Regelungsdefizit für behördlichen Umgang mit Zero-Day-Sicherheitslücken gerügt
Die Beschwerdeführer wandten sich gegen zwei Bestimmungen des Hessischen Gesetzes über die öffentliche Sicherheit und Ordnung. Der angegriffene § 15b HSOG ermöglicht die heimliche Inhaltsüberwachung von Telekommunikation durch Zugriff auf informationstechnische Systeme zu präventiv-polizeilichen Zwecken (Quellen-TKÜ). Nach § 15c HSOG ist zudem die Online-Durchsuchung informationstechnischer Systeme zu präventiv-polizeilichen Zwecken unter bestimmten Voraussetzungen zulässig. Die Beschwerdeführer bemängelten ein Regelungsdefizit für den behördlichen Umgang mit IT-Sicherheitslücken, die den Programmherstellern noch unbekannt seien (sogenannte Zero-Days). Der Staat habe ein Interesse an der Geheimhaltung solcher Sicherheitslücken, um diese für Online-Durchsuchung und Quellen-TKÜ ausnutzen zu können. Es stelle eine Verletzung des Grundrechts auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme aus Art. 2 Abs. 1 GG in Verbindung mit Art. 1 Abs. 1 GG dar, dass die angegriffenen Normen und ihr weiteres Normumfeld keine Vorgaben zum Umgang mit solchen Sicherheitslücken enthielten. Weiterhin verletzten die angegriffenen Normen das Grundrecht in seiner Abwehrdimension, da der Gesetzgeber nicht sichergestellt habe, dass eine "Kompromittierung" informationstechnischer Systeme durch die Überwachungssoftware auf unvermeidbare und verhältnismäßige Beeinträchtigungen begrenzt bleibe.
BVerfG: Verfassungsbeschwerde mangels ausreichender Begründung unzulässig
Das BVerfG hat die Verfassungsbeschwerde nicht zur Entscheidung angenommen. Die Verfassungsbeschwerde sei unzulässig. Soweit die Beschwerdeführer unzureichende Vorgaben zum Umgang mit Sicherheitslücken rügten, seien weder die Beschwerdebefugnis noch die Wahrung des Grundsatzes der Subsidiarität im weiteren Sinne hinreichend dargelegt. Im Fall der Behauptung einer gesetzgeberischen Schutzpflichtverletzung bestünden besondere Darlegungsanforderungen. Die Beschwerdeführer müssten die einschlägigen Regelungen des als unzureichend beanstandeten Normkomplexes jedenfalls in Grundzügen darstellen und begründen, warum sie vom Versagen der gesetzgeberischen Konzeption ausgingen. Die Verfassungsbeschwerde setze sich mit dem bestehenden gesetzlichen Regelungskonzept und seinen Defiziten in Hinblick auf die Erfüllung einer solchen Schutzpflicht jedoch kaum auseinander. Die Beschwerdeführer gingen auch nicht auf Möglichkeiten ein, die angegriffenen oder weitere Normen so auszulegen, dass sie zur Erfüllung der Schutzpflicht beitragen könnten. Zudem legten sie auch nicht hinreichend dar, warum die Erhebung einer verwaltungsgerichtlichen Feststellungs- oder Unterlassungsklage trotz der bestehenden Fragen zur Auslegung des einfachen Rechts nicht möglich oder nicht erforderlich gewesen sein sollte. Soweit die Beschwerdeführer rügten, dass die angegriffenen Regelungen keine Vorgaben für die Beschaffenheit, Funktionalität und Anwendungskontrolle der Überwachungssoftware enthielten, genüge die Verfassungsbeschwerde ebenfalls nicht den Begründungsanforderungen. Insbesondere fehle eine hinreichende Auseinandersetzung mit fachrechtlichen Normen des nationalen Rechts und des Unionsrechts.
