Watch the latest videos on YouTube.com

| Cryptome DVDs are offered by Cryptome. Donate $25 for two DVDs of the Cryptome 12-and-a-half-years collection of 47,000 files from June 1996 to January 2009 (~6.9 GB). Click Paypal or mail check/MO made out to John Young, 251 West 89th Street, New York, NY 10024. The collection includes all files of cryptome.org, cryptome.info, jya.com, cartome.org, eyeball-series.org and iraq-kill-maim.org, and 23,100 (updated) pages of counter-intelligence dossiers declassified by the US Army Information and Security Command, dating from 1945 to 1985.The DVDs will be sent anywhere worldwide without extra cost.

Web | cryptome.org | cryptome.info | jya.com | eyeball-series.org | cryptome.cn

14 December 1998

    From: "Black Unicorn" <unicorn@schloss.li>
    To: "Cryptography List" <owner-cryptography@c2.net>
    Subject: Wassenaar in Switzerland (German)
    Date: Mon, 14 Dec 1998 17:05:24 -0600

    I'll do a translation when I have time.  (Note that this could be as late as
    next week).

    Montag, 14. Dezember 1998

    Verschleierungstaktik bei Kryptopolitik

    Neue Exportbeschränkungen für Verschlüsselungsprodukte

    Auf Druck der USA haben letzte Woche in Wien 33 Staaten, darunter auch die
    Schweiz, neue Bewilligungspflichten für den Export von
    Verschlüsselungssoftware vereinbart. Die Umsetzung bleibt dabei aber den
    einzelnen Staaten überlassen. Die Vereinbarung dürfte in der Schweiz und in
    Europa kaum Änderungen der bisherigen Praxis bewirken.

    Die Meldung, dass die USA europäische Staaten zu verschärften Kontrollen
    beim Export von Verschlüsselungssoftware hätten zwingen können, sorgte
    letzte Woche für Aufregung. Doch die Vereinbarung, die der Sonderbeauftragte
    der Vereinigten Staaten, David Aaron, amerikanischen Journalisten als
    grossen Sieg der USA verkaufte und die in der Folge von einigen
    Kommentatoren als Niederlage für den Rest der Welt gewertet wurde, ändert
    genau betrachtet die Bedingungen beim Verkauf und bei der Nutzung von
    Software für die Verschlüsselung von Computerdaten kaum. Nach wie vor ist es
    schwierig, leistungsfähige Verschlüsselungssoftware aus den USA zu
    exportieren, nach wie vor ist es möglich, dass etwa Schweizer Firmen ihre
    leistungsfähigen Kryptoprogramme auch ausserhalb der Schweiz verkaufen. Dass
    die Revision der Wassenaar-Vereinbarung in der Öffentlichkeit Aufregung
    verursachte, liegt weniger am Inhalt als eher daran, dass der US-Diplomat
    die Stimmungslage für eine PR-Aktion zu nutzen suchte. Dies sorgte in
    europäischen Regierungskreisen für Kopfschütteln.

    Sturm im Wasserglas

    In der Praxis dürften die letzte Woche an einer Plenartagung in Wien
    getroffenen Änderungen der Wassenaar-Vereinbarung - des 1996 geschaffenen
    Nachfolgers der Technologie-Ostexportkontrollbehörde COCOM - vorerst wenig
    Auswirkungen zeigen. Der Wassenaar-Vereinbarung gehören neben den USA
    weitere 32 Industrienationen, darunter die Schweiz und auch die meisten
    osteuropäischen Staaten und Russland, an. Die Vereinbarung ist weder
    «self-executing» noch rechtlich verbindlich, muss also von den einzelnen
    Staaten national umgesetzt werden. Schon bisher sah sie im Rahmen der
    Exportkontrollen eine Bewilligungspflicht für die Ausfuhr von
    Verschlüsselungstechnik in Nichtmitgliedstaaten vor, da solche Produkte
    meist als «Dual Use»-Produkte betrachtet werden, weil sie sich auch
    militärisch einsetzen lassen. Software, die wie etwa Web-Browser oder
    E-Commerce-Server als sogenannte «mass market products» vertrieben wurden,
    war davon aber ausgenommen.

    Neu soll auf Druck der USA auch die Ausfuhr solcher Software einer
    Bewilligungspflicht unterliegen, sofern sie Schlüssel verwendet, die länger
    sind als 64 Bit. Für den Export in die Unterzeichnerstaaten der Vereinbarung
    sind aber weiterhin keine Exportkontrollen vorgeschrieben; in vielen Fällen

    ändert sich also schon deswegen nichts. Hinzu kommt, dass für Software, die
    wie die Freeware-Version von Pretty Good Privacy (PGP) im Internet kostenlos
    und frei erhältlich ist («in the public domain»), gegen den Willen der USA
    nach wie vor keinerlei Restriktionen vorgeschrieben werden. Die Vereinbarung
    erlaubt es den einzelnen Staaten aber auch, eigene, schärfere
    Exportbeschränkungen einzuführen, wie sie etwa die USA kennen.
    Computerbenutzer, die aus den USA Internet-Software mit starken
    Verschlüsselungsfunktionen beziehen wollen, können also nach wie vor
    Probleme haben. Für Verschlüsselungshardware, wie sie auch hierzulande
    hergestellt wird, sieht die revidierte Vereinbarung von Wassenaar zwar eine
    Lockerung vor: für solche Produkte wie auch für Nichtmassenmarkt- Software
    sind bei Schlüsseln bis 56 Bit künftig keine Exportbewilligungen mehr nötig.
    Da sichere Verschlüsselungssysteme heute aber mit 128 Bit oder mehr arbeiten
    müssen, ist diese Lockerung in der Praxis de facto irrelevant.

    Keine Auswirkungen für die Schweiz

    «Für die Schweiz wird die Anpassung der Vereinbarung praktisch keine
    Auswirkungen haben», versichert Othmar Wyss vom zuständigen Bundesamt für
    Aussenwirtschaft (Bawi) auf Anfrage. Bruno Wildhaber, bei der
    US-Kryptospezialistin Entrust für Strategien in Europa verantwortlich,
    rechnet für Schweizer Firmen sogar mit einer «noch besseren Marktposition im
    Inland». Die Stellung der US-Anbieter sei «einmal mehr» geschwächt worden.
    Die USA hätten zwar massiv Druck ausgeübt, damit Massenmarktsoftware in der
    Zukunft Exportkontrollen unterstellt würde. Es sei aber anzunehmen, «dass
    die europäischen Länder und Kanada diesem Druck nicht oder nur sehr
    beschränkt nachgeben werden», sagt Wildhaber. Der Entscheid über die
    Erteilung einer Exportbewilligung liegt denn auch bei den einzelnen Staaten
    und kann eine reine Formsache sein. Das Bawi denkt bereits über weltweit
    gültige Generalausfuhrlizenzen für Massenmarktsoftware nach.

    Zwar trifft es zu, dass die USA in der jüngsten Fassung der Vereinbarung
    einige zentrale Anliegen ihrer Kryptopolitik international einbringen
    konnten. In wesentlichen Punkten ist sie aber - und das erklärt auch ihre
    PR-Aktion - gescheitert: So konnte sie trotz erheblichem Druck die von ihr
    gewünschte Privilegierung von Kryptoprodukten mit «Key recovery»-Mechanismen
    nicht durchsetzen. Damit hätten Behörden nachträglich Geheimschlüssel eines
    Systems rekonstruieren und verschlüsselte Botschaften im Klartext lesen
    können. Es war im übrigen die Schweiz, die hier die Opposition anführte. Die
    Schweizer Vertretung sorgte auch dafür, dass die neuen Bestimmungen für
    Massenmarktsoftware nur zwei Jahre lang gelten werden und dann erneut
    einstimmig beschlossen werden müssen. Auch die Meldepflicht für (bewilligte)
    Exporte von Kryptoprodukten wurde auf Schweizer Initiative hin gestrichen.

    David Rosenthal

    Neue Zürcher Zeitung, 11. Dezember 1998