Schweizer Datenschützer ist gegen Aufweichung der Verschlüsselung

Der Jurist Adrian Lobsiger will sich als Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter dafür einsetzen, dass Messenger-Dienste wie Threema sicher bleiben. archivBild: KEYSTONE

Oberster Schweizer Datenschützer spricht sich gegen Aufweichung der Verschlüsselung aus

Die vom Bundesrat vorgeschlagenen Änderungen in der Verordnung zur Überwachung des Fernmeldeverkehrs rufen Adrian Lobsiger auf den Plan. Er warnt vor einem «äusserst problematischen Eingriff». Die zuständige Bundesbehörde versichert, die Ende-zu-Ende-Verschlüsselung sei nicht betroffen.

Daniel Schurter

Adrian Lobsiger, der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), hat am Freitag gegenüber watson Stellung genommen zur Befürchtung, dass der Bund eine «Chatkontrolle» durch die Hintertür einführen könnte. Und der für die Überwachung zuständige Dienst ÜPF relativiert in einer ausführlichen Stellungnahme Kritik, die unter anderem von der Piratenpartei geäussert wurde.

Das sagt der oberste Datenschützer

Der EDÖB stellt klar:

«Die BÜPF/VÜPF-Revision kann nicht mit der geplanten ‹Chatkontrolle› der EU-Kommission verglichen werden. Im Fall der BÜPF/VÜPF ist die Überwachung nur in klar definierten Situation möglich (bei Delikten, die in der StPO (Strafprozessordnung, Anmerk. der Red.) aufgezählt sind, es braucht einen dringenden Tatverdacht und die bisherigen Untersuchungshandlungen müssen erfolglos gewesen sein). Sie ist also nur im Rahmen eines Strafverfahrens im Einzelfall möglich, basierend auf dem Entscheid einer Justizbehörde.»

Konkret geht es um die «Verordnung über die Überwachung des Post- und Fernmeldeverkehrs», kurz VÜPF. Sie regelt, wie der sogenannte «Dienst ÜPF», eine Bundesbehörde, die Überwachung in Strafverfahren umsetzt. Bis am Montag kann sich die Öffentlichkeit im Rahmen des Vernehmlassungsverfahrens zum neuen Verordnungs-Entwurf äussern.

Rechtliche Basis bildet das «Bundesgesetz betreffend die Überwachung des Post- und Fernmeldeverkehrs» (BÜPF), das 2018 vom Stimmvolk angenommen wurde.

Aushebelung der Ende-zu-Ende-Verschlüsselung: «äusserst problematisch»

Der oberste Datenschützer geht also nicht davon aus, dass der Schweiz eine «Chatkontrolle» droht, wie sie kürzlich von der EU-Kommission vorgeschlagen wurde. Doch betont Adrian Lobsiger, dass die Verschlüsselung nicht durch technische Eingriffe beeinträchtigt werden sollte.

Er erachte «das Hinzufügen eines zusätzlichen Schlüssels in eine verschlüsselte Kommunikation, einzig zum Zweck der Überwachung in einem Strafverfahren, als äusserst problematischen Eingriff in die Selbstbestimmung und das Geschäftsmodell der betroffenen Kommunikationsunternehmen sowie die verfassungsrechtlich geschützte Privatsphäre der Bevölkerung», schreibt der EDÖB.

Ein solcher Eingriff hätte zwangsläufig auch negative Auswirkungen auf die technische Sicherheit der betroffenen Kommunikationsdienste zum Nachteil aller Nutzerinnen und Nutzer, gibt der Schweizer Datenschützer zu bedenken.

Und er stellt in Aussicht:

«Im weiteren Verlauf des Rechtssetzungsverfahrens wird sich der EDÖB gegen eine solche Regelung aussprechen und zudem eine Konkretisierung der Bestimmung und den dazugehörigen Erläuterungen verlangen.»

Adrian Lobsiger, Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter EDÖB

Sprich: Der oberste Datenschützer des Landes will sich dafür einsetzen, dass die Betreiber von Kommunikationsdiensten keine «Hintertüren» für den Staat einbauen müssen.

Dienst ÜPF nimmt Stellung

Der für die Überwachung des Fernmeldeverkehrs zuständige Dienst Überwachung Post- und Fernmeldeverkehr ÜPF hat am Freitag gegenüber watson Stellung genommen und versichert, dass mit der vorgeschlagenen Teilrevision der Überwachungs-Verordnung (VÜPF) keine Umgehung oder Schwächung der Ende-zu-Ende-Verschlüsselung verlangt werde.

Was die von der Piratenpartei Schweiz geäusserten Befürchtungen zu Art. 50 Abs. 7 betrifft, betont der Jurist Antonio Abate, Fachverantwortlicher Recht und Stab:

«Die Ende-zu-Ende-Verschlüsselung ist von dieser Regelung nicht betroffen. Die Verschlüsselungstechnik soll nicht geschwächt werden und Anbieterinnen sollen nicht gezwungen werden, Ende-zu-Ende verschlüsselte Nachrichten zugänglich zu machen.»

Kurz gesagt beinhalte diese neue Ausführungsbestimmung, «dass die Anbieterin bei angeordneten Überwachungen verschlüsselte Inhalte lesbar zur Verfügung stellen» müsse, wenn sie über den passenden Schlüssel verfüge oder wenn sie in ihrem Kontrollbereich auf die unverschlüsselten Inhalte zugreifen könne. Dies betreffe auch Überwachungen, bei denen sie nur eine Duldungspflicht habe.

Bei der Ende-zu-Ende-Verschlüsselung verfüge die Anbieterin – also zum Beispiel ein Messenger-Betreiber – in der Regel aber nicht über den passenden Schlüssel, da die Schlüssel von den Endpunkten der Kommunikation (also auf dem Gerät der User) erzeugt werden und der Anbieterin nicht zugänglich seien. Ausserdem befänden sich die unverschlüsselten Inhalte nicht im Kontrollbereich der Anbieterin.

Der Vernehmlassungsentwurf der VÜPF stehe in keinerlei Zusammenhang mit den Plänen der EU-Kommission, so der Jurist weiter. Nach allem, was darüber bisher bekannt sei, gebe es auch keinen Zusammenhang zwischen der «Chatkontrolle» und der Fernmeldeüberwachung an sich.

Weiter erklärt der Bundes-Jurist:

«Die VÜPF ist eine Ausführungsverordnung zum BÜPF und muss gesetzeskonform sein. Die Bestimmungen der Ausführungsverordnungen zum BÜPF müssen von Zeit zu Zeit an die technische Entwicklung angepasst werden, damit keine Überwachungs- und Identifikationslücken entstehen. Die aktuelle VÜPF stammt aus dem Jahre 2017. Inzwischen hat sich insbesondere die Mobilfunktechnologie rasant weiterentwickelt (5G).»

Die inhaltliche Überwachung des Fernmeldeverkehrs im Rahmen von Strafverfahren oder beim Vollzug eines Rechtshilfeersuchens sei in der Schweiz nur in Echtzeit möglich und an drei Voraussetzungen geknüpft:

• Sie könne nur bei «den besonders schweren Delikten» angeordnet werden, die in der Strafprozessordung, respektive im Militärstrafprozess, abschliessend aufgezählt sind (der Deliktkatalog findet sich hier als PDF).
• Es brauche zudem einen dringenden Tatverdacht.
• Ferner müssten «die bisherigen Untersuchungshandlungen erfolglos gewesen sein oder die Ermittlungen sonst aussichtslos sein oder unverhältnismässig erschwert werden» (Art. 269 Abs. 1 StPO).

Nur wenn diese Voraussetzungen erfüllt seien, könne die zuständige Staatsanwaltschaft eine Überwachung anordnen, betont Antonio Abate. Jede Überwachungsanordnung werde durch das zuständige Zwangsmassnahmengericht materiell geprüft. Und erst nach Genehmigung des Zwangsmassnahmengerichts dürfen die auswertenden Strafverfolgungsbehörden auf die Überwachungsdaten zugreifen.

Für Überwachungen des Nachrichtendienstes des Bundes (NDB) gelte das Nachrichtendienstgesetz (NDG), das auch ein Genehmigungsverfahren vorsehe.

Schliesslich relativiert der Bundes-Jurist auch die Befürchtungen der Kritiker, wonach eine im VÜPF-Entwurf enthaltene «Ausweitung der Überwachung auf Verordnungsebene» der Bundesverfassung widerspreche. Abate:

«Die Verordnung über die Überwachung des Post- und Fernmeldeverkehrs (VÜPF) führt die Bestimmungen des BÜPF näher aus und kann nicht über den vom BÜPF vorgegebenen gesetzlichen Rahmen hinausgehen.»

Quellen

• admin.ch: Technologische Entwicklung erfordert Anpassungen der Verordnungen zur Fernmeldeüberwachung