Chatkontrolle: Was geplant ist und was es fürs iPhone bedeuten würde

Kurz gesagt: Niemand liest heute deine Nachrichten mit. Die aktuell geltende Regel (Verordnung (EU) 2026/1881) erlaubt Anbietern nur freiwillige Prüfungen, verpflichtet niemanden dazu und nimmt Ende-zu-Ende-verschlüsselte Kommunikation ausdrücklich aus. Vom Tisch ist die Debatte trotzdem nicht: Der Kommissionsentwurf für eine Aufdeckungspflicht liegt weiter auf dem Tisch, der Rat hat sie aus seiner Position gestrichen, und Parlament und Rat verhandeln noch. Was am Ende beschlossen wird, ist offen.

Dieser Text beschreibt, was vorgeschlagen wurde, wie weit das Verfahren ist und was die Technik dahinter für ein iPhone bedeuten würde – ohne Position zu beziehen. Argumente beider Seiten stehen weiter unten nebeneinander, als Argumente gekennzeichnet.

Was die Kommission vorgeschlagen hat

Am 11. Mai 2022 legte die Europäische Kommission den Entwurf einer Verordnung zur Prävention und Bekämpfung des sexuellen Missbrauchs von Kindern vor, Aktenzeichen 2022/0155(COD).

Die meisten Bausteine sind unstrittig: Anbieter sollen ihr Missbrauchsrisiko bewerten und senken, Behörden sollen Material löschen und sperren lassen können, ein EU-Zentrum soll Meldungen vorprüfen. Umstritten ist die Aufdeckungsanordnung in den Artikeln 7 bis 11: Eine nationale Behörde könnte gerichtlich einen Dienst verpflichten, Inhalte auf bekanntes oder unbekanntes Missbrauchsmaterial sowie Anbahnungsversuche zu prüfen – daher der Spitzname Chatkontrolle.

Wie ein Anbieter das technisch löst, schreibt der Entwurf nicht vor. Erwägungsgrund 26 überlässt ihm die Technologie ausdrücklich, auch bei Ende-zu-Ende-Verschlüsselung. Bei einem Dienst, dessen Inhalte nur auf den Geräten der Beteiligten lesbar sind, bleibt für eine Prüfpflicht praktisch nur eine Stelle: das Gerät selbst.

Prüfung auf dem Gerät ist etwas anderes als geknackte Verschlüsselung

Das ist der Punkt, der in Diskussionen am häufigsten durcheinandergerät. Ende-zu-Ende-Verschlüsselung heißt: Deine Nachricht wird auf deinem Gerät verschlossen und erst beim Empfänger wieder geöffnet, alles dazwischen sieht nur Zeichensalat (Details im Sicherheitsvergleich der Messenger).

Wer trotzdem an Inhalte will, hat zwei verschiedene Wege. Weg eins: die Verschlüsselung aufbrechen, per Zweitschlüssel oder geschwächtem Verfahren – wirkt auf allen Übertragungswegen für alle Nutzer, und ein Zweitschlüssel schützt nicht davor, dass ihn auch jemand anderes findet. Weg zwei, client-side scanning: Bevor die Nachricht verschlüsselt wird, vergleicht das Gerät sie mit einer Liste. Passt nichts, geschieht nichts, die Verschlüsselung bleibt mathematisch unangetastet.

Im Bild eines Briefes: Im ersten Fall existiert ein Nachschlüssel für den Briefkasten. Im zweiten bleibt der Umschlag dicht, aber bevor der Brief hineinkommt, wird er mit einer Liste abgeglichen.

Die Einwände unterscheiden sich entsprechend: Gegen den Zweitschlüssel steht, dass er die Sicherheit für alle senkt. Gegen die Geräteprüfung steht, dass der Prüfpunkt auf privatem Gerät sitzt und die Technik gleichgültig gegenüber dem Inhalt der Liste ist. Der Europäische Datenschutzausschuss und der Datenschutzbeauftragte stellten in ihrer gemeinsamen Stellungnahme vom 28. Juli 2022 genau darauf ab: Eine Geräteprüfung bedeute einen erheblichen, nicht zielgerichteten Zugriff auf unverschlüsselte Inhalte (Randnummer 100). Wer sagt, die Chatkontrolle breche die Verschlüsselung auf, beschreibt Weg eins – der Entwurf legt aber Weg zwei nahe.

Der einzige Anbieter, der das gebaut und wieder verworfen hat

Apple ist der einzige große Anbieter, der ein solches Verfahren nicht nur diskutiert, sondern fertig entwickelt und angekündigt hat. Im August 2021 stellte Apple unter „Expanded Protections for Children“ die CSAM-Erkennung vor: Statt Bilder in der Cloud zu durchsuchen, sollte das Gerät sie vor dem iCloud-Upload mit einer unlesbar gemachten Liste bekannter Missbrauchsdarstellungen abgleichen. Erst ab einer Trefferschwelle hätte Apple die verschlüsselten Sicherheitsbelege auswerten, von Hand prüfen und an die US-Meldestelle NCMEC melden können. Die Wahrscheinlichkeit einer falschen Kontomarkierung gab Apple mit unter eins zu einer Billion pro Jahr an.

Ausgeliefert wurde die Funktion nie. Am 3. September 2021 kündigte Apple an, sich mehr Zeit zu nehmen; ab Dezember 2021 fehlte der Abschnitt auf der Seite ganz. Im Dezember 2022 kam stattdessen der erweiterte Datenschutz für iCloud – mehr Verschlüsselung in der Cloud statt einer Prüfung davor.

Die ausführlichste Begründung stammt aus einem Schreiben, das Erik Neuenschwander, bei Apple zuständig für Datenschutz und Kindersicherheit, 2023 an die Organisation Heat Initiative richtete und das Wired veröffentlicht hat: Man sei zu dem Schluss gekommen, das Verfahren lasse sich praktisch nicht umsetzen, ohne Sicherheit und Privatsphäre der Nutzer zu gefährden – das Durchsuchen privater Daten schaffe neue Angriffsflächen, und eine Suche nach einer Inhaltsart öffne die Tür für weitere.

Auf Apples Kindersicherheitsseite findet sich die Funktion heute nicht mehr (geprüft 15. August 2026). Befürworter verweisen darauf, dass Apple das Verfahren überhaupt bis zur Ankündigungsreife entwickelt hat, Kritiker darauf, dass genau dieser Anbieter es nach eigener Prüfung wieder einstellte.

Wo das Verfahren steht

Eine EU-Verordnung braucht drei Beteiligte: Die Kommission schlägt vor, Parlament und Rat verhandeln, erst bei Einigung gilt etwas. Stand 15. August 2026:

Das Parlament beschloss sein Verhandlungsmandat am 22. November 2023 und hat seither keine förmliche Position in erster Lesung gefasst – die Verfahrensakte führt das Verfahren weiterhin als offen.

Der Rat legte seine Position erst zwei Jahre später fest: Am 26. November 2025 einigten sich die Mitgliedstaaten auf ein Teilmandat. In der Ratsunterlage 15318/25 steht der entscheidende Satz: Die Vorschriften zu den Aufdeckungspflichten werden gestrichen. Stattdessen setzt die Ratsfassung auf Risikoeinstufung, Minderungspflichten und freiwillige Prüfungen als eine mögliche Minderungsmaßnahme.

Die Verhandlungen zwischen Parlament und Rat laufen seit dem 9. Dezember 2025. Wie weit sie gediehen sind, hat der Unionsgesetzgeber selbst festgehalten – im Erwägungsgrund 11 einer anderen Verordnung vom 24. Juli 2026 heißt es, die Verhandlungen seien noch nicht abgeschlossen.

Die Pflicht zur Aufdeckung steht also im Kommissionsentwurf, fehlt in der Ratsposition, und das Parlament verhandelt auf Basis seines Mandats von 2023. Wie der Kompromiss aussieht, ist offen.

Was heute tatsächlich gilt

Seit 2021 durften Anbieter freiwillig nach Missbrauchsmaterial suchen und Funde melden, geregelt in der Verordnung (EU) 2021/1232 – nötig, weil die EU-Regel zum Schutz der Kommunikationsvertraulichkeit das sonst verboten hätte. Diese befristete Ausnahme lief am 3. April 2026 aus, weil sich Parlament und Rat nicht rechtzeitig einigten. Am 9. Juli 2026 stimmten im Parlament 314 Abgeordnete dafür, die Ratsposition zu blockieren, 276 dagegen – nötig gewesen wäre die absolute Mehrheit von 361 Stimmen. Die Verlängerung kam also zustande, weil die Ablehnung ihre Hürde verfehlte, nicht durch Zustimmung. Daraus entstand die Verordnung (EU) 2026/1881 vom 24. Juli 2026, gültig bis 3. April 2028.

Drei Punkte daraus sind für Nutzer wesentlich:

• Die Prüfung ist freiwillig – niemand wird dazu verpflichtet.
• Sie gilt nicht für Ende-zu-Ende-verschlüsselte Kommunikation (Artikel 1 Absatz 3).
• Sie gilt nicht für Audiokommunikation, ein Mensch muss unbekannte Funde bestätigen, und ab 1. Februar 2027 müssen Anbieter jährlich Verarbeitungszahlen und Fehltreffer offenlegen.

Ein Dienst wie Signal oder WhatsApp fällt für seine durchgehend verschlüsselten Nachrichten nicht unter diese Regel. Zum Vergleich: unsere sicheren WhatsApp-Alternativen.

Was das für dein iPhone heute bedeutet

Apple hat keine Funktion ausgeliefert, die iPhone-Inhalte mit einer behördlichen Liste abgleicht und Treffer meldet. Was es gibt, ist die Kommunikationssicherheit in der Bildschirmzeit: Sie prüft Fotos und Videos auf Nacktheit und macht sie für Kinder unscharf. Diese Analyse läuft laut Apples eigener Beschreibung auf dem Gerät, Apple sieht die Inhalte nicht, gemeldet wird nichts – auch nicht an Apple. Anleitung dazu: iPhone für Kinder einrichten.

Ein zweiter Punkt betrifft die Cloud, nicht die Chats: iMessage ist durchgehend verschlüsselt, iCloud ohne den erweiterten Datenschutz nur teilweise – Apple hat dann die Schlüssel zu Fotos und Backups. Details bei iCloud-Backup und seiner Verschlüsselung.

Was die beiden Seiten vorbringen

Argumente, keine Feststellungen, unbewertet nebeneinander.

Befürworter: Durchgehende Verschlüsselung beendet freiwillige Prüfungen – die Kommission ging in ihrer Folgenabschätzung davon aus, dass die Umstellung eines großen Dienstes darauf dessen Prüfungen beenden würde (der Datenschutzausschuss gibt das in Randnummer 101 wieder). Freiwilligkeit bedeutet zudem, dass die Entdeckung an der Geschäftsentscheidung eines Unternehmens hängt statt an einer Prüfung im Einzelfall.

Kritiker: Datenschutzausschuss und Datenschutzbeauftragter hielten dem Entwurf 2022 vor, zentrale Begriffe seien zu unbestimmt und die Erkennung unbekannten Materials sowie von Anbahnungsversuchen gehe über das Erforderliche hinaus. Schon die Möglichkeit einer Anordnung könnte Anbieter von durchgehender Verschlüsselung abhalten. In der Stellungnahme 7/2026 forderte der Datenschutzbeauftragte für die befristete Regel eine klare Rechtsgrundlage und wirksame Sicherungen gegen unterschiedsloses Durchsuchen.

Wie du den Stand selbst prüfst

In der Verfahrensakte des Europäischen Parlaments stehen unter „Key events“ alle Schritte mit Datum. In EUR-Lex liegt der Entwurf im Volltext auf Deutsch. Ist dort ein angenommener Rechtsakt verlinkt, ist die Sache entschieden – solange nicht, wird verhandelt.