Anfrage Jörg Mäder, Opfikon, Judith Bellaiche, Kilchberg, und Andreas Hauri, Zürich betreffend Einsatz von Spionagesoftware bei der Kantonspolizei, Beantwortung

Auszug aus dem Protokoll des Regierungsrates des Kantons Zürich KR-Nr. 204/2015

Sitzung vom 2. September 2015

847. Anfrage (Einsatz von Spionagesoftware bei der Kantonspolizei) Kantonsrat Jörg Mäder, Opfikon, Kantonsrätin Judith Bellaiche, Kilch- berg, und Kantonsrat Andreas Hauri, Zürich, haben am 17. August 2015 folgende Anfrage eingereicht: Wie von der Presse berichtet und auch von der Kantonspolizei bestätigt, hat Letztere zu Ermittlungszwecken Spionagesoftware eingesetzt. Diese, von einer ausländischen Firma (Hacking Team, Italien) entwickelte und vertriebene Software (Galileo), wird unerkannt auf den Computern, Smartphones und Tablets verdächtiger Personen installiert mit dem Zweck, dieselben auszuhorchen. Anfang Juli gelang es Hackern, die Computer der Firma zu knacken und rund 400 GB Daten zu entwenden. Darunter diverse Mails, Angaben zu den Käufern und dem Kaufpreis sowie der Quellcode der Software. In diesem Zusammenhang stellen sich folgende Fragen:

Erwägungen

1. Auf welcher Rechtsgrundlage wird bei der Kantonspolizei solche Spionagesoftware eingesetzt?

2. Sind neben Galileo auch andere ähnliche Produkte im Einsatz? Wenn ja, welche, wie lange und wie häufig?

3. Wer bewilligt auf welchen gesetzlichen Grundlagen die Einsätze sol- cher Werkzeuge?

4. Werden diese gezielt auf Einzelpersonen, ganze Gruppen oder gar nach Zufall gestreut eingesetzt?

5. In wie vielen Fällen konnten namhafte Beweise und Hinweise ermit- telt werden? In wie vielen Fällen erbrachte diese Ermittlungstechnik keinen nennenswerten Nutzen?

6. Gibt es ein Gremium, das im Nachhinein, also unter Kenntnis der Er- gebnisse, die Verhältnismässigkeit des Einsatzes bewertet? Sind deren Berichte einsehbar (öffentlich oder zumindest für die zuständige Auf- sichtskommission des Kantonsrates)?

7. Werden Personen und Firmen, die zu Unrecht überwacht wurden, darüber informiert, dass ihre Privatsphäre massiv verletzt wurde?

8. Galileo enthält bekanntlich eine sogenannte Hintertür, mit derer die Programmierer ihrerseits die gehackten Computer übernehmen könn- ten und somit dort Daten lesen oder gar manipulieren können. Inwie- weit haben die durch die Software erhaltenen Informationen vor Ge- richt überhaupt noch Beweiskraft?

9. Wie stehen die Kantonspolizei und der Regierungsrat zum Umstand, dass sie sich bei solch heiklen Ermittlungsmethoden auf private, aus- ländische Anbieter verlassen respektive verlassen müssen?

10. Wie steht der Regierungsrat zu der Kundenliste von Hacking Team? Ist eine solche ein Kriterium für die Zusammenarbeit mit solchen Fir- men, oder interessiert das nicht?

11. Unterdessen wurden verschiedene Sicherheitslücken, die Galileo aus- nutzte, geschlossen, wodurch die Software weitestgehend nutzlos wurde. Muss nun die Kantonspolizei die 500 000 Franken Kaufpreis als Verlust abschreiben? Sind Ersatzbeschaffungen geplant? Wurde für diese die Anforderungsliste angepasst?

12. Gedenkt die Kantonspolizei respektive der Regierungsrat den Ein- satz solcher Produkte zu überdenken? Ist er bereit, deren Einsatzstra- tegie (in welchen Falltypen welche Methoden eingesetzt werden) offen zu legen?

Dispositiv

Auf Antrag der Sicherheitsdirektion beschliesst der Regierungsrat:

I. Die Anfrage Jörg Mäder, Opfikon, Judith Bellaiche, Kilchberg, und Andreas Hauri, Zürich, wird wie folgt beantwortet: Zu den zentralen Aufgaben des Staates gehört es, begangene Straftaten zu ahnden. Für eine erfolgreiche und konsequente Kriminalitätsbekämp- fung sind die Strafverfolgungsbehörden zwingend darauf angewiesen, über die erforderlichen, dem technischen Wandel angepassten Mittel zu ver- fügen. Dazu gehört die in der Strafprozessordnung vom 5. Oktober 2007 (StPO; SR 312.0) geregelte Überwachung mit technischen Überwachungs- geräten. Verbrechen darf sich nicht lohnen. Es darf nicht sein, dass sich Straftäter bei schwerwiegenden Delikten wie beispielsweise schwerem Drogenhandel, Menschenhandel und Geldwäscherei der Strafverfolgung entziehen können, nur weil sie sich bei der Kommunikation verschlüssel- ter Technologie bedienen, wie sie zunehmend verbreitet ist. Die Strafver- folgungsbehörden sind darauf angewiesen, bei schweren Delikten auch verschlüsselt geführte Kommunikation im Einzelfall und mit richterlicher Genehmigung mittels spezieller Software («GovWare») gezielt überwa- chen zu können. Vor diesem Hintergrund ordnete die Staatsanwaltschaft II des Kan- tons Zürich im Rahmen von zwei – nicht abgeschlossenen – komplexen Strafverfahren betreffend Geldwäscherei bzw. Widerhandlungen gegen das Betäubungsmittelgesetz Überwachungsmassnahmen mittels befriste- ten Einsatzes von «GovWare» an. Das Obergericht genehmigte in seiner

Funktion als Zwangsmassnahmengericht in diesen beiden Fällen die ent- sprechenden Anordnungen. Sowohl die Staatsanwaltschaft als auch das höchste Gericht des Kantons Zürich sahen dabei die gesetzlichen Grund- lagen als gegeben an und stützten ihre Entscheide auf Art. 280 f. in Ver- bindung mit Art. 269 ff. StPO ab. Die Kantonspolizei Zürich, der es in der Folge oblag, die angeordne- te Überwachung der verschlüsselten Kommunikation unter Einsatz von «GovWare» umzusetzen, verfügte zum damaligen Zeitpunkt nicht über die für die Erfüllung des Auftrages benötigte Spezialsoftware. Ebenso wenig war sie technisch in der Lage, selber eine «GovWare» zu entwickeln. Aus diesem Grund kam nur der Kauf einer derartigen Software infrage. Die Kantonspolizei führte in der Folge eine sorgfältige Evaluation durch, im Rahmen derer mehrere auf dem Markt erhältliche Produkte durch Fachleute einer eingehenden Prüfung unterzogen wurden. Die Wahl fiel dabei auf ein in der Praxis bereits erprobtes Produkt, das von der in Mai- land (Italien) domizilierten Unternehmung HT Srl angeboten wird. Auf- grund der Ausgabenhöhe wurde die Beschaffung der Kommunikations- überwachungs-Software durch den Vorsteher der Sicherheitsdirektion bewilligt. Nachdem die HT Srl Anfang Juli 2015 durch einen kriminellen Akt ge- hackt worden war, wurde eine grosse Menge von Firmendokumenten auf Wikileaks veröffentlicht, darunter auch der Quellcode der Software. Die «GovWare» ist nun durch Virenprogramme erkennbar, weshalb sie nicht mehr eingesetzt werden kann. Die Kantonspolizei leitete umge- hend zivil- und strafrechtliche Schritte gegen die Herstellerfirma ein. Zu Fragen 1, 3 und 4: Der Einsatz von «GovWare» kann nur auf Anordnung der Staatsan- waltschaft und nach Genehmigung durch das Obergericht in seiner Funk- tion als Zwangsmassnahmengericht erfolgen. Beide stützten sich bei ihren Entscheiden auf Art. 280 f. in Verbindung mit Art. 269 ff. StPO. Die Per- sonen, gegen die sich die Überwachungsmassnahmen richten, und die zu überwachende Kommunikation wurden dabei genau bezeichnet. Zu Frage 2: Nein. Zu Fragen 5 und 8: Die Strafverfahren, die Anlass zur Beschaffung von «GovWare» gaben, sind noch nicht abgeschlossen. Der Regierungsrat äussert sich wegen die- ser noch laufenden Verfahren nicht zu Beweismitteln und deren Würdi- gung. Die Beweiswürdigung ist ohnehin Sache des zuständigen Strafge- richts.

Zu Fragen 6 und 7: Da die Überwachungsmassnahmen nach Anordnung durch die Staats- anwaltschaft einer Genehmigung durch das Obergericht in seiner Funk- tion als Zwangsmassnahmengericht bedürfen, erfolgt bereits im Voraus eine richterliche Prüfung, ob die Massnahme verhältnismässig ist. Die Strafprozessordnung (Art. 279) regelt die Mitteilung an überwachte be- schuldigte Personen und die ihnen zustehende Beschwerdemöglichkeit. Zu Fragen 9 und 10: Die Kantonspolizei hat die im damaligen Zeitpunkt möglichen Abklä- rungen bei der Firma HT Srl getroffen. Falls die Firma unwahre Angaben zu ihren Kundinnen und Kunden gemacht hat, stützt dies die Position der Kantonspolizei im bereits laufenden rechtlichen Verfahren gegen HT Srl. Im Rahmen der laufenden BÜPF-Debatte wird diskutiert, wer künftig für die Beschaffung von «GovWare» zuständig sein soll. Da die Informa- tikwelt international vernetzt ist, wird auch bei einer allenfalls anzustre- benden gesamtschweizerischen Beschaffung oder Entwicklung kaum zu vermeiden sein, dass Komponenten ausländischer Anbieter mitverwen- det werden. Zu Fragen 11 und 12: Betreffend bereits bezahltem Kaufpreis laufen die rechtlichen Verfah- ren gegen die Firma HT Srl. Dass die Software «Galileo» nicht mehr genutzt werden kann, ändert nichts daran, dass der dringende Bedarf besteht, bei schweren Straftaten wie schwerem Drogenhandel, Menschenhandel und Geldwäscherei auch verschlüsselte Kommunikation zu überwachen.

II. Mitteilung an die Mitglieder des Kantonsrates und des Regierungs- rates sowie an die Sicherheitsdirektion.

Vor dem Regierungsrat Der Staatsschreiber: Husi