{"id":2150,"date":"2026-06-03T08:00:00","date_gmt":"2026-06-03T07:00:00","guid":{"rendered":"https:\/\/ic-services.io\/?p=2150"},"modified":"2026-10-21T14:13:23","modified_gmt":"2026-10-21T13:13:23","slug":"iri-vs-cc-intercept-bezogene-informationen","status":"publish","type":"post","link":"https:\/\/ic-services.io\/de\/resources\/blog\/iri-vs-cc-intercept-related-information\/","title":{"rendered":"IRI vs. CC: Was \u00fcberwachungsrelevante Informationen in der Praxis bedeuten"},"content":{"rendered":"

Informationen zu Intercept bilden das R\u00fcckgrat der Metadaten jedes rechtm\u00e4\u00dfiges Abfangen<\/a> Ma\u00dfnahme. Bei der Telekommunikations\u00fcberwachung sind zwei Datenkategorien f\u00fcr jede \u00dcberwachungsma\u00dfnahme von grundlegender Bedeutung: \u00fcberwachungsbezogene Informationen (IRI) und Kommunikationsinhalte (CC). Diese beiden Datentypen bilden den Kern dessen, was ein Betreiber bei der Ausf\u00fchrung eines \u00dcberwachungsanordnungs an die Strafverfolgungsbeh\u00f6rden \u00fcbermittelt, und sie werden im ETSI-Rahmenwerk \u00fcber separate \u00dcbergabeschnittstellen \u00fcbertragen \u2013 HI2 f\u00fcr IRI und HI3 f\u00fcr CC. Zwar verstehen die meisten Fachleute den grundlegenden Unterschied \u2013 IRI sind Metadaten, CC sind Inhalte \u2013, doch sind die praktischen Auswirkungen dieser Unterscheidung differenzierter, als es auf den ersten Blick erscheint.<\/p>\n\n\n\n

In diesem Artikel wird untersucht, was IRI und CC in der Praxis tats\u00e4chlich bedeuten, welche Datenelemente sie jeweils umfassen, wie sie generiert und \u00fcbermittelt werden und warum die Unterscheidung f\u00fcr Betreiber, Strafverfolgungsbeh\u00f6rden und das breitere \u00d6kosystem der Telekommunikations\u00fcberwachung von Bedeutung ist.<\/p>\n\n\n\n

Was abfangbezogene Informationen bedeuten<\/h2>\n\n\n\n

Intercept-related information encompasses all the metadata associated with an intercepted communication. In the simplest terms, IRI answers the questions: who communicated, with whom, when, for how long, using what service, and from where? It does not include the substance of the communication itself \u2014 that is the domain of CC. IRI is defined by the applicable handover standard: the ETSI TS 102 232 series for IP-based services, ETSI TS 101 671 \/ 3GPP TS 33.108 for legacy mobile and circuit-switched services, and 3GPP TS 33.128 for 4G\/5G under the current 3GPP architecture. These specify the data elements, encoding formats, and delivery mechanisms for different network technologies.<\/p>\n\n\n\n

Die spezifischen Datenelemente, die in den IRI enthalten sind, h\u00e4ngen von der Art der Kommunikation und der beteiligten Netztechnologie ab. Bei einem herk\u00f6mmlichen Sprachanruf umfasst die IRI in der Regel die anrufende Nummer (A-Nummer), die angerufene Nummer (B-Nummer), die IMSI und IMEI des Zielger\u00e4ts, den Zeitpunkt der Einleitung des Anrufs, den Zeitpunkt der Beantwortung, die Dauer des Anrufs, die Zellkennungen zu Beginn und w\u00e4hrend des Anrufs (mit Standortinformationen) und die Art des Anrufs (angenommen, besetzt, keine Antwort, weitergeleitet). Bei einer IP-Datensitzung kann die IRI die IP-Adresse des Ziels, den zugewiesenen APN (Access Point Name), die Tr\u00e4gerparameter, die Start- und Endzeit der Sitzung sowie das \u00fcbertragene Datenvolumen enthalten.<\/p>\n\n\n\n

IRI is generated as a series of events that correspond to the progression of the communication. The ETSI standards define specific IRI event types for different stages of a communication \u2014 for example, a call setup event, an answer event, a call release event, and various supplementary service events. Each event carries the relevant data elements and an accurate timestamp. Interception points in the network elements detect these events in the signalling (SIP, Diameter, GTP, SS7 and others) and pass them to the Mediationsfunktion<\/a>, which turns them into standard IRI records in ETSI format.<\/p>\n\n\n\n

Eines der wichtigsten Merkmale der IRI ist ihr strukturierter Charakter. Da IRI im ASN.1-Format nach genau definierten Datenstrukturen kodiert sind, k\u00f6nnen sie von Strafverfolgungssystemen automatisch geparst, verarbeitet und analysiert werden. Dieses strukturierte Format erm\u00f6glicht eine automatische Korrelation, Musteranalyse und Data-Mining-Operationen, die bei unstrukturierten Daten viel schwieriger w\u00e4ren. Der ermittlungstechnische Wert von IRI sollte nicht untersch\u00e4tzt werden - in vielen F\u00e4llen sind die von IRI bereitgestellten Metadaten genauso wertvoll wie der Inhalt selbst oder sogar noch wertvoller als dieser.<\/p>\n\n\n\n

Definieren von CC: Die Inhaltsebene<\/h2>\n\n\n\n

Content of communication is the actual substance of the intercepted communication \u2014 the words spoken in a phone call, the web pages browsed during a data session, the files attached to an email. CC represents what was communicated, as opposed to the contextual information about the communication. CC is delivered over the HI3 interface to the LEMF.<\/p>\n\n\n\n

The format of CC varies dramatically depending on the type of communication. For voice calls, CC is a real-time audio stream, typically encoded using codecs such as AMR (Adaptive Multi-Rate), AMR-WB (Wideband), or G.711. The audio must be delivered in real time so that law enforcement can monitor the conversation as it occurs, though it is also typically recorded for later review. SMS is a notable exception: in 3GPP networks the message text travels with the IRI over HI2, not as CC over HI3, and whether the full text may be delivered depends on the scope of the warrant. For data sessions, CC consists of the IP packets exchanged by the target, which may contain web browsing traffic, email content, application data, streaming media, and any other type of IP-based communication.<\/p>\n\n\n\n

Die \u00dcberwachung von Daten erzeugt ein wesentlich h\u00f6heres CC-Volumen als die \u00dcberwachung von Sprache. Ein einzelner Sprachanruf erzeugt einen kontinuierlichen Audiostrom mit relativ geringer Bandbreite, w\u00e4hrend eine Datensitzung je nach Aktivit\u00e4t der Zielperson Gigabytes an Datenverkehr erzeugen kann. Diese Diskrepanz hat wichtige Auswirkungen auf die Dimensionierung von LI-Systemen, die Bandbreite von HI3-\u00dcbertragungskan\u00e4len und die erforderliche Speicherkapazit\u00e4t in der LEMF.<\/p>\n\n\n\n

The delivery of CC must be timely. For voice interception, this means real-time delivery with minimal latency. For data interception, near-real-time delivery is typically required, though the exact requirements may vary by jurisdiction. For IP-based handover, ETSI TS 102 232-1 delivers CC over TCP, protected by a VPN or TLS; legacy circuit-switched handover uses ISDN bearer channels.<\/p>\n\n\n\n

Warum die Unterscheidung wichtig ist<\/h2>\n\n\n\n

The distinction between IRI and CC is not merely technical \u2014 it has significant legal, operational, and strategic implications. From a legal perspective, many jurisdictions treat metadata and content differently. Some interception orders may authorise the collection of both IRI and CC, while others may be limited to metadata only. The legal thresholds for obtaining authorisation may differ, with content interception typically requiring a higher standard of evidence or a more serious category of offence. Operators must be able to activate IRI-only, CC-only and combined IRI-plus-CC intercepts independently, as the scope of the interception order dictates what data can be collected and delivered.<\/p>\n\n\n\n

Aus operativer Sicht haben IRI und CC unterschiedliche Merkmale in Bezug auf Umfang, Format, Verarbeitungsanforderungen und Liefermechanismen. IRI ist relativ kompakt und strukturiert und eignet sich daher gut f\u00fcr die automatische Verarbeitung und Analyse. CC ist potentiell umfangreich und variiert stark im Format, was unterschiedliche Handhabungs-, Speicher- und Analyseans\u00e4tze erfordert. Die Betreiber m\u00fcssen ihre LI-Systeme so konzipieren, dass sie beide Datentypen effizient verarbeiten k\u00f6nnen, mit geeigneten Puffer-, Flusskontroll- und Quality-of-Service-Mechanismen.<\/p>\n\n\n\n

Aus strategischer und ermittlungstechnischer Sicht liefern IRI und CC unterschiedliche Arten von Erkenntnissen. IRI erm\u00f6glicht Musteranalysen, die Kartierung von Netzwerken, die Standortverfolgung sowie die Ermittlung von Kommunikationsmustern im Zeitverlauf. CC bietet direkten Einblick in den Inhalt bestimmter Kommunikationen, erfordert jedoch unter Umst\u00e4nden einen erheblichen Aufwand bei der Aufbereitung und Analyse \u2013 insbesondere bei Datenabgriffen, die gro\u00dfe Mengen an gemischten Medieninhalten liefern. Strafverfolgungsbeh\u00f6rden<\/a> erkennen zunehmend den strategischen Wert von Metadaten, und bei einigen Ermittlungen k\u00f6nnen IRIs im Mittelpunkt der \u00dcberwachungsma\u00dfnahmen stehen.<\/p>\n\n\n\n

IRI in modernen Netzen<\/h2>\n\n\n\n

Der \u00dcbergang von leitungsvermittelten zu paketvermittelten Netzen hat den Umfang und die Komplexit\u00e4t der IRI erheblich erweitert. In herk\u00f6mmlichen Telefonnetzen war die IRI relativ einfach - die Rufaufbau-Signalisierung lieferte einen genau definierten Satz von Metadatenelementen. In modernen IP-Netzen ist die Signalisierungslandschaft viel vielf\u00e4ltiger und komplexer und umfasst Protokolle wie SIP, Diameter, GTP-C und verschiedene Protokolle der Anwendungsschicht.<\/p>\n\n\n\n

VoLTE, for example, uses SIP signalling over the IMS (IP Multimedia Subsystem) core, combined with Diameter for authentication and policy control and GTP for bearer management. Generating complete IRI for a VoLTE call requires interception points in several IMS and packet-core functions, whose events the mediation function must correlate into one coherent picture of the call. The ETSI standards define specific IRI data elements for IMS-based services, but the practical implementation can be challenging.<\/p>\n\n\n\n

In 5G networks, the complexity increases further. The service-based architecture of the 5G core introduces new network functions and signalling interfaces that must be monitored for IRI generation. The 3GPP LI architecture for 5G defines specific point-of-interception (POI) locations and IRI data elements for 5G services, but operators must ensure that each 5G network function’s built-in point of interception is enabled and delivers the 3GPP-defined X2 records (TS 33.128), and that their mediation and delivery function supports them.<\/p>\n\n\n\n

Die Auswirkungen der Verschl\u00fcsselung auf CC<\/h2>\n\n\n\n

Eine der gr\u00f6\u00dften Herausforderungen f\u00fcr die Bereitstellung von CC in modernen Netzen ist die zunehmende Verbreitung von Verschl\u00fcsselung. Eine Ende-zu-Ende-verschl\u00fcsselte Kommunikation - wie sie beispielsweise von Messaging-Anwendungen mit E2EE bereitgestellt wird - kann auf der Netzwerkebene nicht sinnvoll ausgeleitet werden. Der Betreiber kann zwar die verschl\u00fcsselten Pakete ausleiten, aber ohne die Verschl\u00fcsselungsschl\u00fcssel ist der Inhalt unverst\u00e4ndlich. Dies f\u00fchrt zu einer Situation, in der der Betreiber zwar IRI liefern kann (die aus der Netzsignalisierung generiert werden und nicht vom Zugriff auf den Inhalt abh\u00e4ngen), aber keine brauchbaren CC bereitstellen kann.<\/p>\n\n\n\n

This encryption challenge has become one of the central policy debates in the lawful interception community. Law enforcement agencies argue that encryption creates blind spots that hinder criminal investigations, while privacy advocates maintain that strong encryption is essential for protecting fundamental rights. The resolution of this debate \u2014 if one is reached \u2014 will have profound implications for the CC component of lawful interception. In the meantime, operators must remove any encryption they provide or manage, or hand over the keys. End-to-end encryption that an over-the-top application controls is outside their reach, so they deliver that content as they see it, while being transparent with law enforcement about the limitations imposed by encryption.<\/p>\n\n\n\n

Praktische Erw\u00e4gungen f\u00fcr Betreiber<\/h2>\n\n\n\n

Operators implementing LI systems must ensure that their points of interception and their mediation function together produce complete, accurate, and timely IRI and CC for all services and network technologies in their portfolio. This requires every relevant network function to support standard X2\/X3 delivery (ETSI TS 103 221-2, 3GPP TS 33.128), and careful attention to correlation and timing in the mediation function.<\/p>\n\n\n\n

Um zu \u00fcberpr\u00fcfen, ob IRI und CC korrekt generiert werden, sind Tests unerl\u00e4sslich. Die Betreiber sollten umfassende Tests anhand der ETSI-IRI-Datenstrukturdefinitionen durchf\u00fchren und sicherstellen, dass alle erforderlichen Datenelemente vorhanden sind und f\u00fcr jeden Ereignistyp korrekt ausgef\u00fcllt werden. Die CC-\u00dcbertragung sollte f\u00fcr alle unterst\u00fctzten Medientypen auf Genauigkeit, Timing und Vollst\u00e4ndigkeit getestet werden.<\/p>\n\n\n\n

Schlie\u00dflich m\u00fcssen die Betreiber ihre LI-Systeme pflegen, wenn sich ihre Netze weiterentwickeln. Neue Dienste, neue Protokolle und neue Netztechnologien erfordern Aktualisierungen der IRI-Generierung und der CC-Erfassungsfunktionen. Ein TK\u00dc-System, das zum Zeitpunkt der Einf\u00fchrung vollst\u00e4ndig konform war, kann mit der Ver\u00e4nderung des Netzes nicht mehr konform sein, so dass die fortlaufende Wartung und Entwicklung ein wichtiger Bestandteil des Konformit\u00e4tsprogramms ist.<\/p>\n\n\n\n

Schlussfolgerung<\/h2>\n\n\n\n

IRI und CC sind die beiden S\u00e4ulen der \u00dcberwachungsdatenbereitstellung. IRI liefert die strukturierten Metadaten, die eine Musteranalyse, Standortverfolgung und Kommunikationszuordnung erm\u00f6glichen. CC liefert den eigentlichen Inhalt der ausgeleiteten Kommunikation und bietet einen direkten Einblick in die Kommunikation der Zielpersonen. Zusammen ergeben sie ein vollst\u00e4ndiges Bild, das die Ermittlungen der Strafverfolgungsbeh\u00f6rden unterst\u00fctzt. F\u00fcr die Betreiber ist das Verst\u00e4ndnis der technischen, rechtlichen und betrieblichen Auswirkungen von IRI und CC - und der Aufbau von LI-Systemen, die beides effektiv handhaben - eine wesentliche Voraussetzung f\u00fcr die Erf\u00fcllung ihrer gesetzlichen TK\u00dc-Pflichten in modernen Telekommunikationsnetzen.<\/p>\n\n\n\n

Die genaue Erfassung von \u00fcberwachungsrelevanten Informationen ist eine Grundvoraussetzung f\u00fcr TK\u00dc-Ma\u00dfnahmen. Die Betreiber m\u00fcssen sicherstellen, dass ihre Systeme alle erforderlichen \u00fcberwachungsrelevanten Informationsfelder erfassen.<\/p>\n\n\n\n

Verwandte Artikel<\/h2>\n\n\n\n

Weitere Informationen zu verwandten Themen finden Sie in diesen Artikeln:<\/p>\n\n\n\n