Das Ministerium für digitale Entwicklung hat mit Wirkung zum 22. Mai per Erlass die Liste jener Daten erheblich ausgeweitet, die Netzbetreiber und Internetdienste auf Anforderung an die Sicherheitsbehörden über das operationsbegleitende technische System SORM übermitteln müssen. Zu den neu abrufbaren Informationen zählen neben Pass-, Adress- und Steueridentifikationsdaten nun auch Bankverbindungen, IP-Adressen, Log-in-Namen, besuchte Domains und präzise Geokoordinaten. In Moskau wird dies als notwendige Anpassung an die Verschlüsselungstiefe des modernen Internets dargestellt.

Aus technischer Sicht bringt die Neuregelung erhebliche Investitionen mit sich. Die Behörden stellen die Datenschnittstellen auf moderne Abfragesprachen wie GraphQL und das dauerhafte Verbindungsprotokoll WebSocket um, was den Betreibern die Aufrüstung ihrer Server und Software abverlangt. Allein die Mindestkosten für die Implementierung der geforderten Architektur werden auf fünf Millionen Rubel beziffert. Für viele kleine, vor allem regionale Anbieter könnte diese finanzielle Hürde existenzbedrohend werden, warnen Branchenkenner – ein Effekt, der die ohnehin laufende Marktkonzentration weiter beschleunigen dürfte.

Kritische Stimmen aus der russischen Zivilgesellschaft und unabhängigen Medien sehen in dem Erlass indes weit mehr als einen technischen Modernisierungsschub. Sie verweisen auf den seit dem „Jarowaja-Paket“ von 2016 ausgebauten Sicherheitsapparat, der schon bisher Metadaten und Inhalte von Kommunikation speicherte. Mit der neuen, tief in die persönliche Sphäre reichenden Datenverfügbarkeit würden die Geheimdienste nun in die Lage versetzt, einzelne Nutzer viel präziser zu identifizieren und Bewegungsprofile zu erstellen. Während staatsnahe Publikationen die administrative Effizienz betonen, zeichnen Blätter wie die „Nowaja Gaseta“ das Bild eines repressiven Kontrollstaats, der die letzte Lücke zwischen analoger Identität und digitaler Spur schließt.

Für deutsche, österreichische und schweizerische Unternehmen mit Niederlassungen in Russland spitzt sich der Konflikt zwischen lokalen Sicherheitsvorschriften und europäischen Datenschutzstandards weiter zu. Wer personenbezogene Daten von Mitarbeitern oder Kunden verarbeitet, gerät in ein kaum auflösbares Spannungsfeld: Wo die SORM-Auflagen den direkten Zugriff durch den Inlandsgeheimdienst FSB vorschreiben, droht ein Verstoß gegen die Vorgaben der Datenschutz-Grundverordnung. Vor diesem Hintergrund beobachten westliche Hauptstädte die moskautreue Digitalgesetzgebung mit wachsender Skepsis – nicht zuletzt, weil sie das Menschenrecht auf Privatsphäre systematisch aushöhlt und russische Sicherheitsdienste in die Lage versetzt, auch ausländische Kommunikationsströme nahezu lückenlos zu durchleuchten.