Polizeizugriff: Oberstes kanadisches Gericht stärkt Schutz von IP-Adressen
Die kanadische Polizei braucht laut einem Grundsatzurteil des Supreme Courts einen Durchsuchungsbefehl, um an die Internetkennung einer Person zu gelangen.
IPs sind in Kanada Personendaten.
(Bild: Daniel AJ Sokolov)
Der Oberste Gerichtshof Kanadas hat am Freitag ein wichtiges Urteil zum Datenschutz im Internet gefällt. In einer knappen 5:4-Entscheidung befand der Supreme Court, dass Nutzer davon ausgehen können, dass eine ihnen zugeteilte dynamische IP-Adresse ein privates Datum darstellt. Mit der Internetkennung gehe eine gewisse Erwartung an den Schutz der Privatsphäre im Sinne der zur Verfassung gehörenden Grundrechtecharta, der Charter of Rights and Freedoms, einher, erklärten die in Ottawa tagenden Richter. Allein das Ermitteln dieser Nummern komme einer Durchsuchung gleich, sodass eine entsprechende Anordnung dafür nötig sei.
Für die Mehrheit des Gremiums hob Richterin Andromache Karakatsanis hervor, dass eine IP-Adresse "die entscheidende Verbindung zwischen einem Internetnutzer und seiner Onlineaktivität" bilde. Gegenstand der Suche in dem verhandelten Fall seien die Informationen gewesen, die diese Internetkennungen "über bestimmte Internetnutzer preisgeben könnten, darunter letztlich auch deren Identität". Zu berücksichtigen sei auch, was IP-Adressen "in Kombination mit anderen verfügbaren Informationen, insbesondere von Webseiten Dritter", offenbaren könnten. Wenn die Charta die Online-Privatsphäre der Bürger in der heutigen überwiegend digitalen Welt sinnvoll schützen solle, müssten ihre IP-Adressen mit abgedeckt sein.
"Eine IP-Adresse allein verrät nicht einmal die Surfgewohnheiten", unterstrich die Richterin Suzanne Côté dagegen in der abweichenden Stellungnahme im Namen auch ihrer drei weiteren Kollegen. Nur der Provider eines Nutzers werde enthüllt. Das sei "kaum eine privatere Information als der Stromverbrauch oder die Wärmeemissionen".
BGH-Urteil: IP-Adressen sind geschützte persönliche Daten
Klage erhoben hatte in dem Fall Andrei B., der in 14 Betrugsdelikten in einem Onlineshop eines Spirituosenladens in Alberta für schuldig befunden worden war. 2017 stellte die Polizei von Calgary fest, dass das Geschäft seine E-Commerce-Aktivitäten über den Zahlungsdienst Moneris abwickelte. Dort fragte sie die mit den Käufen verbundenen IP-Adresse ab, ohne einen Durchsuchungsbeschluss vorzulegen. Der Dienstleister gab daraufhin zwei IP-Adressen an die Ermittler heraus. Diese wandten sich daraufhin mit einer richterlichen Anordnung an den Zugangsanbieter, um die mit den IP-Adressen verknüpften Bestandsdaten in Form von Namen und Adressen zu erhalten. Sie führten zu B. und seinem Vater. Der Verdächtige wurde nach einer Wohnungsdurchsuchung verhaftet und wegen Missbrauch einer Kreditkarte und eines Ausweises eines Dritten angeklagt.
Dem Sender CBC zufolge bedauern kanadische Strafverfolgungsbehörden in Folge der höchstrichterlichen Entscheidung bereits, dass diese Teile ihrer Arbeit wie den Kampf gegen sexuelle Ausbeutung von Kindern im Internet erheblich erschwere. Bürgerrechtler begrüßen die Ansage stattdessen als überfällig.
Auf dem alten Kontinent urteilte der Europäische Gerichtshof (EuGH) 2016 auf eine Klage des Datenschutzaktivisten Patrick Breyer hin, dass es für den Personenbezug von IP-Adressen ausreicht, wenn sich der Anbieter von Online-Mediendiensten insbesondere bei Cyberattacken an die zuständige Ermittlungsbehörde wenden kann. Dieser obliege es dann, "die nötigen Schritte" etwa mithilfe einer Bestandsdatenabfrage zu unternehmen, "um die fraglichen Informationen vom Internetzugangsanbieter zu erlangen und die Strafverfolgung einzuleiten". Der Bundesgerichtshof bestätigte wenig später in diesem Sinne, dass dynamische IP-Adressen von Website-Besuchern grundsätzlich geschützte personenbezogene Informationen sind, die nicht ohne Einwilligung monatelang getrackt werden dürfen.
(nie)
