FISA, Abschnitt 702

FISA 702 ist ein Abschnitt des US-amerikanischen Foreign Intelligence Surveillance Act, der die gezielte Erhebung von ausländischen nachrichtendienstlichen Informationen über nicht-US-amerikanische Personen mit Aufenthaltsort außerhalb der Vereinigten Staaten genehmigt. Die Erfassung konzentriert sich auf bestimmte E-Mail-Adressen oder Benutzerkennungen und erfolgt nicht in Form einer wahllosen Massenerfassung. Das Programm unterliegt jährlichen Zertifizierungen, die vom Foreign Intelligence Surveillance Court (FISC) überprüft werden. Das Gericht bewertet die Verfahren zur Zielauswahl, Minimierung und Abfrage, anstatt einzelne Durchsuchungsbefehle zu erlassen. 

FISA 702 sieht vor, dass festgestellt werden muss, dass die Datenerhebung ausländische nachrichtendienstliche Informationen zu zertifizierten Themen wie Terrorismusbekämpfung und Bedrohungen der Cybersicherheit liefern wird. Das Gesetz hängt nicht vom Vorliegen eines hinreichenden Verdachts auf eine Straftat ab. 

Die Zielauswahlverfahren richten die Datenerhebung auf nicht in den USA ansässige Personen im Ausland aus. Diese Verfahren beinhalten Schutzmaßnahmen, um die absichtliche Erfassung von Kommunikation von in den USA ansässigen Personen zu vermeiden. Das Amt des Direktors der Nationalen Nachrichtendienste (ODNI) ist für die Aufsicht und Berichterstattung zuständig. Das Justizministerium (DOJ) gewährleistet die Einhaltung der gesetzlichen Vorschriften. Behörden wie die National Security Agency (NSA) und das Federal Bureau of Investigation (FBI) sind die Hauptnutzer der 702-Daten. US-amerikanische Dienstleister sind verpflichtet, bei diesen Maßnahmen mitzuwirken. 

Bedrohungen breiten sich schnell über Grenzen und Netzwerke hinweg aus. Abschnitt 702 des FISA-Gesetzes ermöglicht eine zeitkritische Datenerhebung, durch die Erkenntnisse über ausländische Gegner gewonnen werden können, bevor Risiken im Inland konkret werden. Für Führungskräfte, die für die öffentliche Sicherheit, die nationale Widerstandsfähigkeit und systemrelevante Dienste verantwortlich sind, liegt der Nutzen auf der Hand: umsetzbare Erkenntnisse, die als Grundlage für Entscheidungen dienen. 

Gleichzeitig bedeutet das moderne Internet-Routing, dass die Kommunikation möglicherweise über die Infrastruktur der USA läuft, selbst wenn sich die Beteiligten im Ausland befinden. Diese Tatsache birgt die Möglichkeit einer unbeabsichtigten Datenerfassung von US-Personen. Strenge Kontrollen hinsichtlich Minimierung, Überprüfung und Abfrage – die gemäß FISA 702 vorgeschrieben sind – tragen dazu bei, dieses Risiko in Grenzen zu halten. Wenn diese Kontrollen klar definiert sind, konsequent durchgesetzt und unabhängig überprüft werden, fördern sie sowohl die operative Flexibilität als auch den Schutz der bürgerlichen Freiheiten. 

FISA 702 basiert auf fünf miteinander verzahnten Elementen, die gemeinsam eine rechtmäßige, gezielte Informationsbeschaffung ermöglichen und gleichzeitig eine Ausweitung über das erforderliche Maß hinaus verhindern:

1. Die selektionsbasierte Zielauswahl verknüpft die Datenerhebung mit bestimmten Identifikatoren, wodurch eine übermäßige Datenerfassung vermieden und die Aktivitäten auf bekannte ausländische nachrichtendienstliche Werte konzentriert werden. 

2. Die programmatische gerichtliche Aufsicht erfordert jährliche Bescheinigungen sowie vom FISC genehmigte Verfahren zur Zielauswahl, Minimierung und Abfrage für alle Maßnahmen gemäß Abschnitt 702. 

3. Die Kontrollmechanismen zur Datenminimierung und Abfrage legen Regeln für die Anonymisierung, Aufbewahrung, Weitergabe und dokumentierte Abfragen durch Analysten fest, wobei für Identifikatoren von US-Personen zusätzliche Verfahrensschritte erforderlich sind. 

4. Durch die Aufteilung der Zuständigkeiten auf mehrere Organe wird die Verantwortung für die Umsetzung und die Überprüfung der Einhaltung der Vorschriften auf die Exekutive, die Aufsicht auf den Kongress und die Rechtsprechung über das FISC und das Berufungsgericht verteilt. 

5. Zu den Transparenzmechanismen zählen die öffentlichen Berichte des ODNI, freigegebene Stellungnahmen sowie Transparenzberichte der Anbieter, die aggregierte Kennzahlen und Trends liefern. 

Terrorismusbekämpfung und Bekämpfung der Verbreitung von Massenvernichtungswaffen:  Eine zielgerichtete Datenerhebung deckt ausländische Planungsindikatoren und logistische Verbindungen auf, die als Grundlage für Abfangmaßnahmen und Sanktionen dienen. 

Bedrohungsinformationen zur Cybersicherheit:  Die Datenerhebung gemäß FISA-Abschnitt 702 kann Kommando- und Kontrollinfrastrukturen oder die von ausländischen Gegnern eingesetzten Tools aufdecken, die auf US-Netzwerke abzielen, und so die Verteidigungsfähigkeit sowie koordinierte Reaktionen verbessern. 

Grenzüberschreitende kriminelle Aktivitäten:  Die Kommunikation zwischen ausländischen Akteuren, die an Ransomware-Angriffen, Betrug oder illegaler Finanzierung beteiligt sind, kann im Rahmen festgelegter rechtlicher Verfahren identifiziert und weitergegeben werden. 

Schutz kritischer Infrastrukturen:  Indikatoren für geplante Störungen in den Bereichen Energie, Verkehr, Gesundheitswesen oder Wasserversorgung können aufgedeckt werden, um schnelle Abhilfemaßnahmen zu ermöglichen. 

In jedem Szenario trägt die disziplinierte Anwendung der Befugnisse gemäß FISA 702 in Verbindung mit strengen Minimierungs- und Kontrollmaßnahmen dazu bei, den nachrichtendienstlichen Nutzen zu sichern, ohne das Vertrauen der Öffentlichkeit zu untergraben. 

Unternehmen, die rechtmäßige Anordnungen erhalten können – einschließlich solcher, die möglicherweise mit § 702 in Zusammenhang stehen –, benötigen dokumentierte Verfahren zur Entgegennahme, Überprüfung und Beantwortung solcher Anordnungen, die von Rechtsberatern, Datenschutzbeauftragten und Sicherheitsabteilungen unterstützt werden. Das Ziel ist klar: rechtmäßige Verpflichtungen zu erfüllen und gleichzeitig die Nutzer zu schützen sowie einen nachweisbaren Prüfpfad zu gewährleisten. 

Bewährte Verfahren im operativen Bereich 

Überprüfung der Zuständigkeit und des Geltungsbereichs:  Überprüfen Sie die Zuständigkeit, die Rechtsgrundlage und die Spezifität. Verlangen Sie Anordnungen mit angemessenem Geltungsbereich, in denen Selektoren oder Konten identifiziert werden. 

Prinzip der geringsten Berechtigungen und doppelte Kontrolle:  Beschränken Sie den Zugriff auf das absolut Notwendige und verlangen Sie bei sensiblen Vorgängen die Genehmigung durch zwei Personen. 

Unveränderliche Protokollierung:  Führen Sie manipulationssichere Prüfprotokolle, aus denen hervorgeht, wer wann und warum auf welche Daten zugegriffen hat, um die Einhaltung der Vorschriften nachzuweisen. 

Datenminimierung:  Reduzieren Sie die aufbewahrten Daten auf das für den Betrieb und die Sicherheit Notwendige und begrenzen Sie so das Risiko während der Produktion. 

Technische Maßnahmen 

Datenbestandsaufnahmen und Klassifizierung:  Ordnen Sie Datenflüsse und Vertraulichkeitsstufen zu, um den Produktionsumfang präzise festzulegen und Bewertungen zu beschleunigen. 

Aufbewahrungsfristen:  Setzen Sie zeitgebundene Aufbewahrungsfristen durch, die auf rechtliche, regulatorische und betriebliche Anforderungen abgestimmt sind. 

Tokenisierung und Pseudonymisierung:  Reduzieren Sie Risiken bei sensiblen Feldern, ohne dabei den betrieblichen Nutzen zu beeinträchtigen. 

Sicherheitsgrundlagen:  Richten Sie sich nach den NIST-Rahmenwerken für Identität, Zugriff, Überwachung und Reaktion auf Vorfälle. Setzen Sie rollenbasierten Zugriff, Just-in-Time-Berechtigungen und kontinuierliche Überwachung ein. 

Vorbereitung auf den rechtmäßigen Zugriff 

Behandeln Sie Anomalien in den Arbeitsabläufen für rechtliche Anfragen als potenzielle Sicherheitsvorfälle. Führen Sie regelmäßig Tabletop-Übungen durch, die die Entgegennahme von Anordnungen im Bereich der nationalen Sicherheit, die Eskalation an die Rechtsabteilung, die Kommunikation im Rahmen der gesetzlichen Vorgaben sowie Nachbetreuungsbesprechungen umfassen. Dokumentierte Vorgehensanleitungen verringern Unsicherheiten und unterstützen zeitnahe, vertretbare Entscheidungen unter Druck. 

Schutz der Nutzer bei gleichzeitiger Gewährleistung der Compliance 

Ein sicheres Plattformdesign kann das Risiko begrenzen und gleichzeitig die Verpflichtungen gemäß FISA 702 und anderen Rechtsgrundlagen erfüllen. Soweit möglich, sollte eine End-to-End-Verschlüsselung für Nutzerinhalte verwendet werden, wobei die rechtmäßige Herausgabe auf die vom Anbieter kontrollierten Ebenen beschränkt bleibt, im Einklang mit den Richtlinien und den Verpflichtungen der Nutzer. Setzen Sie ein robustes Schlüsselmanagement mit hardwaregestützten Schutzmaßnahmen, geteilter Kenntnis und geteilter Kontrolle durch, damit kein einzelner Administrator einseitig auf sensible Daten zugreifen kann. Diese Maßnahmen helfen Organisationen dabei, auf 702-Anfragen im Rahmen der gesetzlichen Bestimmungen zu reagieren und das Vertrauen der Nutzer zu wahren. 

Moderne Architekturen erschweren die Zielauswahl und Datenerhebung gemäß Abschnitt 702 des FISA. Verschlüsselung ist mittlerweile Standard, der Datenverkehr wird über Content-Delivery-Netzwerke geleitet, und Workloads erstrecken sich über globale Clouds. Die rechtmäßige Datenerhebung konzentriert sich in der Regel auf Daten innerhalb der vom Anbieter kontrollierten Ebenen – wie Metadaten oder gespeicherte Inhalte –, ohne die End-to-End-Verschlüsselung zu untergraben. Grenzüberschreitende Datenströme erhöhen die rechtliche Komplexität, wodurch präzise Selektoren, strenge Standortbewertungen und die Einhaltung der vom FISC genehmigten Verfahren an Bedeutung gewinnen. 

Die Weiterentwicklung der Richtlinien ist im Gange. Im Mittelpunkt der Debatten stehen strengere Regeln für Abfragen zu US-Personen, verstärkte Prüfungen, eine verbesserte Benachrichtigung in Strafverfahren sowie mehr Transparenz. Das Ziel ist klar: Der operative Nutzen soll gewahrt werden, während gleichzeitig das Risiko eines ungerechtfertigten Zugriffs verringert und die unabhängige Aufsicht über die Maßnahmen gemäß Abschnitt 702 gestärkt wird. 

Obwohl nachrichtendienstliche Aktivitäten geheim sind, besteht dennoch eine sinnvolle Transparenz. Das ODNI veröffentlicht Jahresberichte mit aggregierten Kennzahlen zu Zielpersonen, Abfragen zu US-Bürgern und Verstößen gegen die Vorschriften. Freigegebene FISC-Stellungnahmen geben Einblick in die juristische Argumentation. Dienstleister veröffentlichen Transparenzberichte im Rahmen der zulässigen Grenzen. Diese Unterlagen tragen zusammen mit den Bewertungen des Generalinspekteurs und den Analysen der Zivilgesellschaft zur öffentlichen Debatte bei und stärken die Legitimität. 

Unternehmen können noch einen Schritt weiter gehen. Klare Regeln für rechtmäßige Anfragen, öffentlich zugängliche Richtlinien für die Zusammenarbeit mit Strafverfolgungsbehörden, gegebenenfalls unabhängige Prüfungen sowie in verständlicher Sprache verfasste Erläuterungen zu den Richtlinien stärken das Vertrauen. Klar definierte Beschwerdewege und eine einheitliche Berichterstattung zeigen, dass die Einhaltung der Vorschriften diszipliniert, maßvoll und einer Aufsicht unterliegt. 

FISA 702 soll zeitnahe ausländische nachrichtendienstliche Informationen liefern und dabei die verfassungsrechtlichen Grenzen wahren. Seine Wirksamkeit hängt von der Präzision der Suchkriterien, einer mehrstufigen Aufsicht und technischen Sicherheitsvorkehrungen ab, die einen Missbrauch verhindern. Für Führungskräfte in der Regierung und im Bereich kritischer Infrastrukturen ist der Weg in die Zukunft klar: Die Prinzipien von „Privacy by Design“ sollten übernommen, Systeme auf das Prinzip der geringsten Berechtigungen und auf Nachprüfbarkeit ausgelegt sowie eine transparente Governance gewahrt werden, die einer genauen Überprüfung standhält. Richtig umgesetzt liefert dieser Ansatz operative Erkenntnisse, schützt Rechte und stärkt das Vertrauen der Öffentlichkeit – genau das, was für missionskritische Sicherheit erforderlich ist. 

Im Gegensatz zu strafrechtlichen Durchsuchungsbefehlen setzt FISA 702 keinen hinreichenden Verdacht auf eine Straftat voraus. Stattdessen muss festgestellt werden, dass die Datenerhebung ausländische nachrichtendienstliche Informationen zu zertifizierten Themen wie Terrorismusbekämpfung, Nichtverbreitung und Bedrohungen der Cybersicherheit liefern wird. Die Zielauswahlverfahren müssen die Datenerhebung auf nicht-US-amerikanische Personen mit Wohnsitz im Ausland ausrichten und Schutzmaßnahmen enthalten, um die absichtliche Erfassung von Kommunikation US-amerikanischer Personen zu vermeiden. 

Zu den wichtigsten Stellen zählen das Amt des Direktors der Nationalen Nachrichtendienste (ODNI) für die Aufsicht und Berichterstattung, das Justizministerium (DOJ) für die Einhaltung der Rechtsvorschriften sowie Behörden wie die Nationale Sicherheitsbehörde (NSA) und das Federal Bureau of Investigation (FBI) als Hauptnutzer der 702-Daten, neben den zur Unterstützung verpflichteten US-Dienstleistern. Die Aufsicht umfasst vom FISC genehmigte Verfahren, Generalinspektoren, interne Prüfungen und die Überprüfung durch den Kongress.