Chat Control taucht in zwei Versionen wieder auf – keine schützt Sie

Was sich geändert hat: Wie Chat Control nach ihrem „Tod“ zurückkehrte

Wenn Sie dachten, der umstrittene Vorschlag der EU zur Nachrichtenüberwachung sei vom Tisch, waren Sie nicht allein. Deutschland hatte sich öffentlich dagegen ausgesprochen. Das Europäische Parlament hatte zentrale Bestimmungen abgelehnt. Die Verhandlungen zwischen den Mitgliedstaaten scheiterten Berichten zufolge. Nach den meisten Maßstäben wirkte Chat Control politisch tot.

Doch die Schlagzeilen berichten erneut, dass eine Version der Chat Control im Europäischen Parlament vorangekommen ist. Es handelt sich hier nicht um den einfachen Fall, dass derselbe Gesetzentwurf unverändert wiederbelebt wurde. Stattdessen hat sich das Gesetzesvorhaben in parallele Bahnen aufgespalten, jede mit eigener Rechtsgrundlage, eigenem Zeitplan und eigenem Mechanismus für den Zugriff auf private Kommunikation. Diese Zersplitterung ist mit ein Grund dafür, dass das Thema immer wieder auftaucht, selbst nachdem es tot schien: Verschiedene Ausschüsse, verschiedene Abstimmungen und verschiedene Rechtsinstrumente bewegen sich mit unterschiedlichem Tempo, und jeder Neustart erzeugt neue Schlagzeilen, die den Kampf als beendet darstellen, obwohl er es nicht ist.

Dieses Muster aus scheinbarer Niederlage, gefolgt von stiller Wiederbelebung, ist nicht neu. Anfang dieses Jahres brachte das Europäische Parlament eine ältere Version des Rahmens zurück, nachdem dessen Rechtsgrundlage technisch abgelaufen war, und stellte damit Regeln wieder her, von denen viele annahmen, sie seien endgültig hinfällig. Für Leser, die die vollständige Gesetzgebungsgeschichte hinter diesen wiederholten Wiederbelebungen möchten, legt unsere frühere Berichterstattung über die Juli-Abstimmung, die Chat Control 1.0 wiederbelebte dar, wie ein Rahmen, der als erledigt galt, durch eine Verfahrensabstimmung zurückkehrte, die die meisten nie haben kommen sehen.

Die zwei Versionen erklärt: Freiwillige Überprüfung vs. verpflichtende Erkennung

Im Zentrum der aktuellen Debatte stehen zwei unterschiedliche Ansätze zur Überprüfung privater Kommunikation auf illegale Inhalte, insbesondere auf Material über sexuellen Missbrauch von Kindern (CSAM).

Die erste Version setzt auf eine freiwillige Überprüfung. Nach diesem Modell wäre es Messaging-Anbietern und Plattformen erlaubt, aber nicht gesetzlich vorgeschrieben, Nutzerinhalte auf gekennzeichnetes Material zu durchsuchen. Befürworter stellen dies als Kompromiss dar: Es bewahrt ein gewisses Maß an Entscheidungsfreiheit für Unternehmen und gibt den Strafverfolgungsbehörden dennoch einen Weg zur Erkennung.

Die zweite Version drängt auf eine verpflichtende Erkennung. Nach diesem Rahmen wären Anbieter gesetzlich verpflichtet, Kommunikation zu durchsuchen, einschließlich solcher, die durch Ende-zu-Ende-Verschlüsselung geschützt ist, und zwar bevor diese Verschlüsselung angewendet wird oder unmittelbar nachdem sie entfernt wurde. Dies wird häufig als clientseitige Überprüfung bezeichnet und ist der aggressivere der beiden Ansätze, da er den Plattformen selbst jeglichen Ermessensspielraum entzieht.

Auf dem Papier sehen diese Vorschläge wie bedeutsam unterschiedliche Konzepte aus. Eines ist optional, das andere verpflichtend. Doch die praktische Auswirkung für Nutzer, insbesondere jene in Europa, die für ihre alltägliche Kommunikation auf verschlüsselte Messaging-Apps angewiesen sind, ist weitaus ähnlicher, als die Bezeichnungen vermuten lassen.

Warum beide Versionen die Ende-zu-Ende-Verschlüsselung untergraben

Verschlüsselung schützt eine Nachricht entweder vor externem Zugriff oder sie tut es nicht. Es gibt keine Version einer „teilweisen Verschlüsselung“, die eine Nachricht vor allen geheim hält, außer vor einem in die App selbst eingebauten Überprüfungssystem. Sobald ein Überprüfungsmechanismus – freiwillig oder verpflichtend – in einen Messaging-Dienst eingebettet wird, um Inhalte vor oder nach der Verschlüsselung zu inspizieren, hat dieser Dienst einen strukturellen Zugangspunkt geschaffen, den es zuvor nicht gab. Sicherheitsforscher warnen seit Langem, dass jede Hintertür, die für Strafverfolgungs- oder Inhaltsmoderationszwecke eingebaut wird, prinzipiell auch von anderen entdeckt und ausgenutzt werden kann, seien es böswillige Akteure, ausländische Geheimdienste oder schlicht technische Fehler.

Das freiwillige Modell beseitigt dieses Risiko nicht; es ändert lediglich, wer entscheidet, die Hintertür einzubauen. Eine Plattform, die sich für die freiwillige Überprüfung entscheidet, um bei den Regulierungsbehörden gut dazustehen oder künftige verpflichtende Anforderungen zu vermeiden, muss dennoch dieselbe Art von Inhaltsprüfungsinfrastruktur implementieren. Sobald diese Infrastruktur auf einer großen Plattform existiert, wird die Unterscheidung zwischen „freiwillig“ und „verpflichtend“ aus Sicherheitssicht weitgehend akademisch. In beiden Fällen ist die Garantie, dass nur Absender und Empfänger eine Nachricht lesen können, gebrochen.

Was das für Sie bedeutet

Für alltägliche Nutzer in der EU lautet die praktische Konsequenz, dass kein einzelnes Abstimmungsergebnis als endgültig betrachtet werden sollte und kein einzelner Vorschlag allein deshalb als harmlos gelten sollte, weil er als „freiwillig“ bezeichnet wird. Der Gesetzgebungsprozess hat hier bereits gezeigt, dass er nach scheinbaren Niederlagen überraschende Wiederbelebungen hervorbringen kann und sich in mehrere konkurrierende Bahnen aufspalten kann, die es der Öffentlichkeit erschweren, den Überblick darüber zu behalten, was tatsächlich entschieden wird.

Genau diese Ungewissheit ist der Grund, warum datenschutzbewusste Nutzer zunehmend mehrschichtige Verteidigungsstrategien aufbauen, anstatt sich darauf zu verlassen, dass ein einzelnes Gesetz günstig bleibt. Ein VPN verschlüsselt Ihren Datenverkehr zwischen Ihrem Gerät und dem weiteren Internet, was dazu beiträgt, Ihre Browsing-Aktivitäten und Metadaten vor netzwerkbasierter Beobachtung zu schützen. Es schützt jedoch nicht von sich aus den Inhalt von Nachrichten, die über eine App gesendet werden, die verpflichtet wurde, diese Inhalte vor der Verschlüsselung zu überprüfen. Deshalb müssen VPN-Nutzung und verschlüsselte Nachrichtenübermittlung als einander ergänzende Werkzeuge verstanden werden und nicht als Ersatz füreinander. Es lohnt sich, jetzt zu prüfen, wie diese Werkzeuge als Teil eines umfassenderen Datenschutz-Toolkits zusammenwirken, bevor eine endgültige Version der Chat Control beschlossen wird, und nicht erst danach.

Umsetzbare Erkenntnisse

Bleiben Sie darüber informiert, welche Version des Vorschlags voranschreitet, denn freiwillige und verpflichtende Überprüfung bergen unterschiedliche, aber sich überschneidende Risiken. Verwenden Sie weiterhin Ende-zu-Ende-verschlüsselte Messaging-Apps und achten Sie auf öffentliche Stellungnahmen dieser Anbieter dazu, wie sie zu reagieren planen, falls Überprüfungsanforderungen auferlegt werden. Kombinieren Sie verschlüsselte Nachrichtenübermittlung mit einem zuverlässigen VPN, um Ihre Verbindungsmetadaten zu schützen, auch wenn ein VPN keinen Ersatz für Verschlüsselung auf Nachrichtenebene darstellen kann. Verfolgen Sie schließlich den Gesetzgebungsprozess selbst weiter. Wie die frühere Wiederbelebung von Chat Control 1.0 gezeigt hat, ist ein abgelehnter Vorschlag in Europa nicht unbedingt ein toter Vorschlag, und informiert zu bleiben ist der erste Schritt, um Ihre Privatsphäre zu schützen, egal welche Version letztlich vorankommt.