Trotz massiver Proteste: UN-Cybercrime-Konvention einstimmig angenommen​

Das umstrittene Abkommen der Vereinten Nationen zum Kampf gegen Cyberkriminalität steht. Der eingerichtete Ad-hoc-Ausschuss der UN hat den Entwurf für die Konvention am Donnerstag in New York nach rund dreijährigen Verhandlungen einstimmig gebilligt. Den Startschuss für die Initiative hatten Russland und China 2017 gegeben. Bis zum Schluss umkämpft waren vor allem Klauseln für den grenzüberschreitenden Zugriff auf personenbezogene Daten etwa in Cloud-Diensten (E-Evidence), zu Auslieferungsverfahren, zur Rechtshilfe und zur Haftung von Diensteanbietern. Eine ungewöhnliche Allianz aus Bürgerrechtlern und großen Technologieunternehmen monierte noch im Laufe der Woche vor allem einen viel zu breiten Anwendungsbereich. Herausgekommen sei ein "Überwachungsvertrag", der zu Repressionszwecken eingesetzt werden könne.

Laut dem finalen Entwurf müssen beitretende Staaten etwa beabsichtigte unberechtigte Zugriffe auf oder rechtswidrige Eingriffe in ein Informations- und Kommunikationssystem kriminalisieren. Das gilt auch für Vorgänge, mit denen elektronische Daten beschädigt, gelöscht, verschlechtert, verändert oder unterdrückt werden. Strafbar werden soll ferner "das Erhalten, die Herstellung, der Verkauf, die Beschaffung zur Verwendung, der Import, die Verbreitung oder die sonstige Bereitstellung" sogenannter Hackerwerkzeuge. Gemeint sind etwa Geräte einschließlich von Programmen, die "in erster Linie für den Zweck der Begehung" einer der erfassten Straftaten "entwickelt oder angepasst" wurden, sowie Passwörter, Zugangsdaten, eine elektronische Signatur oder ähnlichen Daten, mit denen auf ein System zugegriffen werden kann.

Schon der Besitz eines Hackertools oder Zugangskriteriums mit der Absicht, sie zur Begehung einer der Straftaten zu verwenden, ist laut Artikel 11 zu kriminalisieren. Hierzulande sorgen auf diesem Gebiet die Hackerparagrafen immer wieder für skurrile Entscheidungen, wenn Richter etwa das Nutzen von Klartext-Passwörtern als Straftat ansehen. Strafbar werden sollen zudem etwa das Vorhalten oder das Verbreiten echter oder simulierter Darstellungen sexuellen Kindesmissbrauchs, das Heranpirschen an Kinder über Kommunikationssysteme (Cyber-Grooming) oder das Teilen nicht einvernehmlicher intimer Bilder (Rachepornos). Ausnahmen können allenfalls für Nacktaufnahmen gelten, die Kinder selbst von sich erstellt haben. Schwere Straftaten sind laut der Übereinkunft mit mindestens vier Jahren Haft zu ahnden. Juristische Personen müssen für eine Beteiligung zur Verantwortung gezogen werden können.

Hilfe bei Echtzeit-Überwachung ist vorgeschrieben

Um Täter dingfest zu machen, soll die Polizei einen großen Koffer an Überwachungsinstrumenten einsetzen dürfen. Vorgesehen sind etwa Befugnisse zur Echtzeiterfassung von Verbindungs- und Standortdaten, deren "beschleunigte Aufbewahrung und teilweise Offenlegung" unter Einbezug anderer elektronischer Daten inklusive Inhalten oder Nutzerkennungen wie IP-Adressen und das Abhören von Kommunikationsinhalten. Teil der Rechtshilfebestimmungen ist die Auflage, dass beteiligte Staaten "die umgehende Sicherung elektronischer Daten" anordnen können, die auf einem System gespeichert sind, das sich im Hoheitsgebiet des anderen Vertragslandes befindet. Gegenseitige Unterstützung wird ferner etwa "bei der Echtzeiterfassung von Verkehrsdaten" und dem Abhören von Inhalten verlangt.

22 zivilgesellschaftliche Organisationen hatten Mitte Juli an die EU appelliert, die noch immer verbliebenen zahlreichen Mängel in dem Vorhaben zu beheben. Sie warnten vor einer Legitimierung "missbräuchlicher Praktiken von Regierungen" zum Ausspähen von Bürgern und zur Online-Zensur. Im Laufe der Woche untermauerten Institutionen wie Human Rights Watch und Privacy International noch einmal ihre Bedenken, die im Kern auch der Hohe Kommissar der Uno für Menschenrechte, Volker Türk, teilte. Teilnehmer des Cybersecurity Tech Accord, dem über 100 Tech-Firmen wie Microsoft und Meta angehören, bedauerten am Donnerstag die Verabschiedung. Wo immer die Konvention umgesetzt werde, seien Schäden "auf die digitale Umwelt im Allgemeinen und die Menschenrechte im Besonderen" zu erwarten. Russland und Iran monierten, der Vertrag sei mittlerweile "übersättigt mit Menschenrechtsgarantien". Die Konvention geht nun an die UN-Generalversammlung, wo ihre Annahme als Formsache gilt. Sie tritt in Kraft, sobald sie von 40 Mitgliedsstaaten ratifiziert wurde.

(mki)