EU ist der Wiederbelebung von Regeln zum Scannen privater Nachrichten einen Schritt näher

• Nachdem das Europäische Parlament ein Dringlichkeitsverfahren zu dem ausgelaufenen Chat Control 1.0 gebilligt hat, kommt am 9. Juli zur Abstimmung, ob Online-Plattformen private Kommunikation wieder freiwillig scannen dürfen
• Das Verfahren setzt das Gesetz nicht sofort wieder in Kraft, überspringt aber die üblichen Ausschussstufen und ermöglicht eine schnelle Behandlung eines Vorschlags, der dem im April ausgelaufenen vorläufigen Rechtsrahmen faktisch entspricht
• Die bisherige Regulation (EU) 2021/1232 ermöglichte über eine Ausnahme von der ePrivacy Directive freiwillige Scans zur Erkennung von CSAM bei Gmail, Messenger, Snapchat, iCloud Mail und anderen Diensten
• Bei der Plenarabstimmung am 9. Juli benötigen die Gegner 361 Stimmen, also die absolute Mehrheit aller Mitglieder des Europäischen Parlaments, um den Vorschlag abzulehnen oder zu ändern; scheitern sie daran, könnte der Council-Text ohne zusätzliche Schutzvorkehrungen weiterlaufen
• Die EU verfolgt derzeit gleichzeitig zwei Wege: die vorläufige Wiederherstellung des ausgelaufenen Systems freiwilliger Scans und die seit 2022 diskutierte dauerhafte Regulierung Chat Control 2.0

---

Billigung des Dringlichkeitsverfahrens und Plenarabstimmung am 9. Juli

• Das Europäische Parlament hat ein Dringlichkeitsverfahren gebilligt, um einen Gesetzentwurf beschleunigt zu behandeln, der die ausgelaufenen Regeln von „Chat Control 1.0“ wiederbeleben könnte
• Im Mittelpunkt der Abstimmung am 9. Juli steht, ob Online-Plattformen private Nutzerkommunikation wieder freiwillig scannen dürfen, um Material über sexuellen Kindesmissbrauch (CSAM) zu finden
• Die Verfahrensabstimmung wurde mit 331 Ja-Stimmen zu 304 Nein-Stimmen angenommen
• Diese Abstimmung stellt das Gesetz noch nicht wieder her, umgeht aber die üblichen Ausschussstufen, sodass ein Vorschlag schneller geprüft werden kann, der den im April ausgelaufenen vorläufigen Rechtsrahmen faktisch wiederbelebt

Rechtsgrundlage von Chat Control 1.0 und betroffene Dienste

• Die betreffende Übergangsverordnung war die Regulation (EU) 2021/1232, die eine Ausnahme von der ePrivacy Directive schuf und es Anbietern erlaubte, private Kommunikation freiwillig zur Erkennung von CSAM zu scannen
• Betroffen waren vor allem Dienste wie Gmail, Facebook Messenger, Instagram Messenger, Skype, Snapchat, iCloud Mail und Xbox messaging
• Ende-zu-Ende-verschlüsselte Dienste waren in der Regel nicht betroffen, außer wenn ein Anbieter sich dafür entschied, Client-Side-Scanning zu implementieren
• Das Europäische Parlament lehnte im März eine Verlängerung der Ausnahmeregelung ab, und nach dem Scheitern der Verhandlungen mit dem Council lief die Verordnung am 4. April 2026 aus
• Mit dem Auslaufen verschwand innerhalb des Geltungsbereichs der ePrivacy Directive die Rechtsgrundlage, auf die mehrere Plattformen für freiwillige Scans gestützt waren

Neuer Vorstoß des Council und Bedingungen für ein Durchkommen

• Der Rat der Europäischen Union treibt die Maßnahme nun in Form einer neuen Verordnung mit im Wesentlichen denselben Bestimmungen erneut voran
• Der frühere Pirate-Party-MEP Patrick Breyer sieht darin einen beispiellosen Versuch, ein Gesetz wiederzubeleben, das das Parlament bereits abgelehnt hatte
• Laut Breyers Timeline billigte der Council am 2. Juli seine Verhandlungsposition, und das Parlament beschloss, den Vorschlag noch in dieser Woche im Schnellverfahren zu prüfen
• Die Abstimmung am 9. Juli ist bindend; damit die Gegner den Vorschlag ablehnen oder ändern können, benötigen sie die absolute Mehrheit aller Mitglieder des Europäischen Parlaments, also 361 Stimmen
• Wird diese Schwelle nicht erreicht, dürfte der Council-Text ohne zusätzliche Schutzvorkehrungen des Parlaments weiterverfolgt werden

Dauerhafte Regulierung parallel zu Chat Control 2.0

• Der aktuelle Wiederbelebungsvorschlag ist getrennt von der dauerhaften Child Sexual Abuse Regulation, also Chat Control 2.0, über die seit 2022 verhandelt wird
• Dass beide Gesetzgebungsverfahren gleichzeitig laufen, macht die Debatte komplex
  • Das eine befasst sich mit der Wiederherstellung der ausgelaufenen Übergangsmaßnahme
  • Das andere soll einen dauerhaften Rahmen für die Erkennung und Meldung von CSAM schaffen
• Chat Control 2.0 steckt auch nach fünf Trilogue-Verhandlungen zwischen Parlament, Council und European Commission in einer Sackgasse
• Der zentrale Streitpunkt ist, ob Anbieter private Kommunikation in großem Umfang und ohne konkreten Verdacht scannen dürfen oder dazu verpflichtet werden können
• Besonders das Scannen bei Ende-zu-Ende-verschlüsselten Diensten bleibt ein Hauptstreitpunkt

Grundrechte, richterliche Genehmigung und Sorge vor Massenscans

• Die Verhandlungsposition des Europäischen Parlaments sieht vor, den Kreis der zu scannenden Nutzer oder Gruppen auf solche mit konkretem Verdacht auf sexuellen Kindesmissbrauch zu begrenzen und eine richterliche Genehmigung zu verlangen
• Der Council hat weiterhin weitergehende Pflichten zur Risikominderung und freiwillige Erkennungsmaßnahmen unterstützt; Kritiker meinen, dass dieser Ansatz weiterhin Massenscans begünstigen könnte
• Der Legal Service des Council soll im Juni gewarnt haben, dass auch „freiwillige“ allgemeine Scans ohne hinreichenden Verdacht und ohne vorherige richterliche Genehmigung mit Artikel 7 der EU-Grundrechtecharta kollidieren könnten
• Die EU verfolgt derzeit parallel zwei Wege
  • einen Weg zur vorläufigen Wiederherstellung des ausgelaufenen Systems freiwilliger Scans
  • einen umfassenderen und umstritteneren Weg über Verhandlungen zu einem dauerhaften Gesetz, das die Art der CSAM-Erkennung durch Online-Plattformen in der gesamten EU verändern könnte
• Die Parlamentsabstimmung am 9. Juli wird darüber entscheiden, ob der Übergangsrahmen zurückkehrt, während die Verhandlungen über die umfassendere dauerhafte Regulierung weiterlaufen

[GN⁺]

Hacker-News-Kommentare

• Die Internet Watch Foundation, die von fast allen Big-Tech-Unternehmen finanziert wird, treibt nun den nächsten Schritt des Client-Side-Scannings voran. Natürlich unter dem Vorwand, es gehe um die Kinder
  https://www.iwf.org.uk/policy-work/preventing-the-upload-of-...

  • Erstaunlich ist eher, dass man es nur als „für die Kinder“ verpackt. Würde man es einfach als Methode zur Aufspürung russischer Propaganda und rechter Extremisten verkaufen, würde sich die öffentliche Meinung wohl über Nacht drehen, und die Leute würden es am Ende noch fordern
  • Interessant. Hassrede dürfte sich clientseitig ebenfalls leicht erkennen lassen. Mein Handy lauscht ohnehin schon auf bestimmte Wörter
  • Dem Teil mit der „von fast allen Big-Tech-Unternehmen finanzierten Organisation“ stimme ich zu, und das ist wirklich unerquicklich, aber ich weiß nicht, was man dagegen tun soll. Wenn eine Non-Profit nach dem Motto „We Stop Bad Guys“ bei Unternehmen die Hand aufhält, gibt es nur zwei Optionen
    ein bisschen Geld zahlen und gute Schlagzeilen bekommen, oder nicht zahlen und dann als „Unternehmen, das die Bekämpfung der Bösen nicht unterstützt“ dastehen, woraufhin man einen 10.000-Wörter-Text schreibt, den niemand liest, obwohl er die eigentlich prinzipientreue Position erklärt. Ich hasse es, aber die erste Option ist offensichtlich rational
  • Um dieser Bewegung entgegenzutreten, wäre es wohl wirksamer, das Motiv „für die Kinder“ ernst zu nehmen, statt es komplett als Heuchelei abzutun. Wenn man eine Alternative anbieten kann, die auch diejenigen überzeugt, die Kinder tatsächlich schützen wollen, könnte man der Initiative die Grundlage entziehen
    Wenn man diese Sorge jedoch als zu 100 % unaufrichtig behandelt, drängt man selbst normale Leute eher in die Richtung, solche Kontrollen einzuführen. Das ist ein politisches Problem und muss politisch gelöst werden

• Chat Control 1.0 ist nur eine Regel, die es Organisationen wie Meta erlaubt, Nachrichten zu scannen, wenn sie das wollen. Das heißt: Facebook-Nachrichten sind gegenüber Facebook nicht privat, was ohnehin ungefähr dem entspricht, was man bereits wusste und erwartet hat
  Beunruhigend ist Chat Control 2.0, weil dort Scans verpflichtend werden und Ende-zu-Ende-Verschlüsselung verboten würde. Diese beiden Dinge hätten nicht unter derselben Marke laufen dürfen

  • Die Verwirrung ist beabsichtigt. 1.0 lässt sich leicht als unproblematisch verkaufen, und dadurch wirkt 2.0 wie ein bloßes Versions-Upgrade derselben Sache
  • Der Name „Chat Control“ ist großartig. Er deutet Einschränkung der Meinungsfreiheit an und das genaue Ergebnis, das am Ende alle treffen wird
  • Eigentlich würde ich von der EU eher erwarten, dass sie technisch so weit wie möglich einschränkt, wie solche Plattformen auf private Nachrichten zugreifen können. Das wäre die einzige Richtung, die mit den jüngeren Datenschutzgesetzen konsistent wäre
  • So werden problematische Gesetze eingeführt. Zuerst ist alles freiwillig, dann wartet man ein wenig und sagt: „Die Unternehmen tun es nicht, also müssen wir es verpflichtend machen“
    Wenn sich nur ein Wort von „dürfen“ zu „müssen“ ändert, ist es viel leichter, das Ganze durchzubringen

• Für Europäer ist es eine harte Woche. Nach Autos, die beim Fahren Gesichter aufzeichnen, dürfen jetzt auch Apps die Kommunikation belauschen

  • In Zukunft zeichnen Autos vielleicht nicht nur Gesichter auf, sondern hören auch auf Hassrede. Die meisten Autos haben SOS- und GPS-Module, also wäre es nur ein paar Zeilen Code, bei Beleidigungen im Wageninneren die Polizei zu benachrichtigen
  • Hat Bidens großes Infrastrukturgesetz die NHTSA nicht bereits verpflichtet, ab nächstem Jahr Regeln für Fahrerüberwachungssensoren zu erlassen? Oder wurde diese Passage gestrichen oder zurückgenommen?
  • Die Nachricht gibt es schon: https://www.tesla.com/ownersmanual/model3/en_us/GUID-EDAD116...
  • Leider zeichnen die in den letzten Jahren verkauften Autos bereits alle Bewegungen und Telemetriedaten auf und senden sie weiter

• Natürlich werden sie das tun. Man kocht den Frosch langsam, bis man die gewünschte Froschsuppe hat. Jedes Mal, wenn das Wasser ein wenig zu heiß wird, also wenn die öffentliche Wut steigt, senkt man die Temperatur kurz ab
  Alle großen Weltregionen haben dieses Problem. Ich würde gern sagen, es sei eine schiefe Ebene, aber ich bin schon hinuntergerollt und habe mir den Kopf aufgeschlagen. Spaß beiseite: Solche Eingriffe in die Privatsphäre werden weitergehen, bis ein Gesetz oder vielleicht etwas wie eine Verfassung auf Basis von Grundrechten verabschiedet wird, das solche Gesetze oder Regeln gar nicht erst zulässt

  • So etwas gibt es in der EU bereits. Die Grundrechtecharta ist bindendes Verfassungsrecht, und selbst die Juristen des Rates haben gesagt, dass CC2.0 beim CJEU wahrscheinlich aufgehoben würde, falls es verabschiedet wird
    Das Problem ist nicht das Fehlen verfassungsmäßiger Rechte, sondern dass die Verfassungsprüfung nachgelagert erfolgt. Jemand verabschiedet ein Gesetz, es gilt ein paar Jahre, der Schaden summiert sich, und erst wenn der Fall vor Gericht landet, wird es für nichtig erklärt

• Wer EU-Bürger ist, kann hier seine Vertreter kontaktieren: https://fightchatcontrol.eu/

  • Ich habe das getan, aber nur eine Person hat geantwortet

• Selbst wenn es verliert, ist das ein Terminator-Gesetz. Es wird immer wiederkommen, bis es gewinnt

  • Dann wird es auch immer wieder Anti-Terminator-Gesetze geben. Die Leute können das immer wieder vorschlagen, bis es irgendwann endgültig beendet ist. Die EU ist nicht wie die USA; dort kommen Vorschläge in beide Richtungen endlos wieder

• Es gibt so viele Open-Source-Chat-Apps; ich frage mich, was einen eigentlich daran hindern soll, den Client einfach so zu modifizieren, dass man Schlüssel auf einem separaten Weg mit einer anderen Person austauscht und dann sämtliche Kommunikation damit verschlüsselt
  Mir ist klar, dass das für große Gruppen nicht skaliert, aber die Leute, die so einen Mist vorantreiben, werden darüber doch wohl auch nachgedacht haben, oder? Oder ist das Ziel am Ende ein vollständig verriegelter PC, ähnlich wie Android oder iOS, auf dem nichts Nicht-Genehmigtes laufen darf?

  • Nichts hindert die Leute daran. Es ist nur unbequemer als andere verfügbare Optionen. Wenn ich ein Politiker wäre, der private Kommunikation abschaffen will, würde ich zuerst ein Gesetz verabschieden, das das Scannen von Kommunikation erlaubt, dann dafür sorgen, dass auch Ende-zu-Ende-verschlüsselte Nachrichten gescannt werden können, und schließlich die Nutzung von nicht scannbaren Ende-zu-Ende-Messengern verbieten
    Die Leute könnten es dann immer noch tun, aber wenn sie erwischt werden, könnten sie bestraft werden

• Das hier betrifft 1.0, und für sich genommen wirkt es okay. Im Grunde schafft es im Datenschutzrecht eine legale Ausnahme, damit Anbieter bei nicht Ende-zu-Ende-verschlüsselter Kommunikation nach CSAM scannen können
  Dienste wie Gmail oder iCloud Mail scannen Anhänge und E-Mails vermutlich bereits auf Malware und Phishing, und jetzt könnten sie eben auch Material zu Kindesmissbrauch scannen. CC 2.0 ist ein völlig anderes Biest

  • „Wir treffen eine Entscheidung, lassen sie dann liegen und schauen, was passiert. Wenn die meisten Leute nicht verstehen, was beschlossen wurde, und es keinen großen Aufruhr gibt, machen wir schrittweise weiter, bis es kein Zurück mehr gibt.“ — Jean-Claude Juncker
  • Bei einer Falsch-Positiv-Rate von 50 bis 80 % ist das trotzdem schwer hinnehmbar

• Ich frage mich, wie das in den USA gesetzlich geregelt ist. Ich dachte, Anbieter seien ohnehin schon verpflichtet, gegen die Verbreitung von CSAM vorzugehen, aber gilt das nur für öffentliche Beiträge?

• Wann tritt das eigentlich in Kraft? Ich sehe so viele Schlagzeilen dazu, dass es sich immer so anfühlt, als würde es gleich losgehen, aber ich habe nie einen Abschluss davon gesehen

  • Es war im April ausgelaufen. Nach mehreren früheren Verlängerungen war es ausgelaufen, und jetzt versucht man, es wiederzubeleben
  • Es war bereits in Kraft. Es ist ein bestehendes Gesetz, das man statt auslaufen zu lassen verlängern will
  • Seit dem 2. August 2021
    Es ist bereits in Kraft, und die EU-Mitgliedstaaten verwenden es vermutlich trotz Rechtswidrigkeit immer noch. Natürlich nur, um die Kinder zu schützen