國家駭客！？ -德國聯邦憲法法院關於「線上搜索」判決簡介（上）
壹、前言-線上搜索產生背景
近來恐怖主義及其相關活動在國際間來愈趨頻繁，且恐怖份子多不再使用傳統上容易被國家安全或偵察機關發現或察覺之通訊方式，例如書信往來或電話通訊，而是隨著資訊科技發展，轉而使用隱密性極高的資訊網絡系統，透過這些隱密性高的資訊網絡系統，可以大幅降低犯罪準備行為或犯罪行為被發現的風險。因此，傳統的國家安全防禦或偵查措施，諸如實體的搜索、扣押顯然無法成為有效的安全偵防或犯罪偵查手段，而必須隨著科技發展考慮更隱密有效的危險防禦或偵查措施。其中，監視與讀取在虛擬網路系統上傳遞或存取之資訊，被視為有效且必要的隱性偵查措施[1]。
這種對於網路資訊活動的監視與讀取，實非傳統針對實體物的搜索、扣押或監聽措施所能涵蓋。傳統對實體的搜索、扣押，僅能針對現實空間進行搜索，或者將整部實體電腦扣押，並進一步檢視電腦硬碟內之資料。至於傳統的監聽措施，雖然能夠對他人正在進行中之通訊活動進行監聽，但當他人通訊活動已經終止，且資訊留存於虛擬網路空間，即無法透過監聽讀取或取得該資訊。為了有效取得在虛擬網路系統上存取的資訊，或監視他人在虛擬網路空間之活動歷程，遂有線上搜索（Online-Durchsuchung）這種新型態的危險防禦或偵查措施出現，容許國家機關在一定條件下可以入侵特定資訊系統，並監視、讀取與使用存於該線上資訊之資訊。
貳、判決緣起
德國Nordrhein-Westfalen邦首先在其邦法位階之憲法保護法（Verfassungsschutzgesetz）中明文規範線上搜索，授權邦憲法保護局（Bundesamt für Verfassungsschutz）[2]得基於危險防禦目的，在一定條件下侵入他人資訊系統進行線上搜索。該邦憲法保護法第5條第2項第11款第1句第2選項規範「秘密入侵資訊系統」（heimlicher Zugriff auf informationstechnischer System），即狹義的線上搜索，該規定授權憲法保護局得利用目標資訊系統既存的安全性漏洞或對目標系統植入間諜程式，進而監視該系統使用狀況，讀取儲存於儲存媒介上的資訊，甚至進一步遠端操控目標系統[3]。同法第5條第2項第11款第1句第1選項則規範「對網路的秘密窺視」（heimliches Aufklären des Internet），安全局可以藉此監視網路通訊及透過技術性方式獲取其內容[4]。
隨後五名憲法訴願人以Nordrhein-Westfalen邦憲法保護法中相關的線上搜索條文違反基本法第2條第1項連結第1條第1項（人格權保護）、基本法第10條第1項（通訊自由權）以及基本法第13條第1項（家宅不受侵犯權）為由，向聯邦憲法法院提起憲法訴願。第一案憲法訴願人係一名經常撰寫網路文章之記者，其職業活動經常需探詢敵對憲法人士或憲法敵對組織置於網路上之資訊，除此之外，他也經常性參與資訊保護事務，並與他人共同經營www.stop184.com網站，該網站提供聊天功能，極右派份子也能利用該網站交流。這些敵對憲法人士或組織以及極右份子的相關資訊都被憲法訴願人儲存在其私人與職業使用的硬碟中。第二案的憲法訴願人係Nordrhein-Westfalen邦左派黨（DIE LINKE）中一名活躍的成員，該黨被該邦憲法保護機關監視。訴願人透過其電腦連接網路以參與政治活動或於網路上進行通訊，同時也使用網路轉帳方式進行消費。第三名與第四名憲法訴願人係一家律師事務所合夥人，第三名訴願人擔任政治庇護者之律師，其中一名政治庇護者係庫德工人黨(kurdiche Arbeiterpartei)領導成員，也被該邦憲法保護機關監視，該憲法訴願人同時利用自家住宅與事務所電腦從事網路活動，而第四名與第五名訴願人也使用事務所電腦進行網路活動[5]。五名提起憲法訴願之訴願人本身並非憲法敵對人士或敵對組織之成員，但卻透過網路與被憲法保護機關監視之人士有某種聯繫，因此成為憲法保護機關線上搜索之對象。
隨後德國聯邦憲法法院於2008年2月27日針對上述線上搜索之合憲性作出解釋，結論上雖然認為Nordrhein-Westfalen邦關於線上搜索的相關規定因違反法官保留原則、明確性原則以及比例原則而違憲，但並未否定線上搜索這種措施之目的正當性，若線上搜索符合上述原則，仍有合憲可能[6]。
參、線上搜索之技術背景
為了瞭解「線上搜索」究竟會對相關人[7](Betroffene)的基本權造成何種干預及其程度，有必要先瞭解線上搜索背後的技術背景。國家機關首先必須先確認及分析被搜索的目標系統功能，才能進一步入侵該系統。而國家機關常見的入侵目標系統方式，大約有下略五種[8]：
一、刺探利用（Exploits）
所謂刺探利用，多係指國家機關利用資訊系統既存的安全性漏洞入侵將被搜索之目標系統。這種入侵方式又可進一步分為兩種類型，分別是「零時差刺探利用」（Zero-Day-Exploit）以及「低於零時差刺探利用」（Less-Than- Zero-Day-Exploit）。前者指稱利用作業系統生產者「已經發現並公告」之系統安全性漏洞之入侵軟體，由於安全性漏洞已公告周知，這種軟體要發生入侵系統之效果，就必須在安全性公告當日，系統使用者尚未使用對抗漏洞措施前入侵目標系統，這種入侵軟體因此不適合國家機關用來入侵目標系統，因為目標系統使用者隨時可以修補該安全性漏洞並採取對抗入侵措施，導致線上搜索失敗。反之，後者係指稱利用系統生產者尚未發現之安全性漏洞之入侵軟體，由於系統生產者尚未知悉安全漏洞存在，亦無法公告或修補該漏洞，系統使用者便無法採取對抗入侵軟體之措施，使用者此種入侵方式顯然極為有效，但仍有系統使用者發現漏洞後採取反入侵措施的風險。
二、後門程式（Backdoor）
所謂「後門程式」，係指可以繞過軟體安全性控制，而以較隱密方式進入資訊系統之方法，部分軟體提供者在設計軟體開發時會設計後門方便修補程式，若目標系統存有後門程式軟體，國家機關即可透過後門程式進入目標系統，但由於後門也有可能被國家機關以外之第三人濫用，進而使國家機關產生國家賠償責任，因此也不適宜作為國家機關線上搜索之工具。
三、特洛伊木馬程式（Trojanisches Pfred）
本質上也是一個木馬程式，一個完整的特洛伊木馬套裝程式含了兩部分：服務端（伺服器部分）和用戶端（控制器部分）。植入對方電腦的是服務端，而駭客正是利用用戶端進入執行了服務端的電腦。執行了木馬程式的服務端以後，會產生一個有著容易迷惑用戶的名稱的進程，暗中打開埠（Port），向指定地點發送資料（如網路遊戲的密碼，即時通訊軟體密碼和用戶上網密碼等），甚至可以利用這些打開的埠進入電腦系統[9]。不過木馬程式的特色在於其通常隱藏並附著於系統使用者利用之特定檔案中，在使用者下載或開啟該檔案同時，也連帶啟動木馬程式運作。
四、按鍵紀錄程式（keylogger）
按鍵記錄程式是會記錄鍵盤活動的程式。某些惡意程式會利用這些程式來收集使用者資訊。按鍵記錄程式通常會攔截並儲存所有鍵盤活動，而讓某人或其他應用程式有機可乘，將按鍵記錄加以分類，以挑選出如登入憑證與信用卡號碼等有價值的資訊。若國家機關使用此程式，則可獲取入侵目標系統所需之帳號或密碼，進而順利入侵目標系統[10]。
五、系統使用者本身或其他國家協力機關裝置入侵軟體
最後一種入侵目標系統之方式，便是系統使用者在使用其他軟體裝置時，無意識地將某種入侵系統之軟體也裝載於系統或硬體中，或者未執行線上搜索之國家機關，本於其協力義務入侵目標系統電腦所在實體領域，並裝置入侵程式於該電腦中，使得執行線上搜索之國家機關得以入侵目標系統。
肆、線上搜索的極限與反線上搜索措施
線上搜索本身就是透過科技技術入侵目標系統，因此同樣受限於科技技術之發展，尤其受限於目標系統的技術狀態。當目標系統運作程式毀損，或者與網際網路連線中斷，就可能阻斷線上搜索進行。除此之外，目標系統本身的配備及運作狀態、資料的組織與儲存方式，均足以影響線上搜索之發動與進行。除了目標系統本身的技術極限外，若入侵目標系統需要系統使用者為特定行為，例如上述系統使用者使用特定帶有特洛伊木馬程式之檔案之情形，或透過電子郵件夾帶後門程式，這些情形都須要系統使用者開啟或使用檔案之積極行為（例如點擊滑鼠開啟電子郵件內容），若系統使用者並未為上述積極行為，國家機關也無法入侵目標系統執行線上搜索[11]。
除了目標系統配備需求及系統使用者不為特定行為可能阻斷線上搜索外，系統使用者亦可能使用反線上搜索措施阻斷線上搜索。例如對資訊檔案加密，可增加檔案解密或入侵系統之困難度，要破解加密檔案可能就得迫使國家機關使用按鍵紀錄程式。又例如系統使用者可能使用防火牆、病毒及惡意程式偵測軟體，或者其他反監控程式以避免被國家機關入侵或監視線上活動及讀取資訊[12]。執行線上搜索之國家機關因此必須考量對目標系統執行線上搜索的可能性有多高，並進而選擇適當且必要的線上搜索方式。
伍、線上搜索的合憲性問題
在瞭解線上搜索的可能方式後，進一步的問題是這樣的危險預防措施或偵查方式是否合憲，尤其是侵害了受搜索者何種基本權利以及如合正當化該基本權侵害？以下即簡要介紹該判決重要內容：
一、新型態的基本權：確保市民對資訊技術系統的信賴及完整性
首先，就線上搜索可能侵害的基本權，判決認為這種線上搜索措施，由於與傳統危險防禦或偵查手段有極大差別，加上其科技特殊性，即便是傳統的「通訊自由權」（基本法第10條第1項）、「家宅不受侵犯權」（基本法第13條第1項）、甚至基本法未明文規定，而是由聯邦憲法法院透過基本法第2條第1項連結基本法第1條所發展出來的「一般人格權」中的「資訊自決權」，皆無法充分說明線上搜索措施可能造成的基本權侵害，可能造成基本權保護的漏洞。因此，藉由聯邦憲法法院發展的「一般人格權」概念，應承認其另一種具體保護面向，亦即市民對於資訊技術系統的信賴及完整性應加以保障（Gewährleistung der Vertraulichkeit und Integrität informationstechnischer System）[13]。首先要檢視的是，聯邦憲法法院開展出此種新的基本權，其射程範圍為何，是否有發展新基本權的必要性，以及如何與其他已經開展之基本權區隔？
㈠資訊技術系統的概念
第一個面臨的問題是，新型態基本權所稱的「資訊技術系統」的概念定義及範圍。判決認為僅指涉擁有大量運作範圍，包含許多不同類型且與個人相關之資訊，且可以將該資訊加以儲存，系統之使用能夠形成生活之重要部分，並表現出系統使用者之人別[14]。若資訊系統使用僅「點狀式」地與使用者之「特定生活領域」有連結，則適用系統使用者之資訊自決權，而非對資訊系統的信賴與完整信確保[15]。不過這樣的定義顯然相當模糊，因為如何決定系統是否擁有「大量運作範圍」以及「多類型的個人資訊」，是否包含智慧型手機或者PDA？單從判決對新基本權的定義本身其實無法提供明確操作新基本權，且不易與其他傳統的基本權區隔[16]。
㈡與通訊自由權之區別
依據聯邦憲法法院向來對通訊自由權保障範圍的見解，通訊自由保護領域可以延申至網路通訊方式[17]，然而如果通訊活動已經結束，而通訊內容已經留存於通訊參與者的支配領域，則此處並不涉及通訊自由之侵害，因為通訊自由被侵害之危險源自於通訊活動具有延長空間的特質，第三人容易因此介入該延長空間之通訊活動，而已經結束並留存於通訊參與者支配領域之通訊內容並無此種特質[18]。判決對於新基本權與通訊自由的區分可以理解，因為已經結束並存於通訊參與者支配領域的資訊，參與者仍對之有處分高權，但正在進行中的通訊活動，參與者對通訊內容已經喪失其處分高權。因此，利用線上搜索入侵他人資訊系統，讀取個人位於系統儲存裝置上之資訊，其後透過資訊傳遞技術將資訊回傳國家機關的措施，通常未涉及正在進行中的通訊活動，無法透過通訊自由基本權加以保障[19]。
[1] 線上搜索背景起源，參閱Hoffmann, Die Online-Durchsuchung-staatliches "Hacken" oder zulässige Ermittelungsmaßmahne?, NStZ 2005, 121.
[2] 德國的聯邦及各邦均設有憲法保護局，主要負責德國境內安全情報工作，尤其是負責監視德國境內出現的違反民主自由基本憲政秩序之活動。
[3] BVerfG, Urt. v. 27,02,2008 - 1 BvR 370/07, Absatz-Nr. 5.
[4] BVerfG, Urt. v. 27,02,2008 - 1 BvR 370/07, Absatz-Nr. 4.
[5] BVerfG, Urt. v. 27,02,2008 - 1 BvR 370/07, Absatz-Nr. 116.
[6] BVerfG, Urt. v. 27,02,2008 - 1 BvR 370/07, Leitsätze 1 und 2.
[7] 此處的相關「人」，是指所有因線上搜索措施可能被影響或涉及的基本權主體，包含被搜索的目標系統使用者以及其他使用網路系統的參與者。
[8] 以下參考Hozner, Die Online-Durchsuchung: Entwicklung eines neuen Grundrechts, 2009, S. 11 ff.
[9]http://zh.wikipedia.org/wiki/%E7%89%B9%E6%B4%9B%E4%BC%8A%E6%9C%A8%E9%A9%AC_(%E7%94%B5%E8%84%91)（最後瀏覽日期：2011年10月14日）
[10] http://tw.trendmicro.com/tw/threats/enterprise/glossary/k/keyloggers/（最後瀏覽日期：2011年10月14日）
[11] Buermeyer, Die Online-Durchsuchung. Technischer Hintergrund des verdecktenhoheitlichen Zugriffs auf Computersysteme, HRRS, 2007, 156.
[12] Buermeyer, HRRS, 2007, 156; Hozner, Die Online-Durchsuchung, S. 16.
[13] BVerfG, Urt. v. 27,02,2008 - 1 BvR 370/07, Absatz 181.
[14] BVerfG, Urt. v. 27,02,2008 - 1 BvR 370/07, Absatz 203.
[15] BVerfG, Urt. v. 27,02,2008 - 1 BvR 370/07, Absatz 202.
[16] Holzner, Online-Durchsuhung, S. 26.
[17] BverfGE, 113, 348 (383).
[18] BverfGE, 115, 166 (183).
[19] BVerfG, Urt. v. 27,02,2008 - 1 BvR 370/07, Absatz 186.
推薦給好友