Verhütung und Bekämpfung des sexuellen Missbrauchs von Kindern“ – wer würde ein solches Anliegen schon ablehnen? Doch der Titel dieser neuen EU-Richtlinie ist irreführend. Kinderschutz ist nur das Aushängeschild für einen Gesetzesentwurf, der zur weitreichenden Überwachung privater Nachrichten führen könnte: zur sogenannten Chatkontrolle. Offiziell soll diese Maßnahme für Internetplattformen wie Facebook nun „freiwillig“ bleiben, nach massiver Kritik rückte man von einer verpflichtenden Kontrolle ab. Doch so freiwillig, wie das Ganze dargestellt wird, ist es nicht. Denn wer nicht spurt, muss mit Konsequenzen rechnen.

Ein kleiner Rückblick: Im Jahr 2002 wurde mit der ePrivacy-Richtlinie 2002/58/EG die Vertraulichkeit privater Nachrichten auch für elektronische Kommunikation festgelegt. Damit wurde äquivalent zum Postgeheimnis jegliches Scannen oder Überprüfen von Chat-Nachrichten oder E-Mails verboten. Doch schon knapp 20 Jahre später, im Jahr 2021, rückte die EU erstmals davon ab. Schon damals wurde im Namen des Kinderschutzes eine befristete Ausnahmeregelung eingeführt, die freiwillige Kontrollen vonseiten der Internetplattformen gegenüber ihren Nutzern möglich machte. Diese Regelung gilt bis April 2026 – bis dahin müssen EU-Kommission, Parlament und Rat sich geeinigt haben, wie es weitergeht.

Werbung

Dabei wird deutlich, dass die EU-Kommission die einmal gewonnene Kontrolle nicht wieder hergeben will – auch wenn ein Bericht zur Wirksamkeit der aktuellen Richtlinien verheerend ist: Die Kommission muss selbst zugeben, dass aufgrund der übermittelten Daten nicht sicher gesagt werden kann, dass die freiwillige Kontrolle verhältnismäßig sei. Konkret haben Plattformen wie Google, Meta (Facebook und Instagram), Microsoft und LinkedIn Fotos und Videos überprüft sowie Traffic-Daten wie Nutzernamen und IP-Adressen gesammelt.

Wie viele Daten überprüft werden, kommt in der Regel nicht an die Öffentlichkeit. Doch Microsoft und das zu dem Konzern gehörende Netzwerk LinkedIn haben Zahlen für das Jahr 2024 veröffentlicht. Demnach wurden bei LinkedIn in Europa insgesamt 22 Millionen Fotos und zwei Millionen Videos überprüft. Davon stellte ein einziges Foto tatsächlich Kindesmissbrauch dar. Microsoft überprüfte auf anderen Kanälen weltweit 9,6 Milliarden Beiträge. Davon waren etwa 5.800 Fälle in Europa Missbrauchsdarstellungen. Enorme Mengen an privaten Nachrichten werden so durchsucht, während nur ein Bruchteil tatsächlich illegales Material enthält. Dennoch bleibt die EU-Kommission bei ihren Plänen.

Formal sollen die Kontrollen „freiwillig“ bleiben. Doch der Ministerrat der EU setzt auf Zwang, damit diese Regeln auch durchgeführt werden. Das geht aus dem Gesetzesentwurf vom 13. November (15318/25) hervor, auf den sich der Ausschuss der Ständigen Vertreter des EU-Ministerrats am Mittwoch geeinigt hat. Er sieht vor, dass Internetplattformen wie Facebook, Messaging-Dienste, Suchmaschinen und andere Internetseiten eine Risikobewertung vornehmen müssen, ob ihre Dienste zur Verbreitung von Kinderpornografie missbraucht werden könnten.

Lesen Sie auch:

Bosch und Co.

Betriebsräte großer Autozulieferer warnen vor Verbrenner-Verbot

Die Betriebsräte der drei Zulieferer Bosch, ZF und Mahle haben sich deutlich für eine Aufweichung des Verbrenner-Verbots ausgesprochen. Ohne eine solche Anpassung auf EU-Ebene könnten noch mehr Stellen in der heimischen Automobilindustrie wegfallen.

Hannes Märtin • 109

Experten schlagen Alarm

Chatkontrolle durch die Hintertür? Rat der EU einigt sich auf freiwillige Überwachungsmaßnahmen

Eigentlich war die Chatkontrolle vom Tisch – jetzt hat sich der Rat der EU doch noch auf eine Position verständigt: Statt einer Pflicht soll es freiwillige Kontrollen geben. Dadurch könnte die Privatsphäre aber massiv eingeschränkt werden.

Wim Lukowsky • 56

Die Ergebnisse können in drei Kategorien eingeteilt werden: hohes, mittleres und niedriges Risiko. Je nachdem, in welcher Kategorie sich ein Unternehmen befindet, ergeben sich daraus unterschiedliche Pflichten – Brüssel erwartet Rechenschaft über die ergriffenen Maßnahmen. Zu den Möglichkeiten zählt unter anderem die „freiwillige“ Chatkontrolle. Tun die Firmen nicht genug, kann eine hohe Geldstrafe verhängt werden.

Die EU lässt sich ein Schlupfloch

Diskussionen hatte es vor allem um eine bestimmte Passage des neuen Gesetzesentwurfs gegeben: Wenn Internetplattformen „ein Risiko festgestellt haben, dass der Dienst zum Zweck des sexuellen Missbrauchs von Kindern im Internet genutzt wird, ergreifen sie alle angemessenen und auf das festgestellte Risiko zugeschnittenen Maßnahmen zur Risikominderung“. Kritiker wie der ehemalige EU-Abgeordnete Patrick Breyer vermuteten hinter der Formulierung „alle angemessenen […] Maßnahmen“ ein Schlupfloch, das die freiwillige Chatkontrolle doch verpflichtend macht.

Im Gesetzestext ist auch geregelt, dass eine neue EU-Behörde gegründet werden soll: das „EU-Zentrum über sexuellen Kindesmissbrauch“. Dieses Zentrum soll Internetfirmen laut dem Gesetzesentwurf helfen, eine Risikobewertung durchzuführen und Minimierungsstrategien zu entwickeln. Je nachdem, wie hoch die Risikoeinschätzung von Unternehmen ist, müssen die Firmen an das EU-Zentrum und an noch zu benennende nationale Behörden zu bestimmten Zeitpunkten Rechenschaftsberichte abgeben, in denen steht, wie die Firmen das Missbrauchsrisiko bewerten und welche Maßnahmen zur Eindämmung sie treffen. Firmen mit einem hohen Risiko für Kinderpornografie müssen jährlich einen Bericht vorlegen. Firmen mit einem niedrigen Risiko alle drei Jahre.

Wenn die Internetfirmen ihren Verpflichtungen aus der Richtlinie nicht nachkommen, sollen die nationalen Behörden Geldstrafen verhängen. Bei der Bemessung der Höhe der Strafe soll wiederum die Einstufung in eine Risikokategorie berücksichtigt werden. Firmen mit einer hohen Risikobewertung müssten also wahrscheinlich höhere Geldstrafen zahlen. Wenn die Unternehmen aus Sicht der nationalen Behörden nicht gut genug mit ihnen kooperiert haben, kann sich das auch auf die Höhe der Geldstrafe auswirken. Die maximale Strafe liegt bei sechs Prozent des weltweiten Jahresumsatzes. Für Meta, die Firma hinter Facebook, Instagram und WhatsApp, könnte das schnell in die Milliarden Euro gehen. 2024 betrug deren Umsatz 164,5 Milliarden Dollar. Sechs Prozent davon sind 9,8 Milliarden Dollar. Die nationalen Behörden sollen außerdem das Löschen oder Blockieren von Beiträgen anordnen können.

Internetfirmen werden angesichts der staatlichen Kontrolle wohl lieber zu viel als zu wenig tun. Offen bleibt dabei, welche Nachrichten gescannt werden – Fotos, Internetlinks oder Textnachrichten. Sollte ein Unternehmen sich entscheiden, keine freiwillige Chatkontrolle mehr durchzuführen, dürfte das alleine noch keine Geldstrafe nach sich ziehen, weil auch andere Maßnahmen als Minderungsmaßnahmen gelten, zum Beispiel die Einrichtung von Tools, mit denen Nutzer schnell illegale Inhalte melden können. Doch wie eine Firma sich zur freiwilligen Chatkontrolle verhält, könnte entscheidend sein.

Verpflichtende Chatkontrolle durch die Hintertür

Denn der Gesetzesentwurf wird noch konkreter: Zusätzlich benennt der Entwurf in Artikel 85 die Möglichkeit, eine verpflichtende Chatkontrolle einzuführen. Drei Jahre nach Inkrafttreten der Richtlinie soll die Kommission dem EU-Parlament und dem Rat einen Bericht vorlegen, in dem „die Notwendigkeit und Machbarkeit der künftigen Einbeziehung von Erkennungspflichten“ erörtert werden soll. Erkennungspflichten meint die verpflichtende Chatkontrolle.

Einsatzbereitschaft und Fehlerraten von Techniken zur Findung von Missbrauchsmaterial sollen in diesem Bericht analysiert werden, auch für Ende-zu-Ende-verschlüsselten Chats. Alle drei Jahre kann die Überprüfung erneut durchgeführt werden. Es könnte also sein, dass zwölf oder fünfzehn Jahre nach Einführung der Richtlinie doch noch eine verpflichtende Chatkontrolle kommt, wenn die technischen Möglichkeiten ausgereift sind. Die „Freiwilligkeit“ verkommt damit zum Etikettenschwindel, der suggerieren soll, dass das Drohgespenst der verpflichtenden Kontrolle gebannt sei.

18 Professoren aus ganz Europa, darunter drei aus Deutschland, die auf Cybersicherheit spezialisiert sind, kritisieren die Pläne in einem offenen Brief. Sie warnen davor, dass KI-Modelle, die Beiträge analysieren, nicht präzise genug sind, um Missbrauchsmaterial zu entdecken und oft hohe Fehlerquoten haben. Die Überwachung würde ausgeweitet, „ohne eine Garantie für besseren Schutz zu bieten“.

Bei freiwilligen Kontrollen bestehe „kein nachgewiesener Nutzen, während das Missbrauchspotenzial enorm ist“. Die deutschen Unterzeichner sind Anja Lehmann von der Universität Potsdam, Cas Cremers vom Helmholtz Center for Information Security und Kai Rannenberg von der Goethe-Universität Frankfurt. Alle Unterzeichner warnen auch vor Maßnahmen zur Altersverifikation, die in dem Gesetzesentwurf stehen. Denn die würden häufig verlangen, dass Dokumente wie Personalausweise vorgelegt werden müssen.

Verknüpfung zur Digital-ID

Maßnahmen zur „Altersverifikation und Altersbeurteilung“ sollen Internetfirmen ergreifen, deren Webseiten und Dienste dazu genutzt werden könnten, Kinder in unlauterer Weise zu kontaktieren, wie es in dem Gesetzesentwurf heißt. Wie diese Maßnahmen technisch umzusetzen sind, lässt man offen – soweit sie „verhältnismäßig, transparent, wirksam, genau, nichtdiskriminierend und zugänglich“ seien. Auch hier wird das „EU-Zentrum über sexuellen Missbrauch von Kindern“ als Ansprechpartner genannt.

Im Oktober veröffentlichte die EU eine Testsoftware, mit der Nutzer eine Altersüberprüfung durchführen können. Dabei müssen sie ihren Personalausweis oder Reisepass scannen. Die Technik soll mit den digitalen Geldbörsen kompatibel sein, die die EU 2026 einführen will. Das Prinzip funktioniert so: Der Nutzer lädt eine spezielle App herunter und wählt aus, ob er sein Alter durch ein amtliches Dokument wie den Personalausweis oder durch eine eID bestätigen will. In beiden Fällen sollen weder Namen noch Geburtstage gespeichert werden. Will der Nutzer seinen Ausweis verwenden, muss er über die App ein Foto des Ausweises machen. Das Foto auf dem Ausweis wird mit einem Live-Foto abgeglichen. Stimmen die biometrischen Daten überein, ist die Altersverifikation erfolgreich.

In Großbritannien ist mit dem „Online Safety Act“ bereits ein Gesetz in Kraft, das den Internetplattformen vorschreibt, auch verschlüsselte Chats auf Kinderpornografie zu scannen und Maßnahmen zur Altersverifikation durchzuführen. Nutzer können für ihre Altersverifikation offizielle Dokumente oder eine Kreditkartennummer hochladen und so auch ihren Namen preisgeben. Die Nutzer verlieren also ihre Anonymität im Netz, ihre Privatsphäre wird erheblich eingeschränkt.

Wenn der EU-Gesetzesentwurf im Dezember beim Treffen der Justiz- und Innenminister abgenickt wird, können die „Trilog“-Verhandlungen beginnen. Nach Einigung von Kommission, Parlament und Rat muss das Parlament dann abschließend zustimmen. Sollte der Gesetzesentwurf von EU-Kommission, EU-Parlament und dem Rat der Europäischen Union befürwortet werden, hat die Europäische Union sich selbst Mittel geschaffen, um die Chatkontrolle zu forcieren und in Zukunft sogar zur Pflicht umzuwandeln.

Sowohl das Überprüfen von Nachrichten als auch die Maßnahmen zur Altersverifikation würden tiefgreifende Eingriffe in die Privatsphäre darstellen. Wohl bewusst wird mit offenen Formulierungen, die Interpretationsspielraum bieten, gearbeitet, statt technischen Details zu nennen. Dem Wortlaut nach sind die Firmen zu nichts verpflichtet, doch drohen hohe Geldstrafen, wenn sie nicht kooperieren. Wer nicht zahlen will, dem bleiben im Prinzip nur zwei Optionen: Sich dem Druck der Europäischen Union beugen oder das Geschäft in der EU aufgeben. Von Freiwilligkeit reden und auf Zwang durch die Hintertür setzen – ein Mittel, das auch autokratische Staaten gerne anwenden.

Teilen: Zu den Kommentaren (29)