EU stellt die Lauscher auf: Auf dem Weg zur absoluten Chatkontrolle

Der Datenschutz war lange der Deutschen liebstes Kind, und das ausnahmsweise nicht zu Unrecht. Aus zwei Diktaturen haben die Bürger eines gelernt: Sie wollen bei alltäglichen, auch noch so belanglosen Gesprächen nicht von staatlichen Stellen belauscht und überwacht werden.

Die Ironie an der Sache – oder auch nicht – ist allerdings, dass diese Art Überwachung nun vom hochmoralischen „Friedensprojekt“ EU eingeführt werden könnte, natürlich aktualisiert und auf den Stand des Jahres 2025 gebracht. Es braucht ja heute keine Wanzen mehr, die wie im Film in irgendwelchen Wohnzimmerlampen versteckt sind; auch an irgendeinem Amt muss kein Offizier mehr ein Tonband laufen lassen, um verdächtig erscheinende Gespräche mitzuschneiden. Eine ähnliche, wenn nicht höhere Effizienz lässt sich heute digital per Knopfdruck oder eigentlich durch KI-Rattern herstellen. Und genau das will die EU in offenbar großer Einigkeit ihrer drei Hauptinstitutionen Rat, Kommission und Parlament am Bürger vorbei durchsetzen.

Der Gesetzgebungsprozess zieht sich dabei EU-typisch schon seit 2022. Schon seit 2017 gibt es eine Ausnahmeregelung von der EU-Datenschutzrichtlinie für elektronische Kommunikation, die es E-Mail- und Kommunikationsanbietern ermöglichte und also aufbürdete, Nachrichten nach kinderpornographischem Material zu durchsuchen. Ein ohne Frage wichtiges Thema. Doch man opferte dafür umstandslos den EU-Datenschutz. Kritiker sprachen erstmals von Chatkontrolle (1.0). Ende-zu-Ende-verschlüsselte Nachrichten waren davon ausgenommen, was einen Anschein von Datenschutz wahrte. Das Ganze galt freilich nur auf Zeit und lief eigentlich im August 2024 aus. Aber die Ausnahmeregelung scheint sich aus mysteriöse Art zu halten, jedenfalls suchen die EU-Großen derzeit immer noch nach einer lückenlosen Anschlussgesetzgebung, der sogenannten Chatkontrolle 2.0.

Laut der Initiative „Fight Chat Control“ handelt es sich dabei „nicht um eine Maßnahme, um Kriminelle zu fangen, sondern um die Massenüberwachung aller 450 Millionen Bürger*innen der Europäischen Union“ einzuführen. Jedes Bild, jede Datei, aber auch jede Nachricht, die ein Nutzer versendet, sollen automatisch durchsucht werden, ohne dass ein Anfangsverdacht vorliegen muss und ohne dass der Nutzer dem widersprechen könnte.

Man kann sich nun über den Genderstern („Bürger*innen“) ärgern, aber in der Sache haben die Initiatoren wohl schlicht recht. Im Rat gibt es inzwischen eine Mehrheit von 15 Ländern, denen vielleicht noch sechs Nein-Stimmen gegenüberstehen: von Belgien, Finnland, den Niederlanden, Österreich, Polen und Tschechien. In Belgien ist Bart de Wevers N-VA strikt gegen den Entwurf, aber die Koalition könnte sich am Ende enthalten, Finnland sieht vor allem ein Detail (den Identitätsnachweis) kritisch. Insgesamt sind die Gegner mehrheitlich konservativ regierte Länder.

Daneben gibt es noch sechs Unentschlossene. Und zu denen gehört neuerdings auch Deutschland, das Land mit der Datenschutz-Vorliebe. Vor kurzem änderte die Bundesregierung ihre Haltung ziemlich still von „Nein“ zu „Unentschlossen“. Das könnte nun dazu führen, dass eine Mehrheit für das Vorhaben im Rat zustandekommt.

Es ist klar: Viele Regierenden hätten das „Instrument“ gern, zur Kriminalitätsbekämpfung, auch gegen „Grooming“, das Ansprechen von Minderjährigen über das Netz, dessen Zahlen sich in der letzten Zeit verdreifacht haben sollen – so die EU-Kommission, die in dieser Frage zu den Treibern gehört.

Doch sogar die dänische Regierung wendet hier ein, dass die KI-Technologie vielleicht noch nicht ausgereift genug sei, um dieses Feld zu erfassen. „Selbst der dümmste Kriminelle kann sich heute der Strafverfolgung entziehen, indem er einfach ein iPhone benutzt“, sagte der dänische Justizminister Peter Hummelgaard im Juli.

Und wofür will man das Instrument noch? Ein Tipp: Es gewährleistet den millionenfachen Zugriff auf Nutzerdaten, auch eine Vorratsdatenspeicherung von Zugriffs- und Standortdaten ist Teil des Pakets.

Die Dänen gehören an sich zu den leidenschaftlichen Verfechtern des Projekts und haben den „EU-Datensauger“ daher im Juli wieder auf die Tagesordnung gesetzt, sofort nach ihrer Übernahme der Ratspräsidentschaft, nachdem Polen das Vorhaben ein halbes Jahr auf Eis gelegt hatte. Polen blieb sogar unter Donald Tusk ablehnend gegenüber der massenhaften Überwachung privater Kommunikation – wohl auch ein Erbe des dort einst real geherrscht habenden Sozialismus.

Zustimmung und Ablehnung zu dem Vorschlag im EU-Rat sind auf fast unvorhersehbare Weise verteilt: Neben Dänemark gelten Frankreich, Italien, Spanien, Schweden und Ungarn als wichtigste Befürworter der Neuregelung, daneben eine Reihe kleinerer Mitgliedsländer von Irland bis Zypern. Was sich jede einzelne Regierung davon erhofft, bleibt unklar. Das fragile Gleichgewicht der öffentlichen Meinung scheint hier den Takt vorzugeben. Was finden die Wähler wichtiger: eine effiziente Strafverfolgung oder die Grundrechte aller Bürger, soweit sie E-Mails, Chat-Apps (wie Whatsapp, Telegram usw.) oder allgemein das Internet (wie Online-Foren) nutzen?

Es geht also nicht nur um die niedlichen App-Icons auf dem Handybildschirm, auf die einige sicher noch immer gerne verzichten. Auch so etwas Unentrinnbares wie eine E-Mail-Adresse und die darüber geführte Korrespondenz soll, geht es nach dem Vorschlag geht, in Zukunft zum Objekt umfassender, anlassloser Durchleuchtung werden.

Dass die Leyen-Kommission in Brüssel den Entwurf mit fliegenden Fahnen mitträgt, konnte man sich nach dem Grundrechte-Massaker namens Digital Services Act (DSA), der die Abschaltung von Online-Plattformen zur sogenannten Aufstandsbekämpfung ermöglicht, vorstellen. Und so fehlt nur noch der dritte im Bunde, das EU-Parlament, das sich nun auf eine besonders raffinierte Art in den Gesetzgebungsprozess einbringt.

Man muss dazu sagen, dass dieses „Parlament“ keinerlei Initiativrechte in der Gesetzgebung hat, wie dies bei echten Parlamenten üblich ist. Dafür hat es einige indirekte Druckmittel, von denen es eines im Juli einsetzte: Die EU-Abgeordneten wollen der (einstweiligen) Verlängerung der aktuell geltenden Ausnahmeregelung zur Chatkontrolle 1.0 nur dann zustimmen, wenn der Rat den Weg frei macht für die Chatkontrolle 2.0.

Der ehemalige EU-Abgeordnete für die Piraten, Patrick Breyer, hält das für Erpressung von seiten des Parlaments. Die Ausnahme von der EU-Datenschutzrichtlinie für elektronische Kommunikation lief eigentlich schon vor einem Jahr, im August 2024, aus und scheint sich seither auf mysteriöse Art verlängert zu haben. Ende-zu-Ende-verschlüsselte Nachrichten waren davon ausgenommen.

Übrigens: Die Verhandlungsprotokolle aus dem EU-Rat sind seit Juli dank einem Leak durch Netzpolitik.org öffentlich. Und dieser klitzekleine Einblick in die internen Diskussionen des Rats ist noch immer mit Gewinn zu lesen.

Daraus geht hervor, dass Italien, Ungarn, Lettland, die Slowakei und Bulgarien verpflichtende Aufdeckungsanordnungen (AO) befürworten. Italien wünscht sich allerdings, dass diese AO von der Justiz kommen müssen – in der Diskussion sind demnach auch AO von Nicht-Justizbehörden!

Der dänische Ratsvorsitz behauptete derweil tapfer, dass die Ende-zu-Ende-Verschlüsselung (E2EE) ja „geschützt“ werden soll. Doch hier wird offenbar der Teufel mit dem Beelzebub ausgetrieben. Als Lösung wird das Client-Side-Scanning (CSS) vorgeschlagen – also die Ausspionierung der Nutzer, noch bevor ihre Kommunikation überhaupt verschlüsselt wird! Die Dänen dazu laut Protokoll: „AOs müssten greifen, bevor überhaupt verschlüsselt werde.“ O, Orwell!

Die (kleinen) Slowenen zeigen sich relativ standhaft, brachten immerhin Einwände gegen AO und den Bruch der E2EE vor, sie gehören aber formal zu den „Unentschiedenen“. Bei einem klaren Nein blieben die österreichische Regierung (die durch einen Parlamentsbeschluss gebunden ist) und die Niederlande, die gar keinen Gefallen an AO oder CSS fanden. Zur Speerspitze des Datenschutzes gehören daneben die Esten, die keinerlei „positiven Signale“ senden konnten. Es bleibt also bei ihrem Nein. Auch die finnische Regierung sieht vor allem Probleme. Prag will kommende Wahlen abwarten und sich danach möglichst kompromissbereit zeigen. Man kann in solchen Formulierungen spüren, wie kleinere EU-Länder zur Zustimmung gedrängt werden. So offenbart sich ein krankes System, in dem kaum eine demokratische Repräsentation möglich scheint.

Sogar die klar ablehnenden Stimmen wie Belgien und Polen bleiben in das Gewand der Kompromiss-Suche eingehüllt. Unter allen Umständen soll eine „Regelungslücke“ vermieden werden, die durch den Wegfall der derzeit bestehenden Chatkontrolle 1.0 entstünde, so die polnische Regierung. Sogar die belgische Regierung unter Bart de Wever stellte in Aussicht, nach dem Sommer eine neue Haltung zur Ende-zu-Ende-Verschlüsselung vortragen zu können.

Frankreichs Delegation scheint insgesamt am wenigsten Bedenken zu haben, weder was die Aufdeckungsanordnungen (AO) von wem auch immer angeht, noch in Sachen „Risikokategorisierung“. Dabei geht es um eine KI-gestützte Einstufung von Inhalten, eine Vorentscheidung, ob sie illegal sein könnten. Die Gesellschaft für Informatik (GI) hat schon vor Jahr und Tag darauf hingewiesen, dass die Falschmeldungen im KI-gestützten System – also die Meldung „fälschlicherweise als illegal eingestufter Inhalte“ – die Strafverfolgung auch überlasten könnten und die Verfolgung realer Straftaten belasten kann. Die Datenschützer sprechen auch von „falschen Positiven“.

Frankreich würde auch gerne die bestehende Chatkontrolle einfach verlängern. Die Kroaten sind ebenfalls Hardliner, die sowohl Grooming als auch E2EE miteinbeziehen wollen. Italien will Grooming und Audiokommunikation noch ausschließen. Aber es geht dabei oft auch nur um die technische Machbarkeit: Kann man Grooming überhaupt angemessen mit KI feststellen? Eine Überprüfungsklausel scheint schon fast Konsens zu sein: Je nach Entwicklung der Technik, will man sich die verschiedenen Themen in den kommenden Jahren wieder vornehmen und neu beschließen.

Der Juristische Dienst des Rates hielt fest, dass der „Zugang zur Kommunikation potentiell aller Nutzer“ das eigentliche Problem sei. Das Client-Side-Scanning (CSS) sei immer ein Verstoß gegen die Menschenrechte, eine Schwächung der Verschlüsselung (E2EE) sei nur „in konkreten Einzelfällen“ zu legitimieren – also keineswegs massenhaft und anlasslos. Die Franzosen fragten daraufhin ganz unverblümt: CSS breche doch die E2EE nicht, es berühre sie ja gar nicht. Aber leider würde es die Nutzer noch weit stärker berühren, wenn staatliche Behörden anlasslos direkt auf ihre Geräte zugreifen könnten. Das würde eine Verschlüsselung von Daten grundlegend sinnlos machen.

Der Juristische Dienst beharrte: Es gehe um die Vertraulichkeit von Information – im Grunde jeder privaten Kommunikation, wie die deutsche Debatte über den Lauschangriff in Erinnerung rufen könnte. Aber diese Bedenken scheinen heute weit weg zu sein. Der Druck durch steigende Kriminalität und deren von den Bürgern geforderte Verfolgung scheint einerseits zu groß, andererseits wissen zumal die Franzosen offenbar, dass die hier eingeführten Überwachungstechniken dereinst zu vielem nützlich sein können. Auch Aufständen, die man heute noch vor allem aus den Banlieues fürchten muss und die sich durch TikTok und verwandte Dienste leicht ausbreiten können, könnte man so begegnen. Schafft die sich verschlechternde innere Sicherheit am Ende einen so hohen Handlungsdruck, dass immer mehr Bürger der eigenen Überwachung zustimmen werden oder so etwas geschehen lassen? Im Grunde ist das nicht die Frage. Denn die EU macht so etwas ja gerade *ohne* die Befragung der Bürger möglich. Man muss also nicht nach demokratischen Mehrheiten suchen.