Chat-Control-Vorschlag scheitert erneut trotz massiver öffentlicher Opposition

• Der Rat der Europäischen Union hat den Chat-Control-Vorschlag, der die Überwachung verschlüsselter Nachrichten verpflichtend machen sollte, erneut zurückgezogen; dies wird als Sieg für digitale Rechteorganisationen gewertet
• Der Vorschlag wollte Nachrichten durch Client-Side-Scanning(client-side scanning) vor oder nach der Verschlüsselung prüfen, wurde jedoch dafür kritisiert, die Verschlüsselung selbst strukturell zu schwächen
• Sicherheitsforscher und zivilgesellschaftliche Organisationen wiesen darauf hin, dass es „keine sichere Hintertür“ gebe, und warnten unter Verweis auf Apples Fall aus dem Jahr 2021 vor den Risiken
• Der Rückzug gilt als Beispiel dafür, dass anhaltender zivilgesellschaftlicher Druck und die Zusammenarbeit von Technikexperten politische Entscheidungen tatsächlich beeinflussen können
• Da jedoch politischer Druck und technische Missverständnisse fortbestehen, sind langfristige Maßnahmen zum Schutz von Verschlüsselung und die Entwicklung von Alternativen weiterhin nötig

---

Das wiederholte Scheitern und die Kontroverse um den Chat-Control-Vorschlag

• Der Chat-Control-Vorschlag der Europäischen Union ist ein Plan, verschlüsselte Nachrichten im großen Stil zu scannen; die dänische Ratspräsidentschaft hat ihn nun erneut zurückgezogen
  • Dies ist Teil eines fortlaufenden Konflikts zwischen Datenschutzbefürwortern und Gesetzgebern, die unter Berufung auf öffentliche Sicherheit die Verschlüsselung schwächen wollen
• Seit seiner Einführung im Jahr 2022 kehrt der Vorschlag immer wieder zurück und wurde trotz Widerstands aus Zivilgesellschaft, Fachwelt und Öffentlichkeit erneut auf die Tagesordnung gesetzt
• Die Electronic Frontier Foundation(EFF) und mehr als 80 zivilgesellschaftliche Organisationen lehnten die verpflichtende Einführung von Client-Side-Scanning unter dem Vorwand der Bekämpfung von Darstellungen sexuellen Kindesmissbrauchs entschieden ab
• Der Vorschlag behauptet wiederholt, „Schutzmechanismen für die Privatsphäre“ zu enthalten, doch Experten bewerten diese als illusorische Sicherheitsvorkehrungen
• Ein Backdoor-Zugang zu verschlüsselten Nachrichten macht das gesamte System verwundbar und birgt das Risiko, auch von böswilligen Akteuren genutzt zu werden

Die technische Unmöglichkeit von „sicherem Scanning“

• Ende-zu-Ende-Verschlüsselung(E2EE) ist so aufgebaut, dass nur Sender und Empfänger die Entschlüsselungsschlüssel besitzen; Dritte können den Inhalt der Nachrichten nicht lesen
  • Dabei handelt es sich nicht nur um ein Designmerkmal, sondern um eine auf mathematischer Gewissheit beruhende Sicherheitsarchitektur
• Client-Side-Scanning ist der Versuch, Nachrichten vor oder nach der Verschlüsselung zu analysieren, und untergräbt das Verschlüsselungsmodell grundlegend
  • Wenn das Gerät des Nutzers Nachrichten scannen kann, dann haben auch Malware oder staatliche Überwachungsprogramme grundsätzlich denselben Zugriff
• Apples Plan aus dem Jahr 2021 zur iCloud-Überprüfung von Bildern auf Kindesmissbrauch wird als Beispiel genannt, das nach heftigem Widerstand von Experten zurückgezogen wurde
• Solche Systeme können nicht ausschließlich für „gute Zwecke“ scannen; das Risiko des Missbrauchs von Sicherheitslücken ist unvermeidlich
• Überwachungstechnologien neigen dazu, über ihren ursprünglichen Zweck hinaus auf die Beobachtung politischer Opposition oder von Meinungsäußerungen ausgeweitet zu werden, was einen Präzedenzfall für den Missbrauch durch autoritäre Regime schaffen kann

Öffentlicher Druck und der Einfluss der Zivilgesellschaft

• Der erneute Rückzug gilt als Beispiel für die Bedeutung dauerhafter öffentlicher Beteiligung und technikpolitischer Kontrolle
• Anders als in der Vergangenheit beteiligten sich an dieser Debatte in großem Umfang zivilgesellschaftliche Gruppen, Tech-Unternehmen, Sicherheitsforscher und normale Bürger
• Organisationen wie EFF und European Digital Rights machten durch technische Erklärungen, juristische Analysen und öffentliche Kampagnen Millionen Menschen auf die Risiken aufmerksam
• Diese ablehnende öffentliche Stimmung schuf ein Umfeld, in dem es für Politiker schwierig wurde, den Vorschlag zu unterstützen
• Die konsequente Haltung von Technikexperten, sektorübergreifende Solidarität und anhaltender Druck werden als Schlüsselfaktoren genannt, die das Stoppen der Politikvorlage ermöglichten

Aufgaben und Alternativen zur Verbesserung der Politik

• Das wiederholte Wiederaufleben von Chat Control offenbart ein strukturelles Problem: Fehlvorstellungen von Entscheidungsträgern über Verschlüsselungstechnologien
• Einige Gesetzgeber glauben, man könne starke Verschlüsselung und staatliche Zugriffsmöglichkeiten gleichzeitig haben, doch das steht im Widerspruch zur geschlossenen Ablehnung durch die Kryptografie-Fachwelt
• Für echte Online-Sicherheit braucht es stärkere Ermittlungsfähigkeiten ohne Schwächung der Verschlüsselung sowie internationale Zusammenarbeit und gesellschaftliche Präventionsprogramme
• Tech-Unternehmen sollten statt Content-Scanning datenschutzfreundliche Sicherheitsfunktionen wie Metadatenanalyse, Nutzerhinweise und Kontobeschränkungen entwickeln
• Der Schutz von Verschlüsselung wird nicht als einmaliger Sieg verstanden, sondern als langfristige Aufgabe, die kontinuierliche Beobachtung, Aufklärung und die Entwicklung alternativer Technologien erfordert

Ausblick und die Notwendigkeit dauerhafter Wachsamkeit

• Der Rückzug von Chat Control ist nur ein vorläufiger Sieg; unter der nächsten EU-Ratspräsidentschaft könnte der Vorschlag in überarbeiteter Form zurückkehren
• Da politischer Druck und das Argument des Kinderschutzes weiterhin bestehen, ist das Risiko groß, dass ähnliche Vorschläge erneut eingebracht werden
• Dauerhafte Wachsamkeit der Privacy-Community, öffentliche Aufklärung und das Vorlegen alternativer politischer Konzepte sind unerlässlich
• Versuche, Verschlüsselung zu schwächen, verursachen größere Probleme als sie an Sicherheit schaffen, und Entscheidungsträger davon zu überzeugen bleibt die zentrale Aufgabe
• Chat Control, oft als „Zombie-Vorschlag“ bezeichnet, kann wieder auferstehen; daher ist eine langfristige Reaktion von Verfechtern digitaler Rechte erforderlich

[GN⁺]

Hacker-News-Kommentare

• Das sind wirklich erfreuliche Nachrichten
  Jetzt braucht es verfassungsrechtliche Schutzmechanismen und Systeme, die solche Vorhaben auch dann noch umgehen können, wenn sie erneut auftauchen
  Denn auch heute gibt es Regionen, in denen nur Sneakernet-Kommunikation Privatsphäre garantiert, daher brauchen wir Datenschutz-Tools für Nichtfachleute, die auch ohne ständige Verbindung funktionieren

  • Es gibt bereits Länder wie Deutschland, die solche Schutzmechanismen haben
    Chat Control könnte als Akt ideologischer Gewalt gegen die deutsche Bevölkerung betrachtet werden und wäre daher rechtswidrig
    Das Problem ist die Gleichgültigkeit der Menschen und der fehlende Wille zu handeln

• Wenn dieser Gesetzentwurf wieder auftaucht, dann wohl unter einem Namen wie Protecting Children and Countering Terrorism Act

  • Wenn Politiker ihn nach US-Art benennen, würden sie ihn vermutlich als PROTECT Act verpacken (Preventing Risks Online; Thwarting Exploitation of Children and Terrorism)
  • Ich hasse es, wie treffend diese Vorhersage ist

• Jedes Mal, wenn eine neue Version des Gesetzentwurfs erscheint, sollte man als Erstes prüfen, ob eine Ausnahmeregelung für die Regierung enthalten ist
  Wenn der Staat sich selbst von der Anwendung ausnimmt, gehört der Entwurf in genau diesem Moment direkt in den Mülleimer

• Ich frage mich, wer so etwas will und wer es so hartnäckig vorantreibt
  Es gibt Kräfte, die wissen, dass die Niederlage nur vorübergehend ist, und es deshalb immer wiederbeleben werden

  • Die NGO Thorn.org, gegründet von Ashton Kutcher, Demi Moore und anderen, ist damit verbunden
    Die Organisation verkauft ein Tool namens Safer.io, mit dem sich auf Websites CSAM-Hashes prüfen lassen
    Sie hat auch ehemalige Europol-Funktionäre beschäftigt
    Siehe dazu die Investigativrecherche von Balkan Insight
  • Tatsächlich ist das eher Rauschen aus dem langen Gesetzgebungsverfahren der EU
    Seit etwa 2021 wurde ein Paket vorgeschlagen, das Chat Control enthält, und wird seitdem immer weiter diskutiert
    Inzwischen ist es zu spät, um den Prozess noch zurückzudrehen
  • Das eigentliche Ziel ist es, anonyme Äußerungen verdächtig erscheinen zu lassen
    Politiker sind es leid, anonym verspottet zu werden, und dieses Gesetz ist ein Teil dieses Puzzles
    Vor allem politische Kräfte der Mitte in Europa treiben es voran, um ihre Stellung zu sichern

• Ich verstehe nicht, warum diese Debatte immer wieder von vorn beginnt
  Sollte es nicht einen Anreiz geben, bei der Wiederwahl unterzugehen, wenn man sich für Backdoors in Verschlüsselung einsetzt?

  • Eigentlich ist das komplizierte Gesetzgebungsverfahren der EU das Problem
    Kommission, Parlament und Rat vertreten jeweils unterschiedliche Positionen, und der Prozess ist lang und wiederholt sich ständig, deshalb taucht das Thema immer wieder in den Nachrichten auf
  • Die Wähler müssten sich stärker dafür interessieren, damit solche Versuche gestoppt werden
  • Sie müssen nur ein einziges Mal Erfolg haben, wir aber müssen es jedes Mal verhindern
    Politiker, die Lobbyeinflüssen ausgesetzt sind, halten das nicht für Zeitverschwendung
    Außerdem bleibt diesmal sogar anonym geschützt, wer das Ganze vorangetrieben hat
  • Deshalb gehen sie immer auf verdeckte Weise vor
    Unter einem Vorwand wie „Kinderschutz“ wird Verschlüsselung indirekt ausgehebelt
    Die breite Öffentlichkeit weiß nicht einmal, was Verschlüsselung oder Backdoors bedeuten, und erkennt daher das Problem nicht

• Das ist nicht bloß passiert, weil 10 % technikinteressierte Menschen Druck gemacht hätten
  Politiker nutzen dieselbe Technik und haben bei Leaks noch sehr viel mehr zu verlieren

  • Aber sie haben sich selbst eine Scan-Ausnahme eingeräumt
    Es gibt eine Klausel, wonach „EU-Politiker aufgrund beruflicher Geheimhaltungspflichten ausgenommen sein können“
    Siehe den Blogbeitrag von Nextcloud
  • Es gab auch den Fall, dass das Handy von Von der Leyen praktischerweise gelöscht wurde, bevor es als Beweismittel vor Gericht verwendet werden konnte
    Selbst wenn Leaks passieren, gibt es keine Kultur der Verantwortungsübernahme

• Vergleicht man elektronische Chats mit der Postzensur früherer Zeiten: Würden die Menschen wirklich stillhalten, wenn der Staat alle Briefe nach verbotenen Wörtern scannt?
  Bei Chats sollte es keinen Unterschied geben

  • Artikel 15 der italienischen Verfassung garantiert die Freiheit und Vertraulichkeit jeder Form von Kommunikation
    Ohne richterliche Entscheidung darf sie nicht eingeschränkt werden
    Link zum Verfassungstext
  • Auch die Verfassungen mehrerer europäischer Staaten und Artikel 8 der EMRK verbieten willkürliche Überwachung
    Das wird auch in dieser schwedischen Verfassungsbestimmung ausdrücklich festgehalten
  • Verschlüsselung lässt sich nicht teilweise brechen
  • Digitale Gespräche sind eher direkte Kommunikation im Flüsterton als Briefe
    Der Staat darf auf keinen Fall alles mitlesen
  • Das unterscheidet sich nicht davon, alle Briefe ohne Gerichtsbeschluss zu lesen
    Schon die Sammlung von Metadaten ist hinreichend eingriffsintensiv

• Die eigentliche Frage ist: Wann und in welcher Form kommt es wieder?

  • Sie müssen nur einmal gewinnen, wir aber jedes Mal
  • Wahrscheinlich wird es in ein nicht damit zusammenhängendes Gesetz hineingepackt oder still und leise verabschiedet
  • Oder es läuft bereits hinter verschlossenen Türen

• Ich habe den zynischen Gedanken: „Beim 25. Versuch klappt es vielleicht“

  • Es wirkt wie eine Endlosschleife à la while True: ProposeChatControl()

• Wenn dieser Gesetzentwurf das nächste Mal wieder auftaucht, entstehen für die Gegenkampagne vielleicht wieder neue Domainnamen