Das Ministerium begründet den Schritt mit der Verbreitung solcher Werkzeuge: Fähigkeiten, die einst wenigen spezialisierten Behörden vorbehalten gewesen seien, stünden inzwischen breiter zur Verfügung. „Jeder Akteur kann heute die Fähigkeit, unbemerkt in ein Telefon einzudringen, von der Stange kaufen“, so das Ministerium. Zwar räumt es ein, dass die Werkzeuge bei Geheimdienstoperationen und im Kampf gegen organisierte Kriminalität eingesetzt würden. Sie seien aber auch mit Überwachungskampagnen gegen Journalisten, Politiker, Aktivisten und Unternehmen in Verbindung gebracht worden.

Die Leitlinien sind nicht bindend und werden von Regierungen getragen, nicht von Branchenverbänden. Sie sehen unter anderem vor:

  • Prüfung der Kunden durch die Anbieter
  • technische Schutzvorkehrungen gegen Missbrauch
  • Systeme zur Überwachung und Meldung von Missbrauchsfällen
  • Einstellung von Verkauf und Support, wenn ein glaubwürdiges Risiko schweren Missbrauchs besteht
  • Prüfung von Wiedergutmachung für Opfer von Menschenrechtsverletzungen

Sanktionen bei Verstößen gibt es nicht. Druck zur Einhaltung soll von den Regierungen ausgehen, die die Werkzeuge kaufen und deren Export genehmigen. Das britische Außenministerium erklärte, die Leitlinien sollten verantwortungsloses Verhalten auf dem CCIC-Markt unattraktiv machen, die Transparenz für Regulierer, Anbieter und Kunden verbessern sowie Klarheit für Firmen schaffen, die in der Branche oder an ihrem Rand tätig sind.

Frankreich betont den freiwilligen Charakter: Die Leitlinien begründeten keine neuen völkerrechtlichen Pflichten und stellten Nutzungen nicht infrage, die Staaten in den Bereichen nationale Sicherheit, Verteidigung, Bekämpfung organisierter Kriminalität oder Cybersicherheit für legitim halten. „Ein freiwilliger Kodex ist jedoch kein unverbindlicher Kodex: Das vor Gleichrangigen, den eigenen Unternehmen und den eigenen Bürgern gegebene Wort ist eine Verpflichtung“, so das Ministerium.

Beschlossen wurden die Leitlinien auf der dritten Konferenz der Initiative, an der Vertreter aus 43 Ländern teilnahmen. Weniger als die Hälfte unterstützte das Papier. Zu den Unterzeichnern gehören neben Großbritannien und Frankreich die USA, Deutschland, Italien und Japan.

Der 2024 in London gestartete Prozess kämpft seit Beginn mit Problemen. Zur Auftaktveranstaltung kamen zwar große Technologie- und Cybersicherheitsfirmen, nicht aber die umstrittenen Unternehmen, deren Produkte mit Missbrauch in Verbindung gebracht wurden. Ein Jahr später äußerten Teilnehmer Zweifel, ob die Initiative den Handel mit und den Einsatz solcher Werkzeuge tatsächlich verändern kann. Einige merkten an, dass Großbritannien und Frankreich anderen Staaten den Zugang beschränken wollten, während sie die eigene Spyware-Industrie förderten.

Die Konferenz im vergangenen Jahr brachte einen ersten Verhaltenskodex für Regierungen hervor, aber keine Einigung darüber, wie das Verhalten von Unternehmen beeinflusst werden soll. Diesen Kodex haben seither 27 Länder unterzeichnet. Warum die übrigen 15 die neuen Leitlinien am Mittwoch nicht unterstützten, ist unklar.

Die Teilnehmer wollen ihre Arbeit fortsetzen. Nach Angaben des französischen Ministeriums werfen künstliche Intelligenz, die zunehmende Automatisierung bestimmter Funktionen und neue Geschäftsmodelle neue Fragen für Regierungen und Unternehmen auf.