PIN und Passwörter : Der Bestandsdaten-Beifang der Polizei

Die Bestandsdatenabfrage ist bald Gesetz. PIN und Mail-Passwörter erfahren Ermittler damit gar nicht, das ist technisch unmöglich. Harmlos ist das Gesetz aber keineswegs.
© Kimhiro Hoshino/AFP/Getty Images

Die sogenannte Bestandsdatenabfrage ist beschlossen und damit bald gültiges Gesetz, denn der Bundesrat wird wohl nicht widersprechen. Doch was kann die Polizei damit anfangen? Anders gefragt: Was dürfen Telekommunikationsanbieter überhaupt speichern, welche Passwörter und Zugangscodes haben sie, die sie der Polizei geben können?

Wichtig für die Ermittler sind sicher Name und Anschrift des Besitzers des Mobiltelefons. Zu den Bestandsdaten gehören auch Kontoverbindungen, das Datum des Vertragsbeginns, die Adresse oder mit dem Nutzerkonto verbundene Telefonnummern (Partnernummern). Des Weiteren gehört zu den Bestandsdaten laut Gesetzentwurf die PIN der SIM-Karte des Handys. Die wurde in der Debatte um das Gesetz oft erwähnt, auch von ZEIT ONLINE. Das geschah vor allem, weil der Ausdruck PIN jedem ein Begriff ist. Für die Polizeipraxis ist sie dagegen irrelevant.

Polizei fragt gleich nach dem PUK

Zwar dürfen Ermittler sie nun abfragen, dabei werden sie aber die vierstellige Codenummer der SIM-Karte kaum erfahren. Denn im Zweifel kennt der Mobilfunkbetreiber sie gar nicht. Er hat sie zwar festgelegt, als er seinem Kunden die SIM schickte. Doch kann jeder auf seinem Gerät die PIN ändern. Diese Änderung aber funkt die SIM-Karte nicht nach Hause. "Eine spätere Änderung der PIN durch den Nutzer kann durch den Provider nicht festgestellt werden", sagt beispielsweise Katja Hauß, Sprecherin von Telefonica.

Allerdings kennt der Betreiber den achtstelligen PUK, den Personal Unblocking Key. Der kann nicht verändert werden, weswegen Ermittler längst vor allem diese Nummer abfragen. Anschließend müssen sie bei einem beschlagnahmten Handy nur noch dreimal eine beliebige, vor allem aber falsche PIN eingeben. Dann können sie es mithilfe des PUK entsperren und durchsuchen.

Kai Biermann

Kai Biermann ist Redakteur im Team Investigativ/Daten bei ZEIT ONLINE. Seine Profilseite finden Sie hier.

Im neuen Telekommunikationsgesetz steht außerdem, Polizei und Geheimdienste dürfen auch Daten abfragen, "mittels derer der Zugriff auf Endgeräte oder auf Speichereinrichtungen, die in diesen Endgeräten oder hiervon räumlich getrennt eingesetzt werden" möglich ist. Gemeint sind Passwörter beispielsweise von E-Mail-Konten, aber auch Clouddiensten.

Doch das scheint eher Wunschdenken zu sein. Deutsche Anbieter zumindest kennen das Passwort für die Mailaccounts und Datenspeicher ihrer Kunden im besten Fall nicht.

"Der Provider darf Passwörter überhaupt nur speichern, wenn sie erforderlich sind, um den Dienst zu erbringen", sagt Dirk Hensel, der zuständige Referent beim Bundesbeauftragten für Datenschutz. "Es gibt Anbieter, die Passwörter im Klartext speichern, was wir nicht befürworten, denn sie sollten nur verschlüsselt gespeichert werden." Sind sie verschlüsselt, kommen Ermittler aber nicht weiter. "Wenn der Anbieter sie gar nicht hat, weil sie nur als Hashwert vorhanden sind, muss er sie auch nicht herausgeben."

Das Gesetz verpflichtet die Betreiber nicht dazu, irgendetwas im Klartext zu sammeln, das wäre auch widersinnig. Explizit für die Polizei erheben darf er solche Daten auch nicht, herausgegeben werden muss nur, was sowieso da ist.

Verlagsangebot

Hören Sie DIE ZEIT

Genießen Sie wöchentlich aktuelle ZEIT-Artikel mit ZEIT AUDIO

Hier reinhören

Kommentare

31 Kommentare Seite 1 von 5 Kommentieren

An meinem Mobiltelefon...

werden Ihnen weder PIN noch PUK der SIM-Karte beim Entsperren helfen. Diese entsperren bei entsperrtem Mobiltelefon lediglich die SIM, d.h. die Daten darauf (die vom Mobilfunkbetreiber vorinstallierten ADAC Nummern) und die Benutzung des Mobilfunknetzes. Nicht das Mobiltelefon selbst.

"Anschließend müssen sie bei einem beschlagnahmten Handy nur noch dreimal eine beliebige, vor allem aber falsche PIN eingeben. Dann können sie es mithilfe des PUK entsperren und durchsuchen."

Es steht bei der Entsperrung der SIM doch nicht das Durchsuchen des Mobiltelefons im Vordergrund, sondern die Verknüpfung der Rufnummer der SIM-Karte mit Bestands- und Verkehrsdaten (Telefonaten/Nachrichten). Selbst bei entsperrtem Mobiltelefon können aufschlussgebende Protokolle auf diesem bereits gelöscht sein könnten.