URnetwork
•••

Notizen zur Privatsphäre im Internet

Beiträge und Forschung vom URnetwork-Team und der Community.

RSS
Nachrichten / AnalyseUnited KingdomBahrainJapanSpainRussiaChinaUnited StatesSaudi Arabia

Die Handlung lag in Großbritannien

Am 27. Juli hat der Supreme Court des Vereinigten Königreichs entschieden, wo ein Hack stattfindet. Drei Richter sagten: dort, wo der Computer steht; zwei sagten: dort, wo der Operator sitzt. Die drei setzten sich durch, 3:2 — und ein Staat, dessen Spähsoftware auf einem Rechner in Großbritannien landet, kann nun in Großbritannien verklagt werden. Bewiesen ist nichts: Die Entscheidung ergeht auf unterstellter Tatsachengrundlage, und die beiden Computer, um die es geht, wurden nie untersucht. Sechs Monate zuvor hatte ein anderes britisches Gericht eine gleichartige Klage bereits mit 3.025.662,83 £ beziffert, gegen einen Staat, der aufgehört hatte, Briefe zu beantworten.

URnetwork-RedaktionSan Francisco — 5. August 2026

Achtundzwanzig Wörter

Section 5 des britischen State Immunity Act 1978 lautet vollständig:

"A State is not immune as respects proceedings in respect of— (a) death or personal injury; or (b) damage to or loss of tangible property, caused by an act or omission in the United Kingdom."

Sinngemäß: Ein Staat genießt keine Immunität in Verfahren wegen (a) Tod oder Körperverletzung oder (b) Beschädigung oder Verlust körperlicher Sachen, verursacht durch eine Handlung oder Unterlassung im Vereinigten Königreich.

Das Parlament schrieb das mit einem Botschaftswagen und einem Fußgänger vor Augen. Am 27. Juli 2026 entschieden in The Kingdom of Bahrain v Shehabi and another [2026] UKSC 25 fünf Richter darüber, ob es auch ein Spähprogramm erfasst, das von einem Server in Bahrain auf zwei Laptops in London aufgespielt wurde. Drei sagten ja. Zwei sagten, diese Antwort bringe Großbritannien in einen Verstoß gegen das Völkerrecht.

Eine fehlende Voraussetzung

Das Gesetz existiert unter anderem deshalb, damit Großbritannien die European Convention on State Immunity (Basel, 1972) ratifizieren konnte, deren Fassung derselben Ausnahme eine Voraussetzung hinzufügt: Artikel 11 verlangt, dass sich der Sachverhalt im Gerichtsstaat ereignet hat "and that the author of the injury or damage was present in that territory at the time." — und dass der Urheber der Verletzung oder des Schadens sich zu jener Zeit in diesem Hoheitsgebiet aufhielt. Section 5 behält den ersten Anknüpfungspunkt und lässt den zweiten weg.

Die Mehrheit — Lord Lloyd-Jones, Lord Hamblen und Lady Simler — hielt die Auslassung für gewollt. Die Vermutung, dass ein Gesetz seinem Vertrag entspricht, "has no application here because the departure from the treaty scheme is deliberate. In our view, this is determinative of the appeal" (Rn. 74) — sie finde hier keine Anwendung, weil die Abweichung vom Vertragsschema bewusst erfolgt ist; nach unserer Auffassung ist das für das Rechtsmittel ausschlaggebend. Dann der Satz, der die Rechtslage verändert: "an act includes an act done using mechanical, electrical or other automated or remote means… even if the person responsible… is not physically present at the location where the act takes place" (Rn. 131) — eine Handlung umfasst auch eine mit mechanischen, elektrischen oder anderen automatisierten oder fernwirkenden Mitteln vorgenommene Handlung, selbst wenn die verantwortliche Person am Ort der Handlung nicht körperlich anwesend ist. Normalerweise legen Gerichte solche Vorschriften eng aus, um den Staat aus Schwierigkeiten herauszuhalten. Dieses Gericht las bewusst weiter und lehnte es dann ab, zu entscheiden, ob das Völkergewohnheitsrecht dies erlaubt, gestützt auf "a reasonable basis" (Rn. 79), eine vertretbare Grundlage. Eine harte Regel auf weichem Fundament.

Was behauptet wird, und woher es überhaupt jemand wusste

Dr. Saeed Shehabi führt die Bahrain Freedom Movement; Moosa Mohammed ist Fotograf, dem 2012 die bahrainische Staatsbürgerschaft entzogen wurde. Beide leben in London. Seit etwa September 2011 hätten, so ihr Vortrag, Personen im Auftrag Bahrains FinSpy — vertrieben von der Gamma Group — auf ihre Computer gebracht, wobei die Operatoren im Ausland saßen und der Steuerungsserver in Bahrain stand. Gegenüber Index on Censorship beschrieb Shehabi den Fall am 31. Juli als eine Sache „des Gefühls, dass nirgendwo sicher ist“; Mohammed sagte, es gehe ihm darum, „Rechenschaft zu erlangen“.

Zu den Handlungen, die als in England geschehen vorgetragen werden, zählen das Überschreiben der Festplatte, das Einschalten von Mikrofonen und Kameras und — einprägsam — die Nutzung des Akkustroms der Geräte. Bahrain war darauf angewiesen, dass all dies bloß die Wirkung einer Handlung in Manama sei, eine Unterscheidung, die der Court of Appeal bereits als "artificial and unprincipled" bezeichnet hatte — als künstlich und ohne tragenden Grundsatz.

Für die Betroffenen war davon nichts sichtbar. Verdächtige E-Mails erreichten im Mai 2012 Bill Marczak vom Citizen Lab in Toronto — einen Zeugen, den der Tatrichter als "plainly well-qualified" — ersichtlich gut qualifiziert — bezeichnete, wenn auch als parti pris in Bezug auf Bahrain. Am 25. Juli 2012 benannte das Citizen Lab den Steuerungsserver, 77.69.140.194, aus dem Adressbereich von Batelco; diese Adresse taucht acht Jahre später in den Schriftsätzen wieder auf, und darin liegt die Bestätigung, die nicht von Marczak abhängt. Ein 2014 veröffentlichtes geleaktes Gamma-Archiv enthielt eine Zielliste, auf der nach Angaben der Kläger ihre Laptops stehen. So haben sie es erfahren — und die Entdeckung, nicht die Überwachung, ist der Schaden, auf den sie klagen, gestützt auf ein Gesetz von 1997, das für Stalker geschrieben wurde.

Bahrains Erwiderung ist eng und ernst zu nehmen: Die Kläger hätten "provided no evidence as to how their computers were alleged to have been infected" — keinen Beleg dafür vorgelegt, auf welche Weise ihre Computer infiziert worden sein sollen —, und die beiden Computer wurden nie untersucht — nicht von Marczak, von niemandem. Infektion September 2011, Entdeckung August 2014, Klageerhebung 2020, Urteil Juli 2026: vierzehn Jahre und zehn Monate, sechs davon nur dafür, festzustellen, dass ein Gericht überhaupt hinsehen darf.

Das Gegenargument, in voller Stärke

Lord Leggatts Einwand ist grammatischer Natur: Menschen "can only act (or omit to act) where they are spatially located" (Rn. 198) — sie können nur dort handeln (oder es unterlassen), wo sie sich räumlich befinden; für die Handlungen des Operators gelte also, sie "all take place in Bahrain", sie fänden sämtlich in Bahrain statt, und was in London geschieht, ist deren Wirkung. Section 5 verlangt auch nicht, dass der Schaden hier eintritt (Rn. 219), sodass das einzige britische Element eine Maschine sein kann.

Dann der härteste Satz des Urteils, zu der Frage, ob je ein Staat einem abwesenden Agenten die Immunität für eine unerlaubte Handlung versagt hat: "there is a complete absence of any such practice. There is not even a single instance of it" (Rn. 315) — es fehle vollständig an einer solchen Praxis; es gebe davon nicht einen einzigen Fall. Die Mehrheit räumt es in Rn. 89 ein, und keine der Parteien konnte irgendwo eine entschiedene Sache benennen, die in die andere Richtung geht.

Lord Burrows zeigt, dass sich die Vorschrift im Einklang mit Artikel 11 lesen lässt, und macht dann das Zugeständnis, das das Sondervotum ehrlich statt bloß geschickt macht (Rn. 339): Liest man das Gesetz "divorced from its public international law context", losgelöst von seinem völkerrechtlichen Zusammenhang, so vermeidet man in der Tat, einen Agenten in London anders zu behandeln als dieselbe Überwachung von einer Tastatur im Ausland aus. "But… it is impermissible for this court, and would constitute an undermining of the rule of law, to adopt a statutory interpretation that contradicts public international law unless Parliament has enacted legislation that clearly requires that." Sinngemäß: Es sei diesem Gericht jedoch verwehrt und käme einer Aushöhlung der Rechtsstaatlichkeit gleich, eine Gesetzesauslegung zu wählen, die dem Völkerrecht widerspricht, sofern das Parlament nicht ein Gesetz erlassen hat, das dies eindeutig verlangt. Sein Rechtsbehelf ist ein Gesetzentwurf, nicht die Immunität.

Leggatt bringt auch den unbequemen Teil zu Papier: In Rn. 175 heißt es, Befugnisse, "target computer equipment abroad" — Computerausrüstung im Ausland ins Visier zu nehmen —, würden Großbritanniens eigenen Diensten durch die Teile 2 und 5 des Investigatory Powers Act 2016 verliehen. Liegt die Handlung dort, wo die Maschine steht, dann handelt GCHQ überall dort, wo seine Anordnungen landen. Doch man prüfe die Rechnung, bevor man das Symmetrie nennt: Nach den Gesetzen in ihrer erlassenen Fassung — Japan 2009, Spanien 2015, Russland 2015, China 2023 — könnte keines von ihnen die britische Regel spiegeln, ohne das eigene Recht zu ändern. Das Risiko liegt zu Großbritanniens Gunsten: eine unbequeme Eigenschaft für einen Grundsatz.

Dem allen steht, eng gefasst, eine Antwort entgegen. Die Abweichung war Gewohnheit, kein Versehen — Rn. 68 zählt fünf Stellen auf, an denen das Gesetz von seinen Vertragsvorbildern abweicht. Dieser Text behauptet nicht, dass die Mehrheit beim Völkergewohnheitsrecht recht hatte; das zu entscheiden, hat das Gericht abgelehnt. Er behauptet nur dies: Ein Anwesenheitserfordernis macht es nicht schwer, gegen einen Fernzugriff zu klagen, es macht ihn konstruktionsbedingt immun — jedes Implantat, für immer, in jeder Rechtsordnung, die es übernimmt. Kidane v Ethiopia (2017) — von diesem Gericht in Rn. 287–290 zusammengefasst und als "particularly close", besonders nah, an diesem Sachverhalt bezeichnet — zeigt, wie das aus Sicht des Betroffenen aussieht: Äthiopien schickte FinSpy per E-Mail auf den Computer eines Einwohners von Maryland, und das Erfordernis einer vollständigen unerlaubten Handlung auf US-Boden ließ ihm nichts. Burrows' eigener Einwand betrifft im Übrigen die Frage, wer die Regel fortschreibt, und er richtet sich an das Parlament und nicht an diese beiden Männer.

Was es eröffnet, und die Obergrenze

Großbritannien hat das in einem anderen Fall bereits bis zum Ende durchgespielt. Ghanem Al-Masarir, ein saudischer Satiriker in London, trug vor, Saudi-Arabien habe Pegasus auf zwei iPhones gebracht. Er klagte 2019 auf dieselbe Section 5 — anderer Kläger, anderer Staat, anderes Werkzeug —, die Immunität wurde 2022 verneint, und der Staat zog sich daraufhin zurück und ignorierte drei Kostenbeschlüsse. Am 26. Januar 2026 sprach Mr Justice Saini 3.025.662,83 £ zu und hielt fest, das Königreich "has made a deliberate decision not to participate" — es habe sich bewusst entschieden, sich nicht zu beteiligen —, und eine Vollstreckung andernorts "will be necessary." — sie werde erforderlich sein. Denn Section 13 desselben Gesetzes verriegelt den Ausgang: Das Vermögen eines Staates "shall not be subject to any process for the enforcement of a judgment" — es unterliegt keinem Verfahren zur Vollstreckung eines Urteils —, sofern er nicht schriftlich zustimmt oder das Vermögen gewerblich genutzt wird. Diese Zahl deckelt die Geschichte, statt sie zu eröffnen: Zuständigkeit ist noch keine Befriedigung. Man kann gewinnen, geglaubt und beziffert werden — und hält am Ende ein Blatt Papier.

Diese Obergrenze ist eine Konstruktionsentscheidung, und ein amerikanisches Gericht hat das ausdrücklich gesagt. Die Verfügung von Richterin Phyllis J. Hamilton in WhatsApp v. NSO Group wurde am 28. Januar 2026 vollstreckbar, als ein Senat des Ninth Circuit es ablehnte, sie auszusetzen. Man lese Ziffer 1: "notwithstanding anything herein, neither Defendants' foreign sovereign customers nor Defendants' outside counsel are Prohibited Parties." Sinngemäß: Ungeachtet aller anderen Bestimmungen sind weder die ausländischen souveränen Kunden der Beklagten noch deren externe Anwälte erfasste Parteien. Das Gericht wies die Kläger an, sie auszunehmen, weil sie "are not before the court … of course an injunction in this case cannot apply to them" — sie stehen nicht vor dem Gericht, und eine Verfügung in dieser Sache kann selbstverständlich nicht für sie gelten — und sie waren nie Parteien, weil sie, wie es in NSOs Schriftsätzen heißt, "cannot be sued due to their sovereign immunity." — wegen ihrer Staatenimmunität nicht verklagt werden könnten. Die folgenreichste Spähsoftware-Entscheidung der Vereinigten Staaten untersagt den Code des Verkäufers und kann konstruktionsbedingt die Regierungen nicht erreichen, die ihn gekauft und ausgerichtet haben. Der 27. Juli ist der erste Riss darin.

Was wir wissen, und was nicht

Gesichert: Section 5 kennt in Großbritannien seit dem 27. Juli 2026 kein Anwesenheitserfordernis. Nicht gesichert: ob Bahrain irgendetwas davon getan hat — eine Zuständigkeitsentscheidung auf unterstellter Tatsachengrundlage, nie untersuchte Geräte, kein angesetzter Termin zur Hauptsache. Ungeprüft: Section 5 verlangt Tod, Körperverletzung oder Beschädigung körperlicher Sachen, und Al-Masarir hatte teilweise wegen trespass to goods Erfolg; ob eine Klage also für jemanden trägt, der überwacht, aber nicht krank gemacht wurde, ist gegen einen Staat, der zur Verteidigung erscheint, noch nie verhandelt worden. Als Negativbefund unserer eigenen Recherche: Mit Stand 5. August 2026 erscheint auf Find Case Law keine Vollstreckungsentscheidung, und wir konnten nicht feststellen, dass von den 3,03 Mio. £ irgendetwas beigetrieben wurde. Man beachte auch die Fragilität — drei englische Klagen, eine Anwaltskanzlei, weitgehend dieselben Prozessbevollmächtigten. Eine bahrainische Reaktion haben wir nicht gefunden.

Was sich konkret tun lässt

Bewahren Sie ein verdächtiges Gerät auf, statt es zu löschen, und heben Sie verdächtige Nachrichten samt intakter Header auf. Lassen Sie jeden Schaden früh ärztlich dokumentieren — die Verletzung ist der zuständigkeitsbegründende Anknüpfungspunkt und zugleich das Element, das am schnellsten verfällt. Schicken Sie Proben an das Citizen Lab oder an Amnestys Security Lab, deren Analysen Gerichte anerkannt haben, und schalten Sie Androids Advanced Protection oder den Lockdown-Modus von iOS ein, bevor Sie sie brauchen. Der Hebel ist schmal: Burrows sagt, das solle das Parlament entscheiden, Großbritannien hat keinen Gesetzentwurf, und Section 13 gilt, bis jemand sie ändert — womit die Vollstreckungslücke eine gesetzgeberische Entscheidung ist und kein Naturgesetz.

Das Vertrauen, das Sie nicht aufbringen müssen

Rechtsbehelfe folgen der Zuordnung, und Zuordnung ist Infrastruktur: Sandboxes, Sample-Archive, veröffentlichte Indikatoren, Forscher, die ohne Erlaubnis einer Regierung arbeiten und denen niemand befehlen kann aufzuhören. Auch deshalb funktionierte es vor Gericht — Beweismittel, deren Rücknahme keiner einzelnen Partei aufgegeben werden konnte. Die behauptete Überwachung erzeugte kein Symptom. Der Schaden begann erst, als die forensische Arbeit anderer diesen beiden Männern sagte, was seit 2011 auf ihren Laptops gewesen war. Kein Staatsanwalt hat es gefunden. Keine Plattform hat es ihnen gesagt.

Die Grenze, unverblümt: Nichts davon hätte FinSpy 2011 aufgehalten, und ein Urteil ist nur so viel wert, wie ein Souverän zu zahlen bereit ist. Aber die Abfolge ist aktenkundig. Unabhängige Forensik machte den Schaden lesbar; die Lesbarkeit machte die unerlaubte Handlung vertretbar; und die Argumentation nahm, vierzehn Jahre und zehn Monate später, die Immunität weg.

Quellen (6 Belege)

Quellen

  • The Kingdom of Bahrain (Appellant) v Shehabi and another (Respondents) [2026] UKSC 25 — Urteil und Pressezusammenfassung, 27. Juli 2026; Az. UKSC/2024/0152, verhandelt am 26.–27. November 2025 (supremecourt.uk). Mehrheit Lord Lloyd-Jones, Lord Hamblen, Lady Simler; Sondervoten Lord Leggatt und Lord Burrows. Zitate in Rn. 68, 74, 79, 89, 131, 175, 198, 219, 287–290, 315, 339. Prozessbevollmächtigte: Tom Hickman KC (Volterra Fietta) für Bahrain; Timothy Otty KC, Ben Silverstone und Philippa Webb (Leigh Day) für die Rechtsmittelgegner.
  • State Immunity Act 1978, ss. 1, 5, 13, 16(2) (legislation.gov.uk); European Convention on State Immunity Art. 11; UN Convention on Jurisdictional Immunities 2004 Art. 12 — zitiert nach [2026] UKSC 25 Rn. 22–25.
  • Vorinstanzen: [2023] EWHC 89 (KB) (Julian Knowles J, 8. Feb. 2023) und [2024] EWCA Civ 1158; [2025] KB 490 (Carr LCJ, Males und Warby LJJ, 4. Okt. 2024) — caselaw.nationalarchives.gov.uk.
  • El-Khouri v Government of the United States of America [2025] UKSC 3.
  • Al-Masarir v Kingdom of Saudi Arabia [2022] EWHC 2199 (QB); [2023] QB 475; sowie [2026] EWHC 119 (KB) (Saini J, 26. Jan. 2026; 3.025.662,83 £; "deliberate decision not to participate").
  • Rukundo and Uwamahoro v Republic of Rwanda [2025] EWHC 1675 (KB) (Master Dagnall, 16. Apr. 2025).
  • Kidane v Federal Democratic Republic of Ethiopia, 851 F 3d 7 (D.C. Cir., 14. März 2017), zusammengefasst in [2026] UKSC 25 Rn. 287–290.
  • WhatsApp Inc. v. NSO Group Technologies Ltd., N.D. Cal. 4:19-cv-07123-PJH (Richterin Phyllis J. Hamilton): Dkt. 802 (17. Okt. 2025, "cannot apply to them" auf S. 14); Dkt. 809 ¶ 1 (die Ausnahme für ausländische souveräne Kunden); Ninth Circuit Nr. 25-7380, Aussetzung abgelehnt am 28. Jan. 2026.
  • Citizen Lab, "From Bahrain With Love: FinFisher's Spy Kit Exposed?", Marquis-Boire und Marczak, 25. Juli 2012 (Steuerungsserver 77.69.140.194, Adressbereich von Batelco).
  • Investigatory Powers Act 2016, Teile 2 und 5 (legislation.gov.uk).
  • Aussagen der Kläger: Index on Censorship, "No more hiding behind borders, Bahrain told," Jemimah Steinfeld, 31. Juli 2026. Die Angaben zu den Prozessbevollmächtigten wurden über eine Fallnotiz von Blackstone Chambers vom 28. Juli 2026 bestätigt.

Further Discussion

Es gibt davon nicht einen einzigen Fall

**Position.** Man nehme den Einwand gegen diese Entscheidung in voller Stärke, denn er ist stark und er kommt aus dem Gericht selbst. Am 27. Juli entschieden drei Richter, dass ein Staat, dessen Spähsoftware auf einem Computer in Großbritannien landet, dort seine Immunität verliert — und die beiden, die abweichend votierten, sagen, damit verstoße das Vereinigte Königreich gegen das Völkerrecht. Lord Leggatts Einwand ist nicht sentimental, er ist empirisch: Zu der Frage, ob irgendein Staat irgendwo je die Immunität für eine unerlaubte Handlung eines nie anwesenden Agenten versagt hat, gilt: "there is a complete absence of any such practice. **There is not even a single instance of it**" (Rn. 315) — es fehle vollständig an einer solchen Praxis, **es gebe davon nicht einen einzigen Fall**. Die Mehrheit bestreitet das nicht. Sie räumt es in Rn. 89 ein, und keine der Parteien konnte eine entschiedene Sache benennen, die in die andere Richtung geht. Dann sehe man, was die Mehrheit mit einem Gesetz gemacht hat, das geschrieben wurde, damit Großbritannien einen Vertrag ratifizieren konnte: Sie las Section 5 **weiter als den Vertrag, und zwar bewusst** — "the departure from the treaty scheme is deliberate. In our view, this is determinative of the appeal" (Rn. 74), die Abweichung vom Vertragsschema sei bewusst erfolgt und dafür ausschlaggebend — und **lehnte es dann ab zu entscheiden**, ob das Völkergewohnheitsrecht dieses Ergebnis zulässt, gestützt auf "a reasonable basis", eine vertretbare Grundlage, für das, was das Parlament getan hat (Rn. 79). Gerichte legen vertragsumsetzende Gesetze gerade deshalb eng aus, um den Staat aus Schwierigkeiten herauszuhalten. Dieses tat das Gegenteil und prüfte nicht, ob es das durfte. Und alle anderen ziehen die Linie andersherum: *Kidane v Ethiopia* (2017) kam bei einem Sachverhalt, den dieses Gericht selbst als "particularly close", besonders nah, bezeichnete, zum gegenteiligen Ergebnis, und nach den Gesetzen in ihrer erlassenen Fassung — Japan 2009, Spanien 2015, Russland 2015, China 2023 — behält jedes einzelne das Anwesenheitserfordernis bei. Schlimmer noch: Leggatt stellt in Rn. 219 fest, dass Section 5 auch nicht verlangt, dass der *Schaden* in Großbritannien eintritt, sodass weder Operator noch Opfer je hier sein müssen: Das einzige britische Element kann eine Maschine sein. Lord Burrows benennt den verfassungsrechtlichen Punkt unverblümt, und er verteidigt nicht Bahrain — er hält die moderne Lesart durchaus für möglicherweise richtig, und genau deshalb sollte **das Parlament** und nicht ein Gericht sie übernehmen, weil ein anderes Vorgehen "would constitute an undermining of the rule of law" (Rn. 339) — einer Aushöhlung der Rechtsstaatlichkeit gleichkäme. Eine derart folgenreiche Regel, erfunden mit drei zu zwei Stimmen auf einem Fundament, das die Mehrheit nicht prüfen wollte, ist eine harte Regel auf weichem Fundament. **Überschriftenvorschläge.** - Es gibt davon nicht einen einzigen Fall - Drei Richter, kein Präzedenzfall, eine neue Regel des Völkerrechts - Das Gericht las das Gesetz weiter als seinen Vertrag — mit Absicht - Eine harte Regel auf weichem Fundament **Kicker.** Drei zu zwei Stimmen, für eine Lesart, von der die Mehrheit einräumt, dass sie bewusst vom Vertrag abweicht — und dann lehnte sie es ab zu entscheiden, ob das Völkerrecht sie zulässt. Kein Staat hat das je getan; nicht ein einziger Fall, in den Worten des Sondervotums, die die Mehrheit übernimmt. Großbritanniens eigenen Diensten sagt ein Gesetz, sie dürften Computer im Ausland ins Visier nehmen. Burrows stimmt sogar zu, dass die Regel richtig sein mag: Er sagt nur, das Parlament und nicht fünf Richter solle sie schreiben.

Ein Anwesenheitserfordernis lässt die unerlaubte Handlung verschwinden

**Position.** Nun lese man die Alternative daraufhin, was sie tatsächlich bewirkt. Ein Anwesenheitserfordernis macht es nicht *schwer*, einen Staat wegen eines Fernzugriffs zu verklagen. Es macht ihn **konstruktionsbedingt immun** — jedes Implantat, für immer, in jeder Rechtsordnung, die es übernimmt —, denn die gesamte Bauweise des Werkzeugs besteht darin, dass niemand reisen muss. Und das ist kein Gedankenexperiment: Es hat ein dokumentiertes Opfer. In *Kidane v Ethiopia* schickte Äthiopien FinSpy per E-Mail auf einen Computer in Maryland, und das Erfordernis des Foreign Sovereign Immunities Act, dass die **gesamte unerlaubte Handlung** auf US-Boden stattfindet, ließ dem Mann nichts. Gleiches Werkzeug, gleicher Zustellweg, gegenteiliges Ergebnis. Für das Sondervotum zu optieren, heißt für eine Welt zu optieren, in der kein Fernimplantat je gegen den Staat einklagbar ist, der es geschickt hat, nirgends und nie. Rechtlich war die Abweichung vom Vertrag Programm und kein Versehen: Rn. 68 benennt **fünf** Vorschriften, in denen das Gesetz von 1978 in Reichweite oder Anknüpfungspunkt von seinem Konventionspendant abweicht, und Bahrains eigene Prozessbevollmächtigte räumten ein, dass die Abweichung gewollt war. Und man beachte genau, was das Sondervotum einräumt — Lord Burrows gibt zu, dass das Gesetz, als lebendes Instrument gelesen, wahrscheinlich das bedeutet, was die Mehrheit sagt (Rn. 339). Der Streit geht darum, *welche Institution die Regel fortschreibt*, nicht darum, wie die Regel lauten sollte. Das ist ein an das Parlament gerichtetes Argument, und Großbritannien hat keinen Gesetzentwurf; es ist kein Grund, weshalb diese beiden Männer verlieren sollten. Dann die Zahl, die die Sache beenden sollte: **vierzehn Jahre und zehn Monate** von der behaupteten Infektion bis zu einer Entscheidung, dass ein Gericht überhaupt nur *hinsehen* darf — September 2011 bis 27. Juli 2026 —, sechs dieser Jahre allein für die Zuständigkeit. Und dass es überhaupt je ein Verfahren gab, liegt einzig daran, dass ein Universitätslabor am 25. Juli 2012 eine Steuerungsserver-Adresse veröffentlichte, **77.69.140.194**, und dass sie acht Jahre später in den Schriftsätzen wieder auftauchte. Nach der Regel des Sondervotums endet all das im Jahr null. Man sei auch ehrlich hinsichtlich der Obergrenze: Ein anderes britisches Gericht hat eine Klage dieser Art bereits mit **3.025.662,83 £** beziffert, und Section 13 stellt Staatsvermögen von der Vollstreckung frei, während eine amerikanische Verfügung NSOs "**foreign sovereign customers**", die **ausländischen souveränen Kunden**, ausdrücklich ausnimmt, weil sie "cannot be sued due to their sovereign immunity." — wegen ihrer Staatenimmunität nicht verklagt werden könnten. So sieht der gesamte zivilrechtliche Weg aus — und der 27. Juli ist der erste Riss darin. **Überschriftenvorschläge.** - Ein Anwesenheitserfordernis lässt die unerlaubte Handlung verschwinden - Vierzehn Jahre und zehn Monate, um fragen zu dürfen - Die Käufer stehen in der Ausnahmeklausel - Gleiches Werkzeug, gleicher Zustellweg, gegenteiliges Ergebnis **Kicker.** Die Regel des Sondervotums hat ein Opfer mit Namen: Äthiopien schickte Spähsoftware per E-Mail nach Maryland, und die Doktrin der "entire tort", der vollständigen unerlaubten Handlung, gab ihm nichts. Section 5 ließ die Anwesenheitsvoraussetzung gleich fünffach fallen — Programm, kein Versehen — und Burrows räumt ein, dass die moderne Lesart wahrscheinlich richtig ist, nur eben nicht Sache eines Gerichts. Vierzehn Jahre und zehn Monate, sechs davon dafür, zu beweisen, dass ein Gericht hinsehen darf, und es geschah nur, weil ein Labor eine IP-Adresse veröffentlichte. Die Zuordnung war es, die den Schaden lesbar machte. Die Lesbarkeit machte die unerlaubte Handlung vertretbar.

Comics

#1Es gibt davon nicht einen einzigen Fall
#2Ein Anwesenheitserfordernis lässt die unerlaubte Handlung verschwinden