Transparenzbericht mailbox.org: Ein Viertel behördlicher Anfragen rechtswidrig

Bei den 55 Auskunftsanfragen der Strafverfolgungsbehörden gegenüber dem deutschen E-Mail-Dienst mailbox.org, seien im Jahr 2022 etwa ein Viertel rechtswidrig gewesen und entsprechend zurückgewiesen worden. Bei knapp der Hälfte der aufgrund von Fehlern abgelehnten Anfragen besserten die Behörden nach und reichten die Anliegen erneut ein – im zweiten Anlauf mit korrekten Angaben. Am Ende blieben dem Transparenzbericht von mailbox.org zufolge 12,7 Prozent fehlerhafte und nicht beantwortete Anfragen für das Jahr 2022 übrig.

Insgesamt gingen die behördlichen Anfragen gegenüber dem Vorjahr (65 im Jahr 2021) zwar zurück, den Angaben des E-Mail-Spezialisten zufolge erhöhte sich aber die Zahl der fehlerhaften Anfragen (15,4 Prozent im Jahr 2021). Final abgelehnt wurden mit 9,2 Prozent im vergangenen Jahr demnach ebenfalls weniger Auskunftsersuche, trotz der höheren Nachfrage.

Der Großteil der Auskunftsanfragen stamme von deutschen Strafverfolgungsbehörden (51 der 55 Anfragen), neben einer ausländischen und drei Nicht-EU-Behörden. Darunter fielen etwa Bestandsdatenabfragen (49), Telekommunikationsüberwachung (5) sowie eine Postfachbeschlagnahmung, erklärt der E-Mail-Anbieter in seinem Transparenzbericht. Anfragen würden vom Datenschutzbeauftragten und Rechtsanwalt des Unternehmens geprüft und entsprechend abgewiesen oder beantwortet – sofern sie fehlerfrei seien.

Ende der ungesicherten Anfragen

Zukünftig müssen laut dem Bericht einer Ende 2021 von der Bundesnetzagentur getroffenen Entscheidung zufolge alle Anfragen der Ermittlungsbehörden über gesicherte Kanäle erfolgen. Dazu gehören etwa verschlüsselte E-Mails oder die Briefpost, begrüßt Peer Heinlein, Gründer und Geschäftsführer von mailbox.org, die "zugegebenermaßen späte Entscheidung". Seit Anfang dieses Jahres sind diese Vorgaben bindend. "Auch das bisher gern genutzte Fax ist davon betroffen und gilt als nicht mehr sicher", erklärte Heinlein weiter.

Die unverschlüsselten Anfragen gegenüber dem Diensteanbieter hätten im vergangenen Jahr noch über die Hälfte (61,8 Prozent) ausgemacht – etwa per Fax oder E-Mail im Klartext. Seit dem 01. Januar 2023 sind demzufolge die Ermittlungsbehörden verpflichtet, "Anfragen über mit E-Mail-ESB-Verfahren gesicherte, das heißt PGP verschlüsselte Kanäle einzureichen". Für Anbieter, die die Antworten an die Behörden übermitteln, bestehe die Pflicht der Kommunikation über gesicherte Kanäle bereits seit 2017.

Im Juni 2019 setzte mailbox.org die Bearbeitung von behördlichen Auskunftsanfragen bezüglich einer fehlenden Rechtsgrundlage zeitweise aus. Vorausgegangen war ein Urteil des Europäischen Gerichtshofs (EuGH) im Zusammenhang mit Gmail – Googles E-Mail-Dienst sah sich nicht Telekommunikationsdienst.

Behördliche Anfragen im Detail

Behördliche Anfragen zur Strafverfolgung enthalten laut Bericht:

• Bestandsdatenabfragen: Unter anderem Telefonnummer, Name und Anschrift des Inhabers, Angaben zum Vertrag und Tarifmerkmalen.
• Postfachbeschlagnahmungen: Beschlagnahmung sämtlicher im Postfach des Accounts befindlicher E-Mails.
• Verkehrsdatenabfragen: Unter anderem IP-Adressen, von denen Log-ins auf den Mailserver stattfinden oder von denen aus E-Mails verschickt wurden.
• Telekommunikationsüberwachung: Eine auf Dauer angelegte Überwachung aller empfangenen und gesendeten E-Mails und des gesamten Accounts.

Siehe auch:

• Secure E-Mail: Sichere E-Mail-Postfächer im Vergleich bei heise Download

(bme)