Online-Durchsuchung bedeutet den Zugriff von Ermittlungsbehörden auf die Festplatte des Computers einer Person mit Hilfe einer während der Internetnutzung installierten Software, eines sogenannten Trojaners (entsprechend in Deutschland auch Bundestrojaner genannt). Die Übermittlung der auf der Festplatte gespeicherten Daten an die Behörde erfolgt heimlich und über einen längeren Zeitraum. Die Online-Durchsuchung gehört zu den verdeckten Ermittlungsmaßnahmen.Christoph Keller, Frank Braun: Telekommunikationsüberwachung und andere verdeckte Ermittlungsmaßnahmen. Richard Boorberg Verlag, 3. Auflage 2019, ISBN 978-3-415-06552-9. Leseprobe.
Im Strafverfahrensrecht wurde mit StPO mit Wirkung zum 24. August 2017 eine gesetzliche Grundlage der Online-Durchsuchung geschaffen.Art. 3 des Gesetzes zur effektiveren und praxistauglicheren Ausgestaltung des Strafverfahrens vom 17. August 2017, 2019 betrug die Anzahl der tatsächlich durchgeführten Online-Durchsuchungen 12.Bundesamt korrigiert Zahl der Staatstrojaner-Einsätze drastisch. In: Der Spiegel, 20. Februar 2021 2021 wurde er 20 Mal eingesetzt, vor allem wegen Drogendelikten.
Abzugrenzen ist die Online-Durchsuchung von der offenen Durchsuchung des Computers vor Ort beim Beschuldigten nach Abs. 3 StPOvgl. BGH, Beschluss vom 31. Januar 2007 - StB 18/06 sowie der Quellen-Telekommunikationsüberwachung (Quellen-TKÜ) gemäß Abs. 1 Satz 2 und 3 StPO.Bernd Heinrich, Tobias Reinbacher: Online-Durchsuchung Stand: 1. Oktober 2019 Obwohl die Quellen-TKÜ technisch auf dieselbe Weise (per Hacking) funktioniert, sind im Gegensatz zur Online-Durchsuchung, die eine umfassende Durchsuchung eines Geräts gestattet, die Zugriffsrechte der Behörde bei der Quellen-TKÜ inhaltlich grundsätzlich auf die laufende Kommunikation beschränkt ( Abs. 5 Satz 1 Nr. 1a StPO).
Bei der Quellen-TKÜ dürfen Kommunikationsdaten erfasst werden, bevor diese verschlüsselt werden oder nachdem diese entschlüsselt wurden.Bernd Heinrich, Tobias Reinbacher: QuellenTelekommunikationsüberwachung Stand: 1. Oktober 2019 Es sollen jedoch darüber hinaus keine Informationen erlangt werden, die nicht auch während des laufenden Übertragungsvorgangs im öffentlichen Telekommunikationsnetz hätten erlangt und aufgezeichnet werden können ( Abs. 5 Satz 1 Nr. 1b StPO). Bei der Online-Durchsuchung wird dagegen ein Computersystem umfassend oder gezielt durchsucht, so dass nicht nur Kommunikationsdaten, sondern sämtliche gespeicherten Daten betrachtet werden können wie Chats, hochgeladene Fotos, verfasste Notizen und Webseiten-Verläufe. Daraus lässt sich ein umfassendes Bild des Online-Verhaltens einer überwachten Person zusammensetzen.Markus Sehl: Geleakter Gesetzentwurf zeigt BMI-Pläne: Geheimdienste wollen Zugriff auf PC, Smartphone und Alexa Legal Tribune Online, 28. März 2019
Ob dies in der Praxis tatsächlich abgrenzbar ist, ist umstritten.
Rechtspolitische Debatte vor Einführung des § 100b StPO Politik Im Programm zur Stärkung der Inneren Sicherheit der deutschen Bundesregierung von 2006 wird die Online-Durchsuchung als Maßnahme umschrieben, „entfernte PCs auf verfahrensrelevante Inhalte hin zu durchsuchen, ohne tatsächlich am Standort des Gerätes anwesend zu sein“. Ob sie als eine Durchsuchung im Rechtssinne anzusehen und inwieweit sie einer Wohnungs- oder Hausdurchsuchung gleichzusetzen ist (womit sie den verfassungsrechtlichen Anforderungen an Eingriffsgesetze in das Wohnungsgrundrecht, z. B. nach der deutschen Strafprozessordnung genügen müsste), ist unter Juristen umstritten, obwohl die Bundesregierung die Auffassung vertritt, dass für spezielle Datentypen die Online-Durchsuchung bereits von geltendem Recht gedeckt sei. Über eine Ermächtigungsgrundlage verfüge z. B. bereits der Zollfahndungsdienst als die die Maßnahme veranlassende Behörde. Dafür wird ein Programm für eine Quellen-Telekommunikationsüberwachung (auch Quellen-TKÜ, die Überwachung der Telekommunikation am Rechner vor ihrer Verschlüsselung) installiert und eingesetzt, wenn bei der klassischen Telekommunikationsüberwachung die Inhalte verschlüsselt werden.
Die Bayerische Staatsregierung erklärte am 16. Mai 2007, einen Gesetzentwurf zu Online-Durchsuchungen zu Strafverfolgungszwecken auf den parlamentarischen Weg zu bringen. Der bayerische Gesetzentwurf wurde am 4. Juli 2008 im Bundesrat eingebracht, ist dort jedoch gescheitert.
Im Juli 2007 erkundigten sich Bundesbehörden bei den USA nach dem vom Federal Bureau of Investigation verwendeten Überwachungsprogramm Computer and Internet Protocol Address Verifier. Ob das Programm oder Informationen über seine Funktionsweise an die Bundesbehörden weitergeleitet wurden, ist unbekannt.
Laut Aussage des Bundestagsabgeordneten Hans-Peter Uhl wurden Staatstrojaner zum Zwecke der Online-Überwachung seit 2009 etwa 35 mal pro Jahr durch Landes- und Bundesbehörden eingesetzt. Für etwaige dabei erfolgte Rechtsbrüche sieht Uhl Leutheusser-Schnarrenberger in der Verantwortung.
Am 8. Oktober 2011 gab der Chaos Computer Club bekannt, dass ihm mehrere Versionen einer staatlichen Spionagesoftware, die in den Medien als „Staats-“ oder „Bayerntrojaner“ bekannt wurden, zugespielt worden sind. Er veröffentlichte die extrahierten Binärdateien einer Version gemeinsam mit einer Bewertung der technischen Analyse und einem Bericht zum Funktionsumfang und kritisierte deren Einsatz durch Ermittlungsbehörden, der gegen das Urteil des Bundesverfassungsgerichts verstoße. Am 10. Oktober 2011 gab der bayerische Innenminister Joachim Herrmann bekannt, diese Software stehe in Zusammenhang mit einem Ermittlungsverfahren im Jahre 2009. Nach Beschluss des Landgerichts Landshut vom 20. Januar 2011 war diese damalige Umsetzung rechtswidrig.
Nach Ansicht des Bundestagsabgeordneten Peter Altmaier konnten Landes- und Bundesbehörden die verfassungsrechtliche Unbedenklichkeit des DigiTask-Trojaners nicht nachvollziehbar darlegen.
Zivilgesellschaft und Medien Datenschützer kritisieren die Online-Durchsuchung ferner als massiven Eingriff in die Privatsphäre, weswegen am 22. Dezember 2006 eine Petition an den Petitionsausschuss des Deutschen Bundestages eingereicht wurde.
Im August 2007 wurde bekannt, dass ein Mitarbeiter des BND die technischen Möglichkeiten zu privaten Zwecken nutzte. Laut einer Presseerklärung des Bayerischen Beauftragten für den Datenschutz von August 2007 sei die Gefahr gegeben, dass der Bürger das Vertrauen in behördliche elektronische Kommunikation (E-Government) verliert. Benannt werden hier die „mit Milliardenaufwand vorangetriebenen E-Government-Projekte in Bund und Ländern bis hin zur elektronischen Steuererklärung (ELSTER) und zur elektronischen Gesundheitskarte“.
In der Blogger-Szene entstand aus dem Eindruck eines Überwachungsstaates heraus auch die Bezeichnung Stasi 2.0 in Anlehnung an das Ministerium für Staatssicherheit der DDR (kurz Stasi) als Begriff für die verschärften Sicherheitsgesetze Schäubles. In einigen Gegenden Deutschlands fand daraufhin die sogenannte Schäublone, ein Porträtbild Wolfgang Schäubles mit dem Untertitel Stasi 2.0 Verbreitung.
Vor dem Hintergrund, dass die Existenz einer Einrichtung, die Zugriff auf Informationssysteme der Bürger hat, eine erhebliche Schwächung der nationalen IT-Sicherheit darstellt, hat der ehemalige Präsident des BND und des Bundesamtes für Verfassungsschutz, Hansjörg Geiger, die Einführung eines unabhängigen „Bürgeranwalts“ gefordert, der die Rechte der Betroffenen wahrnimmt, weil er eine richterliche Kontrolle nicht für ausreichend hält.Südwestrundfunk (SWR) Ex-BND-Chef fordert "Bürgeranwalt" bei der Online-Durchsuchung Hansjörg Geiger will die Rechte der Betroffenen stärken auf presseportal.de
Beispielhaft für die Unvorhersehbarkeit von Schäden steht ein Fall aus Frankfurt am Main im Jahr 2011: Ein hoher Beamter der Bundespolizei installierte aus eigenem Antrieb ein Trojanisches Pferd auf dem Rechner seiner Tochter, um ihre Computeraktivitäten zu überwachen. Einem Freund des Mädchens fiel der „Trojaner“ jedoch auf: Er drehte den Spieß um und überwachte fortan stattdessen den Datenverkehr des Polizeibeamten. Diese von dem Bundespolizisten selbst geöffnete Sicherheitslücke führte in der Folge dazu, dass der Hacker in das Netzwerk der Bundespolizei eindringen konnte. Daraufhin musste der Polizeiserver für das Observierungsprogramm Patras zeitweilig heruntergefahren werden.
Im Februar 2012 wurde bekannt, dass das Bundeskriminalamt per Trojaner Telefonsex-Mitschnitte speicherte.
Rechtsprechung Bundesgerichtshof Innerhalb des Bundesgerichtshofes war die Zulässigkeit der Online-Durchsuchung für Zwecke der Strafverfolgung (repressive Online-Durchsuchung) umstritten.
Zunächst rechtfertigte der 3. Senat mit Beschluss vom 21. Februar 2006 „die Durchsuchung des von dem Beschuldigten […] benutzten Personalcomputers/Laptops, insbesondere der auf der Festplatte und im Arbeitsspeicher abgelegten Dateien“. Die Durchsuchung des PC-Datenbestandes des Beschuldigten ohne sein Wissen sei durch die Befugnisnorm des StPO gedeckt.BGH, Beschluss vom 21. Februar 2006, Az. 3 BGs 31/06; StV 2007, S. 60 ff. m. Anm. Beulke/Meininghaus Diese Vorschrift der Strafprozessordnung regelt die offene Haus- und Wohnungsdurchsuchungen.
Mit Beschluss 25. November 2006 lehnte jedoch der 1. Senat diese Rechtsauffassung ab.BGH, Beschluss vom 25. November 2006 – 1 BGs 184/06 –, BeckRS 2007, 295. Eine entsprechende Anwendung der Vorschriften über die Durchsuchung (§ 102 StPO) komme für den heimlichen Zugriff auf einen Computer zum Zwecke der Strafverfolgung wegen des im Strafrecht geltenden Analogieverbots nicht in Betracht. Eine Online-Durchsuchung finde ohne Wissen des Betroffenen statt, während das Gesetz für eine herkömmliche Durchsuchung die Anwesenheit von Zeugen (vgl. Abs. 2 StPO) und des Inhabers (vgl. Abs. 1 StPO) des Durchsuchungsobjektes bzw. seines Vertreters vorsehe.
Die gegen diesen Beschluss gerichtete Beschwerde des Generalbundesanwalts verwarf der 3. Strafsenat mit Beschluss vom 31. Januar 2007 und schloss sich der Rechtsprechung des 1. Senats an. Die „verdeckte Online-Durchsuchung“ sei mangels einer ausdrücklichen Ermächtigungsgrundlage unzulässig. Sie könne weder auf § 102 StPO noch StPO gestützt werden. Insbesondere erlaube § 100a StPO verdeckte Online-Durchsuchung nicht. Dort sei die heimliche Überwachung der Telekommunikation, d. i. der Austausch von kommunikativen Elementen zwischen dem Verdächtigen und einem Dritten geregelt, welche bei der geheimen Onlinedurchsuchung gerade nicht vorliege.vgl. Ulf Buermeyer: Die „Online-Durchsuchung“. Technischer Hintergrund des verdeckten hoheitlichen Zugriffs auf Computersysteme. In: HRRS 4/2007, S. 154–166 Dieser „schwerwiegende Eingriff in das Recht auf informationelle Selbstbestimmung“ bedürfe einer speziellen Ermächtigungsgrundlage. Einzelne Elemente von Eingriffsermächtigungen dürften nicht kombiniert werden, um eine Grundlage für eine neue technisch mögliche Ermittlungsmaßnahme zu schaffen. Dies widerspreche dem Grundsatz des Gesetzesvorbehaltes für Eingriffe in Grundrechte ( Abs. 3 GG) sowie dem Grundsatz der Normenklarheit und Tatbestandsbestimmtheit von strafprozessualen Eingriffsnormen.
Bundesverfassungsgericht Das Bundesverfassungsgericht hat mit Urteil vom 27. Februar 2008 über die Befugnisse der Verfassungsschutzbehörden zu verschiedenen Datenerhebungen, insbesondere aus informationstechnischen Systemen und zum Umgang mit den erhobenen Daten entschieden.Gesetz zur Änderung des Gesetzes über den Verfassungsschutz in Nordrhein-Westfalen vom 20. Dezember 2006 (GVBl NW, S. 620) Verschaffe der Staat sich heimlich Kenntnis von Inhalten der Internetkommunikation auf dem dafür technisch vorgesehenen Weg, so liege darin ein Eingriff in Abs. 1 GG. Bei der Teilnahme an öffentlich zugänglichen Kommunikationsinhalten im Internet greife der Staat dagegen grundsätzlich nicht in Grundrechte ein.