Gesetzentwurf für rechtmäßigen Zugang könnte zum Rückzug aus Kanada führen, sagt großer VPN-Anbieter

Der Anbieter für virtuelle private Netzwerke, NordVPN, warnte am Freitag, dass er sich aufgrund des geplanten Gesetzes für rechtmäßigen Zugang der Bundesregierung aus Kanada zurückziehen könnte.

In einem Beitrag in den sozialen Medien erklärte NordVPN, dass das Gesetz derzeit geprüft werde und das Unternehmen Kanada verlassen würde, falls es gezwungen wäre, seine Datenschutzmaßnahmen zu kompromittieren.

Die Firma betonte, dass falls das Gesetz C-22 verabschiedet werde und ihnen verpflichtende Auflagen auferlegt würden, es keine Möglichkeit gebe, die No-Logs-Architektur oder die Verschlüsselungsschutzmaßnahmen aufzugeben.

„Um dies zu verhindern, werden wir alle realistischen Optionen in Betracht ziehen, einschließlich einer Beschränkung oder, falls notwendig, der vollständigen Einstellung unserer Aktivitäten innerhalb der kanadischen Gerichtsbarkeit“, hieß es in einem Beitrag auf X.

Ein Unternehmenssprecher erklärte, dass die Entwicklung des Gesetzes aufmerksam verfolgt wird. Derzeit wird das Gesetz C-22 von einem parlamentarischen Ausschuss geprüft.

„NordVPN basiert auf dem Prinzip der Sicherheit und des Schutzes der Nutzer, und wir sind der Ansicht, dass gesetzliche Regelungen Anbieter nicht dazu zwingen sollten, Verschlüsselungen zu schwächen oder den Schutz, auf den sich Nutzer verlassen, zu beeinträchtigen“, so der Sprecher.

Anfang der Woche berichtete The Globe and Mail, dass auch der verschlüsselte Nachrichtendienst Signal Kanada verlassen würde, falls das Gesetz den Schutz der Nutzerprivatsphäre gefährden sollte.

Der konservative Abgeordnete Jacob Mantle schrieb am Freitag auf X, dass Abgeordnete auf diesen Dienst angewiesen seien.

„Jeder Parlamentsabgeordnete im Land nutzt Signal, gerade weil man dort von einer sicheren (vertraulichen) Kommunikation ausgeht. Niemand möchte, dass Gary seine Nachrichten liest“, erklärte er.

Ein Sprecher von Sicherheitsminister Gary Anandasangaree erklärte in einer Stellungnahme, die Regierung wolle „Signal und allen Dienstanbietern versichern, dass sie nicht dazu verpflichtet werden, Überwachungsmöglichkeiten einzubauen, und jegliche gegenteilige Behauptungen seien falsch.“

Simon Lafortune betonte, dass die Regierung „die Behauptungen, das Gesetz C-22 ermögliche die Überwachung von Kanadiern über Alltagsgeräte wie Autos, Heimkameras oder Smart-TVs oder verlange, dass Unternehmen sogenannte ‚Backdoors‘ in ihre Produkte einbauen, um Regierungszugriff auf Kundendaten zu ermöglichen, kategorisch zurückweist.“

Er fügte hinzu, dass Behörden weiterhin eine rechtliche Genehmigung, etwa durch einen Gerichtsbeschluss, benötigen, um Daten zu erhalten.

Der kanadische VPN-Anbieter Windscribe kündigte am Donnerstag ebenfalls an, das Land zu verlassen, falls das Gesetz verabschiedet wird.

„Signal hat seinen Hauptsitz nicht in Kanada und könnte einfach die kanadischen Server abschalten, wir jedoch schon“, erklärte das Unternehmen auf X.

„Wir zahlen enorme Steuern an diese korrupte Regierung, doch im Gegenzug will sie das Herzstück unseres Services zerstören, um ihre Bürger auszuspähen. Das wird nicht passieren. Wir verlegen unseren Hauptsitz und zahlen unsere Steuern anderswo.“

Die Warnungen von Signal reihten sich ein in ähnliche Bedenken großer Tech-Firmen wie Apple und Meta, die das Gesetz als Bedrohung für ihre Verschlüsselungsdienste ansehen.

Letzte Woche kritisierten auch Mitglieder des US-Kongresses den Gesetzesentwurf. Die Vorsitzenden der Justiz- und Außenpolitikausschüsse schrieben in einem gemeinsamen Brief an Anandasangaree, dass das Gesetz „Kanadas Überwachungs- und Datenzugriffsrechte drastisch ausweiten und dadurch erhebliche grenzüberschreitende Risiken für die Sicherheit und den Datenschutz von US-Bürgern schaffen würde.“

Sie warnten, dass es kanadischen Regierungsstellen erlauben würde, amerikanische Unternehmen zu verpflichten, Hintertüren in ihre verschlüsselten Systeme einzubauen, was systemische Schwachstellen schaffen könnte, die von Hackern, ausländischen Gegnern und Cyberkriminellen ausgenutzt werden könnten.

Der Sprecher des Sicherheitsministers erklärte, dass der Brief auf einem Missverständnis darüber beruhe, wie das Gesetz tatsächlich funktionieren würde.

Das Gesetz C-22 stößt zudem auf starken Widerstand von Bürgerrechtsgruppen und Rechtswissenschaftlern, die befürchten, dass es zu gravierenden Eingriffen in die Privatsphäre führen könnte.

Die Regierung betont, dass das Gesetz sicherstellen soll, dass Strafverfolgungsbehörden über die rechtlichen Mittel verfügen, um moderne Kriminalität zu verhindern, zu untersuchen und darauf zu reagieren – und zwar im Einklang mit der Verfassung.

Nach dem Gesetz könnten Behörden von Telekommunikationsanbietern wie Bell oder Rogers verlangen, Auskunft darüber zu geben, ob sie einen bestimmten Nutzer oder eine Zielperson betreuen – eine Maßnahme, die Ermittlungen beschleunigen soll.

Zudem müssten elektronische Dienstleister technische Voraussetzungen schaffen und aufrechterhalten, damit Polizei und der kanadische Nachrichtendienst CSIS effektiv Kommunikationsinhalte und Informationen für Ermittlungen erhalten können.

Für bestimmte Kernanbieter – voraussichtlich große Telekommunikations- und Satellitenunternehmen – gäbe es verpflichtende Anforderungen, bestimmte technische Fähigkeiten vorzuhalten. Darüber hinaus könnte der Sicherheitsminister per Erlass von Anbietern verlangen, eine bestimmte Fähigkeit zu entwickeln, selbst wenn sie keine Kernanbieter sind. Das Gesetz würde es den Anbietern untersagen, das Vorhandensein oder den Inhalt eines solchen Ministererlasses zu offenbaren.

Meta erklärte, dies könne Unternehmen zwingen, Fähigkeiten zu entwickeln oder aufrechtzuerhalten, die Verschlüsselungen schwächen oder aufbrechen, und Anbieter verpflichten, Regierungs-Spyware direkt in ihre Systeme zu installieren. Apple, Hersteller des iPhones, warnte, das Gesetz könnte die Regierung befähigen, Unternehmen zu zwingen, Verschlüsselungen durch Hintertüren zu umgehen – „etwas, das Apple niemals tun wird“.

Das Gesetz würde auch Regelungen erlauben, die Dienstanbieter verpflichten, Metadaten – digitale Spuren einer Kommunikation, jedoch nicht den eigentlichen Inhalt von E-Mails oder Nachrichten – bis zu einem Jahr aufzubewahren.