In der Zentrale der Schweizer Daten-Spione

Oberflächlich betrachtet sieht alles genau gleich aus wie in tausenden anderen Schweizer Büros. Man könnte die Leute hier in Bern-Bümpliz heimlich bei der Arbeit filmen: Kein Mensch käme auf die Idee, dass sie einer ebenso umstrittenen wie seltenen Tätigkeit nachgehen. Einer, die man sonst nur aus Kriminal- oder Spionagefilmen kennt.

Doch dass der oberflächliche Schein zuweilen trügt, davon könnten die Menschen, die hier arbeiten, sicher einiges erzählen, wenn sie denn dürften. Sie arbeiten beim «Dienst Überwachung Post- und Fernmeldeverkehr», kurz Dienst ÜPF. Der Dienst ist zuständig für die reibungslose Durchführung sämtlicher rechtmässiger Überwachungen gemäss dem entsprechenden Bundesgesetz, dem BÜPF, dessen Revision am 19. März im Ständerat mit 94 Prozent der Stimmen angenommen wurde.

36 Leute arbeiten hier insgesamt, die Mehrheit von ihnen in drei ungefähr gleich grossen, rechteckigen Räumen. Kurze Reihen mattweisser Pulte, Aktenschränke und Ablageflächen, Zimmerpflanzen, PCs, Laptops, Papierstapel, im Gang eine kleine Kaffee-Ecke. Konzentriert blicken sie in ihre Bildschirme, tippen auf ihren Tastaturen oder sprechen leise in ihre Telefonhörer. Ein junger Mann verpackt DVDs, kontrolliert die Empfängeradresse noch einmal ganz genau, dann stellt er seine Pakete in eine Plastikbox für die eingeschriebene Post. Es ist 14 Uhr, der Stapel in der Box hat schon eine beachtliche Höhe.

Es sind nicht die neusten Hollywoodfilme, die der junge Mann verschickt. Auf den DVDs ist Abhör- oder Überwachungsmaterial gespeichert, zum Beispiel Telefongespräche oder Internet- und E-Mail-Verkehrsdaten verdächtiger Personen. Die Adressaten der Pakete: Schweizer Polizeifahnder aus verschiedenen Kantonen. Der Mann in der Ecke, der leise in den Telefonhörer spricht, Turnschuhe, Kapuzenpulli, er ist gerade dabei, ein technisches Problem zu lösen. Irgendetwas klappt bei einer Telefon-Direktüberwachung zwischen Provider via Dienst ÜPF zur Kantonspolizei noch nicht so, wie es sollte.

Die Überwachung läuft jetzt gerade live, doch die Polizeibeamten hören den Verdächtigen nicht ganz optimal. Ob die Polizei am anderen Ende der Leitung gerade einen potenziellen Wirtschaftskriminellen im Kanton Zug, einen vermeintlichen Drogendealer in Zürich oder einen Dieb in St. Gallen belauscht, das wissen die Mitarbeiter des Dienstes in 99 Prozent der Fälle nicht: Sie haben grundsätzlich keinen Einblick in den Inhalt der Überwachungen. Nur in Problemfällen könne es vorkommen, dass Techniker des Dienstes auf Anfrage der Polizei in Gespräche reinhören müssen.

Fast alles, was hier vor sich geht, ist nur hier alltäglich. Doch es geschehe auch alles genau nach dem Buchstaben des Schweizer Gesetzes, versichert Nils Güggi. Güggi ist der stellvertretende Leiter Recht und Controlling beim Überwachungsdienst, intern gleichzeitig zuständig für den Daten- und Informationsschutz. Dazu beantwortet er mit seinem Team auch die Fragen der Medien und der Bevölkerung.

Kritische Fragen? Besorgte Fragen? «Ja, die gibt es», sagt Güggi. Manchmal klinge das, was er in seiner Inbox lese, sogar sehr besorgt. Güggi habe grosses Verständnis für die Ängste und Sorgen der Bevölkerung. «Die Öffentlichkeit hat ein Recht, zu wissen, was wir tun.» Es sei wichtig, sich diesen Fragen zu stellen. Und er tue es gerne, sagt der Mann mit der ruhigen Stimme.

Doch es gebe auch Rückmeldungen und Artikel, die ihn ärgerten, so Güggi. Etwa, wenn der Dienst ÜPF in einem Atemzug mit der National Security Agency (NSA) genannt werde. «Das eine hat doch mit dem anderen rein gar nichts zu tun», sagt er, für ein einziges Mal im Gespräch ohne den ruhigen Ton. «Bei uns werden nur bei dringendem Tatverdacht, nur wenn die Straftat genügend schwerwiegend ist, nur wenn die Ermittlungen ohne die Überwachung aussichtslos wären und nur mit richterlicher Genehmigung Überwachungen durchgeführt. Das sind doch zu Recht strenge Vorgaben.»

Güggi bedauert, dass, wie er meint, alle Technologie-Themen in denselben grossen Topf geworfen werden. «Am Ende kann man sogar lesen, wir seien wie die NSA. Das ist wirklich Quatsch, und man kann sich ja vorstellen, was ich nach so einem Artikel

für Mails in meiner Inbox habe.»

Es sei ja nicht allzu kompliziert. Der Dienst überwache und speichere erstmal überhaupt nichts – die Randdaten von Telefonie und Internet werden von den Anbietern gespeichert. «Erst wenn alle bereits erwähnten Voraussetzungen der Strafprozessordnung erfüllt sind, muss der Dienst aktiv werden», so Güggi. Die Aufgabe des Dienstes ÜPF: sicherstellen, dass die Polizei an das gewünschte Material kommt und dass alles rechtmässig vonstattengeht. Der Dienst ÜPF als Service- und Controlling-Schnittstelle zwischen Provider und Polizei. Eine Schnittstelle im Dauereinsatz: 16'015 Überwachungen führte der Dienst ÜPF im Jahr 2013 durch. Tendenz steigend.

Die Frage, ob denn nicht schon die Vorratsdatenspeicherung der Randdaten bei den Providern einer Überwachung gleichkomme, verneint Güggi. Er vertritt die Ansicht, Überwachung fange erst dann an, wenn die Behörden die Daten wirklich anschauten. Und das, betont er einmal mehr, geschehe nur bei begründetem Verdacht und auf richterlichen Beschluss.

Was sagt er zum Entscheid des Europäischen Gerichtshofes (EUGH), der die Vorratsdatenspeicherung in der EU – dem Schweizer Modell insgesamt nicht unähnlich – zwar nicht grundsätzlich, aber in ihrer derzeitigen Form dennoch verworfen hat? Güggi: «Die EU-Richtlinie wurde von der Schweiz im Rahmen der bilateralen Verträge mit der EU nicht übernommen. Die Schweiz ist daher nicht an den Entscheid des EUGH gebunden.»

Güggi betont weiter: «Bei der laufenden Revision des BÜPF haben der Bundesrat und auch die Rechtskommission des Ständerats darauf geachtet, dass die Bundesverfassung und die Europäische Menschenrechtskonvention respektiert werden. Die beigezogenen Experten haben bestätigt, dass die Revisionsvorlage mit den Grundrechten vereinbar ist. Die Voraussetzungen in der Schweiz sind zudem strenger als in der verworfenen EU-Richtlinie.»

Im Büro nebenan herrscht ebenfalls konzentrierte Ruhe. Es ist Freitagnachmittag, doch von lockerer Freitagnachmittagsstimmung ist nichts zu spüren. Überwachungen halten sich nicht an geregelte Arbeitszeiten. Ein Techniker bearbeitet mit der rechten Hand seine Tastatur, in der linken hält er ein Sandwich. Neben seinem Pult steht ein kleines Rolltischchen, darauf verschiedene technische Geräte, verbunden zu einem komplexen farbigen Kabelsalat. «Eine mobile Kleinanlage», erklärt Güggi, «für den Einsatz etwa in einem Hotel.» «Also zum Beispiel: ‹Grüezi, wir brauchen Telefon und Internet vom Gast im Zimmer 136, hier ist der richterliche Beschluss?›» «Ja, ungefähr so», sagt Güggi. «Das ist zwar ein Ausnahmefall, weil die meisten Überwachungsmassnahmen direkt von den Providern umgesetzt werden, aber es kommt ganz selten auch vor, dass der Dienst ÜPF aushelfen muss.»

16'015 Überwachungsaufträge der Strafverfolgungsbehörden – das bedeutet gegenüber dem Vorjahr (14'968) eine Zunahme um 6,54 Prozent – und gegenüber 2011 (12'375 Überwachungen) sogar um 22,73 Prozent. Deutliches Wachstum, die Bedeutung des Dienstes ÜPF wächst mit. Und die Revision des BÜPF, falls sie im Parlament so durchkommt, gibt dem Dienst mehr Verantwortung. Vom blossen Dienstleister würde er bald zum Hüter und Pfleger einer neuen Datenbank, in der alle vom Dienst durchgeführten Überwachungen zentral gespeichert werden. Bis zu dreissig Jahre lang. Auch das steht im Gesetzesentwurf zum neuen BÜPF.

Die Überlegungen dahinter: Die zentrale Speicherung soll Ordnung bringen. Heute landen die individuell durchgeführten Überwachungen auf diversen Speichermedien – etwa den DVDs, die per Post verschickt werden – in einzelnen Dossiers in verschiedenen Polizeiarchiven in der ganzen Schweiz verstreut. Güggi: «Das ist ein Teil des Problems. Hinzu kommt, dass die Daten auch bis zur Vernichtung der Akten verfügbar sein müssten. Das ist bei manchen der derzeit verwendeten Speichermedien einfach nicht gewährleistet.» Die zentrale Aufbewahrung vereinfache auch das Wiederauffinden von Daten, spare damit viel Zeit.

Doch ist die zentrale Speicherung aller rechtmässig durchgeführten Überwachungen in einer Datenbank nicht auch ein potenzielles Sicherheitsrisiko? Oder anders ausgedrückt: Hat die Versenkung aller Überwachungen in individuelle Polizeidossiers, so wie bisher geschehen, nicht immerhin den Vorteil, dass es einem einzelnen Angreifer – etwa einem Hacker – niemals gelingen könnte, auf einen Schlag an sämtliche je durchgeführten Überwachungen in der Schweiz zu gelangen?

Güggi zuckt mit den Schultern. «Ich kann unsere umfangreichen Sicherheitsvorkehrungen nicht im Detail kommentieren», sagt er. Das gelte auch für die heutigen Sicherheitsmassnahmen beim Versand der DVDs per Post. Er habe aber auch nicht das Gefühl, dass die Daten ein besonders attraktives Angriffsziel darstellten – auch, weil gezielte Angriffe auf Einzelpersonen sicher viel erfolgsversprechender seien. Mehr möchte er dazu nicht sagen.

Die Treppe führt steil hinunter. Bis hierhin gelangt nur, wer mehrere Türen mit Badges und elektronischen Codes öffnen kann. Wir sind tief unter dem Gebäude, in einem langen Gang. Er endet in einem Raum, der an einen Bunker erinnert, vor einer gepanzerten Türe, dem ersten Teil einer Sicherheitsschleuse. Dahinter verbirgt sich das Herzstück des Dienstes, das eigentliche Datenverarbeitungszentrum, die Technik, die Server.

Der Dienst ÜPF ist gemäss Artikel 12, Absatz 1 des Gesetzesentwurfs (PDF) des neuen BÜPF verantwortlich für die Sicherheit sämtlicher Daten – auch für diejenigen in der neuen Datenbank. Aber wer ist dafür verantwortlich, dass sichergestellt wird, dass der Dienst diese Aufgaben korrekt ausführt? Dass er seiner Verantwortung und der Sorgfaltspflicht im Umgang mit Daten – beides wird mit der neuen Datenbank noch wichtiger werden – auch nachkommt? Und dass er die Verantwortung, die Sorgfaltspflicht und das Vertrauen nicht missbraucht?

Im vom Ständerat angenommenen Gesetzesentwurf finden sich diesbezüglich keine von externer Stelle vorgesehenen Kontrollmechanismen. Es heisst lediglich, der Bundesrat erlasse Vorschriften über die technischen und organisatorischen Schutzmassnahmen (Artikel 12, Absatz 2). Anders ausgedrückt: Der Dienst ÜPF kontrolliert sich weiterhin selbst, mehr ist, jedenfalls was die rechtlichen Grundlagen im Gesetzesentwurf betrifft, nicht vorgesehen. Für die Kontrolle zuständig ist unter anderem die Abteilung Recht und Controlling, deren stellvertretender Leiter Nils Güggi ist.

Zu den technischen Details will Güggi auch hier nichts sagen. Aber zu den organisatorischen Massnahmen gehöre beispielsweise, dass sich alle Mitarbeitenden des Dienstes ÜPF einer Personensicherheitsprüfung unterziehen müssten oder dass bei Schaltungen von Überwachungen das 4-Augen-Prinzip gelte. Er beteuert: «Wir sind bis ins kleinste Detail konzeptionell gegen Missbrauch abgesichert. Und es gibt bundesintern sehr wohl Kontrollmechanismen – sogar extrem viele. Wenn Sie wüssten, was da alles kontrolliert und vorgeschrieben wird ... Da diese Vorschriften aber sowieso gelten, macht es keinen Sinn, uns zusätzlich nochmals im Gesetz auf die Einhaltung zu verpflichten.»

Dicke Bündel von Kabeln verschwinden in einer kahlen Wand aus Beton. Die Schleusentüre bleibt verschlossen. Weder Nils Güggi noch der Leiter des Dienstes ÜPF haben Zutritt zum Rechenzentrum dahinter. Auch das sei eine Sicherheitsmassnahme: Zum heikelsten Bereich seien nur ganz wenige Personen zugelassen. Wir kommen hier nicht weiter und gehen durch die verschlungenen Gänge zurück ans Tageslicht.