OGH zur Crypto-Handy-Beweise: SkyECC und EncroChat vor Gericht
Der Oberste Gerichtshof hat in zwei Entscheidungen die Zulässigkeit von Beweisen aus abgehörten Verschlüsselungshandys geprüft. Das Ergebnis fällt je nach Herkunft der Daten unterschiedlich aus.
OGH prüft Verwertbarkeit von Crypto-Handy-Daten in Strafverfahren
Der Österreichische Oberste Gerichtshof (OGH) hat in zwei getrennten Entscheidungen untersucht, ob Beweise aus verschlüsselten Mobiltelefonen – sogenannten Crypto-Phones – in österreichischen Strafverfahren verwendet werden dürfen, wenn sie von ausländischen Behörden beschafft wurden. Wie Mondaq berichtet, kommen die Senate dabei zu teils gegensätzlichen Ergebnissen, je nachdem, ob die Daten aus EU- oder Nicht-EU-Quellen stammen.
Hintergrund: Der „Bundestrojaner" und seine verfassungsrechtliche Geschichte
Die verdeckte Installation von Entschlüsselungssoftware auf Mobiltelefonen – im österreichischen Diskurs als „Bundestrojaner" bekannt – ist seit Jahren rechtlich umstritten. Der Verfassungsgerichtshof erklärte entsprechende Maßnahmen im Dezember 2019 für verfassungswidrig, weil der schwerwiegende Eingriff in Artikel 8 EMRK nicht durch ausreichende Schutzmaßnahmen ausgeglichen wurde. Zudem fehlten Garantien, dass die Überwachung auf die Verfolgung schwerer Straftaten beschränkt bliebe. Seither steht die Frage einer verfassungskonformen Neuregelung im Raum.
Zwei OGH-Senate, zwei Fälle mit EU-Bezug
In den Entscheidungen 14 Os 107/24b und 11 Os 129/24s befassten sich zwei separate Senate mit Fällen, in denen EU-Mitgliedstaaten Entschlüsselungssoftware ohne Wissen der Nutzer auf Crypto-Phones installierten – darunter Geräte der Plattformen SkyECC und EncroChat. Die gewonnenen Daten wurden anschließend österreichischen Behörden für Strafverfahren zur Verfügung gestellt.
Der OGH stützte sich dabei auf das Urteil des Europäischen Gerichtshofs (EuGH, C-670/22, M.N. [EncroChat]). Darin stellte der EuGH fest, dass das Infiltrieren von Endgeräten zur Erhebung von Verkehrs-, Standort- und Kommunikationsdaten als „Telekommunikationsüberwachung" gilt. Gemäß Artikel 31 Absatz 1 der Richtlinie 2014/41/EU hätte die ausführende ausländische Behörde die österreichische Staatsanwaltschaft über die Maßnahme informieren müssen.
Wäre eine solche Benachrichtigung erfolgt, hätte die Staatsanwaltschaft innerhalb von 96 Stunden mitteilen können, dass die Überwachung im österreichischen Hoheitsgebiet unzulässig war oder einzustellen gewesen wäre – und dass die bereits erhobenen Daten nicht verwendet werden dürfen. Diese Regelung ergibt sich aus § 55d Abs. 7 des EU-Justizkooperationsgesetzes (EU-JZG).
Im österreichischen Recht führt ein Beweisverwendungsverbot zur Nichtigkeit des Urteils, sofern das unzulässige Beweismittel im Verfahren eingesetzt wurde. Eine „Fernwirkung" – also die automatische Unzulässigkeit aller darauf aufbauenden Folgebeweise nach dem Vorbild der US-amerikanischen „fruit of the poisonous tree"-Doktrin – kennt das österreichische Recht hingegen nicht.
Einen abschließenden Spruch fällten die Senate in diesen Fällen nicht: Es war noch ungeklärt, ob die ausländischen Behörden die Daten auf eine Weise beschafft hatten, die einem Vollstreckungshindernis entspricht, und ob Österreich darüber informiert worden war. Diese Fragen sind in weiteren Verfahrensschritten zu klären.
Dritter Fall: Nicht-EU-Behörden und ein anderes Ergebnis
Kurz vor der Entscheidung 11 Os 129/24s erging eine weitere Entscheidung (14 Os 14/24a) desselben Senats, der auch 14 Os 107/24b verantwortet hatte. Die Sachlage erscheint auf den ersten Blick vergleichbar, das Ergebnis ist jedoch grundlegend verschieden.
In diesem Fall hatten ausländische Behörden – konkret aus den USA und Australien – verschlüsselte Mobiltelefone mit vorinstallierter Entschlüsselungsmöglichkeit in mutmaßliche Verbrecherorganisationen eingeschleust (sogenannte ANOM-Phones). In einer weiteren Operation beschlagnahmten dieselben Behörden den Server eines Kommunikationsanbieters, der seinen Kunden Geräte mit Verschlüsselungssoftware vertrieben hatte (SKY-ECC-Phones), und machten so die darüber geführte Kommunikation zugänglich. Die österreichischen Behörden waren an diesen Operationen nicht beteiligt, erhielten die Daten jedoch im Nachgang und nutzten sie in einem Strafverfahren, das zur Verurteilung eines Täters führte.
Der OGH entschied, dass die Beweise in diesem Verfahren verwertbar waren und die Verurteilung tragen konnten. Der entscheidende Unterschied: Die Behörden, die das Einschleusen der Handys veranlasst hatten, stammten aus Nicht-EU-Staaten. Damit sind die Vorgaben der Richtlinie 2014/41/EU, des EU-JZG sowie die EuGH-Rechtsprechung zum EncroChat-Verfahren schlicht nicht anwendbar. Auch einschlägige bilaterale Verträge zwischen Österreich und den USA beziehungsweise Australien sehen keine vergleichbaren Folgen vor.
Der OGH legte ausführlich dar, dass im Ausland ohne Beteiligung österreichischer Behörden erlangte Beweise – selbst wenn sie nach österreichischem Recht nicht zulässig gewesen wären – nicht zwingend unverwertbar sind. Voraussetzung ist, dass kein fundamentales Verfahrensprinzip verletzt wurde (etwa ein Beweisverwertungsverbot bei Folter) und dem Beschuldigten das rechtliche Gehör gewährt wurde.
Serverbeschlagnahme in Frankreich: Unterscheidung bleibt offen
Hinsichtlich der Beschlagnahme des SKY-ECC-Servers, die in Frankreich stattfand, deutete der OGH eine mögliche Differenzierung zwischen aktiven Überwachungsmaßnahmen und der Sicherstellung von Servern an. Eine abschließende Klärung dieser Frage steht noch aus.
Bedeutung für die Praxis
Die Entscheidungen verdeutlichen, dass die Verwertbarkeit von Crypto-Handy-Daten in Österreich maßgeblich davon abhängt, welcher Staat die Beschaffungsmaßnahme durchgeführt hat und ob dabei EU-Recht zur Anwendung kommt. Verfahren, in denen ausländische EU-Behörden Verschlüsselungsgeräte infiltriert haben, stehen vor deutlich höheren Zulässigkeitshürden als jene, bei denen Daten von Nicht-EU-Staaten stammen. Die Strafgerichte werden diese Fragen in den bevorstehenden Verfahrensrunden fallspezifisch zu beurteilen haben.
Source: Mondaq