Engler Stefan · Ständerat · 2015-12-07

Wortprotokoll

Bei der Bestimmung von Artikel 269quater geht es um das Thema der Staatstrojaner - die Informatikprogramme, welche die Behörden einsetzen, um Echtzeitüberwachung auch verschlüsselter Kommunikation vornehmen zu können. Der Nationalrat hat die Rahmenbedingungen dafür neu definiert, indem er der Sicherheit und der Qualität solcher Informatikprogramme ein stärkeres Gewicht geben wollte.

Ihre Kommission ist der Meinung, dass man die zusätzlichen Sicherheitsvoraussetzungen, wie sie neu in den Absätzen 1, 2 und 3 durch den Nationalrat in dieses Gesetz eingefügt wurden, durchaus übernehmen kann und diese Vorschriften einen Beitrag dazu leisten können, den Umgang mit solcher Software sicherer und verlässlicher zu machen.

Indessen ist Ihre Kommission der Meinung, dass die Bestimmungen in Absatz 4 und in Absatz 5 von Artikel 269quater zu sehr in die Hoheit der Kantone eingreifen, die nämlich für die Strafverfolgung zuständig bleiben sollen, und dazu gehört auch die Auswahl der Massnahmen dafür. Eine vorgängige Zertifizierung von Govware, wie sie mit den Absätzen 4 und 5 verlangt wird, beurteilt die Kommission einstimmig als in vielerlei Hinsicht problematisch, dies im Wissen darum, dass diese Software laufend - es wurde uns gesagt, sogar in Wochenabständen - an die neuste IT-Entwicklung angepasst werden können muss. Bei jedem neuen Update wäre eine neue Zertifizierung nötig. Das würde dazu führen, dass die Software während der neuen Prüfung nicht eingesetzt werden könnte. Es sind also pragmatische, praktische und auch technische Hindernisse, welche eine vorgängige Zertifizierung von Govware ausschliessen. Eine Zertifizierung wäre zudem mit grossem Aufwand verbunden. Die bekannten Programme würden einen Umfang von mehreren hunderttausend Programmzeilen aufweisen, deren Überprüfung einen grossen Aufwand nach sich zöge; es war von mehreren Wochen die Rede. Entsprechend würden auch die Kosten dieser Programme durch die Zertifizierung um ein Mehrfaches wachsen.

Die KKJPD wurde von unserer Kommission explizit dazu angehört. Die Kantone haben uns mit aller Deutlichkeit gesagt, dass eine Lösung, wie sie dem Nationalrat vorschwebt, völlig unpraktikabel wäre. Auch das Thema der zentralen Beschaffung und der zentralen Entwicklung von Govware bei einem Dienst des Bundes lehnen die Kantone ab. Sie stellen sich auf den Standpunkt, dass ihre Bedürfnisse sehr unterschiedlich sind und dass sie aufgrund der Strafverfolgungshoheit auch selber in der Lage wären, die für sie geeignete Software zu beschaffen bzw. entwickeln zu lassen.

Zum andern scheitert die zentrale Beschaffung der Software aber auch an Haftungs- und Verantwortlichkeitsfragen, beispielsweise mündend in der Frage: Haftet der Bund oder haftet der Kanton gegenüber Dritten, wenn durch den Einsatz von Govware Schäden auf deren Zielsystem entstehen? Kann der Bund verantwortlich gemacht werden, wenn er die Govware für eine angeordnete Überwachung nicht oder zu spät freigibt und deshalb Beweismittel verlorengegangen sind?

Mit diesen Überlegungen lehnt die Kommission eine vorgängige Zertifizierung und eine zentrale Beschaffung von Govware für die Kantone durch den Bund ab. Das hat zur Folge, dass die Kommission Ihnen beantragt, die ersten drei Absätze zu belassen, allerdings die Absätze 4 und 5 zu streichen.