Chatkontrolle: Warum Hintertüren am Ende alle unsicherer machen
Im dritten Anlauf hat die EU die Chatkontrolle durchgebracht. Verschlüsselte Kommunikation ist in der aktuellen Fassung ausgenommen — die Grundproblematik bleibt. Aus Sicht der Sicherheitsforschung ist die Rechnung eindeutig, und sie geht nicht auf.
Ich bin überzeugter Europäer. Und ich habe Verständnis für das Ziel: Kindesmissbrauch bekämpfen. Wer daran zweifelt, hat meine Arbeit der letzten fünfzehn Jahre nicht verfolgt — mein Buch „Die Internetfalle“ aus dem Jahr 2010 war das erste im deutschsprachigen Raum, das die Risiken sozialer Netzwerke systematisch beschrieben hat.
Trotzdem, oder gerade deshalb: Was hier gerade beschlossen wird, ist aus Sicht der Cybersicherheitsforschung nicht sinnvoll. Und das hat nichts mit Meinung zu tun, sondern mit Technik.
Das Argument, das keine Meinungsfrage ist
Wer Kommunikation auf dem Endgerät durchsucht, bevor sie verschlüsselt wird — sogenanntes Client-Side Scanning —, baut eine Schnittstelle. Diese Schnittstelle hat Zugriff auf unverschlüsselte Inhalte, sie ist per Definition privilegiert, und sie ist auf Milliarden Geräten installiert.
Alles, was auf so vielen Geräten läuft und so weitreichende Rechte hat, wird angegriffen. Nicht vielleicht — zuverlässig. Und wenn es fällt, fällt es für alle gleichzeitig. Das ist keine Spekulation, sondern die Erfahrung aus jedem vergleichbaren Fall der letzten zwanzig Jahre.
Was in der aktuellen Fassung drinsteht — und was nicht
Immerhin: Ende-zu-Ende-verschlüsselte Dienste wie WhatsApp und Signal sind in der jetzigen Fassung ausgenommen. Das ist ein wichtiger Unterschied zu früheren Entwürfen. Was bleibt, ist die grundsätzliche Weichenstellung — und die Erfahrung, dass Ausnahmen in Folgeverfahren gern wieder zur Disposition stehen.
Was Unternehmen daraus mitnehmen sollten
- Verschlüsselung ist Infrastruktur, kein Feature. Wer sie schwächt, schwächt auch die Vertraulichkeit von Geschäftskommunikation, Anwaltsgeheimnis und Whistleblower-Kanälen.
- Prüfen Sie Ihre Kommunikationswege. Welche Dienste nutzen Ihre Mitarbeiter für Geschäftliches? Wo liegen die Schlüssel? Was passiert bei einer Rechtsänderung?
- Rechnen Sie mit Fragmentierung. Unterschiedliche Regeln in unterschiedlichen Märkten werden zur Compliance-Aufgabe.
Und eine Frage an die Politik: Warum gelingt es nicht, klar jugendgefährdende Inhalte konsequent zu sperren, während gleichzeitig die Sicherheitsarchitektur für alle zur Disposition steht? Ein Großteil der einschlägigen Anbieter gehört einer überschaubaren Zahl von Unternehmen. Dort anzusetzen wäre wirksamer — und ungefährlicher.