Chatkontrolle 2026 - wo die Verordnung steht und was auf dem Spiel steht

Worum es bei der Chatkontrolle geht

Die EU-Verordnung «zur Festlegung von Vorschriften zur Prävention und Bekämpfung des sexuellen Missbrauchs von Kindern» (kurz CSA-Verordnung oder «Chatkontrolle») soll Anbieter von Messengern und E-Mail-Diensten dazu bringen, private Nachrichten automatisiert nach verbotenem Material zu durchsuchen. Den ursprünglichen Vorschlag legte die Kommission am 11. Mai 2022 vor (amtliches Aktenzeichen 2022/0155(COD)); er sah eine Pflicht zum Durchsuchen von Nachrichten vor, ausdrücklich auch bei Ende-zu-Ende-verschlüsselten Diensten wie WhatsApp oder Signal.

Vier Jahre später ist die zentrale Frage noch offen: Soll das Scannen verpflichtend sein, freiwillig oder nur bei begründetem Verdacht? Kommission, Ministerrat und Parlament verhandeln seit Jahren im sogenannten Trilog darüber, bislang ohne Ergebnis. Trilog ist die Runde, in der sich die drei Institutionen auf einen gemeinsamen Gesetzestext einigen müssen. Für Privatpersonen und Unternehmen ist der genaue Verhandlungsstand dabei zweitrangig, wichtiger ist die technische Substanz: Was würde eine solche Vorschrift überhaupt bedeuten, unabhängig davon, wie sie am Ende heisst?

Client-Side Scanning: warum das die Verschlüsselung aushebelt

Ende-zu-Ende-Verschlüsselung bedeutet, dass nur Absender und Empfänger den Klartext sehen, der Anbieter dazwischen nicht. Wer Inhalte trotzdem auf verbotenes Material prüfen will, hat nur zwei Optionen: die Verschlüsselung im Transport aufbrechen (das geht nicht ohne Generalschlüssel) oder den Inhalt auf dem Gerät prüfen, bevor er verschlüsselt wird. Letzteres heisst Client-Side Scanning.

Der entscheidende Punkt ist technischer, nicht politischer Natur: Sobald eine dritte Instanz (die Scan-Software plus der Meldeweg dahinter) den Klartext sieht, ist der Schutz der Verschlüsselung weg. Ob die Prüfung «vor» oder «nach» der Verschlüsselung passiert, ändert daran nichts. Ein solcher Zugang lässt sich auch nicht auf einen Zweck begrenzen: Was Missbrauchsmaterial erkennt, erkennt mit einer anderen Vergleichsliste auch alles andere.

Dazu kommt die Treffsicherheit. Bekanntes Material wird über eine Art digitalen Fingerabdruck (Fachbegriff: perzeptueller Hash) mit einer Vergleichsdatenbank abgeglichen. Laut der Max-Planck-Gesellschaft lässt sich das umgehen, indem man einige wenige Pixel im Bild ändert. Unbekanntes Material und «Grooming» soll KI erkennen, mit hoher Falsch-Positiv-Rate: harmlose Strandfotos oder Bilder von Hautkrankheiten landen ebenso im Verdacht. Das Fazit der Forschenden: Eine breitere Suche bringe «mehr Überwachung, aber nicht mehr Schutz», weil Ermittler in Fehlalarmen untergehen.

Warum «freiwillig» die Substanz nicht ändert

Der Rat will ein dauerhaft freiwilliges Modell: Anbieter sollen nicht gezwungen werden, ihre Verschlüsselung zu untergraben oder zu schwächen, Ende-zu-Ende-verschlüsselte Dienste sind davon ausgenommen. Das Parlament will Scannen nur gezielt zulassen, auf konkreten Verdacht hin und richterlich bewilligt, ähnlich einem Durchsuchungsbefehl, nicht als anlasslose Durchleuchtung aller Nutzer.

Technisch ändert diese Unterscheidung wenig. Sobald die Scan-Infrastruktur auf einem Gerät existiert, egal ob sie «freiwillig» aktiviert wird oder nur «bei Verdacht», ist der Schutz durch Ende-zu-Ende-Verschlüsselung durchbrochen (siehe oben). Ob ein Anbieter das für alle Nutzer einschaltet oder nur für einzelne, entscheidet am Ende die Politik: Die Software, die den Klartext vor der Verschlüsselung mitliest, ist in beiden Fällen dieselbe.

Wie wenig stabil die Grenze zwischen «freiwillig» und «faktisch verpflichtend» in der Praxis ist, zeigt die bisherige Übergangsregel («Chatkontrolle 1.0», die freiwilliges Scannen seit 2021 erlaubt). Ein Parlamentsbeschluss vom März 2026 wollte sie auf gezieltes, richterlich bewilligtes Scannen beschränken. Im Juli 2026 wurde sie stattdessen per Eilverfahren bis 2028 verlängert, breiter gefasst als im März beschlossen, obwohl mehr Abgeordnete dagegen als dafür gestimmt hatten. Kritikerinnen nannten das Verfahren unfair, genau das Muster, vor dem Bürgerrechtsorganisationen bereits im Frühjahr gewarnt hatten: Nicht eine offene Scan-Pflicht ist die grösste Gefahr, sondern ein Verfahren, über das eine bereits ausgehandelte Einschränkung nachträglich wieder aufgeweicht wird. Auch bei der permanenten CSA-Verordnung drängen einzelne Mitgliedstaaten laut internen Dokumenten weiterhin auf anlassloses Scannen.

Was das für Verschlüsselung und für Sie bedeutet

Im aktuell verhandelten Text steht keine Pflicht, Ende-zu-Ende-Verschlüsselung aufzubrechen, und auch die im Juli bis 2028 verlängerte Übergangsregel nimmt Ende-zu-Ende-verschlüsselte Dienste ausdrücklich aus. Deshalb ist Signal vorerst im EU-Markt geblieben; Präsidentin Meredith Whittaker hatte den Rückzug aus der EU nur für den Fall eines verpflichtenden Client-Side Scannings angekündigt. Entwarnung ist das trotzdem nicht: Wie die Verlängerung im Juli gezeigt hat (siehe oben), kann sich eine Ausnahme ändern, ohne dass dafür je eine offene Mehrheit gestimmt hat. Über «Risikominderung» oder ein weiteres Eilverfahren kann die Debatte jederzeit zurückkehren.

Für Privatpersonen wie für Unternehmen zählt dieselbe strukturelle Tatsache: Wer Vertraulichkeit an eine Plattform delegiert, deren rechtliche Grundlage in Brüssel jährlich neu verhandelt wird, macht die eigene Geheimhaltung zu einer politischen Variablen. Bei Unternehmen betrifft das die Geheimhaltung von Geschäfts- und Mandatskommunikation, sobald Kunden, Tochtergesellschaften oder die genutzten Messenger-Anbieter in der EU sitzen, bei Privatpersonen die private Kommunikation über genau dieselben Dienste. Vertraulichkeit, die man nicht selbst kontrolliert, ist nur so stabil wie der nächste Kompromiss.

Was Sie jetzt tun können

1. Den Stand verfolgen, nicht das Etikett. «Freiwillig» ist im aktuellen Text kein Dauerzustand, wie die Verlängerung im Juli gezeigt hat. Der Stand des Gesetzgebungsverfahrens sagt mehr als Schlagzeilen über ein vermeintliches «Aus».
2. Vertrauliche Kommunikationswege inventarisieren. Klären Sie, welche private oder geschäftliche Kommunikation über Plattformen läuft, die einem freiwilligen Scannen ausgesetzt sein könnten, und welche echte Ende-zu-Ende-Verschlüsselung bietet.
3. Selbst betreiben, wo möglich. Kommunikation, deren Vertraulichkeit nicht von Plattform-Entscheiden abhängen soll, lässt sich auf eigener Infrastruktur betreiben: etwa Matrix, Nextcloud Talk oder ein eigener Mailserver unter Schweizer Jurisdiktion. Für Privatpersonen genügt oft schon der Wechsel zu einem quelloffenen, echt Ende-zu-Ende-verschlüsselten Messenger wie Signal oder Threema. Für Unternehmen, die selbst hosten wollen, nimmt ein gemanagter Cloudron-Betrieb auf Schweizer Servern die Updates und Backups ab; wer zuerst die Architektur und die revDSG-Anforderungen klären will, tut das in einer Datenschutz-Beratung.