Der Bericht, den Human Rights Watch am Dienstag veröffentlichte, legt eine Systemische Schwäche im europäischen Kontrollsystem offen: Obwohl die EU 2021 ihre Exportkontrollregeln für kommerzielle Überwachungstechnik verschärfte, gelang es der Kommission nicht, ihre Mitgliedstaaten effektiv zur Rechenschaft zu ziehen.
Bulgarien hat sich dabei als führender Exporteur von Spyware-Technologie hervorgetan. Bulgarische Unternehmen verkauften ihre Systeme an mehr als zwanzig Länder, darunter autoritäre Regime wie die Vereinigten Arabischen Emirate und Aserbaidschan. Polen ermöglichte den Verkauf von Abhörsystemen nach Ruanda — ein Land mit nachgewiesenen Menschenrechtsverletzungen.
Die 2021er EU-Verordnung hätte diese Entwicklung verhindern sollen. Sie erweiterte die Definition von Überwachungstechnologie, verpflichtete Exportstaaten zur Überprüfung der Menschenrechtsbilanz von Käufern und führte ein Berichtssystem ein, das der Europäischen Kommission Transparenz ermöglichen sollte. Doch die Realität zeigt: Diese Regeln werden mangelhaft durchgesetzt.
Besonders problematisch ist die Verweigerungshaltung etablierter EU-Wirtschaften. Deutschland, Frankreich, Spanien, Griechenland und Italien — alle bekannte Exporteure von Überwachungstechnologie — legten ihre Handelsdaten nicht offen. Dies ist ein deutliches Signal für regulatorisches Versagen und könnte auch deutsche Behörden in Frage stellen, wenn deutsche Unternehmen an solchen Exporten beteiligt sind.
Laut einer Google Threat Analysis Group-Studie von 2024 haben fast alle Anbieter im kommerziellen Überwachungssektor ihren Sitz in der EU. Das bedeutet: Europa ist nicht nur Regulierungsversager, sondern auch das globale Epizentrum der Spyware-Industrie.
Die Europäische Kommission kündigte an, ihre Exportkontrollregeln im September 2024 zu evaluieren. Human Rights Watch fordert diese Gelegenheit zu nutzen, um Sorgfaltspflichten und Transparenzanforderungen zu verschärfen.
Deutsche Cybersicherheitsverantwortliche sollten diese Entwicklung aufmerksam verfolgen. Das BSI sollte prüfen, welche deutschen Unternehmen in internationale Überwachungstechnologie-Ketten verstrickt sind. Eine Klärung durch den BfDI zur Vereinbarkeit solcher Exporte mit europäischen Datenschutznormen wäre ebenfalls sinnvoll. Denn wer Spyware exportiert, trägt auch Verantwortung für deren Missbrauch.