Internet-Abschottung im Iran: Fragwürdige Verbindungen nach Deutschland

Im derzeitigen Aufstand in den iranischen Städten ist für die Menschen das Internet die einzige Möglichkeit, über Proteste und Staatsgewalt zu berichten. Die Regierung versucht, den Zugang zum Internet einzuschränken und die Verbreitung von Inhalten zu behindern. Daran beteiligt ist auch Abr Arvan, eines der größten Internetunternehmen des Landes, an dem indirekt auch der Staat Einfluss hat. Die Journalistenorganisation Reporter ohne Grenzen rief die Firma bereits dazu auf, nicht mehr mit dem Regime zu kooperieren. 

Recherchen von CORRECTIV, taz und Netzpolitik zeigen, dass Abr Arvan sich über ein gemeinsames Cloud-Projekt mit einer in Deutschland ansässigen Firma Zugang zu internationalen Datencentern sichert. Die Softqloud GmbH wurde im Düsseldorfer Vorort Meerbusch gegründet und stand bis vor kurzem noch im Impressum von arvancloud.com. Sie betreibt Datencenter in Frankfurt am Main und dem niederländischen Dronten und stellt damit aus dem Ausland für den Iran Teile der Netzstruktur sicher. Unter anderem waren Zahlungen über den US-amerikanischen Finanzdienstleister Stripe möglich, obwohl die US-Sanktionen eine solche Zusammenarbeit mit dem Iran verbieten. 

„Das ist dramatisch, wenn eine deutsche Firma bei solchen Verbrechen helfen sollte“, sagte Bundesaußenministerin Annalena Baerbock, als sie dazu in der ARD-Comedysendung Die Carolin Kebekus Show auf die Recherche angesprochen wurde. Sie sagt, dass den Behörden der Fall bekannt sei, und „die entsprechenden Sicherheitsbehörden darauf angesprochen“ wurden.  

Softqloud weist die Vorwürfe zurück und unterstreicht, sich an alle deutschen Gesetze zu halten. „Sanktionen umgehen wir nicht, zumal es gegen keinen Geschäftspartner Sanktionen gibt, die umgangen werden könnten.“

Die Firma bestätigt, gemeinsam mit der iranischen Internetfirma Abr Arvan den Cloud-Dienst Arvancloud für internationale Kunden betrieben zu haben. Nach den jüngsten Ereignissen im Iran habe Softqloud die Verträge mit Abr Arvan jedoch gekündigt. 

Auch Arvancloud weist den Vorwurf, in Internetzensur verwickelt zu sein, entschieden zurück. Als Cloud-Anbieter habe man weder im Iran noch in anderen Ländern Einfluss auf die Infrastruktur des Internets und habe somit keine Möglichkeit, Zensur auszuüben. Einschränkungen des Internets seien im Gegenteil schlecht für das eigene Geschäft.

Bei ihrer Gründung im Februar 2019 gab die Softqloud GmbH eine Adresse in einem Reihenhaus bei Düsseldorf an. Sie unterhält Webseiten, die gezielt von möglichen Shutdowns im Iran ausgenommen werden können: Ministerien und Botschaften sowie eine iranische Taxi-App namens Snapp, die massenweise Fahrgastdaten speichert.

Seit Wochen gehen in sozialen Netzwerken Bilder um die Welt, wie Menschen sich gegen das Regime der von Mullahs regierten Republik Iran erheben, wie die Staatsmacht mit aller Gewalt die Proteste zu ersticken droht. Es sind vor allem Frauen, die sich gegen das islamische Regime stellen: Sie lassen sich von hinten ohne Kopftuch fotografieren oder nehmen ihre Kopftücher auf der Strasse ab – Signale der Selbstbestimmung gegen die repressive Republik. Parallel schränkt die Regierung das Internet massiv ein. 

Die Kontrolle über das Internet ist für das Regime zentral

Die Kontrolle über das Internet entscheidet auch über die Zukunft des Aufstandes. Der Iran arbeitet seit 2013 am Nationalen Informations Netzwerk (NIN), einer Art iranischen Version der chinesischen „Great Firewall“. Im Vergleich zu China hat der Iran aber nicht die Fähigkeit, die Kontrolle und den Betrieb des Internets allein aus dem eigenen Land zu gewährleisten. „Das Land ist weiterhin von Verbindungen zu ausländischen Servern abhängig“, sagt Kolja Weber vom Serverdienst FlokiNet. FlokiNet bietet eine internationale Serverstruktur für Meinungsfreiheit, freie Presse und Whistleblower-Projekte an.

„Um dennoch die Kontrolle über das Internet zu behalten, muss das Regime auch im Ausland diese Zugangsstellen zu den Servern beherrschen“, sagt Weber.

Vor drei Tagen erst verhängte die EU wegen des Internet-Shutdowns unter anderem gegen den iranischen Kommunikationsminister Issa Zarepour und die Cybereinheit der Revolutionsgarden neue Sanktionen. 

Der Iran steht schon länger unter westlichen Sanktionen. Das für deren Überwachung zuständige Bundesamt für Wirtschaft und Ausfuhrkontrolle (Bafa) teilt auf Anfrage mit, die Sanktionen beträfen auch Technologie, die zur Überwachung eingesetzt werden.

Iranisches Abschottungsprogramm kann auch europäische Serverstrukturen nutzen

Doch offenbar nutzt der Iran für seine Abschottung des Internets auch Strukturen im Ausland. Über Softqloud in Deutschland wurden für Arvancloud im Iran Datencenter bei den amerikanischen und niederländischen Netzbetreibern i3d und Serverius genutzt, wie CORRECTIV, netzpolitik.org und taz anhand von online verfügbaren Informationen einsehen konnten. Dort liegen unter anderem die Webseiten des iranischen Agrarministeriums und die iranischen Botschaften in Tunis, Pretoria und Nicosia. Das legt nahe, dass dieses Netzwerk und die europäischen Datencenter mit dem Staatsregime verbunden sind.

Arvancloud widerspricht dem in einer Stellungnahme. „Ein Anbieter von Cloud-Diensten kann weder bei der Struktur noch bei der Zensur des Internets eine Rolle spielen, nicht nur im Iran, sondern auch in jedem anderen Land der Erde.“ 

Ob Arvancloud daran beteiligt sei, das Internet im Iran abzuschotten, sagte er in einem Interview mit dem Portal Digiato, hänge vom „Denkmodell“ des Betrachters ab.

Netzpolitik schreibt:

Das deutsche Unternehmen aus Meerbusch hat unter seinem Namen 16 Domains von Arvancloud und eines wichtigen Mitarbeiters des iranischen Unternehmens registriert, darunter die Hauptdomain Arvancloud.com. (https://www.whoxy.com/arvancloud.com), die es im April 2021 übernahm. (https://www.whoxy.com/arvancloud.com#history)

Darüber ist ein sogenanntes autonomes System (ASN), ein großes Netzwerk im Internet, mit tausenden IP-Adressen, auf Softqloud eingetragen. Konkret betreibt die Firma dort – laut Netzwerkspezialisten, die das Netzwerk eingehend analysiert und diese Informationen mit Correctiv, taz und netzpolitik.org geteilt haben – Datenzentren in Frankfurt am Main und im niederländischen Dronten. Demnach laufen auf der Infrastruktur von Softqloud mehr als 6.000 Domains und zahlreiche Dienste von ArvanCloud selbst.

Doch Softqlouds Tätigkeiten sind nicht nur auf die in der Recherche gezeigte Finanzabwicklung beschränkt. Das deutsche Unternehmen verantwortet zudem ein sogenanntes autonomes System für ArvanCloud. Ein autonomes System ist ein größeres Netzwerk im Internet. In der Regel betreiben Telekommunikationsdienstleister, Universitäten und Internetfirmen solche Systeme, die Daten austauschen, Peering betreiben, Routen zu Servern kommunizieren – und so zusammen das Internet bilden.

Das autonome System von Softqloud heißt AS208006. Es ist die Verbindung von ArvanCloud nach Europa und enthält mehr als 6.000 IP-Adressen. AS208006 ist mit autonomen Systemen der westlichen Unternehmen I3D/Ubisoft und mit Serverius verbunden – und mit der Inlandscloud von Abr Arvan, dem AS202468, das etwa 30.000 IP-Adressen umfasst. Über diese Inlandscloud gibt es eine Verbindung vom Iran zu Softqloud und andersherum.

War eine Person mit früheren Verbindungen zum iranischen Geheimdienst bei der Gründung von Softqloud anwesend?

Bei der  Gründung von Softqloud war auch laut Unterlagen eine Person dabei, die eine schillernde Vergangenheit hatte. Im  Bericht eines Untersuchungsausschusses zu den Hintergründen des Berliner Mykonos-Attenat tauchte ebenfalls der Name des  Mannes auf, zwar nicht in Bezug auf das Attentat, aber mit dem Hinweis, dass dieser damals vor mehr 30 Jahren „Verbindungen zum Geheimdienst unterhalten haben soll.  Beim Mykonos-Attentat wurden 1992 vier iranische Oppositionspolitiker in einem Restaurant in Berlin erschossen. 

Der Anwalt des Mannes weist eine Nähe zum iranischen Geheimdienst zurück. Auch Softqloud weist eine solche Nähe zurück.

Eine Stahlfirma, die der Iraner leitet, ist von der US-Regierung sanktioniert. Sein Anwalt verweist darauf, dass die Massnahmen der US-Regierung im Bezug auf die Stahlfirma nicht „von den deutschen und europäischen Behörden übernommen worden“ seien.  Zudem sei sein Mandant deutscher Staatsbürger, was er „zweifellos nicht geworden wäre, wenn er verfassungsfeindliche Absichten verfolgen würde.“

Eine Abhörklausel für das iranische Regime?

Bei der iranischen Firma Abr Arvan, die über ihr Projekt mit der deutschen Firma Softqloud Server außerhalb des Iran nutzt, gibt es Hinweise, dass sie in Überwachungszwecke im Iran involviert sein könnte. Im Internet kursiert das Foto eines Vertrags aus dem Jahr 2020 zwischen dem iranischen Kommunikationsministerium und Abr Arvan. Dort steht, Abr Arvan räume dem Ministerium alle Rechte ein, um jederzeit die internationale Internetverbindung zu kontrollieren, insbesondere die „Durchführung der Unterbrechung, Verbindung oder Einschränkung der [Internet-]Verbindung, Ausübung kurz- oder langfristiger Maßnahmen, Umsetzen der Sicherheitsmaßnahmen sowie Nutzung jeglicher im Netz vorhandenen Datenbanken“. 

Die Echtheit dieses Dokuments ist nicht nachzuprüfen. Der Geschäftsführer von Abr Arvan dementiert, dass die Firma an der Überwachung beteiligt sei. Auf der iranischen Webseite von Arvancloud steht, dass sie beim Aufbau der „Iran Cloud“ dem iranischen Staat eine „gesetzliche Abhörklausel“ einräumt.  

Der ehemalige Geheimdienstmitarbeiter und Minister für Kommunikation Mohammad-Javad Azari Jahromi, twitterte 2018 sinngemäß: „Wenn Sie Cloud-Computing-Dienste benötigen, möchte ich Ihnen Arwan Cloud empfehlen. Ein wissensbasiertes Produkt der iranischen Jugend, das eine geeignete Infrastruktur für Start-up-Unternehmen ermöglicht und zwar in dieser Sanktionszeit, die von denen verhängt wurde, die Internetfreiheit für Iraner anfordern.“

Reporter ohne Grenzen kritisiert zu große Staatsnähe

Reporter ohne Grenzen (RSF) rief im Juni Abr Arvan dazu auf, nicht mehr mit dem iranischen Regime zu kooperieren. „Dieses Netzwerk könnte es ermöglichen, Inhalte zu filtern, auf die die Iraner zugreifen“, sagte Vincent Berthier, Leiter des Tech Desk von RSF. „Dieses Unternehmen, das auch in Europa tätig ist, spielt daher de facto eine strategische Rolle bei der Kontrolle des Zugangs zu Informationen im Iran. Es muss seine Zusammenarbeit mit der iranischen Regierung, der es die Instrumente zur Durchsetzung ihrer Zensur zur Verfügung stellt, unverzüglich einstellen.“

Der Cloud-Dienst Arvancloud, den Abr Arvan und Softqloud gemeinsam betreiben, ist ein wichtiger Zahlungsanbieter im Alltag vieler Menschen im Iran. Er zählt Taxiunternehmen oder Essenslieferanten zu seinen Kunden.

Auch Snapp, eine iranische Version des Fahrtenanbieters Uber, oder IDPay, eine Art iranisches Paypal, liegt auf seinen Servern, wie sich anhand von IP-Adressen nachvollziehen lässt. Arvancloud gab sie auch bei einer Präsentation als Kunden an. Aber auch außer-iranische Webseiten liegen bei Arvancloud, etwa Essenslieranten aus den Vereinigten Arabischen Emiraten oder eine Callgirlseite aus Russland. 

Ein Regierungszugriff auf diese Daten wäre für User brandgefährlich: In Sozialen Medien wird gewarnt, dass aufgrund von Snapp-Fahrgastdaten Demonstranten festgenommen wurden. Auch die BBC berichtete darüber. Dass Arvancloud die Daten an die Regierung weitergibt, ist nicht belegbar. Laut dem Netzwerkexperten Kolja Weber ist das technisch möglich.

Dennoch konnte man nach Recherchen von CORRECTIV, taz und netzpolitik bis vor Kurzem über den in den USA ansässigen Online-Bezahldienst Stripe Server bei Arvancloud kaufen. Stripe unterliegt den zahlreichen US-Regularien, die Transaktionen mit dem Iran weitreichend sanktionieren und unter anderem einen Zugang des Irans zum US-Finanzsystem verbieten. 

Stripe selbst erklärt auf der Webseite, dass es die Nutzung seiner Dienste für Geschäfte verbietet, die direkt oder indirekt mit Ländern verbunden sind, die der Bezahldienst als hochriskant eingestuft – darunter Iran. Seit unserer Presseanfrage an den Konzern ist das nicht mehr möglich.

Abr Arvan will jedenfalls international weiter wachsen. Pouya Pirhosseinloo, CEO von Abr Arvan, sagte in einem Interview mit dem Internetportal Digiato im Oktober 2021, dass die Firma schon jetzt der achtgrößte Anbieter von Server-Gruppen sei, sogenannten CDNs, die die heutige Grundstruktur des Internets bilden. Warum außer-iranische Kunden denn das Risiko eingehen sollten, zu Arvancloud zu gehen, fragte ihn der Interviewer. 

Die Antwort damals: „Er wird von einer deutschen Firma bedient.“

Hinweis der Redaktion: Wir haben die Information, dass die schillernde Persönlichkeit eine deutsche Staatsbürgerschaft erlangt hat, nachträglich hinzugefügt. Weiterhin hat netzpolitik.org die technischen Details in ihrem Text präzisiert. Diese Änderungen haben wir im Zitat von netzpolitik.org übernommen. Zudem haben wir in einer alten Version stehen, dass Softqloud auf netzpolitik.org nicht reagiert habe: das haben wir korrigiert.