Ermittlungsbefugnisgesetz

Der Investigatory Powers Act 2016 (IPA) ist ein britisches Gesetz, das die Nutzung von Überwachungs- und Ermittlungsbefugnissen durch öffentliche Stellen, einschließlich Geheimdienste, Strafverfolgungsbehörden und verschiedene Regierungsabteilungen, regelt.

Das Gesetz legt detailliert dar, wie diese Stellen Kommunikationsdaten sammeln, Geräte manipulieren und Kommunikationen zum ausdrücklichen Zweck der Überwachung abfangen können.

Das von Kritikern als „Schnüffel-Charta“ bezeichnete IPA ist ein umstrittenes Gesetz, das nach Ansicht vieler individuelle Rechte und bürgerliche Freiheiten verletzt. Seine Befürworter hingegen argumentieren, es sei ein wichtiges Instrument zur Wahrung der nationalen Sicherheit und zur Bekämpfung des Terrorismus.

Unternehmen, die sensible Daten oder Kundendaten verarbeiten, müssen die Datenschutzgrundverordnung (DSGVO) kennen, um die Bestimmungen einhalten zu können. Die Einhaltung der DSGVO ist nicht nur rechtlich notwendig, sondern schafft auch Vertrauen bei den Kunden, indem sie das Engagement für den Datenschutz demonstriert.

Cyera spielt eine Schlüsselrolle bei der Unterstützung von Unternehmen. Datenrisiko bewerten und pflegen Bereitschaft zur Einhaltung der Vorschriften in komplexen regulatorischen Umfeldern, einschließlich des IPA.

Warum wurde das Gesetz über Ermittlungsbefugnisse eingeführt?

Der IPA wurde eingeführt, um die Überwachungsgesetze Großbritanniens zu modernisieren, die aufgrund der rasanten Fortschritte in der Kommunikationstechnologie in den letzten zwei Jahrzehnten veraltet waren.

Mobiltelefone, SMS-Nachrichten, verschlüsselte Messaging-Apps, Cloud-Speicher und Internet-Browsing wurden von den damals existierenden veralteten Sicherheitsframeworks nicht unterstützt.

Die Behörden benötigten eine klarere und umfassendere Gesetzgebung, um den modernen Wegen der Kommunikation und Datenspeicherung Rechnung zu tragen.

Vor der Einführung des IPA wurden Überwachungstätigkeiten durch den Regulation of Investigatory Powers Act 2000 (RIPA) und verschiedene Bestimmungen des Telecommunications Act 1984 geregelt.

Diese Gesetze waren unklar und umfassten nicht alle neuen digitalen Technologien. Daher wurde das IPA geschaffen, um diese bestehenden Gesetze in einem einheitlichen Rahmen zu konsolidieren und zu erweitern.

Im Wesentlichen verfolgt die IPA folgende Ziele:

• Statten Sie Strafverfolgungs- und Nachrichtendienste mit den richtigen Instrumenten aus, um Bedrohungen der nationalen Sicherheit vorzubeugen und darauf zu reagieren.
• Es sollen formelle Autorisierungs- und Aufsichtsmechanismen geschaffen werden, einschließlich der Rolle des Beauftragten für Ermittlungsbefugnisse, um die Rechenschaftspflicht zu erhöhen und die rechtmäßige Anwendung von Überwachungsbefugnissen zu gewährleisten.
• Die Lücken bei der digitalen Datenüberwachung und der Speicherung von Internetverbindungsdaten sollen geschlossen werden. Im Mittelpunkt stehen dabei das Abfangen von Online-Kommunikation und die Speicherung von Internetverbindungsdaten und Metadaten.

Kernbestimmungen und Befugnisse gemäß dem IPA

Es sollte klar sein, dass die Befugnisse der IPA breit gefächert und weitreichend sind und sich auf britische Unternehmen, Haushalte und sogar auf Einrichtungen außerhalb Großbritanniens erstrecken.

Die wichtigsten Bestimmungen des IPA sind:

• Gezieltes Abfangen von Kommunikationen (mit Zustimmung des Außenministers und der Justiz), wie z. B. Telefongespräche, E-Mails und andere Kommunikationsmittel.
• Massenhafte Erfassung von Metadaten und personenbezogenen Datensätzen, einschließlich Aufzeichnungen von Personen, die nicht unter direktem Verdacht stehen.
• Obligatorische Aufbewahrung von Internetverbindungsdatensätzen (ICRs) durch Kommunikationsdienstanbieter (CSPs), Verfolgung der von Nutzern aufgerufenen Websites und Dienste.
• Eingriffe in technische Geräte (auch bekannt als legales Hacking), einschließlich Fernzugriff auf Computer, Telefone und Netzwerke.

‍

CSPs sind gesetzlich verpflichtet, Ermittlungen zu unterstützen, unter anderem durch technische Fähigkeitsmitteilungen, die die Entschlüsselung von Daten oder die Ermöglichung des Echtzeit-Abfangens zur Unterstützung der Behörden beinhalten können.

Aufsicht und Schutzmaßnahmen: Wie wird IPA kontrolliert?

Angesichts der weitreichenden Befugnisse des IPA wurden mehrere Kontrollebenen eingerichtet, um die Rechenschaftspflicht und die rechtmäßige Anwendung seiner Bestimmungen zu gewährleisten.

Die eingreifendsten Überwachungsmethoden unterliegen einem doppelten Genehmigungsverfahren, bei dem sowohl ein Staatssekretär als auch ein Justizkommissar die Entscheidung unabhängig voneinander prüfen und genehmigen müssen, bevor sie in Kraft tritt.

Der Beauftragte für Ermittlungsbefugnisse führt regelmäßige Prüfungen der Nutzung der IPA-Befugnisse durch öffentliche Behörden durch und erstattet dem Parlament jährlich Bericht über Verstöße gegen die Bestimmungen oder über Missbrauch, um die Transparenz zu gewährleisten.

Bei der Überwachung sensibler Berufsgruppen wie Journalisten, Anwälte oder Parlamentsmitglieder gelten zusätzliche Schutzmaßnahmen, um Grundrechte wie die Meinungsfreiheit und das Anwaltsgeheimnis zu schützen.

Wichtig ist, darauf hinzuweisen, dass der IPA im Jahr 2024 aktualisiert wurde, um den Aufsichtsbehörden mehr Flexibilität bei der Überprüfung von Überwachungsentscheidungen zu geben und mit dem technologischen Fortschritt und den sich ändernden globalen Gegebenheiten Schritt zu halten.

Wer hat gemäß IPA Zugriff auf Daten?

Diejenigen, die gemäß IPA Zugriff auf Daten haben, sind in erster Linie in den Bereichen nationale Sicherheit, Verbrechensaufklärung und Strafverfolgung tätig.

Beispielsweise verfügen die britischen Geheimdienste über Ermittlungsbefugnisse, darunter:

• MI5: Britischer Sicherheitsdienst
• MI6: Britischer Geheimdienst
• GCHQ: Kommunikationsabteilung der britischen Regierung

Alle Polizeidienststellen im Vereinigten Königreich können Daten anfordern, um strafrechtliche Ermittlungen zu unterstützen, ebenso wie die National Crime Agency, eine zentrale Behörde zur Bekämpfung von organisierter Kriminalität und Cyberkriminalität.

Die britische Steuer- und Zollbehörde (HM Revenue & Customs) kann Daten anfordern, um Ermittlungen im Zusammenhang mit Steuerhinterziehung und Zollbetrug zu unterstützen. Das Innenministerium (Home Office) kann die Befugnisse nach dem Informationsbeschaffungsgesetz (IPA) zur Durchsetzung der Einwanderungsbestimmungen und zur Grenzsicherung nutzen. Das Ministerium für Arbeit und Pensionen (Department for Work and Pensions) kann auf Daten zugreifen, um Sozialleistungsbetrug und damit zusammenhängende Straftaten zu untersuchen, und das Verteidigungsministerium benötigt Überwachungsbefugnisse für die militärische Sicherheit, die Spionageabwehr und den Schutz von Verteidigungsgütern.

Zu den weiteren Organisationen mit unterschiedlichen Zugriffsrechten gehören die Financial Conduct Authority, das Serious Fraud Office, lokale Behörden für bestimmte Zwecke sowie verschiedene Aufsichtsbehörden, die schwere Straftaten in ihrem Zuständigkeitsbereich untersuchen.

Diese Stellen benötigen keinen Durchsuchungsbefehl für den Zugriff auf interne Register. Der Antrag bedarf lediglich der Genehmigung durch einen „benannten leitenden Angestellten“ innerhalb der Organisation, und der Zugriffszweck muss mit Folgendem zusammenhängen:

• Aufdeckung oder Verhinderung schwerer Straftaten
• Schutz der nationalen Sicherheit
• Auffinden vermisster Personen

Kontroversen und öffentliche Debatten

Während die britische Regierung das IPA als unerlässlich für die öffentliche Sicherheit ansieht, haben Bürgerrechtsgruppen ernsthafte Bedenken hinsichtlich der Massenüberwachung unschuldiger Personen und des Machtmissbrauchs der Behörden geäußert.

Die Hauptsorge der Kritiker ist die Aushöhlung grundlegender Rechte, darunter das Recht auf Privatsphäre und die Meinungsfreiheit.

Im Jahr 2018 urteilte der britische High Court, dass Teile des Gesetzes gegen EU-Recht verstoßen, insbesondere hinsichtlich des Zugriffs auf gespeicherte Kommunikationsdaten ohne Zustimmung.

Infolgedessen wurde das Gesetz an die geltenden Rechtsnormen angepasst. Seit dem Austritt Großbritanniens aus der EU im Jahr 2020 wurden diese Änderungen teilweise wieder zurückgenommen, was weitere Besorgnis auslöst.

Die breite öffentliche Kritik an dem Gesetz hat zu Petitionen für eine Reform oder Aufhebung, Medienrecherchen und Kampagnen von zivilgesellschaftlichen Gruppen geführt, die sich für mehr Transparenz und Kontrolle einsetzen.

Die Befürworter des Gesetzes hingegen behaupten, dass das IPA die Transparenz und die Aufsicht über die unter den alten Gesetzen angewandten Praktiken verbessert und die Behörden in die Lage versetzt, die Gesellschaft in einem digitalen Zeitalter zu schützen, in dem die Bedrohungen immer komplexer werden.

Jüngste Änderungen: Was hat sich im Jahr 2024 geändert?

Im Jahr 2024 wurde die IPA erneut reformiert und führte mehrere wichtige Neuerungen ein. Dazu gehörten:

• Neue Meldepflichten für Technologieunternehmen wie Netzbetreiber und Kommunikationsdienstleister. Sie müssen die britische Regierung nun benachrichtigen, bevor sie bestimmte Änderungen an ihren Diensten einführen, insbesondere wenn diese ihre Fähigkeit beeinträchtigen, Anfragen gemäß dem IPA nachzukommen.
• Kommunikationsanbieter müssen die IPC über jegliche Datenschutzverletzungen informieren.
• Geheimdienste verfügen nun über erweiterte Befugnisse, die einen umfassenderen Zugriff auf große Datenmengen beinhalten, insbesondere dort, wo Einzelpersonen nur geringe oder gar keine Privatsphäre erwarten können. Dies betrifft beispielsweise Daten, die bereits öffentlich oder leicht zugänglich sind.
• Die erweiterten Befugnisse umfassen auch einen breiteren Zugang zu ICRs.

‍

Wichtig ist, dass klargestellt wurde, dass ausländische Unternehmen, die Kunden in Großbritannien bedienen, als „Telekommunikationsbetreiber“ gelten und nun unabhängig von ihrem Sitz den IPA-Compliance-Anforderungen unterliegen.

Andere Änderungen haben weit verbreitete Besorgnis ausgelöst, insbesondere hinsichtlich folgender Punkte:

• Die Aufhebung der Doppelverriegelungssicherung in bestimmten Fällen.
• Verminderte gerichtliche Kontrolle bestimmter von der Regierung erlassener Anordnungen oder Mitteilungen.
• Die hohe Machtkonzentration beim Außenminister kann die Rechenschaftspflicht verringern.

Warum sollte das Unternehmen und Sicherheitsteams interessieren?

Der IPA hat direkte Auswirkungen auf alle Unternehmen, die Daten und digitale Kommunikation verarbeiten. Da die Einhaltung verpflichtend ist, müssen alle Organisationen darauf vorbereitet sein, im Falle einer Aufforderung zur Herausgabe von Zugriffsrechten gemäß dem IPA, falls sie dazu aufgefordert werden.

Unternehmen können verpflichtet sein:

• Unterstützung bei der Weitergabe sensibler Daten. Dies umfasst das Abfangen von Kommunikationen, die Offenlegung gespeicherter Daten und die Installation von Überwachungstechnologien.
• IPA-Anforderungen ausgleichen Einhaltung der Datensicherheitsbestimmungen Verpflichtungen gemäß DSGVO und anderen internationalen Gesetzen führen zu Komplexität bei der Aufrechterhaltung der Compliance.
• Es gilt, Reputations- und Betriebsrisiken zu minimieren, wenn Kunden über Überwachungspraktiken informiert werden, insbesondere bei Technologie- und Cloud-Anbietern.
• Gewährleisten Sie durch automatisierte Kontrollen und Audits einen transparenten Überblick über Datenflüsse und Drittparteienrisiken.

Bewährte Vorgehensweisen für Organisationen bei der Erfüllung der IPA-Anforderungen

Um die Anforderungen des IPA zu erfüllen, müssen Organisationen das Datenrisiko und die rechtlichen Vorgaben des Gesetzes proaktiv managen.

Sich ausschließlich auf reaktive Maßnahmen zu verlassen, reicht nicht aus. Stattdessen sollten Unternehmen konsistente Prozesse implementieren, die durch Tools unterstützt werden, welche die Daten-Governance und die Auditvorbereitung fördern.

Diese Prozesse umfassen:

• Regelmäßige Datenrisikobewertungen durchführen, um sensible Daten zu erfassen.
• Aufrechterhaltung einer klaren Governance in Bezug auf Verschlüsselung, Zugriffskontrollen und rechtmäßige Zugriffsanfragen.
• Aufrechterhaltung eines Prüfprotokolls der Compliance-Aktivitäten.
• Schulung der Mitarbeiter hinsichtlich ihrer Pflichten im Umgang mit Daten und der Eskalationsverfahren.
• Kontinuierliche Überwachung und Anpassung an Änderungen der Vorschriften in Großbritannien, der EU und weltweit.
  
  

Verwendung eines Datensicherheitsplattform Cyera vereinfacht die Einhaltung von Vorschriften durch die Automatisierung der Datenklassifizierung, die Überwachung von Zugriffspunkten und die Verfolgung der Benutzeraktivität in Echtzeit.

Die zentralisierten Compliance-Dashboards weisen auf Risiken und die Bereitschaft zu Audits hin, während die Durchsetzung von Richtlinien im Einklang mit den IPA-Verpflichtungen in das System integriert ist.

Wie Cyera Organisationen bei der Bewältigung von IPA-Herausforderungen unterstützt

Mit dem richtigen System lassen sich die Anforderungen des IPA deutlich einfacher erfüllen.

Cyera wurde entwickelt, um:

• Sensible Daten in Cloud- und Hybridumgebungen klassifizieren, verwalten und schützen.
• Gewährleisten Sie Transparenz hinsichtlich Zugriffsanfragen und Datenbewegungen von Drittanbietern.
• Automatisierte Überwachung der Einhaltung von Vorschriften und Benachrichtigung bei potenziellen Verstößen.
• Statten Sie Teams mit Werkzeugen aus, um anpassungsfähige und robuste Compliance-Rahmenwerke aufzubauen.

‍

Mit Cyera erhalten Unternehmen die Fähigkeit und Kontrolle, die sie benötigen, um souverän auf IPA-Anforderungen zu reagieren, ohne Kompromisse bei der Datensicherheit oder den betrieblichen Standards einzugehen.

Datenschutz und Compliance als Wettbewerbsvorteil nutzen

Es genügt nicht, lediglich die IPA und andere regulatorische und Compliance-Rahmenbedingungen zu kennen.

Organisationen müssen proaktiv handeln und Systeme implementieren, die den aktuellen Standards entsprechen und sich gleichzeitig an regulatorische Änderungen anpassen.

Wir laden Sie ein, die Lösungen von Cyera für Datenschutz, Sicherheit und Compliance selbst zu erleben.

Vereinbaren Sie noch heute eine Demo und testen Sie sie kostenlos. Datenrisikobewertung um zu erfahren, wie Ihre Organisation von einem proaktiven Ansatz in Bezug auf Compliance profitieren kann.