May 27, 2026Nachrichten / AnalyseCanada United States United Kingdom China Sweden Australia

Wenn man eine Hintertür einbaut

Gestern Abend sagte Apples Senior Director für Nutzerdatenschutz und Kinderschutz vor dem Ständigen Ausschuss für öffentliche Sicherheit und nationale Sicherheit des kanadischen Unterhauses: *"When you build a backdoor into an encrypted device, anyone can walk through."* — Wenn man eine Hintertür in ein verschlüsseltes Gerät einbaut, kann jeder hindurchgehen. Die Aussage fiel während der letzten angesetzten Anhörung zu Bill C-22, dem Lawful Access Act, der elektronische Diensteanbieter verpflichten würde, Überwachungsfähigkeiten in ihre Systeme einzubauen und Nutzer-Metadaten bis zu einem Jahr lang aufzubewahren. Googles Direktorin für Regierungsangelegenheiten und öffentliche Politik in Kanada nannte die Befugnisse des Gesetzentwurfs „grenzenlos" und warnte, sie gingen „weit über die Regelungen zum rechtmäßigen Zugriff in anderen G7-Demokratien hinaus". Apple verwies auf den Cyberangriff Salt Typhoon von 2024 — bei dem staatlich unterstützte chinesische Hacker Zugangspunkte für rechtmäßigen Zugriff in der US-Telekommunikationsinfrastruktur ausnutzten — als Beleg dafür, dass für die Strafverfolgung gebaute Hintertüren von Gegnern ausgenutzt werden. Signal hat erklärt, das Unternehmen würde Kanada eher verlassen, als sich zu fügen. Windscribe, ein VPN-Anbieter mit Sitz in Toronto, bestätigte, seinen Hauptsitz zu verlegen. NordVPN erklärte, seine No-Logs-Architektur und seine Verschlüsselung seien „nicht verhandelbar". ExpressVPN schloss sich dem Widerstand an. Der Gesetzentwurf erwähnt das Wort „Verschlüsselung" nicht ausdrücklich. Er verlangt von Unternehmen nicht ausdrücklich, ihre Verschlüsselung zu brechen. Was er tut, ist: Er gibt der Regierung die Befugnis, geheime Anordnungen zur technischen Zugriffsfähigkeit (*technical capability notices*) zu erlassen — Anordnungen, die Diensteanbieter verpflichten, ihre Systeme so zu verändern, dass Abhörmaßnahmen möglich werden — ohne richterliche Kontrolle der technischen Anforderung selbst, ohne Transparenzpflicht und ohne Mechanismus, mit dem Unternehmen öffentlich machen könnten, dass ihnen aufgegeben wurde, ihre Systeme zu kompromittieren. Apple erhielt 2025 eine geheime Anordnung nach der entsprechenden britischen Gesetzgebung und reagierte, indem es das verschlüsselte iCloud-Backup vollständig aus dem Vereinigten Königreich zurückzog, statt die Hintertür zu bauen. Auf die Frage des konservativen Abgeordneten Frank Caputo, ob Apple unter vergleichbaren Umständen Kanada verlassen würde, lehnte Apples Erik Neuenschwander eine direkte Antwort ab, sagte aber, das Unternehmen hoffe, „dass positive Änderungen am Gesetzentwurf vorgenommen werden". Die letzte Anhörung des Ausschusses endete damit, dass die Konservativen auf eine Ausweitung der Debatte drängten und argumentierten, der Entwurf werde „im Eiltempo durchs Parlament gepeitscht". Der Minister für öffentliche Sicherheit, Gary Anandasangaree, hat erklärt, er sei „offen für Änderungen", und hofft, den Entwurf vor der Sommerpause des Parlaments zu verabschieden. Der Entwurf hat zwei von drei Lesungen im Unterhaus passiert und geht zur abschließenden Prüfung in den Senat. Das strukturelle Argument ist einfach: Eine für die Regierung gebaute Hintertür ist eine Hintertür, die jedem Gegner offensteht, der sie entdeckt. Salt Typhoon hat das 2024 bewiesen. Die Architektur, die keine Hintertür hat, ist die Architektur, der nicht befohlen werden kann, eine zu bauen — weil sie nie den Schlüssel hielt.

URnetwork-RedaktionSan Francisco — 27. Mai 2026

Wenn man eine Hintertür einbaut

Der Satz hat dreizehn Wörter. Die technische Wahrheit dahinter ist absolut.

"When you build a backdoor into an encrypted device, anyone can walk through." — Wenn man eine Hintertür in ein verschlüsseltes Gerät einbaut, kann jeder hindurchgehen.

Erik Neuenschwander, Apples Senior Director für Nutzerdatenschutz und Kinderschutz, gab die Erklärung gestern Abend vor dem Ständigen Ausschuss für öffentliche Sicherheit und nationale Sicherheit des kanadischen Unterhauses ab, während der letzten angesetzten Anhörung zu Bill C-22, dem Lawful Access Act, 2026.

Googles Katherine Charlet, Senior Director für Datenschutz, Sicherheit und Schutz, fügte hinzu, die Befugnisse des Gesetzentwurfs seien „grenzenlos" und könnten „globale Auswirkungen haben, da Kanadierinnen und Kanadier mit Menschen auf der ganzen Welt interagieren". Googles Jeanette Patell, Direktorin für Regierungsangelegenheiten und öffentliche Politik in Kanada, erklärte: „Geheime Anordnungen passen nicht zu anderen demokratischen Staaten und würden die Fähigkeit von Unternehmen, gegenüber ihren Nutzern transparent zu machen, wie deren Daten geschützt sind, schwer einschränken."

Die beiden größten Technologieunternehmen der Welt haben dem kanadischen Parlament aktenkundig gesagt, dass dieser Gesetzentwurf die Sicherheit jeder Person bedroht, die ihre Produkte nutzt.

Was Bill C-22 tut

Bill C-22 verwendet das Wort „Verschlüsselung" nicht. Er verlangt von Unternehmen nicht ausdrücklich, ihre Verschlüsselung zu brechen.

Was er tut, ist: Er schafft einen Rechtsrahmen, unter dem die Regierung geheime Anordnungen zur technischen Zugriffsfähigkeit erlassen kann — Anordnungen, die elektronische Diensteanbieter verpflichten, ihre Systeme so zu verändern, dass das rechtmäßige Abhören von Kommunikation möglich wird. Der Entwurf verpflichtet "core providers" — Kernanbieter — dazu, Metadaten bis zu einem Jahr lang aufzubewahren. Er legt für den Zugriff die Schwelle "reasonable suspicion" — begründeter Verdacht — fest, die niedriger ist als der in den Vereinigten Staaten geltende Maßstab des hinreichenden Tatverdachts (probable cause).

Die Anordnungen zur technischen Zugriffsfähigkeit können geheim erlassen werden. Es gibt keine richterliche Kontrolle der technischen Anforderung selbst — nur der Abhörbeschluss unterliegt richterlicher Prüfung. Es gibt keine Transparenzpflicht. Es gibt keinen Mechanismus, mit dem ein Unternehmen seinen Nutzern offenlegen könnte, dass ihm aufgegeben wurde, seine Systeme zu verändern. Es gibt keine öffentliche Berichtspflicht.

Der Minister für öffentliche Sicherheit, Gary Anandasangaree, hat den Entwurf als „verschlüsselungsneutral" bezeichnet. Apple und Google haben dem Parlament gestern gesagt, dass diese Charakterisierung nicht zum operativen Text des Entwurfs passt.

Salt Typhoon

Apples Neuenschwander brachte gestern ein konkretes Beweisargument vor, mit dem sich der Ausschuss zuvor nicht befasst hatte: den Cyberangriff Salt Typhoon.

2024 kompromittierten staatlich unterstützte chinesische Hacker der Gruppe Salt Typhoon die Abhörinfrastruktur großer US-Telekommunikationsanbieter — jene Systeme, die eigens zur Erfüllung des Communications Assistance for Law Enforcement Act gebaut worden waren. Die Hacker nutzten die Zugangspunkte aus, die existierten, weil das Gesetz ihre Existenz vorschrieb. Sie griffen auf Echtzeit-Verbindungsdaten, Textnachrichten und die Kommunikation hochrangiger Regierungsvertreter und politischer Persönlichkeiten zu.

Apple sagte dem Ausschuss: Die US-Gesetzgebung zum rechtmäßigen Zugriff sei „enger gefasst als Bill C-22" gewesen, und Salt Typhoon habe sie ausgenutzt. Die Hintertür, die die US-Regierung verlangte, war die Hintertür, durch die China ging.

Das strukturelle Argument ist nicht hypothetisch. Es ist ein dokumentierter Fall, in dem die Infrastruktur für rechtmäßigen Zugriff der technisch versiertesten Geheimdienstgemeinschaft der Welt von einem ausländischen Gegner kompromittiert wurde — über genau die Zugangspunkte, die das Gesetz vorschrieb.

Die Austrittsdrohungen

Die Aussage folgt auf Wochen zunehmender Warnungen von datenschutzorientierten Unternehmen.

Udbhav Tiwari, VP für Strategie bei Signal, erklärte, das Unternehmen „würde sich eher aus dem Land zurückziehen, als gezwungen zu werden, bei den Datenschutzversprechen, die wir unseren Nutzern gegeben haben, Abstriche zu machen".

Windscribe, ein VPN-Anbieter mit Hauptsitz in Toronto, bestätigte, den Hauptsitz eher aus Kanada zu verlegen, als die Anforderungen zur Metadatenspeicherung zu erfüllen. Windscribes No-Logs-Richtlinie wurde 2025 in einem griechischen Gerichtsverfahren bestätigt.

NordVPN erklärte: „Es gibt kein Szenario, in dem wir bei unserer No-Logs-Architektur oder unseren Verschlüsselungsschutzmaßnahmen Abstriche machen würden."

ExpressVPN nannte seine Verschlüsselung und seine No-Logs-Architektur „nicht verhandelbar".

Apple und Meta haben beide öffentlich Bedenken geäußert. Mehr als 200 Kryptografie-Fachleute und Informatikerinnen und Informatiker unterzeichneten einen offenen Brief gegen den Ansatz des Entwurfs zur Verschlüsselung.

Michael Geist, Canada Research Chair für Internet- und E-Commerce-Recht an der Universität Ottawa, nannte den Entwurf „das zweiköpfige Überwachungsmonster des Lawful Access" und verglich das Abtun der Warnungen aus der Industrie durch die Regierung mit dem „katastrophalen Drehbuch des Online News Act" — ein Verweis auf Kanadas Gesetzgebung von 2023, die Meta veranlasste, Nachrichteninhalte in Kanada zu blockieren.

OpenMedia forderte den Ausschuss auf, „Bill C-22 zurückzuziehen oder seine Überwachungsbestimmungen zu entkernen".

Der britische Präzedenzfall

Der britische Investigatory Powers Act enthält ähnliche Bestimmungen zu Anordnungen über technische Zugriffsfähigkeiten. 2025 erhielt Apple nach diesem Gesetz eine geheime Anordnung, die das Unternehmen verpflichtete, Zugang zu verschlüsselten iCloud-Daten zu verschaffen.

Apples Antwort bestand nicht darin, die Hintertür zu bauen. Sie bestand darin, die Funktion Advanced Data Protection vollständig aus dem Vereinigten Königreich zurückzuziehen — und damit die Ende-zu-Ende-Verschlüsselung für iCloud-Backups für alle britischen Nutzer zu entfernen. Die Nutzer verloren die Sicherheitsfunktion. Die Regierung erhielt nicht den Zugang, den sie suchte. Die Angreifer, die es auf britische Nutzer abgesehen haben, treffen bei deren iCloud-Backups nun auf schwächere Verschlüsselung.

Das ist die operative Folge der Hintertür-Architektur: Das Unternehmen, das sich weigert, Verschlüsselung zu kompromittieren, entfernt die Funktion, statt sie zu schwächen. Die Nutzer verlieren Schutz. Die Regierung gewinnt nichts. Die Angreifer gewinnen ein weicheres Ziel.

Auf die Frage, ob Apple in Kanada denselben Schritt gehen würde, lehnte Neuenschwander Spekulationen ab, sagte aber, das Unternehmen stehe mit dem Ausschuss im Austausch, um „positive Änderungen" zu erreichen.

Die Ausschusssitzung

Die gestrige Anhörung war die letzte angesetzte Zeugensitzung, bevor der Ständige Ausschuss für öffentliche Sicherheit und nationale Sicherheit Änderungsanträge berät. Der Ausschuss hörte in drei Sitzungen Dutzende von Zeugen.

Der konservative Abgeordnete Frank Caputo drängte auf eine Ausweitung der Debatte und argumentierte, der Entwurf werde „im Eiltempo durchs Parlament gepeitscht". Die Sitzung wurde vertagt, bevor das Änderungsverfahren begann.

Ein Vertreter der Canadian Association of Chiefs of Police sagte dem Ausschuss, eine Metadatenspeicherung von drei Jahren wäre „ideal" — länger als das eine Jahr, das der Entwurf derzeit vorschreibt.

Der Minister für öffentliche Sicherheit, Anandasangaree, hat erklärt, er sei „offen für Änderungen", und hofft, den Entwurf vor der Sommerpause des Parlaments zu verabschieden. Der Entwurf hat zwei von drei Lesungen im Unterhaus abgeschlossen und geht zur abschließenden Prüfung in den Senat.

Das Muster

Bill C-22 ist kein isoliertes Gesetzgebungsereignis. Er ist der jüngste Schritt in einem gleichzeitigen Vorstoß demokratischer Staaten, rechtmäßigen Zugriff auf verschlüsselte Kommunikation vorzuschreiben.

Der britische Online Safety Act enthält Bestimmungen, die ein Scannen verschlüsselter Nachrichten erfordern könnten. Signals Präsidentin Meredith Whittaker erklärte, das Unternehmen werde das Vereinigte Königreich verlassen, bevor es bei der Verschlüsselung Abstriche mache. Von Ofcom wurde erwartet, die technischen Standards bis April 2026 abzuschließen.

Schwedens Parlament berät ein Gesetz, das Messenger-Apps verpflichten würde, Nutzerkommunikation zu speichern und Zugang dazu zu gewähren. Der CIO der schwedischen Streitkräfte führte Signal offiziell für nicht klassifizierte Kommunikation ein — dann schlug die Regierung vor, den Zugriff auf genau dieses Werkzeug vorzuschreiben.

Australiens Assistance and Access Act von 2018 war das erste Gesetz eines demokratischen Landes, das Verschlüsselung untergräbt. Es wurde genutzt, um Unternehmen ohne öffentliche Offenlegung zum Aufbau von Abhörfähigkeiten zu zwingen.

Die Vereinigten Staaten schreiben derzeit keine Verschlüsselungs-Hintertüren vor, aber das FBI hat wiederholt eine „verantwortungsvolle Verschlüsselung" gefordert, die rechtmäßigen Zugriff ermöglicht. Der Einbruch von Salt Typhoon in die US-Abhörsysteme hat das Argument des FBI geschwächt.

In jedem Fall ist der gesetzgeberische Mechanismus derselbe: der Regierung die Befugnis geben, geheime Anordnungen zu erlassen, die technische Änderungen zur Ermöglichung von Abhörmaßnahmen verlangen, ohne öffentliche Offenlegung und mit begrenzter richterlicher Kontrolle der technischen Anforderung. In jedem Fall ist die Antwort der Datenschutz- und Sicherheits-Community dieselbe: Die für die Regierung gebaute Hintertür ist für jeden Gegner ausnutzbar, und der dokumentierte Beleg — Salt Typhoon — beweist es.

Die Architektur, die keine Hintertür hat

Die nutzerseitige Antwort auf das Hintertür-Gebot ist dieselbe Antwort, die diese Publikation in jedem Bereich der Internetfreiheit dokumentiert hat.

Ende-zu-Ende-verschlüsselte Protokolle, bei denen der Schlüssel bei der Nutzerin liegt und nicht beim Diensteanbieter. Der Anbieter kann einer Anordnung zur technischen Zugriffsfähigkeit nicht nachkommen, weil der Anbieter den Schlüssel nicht hält. Die Architektur ist die rechtliche Verteidigung.

Signals Protokoll. Matrix' Verschlüsselung. Briars Peer-to-Peer-Transport. URnetworks Peer-to-Peer-Overlay. Jedes verteilt den Schlüssel an die Endpunkte und nimmt der Zwischeninstanz die Fähigkeit zu entschlüsseln. Eine staatliche Anordnung an die Zwischeninstanz bringt nichts ein, weil die Zwischeninstanz nichts hält.

Quelloffene Implementierungen, bei denen der Code prüfbar und das Einfügen einer Hintertür erkennbar ist. Die Transparenz des Codes ist die Verteidigung gegen geheime Änderungsanordnungen. Wenn der Code offen ist, kann die Anordnung nicht geheim bleiben — denn die Änderung wäre sichtbar.

Föderierte und selbstgehostete Dienste, bei denen die Nutzerin den Server kontrolliert. Eine Anordnung zur technischen Zugriffsfähigkeit, die dem eigenen Server einer Nutzerin zugestellt wird, ist ein Durchsuchungsbeschluss, keine Hintertür — sie erfordert ein individuelles richterliches Verfahren, keine pauschale technische Änderung.

Der architektonische Gegenzug zu Bill C-22 ist kein juristisches Argument. Er ist eine Designentscheidung. Dem System, das den Schlüssel nie hält, kann nicht befohlen werden, ihn herauszugeben. Das System, dessen Code offen ist, kann ihn nicht heimlich ändern. Das System, dessen Server der eigene der Nutzerin ist, kann nicht durch eine an ein Unternehmen zugestellte Anordnung stillschweigend kompromittiert werden.

"When you build a backdoor into an encrypted device, anyone can walk through." — Wenn man eine Hintertür in ein verschlüsseltes Gerät einbaut, kann jeder hindurchgehen.

Die Architektur, die keine Hintertür hat, hat auch keine Tür, durch die irgendjemand gehen könnte — nicht die Regierung, nicht der Gegner, nicht das Unternehmen, das sie gebaut hat.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport. Das URnetwork-Overlay verteilt die Verschlüsselungsschlüssel an die Endpunkte. Die Zwischeninstanz hält keinen Schlüssel und kann einer Anordnung zur technischen Zugriffsfähigkeit nicht nachkommen, weil es nichts herauszugeben gibt.

https://ur.io

Quellen (10 Belege)

Quellen

Further Discussion

Jeder kann hindurchgehen

**Position.** *"When you build a backdoor into an encrypted device, anyone can walk through."* — Wenn man eine Hintertür in ein verschlüsseltes Gerät einbaut, kann jeder hindurchgehen. Das sagte Apples Erik Neuenschwander gestern dem kanadischen Parlament während der letzten angesetzten Anhörung zu Bill C-22, dem Lawful Access Act. Der Gesetzentwurf gibt der Regierung die Befugnis, geheime Anordnungen zur technischen Zugriffsfähigkeit zu erlassen, die Diensteanbieter verpflichten, ihre Systeme so zu verändern, dass Abhörmaßnahmen möglich werden — ohne richterliche Kontrolle der technischen Anforderung, ohne Transparenzpflicht und ohne Mechanismus, mit dem Unternehmen die Anordnung offenlegen könnten. Apple verwies auf Salt Typhoon — den staatlich unterstützten chinesischen Hack von 2024, der die US-Abhörinfrastruktur ausnutzte — als Beleg dafür, dass für die Strafverfolgung gebaute Hintertüren von Gegnern ausgenutzt werden. Google nannte die Befugnisse des Entwurfs „grenzenlos" und warnte, sie gingen „weit über die Regelungen zum rechtmäßigen Zugriff in anderen G7-Demokratien hinaus". Signal würde Kanada verlassen. Windscribe würde seinen Hauptsitz verlegen. NordVPN und ExpressVPN nannten Verschlüsselung „nicht verhandelbar". Apple zog das verschlüsselte iCloud-Backup aus dem Vereinigten Königreich zurück, statt unter dem entsprechenden britischen Gesetz eine Hintertür zu bauen. Das Muster wiederholt sich in demokratischen Staaten: Vereinigtes Königreich, Schweden, Australien und Kanada verfolgen alle geheime Anordnungen, um Verschlüsselung zu kompromittieren. Salt Typhoon hat die Folge bewiesen. Der Architektur, die keinen Schlüssel hält, kann nicht befohlen werden, einen herauszugeben. **Schlagzeilen-Kandidaten.** - Jeder kann hindurchgehen · Apples Dreizehn-Wort-Wahrheit über Hintertüren - Salt Typhoon hat es bewiesen · Die für die Regierung gebaute Hintertür war die Hintertür, die China nutzte - Geheime Anordnungen · Bill C-22 und der Verschlüsselungsstreit der Demokratien 2026 - Fünf Unternehmen würden gehen · Signal, Windscribe, NordVPN, ExpressVPN und die Linie, die sie nicht überschreiten **Schlusszeile.** *"When you build a backdoor, anyone can walk through."* — Wenn man eine Hintertür einbaut, kann jeder hindurchgehen. Salt Typhoon hat es bewiesen. Der Architektur, die keinen Schlüssel hält, kann nicht befohlen werden, einen herauszugeben.

Sieben Komma eins Milliarden

**Position.** Am 24. Mai wurde die Datenschutz-Grundverordnung zehn Jahre alt. Seit 2018: 7,1 Milliarden Euro an Bußgeldern. Allein 2025: 1,2 Milliarden Euro. 2.245 dokumentierte Vollzugsmaßnahmen. 443 Meldungen von Datenschutzverletzungen pro Tag in ganz Europa. Die Verordnung, die bei ihrer Verabschiedung als „nicht praktikabel" abgetan wurde, ist zur globalen Vorlage geworden — sie hat Datenschutzgesetze in mehr als 160 Ländern angeregt. Die Vereinigten Staaten haben 22 einzelstaatliche Datenschutzgesetze und null Bundesdatenschutzgesetze. Kanada debattiert, ob es Verschlüsselungs-Hintertüren vorschreiben soll. Die EU verschiebt den Vollzug ihres eigenen AI Act um 16 Monate. Der zehnte Jahrestag der DSGVO fällt in einen Moment, in dem das von ihr begründete Regulierungsmodell zugleich der erfolgreichste Datenschutzrahmen der Geschichte und der am stärksten strapazierte ist — überdehnt durch KI, grenzüberschreitende Datenflüsse und die Vollzugslücke zwischen dem Schreiben und dem Anwenden von Regeln. Sieben Komma eins Milliarden Euro an Bußgeldern. Die Frage ist, ob Bußgelder Verhalten ändern oder schlicht zu Betriebskosten werden. Meta hat über 2,5 Milliarden Euro an DSGVO-Sanktionen gezahlt und setzt jede Praxis fort, die sie ausgelöst hat. Die Architektur, die nicht auf Vollzug angewiesen ist, ist die Architektur, in der die Nutzerin den Schlüssel hält und die Aufsichtsbehörde niemanden zu büßen braucht, weil die Daten nie erhoben wurden. **Schlagzeilen-Kandidaten.** - Sieben Komma eins Milliarden · Zehn Jahre DSGVO und was sie verändert hat - Vierhundertdreiundvierzig pro Tag · Europas Takt der Datenpannen-Meldungen - Die Vorlage · Wie eine Verordnung zum globalen Standard wurde - Das Bußgeld, das das Verhalten nicht geändert hat · Metas DSGVO-Rechnung über 2,5 Milliarden Euro **Schlusszeile.** 7,1 Milliarden Euro an Bußgeldern. Mehr als 160 Länder inspiriert. 443 Meldungen von Datenschutzverletzungen pro Tag. Zehn Jahre der weltweit stärksten Datenschutzregulierung — und die Architektur, die ohne sie funktioniert.

Comics

Comic: Jeder kann hindurchgehen — #1Jeder kann hindurchgehen