Telekommunikationsüberwachung (TKÜ) durch Internetdienstanbieter ist eine gesetzliche Verpflichtung für jeden Anbieter, der öffentlichen Internetzugang anbietet, sei es über DSL, Kabel, Glasfaser, Festnetz-WLAN oder mobile Datenverbindungen. Wenn ein Gericht die Überwachung der Verbindung eines Teilnehmers anordnet, muss der Anbieter eine vollständige Kopie des IP-Datenverkehrs dieses Teilnehmers zusammen mit den zugehörigen Metadaten an die Strafverfolgungsbehörde übermitteln. Dies muss unverzüglich, sicher und ohne dass der Teilnehmer davon Kenntnis erlangt, geschehen.
Für IP-Zugangsanbieter klingt die Telekommunikationsüberwachung einfacher, als sie ist. Dynamische IP-Adressen, Carrier-Grade-NAT, IPv6-Präfix-Delegierung, Wholesale-Zugangsmodelle und 10- oder 100-Gigabit-Verbindungen erschweren es, den richtigen Datenverkehr vollständig und verlustfrei zu erfassen. Dieser Leitfaden erläutert, was Internetdienstanbieter umsetzen müssen, wobei der Schwerpunkt auf Deutschland und den europaweit geltenden ETSI-Standards liegt.
Das Wichtigste auf einen Blick
- Jeder Anbieter öffentlicher Internetzugänge fällt in den Geltungsbereich. In Deutschland lautet die Rechtsgrundlage § 170 TKG, zusammen mit dem TKÜV und die technische Richtlinie TR TKÜV. Sehr kleine Netzbetreiber können von der Verpflichtung zur Unterhaltung ständiger Einrichtungen befreit werden, müssen jedoch weiterhin Anordnungen umsetzen.
- The target is usually identified by Teilnehmer- oder Anschlusskennungen (user name, line ID, MAC address, installation address, IMSI/MSISDN). A fixed IP address can also be ordered, but for dynamic addressing the interception system must follow the IP address the target currently holds.
- Die Abfangpunkt muss dort angesiedelt sein, wo der Datenverkehr des Teilnehmers noch identifizierbar ist, was in der Regel vor dem CGNAT, auf dem BNG oder dem Paket-Gateway oder direkt daneben bedeutet.
- Anschließend erfolgt die Übergabe ETSI TS 102 232-1 und -3 (Internetzugang) oder -7 (Mobil), mit ETSI TS 103 221 (X1/X2/X3) or a vendor LI interface between the network elements, the ADMF and the mediation function.
- Zur Beantwortung wird dieselbe Infrastruktur genutzt Anfragen zu Teilnehmer- und Verkehrsdaten (§ 174 TKG und die Bestimmungen zu Verkehrsdaten), und es wird von der geplanten Schnellgefrieren und Speicherung von IP-Adressen Regeln.
Wer muss für Internetdienstanbieter die Telekommunikationsüberwachung gewährleisten?
In Germany, § 170 TKG obliges anyone who operates a telecommunications system used for publicly available telecommunications services to keep interception facilities and organisational measures in place at their own cost. The duty to implement each order follows from § 100a(4) StPO and the corresponding provisions in other laws. Providers that do not operate their own facilities must use an operator that can implement orders on their behalf, and must notify the BNetzA. For internet access, this includes:
- Festnetz-Internetdienstanbieter (DSL, Kabel, FTTH), einschließlich Wiederverkäufer mit eigenem Kundenstamm (in der Regel über ihren Großhandelspartner)
- Mobilfunknetzbetreiber und reine MVNOs, die mobile Daten anbieten. Zur Aufteilung der Zuständigkeiten siehe MVNO vs. MNO: Wer ist für die LI verantwortlich?
- Anbieter von Festnetz-Funkdiensten, Satellitendiensten und öffentlichem WLAN, sofern der Dienst öffentlich zugänglich ist
Der TKÜV befreit Systeme mit höchstens 10.000 verbundene Nutzer vom Betrieb permanenter TKÜ-Anlagen. Diese Anbieter müssen jedoch eine Anordnung weiterhin umsetzen, sobald sie eingeht, in der Regel durch eine vorübergehende Lösung wie beispielsweise eine vorübergehende LI-Box. For public Wi-Fi access without user identifiers the threshold is 100,000 users (§ 3(2) No. 6 TKÜV). The 10,000-user exemption does not apply to network nodes that switch public voice traffic abroad (§ 3(2) sentence 2 TKÜV). Providers above the threshold must have their facilities in place when they start operations, submit their technical documentation to the Bundesnetzagentur (BNetzA) und die Einhaltung der Vorschriften im Genehmigung durch die BNetzA Prozess.
Die Referenzarchitektur: Gesetzliche Überwachung für Internetdienstanbieter
| Komponente | Rolle in einem ISP-Netzwerk | Standard |
|---|---|---|
| ADMF / LIMS | Nimmt Bestellungen entgegen, verwaltet Zielvorgaben, steuert die POIs | ETSI TS 103 221-1 (X1), or the router’s vendor tasking interface |
| IRI-POI | Erkennt Zielsitzungen: Anmeldung, IP-Zuweisung, Abmeldung | AAA/RADIUS-, DHCP- und BNG-Ereignisse |
| CC-POI | Kopiert die Pakete des Ziels | Integrated in the BNG/BRAS or router (vendor LI function, e.g. SNMPv3 tasking and a UDP/GRE mirror stream, or ETSI TS 103 221-2 X3 where supported); optical TAP only as fallback |
| Vermittlungs-/Lieferfunktion | Erstellt und liefert IRI und CC | ETSI TS 103 221-2 (X2/X3), ETSI TS 102 232 |
| Übergabe an die LEA | Erfolgreiche Auslieferung von HI2 und HI3 | ETSI TS 102 232-1 / -3 / -4 / -7, nationale Kryptografie |
Um zu erfahren, wie die einzelnen Teile zusammenpassen, lesen Sie bitte Wie eine Mediationsfunktion funktioniert und unser LI Mediation Platform.
Schritt 1: Das Ziel zuverlässig identifizieren
An internet access order usually names a subscriber or a line; a fixed IP address can also be ordered. The interception system must therefore:
- Ordnen Sie die bestellte Kennung (Kundennummer, Benutzername, Anschluss-ID, MSISDN/IMSI) der Netzwerkkennungen wird am BNG oder am Paket-Gateway verwendet.
- Ansehen Sitzungsereignisse aus RADIUS- oder Diameter-Abrechnungsprotokollen (Acct-Start, Interim-Update, Acct-Stop), DHCP- und BNG-Protokollen.
- IP-Änderungen verfolgen in Echtzeit: erzwungene Wiederverbindungen, Änderungen der IPv4-Lease-Zeiten, IPv6-Präfix-Delegierung und Dual-Stack-Sitzungen.
- Die Aufzeichnung starten, sobald das Ziel eine Verbindung herstellt, auch wenn der Auftrag aktiviert wurde, während das Ziel offline war.
Jedes dieser Ereignisse wird zu einem IRI-Datensatz (Beginn, Fortsetzung, Ende) bereitgestellt über HI2. Hintergrundinformationen finden Sie unter IRI vs. CC.
Schritt 2: Die richtigen Besucher am richtigen Ort ansprechen
- Native copy first: carrier-grade BNG/BRAS and routers can copy the target’s traffic themselves. Newer platforms support ETSI TS 103 221 (X1 tasking, X2/X3 delivery); many routers and BNGs still use a vendor LI interface, which the ADMF tasks and whose mirror stream the mediation function converts. Passive probes are only a fallback where this is not possible.
- Vor CGNAT: Sobald sich viele Teilnehmer eine öffentliche IP-Adresse teilen, lässt sich ihr Datenverkehr nicht mehr zuverlässig voneinander unterscheiden. Führen Sie die Erfassung auf der Teilnehmerseite durch oder übermitteln Sie die NAT-Zuordnung (öffentliche IP-Adresse und Portblock) zusammen mit dem CC.
- Der gesamte Datenverkehr des Ziels: IPv4 und IPv6, TCP, UDP und andere Protokolle, in beide Richtungen, ohne Filterung, sofern der Auftrag den Umfang nicht ausdrücklich einschränkt.
- Kein Verlust bei hoher Geschwindigkeit: FTTH-Teilnehmer können Multi-Gigabit-Spitzenwerte erzeugen. X3-Streams, Vermittlungspuffer und Zeitstempelung müssen auf Spitzenraten und nicht auf Durchschnittswerte ausgelegt sein.
- Entfernen Sie Ihre eigene Verschlüsselung: Wenn der Anbieter selbst im Zugangsnetz eine Verschlüsselung oder Komprimierung vornimmt, muss die übermittelte Kopie unverschlüsselt sein. Die End-to-End-Verschlüsselung durch den Nutzer bleibt davon unberührt.
- Präzise Zeitsynchronisation (NTP oder PTP) über POIs, AAA und Mediation hinweg, sodass IRI und CC übereinstimmen.
Schritt 3: Sichere Übermittlung an die Behörde
Bei Internet-Zugangsdiensten erfolgt die Übergabe an die Agentur wie folgt: ETSI TS 102 232-3, zusätzlich zu dem generischen Framework in ETSI TS 102 232-1. Layer-2-Dienste nutzen -4, and mobile packet data uses 3GPP TS 33.108 or TS 33.128, carried over ETSI TS 102 232-1 and -7. In Germany, the TR TKÜV specifies the national options, and the connection to the agencies is protected by approved cryptographic gateways. Delivery must be resilient: buffering during outages, retransmission and monitoring of every handover link.
Großhandel, Bitstream und gehostete Netzwerke
Viele Internetdienstanbieter besitzen nicht die gesamte Zugangskette:
- Mit Layer-2-Bitstream-Zugriff, betreibt der Wiederverkäufer in der Regel ein eigenes BNG und kann dort Daten abfangen.
- Mit Layer-3-Bitstream Bei White-Label-Modellen erfolgen die IP-Zuweisung und das Routing im Netzwerk des Wholesale-Partners. Verantwortlichkeiten, Datenfeeds und die Unterstützung bei der Überwachung müssen im Wholesale-Vertrag vereinbart werden.
- Mit in der Cloud gehostete oder ausgelagerte Rechenkerne, kann sich der Erfassungspunkt in einem Rechenzentrum befinden, das nicht Ihrer Kontrolle unterliegt. Passive Überwachungsmaßnahmen, beispielsweise über virtuelle Mirror-Ports, können eine praktische Lösung darstellen. Siehe LI mit ausgelagertem oder gehostetem Kern.
Über die Telekommunikationsüberwachung hinaus: Auskunftsersuchen
Dieselben Systeme und Prozesse dienen auch der Erfüllung anderer gesetzlicher Verpflichtungen:
- Anfragen zu Teilnehmerdaten (§ 174 TKG), einschließlich der Identifizierung eines Teilnehmers, der zu einem bestimmten Zeitpunkt hinter einer dynamischen IP-Adresse steht.
- Traffic data requests (today § 100g StPO with TKÜV Part 4) and, if the pending bill BT-Drs. 21/6581 is passed, the Schnellgefrieren (Sicherungsanordnung under § 100g(7) StPO-E, with the provider duties in § 176 TKG-E).
- Speicherung von IP-Adressen: if the bill is passed, § 177 TKG-E will require access providers to store IP address assignments (IP address, ports behind CGNAT, line and user ID) for three months.
- Elektronische Schnittstellen: Anbieter mit 100.000 oder mehr Vertragspartnern müssen das ETSI-ESB-Verfahren (zusätzlich zum E-Mail-ESB) bereitstellen, während kleinere Anbieter sich auf das E-Mail-ESB beschränken können.
Häufige Fallstricke bei der Telekommunikationsüberwachung durch Internetdienstanbieter
| Fallstrick | Folge | Abhilfe |
|---|---|---|
| Eroberungspunkt hinter CGNAT | Der Datenverkehr anderer Teilnehmer wurde erfasst oder der Ziel-Datenverkehr wurde nicht erfasst | Verschieben Sie den POI vor NAT oder stellen Sie einen Zusammenhang mit den NAT-Protokollen her |
| IPv6 wird nicht unterstützt | Unvollständiger Schnittpunkt | Delegierte Präfixe und Dual-Stack-Sitzungen nachverfolgen |
| Keine Zwischenbilanz | IP-Änderungen bleiben unbemerkt | Zwischenaktualisierungen und BNG-Ereignis-Feeds aktivieren |
| Zu kleine Erfassung | Paketverluste bei Spitzenauslastung | Größe für Bursts festlegen, Hardware-Zeitstempel hinzufügen |
| Unklare Zuständigkeiten im Großhandel | Aufträge können nicht ausgeführt werden | Vertragliche Haftungsausschlussklauseln und Datenfeeds |
| Unvollständige Dokumentation | Verzögerte Genehmigung durch die BNetzA | Strukturiertes technisches Konzept auf der Grundlage der TR TKÜV |
Wie ICS die Telekommunikationsüberwachung durch Internetdienstanbieter unterstützt
ICS International Carrier Services builds on more than 20 years of team experience in telecommunications, lawful interception and compliance and on BNetzA-accepted LI implementations. Wir unterstützen Internetdienstanbieter vom ersten Konzept bis zum 24/7-Betrieb:
- Verwaltung des LI-Betriebs für IP-Überwachung, VoIP-Überwachung, Auskunftsersuchen zu Teilnehmerdaten (§ 174 TKG) und Auskunftsersuchen zu Verkehrsdaten als Full-Service-Modell. Siehe Managed TKÜ-Betrieb.
- Technisches Konzept und Genehmigung durch die BNetzA: Dokumentation auf der Grundlage der TR TKÜV, Prüfpläne und Unterstützung bei der Abnahme.
- Vermittlung und Übergabe: unser LI Mediation Platform und LIMS die ETSI TS 102 232-Datenströme an die Behörden übermitteln.
- LEMF-Test um Ihre HI2/HI3-Lieferung vor und während der Abnahme durch die BNetzA zu überprüfen. Siehe ICS LEMF.
- Network element integration with BNG/BRAS and core routers via their vendor LI interfaces or ETSI TS 103 221 X1/X3, with passive probes or cloud mirroring only where direct integration is not possible.
- Vorläufige Lösungen für kleine Anbieter unterhalb der TKÜV-Grenze.
- Beratung zum Thema CGNAT-Protokollierung, IPv6, Großhandelsverträge und die bevorstehende Vorratsspeicherung von IP-Adressen.
Kontaktieren Sie unser Team für eine Bewertung Ihres Zugangsnetzes oder erfahren Sie mehr über unsere TKÜ-Lösungen.
Häufig gestellte Fragen
Gilt die gesetzliche Überwachungspflicht für Internetdienstanbieter auch für kleine Anbieter?
Yes. In Germany, systems with no more than 10,000 connected users do not have to keep permanent interception facilities, but they must still implement interception orders when they receive them, for example with a temporary solution. For public Wi-Fi access without user identifiers the threshold is 100,000 users (§ 3(2) No. 6 TKÜV); the 10,000-user exemption does not apply to network nodes that switch public voice traffic abroad (§ 3(2) sentence 2 TKÜV).
Welcher ETSI-Standard gilt für die Überwachung des Internetzugangs?
ETSI TS 102 232-3 defines the handover for internet access services, based on the generic ETSI TS 102 232-1. Mobile packet data uses 3GPP TS 33.108 or TS 33.128, carried over ETSI TS 102 232-1 and -7. Internal interfaces can follow ETSI TS 103 221 (X1/X2/X3); many routers still use vendor-specific LI interfaces.
Wo sollte ein Internetdienstanbieter den Datenverkehr abfangen, wenn CGNAT verwendet wird?
Idealerweise vor der NAT-Funktion, wo jeder Teilnehmer noch über eine eindeutige private Adresse oder Sitzung verfügt. Ist dies nicht möglich, muss der Anbieter die Erfassung mit den CGNAT-Protokollen (öffentliche IP-Adresse, Portbereich und Zeit) abgleichen.
Wie wird ein Ziel identifiziert, wenn sich die IP-Adresse ändert?
Das Überwachungssystem verfolgt Sitzungsereignisse aus der RADIUS- oder Diameter-Abrechnung, aus DHCP- und BNG-Protokollen. Es ordnet die sequenzielle Teilnehmerkennung der aktuell zugewiesenen IP-Adresse oder dem IP-Präfix zu und aktualisiert die Erfassungsfilter automatisch.
Kann ein Internetdienstanbieter die Telekommunikationsüberwachung auslagern?
Ja. Die gesetzliche Verpflichtung obliegt weiterhin dem Anbieter, der Betrieb kann jedoch an einen spezialisierten Dienstleister delegiert werden, der in seinem Namen handelt, sofern die Anforderungen an Sicherheit, Vertraulichkeit und die Vorgaben der BNetzA erfüllt sind.
Verwandte Artikel
- So gehen Sie mit LI um, wenn Ihr Kernnetzwerk ausgelagert oder gehostet wird
- So bewerten Sie eine LI-Mediationsplattform: 7 Fragen, die Sie einem Anbieter stellen sollten
- X1/X2/X3-Schnittstellen in 5G: Die 3GPP LI-Architektur wird erklärt
- LI-Einhaltung als Dienstleistung: Welche SLAs sollten Sie tatsächlich einfordern?
