Angriff auf Verschlüsselung: Netzrechtler fordern EU-Eingreifen gegen Kanada

Ein internationales Bündnis aus Zivilgesellschaft und Datenschutzorganisationen wendet sich in einem offenen Brief an die EU-Spitze. Anlass ist Kanadas umstrittener Gesetzentwurf C-22 (Lawful Access Act), der vor dem Beschluss im Senat steht. Was wie eine nationale Angelegenheit wirkt, entpuppt sich laut dem Schreiben als extraterritorialer Zugriff auf die digitale Sicherheit auch in Europa.

Das Gesetz hat im Juni die erste Parlamentskammer passiert und wird ab Ende September im Senat beraten. Es könnte schon im Oktober in Kraft treten. Bill C-22 erfasst auch Unternehmen ohne kanadische Nutzer, sofern sie einen Rechtsträger im Land unterhalten oder Teil eines dort aktiven Konzerns sind. Ein kanadischer Minister könnte europäischen Anbietern so per geheimer Anordnung befehlen, die Sicherheit von Messenger-Diensten, Cloud-Speichern, vernetzten Fahrzeugen oder Health-Trackern zu schwächen.

Hintertüren vs. Verschlüsselung und Vorratsdaten

Besonders alarmierend ist laut der Allianz die Gefährdung der Ende-zu-Ende-Verschlüsselung – ähnlich wie bei der in der EU diskutierten Chatkontrolle. Zwar sind Ausnahmen für systemische Schwachstellen vorgesehen. Doch das Ausnutzen anderer Sicherheitslücken durch befugte Behörden würde zulässig.

Der breite Ermessensspielraum der Regierung ermögliche es, Schwachstellen in andere Netzwerkkomponenten zu verlagern, heißt es in dem Brief. Eine für ein Ziel entwickelte Zugriffsmöglichkeit stelle stets ein Einfallstor für alle Nutzer dar, Verbote von Methoden, die Verschlüsselung indirekt untergraben wie Client-Side-Scanning oder geheime Behördenkonten in Chats, lehnt die kanadische Regierung ab.

Das widerspricht der Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte. Namrata Maheshwari von Access Now warnt, das Gesetz könne Geräte wie Smartphones in Werkzeuge verwandeln, die gegen ihre Nutzer arbeiten.

Zudem sieht Bill C-22 eine flächendeckende Vorratsdatenspeicherung ohne klare Grenzen für Zugriff, Dauer oder Löschung vor. Das gilt als unvereinbar mit einschlägigen Urteilen des Europäischen Gerichtshofs. Da Kanadas Datenschutzrecht als veraltet gilt, gerät ferner der EU-Angemessenheitsbeschluss gemäß DSGVO ins Wanken. Wegen automatischer Geheimhaltung fehlen Firmen auch wirksame Rechtsmittel. Europäische Nutzer würden ganz rechtlos bleiben.

Ruf nach Konsequenzen aus Brüssel

Die Unterzeichner fordern die EU-Kommissionspräsidentin Ursula von der Leyen sowie die Ressortchefs Maroš Šefčovič und Michael McGrath zum Handeln auf. Die Kommission dürfe nicht von digitaler Souveränität sprechen und gleichzeitig wegschauen. Es sei unhaltbar, dass Kanada engere Handelsbeziehungen anstrebe, europäische Anbieter aber geheim zur Entsicherung zwinge. Die Brüsseler Gremien müssten Nachbesserungen verlangen, den DSGVO-Status überprüfen und das Thema im EU-Parlament aufgreifen.

Unterstützt wird der Appell von Organisationen wie Access Now, Article 19, European Digital Rights (EDRi), Digitalcourage oder Stop Killing the Internet. Sie mahnen, dass die Beratung im kanadischen Senat die letzte Gelegenheit biete, den Gesetzentwurf zu korrigieren. Sonst werde ein gefährlicher Präzedenzfall für die weltweite digitale Sicherheit geschaffen.