Interpellation Markus Bischoff, Beat Bloch, Zürich, und Jörg Mäder, Opfikon, betreffend Staatstrojaner, Beantwortung

Auszug aus dem Protokoll des Regierungsrates des Kantons Zürich KR-Nr. 199/2015

Sitzung vom 2. September 2015

846. Interpellation (Staatstrojaner) Die Kantonsräte Markus Bischoff und Beat Bloch, Zürich, sowie Jörg Mäder, Opfikon, haben am 17. August 2015 folgende Interpellation ein- gereicht: Weil der E-Mailaccount der Firma Hackingteam in Mailand selber gehackt wurde, ist bekannt geworden, dass die Kantonspolizei Zürich sogenannte Staatstrojaner gekauft hat. Gemäss Medienmitteilung der Kantonspolizei sei diese Software auch eingesetzt worden. Das Oberge- richt des Kantons Zürich habe diesen Einsatz als Zwangsmassnahmen- gericht auf Antrag der Staatsanwaltschaft genehmigt. Der Bundesrat ist hingegen der Auffassung, es bestehe in der geltenden Strafprozessordnung keine gesetzliche Grundlage für den Einsatz der sogenannten Staatstro- janer. Deshalb hat er in der Botschaft zum Bundesgesetz betreffend der Überwachung des Post- und Fernmeldeverkehrs (BÜPF) die Schaffung einer entsprechenden Norm in der Strafprozessordnung vorgeschlagen (Bundesblatt 2013, S. 2771 ff.). Auffallend ist der lange Beschaffungspro- zess dieser Software. Die erste Kontaktaufnahme seitens der Kantons- polizei Zürich mit der Firma Hackingteam erfolgte am 14. Oktober 2013. Im Januar 2014 wurde offiziell eine Offerte bestellt, welche umgehend er- stellt wurde. Am 3. Juli 2014 mailte die Kantonspolizei den langsam un- geduldig werdenden Verkäufern nach Mailand: «You know it is a decision that a politican has to do…» Die Zustimmung durch die Sicherheitsdirek- tion erfolgte erst im November 2014 und am 19. Dezember 2014 wurde der Vertrag unterzeichnet. Dieser lange Zeitraum verträgt sich schlecht mit dem Argument, man habe diese Software für ein laufendes Strafver- fahren benötigt. Die gesamten Kosten beliefen sich anscheinend auf ca. 500 000 Franken und überschritten somit den Schwellenwert gemäss der Submissionsgesetzgebung. Trotzdem erfolgte keine öffentliche Ausschrei- bung.

In diesem Zusammenhang bitten wir den Regierungsrat um die Beant- wortung folgender Fragen:

Erwägungen

1. Erachtet der Regierungsrat im Gegensatz zum Bundesrat die gesetz- liche Grundlage für den Einsatz von Staatstrojanern im Zeitpunkt der Beschaffung der Software als gegeben? Wenn ja, auf welche gesetzlichen Bestimmungen beruft er sich und weshalb ist er der Auffassung, die Meinung des Bundesrats treffe nicht zu? Wenn nein, wieso wurde die Software trotzdem gekauft?

2. In wie vielen Strafverfahren und ab wann wurde die gekaufte Software eingesetzt? Wann wurde der Einsatz beendet? Wann hat das Oberge- richt als Zwangsmassnahmengericht diesen Einsätzen zugestimmt und wann wurden die entsprechenden Anträge durch die Staatsanwaltschaft an das Obergericht gestellt?

3. Weshalb dauerte es fast ein Jahr nach der Aufforderung zur Offert- stellung im Januar 2014, bis die Sicherheitsdirektion im November 2014 die Zustimmung zum Kauf gab?

4. Wurde vor dem Kauf abgeklärt, ob die Firma Hackingteam in geschäft- lichem Kontakt mit Staaten stand, welche einen autoritären und repres- siven Charakter haben? Wenn ja, weshalb wurde trotzdem bei Hacking- team eingekauft? Wenn nein, weshalb wurde dies nicht abgeklärt? Welche weiteren Abklärungen wurden vor dem Kauf über die Firma Hackingteam gemacht?

5. Weshalb wurde der Kauf nicht gemäss Bestimmungen des Beschaf- fungswesens öffentlich ausgeschrieben? Findet der Regierungsrat, der Kauf der Software falle unter Art. 10 Abs. 2 lit. a der Interkantonalen Vereinbarung über das öffentliche Beschaffungswesen (Ausschluss der Ausschreibung, wenn dadurch die öffentliche Sicherheit gefährdet wäre)? Wenn ja, weshalb?

6. Wie hoch waren die gesamten Beschaffungs- und bisher aufgelaufe- nen Unterhaltskosten? Welche Schritte hat der Regierungsrat unter- nommen, um die aufgelaufenen Kosten bei der Verkäuferschaft geltend zu machen, weil das Produkt durch den Hackerangriff unbrauchbar geworden ist? Wie hoch erachtet der Regierungsrat die Chancen, diese Kosten erhältlich zu machen?

7. Teilt der Regierungsrat die Auffassung des Sicherheitsdirektors, wo- nach nur die Grundrechte der ehrbaren Bürger und Bürgerinnen ernst genommen würden (vgl. Interview im Landboten vom 9. Juli 2015)? Wenn ja, weshalb? Wenn nein, wie ist seine Haltung zu den Grund- rechten?

Dispositiv

Auf Antrag der Sicherheitsdirektion beschliesst der Regierungsrat:

I. Die Interpellation Markus Bischoff und Beat Bloch, Zürich, sowie Jörg Mäder, Opfikon, wird wie folgt beantwortet: Zu den zentralen Aufgaben des Staates gehört es, begangene Straftaten zu ahnden. Für eine erfolgreiche und konsequente Kriminalitätsbekämp- fung sind die Strafverfolgungsbehörden zwingend darauf angewiesen, über die erforderlichen, dem technischen Wandel angepassten Mittel zu verfügen. Dazu gehört die in der Strafprozessordnung vom 5. Oktober 2007 (StPO;SR 312.0) geregelte Überwachung mit technischen Über- wachungsgeräten. Verbrechen darf sich nicht lohnen. Es darf deshalb nicht sein, dass sich Straftäter bei schwerwiegenden Delikten wie beispielsweise schwerem Drogenhandel, Menschenhandel und Geldwäscherei der Straf- verfolgung entziehen können, nur weil sie sich bei der Kommunikation verschlüsselter Technologie bedienen, wie sie zunehmend verbreitet ist. Die Strafverfolgungsbehörden sind darauf angewiesen, bei schweren De- likten auch verschlüsselt geführte Kommunikation im Einzelfall und mit richterlicher Genehmigung mittels spezieller Software («GovWare») ge- zielt überwachen zu können. Vor diesem Hintergrund ordnete die Staatsanwaltschaft II des Kan- tons Zürich im Rahmen von zwei – nicht abgeschlossenen – komplexen Strafverfahren betreffend Geldwäscherei bzw. Widerhandlungen gegen das Betäubungsmittelgesetz Überwachungsmassnahmen mittels befris- teten Einsatzes von «GovWare» an. Das Obergericht genehmigte in sei- ner Funktion als Zwangsmassnahmengericht in beiden Fällen die ent- sprechenden Anordnungen. Sowohl die Staatsanwaltschaft als auch das höchste Gericht des Kantons Zürich sahen dabei die gesetzlichen Grund- lagen als gegeben an und stützten ihre Entscheide auf Art. 280 f. in Ver- bindung mit Art. 269 ff. StPO ab. Die Kantonspolizei Zürich, der es in der Folge oblag, die angeordnete Überwachung der verschlüsselten Kommunikation unter Einsatz von «GovWare» umzusetzen, verfügte zum damaligen Zeitpunkt nicht über die für die Erfüllung des Auftrages benötigte Spezialsoftware. Ebenso wenig war sie technisch in der Lage, selber eine «GovWare» zu entwickeln. Aus diesem Grund kam nur der Kauf einer derartigen Software infrage. Die Kantonspolizei führte in der Folge eine sorgfältige Evaluation durch, im Rahmen derer mehrere auf dem Markt erhältliche Produkte durch Fachleute einer eingehenden Prüfung unterzogen wurden. Die Wahl fiel dabei auf ein in der Praxis bereits erprobtes Produkt, das von der in Mai-

land (Italien) domizilierten Unternehmung HT Srl angeboten wird. Auf- grund der Ausgabenhöhe wurde die Beschaffung der Kommunikations- überwachungs-Software durch den Vorsteher der Sicherheitsdirektion bewilligt. Nachdem die HT Srl Anfang Juli 2015 durch einen kriminellen Akt ge- hackt worden war, wurde eine grosse Menge von Firmendokumenten auf Wikileaks veröffentlicht, darunter auch der Quellcode der Software. Die «GovWare» ist nun durch Virenprogramme erkennbar, weshalb sie nicht mehr eingesetzt werden kann. Die Kantonspolizei leitete umge- hend zivil- und strafrechtliche Schritte gegen die Herstellerfirma ein. Zu Frage 1: Wie ausgeführt, erachteten sowohl die Staatsanwaltschaft als auch das Obergericht die gesetzlichen Grundlagen (Art. 280 f. in Verbindung mit Art. 269 ff. StPO) als gegeben. Der Regierungsrat teilt diese rechtliche Beurteilung. Im Übrigen hielt die Vorsteherin des Eidgenössischen Justiz- und Polizeidepartements in der Beratung des BÜPF im Ständerat am 10. März 2014 Folgendes fest: «(…) Es geht beim Gesetz, das wir heute beraten, um Folgendes: Wenn in einem laufenden Strafverfahren der drin- gende Verdacht besteht, dass eine schwere Straftat begangen wurde, dann soll man auch die Telekommunikation der betreffenden Person überwa- chen können. (…) Damit Sie das auch wissen: Das ist heute schon mög- lich.» Somit hat der Bundesrat klar festgehalten, dass die gesetzliche Grundlage für den Einsatz von «GovWare» heute schon besteht. Zum gleichen Schluss kam auch der Sprecher der vorberatenden Kommission des Ständerates, Ständerat Stefan Engler, der sich anlässlich der Eintre- tensdebatte wie folgt äusserte: «Die Frage, ob die Strafverfolgung im Internet, etwa die Überwachung des E-Mail-Verkehrs oder der Inter- nettelefonie, zulässig ist, wird nur noch von den wenigsten gestellt. Die Antwort ist klar ja.» Zu Frage 2: Die erwähnten Anordnungen der Staatsanwaltschaft II des Kantons Zürich erfolgten im Oktober 2013 und im Januar 2014 und wurden je- weils im gleichen Monat vom Obergericht des Kantons Zürich in seiner Funktion als Zwangsmassnahmengericht genehmigt. Die Strafverfahren, die Anlass zur Beschaffung von «GovWare» gaben, sind noch nicht ab- geschlossen. Der Regierungsrat erteilt wie in früheren Fällen keine Aus- künfte, die im Zusammenhang mit noch nicht abgeschlossenen Strafver- fahren stehen.

Zu Frage 3: Der Zeitablauf von der Einladung zur Offertstellung bis zur Kredit- freigabe durch die Sicherheitsdirektion erklärt sich mit der sorgfältigen Durchführung und Dokumentierung des Evaluationsverfahrens. Zu Frage 4: Die Kantonspolizei hat Abklärungen über die Firma HT Srl getätigt. Die Firma selbst verpflichtet sich, ihre Produkte nur staatlichen Stellen anzubieten, die nicht auf einer «blacklist» der USA, EU, UNO, NATO oder ASEAN stehen. Zudem lässt sie von den Kundinnen und Kunden ein «end user statement» unterzeichnen, in dem sich diese verpflichten, das Produkt nicht zu verschiedenen, ausdrücklich aufgeführten missbräuch- lichen Zwecken zu verwenden. Falls die Firma unwahre Angaben zu ihren Kundinnen und Kunden gemacht hat, stützt dies die Position der Kan- tonspolizei im bereits laufenden rechtlichen Verfahren gegen HT Srl. Zu Frage 5: Die Überwachungssoftware fällt unter Art. 10 Abs. 2 lit. a der interkan- tonalen Vereinbarung über das öffentliche Beschaffungswesen (LS 720.1). Die öffentliche Sicherheit würde offensichtlich gefährdet, wenn Straftä- ter detaillierte Kenntnis über die zur Strafverfolgung eingesetzten Mittel erhielten. Zu Frage 6: Bisher angefallen sind die Anschaffungskosten für die nun nicht mehr verwendbare Überwachungs-Software im Betrag von (gemäss damaligem Wechselkurs) Fr. 586150 zuzüglich MWSt. Hinzu kommen Kosten für aller- dings auch anderweitig nutzbare Hard- und Software von gut Fr. 50 000. Wie erwähnt, wird seitens der Kantonspolizei alles daran gesetzt, die Herstellerfirma bzw. die verantwortlichen Personen straf- und zivilrecht- lich zur Verantwortung zu ziehen. Der Regierungsrat kann die Erfolgs- aussichten der von der Kantonspolizei unmittelbar nach Bekanntwerden des Hackerangriffs gegen die Firma eingeleiteten rechtlichen Schritte nicht beurteilen. Zu Frage 7: Der Regierungsrat teilt die vom Sicherheitsdirektor im Interview ge- machte Aussage, dass es zu den Grundrechten gehört, hier sicher leben zu können. Dass die Software «Galileo» nicht mehr genutzt werden kann, ändert im Übrigen nichts daran, dass der dringende Bedarf besteht, bei schweren Straftaten wie schwerem Drogenhandel, Menschenhandel und Geldwäscherei auch verschlüsselte Kommunikation zu überwachen.

II. Mitteilung an die Mitglieder des Kantonsrates und des Regierungs- rates sowie an die Sicherheitsdirektion.

Vor dem Regierungsrat Der Staatsschreiber: Husi