Export von Spähtechnik: Fataler Verzicht auf Rüstungskontrolle

Panzer können im Internet nicht patrouillieren, deswegen sind Trojaner für autoritäre Regime heutzutage so wichtig wie schweres Geschütz. Es ist sehr gefährlich, dass die Exporte der deutschen Überwachungsindustrie so lax kontrolliert werden.

Sie haben an alles gedacht. Ein Firmenvertreter müsse sich noch die Steckdosen vor Ort anschauen, damit das Kontrollterminal später Strom bekommt, heißt es. Für die Kunden - Polizisten oder Geheimdienstmitarbeiter - sollten Kugelschreiber parat liegen. Schnittchen und Getränke bitte in der Nähe des Trainingsraums servieren, um Zeit zu sparen: Aus dem Angebot spricht eine kalte Geschäftsmäßigkeit. Nur dass es keinen spaßigen Social-Media-Workshop anpreist, sondern scharfe Spähtechnik für Turkmenistan - eine Diktatur, in der der Präsident zuletzt offiziell mit 97 Prozent der Stimmen wiedergewählt wurde.

Das Papier gehört zum Fundus neuer Wikileaks-Unterlagen, die die Enthüllungsplattform nun online gestellt hat: Werbebroschüren, interne Unterlagen, Reisedaten von Managern. Die Daten liefern Einblicke in die verschlossene Überwachungsindustrie. Das Geschäft ist ein Milliardenmarkt. Vorne mit dabei: Anbieter aus Deutschland. Regelmäßig reisen sie den Daten zufolge in Länder, die in Demokratie-Rankings ganz unten stehen: Kasachstan, Äquatorial-Guinea, Oman.

Waffenexporte in kritische Staaten sind in Politik und Öffentlichkeit ein großes Thema, der Export von Spähtechnik wird kaum thematisiert und kontrolliert. Das ist fatal. Digitale Waffen sind auf den ersten Blick weniger tödlich als Panzerfäuste und Raketen. Sie sind gleichwohl für Diktatoren heutzutage so wichtig wie schweres Geschütz. Opposition formiert sich vor allem im Internet, wo Panzer nicht Streife fahren können. Zwar muss das Bundesamt für Ausfuhrkontrolle die Exporte abstempeln. Doch wer nicht gerade Hightech-Equipment an Nordkorea liefern will, hat wenig zu befürchten, sondern bekommt das Okay: Feuer frei. So will es die in der EU gültige sogenannte Dual-Use-Verordnung.

Dabei sind die Spähprogramme höchst gefährlich. Die angebotenen Produkte infizieren die Privatsphäre der Zielpersonen. Wenn etwa ein Trojaner auf dem Laptop oder dem Smartphone installiert wurde, sitzt plötzlich ein digitaler Agent neben dem Überwachungsopfer. Der Staat kann dann mitschneiden, was die Menschen in ihr Tagebuch tippen, was sie mit Freunden besprechen, welche Medien sie lesen. Selbst die ausgefeilteste Kryptotechnik ist dann wertlos: Der Trojaner liest einfach das Passwort mit. Wenn dann noch der Diktator volle Kontrolle über die Infrastruktur der Telekommunikationsfirmen hat, weil etwa sein Cousin dort Chef ist, kann potenziell jeder im Land hinterrücks mit einem solchen Trojaner attackiert werden.

Solche Szenarien sind kein Albtraum, sondern Realität. Es passiert immer wieder: In Marokko bekam ein kritischer Blogger eine Köder-E-Mail, die angeblich einen politischen Skandal im Land beschrieb. In Wahrheit sollte sie Schadsoftware bei dem Bürgerjournalisten installieren. In Bahrain wurde ein Regierungskritiker festgenommen und gefoltert, berichten Aktivisten. Im Verhör sollen die Staatsdiener aus Chats zitiert haben, die der Mann über die Videotelefonieplattform Skype geführt hat.

OECD-Verfahren gegen deutsche Firma

In Bahrain, vermuten Aktivisten, wurde der Trojaner Finfisher der britisch-deutschen Entwicklerfirma Gamma Group eingesetzt. Wie alle Firmen der Branche schweigt der Konzern darüber, ob ein Staat Kunde ist oder nicht. Kritiker haben bei der britischen Kontaktstelle für die Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD) Beschwerde gegen Gamma Group eingelegt. Die Kontaktstelle sah die Vorwürfe als so schwerwiegend und die vorgebrachten Indizien als erwägenswert an, dass sie ein offizielles Mediationsverfahren eingeleitet hat. Ein Erfolg für die Aktivisten, der Fall sorgt für Aufmerksamkeit. Und doch sind die Gespräche und Empfehlungen der Kontaktstelle unverbindlich. Scharfe Kontrolle sieht anders aus.

Dass sich die Firmen allein aufgrund des öffentlichen Drucks ändern, ist eine schwache Hoffnung. Die Gamma Group etwa hat zwar angekündigt, einen Verhaltenskodex zu entwickeln, damit der Konzern die Menschenrechte besser achten könne. Bisher hat der Konzern aber noch nicht geliefert. Und als Menschenrechtsbeauftragten hat die Firma den eigenen Chef ins Spiel gebracht. Auf eine externe Kontrolle durch angesehene, neutrale Experten verzichtet man lieber.

Die Branche sieht sich als Dienstleister der Behörden. Wenn es um die Bösen geht, um Pädophile etwa, dann will man den Strafermittlern gerne helfen. Aber das ist eine naive und gefährliche Sicht. Wenn autoritäre Regierungen die Gesellschaft in Nullen und Einsen einteilen dürfen, in Gut und Böse, geraten schnell die Falschen ins Fadenkreuz.