Rote Linien für Big Tech: Greenpeace fordert Ethik-Kodex für Cloud-Riesen

Angesichts des massiven Ausbaus von Rechenzentren verlangt Greenpeace von AWS, Microsoft und Google eine Selbstverpflichtung gegen Umweltzerstörung und Überwachung.

Die digitale Infrastruktur ist das Nervensystem der modernen Welt, doch hinter den glänzenden Fassaden der Cloud-Giganten verbergen sich oft düstere Allianzen. Während Konzerne wie Amazon Web Services (AWS), Microsoft und Google ihre Marktposition zementieren, dienen ihre Serverkapazitäten nicht selten als technologisches Rückgrat für Branchen, die den Planeten an seine Belastungsgrenzen führen.

Mit einer neuen "Ethik-Richtlinie für Anbieter kritischer digitaler Infrastruktur" erhöht Greenpeace nun den Druck auf die Branche. Die Umweltschutzorganisation fordert, dass die "Wegbereiter der modernen Welt" endlich Verantwortung für ihre gesellschaftliche Rolle übernehmen und klare rote Linien ziehen.

Kernproblem ist die vermeintliche Neutralität der Technik. Cloud-Anbieter stellen Rechenpower und Speicherplatz bereit. Doch wer diese Ressourcen wofür nutzt, bleibt bislang weitgehend dem Markt überlassen. Greenpeace-Expertin Linda Klapdor findet dafür deutliche Worte: Big Tech mache sich mit fossiler Expansion, der Abholzung von Regenwäldern und Massenüberwachung die Taschen voll. Wer die digitale Zukunft bauen wolle, müsse die Zerstörung der Gegenwart konsequent von seinen Servern verbannen. Die Richtlinie ist dabei als direkt unterschriftsreife Selbstverpflichtung konzipiert, die abstrakte moralische Werte in eine operative Realität übersetzen soll.

Greenpeace zieht eine strukturelle Parallele zum Finanzsektor. So wie Banken über Kredite entscheiden, welche Projekte realisiert werden, entscheiden Cloud-Anbieter über die Effizienz und Skalierbarkeit von Geschäftsmodellen. Im Finanzwesen sind ökologische und soziale Ausschlusskriterien, etwa in den UN Principles for Responsible Investment, längst etabliert. Viele Institute finanzieren keine Streumunition oder Regenwaldabholzung mehr. Genau diese "bewährten Prinzipien" sollen nun auf die Anbieter von Cloud-Services übertragen werden. Es geht darum, Unternehmen den digitalen Saft abzudrehen, wenn deren Handeln das Gemeinwohl gefährdet.

Die Verbotsliste: Von Öl bis Deepfakes

Die Richtlinie definiert präzise Ausschlusskriterien für die Nutzung der Infrastruktur. Ein prominenter Punkt ist der Bereich fossile Brennstoffe. Cloud-Dienste sollen für Kohleförderer mit Expansionsplänen sowie für Öl- und Gasunternehmen, die neue Reserven erschließen oder Fracking betreiben, tabu sein. Auch die Rüstungsindustrie gerät ins Visier: Die Entwicklung und der Einsatz von Letalen Autonomen Waffensystemen (LAWS) alias Killer-Robotern, die ohne menschliche Kontrolle Ziele auswählen, sowie die operative Planung kinetischer Angriffe über die Cloud werden strikt abgelehnt.

Besonders aktuell sind die Forderungen im Bereich der Künstlichen Intelligenz (KI) und Überwachung. Die Richtlinie orientiert sich hier am AI Act und untersagt Anwendungen mit "unannehmbarem Risiko". Dazu zählen etwa biometrisches Scraping zur Gesichtserkennung, Predictive Policing oder manipulative Techniken, die menschliches Verhalten schädlich beeinflussen. Auch der Schutz der Demokratie spielt eine Rolle: Wer Deepfakes erstellt, um Wahlen zu manipulieren, oder die freiheitlich-demokratische Grundordnung zersetzen will, soll keinen Zugang mehr zu kritischer IT-Infrastruktur erhalten.

Ökologische Sorgfaltspflicht und faire Ketten

Neben der Kundenauswahl nimmt die Richtlinie die eigene Betriebsweise der Tech-Konzerne in die Pflicht. Angesichts des enormen Ressourcenverbrauchs verlangt Greenpeace, dass neue Rechenkapazitäten ausschließlich mit echtem Strom aus erneuerbaren Energien betrieben werden – wobei bloße Zertifikate für Grünstrom nicht ausreichen. Zudem sollen Anbieter verpflichtet werden, mindestens 25 Prozent ihrer Abwärme weiterzuverwerten und auf den Einsatz von Trinkwasser zur Kühlung in wasserarmen Regionen zu verzichten.

Die Verantwortung endet aber nicht an der Tür des Rechenzentrums. Die Hardware-Lieferketten vom Bergbau bis zur Fertigung müssen transparent gemacht und auf Menschenrechtsverstöße geprüft werden. Auch für die oft unsichtbaren "Clickworker", die Daten für KI-Systeme aufbereiten, fordert die Selbstverpflichtung faire Löhne und den Schutz vor moderner Sklaverei.

Relevanz für den Standort Deutschland

Die Veröffentlichung kommt zu einem kritischen Zeitpunkt. Die Bundesregierung unter Bundeskanzler Friedrich Merz verfolgt ambitionierte Ziele für den digitalen Standort Deutschland. Erst im März beschloss die Exekutive, die Kapazitäten für Rechenzentren bis 2030 zu verdoppeln. Cie Anschlussleistung für Cloud-Computing und KI soll sich sogar vervierfachen. Parallel dazu fließen Milliarden: Allein AWS plant Investitionen von 7,8 Milliarden Euro in Deutschland. Auch Google und Microsoft bauen ihre Standorte massiv aus.

In diesem Kontext warnen Kritiker davor, dass der technologische Fortschritt ohne ethische Leitplanken zu Lasten der Umwelt und sozialer Standards gehen könnte. Die Forderung nach digitaler Souveränität, die Merz gemeinsam mit dem französischen Präsidenten Emmanuel Macron als europäisches Ziel ausgegeben hat, muss laut Greenpeace zwingend mit ethischen Mindeststandards verknüpft werden. Nur so könne technologischer Fortschritt langfristig zum echten Wettbewerbsvorteil werden, der dem Gemeinwohl dient.

Um die Einhaltung der ambitionierten Regeln sicherzustellen, schlägt Greenpeace die Einberufung eines unabhängigen, externen Ethik-Rats vor. Dieser soll Empfehlungen zur Beendigung der Zusammenarbeit mit kritischen Kunden veröffentlichen. Zudem sollen Ingenieure das vertraglich zugesicherte Recht erhalten, die Arbeit an Projekten zu verweigern, die gegen den Kodex verstoßen – ohne berufliche Nachteile fürchten zu müssen. Es ist ein weitreichender Entwurf, der Big-Tech-Unternehmen vor die Wahl stellt: Bleiben sie "Technologie-Vermieter" oder werden sie zu verantwortungsvollen Akteuren einer demokratischen Zukunft?

Stefan Krempl

Rufe nach globaler Anti-Botnetz-Initiative

Länder wie Japan, Deutschland oder Australien haben bereits seit einiger Zeit nationale PC-Entseuchungszentren eingerichtet. Andere Staaten tun sich schwer mit entsprechenden Vorstößen für Anti-Botnetz-Initiativen, was auf dem 25. Treffen der Messaging, Malware and Mobile Anti-Abuse Working Group (M3AAWG) am Mittwoch in Berlin für Kontroversen sorgte. Peter Coroneos etwa, Ex-Chef der australischen Internet Industry Association, zeigte sich verwundert, dass vor allem die USA das Thema so spät aufgegriffen hätten. Als frustrierend bezeichnete er vor allem die fehlende Bereitschaft jenseits des Atlantiks, offenbar aus Wettbewerbsdenken heraus keine Informationen über Malware-Bedrohungen und Infektionen auszutauschen.

Auf dem südöstlichen Kontinent selbst habe sich die Internetwirtschaft vor zwei Jahren auf einen Kodex geeinigt, dem sich 34 Provider mit rund 90 Prozent Marktabdeckung angeschlossen hätten, führte Coroneos aus. Der "Internet Industry Code of Practice" (icode) enthalte Vorgaben zum Aufdecken, Informieren, Eskalieren und Berichterstatten rund um verseuchte Rechner. Wichtig sei es dabei insbesondere, Betroffene beim Entfernen der Malware zu helfen.

Genaue Zahlen über den Erfolg der im Dezember 2010 in Kraft getretenen Regeln konnte Coroneos zwar nicht vorweisen. Er verwies aber auf die große Unterstützung, die der Ansatz national aus Kunden- und Regierungskreisen erfahre. Wirklich Sinn machen laut dem icode-Präsidenten aber nur "globale Partnerschaften" in diese Richtung, da sonst die Nutzer eines Tages Diensten wie Online-Banking den Rücken kehrten. Er habe einen ersten Schritt in diese Richtung gemacht und den Kodex in Südafrika zur Unterschriftsreife gebracht.

Auch in den USA liefen Vorbereitungen für die Verabschiedung freiwilliger Leitlinien zur Botnetz-Bekämpfung, wehrte sich Kate Dean, Geschäftsführerin der US Internet Service Provider Association US ISPA, gegen den Vorwurf der Untätigkeit. Nachdem das US-Wirtschaftsministerium und das Department of Homeland Security (DHS) im vergangenen Jahr ein solches Vorhaben angemahnt hätten, habe die Internetwirtschaft gemeinsam mit anderen Industriezweigen wie dem Finanzsektor im Januar erste Ziele für eine "Industry Botnet Group" (IBG) umrissen.

Vergangene Woche habe dazu nach der Einrichtung eines Steuerungskomitees eine Besprechung im Weißen Haus stattgefunden, auf der erste Prinzipien für die Gruppe festgezurrt worden seien, berichtete Dean. Die Selbstregulierungsbemühungen könnten aber noch durch laufende gesetzgeberische Schritte zur Cybersicherheit drastisch geändert werden. Letztlich hielt auch sie eine "globale Antwort" auf das Botnetz-Problem für nötig, die ohne Einbindung der Regierungen nicht zu finden sei.

Im Rahmen der M3AAWG und dem Communications Security, Reliabitliy and Interopibility Council (CSRIC) der Regulierungsbehörde Federal Communications Commission (FCC) sei parallel ein spezieller Anti-Bot-Kodex für Zugangsanbieter entwickelt worden, ergänzte der Arbeitsgruppenleiter Mike O'Reirdan. Die Beteiligten deckten rund 80 Prozent des Breitbandmarkts in den USA ab. Es seien aber noch einige Hürden zu überwinden, um auch die restlichen Provider an Bord zu bringen. Bislang fehle ein System, um die Auswirkungen der gemeinsamen Anstrengungen zu messen. Eventuell stellten solche Zahlenspielereien aber auch nur eine Zeitverschwendung dar, wenn sich das Problem mittlerweile auf Malware in Kühlschränken oder Autos verschoben habe.

Thorsten Kraft vom Verband der deutschen Internetwirtschaft eco konnte dagegen aktuelle Statistiken von der hiesigen, vom japanischen Telecom Incident Information Sharing and Analysis Center inspirierten Plattform botfrei.de präsentieren. Demnach haben die Seite seit September 2010 rund 2,3 Millionen Surfer angesteuert, das zugehörige Blog rund vier Millionen. Das Entseuchungsprogramm DE-Cleaner komme auf 1,3 Millionen Downloads und Aktivierungen. 382.493 Nutzer seien bis April über eine Infektion informiert worden, von denen nur rund zwei Prozent Telefon-Support benötigt hätten. 17.000 Systeme seien gescannt worden, wovon 40 Prozent noch Malware aufgewiesen hätten.

Als nächsten Schritt bezeichnete Kraft die Arbeit an einem europäischen Advanced Cyber Defense Center (ACDC). Die EU-Kommission habe dieses mit acht Millionen Euro Startfinanzierung ausgerüstete Projekt ausgeschrieben, für das sich der eco zusammen mit mehreren Partnern beworben habe. Voraussetzung sei Beteiligung von mindestens vier Ländern und weiteren Interessensvertretern wie Strafverfolgern. Geplant sei in diesem Rahmen, eine zentrale Datenbank mit Informationen über das Verhalten von Schadcode aufzubauen. Eine Entscheidung über die eingegangenen Bewerbungen stehe binnen vier Wochen in Brüssel an.

Den 1998 eingeschlagenen finnischen Weg zu botfreien IT-Systemen schilderte Arttu Lehmuskallio von TeliaSonera. "Wir sind sehr schnell bei der Abwehr", führte der Techniker aus. Täglich erstellten die großen Provider des skandinavischen Landes Statistiken über infizierte Rechner. Für jeden Tag, den ein entsprechendes Gerät am Netz bleibe, gebe es einen neuen Eintrag. TeliaSonera führe auch eine Datenbank mit Problemkunden und habe den Versand von Warnungen weitgehend automatisiert. Zusätzlich habe man ein "umgekehrtes Darknet" aufgebaut: "Wir loggen allen Netzverkehr, wenn ein Ziel nicht im offiziellen Routingverzeichnis aufgeführt ist", erläuterte Lehmuskallio. Nicht erreichbare Adressen sollten dabei nicht verwendet werden. Als auffällig werde gewertet, wenn Teile des Datenverkehrs über 100 einzelne Ziele ansteuerten und dabei eine gewisse Zahl an Ports gescannt würde.

Langfassung eines Beitrags für heise online.