Summary

  • CRTC 2026-140 erlaubt Netzbetreibern unterschiedliche Verfahren zum Sperren schädlichen Datenverkehrs, sofern Notwendigkeit, Genauigkeit und Verbraucherschutz gewahrt bleiben.
  • Der Betreiber muss selbst nachweisen, dass ein externer Anbieter fachlich geeignet ist und keine Konflikte den unparteiischen Betrieb gefährden; eine öffentliche CRTC-Zulassungsliste entsteht nicht.
  • Nutzer erhalten allgemeine Informationen zu Methoden und Anbietern. Produkt- und Nutzungsdetails gehen in vertrauliche Jahresberichte an die Aufsicht.

Eine Netzsperre ist selten das Werk eines einzelnen Produkts. Ein Unternehmen liefert Bedrohungsindikatoren, ein anderes wertet Verkehrsmuster aus, und ein Gerät des Netzbetreibers setzt eine Regel durch. Für den Kunden ist nur sichtbar, dass eine Verbindung funktioniert oder ausbleibt. Die Frage, wer die Entscheidung technisch beeinflusst hat, wird damit zur Frage der Beschaffung und Aufsicht. Kanada öffnet die Methodenwahl, lässt aber den Betreiber für die gesamte Lieferkette einstehen.

Die rechtliche Grundlage ist ungewöhnlich streng. Artikel 36 des kanadischen Telecommunications Act untersagt es einem Telekommunikationsanbieter grundsätzlich, den Inhalt öffentlicher Telekommunikation zu kontrollieren oder deren Bedeutung beziehungsweise Zweck zu beeinflussen, sofern die CRTC es nicht genehmigt. Die Entscheidung 2022-170 ordnete netzseitige Botnet-Sperren in diesen Rahmen ein und formulierte Grundsätze zu Notwendigkeit, Genauigkeit, Transparenz, Datenschutz und Rechenschaft.

Die erste Genehmigung war enger gefasst. Entscheidung 2025-142 erlaubte den Einsatz qualifizierter Indikatorenlisten, die der Betreiber selbst oder ein Dritter bereitstellt. Bei teilnehmenden Betreibern galt die Sperre standardmäßig für Kunden; eine individuelle An- oder Abwahl war nicht vorgesehen. Mit Konsultation 2025-143 fragte die CRTC anschließend nach weiteren Verfahren: Portfiltern, gefälschten Absenderadressen, Dateisignaturen, ungewöhnlichen Verkehrsvolumen, tiefer Paketinspektion, Datenschutz und Berichten.

Entscheidung 2026-140 trat am 18. Juni 2026 in Kraft und löst die Bindung an eine bestimmte Technik. Jeder Ansatz ist zulässig, wenn er mit Notwendigkeit, Genauigkeit und dem Schutz der Privatsphäre vereinbar ist. Die CRTC nennt Portfilter, Sperren gefälschter Quelladressen und volumenbasierte Regeln als Beispiele. Daraus folgt nicht, dass jeder Betreiber jedes Verfahren einsetzt; ein bestimmtes Produkt oder ein bestimmter Anbieter wird ebenfalls nicht vorgeschrieben.

Die größere Methodenfreiheit geht mit einer konkreten Prüfungspflicht einher. Abschnitt 2.3 des überarbeiteten Rahmens verlangt von einem Drittanbieter die nötige technische Kompetenz und schließt Konflikte aus, die einen unparteiischen Betrieb im Interesse der Kanadier beeinträchtigen könnten. Die Aufsicht nennt Eigentumsverhältnisse und geopolitischen Kontext als mögliche Faktoren. Abschnitt 2.2 weist dem Netzbetreiber die Beweislast für die Einhaltung des Rahmens zu. Die CRTC erstellt also keine öffentliche Liste vorab zertifizierter Lieferanten.

Jeder Betreiber muss wissen, wer die Indikatoren, Software oder Geräte liefert, und begründen, warum diese Abhängigkeit vertretbar ist.

Das ist mehr als eine Vertragsprüfung. Ein Anbieter kann eine Liste kompromittierter Systeme führen, Verkehr analysieren, Sperrtechnik liefern oder einen Überwachungsdienst betreiben. Der Rahmen erfasst Systeme, Geräte und Software Dritter, die für die Sperre eingesetzt werden. Der Betreiber muss nachvollziehen können, wie ein Eingangssignal zu einer Regel am Netzübergang wird, und welche Fachkunde, Datenquellen und Interessen an jeder Stelle eine Rolle spielen. Ein Produktname im Vertrag beweist weder die Genauigkeit der Signale noch, dass Eigentümerinteressen ohne Einfluss bleiben.

Die Informationspflichten verlaufen auf zwei Ebenen. Auf seiner Website muss ein Betreiber Art und Umfang der Sperren sowie die Methoden allgemein beschreiben. Er muss angeben, ob er Drittanbieter einsetzt und ob einer außerhalb Kanadas sitzt, und erklären, wie Kunden einen Fehlalarm oder eine übermäßige Sperre melden können. Zugleich soll die Offenlegung keine Details enthalten, die Angreifern beim Umgehen der Abwehr helfen. Die Öffentlichkeit sieht daher die Konturen des Kontrollsystems, nicht seine Schwellenwerte oder Regelbibliotheken.

Die Aufsicht erhält mehr Einzelheiten in einem vertraulichen Jahresbericht: eingesetzte Methoden, Anbieter und Produkte, die Zahl blockierter Kompromittierungsindikatoren, Beschwerden über Fehlalarme oder Übersperrungen und eine ausführliche Begründung der Regelkonformität. Der Bericht muss binnen 30 Kalendertagen nach Ende des Berichtszeitraums eingereicht werden. Die CRTC kann einzelne Kennzahlen veröffentlichen oder vertrauliche Angaben zu Branchenübersichten verdichten. Betreiber müssen ihre Systeme außerdem regelmäßig überprüfen.

Tiefe Paketinspektion bleibt auf Ausnahmefälle beschränkt und darf dann nur Paketkopfzeilen, nicht aber Nachrichteninhalte erfassen. Legitime VPN-Dienste und alternative DNS-Auflöser dürfen nicht blockiert werden, um die Sperre durchzusetzen.

Diese Aufteilung schützt Betriebsdetails, erschwert aber der Öffentlichkeit, die Aufsicht zu beurteilen. Der abweichende Kommissar Bram Abramson stimmte einer breiteren Methodenpalette zu, verlangte jedoch weitergehende Angaben zu Anbieterlebenszyklen und zur Bearbeitung von Beschwerden. Seine Vorschläge wurden nicht zu geltenden Pflichten. Sie markieren eine offene Frage: Kann die CRTC die Qualität der Belege über die Zeit prüfen, oder erhält sie lediglich einmal jährlich eine formale Erklärung?

Für Betreiber rückt damit die laufende Lieferantenkontrolle in den Mittelpunkt. Fachkunde, Eigentum, Interessenkonflikte, Datenzugriff, Vorfälle, Änderungsanzeigen und ein Wechselplan sollten zusammen betrachtet werden. Kleinere Netzbetreiber könnten es schwerer haben, diese Nachweise zu erstellen, wenn sie auf gemeinsame Sicherheitsdienste oder vorgelagerte Anbieter angewiesen sind; das ist eine mögliche operative Folge, keine von der CRTC gemessene Kostenwirkung. Anbieter wiederum könnten Zugang zum Markt gewinnen, wenn sie Prüfungen unterstützen und ihre Rolle nachvollziehbar machen.

Zugleich steigen möglicherweise Nachweisaufwand und Vorteil für Unternehmen mit ausgereiften Prüfunterlagen. Die Entscheidung lässt offen, welcher Effekt überwiegt.

Der erste Berichtszeitraum endet am 31. Dezember 2026. Die ersten Berichte können der Aufsicht einen Überblick über Methoden, Produkte und Beschwerden geben, beweisen aber nicht automatisch die Erkennungsgenauigkeit oder den Anteil fälschlich blockierter Verbindungen. Auch die Zahl der Beschwerden hängt davon ab, ob Kunden eine Sperre bemerken und den Meldeweg finden. Für die Beurteilung zählt daher, ob Betreiber ihre Begründungen und Änderungen so dokumentieren, dass die Aufsicht sie später nachvollziehen kann.

Kanada hat ein delegiertes Modell gewählt: Der Betreiber entscheidet über Methode und Anbieter und muss die Entscheidung anhand gemeinsamer Grundsätze rechtfertigen. Glaubwürdig wird es erst, wenn eine Anbieterprüfung bei Änderungen von Eigentum, Daten oder Technik erneut greift und wenn die CRTC vertrauliche Berichte für wirksame Kontrolle nutzt. Die Methoden sind breiter geworden. Ob die Kontrolle über die Lieferkette Schritt hält, ist der entscheidende Test.

Quellen