USA verweigern Unterzeichnung der UN-Konvention gegen Cyberkriminalität, die von mehr als 70 Staaten unterzeichnet wurde

• Mehr als 70 Staaten haben auf einer Konferenz in Hanoi die UN-Konvention gegen Cyberkriminalität (UN Convention against Cybercrime) unterzeichnet – ein wichtiger Fortschritt beim Aufbau eines globalen Systems zur Bekämpfung digitaler Kriminalität
• Die Konvention legt neue Mechanismen für zwischenstaatliche Zusammenarbeit, Kapazitätsaufbau und den Austausch elektronischer Beweismittel fest und stellt internetabhängige Straftaten sowie die Verbreitung intimer Bilder ohne Einwilligung erstmals international unter Strafe
• Die USA blieben ein wichtiges Land, das nicht unterzeichnete; das Außenministerium erklärte lediglich, man „prüfe den Vertrag weiterhin“
• Die Konvention zielt auf die Bekämpfung internetgestützter Straftaten wie Terrorismus, Menschenhandel, Geldwäsche und Drogenhandel, stößt jedoch auf Kritik aus der Tech-Branche und von Menschenrechtsorganisationen
• Die Konvention markiert einen bedeutenden Wendepunkt für die internationale Cyber-Strafverfolgung, da sie das Fehlen globaler Standards für elektronische Beweismittel beheben und die weltweite Ermittlungszusammenarbeit stärken soll

---

Stand der Unterzeichnungen der UN-Konvention gegen Cyberkriminalität

• Auf der Veranstaltung in Hanoi haben mehr als 70 Staaten die UN-Konvention gegen Cyberkriminalität unterzeichnet
  • Zu den Unterzeichnern gehören das Vereinigte Königreich, die Europäische Union, China, Russland, Brasilien und Nigeria
  • Die Konvention schafft eine Struktur für Zusammenarbeit, Kapazitätsaufbau und die Verfolgung technologiegestützter Straftaten zwischen Regierungen
• UN-Generalsekretär António Guterres sagte, der Cyberspace sei zu einem „fruchtbaren Boden für Kriminelle“ geworden, die Familien täuschten, Lebensgrundlagen zerstörten und der Wirtschaft Billionen Dollar entzögen
  • Er bezeichnete die Konvention als „ein starkes, rechtsverbindliches Instrument zur Stärkung der kollektiven Abwehr gegen Cyberkriminalität“
  • Er wies darauf hin, dass illegale Geldströme über Kryptowährungen und digitale Transaktionen zur Finanzierung von Drogen, Waffen und Terrorismus genutzt würden
  • Er erwähnte die Realität von Ransomware-Angriffen, die Krankenhäuser, Flughäfen und Unternehmen lahmlegen
• Guterres betonte besonders die Bedeutung der Konvention für den Kapazitätsaufbau und die Ausbildungsunterstützung in Ländern des Globalen Südens
  • Die UN schätzt den jährlichen Schaden durch Cyberkriminalität auf 10,5 Billionen Dollar

Die Nichtteilnahme der USA

• Die USA gelten als wichtiges Land, das die Konvention nicht unterzeichnet hat
  • Das Außenministerium erklärte, dass US-Botschafter in Vietnam Marc Knapper und eine Delegation an der Veranstaltung teilgenommen hätten, bestätigte jedoch, dass keine Unterzeichnung erfolgte
  • Ein Sprecher des Außenministeriums erklärte lediglich: „Die USA prüfen den Vertrag weiterhin“
• Die Konvention wurde im Dezember 2024 von der UN-Generalversammlung angenommen und tritt 90 Tage nach der Ratifikation durch den 40. Unterzeichnerstaat in Kraft
  • Jeder Unterzeichnerstaat muss sie nach seinen innerstaatlichen Verfahren ratifizieren

Zentrale Inhalte der Konvention

• Ghada Waly, Exekutivdirektorin des United Nations Office on Drugs and Crime (UNODC), sagte, Cyberkriminalität verändere die Struktur organisierter Kriminalität und erfordere globale Zusammenarbeit
  • Sie bezeichnete die Konvention als „ein wichtiges Instrument, um eine sicherere digitale Welt für alle zu gewährleisten“
• Die Konvention unterstützt die Bekämpfung internetgestützter Straftaten wie Terrorismus, Menschenhandel, Geldwäsche und Drogenhandel
• Die UN erklärt, dass die Konvention den ersten globalen Rahmen für die Sammlung, den Austausch und die Nutzung elektronischer Beweismittel bietet
  • Bislang gab es keinen internationalen Standard für elektronische Beweismittel
• Die Konvention stellt internetabhängige Straftaten erstmals international unter Strafe und erkennt die Verbreitung intimer Bilder ohne Einwilligung als Straftat an
• Außerdem wird ein rund um die Uhr verfügbares Kooperationsnetzwerk aufgebaut, das schnelle Zusammenarbeit zwischen Staaten ermöglichen soll
  • Die Notwendigkeit, die nationalen Fähigkeiten zur Bekämpfung von Cyberkriminalität zu stärken, wird ausdrücklich festgehalten

Kritik und Bedenken

• Die Tech-Branche kritisiert, dass die Konvention Sicherheitsforschung kriminalisieren und Unternehmen komplexen Datenanfragen aussetzen könnte
• Menschenrechtsorganisationen warnen, dass die Konvention ein breit angelegtes System elektronischer Überwachung erzwinge, das auch nichttechnische Straftaten erfasse
  • Einige verweisen auf das Risiko des Missbrauchs durch autoritäre Regime oder problematische Regierungen zur Unterdrückung von Kritikern oder Demonstranten
• Es wird darauf hingewiesen, dass die Konvention einen rechtlichen Rahmen schafft, der Überwachung, Speicherung und grenzüberschreitende Weitergabe von Informationen ohne Datenschutzvorschriften erlaubt
  • Raman Jit Singh Chima von Access Now kritisierte, die Konvention „legitimiere inländischen Cyber-Autoritarismus und grenzüberschreitende Repression“
  • Er warnte, ratifizierende Staaten liefen Gefahr, „durch prozedurale Kompromisse den Schutz der Menschenrechte zu opfern und die Erosion digitaler Freiheiten zu fördern“

Gleichgewicht zwischen Menschenrechten und Strafverfolgung

• Guterres sprach in seiner Rede den Widerstand gegen die Konvention an und betonte, dass grundlegende Menschenrechte wie Privatsphäre, Würde und Sicherheit offline wie online geschützt werden müssten
• Er erklärte, die Konvention sei entscheidend für die Lösung des Problems des grenzüberschreitenden Austauschs elektronischer Beweismittel, mit dem Strafverfolgungsbehörden in den vergangenen 20 Jahren konfrontiert gewesen seien
  • „Wenn sich der Täter in einem Land, das Opfer in einem anderen Land und die Daten in einem Drittstaat befinden, war das ein Hindernis für die Durchsetzung von Gerechtigkeit“, sagte er
  • Er bewertete die Konvention als einen klaren Weg, mit dem Ermittlungsbehörden und Staatsanwaltschaften diese Hürden überwinden können

[GN⁺]

Hacker-News-Kommentare

• Dass Länder mit staatlich geförderter Cyberkriminalität wie China, Nordkorea und Russland zu den Unterzeichnern gehören, zeigt, dass dieser Vertrag praktisch bedeutungslos ist oder sogar eine gefährliche Machtübertragung darstellt.
  Auch in Bezug auf Überwachung und Sicherheit hat er viele negative Auswirkungen, daher halte ich es für richtig, dass die USA nicht mitmachen.

  • Der Artikel fasst diese Probleme ebenfalls gut zusammen.
    Die Tech-Branche warnt davor, dass der Vertrag Sicherheitsforschung kriminalisiert, und Menschenrechtsorganisationen befürchten eine Entwicklung zum Überwachungsstaat.
    Raman Jit Singh Chima kritisierte, der Vertrag legitimiere „innerstaatlichen Cyber-Autoritarismus und grenzüberschreitende Unterdrückung“.
  • Schon der Abschnitt zu den Menschenrechtsbedenken im Wikipedia-Artikel zeigt die Probleme dieses Vertrags deutlich.
  • Solche „globale Zusammenarbeit“ endet am Ende damit, dass die USA alle Lasten tragen, während andere Länder versuchen, den Einfluss der USA zu schwächen. Das wirkt wie beim Pariser Abkommen.
  • Laut dem World Cybercrime Index sind Russland, die Ukraine, China und die USA die Top 4, Nordkorea liegt auf Platz 7. Das hilft beim Verständnis des Kontexts.
  • Letztlich läuft es auf den Doppelstandard hinaus: „Wenn schlechte Länder es tun, ist es Totalitarismus; wenn gute Länder es tun, ist es Demokratie.“

• Dieser Vertrag soll einen Rechtsrahmen schaffen, der Überwachung, Speicherung und grenzüberschreitenden Informationsaustausch ohne Datenschutz erlaubt.
  Aus Sicht des Schutzes der Privatsphäre ist daran überhaupt nichts positiv.
  Dass die USA ausgestiegen sind, ist eine kluge Entscheidung, weil internationale Zusammenarbeit erhalten bleiben kann, ohne unnötige Datensammlung und Überwachung zu fördern.

  • Allerdings ist es etwas ironisch, so zu tun, als seien US-Unternehmen für den Schutz von PII bekannt. Das Argument wirkt etwas schwach.
  • Der Ausstieg war die richtige Entscheidung. Das ist nichts weiter als ein Gedankenüberwachungssystem, getarnt als Cybersicherheit.

• Hier eine Sammlung früherer Diskussions-Threads:
  EFFs Bedenken,
  Ein in ein Überwachungsinstrument verwandelter Vertrag,
  Mögliche Bedrohung der Menschenrechte,
  Kontroverse um die Aufhebung des Bankgeheimnisses – alles lesenswerte Links.

• Wenn ein Land wie Nordkorea, das seine Staatsfinanzen durch Cyberkriminalität aufrechterhält, zu den Unterzeichnern gehört, kann man die eigentliche Bedeutung dieses Vertrags kaum anders als mit Misstrauen betrachten.

  • Das ist die typische Methode, Gesetze zur Zerstörung der Datenprivatsphäre mit edlen Begründungen wie „Wir müssen die Kinder schützen“ oder „Wir müssen den Terror bekämpfen“ zu verpacken.
  • Nordkoreas Wirtschaftsstruktur muss im historischen Kontext verstanden werden. Sie ist auch ein Ergebnis des Kriegs mit den USA, der Sanktionen usw., und das sollte man mitbedenken.

• Auch Kanada, Finnland, Japan, Südkorea, Indien, Deutschland und die Schweiz haben sich enthalten.
  Wenn man sieht, wie viele autoritär geprägte Staaten auf der Liste der Unterzeichner stehen, wirken die Unterschriften Großbritanniens und Frankreichs wie ein Symbol des Rückschritts der Freiheit.
  Dass sogar Schweden dabei ist, ist überraschend; für Mullvad-Nutzer ist das durchaus ein Grund zur Sorge.

  • Die Gruppe der Enthaltungsstaaten wirkt deutlich besser als die der Unterzeichner.
    Allerdings ist die EU Unterzeichnerin, wodurch die Position von Mitgliedstaaten wie Deutschland unklar erscheint.
    Siehe die Liste der Unterzeichnerstaaten.

• Ich verstehe nicht, warum die USA freiwillig ihre Cyber-Souveränität aufgeben sollten.
  Zumal einige der wichtigsten Unterzeichner kaum vertrauenswürdige Akteure sind.
  Wenn man es ernst meint, sollte das Tencent-Team wieder an öffentlichen CTFs teilnehmen und 0days offenlegen.

  • Tatsächlich bedeutet die Nichtunterzeichnung durch die USA aber auch, dass sie aus einem standardisierten System zum Austausch von Cybercrime-Beweisen herausfallen.
    Der Vertrag ist so aufgebaut, dass Staaten ihre Gesetze angleichen und dieselben Delikte unter Strafe stellen sollen.

• Auf der Liste der Unterzeichner stehen unter anderem Algerien, China, Nordkorea, Russland, Saudi-Arabien, Großbritannien und Schweden.
  Das sind nicht gerade Länder, die man spontan mit einem starken Fokus auf Datenschutz verbindet.

  • Allerdings sind auch entwickelte Länder wie Schweden, Portugal und Uruguay dabei. Ich finde, das ist eine ziemlich ordentliche Liste.
    Mich würde interessieren, welche Länder du als „datenschutzfreundlich“ einstufst.
  • Brasiliens Gesetzgebung zur Online-Privatsphäre ist ziemlich weit entwickelt.
    Auch die EU ist zwar kein Staat, verfügt aber über starke Schutzmechanismen.
    Es ist unangebracht, das allein anhand einfacher Vorurteile zu beurteilen.
  • Das Verständnis von Privatsphäre selbst verändert sich.
    Selbst in Ländern, die Freiheit betonen, ist umfassende Verfolgung über Mobiltelefone, Straßen und online längst Alltag geworden.
    Letztlich muss wohl auch das Konzept eines „freien Landes“ neu definiert werden.

• Die UN schätzt den weltweiten Schaden durch Cyberkriminalität auf 10,5 Billionen US-Dollar, also etwa 10 % des globalen BIP.
  Ich frage mich, wie man auf solche Zahlen kommt.

  • Wenn man sich die internen Beziehungsgeflechte der UN ansieht, also eine von Verwandten und Bekannten der Machtelite geprägte Organisation, fällt es schwer, auch solchen Zahlen zu vertrauen.
  • Wahrscheinlich umfasst die Berechnung in Wirklichkeit die Gesamtkosten der Cybersicherheitsbranche, also Gehälter für Security Engineers, Sicherheitsprodukte usw.
    Laut dem Bericht von Cybersecurity Ventures ergibt sich die Zahl ausgehend von 3 Billionen US-Dollar im Jahr 2015 bei einer jährlichen Wachstumsrate von 15 % mit Zinseszinseffekt.

• Ironischerweise haben einige der größten Profiteure der Cyberkriminalität den Vertrag ausgearbeitet, und darin sind sogar Bestimmungen zur Massenüberwachung enthalten.
  Dass die USA nicht unterzeichnet haben, ist enttäuschend, aber auch nachvollziehbar.

• Russland hat in den letzten 20 Jahren Banken in den USA und der EU gehackt und Millionen von Kreditkartendaten gestohlen.
  Noch immer sind wichtige Täter in Russland aktiv, ohne bestraft zu werden.

  • Russische Hacker sichern sich Straffreiheit, indem sie die Polizei bestechen oder auf Anfrage von GRU/KGB kooperieren.
    Es gibt auch die „stillschweigende Regel“, keine Unternehmen im CIS-Raum anzugreifen.
    Mehr dazu im Bericht von Recorded Future.
  • Russland schaut nicht einfach nur weg, sondern setzt Cyberkriminalität bewusst strategisch ein.
    Eine klassische Täuschungstaktik: mit der linken Hand ablenken und mit der rechten handeln.