EU-Chatkontrolle: Was Softwareanbieter wissen müssen
Im Juli 2026 verlängerte das EU-Parlament die freiwillige Chatkontrolle-Interimsverordnung bis 2028. Die dauerhafte CSAR-Verordnung steckt weiter im Trilog. Für Softwareanbieter — nicht nur Messenger — ist die Debatte relevanter, als es aussieht.
Am 9. Juli 2026 hat das EU-Parlament einer Verlängerung der freiwilligen ePrivacy-Ausnahme (Chatkontrolle 1.0) bis zum 3. April 2028 zugestimmt — und zwar nicht durch Zustimmung, sondern weil eine Ablehnungsmehrheit von 361 Stimmen verfehlt wurde (314 dagegen, 276 dafür). Der Rat hat am 23. Juli 2026 grünes Licht gegeben. Ein wichtiges Detail: Ende-zu-Ende-verschlüsselte, nummer-unabhängige Kommunikationsdienste sind aus dem Anwendungsbereich der Interimsverordnung ausdrücklich ausgenommen.
Die dauerhafte Verordnung — CSAR (Child Sexual Abuse Regulation), umgangssprachlich Chatkontrolle 2.0 — steckt weiter im Trilog. Der fünfte Verhandlungsdurchgang am 29. Juni 2026 endete ohne Einigung. Das Parlament hält an seiner Position gegen anlassloses Scannen fest, der Rat akzeptiert bislang keine gezielten gerichtlichen Anordnungen als Alternative. Weitergehen soll es im September 2026 — unter dänischer Ratspräsidentschaft.
Dänemark drückt aufs Tempo
Interne Ratsprotokolle zeigen, dass Dänemark im zweiten Halbjahr 2026 aggressiv verhandelt. Zehn Mitgliedstaaten (Spanien, Rumänien, Ungarn, Frankreich, Zypern u. a.) stützen den dänischen Vorschlag mit verpflichtender Detektion. Kritisch dagegen: Italien, Polen, Österreich, traditionell Niederlande, Tschechien, Slowakei. Deutschland ist gespalten — das Bundesinnenministerium unter Alexander Dobrindt (CSU) ist offen, das Bundesjustizministerium unter Stefanie Hubig (SPD) hat starke Vorbehalte. Eine finale Koalitionsposition gibt es nicht.
Was CSAR technisch fordert
Kern der Verordnung sind Detection Orders: behördliche oder gerichtliche Anordnungen an einzelne Dienste, nach bekanntem CSAM, unbekanntem CSAM und Grooming-Kommunikation zu scannen. Für Ende-zu-Ende-verschlüsselte Dienste läuft das auf Client-Side Scanning hinaus: Inhalte werden auf dem Endgerät vor der Verschlüsselung mit Hash-Datenbanken und KI-Klassifikatoren abgeglichen. Politisch heißt es, die Verschlüsselung werde „nicht gebrochen“. Technisch ist Client-Side Scanning eine funktionale Aushöhlung — der Klartext wird vor der Verschlüsselung durchsucht.
Warum Signal und Threema mit Rückzug drohen
Meredith Whittaker, Präsidentin der Signal Foundation, sagte in der Dpa: „Wenn wir vor die Wahl gestellt würden, entweder die Integrität unserer Verschlüsselung und unsere Datenschutzgarantien zu untergraben oder Europa zu verlassen, würden wir leider die Entscheidung treffen, den Markt zu verlassen.“ Und: „Politiker verfallen weiterhin einer Art magischem Denken, das davon ausgeht, dass man eine Hintertür schaffen kann, auf die nur die Guten Zugriff haben.“
Threema hat gemeinsam mit 20 weiteren europäischen KMU offen gegen den Verordnungsentwurf protestiert. CEO Martin Blatter argumentiert, ein „Generalschlüssel“ sei technisch nicht möglich. Ein Rückzug aus der EU wird als letzte Option kommuniziert.
Was das für Softwareanbieter jenseits von Messengern bedeutet
Der Anwendungsbereich der CSAR erfasst nummer-unabhängige interpersonelle Kommunikationsdienste im Sinne des European Electronic Communications Code — also nicht nur WhatsApp und Signal. Auch Enterprise-Chat-Tools (Rocket.Chat, Mattermost, Element/Matrix, Zulip) fallen prinzipiell darunter. Bei On-Prem- und Self-Hosted-Deployments ist die Anbieterrolle offen: Wenn der Kunde selbst hostet, wer ist „Anbieter“? Die Verordnung schweigt dazu, und das ist für uns als Softwarehaus ein reales Problem.
Voraussichtliche Pflichten: Risikoanalyse und -bewertung des eigenen Dienstes, Risikominderungsmaßnahmen (Alterskontrolle, Standardeinstellungen), Meldepflichten an das geplante EU-Zentrum in Den Haag. Bei einer Detection Order: Implementierung von Scanning-Technik — bei E2E-Diensten faktisch Client-Side Scanning. Bei Nichtumsetzung: Bußgelder analog DSGVO, im Entwurf bis 6 % des Weltjahresumsatzes.
Die rechtliche Front
Die Wissenschaftlichen Dienste des Bundestags (WD 3 – 3000 – 080/25, 06.11.2025) haben erhebliche Zweifel an der Verhältnismäßigkeit dokumentiert — mit Verweis auf die Grundrechte-Charta (Art. 7 Privatleben, Art. 8 Datenschutz, Art. 11 Meinungsfreiheit) und die Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte. Besonders relevant: Podchasov gegen Russland (13.02.2024). Der EGMR hat entschieden, dass die Verpflichtung von Diensten zur Entschlüsselung oder Schwächung von Ende-zu-Ende-Verschlüsselung Art. 8 EMRK verletzt. Direkt einschlägig für die CSAR-Debatte.
Die deutsche Datenschutzkonferenz forderte am 26.02.2026 einen vollständigen Verzicht auf anlasslose Massenüberwachung. Vorsitzender Prof. Tobias Keber (LfDI BW): „Anlasslose Überwachung privater Kommunikation trifft den Kern des Kommunikationsgeheimnisses aller Europäer.“
Prognose — und was daraus folgt
Ehrlich: Wir sehen vier Szenarien. A (30 %): Kompromiss mit gezielten Detection Orders nur gegen Hochrisiko-Dienste, E2E-Ausnahme wie in der Interimsregelung. B (40 %): Weitere Verschleppung; Interimsverordnung bis 04/2028 überbrückt, Neustart in nächster Legislaturperiode. C (20 %): Verpflichtende Detektion inkl. Client-Side Scanning wird beschlossen — dann fast sicher Klagen vor EuGH und EGMR. D (10 %): Kompletter Rückzug nach politischem Wechsel in Schlüsselländern.
Realistisch: Selbst im schnellsten Szenario tritt CSAR frühestens 2028 in Kraft, operative Wirkung mit 24 Monaten Übergangsfrist ab 2030. Aber Vorbereitung heißt heute schon, dass wer On-Prem-Kommunikationslösungen anbietet, eine Position braucht. Was tut man, wenn eine Detection Order kommt? Wie modelliert man die Verantwortung im Vertrag zwischen Softwarehaus und Endkunde? Diese Fragen sollten in AV-Verträgen, Roadmaps und Vertriebs-Argumentation vorkommen — nicht erst wenn das Gesetz da ist.
