Nein zur Chatkontrolle

Die unabhängigen Datenschutzaufsichtsbehörden von Bund und Ländern (Datenschutzkonferenz, DSK) haben die Bundesregierung in einer Pressemitteilung vom 8. Oktober 2025 aufgefordert, den Entwurf der EU-Verordnung zur sogenannten Chatkontrolle in der damals vorliegenden Fassung abzulehnen. Hintergrund ist der Vorschlag der Europäischen Kommission vom Mai 2022 für eine Verordnung zur Prävention und Bekämpfung des sexuellen Missbrauchs von Kindern (CSA-Verordnung). Anbieter von Kommunikationsdiensten wie WhatsApp, Signal oder iMessage sollten danach verpflichtet werden können, Inhalte privater Nachrichten automatisiert auf Hinweise zu sexualisierter Gewalt gegen Kinder zu durchsuchen. Anlass der Pressemitteilung war ein Kompromissentwurf der dänischen Ratspräsidentschaft, der wieder verpflichtende „Aufdeckungsanordnungen“ und das Scannen von Nachrichten auf den Endgeräten der Nutzer vorsah. Die DSK kritisiert, dass mit diesem sogenannten Client-Side-Scanning die Ende-zu-Ende-Verschlüsselung umgangen werden kann, weil Nachrichten bereits vor dem verschlüsselten Versand durchsucht werden. Anlasslose Massenüberwachungen, die Millionen Bürgerinnen und Bürger unter Generalverdacht stellen, seien unverhältnismäßig.

Die DSK betont ausdrücklich, dass Sicherheitsbehörden wirksame Werkzeuge zur Bekämpfung sexuellen Missbrauchs von Kindern benötigen, und unterstützt dieses Ziel. Es dürfe jedoch nicht auf Kosten der Privatsphäre von Millionen Menschen verfolgt werden, die dafür keinen Anlass gegeben haben. Hintertüren in der Verschlüsselung gefährden nach Auffassung der DSK die Sicherheit der Kommunikation aller und könnten auch von Kriminellen missbraucht werden.

Einordnung

Aus datenschutzrechtlicher Sicht spricht zudem viel dafür, dass eine anlasslose Durchsuchung sämtlicher Kommunikationsinhalte mit den Grundsätzen der Zweckbindung und der Datenminimierung (Art. 5 Abs. 1 lit. b und c DSGVO) sowie mit dem Grundsatz der Verhältnismäßigkeit nicht zu vereinbaren ist. Unionsrechtlich maßgeblich sind vor allem die Grundrechte auf Achtung des Privatlebens und der Kommunikation sowie auf Schutz personenbezogener Daten (Art. 7, 8 und 52 Abs. 1 GRCh). Die Chatkontrolle würde außerdem das Fernmeldegeheimnis berühren und die Integrität und Vertraulichkeit informationstechnischer Systeme gefährden, weil technische Hintertüren die gesamte Kommunikationssicherheit schwächen.

Eine Parallele bietet das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme, das das Bundesverfassungsgericht im Urteil vom 27. Februar 2008 (1 BvR 370/07) zur staatlichen Online-Durchsuchung entwickelt hat. Eingriffe in dieses Grundrecht sind danach nur zulässig, wenn tatsächliche Anhaltspunkte für eine konkrete Gefahr für ein überragend wichtiges Rechtsgut bestehen, und grundsätzlich nur auf richterliche Anordnung. Das Urteil betrifft das deutsche Verfassungsrecht; die Übertragung auf eine EU-Verordnung ist eine Argumentation, kein unmittelbarer Maßstab. Sie zeigt aber, wie weit eine flächendeckende Chatkontrolle von diesen Anforderungen entfernt wäre: Sie würde sämtliche Nutzerinnen und Nutzer unter Generalverdacht stellen und das Vertrauen in sichere digitale Kommunikation nachhaltig erschüttern. Auch Art. 32 DSGVO verlangt von Verantwortlichen geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten, wozu insbesondere eine starke Verschlüsselung gehört; eine Pflicht, diese Verschlüsselung zu umgehen, stünde dazu im Widerspruch.

Statt Überwachung und Generalverdacht bedarf es einer gezielten Strafverfolgung, die sich auf konkrete Verdachtsmomente stützt und mit rechtsstaatlichen Mitteln erfolgt. Die Bekämpfung sexualisierter Gewalt an Kindern und der Schutz digitaler Privatsphäre dürfen keine Gegensätze sein; beides lässt sich durch Prävention, verbesserte Ermittlungsstrukturen und datenschutzfreundliche technische Lösungen gemeinsam erreichen.

Stand des Verfahrens

Die folgenden Angaben geben den Stand im Oktober 2026 wieder.

• CSA-Verordnung (geplante Regelung): Das Europäische Parlament hat seine Position im November 2023 festgelegt; Aufdeckungsanordnungen soll es danach nur gezielt und bei begründetem Verdacht geben, Ende-zu-Ende-verschlüsselte Kommunikation soll ausgenommen bleiben. Der Rat hat sich am 26. November 2025 auf eine Verhandlungsposition ohne verpflichtende Aufdeckungsanordnungen geeinigt; Anbieter sollen danach nur freiwillig scannen dürfen. Seit Dezember 2025 verhandeln Rat, Parlament und Kommission im Trilog. Auch in der sechsten politischen Trilogrunde Ende September 2026 gab es keine Einigung über das Scannen privater Chats; verständigt hat man sich bislang vor allem über das geplante EU-Zentrum zur Verhütung und Bekämpfung des sexuellen Missbrauchs von Kindern. Ein Client-Side-Scanning Ende-zu-Ende-verschlüsselter Kommunikation lehnen nach Berichten inzwischen sowohl Rat als auch Parlament ab. Die DSK hat ihre Forderung im Februar 2026 bekräftigt, vollständig und endgültig auf eine Chatkontrolle zu verzichten.
• Freiwillige Durchsuchung (geltendes Recht): Die Übergangsverordnung (EU) 2021/1232, die Anbietern das freiwillige Durchsuchen unverschlüsselter Kommunikation erlaubte („Chatkontrolle 1.0“), ist am 3. April 2026 ausgelaufen. Eine Verlängerung kam nicht rechtzeitig zustande. Stattdessen ist am 31. Juli 2026 die neue, inhaltlich weitgehend vergleichbare Verordnung (EU) 2026/1881 in Kraft getreten. Sie gilt bis zum 3. April 2028 und wirkt nicht zurück; zwischen April und Ende Juli 2026 bestand also keine unionsrechtliche Ausnahmeregelung.

Bewertung

Diese Positionierung der DSK verdeutlicht einmal mehr, dass der Datenschutz nicht als Hemmnis, sondern als Garant für Freiheit, Sicherheit und Vertrauen in die digitale Kommunikation verstanden werden muss. Eine Chatkontrolle mit verpflichtenden, anlasslosen Aufdeckungsanordnungen würde diese Grundpfeiler gefährden, indem sie das Verhältnis zwischen Bürger und Staat auf den Kopf stellt. Es bleibt daher zu hoffen, dass die Bundesregierung im Rat bei ihrer ablehnenden Haltung bleibt und die Trilogverhandlungen nicht doch noch zu einer Pflicht zum Scannen privater Kommunikation führen.