← Deutschland

BVerfG 1 BvR 180/23

KVRE462812501 ECLI:DE:BVerfG:2025:rs20250624.1bvr018023 BVerfG 1. Senat 20250624 1 BvR 180/23 Beschluss Art 1 Abs 1 GG, Art 2 Abs 1 GG, Art 10 Abs 1 GG, Art 19 Abs 1 S 2 GG, § 23 Abs 1 S 2 BVerfGG, § 90 Abs 1 BVerfGG, § 92 BVerfGG, § 100a Abs 1 S 1 Nr 1 StPO vom 17.08.2017, § 100a Abs 1 S 2 StPO vom 17.08.2017, § 100a Abs 1 S 3 StPO vom 17.08.2017, § 100a Abs 2 Nr 1 Buchst a StPO vom 17.08.2017, § 100a Abs 2 Nr 1 Buchst c StPO vom 17.08.2017, § 100a Abs 2 Nr 1 Buchst d StPO vom 17.08.2017, § 100a Abs 2 Nr 1 Buchst d StPO vom 12.08.2021, § 100a Abs 2 Nr 1 Buchst t StPO vom 17.08.2017, § 100a Abs 2 Nr 1 Buchst u StPO vom 11.07.2019, § 100a Abs 2 Nr 6 StPO vom 17.08.2017, § 100a Abs 2 Nr 7 Buchst b StPO vom 17.08.2017, § 100b StPO vom 17.08.2017 DEU Bundesrepublik Deutschland Strafprozessuale Ermächtigungen der StPO zur Quellen-Telekommunikationsüberwachung und zur Online-Durchsuchung überwiegend verfassungsgemäß - Unverhältnismäßigkeit bei Straftaten aus dem Bereich der einfachen Kriminalität - zum Vorrang des IT-System-Grundrechts gegenüber dem Recht auf informationelle Selbstbestimmung 1. Eine Befugnis zur Überwachung und Aufzeichnung laufender Telekommunikation in der Weise, dass mit technischen Mitteln in von Betroffenen eigengenutzte IT-Systeme eingegriffen wird (Quellen-Telekommunikationsüberwachung, vgl. § 100a Abs. 1 Satz 2 StPO), begründet einen sehr schwerwiegenden Eingriff sowohl in das IT-System-Grundrecht (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG) als auch in das durch Art. 10 Abs. 1 GG geschützte Fernmeldegeheimnis. 2.

  1. a)Eine Befugnis zur Überwachung und Aufzeichnung der auf einem IT-System Betroffener gespeicherten Inhalte und Umstände der Kommunikation in der Weise, dass mit technischen Mitteln in ein IT-System eingegriffen wird (erweiterte Quellen-Telekommunikationsüberwachung, vgl. § 100a Abs. 1 Satz 3 StPO), ist allein am IT-System-Grundrecht zu messen.
  2. b)Das Recht auf informationelle Selbstbestimmung schützt nicht nur vor einzelnen Datenerhebungen, sondern auch vor dem Zugriff auf große und dadurch typischerweise besonders aussagekräftige Datenbestände. Ermächtigt aber eine Norm zur Datenerhebung aus einem IT-System, auf das mit technischen Mitteln zugegriffen wird, wird das Recht auf informationelle Selbstbestimmung vom IT-System-Grundrecht verdrängt.
  3. c)Von diesen beiden Ausprägungen des allgemeinen Persönlichkeitsrechts gewährleistet das IT-System-Grundrecht einen gegenüber dem Recht auf informationelle Selbstbestimmung spezifischen Schutz, der gerade die mit dem Zugriff auf eigengenutzte IT-Systeme verbundene Verletzung ihrer Integrität und Gefährdung der Vertraulichkeit in den Blick nimmt. 3. Eine Befugnisnorm, die dazu ermächtigt, heimlich mit technischen Mitteln in ein von Betroffenen genutztes IT-System einzugreifen und daraus Daten zu erheben, die auch solche der laufenden Fernkommunikation umfassen (Online-Durchsuchung), ermöglicht Eingriffe sowohl in das IT-System-Grundrecht als auch in Art. 10 Abs. 1 GG. Sind beide Grundrechte betroffen, ist die Befugnis zur Online-Durchsuchung an beiden Grundrechten zu messen. 1. § 100a Absatz 1 Sätze 2 und 3 in Verbindung mit § 100a Absatz 1 Satz 1 Nummer 1, Absatz 2 Nummer 1 Buchstaben a, c, d und t, Nummer 6 und Nummer 7 Buchstabe b der Strafprozessordnung in der Fassung des Gesetzes zur effektiveren und praxistauglicheren Ausgestaltung des Strafverfahrens vom 17. August 2017 (Bundesgesetzblatt I Seite 3202) und in der Fassung späterer Gesetze verstoßen nach Maßgabe der Gründe gegen Artikel 2 Absatz 1 in Verbindung mit Artikel 1 Absatz 1 des Grundgesetzes sowie - nur bezogen auf § 100a Absatz 1 Satz 2 der Strafprozessordnung - auch gegen Artikel 10 Absatz 1 des Grundgesetzes und sind nichtig. 2. § 100b der Strafprozessordnung in der Fassung des Gesetzes zur effektiveren und praxistauglicheren Ausgestaltung des Strafverfahrens vom 17. August 2017 und in der Fassung späterer Gesetze ist mit Artikel 10 Absatz 1 in Verbindung mit Artikel 19 Absatz 1 Satz 2 des Grundgesetzes unvereinbar. Die Vorschrift gilt bis zu einer Neuregelung fort. 3. Im Übrigen wird die Verfassungsbeschwerde zurückgewiesen. 4. Die Bundesrepublik Deutschland hat den Beschwerdeführenden zu 1) und 5) ein Drittel, den Beschwerdeführenden zu 2) und 4) ein Sechstel ihrer notwendigen Auslagen aus dem Verfassungsbeschwerdeverfahren zu erstatten. A. 1 Gegenstand der Verfassungsbeschwerde sind strafprozessuale Ermächtigungen zur Quellen-Telekommunikationsüberwachung und zur Online-Durchsuchung. I. 2 Die Beschwerdeführenden wenden sich mit ihrer Verfassungsbeschwerde gegen § 100a Abs. 1 Sätze 2 und 3, Absätze 3 bis 6, § 100b sowie § 100d Absätze 1 bis 3 und 5 StPO in der Fassung des Gesetzes zur effektiveren und praxistauglicheren Ausgestaltung des Strafverfahrens vom 17. August 2017(BGBl I S. 3202), das mit Wirkung zum 24. August 2017 in Kraft getreten ist. Die Vorschriften lauten in ihrer angegriffenen Fassung wie folgt: § 100a StPO - Telekommunikationsüberwachung

(1)1Auch ohne Wissen der Betroffenen darf die Telekommunikation überwacht und aufgezeichnet werden, wenn
  1. bestimmte Tatsachen den Verdacht begründen, dass jemand als Täter oder Teilnehmer eine in Absatz 2 bezeichnete schwere Straftat begangen, in Fällen, in denen der Versuch strafbar ist, zu begehen versucht, oder durch eine Straftat vorbereitet hat,
  2. die Tat auch im Einzelfall schwer wiegt und
  3. die Erforschung des Sachverhalts oder die Ermittlung des Aufenthaltsortes des Beschuldigten auf andere Weise wesentlich erschwert oder aussichtslos wäre. 2Die Überwachung und Aufzeichnung der Telekommunikation darf auch in der Weise erfolgen, dass mit technischen Mitteln in von dem Betroffenen genutzte informationstechnische Systeme eingegriffen wird, wenn dies notwendig ist, um die Überwachung und Aufzeichnung insbesondere in unverschlüsselter Form zu ermöglichen. 3Auf dem informationstechnischen System des Betroffenen gespeicherte Inhalte und Umstände der Kommunikation dürfen überwacht und aufgezeichnet werden, wenn sie auch während des laufenden Übertragungsvorgangs im öffentlichen Telekommunikationsnetz in verschlüsselter Form hätten überwacht und aufgezeichnet werden können.
(2)Schwere Straftaten im Sinne des Absatzes 1 Nr. 1 sind: 1. aus dem Strafgesetzbuch:
  1. a)Straftaten des Friedensverrats, des Hochverrats und der Gefährdung des demokratischen Rechtsstaates sowie des Landesverrats und der Gefährdung der äußeren Sicherheit nach den §§ 80a bis 82, 84 bis 86, 87 bis 89a, 89c Absatz 1 bis 4, 94 bis 100a,
  2. b)Bestechlichkeit und Bestechung von Mandatsträgern nach § 108e,
  3. c)Straftaten gegen die Landesverteidigung nach den §§ 109d bis 109h,
  4. d)Straftaten gegen die öffentliche Ordnung nach den §§ 129 bis 130,
  5. e)Geld- und Wertzeichenfälschung nach den §§ 146 und 151, jeweils auch in Verbindung mit § 152, sowie nach § 152a Abs. 3 und § 152b Abs. 1 bis 4,
  6. f)Straftaten gegen die sexuelle Selbstbestimmung in den Fällen der §§ 176a, 176b und, unter den in § 177 Absatz 6 Satz 2 Nummer 2 genannten Voraussetzungen, des § 177,
  7. g)Verbreitung, Erwerb und Besitz kinder- und jugendpornographischer Schriften nach § 184b Absatz 1 und 2, § 184c Absatz 2,
  8. h)Mord und Totschlag nach den §§ 211 und 212,
  9. i)Straftaten gegen die persönliche Freiheit nach den §§ 232, 232a Absatz 1 bis 5, den §§ 232b, 233 Absatz 2, den §§ 233a, 234, 234a, 239a und 239b,
  10. j)Bandendiebstahl nach § 244 Abs. 1 Nr. 2 und schwerer Bandendiebstahl nach § 244a,
  11. k)Straftaten des Raubes und der Erpressung nach den §§ 249 bis 255,
  12. l)gewerbsmäßige Hehlerei, Bandenhehlerei und gewerbsmäßige Bandenhehlerei nach den §§ 260 und 260a,
  13. m)Geldwäsche und Verschleierung unrechtmäßig erlangter Vermögenswerte nach § 261 Abs. 1, 2 und 4; beruht die Strafbarkeit darauf, dass die Straflosigkeit nach § 261 Absatz 9 Satz 2 gemäß § 261 Absatz 9 Satz 3 ausgeschlossen ist, jedoch nur dann, wenn der Gegenstand aus einer der in den Nummern 1 bis 11 genannten schweren Straftaten herrührt,
  14. n)Betrug und Computerbetrug unter den in § 263 Abs. 3 Satz 2 genannten Voraussetzungen und im Falle des § 263 Abs. 5, jeweils auch in Verbindung mit § 263a Abs. 2,
  15. o)Subventionsbetrug unter den in § 264 Abs. 2 Satz 2 genannten Voraussetzungen und im Falle des § 264 Abs. 3 in Verbindung mit § 263 Abs. 5,
  16. p)Sportwettbetrug und Manipulation von berufssportlichen Wettbewerben unter den in § 265e Satz 2 genannten Voraussetzungen,
  17. q)Straftaten der Urkundenfälschung unter den in § 267 Abs. 3 Satz 2 genannten Voraussetzungen und im Fall des § 267 Abs. 4, jeweils auch in Verbindung mit § 268 Abs. 5 oder § 269 Abs. 3, sowie nach § 275 Abs. 2 und § 276 Abs. 2,
  18. r)Bankrott unter den in § 283a Satz 2 genannten Voraussetzungen,
  19. s)Straftaten gegen den Wettbewerb nach § 298 und, unter den in § 300 Satz 2 genannten Voraussetzungen, nach § 299,
  20. t)gemeingefährliche Straftaten in den Fällen der §§ 306 bis 306c, 307 Abs. 1 bis 3, des § 308 Abs. 1 bis 3, des § 309 Abs. 1 bis 4, des § 310 Abs. 1, der §§ 313, 314, 315 Abs. 3, des § 315b Abs. 3 sowie der §§ 316a und 316c,
  21. u)Bestechlichkeit und Bestechung nach den §§ 332 und 334, 2. aus der Abgabenordnung:
  22. a)Steuerhinterziehung unter den in § 370 Abs. 3 Satz 2 Nr. 5 genannten Voraussetzungen,
  23. b)gewerbsmäßiger, gewaltsamer und bandenmäßiger Schmuggel nach § 373,
  24. c)Steuerhehlerei im Falle des § 374 Abs. 2, 3. aus dem Anti-Doping-Gesetz: Straftaten nach § 4 Absatz 4 Nummer 2 Buchstabe b, 4. aus dem Asylgesetz:
  25. a)Verleitung zur missbräuchlichen Asylantragstellung nach § 84 Abs. 3,
  26. b)gewerbs- und bandenmäßige Verleitung zur missbräuchlichen Asylantragstellung nach § 84a, 5. aus dem Aufenthaltsgesetz:
  27. a)Einschleusen von Ausländern nach § 96 Abs. 2,
  28. b)Einschleusen mit Todesfolge und gewerbs- und bandenmäßiges Einschleusen nach § 97, 6. aus dem Außenwirtschaftsgesetz: vorsätzliche Straftaten nach den §§ 17 und 18 des Außenwirtschaftsgesetzes, 7. aus dem Betäubungsmittelgesetz:
  29. a)Straftaten nach einer in § 29 Abs. 3 Satz 2 Nr. 1 in Bezug genommenen Vorschrift unter den dort genannten Voraussetzungen,
  30. b)Straftaten nach den §§ 29a, 30 Abs. 1 Nr. 1, 2 und 4 sowie den §§ 30a und 30b, 8. aus dem Grundstoffüberwachungsgesetz: Straftaten nach § 19 Abs. 1 unter den in § 19 Abs. 3 Satz 2 genannten Voraussetzungen, 9. aus dem Gesetz über die Kontrolle von Kriegswaffen:
  31. a)Straftaten nach § 19 Abs. 1 bis 3 und § 20 Abs. 1 und 2 sowie § 20a Abs. 1 bis 3, jeweils auch in Verbindung mit § 21,
  32. b)Straftaten nach § 22a Abs. 1 bis 3, 9a. aus dem Neue-psychoaktive-Stoffe-Gesetz: Straftaten nach § 4 Absatz 3 Nummer 1 Buchstabe a, 10. aus dem Völkerstrafgesetzbuch:
  33. a)Völkermord nach § 6,
  34. b)Verbrechen gegen die Menschlichkeit nach § 7,
  35. c)Kriegsverbrechen nach den §§ 8 bis 12,
  36. d)Verbrechen der Aggression nach § 13, 11. aus dem Waffengesetz:
  37. a)Straftaten nach § 51 Abs. 1 bis 3,
  38. b)Straftaten nach § 52 Abs. 1 Nr. 1 und 2 Buchstabe c und d sowie Abs. 5 und 6.
(3)Die Anordnung darf sich nur gegen den Beschuldigten oder gegen Personen richten, von denen auf Grund bestimmter Tatsachen anzunehmen ist, dass sie für den Beschuldigten bestimmte oder von ihm herrührende Mitteilungen entgegennehmen oder weitergeben oder dass der Beschuldigte ihren Anschluss oder ihr informationstechnisches System benutzt.
(4)1Auf Grund der Anordnung einer Überwachung und Aufzeichnung der Telekommunikation hat jeder, der Telekommunikationsdienste erbringt oder daran mitwirkt, dem Gericht, der Staatsanwaltschaft und ihren im Polizeidienst tätigen Ermittlungspersonen (§ 152 des Gerichtsverfassungsgesetzes) diese Maßnahmen zu ermöglichen und die erforderlichen Auskünfte unverzüglich zu erteilen. 2Ob und in welchem Umfang hierfür Vorkehrungen zu treffen sind, bestimmt sich nach dem Telekommunikationsgesetz und der Telekommunikations-Überwachungsverordnung. 3§ 95 Absatz 2 gilt entsprechend.
(5)1Bei Maßnahmen nach Absatz 1 Satz 2 und 3 ist technisch sicherzustellen, dass 1. ausschließlich überwacht und aufgezeichnet werden können:
  1. a)die laufende Telekommunikation (Absatz 1 Satz 2), oder
  2. b)Inhalte und Umstände der Kommunikation, die ab dem Zeitpunkt der Anordnung nach § 100e Absatz 1 auch während des laufenden Übertragungsvorgangs im öffentlichen Telekommunikationsnetz hätten überwacht und aufgezeichnet werden können (Absatz 1 Satz 3), 2. an dem informationstechnischen System nur Veränderungen vorgenommen werden, die für die Datenerhebung unerlässlich sind, und 3. die vorgenommenen Veränderungen bei Beendigung der Maßnahme, soweit technisch möglich, automatisiert rückgängig gemacht werden. 2Das eingesetzte Mittel ist nach dem Stand der Technik gegen unbefugte Nutzung zu schützen. 3Kopierte Daten sind nach dem Stand der Technik gegen Veränderung, unbefugte Löschung und unbefugte Kenntnisnahme zu schützen.
(6)Bei jedem Einsatz des technischen Mittels sind zu protokollieren
  1. die Bezeichnung des technischen Mittels und der Zeitpunkt seines Einsatzes,
  2. die Angaben zur Identifizierung des informationstechnischen Systems und die daran vorgenommenen nicht nur flüchtigen Veränderungen,
  3. die Angaben, die die Feststellung der erhobenen Daten ermöglichen, und
  4. die Organisationseinheit, die die Maßnahme durchführt. § 100b StPO - Online-Durchsuchung
(1)Auch ohne Wissen des Betroffenen darf mit technischen Mitteln in ein von dem Betroffenen genutztes informationstechnisches System eingegriffen und dürfen Daten daraus erhoben werden (Online-Durchsuchung), wenn
  1. bestimmte Tatsachen den Verdacht begründen, dass jemand als Täter oder Teilnehmer eine in Absatz 2 bezeichnete besonders schwere Straftat begangen oder in Fällen, in denen der Versuch strafbar ist, zu begehen versucht hat,
  2. die Tat auch im Einzelfall besonders schwer wiegt und
  3. die Erforschung des Sachverhalts oder die Ermittlung des Aufenthaltsortes des Beschuldigten auf andere Weise wesentlich erschwert oder aussichtslos wäre.
(2)Besonders schwere Straftaten im Sinne des Absatzes 1 Nummer 1 sind: 1. aus dem Strafgesetzbuch:
  1. a)Straftaten des Hochverrats und der Gefährdung des demokratischen Rechtsstaates sowie des Landesverrats und der Gefährdung der äußeren Sicherheit nach den §§ 81, 82, 89a, 89c Absatz 1 bis 4, nach den §§ 94, 95 Absatz 3 und § 96 Absatz 1, jeweils auch in Verbindung mit § 97b, sowie nach den §§ 97a, 98 Absatz 1 Satz 2, § 99 Absatz 2 und den §§ 100, 100a Absatz 4,
  2. b)Bildung krimineller Vereinigungen nach § 129 Absatz 1 in Verbindung mit Absatz 5 Satz 3 und Bildung terroristischer Vereinigungen nach § 129a Absatz 1, 2, 4, 5 Satz 1 erste Alternative, jeweils auch in Verbindung mit § 129b Absatz 1,
  3. c)Geld- und Wertzeichenfälschung nach den §§ 146 und 151, jeweils auch in Verbindung mit § 152, sowie nach § 152a Absatz 3 und § 152b Absatz 1 bis 4,
  4. d)Straftaten gegen die sexuelle Selbstbestimmung in den Fällen des § 176a Absatz 2 Nummer 2 oder Absatz 3 und, unter den in § 177 Absatz 6 Satz 2 Nummer 2 genannten Voraussetzungen, des § 177,
  5. e)Verbreitung, Erwerb und Besitz kinderpornografischer Schriften in den Fällen des § 184b Absatz 2,
  6. f)Mord und Totschlag nach den §§ 211, 212,
  7. g)Straftaten gegen die persönliche Freiheit in den Fällen der §§ 234, 234a Absatz 1, 2, der §§ 239a, 239b und Menschenhandel nach § 232 Absatz 3, Zwangsprostitution und Zwangsarbeit nach § 232a Absatz 3, 4 oder 5 zweiter Halbsatz, § 232b Absatz 3 oder 4 in Verbindung mit § 232a Absatz 4 oder 5 zweiter Halbsatz und Ausbeutung unter Ausnutzung einer Freiheitsberaubung nach § 233a Absatz 3 oder 4 zweiter Halbsatz,
  8. h)Bandendiebstahl nach § 244 Absatz 1 Nummer 2 und schwerer Bandendiebstahl nach § 244a,
  9. i)schwerer Raub und Raub mit Todesfolge nach § 250 Absatz 1 oder Absatz 2, § 251,
  10. j)räuberische Erpressung nach § 255 und besonders schwerer Fall einer Erpressung nach § 253 unter den in § 253 Absatz 4 Satz 2 genannten Voraussetzungen,
  11. k)gewerbsmäßige Hehlerei, Bandenhehlerei und gewerbsmäßige Bandenhehlerei nach den §§ 260, 260a,
  12. l)besonders schwerer Fall der Geldwäsche, Verschleierung unrechtmäßig erlangter Vermögenswerte nach § 261 unter den in § 261 Absatz 4 Satz 2 genannten Voraussetzungen; beruht die Strafbarkeit darauf, dass die Straflosigkeit nach § 261 Absatz 9 Satz 2 gemäß § 261 Absatz 9 Satz 3 ausgeschlossen ist, jedoch nur dann, wenn der Gegenstand aus einer der in den Nummern 1 bis 7 genannten besonders schweren Straftaten herrührt,
  13. m)besonders schwerer Fall der Bestechlichkeit und Bestechung nach § 335 Absatz 1 unter den in § 335 Absatz 2 Nummer 1 bis 3 genannten Voraussetzungen, 2. aus dem Asylgesetz:
  14. a)Verleitung zur missbräuchlichen Asylantragstellung nach § 84 Absatz 3,
  15. b)gewerbs- und bandenmäßige Verleitung zur missbräuchlichen Asylantragstellung nach § 84a Absatz 1, 3. aus dem Aufenthaltsgesetz:
  16. a)Einschleusen von Ausländern nach § 96 Absatz 2,
  17. b)Einschleusen mit Todesfolge oder gewerbs- und bandenmäßiges Einschleusen nach § 97, 4. aus dem Betäubungsmittelgesetz:
  18. a)besonders schwerer Fall einer Straftat nach § 29 Absatz 1 Satz 1 Nummer 1, 5, 6, 10, 11 oder 13, Absatz 3 unter der in § 29 Absatz 3 Satz 2 Nummer 1 genannten Voraussetzung,
  19. b)eine Straftat nach den §§ 29a, 30 Absatz 1 Nummer 1, 2, 4, § 30a, 5. aus dem Gesetz über die Kontrolle von Kriegswaffen:
  20. a)eine Straftat nach § 19 Absatz 2 oder § 20 Absatz 1, jeweils auch in Verbindung mit § 21,
  21. b)besonders schwerer Fall einer Straftat nach § 22a Absatz 1 in Verbindung mit Absatz 2, 6. aus dem Völkerstrafgesetzbuch:
  22. a)Völkermord nach § 6,
  23. b)Verbrechen gegen die Menschlichkeit nach § 7,
  24. c)Kriegsverbrechen nach den §§ 8 bis 12,
  25. d)Verbrechen der Aggression nach § 13, 7. aus dem Waffengesetz:
  26. a)besonders schwerer Fall einer Straftat nach § 51 Absatz 1 in Verbindung mit Absatz 2,
  27. b)besonders schwerer Fall einer Straftat nach § 52 Absatz 1 Nummer 1 in Verbindung mit Absatz 5.
(3)1Die Maßnahme darf sich nur gegen den Beschuldigten richten. 2Ein Eingriff in informationstechnische Systeme anderer Personen ist nur zulässig, wenn auf Grund bestimmter Tatsachen anzunehmen ist, dass
  1. der in der Anordnung nach § 100e Absatz 3 bezeichnete Beschuldigte informationstechnische Systeme der anderen Person benutzt, und
  2. die Durchführung des Eingriffs in informationstechnische Systeme des Beschuldigten allein nicht zur Erforschung des Sachverhalts oder zur Ermittlung des Aufenthaltsortes eines Mitbeschuldigten führen wird. 3Die Maßnahme darf auch durchgeführt werden, wenn andere Personen unvermeidbar betroffen werden.
(4)§ 100a Absatz 5 und 6 gilt mit Ausnahme von Absatz 5 Satz 1 Nummer 1 entsprechend. § 100d StPO - Kernbereich privater Lebensgestaltung; Zeugnisverweigerungsberechtigte
(1)Liegen tatsächliche Anhaltspunkte für die Annahme vor, dass durch eine Maßnahme nach den §§ 100a bis 100c allein Erkenntnisse aus dem Kernbereich privater Lebensgestaltung erlangt werden, ist die Maßnahme unzulässig.
(2)1Erkenntnisse aus dem Kernbereich privater Lebensgestaltung, die durch eine Maßnahme nach den §§ 100a bis 100c erlangt wurden, dürfen nicht verwertet werden. 2Aufzeichnungen über solche Erkenntnisse sind unverzüglich zu löschen. 3Die Tatsache ihrer Erlangung und Löschung ist zu dokumentieren.
(3)1Bei Maßnahmen nach § 100b ist, soweit möglich, technisch sicherzustellen, dass Daten, die den Kernbereich privater Lebensgestaltung betreffen, nicht erhoben werden. 2Erkenntnisse, die durch Maßnahmen nach § 100b erlangt wurden und den Kernbereich privater Lebensgestaltung betreffen, sind unverzüglich zu löschen oder von der Staatsanwaltschaft dem anordnenden Gericht zur Entscheidung über die Verwertbarkeit und Löschung der Daten vorzulegen. 3Die Entscheidung des Gerichts über die Verwertbarkeit ist für das weitere Verfahren bindend.
(4)[…]
(5)1In den Fällen des § 53 sind Maßnahmen nach den §§ 100b und 100c unzulässig; ergibt sich während oder nach Durchführung der Maßnahme, dass ein Fall des § 53 vorliegt, gilt Absatz 2 entsprechend. 2In den Fällen der §§ 52 und 53a dürfen aus Maßnahmen nach den §§ 100b und 100c gewonnene Erkenntnisse nur verwertet werden, wenn dies unter Berücksichtigung der Bedeutung des zugrunde liegenden Vertrauensverhältnisses nicht außer Verhältnis zum Interesse an der Erforschung des Sachverhalts oder der Ermittlung des Aufenthaltsortes eines Beschuldigten steht. 3§ 160a Absatz 4 gilt entsprechend. II. 3 1. Mit dem Gesetz zur effektiveren und praxistauglicheren Ausgestaltung des Strafverfahrens vom 17. August 2017 wurden erstmals die Rechtsgrundlagen für eine Quellen-Telekommunikationsüberwachung (§ 100a Abs. 1 Sätze 2 und 3 StPO) und eine Online-Durchsuchung (§ 100b Abs. 1 StPO) in der Strafprozessordnung geschaffen. Nach der Begründung des Gesetzentwurfs sollen die neuen Befugnisse die Effizienz der Strafverfolgung steigern und dadurch eine funktionstüchtige Strafrechtspflege gewährleisten. Aufgrund der fortschreitenden Entwicklung der Informationstechnik sei festzustellen, dass informationstechnische Systeme (im Folgenden: IT-Systeme) allgegenwärtig seien und ihre Nutzung für die Lebensführung der meisten Bürger von zentraler Bedeutung sei. Dies gelte vor allem für die Nutzung mobiler Geräte in Form von Smartphones oder Tablet-PCs. Deren Leistungsfähigkeit sei ebenso gestiegen wie die Kapazität ihrer Arbeitsspeicher und der mit ihnen verbundenen Speichermedien, bei denen es sich immer häufiger um externe Speicher in sogenannten Clouds handele. Das Internet öffne Nutzern den Zugriff auf eine Fülle von Informationen und stelle zahlreiche neuartige Kommunikationsdienste zur Verfügung. Herkömmliche Formen der Fernkommunikation würden in weitem Umfang auf das Internet verlagert (vgl. BTDrucks 18/12785, S. 46). Aufgrund ihrer weiten Verbreitung spielten IT-Systeme daher auch eine wichtige Rolle bei der Aufklärung von Straftaten. 4 Die bisherige Regelung des § 100a StPO genüge insoweit nicht. Sie enthalte zwar eine Rechtsgrundlage zur Erhebung derjenigen Kommunikationsinhalte, die während des laufenden Übertragungsvorgangs im öffentlichen Telekommunikationsnetz überwacht und aufgezeichnet werden könnten. Nachdem inzwischen aber ein Großteil der Kommunikation internetprotokollbasiert erfolge und zahlreiche "Voice-over-IP"- und Messenger-Dienste die Kommunikationsinhalte mit einer Verschlüsselung versähen, würden den Ermittlungsbehörden oft nur noch verschlüsselte Daten geliefert. Deren Entschlüsselung sei entweder nicht möglich oder aber sehr langwierig und kostenintensiv. Eine effektive Strafverfolgung müsse sich diesen technischen Veränderungen stellen und ihre Ermittlungsmaßnahmen dem technischen Fortschritt anpassen (vgl. BTDrucks 18/12785, S. 48). Mit der Quellen-Telekommunikationsüberwachung und der Online-Durchsuchung sollten daher Überwachungstechniken in die Strafprozessordnung eingeführt werden, die zur Gefahrenabwehr bereits zulässig seien (vgl. BTAusschussdrucks 18<6>334, A). Mit beiden Maßnahmen könne auf die Kommunikation schon "an der Quelle", das heiße vor der Verschlüsselung beim Absender oder nach der Entschlüsselung beim Empfänger, durch eine verdeckt installierte Software Zugriff genommen werden (vgl. BTDrucks 18/12785, S. 48 f.). Mit einer Online-Durchsuchung könnten zudem auch alle auf einem IT-System gespeicherten Inhalte sowie das gesamte Nutzungsverhalten einer Person überwacht werden (vgl. BTDrucks 18/12785, S. 54). 5 2. § 100a Abs. 1 Sätze 2 und 3 und § 100b Abs. 1 StPO erlauben zum Zweck der Strafverfolgung eine heimliche Überwachung von IT-Systemen. 6
  1. a)Während die herkömmliche Telekommunikationsüberwachung (§ 100a Abs. 1 Satz 1 StPO) das heimliche Überwachen und Aufzeichnen von Telekommunikation insbesondere unter Einbezug derjenigen ermöglicht, die Telekommunikationsdienste erbringen oder daran mitwirken (aa), erfolgt mit der Quellen-Telekommunikationsüberwachung ein Zugriff auf das IT-System selbst. Dabei unterscheiden die beiden hier angegriffenen Befugnisse zur Quellen-Telekommunikationsüberwachung danach, ob über den Zugriff auf das IT-System laufende Telekommunikation (§ 100a Abs. 1 Satz 2 StPO) (
  2. bb)oder auf dem System gespeicherte, vormals laufende Telekommunikation (§ 100a Abs. 1 Satz 3 StPO) (
  3. cc)überwacht und aufgezeichnet werden soll. 7
  4. aa)§ 100a Abs. 1 Satz 1 StPO erlaubt die heimliche Überwachung und Aufzeichnung der Telekommunikation der Betroffenen, wenn bestimmte Tatsachen den Verdacht begründen, dass jemand als Täter oder Teilnehmer eine in § 100a Abs. 2 StPO genannte schwere Straftat begangen, zu begehen versucht oder durch eine Straftat vorbereitet hat (vgl. § 100a Abs. 1 Satz 1 Nr. 1 StPO). Die Tat muss auch im Einzelfall schwer wiegen und die Erforschung des Sachverhalts oder die Ermittlung des Aufenthaltsorts des Beschuldigten auf andere Weise wesentlich erschwert oder aussichtslos sein (§ 100a Abs. 1 Satz 1 Nummern 2 und 3 StPO). Nach § 100a Abs. 3 StPO darf sich die Anordnung einer Überwachung nur gegen Beschuldigte oder gegen Personen richten, von denen aufgrund bestimmter Tatsachen anzunehmen ist, dass sie für Beschuldigte bestimmte oder von diesen herrührende Mitteilungen entgegennehmen oder weitergeben (sog. Nachrichtenmittler) oder dass Beschuldigte ihren Anschluss oder ihr IT-System benutzen (sog. Anschluss- oder Endgeräteüberlasser). Nach § 100a Abs. 4 StPO ist jeder, der Telekommunikationsdienste erbringt oder daran mitwirkt, auf Anordnung verpflichtet, eine Überwachungsmaßnahme zu ermöglichen und die erforderlichen Auskünfte zu erteilen, also die überwachten Kommunikationsinhalte und -umstände an die Ermittlungsbehörden auszuleiten. 8 Beschränkungen hinsichtlich der Art der Telekommunikation enthält die Vorschrift nicht. In der Praxis leiten die verpflichteten Diensteanbieter nach den hier vorliegenden Stellungnahmen (vgl. Rn. 65,68,80) den gesamten Rohdatenstrom aus. Umfasst sind nicht nur Inhalte und Umstände der Telekommunikation zwischen Personen, sondern alle über das Internet transportierten Daten (vgl. zur Fernmeldeaufklärung des BND BVerfGE 154, 152 <181 Rn. 10> - BND - Ausland-Ausland-Fernmeldeaufklärung), wobei ein Großteil der Inhalte des Rohdatenstroms verschlüsselt und daher praktisch nicht lesbar ist (vgl. BVerfG, Beschluss des Ersten Senats vom 24. Juni 2025 - 1 BvR 2466/19 -, Rn. 8 - Trojaner I; vgl. die Stellungnahmen der Bundesregierung, unten Rn. 65, der Bayerischen Staatsregierung und der Landesregierung Schleswig-Holstein, unten Rn. 68, sowie des Generalbundesanwalts, unten Rn. 80). 9
  5. bb)Die Quellen-Telekommunikationsüberwachung nach § 100a Abs. 1 Satz 2 StPO ermächtigt unter den Voraussetzungen nach § 100a Abs. 1 Satz 1, Abs. 3 StPO zur Überwachung und Aufzeichnung der Telekommunikation auch in der Weise, dass mit technischen Mitteln in von Betroffenen genutzte IT-Systeme eingegriffen wird. Die Überwachung erfolgt mit dem Ziel, auch solche Inhalte einer Kommunikation zu erfassen, die bei einer bloßen Telekommunikationsüberwachung aufgrund ihrer Verschlüsselung nicht oder jedenfalls nicht mit praktisch vertretbarem Aufwand ausgewertet werden können. Der Zugriff darf in solchen Fällen vor der Verschlüsselung beim Sendegerät oder nach der Entschlüsselung beim Empfangsgerät erfolgen. Zu diesem Zweck darf die Polizei mit technischen Mitteln in das von der betroffenen Person genutzte IT-System eingreifen; erlaubt ist insbesondere der Einsatz einer Überwachungssoftware (sog. Trojaner; vgl. BTDrucks 18/12785, S. 48 f.). Ein Systemeingriff darf aber nur erfolgen, wenn durch technische Maßnahmen sichergestellt ist, dass ausschließlich die laufende Telekommunikation überwacht und aufgezeichnet wird (vgl. § 100a Abs. 5 Satz 1 Nr. 1 Buchstabe a StPO). Auch muss der Eingriff in das System gemäß § 100a Abs. 1 Satz 2 StPO notwendig sein, um die Überwachung und Aufzeichnung der Telekommunikation insbesondere auch in unverschlüsselter Form zu ermöglichen. Die Anordnung einer Quellen-Telekommunikationsüberwachung ist insoweit subsidiär (vgl. auch BTDrucks 18/12785, S. 51). 10 Nach § 100a Abs. 5 Satz 1 Nummern 2 und 3 StPO sind Veränderungen an dem IT-System auf das für die Datenerhebung Unerlässliche zu beschränken und nach Beendigung der Maßnahme, soweit technisch möglich, wieder automatisiert rückgängig zu machen. § 100a Abs. 6 StPO regelt die bei jedem Einsatz technischer Mittel geltenden Protokollierungspflichten. Damit sollen nach Vorstellung des Gesetzgebers die notwendigen Vorkehrungen geschaffen werden, um die nachträgliche Überprüfung einer durchgeführten Maßnahme zu gewährleisten. Dies soll einen effektiven Grundrechtsschutz der Betroffenen und die Gerichtsfestigkeit der erhobenen Beweise sicherstellen (vgl. BTDrucks 18/12785, S. 53). Insbesondere soll dadurch die Prüfung ermöglicht werden, ob eine Software verwendet wurde, die den Anforderungen des § 100a Abs. 5 Satz 1 Nr. 1 Buchstabe b StPO genügt (vgl. BTDrucks 18/12785, S. 52). Darüber hinaus besteht ein Prüfungsrecht des behördlichen Datenschutzbeauftragten sowie der Bundesdatenschutzbeauftragten im Rahmen ihrer gesetzlichen Kompetenzen (vgl. BTDrucks 18/12785, S. 52). 11 Nach der Begründung des Gesetzentwurfs darf der Zugriff auf ein IT-System in Form der Aufbringung einer Überwachungssoftware grundsätzlich nur auf technischem Wege oder mittels kriminalistischer List erfolgen; die Befugnis zur Quellen-Telekommunikationsüberwachung umfasse nicht das zu diesem Zweck heimliche Betreten der Wohnung (vgl. BTDrucks 18/12785, S. 52). 12 Eine Quellen-Telekommunikationsüberwachung nach § 100a Abs. 1 Satz 2 StPO erfasst - wenngleich in lesbarer Form - technisch und rechtlich die gleichen Daten wie eine "klassische" Telekommunikationsüberwachung (vgl. Rn. 8) und damit nach den hier vorliegenden Stellungnahmen der Äußerungsberechtigten und sachkundigen Dritten den gesamten ein- und ausgehenden Datenstrom des überwachten Endgeräts (vgl. Rn. 65, 68, 80). 13
  6. cc)Die Quellen-Telekommunikationsüberwachung nach § 100a Abs. 1 Satz 3 StPO ermächtigt unter den Voraussetzungen nach § 100a Abs. 1 Satz 1, Abs. 3 StPO dagegen zur Überwachung und Aufzeichnung der auf dem IT-System Betroffener gespeicherten Inhalte und Umstände der Kommunikation, und zwar ebenfalls in der Weise, dass mit technischen Mitteln in ein IT-System eingegriffen wird. Nach der Vorstellung des Gesetzgebers ergänzt § 100a Abs. 1 Satz 3 StPO eine Quellen-Telekommunikationsüberwachung nach § 100a Abs. 1 Satz 2 StPO insoweit, als auch auf solche Inhalte und Umstände einer Kommunikation zugegriffen werden darf, bei denen der Übertragungsvorgang bereits abgeschlossen ist und die auf dem IT-System der Betroffenen in einer Anwendung noch gespeichert sind (vgl. BTDrucks 18/12785, S. 51). Der staatliche Zugriff ist damit von einem unmittelbaren Übertragungsvorgang losgelöst, wobei aber nach § 100a Abs. 5 Satz 1 Nr. 1 Buchstabe b StPO sicherzustellen ist, dass ausschließlich Inhalte und Umstände einer Kommunikation überwacht werden können, die ab dem Zeitpunkt der richterlichen Anordnung auch während des laufenden Übertragungsvorgangs hätten überwacht werden können (vgl. auch BTDrucks 18/12785, S. 51 f.). Mit der auf gespeicherte Daten erweiterten Quellen-Telekommunikationsüberwachung will der Gesetzgeber den Ermittlungsbehörden ermöglichen, technische Schwierigkeiten bei der Vollziehung der Quellen-Telekommunikationsüberwachung nach § 100a Abs. 1 Satz 2 StPO auszugleichen, weil nach deren Anordnung ein gewisser Zeitraum bis zum Beginn der Überwachung verstreichen kann. Durch § 100a Abs. 1 Satz 3 StPO sollen also einzig Kommunikationsdaten, die bis zu diesem Zeitpunkt anfallen, ausgeleitet werden können (vgl. BTDrucks 18/12785, S. 51 f.; Hauck, in: Löwe-Rosenberg, StPO, 27. Aufl. 2019, § 100a Rn. 140, 142). 14 Eine Quellen-Telekommunikationsüberwachung nach § 100a Abs. 1 Satz 3 StPO erfasst daher ausschließlich Inhalte und Umstände einer Kommunikation, die nach Anordnung der Maßnahme angefallen und zum Zeitpunkt des Zugriffs noch gespeichert sind (vgl. auch Rn. 235). Flüchtige, nicht gespeicherte Kommunikationsinhalte etwa eines Telefongesprächs können nicht ausgeleitet werden (vgl. dazu Stellungnahme der GDD, Rn. 98). 15
  7. b)Die Online-Durchsuchung nach § 100b Abs. 1 StPO erlaubt es, in ein von Betroffenen genutztes IT-System einzugreifen und daraus Daten zu erheben, wenn bestimmte Tatsachen den Verdacht begründen, dass jemand als Täter oder Teilnehmer eine in § 100b Abs. 2 StPO genannte besonders schwere Straftat begangen oder zu begehen versucht hat (vgl. § 100b Abs. 1 Nr. 1 StPO). Dabei muss die Tat auch im Einzelfall besonders schwer wiegen und die Erforschung des Sachverhalts oder die Ermittlung des Aufenthaltsorts des Beschuldigten auf andere Weise wesentlich erschwert oder aussichtslos sein (vgl. § 100b Abs. 1 Nummern 2 und 3 StPO). Die Anordnung einer Online-Durchsuchung ist daher subsidiär; vor ihrer Durchführung ist etwa zu prüfen, ob nicht eine offene Durchsuchung und Beschlagnahme in Betracht kommen (vgl. BTDrucks 18/12785, S. 55). Nach § 100b Abs. 4 StPO gelten § 100a Absätze 5 und 6 StPO mit Ausnahme von § 100a Abs. 5 Satz 1 Nr. 1 StPO entsprechend (vgl. dazu Rn. 10). 16 Eine Online-Durchsuchung darf sich nach § 100b Abs. 3 StPO grundsätzlich nur gegen Beschuldigte richten. Ein Eingriff in IT-Systeme anderer Personen ist nur zulässig, wenn aufgrund bestimmter Tatsachen anzunehmen ist, dass Beschuldigte deren IT-Systeme benutzen und die Durchführung des Eingriffs in IT-Systeme der Beschuldigten allein nicht zur Erforschung des Sachverhalts oder zur Ermittlung des Aufenthaltsorts von Mitbeschuldigten führen wird. Die Maßnahme darf auch durchgeführt werden, wenn andere Personen unvermeidbar betroffen werden (vgl. § 100b Abs. 3 Satz 3 StPO). 17 Im Gegensatz zur Quellen-Telekommunikationsüberwachung ermöglicht die Online-Durchsuchung einen Zugriff auf das gesamte IT-System. Das Nutzungsverhalten einer Person einschließlich der Inhalte und Umstände laufender Kommunikation sowie alle dort gespeicherten Daten werden vollständig erfasst. Zentrales gesetzgeberisches Anliegen ist es, die Nutzung des Systems umfassend zu überwachen und seine Speichermedien auszulesen (vgl. BTDrucks 18/12785, S. 47, 54). 18
  8. c)Der Schutz des Kernbereichs privater Lebensgestaltung und der Schutz von Vertrauensverhältnissen, aus denen Zeugnisverweigerungsrechte folgen können, werden in verschiedenen Vorschriften geregelt. 19
  9. aa)§ 100d Absätze 1 bis 4 StPO enthalten Vorgaben zum Schutz des Kernbereichs privater Lebensgestaltung. Nach § 100d Abs. 1 StPO dürfen insbesondere Maßnahmen nach §§ 100a, 100b StPO nicht durchgeführt werden, sofern tatsächliche Anhaltspunkte vorliegen, dass hierdurch allein Erkenntnisse aus dem Kernbereich privater Lebensgestaltung erlangt werden. Nach der Begründung des Gesetzentwurfs kann ein solcher ausschließlicher Kernbereichsbezug vor allem angenommen werden, wenn Betroffene mit Personen in Kontakt treten, zu denen sie in einem besonderen, den Kernbereich betreffenden Vertrauensverhältnis stehen - wie engsten Familienangehörigen, Geistlichen, Telefonseelsorgenden, Strafverteidigerinnen und Strafverteidigern oder im Einzelfall auch Ärztinnen und Ärzten (vgl. BTDrucks 18/12785, S. 56). Soweit ein derartiges Vertrauensverhältnis für Ermittlungsbehörden erkennbar ist, dürfen Maßnahmen nicht durchgeführt werden. Allein der Umstand, dass eine Maßnahme auch Tatsachen mit erfassen kann, die den Kernbereich berühren, ist dagegen unbeachtlich. Werden Erkenntnisse aus dem Kernbereich erlangt, dürfen sie nicht verwertet werden; Aufzeichnungen sind unverzüglich zu löschen und sowohl deren Erlangung als auch die Löschung zu dokumentieren (vgl. § 100d Abs. 2 StPO). 20 Im Fall einer Online-Durchsuchung ist nach § 100d Abs. 3 StPO darüber hinaus schon auf der Erhebungsebene technisch sicherzustellen, dass Daten, die den Kernbereich privater Lebensgestaltung betreffen, nicht erhoben werden. Entsprechende Erkenntnisse, die dennoch erlangt werden, sind unverzüglich zu löschen oder dem anordnenden Gericht zur Entscheidung über die Verwertbarkeit und Löschung der Daten vorzulegen. 21
  10. bb)Der Schutz von Vertrauensverhältnissen, aus denen Zeugnisverweigerungsrechte folgen können (§§ 52 ff. StPO), ist an unterschiedlichen Stellen geregelt. 22 Für die Telekommunikations- und Quellen-Telekommunikationsüberwachung nach § 100a StPO sind die allgemeinen Vorschriften anwendbar. So leitet die Praxis aus § 148 StPO für die Kommunikation zwischen Beschuldigten und Verteidigern ein absolutes Erhebungsverbot ab. Gleichwohl erlangte Erkenntnisse dürfen nicht gegen Beschuldigte verwertet werden (vgl. etwa BGHSt 53, 257 <261 f. Rn. 13 f.>; Kämpfer/Travers, in: Münchener Kommentar zur StPO, 2. Aufl. 2023, § 148 Rn. 19, 26). Eine Verwertung in Strafverfahren gegen Verteidiger ist zwar denkbar, aber aufgrund des hiermit einhergehenden Eingriffs in die Berufsfreiheit anhand des Einzelfalls zu beurteilen (vgl. BVerfG, Beschluss der 2. Kammer des Zweiten Senats vom 20. Mai 2010 - 2 BvR 1413/09 -, Rn. 8 ff.). Daneben sieht § 160a StPO bei beruflich zeugnisverweigerungsberechtigten Personen und ihren Berufshelfern Erhebungs- sowie Verwertungsbeschränkungen vor, die nach der konkret in Rede stehenden Gruppe von Berufsgeheimnisträgern differenzieren. 23 Online-Durchsuchungen nach § 100b StPO werden ebenfalls durch §§ 148, 160a StPO begrenzt (vgl. Rückert, in: Münchener Kommentar zur StPO, 2. Aufl. 2023, § 100b Rn. 72 ff.). Darüber hinaus sieht § 100d Abs. 5 Satz 1 StPO vor, dass Maßnahmen in den Fällen eines gemäß § 53 StPO bestehenden Zeugnisverweigerungsrechts von beruflich Geheimnisverpflichteten unzulässig sind; eine Online-Durchsuchung darf sich daher etwa nicht gegen Verteidiger richten, sofern diese nicht selbst im Verdacht stehen, in die Tat oder ein Anschlussdelikt verstrickt zu sein (vgl. § 100d Abs. 5 Satz 3 i.V.m. § 160a Abs. 4 StPO). Gleichwohl erlangte Erkenntnisse aus der Kommunikation mit Berufsgeheimnisträgern unterliegen einem umfassenden Verwertungsverbot (vgl. § 100d Abs. 5 Satz 1 Halbsatz 2 i.V.m. § 100d Abs. 2 StPO). § 100d Abs. 5 Satz 2 StPO sieht schließlich in "den Fällen der §§ 52 und 53a" (Angehörige von Beschuldigten, Berufshelfern) ein relatives, abwägungsgebundenes Beweisverwertungsverbot vor. 24
  11. d)Maßnahmen nach § 100a StPO unterliegen nach § 100e Abs. 1 Satz 1 StPO einem Richtervorbehalt. Die Anordnung ist auf höchstens drei Monate zu befristen und darf um jeweils nicht mehr als drei Monate verlängert werden (vgl. § 100e Abs. 1 Sätze 4 und 5 StPO). Eine Online-Durchsuchung nach § 100b StPO darf nur von der in § 74a Abs. 4 GVG genannten Kammer des Landgerichts angeordnet werden und ist auf höchstens einen Monat zu befristen; eine Verlängerung ist um jeweils einen Monat zulässig, wobei nach einer Verlängerung auf insgesamt sechs Monate eine weitere Verlängerung nur durch das Oberlandesgericht angeordnet werden darf (vgl. § 100e Abs. 2 StPO). 25 3. Der Gesetzgeber hat die §§ 100a, 100b StPO seit August 2017 mehrfach geändert. Die Änderungen betreffen ausschließlich die Kataloge der Anlassstraftaten in § 100a Abs. 2 und § 100b Abs. 2 StPO. §§ 100d, 100e StPO sind unverändert geblieben. III. 26 Die Beschwerdeführenden wenden sich gegen die strafprozessualen Befugnisse zur Quellen-Telekommunikationsüberwachung und Online-Durchsuchung (§ 100a Abs. 1 Sätze 2 und 3, § 100b Abs. 1 StPO) einschließlich der sie flankierenden Regelungen in § 100a Absätze 3 bis 6, § 100b Absätze 2 bis 4 und § 100d Absätze 1 bis 3 und 5 StPO. Sie rügen eine Verletzung von Art. 1 Abs. 1, Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 (Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme), Art. 10 Abs. 1, Art. 13 Abs. 1 und Art. 19 Abs. 4 GG. 27 1. Die Beschwerdeführenden seien durch die angegriffenen Befugnisse selbst, gegenwärtig und unmittelbar betroffen. 28 Der Beschwerdeführer zu 1) sei unter anderem Rechtsanwalt, investigativer Journalist und Kuratoriumsmitglied der Internationalen Liga für Menschenrechte. In den Jahren 1970 bis 2008 sei er wegen unterstellter Kontakte zu "linksextremistischen" beziehungsweise "linksextremistisch beeinflussten" Personen und Gruppierungen durch das Bundesamt für Verfassungsschutz wegen behaupteter verfassungsfeindlicher Bestrebungen heimlich beobachtet worden. Als Rechtsanwalt und Journalist stehe er in Kontakt zu potentiellen Zielpersonen einer Überwachung nach § 100a Abs. 1 Sätze 2 und 3, § 100b Abs. 1 StPO. 29 Der Beschwerdeführer zu 2) kommuniziere als Rechtsanwalt und Strafverteidiger täglich mit Personen, denen schwere und schwerste Straftaten vorgeworfen würden, sowie mit deren Familienangehörigen. Verfahrensrelevante Daten übermittele und speichere er auf den von ihm (und seinen Berufshelfern) genutzten informationstechnischen Geräten, die er auch für private Belange nutze. 30 Der Beschwerdeführer zu 3) trete unter seinem Künstlernamen "(…)" auf. Sein Anliegen sei es, Menschen digital zu "ermündigen". Seit vielen Jahren betreibe er zudem mit der Beschwerdeführerin zu 5) einen Tor-Server, der es seinen Nutzern ermögliche, im Internet anonym zu bleiben. Dies nutzten auch Kriminelle aus. In Zusammenhang mit beiden Tätigkeiten sei er bereits mehrfach auch schwerster Straftaten beschuldigt und Hausdurchsuchungen unterworfen worden. 31 Der Beschwerdeführer zu 4) sei unter anderem Rechtsanwalt, Strafverteidiger, Honorarprofessor, Autor und Herausgeber. Als Bürgerrechtler und beruflich habe er mit Personen zu tun, gegen die sich Maßnahmen nach § 100a Abs. 1 Sätze 2 und 3, § 100b Abs. 1 StPO richten könnten. 32 Die Beschwerdeführerin zu 5) sei Mitglied im Vorstand des (…) e.V. In dieser Funktion recherchiere und erhalte sie vertrauliche Informationen aus Behörden, zivilgesellschaftlichen Organisationen und Unternehmen. Mitunter bewegten sich ihre Informanten im Bereich der in § 100a Abs. 2 und § 100b Abs. 2 StPO genannten Straftaten. Darüber hinaus betreibe sie gemeinsam mit dem Beschwerdeführer zu 3) einen Tor-Server. Die hinterlegte IP-Adresse führe daher technikbedingt auch zu ihr als Zugangsvermittlerin, sodass kriminelles Verhalten der Servernutzenden bisweilen, wie in der Vergangenheit schon geschehen, ihr zugeschrieben werde. 33 Die Beschwerdeführenden befürchten, aufgrund dieser Umstände unmittelbar oder mittelbar in unterschiedlich geltend gemachtem Umfang staatlich überwacht werden zu können. Alle Beschwerdeführenden nutzten IT-Systeme und kommunizierten über diese teilweise verschlüsselt. Die Nutzung erfolge auch und gerade im privaten Bereich. Sie recherchierten Informationen zu unterschiedlichen privaten Themen im Internet und tauschten sich anonym in Internetforen aus. Alle Beschwerdeführenden nutzten Smartphones mit Kameras, GPS-Funktionen und eingebautem Mikrofon. Bei Bedarf und Vertrauen überließen sie IT-Systeme auch Dritten zur Mitnutzung. Die Beschwerdeführenden selbst nutzten auch IT-Systeme Dritter. 34 2. Die angegriffenen Vorschriften verletzten ihre Grundrechte. 35
  12. a)§ 100a Abs. 1 Sätze 2 und 3, § 100b Abs. 1 StPO verstießen gegen Art. 1 Abs. 1 GG. Die Befugnisnormen ermöglichten einen heimlichen Zugriff auf Informationen, die der unantastbaren Intimsphäre Betroffener zuzuordnen seien. Denn die überwachten IT-Systeme seien nicht nur Arbeitsgeräte, sondern spiegelten mit Blick auf Art und Umfang der - auch unbewusst und automatisiert - verarbeiteten Daten den höchstpersönlichen Bereich eines Menschen wider. Die Befugnisnormen ermöglichten, die Gedankenwelt Betroffener auszulesen und die Tiefen ihrer Persönlichkeit auszuforschen. Dadurch könnten allumfassende Persönlichkeitsbilder - unter Einschluss der den Betroffenen selbst nicht bewussten persönlichkeitsprägenden Merkmale - gezeichnet werden. Mit der Überwachung von IT-Systemen werde daher denknotwendigerweise der Kernbereich privater Lebensgestaltung zum Ziel staatlicher Ermittlungen gemacht, was absolut ausgeschlossen sei. 36
  13. b)Sowohl die Quellen-Telekommunikationsüberwachung nach § 100a Abs. 1 Sätze 2 und 3 StPO (
  14. aa)als auch die Online-Durchsuchung nach § 100b Abs. 1 StPO (
  15. bb)verstießen gegen das aus dem allgemeinen Persönlichkeitsrecht nach Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG abgeleitete Grundrecht auf Gewährleistung der Integrität und Vertraulichkeit informationstechnischer Systeme (im Folgenden: IT-System-Grundrecht) sowie - in Bezug auf § 100a Abs. 1 Sätze 2 und 3 StPO jedenfalls hilfsweise - gegen das durch Art. 10 Abs. 1 GG geschützte Fernmeldegeheimnis. Alle Befugnisnormen seien zudem mit der Schutzdimension des IT-System-Grundrechts nicht zu vereinbaren (cc). 37
  16. aa)§ 100a Abs. 1 Sätze 2 und 3 StPO seien am IT-System-Grundrecht, hilfsweise jedenfalls am Fernmeldegeheimnis zu messen. 38
(1)§ 100a Abs. 1 Satz 2 StPO greife in das IT-System-Grundrecht ein, denn es könne technisch nicht ausgeschlossen werden, dass neben der laufenden Kommunikation auch weitere persönlichkeitsrelevante Informationen erhoben würden. Die Regelung sei daher widersprüchlich und verfassungswidrig, da ausgeschlossen sei, dass die technische Beschränkung auf die Überwachung laufender Kommunikation in absehbarer Zukunft geschaffen werden könne (unter Verweis auf BVerfGE 141, 220 <311 Rn. 234>). 39 Nach § 100a Abs. 1 Satz 3 StPO dürfe nicht nur auf laufende, sondern auch auf dort gespeicherte "ruhende" Kommunikation zugegriffen werden. Die Grenze zwischen Art. 10 Abs. 1 GG und dem IT-System-Grundrecht werde mit dieser Befugnis zur heimlichen "retrograden" Erhebung gespeicherter Kommunikation überschritten. 40
(2)Diese Grundrechtseingriffe seien unverhältnismäßig und damit nicht gerechtfertigt. Eine Quellen-Telekommunikationsüberwachung sei bereits nicht zur Aufklärung von Straftaten geeignet, denn die erhobenen Daten hätten wegen ihrer möglichen Manipulation keinen Beweiswert. Insbesondere die Überwachung nach § 100a Abs. 1 Satz 3 StPO sei auch nicht erforderlich. Denn mit der (offenen) Durchsuchung und Beschlagnahme lägen mildere und besser geeignete Mittel vor. Die Regelungen seien auch nicht angemessen. 41 (
  1. a)Der Gesetzgeber habe nicht sichergestellt, dass die Angemessenheit der Maßnahme auch im Einzelfall geprüft werde. Der mit der Quellen-Telekommunikationsüberwachung einhergehende "massive" Eingriff in ein IT-System müsse in einem angemessenen Verhältnis zur Bedeutung der Sache stehen. 42 (
  2. b)Da die nach § 100a Abs. 1 Sätze 2 und 3 StPO eröffnete Quellen-Telekommunikationsüberwachung im Hinblick auf ihre Eingriffsintensität mit einer Online-Durchsuchung vergleichbar sei, gälten auch die gleichen strengen Anforderungen an ihre verfassungsrechtliche Rechtfertigung (dazu Rn. 49 ff.). Die Quellen-Telekommunikationsüberwachung umfasse nämlich alle Informationen, die willensgesteuert von einer Person über das Internet abgerufen und übermittelt würden, und demgemäß vor allem eine vollständige Überwachung der Internetnutzung. Zu bedenken sei auch die Gepflogenheit, den gesamten Inhalt eines IT-Systems regelmäßig zwischen mehreren Endgeräten oder der Cloud zu synchronisieren. Jeder Zugriff auf diese "ausgelagerten Festplatten" stelle Telekommunikation dar, die durch eine Quellen-Telekommunikationsüberwachung erfasst werden könne. Auch könnten alle Inhalte ausgeleitet werden, die über Cloud-Dienste transferiert würden. Selbst in kurzen Überwachungszeiträumen könnten dadurch Daten in einem Umfang und einer Vielfalt erhoben werden, die die Erstellung eines umfassenden Persönlichkeitsprofils ermöglichten. Es verbleibe daher ein allenfalls marginaler Unterschied zu einem "Vollzugriff" nach § 100b Abs. 1 StPO, weil Systeminhalte durch einen regelmäßigen Transfer über das Internet zu Telekommunikation würden (etwa regelmäßige Synchronisierungen zwischen Endgeräten, Zugriffe auf Daten in der Cloud oder Backups). 43 Angesichts dieser hohen Eingriffsintensität werde die Quellen-Telekommunikationsüberwachung den verfassungsrechtlichen Anforderungen nicht gerecht, weil als Eingriffsanlass lediglich der einfache Tatverdacht für eine der vielfältigen Anlasstaten nach § 100a Abs. 2 StPO vorausgesetzt werde, die nicht einmal die Qualität der in § 100b Abs. 2 StPO genannten Anlassstraftaten erreichen müssten. Die in dem Katalog nach § 100a Abs. 2 StPO genannten Taten knüpften vielfach nicht an überragend wichtige Rechtsgüter an (näher Rn. 49). 44 (
  3. c)Auch die verfahrensrechtlichen Absicherungen seien unzureichend. Es fehlten Vorgaben, wie die Einhaltung der technisch erforderlichen Beschränkungen der Quellen-Telekommunikationsüberwachung nach § 100a Abs. 5 StPO sichergestellt werden solle. Unklar sei, ob und wer dies überwache. Dem anordnenden Gericht werde dies nicht möglich sein. Erforderlich sei eine unabhängige Stelle, die die jeweilige Software überprüfe. Hierfür müsse auch zwingend vorgesehen werden, dass der überprüfenden Stelle alle dazu erforderlichen Unterlagen einschließlich des jeweiligen Quellcodes vorgelegt würden. 45 (
  4. d)Im Übrigen griffen die gegenüber § 100b StPO erhobenen Rügen (dazu im Folgenden) auch hinsichtlich § 100a Abs. 1 Sätze 2 und 3 StPO durch. 46
  5. bb)§ 100b Abs. 1 StPO verletze nicht nur das IT-System-Grundrecht, sondern auch Art. 10 Abs. 1 GG, denn eine Online-Durchsuchung impliziere stets auch eine Telekommunikationsüberwachung. Die Regelung sei unter anderem unverhältnismäßig, insbesondere unangemessen. 47
(1)§ 100b StPO sei zur Aufklärung von Straftaten bereits ungeeignet. Die gewonnenen Informationen hätten keinen Beweiswert, denn Ermittlungsbehörden hätten nach einer Infiltration gegebenenfalls monatelang Zugriff auf das gesamte IT-System, das bewusst oder unbewusst manipuliert werden könnte. Gerichtsfeste Beweise könnten daher nicht erhoben werden. Eine Datenerhebung im Wege der Online-Durchsuchung sei auch nicht erforderlich, da jedenfalls für repressive Zwecke die offene Beschlagnahme des IT-Systems regelmäßig gleich wirksam, aber grundrechtsschonender sei. Mit der Durchsuchung nach §§ 102 ff. StPO und der anschließenden Beschlagnahme sowie Auswertung eines IT-Systems nach §§ 94 ff. StPO könne auf denselben Datenbestand wie bei einer heimlichen Online-Durchsuchung zugegriffen werden. 48
(2)Die Befugnis nach § 100b Abs. 1 StPO sei angesichts der gestiegenen Bedeutung von IT-Systemen in der modernen Gesellschaft auch unangemessen. 49 (
  1. a)Der Katalog von Anlassstraftaten in § 100b Abs. 2 StPO sei verfassungsrechtlich unzureichend. Es müsse ein Gleichlauf mit den Anforderungen an eine präventive Online-Durchsuchung bestehen, weshalb die Anlassstraftaten von einem Gewicht sein müssten, das mit den Anforderungen an die zu schützenden "überragend wichtigen Rechtsgüter" korreliere. Viele der in § 100b Abs. 2 StPO geregelten Straftatbestände knüpften indes nicht an überragend wichtige Rechtsgüter an, weshalb eine präventive Online-Durchsuchung zu deren Verhinderung unzulässig wäre. 50 (
  2. b)Auch die Eingriffsschwelle genüge nicht den Vorgaben des Bundesverfassungsgerichts zur präventiven Online-Durchsuchung, denn § 100b StPO setze nur einen qualifizierten Anfangsverdacht voraus. Dies bedeute de facto nicht mehr als einen bloßen Anfangsverdacht. Von Verfassungs wegen erforderlich sei aber ein Verdacht, der einem "hinreichenden" Tatverdacht "angenähert" sei beziehungsweise ein "hinreichend schwerer Tatverdacht". Denn wie im präventiven Bereich gehe es um die strukturell vergleichbare, wenn nicht sogar identische Prognose einer hinreichenden Wahrscheinlichkeit, die bei einer präventiven Maßnahme zukunftsgerichtet und bei einer Maßnahme der Strafverfolgung vergangenheitsbezogen sei. Es bedürfe jeweils in der Gegenwart festgestellter Tatsachen, die die Prognose tragen müssten. 51 Die Defizite des nur einfachen Tatverdachts würden verschärft, soweit § 100b Abs. 2 StPO - namentlich im Bereich der Terrorismusbekämpfung - auch an Straftaten anknüpfe, die weit im Vorfeld konkreter Rechtsgutsverletzungen ansetzten. Damit werde im Ergebnis Gefahrenabwehr betrieben. Prognoseschwierigkeiten seien virulent und führten zu starken Spekulationen. Insofern würden die Grenzen zwischen Gefahrenabwehr und Strafverfolgung verwischt. 52 (
  3. c)Hinzu komme, dass § 100b StPO den Zugriff auf IT-Systeme insbesondere "anderer Personen" nicht von einer auf Tatsachen basierenden Erfolgsprognose abhängig mache. Es könnten vielmehr alle IT-Systeme überwacht werden, die Beschuldigte nutzten, ohne dass die Ermittlungsbehörden Anhaltspunkte dafür haben müssten, dass dort auch verfahrensgegenständliche Informationen gespeichert oder generiert würden. Dies sei nicht nur unverhältnismäßig, sondern missachte zudem, dass eine Online-Durchsuchung gegenüber nicht selbst beschuldigten Dritten nur subsidiär und unter strengen Voraussetzungen möglich sein dürfe. Ein Zugriff auf IT-Systeme anderer Personen setze nach § 100b Abs. 3 Satz 2 Nr. 2 StPO aber lediglich voraus, dass ein Zugriff auf das IT-System des Beschuldigten allein nicht zur Erforschung des Sachverhalts oder zur Ermittlung des Aufenthaltsortes eines Mitbeschuldigten führen werde. Dies genüge nicht. Erforderlich sei vielmehr, dass aufgrund bestimmter Tatsachen anzunehmen sei, dass nur so Daten erhoben werden könnten, die für die Erforschung des Sachverhalts von maßgeblicher Bedeutung seien. 53 (
  4. d)Die allgemeine in § 100b Abs. 1 Nr. 3 StPO vorgesehene Subsidiaritätsklausel vertiefe die Unangemessenheit. Sie belege, dass der Gesetzgeber die Eingriffsintensität einer Online-Durchsuchung fehleingeschätzt habe. Diese stehe einer Wohnraumüberwachung nicht nach und sei deutlich grundrechtsbelastender als eine Telekommunikationsüberwachung, sodass der Gesetzgeber - auch im Vergleich mit § 100a Abs. 1 Satz 1 Nr. 3 StPO - jedenfalls die in § 100c Abs. 1 Nr. 4 StPO enthaltene Ultima-Ratio-Klausel in § 100b StPO hätte integrieren müssen. Hinzu komme, dass das inhaltliche Prüfprogramm der Subsidiaritätsklausel unpräzise sei. 54 (
  5. e)Der Gesetzgeber habe auch die Belastungswirkung additiver Grundrechtseingriffe verkannt. Die durch die Strafprozessordnung eröffneten heimlichen Überwachungsmaßnahmen begründeten die Gefahr einer "Totalüberwachung". Diese könne auch nicht auf Rechtsanwendungsebene verhindert werden. Denn dafür müsste das anordnende Gericht Kenntnis von allen repressiven und präventiven Maßnahmen haben, die gegen Betroffene vollzogen würden. Dies sei nicht gewährleistet. 55 (
  6. f)Die gesetzliche Möglichkeit der Anordnung einer Dauerüberwachung impliziere eine menschenunwürdige Totalüberwachung und sei unverhältnismäßig. Zwar sei die Anordnungsdauer in § 100e Abs. 2 Satz 4 StPO auf einen Monat begrenzt. Anordnungen könnten aber durch die Kammer des Landgerichts bis zu einer Gesamtdauer von sechs Monaten und darüber hinaus durch das Oberlandesgericht theoretisch unbegrenzt verlängert werden. Es fehle eine absolute Höchstdauer. 56
(3)Der Kernbereichsschutz sei verfassungsrechtlich unzureichend ausgestaltet. Auf Erhebungsebene bestehe faktisch kein Schutz, obwohl bei einer Online-Durchsuchung kernbereichsrelevante Inhalte nicht nur am Rande, sondern typischerweise erfasst würden. § 100d Abs. 1 StPO laufe leer, da er voraussetze, dass allein Erkenntnisse aus dem Kernbereich erlangt würden, was kaum denkbar sei. Eine Online-Durchsuchung dürfe vielmehr nur angeordnet werden, wenn aufgrund tatsächlicher Anhaltspunkte anzunehmen sei, dass kernbereichsrelevante Daten in nur unerheblichem Umfang erhoben würden. Bei privat genutzten Smartphones sei eine Online-Durchsuchung damit regelmäßig ausgeschlossen. Auch § 100d Abs. 3 Satz 1 StPO, nach dem technisch - soweit möglich - sicherzustellen sei, dass kernbereichsrelevante Daten nicht erhoben würden, laufe leer, weil dies bislang technisch gerade nicht möglich sei. In Bezug auf die eingesetzten technischen Sicherungen fehlten Dokumentations- und Kontrollpflichten. Auch hätte es einer Regelung wie in § 100d Abs. 4 StPO bedurft, wonach eine Überwachung, die in Echtzeit durchgeführt werde, unterbrochen werden müsse und eine Fortführung einer Entscheidung durch ein Gericht bedürfe. Die Regelungen auf der Verwertungsebene enthielten keine Vorgaben für den Fall, dass wider Erwarten in nicht nur unerheblichem Umfang höchstpersönliche Informationen erfasst würden. 57
(4)Auch der Schutz von Berufsgeheimnisträgern sei unzureichend. § 100d Abs. 5 StPO gewähre in verfassungswidriger Weise keinen absoluten Schutz für deren Berufshelfer. Die Regelung enthalte lediglich ein absolutes Beweiserhebungsverbot in Bezug auf die Berufsgeheimnisträger selbst. Für die ebenso schutzwürdige Kommunikation der Berufshelfer im Sinne des § 53a StPO werde in § 100d Abs. 5 Satz 2 StPO lediglich ein relatives Beweisverwertungsverbot normiert. 58
(5)Da eine Online-Durchsuchung nach § 100b Abs. 1 StPO zugleich zu einem Eingriff in Art. 10 Abs. 1 GG ermächtige, dieses Grundrecht aber in dem Gesetz, mit dem § 100b StPO eingeführt wurde, nicht genannt worden sei, sei die Regelung wegen Verstoßes gegen das Zitiergebot nach Art. 19 Abs. 1 Satz 2 GG verfassungswidrig. 59
  1. cc)§ 100a Abs. 1 Sätze 2 und 3 sowie § 100b Abs. 1 StPO verletzten das IT-System-Grundrecht auch im Hinblick auf seine Schutzdimension, da sie pauschal einen Eingriff in IT-Systeme gestatteten, ohne die technischen Wege der Infiltration zu begrenzen. Durch Schaffung der Regelungen habe der Gesetzgeber vielmehr Anreize gesetzt, IT-Sicherheitslücken auszunutzen anstatt sie zu schließen. Dadurch werde die IT-Sicherheit gefährdet, obwohl der Gesetzgeber gehalten sei, diese zu gewährleisten. 60
  2. c)Die Online-Durchsuchung nach § 100b StPO verletze darüber hinaus die durch Art. 13 Abs. 1 GG geschützte Unverletzlichkeit der Wohnung. Schon das passive Abhören der Wohnung einer Zielperson unter Nutzung des infiltrierten IT-Systems stelle einen Eingriff dar, der mangels Beachtung des Zitiergebots verfassungswidrig sei. Darüber hinaus sei aber auch das aktive Ansteuern von Peripheriegeräten technisch möglich. Nach der Gesetzentwurfsbegründung solle die Online-Durchsuchung gerade dazu dienen, das "gesamte Nutzungsverhalten einer Person" zu überwachen. Das insoweit ermöglichte optische Überwachen des Wohnraums sei aber nach Art. 13 Abs. 3 GG ausgeschlossen. 61
  3. d)Der Gesetzgeber habe auch Art. 19 Abs. 4 GG missachtet. Die Rechtsweggarantie sei aufgrund unzureichender Sicherungsmechanismen - vor allem in § 100a Absätze 5 und 6 StPO - verletzt. Es sei für Betroffene de facto nicht nachprüfbar, ob hier in Rede stehende Beweiserhebungen rechtskonform durchgeführt worden seien. Es bestehe ab dem Zeitpunkt der Infiltration eine erhöhte Gefahr der Manipulation durch Dritte. Die Vorgaben in § 100a Absätze 5 und 6 StPO seien praktisch wertlos. Es sei nicht explizit vorgesehen, dass durch eine unabhängige Stelle überprüft werde, dass die Software gesetzeskonform ausgearbeitet sei. Eine solche Überprüfung könne auch aufgrund der fehlenden Bekanntgabe des Quellcodes nicht erfolgen. Insofern sei die Authentizität vorgelegter Beweise nicht nachprüfbar. IV. 62 Von der im Verfassungsbeschwerdeverfahren eingeräumten Möglichkeit zur Stellungnahme haben der Bundesgerichtshof, der (damalige) Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, der Generalbundesanwalt beim Bundesgerichtshof, der Bund Deutscher Kriminalbeamter e.V., der Chaos Computer Club e.V., die Deutsche Polizeigewerkschaft im DBB, der Deutsche Anwaltverein e.V., der Deutsche Journalisten-Verband e.V., der Deutsche Richterbund e.V.,die Gesellschaft für Freiheitsrechte e.V. und die Gewerkschaft der Polizei Gebrauch gemacht. 63 Den ergänzend übersandten Fragenkatalog zur Nutzung von Cloud-Services, zur Bedeutung von Erkenntnissen aus Maßnahmen nach § 100a Abs. 1 StPO für die Strafverfolgung und zu praktischen Erfahrungswerten bei der Durchführung einer Quellen-Telekommunikationsüberwachung haben die Bundesregierung, mehrere Landesregierungen, die Datenschutzaufsichtsbehörden des Bundes und der Länder, der Generalbundesanwalt, das Statistische Bundesamt, der Chaos Computer Club, die Gesellschaft für Datenschutz und Datensicherheit e.V. und die Gesellschaft für Freiheitsrechte beantwortet. 64 1. Die Äußerungsberechtigten nach § 94 Abs. 4 in Verbindung mit § 77 Nr. 1 BVerfGG, die zu der Verfassungsbeschwerde und den ergänzend gestellten Fragen Stellung genommen haben, haben sich wie folgt geäußert: 65
  4. a)Die Bundesregierung teilt zu den Fragen des Senats mit, dass bei der Telekommunikationsüberwachung eine Ausleitung aller Inhalte und Umstände laufender Kommunikation erfolge, die über die Verbindung vom Endgerät zum Telekommunikationsanbieter laufe. Das betreffe auch sämtliche Internetkommunikation inklusive des Aufrufens von Webseiten und der Cloud-Kommunikation. Es gelte das Prinzip der vollständigen Überwachungskopie. In der Regel sei der gesamte Internetverkehr standardmäßig verschlüsselt. Die mit einer Telekommunikationsüberwachung erlangten Daten seien daher in der Regel nicht les- oder auswertbar. 66 Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik sei die Bandbreite an Cloud-Diensten sehr groß und umfasse quasi jeden Bereich der Nutzung von Informationstechnologie. Privatpersonen nutzten Cloud-Services direkt oder indirekt in verschiedensten Kontexten. Dabei arbeiteten Cloud-Services oft im Hintergrund und ermöglichten die Nutzung der eigentlichen Software-Anwendung oder des Produkts. Hierzu zählten unter anderem die Nutzung von Cloud-Services, die standardmäßig durch die Betriebssysteme mobiler Endgeräte wie Smartphones oder Tablets genutzt oder zur Verfügung gestellt würden (etwa Android, iOS), und Cloud-Services, die zur Nutzung von Internet-of-Things-Geräten benötigt würden (z.B. Smarthome-Anwendungen, digitale Sprachassistenten und smarte Haushaltsgeräte), aber auch vernetzte Fahrzeuge, Datenaustauschdienste wie Dropbox, Google Drive und Bild- und Textverarbeitungsprogramme sowie Messenger-Dienste und Videokonferenzlösungen. Unternehmen nutzten die genannten Cloud-Services in noch breiterer Varietät, etwa als Datenbanken oder für Management-Anwendungen. Konkrete Daten zur Nutzung könne man verschiedenen Umfragen entnehmen. Nach den Erhebungen des Bitkom e.V. und des KPMG Cloud-Monitor nutze ein großer Teil der Unternehmen Cloud-Services. Eine Studie der Convios Consulting GmbH im Auftrag von web.de und GMX gehe davon aus, dass 62 % der Privatinternetnutzenden Cloud-Speicher nutzten. Insgesamt habe sich die Nutzung von Cloud-Services in den letzten zehn Jahren stark erhöht, was mit einer Verdoppelung der Smartphone-Nutzenden von 41 % im Jahr 2013 auf 82,2 % im Jahr 2023 einhergehe. Der Datenaustausch mit Cloud-Diensten erfolge in der Regel verschlüsselt. Die Zeitabstände für Backups hingen vom Service und der Art der Daten ab. Den am häufigsten genutzten Diensten sei eine Echtzeit-Aktualisierung und ein kontinuierlicher Upload gemeinsam, um Änderungen sofort zu erfassen. 67 Die Bundesregierung teilt mit, dass im Jahr 2022 deutschlandweit in 94 Fällen Quellen-Telekommunikationsüberwachungen nach § 100a Abs. 1 Sätze 2 und 3 StPO angeordnet und in 49 Fällen durchgeführt worden seien. Die Maßnahmen beträfen grundsätzlich das gesamte Spektrum des Katalogs von § 100a Abs. 2 StPO. Für Maßnahmen des Bundeskriminalamts lägen in einem Großteil der Fälle mehrere Tage bis Wochen zwischen Anordnung und tatsächlicher Umsetzung einer Maßnahme. 68
  5. b)Nach Angaben der Bayerischen Staatsregierung werden bei einer Telekommunikationsüberwachung nach § 100a Abs. 1 Satz 1 StPO alle Daten, die bei der Kommunikation über einen überwachten Telekommunikationsanschluss anfallen, technisch ausgeleitet. Dabei sei auch die Kommunikation mit einem Cloud-Service oder mit Software-as-a-Service erfasst. Im Falle einer verschlüsselten Datenübermittlung könnten grundsätzlich keine Inhalte textlich gelesen oder ausgewertet werden. Gleiches teilen auch die Sächsische Staatsregierung und die Landesregierung Schleswig-Holstein mit. Letztere gibt weiter an, bei einer Telekommunikationsüberwachung gebe es keine Filterung der ausgeleiteten Daten, sodass auch der Austausch mit einem Cloud-Service über ein Mobilfunknetz umfasst sei. Es werde nur noch ein sehr geringer Anteil im Internetdatenstrom unverschlüsselt übertragen. Die Landesregierung Rheinland-Pfalz gibt an, dass die Telekommunikationsunternehmen eine Überwachungskopie des gesamten am überwachten Anschluss ein- und ausgehenden Datenstroms ausleiteten, darunter auch "Sprach- und Internetdaten". 69 Die Bayerische Staatsregierung teilt weiter mit, in der Praxis sei bei der Datenübertragung mit Cloud-Services die Transportverschlüsselung Standard. Die Ende-zu-Ende-Verschlüsselung werde weniger genutzt. Die Einstellung von System-Backups in die Cloud sowie deren Häufigkeit variierten nach individuellen Bedürfnissen und der genutzten Software. Auch die Landesregierung Schleswig-Holstein betont, dass der Datenaustausch zwischen einem Cloud-Service und dem Endgerät grundsätzlich verschlüsselt erfolge, sodass übermittelte Inhalte nicht lesbar seien. Die Regierung des Saarlandes berichtet, aus der Ermittlungsarbeit der Staatsanwaltschaften ergebe sich, dass die gängigen Mobiltelefone eine Verbindung zu Cloud-Speichern vorinstalliert hätten und daher alle Nutzenden eines solchen Smartphones über einen entsprechenden Speicher verfügten - teilweise ohne sich dessen bewusst zu sein. Es sei daher von einer privaten Nutzung von Cloud-Speichern bei mehr als 90 % der Bevölkerung auszugehen. Nach den Ermittlungen der Staatsanwaltschaften in Ransomware-Verfahren, in denen Unternehmen ihre IT-Infrastruktur offenlegten, nutzten auch Unternehmen Cloud-Speicher im großen Stil. Neben einer Nutzung von Speicherdiensten für E-Mails und zur Speicherung von Dateien würden Unternehmen die Cloud für Office-Anwendungen, den Einsatz weiterer Software und Datenbanken gebrauchen. Auch im kriminellen Milieu sei die Nutzung von Cloud-Speicherdiensten angestiegen, weil die Dienste der Identitätsverschleierung dienten und ganzen Tätergruppen Zugriff auf bestimmte Daten ermöglichten. 70 Nach Angaben der Bayerischen Staatsregierung besteht auch bei verschlüsselten Daten die Möglichkeit einer Klassifizierung der jeweiligen Anwendung aus dem Datenstrom. So könnten der genutzte Dienst oder die entsprechende Software identifiziert werden. Denn der Datenstrom enthalte nicht nur verschlüsselte Daten, die nicht gelesen oder ausgewertet werden könnten, sondern auch Rand-, Verkehrs- und Metadaten, aus denen sich weitere Hinweise zur Telekommunikation ergeben könnten. Auch nach Auffassung der Niedersächsischen Landesregierung bieten Maßnahmen der Telekommunikationsüberwachung trotz weitreichender Inhaltsverschlüsselung noch immer Ermittlungsansätze hinsichtlich Metadaten oder der Feststellung von Kommunikationsbeziehungen als solchen. 71 Die Landesregierung Baden-Württemberg merkt an, dass der Telekommunikationsüberwachung bei der Verfolgung und Aufklärung schwerer Straftaten in vielen Deliktsfeldern herausragende Bedeutung zukomme. Die Quellen-Telekommunikationsüberwachung sei in Anbetracht zunehmend verschlüsselter Kommunikation für die Strafverfolgung unverzichtbar. In Fällen schwerer und schwerster Kriminalität, unter anderem Organisierter Kriminalität, würden die Behörden nur durch sie in die Lage versetzt, der (früheren) klassischen Telekommunikationsüberwachung entsprechende Erkenntnisse zu erhalten. Nach Angaben der Bayerischen Staatsregierung kommt der Überwachung der Telekommunikation im Bereich der Kapitaldelikte, Eigentumsdelikte und bei schweren Betäubungsmitteldelikten in der Praxis eine besondere Bedeutung zu. Die Landesregierung Rheinland-Pfalz gibt an, dass Maßnahmen der Telekommunikationsüberwachung am häufigsten im Bereich von Betäubungsmitteldelikten genutzt würden. Weitere Anlassdelikte seien regelmäßig Betrugsdelikte, Kapitaldelikte und Straftaten gegen die öffentliche Ordnung. Aufgrund der hohen technischen und taktischen Anforderungen werde eine Quellen-Telekommunikationsüberwachung überwiegend erst bei Straftaten mit erheblicher Schwere, zum Beispiel bei Kapitaldelikten, beziehungsweise bei besonders konspirativem Täterverhalten eingesetzt. Die Niedersächsische Landesregierung weist darauf hin, dass bei Straftaten, die über das Internet begangen würden, im Regelfall außer der Telekommunikationsüberwachung keine anderen Beweismittel zur Verfügung stünden. Die Quellen-Telekommunikationsüberwachung könne insbesondere für technisch anspruchsvollere Serverüberwachungen im Bereich Cybercrime genutzt werden. Nach Angaben der Landesregierung Schleswig-Holstein seien in den letzten fünf Jahren fast die Hälfte aller Maßnahmen der Telekommunikationsüberwachung im Deliktsbereich der Betäubungsmittelkriminalität erfolgt. Danach folgten Betrug, Bandendiebstahl/Wohnungseinbruchsdiebstahl und Kapitaldelikte sowie in 7,5 % der Fälle die Gefahrenabwehr. Amtshilfe des Bundeskriminalamts für die Quellen-Telekommunikationsüberwachung sei nur bei bestimmten Deliktsfeldern (Staatsschutz, Organisierte Kriminalität, Betäubungsmittelkriminalität) in Anspruch genommen worden. Für das Amtshilfeersuchen sei in der Regel eine mehrwöchige Vorbereitungszeit erforderlich, da die Ausleitungssoftware an die Hard- und Software des Zielgeräts angepasst werden müsse. Der Gerichtsbeschluss werde in der Regel erst nach Umsetzungsreife der Maßnahme beantragt. 72 Der Senat der Freien und Hansestadt Hamburg teilt mit, Maßnahmen nach § 100a Abs. 1 Sätze 2 und 3 StPO seien in den Jahren ab 2021 nur in wenigen Fällen angeordnet und durchgeführt worden, wobei nicht stets beide Varianten der Quellen-Telekommunikationsüberwachung angeordnet und durchgeführt worden seien. Nach Angaben der Landesregierung Niedersachsen wurden im Jahr 2023 in keinem und im Jahr 2024 in einem Ermittlungsverfahren eine Quellen-Telekommunikationsüberwachung angeordnet und durchgeführt. 73 2. Der Bundesgerichtshof teilt mit, dass der 3. Strafsenat wiederholt mit Ermittlungsverfahren befasst gewesen sei, denen Erkenntnisse zugrunde gelegen hätten, die mittels einer Quellen-Telekommunikationsüberwachung oder einer Online-Durchsuchung gewonnen worden seien (Verweis etwa auf BGH, Beschluss vom 30. November 2021 - AK 49/21 -, Rn. 15). 74 3. Die angehörten sachkundigen Dritten, die zur Verfassungsbeschwerde und den ergänzenden Fragen Stellung genommen haben, äußern sich wie folgt. 75
  6. a)Der (damalige) Bundesbeauftragte für den Datenschutz und die Informationsfreiheit hält die angegriffenen Vorschriften für verfassungswidrig, weil sie unverhältnismäßig seien. § 100a Abs. 1 Sätze 2 und 3 StPO griffen in das IT-System-Grundrecht ein. Die Eingriffsintensität sei hoch, weil auch die Nutzung von Cloud-Diensten Kommunikation darstelle und daher die "Kommunikation der überwachten Person mit sich selbst" erfasst sei. Durch den von § 100a Abs. 1 Satz 3 StPO ermöglichten Zugriff auf gespeicherte Kommunikation werde die Grenze der Telekommunikationsüberwachung zugunsten einer echten Online-Durchsuchung überschritten. Die Eingriffe in das IT-System-Grundrecht durch § 100a Abs. 1 Sätze 2 und 3, § 100b StPO seien nicht gerechtfertigt. Es müssten mindestens dieselben Anforderungen gelten, wie sie das Bundesverfassungsgericht im Bereich der Gefahrenabwehr zugrunde lege. Daher bedürfe es einer Überwachung zugunsten eines überragend wichtigen Rechtsguts, dem die Straftatenkataloge in § 100a Abs. 2 und § 100b Abs. 2 StPO nicht durchgehend genügten. Bedenklich sei auch, dass nicht nur staatliche Software-Entwicklungen eingesetzt werden dürften und die Software überschießende Funktionalitäten aufweisen könne. 76
  7. b)Zu den Fragen des Senats führt für die Datenschutzaufsichtsbehörden des Bundes und der Länder die Landesbeauftragte für Datenschutz Schleswig-Holstein aus, dass die meisten Betriebssysteme bei privater Nutzung automatisch eine bereits implementierte Cloud-Lösung anböten. Die Verschlüsselung auf dem Transportweg sei mittlerweile Standard. Bei der Speicherung von Daten in der Cloud wirke diese Art der Verschlüsselung nicht gegen den Cloud-Anbieter selbst, sondern könne nur gegen bestimmte externe und interne Angriffe (z.B. durch Mitarbeitende) schützen. Vor diesem Hintergrund lägen den Cloud-Betreibern im Falle einer Transportverschlüsselung die dort gespeicherten Daten rein technisch in auswertbarer Form vor. Soweit dieser Betreiber mit den Ermittlungsbehörden kooperiere, bestehe für Überwachungsmaßnahmen kein technisches Hindernis. Ein heimlicher Zugriff mittels Staatstrojaner könne sich daher erübrigen. Mit Blick auf die zahlreichen höchstpersönlichen Daten auf diversen Cloud-Servern verschiedener Anbieter dürfe ein Zugriff der Ermittlungsbehörden nicht ohne neue Schranken erfolgen. 77
  8. c)
  9. aa)Nach Auffassung des Generalbundesanwalts (GBA) sind § 100a Abs. 1 Sätze 2 und 3 und § 100b StPO verfassungsgemäß. 78 § 100a Abs. 1 Sätze 2 und 3 StPO seien aus dem IT-System-Grundrecht ausgeklammert. Auch im Hinblick auf § 100a Abs. 1 Satz 3 StPO liege der Fokus auf der Kommunikationsüberwachung, denn es könne nur auf Kommunikation zugegriffen werden, die auf dem infiltrierten System während des angeordneten Überwachungszeitraums anfalle. Damit gleiche die Vorschrift aus, wenn die Datenausleitung nicht schon ab Beginn des angeordneten Überwachungszeitraums, sondern erst verzögert erfolge; hierzu könne es etwa bei technischen Hindernissen infolge des Einsatzes von Verschlüsselungstechniken bei Messenger-Diensten kommen. Weder Intensität noch zeitlicher Umfang des bereits durch § 100a Abs. 1 Satz 2 StPO erlaubten Eingriffs würden durch § 100a Abs. 1 Satz 3 StPO geändert. Auch im letzteren Fall sei die funktionale Äquivalenz mit der klassischen Telekommunikationsüberwachung gewährleistet, weil der Zugriff so beschränkt sei, dass kein Einblick in wesentliche Teile der Lebensgestaltung einer Person genommen werde. Art. 10 Abs. 1 GG sei allerdings nicht betroffen, da nur der Zugriff auf gespeicherte Kommunikationsdaten gestattet werde. § 100a Abs. 1 Satz 3 StPO müsse daher am Recht auf informationelle Selbstbestimmung gemessen werden. Dieser Eingriff sei ebenso wie derjenige durch § 100a Abs. 1 Satz 2 StPO gerechtfertigt. Denn in der Sache werde nur mit Blick auf die aktuellen Entwicklungen in der Informationstechnik eine Telekommunikationsüberwachung auch dort ermöglicht, wo dies mit alter Überwachungstechnik mittlerweile ausscheide. Die Quellen-Telekommunikationsüberwachung könne dabei technisch auf laufende Kommunikation begrenzt werden. 79 § 100b StPO sei ebenfalls nicht zu beanstanden. An eine Online-Durchsuchung zu repressiven Zwecken seien keine höheren gesetzlichen Anforderungen zu stellen als an eine entsprechende Maßnahme zu präventiven Zwecken. Die staatliche Pflicht zum Schutz individueller und kollektiver Rechtsgüter vor drohenden Gefahren habe von Verfassungs wegen keine größere Bedeutung als die ebenfalls verfassungsrechtlich gebotene Wahrung der Funktionstüchtigkeit der Strafrechtspflege. Unabhängig davon diene die Strafverfolgung im Rahmen der Spezial- und Generalprävention auch dem Schutz derselben Rechtsgüter. Der Straftatenkatalog des § 100b Abs. 2 StPO sei nicht zu beanstanden; er umfasse nur solche Straftatbestände, die dem Schutz überragend wichtiger Rechtsgüter dienten. Die Beschwerdeführenden übersähen, dass die beispielhafte Aufzählung von entsprechenden Rechtsgütern durch das Bundesverfassungsgericht nicht ausschließe, dass der Gesetzgeber auch den Schutz anderer Rechtsgüter verfolgen dürfe. Anderenfalls würden bestimmte Formen schwerster, bisweilen organisierter, Kriminalität wie schwerste Eigentumsdelikte nicht erfasst. Zudem sei bei der Auswahl der Straftatbestände neben anderen Gesichtspunkten auch die gesetzgeberische Wertung zu berücksichtigen, die in der Bemessung der jeweiligen Höchststrafe zum Ausdruck komme. Schließlich sei auch das Zitiergebot nicht deshalb verletzt, weil der Gesetzgeber Art. 10 Abs. 1 GG nicht als durch § 100b StPO eingeschränktes Grundrecht genannt habe. Der hier vorliegende Grundrechtseingriff bemesse sich ausschließlich am IT-System-Grundrecht, das Art. 10 Abs. 1 GG verdränge. 80
  10. bb)Zu den Fragen des Senats berichtet der Generalbundesanwalt, dass aufgrund einer Anordnung nach § 100a Abs. 1 Satz 1 StPO alle ein- und ausgehenden Daten ausgeleitet würden und zwar aufgrund einer Verpflichtung des Mobilfunkbetreibers beziehungsweise Providers des Festnetzanschlusses, über den das WLAN laufe, oder einer Verpflichtung etwa des Anbieters des Cloud-Services oder des Software-as-a-Service-Dienstes. Werde der Telekommunikationsdiensteanbieter verpflichtet, seien nur die klassische Telefonie und SMS lesbar. Relevante Inhalte, insbesondere solche von Cloud- und E-Mail-Diensten, seien regelmäßig verschlüsselt und daher nicht lesbar. Auch die Ausleitung verschlüsselter Inhalte biete aber die Möglichkeit einer sogenannten Rohdatenanalyse bezüglich Metadaten und im Hinblick darauf, welche Dienste von den Betroffenen genutzt würden. Diese Informationen könnten weitere Maßnahmen vorbereiten. Im Falle einer Verpflichtung von Cloud- oder Software-as-a-Service-Betreibern sei regelmäßig eine unverschlüsselte Ausleitung möglich. Problematisch sei allerdings, dass eine Vielzahl von Betreibern ihren Sitz im Ausland habe, weshalb Rechtshilfeersuchen notwendig seien. Auch bei einer Verpflichtung des E-Mail-Providers erfolge eine komplette Ausleitung des gesamten (auch ruhenden) E-Mail-Verkehrs. Alles in allem habe die klassische Telekommunikationsüberwachung weiterhin eine erhebliche Bedeutung. 81 Durch eine Maßnahme nach § 100a Abs. 1 Satz 2 StPO würden alle ein- und ausgehenden Daten unverschlüsselt ausgeleitet und seien dann lesbar. Der gesamte Datenverkehr könne identifiziert und im Klartext mitgeschnitten werden; dieser umfasse auch den Datenaustausch mit Cloud-Services. Die Umsetzung der Quellen-Telekommunikationsüberwachung erfordere einige Zeit. In der Regel würden zwischen Anordnung und Umsetzung jedenfalls einige Tage vergehen. Die Verzögerung ergebe sich aus der notwendigen Anpassung an die Hard- und Software des jeweiligen Endgeräts. Die Möglichkeit der zeitlich begrenzten rückwirkenden Erhebung über § 100a Abs. 1 Satz 3 StPO gleiche diesen zeitlichen Aufwand aus. 82 Die Quellen-Telekommunikationsüberwachung sei eine der wenigen Maßnahmen, mit denen derzeit gerade im Bereich schwerer beziehungsweise Organisierter Kriminalität noch effektiv oder überhaupt verfahrensrelevante Kommunikationsdaten erhoben werden könnten. In diesem Bereich würden regelmäßig gezielt Mittel der verschlüsselten Kommunikation eingesetzt. 83
  11. d)Das Statistische Bundesamt hat auf die Fragen des Senats die dort vorliegenden Statistiken zur Cloud-Nutzung mitgeteilt. 84
  12. e)Nach Auffassung des Bunds Deutscher Kriminalbeamter greift § 100a Abs. 1 Satz 3 StPO in das IT-System-Grundrecht ein und ist daher an den gleichen Maßstäben zu messen wie die durch § 100b StPO gestattete Online-Durchsuchung, weshalb der in § 100a Abs. 2 StPO abgebildete Straftatenkatalog nur teilweise den verfassungsrechtlichen Anforderungen entspreche. § 100a Abs. 1 Satz 2 StPO sei dagegen allein an Art. 10 Abs. 1 GG zu messen. Die Begrenzbarkeit der Quellen-Telekommunikationsüberwachung auf die laufende Kommunikation betreffe nur die Anwendung, nicht aber die Gültigkeit der Norm. Diese Maßnahme sei zwischenzeitlich auch technisch begrenzbar. 85
  13. f)
  14. aa)Der Chaos Computer Club kritisiert, dass der Einsatz von Staatstrojanern nunmehr als eine Standardmaßnahme strafprozessualer Überwachung auch gegenüber Alltagskriminalität mit niedriger Eingriffsschwelle definiert worden sei. Infolge der Digitalisierung der Gesellschaft seien IT-Systeme dichter an den einzelnen Menschen herangerückt und elementarer Teil der gesamten Lebens- und Arbeitspraxis geworden. Auch die Gesellschaft sei zunehmend vernetzter geworden, weil solche Systeme unverzichtbarer Teil aller gesellschaftlichen Infrastrukturen seien. Dadurch sei das Smartphone zu einer Schaltzentrale für alle Lebensbereiche geworden und spiegele die persönlichste Lebensführung wider. Digitale Dienste seien daher mittlerweile auch im Regelfall verschlüsselt. 86 Hinsichtlich einer Infiltration von IT-Systemen müsse klar sein, dass das Zielsystem dadurch wesentlich verändert und so dessen Integrität dauerhaft unterminiert sowie auch anderen Angreifern der ungewollte und unbemerkte Zugang erleichtert werde. Grundsätzlich sei die Schwächung der Gerätesicherheit unvermeidbar. Im Rahmen welcher konkreten Ermittlungsmaßnahme eine Infiltration erfolge, sei technisch irrelevant. Es sei ferner zu besorgen, dass die Befugnisse weitreichende Auswirkungen auf die Betreiber und Administratoren von Kommunikationsinfrastrukturen hätten. Schwere Kollateralschäden und eine unzulässig weitreichende Auswertung der Daten betroffener Zielpersonen seien zu befürchten, gerade weil unbefugte Dritte durch Missbrauch neu geschaffener Sicherheitslücken einen grenzenlosen Einblick in Inhalts- und Verkehrsdaten gewönnen. Hinzu komme, dass es an einer hinreichenden Prüfung der technischen Details der verwendeten Trojaner fehle. Vor allem eine Prüfung des Quellcodes sei nötig. Eine gerichtliche Einzelfallkontrolle genüge nicht, da Gerichte typischerweise technisch nicht ausreichend vorbereitet seien, um sie sinnvoll vornehmen zu können. Ein Vertrauen nur auf die Aussagen der Anbieter komme nicht in Betracht, da deren Wahrheitsgehalt nicht hinreichend prüfbar sei. 87
  15. bb)Auf die Fragen des Senats teilt der Chaos Computer Club mit, dass der Trend zu Cloud-Services weitergehe, da Unternehmen, aber auch Behörden den Zugang zu skalierbaren IT-Ressourcen schlicht benötigten. Die Nutzung sei mittlerweile weit verbreitet. In Unternehmen würden System-Backups mindestens täglich durchgeführt, oft auch mehrfach täglich. Viele Softwarepakete, die in der Wirtschaft zum Einsatz kämen, seien nur noch über die Cloud zu erreichen. Insbesondere durch Smartphones und die von deren Herstellern angebotenen Cloud-Lösungen habe auch die Privatnutzung stark zugenommen. Viele Arten von Cloud-Services seien unbewusst in den Alltag einbezogen und müssten nicht mehr bewusst abgerufen werden. Private Endnutzer verließen sich in der Regel auf die Voreinstellungen ihrer Softwareanbieter. Bei iPhones sei das Cloud-Backup zum Beispiel standardmäßig aktiviert und finde täglich statt. Der ganz überwiegende Teil der Nutzer ändere dies nicht. Bisweilen sei eine dauerhafte Speicherung außerhalb der Cloud überhaupt nicht mehr vorgesehen. Die Art der Daten, die heute über verschiedenste Cloud-Services mit und ohne Wissen der Betroffenen automatisiert verarbeitet würden, sei mannigfaltiger, voluminöser und persönlicher denn je. Ein Großteil der Menschen schiebe persönlichste Daten unbewusst zwischen Computersystemen "hin und her". 88
  16. g)Nach Auffassung der Deutschen Polizeigewerkschaft im DBB sind Quellen-Telekommunikationsüberwachung und Online-Durchsuchung unerlässliche Instrumente einer effektiven Verbrechensbekämpfung zur Wahrnehmung des grundgesetzlichen Schutzauftrags des Staates. Das Kommunikationsverhalten von Straftätern sei im Zeitalter der Digitalisierung rasanten Veränderungsprozessen unterworfen. Dem müssten sich die Sicherheitsbehörden stellen. 89 Die Quellen-Telekommunikationsüberwachung bedeute zwar einen sehr schwerwiegenden Eingriff in Persönlichkeitsrechte Einzelner, allerdings müssten sich die Sicherheitsbehörden eben auch einer nie dagewesenen Situation der Bedrohung durch Kriminalität und Terror stellen. Mit ihr sei auch keine grundsätzlich neue eingriffsintensivere Maßnahme geschaffen worden, sondern die Strafverfolgungsbehörden seien nur in den "Stand vorher" zurückversetzt worden, als Telefonie noch über klassische Systeme abgewickelt worden sei. Mittlerweile sei die Verschlüsselung von Fernkommunikation technischer Standard, sodass eine effektive Strafverfolgung mehr als eine klassische Telekommunikationsüberwachung brauche. Die Quellen-Telekommunikationsüberwachung habe sich in Bund und Ländern als Instrument der Gefahrenabwehr mittlerweile etabliert und werde erfolgreich angewendet. 90
  17. h)Der Deutsche Anwaltverein hält die Verfassungsbeschwerde teilweise für aussichtsreich. Die Quellen-Telekommunikationsüberwachung knüpfe grundsätzlich verfassungsrechtlich unbedenklich an die in § 100a Abs. 2 StPO genannten Straftatbestände an. Bedenken bestünden jedoch, soweit § 100a Abs. 1 Sätze 2 und 3 StPO auch eine Überwachung der Internetnutzung ermöglichten. Dies wiege deutlich schwerer als eine Überwachung der sozialen Kommunikation. Die vollständige Überwachung der Internetnutzung sei nicht für den gesamten Katalog des § 100a Abs. 2 StPO verfassungsrechtlich gerechtfertigt. Darüber hinaus bestünden verfassungsrechtliche Bedenken, soweit der eingriffsintensive Zugriff auf den Datenaustausch mit der Cloud faktisch ermöglicht werde. Dies lege nahe, dieselben verfassungsrechtlichen Anforderungen wie an eine Online-Durchsuchung zugrunde zu legen. 91 Die Online-Durchsuchung nach § 100b StPO sei nicht verhältnismäßig. Es seien die Maßstäbe wie zur Rechtfertigung präventiver Online-Durchsuchungen heranzuziehen. Eine repressive Online-Durchsuchung sei daher nur zur Verfolgung solcher Delikte zulässig, die dem Schutz überragend wichtiger Rechtsgüter dienten. Dem genügten nicht alle in § 100b Abs. 2 StPO genannten Straftatbestände. 92 Der Gesetzgeber habe auch versäumt, die Subsidiarität hinreichend zu regeln. § 100c StPO sehe eine strengere Subsidiaritätsklausel vor, obwohl die durch § 100b StPO vermittelte Eingriffstiefe größer sei. Dies sei nicht angemessen. Zudem böten § 100d Absätze 1 bis 4 StPO keinen ausreichenden Kernbereichsschutz auf Erhebungsebene. Angesichts der durch § 100b StPO ermöglichten Echtzeit-Überwachung müsse eine Online-Durchsuchung wie auch eine akustische Wohnraumüberwachung unterbrochen werden, wenn das überwachte Nutzungsverhalten Anhaltspunkte dafür liefere, dass kernbereichsrelevante Inhalte betroffen seien. § 100d Abs. 3 StPO mache jedoch keine entsprechenden Vorgaben. 93
  18. i)Der Deutsche Journalisten-Verband weist darauf hin, dass Daten heute durch generative Künstliche Intelligenz ausgewertet werden könnten, was die Erstellung intimster Persönlichkeitsprofile erlaube. Das Gesetz sehe ein Eingreifen bei nicht ausreichend schweren Straftaten vor und missachte, dass die Quellen-Telekommunikationsüberwachung technisch nicht auf die laufende Kommunikation begrenzbar sei. Darüber hinaus sei die Pressefreiheit durch § 100a Abs. 1 Sätze 2 und 3, Abs. 3 StPO wegen eines mangelhaften Informantenschutzes und eines unzureichenden Schutzes von Berufsgeheimnisträgern im Bereich von Presse und Rundfunk verletzt. 94
  19. j)Der Deutsche Richterbund (DRB) hält die angegriffenen Vorschriften für verfassungsgemäß. Wegen der zunehmenden Digitalisierung des Täterhandelns seien die neu eingeführten Maßnahmen zur Aufklärung schwerwiegender Straftaten insbesondere im Bereich der Organisierten Kriminalität und des Staatsschutzes unverzichtbar. § 100b StPO sei durch eine ausreichende Eingriffsschwelle und Beschränkung auf Straftaten, die dem Schutz überragend wichtiger Rechtsgüter dienen, angemessen begrenzt. Der Gesetzgeber habe bei deren Auswahl einen gewissen Spielraum und sei nicht auf Taten gegen Leib, Leben und Freiheit der Person beschränkt. 95 Der Gesetzgeber habe mit der Befugnis zur Quellen-Telekommunikationsüberwachung kein gegenüber der herkömmlichen Telekommunikationsüberwachung neues Ermittlungsinstrument mit größerer Eingriffstiefe geschaffen. Er habe nur die "Überwachungslücke" durch die technisch bedingte Verlagerung der Telekommunikation in das Internet schließen wollen. Es liege kein Eingriff in das IT-System-Grundrecht vor, denn es werde technisch sichergestellt, dass nur Inhalte und Umstände der laufenden Kommunikation ausgeleitet würden. Dies sei auch kontrollierbar. Wegen der technischen Beschränkung des eingesetzten Überwachungstools der Quellen-Telekommunikationsüberwachung sei diese allein an Art. 10 Abs. 1 GG zu messen. Ob dies auch für § 100a Abs. 1 Satz 3 StPO gelte oder hier das Recht auf informationelle Selbstbestimmung betroffen sei, könne dahinstehen. Entscheidend sei der Gedanke der "hypothetischen Kommunikationsüberwachung", denn es sollten lediglich die technischen Schwierigkeiten ausgeglichen werden, die bei Umsetzung der Maßnahme nach Erlass der Überwachungsanordnung aufträten. 96
  20. k)Nach Angaben der Gesellschaft für Datenschutz und Datensicherheit (GDD) auf die Fragen des Senats steigt der Umfang der Cloud-Nutzung kontinuierlich an. Insbesondere bei Privatnutzenden sei von einer erheblichen Zunahme auszugehen, weil viele soziale Medien und Messenger-Dienste cloudbasiert seien. Auch viele Softwareanbieter hätten in den letzten zehn Jahren auf rein cloudbasierte Lösungen umgestellt. Für Datenübertragungen in die Cloud sei mittlerweile mindestens eine Transportverschlüsselung technischer Standard. Zur Datensynchronisierung und zum Backup seien keine statistischen Aussagen bekannt. Cloud-Kollaborationslösungen, bei denen parallel an Dokumenten oder Daten gearbeitet werde, synchronisierten in der Regel sofort. Bei reinen Cloud-Speicherlösungen könne die Synchronisation auch mit einer gewissen Zeitverzögerung stattfinden, etwa in dem Rhythmus, in dem ein Nutzer seine Dokumente manuell dort speichere oder die Anwendungen selbst ein automatisches Speichern auslösten. Die Frequenz des automatischen Speicherns lasse sich in einigen Office-Anwendungen manuell festlegen. Wie oft System-Backups durchgeführt würden, könne zwischen den Extremen - mehrmals am Tag und praktisch nie - stark variieren. Die üblichen Cloud-Speicher synchronisierten Daten unmittelbar nach ihrer Speicherung. Die Daten würden also erst lokal gespeichert und dann synchronisiert. Die Häufigkeit von System-Backups könne auch insoweit stark variieren. Es lasse sich nicht von Standardverfahren oder einer Standardhäufigkeit sprechen. 97 Bei der klassischen Telekommunikationsüberwachung dürften die an die und von der Cloud übertragenen Inhaltsdaten aufgrund ihrer Verschlüsselung nicht lesbar sein. Sämtliche Metadaten einer Datenübertragung dürften aber zu sehen sein; darunter fielen zum Beispiel IP-Adressen der Endnutzer und des Cloud-Diensts, die für die Kommunikation verwendeten Ports, das verwendete Übertragungsprotokoll und die Kryptozertifikate der Kommunikationsbeteiligten. 98 Was Maßnahmen nach § 100a Abs. 1 Satz 3 StPO betreffe, erfolge die Überwachung nicht auf der Strecke, sondern nur am Endgerät. Ein Zugriff sei daher nur möglich, soweit ehemals laufende Kommunikation noch auf dem Endgerät vorhanden sei. Dies könne bei Cloud-Diensten (nur) in Form von lokalen Synchronisationsdaten der Fall sein, wie bei lokalen Zwischenkopien und Dateien im Cache (Arbeitsspeicher). Zudem könnten lokale Logdaten auf dem Endgerät vorhanden sein, die Aufschluss über Zeitstempel, IP-Adressen der Kommunikationsbeteiligten, die verwendeten Protokolle und Namen der übertragenen Dateien (z.B. bei Cloud-Speichern) enthalten könnten. Durch die Überwachung auf dem Endgerät könnten - sofern sie das System im Klartext speichere - auch Zugangsdaten zu den jeweiligen Cloud-Diensten erlangt werden. Potentiell könnten auch Zugangsschlüssel für die jeweiligen in der Cloud verschlüsselt gespeicherten Daten dazugehören. 99
  21. l)
  22. aa)Die Gesellschaft für Freiheitsrechte ist der Ansicht, § 100a Abs. 1 Sätze 2 und 3 StPO seien als Eingriffe in das IT-System-Grundrecht verfassungsrechtlich nicht gerechtfertigt. Es bestehe das Risiko einer Ausspähung der Persönlichkeit. Die bislang formulierten präventiv-polizeilichen Anforderungen seien auf den repressiven Bereich zu übertragen. Denn bei der Strafverfolgung gehe es nicht darum, eine Rechtsgutsverletzung zu verhindern, sondern nur um die Sanktionierung einer bereits eingetretenen. Es fehle schon an hinreichenden verfahrensrechtlichen Regelungen in § 100e Absätze 3 und 4 StPO. Es sei nämlich schon nicht geregelt, dass das einzusetzende "technische Mittel" benannt und technisch spezifiziert werde. Es werde den Ermittlungsbehörden vertraut, die Staatstrojaner nach "Gutdünken" einsetzen könnten. Ein ausreichender Überprüfungsmechanismus sei aber rechtsstaatlich geboten. Erschwerend sei, dass die Software von externen Anbietern stammen könne, sodass die Ermittlungsbehörden mitunter selbst nicht einschätzen könnten, welche Funktionen sie habe. 100 Die Verantwortung für die Einhaltung der rechtlichen Anforderungen dürfe nicht auf die anordnenden Gerichte abgewälzt werden. Es bedürfe einer verpflichtenden Kontrolle auf Ebene des Quelltextes durch eine unabhängige Stelle, weil nur dadurch eine neutrale Begutachtung der Software gewährleistet werde. Ein Gesetz müsse im Lichte des Wesentlichkeitsgrundsatzes eine unabhängige technische Überprüfung der einzusetzenden Staatstrojaner vorschreiben. 101
  23. bb)Auf die Fragen des Senats berichtet die Gesellschaft für Freiheitsrechte, dass im privaten Bereich Clouds oft unbewusst genutzt würden, weil diese auf dem Betriebssystem vorinstalliert seien. Bei Betriebssystemen und Apps sei die Synchronisation oft automatisch aktiviert. Es seien tägliche Backups üblich und standardisiert eingestellt. Seriöse Cloud-Anbieter nutzten mindestens eine Transportverschlüsselung. 102
  24. m)Die Gewerkschaft der Polizei hält die angegriffenen Befugnisse für praxisgerecht und verfassungsgemäß. Neue Verschlüsselungstechniken machten Ergänzungen bei strafprozessualen Eingriffsbefugnissen notwendig. Nur so könnten Strafverfolgungsbehörden weiterhin ihren gesetzlichen Aufgaben gerecht werden. Diese hätten Verfassungsrang, denn eine funktionstüchtige Strafrechtspflege sei Teil des Rechtsstaatsprinzips und letztlich auch Ausdruck der Wehrhaftigkeit der Demokratie. Rechtsfreie Räume der Kommunikation seien nicht hinzunehmen. Vielmehr müsse sichergestellt sein, dass strafrechtlich relevantes Handeln auch verfolgbar sei. Befugnisse zur Quellen-Telekommunikationsüberwachung und Online-Durchsuchung seien gerade in den Bereichen terroristischer, organisierter und allgemeiner schwerster Kriminalität nötig, um Netzwerkstrukturen zu durchdringen. B. 103 Die fristgerecht am 7. August 2018 erhobene Verfassungsbeschwerde ist zu einem Teil unzulässig. In Bezug auf § 100b Abs. 2 Nr. 1 Buchstabe l StPO in der angegriffenen Fassung fehlt den Beschwerdeführenden das Rechtsschutzbedürfnis (I). Der Beschwerdeführer zu 3) hat seine Verfassungsbeschwerde nicht formgerecht eingelegt (II). Die übrigen in unterschiedlichem Umfang betroffenen Beschwerdeführenden haben die Möglichkeit einer Grundrechtsverletzung nur teilweise aufgezeigt (III). Im verbleibenden Umfang genügt die Verfassungsbeschwerde den Anforderungen der Subsidiarität (IV). Soweit die Verfassungsbeschwerde insgesamt zulässig ist (V), ist die Zuständigkeit des Bundesverfassungsgerichts gegeben (VI). I. 104 In Bezug auf § 100b Abs. 2 Nr. 1 Buchstabe l StPO in der angegriffenen Fassung fehlt den Beschwerdeführenden das Rechtsschutzbedürfnis. Die Regelung ist nach Erhebung der Verfassungsbeschwerde mit dem Gesetz zur Verbesserung der strafrechtlichen Bekämpfung der Geldwäsche vom 9. März 2021 (BGBl I S. 327) mit Wirkung zum 18. März 2021 geändert worden (vgl. nunmehr § 100b Abs. 2 Nr. 1 Buchstabe m StPO). Aufgrund des dieser Änderung auch zukommenden materiellen Gewichts sind die Beschwerdeführenden durch die Altfassung nicht mehr beschwert (vgl. auch BVerfGE 87, 181 <194 f.>; 100, 271 <281 f.>; 108, 370 <383>). Sie haben ihre Verfassungsbeschwerde daraufhin weder auf die Neufassung umgestellt (vgl. BVerfGE 87, 181 <194>), noch ist ersichtlich, dass die Altfassung verfassungsrechtliche Fragen von grundsätzlicher Bedeutung aufwerfen könnte, die nicht ungeklärt bleiben dürften (vgl. auch BVerfGE 100, 271 <281 f.>). II. 105 Die Verfassungsbeschwerde erlaubt, soweit sie den Beschwerdeführer zu 3) betrifft, nicht die erforderliche verlässliche Zurechnung des Erklärungsinhalts zum Urheber der Erklärung (vgl. BVerfGE 15, 288 <291 f.>; BVerfG, Beschluss des Ersten Senats vom 24. Juni 2025 - 1 BvR 2466/19 -, Rn. 48 m.w.N.). Der Beschwerdeschrift kann hier nicht ausreichend zuverlässig die Person entnommen werden, die die Verfassungsbeschwerde eingelegt hat. Der Beschwerdeführer zu 3) verwendet einen Künstlernamen, der die erforderliche hinreichende Individualisierung der Person für sich genommen nicht zulässt. Auch hat er zu solchermaßen individualisierenden Umständen nicht substantiiert ausgeführt; insbesondere fehlt eine nachvollziehbare und nicht nur vage bleibende Beschreibung seines künstlerischen Werdegangs und seiner Werke, anhand derer die Figur "(…)" personalisiert und ihre Verkehrsgeltung für die Öffentlichkeit erkennbar sein könnte. Insoweit kann auch der nach Ablauf der Jahresfrist gemäß § 93 Abs. 3 BVerfGG nachgereichte Schriftsatz vom 12. Juni 2023 der Verfassungsbeschwerde nicht mehr zur Zulässigkeit verhelfen (vgl. auch BVerfGE 169, 130 <167 f. Rn. 75> - Hessisches Verfassungsschutzgesetz). III. 106 Die Beschwerdebefugnis der übrigen Beschwerdeführenden ist teilweise gegeben. 107 Nach Art. 94 Abs. 1 Nr. 4a GG, § 90 Abs. 1 BVerfGG setzt die Zulässigkeit einer Verfassungsbeschwerde unter anderem die Behauptung voraus, durch einen Akt der öffentlichen Gewalt in Grundrechten oder grundrechtsgleichen Rechten verletzt zu sein (vgl. BVerfGE 140, 42 <54 Rn. 47>). Dazu müssen sowohl die Möglichkeit der Grundrechtsverletzung als auch die eigene, unmittelbare und gegenwärtige Betroffenheit den Begründungsanforderungen nach § 23 Abs. 1 Satz 2, § 92 BVerfGG entsprechend dargelegt sein. Richtet sich die Verfassungsbeschwerde gegen ein Gesetz, das Sicherheitsbehörden zu heimlichen Überwachungsmaßnahmen ermächtigt, bestehen insoweit besondere Zulässigkeitsanforderungen (näher BVerfGE 165, 1 <30 ff. Rn. 39 ff.> - Polizeiliche Befugnisse nach SOG MV; stRspr). 108 1. Danach haben die Beschwerdeführenden nicht aufgezeigt, dass eine sich insbesondere aus dem IT-System-Grundrecht (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG) ergebende grundrechtliche Schutzpflicht verletzt sein könnte. Es fehlt an der verfassungsrechtlich gebotenen Darlegung (vgl. dazu BVerfGE 158, 170 <191 f. Rn. 51> - IT-Sicherheitslücken), dass unter Berücksichtigung des gesetzlichen Regelungszusammenhangs vom Versagen der gesetzgeberischen Konzeption auszugehen sein könnte. Insoweit nehmen sie insbesondere die gesetzlichen Regelungen des zum Schutz von IT-Systemen anwendbaren Strafprozess-, Datenschutz- und Cybersicherheitsrechts nicht in den Blick (vgl. auch BVerfG, Beschluss des Ersten Senats vom 24. Juni 2025 - 1 BvR 2466/19 -, Rn. 53; Beschluss der 2. Kammer des Ersten Senats vom 17. April 2023 - 1 BvR 176/23 u.a. -, Rn. 6). 109 2. Die Möglichkeit einer Verletzung des IT-System-Grundrechts in seiner abwehrrechtlichen Dimension sowie des Art. 10 Abs. 1 GG wird teilweise aufgezeigt. 110 Die Beschwerdeführenden haben dargelegt, dass die Befugnisse zur Quellen-Telekommunikationsüberwachung nach § 100a Abs. 1 Sätze 2 und 3 StPO das IT-System-Grundrecht sowie in Bezug auf § 100a Abs. 1 Satz 2 StPO zugleich Art. 10 Abs. 1 GG verletzen könnten, soweit die Befugnisnormen - gemessen an ihrem Eingriffsgewicht - die Verfolgung nicht hinreichend gewichtiger Straftaten erlauben (a). Dargetan wird auch, dass die Befugnis zur Online-Durchsuchung in § 100b Abs. 1 StPO wegen ihres Eingriffs in das IT-System-Grundrecht sowie in Art. 10 Abs. 1 GG verfassungswidrig sein könnte, weil im Hinblick auf den Eingriff in Art. 10 Abs. 1 GG das Zitiergebot missachtet worden und im Hinblick auf beide Grundrechte ein nicht in jeder Hinsicht genügender Kernbereichsschutz vorgesehen sein könnte (b). 111
  25. a)Die Beschwerdeführenden haben die Möglichkeit einer Grundrechtsverletzung aufgezeigt, soweit sie in Bezug auf die Quellen-Telekommunikationsüberwachung nach § 100a Abs. 1 Sätze 2 und 3 StPO ein nicht hinreichendes Gewicht der in § 100a Abs. 2 StPO genannten Straftaten rügen. Im Übrigen genügt ihr gegen § 100a Abs. 1 Sätze 2 und 3 in Verbindung mit § 100a Absätze 3 bis 6, § 100d Absätze 1, 2 und 5 StPO gerichteter Vortrag nicht den Darlegungsanforderungen. 112
  26. aa)Die Beschwerdeführenden haben dargetan, dass die Quellen-Telekommunikationsüberwachung nach § 100a Abs. 1 Satz 2 StPO sowohl in das IT-System-Grundrecht als auch in Art. 10 Abs. 1 GG eingreifen könnte. 113 Mit Blick auf § 100a Abs. 1 Satz 3 StPO haben sie dagegen nur einen möglichen Eingriff in das IT-System-Grundrecht aufgezeigt, nicht aber auch eine Betroffenheit des Fernmeldegeheimnisses aus Art. 10 Abs. 1 GG. So schützt Art. 10 Abs. 1 GG allein vor den spezifischen Gefahren, die mit einer räumlich distanzierten Kommunikation einhergehen, da diese auf einen technischen Übermittlungsvorgang angewiesen ist, der nicht im ausschließlichen Einflussbereich Betroffener liegt, weshalb sie in besonderer Weise einer Kenntnisnahme durch Dritte ausgesetzt ist (vgl. BVerfGE 115, 166 <182, 186>; näher BVerfG, Beschluss des Ersten Senats vom 24. Juni 2025 - 1 BvR 2466/19 -, Rn. 87f. m.w.N.). Der Grundrechtsschutz aus Art. 10 Abs. 1 GG erstreckt sich daher nicht auf die außerhalb eines laufenden Kommunikationsvorgangs im Herrschaftsbereich der Betroffenen - also nach Abschluss des Übertragungsvorgangs - gespeicherten Inhalte und Umstände einer Kommunikation (vgl. BVerfGE 115, 166 <183 f.>; 120, 274 <307 f.>; 124, 43 <54>). Unter Zugrundelegung dieses Maßstabs haben die Beschwerdeführenden nicht aufgezeigt, dass die nach § 100a Abs. 1 Satz 3 StPO erlaubte Überwachung und Aufzeichnung der auf dem IT-System Betroffener gespeicherten Inhalte und Umstände früherer Kommunikation den Gewährleistungsgehalt des Art. 10 Abs. 1 GG verkürzen könnte. Sie haben sich schon nicht damit auseinandergesetzt, dass der den grundrechtsspezifischen Schutzbedarf begründende Übertragungsvorgang bereits abgeschlossen ist und sich die Daten im Herrschaftsbereich der Betroffenen befinden. 114
  27. bb)Die Beschwerdeführenden haben aufgezeigt, dass die dargelegten Grundrechtseingriffe nicht gerechtfertigt sein könnten, soweit die Befugnisse nach § 100a Abs. 1 Sätze 2 und 3 StPO Quellen-Telekommunikationsüberwachungen bereits zur Verfolgung von - gemessen an ihrem Eingriffsgewicht - nicht hinreichend gewichtigen Straftaten erlauben. Im Übrigen genügt ihr Vortrag nicht den Darlegungsanforderungen. 115
(1)Soweit die Beschwerdeführenden rügen, § 100a Abs. 1 Satz 2 StPO sei widersprüchlich und verfassungswidrig, da ausgeschlossen sei, dass die nach § 100a Abs. 5 Satz 1 Nr. 1 StPO erforderliche technische Beschränkung der Überwachung auf laufende Kommunikation in absehbarer Zukunft geschaffen werden könne, differenzieren sie weder danach, inwieweit es für die Frage der Beschränkbarkeit auf den möglichen Datenzugriff durch die eingesetzte Überwachungssoftware selbst oder auf die Ermöglichung der Kenntnisnahme durch die Überwachungspersonen ankommt, noch stellen sie eine entsprechende Beschränkbarkeit der Quellen-Telekommunikationsüberwachung in tatsächlicher Hinsicht substantiiert infrage (vgl. auch BVerfG, Beschluss des Ersten Senats vom 24. Juni 2025 - 1 BvR 2466/19 -, Rn. 59 ff.). 116
(2)Soweit die Beschwerdeführenden die Unverhältnismäßigkeit der Befugnis zur Quellen-Telekommunikationsüberwachung rügen, ist ihr Vortrag nur hinsichtlich einer möglichen Unangemessenheit wegen eines teilweise fehlenden hinreichenden Gewichts der in Bezug genommenen Straftaten hinreichend substantiiert. 117 (
  1. a)Der gegen die Eignung der Quellen-Telekommunikationsüberwachung gerichtete Vortrag genügt nicht den Darlegungsanforderungen. Vor dem Hintergrund, dass für die Eignung im verfassungsrechtlichen Sinne bereits die Möglichkeit genügt, durch die gesetzliche Regelung den Gesetzeszweck zu erreichen, und eine Regelung daher erst dann nicht mehr geeignet ist, wenn sie die Erreichung des Gesetzeszwecks in keiner Weise fördern kann oder sich sogar gegenläufig auswirkt (vgl. BVerfGE 161, 299 <367 f. Rn. 166> - Impfnachweis <Covid-19> m.w.N.), haben die Beschwerdeführenden nicht aufgezeigt, dass die hier angegriffenen Befugnisse die von § 100a StPO bezweckte Strafverfolgung nicht zumindest fördern könnten. Zwar geht mit der Durchführung einer Quellen-Telekommunikationsüberwachung regelmäßig eine Infiltration mit einer Überwachungssoftware und damit eine technische Veränderung des Zielsystems einher (vgl. Rn. 194; vgl. auch BVerfG, Beschluss des Ersten Senats vom 24. Juni 2025 - 1 BvR 2466/19 -, Rn. 114 m.w.N.; BKA, Standardisierende Leistungsbeschreibung für Software zur Durchführung von Maßnahmen der Quellen-Kommunikationsüberwachung und der Online-Durchsuchung, 2018, S. 5). Auch haben Ermittlungsbehörden über eine längere Zeit einen tatsächlichen Zugriff auf das gesamte System, dessen Inhalt sie bewusst oder unbewusst manipulieren könnten. Gleichwohl haben die Beschwerdeführenden nicht substantiiert dargelegt, dass der Beweiswert der mittels einer Quellen-Telekommunikationsüberwachung gewonnenen Daten regelmäßig "gleich Null" sein könnte. Denn ungeachtet dessen, dass der Nachweis der Authentizität von Daten bei einer Erhebung mittels einer Überwachungssoftware technisch schwierig sein kann, haben sie nicht aufgezeigt, dass mittels einer Überwachungssoftware nach § 100a Abs. 1 Sätze 2 oder 3 StPO niemals Beweise gewonnen werden könnten, auf die ein Strafgericht - nach Beweiswürdigung unter gegebenenfalls sachverständiger Hilfe - seine Überzeugung im Sinne von § 261 StPO und eine Verurteilung (mit-)stützen könnte (vgl. dazu auch Hauck, in: Löwe-Rosenberg, StPO, 27. Aufl. 2019, § 100b Rn. 92; Rückert, in: Münchener Kommentar zur StPO, 2. Aufl. 2023, § 100b Rn. 13, 75). Dagegen führt ein möglicherweise begrenzter Beweiswert von Erkenntnissen, die mittels eines solchen Zugriffs gewonnen werden können, nicht zur Ungeeignetheit (vgl. BVerfGE 120, 274 <320 f.>). 118 (
  2. b)Die Beschwerdeführenden haben auch nicht aufgezeigt, dass die Befugnisse nach § 100a Abs. 1 Sätze 2 und 3 StPO nicht im verfassungsrechtlichen Sinne erforderlich wären. Soweit sie auf die offene Durchsuchung und anschließende Auswertung sichergestellter IT-Systeme gemäß §§ 94 ff., 102 ff. StPO als mögliche mildere Mittel hinweisen, ist nicht dargetan, dass diese gleich wirksam (vgl. dazu BVerfGE 161, 299 <378 Rn. 187>) sein können. Insoweit fehlt schon eine Auseinandersetzung damit, dass der offene Zugriff auf ein IT-System zum Beispiel an Zugangssicherungen und Speicherverschlüsselungen scheitern könnte. Jedenfalls aber haben die Beschwerdeführenden nicht berücksichtigt, dass der offene Zugriff auf ein IT-System zum einen überhaupt nur eine Maßnahme nach § 100a Abs. 1 Satz 3 StPO ersetzen kann, da nur diese - anders als eine Maßnahme nach § 100a Abs. 1 Satz 2 StPO - auf gespeicherte frühere und nicht erst auf künftig stattfindende Kommunikation gerichtet ist. Zum anderen legen Behörden mit Maßnahmen nach §§ 94 ff., 102 ff. StPO ihre Ermittlungen offen, wodurch Beschuldigte sowie ein mögliches kriminelles Umfeld gewarnt und veranlasst werden könnten, Verdunkelungsmaßnahmen zu ergreifen. 119 (
  3. c)Die Beschwerdeführenden haben aber dargelegt, dass die Befugnisse zur Quellen-Telekommunikationsüberwachung nach § 100a Abs. 1 Sätze 2 und 3 StPO verfassungswidrig sein könnten, soweit sie in § 100a Abs. 1 Satz 1 Nr. 1, Abs. 2 StPO an - gemessen an ihrem Eingriffsgewicht - nicht hinreichend gewichtige Straftaten anknüpfen. Im Übrigen genügt ihr Vortrag nicht den Darlegungsanforderungen. 120 (
  4. aa)Die Beschwerdeführenden rügen, die Befugnisse in § 100a Abs. 1 Sätze 2 und 3 StPO knüpften nicht an hinreichend gewichtige Straftaten an. Die Befugnisse zur Quellen-Telekommunikationsüberwachung seien aufgrund ihres sehr hohen Eingriffsgewichts nicht verhältnismäßig, weil § 100a Abs. 1 Satz 1 Nr. 1 StPO als Eingriffsanlass lediglich den Tatverdacht für eine der vielfältigen Anlasstaten nach § 100a Abs. 2 StPO voraussetze, die nicht die Qualität der in § 100b Abs. 2 StPO genannten Anlassstraftaten erreichen müssten. Dieser Vortrag erfüllt die Darlegungsanforderungen. Da sich die Beschwerdeführenden allerdings nicht mit dem Gewicht der einzelnen in § 100a Abs. 2 StPO genannten Straftatbestände auseinandergesetzt haben, gilt dies nur insoweit, als das Gewicht der dort genannten Straftaten ohne Weiteres etwa anhand ihrer Strafrahmen bestimmt werden kann. Soweit es dagegen für die Bestimmung des Straftatengewichts auf weitere Umstände wie das geschützte Rechtsgut, Begehungsmerkmale oder Tatfolgen ankommt, fehlen Darlegungen dazu, warum die konkret in § 100a Abs. 2 StPO genannten Straftaten auf Grundlage der insoweit anwendbaren verfassungsrechtlichen Maßstäbe (vgl. BVerfGE 109, 279 <344>; 129, 208 <243 f.>; 169, 130 <220 Rn. 206>; dazu Rn. 207 ff.) nicht besonders schwer wiegen könnten. Schon mangels Rechtsschutzbedürfnisses ausgenommen ist darüber hinaus § 100b Abs. 2 Nr. 1 Buchstabe l StPO in der angegriffenen Fassung (dazu Rn. 104). 121 (
  5. bb)Dass die angegriffenen Regelungen in § 100a Abs. 1 Sätze 2 und 3 StPO auch deshalb verfassungswidrig sein könnten, weil die anordnende Stelle nicht gesetzlich verpflichtet wird, die Anforderungen der Angemessenheit bei Anordnung einer konkreten Maßnahme zu beachten, ist nicht hinreichend dargetan. Zwar stellen die Beschwerdeführenden insoweit nicht in Abrede, dass das anordnende Gericht - auch ohne eine entsprechende gesetzliche Regelung - verpflichtet ist, in jedem Einzelfall zu prüfen, ob eine Maßnahme insgesamt verhältnismäßig ist (vgl. dazu auch BVerfGE 141, 220 <266 f. Rn. 97> - Bundeskriminalamtgesetz I; 162, 1 <131 Rn. 288> - Bayerisches Verfassungsschutzgesetz). Warum es aber geboten sein könnte, dass diese schon von Verfassungs wegen bestehende Pflicht zusätzlich im Fachrecht abgesichert wird, haben sie allein mit ihrem Hinweis auf die Eingriffsintensität der Maßnahme und die "Ausstrahlungswirkung" des IT-System-Grundrechts nicht substantiiert dargelegt. Unabhängig davon wird § 100e Abs. 4 Satz 1, Satz 2 Nr. 2 StPO nicht in den Blick genommen, wonach die Anordnung einer Quellen-Telekommunikationsüberwachung einzelfallbezogen die wesentlichen Erwägungen zur Verhältnismäßigkeit der Maßnahme angeben muss. Warum daraus nicht folgen könnte, dass das anordnende Gericht zuvor diese Verhältnismäßigkeit auch zu prüfen hat, wird nicht erörtert. 122 (
  6. cc)Auch verfassungsrechtliche Mängel bezüglich der von den Beschwerdeführenden als nicht zureichend gerügten unabhängigen Vorabkontrolle werden nicht aufgezeigt. Insoweit fehlt schon eine selbstständig tragende verfassungsrechtliche Herleitung einer neben dem gesetzlichen Richtervorbehalt (vgl. § 100e Abs. 1 Satz 1 StPO) erforderlichen unabhängigen Vorabkontrolle zur Prüfung der Voraussetzungen des § 100a Abs. 5 StPO (vgl. auch BVerfG, Beschluss des Ersten Senats vom 24. Juni 2025 - 1 BvR 2466/19 -, Rn. 70). Soweit die Beschwerdeführenden eine effektive Prüfung durch den Richtervorbehalt nicht gewährleistet sehen, haben sie sich insbesondere nicht damit auseinandergesetzt, dass es Aufgabe und Pflicht des anordnenden Gerichts ist, sich eigenverantwortlich ein Urteil darüber zu bilden, ob die beantragte Überwachungsmaßnahme den gesetzlichen Voraussetzungen entspricht (vgl. BVerfGE 109, 279 <359>; 141, 220 <275 Rn. 118>). 123 (
  7. dd)Soweit die Beschwerdeführenden schließlich zur Begründung der Unangemessenheit der Befugnisse zur Quellen-Telekommunikationsüberwachung pauschal auf ihre gegenüber § 100b StPO erhobenen Rügen Bezug nehmen, haben sie diese nicht in Bezug auf § 100a Abs. 1 Sätze 2 und 3 StPO aufbereitet. Ungeachtet dessen sind die gegen § 100b StPO insoweit erhobenen Rügen unzulässig (vgl. unten Rn. 132 ff.), ohne dass dargelegt oder sonst ersichtlich wäre, warum hinsichtlich § 100a Abs. 1 Sätze 2 und 3 StPO eine andere Beurteilung geboten sein könnte. 124
(3)Die Beschwerdeführenden haben auch nicht aufgezeigt, dass § 100a Abs. 1 Sätze 2 und 3 StPO nicht den besonderen Anforderungen genügen könnten, die sich aus den jeweiligen Grundrechten in Verbindung mit Art. 1 Abs. 1 GG für die Durchführung von besonders eingriffsintensiven Überwachungsmaßnahmen an den Schutz des Kernbereichs privater Lebensgestaltung ergeben. Entsprechendes gilt, soweit die Beschwerdeführenden Art. 1 Abs. 1 GG isoliert gerügt haben. 125 (
  1. a)Es fehlt schon eine Auseinandersetzung mit den verfassungsgerichtlich ausformulierten Maßstäben zum grundrechtlichen Würdeanspruch im Allgemeinen und bei heimlichen Überwachungsmaßnahmen im Besonderen. Auch die verfassungsrechtlichen Maßstäbe zum Schutz des Kernbereichs haben die Beschwerdeführenden nicht näher in den Blick genommen. Soweit dieser einer freien, seine Bedeutung relativierenden Abwägung mit staatlichen Sicherheitsinteressen nicht zugänglich ist, berücksichtigen sie nicht, dass nicht jede tatsächliche Erhebung von höchstpersönlichen Informationen stets eine Menschenwürdeverletzung begründet. Absolut ausgeschlossen ist es zwar, den Kernbereich zum Ziel staatlicher Ermittlungen zu machen und diesbezügliche Informationen in irgendeiner Weise zu verwerten oder sonst zur Grundlage weiterer Ermittlungen zu machen (vgl. BVerfGE 141, 220 <278 Rn. 125>). Im Übrigen aber ist auf der Erhebungsebene ein Eindringen in den Kernbereich grundsätzlich nur insoweit zu vermeiden, als dies mit praktisch zu bewältigendem Aufwand möglich ist (vgl. BVerfGE 141, 220 <279 Rn. 128>; 165, 1 <61 Rn. 111>; stRspr); erst auf der Verwertungsebene sind die Folgen einer dennoch erfolgten Erhebung strikt zu minimieren (vgl. BVerfGE 141, 220 <278 f. Rn. 124, 126>). 126 (
  2. b)Dass die in § 100d Abs. 1 StPO für die Erhebungsebene geregelten Sicherungen des Kernbereichs dem nicht genügen könnten, haben die Beschwerdeführenden mit ihrer allein mit Blick auf § 100b Abs. 1 StPO näher begründeten Rüge nicht aufgezeigt. Insbesondere berücksichtigen sie nicht, dass die verfassungsrechtlichen Anforderungen an den Kernbereichsschutz im Hinblick auf verschiedene Überwachungsmaßnahmen unterschiedlich ausfallen können (vgl. dazu BVerfGE 141, 220 <279 Rn. 127>) und der Schutz abhängig von dem Charakter einer bestimmten Maßnahme auch zu einem großen Teil von der Erhebungsebene auf die nachgelagerte Aus- und Verwertungsebene verschoben sein kann (vgl. BVerfGE 141, 220 <306 f. Rn. 218 f.>; 162, 1 <129 f. Rn. 284>). Die Beschwerdeführenden hätten insoweit konkret darzulegen gehabt, inwieweit unter Berücksichtigung des spezifischen Charakters einer Quellen-Telekommunikationsüberwachung eine Verschärfung des auf Erhebungsebene bestehenden Kernbereichsschutzes geboten sein könnte. Eine solche Darlegung ist nicht erfolgt. Soweit sie auch einen mangelnden Schutz auf der Verwertungsebene rügen, übersehen sie das in § 100d Abs. 2 StPO geregelte absolute Verwertungsverbot; in Bezug auf die gegen § 100d Abs. 5 StPO gerichtete Rüge kann auf die Ausführungen zur Online-Durchsuchung verwiesen werden (unten Rn. 152). 127
  3. b)Der gegen die Befugnis zur Online-Durchsuchung nach § 100b Abs. 1 StPO gerichtete Vortrag genügt in weiten Teilen nicht den Begründungsanforderungen. 128 Die Beschwerdeführenden zeigen zwar auf, dass die angegriffene Regelung nicht nur in das IT-System-Grundrecht, sondern auch in Art. 10 Abs. 1 GG eingreifen und deshalb das Zitiergebot missachtet worden sein könnte (aa). Eine mögliche Unverhältnismäßigkeit der Eingriffe in beide Grundrechte ist aber weitgehend nicht dargetan (bb). Lediglich in Bezug auf einen Teilaspekt des Kernbereichsschutzes genügt ihr Vortrag den Darlegungsanforderungen (cc). 129
  4. aa)Die Beschwerdeführenden haben hinreichend dargelegt, dass Art. 10 Abs. 1 GG deshalb verletzt sein könnte, weil der Gesetzgeber dieses Grundrecht bei Einführung der Online-Durchsuchung nach § 100b Abs. 1 StPO unter Missachtung des Zitiergebots (Art. 19 Abs. 1 Satz 2 GG) nicht als eingeschränkt genannt hat. 130
  5. bb)Der gegen die Verhältnismäßigkeit der Maßnahme gerichtete Vortrag genügt dagegen nicht den Darlegungsanforderungen. 131
(1)Eine möglicherweise fehlende Eignung des § 100b Abs. 1 StPO wird nicht aufgezeigt (vgl. zu § 100a Abs. 1 Sätze 2 und 3 StPO näher Rn. 117). Dies gilt auch für die als fehlend gerügte Erforderlichkeit (vgl. Rn. 118), wobei die Beschwerdeführenden in Bezug auf die Online-Durchsuchung zudem auch deren gegenüber offenen Maßnahmen potentiell höheren Aufklärungserfolg nicht in den Blick genommen haben. Denn eine Online-Durchsuchung ermöglicht - anders als etwa eine Durchsuchung und Beschlagnahme eines IT-Systems - nicht nur einen Zugriff auf einen bestehenden Datenbestand, sondern eine darüber hinausgehende künftige Überwachung, weil nach Aufspielen einer Überwachungssoftware auch erst später erzeugte Daten ausgeleitet werden können. 132
(2)Die Beschwerdeführenden haben auch nicht aufgezeigt, dass die Online-Durchsuchung nach § 100b Abs. 1 StPO unverhältnismäßig im engeren Sinne sein könnte. 133 (
  1. a)Mögliche verfassungsrechtliche Mängel im Hinblick auf das Gewicht der in § 100b Abs. 2 StPO genannten Straftaten sind nicht dargetan. 134 (
  2. aa)Dies gilt zunächst für die Rüge, das Gewicht einer Vielzahl der in § 100b Abs. 2 StPO genannten Straftaten korreliere nicht mit den Anforderungen an die bei einer präventiven Online-Durchsuchung zu schützenden überragend wichtigen Rechtsgüter; eine repressive Online-Durchsuchung dürfe aber nur zugunsten solcher Rechtsgüter erfolgen, die hinreichend gewichtig seien, um eine vergleichbare präventive Maßnahme zu rechtfertigen. Insoweit fehlt schon eine Auseinandersetzung mit der verfassungsgerichtlichen Rechtsprechung: Danach kommt es für Maßnahmen, die der Strafverfolgung dienen und damit repressiven Charakter haben, auf das Gewicht der Straftaten an, die der Gesetzgeber in - jeweils näher bestimmte - erhebliche, schwere und besonders schwere Straftaten eingeteilt hat (vgl. BVerfGE 141, 220 <270 Rn. 107> mit Bezugnahme auf BVerfGE 109, 279 <343 ff.>; vgl. auch BVerfGE 162, 1 <118 Rn. 251>; 169, 130 <218 Rn. 202>). Maßgeblich für die Schwere des tatbestandlichen Unrechts sind der Rang des verletzten Rechtsguts und andere tatbestandlich umschriebene, gegebenenfalls auch in einem Qualifikationstatbestand enthaltene Begehungsmerkmale und weitere Tatfolgen. Sie allein müssen die besondere, deutlich über dem Durchschnitt liegende Schwere des jeweiligen Straftatbestandes begründen (BVerfGE 109, 279 <344>). Dabei gibt der Strafrahmen einer Deliktsnorm einen maßgebenden Anhaltspunkt dafür, ob es sich abstrakt um eine - wie hier erforderliche - besonders schwere Straftat handelt (vgl. BVerfGE 109, 279 <347>; 125, 260 <329>; 169, 130 <218 f. Rn. 202>). Ausgehend vom Strafrahmen einer Strafnorm liegt die besondere Schwere einer Straftat jedenfalls dann vor, wenn sie mit einer Höchstfreiheitsstrafe von mehr als fünf Jahren bedroht ist (vgl. BVerfGE 109, 279 <347 f., 349>; 165, 1 <93 Rn. 179>; 169, 130 <219 Rn. 203>). 135 (
  3. bb)Auch die konkrete Einordnung einzelner in § 100b Abs. 2 StPO genannter Straftatbestände als besonders schwer wird nicht substantiiert gerügt. Die verfassungsrechtlichen Maßstäbe, nach denen sich bemisst, ob der Gesetzgeber in zulässiger Ausfüllung seines Spielraums einen bestimmten Straftatbestand als besonders schwer bewertet hat, sind geklärt (vgl. zuletzt BVerfGE 169, 130 <218 ff. Rn. 201 ff.> m.w.N.; näher Rn. 209 ff.). Dass die einzelnen in § 100b Abs. 2 StPO genannten Katalogtaten hinter diesen Maßstäben zurückbleiben könnten, haben die Beschwerdeführenden nicht aufgezeigt. 136 (
  4. b)Die Rüge, der Gesetzgeber habe eine Online-Durchsuchung in § 100b Abs. 1 Nr. 1 StPO nur von einem qualifizierten Anfangsverdacht und damit von einer zu niedrigen Eingriffsschwelle abhängig gemacht, genügt nicht den Darlegungsanforderungen. Zwar ist neben der Schwere der Tat auch die Stärke des Tatverdachts mitentscheidend dafür, ob eine strafprozessuale Ermittlungsmaßnahme in einem angemessenen Verhältnis zu dem Gewicht der Grundrechtsbeeinträchtigung steht (vgl. BVerfGE 107, 299 <322>). Die Beschwerdeführenden

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.