FISA, Abschnitt 702

FISA-Abschnitt 702 ist Teil des Foreign Intelligence Surveillance Act. Er ermächtigt US-Geheimdienste, ausländische nachrichtendienstliche Informationen von nicht-US-amerikanischen Personen zu erheben, die sich außerhalb der Vereinigten Staaten befinden. Die Datenerhebung erfolgt selektiv. Die Behörden zielen auf spezifische Identifikatoren wie E-Mail-Adressen ab, nicht auf breite Kategorien von Kommunikation. Das Programm läuft auf der Grundlage jährlicher Zertifizierungen, die vom Foreign Intelligence Surveillance Court (FISC) überprüft werden. Das FISC erteilt keine individuellen Genehmigungen für jede einzelne Datenerhebung. Es bewertet vielmehr die Verfahren, die die Behörden bei der Zielauswahl, der Minimierung und der Abfrage anwenden.

FISA 702 sieht vor, dass festgestellt werden muss, dass die Datenerhebung ausländische nachrichtendienstliche Informationen zu zertifizierten Themen wie Terrorismusbekämpfung und Bedrohungen der Cybersicherheit liefern wird. Das Gesetz hängt nicht vom Vorliegen eines hinreichenden Verdachts auf eine Straftat ab. 

Die Zielauswahlverfahren richten die Datenerhebung auf nicht in den USA ansässige Personen im Ausland aus. Diese Verfahren beinhalten Schutzmaßnahmen, um die absichtliche Erfassung von Kommunikation von in den USA ansässigen Personen zu vermeiden. Das Amt des Direktors der Nationalen Nachrichtendienste (ODNI) ist für die Aufsicht und Berichterstattung zuständig. Das Justizministerium (DOJ) gewährleistet die Einhaltung der gesetzlichen Vorschriften. Behörden wie die National Security Agency (NSA) und das Federal Bureau of Investigation (FBI) sind die Hauptnutzer der 702-Daten. US-amerikanische Dienstleister sind verpflichtet, bei diesen Maßnahmen mitzuwirken. 

Bedrohungen breiten sich schnell über Grenzen und Netzwerke hinweg aus. Abschnitt 702 des FISA-Gesetzes ermöglicht eine zeitkritische Datenerhebung, durch die Erkenntnisse über ausländische Gegner gewonnen werden können, bevor Risiken im Inland konkret werden. Für Führungskräfte, die für die öffentliche Sicherheit, die nationale Widerstandsfähigkeit und systemrelevante Dienste verantwortlich sind, liegt der Nutzen auf der Hand: umsetzbare Erkenntnisse, die als Grundlage für Entscheidungen dienen. 

Gleichzeitig bedeutet das moderne Internet-Routing, dass die Kommunikation möglicherweise über die Infrastruktur der USA läuft, selbst wenn sich die Beteiligten im Ausland befinden. Diese Tatsache birgt die Möglichkeit einer unbeabsichtigten Datenerhebung bei US-Personen. Die gemäß FISA 702 vorgeschriebenen strengen Kontrollen hinsichtlich Minimierung, Überprüfung und Abfrage halten dieses Risiko jedoch in Grenzen. Wenn diese Kontrollen klar definiert sind, konsequent durchgesetzt und unabhängig überprüft werden, tragen sie sowohl zur operativen Flexibilität als auch zum Schutz der bürgerlichen Freiheiten bei. 

FISA 702 basiert auf fünf miteinander verzahnten Elementen, die gemeinsam eine rechtmäßige, gezielte Informationsbeschaffung ermöglichen und gleichzeitig eine Ausweitung über das erforderliche Maß hinaus verhindern:

1. Die selektionsbasierte Zielauswahl verknüpft die Datenerhebung mit bestimmten Identifikatoren, wodurch eine übermäßige Datenerfassung vermieden und die Aktivitäten auf bekannte ausländische nachrichtendienstliche Werte konzentriert werden. 

2. Die programmatische gerichtliche Aufsicht erfordert jährliche Bescheinigungen sowie vom FISC genehmigte Verfahren zur Zielauswahl, Minimierung und Abfrage für alle Maßnahmen gemäß Abschnitt 702. 

3. Die Kontrollmechanismen zur Datenminimierung und Abfrage legen Regeln für die Anonymisierung, Aufbewahrung, Weitergabe und dokumentierte Abfragen durch Analysten fest, wobei für Identifikatoren von US-Personen zusätzliche Verfahrensschritte erforderlich sind. 

4. Durch die Aufteilung der Zuständigkeiten auf mehrere Organe wird die Verantwortung für die Umsetzung und die Überprüfung der Einhaltung der Vorschriften auf die Exekutive, die Aufsicht auf den Kongress und die Rechtsprechung über das FISC und das Berufungsgericht verteilt. 

5. Zu den Transparenzmechanismen zählen die öffentlichen Berichte des ODNI, freigegebene Stellungnahmen sowie Transparenzberichte der Anbieter, die aggregierte Kennzahlen und Trends liefern. 

Terrorismusbekämpfung und Bekämpfung der Verbreitung von Massenvernichtungswaffen:  Eine zielgerichtete Datenerhebung deckt ausländische Planungsindikatoren und logistische Verbindungen auf, die als Grundlage für Abfangmaßnahmen und Sanktionen dienen. 

Bedrohungsinformationen zur Cybersicherheit:  Die Datenerhebung gemäß FISA-Abschnitt 702 kann Kommando- und Kontrollinfrastrukturen oder die von ausländischen Gegnern eingesetzten Tools aufdecken, die auf US-Netzwerke abzielen, und so die Verteidigungsfähigkeit sowie koordinierte Reaktionen verbessern. 

Grenzüberschreitende kriminelle Aktivitäten:  Die Kommunikation zwischen ausländischen Akteuren, die an Ransomware-Angriffen, Betrug oder illegaler Finanzierung beteiligt sind, kann im Rahmen festgelegter rechtlicher Verfahren identifiziert und weitergegeben werden. 

Schutz kritischer Infrastrukturen:  Indikatoren für geplante Störungen in den Bereichen Energie, Verkehr, Gesundheitswesen oder Wasserversorgung können aufgedeckt werden, um schnelle Abhilfemaßnahmen zu ermöglichen. 

In allen vier Bereichen ist der nachrichtendienstliche Nutzen nur dann gegeben, wenn die Behörden diese Befugnisse unter strenger Einhaltung der Grundsätze der Minimierung und Kontrolle ausüben. Diese Disziplin macht das Programm vertretbar.

Unternehmen, die rechtmäßige Anordnungen erhalten können – einschließlich solcher, die möglicherweise im Zusammenhang mit § 702 stehen –, benötigen dokumentierte Verfahren zur Entgegennahme, Überprüfung und Beantwortung solcher Anordnungen, die von Rechtsberatern, Datenschutzbeauftragten und Sicherheitsabteilungen unterstützt werden. Ziel ist es , rechtmäßige Verpflichtungen zu erfüllen, Nutzer zu schützen und einen nachweisbaren Prüfpfad zu gewährleisten.

Bewährte Verfahren im operativen Bereich 

Überprüfung der Zuständigkeit und des Geltungsbereichs: Bevor Sie eine Anordnung umsetzen, überprüfen Sie die Zuständigkeit, die Rechtsgrundlage und die Konkretheit. In der Anordnung selbst sollten bestimmte Selektoren oder Konten genannt werden.

Prinzip der geringsten Berechtigungen und Vier-Augen-Prinzip: Beschränken Sie den Zugriff auf das, was die jeweilige Rolle tatsächlich benötigt. Sensible Vorgänge müssen von zwei Personen genehmigt werden, bevor sie ausgeführt werden.

Unveränderliche Protokollierung: Führen Sie manipulationssichere Prüfprotokolle, aus denen hervorgeht, wer wann auf welche Daten zugegriffen hat und aus welchem Grund. Diese Aufzeichnungen dienen Ihnen im Ernstfall als Nachweis für die Einhaltung der Vorschriften.

Datenminimierung: Es werden nur die Daten aufbewahrt, die für den Betrieb und die Sicherheit erforderlich sind. Je weniger Daten aufbewahrt werden, desto geringer ist das Risiko bei eingehenden Produktionsanfragen.

Technische Maßnahmen 

Datenbestandsaufnahmen und Klassifizierung:  Ordnen Sie Datenflüsse und Vertraulichkeitsstufen zu, um den Produktionsumfang präzise festzulegen und Bewertungen zu beschleunigen. 

Aufbewahrungsfristen:  Setzen Sie zeitgebundene Aufbewahrungsfristen durch, die auf rechtliche, regulatorische und betriebliche Anforderungen abgestimmt sind. 

Tokenisierung und Pseudonymisierung:  Reduzieren Sie Risiken bei sensiblen Feldern, ohne dabei den betrieblichen Nutzen zu beeinträchtigen. 

Sicherheitsgrundlagen:  Richten Sie sich nach den NIST-Rahmenwerken für Identität, Zugriff, Überwachung und Reaktion auf Vorfälle. Setzen Sie rollenbasierten Zugriff, Just-in-Time-Berechtigungen und kontinuierliche Überwachung ein. 

Vorbereitung auf den rechtmäßigen Zugriff 

Behandeln Sie Anomalien in den Arbeitsabläufen für rechtliche Anfragen als potenzielle Sicherheitsvorfälle. Führen Sie regelmäßig Tabletop-Übungen durch, die die Entgegennahme von Anordnungen im Bereich der nationalen Sicherheit, die Eskalation an die Rechtsabteilung, die Kommunikation im Rahmen der gesetzlichen Vorgaben sowie Nachbetreuungsbesprechungen umfassen. Dokumentierte Vorgehensanleitungen verringern Unsicherheiten und unterstützen zeitnahe, vertretbare Entscheidungen unter Druck. 

Schutz der Nutzer bei gleichzeitiger Gewährleistung der Compliance 

Ein sicheres Plattformdesign kann das Risiko begrenzen und gleichzeitig die Verpflichtungen gemäß FISA 702 und anderen Rechtsgrundlagen erfüllen. Soweit möglich, sollte eine End-to-End-Verschlüsselung für Nutzerinhalte verwendet werden, wobei die rechtmäßige Herausgabe auf die vom Anbieter kontrollierten Ebenen beschränkt bleibt, im Einklang mit den Richtlinien und den Verpflichtungen der Nutzer. Setzen Sie ein robustes Schlüsselmanagement mit hardwaregestützten Schutzmaßnahmen, geteilter Kenntnis und geteilter Kontrolle durch, damit kein einzelner Administrator einseitig auf sensible Daten zugreifen kann. Diese Maßnahmen helfen Organisationen dabei, auf 702-Anfragen im Rahmen der gesetzlichen Bestimmungen zu reagieren und das Vertrauen der Nutzer zu wahren. 

Die moderne Architektur erschwert die Zielerfassung und Datenerhebung gemäß Abschnitt 702 erheblich. Verschlüsselung ist bei den meisten Kommunikationsformen Standard. Der Datenverkehr wird über Content-Delivery-Netzwerke geleitet. Workloads werden über globale Cloud-Infrastrukturen abgewickelt. Die rechtmäßige Datenerhebung konzentriert sich in der Regel auf Daten in von Anbietern kontrollierten Ebenen, wie Metadaten oder gespeicherte Inhalte, wobei die End-to-End-Verschlüsselung unberührt bleibt. Grenzüberschreitende Datenströme erhöhen die Komplexität in Bezug auf die gerichtliche Zuständigkeit. Infolgedessen gewinnen präzise Selektoren, strenge Standortbewertungen und die strikte Einhaltung der vom FISC genehmigten Verfahren zunehmend an Bedeutung.

Der rechtliche Rahmen wird derzeit noch weiter ausgearbeitet. Im Mittelpunkt der aktuellen Debatten stehen strengere Vorschriften für Abfragen zu US-Personen, verstärkte Prüfungen, eine verbesserte Benachrichtigung in Strafverfahren sowie mehr Transparenz. Ziel ist es, den operativen Nutzen zu wahren und gleichzeitig das Risiko eines ungerechtfertigten Zugriffs zu verringern sowie eine sinnvolle unabhängige Aufsicht über Abschnitt 702 aufrechtzuerhalten.

Obwohl nachrichtendienstliche Aktivitäten geheim sind, besteht dennoch eine sinnvolle Transparenz. Das ODNI veröffentlicht Jahresberichte mit aggregierten Kennzahlen zu Zielpersonen, Abfragen zu US-Bürgern und Verstößen gegen die Vorschriften. Freigegebene FISC-Stellungnahmen geben Einblick in die juristische Argumentation. Dienstleister veröffentlichen Transparenzberichte im Rahmen der zulässigen Grenzen. Diese Unterlagen tragen zusammen mit den Bewertungen des Generalinspekteurs und den Analysen der Zivilgesellschaft zur öffentlichen Debatte bei und stärken die Legitimität. 

Unternehmen können noch einen Schritt weiter gehen. Klare Regeln für rechtmäßige Anfragen, öffentlich zugängliche Richtlinien für die Zusammenarbeit mit Strafverfolgungsbehörden, gegebenenfalls unabhängige Prüfungen sowie in verständlicher Sprache verfasste Erläuterungen zu den Richtlinien stärken das Vertrauen. Klar definierte Beschwerdewege und eine einheitliche Berichterstattung zeigen, dass die Einhaltung der Vorschriften diszipliniert, maßvoll und einer Aufsicht unterliegt. 

FISA 702 soll zeitnahe ausländische nachrichtendienstliche Informationen liefern und dabei die verfassungsrechtlichen Grenzen einhalten. Seine Wirksamkeit hängt von der Präzision der Suchkriterien, einer mehrstufigen Aufsicht und technischen Sicherheitsvorkehrungen ab, die einen Missbrauch verhindern. Für Führungskräfte in der Regierung und in kritischen Infrastrukturen bedeuten diese Anforderungen konkrete organisatorische Verpflichtungen: die Umsetzung von „Privacy-by-Design“-Prinzipien, damit Datenminimierung und Zugriffskontrollen von Anfang an integriert sind; die Ausrichtung auf das Prinzip der geringsten Berechtigungen und Nachvollziehbarkeit, damit jeder Zugriff begrenzt und protokolliert wird; sowie die Aufrechterhaltung einer transparenten Governance, die einer unabhängigen Überprüfung durch Gerichte, Generalinspektoren und Aufsichtsbehörden standhält. Organisationen, die diese Kontrollmechanismen als Betriebsstandards in ihre Systeme integrieren, erfüllen ihre gesetzlichen Verpflichtungen konsequenter, schützen die Rechte der Nutzer und bieten der Öffentlichkeit eine konkrete Grundlage für Vertrauen in den Umgang mit sensiblen Befugnissen.

Für strafrechtliche Haftbefehle ist ein hinreichender Verdacht auf eine Straftat erforderlich. Bei FISA 702 ist dies nicht der Fall. Die Genehmigung hängt von der Feststellung ab, dass die Datenerhebung ausländische nachrichtendienstliche Informationen liefert, die mit anerkannten Themen der nationalen Sicherheit in Zusammenhang stehen: Terrorismusbekämpfung, Bekämpfung der Verbreitung von Massenvernichtungswaffen und Bedrohungen der Cybersicherheit. Die Zielauswahlverfahren müssen die Datenerhebung auf nicht-US-amerikanische Personen im Ausland ausrichten und spezifische Schutzmaßnahmen enthalten, um die absichtliche Erfassung von Kommunikationen US-amerikanischer Personen zu verhindern.

Zu den wichtigsten Stellen zählen das Amt des Direktors der Nationalen Nachrichtendienste (ODNI) für die Aufsicht und Berichterstattung, das Justizministerium (DOJ) für die Einhaltung der Rechtsvorschriften sowie Behörden wie die Nationale Sicherheitsbehörde (NSA) und das Federal Bureau of Investigation (FBI) als Hauptnutzer der 702-Daten, neben den zur Unterstützung verpflichteten US-Dienstleistern. Die Aufsicht umfasst vom FISC genehmigte Verfahren, Generalinspektoren, interne Prüfungen und die Überprüfung durch den Kongress.