VPNs mit Servern in Indonesien

Betreiber müssen Ministerien für die Aufsicht Zugang zu ihren Systemen und Daten gewähren und Strafverfolgungsbehörden für die Durchsetzung Zugang ermöglichen (Art. 21), einschließlich im Ausland gespeicherter Daten über in Indonesien ansässige Personen oder Einrichtungen (Art. 34). Auf formelle Anfrage stellt ein Betreiber Verkehrsdaten und Teilnehmerinformationen innerhalb von fünf Kalendertagen bereit (Art. 36–37). Die Verordnung nennt keine Speicherdauer. Ob ein VPN-Betreiber in ihren Anwendungsbereich fällt, ist nicht belegt.

Nicht registrierte Systeme werden gesperrt (Art. 7(2)). Betreiber müssen verbotene Inhalte von ihren Systemen fernhalten: Inhalte, die gegen ein Gesetz verstoßen, die öffentliche Ordnung stören oder erklären, wie verbotene Inhalte erreicht werden können (Art. 9(4)). Sie müssen diese Inhalte innerhalb von 24 Stunden nach einer Anordnung entfernen, bei Terrorismus, Kinderpornografie oder die öffentliche Ordnung störenden Inhalten innerhalb von vier Stunden; andernfalls darf der Minister den Zugang zum gesamten System sperren oder Internetanbieter dazu anweisen (Art. 14–16).

Das Gesetz über elektronische Informationen und Transaktionen, geändert durch Gesetz Nr. 1 von 2024, erlaubt der Regierung, den Zugang zu rechtswidrigen Inhalten zu sperren oder Betreiber dazu anzuweisen (Art. 40(2b)).

Das Strafgesetzbuch (Gesetz Nr. 1 von 2023, seit dem 2. Januar 2026 in Kraft) stellt in seiner verabschiedeten Fassung Verleumdung durch öffentlich gezeigte Schriften oder Bilder mit bis zu einem Jahr und sechs Monaten oder einer Geldstrafe von bis zu 50 Millionen Rupien unter Strafe; bei Nutzung der Informationstechnologie erhöht sich die Strafe um ein Drittel, und verfolgt wird nur auf Antrag des Opfers (Art. 433, 440, 441).

Das öffentliche Äußern von Feindseligkeit, Hass oder Verachtung gegenüber einer Bevölkerungsgruppe aus Gründen der Rasse, Staatsangehörigkeit, ethnischen Zugehörigkeit, Hautfarbe, des Geschlechts oder einer Behinderung wird mit bis zu drei Jahren oder einer Geldstrafe von bis zu 200 Millionen Rupien bestraft (Art. 242). Die Verbreitung solcher Äußerungen durch Informationstechnologie, wenn dies zu Gewalt führt, wird mit bis zu vier Jahren bestraft (Art. 243).

Gesetz Nr. 1 von 2024 beschränkte die Anwendung seiner Artikel zu diesen Straftaten auf die Zeit bis zum Inkrafttreten des Strafgesetzbuchs (Art. II), und Art. 622 des Gesetzbuchs hebt unter anderem Art. 27(1), 27(3) und 28(2) des Gesetzes von 2008 auf. Teilnehmerinformationen werden Strafverfolgungsbehörden nach Art. 36 der Verordnung von 2020 herausgegeben.

In der Entscheidung 20/PUU-XIV/2016 vom 7. September 2016 stellte das Verfassungsgericht fest, dass eine Überwachung nur auf Grundlage eines Gesetzes erfolgen darf, dass ihr Verfahren in einem eigenen Gesetz geregelt werden muss und dass sie einer gerichtlichen Genehmigung bedarf, damit eine Stelle sie beaufsichtigt. Da es an einem solchen Verfahrensrecht fehlte, entschied es, dass elektronische Beweismittel aus einer Überwachung nur dann zählen, wenn sie zur Strafverfolgung auf Ersuchen der Polizei, der Staatsanwälte oder anderer gesetzlich bestimmter Stellen erhoben wurden.

Nach der Verordnung von 2020 erfordern Kommunikationsinhalte und bestimmte personenbezogene Daten eine Anordnung des Vorsitzenden Richters eines Bezirksgerichts (Art. 36(4)–(5)); der Datenzugriff ist auf Straftaten beschränkt, die mit mindestens zwei Jahren Freiheitsstrafe bedroht sind (Art. 32), und der Systemzugriff auf Straftaten mit einer Strafandrohung von mindestens fünf Jahren oder von zwei bis fünf Jahren, wobei in letzterem Fall eine Anordnung eines Bezirksgerichts erforderlich ist (Art. 33). Die Reihenfolge der Zeilen entspricht dem Sicherheits-Score, und der Standort eines Servers ist keine Empfehlung.