Wie oft erhält Lelala.de externe Anfragen von Behörden und anderen Instanzen mit der Frage zur Kooperation oder der Aufforderung, Daten herauszugeben?
Nach den Veröffentlichungen von Edward zu NSA, BND & Co im "Summer of Surveillance" ist die Internetgemeinde für das Thema "Überwachung von Online-Diensten" sehr stark sensibilisiert. Da im Jahr 2014 die Frage nach Behördenzusammenarbeit durchaus ein paar Mal gestellt wurde, haben wir uns jetzt über den Jahreswechsel mal die Mühe gemacht und alles gesammelte Material des vergangenen Jahres geordnet. Daraus entstanden ist der Transparenzbericht 2014. In dem Bericht zeigen wir, welche unterschiedlichen Anfragen wir erhalten haben.
31 Anfragen insgesamt im Jahr 2014
Insgesamt gingen 31 Anfragen im Jahr 2014 ein. Darin enthalten sind alle Anfragen, verteilt auf Ermittlungs-/Strafverfolgungsbehörden (sog. "Auskunftsersuchen") sowie Banken und interessanterweise auch Kanzleien.
Die Verteilung der Anfragen auf die einzelnen Monate des Jahres zeigt indirekt auch, dass die Aktivität der User von Social Communities in den Sommermonaten deutlich geringer ist: Wenn mehr Leute im Freibad liegen reduziert sich die Wahrscheinlichkeit auf zusätzliche Arbeit, weil mal wieder irgendwas passiert ist.
Verteilung & Inhalt der Vorfälle
Das Groß der Anfragen bezieht sich auf Vorfälle aus dem Kontext "Payment Fraud & Zahlungsbetrug". Die Anzahl an Anfragen im "Kontext Beleidigung, Drohung oder Stalking" ist mit ca. 20% deutlich niedriger. Die Anfragen zu diesen Vorfällen kamen ausschließlich von Absendern/Institutionen aus dem Inland (Polizei/StaA., sowie 1 Kanzlei/RA).
Die 8 Anfragen zu Kreditkarten bezogen sich jeweils auf geklaute/gescimmte Kartendaten. Die 3 Anfragen zu den Betrugsfällen via Sofortüberweisung.de dürften auf erfolgreiches Social Engineering zurückzuführen sein. Die insgesamt 26 Fälle im Payment Fraud betreffen in 22 Fällen Männer.
Bei den Anfragen zu Beleidigungen, Drohungen und Stalking o.ä. handelt es sich bis auf einen bestimmten Fall insgesamt um Vorfälle, die unserer Ansicht nach eher in die Kategorie "geringfügige Überreaktion" einzuordnen sind. Besonders interessant: In einem der 5 Vorfälle wurde ein weiblicher User beschuldigt.
Verteilung nach Ländern
26 der 31 Anfragen kamen aus Deutschland, inkl. 21 zum Thema Payment Fraud und 5 Anfragen zu Beleidigung, Drohung oder Stalking/o.ä. Die übrigen 5 Anfragen waren von Absendern aus UK und AT. 3 Anfragen zum Thema Payment Fraud aus Österreich, 2 Anfragen diesbezüglich aus UK. Anfragen mit Ursprung außerhalb Deutschlands wurden generell mit dem Verweis beantwortet, den Vorfall bitte an eine innerdeutsche Instanz/Behörde zu übergeben. Im Falle von Payment Fraud ging um Schäden zwischen 10 Euro bis 20 Euro, der Aufwand ist letztendlich wohl in keiner Relation zum potenziellen Ermittlungserfolg.
Verteilung nach Absender
Der mit Abstand größte Anteil von 80% aller Anfragen und Auskunftsersuche kam von Ermittlungs-/Strafverfolgungsbehörden. Lelala wurde 2 mal von Banken kontaktiert (1 in DE, 1 in UK) mit der Bitte um Auskunft über eine stattgefundene Zahlung bzw. den User und dessen Verkehrsdaten. In 4 Fällen kamen Kanzleien/Rechtsanwälte mit der schriftlichen Aufforderung zur Mithilfe oder Datenherausgabe auf uns zu (interessanterweise auch in 1 Fall der Kategorie Beleidigung). Die Anfragen von Banken und Kanzleien wurden jeweils mit dem Hinweis abgelehnt, dies doch bitte wenn dann über die Behörden weiterzugeben. Nur die regulären Anfragen der deutschen Ermittlungsbehörden wurden beantwortet - wenn diese als korrekt, zulässig und vollständig von unserer Kanzlei eingestuft wurden.
So - was wurde nun wie oft rausgegeben?
| Anfragen | insgesamt: 31 |
|---|
|
|
|
nach Bestandsdaten
|
22
|
|
|
|
nach Verkehrsdaten (Verkehrsdaten nach § 100 Abs. 3 TKG)
|
9
|
|
|
Davon
|
|
|
|
|
|
|
|
Abgelehnte Anfragen
(inkorrekt/nicht zulässig, unvollständig, Ausland etc.)
|
26
|
|
|
|
Fälle in denen Daten herausgegeben wurden, insgesamt
(korrekte Anfrage + inkl. gültiger Beschluss)
|
5
|
|
|
|
|
|
Davon
|
|
|
|
|
|
|
|
Bestandsdatenabfrage
|
|
2
|
|
|
|
|
Verkehrsdatenabfrage (Verkehrsdaten nach § 100 Abs. 3 TKG)
|
3
|
|
|
|
|
|
Kategorien der nachgekommenen Anfragen:
|
|
|
|
|
|
Payment Fraud
|
|
2
|
|
|
|
|
Beleidigung/Drohung/Stalking/etc.
|
|
3
|
Die Tabelle zeigt, wie oft Daten herausgegeben wurden: In insgesamt 5 Fällen sind wir den Anfragen aufgrund der Korrektheit/Zulässigkeit nachgekommen.
Bestandsdaten vs. Verkehrsdaten (nach § 100 Abs. 3 TKG): Verkehrsdaten werden bspw. im Rahmen der Zahlungsvorgänge oder zum Schutz gegen Systemmissbrauch (bspw. gegen Spammer/Scammer/etc) in den Logs gespeichert.
Sonstiges
Zahlung mit ELV wurde bereits Ende 2014 deaktiviert - der ELV Missbrauch ist sehr mühsam & zeitaufwändig, da sich einzelnen Fälle manchmal lange hinziehen. Obwohl ein Anbieter für ELV Zahlungen ohne Chargeback Fees zur Verfügung steht, wird Zahlung via ELV wegen dem Aufwand in der Nachbearbeitung.
Zur quantitativen Überlastung und Langweile im Kontext der Internetkriminalität & Online-Missbrauch: Die hohe Anzahl an Vorfällen blockiert viele Ressourcen und besonders "interessant" ist diese Aufgabe für die involvierten Personen auch nicht. Manchmal liegen zwischen Vorfall und letztendlicher Bearbeitung mehrere Monate.
Für uns besonders ungünstig war ein Vorfall zu dem 11 Monate später ein gültiger Beschluss eintraf - die Daten befanden sich zu dem Zeitpunkt bereits im Backup.
Besonders in Erinnerung geblieben ist ein Mitarbeiter, der sich als Spezialist für Internetkriminalität vorstellte - aber mit dem Begriff Social Engineering nichts anfagen konnte.
