Going Dark: Digital-NGOs stellen sich gegen Forderungen nach Entschlüsselung

Europäische Ermittlungsbehörden dürften keine uneingeschränkten Befugnisse erhalten, die zu Massenüberwachung und Grundrechtsverletzungen führen würden. Das fordern über drei Dutzend zivilgesellschaftliche Organisationen in einem offenen Brief an die EU-Justiz- und Innenminister:innen.

Die Sorgen der NGOs haben einen handfesten Grund. Im Auftrag der EU hatte eine Hochrangige Gruppe (High-Level Group, HLG) untersucht, wie sich dem sogenannten „Going Dark“-Phänomen begegnen lässt. Mit diesem Begriff bezeichnen Polizeien und Geheimdienste die Schwierigkeit, auf verschlüsselte Daten zuzugreifen. Seit inzwischen Jahrzehnten drängen sie darauf, diese Hürde einzureißen.

In diesen Kanon stimmt auch die europäische HLG ein. Die weitgehend aus Sicherheitsbehörden kommenden Expert:innen hatten in ihren Empfehlungen sowie einem jüngst veröffentlichten Abschlussbericht eine einschlägige Wunschliste erstellt. Neben umfangreichen Speicherpflichten für beliebige Online-Dienste müsse letztlich ein „rechtmäßiger Zugang durch Design (‚lawful access by design‘)“ garantieren, dass Ermittlungsbehörden selbst auf verschlüsselte Inhalte zugreifen können, so ihre Kernforderungen.

Kaum umsetzbare Forderungen

Wie sich das technisch und ohne negative Nebenwirkungen umsetzen ließe, lässt die HLG offen. Aus gutem Grund: Sicherheitsexpert:innen sehen solche Ansätze als Quadratur des Kreises, denn Verschlüsselung ist entweder sicher oder eben nicht. Insbesondere das Konzept eines standardisierten „rechtmäßigen Zugangs durch Design“ bereitet den NGOs Sorgen. „In der Praxis würde dies die systematische Schwächung aller digitalen Sicherheitssysteme erfordern, einschließlich, aber nicht beschränkt auf die Verschlüsselung“, warnen die Unterzeichner:innen.

Generell würden Hintertüren jeglicher Art „die Sicherheit und Vertraulichkeit elektronischer Daten und Kommunikationen untergraben, die Sicherheit aller Menschen gefährden und die Grundrechte der Menschen stark einschränken“, heißt es in dem offenen Brief. Unterstützt wird dieser von einem breiten Bündnis, mit an Bord sind Digital-NGOs wie der Chaos Computer Club (CCC), epicenter.works oder European Digital Rights (EDRi), aber auch der Deutsche Anwaltverein (DAV), die Europäische Rundfunkunion (EBU) oder der Europäische Verband der Zeitungsverleger (ENPA).

Rechtliche Hürden

Neben den technischen Problemen stünden solche Ansätze im Widerspruch zur Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte (EGMR). Dieser hatte zuletzt die anlasslose Massenüberwachung in Russland für illegal erklärt. Vor allem in demokratischen Gesellschaften sei eine allgemeine Verpflichtung zur Schwächung von Verschlüsselung unverhältnismäßig, so das Gericht. „Wir empfehlen daher, alle Maßnahmen zu verwerfen, die den Schutz der Verschlüsselung umgehen oder abschwächen könnten, da sie die Sicherheit und den Schutz der Privatsphäre von Millionen von Menschen und öffentlichen Einrichtungen gefährden und unweigerlich das gesamte Ökosystem der digitalen Informationen schädigen würden“, schreiben die NGOs.

Auch die vorgeschlagenen, EU-weit harmonisierten Regeln zur Vorratsdatenspeicherung müssten einschlägigen Gerichtsurteilen genügen, sollte die EU erwartungsgemäß erneut einen Anlauf für die anlasslose Massenspeicherung unternehmen, mahnen die NGOs. Mit ihren Vorschlägen würde die HLG weit übers Ziel hinausschießen: Eine Ausweitung der Speicherpflichten auf praktisch alle Online-Dienste, einschließlich des Internets der Dinge und sonstiger internetbasierter Dienste, wäre „besonders besorgniserregend, da sie eine ungezielte und wahllose Vorratsdatenspeicherung personenbezogener Daten erfordern würde“.

Diese umfassende und allgemeine Überwachung würde in den Köpfen der Menschen das Gefühl erzeugen, dass ihr Privatleben ständig überwacht werde und könne nicht als mit den rechtlichen Anforderungen vereinbar angesehen werden, heißt es in dem Brief. Jeder Eingriff in die Grundrechte müsse den Grundsätzen der Rechtmäßigkeit, der strikten Notwendigkeit und der Verhältnismäßigkeit entsprechen. Eine anlasslose Speicherung personenbezogener Daten auf Vorrat, mit denen sich etwa detaillierte Profile von Menschen erstellen ließen, entspreche diesen Grundsätzen nicht.

Hohes Missbrauchspotenzial

Erst recht gelte dies für sogenannte Berufsgeheimnisträger:innen, die besonderen Schutz genießen. „Es besteht die Gefahr, dass diese Maßnahmen missbraucht werden, um Journalisten, Menschenrechtsverteidiger, Anwälte, Aktivisten und politische Dissidenten zu verfolgen“, warnen die NGOs. Angesichts des Pegasus-Skandals, bei dem in mehreren europäischen Ländern politisch unliebsame Menschen mutmaßlich illegal mit der Spähsoftware überwacht worden waren, scheint die Furcht nicht weit hergeholt zu sein.

Zugleich würde sich die EU mit einer geschwächten Verschlüsselung auch ins eigene Fleisch schneiden, führt der Brief aus. Schließlich haben in den vergangenen Jahren Gerätehersteller und Diensteanbieter erhebliche Ressourcen in die Verbesserung der Sicherheit ihrer Geräte und der Zuverlässigkeit ihrer Dienste investiert – auf Druck von Nutzer:innen, Aufsichtsbehörden und nicht zuletzt der Politik. Doch umfassende Überwachungsauflagen würden Ansätze wie die Datenschutz-Grundverordnung oder den auf IT-Sicherheit abzielenden Cyber Resilience Act gehörig untergraben.

Unsichere digitale Werkzeuge

Dies hätte wohl Auswirkungen auf Nutzer:innen wie auf Anbieter:innen, so die NGOs. Auf der einen Seite wäre es für erstere kaum möglich, künftig vertrauenswürdige digitale Werkzeuge zu wählen. Auf der anderen Seite könnten sich zuverlässige Anbieter sicherer Dienste entweder aus dem EU-Markt zurückziehen oder müssten ganz schließen. „Dies wäre natürlich äußerst schädlich für die Initiativen und Ambitionen der EU im Bereich der Cybersicherheit“, schreiben die NGOs.

Es stehe außer Frage, dass die den Strafverfolgungsbehörden zur Verfügung stehenden Ermittlungsmaßnahmen dem digitalen Zeitalter angemessen sein müssten, heißt es in dem Brief. Effizienz sollte jedoch nicht auf Kosten von Grundrechten, des Rechtsschutzes und der europäischen Wirtschaft erreicht werden. „Wir sind davon überzeugt, dass diese Ziele von allgemeinem Interesse mit weniger einschneidenden Maßnahmen erreicht werden können als mit einer Massenüberwachung und einer systematischen Schwächung essenzieller Sicherheitsgarantien.“