Die Schweiz hat sich einen Ruf als Zufluchtsort für Privatsphäre aufgebaut - Anbieter von verschlüsselter E-Mail und VPN wählten das Land gerade deshalb, weil das Gesetz sie nicht dazu zwang, Nutzer zu protokollieren oder zu identifizieren. Eine geplante Überwachungsreform bedroht nun genau das, und sie hat den größten Namen der Schweizer Privatsphäre-Branche, Proton, bereits dazu bewegt, seine Infrastruktur ins Ausland zu verlagern. Der Firmengründer ging so weit zu sagen, dass das einzige vergleichbare Gesetz in Europa in Russland zu finden sei.
Was die geplante Reform vorschreiben würde
Im Zentrum steht eine Revision der VÜPF, der Schweizer Verordnung über die Überwachung des Post- und Fernmeldeverkehrs. Entscheidend ist, dass die Regierung sie als Änderung einer Verordnung vorantreibt - ein Schritt, den der Bundesrat und das Justizdepartement ohne ein vollständiges Parlamentsgesetz vornehmen können. Laut Entwurf müsste jeder E-Mail-, Messaging- oder VPN-Dienst mit bereits 5.000 Nutzern Folgendes tun:
- Identität überprüfen: bei der Registrierung einen amtlichen Ausweis erfassen, wodurch anonyme Konten faktisch unmöglich werden.
- Metadaten speichern: IP-Adressen, Namen, Telefonnummern und zugehörige Verbindungsdaten für sechs Monate aufbewahren.
- Lesbare Daten herausgeben: technisch in der Lage sein, die Daten eines Nutzers auf Anfrage im Klartext an die Behörden zu liefern - in der Praxis also die Verschlüsselung auf Transportebene zu entfernen - wobei echte Ende-zu-Ende-Nachrichten, die zwischen Nutzern ausgetauscht werden, ausgenommen sind.
Kritiker weisen darauf hin, dass die Behörden einen Großteil dieser gespeicherten Daten über eine einfache Anfrage statt über einen Gerichtsbeschluss erreichen könnten. Die öffentliche Vernehmlassung ist bereits mit heftigem Widerstand von Privatsphäre-Firmen, zivilgesellschaftlichen Gruppen und politischen Parteien abgeschlossen worden, und der Bundesrat hat den Text bis dato nicht endgültig festgelegt - es handelt sich also um einen laufenden Vorschlag, noch nicht um geltendes Recht.
Warum Proton jetzt abzieht
Proton, das Proton Mail und Proton VPN betreibt, wartet nicht ab. Das Unternehmen hat begonnen, IT-Infrastruktur aus der Schweiz zu verlagern, platziert Server für seine neueren Produkte in Deutschland und baut eine Präsenz in Norwegen auf, gestützt auf eine geplante Investition von mehr als 100 Millionen Euro in der EU. Gründer Andy Yen brachte die Lage unverblümt auf den Punkt: "Das einzige Land in Europa mit einem in etwa gleichwertigen Gesetz ist Russland", und fügte hinzu, dass das Unternehmen "keine andere Wahl hätte, als zu gehen", falls die Änderung durchkommt. Weitere Schweizer Privatsphäre-Projekte, darunter das Netzwerk-Privatsphäre-Projekt Nym, haben sich dem Widerstand angeschlossen.
Warum das für VPN-Nutzer wichtig ist
Der gesamte Reiz eines in der Schweiz ansässigen VPN lag in der rechtlichen Grundlage darunter: Eine Rechtsordnung, die keine Protokollierung erzwang, verlieh dem No-Logs-Versprechen echte Wirkung. Eine Regel, die Ausweiskontrollen und sechs Monate gespeicherte Metadaten verlangt, kehrt das um - sie macht aus einem Privatsphäre-Anbieter eine Vorratsdatenspeicherungsstelle. Das ist die unbequeme Wahrheit hinter jeder No-Logs-Behauptung: Sie ist immer nur so stark wie das Gesetz des Landes, dem der Anbieter untersteht.
Es ist außerdem ein Muster, kein Einzelfall. Wir haben die erste Etappe dieser Geschichte gesehen, als Proton erstmals ankündigte, Server aus der Schweiz zu verlagern, und ein ähnlicher Konflikt tauchte rund um Kanadas Bill C-26 und die verschlüsselten Dienste auf, die deswegen einen Rückzug erwägen. Yens Vergleich mit Russland ist gerade deshalb so pointiert, weil erzwungene Entschlüsselung und obligatorische Identitätsprüfungen das Kennzeichen der Backdoor-Gesetze sind, die wir in Russland, Großbritannien, Kanada und Australien verfolgt haben - und die Schweiz sollte eigentlich das Gegenbeispiel sein.
Für jeden, der ein VPN auswählt, lautet die Lehre nicht "Meide die Schweiz" - sondern über das Marketing hinaus auf das Gesetz zu schauen. Wo ein Anbieter rechtlich erreichbar ist, bestimmt, was er gezwungen werden kann über Sie zu erfassen und preiszugeben, ganz gleich wie stark seine Privatsphäre-Werbung ist. Diese Frage der Rechtsordnung ist still und leise zu einer der wichtigsten Dinge geworden, die man prüfen sollte, bevor man einem Anbieter seinen Datenverkehr anvertraut.
