Kipo - Kinderpornographische digitale Daten aus dem Ausland

Kinderpornographische digitale Daten aus dem Ausland – NCMEC-Meldungen und Strafverteidigung

Wenn ein ausländischer Hinweis zur Hausdurchsuchung führt

Viele Ermittlungsverfahren wegen des Verdachts kinder- oder jugendpornographischer Inhalte beginnen nicht mit einer deutschen Polizeikontrolle. Vielmehr erhält das Bundeskriminalamt digitale Hinweise aus dem Ausland. Diese enthalten beispielsweise eine IP-Adresse, eine E-Mail-Adresse, einen Benutzernamen, Zeitangaben, Hashwerte oder einzelne Bild- und Videodateien. Anschließend ermitteln deutsche Behörden den Anschlussinhaber. Danach folgen häufig eine Hausdurchsuchung, die Beschlagnahme von Mobiltelefonen und Computern sowie eine umfangreiche forensische Datenauswertung. Allerdings beweist eine ausländische Meldung noch nicht, dass der Anschlussinhaber die gemeldete Datei selbst hochgeladen, versandt oder bewusst gespeichert hat. Deshalb muss die Verteidigung die Entstehung, Übermittlung und technische Aussagekraft der Daten genau prüfen.

Was ist eine NCMEC-Meldung?

Zahlreiche Hinweise stammen aus den USA. Dort müssen bestimmte Internet- und Kommunikationsdienste verdächtige Sachverhalte an das National Center for Missing and Exploited Children, kurz NCMEC, melden. Zu den meldenden Unternehmen können Betreiber von sozialen Netzwerken, Cloudspeichern, Messenger-Diensten oder E-Mail-Plattformen gehören. Die Anbieter erkennen verdächtige Inhalte beispielsweise durch:

• Meldungen anderer Nutzer,
• interne Kontrollen,
• automatisierte Erkennungssysteme,
• den Vergleich digitaler Hashwerte,
• die Prüfung auffälliger Benutzerkonten.

NCMEC erstellt daraus einen sogenannten CyberTipline-Report. Dieser kann Kontodaten, IP-Adressen, Zeitstempel, hochgeladene Dateien und weitere Informationen enthalten. Besteht ein Bezug zu Deutschland, gelangt die Meldung regelmäßig zum Bundeskriminalamt. Wichtig ist jedoch: Nicht jede gemeldete Datei wurde zuvor von einem Mitarbeiter persönlich angesehen. Teilweise beruht die Meldung lediglich auf einem automatisierten Hashwertvergleich. Deshalb muss im Einzelfall geklärt werden, wer den Inhalt tatsächlich geprüft und wie das System die Datei zugeordnet hat.

Wie gelangt der Verdachtsfall zum Beschuldigten?

Das Bundeskriminalamt prüft zunächst, ob die mitgeteilten Inhalte nach deutschem Recht strafrechtlich relevant sein können. Anschließend kann es anhand der übermittelten IP-Adresse oder der Kontodaten weitere Ermittlungen veranlassen. Die Bestandsdatenauskunft richtet sich insbesondere nach § 100j StPO und den Vorschriften des Telekommunikationsgesetzes. Dadurch können die Ermittler feststellen, welchem Anschluss eine bestimmte IP-Adresse zu einem konkreten Zeitpunkt zugewiesen war. Danach leitet das BKA den Vorgang regelmäßig an das zuständige Landeskriminalamt und die örtliche Staatsanwaltschaft weiter. Allerdings identifiziert eine IP-Adresse zunächst nur einen Internetanschluss. Sie beweist nicht automatisch, welche Person den Anschluss oder ein bestimmtes Gerät benutzt hat. Gerade in Familien, Wohngemeinschaften, Unternehmen oder gemeinsam genutzten Netzwerken können mehrere Personen Zugriff besitzen.

Rechtsgrundlage des Tatvorwurfs

Die strafrechtliche Grundlage bildet vor allem § 184b StGB. Die Vorschrift erfasst unter anderem das Verbreiten, Zugänglichmachen, Abrufen, Verschaffen und Besitzen kinderpornographischer Inhalte. Für das Verbreiten und bestimmte weitere Handlungen sieht § 184b Abs. 1 StGB grundsätzlich Freiheitsstrafe von sechs Monaten bis zu zehn Jahren vor. Wer einen tatsächlichen oder wirklichkeitsnahen kinderpornographischen Inhalt abruft, sich daran Besitz verschafft oder ihn besitzt, muss nach § 184b Abs. 3 StGB mit Freiheitsstrafe von drei Monaten bis zu fünf Jahren rechnen. Bei jugendpornographischen Inhalten kann § 184c StGB eingreifen. Allerdings setzt eine Strafbarkeit regelmäßig vorsätzliches Handeln voraus. Die Staatsanwaltschaft muss deshalb unter anderem nachweisen, dass der Beschuldigte von der Datei wusste und die tatsächliche Verfügungsmacht darüber besaß oder sie bewusst verbreitete. Eine automatisch gespeicherte Datei, ein Vorschaubild, ein Cache-Eintrag oder eine unbekannte Cloud-Synchronisierung begründen deshalb nicht ohne Weiteres einen strafbaren Besitz.

Vom ausländischen Hinweis zum Durchsuchungsbeschluss

Für die Einleitung eines Ermittlungsverfahrens genügt nach § 152 Abs. 2 StPO ein Anfangsverdacht. Es müssen daher zureichende tatsächliche Anhaltspunkte für eine Straftat vorliegen. Stützt die Staatsanwaltschaft den Verdacht auf einen ausländischen Datenbericht, beantragt sie häufig die Durchsuchung der Wohnung. Die Rechtsgrundlagen bilden §§ 102 und 105 StPO. Dabei muss der Durchsuchungsbeschluss insbesondere erkennen lassen:

• welcher Tatvorwurf besteht,
• wann die Tat stattgefunden haben soll,
• welche Datei gemeldet wurde,
• welche Konten oder IP-Adressen betroffen sind,
• welche Geräte und Beweismittel gesucht werden,
• weshalb gerade der Beschuldigte als Nutzer in Betracht kommt.

Die Behörden dürfen die Wohnung nicht allein deshalb unbegrenzt durchsuchen, weil eine IP-Adresse zum Anschluss des Beschuldigten führt. Vielmehr müssen sie die tatsächliche Zuordnung und die Verhältnismäßigkeit der Maßnahme prüfen. Nach der Durchsuchung können sie Computer, Mobiltelefone, Tablets, Festplatten und andere Datenträger nach §§ 94 und 98 StPO sicherstellen oder beschlagnahmen. Die Durchsicht elektronischer Speichermedien richtet sich insbesondere nach § 110 StPO.

Sind ausländische digitale Daten verwertbar?

Ausländische Beweismittel unterliegen nicht automatisch einem Beweisverwertungsverbot. Nach der Rechtsprechung beurteilt sich ihre Verwendung im deutschen Strafverfahren grundsätzlich nach deutschem Recht. Auch wenn ausländische Ermittler oder private Anbieter bei der Datengewinnung anders vorgehen als deutsche Behörden, führt dies deshalb nicht ohne Weiteres zur Unverwertbarkeit. Grenzen können jedoch erreicht sein, wenn Behörden grundlegende rechtsstaatliche Mindeststandards missachten, deutsche Schutzvorschriften gezielt umgehen oder die Verteidigung die Herkunft und Authentizität der Daten nicht wirksam überprüfen kann. Bei NCMEC-Meldungen kommt hinzu, dass die ursprüngliche Erhebung häufig durch private Internetanbieter erfolgt. Deshalb muss die Verteidigung unterscheiden:

• Wer entdeckte die Datei?
• Erfolgte eine automatisierte oder menschliche Prüfung?
• Welche Suchmethode kam zum Einsatz?
• Stammt die Datei tatsächlich aus dem betroffenen Benutzerkonto?
• Sind Zeitstempel und IP-Zuordnung vollständig dokumentiert?
• Wurde die Datei zwischenzeitlich verändert?
• Lässt sich die Beweismittelkette nachvollziehen?

Ein pauschaler Hinweis auf eine NCMEC-Meldung ersetzt keine technische Beweisführung.

Aktuelle Rechtsprechung zu NCMEC-Daten

Die Rechtsprechung bewertet NCMEC-Meldungen nicht einheitlich. Das Bundesverfassungsgericht hat in einem Beschluss vom 21. Oktober 2024 eine Durchsuchungsmaßnahme nicht beanstandet, bei der ein aus einer NCMEC-Meldung stammendes Video den Verdacht begründete. Die abgebildete Person wirkte nach der gerichtlichen Bewertung minderjährig. Das konnte im konkreten Fall einen zureichenden tatsächlichen Anhaltspunkt für weitere Ermittlungen bilden. Das Bundesverfassungsgericht entschied damit jedoch nicht allgemein, dass jede NCMEC-Meldung zuverlässig oder uneingeschränkt verwertbar ist.

Einige Landgerichte halten eine konkrete Meldung, die IP-Adresse, Zeitpunkt und Datei benennt, grundsätzlich für ausreichend, um einen Anfangsverdacht und eine Durchsuchung zu begründen.

Andere Gerichte verlangen dagegen zusätzliche Anhaltspunkte. Sie weisen darauf hin, dass eine dynamische IP-Adresse, eine E-Mail-Adresse oder ein Benutzerkonto nicht automatisch eine bestimmte Person als Täter identifiziert.

Auch die fehlende Nachprüfbarkeit automatisierter Erkennungssysteme, unvollständige Metadaten und ein großer zeitlicher Abstand zwischen Meldung und Durchsuchung können gegen die Rechtmäßigkeit oder Verhältnismäßigkeit einer Maßnahme sprechen.

Anfangsverdacht ist noch kein Tatnachweis

Für eine Hausdurchsuchung genügt ein Anfangsverdacht. Für eine Anklage verlangt § 170 Abs. 1 StPO dagegen einen hinreichenden Tatverdacht. Eine Verurteilung setzt schließlich die Überzeugung des Gerichts voraus, dass der Angeklagte die Tat begangen hat. Deshalb darf die Staatsanwaltschaft nicht von der bloßen Zuordnung eines Internetanschlusses unmittelbar auf die Täterschaft schließen.

Die Verteidigung muss insbesondere prüfen:

• Wer hatte Zugriff auf den Anschluss?
• Welche Geräte nutzten das Netzwerk?
• Wem gehörte das gemeldete Benutzerkonto?
• Waren die Zugangsdaten weiteren Personen bekannt?
• Wurde das Konto möglicherweise kompromittiert?
• Stammt der Upload von einem bestimmten Endgerät?
• Gibt es eine bewusste Nutzerhandlung?
• Befand sich die Datei später noch auf einem Gerät?
• Kannte der Beschuldigte den Inhalt?
• Bestand ein Besitz- oder Verbreitungswille?

Fehlen entsprechende Nachweise, kann eine Einstellung nach § 170 Abs. 2 StPO in Betracht kommen.

Verhaltenstipps bei Durchsuchung oder Vorladung

Keine Angaben zur Sache machen

Erklären Sie nicht spontan, wer ein Konto, Gerät oder WLAN genutzt hat. Auch vermeintlich entlastende Angaben können den Ermittlern eine bislang fehlende Zuordnung liefern.

Keine Geräte freiwillig mitbringen

Folgen Sie einer polizeilichen Vorladung nicht mit Ihrem Mobiltelefon oder Laptop, sofern dies nicht zuvor mit einem Strafverteidiger abgestimmt wurde.

Keine Daten löschen oder verändern

Löschen Sie keine Dateien, setzen Sie keine Geräte zurück und verändern Sie keine Benutzerkonten. Dadurch können neue Verdachtsmomente oder weitere strafrechtliche Probleme entstehen.

Keine Passwörter freiwillig nennen

Geben Sie PIN, Passwörter oder Zugangsdaten nicht ohne anwaltliche Beratung heraus. Leisten Sie jedoch keinen körperlichen Widerstand gegen eine angeordnete Maßnahme.

Beschlagnahme widersprechen

Erklären Sie ruhig, dass Sie einer freiwilligen Herausgabe und Beschlagnahme widersprechen. Verlangen Sie außerdem ein genaues Sicherstellungsverzeichnis.

Sofort Strafverteidiger kontaktieren

Eine frühe Akteneinsicht ermöglicht es, den CyberTipline-Report, die Providerdaten und den Durchsuchungsbeschluss zu prüfen, bevor eine Einlassung erfolgt.

Wie hilft der Strafverteidiger?

Ich fordere zunächst die vollständigen ausländischen und deutschen Ermittlungsunterlagen an. Dazu gehören insbesondere:

• der vollständige CyberTipline-Report,
• Anlagen und gemeldete Dateien,
• Providerberichte,
• Hashwerte,
• Metadaten und Zeitstempel,
• Bestandsdatenauskünfte,
• Dokumentation der IP-Zuordnung,
• Berichte des BKA und LKA,
• Auswertungsprotokolle der beschlagnahmten Geräte.

Anschließend prüfe ich, ob der ausländische Hinweis technisch und rechtlich nachvollziehbar ist. Außerdem untersuche ich, ob sich die gemeldete Handlung tatsächlich dem Mandanten, einem konkreten Gerät und einem bewussten Verhalten zuordnen lässt.

Dabei können insbesondere folgende Verteidigungsansätze bestehen:

• fehlerhafte Anschluss- oder Kontozuordnung,
• mehrere mögliche Nutzer,
• fehlende Gerätezuordnung,
• automatische Speicherung,
• Cloud- oder Messenger-Synchronisierung,
• fehlender Besitzwille,
• fehlender Nachweis eines bewussten Uploads,
• unvollständige oder widersprüchliche Metadaten,
• unverhältnismäßige Durchsuchung,
• überlange Datenauswertung,
• unzureichende Beschreibung der angeblich strafbaren Inhalte.

Bei technischen Zweifelsfragen kann ich einen unabhängigen IT-Sachverständigen hinzuziehen.

Persönliche Verteidigung durch Rechtsanwalt Marson

Als Fachanwalt für Strafrecht verteidige ich seit mehr als 30 Jahren Beschuldigte in Strafverfahren. Dazu gehören auch Ermittlungsverfahren wegen des Verdachts kinder- oder jugendpornographischer digitaler Inhalte. Sämtliche Mandate bearbeite ich persönlich. Gerade bei Daten aus dem Ausland reicht eine rein strafrechtliche Betrachtung häufig nicht aus. Vielmehr müssen internationale Datenübermittlung, IP-Zuordnung, Benutzerkonten und forensische Geräteauswertung gemeinsam geprüft werden.

Eine NCMEC-Meldung oder ein anderer ausländischer Hinweis kann eine Hausdurchsuchung begründen. Dennoch beweist eine solche Meldung weder automatisch die Täterschaft noch den erforderlichen Vorsatz.Je früher die Verteidigung die Datenquelle, die technische Zuordnung und die Ermittlungsmaßnahmen prüft, desto besser lassen sich falsche Schlussfolgerungen sowie unnötige persönliche und berufliche Folgen verhindern.