Chatkontrolle in der EU: Was wurde beschlossen und was bedeutet das für private Nachrichten?

„Chatkontrolle“ ist kein offizieller Gesetzesname. Der Begriff wird von Kritikern und Medien für mehrere miteinander verbundene EU-Vorhaben verwendet.

Aktuell geht es um die mögliche Wiedereinführung einer befristeten Ausnahme von europäischen Regeln zur Vertraulichkeit elektronischer Kommunikation. Diese Ausnahme soll es Anbietern ermöglichen, freiwillig Technologien zur Erkennung von Darstellungen sexuellen Kindesmissbrauchs und sexueller Kontaktanbahnung gegenüber Kindern einzusetzen.

Parallel läuft ein eigenes Gesetzgebungsverfahren für eine dauerhafte EU-Verordnung. Dieser Entwurf geht wesentlich weiter und enthält unter anderem Risikobewertungen sowie mögliche behördliche Aufdeckungsanordnungen. Beide Verfahren werden häufig vermischt.

Nein.

Das Europäische Parlament hat am 9. Juli 2026 seinen geänderten Standpunkt beschlossen. Nun müssen die Mitgliedstaaten im Rat der Europäischen Union darüber entscheiden. Sie haben dafür drei Monate Zeit.

Akzeptiert der Rat nicht alle Änderungen des Parlaments, folgt ein Vermittlungsverfahren. Für Nutzer ändert sich durch die Abstimmung daher noch nichts unmittelbar.

Das Parlament hat den Weg für eine mögliche Wiedereinführung der im April 2026 ausgelaufenen Übergangsregelung freigemacht. Zugleich verlangt es Einschränkungen.

Besonders relevant ist der Schutz der Verschlüsselung: Kommunikation, bei der Ende-zu-Ende-Verschlüsselung verwendet wird oder wurde, soll nach der Position des Parlaments vom Anwendungsbereich ausgenommen bleiben. Die Mitgliedstaaten müssen dieser Fassung allerdings noch zustimmen.

Die EU-Verordnung von 2021 schuf eine befristete Ausnahme von Teilen der europäischen ePrivacy-Regeln. Anbieter bestimmter Kommunikationsdienste durften dadurch freiwillig Inhalts- und Verkehrsdaten verarbeiten, um sexuellen Kindesmissbrauch im Internet aufzudecken, zu melden und entsprechendes Material zu entfernen.

Diese Verordnung war keine allgemeine Ermächtigung für Behörden, sämtliche Kommunikation zu durchsuchen. Es handelte sich um eine rechtliche Ausnahme für freiwillige Maßnahmen privater Anbieter, verbunden mit Datenschutzauflagen.

Die Übergangsregelung endete am 3. April 2026. Parlament und Rat hatten sich zuvor nicht rechtzeitig auf eine weitere Verlängerung verständigt.

Damit entfiel die EU-weite Ausnahme, auf die Anbieter ihre freiwilligen automatisierten Erkennungsmaßnahmen stützen konnten. Andere gesetzliche Verpflichtungen, etwa die Entfernung bereits bekannter illegaler Inhalte, verschwanden dadurch nicht.

Die geplante Verlängerung soll bis April 2028 gelten. Sie könnte früher enden, falls davor eine dauerhafte EU-Verordnung in Kraft tritt.

Das Jahr 2028 ist somit ein geplantes Ablaufdatum. Es bedeutet nicht, dass danach automatisch alle verschlüsselten Chats kontrolliert werden.

Nein.

Die Ratsposition soll die ausgelaufene Ausnahme ohne rückwirkende Wirkung wiederherstellen. Maßnahmen während der Rechtslücke werden dadurch nicht automatisch nachträglich legitimiert.

Nein.

Die bisherige Verordnung betrifft sogenannte nummernunabhängige interpersonelle Kommunikationsdienste. Dazu zählen etwa Messaging-Dienste, webgestützte E-Mail-Angebote und Internet-Sprachtelefonie.

Der Begriff „Chatkontrolle“ greift deshalb etwas zu kurz. Betroffen sein können je nach Dienst auch private E-Mails, Bilder, Videos, Texte und bestimmte Verkehrsdaten.

Ja, grundsätzlich.

Die Verordnung nennt ausdrücklich webgestützte E-Mail-Dienste. Anbieter solcher Dienste könnten daher freiwillige Erkennungstechnologien einsetzen, sofern die gesetzlichen Bedingungen erfüllt sind.

Das bedeutet nicht, dass jede private E-Mail bei jedem Anbieter automatisch untersucht wird. Ob ein Unternehmen scannt, hängt bei der Übergangsregelung von seiner eigenen Entscheidung und der technischen Ausgestaltung des Dienstes ab.

Die bisherige Übergangsverordnung gilt ausdrücklich nicht für das Durchsuchen von Audiokommunikation. Daraus ergibt sich keine Erlaubnis, Telefonate oder Sprachnachrichten allgemein mitzuhören oder automatisiert zu analysieren.

Allerdings wird derzeit über einen geänderten Text verhandelt. Verbindlich ist am Ende jene Fassung, auf die sich Parlament und Rat tatsächlich einigen.

Nein.

Es sitzt niemand in einer Behörde und liest der Reihe nach sämtliche Familien-, Freundes- oder Arbeitschats. Die erste Prüfung erfolgt bei den vorgesehenen Verfahren automatisiert durch Systeme des jeweiligen Anbieters.

Der Eingriff bleibt trotzdem erheblich: Damit ein System einen Inhalt untersuchen kann, muss dieser technisch verarbeitet werden. Wird etwas markiert, kann ein Mitarbeiter den betreffenden Inhalt anschließend ansehen.

Nein.

Die Übergangsregelung verschafft Polizei, Regierungen oder der EU-Kommission keinen allgemeinen Zugang zu den Nachrichtensystemen der Anbieter.

Ein Anbieter kann einen begründeten und überprüften Verdachtsfall an nationale Strafverfolgungsbehörden oder an Organisationen melden, die im öffentlichen Interesse gegen sexuellen Kindesmissbrauch tätig sind.

Bei der aktuell behandelten Übergangsregelung geht es um freiwillige Maßnahmen. Anbieter dürfen Erkennungstechnologien einsetzen, werden dadurch aber nicht generell verpflichtet, jede Nachricht zu untersuchen.

Anders gelagert ist der Entwurf für die dauerhafte Verordnung. Dieser sieht unter bestimmten Voraussetzungen verbindliche Aufdeckungsanordnungen für einzelne Dienste oder Teile eines Dienstes vor.

Die Maßnahmen sind auf die Bekämpfung sexuellen Kindesmissbrauchs im Internet begrenzt.

Dazu zählen bekannte Darstellungen sexuellen Kindesmissbrauchs, möglicherweise neues Material sowie die sexuelle Kontaktaufnahme zu Kindern – häufig als Grooming bezeichnet. Die Verordnung nennt keine politische Meinung, Regierungskritik oder andere legale Äußerungen als Suchziel.

Bereits bekanntes Material kann mithilfe sogenannter Hashwerte erkannt werden. Dabei wird aus einer bestätigten Bild- oder Videodatei eine digitale Signatur erzeugt.

Dateien können automatisiert mit einer Datenbank solcher Signaturen verglichen werden. Gibt es eine Übereinstimmung, wird ein Treffer angezeigt. Das System sucht dabei nach bekanntem Material, ohne dessen Bedeutung jedes Mal neu beurteilen zu müssen.

Für bislang unbekanntes Material können Klassifikatoren oder Systeme des maschinellen Lernens eingesetzt werden. Sie versuchen anhand bestimmter Merkmale zu beurteilen, ob ein Inhalt möglicherweise Missbrauchsmaterial darstellt.

Diese Verfahren sind deutlich schwieriger als ein Vergleich mit bekannten Hashwerten. Ein System muss unbekannte Inhalte bewerten und kann harmlose Bilder falsch einordnen.

Bei der Erkennung von Grooming werden Texte oder Kommunikationsmuster untersucht. Die bisherige Verordnung beschränkt die Systeme auf Schlüsselindikatoren und objektiv ermittelte Risikofaktoren – etwa einen möglichen Altersunterschied und die wahrscheinliche Beteiligung eines Kindes.

Eine zuverlässige Bewertung erfordert jedoch Kontext. Ironie, Dialekt, die Beziehung zwischen den Beteiligten und kulturelle Unterschiede können die automatische Einordnung erschweren.

Nein.

Unveränderte Kopien bekannten Materials lassen sich durch Hashvergleiche vergleichsweise gezielt erkennen. Bei verändertem oder neuem Material steigt die Unsicherheit.

Besonders schwierig ist die Erkennung von Grooming. Die vom Europäischen Parlament beauftragte Studie kommt zu dem Ergebnis, dass die verfügbaren Systeme noch nicht in großem Maßstab ohne hohe Fehlerzahlen eingesetzt werden können. Viele Werkzeuge wurden vorwiegend auf englische Sprache ausgerichtet und sind für andere Sprachen und Kommunikationskulturen nicht ausreichend entwickelt.

Eine allgemein gültige Fehlerquote gibt es nicht. Sie hängt vom eingesetzten System, der Art des gesuchten Inhalts und den verwendeten Daten ab.

Die Parlamentsstudie nennt für Grooming-Technologien Experteneinschätzungen, wonach Fehlerquoten von deutlich unter fünf bis zehn Prozent schwer zu erreichen seien. Eine angegebene Genauigkeit von 88 Prozent bei einem Werkzeug war laut Studie nicht unabhängig überprüft worden.

Die Parlamentsstudie enthält dazu eine Modellrechnung: Würden bei einer Milliarde täglich ausgetauschter Nachrichten nur 0,1 Prozent fälschlich markiert, ergäbe das eine Million Fehlalarme pro Tag.

Das ist keine gemessene Fehlerzahl eines bestimmten aktuell verwendeten Systems. Die Rechnung verdeutlicht, wie eine kleine prozentuale Fehlerquote bei sehr großen Nachrichtenmengen enorme Folgen haben kann.

Nein.

Die Systeme sollen falsch positive Ergebnisse weitestmöglich begrenzen und Fehler rasch korrigieren. Eine konkrete maximal zulässige Fehlerquote enthält der Ratsentwurf nicht. Anbieter sollen ihre tatsächlichen Fehlerquoten aber offenlegen.

Nach der bisherigen Verordnung müssen Anbieter menschliche Aufsicht und erforderlichenfalls menschliches Eingreifen gewährleisten.

Bislang unbekanntes Material und mutmaßliches Grooming dürfen nicht ohne vorherige menschliche Bestätigung an Behörden oder entsprechende Organisationen gemeldet werden. Ein zunächst automatisiert markierter privater Inhalt kann daher von einem Mitarbeiter geprüft werden.

Ein begründeter und überprüfter Verdacht kann an nationale Strafverfolgungsbehörden oder an Organisationen gemeldet werden, die gegen sexuellen Kindesmissbrauch tätig sind.

Anbieter können außerdem Inhalte entfernen, Konten sperren oder einen Dienst für den betroffenen Nutzer aussetzen beziehungsweise beenden.

Unter der bisherigen Übergangsregelung melden Anbieter bestätigte Verdachtsfälle direkt an zuständige nationale Behörden oder geeignete Organisationen.

Der Entwurf für die dauerhafte Verordnung sieht zusätzlich ein eigenes EU-Zentrum vor. Dieses Zentrum soll Meldungen prüfen, offensichtlich unbegründete Meldungen aussortieren und relevante Fälle an Europol sowie nationale Strafverfolgungsbehörden weiterleiten. Dieses Zentrum gehört zum noch offenen dauerhaften Gesetzesvorhaben.

Anbieter müssen Beschwerdemechanismen einrichten. Wird ein Inhalt entfernt, ein Konto gesperrt oder ein Dienst beendet, müssen Betroffene über interne Beschwerden, Datenschutzaufsichtsbehörden und gerichtliche Rechtsmittel informiert werden.

Ein Fehlalarm kann also korrigiert werden. Bis dahin kann er dennoch erhebliche Folgen haben, etwa eine Kontosperre oder die Einsichtnahme in einen privaten Inhalt.

Nach der bisherigen Verordnung dürfen Daten nur so lange gespeichert werden, wie dies für die vorgesehenen Zwecke unbedingt erforderlich ist.

Die Höchstdauer beträgt zwölf Monate ab der Ermittlung eines Verdachts. Besteht kein Verdacht oder werden die Daten nicht mehr benötigt, müssen sie grundsätzlich früher gelöscht werden.

Ja. Nach der bisherigen Verordnung mussten Anbieter unter anderem die Zahl und den Anteil falsch positiver Ergebnisse veröffentlichen und den zuständigen Stellen melden.

Außerdem mussten sie angeben, welche Maßnahmen sie zur Begrenzung der Fehlerquote getroffen haben und welche Fehlerquote tatsächlich erreicht wurde.

Nach der aktuellen Position des Europäischen Parlaments sollen Kommunikationen ausgenommen sein, bei denen Ende-zu-Ende-Verschlüsselung verwendet wird oder wurde.

Gewöhnliche verschlüsselte Unterhaltungen über WhatsApp oder Signal wären damit von dieser Übergangsregelung nicht erfasst. Ob diese Ausnahme tatsächlich Gesetz wird, hängt noch von der Zustimmung des Rates ab.

Nach dem Standpunkt des Parlaments soll sie erhalten bleiben.

Bereits die bisherige Verordnung hält fest, dass keine Bestimmung als Verbot oder Schwächung von Ende-zu-Ende-Verschlüsselung ausgelegt werden darf. Sie bezeichnet Verschlüsselung ausdrücklich als wichtiges Instrument für Sicherheit und Vertraulichkeit.

Noch nicht in derselben Klarheit wie das Parlament.

Der Ratsentwurf untersagt eine Schwächung der Ende-zu-Ende-Verschlüsselung. Das Parlament verlangt darüber hinaus, Kommunikation auszunehmen, bei der Ende-zu-Ende-Verschlüsselung eingesetzt wird oder wurde. Über diese Änderung muss der Rat erst entscheiden.

Nein.

Bei Telegram sind nur eigens gestartete „Secret Chats“ Ende-zu-Ende-verschlüsselt. Normale Einzelchats und Gruppen sind Cloud-Chats. Sie werden verschlüsselt übertragen und auf der Telegram-Infrastruktur gespeichert, sind aber keine durchgehend Ende-zu-Ende-verschlüsselten Chats.

Telegram darf deshalb nicht pauschal gemeinsam mit Signal als vollständig Ende-zu-Ende-verschlüsselter Messenger bezeichnet werden.

Signal erklärt, dass Nachrichten und Anrufe standardmäßig Ende-zu-Ende-verschlüsselt sind. Der Dienst kann den Inhalt dieser Kommunikation daher grundsätzlich nicht im Klartext einsehen.

Nein.

Entscheidend ist die jeweilige Kommunikation oder Funktion. Ein Anbieter kann verschlüsselte Privatnachrichten anbieten und daneben unverschlüsselte Cloud-Speicher, öffentliche Beiträge oder andere Dienste betreiben.

Der Schutz eines verschlüsselten Chats bedeutet daher nicht automatisch, dass sämtliche Funktionen desselben Unternehmens außerhalb der Regelung liegen.

Nein.

Beim Client-Side-Scanning würden Inhalte direkt auf dem Smartphone oder Computer geprüft, bevor sie verschlüsselt werden.

Die aktuelle Parlamentsposition will Kommunikation ausnehmen, bei der Ende-zu-Ende-Verschlüsselung eingesetzt wird oder wurde. Damit wäre ein vorgeschalteter Scan solcher Nachrichten im Rahmen dieser Übergangsregelung ausgeschlossen. Was bei der dauerhaften Verordnung beschlossen wird, steht weiterhin offen.

Die bisherige Verordnung erklärt, dass nationale Vorschriften zum Berufsgeheimnis unberührt bleiben sollen. Genannt werden ausdrücklich Ärzte und Patienten, Journalisten und Quellen sowie Rechtsanwälte und Mandanten.

Das löst das technische Problem jedoch nicht vollständig. Ein automatisiertes System erkennt nicht zwingend, dass zwei miteinander kommunizierende Konten zu einem Arzt und Patienten oder zu einem Journalisten und seiner Quelle gehören.

Die Übergangsregelung ermöglicht freiwillige Maßnahmen privater Anbieter und schafft dafür eine begrenzte Ausnahme von bestimmten Datenschutzvorgaben.

Der Kommissionsvorschlag für eine dauerhafte Verordnung enthält wesentlich weiterreichende Instrumente. Anbieter sollen Risiken bewerten und mindern. Unter bestimmten Voraussetzungen könnten unabhängige Behörden oder Gerichte Aufdeckungsanordnungen für bestimmte Dienste erlassen. Außerdem ist ein EU-Zentrum vorgesehen.

Weil automatisierte Systeme Kommunikation untersuchen können, ohne dass gegen den einzelnen Nutzer zuvor ein konkreter Verdacht besteht.

Selbst die Verordnung von 2021 hält fest, dass freiwillige Erkennungsmaßnahmen in die Grundrechte auf Privatleben und Datenschutz aller Nutzer eingreifen. Sie warnt außerdem davor, dass dauerhafte allgemeine und unterschiedslose Überwachung gegen die Vertraulichkeit der Kommunikation verstoßen würde.

Ja.

Der Ratsentwurf hält ausdrücklich fest, dass die freiwilligen Erkennungsmaßnahmen die Grundrechte auf Privatsphäre und Datenschutz aller Nutzer berühren. Eine dauerhafte allgemeine und unterschiedslose Überwachung wäre laut Text mit der Vertraulichkeit der Kommunikation unvereinbar.

Als Beschreibung des aktuellen Beschlussstands ist er zu pauschal. Behörden erhalten keinen freien Zugriff auf sämtliche Chats. Die Übergangsregelung betrifft freiwillige Maßnahmen privater Anbieter, während Ende-zu-Ende-verschlüsselte Kommunikation nach der Parlamentsposition ausgenommen bleiben soll.

Als politische Kritik an der verdachtsunabhängigen automatisierten Verarbeitung großer Mengen privater Kommunikation ist die Sorge vor Massenüberwachung nachvollziehbar. Die beiden Aussagen sollten auseinandergehalten werden.

In der zweiten Lesung reichte eine einfache Mehrheit der abgegebenen Stimmen nicht aus, um den Standpunkt des Rates abzulehnen oder zu verändern. Dafür war eine absolute Mehrheit aller Mitglieder des Europäischen Parlaments erforderlich.

Diese absolute Mehrheit wurde nicht erreicht. Dadurch konnte das Verfahren weitergehen, obwohl sich in einer Abstimmung mehr Abgeordnete gegen die Verlängerung aussprachen als dafür.

Nein.

Die Stimmen abwesender Abgeordneter wurden nicht als Zustimmung verbucht. Ihre Abwesenheit führte aber dazu, dass sie nicht zur erforderlichen absoluten Mehrheit für eine Ablehnung beitragen konnten.

Die Formulierung, „leere Sitze seien als Ja-Stimmen gezählt worden“, beschreibt das Verfahren falsch. Politisch kann man die Auswirkung dieser Regel trotzdem kritisieren.

Das Parlament hatte eine Verlängerung zunächst abgelehnt. Nachdem keine Einigung zustande gekommen war, brachte der Rat seinen Standpunkt in die zweite Lesung ein.

Die erneute Behandlung erfolgte in einem beschleunigten Verfahren, bei dem übliche Ausschussberatungen verkürzt oder übersprungen wurden. Das war verfahrensrechtlich möglich, löste wegen des Zeitpunkts und der höheren Hürde für eine Ablehnung jedoch heftige Kritik aus.

Nein.

April 2028 ist das geplante Ende der befristeten Ausnahme. Welche Regeln danach gelten, hängt vom Ausgang der Verhandlungen über die dauerhafte Verordnung ab.

Eine automatische Einführung von Client-Side Scanning oder einer Kontrolle sämtlicher verschlüsselter Nachrichten ab 2028 wurde nicht beschlossen.

Dafür gibt es in der Übergangsregelung keinen Anhaltspunkt.

Die erlaubten Technologien sind auf die Aufdeckung sexuellen Kindesmissbrauchs und sexueller Kontaktanbahnung gegenüber Kindern beschränkt. Kritik an Regierungen, Aussagen über Migration oder andere politische Meinungen sind nicht als Suchzweck vorgesehen.

Nein.

Zwischen der Übergangsregelung zur Erkennung sexuellen Kindesmissbrauchs und dem digitalen Euro besteht kein rechtlicher oder technischer Zusammenhang.

Die Verbindung entsteht vor allem in sozialen Netzwerken, wo voneinander unabhängige EU-Vorhaben zu einer allgemeinen Erzählung über vollständige staatliche Kontrolle zusammengefügt werden.

Dafür gibt es keinerlei Beleg.

Weder die bisherige Übergangsverordnung noch der Entwurf für eine dauerhafte Regelung enthalten einen Kriegsplan, eine geplante Abschaffung von Wahlen oder eine Erfassung der Bevölkerung für militärische Zwecke. Die Behauptung wird an die Datenschutzdebatte angehängt, stammt aber nicht aus den betreffenden Gesetzestexten.

Ja.

Automatisierte Prüfungen privater Kommunikation greifen in Grundrechte ein. Fehlalarme können dazu führen, dass private Bilder von Mitarbeitern angesehen, Konten gesperrt oder unbescholtene Nutzer gemeldet werden. Bei neuem Material und bei Grooming sind die technischen Systeme deutlich unsicherer als beim Abgleich bereits bekannter Dateien.

Auch das parlamentarische Verfahren verdient Kritik. Wer die Regelung ablehnt, braucht dafür keine erfundene Verbindung zum digitalen Euro, zu Nordkorea oder zu einem Krieg im Jahr 2030.

Das Europäische Parlament hat seine Position festgelegt. Der Rat der Europäischen Union muss nun entscheiden, ob er die Änderungen akzeptiert.

Erst danach steht fest, ob die Übergangsregelung tatsächlich wieder in Kraft tritt und in welcher Fassung. Wird keine vollständige Einigung erzielt, folgt ein Vermittlungsverfahren.