Google übermittelt auf Anfrage der ICE Bank- und Kreditkartendaten einer studentischen Journalistin

• Auf Grundlage einer von der US-Einwanderungs- und Zollbehörde (ICE) ausgestellten Vorladung (subpoena) hat Google persönliche Daten wie Bank- und Kreditkartennummern einer studentischen Journalistin herausgegeben
• Betroffen ist Amandla Thomas-Johnson, die nach ihrer Teilnahme an einem Protest gegen ein Unternehmen, das Waffen an Israel liefert, auf einer Jobmesse der Cornell University 2024 mit einem Campusverbot belegt wurde
• ICE verlangte von Google umfangreiche Daten wie Benutzernamen, Adressen, IP-Masking-Dienste, Telefonnummern, Teilnehmerinformationen und Zahlungsdaten, und Google kam dem ohne vorherige Benachrichtigung nach
• Die Electronic Frontier Foundation (EFF) und die ACLU fordern große Tech-Unternehmen wie Google, Amazon und Apple auf, behördlichen Anfragen ohne Gerichtsbeschluss zu widersprechen und Nutzer zu benachrichtigen
• Fachleute weisen darauf hin, dass der Fall die Notwendigkeit einer Reform der Gesetze zum digitalen Datenschutz und von Grenzen für die Zusammenarbeit von Big Tech mit Behörden zeigt

---

ICE-Vorladung und Googles Reaktion

• ICE stellte eine Vorladung aus, in der Details zum Gmail-Konto von Amandla Thomas-Johnson verlangt wurden
  • Zu den angeforderten Daten gehörten Benutzername, Adresse, Nutzungsverlauf des Dienstes, IP-Masking-Dienste, Telefonnummer, Teilnehmerkennungen sowie Kreditkarten- und Bankkontonummern
  • ICE bat Google, die Existenz dieser Vorladung auf unbestimmte Zeit geheim zu halten
• Google schickte Thomas-Johnson lediglich eine kurze E-Mail mit dem Hinweis, dass bereits Metadaten an das Department of Homeland Security (DHS) übermittelt worden seien; eine Möglichkeit zur vorherigen Reaktion gab es nicht
• Thomas-Johnson bestätigte, dass mit ihrem Konto Zahlungsinformationen für App-Käufe verknüpft waren
• Ein Anwalt von Google erklärte, man habe „nur grundlegende Teilnehmerinformationen bereitgestellt“, doch der volle Umfang der übermittelten Daten bleibt weiterhin unklar

Hintergrund der studentischen Journalistin und Ablauf des Falls

• Thomas-Johnson nahm 2024 an der Cornell University etwa fünf Minuten lang an einem Protest gegen Unternehmen teil, die Waffen an Israel liefern, und erhielt danach ein Campusverbot
• Nachdem Präsident Donald Trump nach seinem Amtsantritt eine Executive Order gegen Studierende erlassen hatte, die an pro-palästinensischen Protesten beteiligt waren, ging sie gemeinsam mit ihrem Freund Momodou Taal in den Untergrund
• Taal konnte über seine Anwälte rechtlich erfolgreich gegen Vorladungen an Google und Meta vorgehen, Thomas-Johnson erhielt diese Möglichkeit jedoch nicht
• Sie lebt derzeit in Dakar, Senegal, und sagte, das Informationsersuchen der ICE habe dem Zweck gedient, sie aufzuspüren und festzunehmen

Reaktion von Bürgerrechtsgruppen und Kritik an Tech-Unternehmen

• Die EFF und die ACLU of Northern California schickten Schreiben an große Unternehmen wie Google, Amazon, Apple, Discord, Meta, Microsoft und Reddit und forderten sie auf, künftigen ähnlichen DHS-Vorladungen ohne Gerichtsbeschluss nicht nachzukommen
  • In dem Schreiben wird betont, dass Unternehmen Nutzer vorab benachrichtigen sollten, um ihnen eine rechtliche Gegenwehr zu ermöglichen
  • Zudem werden die Unternehmen aufgefordert, sich gegen Geheimhaltungsanordnungen (gag orders) zu wehren und Nutzer über die Ausstellung von Vorladungen zu informieren
• In dem Schreiben heißt es, die Regierung verlange wiederholt Daten von Tech-Unternehmen, um Kritiker zu identifizieren, und die Unternehmen würden es versäumen, Nutzerprivatsphäre und Meinungsfreiheit gegen rechtswidrige Überwachung zu verteidigen
• In einem anderen Fall bei Meta wurde die Offenlegung der Identität von Nutzern verlangt, die Einwanderungsrazzien dokumentiert hatten; diese Nutzer konnten jedoch dank vorheriger Benachrichtigung gerichtlich dagegen vorgehen

Rechtliche und politische Streitpunkte

• Professorin Lindsay Nash von der Cardozo Law School kritisierte, Google habe durch die unterlassene Vorabbenachrichtigung Einzelpersonen die Möglichkeit genommen, ihre Rechte zum Schutz ihrer Daten auszuüben
• Der Stored Communications Act und Section 5 des Federal Trade Commission Act (FTC Act) regeln die Datenweitergabe durch Tech-Unternehmen, doch ob dabei eine Täuschung von Verbrauchern vorliegt, bleibt umstritten
• Professor Neil Richards (Washington University in St. Louis) erklärte, dass ein Unternehmen, das seine Datenpraktiken falsch darstellt, als irreführende Geschäftspraxis eingestuft werden könnte
  • Er verwies auf den Fall Cambridge Analytica und sagte, Fragen der Transparenz bei Datenerhebung und -weitergabe seien seit Jahrzehnten Gegenstand rechtlicher Auseinandersetzungen

Notwendigkeit einer Reform des Datenschutzes

• In Googles öffentlich zugänglicher Datenschutzrichtlinie heißt es, dass Informationen auf Grundlage „rechtsverbindlicher behördlicher Anfragen“ herausgegeben werden können; zugleich erklärt Google, überzogene oder verfahrensrechtlich problematische Anfragen ablehnen zu können
• Googles Transparenzbericht zufolge gingen in den vergangenen zehn Jahren Millionen staatlicher Anfragen nach Nutzerdaten ein, deren Zahl in den letzten fünf Jahren stark gestiegen ist
  • Unklar ist, bei welchem Anteil dieser Anfragen Nutzer vor oder nachträglich benachrichtigt wurden
• Professor Richards betonte, es brauche Gesetzesänderungen zur Verschärfung der Voraussetzungen für staatlichen Zugriff auf digitale Daten sowie Regulierungen, die die Weitergabe von Informationen durch Big Tech begrenzen
• Er sagte, die Beziehungen zwischen Big Tech und dem Staat seien im vergangenen Jahr noch enger geworden und hätten sich zu einer staatstragenderen Haltung entwickelt

Reaktion der Journalistin und der Kontext der Pressefreiheit

• Thomas-Johnson sagte, der Fall habe sie schockiert, weil sie damit Überwachungsstrukturen, die sie als Journalistin bislang nur von außen beobachtet hatte, nun selbst erfahren habe
• Sie sagte: „In einer Zeit, in der Regierung und Big Tech uns verfolgen, inhaftieren und zerstören können, müssen wir neu darüber nachdenken, was Widerstand bedeutet.“
• Ihre Aussagen gelten als Anlass, die Rolle von Tech-Unternehmen an der Schnittstelle von Pressefreiheit und digitaler Überwachung neu zu beleuchten
• Ein Update am Ende des Artikels besagt, dass ihr Rechtsteam den vollständigen Umfang der von Google an ICE übermittelten Informationen noch immer nicht ermittelt hat

[GN⁺]

Hacker-News-Kommentare

• Teilt den Link zum Originalartikel (Archiv)

• Ich finde es in Ordnung, wenn Unternehmen Kundendaten herausgeben, wenn es einen gültigen richterlichen Durchsuchungsbefehl oder eine Vorladung gibt.
  Das Problem ist die Struktur, die es dem DHS erlaubt, administrative Vorladungen (administrative subpoenas) zu missbrauchen.
  Diese werden ohne richterliche Prüfung ausgestellt und richten sich nicht gegen Kriminelle.
  Früher erhöhte das die Effizienz von Ermittlungen, heute ist es ein Mittel geworden, mit dem ICE wahllose Festnahmen ohne richterliche Aufsicht durchführt.
  Letztlich ist das größere Problem nicht die Privatsphäre, sondern dass der Kongress ein solches „Schatten-Justizsystem“ gewähren lässt.

  • Beides kann gleichzeitig wahr sein. Es ist eine Frage der Privatsphäre und zugleich ein institutionelles Problem.
  • Es gibt immer Spielraum dafür, dass menschliche Unvollkommenheit rechtliche Verfahren beeinflusst.
    Zu spekulieren, ob eine Behörde „es diese Woche wohl richtig macht“, ist vergeblich.
    Sie versuchen immer, Grenzen zu überschreiten, und sind nie zufrieden.
  • Man kann diese Situation nicht als „das System funktioniert wie beabsichtigt“ ansehen.
    In einem freien Staat sollte man Menschen nicht ohne begründeten Anlass verfolgen können.
  • Wenn es sich um eine administrative Vorladung ohne richterliche Prüfung handelt, klingt das auch nach schlechten Nachrichten für das System der Magistratsrichter (magistrates).
  • Selbst in den „guten Zeiten“ war ein solches System weiterhin eine Form des Missbrauchs staatlicher Macht.
    Nur waren die meisten Menschen nicht direkt betroffen und entwickelten deshalb kein Problembewusstsein.
    Das ist ein ähnliches Phänomen wie die je nach Regierungspartei wechselnde Haltung zur Verteidigung der Meinungsfreiheit.

• Ich frage mich, warum der Titel geändert wurde.
  Der ursprüngliche Titel war „Google Fulfilled ICE Subpoena Demanding Student Journalist’s Bank and Credit Card Numbers“.
  Siehe die HN-Richtlinien.

  • Vermutlich hat der Einreicher anfangs den Originaltitel verwendet, und die Quelle wurde später geändert.
    Im Archivlink steht „GOOGLE HANDED ICE STUDENT JOURNALIST’S BANK AND CREDIT CARD NUMBERS“.

• Google veröffentlicht Statistiken zu Regierungsanfragen im Transparenzbericht.
  Ich selbst war vor ein paar Jahren in einem National Security Letter (NSL) des FBI enthalten.
  Nachdem die Geheimhaltungsfrist abgelaufen war, wurde ich von Google benachrichtigt.

  • Mich würde interessieren, aus welchem Grund du einen NSL bekommen hast und ob das zu einer Durchsuchung oder Anklage geführt hat.
  • Ich würde gern fragen, wie du auf diese Liste geraten bist, was danach passiert ist und ob du rechtlich dagegen vorgegangen bist.

• Ich frage mich, ob diese Zahlungsinformationen tatsächlich Ausgabedaten sind oder Informationen aus dem Kreditkarten-Prüfverfahren zur Altersverifikation bei YouTube.
  Also könnten es Daten sein, die im Zuge der Altersprüfung von YouTube erhoben wurden, um zu entscheiden, ob Inhalte für Erwachsene angezeigt werden.

• Hinterlässt einen satirischen Kommentar nach dem Motto: „Ladet unbedingt euren Führerschein und Ausweis hoch, um die Kinder zu schützen.“

• Zentralisiertes Bankensystem, zentralisiertes Internet, zentralisierte Macht — es wird spöttisch gefragt, ob in einer solchen Struktur wohl irgendetwas schiefgehen könnte.

• Es wird gefragt, ob Google rechtlich verpflichtet war, die Daten herauszugeben.

  • Bei einer gewöhnlichen gerichtlichen Vorladung wäre die Antwort „ja“, bei einer administrativen Vorladung muss man jedoch ein rechtliches Risiko eingehen.
    Die richterliche Prüfung erfolgt erst später. Wenn Google sie für unzulässig hält, kann das Unternehmen vor Gericht widersprechen, muss bis dahin aber entweder leisten oder das Risiko einer Missachtungsstrafe wegen Gerichtsverachtung eingehen.
  • Laut dem ACLU-Dokument bestand keine rechtliche Pflicht.
    Google hat die Informationen also freiwillig übergeben.
    Administrative Vorladungen haben keine rechtlich erzwingbare Wirkung, und für die Durchsuchung einer Wohnung ist zwingend ein richterlich unterzeichneter Durchsuchungsbefehl erforderlich.
  • Rechtlich braucht es die Unterschrift eines Richters, damit ein Unternehmen Unterlagen herausgeben muss.
    In diesem Fall scheint das Schreiben allein vom DHS ausgestellt worden zu sein; problematisch ist gerade, dass dies ohne richterliche Genehmigung geschah.
    Dass Google einige Informationen herausgab und zugleich die betroffene Person informierte, war eine Maßnahme, um die Möglichkeit einer rechtlichen Gegenwehr zu geben.
    Falls diese Anfrage insbesondere dem Zweck diente, Teilnehmer einer Protestaktion zu bestrafen, wäre das eine ernsthafte Bedrohung für die Rechtsstaatlichkeit.
  • Es gibt auch die Ansicht, dass die Frage „Gab es eine rechtliche Pflicht?“ in einem Staat, der bereits in Richtung Autoritarismus kippt, an sich bedeutungslos ist.

• Gibt es in einer solchen Situation für Nutzer irgendeine Möglichkeit, sich selbst zu schützen?

  • Das Beste ist, keine Produkte großer US-Tech-Unternehmen zu nutzen.
    Apple mag etwas besser sein als Google, aber am Ende kann ICE auf jedes US-Unternehmen zugreifen.
  • In solchen Fällen könnte der Staat die Informationen auch dann von anderen Unternehmen (Versorgern, Geschäften usw.) bekommen, wenn es nicht Google wäre.
    Informationen, die vom Staat ausgestellt oder genehmigt werden (Zahlungen, Identität usw.), lassen sich letztlich nicht vermeiden.
    Wichtig ist, Google oder Cloud-Dienste als Systeme zu betrachten, auf die der Staat zugreifen kann, und keine sensiblen Informationen dort abzulegen.
    Die Cloud ist letztlich nur der Computer eines anderen.
  • Es wird empfohlen, zentralisierte Dienste zu meiden und nach Möglichkeit Self-Hosting zu betreiben.
    Also Dinge wie Mail, Kontakte und Speicher selbst zu verwalten.
  • Es wird ein einfacher Leitfaden für praktische Privatsphäremaßnahmen vorgeschlagen.
    • Keine sozialen Netzwerke nutzen
    • Auf dem PC Linux, auf dem Smartphone GrapheneOS installieren
    • Cloud-Dienste selbst hosten
    • Signal oder eigenes Matrix/XMPP verwenden
    • Wegwerf-SIMs, Barzahlung und Kryptowährungen nutzen
    • Außer bei Behörden unter Pseudonym auftreten
    • Tor, VPN und Werbeblocker einsetzen
  • Es wird geraten, nicht zu versuchen, sich aus der Datenerfassung „abzumelden“, sondern die Erfassung selbst zu verhindern oder den Dienst gar nicht erst zu nutzen.

• Der Titel sollte als „Google handed over these things“ formuliert sein.
  Andernfalls entsteht eine Bedeutungsverwirrung, als hätte Google diese Dinge erhalten.