Multilateralismus auf dem Prüfstand

Veröffentlicht von Pavlina Pavlova, Christina Rupp, und Sven Herpig in der Zeitschrift für die Vereinten Nationen und ihre Sonderorganisationen unter dem Titel "Die Bekämpfung von Cyberkriminalität".

Das Übereinkommen der Vereinten Nationen gegen Cyberkriminalität gilt als politischer Meilenstein. Es soll globale Ansätze zur Bekämpfung von Cyberkriminalität harmonisieren, birgt jedoch Risiken für Menschenrechte und Cybersicherheitsforschung.

Im Dezember 2024 verabschiedete die UN-Generalversammlung das Übereinkommen der Vereinten Nationen gegen Cyberkriminalität. Vorausgegangen waren weniger als drei Jahre intensiver Verhandlungen des Ad-hoc-Ausschusses, der mit der Ausarbeitung des Vertrags beauftragt war. ¹ Die Einigung über das Übereinkommen war ein großer politischer Erfolg und wurde als Zeichen dafür gewertet, dass Multilateralismus trotz aller Skepsis erfolgreich sein kann. Die unterschiedlichen Standpunkte während der Verhandlungen haben jedoch gezeigt, dass es tiefergehende geopolitische Differenzen zwischen den Mitgliedstaaten gibt, die einen staatszentrierten Multilateralismus befürworten, und denen, die eine Multi-Akteurs-Governance unterstützen. Diese Dichotomie kann sich nachteilig auf die Zielsetzung, die künftige Effizienz und die internationalen Bemühungen zur Bekämpfung der Cyberkriminalität im Rahmen des ersten rechtlich bindenden globalen Vertrags zu diesem Thema auswirken.

Was ist Cyberkriminalität?

Cyberkriminelle Aktivitäten stellen weltweit eine der größten Bedrohungen für Wirtschaft und Gesellschaft dar, insbesondere in Ländern, die stark von internetbasierten Infrastrukturen abhängig sind. Es gibt keine international einheitliche Definition für Cyberkriminalität. Daher handelt es sich um einen inhärent politischen Begriff, der je nachdem, welche Handlungen mit welcher Absicht und in welchem Kontext unter Strafe gestellt werden, unterschiedlich verwendet wird. Der Tatbestand solcher Straftaten wird durch die Rechtsvorschriften definiert, in denen sie kodifiziert sind.

Konzeptionell ist es sinnvoll, zwischen zwei Kategorien von Cyberkriminalität zu unterscheiden: Cyberkriminalität im engeren Sinne (CCieS) und Cyberkriminalität im weiteren Sinne (CCiwS). CCieS sind cyberabhängige Delikte, die sich auf »Straftaten gegen die Vertraulichkeit, Unversehrtheit und Verfügbarkeit von Computerdaten und -systemen« beziehen, während CCiwS cybergestützte Straftaten sind, die zusätzlich »computer- und inhaltsbezogene Straftaten sowie Straftaten im Zusammenhang mit Verletzungen des Urheberrechts und verwandter Schutzrechte« umfassen. ²

In der Praxis bedeutet dies, dass CCieS sich auf Aktivitäten bezieht, die direkt auf IT-Systeme und -Infrastrukturen abzielen – wie beispielsweise die Verbreitung von Erpressungssoftware (Ransomware) in Unternehmensnetzwerken. CCiwS dagegen beinhaltet alle Straftaten, bei denen IT-Systeme und -Infrastrukturen genutzt werden, wie beispielsweise bei der Verbreitung von Inhalten über den sexuellen Missbrauch von Kindern oder der Veröffentlichung von Hassreden in sozialen Medien.

Cyberkriminalität als nationales Sicherheitsproblem

Cyberkriminelle Aktivitäten können erhebliche finanzielle Schäden verursachen – Schätzungen zufolge werden sich diese im Jahr 2025 weltweit auf fast neun Billionen Euro belaufen. ³ Darüber hinaus kann Cyberkriminalität auch emotionale Schäden, Selbstverletzungen und andere Formen psychischer Belastungen zur Folge haben. In Fällen wie koordinierten Hassreden oder gezielten Angriffen mit Erpressungssoftware kann Cyberkriminalität auch zu einer weitreichenden Destabilisierung der Gesellschaft führen. Damit stellen solche illegalen Aktivitäten eine komplexe und schwer quantifizierbare Bedrohung für die nationale Sicherheit dar. ⁴

Die Akteure hinter der Cyberkriminalität spielen eine ganz unterschiedliche Rolle: Die an CCieS beteiligten Bedrohungsakteure sind sowohl Einzelpersonen ⁵ als auch informelle Gruppen, ⁶ organisierte kriminelle Netzwerke ⁷ und sogar staatlich gesteuerte Gruppierungen. ⁸ Regierungen können diese Aktivitäten nicht nur durch offizielle Maßnahmen fördern, sondern auch durch die Bereitstellung sicherer Zufluchtsorte für illegale Aktivitäten ⁹ oder indem sie ihren Bediensteten erlauben, ihr Wissen und ihre Arbeitsmittel für kriminelle Aktivitäten außerhalb ihres Regierungsjobs einzusetzen. ¹⁰ Die Akteure im Bereich CCiwS sind vielfältiger und reichen von übergriffigen Ehepartnern ¹¹ über extremistische Gruppierungen ¹² und Drogenkartelle ¹³ bis hin zu staatlich unterstützten Bedrohungsakteuren.

Zu den wichtigsten Bedenken der Mitgliedstaaten der Europäischen Union (EU) zählen die erheblichen Auswirkungen der Cyberkriminalität auf kritische Infrastrukturen wie Krankenhäuser, Kraftwerke oder Flughäfen sowie auf den öffentlichen Sektor.

Die Bekämpfung von CCieS erfordert sowohl einen internationalen als auch einen nationalen Ansatz. Bei letzterem liegt der Schwerpunkt auf verbesserten Basis-Schutzmaßnahmen, wie Schwachstellen-Management und zuverlässlige Backup-Prozesse. Diese Cybersicherheitsmaßnahmen können die Resilienz nationaler IT-Systeme und kritischer Infrastrukturen verbessern und so die Auswirkungen von Cyberkriminalität erheblich reduzieren. Darüber hinaus ist die Zerschlagung krimineller Infrastrukturen ¹⁴ und die strafrechtliche Verfolgung von Straftätern ¹⁵ äußerst wichtig und erfordert vor allem internationale Zusammenarbeit. Bei der Bekämpfung von Cyberkriminalität ist die multilaterale Koordination von entscheidender Bedeutung.

Die Zusammenarbeit mit globalen Social-Media-Unternehmen, der grenzüberschreitende Austausch von Telekommunikationsdaten oder anderen rele­vanten Daten sowie die Beachtung internationaler Rechtsvorschriften sind unerlässlich. Aufgrund des transnationalen Charakters der Cyberkrimina­lität gewinnen die Vereinten Nationen als Forum für die Bewältigung der aktuellen Herausforderun­gen zunehmend an Bedeutung.

Die Motivation der Staaten

Das UN-Übereinkommen wird andere multilaterale Instrumente ergänzen, insbesondere das Überein­kommen des Europarats über Cyberkriminalität – das sogenannte Budapester Übereinkommen –, das im Jahr 2004 in Kraft getreten ist, sowie andere Instrumente, die Straftaten ahnden, die unter Ver­wendung von Informations- und Kommunikations­technologiesystemen (IKT-Systemen) begangen wur­den. ¹⁶ Bis heute ist das Budapester Übereinkommen mit 81 Vertragsstaaten, von denen die meisten während der UN-Verhandlungen über Cyberkriminalität beigetreten sind, ¹⁷ das am weitesten verbreitete und am häufigsten ratifizierte Übereinkommen. Dieses Rahmenabkommen des Europarats wurde inzwischen weltweit ratifiziert, insbesondere Russland und China sprachen sich jedoch gegen das Dokument aus. Kritiker behaupteten, die Bestimmungen des Budapester Übereinkommens würden die staatliche Souveränität verletzen und enthielten Vorgaben, die eine universelle Gültigkeit verhindern würden. Außerdem könne ein globales Übereinkommen nur unter UN-Schirmherrschaft ausgearbeitet werden. ¹⁸

Im Jahr 2019 brachte Russland in der Generalversammlung eine Resolution zur Einrichtung des Ad-hoc-Ausschusses ein, die mit 79 Ja-Stimmen, 60 Nein-Stimmen und 33 Enthaltungen angenommen wurde. Damit wurden die Vertragsverhandlungen eingeleitet, die zwischen Februar 2022 und August 2024 stattfanden. ¹⁹

Widerspruch gegen ein neues Übereinkommen zur Bekämpfung der Cyberkriminalität auf UN-Ebene kam in erster Linie von EU-Mitgliedstaa­ten, den USA und gleichgesinnten Ländern, die bereits dem Übereinkommen des Europarats bei­getreten waren und das Budapester Übereinkom­men für angemessen und effizient hielten. Da sie jedoch das Interesse der UN-Mitgliedstaaten an einem Übereinkommen erkannten, dass die Ansät­ze in den verschiedenen Regionen vereinheitlichen würde, ²⁰ beteiligten sich die Delegationen in gutem Glauben an dem Prozess. Sie befürchteten näm­lich, dass die Verhandlung eines potenziellen UN-Übereinkommens ohne ihre Beteiligung mögli­cherweise weiter gefasste Bestimmungen und schwächere Maßnahmen zum Schutz der Men­schenrechte enthalten könnte, die später weltweit gelten könnten.

Was die Staaten aushandelten

Das UN-Übereinkommen orientiert sich inhaltlich am Budapester Übereinkommen und an anderen UN-Abkommen, dem Übereinkommen der Verein­ten Nationen gegen die grenzüberschreitende Or­ganisierte Kriminalität (United Nations Convention against Transnational Organized Crime – UNTOC) und dem Übereinkommen der Vereinten Nationen gegen Korruption (United Nations Convention against Corruption – UNCAC). Der Text folgt ei­ner dreigliedrigen Struktur miteinander verknüpf­ter Bestimmungen: Erstens legt er eine Reihe be­stimmter Straftatbestände fest. Zweitens definiert das Übereinkommen verfahrensrechtliche Rah­menbedingungen für die Untersuchung strafbarer Handlungen. Und drittens wird ein Instrumenta­rium für die internationale Zusammenarbeit bei strafrechtlichen Ermittlungen geschaffen, das die gegenseitige Rechtshilfe beim grenzüberschreiten­den Austausch von Beweismitteln erleichtert. ²¹

Straftatbestände

Das Übereinkommen stellt in erster Linie cyberab­hängige Straftaten unter Strafe, wie beispielsweise rechtswidrigen Zugang, rechtswidriges Abfangen, Eingriff in elektronische Daten, Missbrauch von Vorrichtungen, IKT-bezogenen Betrug und Fäl­schung (Art. 7–13). Das Kapitel zur Kriminalisie­rung erstreckt sich darüber hinaus auf ausgewähl­te cybergestützte Cyberstraftaten, ohne diejeni­gen auszuschließen, die nicht ausdrücklich er­wähnt sind, wie zum Beispiel Straftaten mit Bezug zu Online-Material mit sexuellem Missbrauch oder sexueller Ausbeutung von Kindern (Art. 14), Kontaktanbahnung oder Kontaktaufnahme zum Zweck der Begehung einer Sexualstraftat an einem Kind (Art. 15) und die ohne Zustimmung erfolgen­de Verbreitung von Intimbildern (Art. 16).

Rechtsrahmen für die Ermittlung bei kriminellem Verhalten

Die Bestimmungen über die Gerichtsbarkeit für Straftaten (Art. 22) gewähren Staaten die Befug­nis, die Gerichtsbarkeit für außerhalb ihrer Gren­zen begangene Straftaten geltend zu machen, wenn ihre Staatsangehörigen betroffen sind. Die folgen­den verfahrensrechtlichen Maßnahmen und Rechts­durchsetzungsvorschriften (Art. 23–25) gewähren staatlichen Stellen weitreichende Befugnisse, wie beispielsweise den Zugriff auf elektronische Da­ten von Personen, die sich in ihrem Land befin­den, unabhängig davon, wo die Daten gespeichert sind (Art. 27), die Erhebung von Verkehrsdaten in Echtzeit (Art. 29) oder das Abfangen von Inhalts­daten (Art. 30). In Anlehnung an das UNTOC und das UNCAC enthält das UN-Übereinkom­men Bestimmungen über das Einfrieren, die Be­schlagnahme und Einziehung der Erträge aus Straf­taten, einschließlich virtueller Vermögenswerte (Art. 31). Der Zeugenschutz (Art. 33) und die Hil­fe und der Schutz für Opfer (Art. 34) sind zwar für die Durchsetzung von Gerechtigkeit und Wie­dergutmachung sowie für die Berücksichtigung der Bedürfnisse von Personen in prekären Situa­tionen wichtig, unterliegen jedoch ausschließlich dem innerstaatlichen Recht.

Mechanismen für die internationale Zusammenarbeit bei strafrechtlichen Ermittlungen

Die internationale Zusammenarbeit (Art. 35–52) erstreckt sich auf die Erhebung, Erlangung, Siche­rung und den Austausch von Beweismitteln in elektronischer Form für jede schwere Straftat. Die­se Ausweitung auf jede schwere Straftat, die in Ar­tikel 2 lit. h als ein Verhalten definiert ist, das eine strafbare Handlung darstellt, die mit einer Frei­heitsstrafe von mindestens vier Jahren im Höchst­maß oder einer schwereren Strafe bedroht ist, er­weitert den potenziellen Anwendungsbereich des Instruments beträchtlich. Die Bedingungen für die Rechtshilfe (Art. 40) sind weit gefasst, ermöglichen es den Staaten jedoch, die Rechtshilfe unter Beru­fung auf das Fehlen beiderseitiger Strafbarkeit zu verweigern. Das Übereinkommen enthält begrenz­te Garantien für den Schutz der Grundfreiheiten und personenbezogener Daten. So können Staaten beispielsweise die Zusammenarbeit verweigern, wenn es wesentliche Gründe für die Annahme gibt, dass ein Ersuchen gestellt worden ist, um eine Person wegen ihres Geschlechts, ihrer Sprache, ih­rer Religion, ihrer Staatsangehörigkeit, ihrer ethni­schen Herkunft oder ihrer politischen Anschauun­gen zu verfolgen (Art. 40 (22)).

Zusätzliche Elemente und Umsetzung

Im Gegensatz zum Budapester Übereinkommen ent­hält das UN-Instrument detaillierte Bestimmungen zu vorbeugenden Maßnahmen (Art. 53), techni­scher Hilfe und Kapazitätsaufbau (Art. 54), ein­schließlich Ausbildung und anderer Formen der Hilfe, des Austauschs von sachdienlichen Erfah­rungen und Fachwissen und der Weitergabe von Technologie zu einvernehmlich festgelegten Be­dingungen. Das Dokument tritt 90 Tage nach Hinterlegung der Ratifikationsurkunde durch den 40. Staat in Kraft. Um die Anwendung des Vertrags zu fördern und zu überprüfen, wird eine Konferenz der Vertragsstaaten eingerichtet, um die Fähigkeit der Vertragsstaaten und die Zusammen­arbeit zwischen ihnen zu verbessern (Art. 57).

Externe Kritik

Als strafrechtliches Instrument wird das Überein­kommen Auswirkungen auf die Menschenrechte haben. Diese Auswirkungen können positiv sein, wenn der Rechtsrahmen Opfer schützt und Re­chenschaftspflicht gewährleistet, aber auch nega­tiv, wenn er ein Verhalten unter Strafe stellt, das geschützt werden sollte, oder wenn er keine ausrei­chenden Garantien für Ermittlungen und Strafver­folgung vorsieht. ²² Daher gehören die Menschen­rechtsgarantien des Übereinkommens (Art. 6) zu den grundlegendsten – und umstrittensten – Artikeln. Eine breite Koalition aus zivilgesellschaftlichen Or­ganisationen und Einrichtungen des privaten Sek­tors beteiligte sich am Verhandlungsprozess, da sie den Schutz und die Garantien für unzureichend hielten, um potenzielle Menschenrechtsverletzungen zu verhindern. Sie waren auch der Ansicht, dass diese in scharfem Kontrast zu den weitreichenden Verfahrens- und Durchsetzungsbefugnissen stan­den. Sie appellierten anschließend an die Staaten, das Übereinkommen nicht zu ratifizieren. ²³

Drei wesentliche Problembereiche

Erstens: Das Übereinkommen überlässt den Schutz der Menschenrechte weitgehend den innerstaat­lichen Rechtssystemen und enthält keine konkre­ten Verweise auf etablierte internationale Rechts­rahmen, die die Einhaltung der Menschenrechts­verpflichtungen gewährleisten. Dieses Defizit kann dazu führen, dass bei der Umsetzung von Schutz­maßnahmen unterschiedliche innerstaatliche Rechts­vorschriften zur Anwendung kommen. Die begrenz­ten Schutzmaßnahmen in Verbindung mit weitrei­chenden Verfahrens- und Strafverfolgungsbefug­nissen können zu einer ausufernden Überwachung führen. Gleichzeitig verpflichten die Bestimmungen zur internationalen Zusammenarbeit die Staaten, sich gegenseitig bei der Aufklärung und Verfolgung von Cyberkriminalität zu unterstützen, indem sie elektronische Beweismittel für alle Straftaten, die nach innerstaatlichem Recht als schwerwiegend gelten, sammeln, sicherstellen und austauschen. ²⁴ Insbesondere der Privatsektor hat davor gewarnt, dass das Übereinkommen aufgrund minimaler und optionaler Menschenrechtsschutzmaßnahmen den Austausch personenbezogener Daten durch Regie­rungen weltweit erleichtern könnte. ²⁵ Die vielen in dem Dokument enthaltenen Optionen zur Geheim­haltung von Anfragen geben Anlass zu Bedenken hinsichtlich der möglichen Verwendung der ange­forderten Daten zu Überwachungs-, Strafverfol­gungs- oder politisch motivierten Zwecken. ²⁶ Dar­über hinaus kann eine Bestimmung, die den Staa­ten die Gerichtsbarkeit über Straftaten einräumt, die weltweit gegen ihre Staatsangehörigen began­gen werden (passives Personalitätsprinzip), zu ei­ner deutlichen Ausweitung der Gerichtsbarkeit nach internationalem und nationalem Recht füh­ren und die Souveränität, ein ordnungsgemäßes Verfahren und die Menschenrechte gefährden. ²⁷

Zweitens: Der Vertrag birgt Risiken für die Cy­bersicherheitsforschung. ²⁸ Seitens der Sicherheits­forschung wurden erhebliche Bedenken geäußert, dass der Vertragstext die Rechte und Aktivitäten von Cybersicherheitsforscherinnen und -forschern, die in gutem Glauben handeln, einschränken könn­te, da er nicht zwischen rechtmäßigen Sicherheits­forschungsaktivitäten und der vorsätzlichen Aus­nutzung von Sicherheitslücken unterscheidet. Die Cybersicherheitsforschung hat es sich zur Aufgabe gemacht, Schwachstellen in Netzwerken, Betriebs­systemen, Geräten, Firmware und Software aufzu­decken und zu melden. Mehrere Bestimmungen des Übereinkommens bergen die Gefahr, diese Arbeit zu behindern, indem sie einen Großteil dieser Akti­vitäten als kriminell einstufen und keine wirksamen Schutzmaßnahmen für ethisch handelnde Cybersi­cherheitsforscher und Penetrationstester vorsehen. ²⁹

Drittens: Das Umsetzungskapitel des Überein­kommens enthält nur unzureichende Kontrollbe­stimmungen. Ein Überprüfungsmechanismus ist nicht verpflichtend, ebenso wenig wie Beiträge von nichtstaatlichen Akteuren, die während der Ver­handlungen eine wichtige Rolle gespielt haben. Da­her wird die Umsetzung und Überprüfung des Übereinkommens weitgehend von den Modalitä­ten für die Arbeit und Teilnahme an der Konferenz der Vertragsstaaten und einem eventuellen Über­prüfungsmechanismus abhängen, der von den Staa­ten als Geschäftsordnung vereinbart werden muss. Diese im Übereinkommen verankerte fakultative Regelung ermöglicht es den Regierungen, die Betei­ligung nichtstaatlicher Akteure zu erschweren und eine externe Überprüfung staatlicher Maßnahmen zu beschränken. ³⁰

Was folgt nach Hanoi?

Das UN-Übereinkommen wurde bei der Unter­zeichnungszeremonie in Hanoi, Vietnam, am 25. und 26. Oktober 2025 zur Unterzeichnung geöff­net und bleibt bis zum 31. Dezember 2026 zur Un­terzeichnung offen. Die Staaten können ihm auch danach noch beitreten. 72 Länder haben das Über­einkommen bereits bei der Zeremonie unterzeich­net, darunter 13 EU-Mitgliedstaaten und die EU selbst. Es wird erwartet, dass viele weitere Länder das Dokument zu gegebener Zeit unterzeichnen werden. Die Tatsache, dass 121 Staaten das Über­einkommen in Hanoi noch nicht unterzeichnet ha­ben – und Staaten erst nach der Ratifizierung recht­lich an das Übereinkommen gebunden sind –, zeigt jedoch, dass es noch eine ganze Weile dauern wird, bis das Übereinkommen weltweit akzeptiert ist.

Deutschland hat das Übereinkommen bisher nicht unterzeichnet, die USA ebenfalls, obwohl beide Vertragsparteien des Budapester Überein­kommens sind. Sollten die USA ³¹ diesem globalen Rahmenabkommen nicht beitreten, würde dies die Wirksamkeit des Vertrags erheblich schwächen, da zahlreiche wichtige Technologieunternehmen, bei denen elektronische Beweismittel gespeichert wer­den, ihren Firmensitz in den USA haben.

Angesichts des umfassenden Geltungsbereichs des Vertrags und der weitreichenden Befugnisse, die den staatlichen Stellen übertragen werden, wird ein menschenrechtsbasierter und an den beteiligten Akteuren orientierter Ansatz zur Überwachung und Umsetzung des Vertrags von größter Bedeutung sein. Nur so lassen sich missbräuchliche Anwen­dungen vermeiden und die erwarteten Vorteile des Vertrags mit seinen Nachteilen vereinbaren. ³² Kri­tikerinnen und Kritiker argumentieren, dass die Unterzeichnung des Übereinkommens die Staaten zu Komplizen eines möglichen Missbrauchs des Vertrags machen würde, da dieser keine ausrei­chenden Menschenrechtsschutzbestimmungen ent­halte. Befürworter halten dem entgegen, dass Staa­ten nur dann einen positiven Einfluss auf die Über­prüfung und Umsetzung nehmen können, wenn sie Vertragspartei würden. ³³ Nun liegt es an den Un­terzeichnern, alles in ihrer Macht Stehende zu tun, um sicherzustellen, dass das Übereinkommen nicht gegen Staaten und deren Bürger missbraucht wird und dass ihre Umsetzung zur internationalen Zu­sammenarbeit bei der Bekämpfung der Cyberkri­minalität beiträgt, ohne Grundfreiheiten zu ge­fährden.

Aus dem Englischen von Angela Großmann