Netzsperre via Beschlagnahmung?
Vor fast zehn Jahren habe ich hier auf den Fall einer strafprozessualen Netzsperre durch die Staatsanwaltschaft hingewiesen. Dem Thema bin ich anschliessend nicht mehr begegnet.
Nun wird es von eher unerwarteter Seite in umso verdankenswerterer Weise aufgegriffen: digitec.ch berichtet darüber, dass Fredy Künzler, Geschäftsführer von Init7 sich weigert, einer entsprechenden Verfügung der Staatsanwaltschaft nachzukommen. Die Weigerung hat ihm eine Busse eingetragen, die er nun gerichtlich anficht (vgl. dazu auch wnti.ch). Dass sich sonst niemand zu wehren scheint, überrascht mich in einer Unternehmenswelt, die Compliance als höchste Tugend sieht, längst nicht mehr.
Anwaltskollege Martin Steiger, über dessen Datenschutzplaudereien ich selbst getriggert wurde, hat das Thema auch hier vertieft. Er liefert eine wertvolle Übersicht über die juristische Literatur zum Thema, das dogmatisch m.E. noch nicht wirklich durchdrungen ist. Das liegt wohl daran, dass wir Juristen die Technologie zu wenig gut verstehen. Wer sie versteht, dürfte unweigerlich zum Schluss kommen, dass diese Netzsperren mit der StPO-Beschlagnahme nicht einmal im Ansatz etwas zu tun haben. Deshalb hoffe ich sehr, dass sich das Bundesgericht das notwendige Wissen beschafft, bevor es den bei ihm hängigen Fall entscheidet.
Bei BGer 1B_294/2014 stellte sich inzwischen übrigens noch heraus, dass das Bundesgericht damals Mühe bekundete, den Sachverhalt richtig wiederzugeben …
Anwaltskollege Jonas D. Gassmann formuliert das Problem unter anderem wie folgt:
https://steigerlegal.ch/2026/03/02/netzsperren-schweiz-staatsanwaltschaften/#nachtrag3
Die Fragestellung wird kontrovers diskutiert und auch zu Recht hinterfragt. Insb. stellt sich zum einen die Frage, ob die Beschlagnahme überhaupt das geeignete Instrument der StPO darstellt, um eine Website bzw. eine URL zu sperren, und zum anderen, ob der Internet Service Provider („ISP“) hierfür die richtige Adressatin einer entsprechenden Anordnung ist.
Einigkeit dürfte weitgehend darüber bestehen, dass es derzeit an einer klaren gesetzlichen Grundlage fehlt – entsprechende gesetzgeberische Vorstösse sind in der Vergangenheit mehrfach gescheitert. Vor diesem Hintergrund erscheint der Rückgriff auf Art. 263 Abs. 1 lit. d StPO zumindest problematisch und kann als eine gewisse Zweckentfremdung dieser Bestimmung verstanden werden.
Nichtsdestotrotz soll nachfolgend – unter Vorbehalt der gebotenen Kürze, auch wenn das Thema eine gewisse Ausführlichkeit erfordert – aufgezeigt werden, inwiefern sich Art. 263 Abs. 1 lit. d StPO dogmatisch dennoch heranziehen lässt bzw. wie eine Staatsanwaltschaft oder ein Gericht eine entsprechende Anwendung begründen könnte. Die nachfolgenden Überlegungen erheben keinen Anspruch auf Vollständigkeit und beleuchten nicht sämtliche Aspekte der Problematik.
1. Ausgangspunkt: Worum es bei der strafprozessualen DNS-Sperre dogmatisch geht
Die DNS-basierte Zugangshürde bei Schweizer ISPs (wie vorliegend bei Init7) ist technisch gesehen keine „Abschaltung des Internets“ bzw. der strittigen Webseite und regelmässig auch kein Eingriff „an der Quelle“ selbst (z. Bsp. sperren des Webservers). Ihr Kern besteht in einer gezielten DNS-Konfiguration (bzw. Überschreibung) beim ISP, die für den zu blockierenden Domainnamen die reguläre Namensauflösung nicht ausliefert, sondern etwa REFUSED oder eine Sperrseite zurückgibt.
Wenn ein Benutzer z. Bsp. „www.cybercrime.site“ eingibt, fragt sein Gerät in der Standardkonfiguration den DNS-Server seines ISP an. Dieser liefert dann nicht mehr die tatsächliche IP-Adresse der Webseite zurück, sondern z. Bsp. die Adresse einer Seite einer Behörde, die anzeigt: „Diese Webseite wurde gesperrt“. Nicht die Webseite wird gesperrt, sondern – durch eine Änderung der DNS-Konfiguration beim ISP – wird der Fernmeldeverkehr faktisch auf ein anderes Ziel umgeleitet.
Dogmatisch stellt sich damit weniger die Frage, ob eine solche DNS-Konfigurationseintrag in der Datenbank des ISP ein „Gegenstand“ im strafprozessualen Sinn sei, sondern wie dieser technische Schritt in die Systematik der StPO einzuordnen ist. Der tragfähigere Weg ist, den DNS-Eintrag nicht als Einziehungsobjekt zu behandeln, sondern als Vollzugsform einer Beschlagnahme, die der Sicherung einer voraussichtlichen Einziehung nach Art. 69 Abs. 1 StGB dient.
2. Normativer Rahmen: Art. 263 Abs. 1 lit. d StPO als Sicherungsbeschlagnahme
Art. 263 Abs. 1 lit. d StPO erlaubt die Beschlagnahme von Gegenständen, die voraussichtlich einzuziehen sind. Diese Beschlagnahme ist ihrem Zweck nach sichernd: Sie soll verhindern, dass ein späterer Einziehungsentscheid vereitelt wird oder dass von einem einziehungsfähigen Objekt weitere Gefahren ausgehen.
Für die Sicherungseinziehung nach Art. 69 Abs. 1 StGB ist zentral, dass es um Gegenstände geht, die zur Begehung einer Straftat gedient haben oder bestimmt waren, sofern sie die Sicherheit von Menschen, die Sittlichkeit oder die öffentliche Ordnung gefährden. Der Einziehungszweck ist damit nicht (nur) „Vermögensabschöpfung“, sondern Gefahrenneutralisation.
Wichtig ist dabei: Die StPO definiert die „Beschlagnahme“ nicht als ein einziges technisches Vollzugsinstrument, sondern als Zwangsmassnahme mit Sicherungszweck. Wie die Sicherung konkret umgesetzt wird, ist im Rahmen der gesetzlichen Schranken (insb. Art. 197 StPO: Gesetzmässigkeit, Verhältnismässigkeit, Subsidiarität, Deliktskonnex) methodenoffen, solange der Vollzug funktional der Sicherung des Einziehungsobjekts dient und nicht in eine eigenständige, gesetzlich nicht vorgesehene Zwangsmassnahme kippt.
3. Das eigentliche Einziehungsobjekt: Deliktische Online-Infrastruktur als Tatmittel
Die entscheidende dogmatische Weichenstellung ist die Bestimmung dessen, was als Art.-69-StGB-Objekt in Betracht fällt. Bei typischen Ransomware-/Leak-Site-Konstellationen ist nicht die DNS-Konfiguration des ISP das gefährliche Objekt, sondern häufig die deliktische Online-Infrastruktur (Webserver bzw. Webseite) selbst.
Diese Infrastruktur kann – je nach Deliktsbild – als Tatmittel und/oder als Gefahrenquelle qualifiziert werden, weil sie fortgesetzt Rechtsgüter beeinträchtigt und damit die öffentliche Ordnung oder die Sicherheit gefährden kann. Das ist der Anknüpfungspunkt für Art. 69 Abs. 1 StGB. Die Beschlagnahme i.S.v. Art. 263 Abs. 1 lit. d StPO richtet sich dogmatisch daher auf diese deliktische Infrastruktur als (voraussichtlich) einziehungsfähiges Objekt.
Damit ist zugleich klar, weshalb der Versuch, den DNS-Eintrag des ISP selbst als Einziehungsobjekt zu behandeln, systematisch unglücklich wäre: Die DNS-Konfiguration beim ISP ist nicht das Tatmittel des Täters und auch nicht die Gefahrenquelle, sondern eine lokale Vollzugshandlung beim Dritten (ISP), die die Erreichbarkeit des eigentlichen Objekts einschränken kann, wenn die technische Konfiguration – der DNS Eintrag – auf behördliche Anordnung hin angepasst wird.
4. DNS-Eintrag als Sicherungs-/Vollzugsmodalität: „Beschlagnahme durch Verfügungsbeschränkung“
Beschlagnahme zur Einziehung muss nicht zwingend bedeuten, dass die Strafbehörde das Einziehungsobjekt (den Webserver / Webseite) physisch „an sich nimmt“. In vielen Konstellationen wird Sicherung praktisch durch Verfügungsbeschränkungen bei Dritten umgesetzt: etwa durch Sperrung/Blockierung von Konten, Anmerkungen/Blocks in Registern (z. Bsp. Grundbuch) oder die Untersagung bestimmter Verfügungen über ein Objekt, das faktisch bei einem Dritten liegt. Die Sperrung ist das Vollzugsmittel.
Übertragen auf die Netzsperre bedeutet das:
A: Einziehungsobjekt bleibt in der Regel die deliktische Online-Infrastruktur (Webseite bzw. Webserver).
B: Der DNS-Eintrag beim ISP ist das technisch geeignete Mittel, um die Verfügbarkeit/Benutzbarkeit dieses Objekts für Nutzer im schweizerischen Netzsegment eines ISP zu reduzieren, solange eine Sicherung „an der Quelle“ (Hosting/Registrar/Registry) kurzfristig nicht durchsetzbar ist (Jurisdiktion, Rechtshilfe, Zeitfaktor).
C: Die Massnahme bewirkt im Ergebnis eine lokale Verfügungs- bzw. Zugriffserschwerung: Im Netz dieses Providers soll das Einziehungsobjekt nicht mehr über die Standardadressierung erreichbar sein. Das ist funktional mit anderen Sicherungsvorkehrungen vergleichbar, die die Nutzung eines gefährlichen Objekts bis zur definitiven Einziehung unterbinden oder erschweren.
Nochmals: Dogmatisch ist damit nicht zu behaupten, der DNS-Eintrag beim ISP sei „der Gegenstand“. Vielmehr ist die DNS-Umstellung / Konfigurationspassung das technische Pendant zur Anordnung, mit der die Strafbehörde im Rahmen einer Einziehungsbeschlagnahme den Vollzug so ausgestaltet, dass die mit Art. 69 StGB verfolgte Gefahrenneutralisation bereits im Vorverfahren wirksam abgesichert wird.
Abschliessend möchte ich – auch wenn bestens bekannt – festhalten, dass die StPO-Beschlagnahmen ausdrücklich auch bei Drittpersonen kennt. Entscheidend ist die Frage, ob die Massnahme objektiv der Sicherung eines voraussichtlich einziehungsfähigen, gefährlichen Objekts dient und ob die Drittbelastung verhältnismässig ist. Der DNS-Eintrag beim ISP verlangt zwar ein „Tun“ (DNS-Konfiguration anpassen), dieses Tun ist aber funktional nichts anderes als der Vollzug einer Verfügungsbeschränkung innerhalb der technischen Sphäre des Dritten, vergleichbar mit anderen Sicherungsvollzügen, die nur durch Mitwirkung des Inhabers/Verwahrers praktisch wirksam werden.
Vielleicht hilft auch die folgende grafische Darstellung zur besseren Veranschaulichung.
@Rob: Vielen herzlichen Dank für Ihren Beitrag. Das Thema ist komplex, aber die die Netzsperre via StPO/StGB scheitert doch auf jeder einzelnen Stufe. Es geht letztlich darum, Zugang zu Information zu unterbinden. Dies muss durch Eingriff in die Zugangsinfrastuktur erfolgen mit dem Ziel, dass eine bestimmte Website nicht mehr erreichbar ist. Es muss daher der Zugangsprovider gezwungen werden, Adressierungs-Information zu ändern. Das geht mit strafprozessualen Mitteln nicht (die manchmal zitierten Vergleiche mit Kontensperren hinken, weil Konten Ansprüche gegenüber der Bank verkörpern. Sie sind als Forderungen / Vermögenswerte klar einziehbar und beschlagnahmbar). Einziehungsobjekt könnte aber m.E. nur der Server sein, auf dem der zu sperrende strafbare Inhalt liegt. Zugangsinfrastruktur ist m.E. jedenfalls kein instrumentum sceleris.
@KJ: Vielen Dank für Ihre Antwort. Ihre Argumente sind stichhaltig und nachvollziehbar. Sie legen den Fokus konsequent auf das Tatmittel und darauf, dass sich die strafprozessuale Massnahme primär gegen dieses richten muss. Das ist in der Tat ein starkes Argument, weil es an die Systematik von Art. 263 StPO i.V.m. Art. 69 StGB anknüpft: Einziehungs- und Sicherungsmassnahmen sollen am einziehungsfähigen Objekt ansetzen, nicht unnötig bei beliebigen Dritten.
Mein Erklärungsversuch ist als teleologische (zweckorientierte) Rechtsfortbildung durchaus angreifbar – das habe ich einleitend auch so festgehalten. Mir geht es nicht darum, Art. 263 StPO „umzudeuten“, sondern um eine dogmatische Einordnung: Die Institute der Beschlagnahme bzw. Einziehung sind historisch klar auf physische Gegenstände zugeschnitten. Bei der Übertragung in die digitale Welt tun sich Gesetzgeber und Gerichte seit jeher schwer; gerade deshalb entstehen in der Praxis Konstellationen, in denen man sich an funktionalen Äquivalenten orientiert, ohne damit eine von der Norm „abweichende“ Auslegung schaffen zu wollen.
Ein bekanntes Beispiel ist die Durchsuchung/Beschlagnahme digitaler Geräte: Statt die Hardware zwingend und für längere Zeit physisch wegzunehmen, wird oft eine Kopie/Spiegelung erstellt. Das lässt sich – sinngemäss – als a maiore ad minus verstehen: Wenn die physische Wegnahme als das „Mehr“ zulässig wäre, muss das „Weniger“ (forensische Sicherung via Kopie) erst recht zulässig sein, sofern es den Zweck ebenso erfüllt und verhältnismässig ist.
Übertragen auf den vorliegenden Fall: Die Änderung des DNS-Eintrags beim ISP ist funktional eine mildere Vollzugsmodalität als die physische Beschlagnahme des Webservers oder die technische Abschaltung der Webseite (als instrumentum sceleris) beim Hosting-Provider (also dort, wo die Webseite beherbergt wird). Gerade die Beschlagnahme des gesamten Webservers kann erhebliche Kollateralschäden verursachen (weitere, unbeteiligte Domains/Services), während eine DNS-Massnahme lokal und reversibel ist.
Kurz gesagt: Wenn das Recht im Grundsatz eine härtere Sicherungsmassnahme (physische Wegnahme/Stilllegung der Webseite) zulässt, spricht viel dafür, dass eine mildere Massnahme, die denselben Sicherungszweck verfolgt und weniger Nebenwirkungen hat, erst recht zulässig sein kann (gerade wenn die Webseite im Ausland steht) – selbstverständlich immer unter dem Vorbehalt einer strengen Verhältnismässigkeitsprüfung.
@Rob: Ja, genau so müsste man es begründen. Es bleibt aber eine Bruchstelle, die m.E. nicht überbrückbar ist. Der Verfügungsadressat ist Dritter. Ohne explizite gesetzliche Grundlage kann er nach meinem Rechtsverständnis niemals von einer Strafverfolgungsbehörde zu einem Handeln verpflichtet bzw. via Strafandrohung verpflichtet werden.
@Rob: wirklich genial merci! Ich wiederhole mich: werden Sie Professor, falls Sie es nicht schon sind…
@Anonym: Herzlichen Dank für die freundlichen Worte! Professor bin ich keiner – umso mehr freut es mich, wenn der Beitrag als hilfreich empfunden wird.
Es ist geradezu absurd zu glauben, dass sich das Bundesgericht das notwendige Wissen verschafft. Das will es gar nicht.