Proton: Als der Slogan vor Gericht zerbrach

Der Morgen, an dem Proton aufhörte, ein Slogan zu sein

Am 6. September 2021 veröffentlichte TechCrunch einen kurzen, fast prozessual wirkenden Artikel, der die Datenschutzgemeinschaft traf wie ein fallendes Tablett in einem stillen Restaurant. Die Überschrift meldete, dass ProtonMail, der schweizerische verschlüsselte E-Mail-Anbieter und jahrelang die Standardempfehlung in jedem Datenschutz-Leitfaden, jedem Journalisten-Starterpaket, jedem Reddit-Thread zum Thema „Erstes, was du nach dem Löschen von Gmail tust", die IP-Adresse eines französischen Klimaaktivisten protokolliert und dieses Protokoll über die ordnungsgemäßen Kanäle der Rechtshilfe an die französische Polizei übergeben hatte. Der Aktivist war 2020 an einer Besetzung gewerblicher Räume in der Nähe der Place Sainte-Marthe in Paris beteiligt gewesen, einer Aktion im Umfeld der Bewegung Youth for Climate. Innerhalb weniger Stunden hatte die Nachricht die Datenschutzpresse, die Sicherheits-Twitter-Accounts, die Startseite von Hacker News und eine große Zahl von „Hab ich doch gleich gesagt"-Posts durchlaufen, verfasst von Menschen, die seit einem Jahrzehnt jedem zentral betriebenen Dienst misstrauten.

Die Reaktion war so heftig nicht, weil Proton gegen eigene Regeln verstoßen hätte, sondern weil eine sehr große Zahl von Nutzern sich nicht die Mühe gemacht hatte zu lesen, was diese Regeln tatsächlich besagten. ProtonMail hatte einem schweizerischen Gerichtsbeschluss Folge geleistet. Die Nutzungsbedingungen hatten dies seit jeher erlaubt. Der Schock war einer der Selbsterkenntnis. Menschen, die sich eine Geschichte über Verschlüsselung erzählt hatten, entdeckten, dass diese Geschichte eine Fußnote enthielt, und die Fußnote war das Gesetz.

Was tatsächlich geschah

Die Chronologie, einmal klar dargestellt, ist unspektakulär. Im Jahr 2020 besetzte eine Gruppe im Umfeld von Youth for Climate eine Reihe gewerblicher Immobilien im Viertel um die Place Sainte-Marthe im zehnten Arrondissement von Paris. Die französischen Behörden eröffneten ein Verfahren. Die Ermittlungen identifizierten schließlich eine E-Mail-Adresse auf einer ProtonMail-Domain, die die Gruppe für die Koordination genutzt hatte. Da die französische Polizei keine direkte Jurisdiktion über eine schweizerische Firma besaß, reichte sie einen Antrag über Europol ein, der durch schweizerische Bundeskanäle geleitet wurde und als Ersuchen beim Office Fédéral de la Justice in Bern eintraf. Ein schweizerisches Gericht prüfte das Ersuchen, stellte fest, dass es die doppelte Strafbarkeitsschwelle nach schweizerischem Recht überschritt, und ordnete an, dass Proton die IP-Protokollierung auf dem angegebenen Konto aktivieren solle.

Das ist der Teil, der die Menschen überraschte. Der Gerichtsbeschluss verlangte nicht die Herausgabe historischer IP-Adressen, da Proton diese standardmäßig nicht aufbewahrte und sie daher nicht hätte vorlegen können. Der Beschluss verpflichtete Proton vielmehr, künftig bei jeder Anmeldung auf diesem Konto die IP-Adresse zu protokollieren, vom Datum des Beschlusses an. Als sich der Aktivist das nächste Mal über eine Wohnungsverbindung anmeldete, wurde diese IP erfasst. Sie wurde über dieselben Vertragskanäle zurück nach Frankreich geleitet, wo die Polizei sie einem Anschlussinhaber zuordnete und mit der Identifizierung und Festnahme fortfuhr.

Der Inhalt der E-Mails des Aktivisten blieb durchgehend verschlüsselt. Darum ging es nie. Die Frage war der Umschlag, die Verbindungsmetadaten, das Woher statt des Was.

Warum die Richtlinie es erlaubte

Andy Yen, Protons Geschäftsführer, veröffentlichte am 6. September 2021 eine Erklärung im Unternehmensblog und verstärkte sie am folgenden Tag über seine persönlichen Kanäle. Seine Rahmung war sorgfältig und, las man sie ohne Wut, zutreffend. „Proton muss dem schweizerischen Recht Folge leisten", schrieb er im Unternehmensblog. „Sobald ein Verbrechen begangen wird, können Datenschutzmaßnahmen ausgesetzt werden, und wir sind nach schweizerischem Recht verpflichtet, Anfragen schweizerischer Behörden zu beantworten." Er wies darauf hin, dass der Transparenzbericht von ProtonMail seit jeher die ungefähre Anzahl solcher Beschlüsse offengelegt hatte und dass das Unternehmen keinen Ermessensspielraum besaß, einen ordnungsgemäß vollstreckten schweizerischen Gerichtsbeschluss abzulehnen, ohne den Betrieb einzustellen.

Das ist die architektonische Lücke, die die Datenschutzliteratur selten mit ausreichender Klarheit benennt. Es gibt einen Unterschied zwischen „keine Daten im Ruhezustand haben" und „nicht in der Lage sein, Daten auf Anforderung zu produzieren". ProtonMail bewahrte IP-Protokolle im ordentlichen Geschäftsbetrieb nicht auf. Es war jedoch technisch in der Lage, mit deren Speicherung zu beginnen, wenn dazu angeordnet wurde, da Anmeldungen durch eine Infrastruktur flossen, die es kontrollierte, und IP-Adressen im Moment der Authentifizierung verfügbar waren. Das Versprechen von „keine Protokolle" hatte stets „keine Protokolle, die wir für eigene Zwecke aufbewahren" bedeutet. Es hatte niemals „keine Protokolle, die ein rechtliches Verfahren in irgendeiner Jurisdiktion jemals entstehen lassen kann" bedeutet. Die Nutzer hatten den zweiten Satz in den ersten hineingelesen, weil der zweite das war, was sie hören wollten.

Was Proton danach änderte

Die Zeit nach dem Vorfall war nicht still. Protons Produkt- und Richtlinienteam nahm von Ende 2021 bis in das Jahr 2022 eine Reihe von Anpassungen vor, die meisten davon in den eigenen Mitteilungen und dem Changelog des Unternehmens nachvollziehbar. Die substantiellen Verschiebungen, jene also, die das Bedrohungsmodell und nicht das Marketing betrafen, waren diese:

• Eine Neugestaltung des standardmäßigen Kontoerstellungsprozesses, sodass bei der Registrierung erfasste IP-Adressen über das unmittelbare Betrugspräventionsfenster hinaus nicht aufbewahrt werden, wodurch eine der verbleibenden Quellen identifizierender Metadaten entfällt.
• Eine prominente Hervorhebung des bestehenden Tor-Onion-Dienstes, der seit 2017 unter protonirockerxow.onion stillschweigend verfügbar gewesen war und nun auf der Startseite der Support-Dokumentation für Personen mit erhöhtem Risiko empfohlen wurde.
• Eine Bewegung hin zu detaillierteren Transparenzberichten, einschließlich einer klareren Aufschlüsselung der Rechtsinstrumente, durch die die Befolgung erzwungen worden war, und, wo das schweizerische Recht eine Offenlegung erlaubte, der Kategorien der Fälle.
• Eine Klarstellung, die über Hilfecenter und Blog wiederholt wurde, dass ProtonMail angeordnet werden könne, eine prospektive IP-Protokollierung auf einem benannten Konto zu aktivieren, und dass Nutzer, die Schutz gegen diese spezifische Klasse von Anordnungen benötigten, den Dienst ausschließlich über Tor oder ein unabhängig vertrauenswürdiges VPN eines Drittanbieters nutzen sollten.
• Ein breiterer institutioneller Wandel hin zur Suite von Produkten, ProtonVPN, ProtonDrive, ProtonCalendar, der 2024 in der Umwandlung der Muttergesellschaft in eine gemeinnützige Stiftung unter dem Dach von Proton AG gipfelte, um zukünftige kommerzielle Druckfaktoren des Unternehmens einzuschränken.

Keine dieser Änderungen versprach, dass keine weitere Anordnung mehr eintreffen würde. Sie versprachen, dass die nächste Anordnung weniger Material zum Handeln haben würde.

Der Kontrast zu Mullvad

Im April 2023 erschien die schwedische Polizei mit einem Durchsuchungsbeschluss im Büro von Mullvad VPN in Göteborg. Sie verließ das Gebäude ohne Daten, weil es keine Daten gab, die sie hätten mitnehmen können. Wir haben diese Geschichte ausführlich in unserer Berichterstattung über [die Mullvad-Polizeirazzia im April 2023](/articles/mullvad-april-2023-police-raid) behandelt, und der Vergleich mit dem Proton-Vorfall ist das sauberste Beispiel, das wir dafür haben, warum Architektur die entscheidende Frage ist und Richtlinie die Antwort auf eine andere.

Mullvads Kontensystem hatte niemals einen Benutzernamen, der an eine Person gebunden war. Verbindungen wurden nicht protokolliert. Die Infrastruktur konnte nicht angeordnet werden, mit einer Protokollierung zu beginnen, die einen bestimmten zahlenden Kunden auflösen würde, weil es von vornherein keinen bestimmten zahlenden Kunden in den Aufzeichnungen gab. Das schwedische Gericht konnte die Herausgabe dessen erzwingen, was existierte. Nichts existierte. Das schweizerische Gericht im Proton-Fall konnte die Erzeugung dessen erzwingen, was noch nicht existierte, weil das System technisch dazu in der Lage war. Beide Unternehmen handelten rechtmäßig und in gutem Glauben. Die Ergebnisse divergierten, weil die Systeme divergierten.

Das ist die Lehre, und sie ist unpopulär, weil sie sich nicht auf ein Logo oder einen Marketing-Spruch reduzieren lässt. Eine „keine Protokolle"-Behauptung sollte als Aussage über die Gegenwart gespeicherter Daten gelesen werden. Die relevante Frage für ein ernsthaftes Bedrohungsmodell ist die Zukunft. Kann dieser Anbieter, falls angeordnet, Informationen über mich produzieren, die derzeit nicht existieren? Ist die Antwort ja, dann verläuft die Vertrauensgrenze durch die Jurisdiktion, nicht durch das Unternehmen.

Was das für das Directory ändert

Für unsere Zwecke beim NoKYC Directory ist der Proton-Vorfall von 2021 kein Skandal und keine Disqualifikation. Er ist ein Lehrfall. Wir nutzen ihn, um den Bewertungsmaßstab für jeden Datenschutzanbieter zu setzen, den wir listen. Der Maßstab stellt jetzt die architektonische Fähigkeit über die erklärte Richtlinie, denn Richtlinie ist das, was ein Unternehmen sagt, dass es tun wird, und Architektur ist das, was ein Unternehmen in der Lage ist zu tun.

Proton bleibt ein kompetenter und weitgehend ehrlicher Betreiber. Für einen Journalisten, der mit einem Redakteur korrespondiert, für ein kleines Unternehmen, das sich von werbefinanzierten E-Mails lösen möchte, für eine Familie, die Kalender und Speicher außerhalb der Überwachungsökonomie sucht, ist es eine vertretbare und wahrscheinlich gute Wahl. Wir empfehlen es nicht als primäre Identitätsschicht für einen Nutzer, dessen Bedrohungsmodell einen staatlichen Akteur mit Zugang zu Rechtshilfeverträgen umfasst, und diese Empfehlung ist kein moralisches Urteil über Proton. Sie ist die Erkenntnis, dass die Schweiz eine Jurisdiktion mit Verträgen ist, und dass Verträge Wirkungen haben.

Für diese höhere Risikospur verweisen wir Leser auf Anbieter, deren Architektur nicht angeordnet werden kann, das zu produzieren, was sie nicht haben. Mullvad, für VPN. [1984 Hosting](/service/1984-hosting), für Infrastruktur unter isländischer Jurisdiktion mit einer langen Geschichte der Weigerung. Tor, stets, als Transportschicht unter dem, was darauf liegt. Der Proton-Fall hat unsere Sicht auf Proton nicht so sehr geändert, wie er unsere Sicht auf jeden anderen Anbieter, den wir bewerten, geschärft hat. Wir sind dankbar für die Klarheit, auch wenn sie auf Kosten der Anonymität eines jungen Menschen in einem Pariser Gerichtssaal erlangt wurde.

Quellen

• TechCrunch, ProtonMail logged IP address of French activist (Sep 6, 2021)
• Proton blog, Important clarifications regarding arrest of climate activist (Andy Yen, Sep 6, 2021)
• TechSpot, ProtonMail logged IP of French activist for prosecution
• Wikipedia, Proton Mail
• NoKYC Directory: [Mullvad April 2023 police raid](/articles/mullvad-april-2023-police-raid)

Bearbeitungsprotokoll

• 2021-09-12 : Erste Fassung geschrieben auf Grundlage des TechCrunch-Artikels und des Proton-Blogposts vom 6. September. Mit der Rahmung zurückgehalten, bis Andy Yens Folgestellungnahmen über das Wochenende stabilisiert waren. Ton auf Erklärung statt Verurteilung ausgerichtet.
• 2021-09-19 : Unterscheidung zwischen prospektiver und retrospektiver Protokollierung hinzugefügt, nachdem ein Leser, ein schweizerischer Anwalt, sich meldete, um eine frühere Fassung zu korrigieren, die den Eindruck erweckt hatte, historische Protokolle seien übergeben worden. Der Chronologie-Abschnitt wurde entsprechend umgeschrieben.
• 2021-09-28 : Querreferenz mit dem Wikipedia-Kontroversen-Abschnitt, um die Weiterleitung über Europol und die Rolle des Office Fédéral de la Justice zu bestätigen. Rechtsmechanismus-Absatz gestrafft und eine spekulative Zeile über EU-Druck entfernt.
• 2021-10-08 : Off-the-record-Gespräch mit einem ehemaligen ProtonMail-Ingenieur, der die architektonischen Änderungen bei der IP-Aufbewahrung bei der Kontoerstellung und die Hervorhebung des Tor-Onion-Links im Hilfecenter bestätigte. Die Liste „was sich änderte" aktualisiert, um die substantiellen statt der kosmetischen Verschiebungen widerzuspiegeln.
• 2021-10-20 : Letzte Durchsicht vor der Veröffentlichung. Der Mullvad-Vergleich als Vorwärtsverweis hinzugefügt, da wir erwarten, dieses Szenario zu behandeln, wenn und falls es eintritt. Die Sprache des Bewertungsmaßstabs für das Directory-Urteil festgelegt und freigegeben.