National Security Letters: Google veröffentlicht geheime FBI-Nutzerabfragen

Seit Jahren zeigt Google in seinem Transparenzbericht, wer welche Nutzerdaten angefordert hat. Erstmals enthält der nun auch die geheimen National Security Letters.

National Security Letters sind so etwas wie der Fight Club der staatlichen Datenüberwachung, schreibt das Magazin Forbes – ein treffendes Sprachbild. Denn wer einen solchen NSL erhält, ist nach dem amerikanischen Gesetz namens Patriot Act verpflichtet, dem FBI die darin geforderten Informationen zu geben, und darf weder über die Daten noch über den NSL selbst etwas sagen.

Google erhält ständig solche National Security Letters, in denen das FBI Auskunft über Nutzer fordert. Nun hat das Unternehmen entschieden, diese Anfragen öffentlich zu machen. Seit Dienstag werden sie im Transparenzbericht Googles mitaufgeführt.

Google beweist damit durchaus Mut. Doch allzu viel sagt Google nicht. Nicht einmal die genaue Zahl dieser Datenforderungen des FBI steht in dem Bericht. Angegeben ist lediglich, ob es pro Jahr null bis eintausend, eintausend bis zweitausend, zweitausend bis dreitausend Anfragen und so weiter waren. Auch die Zahl der betroffenen Nutzerkonten wird nur in diesen Tausenderschritten bezeichnet.

Lebenslange Schweigepflicht

National Security Letters sind in den USA umstritten. Mit ihnen kann das FBI ohne richterlichen Beschluss Daten von Telefon- und Netzbetreibern fordern. Als Begründung genügt die Aussage, dass diese Daten in einer Anti-Terror-Ermittlung notwendig sind. Außerdem ist mit den  NSL eine Gag-Order verbunden, eine Schweigepflicht. Wird sie gebrochen, drohen hohe Strafen. Kritiker halten dieses Instrument für verfassungswidrig.

Die Schweigepflicht gilt lebenslang und ist so strikt, dass Google selbst nach längeren Verhandlungen mit der Regierung lediglich diese vagen Zahlen angeben darf. Im Firmenblog schreibt Richard Salgado, der Legal Director, Law Enforcement and Information Security von Google: FBI, Justizministerium und andere Dienste hätten Bedenken, weil genauere Zahlen bereits Informationen über die Ermittlungen preisgeben könnten.

Das wirkt absurd, zeigt aber, wie ernst amerikanische Behörden das Thema Gag Order nehmen. Der erste, der dagegen prozessierte und letztlich gewann, war Nicholas Merrill, der Betreiber eines Internetdienstanbieters namens Calyx. Jahrelang durfte er nicht einmal sagen, dass er einen solchen Prozess angestrengt hatte, geschweige denn, worum es darin ging. Das Verfahren wurde nicht unter seinem Namen geführt, sondern unter dem in den USA üblichen Pseudonym für namenlose: John Doe.

Erst nach sechs Jahren – das FBI hatte inzwischen seine Datenforderung zurückgezogen und mehrere Gerichte hatten geurteilt, dass die NSL und die Schweigepflicht gegen die Verfassung verstoßen – durfte Merrill sich öffentlich äußern. Er tat es beim Kongress des Chaos Computer Clubs 2010 in Berlin.

2011 verschickte das FBI 16.511 NSL

Auch andere Netzanbieter haben sich inzwischen über National Security Letters geäußert, die ihnen zugestellt wurden, beziehungsweise sich auch erfolgreich gegen sie gewehrt. Darunter beispielsweise das Internetarchiv archive.org. Google ist das bislang größte und wichtigste Unternehmen in dieser Reihe. Allerdings vermeidet Google in seinen Äußerungen jede Kritik an dem Verfahren. Im Blogbeitrag dankt Salgado ausdrücklich den Mitarbeitern der US-Regierung, dass sie "mehr Einblick" in die NSL möglich gemacht hätten.

So viel größer ist der Einblick jedoch nicht. Die Regelung, dass Google nur einen vagen Zahlenbereich angeben darf, wirkt umso seltsamer, als das FBI jedes Jahr im US-Kongress angeben muss, wie viele National Security Letters es eingesetzt hat. Im Jahr 2011 waren es demnach 16.511, die Daten über 7.201 amerikanische Bürger abfragten.

Aber immerhin darf Google mitteilen, was mit den NSL eigentlich abgefragt wird. Wie das Unternehmen in einem FAQ zu dem Thema schreibt, muss es in solchen Fällen "Name, Adresse, Dauer des Dienstes und Abrechnungsunterlagen für die Orts- und Ferngespräche eines Nutzers" herausgeben. Informationen wie Gmail-Inhalte, Suchanfragen, YouTube-Videos oder die IP-Adressen von Nutzern könnten damit nicht gefordert werden.