Britisches Überwachungsgesetz: Firmen müssen Produkte vorab anmelden

Ein neuer Entwurf des geplanten britischen Überwachungsgesetzes Investigatory Powers Bill sieht vor (PDF), Technikfirmen zu einer Vorab-Ankündigung von Produkten, Diensten und Funktionen zu verpflichten. So sollen die Behörden sicherstellen können, dass eine polizeiliche und geheimdienstliche Überwachung weiter möglich ist.

Betroffen wären sämtliche in Großbritannien aktiven Anbieter. Sie müssten auf Funktionen, die eine Überwachung von Kommunikation oder Zugriff auf gespeicherte Daten erschweren könnten, „vor dem Launch“ hinweisen. Dies ermögliche „Erwägungen, ob es notwendig und angemessen ist, der Firma die Schaffung eine technischen Möglichkeit innerhalb des neuen Diensts aufzuerlegen“ – also eine Hintertür verpflichtend zu machen.

Die Formulierung gilt als Versuch, eine Ende-zu-Ende-Verschlüsselung zu verhindern, mit der Diensteanbieter – und somit auch staatliche Ermittler – keine Möglichkeit haben, die Kommunikation zu entschlüsseln. Sie steht in einer Ergänzung zur Investigatory Powers Bill, einem Gesetz, das die fragmentierten bestehenden Gesetze, die staatliche Überwachung von Telekommunikation und Internet autorisieren, zusammenführen und klären soll. Nach Darstellung der Regierung geht es nicht über Bestimmungen im Regulation of Investigatory Powers Act (RIPA) hinaus, also eines älteren Gesetzes.

Der erste Entwurf hatte zu Protesten von US-Technikfirmen geführt. Unter anderem machten Apple, Facebook, Google, Microsoft und Twitter dagegen gewandte Eingaben. Apple beispielsweise forderte Änderungen und machte auch auf einen Abschnitt aufmerksam, der Sicherheitsbehörden ausdrücklich erlaubt, sich weltweit in Computer zu hacken: Die Bestimmungen sehen vor, dass Kommunikationsfirmen den Behörden helfen müssen, wenn sie sich in Geräte hacken wollen. Der iPhone-Hersteller befürchtet, dass daraus für ihn eine Verpflichtung abgeleitet werden könnte, seine eigenen Geräte zu kompromittieren.

Auch drei unterschiedliche Parlamentskomitees kritisierten diese erste Fassung. Der Entwurf sei unscharf formuliert, und es fehle an Vorkehrungen zum Schutz der Privatsphäre. Auch wurde in Frage gestellt, ob es nötig ist, so weitreichende Daten zu den Online-Aktivitäten der Allgemeinheit zu speichern.

Seit Anfang März liegt eine Neufassung dem Parlament und der Öffentlichkeit vor. Nach Darstellung der Regierung enthält sie verbesserte Vorkehrungen zum Schutz der Privatsphäre und berücksichtigt die Mehrzahl der Anregungen, die die Komitees vorgebracht hatten. Kritikern hingegen gehen die Änderungen nicht weit genug. Zu den kontroversesten Elementen zählt die Forderung, dass IT-Dienstleister die Internethistorie ihrer Kunden zwölf Monate lang vorhalten müssen. Auch soll eine Reihe Maßnahmen eine starke Verschlüsselung verhindern.

In einem aktuellen Blogbeitrag führt etwa Millie Graham Wood von der Datenschutzvereinigung Privacy International aus, Technikfirmen würden Anforderungen der Regierung unterworfen, ohne dass sie eine Aufsichtsbehörde anrufen könnten. Der „Mangel an richterlicher Aufsicht und Rechenschaftspflicht“ könnte Firmen künftig aus dem Vereinigten Königreich fernhalten – ebenso wie die Folgen der Vorschrift, jegliche Kommunikationsdaten ein Jahr lang zu speichern.

[mit Material von Zack Whittaker, ZDNet.com]