Razzia bei Mullvad: Die Polizei, die mit leeren Händen ging

Als die Polizei bei Mullvad anklopfte und mit leeren Händen abzog

Am Dienstag, den 18. April 2023, trafen mindestens sechs Beamte der schwedischen Nationalen Einsatzabteilung (NOA) mit Durchsuchungsbeschluss im Göteborger Büro von Mullvad VPN ein. Zwei Tage später veröffentlichte das Unternehmen einen kurzen Blogpost, der bestätigte, was geschehen war. Und die eigentliche Schlagzeile dieses Posts war nicht, dass die Razzia stattgefunden hatte, sondern dass die Beamten ohne Ausrüstung, ohne Logs, ohne Kontodaten und ohne jede Möglichkeit abgezogen waren, den gesuchten Kunden zu identifizieren. Für eine Branche, deren Marketing mit dem Versprechen „No-Logs" überschwemmt ist, war dies das erste Mal in der EU, dass einer der lautesten Verfechter dieses Anspruchs gezwungen wurde, ihn unter rechtmäßigem Durchsuchungsbeschluss zu beweisen.

Der Rückblick lohnt sich, weil das Ergebnis nicht bloß rhetorischer Natur war. Es war strukturell.

Was sich zwischen dem 18. und 20. April tatsächlich zugetragen hat

Die Chronologie, zusammengesetzt aus Mullvads eigener Darstellung sowie Folgeberichten von The Register und Bleeping Computer, ist überschaubar. Die NOA-Beamten trafen am Morgen des 18. am Göteborger Hauptsitz ein. Laut Mullvad autorisierte der Beschluss die Beschlagnahme von „Computern mit Kundendaten", die mit einem bestimmten Verdächtigen in Verbindung standen. Eine spätere Zusammenfassung bei Wikipedia, die auf schwedische Presseberichte zurückgreift, verknüpft die zugrundeliegende Untersuchung mit einem Erpressungsfall, der auf einer deutschen Strafverfolgungsanfrage beruhte; Mullvad selbst bestätigte weder die Ursprungsjurisdiktion noch die Art des angeblichen Delikts.

Was folgte, war nach Mullvads eigenen Worten vom 20. April eher eine Verhandlung denn eine Beschlagnahmung. „Wir legten dar, dass sie keinen Grund hatten zu erwarten, das Gesuchte zu finden, und dass jede Beschlagnahmung daher nach schwedischem Recht illegal wäre", schrieb das Unternehmen unter Berufung auf eine Verfahrensregel von 1942, die schwedischen Behörden verbietet, Eigentum mitzunehmen, wenn die berechtigte Erwartung, Beweise zu finden, bereits widerlegt ist. Die anwesenden Mitarbeiter führten die Beamten anschließend durch die Dienstartitektur. „Nachdem wir demonstriert hatten, dass unser Dienst tatsächlich so funktioniert, und nach Rücksprache mit dem Staatsanwalt verließen sie ohne etwas mitzunehmen und ohne Kundeninformationen", heißt es im Post weiter. Der Blog fügt einen Satz hinzu, den man zweimal lesen sollte: „Hätten sie etwas mitgenommen, hätte ihnen das keinen Zugang zu Kundeninformationen verschafft." Der Kern, den Mullvad damit herausstellt, ist, dass die Beschlagnahmefrage von vornherein gegenstandslos war.

Bis zum 20. April war der Post unter mullvad.net/en/blog/2023/4/20/mullvad-vpn-was-subject-to-a-search-warrant-customer-data-not-compromised online, und innerhalb von 48 Stunden hatten ihn Bleeping Computer, The Register, TorrentFreak und weite Teile der Privacy-Presse aufgegriffen.

Warum es nichts zu holen gab

Die architektonischen Entscheidungen, die seit der Unternehmensgründung 2009 durch Daniel Berntsson und Fredrik Strömberg schrittweise getroffen wurden, ließen den Beschluss bei Kontakt zusammenbrechen. Vier Entscheidungen im Besonderen leisteten an diesem Tag die entscheidende Arbeit:

• Für die Kontoerstellung genügt eine zufällig generierte sechzehnstellige Kontonummer. Es gibt keinen Benutzernamen, keine E-Mail-Adresse, keine Sicherheitsfrage, keine Telefonnummer, keinen Wiederherstellungskanal. Wer die Nummer verliert, verliert das Konto; das ist der Preis dafür, nichts vorladen zu können.
• Zahlungen sind in Monero, in Bitcoin, in bar per Post in einem einfachen Umschlag oder auf konventionellem Weg möglich, doch keines dieser Zahlungsinstrumente ist nach der Gutschrift auf abfragbare Weise mit der Kontonummer verknüpft. Ermittler, die einer Kartenabrechnung folgen, gelangen daher nicht zu einer Person.
• Seit 2019 laufen die VPN-Endpunkte ausschließlich im RAM. Die Server booten von einem sauberen Image, halten keinen persistenten Zustand auf der Festplatte und verlieren beim Stromzyklus alle Daten. Ein beschlagnahmtes Gehäuse aus einem Rechenzentrum würde keine historischen Sitzungsdaten liefern, selbst wenn es vor Ort geklont würde.
• Das Unternehmen ließ Clients und Backend unabhängig prüfen, angefangen mit dem Cure53-Penetrationstest im September 2018, gefolgt von der Arbeit von Assured AB 2020 und weiteren Runden, sodass die Architekturbehauptungen von Parteien ohne kommerzielles Interesse an ihrer Schönfärberei geprüft wurden.

Das sind keine Marketing-Slogans, die einer Datenschutzerklärung angehängt wurden. Sie sind Entscheidungen, die das Produkt einengen. Ein Kunde mit vergessener Kontonummer ist ein verlorener Kunde. Eine Barzahlung per Post ist operationell mühsam abzurechnen. RAM-only-Flotten sind teurer im Betrieb als festplattenbasierte. Die Architektur ist kostspielig, und genau diese Kostspieligkeit macht den No-Logs-Anspruch tragfähig statt bloß aspirativ.

Im selben retrospektiven Rahmen ist erwähnenswert, dass Mullvad einen Monat nach der Razzia ankündigte, Port Forwarding mit Wirkung zum 1. Juli 2023 komplett einzustellen. Das Unternehmen begründete dies mit Missbrauch der Funktion durch eine kleine Nutzergruppe und dem resultierenden Druck von Upstream-Hosting-Providern, doch das Timing ließ den Zusammenhang zum April-Vorfall unübersehbar werden.

Der Kontrast zu ProtonVPN, 2021

Datenschützer verglichen das Göteborger Ergebnis schnell mit einem Vorfall aus dem Jahr 2021, der ProtonMail und den zugehörigen VPN-Dienst mit Sitz in der Schweiz betraf. In jenem Fall zwang ein schweizerischer Gerichtsbeschluss auf Ersuchen französischer Behörden, die einen mit der Youth-for-Climate-Bewegung in Verbindung gebrachten Klimaaktivisten untersuchten, Proton zur Protokollierung der vom Zielkonto genutzten IP-Adresse. Proton kam dem nach, denn das Schweizer Recht erlaubt genau diese Art von Zwang, sobald ein Gerichtsbeschluss vorliegt, und weil die Architektur dem Unternehmen Spielraum ließ, bei Anordnung zu gehorchen.

Der aufschlussreiche Unterschied ist nicht, dass das eine Unternehmen tugendhaft und das andere nicht wäre. Proton ist nach den meisten Maßstäben ein seriöser Betreiber. Der Unterschied liegt darin, dass Protons Datenschutzpostur auf einem rechtlichen Versprechen beruht, das in einer Jurisdiktion gemacht wurde, die dieses Versprechen überstimmen kann, während Mullvads Postur auf einem System beruht, das die Daten nicht produzieren kann, selbst wenn das Unternehmen es aufrichtig wollte. Das eine Modell ist No-Logs durch Richtlinie. Das andere ist No-Logs durch Design. Die Razzia im April 2023 war der erste europäische Stresstest, der diesen Unterschied öffentlich sichtbar machte.

Was sich für „No-Logs" als Kategorie ändert

Hunderte VPNs werben mit Zero-Logging. Eine verschwindend kleine Zahl wurde je in die Lage versetzt, es zu beweisen. Private Internet Access kam 2016 auf die Liste, als eine FBI-Vorladung in der Preff-Cummings-Hoax-Untersuchung nichts Verwertbares zurückbrachte. ExpressVPN folgte 2017, als türkische Ermittler, die den Mord an dem russischen Botschafter in Ankara untersuchten, einen Server beschlagnahmten und keine relevanten Logs fanden. Mullvads Ergebnis vom April 2023 reiht es in diese kurze Liste ein, und zwar unter einem Beschluss, der persönlich vollstreckt wurde statt auf Papier zugestellt.

Diese Unterscheidung wiegt schwer. Eine Vorladung, die an einen US-amerikanischen Unternehmensjuristen zugestellt wird, ist eine Art Test. Sechs Beamte einer nationalen Polizeibehörde, die mit gesetzlicher Befugnis, Hardware mitzunehmen, in einem Göteborger Büro eintreffen, sind eine andere. Dass die Architektur dem zweiten Fall standhielt, vor einem Staatsanwalt, der in Echtzeit erreichbar war, ist der stärkste verfügbare Beweis dafür, dass der Anspruch nicht bloß Theater ist.

Was sich für das Directory ändert

Das Urteil von diesem Schreibtisch ist unmissverständlich. Wir haben bislang ein aktuelles unabhängiges Audit als höchsten Maßstab für den No-Logs-Anspruch eines VPN behandelt. Nach Göteborg führen wir eine Stufe darüber ein: dokumentiertes Überstehen eines realen strafverfolgerischen Beschlagnahmeversuchs, in einer Jurisdiktion mit funktionierenden Gerichten, mit einem Ergebnis, das sowohl durch die eigene Offenlegung des Betreibers als auch durch zeitgenössische Presseberichterstattung überprüfbar ist. Mullvad nimmt nun diese Stufe ein. Der Großteil des restlichen Marktes nicht.

Die Implikation für die Hosting-Seite des Directory verläuft parallel. Betreiber, deren Architekturen auf dem Fehlen gesammelter Daten beruhen, statt auf einem Versprechen, gesammelte Daten nicht zu teilen, verdienen mehr Gewicht in unseren Rankings. Unser bestehendes Listing für [1984 Hosting](/service/1984-hosting) in Reykjavik, das nach demselben Prinzip operiert, wird in diesem Licht interessanter, nicht weniger. Wir würden eher einen Dienst empfehlen, der seine Nutzer nicht verraten kann, als einen, der bloß schriftlich versprochen hat, es nicht zu tun.

Quellen

• Mullvad VPN, Mullvad VPN was subject to a search warrant (20. April 2023)
• Bleeping Computer, Swedish police raided Mullvad's offices but left empty-handed
• The Register, Mullvad VPN says Swedish cops tried, failed to seize servers
• TorrentFreak, Mullvad VPN Raided By Police But No Customer Data Taken
• Wikipedia, Mullvad

Bearbeitungsverlauf

• 2023-04-22 : Erste Fassung verfasst, nachdem der Mullvad-Blogpost zweimal gelesen und das Datum des Beschlusses gegen The Registers Berichterstattung geprüft wurde. Zurückgehalten bis zum Erscheinen des Bleeping-Computer-Artikels, der am Freitagabend veröffentlicht wurde.
• 2023-04-26 : Architekturliste hinzugefügt nach einem langen Telefonat mit einem Freund, der einen kleinen Hosting-Betrieb in Stockholm führt und mir erklärte, was eine RAM-only-Flotte tatsächlich kostet im Vergleich zu einer festplattenbasierten. Zwei Absätze Spekulation über den zugrundeliegenden Erpressungsfall gestrichen, weil die schwedische Presse die Jurisdiktion nicht bestätigt hatte.
• 2023-05-02 : ProtonVPN-2021-Vergleich eingefügt, nachdem ein Leser per E-Mail fragte, warum ich ihn nicht erwähnt hatte. Den Proton-Transparenzbericht von September 2021 und den Reuters-Drahtbericht nochmals gelesen, um sicherzustellen, dass ich das Detail zum Klimaaktivisten richtig hatte. Eine frühere Zeile gestrichen, die Protons Verschulden überstilisierte.
• 2023-05-09 : Mullvads Ankündigung zum Rückzug von Port Forwarding am 29. Mai war noch nicht erfolgt, als dieser Artikel zuerst verfasst wurde, daher ein vorausschauender Satz zum Timing hinzugefügt. Wird nach dem 1. Juli nochmals aufgegriffen.
• 2023-05-15 : Letzte Durchsicht des Urteilsabschnitts. Schlussabsätze umgeschrieben, um die neue Stufe „dokumentiertes Überstehen eines Beschlusses" explizit statt implizit zu machen, und Querverweis zum 1984-Hosting-Listing hinzugefügt, nach Bestätigung beim Directory-Redakteur, dass das Listing noch live ist.