Das Ende der Privatsphäre? Backdoors, der Online Safety Act und die Antwort souveräner Ökosysteme

Wed, 10 Jun 2026 00:00:00 +0000

London ist zum Epizentrum eines weltweiten Kampfes um die Zukunft der digitalen Privatsphäre geworden. Mit der Verabschiedung des Online Safety Act 2023 (OSA) und den jüngsten Vorschlägen zur Überarbeitung des Investigatory Powers Act (IPA) — von seinen Kritikern als „Spionage-Charta“ bezeichnet — nimmt sich die britische Regierung das Recht heraus, Überwachungspflichten direkt im Kern privater Kommunikation durchzusetzen. Der Bruchpunkt ist die der Aufsichtsbehörde OFCOM verliehene Befugnis, von Plattformen den Einsatz „akkreditierter Technologie“ zur Erkennung von Material über sexuellen Kindesmissbrauch (CSEA) oder Terrorismus zu fordern, selbst innerhalb Ende-zu-Ende-verschlüsselter Kommunikation.

Für die großen digitalen Plattformen ist die Botschaft aus Westminster unmissverständlich: Entweder sie ermöglichen dem Staat den Zugang zu ihren Infrastrukturen, oder ihnen drohen Geldstrafen von bis zu 10 % ihres weltweiten Umsatzes. Die Reaktion kam prompt: Dienste wie Signal und WhatsApp drohten öffentlich mit dem Rückzug aus dem britischen Markt und weigerten sich, die Sicherheit ihrer Nutzer zu gefährden, um eine einzige Gerichtsbarkeit zufriedenzustellen. Das technische Argument lässt sich kaum bestreiten: Es gibt keinen Hauptschlüssel (Master Key), der nur rechtmäßigen Akteuren vorbehalten ist. Eine offene Tür für Strafverfolgungsbehörden ist naturgemäß eine offene Tür für Cyberkriminelle und ausländische Geheimdienste.

Das Geschäftsmodell großer Plattformen: ein strukturelles Hindernis für Zero-Knowledge

Der Widerstand großer Plattformen gegen die Einführung der Zero-Knowledge-Verschlüsselung erklärt sich nicht durch technische Unfähigkeit, sondern durch eine grundlegende wirtschaftliche Unvereinbarkeit. Unternehmen wie Alphabet und Meta verlassen sich auf Monetarisierungsmodelle, die auf der systematischen Erfassung von Verhaltensdaten basieren. Dieses Modell wird übrigens implizit durch das Gesetz über digitale Märkte (DMA) der Europäischen Union anerkannt, das diese „Torwächter“ (Gatekeeper) als Einrichtungen einstuft, deren beherrschende Stellung gerade durch die Anhäufung von Daten in beispiellosem Ausmaß genährt wird. Für diese Akteure würde die Einführung einer Zero-Knowledge-Architektur bedeuten, ihren Werbesystemen die kontinuierliche Identifizierung von Benutzern zu entziehen, die ihren Treibstoff ausmacht. Es handelt sich also nicht um eine technische Entscheidung, sondern um einen Kompromiss zwischen der Privatsphäre der Nutzer und der Tragfähigkeit ihres Geschäftsmodells.

Das strategische Risiko: die Bedrohung durch „Harvest Now, Decrypt Later“

Über die Debatte um die Privatsphäre hinaus wirft die Schwächung der Verschlüsselung eine Frage der nationalen Sicherheit von ganz anderer Tragweite auf. Die als Harvest Now, Decrypt Later (HNDL) bekannte Strategie beinhaltet, dass staatliche Gegner heute massive Mengen verschlüsselter Kommunikation abfangen und speichern, in Erwartung zukünftiger Quanten-Entschlüsselungsfähigkeiten. Durch die Schwächung aktueller Verschlüsselungsstandards erleichtert der britische Rechtsrahmen objektiv diese Art von Operationen gegen Regierungs-, diplomatische oder industrielle Kommunikation.

Genau in diesem Kontext des mangelnden Vertrauens gewinnen Ökosysteme wie das von Arpokrat an operativer Relevanz. Indem Arpokrat unter dem Regime des Schweizerischen Bundesgesetzes über den Datenschutz (DSG) arbeitet, mit einer Architektur, die keine zivilen Identifikatoren sammelt, bietet es einen technischen Bruch mit Infrastrukturen, die der britischen Gerichtsbarkeit unterliegen — was garantiert, dass das System gegenüber den durch das OSA vorgesehenen Anordnungen taub bleibt.

Der Normenkonflikt: OSA und IPA gegen europäisches Recht

Die rechtliche Analyse der neuen britischen Staatsprärogativen offenbart eine direkte Kollision mit den Grundlagen des europäischen Rechts in Bezug auf Datenschutz und die Vertraulichkeit der Kommunikation.

OSA gegen das Verbot der anlasslosen Überwachung

Artikel 121 des OSA führt die Möglichkeit für die OFCOM ein, Anordnungen zu erlassen, die Plattformen zwingen, clientseitiges Scannen (client-side scanning) zu implementieren. Diese Maßnahme verstößt direkt gegen den aus dem europäischen Recht stammenden und in der Rechtsprechung des EuGH verankerten Grundsatz, der allgemeine Überwachungspflichten verbietet. Durch die Durchsetzung einer „Schwachstelle durch Design“ (vulnerability by design) bringt es Unternehmen auch in eine Zwickmühle: Indem sie ihre Sicherheit schwächen, um einem staatlichen Mandat nachzukommen, verletzen sie ihre Verpflichtung, ein der Verarbeitung angemessenes Sicherheitsniveau zu gewährleisten, wie in Artikel 32 der DSGVO verankert.

Die ePrivacy-Richtlinie und die Vertraulichkeit der Kommunikation

Das Scannen privater Nachrichten steht in direktem Widerspruch zu Artikel 5 Absatz 1 der Richtlinie 2002/58/EG (ePrivacy), der die Mitgliedstaaten verpflichtet, die Vertraulichkeit elektronischer Kommunikation zu gewährleisten und jegliche Form des Abfangens oder der Überwachung ohne die ausdrückliche Zustimmung der betroffenen Nutzer verbietet.

Technical Capability Notices und die Blockierung von Sicherheitsupdates

Unter dem Regime des IPA 2016 beabsichtigt die britische Regierung nun, Technical Capability Notices (TCN) zu nutzen, um Sicherheitsupdates vor deren Einsatz zu blockieren. Dieser Mechanismus schafft einen unlösbaren Konflikt mit der durch Artikel 32 der DSGVO festgelegten Verpflichtung, die kontinuierliche Sicherheit der Verarbeitungssysteme zu gewährleisten — eine Verpflichtung, die genau die Fähigkeit erfordert, Patches ohne Verzögerung oder externe Einmischung anzuwenden.

Compliance-Risiken für in Europa tätige Unternehmen

Die Überarbeitungen des IPA zielen darauf ab, Unternehmen zu zwingen, die britische Regierung vor ihrer Umsetzung über jede technische Änderung zu informieren, die sich auf die Sicherheit auswirkt, und ihr somit ein Vetorecht über die Produktentwicklung einzuräumen. Diese Einmischung schafft erhebliche Rechtsunsicherheit für Lieferanten, die auf dem europäischen Markt tätig sind: Die britische Angemessenheit an das europäische Recht — die bereits fragil ist — könnte in Frage gestellt werden, wenn das Vereinigte Königreich keinen im Wesentlichen gleichwertigen Schutz mehr wie die DSGVO garantiert. Datenübermittlungen in das Vereinigte Königreich in diesem neuen Rahmen würden Unternehmen daher wahrscheinlich Sanktionen gemäß der DSGVO aussetzen.

Verteidigung durch technische Unmöglichkeit: das Zero-Knowledge-Prinzip als juristischer Schutzschild

Die internationale Rechtsprechung, gefestigt durch die Schrems I- und Schrems II-Urteile des EuGH, hat ein bestimmendes Prinzip etabliert: Der einzige robuste Schutz gegen unverhältnismäßige Überwachung ist die technische Unmöglichkeit des Zugriffs darauf. Zero-Knowledge-Architekturen wenden dieses Prinzip in drei Schutzschichten an:

Fehlen von Verwahrung: Da die Plattform die Entschlüsselungsschlüssel nicht besitzt, ist jede Anordnung zum Scannen von Nachrichten technisch nicht durchführbar;
Souveränität des Betriebssystems: Die Kontrolle über ArpokratOS eliminiert Telemetrie, die die nachrichtendienstliche Erfassung auf Geräteebene speist;
Schweizerische juristische Verankerung: Indem Arpokrat seine Infrastruktur in der Schweiz hostet, operiert es unter einem Rechtsregime, das individualisierte und begründete Rechtshilfeersuchen erfordert, was die automatisierte Ausführung der durch das OSA vorgesehenen Massenscans neutralisiert.

Fazit

Die Bestimmungen des OSA und die Überarbeitungen des IPA sind nicht nur eine Bedrohung für die Privatsphäre von Einzelpersonen: Sie stellen einen Bruch der Rechtssicherheit für alle europäischen Daten dar, die durch Infrastrukturen fließen, die der britischen Gerichtsbarkeit unterliegen. Indem London die Schwächung der Verschlüsselung im Namen der öffentlichen Sicherheit legitimiert, setzt es seine Verbündeten und Handelspartner paradoxerweise Risiken der Industrie- und Staatsspionage aus, die Zero-Knowledge-Architekturen gerade verhindern sollen.

Die Integrität professioneller und institutioneller Kommunikation erfordert nun eine strukturelle Antwort: die Migration hin zu dezentralen Ökosystemen, die digitale Souveränität garantieren, von der Codeebene bis hin zur juristischen Verankerung.

DSGVO on Arpokrat