Ab dem 31. Juli 2026 dürfen bestimmte Online-Dienste private Kommunikation wieder freiwillig nach Darstellungen sexuellen Kindesmissbrauchs und verdächtigen Kontaktaufnahmen durchsuchen. Die EU liest deshalb weder selbst sämtliche Chats mit noch sind WhatsApp und andere Ende-zu-Ende-verschlüsselte Messenger von dieser Übergangsregelung erfasst. Harmlos ist die Regelung dennoch nicht.
In sozialen Netzwerken wird derzeit erneut vor einer angeblich unmittelbar bevorstehenden Totalüberwachung privater Nachrichten gewarnt. Teilweise heißt es, die EU könne ab Freitag sämtliche WhatsApp-Chats mitlesen, Fotos vor dem Versand kontrollieren oder Bürger allein aufgrund privater Formulierungen den Ermittlungsbehörden melden.
Diese Darstellung vermischt mehrere unterschiedliche Gesetzesvorhaben und technische Verfahren.
Tatsächlich tritt heute die EU-Verordnung 2026/1881 in Kraft. Sie verlängert beziehungsweise reaktiviert eine bereits seit 2021 bekannte Übergangsregelung. Diese war am 3. April 2026 ausgelaufen und gilt nun bis zum 3. April 2028.
Unter »Chatkontrolle« werden verschiedene Dinge zusammengeworfen
Der Begriff »Chatkontrolle« ist keine amtliche Bezeichnung. Er wurde von Kritikern geprägt und wird inzwischen für mindestens 3 unterschiedliche Regelungskomplexe verwendet.
Die sogenannte Chatkontrolle 1.0 bezeichnet eine vorübergehende Ausnahme von der europäischen ePrivacy-Richtlinie. Sie erlaubt bestimmten Online-Anbietern, freiwillig nach Darstellungen sexuellen Kindesmissbrauchs und nach Cybergrooming zu suchen.
Genau diese Übergangsregelung tritt nun erneut in Kraft.
Daneben existiert der Vorschlag für eine dauerhafte EU-Verordnung, häufig Chatkontrolle 2.0 genannt. Dabei geht es unter anderem um verpflichtende Risikoprüfungen und mögliche behördliche Anordnungen zur Erkennung illegaler Inhalte. Gerade die Frage, ob auch Ende-zu-Ende-verschlüsselte Kommunikation erfasst werden könnte, ist seit Jahren politisch und technisch umstritten. Eine Einigung auf diese dauerhafte Regelung gibt es bislang nicht.
Wer beide Verfahren gleichsetzt, gelangt zwangsläufig zu falschen Schlussfolgerungen.
Die EU selbst liest keine Chats mit
Die neue Übergangsregelung baut keine zentrale europäische Stelle auf, die Nachrichten in Echtzeit mitliest. Sie gibt auch Polizei oder EU-Behörden keinen unmittelbaren Zugang zu privaten Accounts.
Stattdessen erhalten Anbieter eine datenschutzrechtliche Erlaubnis, freiwillig eigene Erkennungssysteme einzusetzen. Die Regelung ist als Ausnahme vom Schutz der Vertraulichkeit elektronischer Kommunikation ausgestaltet.
Ein Unternehmen kann entsprechende Kontrollen durchführen. Es muss es aber aufgrund dieser Übergangsverordnung nicht tun.
Findet ein System einen verdächtigen Inhalt, kann der Anbieter ihn prüfen, entfernen und an zuständige Meldestellen weitergeben. In der Praxis melden viele US-amerikanische Plattformen Verdachtsfälle an das National Center for Missing and Exploited Children, kurz NCMEC. Von dort können Hinweise an nationale Ermittlungsbehörden weitergeleitet werden.
Die Aussage »Die EU liest jetzt unsere Nachrichten« ist daher falsch.
Richtig ist aber: Die EU erlaubt privaten Unternehmen, unter bestimmten Bedingungen Kommunikationsinhalte automatisiert auszuwerten.
WhatsApp, Signal und Threema fallen unter dieser Regelung heraus
Das Europäische Parlament setzte bei der Verlängerung eine wichtige Änderung durch: Kommunikationsdienste, bei denen Ende-zu-Ende-Verschlüsselung eingesetzt wird, sind vom Anwendungsbereich der Übergangsregelung ausgenommen.
Bei einer echten Ende-zu-Ende-Verschlüsselung wird eine Nachricht auf dem Gerät des Absenders verschlüsselt und erst auf dem Gerät des Empfängers wieder entschlüsselt. Der Dienstanbieter besitzt im Normalfall keinen Schlüssel, mit dem er den Inhalt unterwegs lesen könnte.
Damit fallen verschlüsselte private Nachrichten bei WhatsApp, Signal oder Threema nicht unter die nun reaktivierte Scan-Erlaubnis. Auch Audio-Kommunikation wie Telefonate und Sprachnachrichten ist ausgenommen.
Das bedeutet nicht, dass jede einzelne Funktion einer großen Plattform automatisch verschlüsselt ist. Bei Meta können beispielsweise WhatsApp-Nachrichten anders geschützt sein als bestimmte Nachrichten, Uploads oder Interaktionen auf Instagram.
Entscheidend ist daher nicht allein der Name des Unternehmens, sondern der konkrete Dienst und dessen technische Ausgestaltung.
Andere private Nachrichten können kontrolliert werden
Grundsätzlich in den Anwendungsbereich fallen können nicht Ende-zu-Ende-verschlüsselte Kommunikationsdienste. Dazu gehören je nach technischer Gestaltung beispielsweise E-Mails, Direktnachrichten auf sozialen Netzwerken oder Nachrichten innerhalb von Community- und Gaming-Plattformen.
Gmail, bestimmte Instagram-Direktnachrichten oder Nachrichten bei Discord können deshalb von freiwilligen Erkennungssystemen erfasst werden. Das bedeutet jedoch nicht, dass jeder dieser Anbieter ab dem 31. Juli automatisch sämtliche Inhalte scannt.
Die Verordnung schafft die rechtliche Möglichkeit. Ob, wo und in welchem Umfang ein Unternehmen davon Gebrauch macht, entscheidet zunächst der Anbieter.
Die Behauptung »Alle privaten Chats werden ab Freitag kontrolliert« ist daher ebenso falsch wie die gegenteilige Behauptung, es ändere sich überhaupt nichts.
Nach einer knapp 4-monatigen Regelungslücke dürfen Unternehmen entsprechende Verfahren in der EU wieder einsetzen.
Ein digitaler Fingerabdruck ist noch keine künstliche Intelligenz
Auch technisch werden sehr unterschiedliche Verfahren unter dem Begriff Chatkontrolle zusammengefasst.
Bei bereits bekannten Missbrauchsdarstellungen können sogenannte Hashwerte verwendet werden. Dabei wird aus einer Bild- oder Videodatei ein digitaler Fingerabdruck erzeugt. Dieser lässt sich mit den Fingerabdrücken bereits identifizierter illegaler Dateien vergleichen.
Das System sucht dann nicht danach, ob ein Foto nach Einschätzung einer künstlichen Intelligenz möglicherweise problematisch aussieht. Es prüft, ob eine Datei einem bereits bekannten Inhalt entspricht.
Solche Abgleiche können auch leicht veränderte Versionen eines bekannten Bildes erkennen. Der Vorteil liegt in einer vergleichsweise hohen Treffsicherheit. Allerdings wird dafür zumindest der technische Fingerabdruck der übertragenen Datei verarbeitet.
Deutlich schwieriger ist die Erkennung bislang unbekannter Aufnahmen. Hier kommen Bildklassifikatoren und KI-gestützte Verfahren zum Einsatz. Sie sollen beurteilen, ob eine Datei mit einer gewissen Wahrscheinlichkeit sexuellen Missbrauch eines Kindes zeigt.
Bei Cybergrooming müssen Systeme sogar den Inhalt und Verlauf geschriebener Kommunikation bewerten. Sie suchen nach sprachlichen Mustern, mit denen Erwachsene möglicherweise Vertrauen aufbauen, Grenzen verschieben oder sexuelle Kontakte anbahnen.
Je stärker eine Technik nicht nur bekannte Dateien abgleicht, sondern Inhalte interpretiert, desto größer werden die Risiken von Fehlentscheidungen.
Eine Meldung ist noch kein nachgewiesener Missbrauch
2025 erhielt die NCMEC-Meldestelle insgesamt 21,3 Millionen Hinweise. Diese Meldungen enthielten 61,8 Millionen Bilder, Videos und andere Dateien. Mehr als 75 Prozent der Hinweise stammten von lediglich 5 Unternehmen.
Diese Zahlen zeigen das enorme Ausmaß des Problems. Sie dürfen jedoch nicht mit 21,3 Millionen Tätern, einzelnen Straftaten oder bestätigten Missbrauchsfällen gleichgesetzt werden.
Dieselbe Darstellung kann über Jahre immer wieder hochgeladen, versendet und von verschiedenen Anbietern gemeldet werden. Von den 2025 übermittelten Bildern waren nach Angaben von NCMEC 48 Prozent einzigartig. Bei den Videos lag dieser Anteil bei 28 Prozent. Ein großer Teil des Materials bestand damit aus wiederholt verbreiteten Dateien.
Hinzu kommen Meldungen, bei denen Informationen fehlen oder die sich nach einer Prüfung nicht als strafrechtlich relevant erweisen.
Eine automatisierte Markierung ist daher zunächst ein Verdacht. Sie ersetzt weder die menschliche Prüfung noch die strafrechtliche Bewertung.
Kinderschutz und Datenschutz sind kein künstlicher Gegensatz
Befürworter der Regelung verweisen darauf, dass ohne die Ausnahme vom europäischen Kommunikationsschutz viele Plattformen bekannte Missbrauchsdarstellungen nicht mehr freiwillig erkennen dürften.
Der Rat der EU begründet die Wiedereinführung ausdrücklich damit, Opfer zu identifizieren, laufenden Missbrauch aufzudecken und die erneute Verbreitung bereits bekannter Aufnahmen zu verhindern.
Dieser Nutzen ist real. Eine bekannte Missbrauchsaufnahme ist keine gewöhnliche illegale Datei. Jede erneute Verbreitung kann für das abgebildete Kind eine weitere Verletzung bedeuten.
Ebenso real sind jedoch die Grundrechtsprobleme.
Wer private Kommunikation automatisiert nach bestimmten Inhalten oder sprachlichen Mustern durchsucht, verarbeitet zwangsläufig auch die Nachrichten völlig unverdächtiger Menschen. Besonders bei der Erkennung neuer Aufnahmen und mutmaßlichen Groomings müssen Systeme Inhalte bewerten, deren Bedeutung stark vom Zusammenhang abhängt.
Datenschützer warnen deshalb nicht nur vor möglichen Fehlmeldungen. Sie befürchten, dass eine einmal etablierte technische Infrastruktur später auf andere Zwecke erweitert werden könnte.
Diese Sorge ist nicht mit der Behauptung gleichzusetzen, die EU plane bereits konkret, politische Gegner oder Regierungskritiker zu überwachen. Dafür gibt es in der aktuellen Übergangsregelung keine Grundlage.
Das technische Argument dahinter ist dennoch ernst zu nehmen: Ein System, das private Kommunikation systematisch auf verbotene Inhalte untersuchen kann, könnte grundsätzlich auch mit anderen Suchkriterien ausgestattet werden.
Die aktuelle Ausnahme ist begrenzt – der dauerhafte Entwurf geht weiter
Die am 31. Juli in Kraft tretende Regelung verpflichtet Anbieter nicht zu Kontrollen. Sie gilt befristet und schließt Ende-zu-Ende-verschlüsselte Kommunikation aus.
Genau diese Grenzen sind für die Bewertung entscheidend.
Die Verhandlungen über eine dauerhafte europäische Lösung sind hingegen nicht abgeschlossen. Dort stehen weiterhin weitergehende Eingriffe zur Diskussion: verpflichtende statt freiwillige Maßnahmen, behördliche Erkennungsanordnungen und technische Verfahren, die möglicherweise auch verschlüsselte Kommunikation erfassen könnten.
Besonders umstritten ist das sogenannte Client-Side-Scanning. Dabei würde eine Datei bereits auf dem Smartphone oder Computer geprüft, bevor sie verschlüsselt und versendet wird.
Die Verschlüsselung selbst bliebe dabei formal bestehen. Der Inhalt wäre jedoch schon zuvor analysiert worden. Kritiker vergleichen dies mit einem verschlossenen Brief, dessen Inhalt vor dem Zukleben kontrolliert wird.
Ein solches Verfahren wird durch die nun in Kraft tretende Übergangsregelung für Ende-zu-Ende-verschlüsselte Dienste gerade nicht eingeführt.
Ob es Bestandteil einer späteren dauerhaften Regelung werden könnte, ist weiterhin Gegenstand des politischen Streits.
Auch das Verfahren hat Vertrauen gekostet
Das Europäische Parlament hatte eine Verlängerung der Übergangsregelung im März 2026 zunächst abgelehnt. Nachdem die Ausnahme am 3. April ausgelaufen war, wurde das Thema durch ein ungewöhnliches Eilverfahren erneut auf die Tagesordnung gebracht.
Am 9. Juli gelang es nicht, die Verlängerung vollständig zu stoppen. Zwar stimmten 276 Abgeordnete gegen die Regelung und 286 gegen ihre Ablehnung; für eine Zurückweisung wäre jedoch die Mehrheit aller Mitglieder des Parlaments erforderlich gewesen. Die Enthaltungen und nicht abgegebenen Stimmen wurden damit politisch entscheidend.
Das Parlament konnte anschließend zumindest den Schutz Ende-zu-Ende-verschlüsselter Kommunikation in den Text aufnehmen. Der Rat der Mitgliedstaaten akzeptierte diese Änderung am 23. Juli.
Die Kritik am Verfahren ist deshalb nicht bloß ein Social-Media-Gerücht. Das erneute Aufgreifen einer kurz zuvor gescheiterten Verlängerung und die Behandlung im Eilverfahren waren ungewöhnlich und politisch umstritten.
Daraus folgt jedoch nicht, dass ein geheim beschlossenes Gesetz zur Überwachung sämtlicher Europäer in Kraft tritt.
SK
