Erläuternder Bericht

Positionsbestimmung nicht als neuer Auftrag zählt und damit keine Auswirkungen auf die Zählung, Statistik, Überwälzung der Kosten und Entschädigung hat. Der letzte Satz bleibt unverändert.

Art. 50a Entfernung von Verschlüsselungen

Im Rahmen der Vernehmlassung zur Änderung der VÜPF vom 15. November 2023 (erste Etappe; s. Ziff. 1.2) wurde beanstandet, dass durch die Pflicht zur Entfernung der von der Anbieterin angebrachten Verschlüsselungen eine Chatüberwachung ermöglicht werde, welche aufgrund der Menschenrechte unzulässig sei³⁷. Die Verschlüsselung der digitalen Kommunikation sei ein Grundrecht und die Aufhebung des digitalen Briefgeheimnisses verletze Artikel 13 BV³⁸. Dabei wurde die Bestimmung offenbar missverstanden, dass auch kundenseitige Ende-zu-Ende-Verschlüsselungen davon erfasst wären oder sich daraus gar Nutzungsverbote solcher Verschlüsselungen ergeben könnten. Die Bestimmung wurde auch in den Medien kritisiert. Im Entwurf der ersten Etappe der VÜPF-Revision war vorgesehen, dass die Pflicht zur Entfernung der von der Anbieterin angebrachten Verschlüsselungen neben den FDA (gesetzliche Pflicht gemäss Art. 26 Abs. 2 Bst. c) auch den AAKD mit weitergehenden Pflichten (Art. 22 und 52 VÜPF) auferlegt werden sollte. Aufgrund der in der ersten Etappe noch nicht umgesetzten näheren Umschreibung der Kategorien FDA und AAKD und des Status Quo bei den Kriterien zur Hochstufung von AAKD, wurde die Bestimmung in die zweite Etappe verschoben.

In dieser Vorlage wird die Bestimmung nun aufgenommen und die Pflicht zur Entfernung der von der Anbieterin angebrachten Verschlüsselungen näher umschrieben. Diese Pflicht ergibt sich aus Artikel 26 Absatz 2 Buchstabe c BÜPF für FDA und aus Artikel 26 Absatz 2 Buchstabe c in Verbindung mit Artikel 27 Absatz 3 BÜPF für AAKD, die Dienstleistungen von grosser wirtschaftlicher Bedeutung oder für eine grosse Benutzerzahl anbieten.

Der Ausdruck «Die Anbieterinnen mit reduzierten Pflichten und die Anbieterinnen mit vollen Pflichten» umfasst einerseits die FDA mit reduzierten Pflichten (Art. 16b) und die FDA mit vollen Pflichten (Art. 16c) sowie andererseits die AAKD mit reduzierten Pflichten (Art. 16f) und die AAKD mit vollen Pflichten (Art. 16g).

Nehmen wir das Beispiel einer Anbieterin, die eine abschnittsweise Verschlüsselung zwischen ihren Systemen und ihren Endkunden einsetzt, also keine Ende-zu-Ende-Verschlüsselung: Sie muss den Fernmeldeverkehr der überwachten Person an einem geeigneten Punkt unverschlüsselt erfassen und an den Dienst ÜPF ausleiten.

Wie im letzten Satz des vorliegenden Artikels festgehalten wird, ist die durchgehende Ende-zu-Ende-Verschlüsselung zwischen Endkunden beziehungsweise zwischen deren