EU-Chatkontrolle 2026: Verschlüsselt ist nicht dasselbe wie privat

Ist die vorgeschlagene dauerhafte EU-Chatkontrolle beschlossen? Nein – und trotzdem ist die Architekturfrage real.

Wer Status, Vorschlag und Technik vermischt, erzeugt entweder Panik oder falsche Entwarnung.

Am 9. September 2026 ist das dauerhafte EU-Regime zur Bekämpfung sexuellen Kindesmissbrauchs im Netz nicht verabschiedet. Die Verhandlungen laufen. Der Kommissionsvorschlag von 2022, die Position des Europäischen Parlaments und das Verhandlungsmandat des Rates sind verschiedene Texte mit verschiedenen Eingriffstiefen. Keiner darf als fertiges Endergebnis ausgegeben werden.

Daneben steht ein am 23. Juli 2026 endgültig gebilligter, zeitlich befristeter Übergangstext. Er erlaubt Anbietern bestimmte freiwillige Maßnahmen zur Erkennung, Meldung und Entfernung von Missbrauchsmaterial. Er ist keine allgemeine Pflicht, alle privaten Nachrichten zu prüfen. Der Text nimmt interpersonelle Kommunikation, auf die Ende-zu-Ende-Verschlüsselung angewendet wird, ausdrücklich aus und soll bis zum 3. April 2028 gelten.

Damit ist die Schlagzeile ‚WhatsApp und Signal werden jetzt von der EU gescannt‘ falsch. Ebenso falsch wäre: ‚Das Thema ist erledigt.‘ Im dauerhaften Verfahren wird weiterhin darüber verhandelt, welche Risikopflichten, Anordnungen und technischen Verfahren künftig zulässig sein sollen. Belastbar ist nur die Position, die beides hält: Der heutige Rechtsstand ist enger als viele Warnungen behaupten; die langfristige Architekturfrage bleibt offen.

Szenario, kein berichteter Fall: Am Abend vor einem Unternehmenskauf schickt ein Founder seiner Familie und zwei Beratern eine noch vertrauliche Entscheidung. Der Messenger verschlüsselt den Transport. Auf einem verknüpften Tablet erscheint jedoch die Vorschau; ein altes Cloud-Backup bleibt lesbar; in der Gruppe besitzt ein früherer Assistent noch Administratorrechte. Kein EU-System musste die Nachricht lesen. Trotzdem war sie nicht mehr durchgehend privat. Genau diese Lücke zwischen Produktsymbol und tatsächlicher Vertraulichkeit ist der Ausgangspunkt dieser Analyse.

„Privatsphäre endet nicht erst dort, wo jemand eine Nachricht liest. Sie wird bereits schwächer, wenn der Kommunikationsweg selbst zum Prüfpunkt wird.“

Drei Ebenen, die in der Debatte ständig verwechselt werden

Geltendes Recht, politischer Entwurf und technische Möglichkeit sind nicht dasselbe.

Ebene eins ist der am 23. Juli 2026 endgültig gebilligte Übergangstext: eine befristete freiwillige Ausnahme vom ePrivacy-Rahmen mit konkretem Anwendungsbereich und Schutzvorkehrungen. Ebene zwei ist das dauerhafte Gesetzgebungsverfahren: ein politischer und rechtlicher Aushandlungsprozess, dessen Texte sich noch verändern können. Ebene drei ist Technik: Hash-Abgleich, Klassifikatoren oder clientseitige Prüfung können entwickelt oder diskutiert werden, ohne deshalb bereits gesetzlich vorgeschrieben zu sein.

Der alte öffentliche Diskurs verdichtete diese Ebenen häufig zu einem einzigen Wort: Chatkontrolle. Das Wort erzeugt Aufmerksamkeit, erklärt aber keinen Mechanismus. Ein Architekt fragt genauer: Wer darf unter welcher Schwelle eine Maßnahme auslösen? Welcher Anbieter muss was tun? An welchem Punkt wird Inhalt geprüft? Wann wird ein Treffer gemeldet? Wer bestätigt ihn? Welche Frist, Benachrichtigung und Abhilfe hat die betroffene Person?

Diese Trennung nimmt dem Thema nicht die Schärfe. Sie verlagert sie dorthin, wo sie überprüfbar wird. Ein legitimes Schutzziel macht nicht automatisch jede technische Architektur verhältnismäßig. Aber auch eine riskante technische Möglichkeit beweist nicht, dass sie heute auf jedem Gerät eingesetzt wird.

Rechtsstatus, technische Fähigkeit und mögliche Wirkung gehören in drei getrennte Spalten.

Das System hinter dem System: die Vertraulichkeitskette

Nicht ein Akteur kontrolliert alles. Wirkung entsteht an den Übergaben.

Die relevante Architektur beginnt mit einem rechtlichen Auslöser und seinem Umfang. Daraus kann eine Pflicht oder Erlaubnis des Anbieters folgen. Der Anbieter wählt oder betreibt eine Erkennungsfläche. Ein technisches System klassifiziert Inhalte oder Verhaltensmuster. Ein Treffer wird bestätigt, verworfen oder weitergemeldet. Danach folgen Behörde, menschliche Prüfung, mögliche Maßnahme, Benachrichtigung und Rechtsbehelf.

Jede Übergabe verändert das Risiko. Eine enge, individuell autorisierte Maßnahme ist etwas anderes als eine generalisierte Prüfung. Ein Abgleich gegen bestätigte bekannte Dateien ist etwas anderes als die probabilistische Bewertung neuer Bilder oder sprachlicher Annäherung. Eine automatische Markierung ist etwas anderes als eine bestätigte Meldung. Ein Bericht ist noch keine Schuld.

Die Macht liegt deshalb nicht nur im Modell, sondern in Schwellen, Fehlerbudgets und Eskalationswegen. Wer die Debatte auf ‚verschlüsselt oder nicht‘ reduziert, übersieht, dass Vertraulichkeit ein Prozess ist. Wer alle Institutionen zu einem einzigen Kontrollzentrum erklärt, macht sich genauso angreifbar.

„Der moderne Kontrollpunkt trägt selten Uniform. Er erscheint als Update, Schwellenwert und Prozessschritt.“

Was Ende-zu-Ende-Verschlüsselung schützt – und was sie nie versprochen hat

Das grüne Schloss schützt eine Strecke. Es beherrscht nicht die gesamte Kommunikationsarchitektur.

Ende-zu-Ende-Verschlüsselung kann verhindern, dass der Anbieter oder ein Netzbetreiber den Nachrichteninhalt während der Übertragung im Klartext liest. Das ist ein außergewöhnlich wichtiger Schutz. Er fällt aber nicht mit vollständiger Privatheit zusammen. Vor dem Verschlüsseln liegt ein lesbarer Inhalt auf dem sendenden Gerät; nach dem Entschlüsseln liegt er auf dem empfangenden Gerät.

Auch Backups, Vorschaumeldungen, verknüpfte Desktop-Sitzungen, kompromittierte Geräte, Screenshot-Funktionen, Cloud-Konten, Administratorrechte, Metadaten und die anderen Gesprächsteilnehmer bleiben eigene Vertrauenszonen. Ein sicherer Transport heilt kein unsicheres Endgerät und keine schlecht regierte Gruppe.

Client-side scanning bezeichnet clientseitige Prüfungen am Endgerät, bevor Inhalte verschlüsselt oder nachdem sie lokal entschlüsselt wurden. Das bricht nicht notwendig den Verschlüsselungsalgorithmus. Es kann die zugesagte Vertraulichkeit trotzdem unterlaufen, weil das Endgerät selbst zum Inspektionspunkt wird. Der Begriff steht nicht für eine einzige Technik – und der am 23. Juli 2026 endgültig gebilligte EU-Übergangstext ordnet ihn nicht als allgemeine Pflicht für E2EE-Messenger an.

„Ein grünes Schloss belegt Verschlüsselung. Es belegt noch keine Kontrolle über Endgerät, Backup, Metadaten, Identität oder Rechtszugriff.“

Erkennung ist nicht gleich Erkennung

Bekannte Dateien, neue Bilder und Grooming verlangen verschiedene Beweisstandards.

Ein kryptografischer oder wahrnehmungsbasierter Abgleich gegen bestätigtes bekanntes Material ist vergleichsweise determiniert: Das System sucht Ähnlichkeit zu einem Referenzbestand. Auch hier existieren Implementierungsfehler, Manipulationsrisiken und Fragen zur Qualität der Referenzdaten. Der Mechanismus ist dennoch anders als die Vorhersage, ob ein nie zuvor gesehenes Bild rechtswidrig ist.

Bei neuem Material und Grooming wird Klassifikation probabilistischer. Sprache ist kontextabhängig; Ironie, familiäre Kommunikation, medizinische Beratung oder harmlose Bilder können maschinell missverstanden werden. Je weiter der Suchraum und je niedriger die Schwelle, desto entscheidender werden Nenner, Präzision, menschliche Bestätigung und die Folgen eines falschen Treffers.

Darum erkennt auch der aktuelle Übergangstext Fehler als Regulierungsproblem an. Er verlangt Maßnahmen zur Fehlerbegrenzung, in bestimmten Fällen menschliche Bestätigung, Beschwerdemöglichkeiten und Berichte über Falschmeldungen. Das beweist keine bestimmte Fehlerquote. Es beweist, dass Fehler kein polemisches Randthema sind, sondern Teil der Governance sein müssen.

Der stärkste Einwand gegen diese Kritik ist moralisch ernst – und technisch unvollständig

Kinder zu schützen ist kein Vorwand. Genau deshalb darf das Instrument nicht von seiner Wirkung entkoppelt werden.

Anbieter privater Kommunikationsdienste können reale Missbrauchsräume beherbergen. Ermittler, Opferverbände und Plattformen stehen unter Druck, bekanntes Material zu finden, laufende Gefährdung zu stoppen und Täter zu identifizieren. Eine Position, die diese Realität nur als Deckmantel abtut, verdient kein Vertrauen.

Die Gegenfrage ist dennoch notwendig: Welche Maßnahme trifft Täter wirksam, ohne die vertrauliche Kommunikation einer sehr großen unverdächtigen Bevölkerung in eine generalisierte Erkennungsfläche zu verwandeln? Zielgenaue Anordnungen, bestätigte Referenzbestände, klare Zuständigkeit, unabhängige Autorisierung, enge Dauer und wirksame Abhilfe sind architektonisch etwas anderes als dauerhaft verfügbare Breitenprüfung.

Die entscheidende Konfliktlinie verläuft daher nicht zwischen Kinderschutz und Privatsphäre. Sie verläuft zwischen Maßnahmen, deren Ziel, Eingriff und Kontrolle zusammenpassen, und Systemen, deren Infrastruktur später leichter erweitert werden kann als ihr ursprüngliches politisches Versprechen.

Sind WhatsApp und Signal betroffen? Nicht durch ein simples Ja oder Nein.

Eine App-Liste ersetzt kein Bedrohungsmodell.

Ob WhatsApp oder Signal für eine konkrete Nachricht schützt, entscheidet sich auf Funktionsebene: Ist genau dieser Kommunikationsweg Ende-zu-Ende-verschlüsselt, wie arbeitet das Backup, welche verknüpften Geräte bestehen und welche Metadaten fallen an? Die aktuelle EU-Übergangsregel nimmt E2EE-Kommunikation aus und ordnet kein allgemeines Scannen verschlüsselter Nachrichten an.

Das dauerhafte Verfahren kann den regulatorischen Rahmen künftig verändern. Daraus folgt heute weder, dass jeder Messenger dieselbe Architektur einsetzen wird, noch dass ein Anbieter jede denkbare Anforderung technisch erfüllen kann, ohne sein Produktversprechen zu verändern. Signal, WhatsApp und andere Dienste müssen nach realer Funktion, nicht nach Markenruf bewertet werden.

Für vertrauliche Unternehmer- und Familienkommunikation ist deshalb die bessere Frage: Welche Information liegt in welchem Kanal, auf welchen Geräten, in welchen Backups, bei welchen Teilnehmern und unter wessen Kontorechten? Wer nur den Messenger wechselt, verschiebt möglicherweise ein Symbol und lässt die eigentliche Abhängigkeit stehen.

Der Communication Exposure Audit: sieben Prüfungen vor der nächsten vertraulichen Nachricht

Das Gegenteil von Panik ist nicht Sorglosigkeit. Es ist ein präzises Bedrohungsmodell.

Erstens: Inhalt. Welche Nachricht würde bei Fehladressierung, Geräteverlust oder Offenlegung einen irreversiblen Schaden erzeugen? Zweitens: Identität. Ist klar, wer tatsächlich am anderen Ende sitzt? Drittens: Endpunkt. Welche Geräte, Betriebssysteme und verknüpften Sitzungen können den Inhalt sehen? Viertens: Speicherung. Entstehen Cloud-Backups, Exporte, Screenshots oder lokale Archive?

Fünftens: Gruppe und Rolle. Wer darf Mitglieder hinzufügen, Nachrichten weiterleiten oder administrative Einstellungen ändern? Sechstens: Metadaten. Welche Beziehungen, Zeiten, Orte oder Kontaktmuster verrät der Kanal auch ohne Nachrichtentext? Siebtens: Wiederherstellung. Wer kann ein Konto zurücksetzen, Daten sichern, Vorfälle dokumentieren und handlungsfähig bleiben, wenn ein Kanal gesperrt oder kompromittiert ist?

Das Ergebnis ist keine Tabelle der ‚sichersten Messenger‘. Es ist eine Klassifikation: Alltag, intern vertraulich, transaktionskritisch, rechtlich privilegiert, sicherheitskritisch. Je höher die Klasse, desto weniger darf ein einziger Anbieter, ein einziges Gerät oder ein einziger Administrator die gesamte Vertraulichkeit tragen.

„Souveränität ist auch hier kein Produkt. Sie ist Architektur, Disziplin und Entscheidung.“

Was die Diagnose verändern würde

Eine ernsthafte Analyse veröffentlicht nicht nur ihre These, sondern auch ihre Widerlegungskriterien.

Unsere Risikodiagnose würde sich wesentlich verengen, wenn das endgültige EU-Regime generalisierte Erkennung ausdrücklich ausschließt, Maßnahmen ausschließlich individuell und unabhängig autorisiert zulässt, starke Ende-zu-Ende-Verschlüsselung ohne Inhaltszugriff schützt und bei Fehlentscheidungen schnelle, wirksame Abhilfe garantiert.

Sie würde sich verschärfen, wenn ein finaler Text breite Erkennungsflächen, unscharfe Risikobegriffe, verpflichtende technische Zugänge zu E2EE-Inhalten oder unzureichende Korrekturwege vorsieht. Ebenso relevant wären nachweisbare Produktänderungen der Anbieter, veröffentlichte Fehlerdaten oder Rechtsprechung, die Reichweite und Grenzen neu bestimmt.

Bis dahin gilt eine nüchterne Regel: keine Zukunft als Gegenwart verkaufen. Aber die Infrastrukturfrage auch nicht erst stellen, wenn ein Update, eine Anordnung oder ein Kontovorfall bereits entschieden hat. Vertrauliche Kommunikation ist eine Governance-Funktion von Familie und Unternehmen – nicht bloß eine App-Einstellung.