Kann Indien Benutzernamen in verschlüsselten Messaging-Apps tatsächlich verbieten?

Lange bevor ein Benutzer eine private Nachricht sendet, entscheidet der Softwarearchitekt an einem Schreibtisch in Tausenden von Kilometern Entfernung, ob diese Nachricht eine Telefonnummer benötigt, um zu existieren. Diese technische Entscheidung ist nun ein rechtliches Schlachtfeld in Indien. Das Ministerium für Elektronik und Informationstechnik hat kürzlich formelle Bescheide an Telegram und Signal gerichtet. Die Regierung möchte, dass diese Plattformen Funktionen rechtfertigen, die es Menschen ermöglichen, über Benutzernamen zu kommunizieren, anstatt ihre Telefonnummern preiszugeben. Dieser Schritt folgt auf ein Drei-Tage-Ultimatum an WhatsApp, das das Unternehmen zwang, die Einführung eigener Benutzernamen zu pausieren.

Indien ändert seine Strategie für die digitale Überwachung. In der Vergangenheit blockierte die Regierung ganze Anwendungen oder ordnete die Löschung spezifischer Konten an. Jetzt prüft der Staat einzelne Produktfunktionen über mehrere Dienste hinweg. Der Fokus liegt auf der Anonymität. Die Regierung betrachtet die Möglichkeit, eine Telefonnummer zu verbergen, als Tor zum Betrug. Datenschutzbeauftragte sehen darin die letzte Verteidigungslinie für Journalisten und Dissidenten.

Der Wandel von App-Sperren zur Prüfung von Funktionen

Jahrelang folgte die Beziehung zwischen der indischen Regierung und globalen Tech-Unternehmen einem vorhersehbaren Muster. Eine Plattform hostete Inhalte, die die Regierung für anstößig hielt, und das Ministerium ordnete eine Löschung an. Wenn die Plattform sich weigerte, kam es zu einem rechtlichen Stillstand. Wir haben dies gesehen, als die Regierung mit X über Inhalte im Zusammenhang mit Bauernprotesten aneinandergeriet. Die jüngsten Bescheide an Telegram und Signal stellen einen granularen Ansatz der Regulierung dar.

Die Regierung schaut nicht mehr nur darauf, was die Leute sagen. Sie schaut darauf, wie die Software gebaut ist. Durch das Anvisieren der Benutzernamen-Funktion stellt das IT-Ministerium das Konzept der Pseudonymität infrage. Telegram erlaubt Benutzernamen schon lange und ermöglicht es Nutzern, großen öffentlichen Gruppen beizutreten, ohne ihre Kontaktdaten Fremden preiszugeben. Signal führte eine ähnliche Funktion ein, um die Sicherheit der Nutzer zu erhöhen, indem es Menschen ermöglicht, ein Handle zu teilen, während ihre primäre Kennung – die Telefonnummer – vor der Öffentlichkeit verborgen bleibt.

Die Anfrage des Ministeriums verlangt von diesen Unternehmen, ihre Sicherheitsvorkehrungen gegen Identitätsmissbrauch detailliert darzulegen. Dies ist eine technische Befragung von „Privacy by Design“. Wenn eine Plattform so gebaut ist, dass sie die von ihr gesammelten Daten minimiert, hat sie weniger Informationen zur Verfügung, wenn der Staat eine Identitätsprüfung verlangt. Die Regierungsquelle nannte „Digital Arrest“-Betrug und Phishing als Hauptgründe für dieses Durchgreifen. Bei diesen Betrügereien nutzen Kriminelle die wahrgenommene Anonymität von Messaging-Apps, um sich als Strafverfolgungs- oder Finanzbeamte auszugeben.

Warum Benutzernamen für die digitale Hygiene wichtig sind

In meiner Arbeit als Journalist ist digitale Hygiene eher eine tägliche Anforderung als eine Wahl. Ich lehre Quellen, Signal zu nutzen, weil es die hinterlassenen Spuren minimiert. Wenn eine Quelle einen Reporter kontaktiert, geschieht dies oft unter großem persönlichem Risiko. Das Teilen einer Telefonnummer ist wie die Übergabe eines Schlüssels zum physischen Standort und zur Identität einer Person. Ein Benutzername fungiert als Puffer. Er ist eine pseudonyme Schicht, die die Person hinter dem Bildschirm schützt.

Ende-zu-Ende-Verschlüsselung ist ein versiegelter Umschlag. Sie stellt sicher, dass nur der Absender und der Empfänger den Inhalt lesen können. Die Regierung ist jedoch nicht nur an dem Brief im Umschlag interessiert. Sie möchte, dass die Absenderadresse eine verifizierte, mit der Regierung verknüpfte Telefonnummer ist. Durch das Maskieren dieser Nummer mit einem Benutzernamen macht die Plattform die Absenderadresse viel schwerer rückverfolgbar.

Für Signal ist die Benutzernamen-Funktion ein datenschutzfreundlicher Mechanismus. Der Benutzername wird nicht so gespeichert, dass er auf den Servern im Klartext mit der Telefonnummer eines Nutzers verknüpft ist. Für das IT-Ministerium ist dies ein undurchsichtiges System, das die Identifizierung des „ersten Urhebers“ einer Nachricht verhindert – eine Anforderung gemäß den „Information Technology (Intermediary Guidelines and Digital Media Ethics Code) Rules, 2021“.

Das Drei-Tage-Ultimatum für WhatsApp

WhatsApp befindet sich in einer prekären Lage. Im Gegensatz zu Signal oder Telegram ist WhatsApp ein bedeutender Social-Media-Intermediär mit Hunderten von Millionen Nutzern in Indien. Als WhatsApp ankündigte, dass es Nutzern erlauben würde, Benutzernamen zu wählen, reagierte das Ministerium mit einer sofortigen Anweisung. Das Unternehmen hatte drei Tage Zeit, die Funktion zu rechtfertigen oder mit regulatorischen Maßnahmen zu rechnen.

Die Logik der Regierung basiert auf dem Anstieg von „Digital Arrest“-Betrügereien. Dies sind raffinierte Angriffe, bei denen Opfern mitgeteilt wird, dass gegen sie wegen Geldwäsche oder Drogenhandels ermittelt wird. Die Angreifer nutzen Messaging-Apps, um einen kontinuierlichen Videoanruf aufrechtzuerhalten und das Opfer effektiv unter einen „digitalen Arrest“ zu stellen, bis es Geld überweist. Das Ministerium argumentiert, dass Benutzernamen es diesen Angreifern erleichtern, zu agieren, ohne zurückverfolgt zu werden.

Dies schafft einen Konflikt zwischen Sicherheit und Privatsphäre. Wenn eine Plattform verlangt, dass jeder Nutzer durch eine Telefonnummer identifizierbar ist, hilft dies der Strafverfolgung, Kriminelle aufzuspüren. Es schafft jedoch auch eine systemische Schwachstelle für alle anderen. Datenpannen bei Telekommunikationsunternehmen oder böswillige Akteure mit Zugriff auf Telefonnummern-Datenbanken können diese Informationen nutzen, um Personen zu schikanieren. In diesem regulatorischen Kontext priorisiert die Regierung die Fähigkeit des Staates zur Überwachung gegenüber der Fähigkeit des Einzelnen, privat zu bleiben.

Die rechtliche Grundlage für die Rasterfahndung

Die Internet Freedom Foundation (IFF) hat die Rücknahme dieser Bescheide gefordert. Die Gruppe argumentiert, dass die Regierung keine klare gesetzliche Grundlage habe, um einzelne Softwarefunktionen auf diese Weise zu prüfen. Die IT-Regeln von 2021 verpflichten Plattformen bereits dazu, die Urheber von Nachrichten zu identifizieren, wenn dies von einem Gericht oder einer zuständigen Behörde angeordnet wird. Diese Regeln werden jedoch derzeit vor verschiedenen indischen Gerichten rechtlich angefochten.

Die IFF erklärt, dass der Bescheid an Signal direkt die geschützte Meinungsäußerung trifft. Journalisten, Aktivisten und Whistleblower sind darauf angewiesen, kommunizieren zu können, ohne vom Staat identifiziert zu werden. Wenn die Regierung diese Plattformen zwingt, Benutzernamen-Funktionen zu entfernen, schreibt sie effektiv vor, dass jedes digitale Gespräch über eine SIM-Karte mit einer physischen ID verknüpft sein muss. In Indien sind SIM-Karten mit Aadhaar, dem nationalen biometrischen ID-System, verknüpft.

Dies schafft eine Identitätskette, die schwer zu durchbrechen ist. Wenn man die Pseudonymität entfernt, entfernt man die Fähigkeit einer gefährdeten Person, sich ohne unmittelbare Angst vor Repressalien zu äußern. Die Regulierungslandschaft wird zu einem Flickenteppich von Anforderungen, die es für datenschutzorientierte Apps zunehmend schwieriger machen, zu operieren.

Wie Nutzer ihre Identität schützen können

Während der Rechtsstreit weitergeht, müssen Nutzer Schritte unternehmen, um ihren digitalen Fußabdruck zu verwalten. Die Spannung zwischen der Regierung und diesen Plattformen bedeutet, dass Funktionen, auf die Sie sich heute verlassen, sich morgen ändern oder verschwinden könnten.

Wenn Sie diese Apps für sensible Kommunikation nutzen, überprüfen Sie jetzt Ihre Einstellungen. In Signal können Sie zu Einstellungen > Datenschutz > Telefonnummer gehen und „Wer kann meine Nummer sehen“ auf „Niemand“ setzen. Sie können auch „Wer kann mich über meine Nummer finden“ auf „Niemand“ setzen. Dies zwingt Personen dazu, Ihren Benutzernamen zu verwenden, um Sie zu finden.

In Telegram ist der Benutzername standardmäßig öffentlich, wenn Sie einen festlegen. Sie sollten Ihre Datenschutzeinstellungen überprüfen, um sicherzustellen, dass Ihre Telefonnummer nicht für jeden sichtbar ist. Beachten Sie jedoch, dass die Architektur von Telegram anders ist als die von Signal. Telegram speichert mehr Metadaten auf seinen Servern, was es anfälliger für rechtliche Forderungen nach Daten macht.

Der Weg der Privatsphäre in Indien

Der Fokus des IT-Ministeriums auf Benutzernamen ist kein isoliertes Ereignis. Er ist Teil eines breiteren Trends zur totalen Rückverfolgbarkeit. Die Regierung möchte die dunklen Ecken des Internets eliminieren, in denen sie nicht sehen kann, wer mit wem spricht. Während das erklärte Ziel darin besteht, Betrug zu verhindern, besteht die Methode darin, den Datenschutz für alle Bürger abzubauen.

Das Gesetz zum Schutz digitaler personenbezogener Daten (DPDP Act) von 2023 beginnt ebenfalls zu greifen. Während sich das Gesetz darauf konzentriert, wie Unternehmen mit Daten umgehen, enthält es Bestimmungen, die es der Regierung ermöglichen, ihre eigenen Behörden von vielen Datenschutzanforderungen auszunehmen. Dies schafft einen Einwegspiegel, durch den der Staat den Bürger sehen kann, der Bürger aber nicht den Staat.

Letztendlich ist der Kampf um Benutzernamen ein Kampf um das Recht auf Pseudonymität. Wenn es der Regierung gelingt, Telegram, Signal und WhatsApp zu zwingen, jede Interaktion mit einer Telefonnummer zu verknüpfen, bleibt der versiegelte Umschlag der Verschlüsselung zwar bestehen, aber die Privatsphäre des Absenders ist verloren. Der Umschlag ist immer noch geschlossen, aber die Namen von Absender und Empfänger stehen in permanenter Tinte auf der Außenseite.

Nehmen Sie sich die Zeit, Ihre App-Berechtigungen und Datenschutzeinstellungen zu überprüfen. Wenn eine Funktion verfügbar ist, die Ihre Identität schützt, nutzen Sie sie. Wenn eine Plattform gezwungen wird, diese Funktion zu entfernen, bewerten Sie, ob diese Plattform Ihre Sicherheitsbedürfnisse noch erfüllt. Persönlicher Ruf und Sicherheit hängen von diesen kleinen technischen Entscheidungen ab. Das Ministerium für Elektronik und Informationstechnik hat die Bescheide am Donnerstag ausgestellt. Die Plattformen haben bisher noch keine öffentliche Antwort gegeben.

Quellen

• Information Technology (Intermediary Guidelines and Digital Media Ethics Code) Rules, 2021.
• Digital Personal Data Protection Act, 2023 (Indien).
• Oberster Gerichtshof von Indien: Justice K.S. Puttaswamy (Retd.) vs Union Of India (Urteil zum Recht auf Privatsphäre).
• Offizielle Erklärungen der Internet Freedom Foundation (IFF) zu den Bescheiden für Messaging-Apps.

Haftungsausschluss: Dieser Artikel dient ausschließlich Informations- und journalistischen Zwecken. Er stellt keine formelle Rechtsberatung dar. Datenschutzgesetze und -vorschriften können sich ändern und variieren je nach Gerichtsbarkeit.