Zwingt britisches Recht deinen VPN zum Speichern von Browser-Logs?

„Sitz im Vereinigten Königreich, also müssen sie alles speichern“ ist eine gängige Kurzformel, und sie versteht den Mechanismus falsch. Teil 4 des Investigatory Powers Act funktioniert über Aufbewahrungsanordnungen, die Telekommunikationsbetreibern zugestellt werden, und der Verhaltenskodex des Innenministeriums für dieses Regime stellt die Lage klar: Ein Betreiber ist nicht verpflichtet, Verkehrsdaten zu speichern, solange ihm keine Anordnung zugestellt wurde. Ob dein Anbieter eine hat, ist eine Tatsache über diesen Anbieter, nicht über das Land in seiner Fußzeile.

Dieser eine Satz stellt auch die Frage neu. Statt zu fragen, was britisches Recht allgemein verlangt, frage: welcher Betreiber, welche Datenkategorie und welches Instrument. Diese drei Antworten entscheiden fast alles Weitere. Alles davor ist ein Slogan.

Eine Anordnung wird zugestellt, nicht unterstellt

Nach dem Rahmen, den der Kodex beschreibt, stellt der Staatssekretär eine Aufbewahrungsanordnung zu, und der Kodex legt dar, wie Erforderlichkeit und Verhältnismäßigkeit zusammen mit der Zustimmung eines Justizkommissars geprüft werden. Die Anordnung kann die Daten, die Dienste und die Aufbewahrungsmodalitäten benennen, die sie umfasst. Sie ist ein Instrument mit einem Geltungsbereich, keine Hintergrundpflicht, die an einer Geschäftskategorie klebt.

Eine öffentliche Erklärung eines Anbieters, keine Anordnung erhalten zu haben, ist daher eine aussagekräftige Behauptung, und Schweigen eines Anbieters ist in keine Richtung ein Beweis. Der Kodex beschränkt zudem die Offenlegung, dass eine Anordnung existiert oder was sie enthält, was bedeutet, dass ein gut informierter Betreiber dir möglicherweise nicht die saubere Antwort geben kann, die du willst. Diese Beschränkung ist kein Schlupfloch; sie gehört zum Design des Regimes. Wäge die Antwort entsprechend.

Lies die Erklärung für das, was sie ist. Ein veröffentlichter Transparenzbericht über erhaltene Anfragen ist ein anderes Dokument als eine Aufbewahrungsanordnung, und keines von beiden ist ein vollständiges Verzeichnis der Daten, die ein Unternehmen für eigene Zwecke hält.

Was als Telekommunikationsbetreiber gilt

Der Kodex behandelt den Begriff weit und faktenabhängig und nimmt nicht jeden Overlay-Dienst aus, der zufällig über das Netz eines anderen läuft. Ein Abonnement zu berechnen entscheidet die Einordnung nicht, und alles in einem anderen Land zu hosten auch nicht. Das ist eine Frage der Verbindungen des Dienstes zum Vereinigten Königreich und sollte von jemandem beurteilt werden, der dafür qualifiziert ist.

Was du ohne juristische Ausbildung tun kannst, ist, aufzuhören, eine Marketingphrase als Spezifikation zu behandeln. „Keine Logs“ beschreibt eine Richtlinie. Sie beschreibt keine gesetzliche Position, und beides kann gleichzeitig für einen Anbieter gelten, der nichts freiwillig speichert und nichts zwangsweise erhalten hat.

Metadaten sind nicht der Inhalt einer Nachricht

Das Anordnungsregime betrifft Verkehrsdaten, also wer, wann und wie, nicht was gesagt wurde. Inhalte fallen unter ganz andere Befugnisse, mit anderer Genehmigung. Beides unter „vollständige Logs“ zu werfen, erzeugt Streit, der nicht lösbar ist, weil die beiden Kategorien getrennte rechtliche Wege und oft getrennte Aufbewahrungsfristen haben.

Diese Unterscheidung ist auch die praktische bei einem VPN. Ein Anbieter kann fast nichts darüber speichern, was du gesendet hast, und trotzdem Kontodaten, Zahlungsdetails, Verbindungszeitstempel oder Support-Nachrichten halten. Das sind gewöhnliche Geschäftsunterlagen, geregelt durch die eigene Richtlinie des Anbieters und durch Datenschutzrecht, nicht durch eine Aufbewahrungsanordnung.

Deshalb kann eine Aussage über eine Anordnung keine Frage zu Kontodaten beantworten. Zwei verschiedene Instrumente, zwei verschiedene Sätze von Grenzen.

Führe zwei Aufzeichnungen, weil es zwei Fragen gibt

Für den Alltag: Notiere die Kategorien, die dein Anbieter nach eigener Aussage verarbeitet, den Zweck, wer darauf zugreifen kann und wie lange sie bestehen. Nimm die unglamourösen mit auf: Abrechnungsdaten, Support-Tickets, Betrugssignale, Absturzberichte. Eine Aussage über Tunnelverkehr sollte den Rest nicht ersetzen dürfen.

Bei einer förmlichen Aufforderung: Bewahre das Dokument auf und leite es an die Stelle weiter, die rechtliche Verfahren bearbeitet, mit dem Datum des Eingangs. Frage, welche Gesellschaft und welcher Dienst genannt werden, welche Handlung verlangt wird, welche Fristen gelten und welche Überprüfung oder Beschwerde möglich ist. Prüfe die Vertraulichkeitsbedingungen, bevor du irgendjemandes Fragen dazu beantwortest, auch die eines Journalisten.

Diese beiden Aufzeichnungen beantworten verschiedene Zielgruppen. Die eine sagt einem Nutzer, was zu erwarten ist; die andere sagt einem Anwalt, was diese Woche zu tun ist.

Wie man zwei Anbieter vergleicht, ohne sich selbst zu täuschen

Verlange eine präzise öffentliche Richtlinie mit Geltungsbereich, Datum und einer Beschreibung der Kategorien, die sie abdeckt. Prüfe dann, ob die Richtlinie Inhalt von Metadaten unterscheidet, freiwillige Aufbewahrung von erzwungener und das Betreiberunternehmen von seiner Muttergesellschaft. Vage Zusicherungen überstehen die Prüfung gerade deshalb, weil sie nie eine Kategorie nennen.

Behandle fehlende Informationen als fehlend und nicht als günstig. Die Offenlegungsbeschränkungen des Regimes bedeuten, dass „wir haben nichts erhalten“ und „das können wir nicht sagen“ von außen identisch aussehen können, und ein Vergleich, der Schweigen als Sieg wertet, misst deinen eigenen Optimismus.

Der Verhaltenskodex des Innenministeriums für das Regime der Anordnungen ist das Dokument, das du lesen solltest, bevor du irgendeine Behauptung darüber wiederholst, was Teil 4 verlangt. Er ist länger als ein Blogbeitrag und erheblich sorgfältiger.