Jusletter IT

Am 5. Mai 2022 veröffentlichte die EU-Kommission einen Entwurf für eine Verordnung zur Bekämpfung von Kindesmissbrauch: Anbieterinnen von Kurznachrichtendiensten wie Threema, Signal oder iMessage sollen durch die neuen Regeln unter anderem verpflichtet werden, Fotos und Videos von Kindesmissbrauch in ihren Nachrichten ausfindig zu machen und gegen sogenanntes Grooming¹ vorzugehen. Der Vorstoss stiess weitherum auf heftige Kritik.² Dies insbesondere, weil er dazu führt, dass die bisher in solchen Diensten meist genutzte Ende-zu-Ende-Verschlüsselung aufgeweicht werden müsste, was faktisch die Tür zur Massenüberwachung aufstiesse und einen schweren Eingriff in die Grundrechte darstellte.³

In der Schweiz ist derzeit eine Revision der Ausführungsverordnungen zum Bundesgesetz betreffend die Überwachung des Post- und Fernmeldeverkehrs (BÜPF) im Gang. Bis zum 23. Mai 2022 lief die entsprechende Vernehmlassungsfrist.⁴

Im Zusammenhang mit dieser Revision sorgte die Einführung einer Entschlüsselungspflicht (Art. 50 Abs. 7 E-VÜPF) für Aufsehen. Die Norm lautet:

«Jede FDA⁵ und jede AAKD⁶ mit weitergehenden Pflichten gemäss Artikel 22 oder 52⁷ entfernt die von ihr oder für sie angebrachten Verschlüsselungen. Sie erfasst und entschlüsselt dafür den Fernmeldeverkehr der überwachten Person an geeigneten Punkten, damit die Überwachungsdaten ohne die vorgenannten Verschlüsselungen geliefert werden.»

Kritisch sind dabei zwei verschiedene Aspekte:

1. Handelt es sich bei Ende-zu-Ende-Verschlüsselung um «von der Anbieterin oder für die Anbieterin» angebrachte Verschlüsselung?
2. Könnte der in einer Kommunikations-App integrierte Verschlüsselungsmechanismus als «geeigneter Punkt für die Entschlüsselung» verstanden werden?

Im Rahmen des Vernehmlassungsverfahrens erkundigte sich der Schreibende beim Dienst Überwachung Post- und Fernmeldeverkehr (Dienst ÜPF), der die Vernehmlassung im Auftrag des Bundesrates durchführte, ob die entsprechenden Formulierungen zu einer Pflicht führen würden, eine «Backdoor» in Kommunikationssoftware einzuführen.

Der Dienst ÜPF verneinte diese Frage ausdrücklich. Er schrieb:

«Beim neuen Art. 50 Abs. 7 E-VÜPF handelt es sich nicht um eine Pflicht zur Einrichtung einer «Backdoor» in der von der Betreiberin angebotenen Software. Insbesondere nicht betroffen ist daher die End-to-End Verschlüsselung in der von Ihnen geschilderten Situation, wo der Kunde eine Verschlüsselung auf seinem Endgerät mittels Kommunikationssoftware, die von der Betreiberin angeboten wird, auf Inhalten anbringt, die an andere Kunden gerichtet sind.»

In der Tat ist keine andere Auslegung der gesetzlichen Grundlage des BÜPF denkbar: Art. 26 Abs. 2 Bst. c sieht seit jeher vor, dass Anbieterinnen von Fernmeldediensten von ihnen angebrachte Verschlüsselungen entfernen müssen. Dabei geht es um Verschlüsselungen, welche die Anbieterinnen selber anbringen, um die Kommunikationswege abzusichern oder Verschlüsselungstechnik zur Absicherung von gespeicherten Daten. Im Gegensatz dazu wird eine Ende-zu-Ende-Verschlüsselung vom Nutzer selber angebracht, und nicht von der Anbieterin.

Die Ende-zu-Ende-Verschlüsselung hat gerade das Ziel, dass auch die Anbieterin selber die übermittelten Daten nicht sehen kann und dient dem Datenschutz: Der Grundsatz der Datenminimierung (ein Teilaspekt des datenschutzrechtlichen Verhältnismässigkeitsgrundsatzes von Art. 4 Abs. 2 DSG) besagt nämlich, dass nur jene Daten bearbeitet werden dürfen, die für die Bearbeitung auch notwendig sind. Und für die Übermittlung von Daten muss eine Anbieterin keinen Zugriff auf die übermittelten Daten haben, sodass sich eine Pflicht für die Anbieterinnen, eine Ende-zu-Ende-Verschlüsselung m.E. sogar aus dem Datenschutzgesetz ergibt. Zudem werden Daten oftmals sogar «peer-to-peer», d.h. direkt zwischen den Endgeräten und ohne Umweg über die Server der Anbieterin, übermittelt.

Die übermittelte Information wird in aller Regel mit «Public-Key-Kryptografie» verschlüsselt. Dazu nutzt die Software auf dem Endgerät des Absenders einen öffentlich verfügbaren Verschlüsselungsschlüssel («public key») des Empfängers, dessen Gegenstück (Entschlüsselungsschlüssel, «private key») nur der Empfänger kennt. Die Verschlüsselung erfolgt dabei für die Nutzer transparent in der jeweiligen App. D. h. der Nutzer bekommt die Details der Verschlüsselung gar nicht mit; sie läuft im Hintergrund ab.

Eine Auslegung der neuen VÜPF in einer Weise, die eine derartige Pflicht für Anbieterinnen abgeleiteter Dienste zur Einrichtung einer «Backdoor» einschliessen würde, ist damit von der gesetzlichen Grundlage des BÜPF nicht gedeckt und verstiesse zudem gegen das Datenschutzgesetz.

Nachdem das Bundesgericht sich in Überwachungssachen bereits mehrfach nonchalant – oder auch aus technischem Unverstand – über die gesetzlichen Grundlagen des BÜPF hinweggesetzt und teils sogar freihändig erhebliche neue Überwachungspflichten einführt hat,⁸ ist die in der Vernehmlassung geäusserte Forderung, man solle die Unklarheit doch bitte im erläuternden Bericht oder dem Verordnungstext klarstellen, auf jeden Fall zu unterstützen. Nicht dass der Dienst ÜPF oder gar die Gerichte noch auf die Idee kommen, die in der EU aufs Schärfste kritisierte Chatkontrolle in der Schweiz durch die Hintertür einer Verordnung einzuführen.