Was ein Staat verlangen kann
Alles, was ein Unternehmen lesen kann, kann ein Gericht oder eine Behörde herausverlangen, manchmal ohne dass du es je erfährst.
Große Tech-Konzerne erhalten jedes Jahr sehr viele Behördenanfragen zu Nutzerdaten, viele davon aus Strafermittlungen. Die Regel ist einfach: Wenn ein Unternehmen deine Daten lesen kann, kann es gezwungen werden, sie herauszugeben.
Nachrichten, die nicht verschlüsselt waren
2022 übergab Meta der Polizei in Nebraska auf einen Durchsuchungsbeschluss hin die Facebook-Nachrichten zwischen einer Mutter und ihrer jugendlichen Tochter. Die Nachrichten wurden später in einem Strafverfahren im Zusammenhang mit einem Schwangerschaftsabbruch verwendet. Meta erklärte, in den Beschlüssen sei von einem Schwangerschaftsabbruch keine Rede gewesen und sie seien mit Schweigeanordnungen verbunden gewesen, die dem Unternehmen verboten, darüber zu sprechen (NPR, Meta). Messenger-Chats waren damals nicht standardmäßig Ende-zu-Ende-verschlüsselt. Persönliche Messenger-Chats sind es inzwischen: Meta begann im Dezember 2023 mit der Umstellung (Meta).
Metadaten reichen oft
Selbst wenn der Inhalt von Nachrichten verschlüsselt ist, sind es die Metadaten (mit wem du wann und von wo schreibst) oft nicht. Laut einem internen FBI-Dokument von 2021 kann WhatsApp der Polizei auf eine sogenannte Pen-Register-Anordnung hin alle 15 Minuten mitteilen, wem eine Zielperson schreibt und wann. Der Inhalt der Nachrichten gehört nicht dazu.
Auch Datenschutz-Anbieter müssen sich fügen
Unternehmen, die auf Datenschutz setzen, müssen trotzdem das Recht ihres Sitzlandes befolgen. Proton hat zum Beispiel nach Schweizer Anordnungen eine IP-Adresse und eine Wiederherstellungs-E-Mail-Adresse an die Polizei herausgegeben (Details). Der Unterschied: Proton kann den Inhalt deiner gespeicherten E-Mails nicht herausgeben, weil er mit Schlüsseln verschlüsselt ist, die Proton nicht hat. (Betreffzeilen und Adressen sind nicht auf dieselbe Weise geschützt.)
Wo ein Unternehmen sitzt, ist wichtig
US-Unternehmen können durch Gesetze wie den CLOUD Act gezwungen werden, Daten herauszugeben, über die sie verfügen, selbst wenn sie in einem anderen Land gespeichert sind. Andere Länder bieten stärkeren oder schwächeren Schutz, und Gesetze ändern sich.
Was du tun kannst
- Bevorzuge Ende-zu-Ende-Verschlüsselung für Nachrichten, Dateien und Backups, dann gibt es nichts Lesbares herauszugeben.
- Halte Metadaten klein. Verknüpfe keine persönliche Wiederherstellungs-E-Mail-Adresse oder Telefonnummer mit Konten, die anonym bleiben sollen.
- Sieh dir Transparenzberichte an. Unternehmen, die veröffentlichen, wie viele Anfragen sie erhalten und wie oft sie sich wehren, bekommen Punkte in unserer Kategorie Transparenz.