Apple haftet nicht dafür, in iCloud kein CSAM gescannt zu haben

• Das Gericht befand, dass die Klage, Apple habe Darstellungen sexuellen Kindesmissbrauchs (CSAM), die Nutzer in iCloud gespeichert und geteilt hatten, nicht erkannt, auf eine Haftung als Publisher von Inhalten Dritter hinauslaufe, und erkannte daher nach Section 230 des Communications Decency Act Immunität an
• Der Einsatz von PhotoDNA oder NeuralHash sei eine Entscheidung zur Inhaltsmoderation, da er unmittelbar mit der Überwachung und Meldung von Inhalten verbunden sei; auch eine Einordnung als Konstruktionsfehler könne Section 230 daher nicht umgehen
• Selbst wenn Apple gewusst habe, dass iCloud für die Verbreitung von CSAM genutzt werden könnte, habe das keinen Einfluss auf die Immunität; wenn CSAM nicht identifiziert wurde, entstehe auch keine Meldepflicht gegenüber NCMEC
• Das Gericht wies zwar die dritte geänderte Klageschrift ab, äußerte aber die Sorge, dass das geltende Recht Opfer nicht schütze, weil es Unternehmen keine proaktive Erkennung auferlege, und erklärte, über eine Pflicht dazu müsse der Gesetzgeber entscheiden
• Eine Pflicht zum Scannen auf CSAM könnte die Privatsphäre von Millionen Menschen und die Ende-zu-Ende-Verschlüsselung beeinträchtigen; daher sollte der Staat statt einer Schwächung der Verschlüsselung vorrangig die Hersteller, Verbreiter und Downloader von CSAM aufspüren und strafrechtlich verfolgen

---

Apples Kurswechsel bei der CSAM-Erkennung

• Apple entwickelte mit NeuralHash eine eigene Technologie, statt mit PhotoDNA Dateien zu prüfen, die Nutzer in privaten iCloud-Speicher hochladen; später gab das Unternehmen seine Pläne für CSAM-Scans in der Cloud jedoch auf
• Stattdessen führte es Ende-zu-Ende-Verschlüsselung für iCloud-Dateien ein
• Dieser Kurswechsel sorgte in der Öffentlichkeit für Verwirrung, und weil Apple zuvor freiwillig einen stärker eingreifenden Ansatz demonstriert hatte, hielt auch der Druck von Regierungen und CSAM-Opfern an

Klagevorwürfe und Verfahrensstand

• Die Kläger argumentierten, dass Apples Verzicht auf die Implementierung bekannter CSAM-Erkennungsfunktionen einen Konstruktionsfehler darstelle
  • Dahinter steht die Logik, dass Apple Funktionen, die die Verbreitung bereits bekannter CSAM verhindern könnten, sicher implementieren könne, dies aber weiterhin nicht tue
• Das Gericht wies die dritte geänderte Klageschrift ab; damit ist der Fall in einem Stadium, in dem er vor das Ninth Circuit Court of Appeals gehen könnte
• Der Fall ist Amy v. Apple Inc., 2026 WL 2031817; entschieden wurde er am 13. Juli 2026 vom US-Bundesgericht für den Northern District of California
  • Die ursprüngliche Klageschrift ist ebenfalls öffentlich zugänglich

Immunität nach Section 230 des Communications Decency Act

• Die unmittelbaren Verursacher des Schadens der Kläger waren Drittnutzer, die CSAM über iCloud geteilt hatten; Apple habe eine solche Nutzung weder ausdrücklich gebilligt noch verhindert
• Die von den Klägern verlangte Pflicht würde Apple dazu verpflichten, die Verbreitung von Inhalten Dritter zu stoppen, und entstehe damit aus Apples Rolle als Publisher
• Um Haftung zu vermeiden, müsste Apple Inhalte prüfen und über ihre Verbreitung entscheiden; die verlangte Maßnahme selbst gehöre damit zur Rolle eines Publishers
• Das Gericht kam daher zu dem Schluss, dass Section 230 auf sämtliche Ansprüche der Kläger anwendbar ist und Apple vollständige Immunität genießt
• Selbst wenn man unterstelle, dass Apple etwa durch interne Textnachrichten wusste, dass iCloud-Tools für die Verbreitung von Darstellungen sexuellen Kindesmissbrauchs genutzt werden könnten, ändere die allgemeine Kenntnis des Beklagten nach geltendem Recht nichts an der Immunität nach Section 230

Auch der Einsatz von PhotoDNA ist Inhaltsmoderation

• Um ein CSAM-Erkennungstool zu betreiben, müssen Inhalte geprüft werden, um festzustellen, ob eine Datei CSAM ist
• Das von Apples Wettbewerbern genutzte PhotoDNA und Apples NeuralHash sind darauf ausgelegt, auf Unternehmensserver hochgeladene rechtsverletzende Bilder zu überwachen und zu melden
• Auch die Entscheidung, welches Tool eingesetzt wird, hängt mit Inhaltsmoderation zusammen; daher könne man Apple nicht auf Grundlage einer Designentscheidung haftbar machen, die das Unternehmen hätte treffen können
• Wenn Apple CSAM gar nicht erst identifiziert habe, gebe es auch nichts, das an NCMEC zu melden wäre, sodass kein Verstoß gegen eine Meldepflicht vorliege

Unterschied zu früheren Urteilen zur Umgehung von Section 230

• Die Kläger wollten eine neue Ausnahme anwenden, die in Doe v. Twitter anerkannt worden war, hatten damit aber keinen Erfolg
  • Twitter hätte Mängel in seiner Meldeinfrastruktur beheben können, ohne Inhalte Dritter zu überwachen oder zu entfernen
  • Apple hingegen müsste Drittinhalte mit NeuralHash oder PhotoDNA direkt überwachen, um Schutzmechanismen gegen CSAM aufzubauen
• Auch Lemmon v. Snap ist nicht anwendbar
  • Anders als in diesem Fall gibt es keinen Vorwurf, Apple habe wie ein Snapchat-Filter selbst Inhalte geschaffen und dadurch Schäden verursacht; sämtliche Ansprüche sind untrennbar mit Inhalten Dritter verbunden
• Auch eine Umgehung nach Roommates.com greift nicht
  • Denn es wurde nicht behauptet, Apple habe CSAM auf seinen Servern verändert oder erweitert

Die vom Richter beanstandete rechtliche Lücke

• Das geltende Recht hindert Unternehmen wie Apple nicht daran, Technologien zu nutzen oder zu entwickeln, die Darstellungen sexuellen Kindesmissbrauchs erkennen und melden, die auf Servern oder in der Cloud gespeichert und verbreitet werden
• Gleichzeitig gibt es kein Gesetz, das Unternehmen verpflichtet, solche Maßnahmen proaktiv umzusetzen
• Freiwillige Maßnahmen von Unternehmen allein reichen nach Auffassung des Gerichts nicht aus, um die Verbreitung von CSAM zu stoppen; wenn Apple und andere Unternehmen zu Gegenmaßnahmen verpflichtet werden sollen, müsse der Gesetzgeber dies gesetzlich festschreiben
• Ein solches Gesetz könnte allerdings für Hunderte Millionen Menschen zumindest einen gewissen Verlust an Privatsphäre bedeuten

Den Preis der Ende-zu-Ende-Verschlüsselung zahlen

• Das Urteil behandelt Verschlüsselung nur zweimal, doch bei Apples Richtungswechsel ist Ende-zu-Ende-Verschlüsselung ein zentrales Element
• Würde man CSAM-Scans in iCloud vorschreiben, müsste man die Ende-zu-Ende-Verschlüsselung für alle Nutzer und alle Zwecke aufbrechen
  • Böswillige Akteure, die private Dateien für kriminelle Zwecke abfangen wollen, könnten dies missbrauchen
  • Auch staatliche Akteure könnten in private Dateispeicher eindringen und Material verbreiten oder weaponisieren
• Sensible, private oder missbrauchsbezogene Bilder könnten ohne Einwilligung abgefangen und verbreitet werden, wodurch neue Opfer entstünden
• Ende-zu-Ende-Verschlüsselung ist keine optionale Komfortfunktion, sondern ein Kernelement der technischen Architektur, das die Sicherheit von Menschen trägt

Kollision zwischen realem Leid und geltendem Recht

• Das Urteil beruht nicht auf der Frage, ob Apples Entscheidung zum Schaden beigetragen hat, sondern darauf, ob sämtliche Ansprüche Apple als Publisher von Inhalten Dritter behandeln
• Das bedeutet jedoch nicht, dass die Opfer keinen realen und anhaltenden Schaden erlitten hätten
  • Die Opfer trugen vor, dass Szenen ihres sexuellen Missbrauchs in der Kindheit aufgenommen wurden und sie jedes Mal erneut geschädigt werden, wenn diese Bilder und Videos in iCloud wiederholt gespeichert und verbreitet werden
• Das verstärkt die Kritik, dass das Ninth Circuit Court of Appeals den Anwendungsbereich von Section 230 zu einer faktischen Immunität ausgeweitet habe, selbst wenn Internetunternehmen von illegalen Inhalten wussten oder hätten wissen müssen
• In einer Realität, in der persönliche Daten einschließlich Finanz- und Gesundheitsinformationen online gespeichert und übertragen werden, ist Privatsphäre wichtig; zugleich bleibt das Problem, dass Hersteller, Betrachter und Verbreiter von CSAM den Schutz der Privatsphäre nutzen, um Ermittlungen zu entgehen
• Im aktuellen Rechtssystem gibt es kein Mittel, um die Opfer der Sammelklage zu schützen, und sie tragen die Kollateralschäden eines ineffizienten rechtlichen Umfelds

Prioritäten der Regulierung

• Im Zentrum der Bekämpfung von CSAM steht, dass der Staat Hersteller, Verbreiter und Downloader aufspürt und strafrechtlich verfolgt
• Oberste Priorität sollte sein, sicherzustellen, dass der Staat mögliche Ermittlungen und Strafverfolgungen tatsächlich durchführt
• Die Zerstörung der Ende-zu-Ende-Verschlüsselung darf nicht zu den Regulierungsinstrumenten gehören

[GN⁺]

Hacker-News-Kommentare

• Gesetzgeber und einige andere Akteure drängen im Namen der Bekämpfung von Darstellungen sexuellen Kindesmissbrauchs (CSAM) auf Überwachung, Scans und sogar Identitätsprüfung, scheinen sich aber kaum um die Prävention von sexuellem Kindesmissbrauch (CSA) zu kümmern
  Die Bekämpfung von CSAM greift erst, nachdem Missbrauch bereits stattgefunden hat, und oft werden Menschen eher wegen Besitzes oder Verbreitung festgenommen als wegen tatsächlichen Missbrauchs; zudem wird das Feld inzwischen auf fiktionale Inhalte wie KI-generierte Geschichten und Bilder ausgeweitet. Wenn solche Technologien auf politische Äußerungen oder Material angewendet werden, das Regierungen nicht wollen, wäre das ein gravierendes Problem, und konservative Bundesstaaten könnten Pornografie sogar vollständig verbieten mit der Begründung, sie fördere Sexarbeit, Vergewaltigung und CSA
  Bei CSA selbst fehlt es an Präventionsaufklärung und Kinderschutz, und paradoxerweise setzen gerade Kirchen und Scouts, die in der Vergangenheit Missbrauchsskandale hatten, Präventionsmaßnahmen am aktivsten um. Hintergrundprüfungen halten Ersttäter oder nie ertappte Personen nicht auf, und in Registern für Sexualstraftäter stehen auch Personen, die scheinbar nichts mit CSA zu tun haben, etwa ein Bekannter, der eingetragen wurde, weil er im Morgengrauen weniger als 500 Fuß von einem Spielplatz entfernt im Freien urinierte
  Letztlich scheint es, als wolle man statt datengestützt Kinder zu schützen nur schrittweise die vom Publikum gewünschten extremen Strafen ausweiten und grobe, einfache Scheinlösungen wie Scans und Ausweispflicht für die Internetnutzung vorantreiben

  • Ich glaube nicht, dass es im Kern um CSAM geht. Auch bei vielen anderen gesellschaftlichen Themen, einschließlich Waffenbesitz, heißt es, man müsse „für die Kinder“ etwas einschränken, genehmigungspflichtig machen oder verbieten, aber bei einem datengestützten Ansatz hätte man sich auf verhaltensbezogene Gesundheitsdienste für Kinder und Suizidprävention konzentriert
    Die zur Erkennung von CSAM eingesetzte Technik kann auch urheberrechtlich geschützte Dateien oder Materialien finden, die die jeweilige Regierung nicht unterstützen. Ende-zu-Ende-Verschlüsselung (E2EE) erhöht die Kosten für Massenüberwachung erheblich, weshalb die US-Regierung sie seit 30 Jahren bekämpft
  • CSAM ist ein perfektes trojanisches Pferd zur Schwächung der Privatsphäre in allen Bereichen. Wenn Politiker oder Unternehmen unter Verweis auf den Schutz der Privatsphäre widersprechen, ist ihr Ruf schnell ruiniert
    Gleichzeitig besteht das Problem auch darin, dass tatsächliche Pädophile oft wohlhabende Leute sind, die bekannte Ferienorte besuchen
  • Das CSAM-Problem ist real und wird zugleich politisch missbraucht. Was ich bei der Zusammenarbeit mit Polizeibehörden gehört habe, ist, dass Sammlungen tendenziell wachsen und sich oft zu realen Handlungen ausweiten; auch die zuständigen Ermittler halten wegen der Auswirkungen dieser furchtbaren Verbrechen oft nicht lange durch
    Wie andere Formen sexueller Gewalt ist es ein Verbrechen aus Kontrollbedürfnis in Verbindung mit Dopamin, und Leiter in Kirchen und bei den Boy Scouts nutzten sozialen Einfluss und Macht, um von den Opfern sogar Gefügigkeit und Loyalität zu erzwingen. Die Boy-Scouts-Organisation war in bestehende Machtstrukturen wie Kirche und Polizei eingebettet, sodass es für ein elfjähriges Kind schwer war, eine angesehene lokale Persönlichkeit anzuzeigen, und Täter vermittelten ihren Opfern zudem das Gefühl, Mittäter zu sein. Selbst wenn ein Opfer vortrat, war eine Anklage oft schwierig und mit öffentlicher Beschämung verbunden, weshalb zum Schutz der Opfer häufig auf einen Deal mit Schuldeingeständnis wegen milderer Anklagepunkte hingearbeitet wurde
    Ich war zwar nicht direkt betroffen, aber der Boy-Scouts-Leiter in meiner Pfarrei war ein Serientäter, der Dutzende oder Hunderte missbraucht hatte, und später wurde mir klar, dass einige meiner Freunde mit ziemlicher Sicherheit ebenfalls Opfer gewesen waren. Alle Verantwortlichen damals haben es vertuscht
  • In Schweden soll tatsächlich ein Minority-Report-artiges Vorab-Register für potenzielle Sexualstraftäter an Kindern eingeführt werden, und ein Register für potenzielle Täter häuslicher Gewalt existiert bereits. Ich möchte dieses Land verlassen, bevor es noch schlimmer wird
  • CSA-Täter sind fast immer Personen, die man kennt, und selbst bei eindeutigen Beweisen hört man seltener von Festnahmen, weil Menschen glauben, dass diese Person so etwas unmöglich tun könnte. Der Bevölkerungsanteil, der tatsächlich Kinder missbraucht, könnte erschreckend hoch sein, aber niemand will sich dieser unbequemen Realität direkt stellen
    Vielleicht bin ich heute besonders zynisch, aber wenn ich an das denke, was Menschen erlebt haben, die ich mein ganzes Leben kenne, glaube ich, dass es sehr häufig vorkommt

• Es ist schwer nachzuvollziehen, wie man Apple nicht auf der Seite der Privatsphäre sehen kann. Perfekt ist das Unternehmen bei weitem nicht, aber im Vergleich zu anderen großen Tech-Unternehmen ist das eine andere Liga, und es wäre vielleicht sogar einfacher gewesen, solche Maßnahmen nicht umzusetzen

  • Apple hat mit clientseitigem Scannen die Büchse der Pandora geöffnet. Es hat gezeigt, dass es technisch möglich ist, und den Präzedenzfall geschaffen, dass so etwas „die Privatsphäre wahrt“; wenn man mit derselben Technik aber politische oder religiöse Gegner aufspürt und verfolgt, werden diese das kaum als Schutz ihrer Privatsphäre ansehen
    Letztlich hat Apple damit ein Vorbild geliefert, wie man behaupten kann, die Privatsphäre zu wahren, während man zugleich alle Nachrichten und Inhalte scannen kann
  • Apple steht nur dann auf der Seite der Privatsphäre, wenn es dem Marketing hilft. Um iCloud weiter als „sicher und privat“ zu vermarkten, wollte Apple clientseitiges Content-Scanning aufbauen und normalisieren
    Es ist schön, wenn Apples Interessen mit unseren übereinstimmen, aber man sollte einem Unternehmen im Wert von rund 5 Billionen Dollar keinen Altruismus zuschreiben
  • Apple ist ähnlich wie WhatsApp. Gegen staatliche Akteure kann man E2EE zwar nicht vollständig vertrauen, aber beide haben sich tatsächlich bemüht, die Welt ein wenig privater zu machen
    Auf dem Desktop gibt es brauchbares Linux, aber auf Smartphones funktionieren wegen Google bei einem Wechsel zu GrapheneOS viele Apps nicht oder gehen alle paar Monate wieder kaputt. Selbst für technisch versierte Menschen ist es sehr unbequem, die Überwachung durch Android zu verringern, und Google verschlechtert die Plattform mit jeder neuen Version
    Dank Googles „Sicherheit“ kann man auf einem 9 Jahre alten Gerät, das seit 6 Jahren keine Firmware-Updates mehr bekommt, noch Banking-Apps nutzen, auf GrapheneOS aber nicht
  • Apple hat die Online-Privatsphäre mit der bevorzugten Partitionierung von Cookie-Speichern in Safari verschlechtert. Website-Funktionen, die privates localStorage nutzen, werden benachteiligt, und Web-Apps derselben Website mit mehreren Subdomains müssen gelegentlich Daten über das Netzwerk leaken
    In Firefox und Chrome kann lokaler Zustand offline privat geteilt werden, aber meist verwendet man Cookies, um auch Safari zu unterstützen. Apple unterstützt Privatsphäre nur dann, wenn es finanziell nützt
  • Ich stimme zu, dass Apple beim Thema Privatsphäre im Vorteil ist, aber dieser Vorteil wird schwächer. Das Unternehmen beginnt, Werbetreibende in sein geschlossenes Ökosystem zu holen, und das Werbegeschäft wird zu groß, um es zu ignorieren. Es wird wohl weiter schlimmer werden, und irgendwann wird sich die Lage ändern, wenn die US-Regierung mit einem riesigen Scheck auftaucht

• Wenn dieselbe Firma sowohl die Server mit den gespeicherten Daten als auch die Anwendung betreibt und die App Closed Source ist und heruntergeladene Daten jederzeit entschlüsseln und verarbeiten kann, dann ist echte Ende-zu-Ende-Verschlüsselung nicht möglich.
  Auch Proton, MEGA usw. sind nur so lange nützlich, wie die Firma sich entscheidet, lokale Entschlüsselungsfunktionen nicht zu missbrauchen. Aus demselben Grund misstrauen manche webbasierter E2EE, bei der der Seitenbetreiber den JavaScript-Code beliebig ändern kann.

  • Neben Privacy-Marketing hilft E2EE global tätigen Unternehmen auch, Ärger zu vermeiden, wenn sie in entlegenen Regionen Vorladungen erhalten.
    NSA, GCHQ oder Mossad hätten wohl Wege, unverschlüsselte Daten abzugreifen, aber selbst proprietäre E2EE ist für die meisten Menschen nützlich. Denn das Risiko verschiebt sich von „die meisten Strafverfolgungsbehörden der Welt könnten theoretisch meine Nachrichten sehen“ zu „ich könnte zum Ziel des Mossad werden“. Das ist besonders vorteilhaft, weil die örtliche FBI-Entsprechung an meinem Wohnort sogar zu geizig ist, um auch nur eine Cellebrite-Lizenz zu kaufen.
    Auch https://www.usenix.org/system/files/1401_08-12_mickens.pdf und https://arstechnica.com/gadgets/2025/10/leaker-reveals-which... sind lesenswert. Dass Meta Scanning unterstützt und E2EE aus Facebook-Nachrichten entfernen will, ist Regulatory Capture, und Zuckerberg will das Privileg, Kinder zu „schützen“ und „unsichere“ Konkurrenten auszuschalten.
  • Das ist eine Behauptung, die das zugrunde liegende System missversteht. Es ist kein Modell, in dem der Dienstanbieter verspricht, vorhandene Daten nicht zu entschlüsseln, sondern eines, in dem er verspricht, keine neuen Schlüssel in die Vertrauenskette einzuschleusen, um später mit der Entschlüsselung beginnen zu können.
  • Problematisch wird es nur, wenn die Firma die Nutzer täuscht und die Frontend-App mit einer Backdoor versieht. Wenn die Firma von vornherein täuschend handelt, ist jede Verschlüsselungstechnik bedeutungslos.
  • Technisch ist das absolut möglich. Serverbesitz und serverseitige Übertragung von Schlüsseln sind getrennte Dinge, und die meisten E2EE-Apps betreiben sowohl Client als auch Server. Entscheidend ist, ob die Firma jemals Zugriff auf die Schlüssel hatte.
  • Bei MEGA besteht dieses Problem nicht. Wenn man sich nicht über die Website bei mega.nz anmeldet und stattdessen eine Drittanbieter-App nutzt, ist es in Ordnung; außerdem bietet MEGA ein SDK an, das sich nur schwer ohne Wissen der Nutzer kontrollieren oder manipulieren lässt.

• Das US-Recht hat das Paradox, Handlung B zu kriminalisieren, um Verbrechen A zu verhindern. Wenn A zum Beispiel tatsächlicher sexueller Missbrauch von Kindern ist, dann ist B der Besitz oder die Verbreitung von CSAM; wenn A Drogenhandel oder Steuerhinterziehung ist, dann ist B das gestückelte Abheben von Bargeld.
  Je härter man B bekämpft, desto schwerer wird es, A zu erkennen, und desto schwerer wird es auch, B als Beweis für A zu nutzen. Soweit ich weiß, kann man im Zusammenhang mit CSAM sogar dann verurteilt werden, wenn es keine reale Handlung an einer realen Person gab, sondern nur wegen Zeichnungen oder fiktiver Werke, und auch Abhebungen ohne jeden Bezug zu einer Straftat können bestraft werden.

  • In den USA gilt das zumindest bei Zeichnungen nicht unbedingt, und auch KI-generiertes CSAM dürfte vor Gericht schwer durchsetzbar sein.
    Es ist naiv, das Recht nur als „ein utilitaristisches System zur Wiedergutmachung des Schadens, den eine Person einer anderen zugefügt hat“ zu betrachten. Das träfe eher auf das Zivilrecht als auf Straftaten zu; das Strafrecht dient nicht nur der Behandlung individueller Schäden, sondern auch der Durchsetzung gesellschaftlicher Sitten und Normen. Dass Kanada sämtliches CSAM einschließlich fiktiver Darstellungen verbietet, liegt daran, dass die Gesellschaft selbst als Geschädigte betrachtet wird.
  • Ich finde nicht, dass beides gleich ist. Wenn man CSAM illegal macht, können Ermittlungsbehörden den Markt schließen und die kommerzielle Verbreitung unterbinden. Sexueller Missbrauch von Kindern an sich ist schon extrem schlimm, aber Missbrauch zum Zweck finanziellen Gewinns ist noch schwerwiegender.
  • Die Verbreitung sexueller Bilder ohne Einwilligung ist ein eigenständiger Schaden, und gesellschaftlich besteht weitgehend Einigkeit, dass sie strafbar sein sollte. Revenge Porn ist ebenfalls eine Straftat, und bei Darstellungen sexueller Ausbeutung von Kindern ist es gut, dass anders als in Fällen mit Erwachsenen Anklage erhoben werden kann, auch wenn das Kind nicht selbst Anzeige erstattet.
  • Zumindest in den USA sind fiktive Inhalte legal, selbst wenn Minderjährige sexuell dargestellt werden: https://en.wikipedia.org/wiki/Ashcroft_v._Free_Speech_Coalit...
    Es gab einige Verurteilungen auf Grundlage fiktiver Inhalte, aber meist besaßen die Angeklagten auch echtes CSAM, sodass es keinen praktischen Nutzen hatte, die Vorwürfe zu den fiktiven Bildern gesondert anzufechten.
  • Wenn mit der Abhebung die Absicht verbunden war, Meldungen über Währungstransaktionen zu umgehen, ist es strafbar, auch wenn die konkrete Art der Abhebung nicht als strukturierte Transaktion gilt. Auch der rechtliche Status fiktiver CSAM-Darstellungen wird vor Gericht weiterhin verhandelt.

• Es ist bedauerlich, dass das betroffene Kind nach Einschätzung des Richters als „Kollateralschaden“ des Privatsphärenschutzes zurückbleibt, aber Ende-zu-Ende-Verschlüsselung bedeutet, dass CSAM-Scans unmöglich sind.
  Apple versuchte als Alternative einen Scan auf dem Gerät und wurde dafür heftig kritisiert. Es ist ein unglücklicher Kompromiss, aber außer der Priorisierung der Privatsphäre scheint es keine Alternative zu geben.

  • Auch per Post kann man schreckliches Material verschicken, aber wir sind nicht so weit gegangen, dass der Staat alle Briefe liest, um nach falschem Gedankengut zu suchen.
    Nur weil es technisch möglich ist, ein flächendeckendes Überwachungsnetz zu bauen, das die Privatsphäre zerstört, heißt das nicht, dass man es bauen sollte. Hätte es vor 250 Jahren Mobiltelefone gegeben, hätten die Gründerväter der USA deren Inhalte selbstverständlich als private Dokumente betrachtet, die ohne Durchsuchungsbefehl nicht durchsucht werden dürfen.
  • Kinder werden oft als Waffe benutzt, um Privatsphäre und Meinungsfreiheit anzugreifen, und die, die das vorantreiben, sorgen sich tatsächlich nur selten um Kinder.
  • Es ist vielmehr sehr beunruhigend, dass der Richter offenbar Gesetze will, die Unternehmen dazu zwingen, die Privatsphäre der Nutzer zu verletzen. Client-Side-Scanning ist genauso gefährlich wie eine Verschlüsselungs-Backdoor, und es gibt gute Gründe dafür, dass Apple schon allein für die Prüfung kritisiert wurde: https://arxiv.org/abs/2110.07450
  • Langfristig wird das Scannen privater Kommunikation nach CSAM meiner Meinung nach nicht wirksam sein. Anfangs wird man viele Täter fassen, aber sie sind nicht dumm, werden ihre Netzwerke neu aufbauen und letztlich dazu übergehen, Inhalte auf physischen Datenträgern direkt zu übergeben.
    Die oberste Priorität sollte immer die Verhinderung der Herstellung von CSAM selbst sein. Man sollte schon in jungen Jahren umfassende Sexualaufklärung anbieten, damit Kinder Grooming erkennen und auch dann eine vertrauenswürdige erwachsene Person um Hilfe bitten können, wenn ein Familienmitglied der Täter ist. Schulen sollten verbessert werden, um Homeschooling weniger attraktiv zu machen, und man sollte auch auf soziale Isolation bei homeschooled Kindern achten sowie deutlich mehr Ressourcen in Ermittlungen vor Ort investieren.
    Das heißt nicht, dass Homeschooling gleich Kindesmissbrauch ist, sondern dass es in diesem Umfeld weniger Mechanismen gibt, Missbrauch zu erkennen.
  • Ich frage mich, ob der Richter auch dafür wäre, dass Unternehmen zufällig in Wohnungen von Menschen gehen, um deren Besitz und unangemessene Fotos präventiv zu kontrollieren. Es ist nur schwieriger umzusetzen, konzeptionell aber dasselbe.
    Es unterscheidet sich nicht von der Logik, dass es kein Problem sei, heimlich zu kontrollieren, solange niemand zu Hause ist und es deshalb niemand bemerkt.

• Ein Sieg für Privatsphäre und Freiheit.

• Als jemand, der mediaden.ca gebaut hat, habe ich lange darüber nachgedacht, aber selbst wenn Client-Side-Scanning ein klein wenig besser sein mag als Server-Side-Scanning, führen beide zur Korruption der Privatsphäre.
  Der Staat muss Kriminelle fassen, aber nicht auf Kosten aller anderen: https://mediaden.ca

• Ich meine, Apples Design scannte nicht den iCloud-Speicher, sondern prüfte auf dem Gerät in dem Moment, in dem eine Datei in iCloud hochgeladen werden sollte. Wenn das so war, wäre es mit Advanced Data Protection kompatibel, sodass Apple nicht abrupt den Kurs geändert haben muss und ADP vielleicht von Anfang an geplant war.
  Vielleicht hat Apple im Zuge der Einführung von ADP sogar die Bedenken von Regierungsbehörden vorausgesehen und NeuralHash als Mittel vorgeschlagen, um Ende-zu-Ende-Verschlüsselung zu erreichen. Das Design selbst war elegant und bot deutlich stärkeren Schutz der Privatsphäre und mehr Sicherungen als Microsoft oder Google, aber Apples Kommunikation war miserabel und löste einen enormen Backlash aus. Das heißt nicht, dass ich die Umsetzung befürworte, aber sie war deutlich besser als die Ansätze der Konkurrenz.

  • Apples iCloud-E2EE existierte schon lange vor der NeuralHash-Arbeit.
  • Verpflichtendes Client-Side-Scanning mit einer undurchsichtigen Datenbank voller nicht überprüfbarer Einträge macht einen großen Teil des Schutzes, den ADP bietet, bedeutungslos. Schon dass Apple eine solche Idee überhaupt in Betracht gezogen hat, war absurd.

• Apple hat die Reaktion auf die CSAM-Affäre sehr schlecht gehandhabt. Vielleicht hat „Hair Force One“ dadurch seinen Platz auf der Liste möglicher CEO-Nachfolger verloren.

• Ich bin kein Jurist, aber soweit ich weiß, gab es kein Problem mit dem vierten Verfassungszusatz der USA, weil das Scannen möglich war, da es nicht verpflichtend war.