1B_132/2020 18.06.2020 – Tribunal fédéral (bger.ch)
Keylogger als technisches Überwachungsgerät | strafprozess.ch
Einleitung
Es war nur eine Frage der Zeit, bis sich das Bundesgericht explizit zur Zulässigkeit von Keyloggern äussern musste. Wie zu erwarten war, wurden diese als „technisches Überwachungsgerät“ gemäss Art. 280 f. StPO qualifiziert.
Art. 280 StPO ist vom Wortlaut her auf den Einsatz von „Wanzen“ und GPS-Trackern zugeschnitten. Der Wortlaut „Vorgänge an nicht öffentlichen oder nicht allgemein zugänglichen Orten zu beobachten oder aufzuzeichnen“ (lit. b) ist aber offen genug, um auch den Einsatz von Keyloggern abzudecken.
Was ist ein Keylogger?
Ein Keylogger (dt. „Tasten-Protokollierer“) ist eine Hard- oder Software, die dazu verwendet wird, die Eingaben des Benutzers an der Tastatur eines Computers zu protokollieren und damit zu überwachen oder zu rekonstruieren (Wikipedia).
Nachdem sich die Empfehlungen hinsichtlich Passwort-Qualität unterdessen geläufig sind, könne Strafverfolgungsbehörden Passwörter nicht mehr so einfach mittel Dictionary- oder Brute-force-Attacke knacken. Als Lösung kommen daher Keylogger in Betracht. Es gibt Software-Keylogger, die auf dem Zielgerät installiert werden müssen und Hardware-Keylogger, die z.B. am USB-Anschluss zwischen Rechner und Keyboard gesteckt werden. Einmal in Betrieb, zeichnet der Keylogger sämtliche Tastenanschläge auf und speichert die Daten oder übeträgt diese Drahtlos oder über Internet. Die Polizei kann dann relativ einfach aus der Fülle der Textdaten Benutzernamen und Passwörter extrahieren.
Was sind die Vorraussetzungen für den rechtmässigen Einsatz?
Der Einsatz eines Keyloggers muss den Anforderungen von Art. 181 und 269 ff. StPO genügen. Das bedeutet insbesondere:
- dringender Tatverdacht
- hinreichende schwere der Tat (keine Bagatellen und Übertretungen)
- Aufklärung der Tat wäre ohne die Massnahme nicht möglich oder stark erschwert (Subsidiarität)
- Verdacht auf Katalogtat gemäss Art. 269 Abs 2 StPO erforderlich (grosse Auswahl)
- geheime Anordnung durch Staatsanwaltschaft und geheime Genehmigung durch Zwangsmassnahmengericht (ohne Involvierung der beschuldigten Person / deren Verteidigung)
- Falls die Anbringung heimlich in Räumen erfolgen muss, die nicht öffentlich zugänglich sind: Hausdurchsuchungsbefehl der Staatsanwaltschaft.
- Mitteilung der Massnahme an den Beschuldigten spätestens bei Abschluss des Ermittlungsverfahrens der Staatsanwaltschaft.
Fazit: Die Anforderungen wirken auf den ersten Blick streng. Allerdings liegt der Einsatz in der alleinigen Kompetenz der Staatsanwaltschaft und diese erachtet die Anforderungen (dringender Tatverdacht, Subsidiarität etc.) in der Praxis oft rasch als erfüllt. Die rechtlichen Hürden für den Einsatz von Keyloggern sind also in Wahrheit tief. Viel relevanter dürfte der Umstand sein, dass der Einsatz mit sehr erheblichem Aufwand verbunden ist. Immerhin kann die Polizei ohne Mitwirkung der Staatsanwaltschaft keinen Einsatz von Keyloggern beschliessen, was zumindest eine kleine Hürde darstellt.
Sind die Voraussetzungen im Einzelfall nicht erfüllt – insbesondere etwa wenn Private ohne Genehmigung durch die Staatsanwaltschaft Keylogger eingesetzt haben – können die gewonnenen Passwörter unverwertbar sein und ebenso alle daraus abgeleiteten Folgebeweise.
Wie kann ich mich schützen?
Software Keylogger
- können den Computer beeinträchtigen (Störungen/Verzögerungen der Maus oder des Cursors) und so auffallen
- sollten als laufende Prozesse angezeigt werden (Windows: Task Manager)
- werden u.U. von Anti-Virensoftware entdeckt
- können mit keystroke-encryption-software ausgehebelt werden
Vgl. auch diese Hinweise von Avast.
Hardware Keylogger
- Müssen physisch an den Computer angeschlossen sein
- überprüfen Sie alle Anschlüsse, insbesondere USB.
Allgemein:
2FA: Die beste Sicherheit gewährleistet aber auch in diesem Szenariao der Einsatz von 2-Faktor-Authentifizierung. Ist neben dem Benutzernamen und Passwort ein weiterer Faktor für den Login notwendig, ist der Keylogger nutzlos. Vorausgesetzt natürlich, der weitere Faktor besteht nicht aus einer SMS, die auf ein (überwachtes) Mobiltelefon gesendet wird.
Empfehlenswert sind eher die einschlägigen Authentifizierungs-Apps, wie z.B. Google Authenticator oder Microsoft Authenticator.