„Wird nicht alles mitgelesen”: Experte erklärt Chatkontrolle

Das Europäische Parlament hat einer befristeten Ausnahmeregelung zugestimmt, die es Diensten wie Facebook, Google oder Microsoft unter bestimmten Bedingungen erlaubt, private Kommunikation automatisiert nach Hinweisen auf sexuellen Kindesmissbrauch zu durchsuchen. Für viele Menschen wirft diese Nachricht vor allem eine Frage auf, nämlich ob nun plötzlich jede private Nachricht mitgelesen wird. Umso wichtiger einzuordnen ist deshalb, was technisch tatsächlich passiert und wo aus Sicht der Cybersicherheit die eigentlichen Risiken liegen. Prof. Dr. Dennis-Kenji Kipker forscht und berät als Direktor des cyberintelligence.institute international zu Cybersicherheit, digitaler Resilienz sowie IT-Recht in China und den USA. Er ist Teil unseres Expertennetzwerks EXPERTS Circle. Worum es bei der sogenannten Chatkontrolle geht Der Begriff Chatkontrolle hat sich für eine Verordnung eingebürgert, die 2021 eingeführt wurde und Anbietern von Messengern, E-Mail-Diensten sowie bestimmten Online-Services erlaubt, ihre Dienste freiwillig nach bekanntem Missbrauchsmaterial zu durchsuchen. Diese Ausnahme von den strengen europäischen Datenschutzregeln lief im April aus, nachdem das Parlament eine Verlängerung zunächst abgelehnt hatte. Nach monatelangem Ringen hat das Europäische Parlament nun doch grünes Licht für eine Verlängerung bis 2028 gegeben, wobei noch die EU-Kommission und der Rat der Mitgliedstaaten zustimmen müssen, bevor die Regelung in Kraft tritt. Wen die Chatkontrolle betrifft Betroffen sind vor allem große digitale Diensteanbieter wie Google, Microsoft und Meta, die Nutzern E-Mail-Postfächer, Online-Services und teilweise unverschlüsselte Kommunikationsdienste anbieten. ANZEIGE ANZEIGE Für die meisten Bürger ändert sich im Alltag dadurch zunächst aber wenig, denn viele dieser Anbieter betrieben bislang schon freiwillig derartige Maßnahmen und hätten dies vermutlich ohnehin weiter fortgesetzt. Wer hingegen ausschließlich Ende-zu-Ende-verschlüsselte Messenger wie WhatsApp, Signal, Telegram oder Threema nutzt, ist von der aktuellen Regelung nicht betroffen. Wie die technische Prüfung abläuft Technisch setzen die Anbieter meist auf einen Abgleich mit digitalen Fingerabdrücken bereits bekannten Missbrauchsmaterials – den sogenannten „Hash-Wert“ –, sodass hochgeladene Fotos und Videos mit einer Datenbank automatisiert verglichen werden, ohne dass sich zunächst ein Mensch den Inhalt ansehen muss. Bei einem Treffer prüft anschließend eine Person den Fund, bevor die Behörden informiert werden, sodass ein einzelner Softwarefehler nicht automatisch zu einer Anzeige führt. Deutlich umstrittener ist der Einsatz lernender Systeme, die auch unbekanntes Material oder verdächtige Gesprächsmuster erkennen sollen, weil ihre Fehlerquote spürbar höher liegt als beim klassischen Hash-Verfahren. Was mit Verschlüsselung und Privatsphäre passiert Für die Ende-zu-Ende-Verschlüsselung, die dafür sorgt, dass nur Sender und Empfänger eine Nachricht lesen können, ändert die aktuelle Entscheidung nach jetzigem Stand nichts, weil verschlüsselte Kommunikation ausdrücklich ausgenommen bleibt. Anders sieht es bei der parallel verhandelten dauerhaften europäischen Regelung aus, die oft als „Chatkontrolle 2.0“ bezeichnet wird und über die Rat und Parlament noch streiten. Dort steht nämlich auch ein Verfahren namens „Client-Side-Scanning“ zur Debatte, bei dem eine Software direkt auf dem Smartphone Inhalte prüfen würde, noch bevor diese verschlüsselt und abgeschickt werden, was aus Sicht vieler Sicherheitsexperten den digitalen Datenschutz im Kern aushöhlen würde. Chancen und Risiken aus Sicht der Cybersicherheit Der Abgleich von Daten anhand bekannter Hash-Werte gilt zumindest fachlich als zuverlässig, weshalb Ermittlungsbehörden und Kinderschutzorganisationen an dem Instrument der Chatkontrolle festhalten wollen. Für Cybersicherheitsexperten jedoch wächst die Sorge mit jeder gesetzlichen Ausweitung der Scanmechanismen, denn jede technische Infrastruktur, die private Inhalte automatisiert auswertet, lässt sich später theoretisch auch für andere Zwecke missbrauchen, selbst wenn dies aktuell nicht vorgesehen ist. Besonders ein verpflichtendes Scannen auf dem Endgerät wie zum Beispiel dem Smartphone würde eine technische Schwachstelle schaffen, die sich Cyberkriminelle ebenso zunutze machen könnten wie staatliche Akteure, während versierte Straftäter ohnehin auf andere Kommunikationskanäle ausweichen könnten, wenn sie wissen, dass sie nicht mehr vertraulich kommunizieren können. Verbreitete Missverständnisse Es gibt jedoch auch einige weit verbreitete Missverständnisse bei dem Thema: Eine häufige Fehleinschätzung ist die Annahme, ab sofort würden mit der Chatkontrolle alle privaten Nachrichten routinemäßig mitgelesen, obwohl die aktuelle Regelung ausschließlich freiwillige Maßnahmen bei unverschlüsselten Diensten betrifft. Ebenso wird oft übersehen, dass die jetzige Entscheidung noch nicht endgültig ist, sondern nach wie vor nur eine Übergangsregelung darstellt, solange die Chatkontrolle 2.0 nicht beschlossen wurde. Man sollte die befristete Ausnahmeregelung deshalb nicht mit der geplanten dauerhaften Verordnung verwechseln, über deren genauen Umfang und eine mögliche Pflicht zum Scannen auch der verschlüsselten Kommunikation politisch zurzeit noch verhandelt wird.