Die erste unterschriebene Canary wurde am 1. März veröffentlicht und wird am ersten Tag jedes Monats neu ausgestellt. Sie können die aktuelle sowie alle früheren auf der Canary-Seite einsehen.
Dieser Beitrag behandelt, was das Dokument leistet, was es nicht leisten kann und warum wir es trotzdem veröffentlicht haben.
Was es aussagt
Fünf Aussagen in klarer Sprache, ohne juristische Absicherungen:
- Wir haben keine geheime Anordnung erhalten, die uns zwingt, Kundendaten herauszugeben.
- Wir haben keine Schweigeanordnung oder Vertraulichkeitsverpflichtung im Zusammenhang mit einem rechtlichen Verfahren erhalten.
- Wir haben keiner Partei einen Verschlüsselungsschlüssel, eine Berechtigung oder Hypervisor-Zugriff übergeben.
- Keine unserer Einrichtungen wurde von einer Behörde beschlagnahmt, abgebildet oder entfernt.
- Die Kontrolle über das Unternehmen und das Netzwerk hat sich nicht geändert.
Jede Aussage ist entweder am Tag der Unterzeichnung wahr oder die Aussage fehlt. Es gibt keine dritte Option, kein abschwächendes Adverb und keine Version des Dokuments, in der eine Aussage stillschweigend umformuliert statt entfernt wird.
Wie es signiert wird
Die Canary wird mit einem OpenPGP-Schlüssel signiert, dessen Fingerabdruck auf der Canary-Seite veröffentlicht ist und seit März unverändert ist. Der signierte Text enthält einen aktuellen Block-Hash einer öffentlichen Blockchain, der den frühestmöglichen Zeitpunkt der Erstellung des Dokuments festlegt. Ohne diesen Hash könnte ein Stapel vorab signierter Canaries monatlich von jedem veröffentlicht werden, der den Schlüssel besitzt, und das ganze Unterfangen wäre nur Theater.
Monatlich statt täglich. Eine tägliche Canary gewöhnt alle daran, sie zu ignorieren, und eine echte Auslassung sähe wie ein Feiertag oder ein fehlgeschlagener Cron-Job aus. Monatlich ist langsam genug, um bemerkt zu werden, und häufig genug, um nützlich zu sein.
Die rechtliche Begründung, ehrlich
Die Theorie ist wie folgt: Ein Staat kann Schweigen erzwingen. Das Erzwingen einer affirmativen Lüge ist etwas anderes und stößt in mehreren Rechtstraditionen an Grenzen gegen erzwungene Rede. Eine Canary versucht, ein Verbot zu sprechen in eine Pflicht zum weiteren Sprechen umzuwandeln, und stoppt dann.
Diese Theorie hat drei Probleme, die wir lieber offen nennen, als dass Sie sie später selbst entdecken.
Sie ist weitgehend ungetestet. Nur sehr wenige Gerichte haben entschieden, ob eine Canary zur Fortsetzung gezwungen werden kann. Das Argument ist plausibel und nicht abschließend geklärt, und wer Ihnen etwas anderes erzählt, verkauft Ihnen etwas.
Sie versagt in manchen Rechtsordnungen völlig. Wir sind in neunundzwanzig Ländern tätig. In einigen davon hat das Argument der erzwungenen Rede keinerlei Gewicht, und ein Gericht, das Stillschweigen anordnen kann, könnte plausibel auch die unveränderte Fortsetzung der Veröffentlichung anordnen. Eine Canary ist nicht überall gleich stark, und sie ist am stärksten ausgerechnet an den Orten, wo Sie sich am wenigsten Sorgen machen.
Sie ist ein grobes Werkzeug. Das Dokument gilt für die gesamte Flotte. Es kann Ihnen nicht mitteilen, dass an einem Standort etwas passiert ist und an einem anderen nicht, denn das zu sagen wäre selbst die Offenlegung, die die Schweigepflicht verbietet. Wenn sich eine Canary ändert, erfahren Sie, dass etwas passiert ist, nicht was oder wo.
Warum wir es trotzdem veröffentlicht haben
Weil die Alternative nichts ist, und nichts ist schlimmer. Ein schwaches Signal, das jeder überprüfen kann, ist besser als eine starke Zusicherung auf einer Marketingseite, die niemand überprüfen kann.
Es gibt auch ein Disziplin-Argument, das wir nicht vorhergesehen haben und das wir heute mehr schätzen als das Dokument selbst. Fünf Aussagen monatlich zu signieren bedeutet, dass jeden Monat jemand fünf Aussagen intern schriftlich mit Namen prüfen muss. Jeder Prozess, der eine davon falsch werden lassen würde, hat jetzt eine Kontrollstation davor.
Der Schutz, der wirklich zählt
Eine Canary sagt Ihnen, dass etwas passiert ist. Was die Konsequenzen bestimmt, ist, wie viel es zu übergeben gibt, und die Antwort ist hier bewusst sehr wenig: eine E-Mail-Adresse, ein Passwort-Hash, ein siebentägiges Panel-Zugriffsprotokoll und ein Rechnungsdatensatz ohne Identität. Zahlungsreferenzen werden nach der Abrechnung gelöscht. Instanzverkehr wird nie aufgezeichnet.
Dieses Inventar ist vollständig auf was wir protokollieren veröffentlicht, und die Richtlinie dahinter auf der No-KYC-Seite. Wenn Sie Zeit haben, nur eine Seite zu lesen, lesen Sie die Aufbewahrungstabelle statt der Canary. Eine Canary ist ein Rauchmelder. Nichts zu speichern bedeutet, kein Feuer zu haben.
Was wir nicht versprechen werden
Wir werden nicht versprechen, Sie individuell über eine rechtliche Anfrage zu informieren. In mehreren Rechtsordnungen, in denen wir tätig sind, ist dies selbst eine Straftat, und ein Versprechen, das wir unter Druck brechen müssten, ist schlimmer als kein Versprechen. Wo die Benachrichtigung erlaubt ist, benachrichtigen wir. Diese Unterscheidung steht in den AGB und ist bewusst eng gefasst.
Wir werden auch nicht versprechen, dass die Canary immer da sein wird. Wenn sie stoppt, stoppt sie, und Sie sollten die Stille als Information betrachten und nicht als Ausfall.