Erneuertes Wassenaar-Abkommen: Spionagesoftware könnte zukünftig mehr Exportkontrolle unterliegen

Vergangene Woche haben die 41 Partner des Wassenaar-Abkommens zwei neue Kategorien für Spionagesoftware in das seit 1996 bestehende Regelwerk aufgenommen. Dort ist nun die Rede von „Intrusion software“ und „IP network surveillance systems“.

Damit wird erstmals international anerkannt, dass Schadsoftware zu den sogenannten Dual-Use-Gütern und –Technologien gezählt werden kann. Gemeint ist der doppelte Verwendungszweck: Waren und Güter werden für zivile Zwecke entwickelt, aber auch militärisch genutzt. In einer Mitteilung schreibt das Sekretariat in Wien:

In 2013, new export controls were agreed in a number of areas including surveillance and law enforcement/intelligence gathering tools and Internet Protocol (IP) network surveillance systems or equipment, which, under certain conditions, may be detrimental to international and regional security and stability.

Neben dem Wassenaar-Abkommen existieren weitere internationale Ausfuhrkontrollregime, darunter die Australische Gruppe gegen den Verbreitung chemischer und biologischer Waffen, die Gruppe der Nuklearen Lieferländer sowie das Trägertechnologie-Kontrollregime.

Das Wassenaar-Abkommen unterrichtet die teilnehmenden Länder, wenn eine andere Regierung den Export bestimmter Produkte untersagt. Damit wollen die Partner die Umgehung von Ausfuhrbestimmungen verhindern und verbotenen Exporten auf die Spur kommen. Bindend ist die Regelung aber nicht: Wenn ein Staat die Lieferung inkriminierter Produkte verbietet, darf sie vom anderen jederzeit erlaubt werden. Vertragspartei müssen einander vor Erteilung einer Ausfuhrgenehmigung nicht konsultieren.

Letzten Freitag haben die Delegationen der Annahme zweier Vorschläge Frankreichs und Großbritanniens zugestimmt. Neben den neuen Kategorien wurden auch deren Definitionen ins Abkommen aufgenommen.

Großbritannien hatte die Aufnahme von „Advanced Persistent Threat Software and related equipment (offensive cyber tools)” vorgeschlagen. Gemeint sind Trojaner, mit denen die Zielsysteme in Echtzeit ausgeforscht werden können. In der Beschreibung heißt es dazu:

„Software“ specially designed or modified to avoid detection by ‚monitoring tools‘, or to defeat ‚protective countermeasures‘, of a computer or networkcapable device, and performing any of the following:
a. The extraction of data or information, from a computer or networkcapable device, or the modification of system or user data; or
b. The modification of the standard execution path of a program or process in order to allow the execution of externally provided instructions.

Einschränkend wird erklärt, dass keine „Debuggers“ oder Digital Rights Management-Systeme erfasst sind. Kontrolliert werden also jene Anwendungen, die Sicherheitseinstellungen auf dem infizierten Rechner gezielt unterlaufen, um von den NutzerInnen unbemerkt zu bleiben. Bekannte Systeme sind etwa die FinFisher-Produktreihe von Gamma International sowie Trojaner der deutschen Firma Digitask und der schweizer Firma Era IT Solutions.

Die Aufnahme von „IP network surveillance systems” ins Wassenaar-Abkommen wurde von Frankreich angeregt. Hierzu gehört insbesondere die Deep Packet Inspection (DPI), vermutlich aber auch einige jener Werkzeuge die im Zuge des NSA-Skandals bekannt wurden. Bekannte Hersteller derartiger Technologie sind die deutschen Firmen Utimaco, Atis Uher sowie Rohde & Schwarz, die französische Firma Amesys, das italienische Hacking Team oder die israelisch-amerikanische Verint. Im neuen Abkommen heißt es dazu:

IP network communications surveillance systems or equipment, and specially designed components therefor, having all of the following:
1. Performing all of the following on a carrier class IP network (e.g., national grade IP backbone):
a. Analysis at the application layer (e.g., Layer 7 of Open Systems Interconnection (OSI) model (ISO/IEC 7498-1));
b. Extraction of selected metadata and application content (e.g., voice, video, messages, attachments); and
c. Indexing of extracted data; and
2. Being specially designed to carry out all of the following:
a. Execution of searches on the basis of ‚hard selectors‘; and
b. Mapping of the relational network of an individual or of a group of people.

Die Bürgerrechtsorganisation Privacy International kritisiert die Definition als zu eng: Die inkriminierte Hard- und Software muss in der Lage sein, große Datenmengen zu verarbeiten. Auch die unerwünschten Anwendungsgebiete sind stark eingeschränkt, was folglich eine Nutzung für andere Zwecke durchaus erlauben würde. Offensichtlich fallen Systeme nur dann unter das Abkommen, wenn sie Daten nicht nur analysieren, sondern auch speichern.

Streng genommen ist die Nutzung der Spionagetechnik durch Polizeien und Geheimdienste nach dem Wassenaar-Abkommen auch nicht illegal. Vielmehr geht es um die unerwünschte Häufung militärischer Kapazitäten, wodurch das sicherheitspolitische „Gleichgewicht“ durcheinander geraten könnte. Trotzdem ist die Aufnahme der beiden Kategorien zunächst ein Fortschritt, spätere Initiativen könnten sich darauf beziehen.

Auch Privacy International sieht in Exportkontrollen nicht die „Silberkugel“ für die „Probleme der Überwachungssysteme“:

Let us be clear: export controls are not a silver bullet solution for the problem of surveillance systems. Subjecting surveillance systems to export controls is only the first step to implementing effective mechanism to control the trade. Implementation and ensuring that human rights concerns are given sufficient weighting in the license-granting process are much needed. And instituting a system for controlling the trade of these technologies does not in any way take any of the moral responsibility away from the companies that develop and sell these, nor does it allow for shareholders, boards and private investment firms to abdicate their responsibility and turn a blind eye to the fact their increasing profits are based on the suffering of those in oppressed regimes. However, it does crack open the door to further action, and that is an opportunity.

Problematisch ist auch, wer über die Länder mit Exportbeschränkungen entscheiden soll – die Regimes von Gaddhafi, Mubarak und Ben Ali wurden beispielsweise jahrelang bedenkenlos aufgerüstet. Privacy International verweist auf ein von Wikileaks veröffentlichtes Cable, wonach deutlich wird wie die Umsetzung des Abkommens stets politischem Kalkül unterliegt. Teilnehmende Staaten können so auch den Überblick bekommen, welche Firmen in welchem Handelssegment führend sind.