Die Chatkontrolle verlangt kein Client-Side-Scanning

Liest jemand mit, wenn eine Nachricht über Signal, Threema oder WhatsApp läuft? Seit dem 9. Juli 2026 hat die Frage einen neuen Anlass. An dem Tag ließ das Europäische Parlament eine befristete Ausnahme von den Datenschutzregeln passieren, die unter dem Namen Chatkontrolle bekannt ist. Yannick von Eisenhart Rothe beschrieb das Verfahren für DIE ZEIT am selben Tag als „Client-Side-Scanning“: Scannen auf dem Gerät, bevor eine Nachricht verschlüsselt wird. Unter diesem Namen laufen in Brüssel allerdings zwei getrennte Rechtsakte: die ePrivacy-Ausnahme von 2021 und die CSA-Verordnung, die seit vier Jahren im Verfahren steckt.

Die beschlossene Chatkontrolle erlaubt das Scannen unverschlüsselter Inhalte#

Durch ging am 9. Juli die ePrivacy-Ausnahme von 2021, und zwar auf einem Verfahrensweg, den die Schlagzeilen an dem Tag verdeckten: Das Parlament stimmte mit 314 zu 276 Stimmen bei 17 Enthaltungen gegen den Text des Rates, verfehlte damit aber die 360 Stimmen, die eine Ablehnung in zweiter Lesung braucht. Der Text war angenommen. Er verpflichtet niemanden, sondern erlaubt Anbietern wie Google oder Meta, freiwillig unverschlüsselte Inhalte zu durchleuchten¹ und Treffer an die Behörden zu melden. Verschlüsselte Inhalte sind davon ausdrücklich ausgenommen. Das Verfahren greift dort, wo ein Dienst den Klartext ohnehin sieht: in offenen Foren, in E-Mails, in Cloud-Uploads.

Ausgelaufen war die alte Regel am 3. April 2026, und dorthin führten zwei Abstimmungen. Am 11. März stimmte das Parlament für eine Verlängerung, wollte das Scannen aber auf „zielgerichtet, spezifisch und beschränkt“ begrenzen², gebunden an einen von der Justizbehörde festgestellten „begründeten Verdacht“ und befristet bis zum 3. August 2027. Die bedingungslose Fassung fiel dann am 26. März mit 228 Ja gegen 311 Nein bei 92 Enthaltungen³ durch, 83 Stimmen Abstand. Am 23. Juli schloss der Rat dann das schriftliche Verfahren ab und holte die Ausnahme bis zum 3. April 2028 zurück⁴.

Client-Side-Scanning liest auf dem Gerät, bevor verschlüsselt wird#

Gebaut wurde die Technik für den einen Fall, den kein Server abdeckt: Inhalte, die das Telefon verschlüsselt, bevor sie es verlassen. Sieht ein Anbieter den Klartext ohnehin, genügt sein Server. Wie weit ein Etikett von der Technik darunter abliegen kann, zeigte der Chip im Abgeordnetenausweis⁵, der seit Juli 2026 die Anwesenheit im Bundestag erfasst.

Apple zog das Client-Side-Scanning nach sechzehn Monaten zurück#

Im August 2021 kündigte Apple an, jedes iPhone-Foto vor dem Hochladen in die iCloud mit einer Liste bekannter Missbrauchsdarstellungen abzugleichen. Die Technik hieß NeuralHash und arbeitete nach genau diesem Prinzip: lesen auf dem Telefon, bevor der Inhalt verschlüsselt und verschickt wird. Gebaut und geprüft hat sie ein Hersteller, dem Betriebssystem, Gerät und Cloud gleichzeitig gehören. Vierzehn Kryptografinnen und Kryptografen, darunter Ronald Rivest, Whitfield Diffie und Bruce Schneier, hielten im Oktober 2021 in der Analyse „Bugs in Our Pockets“⁶ dagegen: Ein Scanner auf dem Endgerät lasse sich nicht dauerhaft auf Missbrauchsbilder begrenzen und öffne neue Angriffswege in jedes Telefon. Im Dezember 2022 gab Apple das Vorhaben auf⁷; Kinder ließen sich schützen, ohne dass Unternehmen persönliche Daten durchkämmten, erklärte der Konzern zur Begründung. Die Analyse der vierzehn Fachleute erschien 2024 begutachtet im Journal of Cybersecurity.

Die freiwillige Chatkontrolle meldet knapp zur Hälfte Straffreies#

Beim Bundeskriminalamt gingen 2024 über die amerikanische Meldestelle NCMEC 205.728 Hinweise ein, davon 106.353 nach deutschem Recht strafrechtlich relevant⁸. Die übrigen 99.375 waren es nicht, 48,3 Prozent. Die Schweizer Bundespolizei erhielt 2023 14.420 NCMEC-Meldungen und erstattete daraufhin 1.895 Anzeigen⁹ bei den kantonalen Behörden; was aus den übrigen wurde, sagt der Jahresbericht nicht. Deutsche wie Schweizer Meldungen stammen aus dem Bereich, den die Anbieter ohnehin im Klartext sehen; ein Scanner auf dem Gerät führte demselben Verfahren die Nachrichten zu, die heute verschlüsselt bleiben.

Ein Familienfoto vom Baggersee kann so zum Verdachtsfall werden, der eine Akte anlegt. So wie ein KI-Detektor eine Wahrscheinlichkeit ausgibt und den Verdacht erst der erzeugt, der sie befragt¹⁰, landet die Fehlerlast beim Gemeldeten.

Über das Client-Side-Scanning verhandelt die EU am 29. September weiter#

Das zweite Gesetz, die CSA-Verordnung oder Chatkontrolle 2.0, sollte Anbieter per Aufdeckungsanordnung zwingen, auch verschlüsselte Kommunikation auf dem Gerät zu prüfen. Gemeint ist damit die behördliche Anweisung an einen Dienst, die Kommunikation seiner Kundschaft zu durchsuchen. Diesen Zwang nahm die dänische Ratspräsidentschaft schon Ende Oktober 2025 aus ihrem Kompromissvorschlag netzpolitik.org ↗. Die Aufdeckungsanordnung werde nicht Teil des neuen Vorschlags sein, sagte Justizminister Peter Hummelgaard; der Text ging am 30. Oktober 2025 an die Mitgliedstaaten.

Seither haben Parlament, Rat und Kommission vier Trilogrunden geführt; die fünfte am 29. Juni 2026 endete mit Teileinigungen und einer Vertagung netzpolitik.org ↗: Tonspuren von Videos bleiben im Anwendungsbereich, die Altersverifikation bleibt freiwillig, für die Übermittlung von Meldungen gilt eine Frist von drei Monaten. Offen blieb allein die Aufdeckung, also die Frage, die den Namen Chatkontrolle überhaupt trägt. Interne Dokumente von Mitte Juni hielten schon fest, dass sich die EU-Institutionen „vorläufig darauf geeinigt“ hatten, verschlüsselte Inhalte aus dem Anwendungsbereich auszunehmen netzpolitik.org ↗; laut dem Sitzungsprotokoll vom 30. Juni machte das Parlament im Trilog deutlich, dass eine Ende-zu-Ende-Verschlüsselung nicht unter den Anwendungsbereich fallen dürfe.

In keinem der beiden Rechtsakte steht damit bislang die Pflicht zu dem Scanner, den Apple gebaut, geprüft und zurückgezogen hat. Verhandelt wird darüber wieder am 29. September 2026. Die freiwillige Regel läuft unabhängig davon bis zum 3. April 2028.

Anlass war die Meldung „EU-Parlament billigt Datenschutz-Ausnahme für Chatkontrolle“ von Yannick von Eisenhart Rothe (dpa/AFP), DIE ZEIT, 09.07.2026. Der Artikel nennt keine eigenen Kennzahlen; alle Zahlen und Belege stammen aus eigener Recherche: Abstimmung und Verfahrensweg vom 09.07.2026, die eingeschränkte Fassung vom 11.03.2026 sowie Trilog-Stand (netzpolitik.org, 09.07.2026, 11.03.2026, 31.10.2025, 12.06.2026 und 02.07.2026); Abstimmung vom 26.03.2026 (abgeordnetenwatch.de); „Bugs in Our Pockets“ (Abelson u. a., arxiv.org 2110.07450, 2021); Apples Rückzug (macrumors.com, 07.12.2022); NCMEC-Hinweise 2024 (Bundeskriminalamt, bka.de, Pressemitteilung 21.08.2025); Schweizer Zahlen (fedpol-Jahresbericht 2023, fedpol.report); Verordnung (EU) 2021/1232.