Gag Order: Riseup belebt den Kanarienvogel wieder

Serinus canaria f. dom. (domestizierter Kanarienvogel) (Bild: Quadell/CC-BY-SA 3.0)

Nachdem Riseup seinen Warrant Canary im vergangenen Jahr nicht aktualisiert hatte, gab es viel Aufregung in der Szene. Jetzt gibt das Kollektiv bekannt: "Wir haben Nutzerdaten herausgegeben." Künftig soll das dank Verschlüsselung nicht mehr möglich sein.

Der Mailprovider Riseup ist nach einer Anfrage der US-Bundespolizei FBI dazu verurteilt worden, Nutzerdaten herauszugeben. Wegen einer Geheimhaltungsverpflichtung (Gag-Order) durfte das Kollektiv bislang nicht darüber sprechen, wie Riseup selbst mitteilt. Künftig sollen alle Nutzerdaten auf dem Server verschlüsselt abgelegt werden, damit kein Zugriff auf Kommunikationsdaten im Klartext mehr möglich ist.

Die Anfragen des FBI richteten sich nach Angaben von Riseup in einem Fall an einen DDOS-Erpresser. Dieser hatte eine Riseup-Adresse als öffentliche Kontaktadresse angegeben. Im zweiten Fall war ein Riseup-Nutzer als Ransomware-Erpresser aktiv.

Als Reaktion auf den Rechtsstreit hatte Riseup im vergangenen Jahr den Warrant Canary nicht erneuert, demzufolge es keine Abfragen durch National Security Letter oder ähnliche sogenannte Rechtsinstrumente gegeben hätte. Dies hatte viele Nutzer verunsichert. Das neue Statement informiert über die Datenabfrage. Eine Kompromittierung der Server selbst durch die US-Regierung habe nicht stattgefunden.

Beide Nutzer haben gegen den Gemeinschaftsvertrag verstoßen

Riseup schreibt, dass beide Fälle "sowohl gegen das Wort als auch gegen den Geist des Gemeinschaftsvertrages verstoßen, den wir mit unseren Nutzern haben: Wir beschützen euch, solang ihre keine ausbeuterische, mysoginistische, rassistische oder bigotte Agenda verfolgt."

Um sich gegen künftige Abfragen dieser Art zu rüsten, wird Riseup alle neuen Nutzerkonten ab sofort mit einem "persönlichen, verschlüsselten Speicherplatz" ausstatten, so dass keine E-Mails mehr im Plaintext herausgegeben werden können. Details zur Verschlüsselung teilt Riseup nicht mit. Bestehende Konten sollen in den kommenden Wochen umgestellt werden.

Diese Verschlüsselung, so schreibt Riseup, sei keine Ende-zu-Ende-Verschlüsselung. Dafür müsse nach wie vor OpenPGP in Verbindung mit einem nicht webbasierten Client verwendet werden. Eine Integration von PGP in den Dienst selbst soll im kommenden Jahr möglich werden.

Riseup kann kostenfrei genutzt werden, der Dienst bittet aber um Spenden. Im vergangenen Jahr gab es einen Notruf, weil der weitere Betrieb nicht gesichert war.