{"id":2146,"date":"2026-05-20T08:00:00","date_gmt":"2026-05-20T07:00:00","guid":{"rendered":"https:\/\/ic-services.io\/?p=2146"},"modified":"2026-10-21T14:12:24","modified_gmt":"2026-10-21T13:12:24","slug":"hi1-hi2-hi3-schnittstellen-fur-rechtmasiges-abhoren","status":"publish","type":"post","link":"https:\/\/ic-services.io\/de\/resources\/blog\/hi1-hi2-hi3-lawful-interception-interfaces\/","title":{"rendered":"HI1 vs. HI2 vs. HI3: Die drei Lawful-Interception-Schnittstellen im \u00dcberblick"},"content":{"rendered":"

Das Verst\u00e4ndnis der HI1-, HI2- und HI3-Schnittstellen ist f\u00fcr die korrekte Umsetzung der Telekommunikations\u00fcberwachung von grundlegender Bedeutung. Das Herzst\u00fcck jedes Systems zur Telekommunikations\u00fcberwachung bildet eine Reihe standardisierter Schnittstellen, die regeln, wie ausgeleitete Kommunikation verwaltet, verarbeitet und an die Strafverfolgungsbeh\u00f6rden weitergeleitet wird. Im ETSI-Rahmenwerk \u2013 dem ma\u00dfgeblichen Standard f\u00fcr die Telekommunikations\u00fcberwachung in Europa und weiten Teilen der Welt \u2013 werden diese Schnittstellen als HI1, HI2 und HI3 bezeichnet. Zusammen bilden sie die vollst\u00e4ndige \u00dcbergabearchitektur, die das Netz eines Betreibers mit dem \u00dcberwachungseinrichtung der Strafverfolgungsbeh\u00f6rden<\/a> (LEMF). Trotz ihrer grundlegenden Bedeutung werden die Unterschiede zwischen diesen drei Schnittstellen h\u00e4ufig missverstanden, selbst von Fachleuten aus den Bereichen Telekommunikation und Strafverfolgung.<\/p>\n\n\n\n

Dieser Artikel bietet eine klare, detaillierte Erkl\u00e4rung jeder Schnittstelle - was sie beinhaltet, wie sie funktioniert und warum sie wichtig ist. Das Verst\u00e4ndnis von HI1, HI2 und HI3 ist nicht nur eine akademische \u00dcbung; es ist f\u00fcr jeden, der an der Entwicklung, Beschaffung, Einrichtung oder dem Betrieb eines Systems zur Telekommunikations\u00fcberwachung beteiligt ist, unerl\u00e4sslich.<\/p>\n\n\n\n

Verst\u00e4ndnis der HI1 HI2 HI3-Schnittstellen<\/h2>\n\n\n\n

Before examining each interface individually, it is important to understand where they sit within the broader LI architecture. The ETSI model divides the interception process into several functional components. In the classic ETSI model (TS 101 671), the key components on the operator’s side are the internal interception function (IIF), which performs the actual interception within the network, and the Mediationsfunktion<\/a> (MF), which translates the intercepted data into the standardised formats required by the handover interfaces. Current ETSI and 3GPP architectures (TS 104 007, TS 103 221, 3GPP TS 33.127) call them the point of interception (POI) and the mediation and delivery function (MDF). On the law enforcement side, the LEMF receives the intercepted data and provides tools for analysis and investigation.<\/p>\n\n\n\n

Die drei HI-Schnittstellen bilden die Grenze zwischen dem Bereich des Betreibers und dem Bereich der Strafverfolgungsbeh\u00f6rden. HI1 wickelt den administrativen Austausch ab, HI2 \u00fcbermittelt \u00fcberwachungsrelevante Informationen und HI3 den Inhalt der Kommunikation. Jede Schnittstelle arbeitet unabh\u00e4ngig, obwohl alle drei zusammenarbeiten m\u00fcssen, um einen vollst\u00e4ndigen TK\u00dc-Vorgang zu unterst\u00fctzen. Durch die Trennung dieser Funktionen in verschiedene Schnittstellen wird sichergestellt, dass die administrativen, metadatenbezogenen und inhaltlichen Aspekte der \u00dcberwachung entsprechend ihren unterschiedlichen Anforderungen verwaltet, gesichert und verarbeitet werden k\u00f6nnen.<\/p>\n\n\n\n

HI1: Die administrative Schnittstelle<\/h2>\n\n\n\n

HI1 ist die administrative Schnittstelle zwischen den Strafverfolgungsbeh\u00f6rden und dem Betreiber. Sein Hauptzweck besteht darin, den \u00dcberwachungsauftrag von der Strafverfolgungsbeh\u00f6rde an den Betreiber zu \u00fcbermitteln und den Lebenszyklus der \u00dcberwachung zu verwalten - von der Aktivierung \u00fcber die \u00c4nderung bis zur Deaktivierung. HI1 ist der Befehls- und Kontrollkanal f\u00fcr den TK\u00dc-Prozess.<\/p>\n\n\n\n

\u00dcber HI1 teilt die Strafverfolgungsbeh\u00f6rde die Einzelheiten des \u00dcberwachungsauftrags mit, einschlie\u00dflich der Identit\u00e4t der Zielperson (die durch Telefonnummer, IMSI, IMEI, IP-Adresse, E-Mail-Adresse oder eine andere Kennung angegeben werden kann), des Umfangs der \u00dcberwachung (nur Inhalt, nur Metadaten oder beides), der genehmigten Dauer und spezifischer Parameter oder Einschr\u00e4nkungen. Der Betreiber quittiert den Empfang des Auftrags, best\u00e4tigt die Aktivierung und meldet den Status der \u00dcberwachung zur\u00fcck.<\/p>\n\n\n\n

Mit HI1 k\u00f6nnen auch \u00c4nderungen an einer bestehenden \u00dcberwachung vorgenommen werden - z. B. die Verl\u00e4ngerung der Dauer, die \u00c4nderung der Zielkennung oder die Anpassung des Umfangs - sowie die Deaktivierung der \u00dcberwachung, wenn die Genehmigung abl\u00e4uft oder widerrufen wird. In einigen Implementierungen unterst\u00fctzt HI1 auch den Austausch von administrativen Metadaten wie Haftbefehlsnummern, Fallreferenzen und Operator Response Codes.<\/p>\n\n\n\n

The implementation of HI1 varies significantly between jurisdictions and operators. In some countries, HI1 is a fully automated, machine-to-machine interface using defined protocols and message formats. In others, it remains a largely manual process, with interception orders delivered by fax, secure email, or physical document and acknowledged through similar channels. ETSI TS 103 120 now defines a complete electronic HI1 protocol, and 3GPP requires 5G networks to support it, but national legal and institutional arrangements still vary widely.<\/p>\n\n\n\n

Die Sicherheit von HI1 ist von entscheidender Bedeutung, da es sensible Informationen \u00fcber aktive TK\u00dc-Ma\u00dfnahmen enth\u00e4lt. Ein unbefugter Zugriff auf HI1 k\u00f6nnte dem Ziel die Existenz einer TK\u00dc-Ma\u00dfnahme offenbaren oder die Aktivierung nicht autorisierter TK\u00dc-Ma\u00dfnahmen erm\u00f6glichen. Die Implementierungen m\u00fcssen daher eine starke Authentifizierung, Verschl\u00fcsselung, Zugangskontrollen und Audit-Protokollierung umfassen.<\/p>\n\n\n\n

HI2: Die Schnittstelle f\u00fcr abfangbezogene Informationen<\/h2>\n\n\n\n

HI2 ist die Schnittstelle f\u00fcr die \u00dcbermittlung von \u00fcberwachungsrelevanten Informationen (IRI) an das LEMF. Bei den IRI handelt es sich um Metadaten, die mit der ausgeleiteten Kommunikation verbunden sind - das \"Wer\", \"Wann\", \"Wo\" und \"Wie\" der Kommunikation, ohne den eigentlichen Inhalt. HI2 wird oft als Metadatenschnittstelle bezeichnet, und die Informationen, die sie enth\u00e4lt, sind f\u00fcr die Ermittlungen der Strafverfolgungsbeh\u00f6rden von entscheidender Bedeutung, da sie h\u00e4ufig genauso viel oder mehr Ermittlungswert haben als der Inhalt selbst.<\/p>\n\n\n\n

The IRI delivered over HI2 typically includes the identities of the communicating parties (calling and called numbers, IMSI, IMEI), the time and duration of the communication, the type of service (voice, SMS, data), the network elements involved, cell identifiers and location information, IP addresses and port numbers, and signalling information such as SIP headers or Diameter messages. The specific data elements included in the IRI vary depending on the type of communication and the network technology, and are defined in the applicable handover standard: ETSI TS 102 232-2 to -7 for IP-based services, ETSI TS 101 671 \/ 3GPP TS 33.108 for legacy mobile and circuit-switched services, and 3GPP TS 33.128 for 5G.<\/p>\n\n\n\n

HI2-Daten werden mithilfe von ASN.1 (Abstract Syntax Notation One) kodiert, das ein formales, strukturiertes Format zur Darstellung der IRI-Datenelemente bereitstellt. Die Verwendung von ASN.1 gew\u00e4hrleistet, dass die Daten \u00fcber verschiedene Implementierungen hinweg eindeutig kodiert und dekodiert werden k\u00f6nnen, was die Interoperabilit\u00e4t zwischen Betreibern und Strafverfolgungsbeh\u00f6rden<\/a>. HI2 and HI3 are protected either by a private managed network, by a VPN (for example the IPsec crypto boxes mandated in Germany), or by TLS 1.2\/1.3 with certificate-based mutual authentication, depending on the national framework; delivery uses TCP to ensure reliable, in-order delivery.<\/p>\n\n\n\n

One of the complexities of HI2 is the need to generate IRI events in real time as the intercepted communication progresses. For a voice call, this means generating events for call setup, ringing, answer, call modification (such as hold or conference), and call release. For a data session, it means generating events for session establishment, address allocation, bearer activation, and session termination. The interception points in the network detect the call or session events, and the mediation function turns them into standard IRI records with accurate timestamps.<\/p>\n\n\n\n

HI2 ist besonders wichtig f\u00fcr Ermittlungen, bei denen es um Standortverfolgung, Netzwerkanalyse und die Bewertung von Lebensmustern geht. Die \u00fcber HI2 gelieferten Metadaten k\u00f6nnen Kommunikationsmuster, geografische Bewegungen und die Netznutzung aufzeigen, die f\u00fcr viele Arten von strafrechtlichen Ermittlungen von zentraler Bedeutung sind. F\u00fcr die Betreiber ist die Gew\u00e4hrleistung der Vollst\u00e4ndigkeit und Genauigkeit der HI2-Daten ein wichtiger Qualit\u00e4tsma\u00dfstab f\u00fcr ihre LI-Systeme.<\/p>\n\n\n\n

HI3: Der Inhalt der Kommunikationsschnittstelle<\/h2>\n\n\n\n

HI3 is the interface for delivering the content of communications (CC) to the LEMF. CC is the actual substance of the intercepted communication \u2014 the voice audio, the web pages viewed, the emails sent and received, the files transferred. (SMS is the classic exception: in 3GPP networks its text is delivered as IRI over HI2.) HI3 is the interface that carries the material that law enforcement needs to understand what the target is communicating, as opposed to the metadata about how and when the communication occurs.<\/p>\n\n\n\n

Format und Umfang der CC-Daten sind je nach Art der ausgeleiteten Kommunikation sehr unterschiedlich. Bei Sprachanrufen ist das CC ein Echtzeit-Audiostrom, der in der Regel mit Standard-Codecs wie AMR (Adaptive Multi-Rate) oder G.711 kodiert ist. Bei Datensitzungen besteht der CC aus den vom Ziel ausgetauschten IP-Paketen, die Webverkehr, E-Mail-Nachrichten, Datei\u00fcbertragungen, Streaming Media und jede andere Art von IP-basierter Kommunikation umfassen k\u00f6nnen. Das Datenvolumen, das bei einer einzelnen Daten\u00fcberwachung entsteht, kann um Gr\u00f6\u00dfenordnungen gr\u00f6\u00dfer sein als bei einer Sprach\u00fcberwachung.<\/p>\n\n\n\n

HI3 delivery must be real-time for voice and near-real-time for data. The intercepted content must be delivered to the LEMF with minimal latency to support time-critical investigations. For IP-based handover (ETSI TS 102 232), all content, including voice, is wrapped in PS-PDUs and sent over TCP (protected by a VPN or TLS). Captured RTP media becomes the payload of these PDUs rather than being sent as RTP. Legacy circuit-switched handover uses ISDN bearer channels instead.<\/p>\n\n\n\n

The handling of encrypted content on HI3 is one of the most challenging aspects of modern LI. If the target’s communications are encrypted at the application layer (for example, using end-to-end encryption in a messaging application), the operator may only be able to deliver the encrypted content on HI3, which is of limited value to law enforcement. Operators must remove any encryption they apply or manage themselves, or supply the keys (3GPP TS 33.126). End-to-end encryption applied by an over-the-top application is outside the operator’s control, so the operator can only deliver that content as it sees it \u2014 and the growing prevalence of such encryption is creating a widening gap between what law enforcement expects and what operators can deliver.<\/p>\n\n\n\n

Wie die drei Schnittstellen zusammenarbeiten<\/h2>\n\n\n\n

Bei einer typischen TK\u00dc-Ma\u00dfnahme arbeiten die drei Schnittstellen wie folgt zusammen: Zun\u00e4chst \u00fcbermittelt die Strafverfolgungsbeh\u00f6rde dem Betreiber \u00fcber HI1 einen \u00dcberwachungsanordnung, in dem das Ziel, der Umfang und die Dauer festgelegt sind. Der Betreiber LI-Managementsystem<\/a> processes the order, validates the warrant, and provisions the points of interception (POIs) and the mediation function over X1 to begin intercepting the target’s communications.<\/p>\n\n\n\n

When the target initiates or receives a communication, the POIs capture the relevant signalling and content and pass them to the mediation function over X2 and X3. The mediation function processes this data, turning the detected events into IRI records encoded in ASN.1 format for delivery over HI2, and encapsulating the CC for delivery over HI3. Both streams are transmitted securely to the LEMF, where they are correlated and presented to investigators.<\/p>\n\n\n\n

W\u00e4hrend der gesamten \u00dcberwachung bleibt HI1 zu Verwaltungszwecken aktiv - die Strafverfolgungsbeh\u00f6rde kann damit Statusaktualisierungen anfordern, die \u00dcberwachungsparameter \u00e4ndern oder einen Deaktivierungsbefehl erteilen. Wenn die \u00dcberwachung beendet ist, best\u00e4tigt der Betreiber die Deaktivierung \u00fcber HI1 und stellt die \u00dcbertragung von IRI und CC \u00fcber HI2 und HI3 ein.<\/p>\n\n\n\n

Praktische Erw\u00e4gungen f\u00fcr Betreiber<\/h2>\n\n\n\n

Die Betreiber, die die drei HI-Schnittstellen implementieren, m\u00fcssen mehrere praktische \u00dcberlegungen anstellen. Die erste ist die Dimensionierung des Systems. Die Schnittstellen HI2 und HI3 m\u00fcssen so dimensioniert sein, dass sie das erwartete Volumen gleichzeitiger Abfragen ohne Datenverlust oder \u00fcberm\u00e4\u00dfige Latenzzeiten bew\u00e4ltigen k\u00f6nnen. Bei datenintensiven Abfangvorg\u00e4ngen k\u00f6nnen die Bandbreitenanforderungen f\u00fcr HI3 betr\u00e4chtlich sein, und die Betreiber m\u00fcssen sicherstellen, dass ihre \u00dcbertragungsinfrastruktur angemessen ausgestattet ist.<\/p>\n\n\n\n

The second consideration is security. All three interfaces carry sensitive information and must be protected against unauthorised access, eavesdropping, and tampering. This requires a protected delivery path (a private network, VPN or TLS with mutual authentication, as the national framework prescribes) and comprehensive audit logging. Security failures on any of the three interfaces can compromise the integrity of the interception process and potentially expose sensitive law enforcement operations.<\/p>\n\n\n\n

Der dritte Aspekt ist die Interoperabilit\u00e4t. Die Betreiber m\u00fcssen sicherstellen, dass ihre HI-Implementierungen mit den von den Strafverfolgungsbeh\u00f6rden in ihrem Zust\u00e4ndigkeitsbereich verwendeten Systemen kompatibel sind. Dazu sind in der Regel formale Interoperabilit\u00e4tstests erforderlich, was ein zeitaufw\u00e4ndiger Prozess sein kann. Die Betreiber sollten sich schon fr\u00fch im Entwicklungsprozess mit den technischen Ansprechpartnern der nationalen Strafverfolgungsbeh\u00f6rden in Verbindung setzen, um Kompatibilit\u00e4tsprobleme zu erkennen und zu l\u00f6sen.<\/p>\n\n\n\n

Schlussfolgerung<\/h2>\n\n\n\n

Die Schnittstellen HI1, HI2 und HI3 bilden das R\u00fcckgrat der ETSI-Architektur f\u00fcr die rechtm\u00e4\u00dfige \u00dcbergabe von \u00dcberwachungsdaten. HI1 stellt den administrativen Kontrollkanal bereit, HI2 liefert die umfangreichen Metadaten, die f\u00fcr Ermittlungen unerl\u00e4sslich sind, und HI3 \u00fcbertr\u00e4gt den eigentlichen Inhalt der ausgeleiteten Kommunikation. Zusammen erm\u00f6glichen sie eine vollst\u00e4ndige, auf Standards basierende \u00dcberwachungsfunktion, die sowohl die Bed\u00fcrfnisse der Betreiber als auch der Strafverfolgungsbeh\u00f6rden erf\u00fcllt. Das Verst\u00e4ndnis der unterschiedlichen Rollen, technischen Anforderungen und praktischen Herausforderungen der einzelnen Schnittstellen ist f\u00fcr jeden, der an der Entwicklung, dem Einsatz oder dem Betrieb von TK\u00dc-Systemen in modernen Telekommunikationsnetzen beteiligt ist, von entscheidender Bedeutung.<\/p>\n\n\n\n

Die ordnungsgem\u00e4\u00dfe Implementierung der HI1-, HI2- und HI3-Schnittstellen ist unerl\u00e4sslich f\u00fcr Einhaltung der TK\u00dc-Vorschriften<\/a>. Die Betreiber m\u00fcssen ihre HI1-, HI2- und HI3-Implementierungen vor der Inbetriebnahme gr\u00fcndlich testen.<\/p>\n\n\n\n

Verwandte Artikel<\/h2>\n\n\n\n

Weitere Informationen zu verwandten Themen finden Sie in diesen Artikeln:<\/p>\n\n\n\n