaltung der Überwachungspflichten verantwortlich, und jedes Versäumnis des Managed-Service-Anbieters wirkt sich direkt auf den Betreiber aus. Dies macht die Service-Level-Vereinbarung (SLA) zwischen dem Betreiber und dem Managed-LI-Anbieter zu einem der wichtigsten Verträge, die der Betreiber unterzeichnet. Dennoch akzeptieren viele Betreiber – insbesondere diejenigen, die neu im Bereich der LI-Dienste sind – allgemeine SLAs, ohne vollständig zu verstehen, was sie benötigen, was sie fordern sollten und wo die tatsächlichen Risiken liegen.
Dieser Artikel enthält einen detaillierten Leitfaden zu den SLA-Bestimmungen, auf deren Einhaltung Betreiber bei der Beauftragung von Managed-LI-Diensten bestehen sollten, und stützt sich dabei auf die praktischen Anforderungen des Betriebs in regulierten europäischen Märkten.
Was „LI Compliance as a Service“ umfasst
Die wichtigste SLA-Kennzahl für Managed-LI-Dienste ist die Aktivierungszeit der Anordnung – also die Zeit, die vom Eingang einer gültigen Überwachungsanordnung bis zur Aktivierung der Überwachung und dem Beginn der Datenübermittlung an die Strafverfolgungsbehörden vergeht. Nationale Vorschriften legen in der Regel maximale Aktivierungszeiten fest, die je nach Gerichtsbarkeit und Dringlichkeit des Falles von einigen Stunden bis zu einigen Werktagen reichen können.
Das SLA sollte die maximale Aktivierungszeit für Standard- und Eilaufträge festlegen, wobei klar definiert sein muss, was unter den jeweiligen Kategorien zu verstehen ist. Bei Eilaufträgen – also solchen, die eine sofortige Aktivierung erfordern – sollte das SLA eine Aktivierung innerhalb von Stunden und nicht von Tagen vorsehen. Das SLA sollte außerdem festlegen, wie die Aktivierungszeit gemessen wird: ab dem Zeitpunkt des Eingangs des Auftrags beim Managed-Service-Anbieter, ab dem Zeitpunkt seiner Validierung oder ab dem Zeitpunkt, zu dem das Ziel im Netzwerk identifiziert wird. Jede Definition führt zu einer anderen effektiven Aktivierungszeit, und der Betreiber sollte auf einer Definition bestehen, die den regulatorischen Erwartungen entspricht.
Die Strafen für die Überschreitung der Aktivierungsfrist sollten angemessen sein. Eine Geldstrafe, die im Verhältnis zum Auftragswert unerheblich ist, bietet dem Anbieter kaum einen Anreiz, das Ziel zu erreichen. Die Betreiber sollten Strafen aushandeln, die der Schwere der Verpflichtung Rechnung tragen – einschließlich, in extremen Fällen, des Rechts, den Vertrag zu kündigen, wenn die Aktivierungsfristen wiederholt nicht eingehalten werden.
Systemverfügbarkeit und Betriebszeit
Das LI-System muss kontinuierlich verfügbar sein. Jede Ausfallzeit führt zum Verlust von Überwachungsdaten, was strafrechtliche Ermittlungen beeinträchtigen und den Betreiber dem Risiko behördlicher Sanktionen aussetzen kann. Die SLA sollte ein Mindestverfügbarkeitsziel festlegen – in der Regel 99,9% oder höher – und definieren, wie die Verfügbarkeit gemessen wird, einschließlich der Frage, ob geplante Wartungsfenster bei der Berechnung unberücksichtigt bleiben.
Die SLA sollte außerdem die maximal zulässige Ausfallzeit für einen einzelnen Vorfall sowie die maximale kumulierte Ausfallzeit innerhalb eines Messzeitraums regeln. Ein System, das eine jährliche Verfügbarkeit von 99,91 TP8T erreicht, bei dem jedoch ein einzelner 8-stündiger Ausfall auftritt, entspricht möglicherweise nicht den Anforderungen des Betreibers, auch wenn es das Gesamtziel erfüllt. Betreiber sollten sowohl Gesamtziele als auch Verfügbarkeitsziele pro Vorfall festlegen.
Redundanz- und Failover-Maßnahmen sollten im SLA festgelegt werden. Der Managed-Service-Anbieter sollte eine redundante Infrastruktur mit automatischen Failover-Funktionen betreiben, und im SLA sollten das Recovery Time Objective (RTO) und das Recovery Point Objective (RPO) für verschiedene Ausfallszenarien festgelegt werden. Der Betreiber sollte überprüfen, ob die Redundanzarchitektur des Anbieters tatsächlich funktioniert – und nicht lediglich ein Standby-System ist, dessen Aktivierung manuelle Eingriffe erfordert.
Vollständigkeit und Qualität der Daten
Die SLA sollte die Vollständigkeit und Qualität der abgefangenen Daten regeln. Dies umfasst sowohl IRI als auch CC. Die Vollständigkeit von IRI bedeutet, dass für jede abgefangene Kommunikation alle erforderlichen Metadatenereignisse generiert werden, wobei alle obligatorischen Datenfelder korrekt ausgefüllt sind. Die Vollständigkeit von CC bedeutet, dass der Inhalt jeder abgefangenen Kommunikation lückenlos, ohne Ausfälle oder Verfälschungen erfasst und übermittelt wird.
Die Überprüfung der Datenvollständigkeit in einer verwalteten LI-Umgebung kann eine Herausforderung darstellen, da der Betreiber möglicherweise keinen direkten Einblick in den Erfassungsprozess hat. Das SLA sollte daher Bestimmungen für regelmäßige Qualitätsprüfungen enthalten, bei denen der Betreiber oder ein unabhängiger Dritter die Vollständigkeit und Richtigkeit der erfassten Daten anhand von Referenz-Testszenarien überprüft. Die Häufigkeit und Methodik dieser Prüfungen sollten im SLA festgelegt werden.
Probleme hinsichtlich der Datenqualität, die bei Audits festgestellt oder von Strafverfolgungsbehörden gemeldet werden, sollten festgelegten Behebungsprozessen und Fristen unterliegen. In der SLA sollte die maximale Frist festgelegt werden, innerhalb derer der Managed-Service-Anbieter Probleme hinsichtlich der Datenqualität untersuchen und beheben muss, und es sollten Eskalationsverfahren für anhaltende oder schwerwiegende Qualitätsprobleme vorgesehen sein.
Sicherheit und Vertraulichkeit
Der Managed-Service-Anbieter verarbeitet einige der sensibelsten Daten im gesamten Geschäftsbetrieb des Betreibers. Das SLA muss umfassende Sicherheitsbestimmungen enthalten, die den Schutz der abgefangenen Daten, die Vertraulichkeit der laufenden Überwachungsmaßnahmen sowie die Sicherheit des Personals und der Infrastruktur des Managed-Service-Anbieters abdecken.
Zu den spezifischen Sicherheitsanforderungen sollten die Verschlüsselung von gespeicherten und übertragenen Daten, eine rollenbasierte Zugriffskontrolle mit Multi-Faktor-Authentifizierung, die physische Sicherheit von Rechenzentren und Geräten, Anforderungen an die Sicherheitsüberprüfung und Sicherheitsfreigabe des Personals sowie Verfahren zur Reaktion auf Sicherheitsvorfälle gehören. Die SLA sollte den Managed-Service-Anbieter zur Einhaltung relevanter Sicherheitsstandards – wie beispielsweise ISO 27001 – verpflichten und das Recht des Betreibers vorsehen, Sicherheitsaudits durchzuführen oder vom Anbieter zu verlangen, sich unabhängigen Sicherheitsbewertungen zu unterziehen.
Vertraulichkeitsbestimmungen sind im Zusammenhang mit LI besonders wichtig. Der Managed-Service-Anbieter darf die Tatsache einer Überwachung gegenüber keiner anderen Partei offenlegen als denjenigen, die zur Kenntnisnahme berechtigt sind. Das SLA sollte konkrete Vertraulichkeitsverpflichtungen enthalten, die sich auf alle Mitarbeiter des Anbieters erstrecken, die Zugriff auf das LI-System haben, und die Folgen eines Verstoßes gegen die Vertraulichkeit genau festlegen.
Einhaltung gesetzlicher Vorschriften und Berichterstattung
The operator’s regulatory obligations do not transfer to the managed service provider. The SLA should clearly delineate the responsibilities of each party with respect to Einhaltung von Rechtsvorschriften, and should include provisions that ensure the operator can meet its reporting and audit obligations. This includes the managed service provider’s obligation to maintain complete audit trails, to provide compliance reports to the operator on a regular basis, and to support the operator during regulatory inspections or audits.
The SLA should also address the provider’s obligation to stay current with regulatory changes. As national LI requirements evolve — new technical specifications, updated procedural requirements, changes to Vorratsspeicherung von Daten obligations — the managed service provider must update its systems and processes accordingly. The SLA should specify timelines for implementing regulatory updates and should include provisions for the provider to notify the operator of upcoming changes and their implications.
Übergangs- und Auslaufbestimmungen
Einer der am häufigsten übersehenen Aspekte von SLAs für Managed LI ist die Ausstiegsstrategie. Betreiber sollten sich überlegen, was nach Vertragsende geschieht – sei es durch Ablauf, Kündigung oder Wechsel zu einem anderen Anbieter. Das SLA sollte detaillierte Übergangsbestimmungen enthalten, die die Übertragung aktiver Überwachungsmaßnahmen auf ein neues System, die Übergabe historischer Daten und Prüfprotokolle, den Zeitplan für den Übergang sowie die Verpflichtung des Managed-Service-Anbieters zum weiteren Betrieb während der Übergangsphase regeln.
Das Risiko der Anbieterabhängigkeit ist bei verwalteten LI-Diensten ein berechtigter Grund zur Sorge. Betreiber sollten die Übertragbarkeit ihrer LI-Daten und -Konfigurationen prüfen und SLA-Bestimmungen aushandeln, die diese Abhängigkeit minimieren. Dazu gehören das Recht auf Zugriff auf und Export aller Daten in Standardformaten, die Verfügbarkeit der für den Wechsel erforderlichen Dokumentation und Konfigurationsinformationen sowie angemessene Kündigungsfristen und Zeitpläne für den Wechsel.
Vorfallmanagement und Eskalation
Das SLA muss klare Verfahren für das Störungsmanagement und die Eskalation festlegen. Für verschiedene Arten von Störungen – Systemausfälle, Probleme mit der Datenqualität, Sicherheitsvorfälle, verfehlte Aktivierungsziele – sollten festgelegte Schweregrade, Reaktionszeiten und Eskalationspfade vorgesehen sein. Die Eskalationsverfahren sollten namentlich benannte Ansprechpartner sowohl beim Betreiber als auch beim Managed-Service-Provider umfassen, mit festgelegten Kommunikationskanälen und Reaktionspflichten für jede Schweregradstufe.
In der SLA sollten regelmäßige Besprechungen zur Leistungsüberprüfung vorgeschrieben werden, die ein Forum für die Erörterung der Leistung im Vergleich zu den SLA-Zielen, die Überprüfung von Vorfällen und deren Behebung sowie die Planung anstehender Änderungen oder Verbesserungen bieten. Diese Besprechungen sollten mindestens einmal monatlich stattfinden, wobei bei schwerwiegenden Vorfällen oder Leistungsabweichungen zusätzliche Überprüfungen anberaumt werden sollten.
Schlussfolgerung
„LI Compliance as a Service“ bietet überzeugende Vorteile für Betreiber, denen die Ressourcen oder das Fachwissen fehlen, um eine eigene Abhörinfrastruktur aufzubauen und zu betreiben. Der Erfolg des Managed-Service-Modells hängt jedoch vollständig von der Qualität und Vollständigkeit des SLA ab. Betreiber müssen SLAs einfordern, die die Zeit bis zur Aktivierung eines Überwachungsbeschlusses, die Systemverfügbarkeit, die Datenvollständigkeit, die Sicherheit, die Einhaltung gesetzlicher Vorschriften, Übergangsbestimmungen und das Störungsmanagement regeln – mit messbaren Zielen, angemessenen Vertragsstrafen und einer klaren Verantwortungszuweisung. Ein gut ausgehandeltes SLA schützt den Betreiber, gewährleistet die Einhaltung gesetzlicher Vorschriften und schafft die Grundlage für eine produktive und nachhaltige Partnerschaft mit dem Managed-Service-Anbieter.
Achten Sie bei der Bewertung von LI-Compliance-as-a-Service-Angeboten nicht nur auf den Preis. Ein umfassender LI-Compliance-as-a-Service-Vertrag sollte alle Aspekte Ihrer regulatorischen Verpflichtungen abdecken.
Verwandte Artikel
Weitere Informationen zu verwandten Themen finden Sie in diesen Artikeln:
- In-House LI vs. Managed LI Operations: Ein Entscheidungsrahmen für MVNOs
- Worauf ist bei einem LIMS (Lawful Interception Management System) zu achten?
- So bewerten Sie eine LI-Mediationsplattform: 7 Fragen, die Sie einem Anbieter stellen sollten
Externe Ressourcen
Die folgenden externen Quellen bieten zusätzlichen Kontext und offizielle Dokumentation:
