Kanadas Gesetzentwurf C-22 verpflichtet zur massenhaften Überwachung von Metadaten kanadischer Bürger

• Die kanadische Regierung hat mit Gesetzentwurf C-22, dem „Lawful Access Act“, eine neue Vorlage eingebracht, die die Pflicht zur Zusammenarbeit bei Überwachung und Abhörmaßnahmen für Telekommunikationsunternehmen und Internet Service Provider (ISP) ausweitet
• Der neue Gesetzentwurf schränkt die Befugnis zum zugriff ohne richterlichen Beschluss zwar deutlich ein, enthält aber weiterhin den Aufbau von Überwachungsinfrastruktur in Kommunikationsnetzen und eine Pflicht zur Speicherung von Metadaten, was erhebliche Risiken für die Privatsphäre birgt
• Der Entwurf besteht aus zwei Teilen: Der erste verbessert die Verfahren für den Datenzugriff, der zweite regelt über das „Support for Authorized Access to Information Act (SAAIA)“ die Anforderungen an Überwachungstechnik
• SAAIA führt den neuen Begriff „Electronic Service Provider (ESP)“ ein, erweitert den Regulierungsrahmen damit auch auf globale Plattformen wie Google und Meta und verlangt die Speicherung von Metadaten für bis zu ein Jahr
• Obwohl die Regierung den zugriff ohne richterlichen Beschluss teilweise eingeschränkt hat, bestehen wegen ausgebauter Überwachungskapazitäten und Geheimhaltungsklauseln weiterhin Sorgen über geschwächte Netzwerksicherheit und Eingriffe in Bürgerrechte

---

Überblick über Gesetzentwurf C-22

• Gesetzentwurf C-22 (Lawful Access Act) ist ein neuer kanadischer Gesetzesvorschlag zur Überwachung und stellt eine überarbeitete Fassung des früher umstrittenen Gesetzentwurfs C-2 dar
  • C-2 erlaubte den Zugriff auf personenbezogene Daten ohne richterlichen Beschluss und löste verfassungsrechtliche Kontroversen aus
  • Daraufhin strich die Regierung die Zugriffsbestimmungen aus C-2 und legte C-22 als separates Gesetz vor
• C-22 behandelt zwei zentrale Bereiche
  • die Verfahren für den Zugriff von Strafverfolgungsbehörden auf personenbezogene Daten, die bei Telekommunikationsunternehmen (ISP, Mobilfunkanbietern usw.) gespeichert sind
  • den Aufbau von Überwachungs- und Monitoring-Kapazitäten in kanadischen Kommunikationsnetzen

Änderungen bei den Verfahren für den Datenzugriff

• Der neue Entwurf schafft das frühere umfassende Recht auf Informationsanforderungen ohne richterlichen Beschluss ab und ersetzt es durch ein „confirmation of service“
  • Die Polizei darf nur noch anfragen, ob eine bestimmte Person Kunde des jeweiligen Telekommunikationsanbieters ist
  • Für den Zugriff auf weitere personenbezogene Daten ist eine gerichtliche Genehmigung (Produktionsanordnung) erforderlich
• Diese Änderungen begrenzen den Umfang von Anforderungen ohne richterlichen Beschluss auf Telekommunikationsunternehmen und verlangen für den Zugriff auf personenbezogene Daten gerichtliche Aufsicht
• Der Gesetzentwurf enthält außerdem eigene Bestimmungen zu freiwilliger Datenweitergabe, Notfällen und Anfragen ausländischer Behörden
  • Allerdings gilt der niedrige Maßstab „reasonable grounds to suspect“ weiterhin als problematisch

Zentrale Inhalte von SAAIA (Support for Authorized Access to Information Act)

• SAAIA, die zweite Hälfte des Gesetzentwurfs, verpflichtet Telekommunikationsunternehmen zum Aufbau von Überwachungs- und Monitoring-Kapazitäten
  • Sie müssen mit Regierung und Strafverfolgungsbehörden zusammenarbeiten, damit Zugriff auf Kommunikationsnetze und Abhörfunktionen getestet werden kann
  • Für alle Anfragen gilt eine Geheimhaltungspflicht
• Es wird eine neue Definition des „Electronic Service Provider (ESP)“ eingeführt
  • Erfasst werden alle Anbieter elektronischer Dienste, die in Kanada Dienste anbieten oder geschäftlich tätig sind
  • Damit könnten auch globale Plattformen wie Google und Meta einbezogen werden
• Unternehmen, die als „core providers“ eingestuft werden, unterliegen zusätzlichen Pflichten
  • darunter Aufbau und Erhalt von Überwachungsfunktionen, Installation und Betrieb von Geräten, Meldungen an die Regierung sowie die Speicherung von Metadaten für bis zu ein Jahr

Speicherung von Metadaten und Ausnahmeregeln

• Die Pflicht zur Speicherung von Metadaten gab es in C-2 nicht und wurde erst in C-22 neu aufgenommen
  • Ausgenommen von der Speicherung sind jedoch Kommunikationsinhalte, Web-Browsing-Verläufe und Social-Media-Aktivitäten
• Es gibt eine Ausnahmeregel für systemic vulnerability
  • Wenn Überwachungsfunktionen Sicherheitslücken verursachen oder deren Behebung behindern, müssen Unternehmen die betreffende Vorgabe nicht befolgen
• Dennoch gibt es Bedenken, dass diese Ausnahme nicht ausreicht, um eine Schwächung der Sicherheit zu verhindern
  • Zudem wird darauf hingewiesen, dass Änderungen nicht veröffentlicht und heimlich umgesetzt werden könnten

Bedenken zu Überwachung, Sicherheit und internationalem Datenaustausch

• SAAIA wirft zahlreiche Fragen zu Schwachstellen in der Netzwerksicherheit, Geheimhaltung, Kosten und Aufsichtsstrukturen auf
• Einige Regelungen werden als auf internationale Zusammenarbeit beim Informationsaustausch mit dem Zweiten Zusatzprotokoll (2AP) zur Budapester Konvention und dem US CLOUD Act ausgerichtet interpretiert
• Insgesamt wird Gesetzentwurf C-22 so bewertet, dass er den zugriff ohne richterlichen Beschluss zwar einschränkt, wegen des Ausbaus der Überwachungsinfrastruktur und der massenhaften Erfassung von Metadaten aber weiterhin ein hohes Risiko für Privatsphäre und bürgerliche Freiheiten darstellt

[GN⁺]

Hacker-News-Kommentare

• Ich frage mich, ob man einen Monitoring-Agenten bauen könnte, der Abgeordnete und Opposition automatisch benachrichtigt, sobald ein neuer Gesetzentwurf eingebracht wird, um zu verhindern, dass Politiker immer wieder Gesetzentwürfe einbringen, die die Privatsphäre verletzen

• Im Originaltext des Gesetzentwurfs steht, dass ein warrant erforderlich ist. In den neu hinzugefügten Bestimmungen heißt es jedoch, dass ein Richter, wenn er es „unter bestimmten Umständen für gerechtfertigt hält“, der betroffenen Partei keine Kopie des warrant aushändigen muss. Das wirkt wie ein subjektives Schlupfloch, mit dem Bürgerrechte umgangen werden können

  • Ich sehe in dieser Klausel kein großes Problem. Ein Richter muss den warrant ja trotzdem ausstellen, und es wurde lediglich eine Ausnahme geschaffen, durch die die Zustellung einer Kopie verzögert werden kann. Situationen, in denen die Polizei behauptet: „Wir haben einen warrant, müssen ihn aber nicht zeigen“, wird es kaum geben; und in solchen Fällen ist es sehr wahrscheinlich, dass die Beweise vor Gericht nicht zugelassen werden
  • Richter werden so etwas nicht ohne Grund genehmigen. Dadurch könnten die Grenzen des Rechts etwas unschärfer werden, aber es ist kein großes Problem. Kanada hat wie Europa eine starke bürokratische Neigung zu Recht und Verfahren, sodass das System zwar Spielraum für Fehlentwicklungen hat, aber das ist etwas anderes als politische Diktatur oder institutioneller Kontrollverlust

• Zusammenfassung für Eilige: Kanadas Bill C‑22 (2026) ändert die Gesetze so, dass Ermittlungsbehörden schneller und klarer auf digitale Daten zugreifen können. Die Befugnisse zum Erhalt von Teilnehmerinformationen, Übertragungsdaten und Tracking-Daten von Telekommunikationsunternehmen, Online-Diensten und ausländischen Firmen werden ausgeweitet, und es wird ein rechtlicher Rahmen geschaffen, damit Anbieter elektronischer Dienste Ermittlungen unterstützen

  • In der Zusammenfassung fehlt aber der Teil zu 'warrantless'. Der Grund, warum die Regierung solche Befugnisse vorantreibt, ist, dass Kanada innerhalb der Five Eyes das einzige Land ist, das solche Befugnisse nicht hat
  • Das wirkt wie eine kanadische Version des US-amerikanischen CALEA (Communications Assistance for Law Enforcement Act)

• Die Zusammenarbeit der Five Eyes (oder 9, 14 Eyes) besteht seit dem Kalten Krieg, wurde aber nicht an die heutigen geopolitischen und technologischen Veränderungen angepasst. Gerade in einer Phase, in der die Kooperation eher verstärkt wird, zweifeln Wähler an der Zukunft des US-Bündnisses. Ich wünschte, die Regierungschefs der einzelnen Länder wären ehrlicher, was ausländischen Druck angeht. Über den Einfluss von Verbündeten zu schweigen und nur den Einfluss nicht verbündeter Staaten zu kritisieren, ist eine Bedrohung für die Demokratie

  • Von „Schweigen“ zu sprechen ist fragwürdig, denn Kanadas Premierminister hat sich öffentlich zu Veränderungen in den Beziehungen zu den USA geäußert und eine neue diplomatische Einigung angestoßen
  • Die Beziehungen zu den USA abzubrechen wäre ein ebenso törichter Schritt wie Trumps Bruch mit Europa

• Wenn man den Gesetzestext liest, scheint das den rechtmäßigen Zugriffsrechten zu ähneln, die Sicherheitsbehörden in anderen westlichen Demokratien haben. Ohne übertriebene dystopische Fantasien würde mich interessieren, was daran konkret problematisch ist

• Der Gesetzentwurf behauptet, er verleihe „keine neuen Befugnisse“, tatsächlich steht darin aber ausdrücklich, dass Geldstrafen oder Freiheitsstrafen drohen, wenn Metadaten nicht bis zu ein Jahr lang gespeichert werden

• Als kanadischer Bürger frustriert es mich, dass die Regierung immer wieder Überwachungsgesetze durchdrücken will, die bereits mehrfach abgelehnt wurden.
  Ich verstehe nicht, warum man eine nationale Überwachungsinfrastruktur direkt an die ISP-Backbones anschließen will.
  Das ist im Grunde nichts anderes, als würde mir die Polizei ohne jeden Verdacht folgen und protokollieren, mit wem ich gesprochen habe und wann.
  Wenn diese Daten dann auch noch bei privaten Auftragnehmern gespeichert werden, steigt das Risiko von Leaks oder Zivilklagen.
  Laut dem Gesetzentwurf taucht der neue Begriff „electronic service provider“ auf, was offenbar nicht nur Telekommunikationsunternehmen, sondern auch Plattformen wie Google, Meta einschließen soll.
  Der Oberste Gerichtshof Kanadas hat sich bereits kritisch zu einer Herausgabe personenbezogener Daten ohne warrant geäußert.
  Die bestehenden Ermittlungsbefugnisse reichen aus, warum also Plattformen unbedingt zu Hilfsorganen der Strafverfolgung machen?
  Solche Systeme sind Strukturen, wie man sie eher in autoritären Staaten erwarten würde; das Missbrauchsrisiko ist viel zu groß, und sie schaden der Demokratie

  • Solche Maßnahmen könnten auch eine Vorsorge für unpopuläre Maßnahmen sein, die in den nächsten zehn Jahren kommen. Damit würde im Voraus die Grundlage geschaffen, um große Gruppen von Gegnern zu verfolgen

• Statt wie andere Länder Vorwände wie „Kinderschutz“ oder „Altersverifikation“ vorzuschieben, treibt die kanadische Regierung einfach ganz offen ein System zur Massenüberwachung voran — auf ihre eigene effiziente(?) Art. Ausgerechnet in solchen Momenten geht es ohne Bürokratie schnell

• Nur zwei Stunden nach der Veröffentlichung wird fast die Hälfte der Kommentare wegen extremer Reaktionen kritisiert.
  Es ist enttäuschend, dass solche Überwachungsgesetze immer weiter vorangetrieben werden, einfach „für den Fall der Fälle“.
  Noch eher wäre ich für ein Modell, bei dem Hosts öffentliche Inhalte selbst moderieren, aber auch das hat Nebenwirkungen, etwa bei der Frage, welche Inhalte gemeldet werden müssen

• Regierungen, die einst auf Freiheit und rechtsstaatliche Verfahren stolz waren, scheinen sich nun in Überwachungssysteme zu verwandeln, die die eigene Bevölkerung einsperren