Staatliche Spyware: Forderung nach strengerer Regulierung in der EU

Die Überwachungssoftware Pegasus beschäftigt immer mehr EU-Staaten. Ein Untersuchungsausschuss hat sich nun für eine strengere Regelung beim Einsatz entsprechender Werkzeug ausgesprochen – wenn auch nur unverbindlich. Auch Markierungen in der Software zur Rückverfolgung bei illegalen Überwachungen sind Teil der Empfehlungen.

Abschlussbericht des Untersuchungsausschuss

Nachdem staatliche Überwachungen in Ungarn, Spanien und Polen mit der Spyware Pegasus sowie Predator in Griechenland ans Licht gekommen waren, hatte sich die Europäische Union dem Thema angenommen. Seit den Vorfällen wurden Rufe immer lauter, dass EU-Staaten Schutzmaßnahmen gegen einen Missbrauch erstellen sowie den Handel solcher Software streng regulieren sollen. Der Pegasus-Untersuchungsausschuss, der vor rund einem Jahr seine Arbeit aufgenommen hatte, hat nun seinen Abschlussbericht vorgelegt und entsprechende Forderungen mit einer großen Mehrheit von 30 Stimmen bei nur 3 Gegenstimmen sowie 4 Enthaltungen beschlossen. Für ein Moratorium wurde dagegen keine Mehrheit gefunden.

Entscheidungen des Gremiums, die noch das Parlamentsplenum passieren müssen, sind jedoch nicht bindend, was seine Arbeit schwieriger gestaltet. Dennoch rücken mittlerweile Überwachungswerkzeuge immer mehr in den Fokus der EU, womit eine steigende Akzeptanz des Ausschusses zukünftig nicht ausgeschlossen sein dürfte.

Einsatz teilweise scharf verurteilt

In seinem Abschlussbericht verurteilt das Gremium „aufs Schärfste den Einsatz von Spähsoftware durch die Regierungen der Mitgliedstaaten, Mitglieder von Regierungsbehörden oder staatlichen Institutionen zu dem Zweck, Opposition, Kritiker und die Zivilgesellschaft zu überwachen, zu erpressen, einzuschüchtern, zu manipulieren und zu diskreditieren“. Ebenso sei die demokratische Kontrolle, das Ausschalten der Pressefreiheit, die Manipulation von Wahlen sowie die Untergrabung der Rechtsstaatlichkeit zu verurteilen. Darüber hinaus wird angegeben, dass Richter sowie Staats- und Rechtsanwälte auf keinen Fall aus politischer Motivation heraus überwacht werden dürften. Gleichzeitig stellen die Parlamentarier fest, dass die EU über grundsätzlich zu geringe Regulierungen verfügt, um auf entsprechende Vorkommnisse reagieren zu können. In der Konsequenz würden viele Mitgliedstaaten der EU untätig bleiben.

Für die Vorkommnisse in Polen und Ungarn fand Berichterstatterin Sophie in 't Veld bereits im November bei der Präsentation ihres Entwurfes für die nun beschlossenen Empfehlungen klare Worte: Die Niederländerin sieht für die genannten Länder in den Staatstrojanern ein „integrales Element“, welches dabei helfen soll, regierungskritische Reporter und Oppositionelle zu unterdrücken.

Ruf nach strengeren Regularien

Ferner ist es den Mitgliedern des Ausschusses zufolge unablässig, dass der Handel mit sowie die Verwendung von entsprechender Spähsoftware strenger geregelt werden muss. Dabei steht die Kommission vor einem Problem: Während die Schaffung einer Gesetzgebung längere Zeit in Anspruch nehmen dürfte, müsse der missbräuchliche Einsatz solcher Software sofort gestoppt werden. Daher sollten klar Richtlinien für den legalen Einsatz, den Verkauf, den Erwerb und die Weitergabe von Spionage-Software unter Berücksichtigung der genannten Punkte geschaffen werden. Die EU-Kommission soll daher bis spätestens 30. November prüfen, ob die Mitgliedsstaaten die genannten Anforderungen erfüllen. Ebenso wird kritisiert, dass von den jeweiligen Behörden „nur minimale oder gar keine aussagekräftigen Informationen über den Erwerb und die Verwendung von Späh-Software“ gemacht wurden. So würden weder Anbieter noch die jeweiligen Länder Angaben zu ihren Kunden machen. Gleiches gilt in Hinsicht auf finanzielle Aspekte. Ebenso wird kritisiert, dass die fehlenden Angaben der Ausgaben im Haushalt eine Kontrolle ebenso erschweren würde.

Maßnahmen zu Missbrauch und Umgang mit Lücken

Die Ausarbeitungen sehen unter anderem vor, jedes Programm, welches zur Überwachung eingesetzt wird, mit einer eindeutigen Kennzeichnung zu versehen, die im Missbrauchsfall eine schnelle Rückverfolgung und zweifelsfreie Identifizierung des Angreifers ermöglichen kann. Diese Signatur soll sich dabei aus einer individuellen Kennzeichnung der zuständigen Stelle, der Art des verwendeten Programms sowie einer anonymisierten Fallnummer zusammensetzen.

Der Abschlussbericht des Ausschusses enthält zudem Forderungen zum Umgang mit Zero-Day-Exploits: Diese sollen nach Ansicht der Parlamentarier höchstens dann verkauft werden können, wenn damit eine „Stärkung des Systems“ erreicht werden kann. Weiter wird darauf gedrängt, ein verantwortungsvolles Verfahren zur Offenlegung entsprechender Lücken zu etablieren, um deren Ausnutzung zu regulieren. Darüber hinaus soll mit den USA eine gemeinsame Strategie zum Umgang mit solchen Überwachungsformen entwickelt werden, während mit Israel und weiteren Ländern, welche entsprechende Programme exportieren, Regeln zum Verkauf festgelegt werden sollen. Diese Umsetzungen dienen auch dazu, den Handlungsspielraum der EU-Staaten zu erweitern. Bisher war es kaum möglich, entsprechende Vorkommnisse aufzuklären, da sich Länder in der Europäischen Union oder Israel, in welchem unter anderem die NSO-Group als Pegasus-Hersteller ansässig ist, in dieser Hinsicht oftmals unkooperativ zeigten.

Spezielle Behörde soll geschaffen werden

Weiter sollen alle für den Verkauf von Spionagesoftware erteilten Lizenzen, die nicht im Einklang mit der Dual-Use-Verordnung für militärisch und zivil nutzbare Technik sind, zurückgezogen werden. Gleichzeitig soll ein eigens für diesen Zweck eingerichtetes unabhängiges „EU Tech Lab“ illegale Überwachungen aufdecken sowie bei Verdachtsfällen rechtliche und technologische Unterstützung leisten sowie bei vermeintlich betroffenen Geräten forensische Untersuchungen durchführen. In Fällen von vermeintlichem Missbrauch von Spyware und einem Verstoß gegen die Vorgaben sollen zuständigen Strafverfolgungs-, Justiz- und Regierungsbehörden die Vorgänge umfassend untersuchen und diese unverzüglich aufklären. Ebenso sehen es die Abgeordneten als unerlässlich an, bei solchen Vorkommnissen Europol einzuschalten.