Anfragen von StrafverfolgungsbehördenEine Forderung ist Korrespondenz, bis ein zuständiges Gericht etwas anderes sagt.

Fünf verschiedene Dinge werden “die Polizei fragt” genannt

Der Ausdruck umfasst fünf Instrumente, die außer einem offiziellen Briefkopf fast nichts gemeinsam haben, und sie zu verwechseln ist der Grund, warum ein Leser am Ende das harmlose fürchtet und beim gefährlichen gelassen bleibt. Sie unterscheiden sich darin, wer sie ausstellt, was sie erzwingen können, und ob an irgendeiner Stelle ein Richter beteiligt war.

Nur die letzten beiden sind Anordnungen in dem Sinn, den der Ausdruck nahelegt. Die ersten drei sind Anfragen, und eine Anfrage wird durch eine Entscheidung beantwortet, nicht durch eine Verpflichtung. Das verdient einen Moment des Nachdenkens: Drei der fünf erreichen nie einen Richter, und genau diese drei sind es, nach denen fast niemand einen künftigen Host fragt.

Die fünf Phasen, die eine Forderung durchläuft

Ein gut geführter Anbieter lässt jede Forderung denselben Ablauf durchlaufen, unabhängig davon, wer sie gesendet hat, und diesen Ablauf zu kennen lohnt sich, weil Sie jeden Host bitten können, seinen eigenen zu beschreiben. Ein Host, der nie einen niedergeschrieben hat, ist ein Host, der unter Druck improvisiert.

1. Sie geht ein, meist bei der falschen Gesellschaft. Ein über mehrere Länder verteilter Bestand ist mehrere Gesellschaften, und eine Zustellung an eine von ihnen bindet nur diese eine. Das ist der häufigste Grund, warum eine Forderung nichts erreicht, und es liegt ganz beim Absender, das zu vermeiden.
2. Die Gesellschaft wird identifiziert. Welches Unternehmen die Region betreibt, in welchem Register es eingetragen ist, und ob das ausstellende Gericht überhaupt Zuständigkeit über sie hat. Eine ausländische Anordnung wirkt nirgendwo auf der Welt von selbst.
3. Anwälte in dieser Jurisdiktion lesen sie. Nicht die Support-Abteilung, und nicht der Gründer um Mitternacht. Gültig und im Rahmen ist eine Rechtsfrage mit einer lokalen Antwort, und die Antwort auf eine ungültige lautet: ein Schreiben, das schriftlich erklärt, warum.
4. Was verlangt wird, wird mit dem abgeglichen, was existiert. Hier sterben die meisten Forderungen still. Eine Anordnung für eine Kategorie, die das Schema nicht enthält, ergibt ein Schreiben, keine Akte, und kein noch so großer Druck macht aus dem einen das andere.
5. Der Kunde wird informiert. Bevor irgendetwas herausgegeben wird, sofern die Anordnung es nicht ausdrücklich verbietet. Das ist die Phase, die die meisten Anbieter komplett aus ihrem Prozess weglassen, und es ist die einzige, die Ihnen überhaupt erlaubt, irgendetwas zu tun.

Die veröffentlichte Version dieses Ablaufs für diesen Bestand steht im Leitfaden für Strafverfolgungsbehörden, der für die Anwälte geschrieben ist, die die Anordnung zustellen, nicht für den Kunden, der darüber liest. Es lohnt sich, ihn zu öffnen, aus einem Grund, der nichts mit uns zu tun hat: Er zeigt die Form des Dokuments, nach dem Sie bei jedem Host suchen sollten, und die meisten haben keines.

Die Arithmetik eines Transparenzberichts

Fast jeder Transparenzbericht beginnt mit der Gesamtzahl der eingegangenen Anfragen, der am wenigsten aussagekräftigen Zahl darin. Volumen misst, wie sichtbar ein Anbieter ist. Was Sie wissen wollen, ist das Verhältnis zwischen dem, was eingegangen ist, und dem, was herausging, denn das misst, wie viel der Anbieter tatsächlich vorhielt.

Wenden Sie diese Rechnung auf jeden Host an, der genug veröffentlicht, um sie zu ermöglichen. Ein hohes Verhältnis von Herausgegebenem zu Eingegangenem ist kein Beleg für Kooperationsbereitschaft, und ein niedriges ist kein Beleg für Mut — beide sind vor allem ein Beleg für das Inventar. Ein Anbieter, der Ausweisdokumente und ein Jahr an Anmeldeadressen vorhält, wird fast immer etwas herausgeben, wie auch immer er selbst darüber denkt. Die vollständige vierteljährliche Reihe steht im Transparenzbericht.

Warum die Gesellschaft, mit der Sie den Vertrag geschlossen haben, alles entscheidet

Ein Urteil ist gegen eine Person oder ein Unternehmen vollstreckbar, an einem bestimmten Ort. Es reist nicht von selbst. Damit eine ausländische Anordnung ein Unternehmen im Ausland bindet, muss sie von einem Gericht am Sitz dieses Unternehmens anerkannt werden, im Wege der Rechtshilfe oder des örtlichen Anerkennungsverfahrens — ein Weg, der förmlich, langsam, überprüfbar und aus Gründen ablehnbar ist, die die ersuchende Behörde nicht kontrolliert.

Das ist gewöhnliches internationales Privatrecht und nichts Raffiniertes, und es ist der gesamte mechanische Gehalt des Wortes offshore. Es ist auch der Grund, warum die Unternehmensstruktur mehr zählt als die Landkarte: Acht von einem Unternehmen betriebene Jurisdiktionen sind ein einziges rechtliches Ziel mit acht Adressen, und ein Urteil dagegen erreicht jede Maschine, die es besitzt. Acht getrennte Unternehmen sind acht getrennte Verfahren, jedes bei null beginnend. Welche Struktur ein Host verwendet, steht auf seiner Bedingungsseite, und der Leitfaden Eine Rechtsordnung wählen legt dar, was sich sonst noch zwischen ihnen unterscheidet.

• Fragen Sie, welches Unternehmen, nicht welches Land. Das Land steht auf der Marketingseite. Der Firmenname und seine Registrierungsnummer sind das, was eine Anordnung benennen muss, und einem Host, der Ihnen das nicht sagt, kann man nicht zutrauen, überhaupt eines zu haben.
• Fragen Sie, wo es eingetragen ist. Eine benannte Gesellschaft in einem öffentlichen Register lässt sich in etwa zwei Minuten prüfen, und das kostet nichts. Acht davon, in acht Registern, sind genau aus diesem Grund hier aufgeführt.
• Fragen Sie, was mit einer Anfrage an die falsche Gesellschaft geschieht. Die ehrliche Antwort lautet, dass sie schriftlich mit genau diesem Hinweis beantwortet wird. Die aufschlussreiche Antwort lautet, dass sie trotzdem hilfsbereit bearbeitet wird.

Der Notfallweg, der einzige, den niemand beobachtet

Jedes größere Rechtssystem hat einen Kanal, der das Gericht vollständig umgeht. In den Vereinigten Staaten ist das 18 U.S.C. §2702(b)(8), der es einem Anbieter erlaubt, freiwillig offenzulegen, wenn er in gutem Glauben davon ausgeht, dass ein Notfall mit Gefahr für Leib und Leben es erfordert. Die meisten anderen Jurisdiktionen haben ein Äquivalent. Es gibt keinen Richter, keinen Durchsuchungsbeschluss und keinen Gegner: Der Anbieter entscheidet, innerhalb von Stunden.

Er existiert aus guten Gründen und wird aus offensichtlichen missbraucht. Auf kompromittierten E-Mail-Konten von Strafverfolgungsbehörden gefälschte Anfragen wurden genutzt, um Bestandsdaten von einigen der größten Plattformen der Welt zu erlangen, weil der gesamte Kanal auf einem plausiblen Briefkopf beruht und auf einem Anbieter, der nicht derjenige sein will, der gezögert hat. Vierzig solcher Anfragen haben diesen Bestand erreicht.

Die Verteidigung besteht nicht darin, die Kategorie abzulehnen, was in dem Fall, für den der Kanal existiert, unverantwortlich wäre. Sie besteht darin, fast nichts freiwillig herzugeben, jede einzeln als Person statt als Teil einer Warteschlange zu prüfen, den Kunden in jedem Fall im Nachhinein zu informieren, und sie öffentlich als eigene Zeile zu zählen. Eine Ausnahme, die niemand zählt, hört auf, eine Ausnahme zu sein, und wird zu einer Tür.

Aufbewahrung: die Anordnung, die die Uhr anhält

Eine Aufbewahrungsanordnung verlangt nicht, dass irgendetwas herausgegeben wird. Sie verlangt, dass Aufzeichnungen, die gerade jetzt existieren, nicht mehr gelöscht werden, damit sie noch da sind, wenn die Anordnung zur Herausgabe Wochen später eintrifft. In den Vereinigten Staaten läuft sie unter 18 U.S.C. §2703(f) für 90 Tage, einmal verlängerbar, und sie erfordert keinen Richter zur Ausstellung. Sechsundsechzig davon sind hier eingegangen.

Es ist das leiseste Instrument auf dieser Seite und das lehrreichste, weil es genau das ist, was eine Aufbewahrungsrichtlinie nicht überstehen kann. Ein Timer ist ein Versprechen, nach Zeitplan zu löschen; eine Aufbewahrungsanordnung ist die Anweisung, dieses Versprechen nicht mehr zu halten, wirksam in dem Moment, in dem sie eintrifft. Alles, was bereits geschrieben wurde, ist von dieser Sekunde an eingefroren, und der Kunde erfährt es meist als Letzter.

Das ist das gesamte Argument für Fehlen statt Löschung, konkret gemacht. Eine Aufzeichnung, die nie entstanden ist, kann nicht aufbewahrt, nicht eingefroren und nicht neunzig Tage später von einem Anbieter herausgegeben werden, der es sich anders überlegt hat. Die Unterscheidung wird ausführlich im Leitfaden was No-Logs tatsächlich bedeutet dargelegt, und die Liste dessen, was hier nie entsteht, ist als Teil der Datenschutz- und Protokollierungsrichtlinie veröffentlicht, statt als Behauptung auf einer Preisseite.

Beschlagnahme: was die Mitnahme der Maschine tatsächlich einbringt

Beschlagnahme ist das Szenario, das sich jeder vorstellt und das fast niemand zu Ende denkt. Es ist auch dasjenige, bei dem das Ergebnis am wenigsten vom Anbieter abhängt und am meisten von Entscheidungen, die der Kunde Monate zuvor getroffen hat, bei der Installation, in etwa einer Stunde Arbeit.

Lesen Sie die letzte Spalte von oben nach unten, und ein Eintrag erscheint der Sache nach zweimal: ein Schlüssel, der nie im Gebäude war. Jede andere Kontrolle auf dieser Seite ist rechtlicher, verfahrensmäßiger oder vertraglicher Natur, das heißt, jede andere Kontrolle hängt davon ab, dass sich jemand weiterhin so verhält, wie er es zugesagt hat. Verschlüsselung nicht. Ein Hypervisor-Betreiber kann die Platte eines von ihm betriebenen Gasts kopieren — ein Anbieter, der das Gegenteil behauptet, versteht seinen eigenen Stack falsch — und was er kopiert, ist entweder lesbar oder es ist Rauschen.

Das Runbook steht in der Wissensdatenbank: vollständige Festplattenverschlüsselung im Gast, entsperrt über SSH beim Boot, sodass der Schlüssel jedes Mal von Ihnen kommt, wenn die Maschine startet, und sonst nirgendwo existiert. Das ist dieselbe Empfehlung, die auch der No-Logs-Leitfaden gibt, bewusst wiederholt, weil es der einzige Ratschlag auf dieser Seite ist, dessen Wirkung nicht vom guten Verhalten irgendjemandes abhängt, einschließlich unserem.

Die Schweigepflicht, und warum ein Canary die einzige Antwort darauf ist

Eine Schweigepflicht ist kein eigenes Instrument. Sie ist eine Klausel, die einem anderen angehängt wird und dem Anbieter verbietet, die Person, die die Anordnung betrifft, über deren Existenz zu informieren. National Security Letters tragen in den Vereinigten Staaten standardmäßig eine solche Klausel; mehrere Jurisdiktionen haben Äquivalente, und der Sinn all dieser Klauseln ist, dass die fünfte Phase von oben — die Benachrichtigung des Kunden — entfällt, und Sie keine Möglichkeit haben, zu erfahren, dass sie entfallen ist.

Ein warrant canary ist die einzige verfügbare Antwort, und er funktioniert, indem er das Problem umkehrt. Einem Anbieter kann verboten werden, eine Aussage zu treffen. Es ist weit schwerer, ihn zu zwingen, eine Aussage weiter zu wiederholen, die falsch geworden ist. Also wird die Behauptung nach einem Zeitplan veröffentlicht, und ihr Fehlen trägt die Bedeutung, die ihre Anwesenheit nicht mehr tragen kann.

Die meisten Canaries in diesem Markt sind Dekoration. Sechs Dinge unterscheiden einen, der etwas bedeutet, von einem Absatz auf einer Über-uns-Seite, und jedes einzelne davon lässt sich in fünf Minuten im Browser prüfen.

1. Er ist kryptografisch signiert, gegen einen Schlüssel, der irgendwo veröffentlicht ist, wo Sie ihn unabhängig finden können. Ein unsignierter Canary lässt sich von jedem bearbeiten, der die Website bearbeiten kann, wozu auch jeder gehört, der sie übernommen hat.
2. Er zitiert etwas Aktuelles und Unvorhersehbares. Eine Bitcoin-Blockhöhe und ein Hash sind die übliche Wahl: Dieser Block existierte vor seinem Mining nicht, sodass die Erklärung nicht Monate im Voraus signiert und auf Vorrat gelegt worden sein kann.
3. Er nennt einen Zeitraum, ein Fälligkeitsdatum und ein Ablaufdatum. Ein Canary ohne Zeitplan kann nicht ausbleiben, denn nichts war fällig. Der Zeitplan ist der gesamte Mechanismus.
4. Er zählt konkrete Behauptungen einzeln auf, statt einen einzigen Satz zu machen. Eine Zeile, die sagt “wir haben keine geheimen Anordnungen erhalten”, kann nur auf einmal versagen. Getrennte Klauseln versagen getrennt, und eine Klausel, die still aus der nächsten Signierung verschwindet, ist ein Signal mit einer Form.
5. Er deckt jede Gesellschaft ab. Bei einem Bestand aus mehreren Unternehmen ist ein Canary, der nur für eines von ihnen spricht, ein Canary über einen Bruchteil der Infrastruktur, die Sie kaufen.
6. Frühere Signierungen bleiben veröffentlicht. Eine entfernte Klausel ist nur im Vergleich zu dem sichtbar, was sie ersetzt hat, sodass ein Canary ohne Archiv von Ihnen verlangt, die ganze Zeit über aufgepasst zu haben.

Der hier veröffentlichte Canary wird vierteljährlich signiert, zitiert einen aktuellen Block, nennt sein Fälligkeits- und sein Ablaufdatum, deckt alle acht Gesellschaften ab und stellt sieben getrennte Behauptungen auf: kein National Security Letter oder Äquivalent, keine Anordnung mit einem Verbot, den Kunden zu informieren, keine Inhalte irgendeiner Festplatte oder Datenbank, die je an irgendjemanden herausgegeben wurden, kein vorausschauendes Abfangen, keine beschlagnahmte oder gespiegelte Ausrüstung, keine erzwungene Schwächung eines kryptografischen Schutzes, und alleinige administrative Kontrolle über die Infrastruktur. Prüfen Sie ihn anhand der sechs oben genannten Punkte. Prüfen Sie dann jeden anderen, den Sie in Betracht ziehen, anhand derselben sechs.

Was Sie einen Host vor dem Kauf fragen sollten

Jede Frage unten hat entweder ein Dokument als Antwort, oder sie hat keine. Das ist der Test: nicht, ob die Antwort beruhigend klingt, sondern ob sie auf etwas verweist, das schon niedergeschrieben war, bevor Sie gefragt haben.

1. Mit welcher juristischen Person schließe ich einen Vertrag, und in welchem öffentlichen Register ist sie eingetragen?
2. Was existiert über mich, sobald ich mich angemeldet habe — als Verzeichnis mit einer Aufbewahrungsfrist für jede Zeile, nicht als Adjektiv.
3. Was nie entsteht? Diese Liste ist der einzige Teil der Antwort, den ein Gericht nicht rückgängig machen kann.
4. Werde ich informiert, wenn eine Anfrage mich namentlich nennt, und was müsste zutreffen, damit Sie es mir nicht sagen?
5. Wie viele Anfragen haben Sie erhalten, wie viele haben die rechtliche Schwelle erreicht, und wie viele haben überhaupt etwas hervorgebracht?
6. Werden Notfall-Offenlegungen gezählt und als eigene Zeile veröffentlicht?
7. Ist Ihr Canary signiert, aktuell, konkret, und deckt er jede Gesellschaft ab, die Sie betreiben?

Nichts davon macht irgendjemanden unantastbar, und eine Seite, die etwas anderes nahelegen würde, wäre genau die Art von Seite, der diese hier widersprechen soll. Was sie tatsächlich tut, ist, die Frage vom Vertrauen auf das Verzeichnis zu verlagern. Ein Host, der wenig vorlegen kann, legt wenig vor, was auch immer er an dem Morgen, an dem das Schreiben eintrifft, über sich selbst glaubt.

Fragen, die tatsächlich gestellt werden

Jeder Preis auf diesem Anwesen ist vollständig veröffentlicht, an einem Ort. Den gesamten Katalog ansehen