Sicherer Kanal für journalistische Quellen: Gespräch ohne Preisgabe der Identität
Das Redaktionsgeheimnis schützt die Quelle vor der Frage, wer sie ist. Es schützt weder das E-Mail-Postfach vor einem Herausgabeverlangen noch den Messenger vor Protokollen. Ein Kanal für Quellen muss dafür sorgen, dass es nichts herauszugeben gibt, weil allein die Redaktion den Schlüssel hat.
Situation
Bei der Redaktion meldet sich eine Person, die Dokumente aus dem Inneren einer Institution hat. Sie will sie übergeben, wird sich aber nicht zu erkennen geben, weil ihr dafür der Verlust des Arbeitsplatzes droht, manchmal auch Schlimmeres. E-Mail-Postfach und Messenger hinterlassen Spuren, die sich auf Anordnung wiederherstellen lassen.
So funktioniert es
Die Quelle übergibt Dateien und führt das Gespräch mit dem Journalisten über Meldungsnummer und PIN, ohne Konto, ohne Adresse und ohne IP-Speicherung. Inhalt und Identität werden mit einem Schlüssel auf Seiten der Redaktion verschlüsselt; der Betreiber hat also keinen Schlüssel und nichts, was er auf Verlangen herausgeben könnte. Der Quellenschutz hängt nicht mehr vom guten Willen des Anbieters ab.
- E2E-Verschlüsselung
- Anonymität
- Mehrere Kanäle
In diesem Szenario 4
Was das Recht in dieser Situation sagt
Ein Journalist ist verpflichtet, Daten geheim zu halten, die die Identifizierung einer Person ermöglichen, die sich deren Nichtoffenlegung vorbehalten hat (Art. 15 des polnischen Pressegesetzes). Der Schutz hat jedoch verfahrensrechtliche Grenzen: Eine Entbindung von der Schweigepflicht im Strafverfahren ist in bestimmten Fällen möglich, und Herausgabeverlangen an Diensteanbieter bedürfen nicht der Zustimmung der Redaktion.
Eine Person, die einer Redaktion im beruflichen Kontext erlangte Informationen über einen Rechtsverstoß übermittelt, kann den Schutz des polnischen Hinweisgeberschutzgesetzes (Gesetz vom 14. Juni 2024 über den Schutz von Hinweisgebern) als Person in Anspruch nehmen, die eine öffentliche Offenlegung vornimmt (Art. 51), wenn sie die Sache zuvor ohne Erfolg gemeldet hat oder hinreichenden Grund zu der Annahme hatte, dass eine Meldung an eine Behörde wirkungslos wäre oder dass der Verstoß das öffentliche Interesse gefährdet. Der Schutz vor Repressalien beim Arbeitgeber wirkt dann genauso wie bei einer internen Meldung.
Die Redaktion ist Verantwortlicher für die Daten der Quellen im Sinne der DSGVO, mit dem Recht, die Informationspflichten im Bereich der journalistischen Tätigkeit einzuschränken, aber ohne Befreiung von der Pflicht, die Daten zu sichern.
Worauf bei der Einführung zu achten ist
- Keine Daten bei Dritten. Die Seite für Quellen darf keine externen Schriftarten, Skripte, Analysewerkzeuge oder ein CDN nutzen, das Adressen protokolliert. Jedes solche Element sind Daten außerhalb der Kontrolle der Redaktion.
- Der Schlüssel liegt ausschließlich in der Redaktion. Inhalt, Anhänge und die etwaige Identität der Quelle sind mit einem Schlüssel verschlüsselt, den der Anbieter nicht hat. Ein Herausgabeverlangen an den Anbieter endet beim Chiffrat.
- Metadaten von Dateien. Ein Dokument aus dem Inneren einer Institution trägt in seinen Metadaten den Autor, den Netzwerkpfad und den Änderungsverlauf. Ein mit dem Telefon fotografierter Ausdruck trägt den Standort. Bereinigung vor dem Speichern, automatisch.
- Ein Gespräch, das sich über Zeit erstreckt. Die Quelle kommt nach Tagen oder Wochen über Meldungsnummer und PIN zurück, ohne Konto, ohne Adresse, von einem anderen Gerät.
- Zugriff in der Redaktion nach dem Prinzip „wer es wissen muss“. Den Fall sehen der zuständige Journalist und der Redakteur, nicht die ganze Redaktion. Das Audit-Protokoll zeigt, wer ihn geöffnet hat.
Funktionen, die den Unterschied machen
- Ende-zu-Ende-Verschlüsselung mit dem Schlüssel der Redaktion; der Anbieter hat keinen Schlüssel und nichts herauszugeben (Vertraulichkeit).
- Seite ohne IP-Speicherung, ohne externe Ressourcen, ohne Tracking, unter der Domain der Redaktion.
- Entfernen von Metadaten aus Anhängen.
- Meldungsnummer und PIN statt Konto und E-Mail.
- Berechtigungen pro Fall und Audit-Protokoll: Zugriff nur für die fallbearbeitenden Personen (Compliance).
- Mehrere Formulare und Sprachen: ein eigener Kanal für Quellen und ein eigener für die Mitarbeiter der Redaktion, wenn der Verlag als Arbeitgeber unter das Gesetz fällt.
Häufige Fragen
Ersetzt das SecureDrop?
Nicht in Umgebungen mit höchstem Risiko, in denen die Quelle das Tor-Netzwerk und dedizierte Hardware nutzt. sygnadesk ist ein Kanal für Redaktionen, die einen sicheren, vom Telefon aus erreichbaren Weg brauchen, Dokumente entgegenzunehmen und ein Gespräch zu führen, ohne Infrastruktur auf Seiten der Quelle. Der entscheidende Unterschied zu E-Mail und Messengern: keine Protokolle beim Anbieter und der Schlüssel ausschließlich in der Redaktion.
Was, wenn die Redaktion den Schlüssel verliert?
Der Betreiber hat keinen Schlüssel und keinen Wiederherstellungsmechanismus. Jede berechtigte Person in der Redaktion hat einen persönlichen Notfallcode für den Fall eines vergessenen Passworts; verliert die Redaktion alle Schlüssel, kann niemand die Inhalte wiederherstellen. Die Regeln für die Aufbewahrung der Codes und die berechtigten Personen müssen bei der Einführung festgelegt werden, bevor sie gebraucht werden.
Mehr zu Rollen und Verantwortung im Artikel DSGVO bei Hinweisgebermeldungen.
Vom Verfahren zum funktionierenden Meldekanal
sygnadesk berechnet die Fristen, führt das Register und schützt die Identität der hinweisgebenden Person so, wie wir es in der Wissensdatenbank beschreiben. Sehen Sie, wie das in Ihrer Organisation aussieht.