(Brüssel) – Die Europäische Union soll strengere Regeln erlassen, damit in Europa entwickelte Überwachungstechnologien nicht an repressive Regierungen verkauft werden, so Human Rights Watch und sieben andere Menschenrechtsorganisationen heute in einem Schreiben an die Europäische Union. Mitgliedstaaten, die Fortschritten auf diesem Gebiet bislang im Weg gestanden haben, sollten ihren Widerstand aufgeben.
Seit Jahren erlauben Lücken im geltenden Regelwerk, dass sogenannte Dual Use-Produkte aus der EU, einschließlich weitreichender Überwachungssysteme, an Regierungen verkauft werden, welche die Menschenrechte verletzen. Empfänger der Technologien haben diese gegen Menschenrechtsverteidiger, Journalisten und oppositionelle Gruppen eingesetzt.
In ihrem Schreiben fordern die Menschenrechtsorganisationen die Europäische Union auf, Gesetze zu verabschieden, die Unternehmen eine Sorgfaltspflicht (due dilligence) im Hinblick auf die Einhaltung der Menschenrechte auferlegen. Zudem soll die Vergabe von Exportlizenzen für Cyberüberwachungstechnologien verboten werden, wenn ein erhebliches Risiko besteht, dass diese im Empfängerland zu Menschenrechtsverleztungen führen.
„Die laxen Regeln der EU haben es Unternehmen erlaubt, ihre Spyware an repressive Regierungen zu verkaufen“, so Wenzel Michalski, Deutschland-Direktor von Human Rights Watch. „Die EU muss aufhören, sich an Menschenrechtsverletzungen mitschuldig zu machen, indem sie die Lücken in ihren Handelsregeln schließt.“
Im Jahr 2016 legte die Europäische Kommission eine Reihe konkreter Vorschläge, um den Handels mit Überwachungstechnologien zu reformieren. Diese sind auch im Europäischen Parlament auf breite Unterstützung gestoßen. Der Europäische Rat schwächte die Reformvorschläge jedoch im Juni 2019 erheblich ab. Tschechien, Zypern, Estland, Finnland, Irland, Italien, Polen und Schweden lehnten die Reformen ab, meist mit Verweis auf wirtschaftliche Interessen.
Angesichts der bevorstehenden Wiederaufnahme der Verhandlungen hat die EU-Kommission geänderte Vorschläge erarbeitet, die eine Brücke zwischen den Positionen des Rats und des Parlaments schlagen sollen. Diese bleiben jedoch weit hinter dem zurück, was nötig wäre, um die Überwachungsindustrie wirksam zu kontrollieren.
Seit fast einem Jahrzehnt gibt es weltweit immer wieder Fälle, in denen die Menschenrechte mithilfe solcher Technologien verletzt werden. So ist es mithilfe des Produkts FinSpy der deutschen Firma FinFisher möglich, Mobiltelefone anzugreifen und an Kontaktdaten, Textnachrichten, Emails, Ortungsdaten, Fotos und andere Informationen zu gelangen und Telefongespräche mitzuschneiden. Die italienische Firma Hacking Team verkauft staatlichen Behörden ein Paket von Fernüberwachungs-Spyware namens Remote Control System (RCS), welches den Zugriff auf Computer und Smartphones in Echtzeit erlaubt.
Die Toronto ansässige Forschergruppe Citizen Lab fand Belege, dass FinSpy in über 30 Ländern von Regierungsbehörden genutzt wird, darunter Staaten mit miserabler Menschenrechtsbilanz wie Bahrain, Oman und Katar. Citizen Lab konnte den Einsatz von RCS durch 21 Staaten zurückverfolgen, darunter Saudi-Arabien und die Vereinigten Arabischen Emirate.
Bereits 2014 dokumentierte Human Rights Watch, dass die äthiopische Regierung Spähprogramme von FinFisher und Hacking Team gegen Oppositionsgruppen und Journalisten im Ausland eingesetzt hatte. Die äthiopischen Behörden hatten schon zuvor Technologien aus dem Ausland genutzt, um private Telefongespräche und Emails von Personen zu speichern, die wegen ihrer vermeintlichen politischen Ansichten ins Visier geraten waren. Die Vereinigten Arabischen Emirate (VAE) setzten FinSpy und RCS gegen den prominenten Aktivisten Ahmed Mansoor ein. Dieser wurde 2018 wegen „Cyberverbrechen“ zu einer 10-jährigen Haftstrafe verurteilt, die er aktuell absitzt.
Das französische Unternehmen Amesys, heute Nexa Technolgies, ist Gegenstand mehrerer Ermittlungsverfahren der französischen Justiz wegen mutmaßlicher Beihilfe zu Menschenrechtsverletzungen. Eines der Verfahren untersucht den Einsatz von Überwachungssystemen in Libyen, wo diese genutzt wurden, um politische Gegner des ehemaligen Machthabers Muammar Gaddafi zu identifizieren, zu orten und zu foltern.
Die Abteilung für Verbrechen gegen die Menschlichkeit bei der Pariser Staatsanwaltschaft eröffnete ein zweites Ermittlungsverfahren, um Vorwürfen nachzugehen, wonach Systeme von Amesys noch im Jahr 2014 an die autoritäre Regierung Ägyptens unter Abdel Fattah al-Sisi verkauft wurden. Die Herrschaft von Präsident al-Sisi ist geprägt von brutalen Angriffen auf die Zivilgesellschaft, der Missachtung der Grundrechte und der Unterdrückung jeglicher Kritik.
Im Juli 2019 deckten IT-Sicherheitsforscher den Einsatz von FinSpy durch Myanmar auf, einem Land, das Gräueltaten gegen die Rohingya-Minderheit verübt hat und regelmäßig Journalisten, Aktivisten und sogar Satiregruppen verfolgt. In der Türkei wurde FinSpy während einer Protestaktion im Jahr 2017 gegen die wichtigste Oppositionspartei eingesetzt. Im Jahr 2018 stritt der damals amtierende türkische Kommunikationsminister den Einsatz von FinSpy jedoch ab. Ein weiteres Jahr später leitete die Staatsanwaltschaft München Ermittlungen ein, die klären sollen, ob sich FinFisher strafbar gemacht hat, indem es seine leistungsstarke Spionage-Software ohne Erlaubnis an die Türkei lieferte. Im April 2019 ging Hacking Team in den Besitz von Memento Labs über. In einer Stellungnahme gegenüber Human Rights Watch erklärte das Unternehmen, man könne sich nicht zu den Aktivitäten von Hacking Team äußern und verfüge über neue Richtlinien und Prozeduren um zu prüfen, welche Folgen Verkäufe für die Menschenrechte haben. FinFisher reagierte nicht auf eine Bitte um Stellungnahme.
Es ist unklar, ob EU-Mitgliedstaaten auch den Handel mit Spyware der israelischen Firma NSO Group ermöglichen, deren Spähsoftware Pegasus erwiesenermaßen für eine Vielzahl von Angriffen auf zivilgesellschaftliche Akteure genutzt wurde, darunter mindestens 24 Menschenrechtler, Journalisten und Parlamentarier in Mexiko, ein Mitarbeiter von Amnesty International, Ahmed Mansoor, saudische Menschenrechtler und vermeintlich auch der saudische Journalist Jamal Khashoggi, der später ermordet wurde.
In einem Schreiben an Human Rights Watch und andere Organisationen erklärte die europäische Privatkapitalgesellschaft Novalpina Capital, die eine Mehrheitsbeteiligung an NSO Group hält, die Exportbehörden in Zypern und Bulgarien hätten Lizenzen für Produkte der NSO Group ausgestellt. Beide Behörden bestritten diese Aussage.
Neben einer strengeren Sorgfaltspflicht sollte die Europäische Union auch ihr Exportkontrollregime verbessern und ein System schaffen, dass es Mitgliedstaaten erlaubt, in transparenter und konsultativer Weise eine EU-Kontrollliste für Cyberüberwachungstechnologien zu pflegen. Für Produkte, die nicht auf der Liste stehen, sollte die Ausstellung einer Exportlizenz aus Menschenrechtsgründen verweigert werden.
Durch eine Auffangklausel (catch-all clause) könnten Unternehmen verpflichtet werden, die Exportbehörden zu informieren, wenn sie im Zusammenhang mit ihren Exporten Menschenrechtsrisiken ausmachen. Die Behörden könnten diese Risiken dann prüfen und über die Ausstellung oder Verweigerung der Lizenz entscheiden. Die EU sollte zudem angemessene Menschenrechtsstandards einführen und für Transparenz hinsichtlich erteilter und verweigerter Exportlizenzen sorgen. Nur so lassen sich die Menschenrechtsfolgen des Handels mit Dual Use-Produkten sinnvoll beurteilen.
„Die EU sollte die Führung übernehmen, indem sie ihr Bekenntnis zu den Menschenrechten vor die Interessen der Überwachungsindustrie stellt“, so Michalski. „Je länger dieser Handel unreguliert bleibt, desto wahrscheinlich ist es, dass Regierungen Aktivisten und vermeintliche Kritiker bespitzeln können und dann weiter Menschenrechtsverletzungen begehen. Dies steht in krassem Widerspruch zu dem erklärten Ziel der EU, die Menschenrechte zu schützen.“
