Chatkontrolle 1.0 ist zurück – was das für deine private Kommunikation wirklich bedeutet
Eine sachliche Einordnung nach der Abstimmung im Europäischen Parlament vom 9. Juli 2026
Seit der Abstimmung im Europäischen Parlament am 9. Juli kommen Fragen von Mandanten und Lesern, die Wert auf digitale Privatsphäre legen: „Ist es jetzt vorbei mit der Verschlüsselung?“ – „Werden meine Nachrichten ab sofort mitgelesen?“ – „Muss ich mein Telefon wegwerfen?“
Die kurze Antwort lautet: Nein, so dramatisch ist es nicht. Aber es hat sich etwas verändert, und es lohnt sich, den Unterschied zwischen dem, was tatsächlich beschlossen wurde, und dem, was in sozialen Netzwerken daraus gemacht wird, sauber zu trennen. Genau das leistet dieser Beitrag.
Was am 9. Juli tatsächlich passiert ist
Das Europäische Parlament hat die sogenannte Chatkontrolle 1.0 wieder in Kraft gesetzt. Das ist eine Regelung, die es zuvor im März zweimal abgelehnt hatte.
Das Bemerkenswerte daran: Eine Mehrheit der abstimmenden Abgeordneten war weiterhin dagegen (314 Nein-Stimmen gegen 276 Ja-Stimmen bei 17 Enthaltungen). Weil sich das Dossier jedoch in der zweiten Lesung befand, hätte es für eine Ablehnung eine absolute Mehrheit von 361 Stimmen gebraucht. Diese Hürde wurde verfehlt, und damit gilt die Regelung als angenommen, obwohl die Mehrheit der Anwesenden sie ablehnte.
Anders gesagt: Die Chatkontrolle 1.0 hat keine Mehrheit gewonnen. Sie ist durchgekommen, weil die Gegner die höhere Schwelle zur Verhinderung nicht erreicht haben. Die Regelung gilt nun bis 2028.
Über das Verfahren selbst wird noch gestritten; unter anderem darüber, ob eine Dringlichkeitsabstimmung in der zweiten Lesung überhaupt zulässig war und ob der Termin bewusst auf den letzten Sitzungstag vor der Sommerpause mit entsprechend geringer Anwesenheit gelegt wurde. Das ist ein berechtigter demokratiepolitischer Einwand, aber für deine konkrete Kommunikationssicherheit zweitrangig. Wichtiger ist, was inhaltlich in der Regelung steht.
Was sich geändert hat
Die Chatkontrolle 1.0 ist eine Ausnahme von den EU-Datenschutzregeln (Verordnung (EU) 2021/1232). Sie erlaubt Anbietern – verpflichtet sie aber nicht –, Kommunikation freiwillig auf bereits bekanntes Missbrauchsmaterial zu durchsuchen. Konkret verändert sich Folgendes:
- Anbieter wie Meta, Google oder Microsoft dürfen wieder auf einer klaren Rechtsgrundlage unverschlüsselte Inhalte scannen, also etwa Direktnachrichten auf Plattformen, E-Mails oder in der Cloud gespeicherte Dateien.
- Diese Erlaubnis war seit April 2026 entfallen; nun ist sie bis 3. April 2028 zurück.
- Für verschlüsselte Kommunikation wurde eine ausdrückliche Ausnahme beschlossen. Diese ist allerdings weitgehend symbolisch, weil verschlüsselte Inhalte ohnehin nicht serverseitig durchsucht werden können.
Wichtig zur Einordnung: Das Durchsuchen unverschlüsselter Inhalte findet bei US-Anbietern ohnehin schon weltweit statt – unabhängig von der EU. US-Recht verpflichtet Anbieter, gefundenes Missbrauchsmaterial zu melden, weshalb Konzerne freiwillig einen automatisierten Abgleich bekannter Bilder (per digitalem Fingerabdruck, „Hash-Abgleich“) durchführen. Die EU-Regelung schafft hierfür in Europa lediglich die rechtliche Deckung – sie erfindet die Praxis nicht neu.
Was sich nicht geändert hat, und das ist der entscheidende Punkt
Hier liegt der Kern, der in der Aufregung oft untergeht:
Ende-zu-Ende-verschlüsselte Inhalte bleiben unangetastet. Bei einem Dienst wie Signal (nachprüfbar) oder WhatsApp (angeblich) erhält der Server nie den Klartext deiner Nachricht, sondern nur unlesbaren Chiffretext. Es gibt serverseitig schlicht nichts zu scannen. Die Chatkontrolle 1.0 ändert daran nichts.
Es gibt kein clientseitiges Scannen. Die eigentliche Gefahr für die Verschlüsselung wäre das sogenannte Client-Side Scanning (CSS), also die Durchsuchung von Inhalten direkt auf deinem Gerät, bevor sie verschlüsselt werden. Genau das ist am 9. Juli nicht beschlossen worden und in keinem geltenden Gesetzestext enthalten.
Das Grundprinzip dahinter: Verschlüsselung schützt erst ab dem Moment, in dem verschlüsselt wird. Davor existiert der Klartext zwangsläufig irgendwo – im Eingabefeld deiner App, bevor du auf „Senden“ tippst. Genau dieses kurze Fenster ist der einzige Punkt, an dem verschlüsselte Kommunikation überhaupt angreifbar wäre. Das gilt sinngemäß auch für E-Mail: Vieles, was „verschlüsselt“ heißt, ist nur auf dem Transportweg oder beim Anbieter im Ruhezustand geschützt – nicht Ende-zu-Ende. Auch dort gibt es fast immer einen Moment, in dem der Klartext vorliegt. Die Frage ist nie „ob“ es diesen Moment gibt, sondern wo er liegt und wer Zugriff darauf hat.
Die eigentlich gefährliche Regelung ist noch nicht entschieden. Man muss zwei Dinge sauber auseinanderhalten:
| Chatkontrolle 1.0 | Chatkontrolle 2.0 (CSAR) | |
|---|---|---|
| Charakter | vorübergehend, freiwillig | dauerhaft, sollte verpflichtend werden |
| Reichweite | nur unverschlüsselte Inhalte | zielte auch auf verschlüsselte Inhalte |
| Status | am 9. Juli in Kraft gesetzt (bis 2028) | seit Jahren im Trilog, kein Beschluss |
Die verpflichtende clientseitige Durchsuchung war Kernstück des ursprünglichen 2.0-Entwurfs, wurde aber Ende 2025 aus dem Verhandlungstext genommen, nachdem sich unter deutscher Beteiligung eine Sperrminorität gebildet hatte. Die als „final“ angekündigte Verhandlungsrunde am 29. Juni 2026 scheiterte erneut an der Frage der anlasslosen Durchsuchung. Die Verhandlungen laufen unter irischer Ratspräsidentschaft weiter. Das ist die Baustelle, die man im Auge behalten muss – nicht die Abstimmung vom 9. Juli.
Was das konkret für deine Kommunikation bedeutet
Statt in Panik zu verfallen oder alles beim Alten zu lassen, hilft ein Blick darauf, welche App wie mit Verschlüsselung umgeht. Die Dienste lassen sich in drei Gruppen einteilen:
1. Standardmäßig Ende-zu-Ende-verschlüsselt; du musst nichts tun:
- Signal – standardmäßig verschlüsselt, quelloffen und damit überprüfbar
- WhatsApp – standardmäßig verschlüsselt
- Threema – standardmäßig verschlüsselt
- Messenger – für persönliche Chats inzwischen standardmäßig verschlüsselt
2. Verschlüsselt nur, wenn du es aktiv einschaltest; hier ist Aufmerksamkeit gefragt:
- Telegram – die normalen Chats sind ausdrücklich nicht Ende-zu-Ende-verschlüsselt; sie liegen auf Telegrams Servern und sind dort grundsätzlich lesbar. Verschlüsselt sind nur die manuell zu startenden „Geheimen Chats“ – und die funktionieren ausschließlich zwischen zwei Personen, nicht in Gruppen. Wer Telegram für vertrauliche Dinge nutzt und den geheimen Chat nicht ausdrücklich startet, ist faktisch unverschlüsselt unterwegs.
- iMessage (Apple) – zwischen Apple-Geräten verschlüsselt, aber sobald du an ein Android-Telefon schreibst, fällt die Nachricht auf unverschlüsseltes SMS bzw. RCS zurück. Die grüne Sprechblase ist also kein rein kosmetisches Detail.
3. Gar keine Ende-zu-Ende-Verschlüsselung:
- TikTok – hat ausdrücklich erklärt, für Direktnachrichten keine Ende-zu-Ende-Verschlüsselung einführen zu wollen
- Instagram-Direktnachrichten – die optionale Verschlüsselung wurde am 8. Mai 2026 abgeschaltet
- klassische SMS sowie die meisten E-Mail-Dienste (Gmail, iCloud Mail und andere)
Die praktische Grundregel ist so alt wie schlicht: Was nicht Ende-zu-Ende-verschlüsselt ist, betrachtest du als potenziell mitlesbar. Das war schon vor dem 9. Juli so und ist es weiterhin. Neu ist nur, dass für die unverschlüsselten Kanäle in Europa wieder eine ausdrückliche Rechtsgrundlage zum Scannen existiert.
Schutz mit Augenmaß und auch ohne neues Telefon
Nicht jeder wird sein iPhone entsorgen und auf ein Pixel mit GrapheneOS umsteigen. Musst du auch nicht. Schutz ist abgestuft, und schon die ersten Stufen bringen viel:
Stufe 1 – Ohne jeden Aufwand. Verlagere sensible Gespräche aus unverschlüsselten Kanälen (Instagram-DM, E-Mail, normaler Telegram-Chat) in einen standardmäßig Ende-zu-Ende-verschlüsselten Messenger. Das allein entzieht den Großteil deiner vertraulichen Kommunikation jeder serverseitigen Durchsuchung – ohne dass du ein Gerät wechseln musst.
Stufe 2 – Bewusste App-Wahl. Für wirklich Vertrauliches ist ein quelloffener, überprüfbarer Dienst einem geschlossenen vorzuziehen. Bei Signal lässt sich anhand des offenen Quellcodes nachvollziehen, dass keine versteckte Durchsuchung eingebaut ist; bei geschlossenen Apps musst du dem Anbieter vertrauen. Hinzu kommt die Haltung des Betreibers: Signal hat öffentlich erklärt, den EU-Markt eher zu verlassen, als eine Durchsuchung einzubauen.
Stufe 3 – Das Betriebssystem verstehen. Ein wichtiger Denkfehler vorweg: Ein gehärtetes Betriebssystem (etwa GrapheneOS) schützt nicht davor, dass eine App den Text durchsucht, den du in diese App eintippst, denn die App hat naturgemäß Zugriff auf ihre eigene Eingabe. Wogegen ein entgoogeltes System sehr wohl hilft, ist Durchsuchung, die über System- oder Plattformkomponenten des Geräteherstellers eingespielt würde. App-Ebene und Betriebssystem-Ebene sind zwei verschiedene Türen und man muss beide betrachten.
Stufe 4 – Die eigene Infrastruktur. Wer maximale Unabhängigkeit will, kontrolliert möglichst viel selbst: quelloffener Messenger oder eigener XMPP Server, entgoogeltes Betriebssystem, im Idealfall selbst betriebener Dienst. Diese Konstellation übersteht politische Entscheidungen unabhängig davon, wie ein einzelner Anbieter sich verhält.
Ein nüchternes Wort zu Apple, und warum „vorsorglich planen“ klüger ist
Ein Detail, das in der öffentlichen Debatte zu kurz kommt: Apple hatte bereits 2021 eine clientseitige Durchsuchung für iCloud-Fotos vorgeschlagen, sie nach massiver Kritik aber Ende 2022 wieder verworfen. Zugleich ist auf modernen Geräten die Technik für eine solche Analyse bereits vorhanden – etwa in Form der geräteseitigen Erkennung von Nacktbildern zum Schutz Minderjähriger. Diese Funktion ist heute harmlos ausgerichtet (sie warnt, sie meldet nicht). Aber sie zeigt: Die Infrastruktur für eine geräteseitige Durchsuchung liegt bereit. Sie umzuwidmen wäre eine politische, keine technische Entscheidung.
Deshalb ist dein Instinkt richtig, vorsorglich so zu planen, als könnte clientseitiges Scannen kommen – auch ohne EU-Zwang. Der Druck ist international (Online Safety Act im Vereinigten Königreich, Gesetzesvorhaben in den USA), und der Trend zeigt eher weg von der Verschlüsselung. Wer seine Kommunikation heute auf überprüfbare, unabhängige Bausteine stellt, muss morgen nicht hektisch reagieren.
Klarstellung
Dieser Beitrag ist keine Anleitung zur Verbreitung oder Verschleierung von Missbrauchsdarstellungen (CSAM). Der sexuelle Missbrauch von Kindern ist ein schweres Verbrechen, und der Schutz von Kindern ist ein legitimes und dringendes Anliegen.
Worum es hier geht, ist etwas anderes: das ebenso legitime Recht rechtstreuer Bürgerinnen und Bürger, Journalisten, Unternehmer und Mandanten auf vertrauliche Kommunikation. Die fachliche Kritik – auch von Datenschutzbehörden und Kryptografen – richtet sich nicht gegen den Kinderschutz, sondern gegen das Mittel der anlasslosen Massendurchsuchung, das die Vertraulichkeit aller Kommunikation antastet, um einen kleinen Anteil rechtswidriger Inhalte zu finden. Wirksamer Kinderschutz und der Schutz privater Kommunikation schließen sich nicht aus – gute Politik muss beides leisten.
Wie geht es weiter?
Die Abstimmung vom 9. Juli ist ein Rückschlag für die Privatsphäre, aber sie ist das mildere der beiden Dossiers. Die eigentliche Weichenstellung fällt bei den weiterlaufenden Verhandlungen zur dauerhaften Verordnung im Herbst. Bis dahin gilt: ruhig bleiben, den Unterschied zwischen den beiden Regelungen kennen, sensible Kommunikation auf verschlüsselte und überprüfbare Kanäle verlagern – und den weiteren Verlauf beobachten.
Wenn du wissen möchtest, wie ein konkretes, auf deine Situation zugeschnittenes Kommunikations-Setup aussehen kann – von der App-Auswahl über das Betriebssystem bis zur Frage, was eine Rufnummer außerhalb der EU tatsächlich bringt und was nicht –, sprich mich gern an.
Dieser Beitrag gibt den Stand vom 9. Juli 2026 wieder. Die Rechtslage entwickelt sich; einzelne Angaben können zu einem späteren Zeitpunkt überholt sein.
