Der Schweizer E-Mail-Anbieter ProtonMail wirbt mit eingebauter Ende-zu-Ende-Verschlüsselung und verspricht, seine Nutzer:innen weder zu tracken noch identifizierbare persönliche Daten zu speichern. Damit gewann ProtonMail weltweit Journalist:innen und Aktivist:innen als Kundschaft, die sich gegen Überwachung schützen wollen. Für Aufregung auf Twitter sorgt daher die Nachricht, dass der E-Mail-Anbieter auf eine Anordnung der Polizeibehörde Europol IP-Adressen und weitere Daten von Nutzer:innen herausgegeben hat. Die Nutzer:innen sollen nach Ansicht der französischen Behörden mit der Gruppe „Youth for Climate“ im Zusammenhang stehen.
Aktivist:innen der Umweltgruppe hatten sich laut einem Bericht des französischsprachigen linken Blogs Secours Rouge bei Hausbesetzungen in Paris engagiert. Im Zusammenhang mit der Besetzung ermittle die französische Polizei wegen Diebstahl, Sachbeschädigung und Hausfriedensbruch. Da „Youth for Climate“ über einen ProtonMail-Account kommuniziert haben soll, erging über Europol eine Anordnung zur Herausgabe von Informationen an den Anbieter. Inzwischen berichten auch US-amerikanische Medien über den Fall, der am sicheren Image des Anbieters kratzt.
ProtonMail-Gründer findet Fall „bedauerlich“
ProtonMail-Gründer Andy Yen bestätigte auf Twitter, dass der Anbieter Informationen über seine Nutzer:innen herausgegeben hat. Auf Basis eines Rechtshilfeabkommens hätten die Schweizer Behörden die Anfrage aus Frankreich an ProtonMail übermittelt. Es sei „bedauerlich“, dass juristische Mittel, die für ernste Verbrechen geschaffen worden seien, auf diese Art verwendet würden. Aber der Anbieter sei nach Schweizer Recht gezwungen, die Informationen herauszugeben und es sei auch nicht möglich, sich dagegen juristisch zu wehren.
Es handelt sich nicht um den einzigen Fall, in dem ProtonMail ähnliche Anordnungen von Behörden erhalten hat. Nach Angaben des firmeneigenen Transparenz-Reports erhielt der Anbieter allein im Vorjahr mehrere tausend Anfragen hauptsächlich von Schweizer Behörden, in 750 Fällen wehrte sich ProtonMail dagegen vor Gericht. Gründer Yen betont, IP-Adressen von Nutzer:innen speichere der Anbieter nicht automatisch, sondern lediglich dann, wenn es eine entsprechende Anordnung der Behörden gebe. In diesem Fall würden Betroffene entsprechend des Schweizer Rechts darüber informiert. Wer sich davor schützen wolle, könne einen VPN-Dienst oder TOR-Browser verwenden.
Offen blieb zunächst, welche Informationen außer der IP-Adresse ProtonMail an die französischen Behörden weitergegeben haben könnte. Bei den weiteren Daten, die laut dem Blog Secours Rouge übermittelt wurden, könnte es sich nach Spekulationen eines Sicherheitsexperten um einen sogenannten Push-Token handeln. Das sind Buchstabenabfolgen aus ein paar dutzend Zeichen, die bestimmte Gerätekonfigurationen identifizieren. Dieser technische Fingerabdruck kann dabei helfen, Geräte einzelne Nutzer:innen zu identifizieren.
Update vom 6. September 2021: Nach Veröffentlichung des Artikels hat ProtonMail mit einer Stellungnahme auf den Vorfall reagiert. Demnach will der Anbieter künftig auf seiner Webseite transparent machen, welche Verpflichtungen er nach Schweizer Recht gegenüber Strafverfolgungsbehörden hat. Nutzer:innen, die bei der Verwendung ihre E-Mail-Kontos anonym bleiben wollen, rät ProtonMail zur Verwendung eines Tor-Browsers.
Hilf mit! Mit Deiner finanziellen Hilfe unterstützt Du unabhängigen Journalismus.
0 Commentaires