CSAR: Europäisches Parlament gegen massenhaftes Scannen privater Nachrichten

• Das Europäische Parlament hat am 22. November 2023 offiziell seine Position zum Entwurf der CSAR, der Verordnung zur Prävention und Bekämpfung sexuellen Missbrauchs von Kindern, angenommen und mit Unterstützung von sieben europäischen Fraktionen eine Richtung zugunsten des Schutzes der Menschenrechte eingeschlagen
• Die zentrale Änderung besteht darin, Unternehmen nicht zu verpflichten, private Nachrichten massenhaft zu scannen, sondern für Scanning den Maßstab eines begründeten Verdachts vorzusehen
• Juristen des Rats der EU-Mitgliedstaaten warnten, der ursprüngliche Vorschlag könne den Wesensgehalt des Rechts auf Privatsphäre verletzen; das EU-Grundrechte­recht verlangt, dass Einschränkungen von Rechten die Kriterien der Erforderlichkeit und Verhältnismäßigkeit erfüllen
• Der nächste Schritt sind nicht öffentliche Trilog-Verhandlungen (trilogue) zwischen dem Europäischen Parlament und dem Rat der EU-Mitgliedstaaten, doch der Rat hat noch keine Position mit Verhandlungsmandat, und auch die Regierungen der Mitgliedstaaten sind gespalten
• Angesichts der Europawahl im Juni 2024 müssten die Verhandlungen zwischen den Institutionen bis Anfang Februar 2024 abgeschlossen sein; ein so komplexes und sensibles Gesetz wie die CSAR noch innerhalb der laufenden politischen Amtszeit zu verabschieden, ist daher sehr schwierig

---

Annahme der CSAR-Position des Europäischen Parlaments

• Das Europäische Parlament hat am 22. November 2023 offiziell seine Position zum Entwurf der Verordnung zur Prävention und Bekämpfung sexuellen Missbrauchs von Kindern, der CSAR, angenommen
• Alle sieben europäischen Fraktionen unterstützten diese Position nachdrücklich, womit sich eines der zuletzt umstrittensten Gesetzesvorhaben der EU einen Schritt in Richtung Schutz der Menschenrechte bewegt hat
• EDRi hatte sich gegen die von der für Inneres zuständigen Organisation der EU-Exekutive 2022 vorgeschlagene Massen-Scanning- und Verschlüsselungs­schwächungsmaßnahmen der CSAR ausgesprochen
• Das Gesetzgebungsverfahren ist noch nicht abgeschlossen; offen ist, wie der Rat der EU-Mitgliedstaaten und die Europäische Kommission auf die Position des Parlaments reagieren werden

Ablehnung von Massen-Scanning und Maßstäbe der Grundrechte

• Die Position des Europäischen Parlaments ist ein politisches Signal, dass auch ein wichtiges gesellschaftliches Ziel nicht jedes Mittel rechtfertigt
• Das EU-Grundrechte­recht verlangt bei Maßnahmen, die Rechte von Menschen einschränken, die folgenden Bedingungen
  • Sie müssen zur Erreichung des verfolgten Ziels erforderlich sein
  • Sie müssen objektiv wirksam sein
  • Sie müssen so wenig eingriffsintensiv wie möglich sein
  • Ihre weitergehenden Auswirkungen müssen verhältnismäßig sein
• Nach diesen Maßstäben lehnte das Parlament Regeln ab, die Unternehmen dazu zwingen würden, private Nachrichten von Menschen massenhaft zu scannen
• Stattdessen wählte es die Anforderung, dass Scanning einen begründeten Verdacht voraussetzt
• Juristen des Rats der EU-Mitgliedstaaten hatten gewarnt, dass der ursprüngliche Vorschlag den Wesensgehalt des Rechts auf Privatsphäre verletzen könne
• Die Rechtsprechung des Gerichtshofs der EU hält daran fest, dass selbst wenn Rechte aus legitimen Gründen eingeschränkt werden können, der „wesentliche Kern“ eines Menschenrechts nicht verletzt werden darf

Widerstand aus Zivilgesellschaft und Fachkreisen

• EDRi fordert seit der Zeit vor dem ersten Vorschlag dieses Gesetzes durch DG HOME, dass auch Maßnahmen gegen das schwere Verbrechen des sexuellen Missbrauchs von Kindern mit Menschenrechtsregeln vereinbar sein müssen
• Die 10 Prinzipien von EDRi zum Schutz von Kindern im digitalen Zeitalter wurden im ursprünglichen Gesetzesvorschlag nicht berücksichtigt
• Auch die Bedenken des eigenen Prüfgremiums der Europäischen Kommission fehlten im ursprünglichen Vorschlag
• Nach der von EDRi angeführten Kampagne Stop Scanning Me warnten Tausende Menschen in ganz Europa vor den Risiken der geplanten Maßnahmen
• Wissenschaftler und Forschende weltweit sehen die vorgeschlagenen Maßnahmen als geeignet an, Verschlüsselung zu schwächen und die digitalen Informationen aller Menschen zu gefährden
• Auch andere Stakeholder wie Journalisten, junge Aktivisten, Anwälte und Gruppen von Überlebenden warnten, dass sie durch diesen Vorschlag gefährdet werden könnten

Trilog-Verhandlungen und Blockade im Rat

• Da das Europäische Parlament seine Position offiziell angenommen hat, ist es bereit, in Trilog-Verhandlungen (trilogue) einzutreten
• Ein Trilog ist eine nicht öffentliche Verhandlung zwischen Vertretern des Europäischen Parlaments und dem Rat der Regierungen der EU-Mitgliedstaaten
• Derzeit hat der Rat der EU-Mitgliedstaaten keine Position mit Verhandlungsmandat, um in den Trilog einzutreten
• Die Regierungen der EU-Mitgliedstaaten sind in dieser Frage gespalten
  • Einige Länder zeigen eine Haltung, die technische und rechtliche Realitäten nicht anerkennt
  • Viele andere Länder warnen, die EU könne keinen Blankoscheck für die Zerstörung digitaler Sicherheit, Privatsphäre und Anonymität ausstellen
• EDRi hatte die Regierungen der Mitgliedstaaten im Juli aufgefordert, keiner Position zuzustimmen, die Massenüberwachung der digitalen Privatsphäre aller Menschen eröffnet
• In Deutschland, Schweden und mehreren Regionen gingen Menschen auf die Straße und forderten ihre Regierungen auf, „Chat Control“ nicht zu akzeptieren
• Die Regierungen Deutschlands, Österreichs, Polens, Estlands und Sloweniens sollen eine harte ablehnende Haltung gegenüber dem fehlerhaften Vorschlag eingenommen haben; auch Frankreich äußerte später erhebliche Bedenken

Zeitdruck durch den Wahlkalender

• Da es keine Position des Rats gibt, befindet sich das CSAR-Gesetzgebungsverfahren derzeit in einer Sackgasse
• Die spanische Ratspräsidentschaft soll versuchen, noch vor dem Ende ihrer Amtszeit Ende Dezember 2023 eine Position durchzusetzen
• Zum Zeitpunkt der Erstellung gibt es im Rat keinen Text auf dem Verhandlungstisch und auch keine politische Einigung, der eine ausreichende Zahl von Mitgliedstaaten zugestimmt hätte
• Selbst wenn sich der Rat bald auf eine Position einigt, wäre es sehr schwierig, das Gesetz noch in der laufenden politischen Amtszeit zu verabschieden
• Im Juni 2024 findet die alle fünf Jahre abgehaltene Europawahl statt, danach werden neue EU-Kommissare ernannt
• Laut einem geleakten Dokument müssen die Verhandlungen zwischen den Gesetzgebungsorganen bis Anfang Februar 2024 abgeschlossen sein
• Selbst Trilog-Verhandlungen zu einfachen Gesetzen können mehrere Monate dauern; eine so komplexe und sensible Akte wie die CSAR in so kurzer Zeit durchzudrücken, wäre beispiellos
• Die derzeitige Sackgasse erhöht auch die Wahrscheinlichkeit, dass die aus Schweden stammende EU-Kommissarin Ylva Johansson, die politische Symbolfigur der CSAR, nicht während des gesamten Lebenszyklus dieses Vorschlags im Amt bleiben wird

Wendepunkt für den Schutz digitaler Menschenrechte

• EDRi fordert seit Langem, dass ein Gesetz zur Bekämpfung sexuellen Missbrauchs von Kindern im Internet mit dem Grundrechte­recht und objektiven Wirksamkeitsnachweisen vereinbar sein muss
• Die aktuelle Position des Europäischen Parlaments weist den Gesetzesvorstoß von DG HOME, der beide Kriterien nicht erfüllte, klar zurück
• Die nächsten Schritte sind ungewiss, doch diese Annahme gilt als großer Meilenstein beim Schutz digitaler Menschenrechte
• Ob der Rat hinter die Position des Parlaments zurückfällt, wird die weitere Richtung der CSAR bestimmen

[GN⁺]

Hacker-News-Kommentare

• Endlich geschafft. Als Nächstes braucht es einen Mechanismus, der verhindert, dass solche Versuche zur Schwächung der Sicherheit immer wieder neu aufgelegt werden.
  Sonst könnte es am Ende doch noch durchkommen, wenn eine Krise ausgenutzt wird oder die Leute ermüden.

  • Im Artikel steht auch, dass das Gesetzgebungsverfahren noch nicht abgeschlossen ist und man weiter genau beobachten muss, wie EU-Rat und Europäische Kommission reagieren.
    Um gegen solche absurden Versuche eines Eingriffs in die Privatsphäre zu kämpfen, muss man die Lobbyisten hinter dem Vorschlag sichtbar machen. Ob Zufall oder nicht: Der Prozess war nicht transparent, auch wenn einige Journalist:innen ihn dennoch untersucht haben: https://privatecitizen.press/episode/160/
  • Genau das ist der Kern. Sie versuchen es immer wieder aus einem anderen Winkel.
    In 1 oder 3 Jahren kommen sie mit einer neuen Begründung und noch mehr gekauften Politiker:innen zurück. Im schlimmsten Fall richten sie wie in den USA ein geheimes Programm ohne Aufsicht ein und machen einfach, was sie wollen.
    Ein Teil des Problems ist, dass es überhaupt keine negativen Konsequenzen gibt. Snowden hat massenhafte illegale Überwachung offengelegt, aber für Politiker und Regierungsbeamte hatte das genau null Folgen.
  • Den Mechanismus gibt es schon. Wörtlich genommen hat sich nur niemand dafür interessiert.
    Es wurden Millionen für Kampagnen ausgegeben, um auf das Thema aufmerksam zu machen und Feedback einzuholen, und trotzdem hatten die zugehörigen YouTube-Videos weniger als 100 Aufrufe.
    Statt darauf zu hoffen, dass die Menschen sich von selbst dafür interessieren, sollte man mit Einrichtungen wie Hochschulen zusammenarbeiten. Es kann nicht sein, dass alle einfach ihren Alltag leben und erst dann davon erfahren, wenn das Gesetz ratifiziert wird.
  • Die Standardstrategie bei solchen Themen ist, es 6 Monate aufzuschieben und dann erneut einzureichen.
    Endlosschleife, bis es durchgeht, und sobald sich eine nutzbare Krise ergibt, wird es sofort wieder eingebracht.
  • Das müsste wohl in die Verfassung geschrieben werden.

• Genau deshalb muss in der EU das Vetorecht der Mitgliedstaaten unbedingt erhalten bleiben.
  Der einzige Grund für den Rückzug war, dass einige Länder gesagt haben: „Dem können wir niemals zustimmen.“ Hätte man Gesetze mit einfacher Mehrheit beschlossen, hätten einige große Länder zusammen mit ein paar unter Druck gesetzten oder gekauften Staaten den Rest überstimmen können.

  • Es ist keine einfache Mehrheit, sondern eine qualifizierte Mehrheit, und die ist besser, als wenn ein einzelnes Land den gesamten Prozess blockieren kann.
    Die Polnisch-Litauische Union hat auf die harte Tour gelernt, dass es zur Lähmung des Staates führen kann, wenn jedes Sejm-Mitglied jedes Gesetz blockieren kann, bis die Nachbarn das Land unter sich aufteilen.
  • Meinst du, das Europäische Parlament hat die Klausel zum Massenscanning nur deshalb abgelehnt, weil ein Mitgliedstaat zugesagt hatte, entsprechend zu stimmen?
  • Interessanterweise hört man in der US-Politik zu Wahlmännerkollegium und Senat oft genau die gegenteilige Logik.

• Massenüberwachung ist wie die meisten absoluten Machtmittel ein Krebs der Seele. Als jemand, der E-Mails und Messenger-Nachrichten gelesen hat, weiß ich aus erster Hand, wie sehr das Menschen verdirbt.
  Ich kann ohne Zögern sagen, dass die Lage so ist wie in Elysium: „[Wegen dieser Fähigkeit] werde ich dich bis ans Ende der Erde verfolgen.“
  Aus Sicht der Strafverfolgung ist der wichtigste Punkt: Wenn das eigentliche Ziel nicht die Überwachung der gesamten Allgemeinheit ist, dann hat das Abhören der von der Allgemeinheit genutzten Kommunikationssysteme keinen Wert. Das gilt sowohl für providerseitiges Abhören als auch für clientseitiges Scanning wie Apples CSAM-AI.
  Ein böswilliger Akteur mit technischen Ressourcen oder eigenem Können würde für die Kommunikation mit Komplizen niemals solche öffentlichen Systeme verwenden. Es gibt zahllose maßgeschneiderte verdeckte Kommunikationskanäle, die von solchen Gesetzen gar nicht erfasst werden, und bei schweren Straftaten ist es sogar viel wahrscheinlicher, dass genau dort der Schwerpunkt liegt.
  [0] https://youtu.be/qUQQerrs52w?t=54

• Wie jüngste Fälle von Abhörmaßnahmen zeigen, haben Politiker am meisten zu verlieren, wenn sie Chatprotokolle an eine nicht gewählte Minderheit weiterreichen.
  Das ist ein sicherer Weg, Macht zu verlieren und zur Marionette zu werden.

  • Diejenigen, die solche Regeln machen, vergessen sicher nicht, sich selbst vom Geltungsbereich auszunehmen.
  • Sie treiben so etwas weiter voran, weil sie bereits von Geheimdiensten erpresste Marionetten sind.
    Dass niemand von denjenigen im Gefängnis landete, denen vorgeworfen wurde, Epstein habe ihnen minderjährige Mädchen zugeführt, hat einen Grund.
  • Natürlich nur, sofern sie nicht ohnehin alle unter einer Decke stecken.

• In Norwegen wurde leider ein Gesetz verabschiedet, das den Geheimdiensten erlaubt, die Metadaten sämtlichen grenzüberschreitenden Verkehrs zu lesen.
  Das ist heute praktisch unsinnig, weil fast alle Daten Grenzen überschreiten. Wenn man facebook/twitter/tiktok/gmail usw. nutzt, weiß man nicht, welche Serverinstanz an welchem geografischen Ort der jeweilige Dienstanbieter verwendet.
  Selbst wenn ein bestimmter Dienst „lokal“ ist, also Server innerhalb der Landesgrenzen nutzt, gilt das für viele andere Dienste nicht.
  Natürlich wird das mit Terrorismusbekämpfung begründet, aber Terror-bezogener Verkehr macht am gesamten Datenverkehr einen so kleinen Anteil aus, dass er faktisch bei null liegt.
  Terrorismus und Darstellungen sexuellen Kindesmissbrauchs sind die beiden Standardbegründungen, mit denen massenhaft überzogene Gesetze hereingeholt werden.

• Jetzt ist die Hälfte gewonnen.
  Der eigentliche Kampf beginnt erst jetzt. Alle Nachrichten, die die Politiker, die diesen absurden Vorschlag unterstützt haben, gesendet und empfangen haben, sollten zu öffentlichen Aufzeichnungen gemacht werden. Das öffentliche Interesse daran, Machtmissbrauch zu verhindern, steht über dem Recht auf Privatsphäre, das sie selbst offenbar nicht wertschätzen.

• Deshalb muss man weiter kryptografisch offene und sichere Apps entwickeln.
  Dann gibt es unabhängig davon, was der Staat will, keine Möglichkeit, meine Textnachrichten zu lesen.
  Das Problem ist, dass weiterhin nur Menschen mit technischem Verständnis und Sinn für Privatsphäre ihre Nachrichten verschlüsseln können. Die breite Masse wird bereitwillig folgen und weiter facebook messenger/whatsapp oder die neue „coole App des Tages“ von Big Tech voller Backdoors benutzen.

• Ein guter Tag für die Privatsphäre. Allerdings werden sie es in drei Monaten unter einem anderen Namen erneut versuchen, und dann geht es vermutlich durch.

• Vorläufig ja. Wir sehen uns beim nächsten Versuch.

• Selbst wenn Nachrichten während der Übertragung verschlüsselt sind, werden die Betreiber der meisten Plattformen Anfragen von Strafverfolgungsbehörden nachkommen.
  Sie können Nachrichten über Datenbanken, Logs oder Analysesysteme offenlegen oder etwa Keylogger installieren.
  Die meisten Leute nutzen Smartphones, und es gibt keine sichere Smartphone-Plattform. Selbst auf dem PC kann man fast nur hoffen, dass nicht irgendwo in der Kette Nachrichten abfließen.