Laut Apple ist der Fingerabdruck eines der besten Passwörter der Welt. So bewirbt das Unternehmen seinen Fingerabdrucksensor Touch-ID. Folgerichtig können Apple-Nutzer seit dem iPhone 5S mit dem Finger ihre Geräte ver- und entriegeln. Samsung und HTC haben nachgezogen. Tatsächlich ist der Fingerabdruck einmalig und technisch fast fälschungssicher. Doch im Strafprozess könnte er mancherorts bald seine Schutzfunktion einbüßen.

Den Anfang könnte der US-Bundesstaat Virginia machen. Dort haben Richter in der vergangenen Woche entschieden, dass Polizisten einen Beschuldigten zum Entsperren seines Smartphones mittels Fingerabdruck zwingen dürfen. Das berichtet das Wall Street Journal. Im konkreten Fall ging es um häusliche Gewalt eines Mannes gegen seine Frau. Die Polizei wollte auf das Smartphone des Beschuldigten zugreifen, um weiteres belastendes Material zu finden. Das Smartphone war jedoch per Fingerabdruck gesichert. Der Beschuldigte weigerte sich, es zu entsperren, woraufhin die Polizei ihn zwang.

Das Urteil ist insofern bemerkenswert, als im US-amerikanischen Recht, ebenso wie im deutschen, der Nemo-tenetur-Grundsatz gilt. Danach muss sich ein Beschuldigter nicht selbst belasten. Er kann also jedwedes Mitwirken an den Ermittlungen gegen seine Person verweigern. Darauf berief sich auch der Beschuldigte in Virginia. Es half ihm nichts.

Beschuldigter muss Computer nicht bedienen

Hierzulande entfaltet das Urteil aus Virginia zwar keine Wirkung. Vollständig geklärt ist die Rechtslage in Deutschland aber nicht. Denn deutsche Gerichte haben über einen derartigen Fall noch nicht entschieden. Sicher ist bislang nur, dass ein Beschuldigter – anders als etwa in England – sein Passwort nicht verraten muss. Das gilt selbst, wenn er schwerster Straftaten verdächtig ist. Der Beschuldigte darf auch nicht dazu gezwungen werden, seinen Computer oder sein Smartphone aktiv selbst zu bedienen.

All das umfasst aktive Handlungen. Was aber, wenn ein Polizist den Finger des Beschuldigten auf den Sensor drückt? Dann handelt es sich nicht um aktives Tun, sondern um Dulden. Im deutschen Strafprozessrecht könnte das den Unterschied machen. Auch der Strafverteidiger und Blogger Udo Vetter hat darüber bereits spekuliert und die unsichere Rechtslage bemängelt.

"Das ginge in Deutschland nicht"

Martin Lemke vom Republikanischen Anwaltsverein sieht für ein Urteil wie in Virginia keinen Raum: "Das ginge in Deutschland nicht. Ein Beschuldigter darf nicht Beweismittel gegen sich selbst sein und nicht zum Objekt des Verfahrens werden", sagt Lemke. Der Beschuldigte hat das Recht, das Strafverfahren selbst zu gestalten, auch indem er eben nicht mitwirkt.

Der Fall mit dem Fingerabdrucksensor unterscheidet sich auch von der erlaubten Abgabe eines Fingerabdrucks oder einer Speichelprobe. Diese Maßnahmen können zwar mit Zwang durchgesetzt werden und der Beschuldigte muss sie dann dulden. Der Beschuldigte wird aber nicht zum Objekt des Verfahrens gemacht. Denn der Beweis ist in diesen Fällen nicht allein die Probe oder der Fingerabdruck des Beschuldigten, sondern erst der positive Abgleich mit einer gesondert ermittelten Vergleichsprobe. Es ist also ein Beweismittel aus zwei Komponenten.

Vorstellbar ist aber noch ein anderes Vorgehen: Ist von einem Beschuldigten bereits der Fingerabdruck bekannt, könnte die Polizei diesen Abdruck modellieren und auf das mit einem Fingerabdruck gesicherte Smartphone drücken. "Solche Maßnahmen wären wahrscheinlich zulässig", sagt Lemke. Denn auch, wenn das Smartphone mit einem normalen Passwort geschützt ist, darf die Polizei im Umfeld des Täters ermitteln, etwa Notizen beschlagnahmen, und so das Passwort ermitteln. Ein modellierter Fingerabdruck wäre mit dieser Art von Ermittlung vergleichbar. Der Chaos Computer Club hat bereits vor Jahren gezeigt, wie einfach der Nachbau eines Fingerabdrucks ist, Berliner Sicherheitsforscher haben mit solchen Methoden die Sensoren des iPhone 5S und des Samsung Galaxy S5 ausgetrickst.

Datenverschlüsselung von Apple und Google unter Umständen ausgehebelt

Wenn Fingerabdrücke keinen Schutz mehr bieten, wird auch die von Apple und Google eingeführte standardmäßige Datenverschlüsselung auf Smartphones unter Umständen sinnlos. Denn die Daten sind frei zugänglich, sobald das Gerät entsperrt ist. 

Strafverfolgungsbehörden vor allem in den USA verstehen die neue Verschlüsselung in iOS 8 und Android 5.0 als Behinderung ihrer Arbeit. Das Urteil aus Virginia könnte ihnen in die Hände spielen, weil sie einfach den Finger eines Beschuldigten zum Öffnen ergreifen können, wenn sie sein Smartphone nicht mit anderen Mitteln entsperrt bekommen.

Zumindest das iPhone muss aber nach dem Neustart oder nach mehr als 48 Stunden Inaktivität zunächst per PIN-oder Passworteingabe entsperrt werden. Mit dem Fingerabdruck geht es erst danach. Beschuldigte, die es schaffen, ihr iPhone rechtzeitig auszuschalten, können von der Verschlüsselung profitieren – vorausgesetzt, sie haben zuvor ein hinreichend starkes Passwort zum Entsperren des Geräts gewählt.

Auf das Urteil aus Virginia wird aller Wahrscheinlichkeit nach eine Berufung folgen. Bestätigen es die nächsten Instanzen, könnte es in den USA zu geltendem Recht werden.

Update: Nach Gesprächen mit weiteren Rechtswissenschaftlern hat sich das Bild präzisiert. Die Mehrheit der Experten hält es für zulässig, wenn Polizisten hierzulande das Handy eines Beschuldigten entsperren, indem sie den Finger des Beschuldigten auf den Sensor drücken. Der Beschuldigte muss dies nur erdulden, folglich läge keine 'aktive Selbstbelastung' vor.