Über­wa­chungs­oase statt Datenschutzparadies

Ach, die Schweiz und ihre vielen Mythen! Von Heidi bis zu Wilhelm Tell defi­nieren sie das Image der Schweiz sowohl im Inneren als auch nach aussen. Dank dem seit 2017 aufge­weichten Bank­ge­heimnis und der vermeint­lich neutralen Haltung in Kriegs­si­tua­tionen gilt die Schweiz seit jeher als beson­ders sicher und ist bei Reichen und Mäch­tigen ein beliebter Zufluchtsort; sowohl in Spio­na­ge­thril­lern als auch in der echten Welt.

Es ist daher auch nicht wirk­lich erstaun­lich, dass viele Schweizer Tech­firmen von dem sicheren Image der Schweiz für ihr Marke­ting Gebrauch machen. Firmen wie Proton (vormals Proton­mail) und Threema, die mit ihren Produkten Sicher­heit und Privat­sphäre verspre­chen, werben schon seit ewig mit ihrer Swiss­ness. Auf der Start­seite preist Proton seine „Swiss Privacy” an und prokla­miert, dass die Firma ein „neutraler und sicherer Hafen” für perso­nen­be­zo­gene Daten sei. Der weiter­füh­rende Artikel zu den Schweizer Daten­schutz­ge­setzen existiert nur auf Englisch.

Vieles was in dem Artikel erwähnt wird, stimmt grund­sätz­lich: Proton ist in der Schweiz zumin­dest theo­re­tisch ausser Reich­weite von US- und EU-Gesetzen. Die Schweiz ist nicht Teil der NATO oder den Five, Nine und Four­teen Eyes Über­wa­chungs­ver­trägen und in diesem Sinne neutral. Ausserdem gilt laut der Schweizer Verfas­sung ein Recht auf Privat­sphäre. Der Artikel führt weiter aus, dass es Proton verboten sei, Fremd­staaten mit Über­wa­chung zu helfen – ausser die Schweizer Justiz zwinge sie in einem Rechts­hil­fe­ver­fahren dazu. Der Artikel, zuletzt zu Beginn dieses Jahres aktua­li­siert, hält dies aber für unwahrscheinlich. 

Doch das ist erwie­se­ner­massen falsch: 2021 hat Proton im Auftrag der fran­zö­si­schen und Schweizer Behörden die IP-Adresse eines E‑Mail-Accounts fran­zö­si­scher Klimaaktivist*innen aufge­zeichnet und diese via Schweizer Behörden an den fran­zö­si­schen Staat weiter­ge­geben. In einem Blog­post zum Vorfall sagt Proton-CEO Andy Yen dazu nicht viel mehr, als dass Proton Schweizer Gesetze natür­lich nicht einfach so igno­rieren könne – die Firma aber keine Möglich­keit gehabt hätte, diesen Entscheid anzufechten.

Das ist natür­lich wahr und ich erwarte auch nicht, dass ein Privat­un­ter­nehmen solche Gesetze igno­rieren würde. Trotzdem zeigt die Situa­tion klar, wie bedeu­tungslos und irre­füh­rend das Marke­ting um die Schweiz als Daten­schutz­pa­ra­dies schluss­end­lich ist – sowohl im In- als auch im Ausland. 

Unsere Daten sind auch in der Schweiz nicht sicher

Tatsache ist, dass die Schweizer Bevöl­ke­rung digi­taler Massen­über­wa­chung ausge­setzt ist. Alle Daten von Post‑, Telefon- und Inter­net­an­bie­tern werden auf Vorrat gespei­chert, und unver­schlüs­selte Tele­kom­mu­ni­ka­tion aus der Schweiz kann vom Nach­rich­ten­dienst stich­pro­ben­artig durch­sucht werden. Mit der Durch­set­zung des Bundes­ge­setzes über poli­zei­liche Mass­nahmen zur Bekämp­fung von Terro­rismus (PMT), das in 2021 von der Bevöl­ke­rung ange­nommen wurde, können bei reinem Verdacht auf eine zukünf­tige Gefahr staat­liche Über­wa­chung oder Mass­nahmen ange­ordnet werden. 

Zwar sind Instant-Messenger- und E‑Mail-Anbieter inzwi­schen nicht mehr an die Vorrats­da­ten­spei­che­rung gebunden, was die Schweiz mögli­cher­weise als Daten­standort für Nicht-Schweizer*innen attrak­tiver macht, doch bleibt die Schweiz weiterhin eher ein Über­wa­chungs­staat als eine Vorrei­terin im Datenschutz.

Das ganze Problem zeichnet sich auch darin ab, dass Schweizer Firmen viel zu oft keinen Plan haben, wie sie mit Daten­lecks umgehen können – als ob sie erwarten würden, dass ihnen so was in der Schweiz nicht passieren könnte. Privat­un­ter­nehmen, Unis oder Behörden werden gehackt und sind dann verdutzt, beschul­digen andere und werden von einem grossen Medi­en­zirkus begleitet – oder sie tun einfach so, als wäre nichts passiert.

Ein Beispiel dafür ist, dass Xplain, Soft­ware­lie­fe­rant für die Fedpol und den Zoll, vor ein paar Monaten gehackt und erpresst wurde: Zwar haben Medien viel über den brisanten Vorfall berichtet und die gele­akten Daten für Recher­chen verwendet. FDP-Poli­tiker Thierry Burk­hart hat gar die Chance ergriffen, die Bericht­erstat­tung über den Cyber­an­griff als Argu­ment zu verwenden, Jour­na­lismus zu verbieten, der auf nicht-öffent­li­chen Daten basiert. Aber die Krux an der Sache ist ja, dass Xplain daten­schutz­recht­lich gesehen die meisten dieser Daten gar nicht erst hätte haben dürfen – oder zumin­dest nicht mehr.

Daten­lecks werden immer passieren. Ganz verhin­dern kann man sie auch bei allen Vorsichts­mass­nahmen nicht. Aber Daten, die gar nicht erst existieren, können auch nicht miss­braucht werden. Wenn der Bund und Xplain das Schweizer Daten­schutz­ge­setz also einge­halten hätten, hätten die Daten auch nicht geleaked werden können.

Verant­wor­tung abgeschoben

Ein weiteres Beispiel für den unfä­higen und fahr­läs­sigen Umgang mit Daten­si­cher­heit fand diesen Oktober statt: One Log, der verein­heit­lichte Login- und Werbe­dienst der Schweizer Medi­en­land­schaft, wurde gehackt und sämt­liche Nutzer­daten gelöscht. Wirk­lich dazu infor­miert wurden die zwei Millionen Leser*innen darüber aber nicht – und die meisten Schweizer Medi­en­häuser haben über den Vorfall schlicht nicht berichtet. Die Jour­na­li­stin Adri­enne Fichter bezeichnet den One-Log-Vorfall in der Repu­blik zurecht als „wenig vertrauensfördernd”.

Die Schweiz gilt als ultra sichere Festung und Daten­schutz-Vorzei­ge­bei­spiel. Wenn aber etwas schief­läuft oder Daten heim­lich an andere Staaten weiter­ge­geben werden, weisen Firmen, Medien und die offi­zi­elle Schweiz die Verant­wor­tung von sich.

Schluss­end­lich ist doch genau das die wahre Schweizer Tradi­tion – nicht die Neutra­lität oder die Sicher­heit – sondern die Fähig­keit, immer als die Guten dazu­stehen. Egal was passiert, nie schuldig, nie verant­wort­lich zu sein – und ganz sicher nichts falsch gemacht zu haben.