A-8267/2010

Bundesverwaltungsgericht Tribunal administratif fédéral Tribunale amministrativo federale Tribunal administrativ federal Abteilung I A-8267/2010 Urteil vom 23. Juni 2011 Besetzung Richter Markus Metz (Vorsitz), Richterin Claudia Pasqualetto Péquignot, Richter Lorenz Kneubühler, Gerichtsschreiber Bernhard Keller. Parteien A._______ AG, Beschwerdeführerin, gegen Eidgenössisches Justiz- und Polizeidepartement EJPD, Informatik Service Center ISC-EJPD, Dienst Überwachung Post- und Fernmeldeverkehr ÜPF, 3003 Bern, Vorinstanz, und Kanton Zürich, vertreten durch die Staatsanwaltschaft ... Beigeladene. Gegenstand Datenlieferungspflicht. Sachverhalt: A. Am 27. September 2010 hat die Staatsanwaltschaft ... eine Überwachung des gesamten Internetverkehrs sowie sämtlicher verfügbarer Verkehrsdaten über den Internet-Anschluss einer bestimmten Mobilfunknummer von A._______ angeordnet und diese Anordnung dem Dienst Überwachung Post- und Fernmeldeverkehr ÜPF zugestellt. B. Mit Verfügung vom 27. Oktober 2010 verpflichtete der Dienst ÜPF A._______ AG auf die technische Umsetzung der aktiven Überwachung des gesamten Internetverkehrs sowie sämtlicher verfüg­barer und ausleitbarer Verkehrsdaten über diesen Internet-Anschluss hinzuarbeiten und die Überwachungsmassnahme entsprechend der technischen Weisung in Anhang 1 so schnell wie möglich, spätestens jedoch bis zum 29. Oktober 2010 umzusetzen. Der Anhang 1 wurde zum integrierenden Bestandteil der Verfügung erklärt. Neben weiteren Anordnungen zu Kosten, Entschädigung, Nichterkennbarkeit und Geheimhaltung der Überwachung entzog der Dienst ÜPF einer allfälligen Beschwerde gegen die Verfügung die aufschiebende Wirkung. In technischer Hinsicht verpflichtete er A._______ AG insbesondere, den gesamten IP Verkehr des zu überwachenden Anschlusses zu duplizieren und diesen gemäss den im "Technical Requirements for Telecommunication Surveillance TR TS" (nachfolgend TR TS) Annex G gegebenen Angaben auszuleiten. Die Daten sollten gemäss TR TS Annex G.1 geliefert werden, wobei dies in einem OpenVPN Tunnel gemäss TR TS Annex A.2 erfolgt. C. Gegen diese Verfügung erhebt A._______ AG (nachfolgend Beschwerdeführerin) am 29. November 2010 Beschwerde an das Bundesverwaltungsgericht. Sie beantragt die Aufhebung der Verfügung, eventuell die Ansetzung einer angemessenen Frist von mindestens zehn Monaten zur Implementierung einer Überwachungs­lösung für den über das Mobiltelefonienetz abgewickelten Internetverkehr (nachfolgend Mobile-Internet). In Bezug auf das Verfahren beantragt die Beschwerde­führerin die Wiederherstellung der aufschiebenden Wirkung. In der Hauptsache macht die Beschwerdeführerin geltend, für die konkret angeordnete Überwachungsart, nämlich die Ausleitung des Mobile-Internetverkehrs, fehlten die gesetzliche Grundlagen bzw. ein genügend bestimmter Rechtssatz sowie die technischen Ausführungs­bestim­mungen. Die in Kraft stehenden Bestimmungen bezögen sich auf Internetzugänge über das Festnetz, das sich in technischer Hinsicht erheblich vom Mobilnetz unterscheide. Die Vorinstanz habe den Sachverhalt unvollständig und unzutreffend erhoben, den Unterschieden zwischen Fest- und Mobilnetz keine Rechnung getragen, insbesondere nicht beachtet, dass die angeordnete Überwachung mit der vorhandenen Infrastruktur nicht durchführbar sei. Hierfür seien vielmehr erhebliche Investitionen erforderlich, die ihrer­seits den Erlass technischer Ausführungsbestimmungen voraussetzten, damit es nicht zu Fehlinvesti­tionen komme, die überdies einzig von den Anbietern von Fernmelde­diensten zu tragend seien. Der Erlass der Ausführungs­bestimmungen sei immer wieder verzögert worden und seit Monaten in Arbeit. Schliesslich sei die Anordnung der Vorinstanz unverhältnismässig, die Umsetzung innerhalb von nur 2 Tagen sei unmöglich, weil es auch keine technische Ersatzmassnahme (sog. work around) gebe, vielmehr sei ein mehr­monatiges Beschaffungsprojekt erforderlich. Gestützt auf die Listenpreise der Lieferanten seien Kosten in der Höhe von mindestens Fr. 500'000.- zu erwarten. Mangels sowohl für die Anbieter von Fernmeldediensten als auch für die Vorinstanz verbindlicher definitiver technischer Regelungen fehle es an der Rechtssicherheit für eine vorläufige, temporäre Lösung. Es fehlten auch Prognosen über die künftig zu bearbeitenden Daten­mengen. Angesichts der genannten Kosten und der Risiken, nach dem Inkrafttreten der neuen technischen Richtlinien kostspielige Änderungen an den eben beschafften Systemen vorzunehmen oder diese sogar ersetzen zu müssen, sei die Massnahme unverhältnismässig. D. In ihrer Vernehmlassung vom 15. Dezember 2010 beantragt die Vorinstanz die Abweisung der Beschwerde und des Gesuchs um Wieder-herstellung der aufschiebenden Wirkung, die Ansetzung einer drei­monatigen Frist an die Beschwerdeführerin für die Vornahme der für eine Mobile-Internet-Überwachung notwendigen technischen Installa­tionen sowie die Beiladung des Kantons Zürich, vertreten durch die Staatsanwaltschaft ... zum Verfahren. Zur Sache bringt die Vorinstanz vor, die Beschwerdeführerin sei nicht befugt, die Rechtsmässigkeit der Überwachungsmassnahme anzugreifen bzw. eine ungenügende gesetzliche Grundlage zu rügen, ebenso wenig die Verhältnismässigkeit. Insofern sei auf die Beschwerde nicht ein­zutreten. Sie bestreitet die Darlegungen der Beschwerdeführerin. Sie sei von der Aufnahme des Kundenbetriebes an verpflichtet, die Überwachung der von ihr angebotenen Fernmeldedienste sicherzustellen. In ihrer Verfügung würde die Vorinstanz die Regelung für die Überwachung der Festnetz-Internetanschlusse nur in Bezug auf die Formate und Schnitt­stellen verwenden, diese seien für jeglichen IP-Verkehr, also auch für Internetzugänge über das Mobilnetz verwendbar. Schliesslich bringt die Vorinstanz vor, dass für die Umsetzung einer Überwachungslösung eine Frist von drei Monaten ausreichend sei, es sei der Beschwerdeführerin seit längerem bekannt, wie eine Mobile-Internet-Überwachungslösung aussehe, zu deren Einrichtung sie von Gesetzes und Verordnungs wegen verpflichtet sei. E. In ihrer Stellungnahme zum neuen Antrag der Vorinstanz hinsichtlich der dreimonatigen Umsetzungsfrist vom 14. Januar 2011 hält die Beschwer-deführerin an ihren Anträgen fest und präzisiert ihre Vorbringen. Für die Umsetzung der Mobile-Internet-Überwachung benötige sie rund zehn Monate. F. Mit Zwischenverfügung vom 24. Januar 2011 heisst das Bundesverwal­tungsgericht das Gesuch der Beschwerdeführerin gut und stellt die aufschiebende Wirkung wieder her. Zugleich zieht es auf Antrag der Vorinstanz den Kanton Zürich, vertreten durch die Staatsanwaltschaft ... ins Verfahren ein (Beigeladene), verbunden mit der Möglichkeit Stellung zu nehmen. G. Am 8. Februar 2011 nimmt die Beigeladene Stellung, betont die Rechtsmässigkeit der angeordneten Überwachung und weist auf die Wichtigkeit von Internet-Überwachungen bei Strafuntersuchungen hin. Für sie als Strafverfolgungsbehörde sei es beunruhigend, dass sich die Festlegung der technischen Richtlinien derart lange verzögere. Mangels dieser Richtlinie sei die angeordnete Überwachung als Spezialfall zu betrachten, aber dennoch durchzuführen. H. Die Vorinstanz hebt in ihrer Vernehmlassung vom 14. Februar 2011 hervor, dass sie die für die Umsetzung der Überwachung notwendigen technischen Weisungen als Anhang zur Verfügung erteilt habe und nicht etwa die Regelung für die Ausleitung des festnetzbasierten Internetverkehrs verlangt habe. Soweit sinnvoll, habe sie jedoch darauf verwiesen. Ebenso wenig habe sie die Anwendung der sich erst im Entwurfsstadium befindlichen neuen technischen Richtlinien verlangt. Die Überwachung des Internetverkehrs über den Mobilfunk sollte gemäss dem einschlägigen 3GPP-Standard TS 29.060 möglich und zugeordnet werden können. Es sei der Beschwerdeführerin mindestens seit dem 26. Februar 2010 bekannt, dass sie zur Durchführung von Mobile-Internet-Überwachungen verpflichtet sei und dass dies in ETSI konformer Weise zu erfolgen hat. I. In den Bemerkungen vom 4. März 2011 hält die Beschwerdeführerin an ihren Anträgen und ihrer Auffassung fest, dass für die verfügte Überwachungsmassnahme generell abstrakte Grundlagen erforderlich und dass die technischen Weisungen viel zu vage seien. Zudem bestreitet sie, dass gestützt auf den 3GPP-Standard eine Zuordnung des Internetverkehrs möglich sei. Der ETSI-Standard schliesslich lasse verschiedene Wahlmöglichkeiten für die Vorinstanz offen. Solange die Vorinstanz diese Wahl nicht getroffen habe, bestehe eine unzumutbare Rechtsunsicherheit, die ihr verunmögliche, in allenfalls nicht verwirklichte Wahlmöglichkeiten Investitionen zu tätigen. J. Auf die weiteren Vorbringen der Parteien und die eingereichten Aktenstücke wird, soweit rechtserheblich, in den nachfolgenden Erwägungen eingegangen. Das Bundesverwaltungsgericht zieht in Erwägung: 1. 1.1. Das Bundesverwaltungsgericht beurteilt gemäss Art. 31 des Verwaltungsgerichtsgesetzes vom 17. Juni 2005 (VGG, SR 173.32) Beschwerden gegen Verfügungen nach Art. 5 des Bundesgesetzes vom 20. Dezember 1968 über das Verwaltungsverfahren (VwVG, SR 172.021), sofern sie von Behörden erlassen wurden, die gemäss Art. 33 VGG als Vorinstanzen gelten und überdies keine Ausnahme nach Art. 32 VGG vorliegt. Der Dienst Überwachung Post- und Fernmeldeverkehr ist gemäss Art. 3 Abs. 1 der Verordnung vom 31. Oktober 2001 über die Überwachung des Post- und Fernmeldeverkehrs (VÜPF, SR 780.11) administrativ dem Eidgenössischen Justiz- und Polizeidepartement zugeordnet und damit eine Vorinstanz im Sinne von Art. 33 Bst. d VGG. 1.2. Eine Ausnahme nach Art. 32 VGG ist nicht gegeben, so dass gegen die Verfügung der Vorinstanz vom 27. Oktober 2010 beim Bundes­verwaltungsgericht Beschwerde geführt werden kann. Im Übrigen sieht auch Art. 32 VÜPF die Beschwerde an das Bundesverwaltungsgericht nach den allgemeinen Bestimmungen über die Bundesrechtspflege ausdrücklich vor. 1.3. Zur Beschwerde ist nach Art. 48 Abs. 1 VwVG berechtigt, wer durch die angefochtene Verfügung berührt ist und ein schutzwürdiges Interesse an der Aufhebung oder Änderung hat. Die Beschwerdeführerin ist Adressatin der Verfügung, wird durch diese zu einem Tun verpflichtet und damit beschwert. Aufgrund der Vorbringen der Parteien ist nicht die (strafprozessuale) Zulässigkeit der Überwachung Streitgegenstand - zu deren Beurteilung die Strafgerichte zuständig wären (vgl. Art. 279 Abs. 3 der Strafprozessordnung vom 5. Oktober 2007 (StPO, SR 312.0) - sondern die der Beschwerdeführerin auferlegten Pflichten. Wie im Urteil des Bundesverwaltungsgerichts A-2335/2008 vom 10. März 2009 E. 3.3.2 festgehalten worden ist, kann eine Anbieterin von Fernmeldediensten in ihrer Beschwerde an das Bundesverwaltungsgericht geltend machen, eine bestimmte Art der Überwachung fordere von ihr Kenntnisse und technische Mittel, über die sie nicht verfüge. Sie kann sich dagegen wehren, sich solche Kenntnisse und Mittel aneignen zu müssen und sehr hohe Investitionen für eine bestimmte Art der Überwachung des Fernmeldeverkehrs zu tätigen, sofern diese Art der Überwachung - unabhängig von einem konkreten Anwendungsfall - nicht rechtmässig ist. Ebenso kann eine unverhältnismässige Umsetzungsfrist gerügt werden (vgl. Urteil des Bundesverwaltungsgerichts A-2335/2008 vom 10. März 2009 E. 11). Die Beschwerdebefugnis der Beschwerde­führerin ist daher zu bejahen. 1.4. Auf die im Übrigen frist- und formgerecht eingereichte Beschwerde (vgl. Art. 50 und Art. 52 VwVG) ist daher einzutreten. 2. 2.1. Das Bundesverwaltungsgericht entscheidet mit voller Kognition. Es überprüft auf entsprechende Rüge hin die angefochtene Verfügung auf Verletzung von Bundesrecht einschliesslich Überschreitung oder Missbrauchs des Ermessens, die Feststellung des rechtserheblichen Sachverhalts und die Angemessenheit der angefochtenen Verfügung (Art. 49 VwVG). Es auferlegt sich allerdings dann eine gewisse Zurückhaltung, wenn es um die Beurteilung von technischen Fragen geht, in denen die Vorinstanz oder ein beigezogenes Fachamt über ein besonderes Fachwissen verfügt, das dem Bundesverwaltungsgericht nicht zur Verfügung steht. Dagegen prüft es frei und uneingeschränkt, ob die Vorinstanz den Sachverhalt korrekt festgestellt, die für den Entscheid wesentlichen Punkte geprüft, die erforderlichen Abklärungen sorgfältig und umfassend vorgenommen hat sich dabei von sachkonformen Erwägungen hat leiten lassen (vgl. BGE 133 II 35 E. 3; BGE 125 II 591 E. 8a; vgl. auch Urteil des Bundesverwaltungsgerichts A-954/2009 vom 1. Juli 2010 E. 13.1; siehe auch Christoph Bandli, Neue Verfahren im Koordinationsgesetz: Ausgleich von Schutz und Nutzen mittels Interessenabwägung, in: URP 2001, Ziff. 6.2, S. 549; Ulrich Häfelin/ Georg Müller/Felix Uhlmann, Allgemeines Verwaltungsrecht, 6. Aufl. Zürich/St. Gallen 2010 Rz. 446c f.). 2.2. Das Bundesgesetzes vom 6. Oktober 2000 betreffend die Überwachung des Post- und Fernmeldeverkehrs (BÜPF, SR 780.1) wurde mit der Einführung der schweizerischen Strafprozessordnung auf den 1. Januar 2011 revidiert. Diejenigen Bestimmungen, die im vorliegenden Fall entscheidwesentlich sind, sind von dieser Revision nicht betroffen, weshalb sich insofern keine intertemporalrechtlichen Fragen stellen.

3. Die Beschwerdeführerin rügt ungenügende rechtliche Grundlagen sowie ungenügende generell-abstrakte technische Richtlinien für die verfügte Überwachung. Das BÜPF weise konzeptionelle Mängel auf. In der Praxis würden heute die Strafverfolgungsbehörden nicht nur anordnen, gegen wen eine Überwachung zu schalten sei, sondern auch mit definieren, welche Arten von Überwachungen durchzuführen seien, ohne dass hierfür eine klare, genügend bestimmte gesetzliche Grundlage bestehe. Den Anordnungen seien daher faktisch keine Grenzen gesetzt. Die kantonalen Strafverfolgungsbehörden würden fortlaufend neue Überwa­chungsarten verlangen, die die Fernmeldediensteanbieterinnen (FDA) auf eigene Kosten umsetzen müssten. Es würden daher zunehmend Dinge verlangt, welche über die traditionelle Telefonüberwachung hinausgingen. In den Ausführungsbestimmungen, Art. 24 VÜPF, finde sich ein abschlies­sender Katalog der Überwachungsarten im Bereich des Internets, der die Echtzeitüberwachung von mobilen Internetverbindungen nicht erwähne. Selbst wenn dieser Katalog nicht abschliessend sein sollte, würde es an den relevanten technischen Richtlinien, somit an ausreichend konkretisierten technischen Bestimmungen für die Überwachung des Internetverkehrs auf mobilen Endgeräten fehlen. Art. 33 Abs. 1bis VÜPF verlange, dass die Vorinstanz die technischen und administrativen Einzelheiten der einzelnen Überwachungstypen durch Richtlinien regle. Ohne diese könnten die FDA das zu verarbeitende Datenvolumen nicht abschätzen und ihre für die Überwachung notwendigen Anlagen nicht korrekt dimensionieren. Gesetz und Verordnung allein seien zu wenig konkret, weshalb daher die Vorinstanz ihre Verfügung nicht nur darauf abstützen könne. Die Umsetzung verlange vielmehr klare und widerspruchsfreie Richtlinien. 3.1. Die Vorinstanz macht demgegenüber geltend, unter den Begriff Fernmeldeverkehr falle auch der Internetverkehr, sowohl derjenige über Festnetz- wie auch Mobiltelefon-Anschlüsse. Art. 15 BÜPF kenne keine Einschränkungen, sondern gebe das Ziel vor und umschreibe daher die Verpflichtungen der FDA hinreichend. Dies gelte jedenfalls dann, wenn es sich um herkömmliche und nicht völlig unerwartete Anforderungen handle. Die Ausführungsbestimmungen seien nicht abschliessender Natur und könnten es angesichts der Materie, die sich in einem raschen technologischen Wandel befinde, auch nicht sein. Die Beschwerde­führerin sei nicht zuletzt gestützt auf Art. 26 Abs. 2 VÜPF verpflichtet, die Überwachung des von ihr angebotenen mobilen Internetverkehrs zu ermöglichen. Weiter betont die Vorinstanz, dass sie ihre Verfügung weder auf künftige technische Richtlinien noch auf Annex G der TR TS abstütze, sondern auf letztere nur referenziert habe, um die Datenausleitung zu beschreiben, namentlich Datenformate und Schnitt­stellen. Die technische Weisung für die Überwachung finde sich im Anhang zur Verfügung zu deren Anordnung die Vorinstanz gemäss Art. 13 Abs. 1 Bst. b BÜPF berechtigt sei. 3.2. Das BÜPF regelt im 4. Abschnitt die Überwachung des Fernmelde­verkehrs. Die Vorinstanz hat gemäss Art. 13 Abs. 1 Bst. b BÜPF die Aufgabe, die Anbieterinnen von Fernmeldediensten anzuweisen, die für die Überwachung notwendigen Massnahmen zu treffen. Sie nimmt zudem den umgeleiteten Fernmeldeverkehr der überwachten Person entgegen (Art. 13 Abs. 1 Bst. c BÜPF). Art. 15 Abs. 1 BÜPF verpflichtet die An­bieterinnen von Fernmeldediensten, dem Dienst für die Überwachung des Post- und Fernmeldeverkehrs auf Verlangen den Fernmeldeverkehr der überwachten Person sowie die Teilnehmeridentifikation und Verkehrs- und Rechnungsdaten zuzuleiten. Das Gesetz erfasst die Überwachung jeder Art von Fernmeldeverkehr einer bestimmten Person, wobei der Anknüpfungspunkt für die Überwachung eine bestimmte Rufnummer bildet (vgl. Urteil des Bundesverwaltungsgerichts A-2335/2008 vom 10. März 2009 E. 7.4). Nicht zuletzt aus dem persönlichen Geltungs­bereich (Art. 1 Abs. 2 BÜPF), der die staatlichen, konzessionierten oder meldepflichtigen Anbieterinnen von Post- und Fernmeldedienstleistungen sowie Internet-Anbieterinnen umfasst und damit implizit auf das Fernmeldegesetz vom 30. April 1997 (FMG, SR 784.10) verweist, ergibt sich, dass unter Fernmeldeverkehr im Sinne von Art. 13 wie auch Art. 15 BÜPF jede fernmeldetechnische Übertragung von Informationen zu verstehen ist (vgl. Art. 2 FMG). Der Internetverkehr, der über eine bestimmte Mobiltelefonnummer abgewickelt wird, stellt offensichtlich Fernmeldeverkehr im Sinne des Gesetzes dar, weshalb er von der in Art. 15 Abs. 1 BÜPF statuierten Verpflichtung erfasst wird. Entgegen der Auffassung der Beschwerdeführerin bildet das BÜPF demnach nicht nur für die Telefonabhörung, also die Abhörung des Sprachverkehrs eine Grundlage, sondern für jeglichen Fernmeldeverkehr. Das Gesetz ist überdies technologieneutral ausgestaltet und auch für neue, ja sogar heute noch nicht bekannte Arten von Fernmeldeverkehr offen. Für den Fernmeldebereich, der einem raschen technologischen Wandel unterliegt, erscheint die Verankerung der Grundsätze, verbunden mit der Kom­petenz des Bundesrates auf Verordnungsebene die Einzelheiten zu regeln, sachgerecht und geboten, weshalb insofern kein konzeptioneller Mangel des Gesetzes auszumachen ist. Auf das Vorbringen der Beschwerdeführerin, wonach die Strafverfol­gungsbehörden nicht nur anordneten, gegen wen sich die Überwachung richte, sondern auch welche Art von Überwachung durchzuführen sei, ist nicht einzutreten. Streitgegenstand ist einzig der Inhalt der Verfügung der Vorinstanz, der auch von ihr zu verantworten ist. Wer an der Entstehung der Verfügung in welcher Weise mitgewirkt hat, ist für die FDA und damit für das vorliegende Beschwerdeverfahren unerheblich. Immerhin ist festzustellen, dass die Strafverfolgungs­behörden gemäss Art. 11 Bst. g, Art. 15 Bst. g und Art. 23 Bst. g VÜPF in der der Vorinstanz einzurei­chenden Überwachungsanordnung die Über­wachungstypen anzugeben haben. 3.3. Die Einzelheiten zu den Pflichten der FDA hat der Bundesrat gemäss Art. 15 Abs. 6 BÜPF zu bestimmen. Dies ist in der VÜPF erfolgt, in der die verschiedenen Überwachungstypen geregelt sind. Im Bereich des Fernmeldeverkehrs unterscheidet die VÜPF zwischen der Überwachung des Fernmeldeverkehrs mit Ausnahme von Internet sowie die Überwachung der Internetzugänge und definiert für jede dieser Kategorien die Überwachungstypen, die angeordnet werden können (vgl. Art. 16 und 24 VÜPF). 3.3.1. Verlangt wird mit der angefochtenen Verfügung die Überwachung eines Internetzugangs über eine Mobilnummer, weshalb die Bestim­mungen des 6. Abschnitts der VÜPF über die Internetzugänge anwendbar sind. Die Vorinstanz beruft sich denn auch in ihrer Verfügung Art. 25 Abs. 5 und Art. 26 Abs. 2 VÜPF, die sich im 6. Abschnitt befinden. Wie jeder Internet-Anbieter ist die Beschwerdeführerin gemäss Art. 26 Abs. 1 VÜPF verpflichtet, in der Lage zu sein, die in Art. 24 VÜPF genannten Überwachungstypen auszuführen. Art. 26 Abs. 2 VÜPF enthält die Verpflichtung, die Überwachung des Fernmeldeverkehrs von der Aufnahme des Kundenbetriebes eines Internet-Dienstes an sicherzu­stellen. Die Vorinstanz will diese Bestimmung dahingehend verstanden wissen, dass sie sich auf jeglichen (internetbezogenen) Fernmelde­verkehr und nicht nur auf die in Art. 24 VÜPF genannten Typen beziehe. Aufgrund der Systematik und der gesetzlichen Vorgabe, wonach die Einzelheiten der Pflichten der FDA vom Bundesrat zu bestimmen sind, ist zu schliessen, dass Abs. 2 die zeitliche Dimension der Verpflichtungen aus Art. 26 VÜPF festhält, und unter der Überwachung des Fern­meldeverkehrs gemäss Abs. 1 einzig die in Art. 24 VÜPF genannten Überwachungstypen zu verstehen sind. Wie das Bundesgericht in BGE 109 Ia 273 E. 4d, ebenfalls im Zusammenhang mit der Überwachung des Post- und Fernmeldeverkehrs, festgehalten hat, muss das Gesetz so präzise formuliert sein, dass der Bürger sein Verhalten danach richten kann. Gleiches muss auch für FDA gelten, auch sie müssen aus Gesetz, Verordnung und allfälligen technischen Richtlinien (vgl. Art. 33 Abs. 1bis VÜPF) den Inhalt und Umfang ihrer konkreten Pflichten erkennen können. Die Überwachung der Internetzugänge gilt als technisch sehr anspruchsvolle Aufgabe, deren Komplexität und Schwierigkeiten dazu führten, dass seinerzeit das Inkrafttreten von BÜPF und VÜPF um mehrere Monate verschoben werden musste (vgl. Thomas Hansjakob, BÜPF / VÜPF, Kommentar zum Bundesgesetz und zur Verordnung über die Überwachung des Post- und Fernmeldeverkehrs, St. Gallen 2002, S. 334). Gerade für Sachverhalte, zu denen auch keine technischen Richtlinien bestehen und mehrere Lösungen möglich sind, ist daher nicht ersichtlich, wie die FDA einer derart weit verstandenen Pflicht aus Art. 26 Abs. 2 VÜPF korrekt nachkommen könnten. Erschwerend kommt hinzu, dass sich in der VÜPF auch keine Regelungen finden für Überwa­chungen, die keinem der aufgezählten Überwachungstypen zuzuordnen sind, diese also gar nicht vorgesehen sind. 3.3.2. Die Vorinstanz stützt ihre Verfügung nicht auf einen in der VÜPF genannten Überwachungstyp, sondern einzig auf Art. 13 und Art. 15 BÜPF und bezeichnet die Überwachung als Spezialfall. Die Überwachung des Internetverkehrs dürfte jedoch angesichts der heutigen, von einer breiten Öffentlichkeit genutzten Kommunikationsmöglichkeiten, die soziale Netzwerke, Kurznachrichtendienste, Blogs, Internettelefonie etc. bieten, kein Einzelfall sein bzw. bleiben. Es ist daher zu erwarten, dass die FDA immer wieder zu solchen Überwachungen verpflichtet werden, worauf im Übrigen auch die Erarbeitung von entsprechenden Richtlinien durch die Vorinstanz sowie die Stellungnahme der Beigeladenen vom 8. Februar 2011 hinweist. Die angefochtene Verfügung geht demnach über einen Einzel- oder Sonderfall hinaus. Wie vorne in E. 1.3 dargelegt worden ist, ist das Bundesverwaltungs­gericht gemäss BGE 130 II 249 E. 2.2.2 nicht zuständig, generell die Rechtmässigkeit einer Überwachungsmassnahme zu beurteilen. Es ist jedoch zuständig, die Rüge zu prüfen, eine bestimmte Überwachung sei - unabhängig von einem konkreten Anwendungsfall - nicht rechtmässig, wenn die FDA geltend macht technisch nicht in der Lage zu sein, die Überwachung durch­zuführen und sich dagegen wehrt, Mittel und Kennt­nisse zu erwerben für eine Art der Überwachung, deren Rechtmässigkeit zweifelhaft ist. Eine FDA kann nicht in jedem Fall zu einem solchen Erwerb verpflichtet wer­den (Urteil des Bundesverwaltungsgerichts A-2335/2008 vom 10. März 2009, E. 3.3.1 f.). In den bisher zu beurtei­lenden Fällen konnten die Überwachungen stets einem der in der VÜPF genannten Typen zugeordnet werden, womit deren Rechtmässigkeit, insbesondere eine genügende gesetzliche Grundlage, zu bejahen waren. 3.3.3. Die Beschwerdeführerin macht geltend, dass sie erhebliche Investitionen tätigen müsse, um den durch die Verfügung auferlegten Pflichten nachzukommen, womit in ihre verfassungsmässigen Rechte eingegriffen werde, namentlich in die Eigentumsgarantie (Art. 26 der Bundesverfassung vom 18. April 1999 [BV, SR 101]) und in die Wirt­schaftsfreiheit (Art. 27 BV) und das Gesetzmässigkeitsprinzip (Art. 5 Abs. 1 i.V.m. Art. 164 BV) sowie das Verhältnismässigkeitsprinzip (Art. 5 Abs. 2 BV) verletzt werde. Das Bundesgericht und das Bundesverwaltungsgericht hatten bisher offen gelassen, wieweit sich eine FDA überhaupt auf diese verfassungs­mässigen Rechte berufen können unter Hinweis darauf, dass der Fernmeldemarkt weitgehend staatlich reguliert ist (vgl. BGE 131 II 13 E. 6.4.1; Urteil des Bundesverwaltungsgerichts A-2335/2008 vom 10. März 2009 E. 9.1). In der Tat ist fraglich und in der Lehre umstritten, inwieweit sich ein öffentliches Unternehmen oder auch ein Konzessions­nehmer im Bereich seiner Konzession auf die Wirtschaftsfreiheit berufen kann (Jörg Paul Müller/Markus Schefer, Grundrechte in der Schweiz: im Rahmen der Bundesverfassung, der EMRK und der UNO-Pakte, 4. Aufl. Bern 2008, S. 1066 f. und S. 1080). Diese Fragen stellen sich jedoch im vorliegenden Fall nicht: Anders als die Swisscom, deren Existenz auf dem Bundesgesetz vom 30. April 1997 über die Organisation der Telekom­munikationsunternehmung des Bundes (TUG, SR 784.11) beruht, ist die Beschwerdeführerin eine rein privatrechtliche juristische Person, eine Aktiengesellschaft nach Art. 620 ff. des Obligationenrechts vom 30. März 1911 (OR, SR 220). Gegenstand der angefochtenen Verfügung ist zudem der Zugang zum Internet, eine Tätigkeit für die keine Konzession erforderlich ist. Es ist daher kein Grund ersichtlich, weshalb die Beschwerdeführerin im Kontext der vorliegenden Beschwerde nicht Trägerin der Wirtschaftsfreiheit und anderer Grundrechte sein soll. Die Rügen betreffend Verletzung verfassungsmässiger Rechte sind daher zu prüfen. 3.3.4. Aufgrund der nachvollziehbaren Zusammen­stellung in ihrer Stellungnahme vom 14. Januar 2011, Rz. 55 erscheint der geltende gemachte Investitionsbedarf in der Höhe von etwa einer halben Million Franken, der aus der verfügten Verpflichtung erwächst, als erwiesen. Ein solcher Nachweis ist ausreichend (vgl. Urteil des Bundesverwaltungs­gerichts A-2335/2008 vom 10. März 2009, E. 9.5.4). Die Voraussetzungen für die Prüfung, ob die angeordnete Überwachungsart über eine genügende gesetzliche Grundlage verfügt, sind daher gegeben. Wie oben in E. 3.2 festgehalten worden ist, bildet Art. 15 Abs. 1 BÜPF eine gesetzliche Grundlage für die Verpflichtung der FDA, auf Verlangen der Vorinstanz jegliche Art von Fernmeldeverkehr zu überwachen. Die Regelung der Einzelheiten ist mit Art. 15 Abs. 6 BÜPF an den Bundesrat delegiert worden, er hat somit zu bestimmen, welche konkreten Pflichten die FDA erfüllen müssen. Die Delegation von Rechtsetzungsbefugnissen ist gemäss Art. 164 Abs. 2 BV grundsätzlich zulässig. Art. 15 BÜPF erfüllt alle Vorausset­zungen, die eine Delegation von Rechtsetzungs­be­fugnissen erfordert, sie ist auf ein bestimmtes Sachgebiet - die Über­wachung des Fernmeldeverkehrs - beschränkt und die Grundzüge der Materie sind im Gesetz geregelt (vgl. Ulrich Häfelin/Walter Haller/ Helen Keller, Schweizerisches Bundesstaatsrecht, 7. Aufl. Zürich/Basel/ Genf 2008, Rz. 1870 ff.). Der Bundesrat hat von der delegierten Rechtsetzungskompetenz Gebrauch gemacht. Im Bereich der Internet-Zugänge, dem 6. Abschnitt der VÜPF, beschränkt sich die erlassene Regelung jedoch im Wesentlichen auf verschiedene Überwachungsarten des E-Mail-Verkehrs. Art. 24 VÜPF enthält damit die momentan möglichen Überwachungs­typen (vgl. auch Einleitungssatz von Art. 24 VÜPF und Hansjakob, a.a.O., S. 338). Es ist unbestritten, dass sich die verfügte Überwachungs­art, der Internetverkehr, keinem der in Art. 24 VÜPF aufgezählten Überwachungstypen zuordnen lässt. Die Vorinstanz hat sich zu Recht nicht auf Art. 24 VÜPF gestützt. Damit ergibt sich jedoch, dass die Verfügung nicht auf einer in der VÜPF konkretisierten Verpflichtung beruht. Der Verfügung fehlt somit die vom Gesetzgeber verlangte Konkretisierung durch den Bundesrat, weshalb sie über keine genügend konkretisierte Grundlage in einer Verordnung verfügt und damit nicht rechtmässig ist. Die Beschwerdeführerin kann daher zurzeit nicht gegen ihren Willen zum Erwerb der für die Überwachung des Internet-Verkehrs notwendigen Einrichtungen gezwungen werden, soweit diese nicht für einen in Art. 24 VÜPF genannten Überwachungstyp erforderlich sind. Die Beschwerde ist daher gutzuheissen und die angefochtene Verfügung aufzuheben. Angesichts des gewichtigen öffentlichen Interesses an einer wirksamen Strafverfolgung schwerer Kriminalität und der heutigen Kommunikations­möglichkeiten, die das Internet bietet, drängt sich nach Auffassung des Bundesverwal­tungsgerichts eine rasche Revision der VÜPF auf, um diesen neuen Gegebenheiten Rechnung zu tragen.

4. Da der Hauptantrag der Beschwerdeführerin gutzuheissen ist, erübrigt es sich, über die weiteren Rügen und den Eventualantrag zu befinden, insbesondere über eine allfällige Umsetzungsfrist. Offen bleiben kann auch, ob die Vorinstanz den Sachverhalt unzutreffend bzw. unvollständig festgestellt hat und ob ihre Verfügung unverhältnismässig ist, wie dies die Beschwerdeführerin vorbringt. Zu einer Bemerkung Anlass gibt jedoch die Rechtsmittelbelehrung der Vorinstanz. Gemäss dieser könne subsidiär Verfassungsbeschwerde beim Schweizerischen Bundesgericht, Schweizerhofquai 6, 6004 Luzern erhoben werden. Gemäss Art. 113 des Bundesgerichtsgesetzes vom 17. Juni 2005 (BGG, SR 173.110) steht dieses Rechtsmittel nur gegen Entscheide letzter kantonaler Instanzen zur Verfügung. Die angefochtene Verfügung ist jedoch von einer Bundesbehörde erlassen worden, weshalb eine subsidiäre Verfassungsbeschwerde nicht erhoben werden kann. Überdies wäre ein solches Rechtsmittel in Fällen, in denen es zulässig ist, an das Schweizerische Bundesgericht, 1000 Lausanne 14 zu richten.

5. Die Kosten des Verfahrens vor dem Bundesverwaltungsgericht werden in der Regel der unterliegenden Partei auferlegt, wobei Bundesbehörden als Vorinstanzen keine Verfahrenskosten auferlegt werden (Art. 63 Abs. 1 und 2 VwVG). Bei diesem Ausgang des Verfahrens unterliegt die Vor­instanz. Es sind daher keine Verfahrenskosten zu erheben. Der von der Beschwerdeführerin geleistete Kostenvorschuss in der Höhe von Fr. 2'000.- ist ihr nach Eintritt der Rechtskraft dieses Urteils zurückzuerstatten.

6. Die Vertreter der Beschwerdeführerin stehen in einem Arbeitsverhältnis zu ihr. Gemäss Art. 9 Abs. 2 des Reglements vom 21. Februar 2008 über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht (VGKE, SR 173.320.2) steht ihr daher trotz Obsiegens keine Parteientschädigung zu. Zudem sind auch keine grösseren Auslagen ersichtlich, weshalb gemäss Art. 7 VGKE auch insofern von einer Parteikostenentschädigung abzusehen ist. Demnach erkennt das Bundesverwaltungsgericht:

1. Die Beschwerde wird gutgeheissen und die Verfügung der Vorinstanz vom 27. Oktober 2010 aufgehoben.

2. Es werden keine Verfahrenskosten erhoben. Der Kostenvorschuss von Fr. 2'000.- wird der Beschwerdeführerin nach Eintritt der Rechtskraft des vorliegenden Urteils zurückerstattet. Hierzu hat sie dem Bundes­verwaltungsgericht ihre Bank- oder Postverbindung anzugeben.

3. Es wird keine Parteientschädigung zugesprochen.

4. Dieses Urteil geht an:

- die Beschwerdeführerin (Gerichtsurkunde)

- die Vorinstanz (Einschreiben)

- der Beigeladenen (Einschreiben)

- das Generalsekretariat des Eidgenössischen Departements für Justiz und Polizei (Gerichtsurkunde) Der vorsitzende Richter: Der Gerichtsschreiber: Markus Metz Bernhard Keller Rechtsmittelbelehrung: Gegen diesen Entscheid kann innert 30 Tagen nach Eröffnung beim Bundesgericht, 1000 Lausanne 14, Beschwerde in öffentlich-rechtlichen Angelegenheiten geführt werden (Art. 82 ff., 90 ff. und 100 des Bundesgerichtsgesetzes vom 17. Juni 2005 [BGG, SR 173.110]). Die Frist steht still vom 15. Juli bis und mit dem 15. August (Art. 46 Abs. 1 Bst. b BGG). Die Rechtsschrift hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten. Der angefochtene Entscheid und die Beweismittel sind, soweit sie der Beschwerdeführer in Händen hat, beizulegen (Art. 42 BGG). Versand: