AKTUELLES
Die wiedereröffnete Lücke in der Vertraulichkeit der Kommunikation: ein europäischer Fall, ein universeller Standard
23. Juli 2026 — Europäische Union / Genf (UN)
Art. 17 des Internationalen Pakts über bürgerliche und politische Rechte (ICCPR), ratifiziert von 173 Staaten, legt fest, dass niemand willkürlichen Eingriffen in seine Privatsphäre oder Korrespondenz ausgesetzt werden darf. Am 27. April 2026 veröffentlichte eine Gruppe von UN-Expert:innen, darunter die Sonderberichterstatterin für das Recht auf Privatsphäre Ana Brian Nougrères, eine gemeinsame Warnung vor den Risiken systematischer digitaler Eingriffe in bürgerliche Freiheiten. In diesem Rahmen — nicht nur einem europäischen — ist der als „Chat Control" bekannte Fall zu verorten: ein konkreter Fall eines Phänomens, das jeden Staat betrifft, der über die technischen Mittel dazu verfügt.
Fakten
In der Europäischen Union erlaubt die Verordnung 2021/1232 (in Kraft seit 3. August 2021) Anbietern unverschlüsselter Kommunikationsdienste — laut den konsultierten Quellen darunter Gmail, Facebook Messenger, Skype und Snapchat, mit Google, Meta, Microsoft und Snap unter den meistgenannten Anbietern —, Kommunikation freiwillig auf Material sexuellen Kindesmissbrauchs zu scannen. Ausdrücklich ausgenommen sind Ende-zu-Ende-verschlüsselte Dienste: WhatsApp — obwohl im Besitz von Meta —, Signal, iMessage.
Am 26. März 2026 lehnt das Europäische Parlament die Verlängerung der Ausnahme ab (311 dagegen, 228 dafür, 92 Enthaltungen); die Maßnahme läuft am 3. April aus. Schon am 19. März, vor Ablauf, unterzeichnen Snap, TikTok, LinkedIn und andere große Plattformen eine gemeinsame Erklärung mit der Forderung nach Verlängerung; am 27. März kündigt der institutionelle Blog von Google, in einem Text, der eine mit Meta, Microsoft und Snap geteilte Linie widerspiegelt, an, die Unternehmen würden das freiwillige Scannen ohnehin fortsetzen. 247 Kinderschutzorganisationen unterzeichnen einen gegenläufigen Appell zur Unterstützung der gesetzlichen Verlängerung. Am 2. Juli legt der Rat denselben bereits abgelehnten Text als formal neuen Rechtsakt erneut vor; am 7. Juli erwirkt die relative Mehrheitsfraktion des Parlaments (EVP) ein Dringlichkeitsverfahren (331 zu 304 Stimmen); am 9. Juli erhält ein erster Antrag, den Text abzulehnen, 314 Stimmen gegen 276 — einfache Mehrheit, aber unter der in zweiter Lesung erforderlichen Schwelle von 361 —, während ein Änderungsantrag zum Ausschluss Ende-zu-Ende-verschlüsselter Kommunikation mit ausreichendem Abstand angenommen wird. Am 23. Juli 2026 erteilt der Rat die endgültige Freigabe: Die Maßnahme gilt bis zum 3. April 2028.
Rechtliche Einordnung
Zahlreiche unabhängige Quellen berichten, der Juristische Dienst des Rates habe in einem Gutachten vom 10. Juni 2026 den Mechanismus — auch in seiner „freiwilligen" Form — als generalisiertes Scannen zwischenmenschlicher Kommunikation eingestuft, unvereinbar mit Art. 7 der EU-Grundrechtecharta ohne begründeten Verdacht und vorherige richterliche Genehmigung. Das Originaldokument wurde in dieser Sitzung nicht aufgefunden: Dies bleibt eine erklärte Lücke, vor jedem endgültigen Zitat an der Primärquelle des Rates zu überprüfen. Derselbe Grundsatz der Erforderlichkeit und Verhältnismäßigkeit ist auch der Standard von Art. 17 ICCPR, anwendbar weit über die EU-Grenzen hinaus. Die deutsche Bundesbeauftragte für den Datenschutz, Louisa Specht-Riemenschneider, bezeichnete die Maßnahme als Massenüberwachung „ohne Anlass", die das erklärte legitime Ziel deutlich überschreite.
Der Fall steht nicht allein. Im Vereinigten Königreich schreibt der Online Safety Act seit dem 25. Juli 2025 eine „hochwirksame" Altersverifikation für Online-Inhalte vor. In den USA zielt der EARN IT Act — mehrfach im Kongress neu eingebracht — darauf ab, Plattformen für Missbrauchsinhalte haftbar zu machen, ohne einen sicheren Hafen für Ende-zu-Ende-Verschlüsselung zu garantieren. In China und Russland arbeiten weitaus umfangreichere Mechanismen zur Kontrolle digitaler Kommunikation ohne vergleichbare öffentliche Debatte oder unabhängige Stellen, die einer Datenschutzbehörde oder einem übernationalen Gerichtshof entsprächen. Der europäische Fall ist keine isolierte Anomalie: Er ist der Punkt, an dem der Konflikt zwischen digitaler Sicherheit und Vertraulichkeit der Kommunikation am sichtbarsten und öffentlich am besten dokumentiert ist, nicht der einzige Ort, an dem er auftritt.
Implikationen
Der zur Diskussion stehende technische Mechanismus — präventives Scannen nicht verdächtiger Kommunikation, ohne individuellen Hinweis — ändert seine Natur nicht je nach erklärtem Zweck. Symmetrietest: Würde sich das Verhältnismäßigkeitsurteil ändern, wenn derselbe Mechanismus zur Bekämpfung von Terrorismus oder Desinformation vorgeschlagen würde? Wenn ja, folgt die Bewertung der Zustimmungsfähigkeit des Ziels, nicht dem juristischen Kriterium selbst — Testergebnis: Der Mechanismus hält einem Zweckwechsel nicht stand, und dies bleibt ein juristischer Befund, keine moralische Meinung.
Die Ausweitung von Überwachungsinstrumenten über ihren ursprünglichen Zweck hinaus hat konkrete, nicht hypothetische Präzedenzfälle. Die Datenbank EURODAC, geschaffen zur Identifizierung von Asylsuchenden, wurde später auch zur Terrorismusbekämpfung eingesetzt. Die EU-Vorratsdatenspeicherungsrichtlinie (2006/24/EG), eingeführt für schwere Straftaten, wurde 2014 vom Gerichtshof der EU (Rechtssachen C-293/12 und C-594/12, Digital Rights Ireland) gerade wegen fehlender ausreichender Begrenzungen von Zweck und Zugang für nichtig erklärt. Diese Präzedenzfälle beweisen nicht, dass Chat Control denselben Weg gehen wird — ein entsprechender Vorschlag steht derzeit nicht zur Debatte —, machen den Einwand zur künftigen Ausweitung seines Anwendungsbereichs aber zu einer auf einem realen Muster gegründeten Hypothese, nicht zu einer isolierten Befürchtung.
Die deutsche Position zeigt, wie wenig eindeutig die Linie eines einzelnen Staates ist. Die Regierung unterstützte aktiv die im Juli beschlossene befristete, freiwillige Verlängerung, während die Mehrheitsfraktion im Bundestag (CDU/CSU) jede Form des client-seitigen Scannens verschlüsselter Dienste in der künftigen dauerhaften Verordnung ablehnt. Die Debatte verläuft nicht zwischen geschlossenen Blöcken von Befürwortern und Gegnern, sondern zwischen freiwilligem und verpflichtendem Instrument — eine Unterscheidung, die es wert ist, im Kopf zu behalten, wenn man Schlagzeilen liest, die die Angelegenheit mit „Europa billigt Massenüberwachung" zusammenfassen.
Redaktionelle Anmerkung
Die dauerhafte Verordnung — jene, die entscheiden wird, ob Scannen zur Pflicht statt zur Wahl wird, auch für verschlüsselte Dienste — bleibt nach fünf gescheiterten Trilogen in Verhandlung; der sechste ist für den 29. September 2026 unter irischer Ratspräsidentschaft angesetzt. Dort beginnt das eigentliche Ringen.
Quellen: OHCHR (27/4/2026) · Consilium, comunicato stampa (23/7/2026) · Ansa, Il Post (9-10/7/2026) · netzpolitik.org (2/7, 9/7/2026) · Next.ink · Cyber Security 360 (17/4/2026) · CJEU, Digital Rights Ireland (2014)