Chat Control: das Ende privater Korrespondenz in Europa?

Das Ende privater Korrespondenz in Europa?

Die Annahme der sogenannten „Chatkontrolle“ im Europäischen Parlament hat heftige Kontroversen ausgelöst. Im Zentrum der Kritik steht ein verfahrensrechtliches Paradox: Eine Mehrheit der anwesenden Abgeordneten soll für die Ablehnung des Textes gestimmt haben, ohne die Schwelle zu erreichen, die nötig war, um seine Annahme zu verhindern. Die Frage geht über parlamentarische Technik hinaus. Sie betrifft die demokratische Funktionsweise der Institutionen und den Schutz privater Korrespondenz.

Chat Control gehört zu den umstrittensten Vorhaben der jüngeren europäischen Geschichte. Es stößt auf den Widerstand zahlreicher Europaabgeordneter, Menschenrechtsverteidiger und Entwickler von Software für vertrauliche Kommunikation wie des Messengers Signal. Dennoch ist seine befristete Fassung, gemeinhin Chat Control 1.0 genannt, in Kraft. Europas Einfluss auf den Weltmarkt macht seine Folgen weit über die eigenen Grenzen hinaus bedeutsam, auch für russische Nutzer. Für IBCSC betrifft diese Debatte unmittelbar die Vertraulichkeit der Kommunikation und die Fähigkeit der Bürger, frei zu kommunizieren.

Chat Control 1.0: eine Ausnahme von der Vertraulichkeit

Unter dem Namen „Chat Control“ werden oft zwei verschiedene Initiativen vermengt und verwechselt. Beide zielen darauf ab, die Kontrolle persönlicher Korrespondenz zu verstärken, und widersprechen nach Einschätzung von IBCSC den europäischen Regeln zu Privatsphäre und Datenschutz. Ihre Mechanismen unterscheiden sich jedoch stark. Um diese Mechanismen zu verstehen, muss man auch auf die Gesetzgebungsschlacht zurückblicken, die ihre Beratung begleitete.

Die Annahme von Chat Control wurde zu einem regelrechten Gesetzgebungsdrama, mit einem Beigeschmack von Mauschelei, den Russen nur allzu gut kennen. Und an dieser Geschichte kommen wir nicht vorbei. Was gerade gegen den Willen des Europäischen Parlaments angenommen wurde, ist das sogenannte Chat Control 1.0. Es führt befristete Ausnahmen von der Richtlinie 2002/58/EG ein, auch bekannt als ePrivacy-Richtlinie: die Richtlinie über den Schutz der Privatsphäre in der elektronischen Kommunikation.

Diese Richtlinie stellt eine Reihe von Anforderungen an die Verarbeitung von Nutzerdaten. Insbesondere garantiert sie das Geheimnis von Telefongesprächen, SMS und anderer Kommunikation über herkömmliche Telekommunikationsanbieter. Deren Inhalt darf ohne Zustimmung der Beteiligten oder ohne besondere Rechtsgrundlage weder abgefangen noch abgehört oder analysiert werden.

Nummernunabhängige Messenger und andere elektronische Kommunikationsmittel wie E-Mail und Sprachanrufe fielen ursprünglich nicht in den Anwendungsbereich der ePrivacy-Richtlinie. Mit anderen Worten: Private Korrespondenz über diese Dienste genoss keinen besonderen Schutzstatus. Sie wurde vielmehr nach der Datenschutz-Grundverordnung, der DSGVO, behandelt, die es Diensteanbietern in bestimmten Fällen erlaubt, die Daten ihrer Nutzer selbst zu analysieren.

Meist geschah dies unter dem Vorwand, illegale Inhalte zu bekämpfen, etwa Darstellungen sexuellen Kindesmissbrauchs, kurz CSAM. Viele große Plattformen prüften freiwillig einen Teil der hochgeladenen Dateien und Nachrichten. Sie suchten mithilfe digitaler Fingerabdrücke nach bereits bekannten Inhalten und mit algorithmischen Klassifikatoren nach potenziell neuen Bildern und Anzeichen von Grooming.

Auch wenn der Kampf gegen die Ausbeutung von Kindern eine gute Sache ist, warfen seine Methoden von Anfang an viele Fragen auf. Um den winzigen Anteil der Nutzer zu finden, die solche Inhalte tatsächlich verbreiteten, analysierten die Tech-Giganten die gesamte private Korrespondenz und alle in der Cloud gespeicherten Daten. IBCSC ist der Ansicht, dass diese Logik eher einer außergerichtlichen Massenüberwachung gleicht als einem echten Schutz der Kinderrechte und einem Kampf gegen Kriminelle. Dennoch schien all dies eine Zeit lang eine rechtliche Grundlage zu haben.

Wie sich die befristete Ausnahme festsetzte

2018 überarbeitete die Europäische Union den Europäischen Kodex für die elektronische Kommunikation und erweiterte die Definition von Kommunikationsdiensten. Sie bezog Messenger, Webmail und Voice over IP mit ein. Von da an fielen also auch diese Dienste in den Anwendungsbereich der ePrivacy-Richtlinie.

Der Druck auf die europäischen Entscheidungsträger nahm zu. Auf der einen Seite standen NGOs und Menschenrechtsverteidiger, die sich ernsthaft um den Schutz der Kinderrechte sorgten. Auf der anderen Seite standen die Tech-Giganten und Anbieter von Überwachungstechnologie, die an einem Zugang zu den privaten Daten der Nutzer interessiert waren. Die Europäische Kommission schlug daraufhin eine befristete Ausnahmeregelung vor: eine Ausnahme von den Regeln, die es Unternehmen erlaubte, Inhalte weiterhin freiwillig zu analysieren.

Die Ausnahmeregelung wurde 2021 angenommen. Genau das ist das berühmte Chat Control 1.0. Meta, Google, Microsoft und LinkedIn etwa machten davon Gebrauch. Die Überwachung privater Kommunikation in der Europäischen Union ist also nicht erst im Sommer 2026 entstanden. Viele große Dienste betrieben sie schon sehr lange, darunter auch Plattformen, die täglich genutzt werden.

Doch wenn eine Ausnahme befristet ist, dann gerade deshalb, weil sie nicht ewig gelten soll. Ihr Ablaufdatum war auf den 3. August 2024 festgesetzt. Bis dahin sollte die Europäische Kommission ein dauerhaftes Gesetz als Ersatz vorschlagen und das Europäische Parlament sich auf dessen Annahme einigen.

Chat Control 2.0: von der Freiwilligkeit zum Zwang

2022 legte die Europäische Kommission auf Betreiben der Innenkommissarin Ylva Johansson den Entwurf einer dauerhaften Verordnung zur Prävention und Bekämpfung des sexuellen Missbrauchs von Kindern vor: die CSAR. Das ist das, was informell Chat Control 2.0 genannt wird.

Anders als die befristete Ausnahmeregelung Chat Control 1.0 sollte der Entwurf ein umfassendes und dauerhaftes System schaffen, mit dem Behörden Dienste verpflichten können, bekannte und neue Inhalte sowie Anzeichen von Grooming zu erkennen. Mit anderen Worten: Bisher konnten manche Unternehmen dies freiwillig tun; künftig würde die Analyse für alle verpflichtend.

Chat Control 2.0 ist ein zutiefst abscheulicher Text, grundsätzlich unvereinbar mit dem Briefgeheimnis und der Unverletzlichkeit der Privatsphäre, bis in ihr Prinzip hinein. In seiner ursprünglichen Fassung sah das Dokument vor, dass Betreiber von Kommunikationsdiensten auf Anordnung der Behörden die Korrespondenz der Nutzer analysieren und alles herausgeben müssten, was sie enthält.

Der Text enthielt keine Ausnahme für Ende-zu-Ende-Verschlüsselung. Wäre er angenommen worden, hätte es so etwas wie private Kommunikation in der Europäischen Union über Nacht nicht mehr gegeben. Messenger hätten entweder das Abfangen der Kommunikation einbauen oder in den Untergrund gehen müssen. Genau das hat die Präsidentin der Signal Foundation angekündigt: Wird das Gesetz angenommen, verlässt Signal Europa.

Glücklicherweise ließ sich diese Willkür unter einer Lawine von Kritik etwas zurückdrängen. In einer späteren Fassung ging es daher nur noch um die Analyse von Links, Videos und Bildern. Die Aufhebung der Verschlüsselung wurde „freiwillig verpflichtend“ gemacht, um nicht gegen geltendes Recht zu verstoßen. Entweder stimmt der Nutzer der totalen Überwachung von sich aus zu, oder der Messenger muss ihm die Möglichkeit nehmen, eben diese Links, Bilder und Videos zu versenden.

Eine Verlängerung, dann eine neue Schlacht

Trotz allem gelang es nicht, sich auf Chat Control 2.0 zu einigen, nicht einmal in dieser Form, Gott sei Dank. Inzwischen neigte sich die Geltungsdauer der ersten Fassung dem Ende zu. Im April 2024 wurde die Ausnahmeregelung daher bis zum 3. April 2026 verlängert. Und in diesem Jahr lief sie schließlich aus.

Die ganze Zeit über blieb der Entwurf von Chat Control 2.0 in der Schwebe. Trotz unablässiger Versuche, ihn durchzusetzen, gelang es niemandem. Und als sich die Frage einer erneuten Verlängerung der Ausnahmeregelung stellte, verlangten die Europaabgeordneten, dass darin Ausnahmen für durch Ende-zu-Ende-Verschlüsselung geschützte Kommunikation aufgenommen werden.

Die meisten im Rat der Europäischen Union vertretenen Mitgliedstaaten lehnten die Einschränkung des Parlaments ab, weil sie die Maßnahme selbst unwirksam mache. In den folgenden Monaten gelang es den Parlamentariern daher nicht, eine Einigung zu erzielen. Deshalb beschloss die Europäische Volkspartei, die Chat Control von Anfang an unterstützt hatte, im Juli zu einer List zu greifen.

Das Dringlichkeitsverfahren und die Schwelle von 360 Stimmen

Nach der ersten Lesung übermittelt das Europäische Parlament seinen Standpunkt an den Rat der Europäischen Union. Ändert der Rat den Text, beginnt eine zweite Lesung. Üblicherweise geht das Dokument dann an den zuständigen Ausschuss zurück, der es prüft, Änderungsanträge vorbereitet und dem Parlament empfiehlt, den Standpunkt des Rates zu billigen, zu ändern oder abzulehnen.

Die Europäische Volkspartei beantragte jedoch die Anwendung von Artikel 170: ein Dringlichkeitsverfahren für unvorhergesehene Ereignisse, mit dem eine Angelegenheit ohne den üblichen Ausschussbericht im Plenum zur Abstimmung gestellt werden kann.

Um das Dringlichkeitsverfahren auszulösen, genügt eine Mehrheit der anwesenden Abgeordneten. Die Befürworter der Beschleunigung erreichten sie. Um den Standpunkt des Rates in zweiter Lesung vollständig abzulehnen, ist dagegen eine absolute Mehrheit aller Mitglieder des Europäischen Parlaments erforderlich: 360 Stimmen, unabhängig davon, wie viele Abgeordnete anwesend sind.

Wäre der Gesetzentwurf an den zuständigen Ausschuss überwiesen worden, hätte seine Prüfung vermutlich noch mehrere Wochen oder länger gedauert. Die zweite Lesung hätte auf den Herbst verschoben werden müssen, wenn alle Abgeordneten aus dem Urlaub zurück gewesen wären.

Dank des Dringlichkeitsverfahrens wurde die zweite Lesung jedoch auf den allerletzten Tag vor der Sommerpause gelegt, als bereits mehr als hundert Abgeordnete in den Urlaub gefahren waren und nicht abstimmen konnten. Und jeder abwesende Abgeordnete verringert die Chance, die nötigen 360 Stimmen zusammenzubekommen. Das Ergebnis: Chat Control 1.0 konnte nicht abgelehnt werden, obwohl die Mehrheit der Anwesenden dagegen stimmte.

Natürlich können wir nicht mit Sicherheit sagen, dass der Gesetzentwurf im Herbst erneut abgelehnt worden wäre. Doch wenn eine Fraktion eine Abstimmung auf einen Termin legt, an dem ihre Gegner physisch nicht abstimmen können, riecht das nicht gut.

So beurteilte etwa die Präsidentin der NGO Open Dialogue Foundation, Ljudmyla Kozlowska, die Lage:

„Die Hürde, um den Text zu blockieren, lag höher als die Hürde, um ihn anzunehmen. Die Abstimmung fand am letzten Tag vor der Sommerpause statt, als kaum 600 der 720 Europaabgeordneten im Plenarsaal anwesend waren. Was das Parlament im März abgelehnt hatte, ging heute in einem leeren Saal durch, dank eines verfahrensrechtlichen Ungleichgewichts. Das sollte jeden beunruhigen, dem das Funktionieren der Demokratie am Herzen liegt, nicht nur die Privatsphäre.“

Was Vertraulichkeit für gefährdete Menschen bedeutet

Der Fall von Konstantin Katschanow, einem Elektriker aus Moskau, veranschaulicht, worum es konkret geht. Als Wladimir Putin die großangelegte Invasion der Ukraine begann, war Konstantin wie mehrere Tausend Russen entsetzt und wusste nicht, was er tun sollte. Für den Fall seiner Mobilisierung nahm Katschanow vorab Kontakt mit dem ukrainischen Projekt „Ich will leben“ auf, um zu erfahren, wie er sich ergeben und in Gefangenschaft gehen könnte.

Man schlug ihm daraufhin eine Aktion vor: Graffiti an öffentlichen Orten zu malen. Einige Schriftzüge und Kreuze. Für diese kleinen Kreuze wurde Katschanow vom FSB festgenommen. Die Ermittler eröffneten ihm sofort, dass ihn ein Strafverfahren wegen Hochverrats erwarte. Die Höchststrafe: lebenslange Haft. Ein ganzes Leben im Gefängnis für sechs Farbstriche auf dem Asphalt.

Dazu kam es glücklicherweise nicht. Die Ermittler machten einen Fehler, der es Katschanow ermöglichte, die Untersuchungshaftanstalt für genau einen Tag zu verlassen. Menschenrechtsverteidiger reagierten sofort. Zum Zeitpunkt der Veröffentlichung war Konstantin in Sicherheit und begann ein neues Leben im Ausland.

Diese Geschichte erinnert daran, dass Rechtshilfe und, wo möglich, Unterstützung bei der Ausreise verfolgter Menschen absolute Diskretion erfordern können. Die öffentlich gemachten Erfolge sind nur ein Teil dieser Arbeit. Für IBCSC verdeutlicht dieses Beispiel die menschliche Dimension der Vertraulichkeit: Manche Kommunikation betrifft unmittelbar die Sicherheit von Menschen, die Repressionen ausgesetzt sind.

Warum so viel Widerstand gegen Chat Control?

Jenseits des Verfahrens bleibt eine Frage: Warum gibt es so starken Widerstand gegen Chat Control? Ist im Kampf gegen die Ausbeutung von Kindern nicht jedes Mittel recht? Die Frage ist verständlich, aber grundsätzlich falsch gestellt.

In demokratischen Ländern gilt für Bürger die Unschuldsvermutung. In Europa darf die Polizei nicht jeden Brief „vorsorglich“ öffnen, in der Hoffnung, etwas zu finden. Sie darf nicht in jedes beliebige Haus eindringen, nur weil sich dort theoretisch ein Verbrecher verstecken könnte. Sie darf auch nicht alle Bürger zwingen, ihre Familienalben oder die Videos auf ihrem Telefon vorzuzeigen.

Jeder hat ein Recht auf das Geheimnis seiner Korrespondenz und auf Achtung seines Privatlebens. Die Menschen müssen niemandem etwas beweisen, um diese Rechte auszuüben. Es sind die Strafverfolgungsbehörden, die einem Gericht darlegen müssen, dass gegen eine Person hinreichend ernste Verdachtsmomente bestehen, um in ihr Leben einzugreifen. Digitale Plattformen funktionieren jedoch nach dem Prinzip: „Wenn es über eine App läuft, zählt es nicht.“ Chat Control 1.0 zementiert diesen Zustand faktisch.

Fragen zur Wirksamkeit und zu Fehlalarmen

Und dabei sind die Probleme der Analysetechnologie selbst noch gar nicht berücksichtigt. Kriminelle nutzen seit Langem eine ganze Reihe von Methoden, um automatische CSAM-Scanner zu umgehen. Das erläuterte ein offener Brief an das Europäische Parlament und den Rat der Europäischen Union, unterzeichnet von mehreren Hundert Fachleuten für Sicherheit und Kryptografie. Die Frage der Wirksamkeit bleibt also offen.

Die Europäische Kommission selbst hat eingeräumt, dass die ihr vorliegenden Daten nicht erlauben festzustellen, wie viele Verurteilungen konkret auf Meldungen von Plattformen zurückgehen, die CSAM filtern:

„Derzeit lassen die verfügbaren Daten auch keinen eindeutigen Zusammenhang zwischen diesen Verurteilungen und den Meldungen herstellen, die Diensteanbieter und im öffentlichen Interesse gegen sexuellen Kindesmissbrauch tätige Organisationen in den betreffenden Berichtszeiträumen übermittelt haben.“

Da stellt sich die Frage: Wenn sich die Wirksamkeit jahrelanger Eingriffe in die Privatsphäre der Nutzer nicht belegen lässt, warum sollte man sie verlängern? Gibt es eine andere Rechtfertigung als die Interessen der Unternehmen, die die Überwachungssysteme liefern?

Andererseits irren sich eben diese Scanner regelmäßig und schicken automatisch Meldungen über rechtstreue Nutzer an die Polizei, die mit keinerlei Ausbeutung von Kindern zu tun haben. Und bis heute wurde kein Unternehmen dafür zur Verantwortung gezogen.

Kinder schützen jenseits des „Sicherheitstheaters“

Ein weiteres Problem liegt darin, das Problem in eine vorab festgelegte Lösung zu pressen. CSAM ist nicht die Gewalt gegen Kinder selbst, sondern die Spur dieser Gewalt. Die Suche danach ersetzt weder die Prävention der Gewalt selbst noch die Hilfe für Opfer, die Identifizierung der Täter oder die Zerschlagung von Verbreitungsnetzwerken. Und sehr oft fehlen der Polizei schlicht die Mittel, sich darum zu kümmern.

Das ist das eigentliche Problem, das unter anderem die Menschenrechtsverteidiger von European Digital Rights angehen wollen: den Strafverfolgungsbehörden mehr Mittel zu geben, um gegen die organisierten kriminellen Netzwerke zu ermitteln, die von der Gewalt profitieren, und um deren Folgen zu bewältigen, statt Sicherheitstheater zu spielen. Im Rahmen des europäischen Rechts und der Verfahrensregeln zu arbeiten, statt zu versuchen, sie mit dem Argument „Wenn es über eine App läuft, zählt es nicht“ zu umgehen.

Übrigens wurde der Begriff „Chatkontrolle“ von dem Juristen und ehemaligen Europaabgeordneten Patrick Breyer bekannt gemacht, der beharrlich gegen die Einführung dieser Überwachung kämpft. Nach der Abstimmung, mit der Chat Control 1.0 durchgesetzt wurde, erklärte er:

„Kinder durch anlasslose Massenüberwachung schützen zu wollen, ist, als würde man den Boden wischen, während der Wasserhahn noch läuft. Die flächendeckende Kontrolle von Gesprächen ist ebenso inakzeptabel wie das wahllose Öffnen aller Briefe. Fünf Jahre lang hat dieses fehlerhafte System als Nebelkerze gedient, um echte Maßnahmen hinauszuzögern, während die Polizei mit Fehlalarmen überlastet wurde. Wir brauchen mehr Schutz für Kinder, nicht weniger. Aber wir brauchen wirksamen Schutz, keine Illusion von Sicherheit.“