5, 9 und 14 Eyes: Wer gehört dazu, was wird geteilt und was bedeutet das für ein VPN

Diese Namen bezeichnen drei verschachtelte Gruppen von Ländern, deren Nachrichtendienste abgefangene Daten austauschen. Nur der innerste Kreis beruht auf einem öffentlich anerkannten Abkommen; die weiteren Ringe sind vor allem aus Dokumenten bekannt, die Edward Snowden geleakt hat. Für VPN-Nutzer ist der praktische Punkt enger gefasst: Entscheidend ist das Recht des Landes, in dem der Anbieter registriert ist, denn dieses Recht bestimmt, zur Speicherung und Herausgabe welcher Daten das Unternehmen verpflichtet werden kann.

Wer in welchem Kreis sitzt

Die Bezeichnung geht auf Geheimhaltungsvermerke wie „AUS/CAN/NZ/UK/US EYES ONLY“ zurück, die auf Dokumenten für die fünf Gründungsdienste angebracht waren. Die NSA hat die Gründungsdokumente des UKUSA-Abkommens freigegeben, und die fünf Regierungen bekennen sich offen zur Partnerschaft. Für die beiden äußeren Ringe existiert kein veröffentlichtes Abkommen, daher ist jede Mitgliedsliste eine Rekonstruktion aus geleakten Dateien und Berichten darüber. Ein internes GCHQ-Dokument, das The Guardian zitierte, hielt fest, dass Deutschland sich darüber ärgerte, bei der Gruppe der 9 Eyes außen vor gelassen zu werden.

Was die Leaks über den Datenaustausch zeigten

Der Zugang schrumpft, je weiter der Kreis reicht

Im inneren Fünferkreis teilen sich die Dienste nahezu alles: Rohdaten der Abhörung, Finanzierung, technische Systeme und Personal. Die Analyse der Snowden-Dateien durch The Guardian vom November 2013 beschreibt diese Staffelung, weist darauf hin, dass Partner jenseits des inneren Fünferkreises nur einen stärker eingeschränkten Austausch erhalten, und erwähnt eine weitere Stufe, mitunter 41 Eyes genannt, die die breitere alliierte Koalition in Afghanistan umfasst.

Partnerstatus schützt nicht vor Ausspähung

Laut einem Bericht von Der Spiegel aus dem Jahr 2013 über ein geleaktes NSA-Papier erklärte die Behörde, sie „kann die Signale der meisten ausländischen Drittpartner gezielt überwachen und tut dies häufig“. Drittpartner sind nicht vor der Ausspähung durch die NSA geschützt.

Warum sich die Dienste gegenseitig aushelfen

Die Nachrichtendienste selbst unterliegen bei der Überwachung der eigenen Bürger engen Grenzen, bei Ausländern hingegen deutlich weniger strengen. Kritiker argumentieren, der Austausch erlaube jedem Partner zu erfassen, was die anderen nicht erfassen dürfen, und es dann weiterzugeben. Ein Richter des kanadischen Federal Court, Richard Mosley, verlieh dieser Behauptung 2013 Gewicht: Er rügte den CSIS dafür, Five-Eyes-Partner gebeten zu haben, Kanadier im Ausland abzuhören, ohne das Gericht zu informieren.

Was die Allianz für ein VPN-Unternehmen bedeutet

Ein Anbieter unterliegt den Gesetzen des Staates, in dem er registriert ist: Anordnungen zur Datenspeicherung, Herausgabeanordnungen für gespeicherte Daten, Schweigepflicht-Anordnungen. In den USA erlaubt FISA Section 702 der Regierung, amerikanische Dienstleister zu verpflichten, bei der Erfassung von Kommunikationen von Ausländern im Ausland mitzuwirken. Die Allianz fügt einen einzigen Schritt hinzu: Daten, die ein Dienst bereits rechtmäßig erlangt hat, dürfen an Partnerdienste weitergegeben werden. Ein ausländischer Dienst hat hingegen keine Befugnis, einem Unternehmen außerhalb seines eigenen Landes Anordnungen zuzustellen.

Was sie nicht bedeuten

Wer außerhalb aller vierzehn Staaten sitzt, ist damit nicht außerhalb der Überwachung. Jedes Land hat eigene Regeln zur Abhörung, und Privacy International dokumentiert eine weitere „Tier B“ genannte Stufe fokussierter Zusammenarbeit, darunter Staaten außerhalb der vierzehn. Der Ausgangsserver unterliegt dem Recht des Landes, in dem die Hardware steht, während Konto, Zahlung und Protokollierungsrichtlinie beim Heimatland des Unternehmens bleiben; ein Wechsel des Ausgangsknotens ändert nichts an der Gerichtsbarkeit. Beim Abhören von Kabeln und an Internetknoten spielt das Land der Unternehmensregistrierung ohnehin keine Rolle; dort sind der Verschlüsselungstunnel und eine No-Logs-Richtlinie, die begrenzt, was ein Dienst erlangen kann, Ihr Schutz.

Wie VPNRadarLab die Allianz gewichtet

Die Allianz zählt als ein kleines Kriterium innerhalb der Datenschutz-Teilwertung; die genaue Skala finden Sie im VPN-Gerichtsbarkeit-Hub. Wenn Sie eine fertige Auswahl suchen, umfasst das Ranking von VPNs mit Sitz außerhalb der 14 Eyes 204 Anbieter, von denen 137 genug veröffentlichte Daten für das Hauptranking liefern.

FAQ

Gehört die Schweiz zu den 14 Eyes?

Nein. Sie gehört keinem der drei Kreise an, wird aber von Privacy International unter den „Tier B“-Staaten mit fokussierter Zusammenarbeit bei der Ausspähung von Computernetzwerken geführt.

Sind die Five Eyes noch aktiv?

Ja. Alle fünf Regierungen bekennen sich öffentlich zur Partnerschaft.

Sollte ein Sitz in den 14 Eyes ein VPN ausschließen?

Nein. Lesen Sie zuerst die Protokollierungsrichtlinie, prüfen Sie, ob ein unabhängiger Auditor sie getestet hat, und schauen Sie erst danach auf das Registrierungsland. Ein Unternehmen, das nicht angibt, wo es registriert ist, bietet Ihnen keine Grundlage für diese Beurteilung; behandeln Sie es wie einen Five-Eyes-Sitz.

Die Kurzfassung

Der anerkannte Kern sind die Five Eyes, die Gruppe von fünf Staaten, die Rohdaten der Nachrichtengewinnung teilen; Nine Eyes und Fourteen Eyes sind weitere Ringe, die aus den Snowden-Leaks rekonstruiert wurden, und selbst Partner können von der NSA ausgespäht werden. Die Pflichten eines VPN-Unternehmens ergeben sich aus seinem Heimatrecht; die Allianzen bestimmen vor allem, wohin bereits erfasste Daten weitergereicht werden dürfen. Lesen Sie die Richtlinie, suchen Sie nach einem Audit und prüfen Sie dann das Registrierungsland.