„Eine Schwächung der Verschlüsselung würde die europäische Sicherheit verschlechtern“ – die VPN-Branche reagiert auf den Plan der EU für Hintertüren in der Ende-zu-Ende-Verschlüsselung
ProtectEU ist der erste Schritt in der Strategie der EU-Kommission für rechtmäßigen und effektiven Zugang zu Daten für die Strafverfolgung.
Niemand verschickt heutzutage noch SMS; stattdessen nutzen die meisten WhatsApp oder Signal. Verschlüsselte Anrufe, das sichere Teilen von Dateien und Bildern sind alltägliche Handlungen, die wir alle durchführen, mit dem Versprechen, dass unsere Online-Kommunikation privat zwischen uns und den Personen bleibt, mit denen wir sprechen.
Dies könnte sich jedoch bald für Menschen in der EU ändern. ProtectEU ist die neue gemeinsame Strategie der EU-Kommission, die genau die Aufgabe hat, eine Roadmap für „rechtmäßigen und effektiven Zugang zu Daten für die Strafverfolgung“ – insbesondere verschlüsselte Daten – zu erstellen.
Verschlüsselungs-Backdoor, ein Sicherheitsdilemma
Am 1. April 2025 vorgestellt, ist ProtectEU der erste Schritt im Plan der EU-Kommission, die Sicherheit des europäischen Blocks in den kommenden Jahren zu stärken. Eine „neue europäische Innere-Sicherheitsstrategie“, wie sie die Abgeordneten beschrieben, die jedoch in diesem frühen Stadium noch nicht viel preisgibt.
Was wir bisher jedoch wissen, ist, dass die EU-Kommission den Strafverfolgungsbehörden mehr Werkzeuge an die Hand geben will, um legal auf die Online-Daten von Personen zuzugreifen. Dazu würde gehören, eine technische Möglichkeit zu finden, um eine Hintertür in Software zu schaffen. Alles „unter Wahrung der Cybersicherheit und der Grundrechte.“
Experten argumentieren jedoch schon lange, dass Verschlüsselung – die Umwandlung von Daten in eine unlesbare Form, um den Zugriff Dritter zu verhindern – nicht sicher geschwächt werden kann. Denn sobald ein Zugangspunkt für die Strafverfolgungsbehörden geschaffen wird, könnten auch andere bösartige Akteure diesen ausnutzen.
Kommentar zu diesem Punkt sagte Jurgita Miseviciute, Leiterin der Öffentlichkeitsarbeit bei Proton (dem Anbieter hinter Proton VPN und Proton Mail), gegenüber Windows-Office.net: „Eine Schwächung der Verschlüsselung würde die in diesem Bericht skizzierten internen Sicherheitsprobleme nicht magisch lösen, sondern die Sicherheit in Europa tatsächlich nur verschlechtern.“
Die EU-Initiative Going Dark wurde nun von der EU-Kommission gestartet. Sie nennen sie ProtectEU. Es ist ein Rebranding von Chat Control. Neuer Name. Dieselbe alte Propaganda. Das Ziel der EU-Kommission ist es, "verschlüsselte Daten auf rechtmäßige Weise zuzugreifen, dabei die Cybersicherheit zu gewährleisten und… 4. April 2025
Miseviciute sagte, dass Proton die ProtectEU-Strategie und ihre Auswirkungen genau verfolgt und erkennt, dass der Plan noch keine konkrete politische Richtung vorgibt.
„Da die Europäische Kommission nun damit beginnen wird, konkrete Berichte und Gesetzestexte zu erarbeiten, hoffen wir, dass sie einen aufgeschlossenen Ansatz verfolgen wird, um eine Lösung zu finden, die die Verschlüsselung bewahrt“, fügte sie hinzu.
Der Leiter der Rechtsabteilung bei Surfshark, Gytis Malinauskas, ist der Ansicht, dass es zu diesem Zeitpunkt noch zu früh ist, um Bedenken zu äußern, da bisher nur eine grobe Strategie vorgestellt wurde. Dennoch ist Surfshark optimistischer in Bezug auf den Plan der EU.
„Angesichts des Fokus der ProtectEU-Strategie auf Cybersicherheit und den Schutz vor aufkommenden Sicherheitsbedrohungen glauben wir, dass datenschutzfördernde Tools wie unseres für EU-Nutzer noch relevanter werden und weitaus häufiger genutzt werden,“ sagte Malinauskas.
Mullvad VPN, das sich 2022 stark gegen Vorschläge zur Überprüfung privater Chats von Bürgern ausgesprochen hatte, bezeichnete den ProtectEU-Plan lediglich als eine Umbenennung des alten Gesetzes und etwas, das Schwierigkeiten haben wird, die Mehrheit unter den EU-Vertretern zu gewinnen. „Neuer Name. Alte Propaganda,“ twitterte der Anbieter.
Das Ende der No-Log-VPNs?
Der nächste strittige Punkt der ProtectEU-Strategie betrifft die Vorratsdatenspeicherung. Vorbehaltlich einer Folgenabschätzung besteht die Möglichkeit, dass die EU entscheidet, die bestehenden Gesetze zu erweitern, um Anbieter zu verpflichten, mehr Daten über Nutzer zu sammeln.
Dies könnte erneut bedeuten, die Richtlinien und die technische Infrastruktur vieler Sicherheitssoftware vollständig zu übergehen – einschließlich No-Log-VPNs.
Viele VPN-Dienste rühmen sich damit, keine Informationen zu sammeln, die ihre Nutzer mit ihren Aktivitäten in Verbindung bringen könnten. Etwas, das mit strengen Speicherpflichten möglicherweise unvereinbar werden könnte.
Wie Denis Vyazovoy, Chief Product Officer von AdGuard VPN, erklärt, können No-Log-VPNs die Daten der Nutzer nicht an die Strafverfolgungsbehörden weitergeben, es sei denn, sie nehmen einige entscheidende Änderungen an ihrem Design vor.
„Ein rechtlicher Rahmen, der VPNs dazu zwingt, Benutzermetadaten – möglicherweise über einen längeren Zeitraum – zu speichern, könnte solche Dienste untragbar machen und zum Rückzug von VPN-Anbietern aus der EU führen“, sagte er.
Sicherheit ist eng mit Datenschutz verbunden
NordVPN
Beispielsweise löste Indien im Jahr 2022 eine Abwanderung von VPN-Unternehmen aus dem Land aus, als die Behörden ein neues Gesetz zur Datenspeicherung verabschiedeten, das Anbieter verpflichtete, die Protokolle der Nutzer mindestens fünf Jahre lang aufzubewahren und auf Anfrage den Behörden zur Verfügung zu stellen.
Es ist erneut noch zu früh, um zu sagen, wie sich der Plan von ProtectEU entwickeln wird und ob VPNs überhaupt von möglichen Änderungen betroffen sein werden.
Dennoch würde laut NordVPN mehr Daten immer noch ein höheres Risiko für die Sicherheit der Menschen bedeuten.
"Sicherheit ist eng mit Privatsphäre verbunden. Es ist noch zu früh, um zu beurteilen, wie sich diese hochrangige Strategie konkret umsetzen wird. Wenn sie jedoch in offensichtlichen Anforderungen zur Speicherung großer Mengen persönlicher Daten resultiert, könnte dies zu Missbrauch, Verstößen und Bedrohungen für Internetnutzer führen", sagte ein Sprecher von NordVPN gegenüber Windows-Office.net.
VPNs, eine „zentrale Herausforderung“
Wie erwähnt, standen verschlüsselte Kommunikations-Apps bisher weitgehend im Fokus der Gesetzgeber.
Abgesehen davon hat eine EU-Expertengruppe zum allerersten Mal VPN-Dienste ausdrücklich als „wichtige Herausforderungen“ für die Ermittlungsarbeit von Strafverfolgungsbehörden bezeichnet, zusammen mit verschlüsselten Geräten, Apps und neuen Kommunikationsanbietern.
Der Abschlussbericht der High-Level-Gruppe (HLG) bildet das Fundament, auf dem die ProtecEU-Strategie entwickelt wurde. Wie wahrscheinlich ist es also, dass VPN-Anbieter das nächste Ziel werden?
Wie Mullvads CEO Jan Jonsson betont, sind VPNs in den HLG-Empfehlungen noch nicht enthalten, im Gegensatz zu Apps wie Signal. „Es ist nach wie vor besorgniserregend, dass sie VPN als Herausforderung erwähnen. Die Welt braucht weniger Massenüberwachung, nicht mehr“, sagte er.
Außerdem fand Vyazovoy von AdGuard VPN es beunruhigend zu sehen, dass VPN-Dienste ins Visier dieser Debatte geraten. Er glaubt, dass, wenn VPNs in zukünftige Verpflichtungen zur Datenweitergabe einbezogen werden müssten, dies dazu führen könnte, dass datenschutzorientierte Dienste die EU ganz verlassen.
Er sagte: „Die Fragen sind: Lohnt es sich wirklich, die Privatsphäre von zig Millionen Menschen zu kompromittieren, nur um (möglicherweise) einige Kriminelle zu erwischen? Ist dieses Maß an Überwachung wirklich notwendig?“
Nochmals, Surfshark sieht die Debatte eher als Chance denn als Bedrohung.
"Wir interpretieren [die Erwähnung von VPNs] nicht als ein Signal dafür, dass VPN-Anbieter direkt durch neue Vorschriften ins Visier genommen werden," sagte Malinauskas. "Im Gegenteil, die Gruppe erkannte VPNs als eines von mehreren Werkzeugen an, die verwendet werden, um die Privatsphäre legitimer Nutzer zu schützen."
Es ist sicherlich schwierig vorherzusagen, was als Nächstes in diesem Bereich passieren wird, da ProtectEU eher auf Absichten als auf Taten basiert. Sicher ist jedoch, dass Politiker und Gesetzgeber seit Jahren versuchen, einen Weg zu finden, Datenschutz und Sicherheit in Einklang zu bringen. Wird dies endlich das sein?