Staatstrojaner: BKA zahlte 325.666 Euro an FinFisher​

Das Bundeskriminalamt (BKA) hat viele Schwärzungen in einem Vertrag über den Bezug des Staatstrojaners FinSpy der Münchner Firma FinFisher rechtswidrig vorgenommen. Das hat das Verwaltungsgericht Wiesbaden in einem jetzt veröffentlichten Urteil vom 6. Mai entschieden. Demnach darf die Öffentlichkeit etwa wissen, dass die Polizeibehörde mit Steuern insgesamt 325.666 Euro für das nicht erfolgreich eingesetzte Überwachungsinstrument ausgegeben hat (Az.: 6 K 924/21.WI).

Das Geschäft des BKA mit FinFisher hatte das Portal Netzpolitik.org 2013 enthüllt. Die Vergabeunterlagen der Ausschreibung waren seit 2014 öffentlich, der erste Vertrag mit dem Unternehmen seit 2015. Erst nach Klagen auf Grundlage des Informationsfreiheitsgesetzes (IFG) hatte das BKA die Dokumente herausgegeben, viele Informationen darin aber geschwärzt – darunter den Namen des Vertriebspartners und dessen Geschäftsführers, obwohl diese bereits öffentlich waren.

Netzpolitik und das Transparenzportal FragDenStaat zogen daraufhin erneut gegen die Behörde vor Gericht. Das sprach den Klägern einen weitergehenden Anspruch auf Herausgabe von Informationen zu. Das BKA und die eng mit FinFisher verknüpfte Firma Elaman aus der Gamma Group, über die der Vertrag zu FinSpy und seine Überarbeitungen abgewickelt wurden, müssen die Gerichtsgebühren und die außergerichtlichen Kosten der Aktivisten bezahlen.

"Geheimhaltungsinteresse fehlt"

2013 gab das BKA laut Original-Vertrag 123.669 Euro netto für FinFisher aus, was fast 150.000 Euro brutto entspricht. Eine nun ebenfalls veröffentlichte, weniger geschwärzte Ergänzung des Vertrags umfasst weitere 150.000 Euro netto. Auch diese Summe wollte das BKA zunächst verheimlichen. Doch ein Pauschalpreis ist laut Gericht kein schützenswertes Betriebs- und Geschäftsgeheimnis: "Es fehlt hier am berechtigten Geheimhaltungsinteresse."

Der Vertrag hat 14 Anlagen. Schon deren reine Bezeichnung, aus der etwa der Name "FinSpy PC" des konkret erworbenen Produkts hervorgeht, wollten das BKA nicht nennen. Das Gericht konnte dies genauso wenig nachvollziehen wie die zunächst erfolgte Schwärzung der Kopfzeile "Verschlusssache – Nur für den Dienstgebrauch". Eine solche formale Einstufung an sich reiche nicht, um eine Geheimhaltung zu begründen.

Weiter geschwärzt bleibt der Name des unterschreibenden BKA-Beamten. Auch die Geheimhaltung einzelner Leistungen, Kosten und Termine sowie Angaben zum Quellcode hatte das Gericht bereits im ersten Urteil 2015 bestätigt. Es befürchtete, dass damit der Einsatz der Software und so eine Quellen-Telekommunikationsüberwachung (TKÜ) zur Terrorismusbekämpfung verhindert werden könnte.

Vertrag wieder gekündigt

FinFisher musste den Staatstrojaner fünf Jahre lang überarbeiten, um gesetzlich vorgegebene Schutzbestimmungen einzuhalten. Das BKA durfte FinSpy so erst von 2018 an grundsätzlich einsetzen. Im selben Jahr tauchte die Spyware in der Türkei auf Geräten etwa von Oppositionellen auf, woraufhin das hiesige Polizeiamt den Vertrag nach wenigen Monaten wieder kündigte. Mittlerweile ist FinFisher insolvent und soll aufgelöst worden sein.

In den vergangenen Jahren tat sich das BKA generell schwer mit der Entwicklung und Beschaffung von Software, mit der verschlüsselte Internet-Telefonate und Messenger-Chats abgehört sowie Computer oder Mobilgeräte ausspioniert werden können. Der von der Polizeibehörde zunächst in Eigenregie für 5,77 Millionen Euro gebaute Bundestrojaner taugte anfangs nur für die Quellen-TKÜ. Eine leistungsstärkere Version für weitergehende heimliche Online-Durchsuchungen war lange in der Mache. Voriges Jahr wurde bekannt, dass das BKA zwischen 2017 und 2020 in keinem abgeschlossenen Ermittlungsverfahren oder Gefahrenabwehrvorgang Staatstrojaner anwandte.

(vbr)