ProtonMail & Apple: Datenweitergabe führt zur Festnahme in Spanien

ProtonMail, ein in der Schweiz ansässiges Unternehmen, das sich auf einen sicheren eBrief-Dienst mit Ende-zu-Ende-Verschlüsselung spezialisiert hat, sieht sich erneut Anschuldigungen gegenüber, Benutzerdaten an Strafverfolgungsbehörden weitergegeben zu haben.

Bereits 2021 stand ProtonMail aufgrund ähnlicher Vorfälle in der Kritik. Damals hatte das Unternehmen die IP-Adresse und Gerätedaten eines französischen Klimaaktivisten an die Schweizer Behörden weitergegeben, was zur Festnahme des Aktivisten durch die französischen Behörden führte.

Im aktuellen Vorfall mit der spanischen Polizei wurde ProtonMail anscheinend dazu gezwungen, die Wiederherstellungs-eBrief-Adresse eines Kunden preiszugeben. Dieser Kunde, selbst ein aktiver Polizist, wird verdächtigt, unter dem Pseudonym “Xuxu Rondinaire” in den sozialen Medien aufgetreten zu sein und Sicherheitsinformationen im Zusammenhang mit dem Fall der Protestplattform Democratic Tsunami weitergegeben zu haben.

Auch diesmal lieferte ProtonMail die geforderten Daten an die Behörden. Dummerweise hat der Kunde “Xuxu” seine Apple-ID als Wiederherstellungsadresse angegeben, wodurch die spanischen Behörden nun bei Apple anklopfen mussten. Also baten die spanischen Behörden jetzt Apple in einem weiteren Datenersuchen um zusätzliche Daten, um die Identität der Person hinter dem Pseudonym zu ermitteln und bekamen diese schließlich auch ausgehändigt. Der Proton-CEO Andy Yen bestätigte, dass die persönlichen Daten, die zur Festnahme des mutmaßlichen “Terroristen” verwendet wurden, von Apple und nicht von Proton bereitgestellt wurden. Yen betonte, dass Proton nicht in der Lage sei, Daten zu entschlüsseln, aber Schweizer Gerichte die Offenlegung von Wiederherstellungs-eBrief-Adressen in “Terrorfällen” anordnen könnten.

In einer schriftlichen Erklärung betonte die Proton AG, dass ihr eBrief-Dienst nur “minimale Benutzerinformationen” speichert und keine vollständige Anonymität gewährleistet. Kunden, die ein höheres Maß an Sicherheit wünschen, wurden dazu ermutigt, angemessene OPSEC-Maßnahmen (operationale Sicherheit) zu ergreifen, wie zum Beispiel darauf zu verzichten, ihr echtes Apple-Konto als optionale Wiederherstellungsmethode zu verwenden.

Die Bedeutung einer guten OPSEC

Für Nutzer, die großen Wert auf Datenschutz legen, insbesondere solche, die an sensiblen oder politischen Aktivitäten teilnehmen, sollte bei der Verwendung von Datenschutztools OPSEC oberste Priorität haben. Es wird empfohlen:

• Die Vermeidung der Verknüpfung von Wiederherstellungs-eBrief-Adressen oder Telefonnummern, die einen direkten Bezug zu persönlichen Identitäten oder primären Geschäftsaktivitäten herstellen können.
• Das In-Betracht-Ziehen der Verwendung von sekundären, verfügbaren eBrief-Adressen oder virtuellen Telefonnummern, die eine zusätzliche Ebene der Anonymität bieten.
• Die Nutzung eines guten VPN-Dienstes, um die eigene IP-Adresse zu verschleiern. (Das Unterlassen dieses Schritts führte 2021, wie oben beschrieben, dazu, dass ein ProtonMail-Nutzer in Frankreich kompromittiert wurde und von der Polizei festgenommen wurde, nachdem diese IP-Protokolle erhalten hatte.)
• Das Erwägen des Kaufs von Dienstleistungen mit anonymen Zahlungsmethoden.
• Das Auf-dem-Laufenden-Bleiben über die rechtlichen Verpflichtungen und Richtlinien von Kommunikationsdienstanbietern, insbesondere in Bezug auf deren Einhaltung internationaler Strafverfolgungsanfragen.