Gerichte bewerten digitale Hinweise aus den USA unterschiedlich

NCMEC-Meldung Rechtsanwalt Oliver Marson
Rechtsanwalt Oliver Marson

Zahlreiche Ermittlungsverfahren wegen des Verdachts kinder- oder jugendpornographischer Inhalte beginnen mit einer Meldung des National Center for Missing and Exploited Children, kurz NCMEC. Das NCMEC ist keine amerikanische Strafverfolgungsbehörde, sondern eine private US-amerikanische Organisation. Amerikanische Internetdienste übermitteln ihr Verdachtsmeldungen, wenn deren Systeme möglicherweise strafbare Bild- oder Videodateien erkennen. Das NCMEC erstellt anschließend einen CyberTipline-Report und leitet diesen bei einem Deutschlandbezug an das Bundeskriminalamt weiter.

Der Report kann unter anderem folgende Informationen enthalten:

  • Benutzername oder E-Mail-Adresse,
  • IP-Adresse und Zeitstempel,
  • Kontodaten,
  • Hashwerte,
  • einzelne Bild- oder Videodateien,
  • Angaben des meldenden Internetdienstes.

Anschließend ermitteln deutsche Behörden den Anschlussinhaber. Daraufhin beantragt die Staatsanwaltschaft häufig einen Durchsuchungsbeschluss. Allerdings identifiziert eine IP-Adresse zunächst nur einen Internetanschluss. Sie beweist weder, wer ein bestimmtes Endgerät bedient hat, noch wer eine Datei bewusst hochgeladen oder versandt hat. Gerade deshalb streiten die Gerichte darüber, wann eine NCMEC-Meldung einen ausreichenden Anfangsverdacht gegen eine konkrete Person begründet.

Welche Voraussetzungen gelten für eine Hausdurchsuchung?

Die Durchsuchung beim Beschuldigten richtet sich nach §§ 102 und 105 StPO. Weil die Durchsuchung erheblich in das Grundrecht auf Unverletzlichkeit der Wohnung aus Art. 13 GG eingreift, benötigt das Gericht zureichende tatsächliche Anhaltspunkte für eine bereits begangene Straftat. Bloße Vermutungen genügen nicht. Der Anfangsverdacht muss außerdem gerade gegen die Person bestehen, deren Wohnung durchsucht werden soll. Die Ermittlungsbehörden dürfen deshalb nicht zunächst eine gesamte Familie durchsuchen, um erst auf diesem Weg festzustellen, wer möglicherweise eine Datei verwendet hat. Zusätzlich muss die Durchsuchung verhältnismäßig sein. Das Gericht muss daher insbesondere berücksichtigen:

  • die Stärke des Tatverdachts,
  • die Schwere des Vorwurfs,
  • den zeitlichen Abstand zur gemeldeten Handlung,
  • die Wahrscheinlichkeit, noch Beweismittel zu finden,
  • mögliche weniger belastende Ermittlungsmaßnahmen,
  • die Zahl möglicher Nutzer des Anschlusses.

Gerade diese Anforderungen standen im Mittelpunkt zweier kritischer Entscheidungen des Landgerichts Detmold und des Amtsgerichts Reutlingen.

LG Detmold: NCMEC-Meldung ließ keine sichere Täterzuordnung zu

Das Landgericht Detmold erklärte mit Beschluss vom 11. April 2022 – 23 Qs 27/22 – eine bereits vollzogene Durchsuchung für rechtswidrig. Ausgangspunkt war eine NCMEC-Meldung. Danach sollte ein unbekannter Nutzer über eine E-Mail-Adresse Dateien auf Dropbox hochgeladen haben, die das NCMEC als kinder- beziehungsweise jugendpornographisch bewertete.Die weiteren Ermittlungen führten zwar zu einer Telefonnummer und einer Wohnanschrift. Allerdings war die Telefonnummer nicht dem späteren Beschuldigten, sondern seiner Mutter zugeordnet. Außerdem lebten unter der Anschrift mehrere weitere Personen. Mindestens zwei von ihnen kamen nach Alter und Geschlecht ebenfalls als mögliche Nutzer in Betracht. Deshalb bestanden nach Auffassung des Landgerichts bereits erhebliche Zweifel, ob der Tatverdacht ausreichend auf den Beschuldigten zugeschnitten war. Hinzu kam der Zeitablauf. Zwischen dem gemeldeten Upload und dem Erlass des Durchsuchungsbeschlusses lag mehr als ein Jahr. Weitere verdächtige Handlungen waren während dieses Zeitraums nicht bekannt geworden. Ebenso fehlten konkrete Hinweise darauf, dass der Beschuldigte noch über die gemeldeten Dateien oder weiteres strafbares Material verfügte.

Das Gericht beanstandete deshalb insbesondere:

  • die unklare Zuordnung der E-Mail-Adresse,
  • die Zuordnung der Telefonnummer zu einer anderen Person,
  • mehrere mögliche Nutzer in demselben Haushalt,
  • den schwachen personenbezogenen Tatverdacht,
  • den erheblichen Zeitablauf,
  • die fehlende konkrete Auffindewahrscheinlichkeit.
  • Das Landgericht hielt die Durchsuchung bei einer Gesamtwürdigung für unverhältnismäßig.

Kein allgemeines Beweisverwertungsverbot durch das LG Detmold

Die Verteidigung hatte zusätzlich argumentiert, die vom NCMEC und vom BKA übermittelten Erkenntnisse unterlägen einem Beweisverwertungsverbot. Sie machte geltend, deutsche Behörden lagerten unzulässige Ermittlungsmaßnahmen auf eine private ausländische Organisation aus. Das Landgericht musste diese weitreichende Frage jedoch nicht abschließend entscheiden. Es erklärte die Durchsuchung bereits wegen des schwachen Tatverdachts und der fehlenden Verhältnismäßigkeit für rechtswidrig. Aus dem Beschluss folgt deshalb kein allgemeines Verbot, NCMEC-Daten in deutschen Strafverfahren zu verwenden. Die Entscheidung zeigt dennoch: Eine NCMEC-Meldung darf nicht schematisch übernommen werden. Vielmehr müssen Staatsanwaltschaft und Gericht prüfen, ob die Angaben tatsächlich eine konkrete Person belasten und ob nach dem Zeitablauf noch mit dem Auffinden von Beweismitteln zu rechnen ist.

AG Reutlingen: CyberTipline-Report nicht forensisch überprüfbar

Noch grundsätzlicher äußerte sich das Amtsgericht Reutlingen mit Beschluss vom 18. August 2022 – 5 Ds 52 Js 9104/22 jug. Das Gericht lehnte die Eröffnung des Hauptverfahrens ab. Für die Eröffnung wäre nach § 203 StPO ein hinreichender Tatverdacht erforderlich gewesen. Eine spätere Verurteilung hätte daher wahrscheinlicher sein müssen als ein Freispruch. Das Amtsgericht kritisierte insbesondere die mangelnde Transparenz des NCMEC-Verfahrens. Aus den vorliegenden Unterlagen ließ sich nicht zuverlässig nachvollziehen:

  • welches technische System die Datei erkannt hatte,
  • ob ein Mensch die Datei überprüft hatte,
  • welche Algorithmen eingesetzt wurden,
  • wie die Datenzuordnung erfolgte,
  • wie die Beweismittelkette dokumentiert war,
  • welches konkrete Endgerät den Versand ausgelöst hatte,
  • welche Person das Endgerät tatsächlich bedient hatte.

Die deutschen Behörden und Gerichte hatten keinen unmittelbaren Zugriff auf die technische Infrastruktur des meldenden Unternehmens und des NCMEC. Deshalb konnten sie die Entstehung des Reports nicht anhand anerkannter forensischer Maßstäbe selbst nachvollziehen. Außerdem führte die dynamische IP-Adresse lediglich in einen Haushalt. Sie belegte jedoch nicht, dass gerade der Angeschuldigte den Instagram-Account bedient oder die gemeldete Datei versandt hatte. Das Amtsgericht verlangte deshalb zusätzliche Ermittlungen. Dazu hätten beispielsweise weitere Kontodaten, Geräteinformationen, Standortdaten, Login-Daten oder sonstige Anhaltspunkte für einen konkreten Nutzer gehören können. Die bloße Annahme, eine Person passe aufgrund ihres Alters oder Geschlechts eher zum Inhalt einer Datei, genügt nicht. Denn aus dem Inhalt einer strafbaren Datei lässt sich nicht zuverlässig auf ihren konkreten Nutzer schließen.

Anfangsverdacht und hinreichender Tatverdacht unterscheiden

Die beiden Entscheidungen betreffen unterschiedliche Verfahrensstufen. Für eine Durchsuchung genügt ein Anfangsverdacht. Die Schwelle liegt deshalb vergleichsweise niedrig. Dennoch muss der Verdacht auf konkreten Tatsachen beruhen und sich auf den Betroffenen beziehen. Für die Eröffnung des Hauptverfahrens benötigt das Gericht dagegen einen hinreichenden Tatverdacht. Nach Abschluss der Ermittlungen muss eine Verurteilung wahrscheinlicher sein als ein Freispruch. Deshalb kann eine NCMEC-Meldung möglicherweise erste Ermittlungen rechtfertigen, obwohl sie für eine Anklage oder Verurteilung nicht ausreicht. Allerdings darf die niedrige Schwelle des Anfangsverdachts nicht dazu führen, dass eine Hausdurchsuchung lediglich dazu dient, den bisher fehlenden personenbezogenen Tatverdacht erst zu erzeugen. Eine Durchsuchung setzt einen Verdacht voraus. Sie darf nicht an die Stelle des Verdachts treten.

Andere Gerichte lassen NCMEC-Meldungen genügen.

Die Rechtsprechung ist nicht einheitlich.

Das Landgericht Bamberg hielt mit Beschluss vom 18. Dezember 2023 – 15 Qs 86/23 – eine Durchsuchung für zulässig, nachdem die gemeldete IP-Adresse zum Anschluss eines erwachsenen Mannes geführt hatte. Nach Auffassung des Gerichts musste der Umstand, dass möglicherweise weitere Haushaltsmitglieder den Anschluss nutzten, den Anfangsverdacht nicht beseitigen.

Auch das Landgericht Paderborn nahm mit Beschluss vom 20. September 2024 – 1 Qs 94/24 – einen ausreichenden Anfangsverdacht an. Dort führte die IP-Adresse zum Anschluss des Beschuldigten. Zwar lebte seine Großmutter ebenfalls in der Wohnung, dennoch hielt das Gericht sie nach kriminalistischer Erfahrung für eine wesentlich weniger wahrscheinliche Täterin.

Diese Entscheidungen zeigen, dass Gerichte häufig die Zusammensetzung des Haushalts, das Alter der Bewohner und die konkrete Ausgestaltung des Reports berücksichtigen.

Aus Verteidigersicht erscheint es jedoch problematisch, die Täterschaft allein anhand statistischer oder vermeintlich kriminalistischer Wahrscheinlichkeit zuzuordnen. Strafrechtliche Ermittlungsmaßnahmen müssen sich auf konkrete Tatsachen beziehen. Allgemeine Annahmen über Alter, Geschlecht oder typische Nutzergruppen dürfen eine individuelle Zuordnung nicht ersetzen.

Hat das Bundesverfassungsgericht den Streit entschieden?

Das Bundesverfassungsgericht befasste sich mit Beschluss vom 21. Oktober 2024 – 1 BvR 2215/24 – mit einer Durchsuchung, die ebenfalls auf einer NCMEC-Meldung beruhte.

In diesem Fall war die Verdachtslage jedoch konkreter. Die Meldung betraf ein dem Beschwerdeführer zugeordnetes Konto eines Messengerdienstes. Über dieses Konto war ein bestimmtes Video an mehrere Kontakte versandt worden. Außerdem bewerteten die Ermittlungsbehörden die abgebildete Person als minderjährig. Das Bundesverfassungsgericht hielt es für verfassungsrechtlich vertretbar, daraus einen Anfangsverdacht herzuleiten. Damit hat es jedoch nicht entschieden, dass jede NCMEC-Meldung zusammen mit einer IP-Adresse für eine Hausdurchsuchung genügt. Ebenso wenig hat es die technische Arbeitsweise des NCMEC umfassend überprüft oder ein generelles Beweisverwertungsverbot ausgeschlossen. Entscheidend bleiben deshalb die konkreten Informationen des jeweiligen CyberTipline-Reports.

Führt eine rechtswidrige Durchsuchung zum Beweisverwertungsverbot?

Eine rechtswidrige Hausdurchsuchung führt nach deutschem Strafprozessrecht nicht automatisch dazu, dass sämtliche aufgefundenen Dateien unverwertbar sind. Das deutsche Recht folgt grundsätzlich nicht der amerikanischen Lehre von den „Früchten des vergifteten Baumes“. Deshalb unterscheidet die Rechtsprechung zwischen:

  • der Rechtswidrigkeit der Beweiserhebung und
  • der Verwertbarkeit des gefundenen Beweismittels.

Ein Verwertungsverbot stellt die Ausnahme dar. Das Gericht muss regelmäßig die Schwere des Rechtsverstoßes, das Gewicht des Tatvorwurfs und die betroffenen Grundrechte gegeneinander abwägen.

Ein Beweisverwertungsverbot kommt insbesondere in Betracht, wenn:

  • Ermittlungsbehörden bewusst ohne ausreichenden Tatverdacht handeln,
  • eine Durchsuchung objektiv willkürlich angeordnet wird,
  • der Richtervorbehalt gezielt umgangen wird,
  • grundrechtliche Sicherungen planmäßig oder systematisch missachtet werden,
  • deutsche Behörden ausländische Private gezielt einsetzen, um deutsche Verbote zu umgehen,
  • die Herkunft und Authentizität der Beweise überhaupt nicht überprüft werden können,
  • die Verteidigung keine ausreichende Möglichkeit erhält, die Beweismittel anzugreifen,
  • der unantastbare Kernbereich privater Lebensgestaltung betroffen ist.

Dagegen genügt ein einfacher Rechtsfehler oder eine vertretbar falsche Bewertung des Anfangsverdachts regelmäßig nicht.

Bedeutung der ausländischen und privaten Datenerhebung

Auch die ausländische Herkunft der Daten begründet kein automatisches Verwertungsverbot. Der Bundesgerichtshof und das Bundesverfassungsgericht gehen bei ausländischen Beweisen grundsätzlich davon aus, dass ein Unterschied zum deutschen Ermittlungsrecht allein nicht ausreicht. Deutsche Gerichte müssen daher nicht stets prüfen, ob ausländische Behörden oder Private genauso hätten handeln dürfen wie deutsche Ermittler. Grenzen bestehen jedoch dort, wo fundamentale rechtsstaatliche Mindeststandards, Menschenwürde, Verfahrensfairness oder der Kernbereich privater Lebensgestaltung verletzt werden. Für NCMEC-Verfahren bedeutet dies: Die Intransparenz des Meldesystems betrifft zunächst häufig den Beweiswert und die Zuverlässigkeit des Reports. Sie kann außerdem gegen einen ausreichenden Anfangsverdacht oder einen hinreichenden Tatverdacht sprechen.

Ein automatisches Verwertungsverbot folgt daraus jedoch nicht.

Was gilt, wenn bei der Durchsuchung Dateien gefunden werden?

Findet die Polizei bei einer rechtswidrigen Durchsuchung tatsächlich strafbare Dateien auf einem Gerät, muss die Verteidigung mehrere Fragen getrennt prüfen:

  • War die Durchsuchung rechtswidrig?
  • Wie schwer wog der Rechtsverstoß?
  • Handelte das Gericht bewusst oder objektiv willkürlich?
  • Sollten fehlende Verdachtsmomente erst durch die Durchsuchung erzeugt werden?
  • War die Beschlagnahme vom Beschluss gedeckt?
  • Wurde der Datenbestand unverhältnismäßig umfassend ausgewertet?
  • Lässt sich die Datei dem Beschuldigten bewusst zuordnen?
  • Bestand tatsächliche Verfügungsmacht und Besitzwille?
  • Muss die Verteidigung der Verwertung in der Hauptverhandlung widersprechen?

Gerade weil ein Verwertungsverbot nicht automatisch entsteht, muss die Verteidigung den Rechtsverstoß konkret darlegen. Außerdem sollte sie der Verwertung vorsorglich rechtzeitig widersprechen und den Widerspruch vollständig begründen.

Verteidigung bei einer NCMEC-Meldung

Bei einem Verfahren mit NCMEC-Bezug fordere ich zunächst die vollständigen Ermittlungsunterlagen an. Dazu gehören insbesondere:

  • der ungekürzte CyberTipline-Report,
  • die ursprüngliche Providermeldung,
  • sämtliche Anlagen und Dateien,
  • Hashwerte,
  • Metadaten und Zeitstempel,
  • Login- und Kontodaten,
  • Bestandsdatenauskünfte,
  • IP-Adresse und gegebenenfalls Portnummer,
  • Berichte von BKA und LKA,
  • Dokumentationen zur Gerätezuordnung,
  • forensische Auswertungsberichte.

Anschließend prüfe ich, ob die gemeldete Handlung tatsächlich dem Mandanten zugeordnet werden kann. Ebenso untersuche ich, ob Durchsuchung und Beschlagnahme rechtmäßig waren und ob ein Beweisverwertungsverbot zumindest vertretbar begründet werden kann. Bei technischen Zweifeln kann ein unabhängiger IT-Sachverständiger erforderlich sein.

Frühzeitig anwaltliche Hilfe nutzen

Eine NCMEC-Meldung besitzt erhebliche Ermittlungsrelevanz. Sie ersetzt jedoch keine rechtsstaatliche Beweisführung. Weder eine IP-Adresse noch ein Benutzerkonto beweisen automatisch, welche Person eine Datei bewusst versandt oder gespeichert hat. Ebenso darf eine Hausdurchsuchung nicht allein auf allgemeine Vermutungen über die Bewohner eines Haushalts gestützt werden. Wer von einer Durchsuchung, Vorladung oder Beschlagnahme betroffen ist, sollte keine Angaben zur Nutzung von Konten, Geräten oder Internetanschlüssen machen, bevor ein Strafverteidiger die vollständige Akte geprüft hat. Als Fachanwalt für Strafrecht bearbeite ich das Mandat persönlich und prüfe sowohl die technischen Grundlagen der NCMEC-Meldung als auch die Rechtmäßigkeit der deutschen Ermittlungsmaßnahmen.