Das in Toronto ansässige Psiphon, ein Anti-Zensur-Werkzeug, das von rund 20 Millionen Menschen in zensierten und Hochrisikoregionen genutzt wird, sagt, dass Kanadas Bill C-22 es zwingen könnte, seine Datenschutzmaßnahmen zu schwächen oder das Land zu verlassen. Die Psiphon-Bill-C-22-Kanada-VPN-Warnung ist bemerkenswert, weil sie von einem Menschenrechtswerkzeug kommt, nicht von einem kommerziellen Dienst, der um Abonnenten konkurriert. Sie zeigt auch, wie weit rechtmäßige Zugriffsverpflichtungen über die Unternehmen hinausreichen können, auf die sie abzielen.

Was Bill C-22 von VPN- und Umgehungsdiensten verlangen würde

Bill C-22 ist Kanadas Gesetz über rechtmäßigen Zugriff (Lawful Access Act). In groben Zügen zielen Gesetze über rechtmäßigen Zugriff darauf ab, es Behörden zu erleichtern, Daten von Kommunikations- und Onlinediensten zu erhalten. Die von Psiphon geäußerte Sorge ist, dass der Gesetzesentwurf in seiner derzeitigen Fassung die Datenschutzmaßnahmen schwächen könnte, auf die Umgehungswerkzeuge angewiesen sind.

Die Details, wie das Gesetz auf bestimmte Dienste anzuwenden wäre, sind wichtig, und Leser sollten den endgültigen Wortlaut als maßgeblich betrachten, sobald er feststeht. Forscher am Citizen Lab an der University of Toronto haben den Gesetzesentwurf bereits untersucht. Ihre Stellungnahme mit dem Titel „(Un)forced Errors“ wird in unserem Bericht darüber behandelt, wie Citizen Lab Verschlüsselungsrisiken in Kanadas Bill C-22 aufgezeigt hat. Die Kernaussage ist, dass Anforderungen, die geschaffen wurden, um Zugriff zu ermöglichen, Schwachstellen in den Systemen schaffen können, die Menschen schützen sollen.

Warum Psiphon sagt, dass es Kanada möglicherweise verlassen muss

Psiphon hilft Menschen, die unter repressiven Regimen leben, die Online-Zensur zu umgehen. Seine Nutzer befinden sich oft an Orten, an denen eine Identifizierung schwerwiegende Konsequenzen haben könnte. Laut dem Unternehmen könnte es, wenn Bill C-22 in seiner aktuellen Form verabschiedet wird, dazu gedrängt werden, entweder diese Schutzmaßnahmen zu schwächen oder Kanada zu verlassen.

Das ist eine schwere Wahl für ein in Toronto entwickeltes Werkzeug. Ein Dienst, der darauf ausgelegt ist, Nutzer vor Überwachung zu schützen, kann nicht einfach Mechanismen hinzufügen, die Überwachung ermöglichen, ohne seinen Zweck zu untergraben. Den Betrieb außerhalb Kanadas zu verlagern, wäre ein Weg, seine Schutzmaßnahmen intakt zu halten, aber es würde auch bedeuten, dass ein in Kanada entwickeltes Menschenrechtswerkzeug sein Heimatland verlässt.

Psiphon ist nicht allein mit seinen Bedenken. Berichte über die Geschichte weisen darauf hin, dass auch andere datenschutzorientierte Dienste sich gegen den Gesetzesentwurf ausgesprochen haben.

Was ein Anbieter-Ausstieg für VPN-Nutzer überall bedeutet

Es ist verlockend, dies als rein kanadisches Problem zu betrachten. Das ist es nicht. Mehrere Punkte stechen für VPN- und verschlüsselte Dienste weltweit hervor:

  • Der Gerichtsstand ist wichtig. Wo ein Anbieter rechtlich ansässig ist, bestimmt, welchen Forderungen er sich gegenübersehen kann. Eine Gesetzesänderung kann einen Anbieter zwingen, seinen Standort zu verlegen oder sein Design zu ändern.
  • Geschwächter Schutz betrifft alle. Ein Werkzeug, das für Aktivisten in zensierten Ländern entwickelt wurde, erfüllt dieselbe technische Funktion wie eines, das für alltägliche Privatsphäre genutzt wird. Wenn das Design für eine Gruppe kompromittiert wird, ist es für alle kompromittiert.
  • Ausstiege sind ein Signal, keine Garantie. Wenn ein Unternehmen sagt, dass es möglicherweise geht, ist das eine Warnung über das Gesetz in seiner derzeitigen Fassung. Gesetzesentwürfe können sich vor der Verabschiedung ändern, und das Ergebnis ist nicht entschieden.

Für Menschen, die auf Umgehungswerkzeuge angewiesen sind, um Informationen zu erreichen oder sicher zu kommunizieren, ist ein Anbieter, der ein Land verlässt, weniger wichtig als ein Anbieter, der seine Schutzmaßnahmen nirgendwo stark halten kann.

Was das für Sie bedeutet

Wenn Sie in Kanada leben und ein VPN oder verschlüsseltes Messaging nutzen, ändert sich heute nichts. Bill C-22 ist ein Vorschlag, und die Debatte über seinen Wortlaut ist im Gange. Aber die Warnung ist ein nützlicher Anlass, darüber nachzudenken, wie Ihre Werkzeuge gebaut sind und wo ihre Betreiber ansässig sind.

Wenn Sie nicht in Kanada leben, ist die Geschichte trotzdem relevant. Vorschläge zum rechtmäßigen Zugriff werden tendenziell in vielen Ländern gleichzeitig debattiert, und Argumente, die an einem Ort vorgebracht werden, werden oft an einem anderen wiederverwendet. Der technische Punkt, dass Zugriffsmechanismen zu Schwachstellen werden können, gilt allgemein.

Kein einzelnes Werkzeug ist eine vollständige Antwort. Wählen Sie Dienste, die transparent über ihren rechtlichen Gerichtsstand und ihren Umgang mit Nutzerdaten sind, und halten Sie Ihre Apps aktuell.

Wie Kanadier die Debatte über rechtmäßigen Zugriff verfolgen und darauf reagieren können

  • Verfolgen Sie den Fortschritt des Gesetzesentwurfs. Achten Sie auf Änderungsanträge, denn der endgültige Wortlaut wird bestimmen, wie Dienste betroffen sind.
  • Lesen Sie Primäranalysen. Technische Stellungnahmen sind informativer als Schlagzeilen.
  • Kontaktieren Sie Ihren Abgeordneten. Kanadier können ihre Ansichten zu Politik zu rechtmäßigem Zugriff und Verschlüsselung ihrem Mitglied des Parlaments mitteilen.
  • Überprüfen Sie Ihr eigenes Setup. Wissen Sie, auf welche Datenschutswerkzeuge Sie angewiesen sind und wo diese ansässig sind.

Das Fazit

Die Psiphon-Bill-C-22-Kanada-VPN-Geschichte ist eine Erinnerung daran, dass Datenschutzpolitik und Datenschutswerkzeuge eng miteinander verbunden sind. Ein Gesetz, das für einen Zweck geschrieben wurde, kann verändern, was Entwickler bauen können. Um zu verstehen, was auf dem Spiel steht, verfolgen Sie weiterhin die Debatte über Bill C-22 und lesen Sie Citizen Labs technische Analyse der Verschlüsselungsrisiken im Lawful Access Act in unserer Zusammenfassung der Citizen-Lab-Stellungnahme.