CDT Europe fordert von der EU, Lücken bei den Exportregeln für Spyware zu schließen

Was CDT Europe fordert

Laut CDT Europe war die überarbeitete Dual-Use-Verordnung von 2021 ein wichtiger Schritt, um zu verhindern, dass in Europa entwickelte und exportierte Überwachungstechnologien Menschenrechtsverletzungen begünstigen. Dennoch bestünden weiterhin ernsthafte Zweifel, ob der Rahmen in der Praxis funktioniere. Die Stellungnahme verlangt eine konsequentere Umsetzung der bestehenden Schutzmechanismen und die Behebung struktureller Schwächen im Rechtsrahmen.

Die Stellungnahme stützt sich auf die Studie von CDT Europe mit dem Titel From Export Control to Unknown Exports: How the EU's Dual-Use Regime Falls Short on Tackling Spyware. Sie untersuchte, wie die Verordnung in Frankreich, Deutschland, Italien und den Niederlanden angewendet wird. Dabei stellte sie erhebliche Unterschiede in der nationalen Genehmigungspraxis fest, ebenso fragmentierte Erwartungen an die Sorgfaltspflichten, eine begrenzte Überwachung nach dem Export und unzureichende Transparenz bei Exporten von Überwachungstechnologie.

CDT Europe betont, dass die 2021 eingeführten Menschenrechtsschutzklauseln, insbesondere über Artikel 5, erhalten und gestärkt werden müssten.

Definitionen, Sorgfaltspflichten und Genehmigungsverweigerungen

Die erste der fünf Prioritäten betrifft die Definition von Cyberüberwachungsgütern in Artikel 2 Nr. 20, die Technologien erfasst, die speziell dafür konzipiert sind, verdeckte Überwachung zu ermöglichen. Diese Anforderungen können nach Ansicht von CDT Europe die Reichweite der Schutzvorkehrungen der Verordnung für nicht gelistete Technologien einschränken. Die Leitlinien der Kommission von 2024 lieferten zwar Auslegungshilfen und Beispiele, könnten aber die in der Rechtsdefinition angelegten Grenzen nicht überwinden. Da Überwachungsfunktionen zunehmend in umfassendere Systeme integriert werden, müsse die EU prüfen, ob der Rahmen Technologien mit ernsten Menschenrechtsrisiken tatsächlich erfasst.

Die zweite Priorität ist der Auffangmechanismus nach Artikel 5. Artikel 5 Absatz 1 ermöglicht es den Behörden, für nicht gelistete Cyberüberwachungsgüter eine Genehmigung zu verlangen, wenn diese für interne Repression oder für schwere Verstöße gegen Menschenrechte oder das humanitäre Völkerrecht bestimmt sind oder bestimmt sein können. CDT Europe zufolge setzt das voraus, dass die Mitgliedstaaten über die nötigen Informationen, das technische Fachwissen und die Ressourcen verfügen, um risikoreiche Geschäfte zu erkennen. Artikel 5 Absatz 2 stützt sich darauf, dass Exporteure die Behörden informieren. Das wirft nach Darstellung der Organisation ein grundsätzliches Problem auf: Wie weit darf sich ein Rahmen, der Missbrauch verhindern soll, darauf verlassen, dass kommerzielle Überwachungsanbieter Risiken in ihren eigenen Geschäften erkennen und offenlegen? Die Sorgfaltspflicht der Exporteure könne eine unabhängige behördliche Prüfung nicht ersetzen.

CDT Europe weist zudem darauf hin, dass die Leitlinien von 2024 zwar die Prüfung von Transaktionen, die vorgesehene Endverwendung, Risiken im Bestimmungsland und Warnsignale hervorheben, aber keine systematischen Pflichten enthalten, die tatsächliche Nutzung der Technologien nach dem Export zu überprüfen. Gefordert werden eine wirksame Kontrolle der Endverwendung nach dem Export sowie Mechanismen, um auf glaubwürdige Missbrauchsvorwürfe zu reagieren.

Die dritte Priorität ist Klarheit darüber, wann Menschenrechtsrisiken zur Verweigerung einer Ausfuhrgenehmigung führen müssen. Artikel 15 verpflichtet die Mitgliedstaaten, einschlägige Erwägungen zu berücksichtigen, darunter jene des Gemeinsamen Standpunkts der EU zur Ausfuhr von Militärtechnologie. Nach Auffassung von CDT Europe begründet er aber keine allgemeine, ausdrückliche Pflicht, eine Genehmigung zu verweigern, sobald eine definierte Schwelle eines ernsten Risikos erreicht ist. Die verbindlichen Verweigerungskriterien des Gemeinsamen Standpunkts erstreckten sich nicht auf alle nicht gelisteten Cyberüberwachungsgüter, die nach Artikel 5 kontrolliert werden. Die Organisation verweist auf die PEGA-Empfehlungen des Europäischen Parlaments von 2023, die eine Änderung von Artikel 15 forderten, und drängt die Kommission, diese erneut aufzugreifen.

Transfers innerhalb der EU und Transparenz

Die vierte Priorität zielt auf Transfers innerhalb der EU. CDT Europe zufolge kontrolliert die Verordnung Ausfuhren in Drittstaaten, sieht aber keine vergleichbare allgemeine Genehmigungspflicht für Transfers von Spyware und verwandten Technologien zwischen den Mitgliedstaaten vor. Genehmigungen für Transfers innerhalb der EU beschränkten sich auf eine kleine Gruppe sensibler Güter in Anhang IV, etwa Kryptoanalyse-Werkzeuge, die meisten nuklearbezogenen Güter, Tarnkappentechnologie sowie Güter im Zusammenhang mit Raketen und chemischer Kriegsführung. Cyberüberwachungsgüter stünden nicht auf dieser Liste, obwohl sie nach Einschätzung der Organisation ein hohes Risiko für die öffentliche Sicherheit darstellen.

Die Organisation bringt diese Lücke mit wachsenden Belegen für Spyware-Missbrauch innerhalb der Union und mit komplexen Unternehmensstrukturen in Verbindung. Anbieter könnten über Tochtergesellschaften, verbundene Unternehmen und Zwischenhändler in mehreren Rechtsordnungen operieren, was es erschwere nachzuverfolgen, wie Technologien weitergegeben werden und wer dafür verantwortlich ist. Die Verordnung verlange keine verpflichtende Offenlegung der Unternehmensstrukturen von Exporteuren. Laut CDT Europe kann dies Möglichkeiten zur Regulierungsarbitrage schaffen. Die Organisation fordert die Kommission auf, verhältnismäßige Schutzvorkehrungen für Transfers innerhalb der EU zu prüfen und die Genehmigungsbehörden stärker zu verpflichten, Informationen über die beteiligten Unternehmen einzuholen und auszutauschen.

Die fünfte Priorität besteht darin, Entscheidungen der Exportkontrolle transparenter und rechenschaftspflichtiger zu machen. Der veröffentlichte Text bricht bei der Erläuterung dieses Punkts ab, doch CDT Europe stellt fest, dass unzureichende Transparenz es erschwere zu beurteilen, ob die Menschenrechtsschutzklauseln der Verordnung greifen.

Was das bedeutet

Die Stellungnahme fließt in die Evaluierung der Verordnung durch die Kommission ein, ihre Vorschläge sind daher Empfehlungen und keine verbindlichen Änderungen. Für die Spyware-Branche und die nationalen Genehmigungsbehörden lautet die Botschaft von CDT Europe: Die geltenden Regeln lassen Raum für uneinheitliche Durchsetzung, für die Verlässlichkeit auf die Selbsteinschätzung der Anbieter und für eine schwache Aufsicht darüber, wie exportierte Werkzeuge eingesetzt werden.