Die EU-Staaten wollen ein totes Gesetz zur freiwilligen Chatkontrolle zurückbringen. Im EU-Parlament regt sich Widerstand. Die Verhandlungen zur dauerhaften Chatkontrolle-Verordnung gehen in die Sommerpause. Wir veröffentlichen eingestufte Verhandlungsdokumente.

Die EU-Staaten wollen die Datenschutz-Regeln wieder schwächen, damit Internet-Dienste Inhalte ihrer Nutzer durchsuchen dürfen. Der Rat hat heute eine neue vorübergehende Ausnahme der E‑Privacy-Verordnung auf den Weg gebracht.

Wir veröffentlichen zehn interne Dokumente zu den Chatkontrolle-Verhandlungen.

Ausnahme ausgelaufen und wirkungslos

Die EU-Datenschutzrichtlinie für elektronische Kommunikation verbietet das Überwachen von Nachrichten ohne Einwilligung der betroffenen Nutzer. Von 2021 bis April hat eine vorübergehende Ausnahme Anbietern erlaubt, die Inhalte ihrer Nutzer freiwillig zu scannen.

Im März stimmte das EU-Parlament gegen eine weitere Verlängerung. Damit lief die Ausnahme-Regel am 3. April aus. Befürworter der freiwilligen Chatkontrolle befürchten, dass ohne dieses Gesetz weniger Kindesmissbrauch im Internet gemeldet wird.

Doch das stimmt nicht, die Polizei erhält weiterhin massenhaft Hinweise. Einige Big-Tech-Unternehmen scannen einfach weiter und berufen sich dafür auf andere Rechtsgrundlagen.

Deutschland für freiwillige Chatkontrolle

Obwohl die Ausnahme-Regel für die freiwillige Chatkontrolle nicht notwendig ist und vom EU-Parlament abgelehnt wurde, soll sie wieder eingeführt werden. EU-Parlamentspräsidentin Roberta Metsola hatte einen neuen Anlauf gemacht.

Die Bundesregierung unterstützt den Vorschlag. Das Bundesinnenministerium wies die deutsche Delegation an: „Die schnellstmögliche Wiederherstellung der Rechtslage vor Auslaufen der Interims-Verordnung hat höchste Priorität.“ Die deutsche Gesandte sagte in Brüssel, „dass es um die Bekämpfung eines schweren Verbrechens gegen Kinder gehe und man deswegen keine Zeit verlieren dürfe“.

Auch eine deutsche Beamte der EU-Kommission macht Druck. Die freiwillige Chatkontrolle „habe 15 Jahre sehr gut funktioniert“ – also lange vor der Ausnahme-Regel. Trotzdem drohen einige Unternehmen, „nach der Sommerpause die freiwillige Aufdeckung [einzustellen]“. „Der Rat müsse nun schnell handeln, damit das Parlament-Plenum noch im Juli darüber abstimmen könne.“

Abstimmen, bis das Ergebnis passt

Letzte Woche haben die EU-Staaten die Ratspräsidentschaft beauftragt, einen neuen Vorschlag vorzulegen. Den haben sie heute angenommen. Nächste Woche stimmt das EU-Parlament darüber ab, ob sie das Gesetzgebungsverfahren mit Dringlichkeit fortsetzen.

Wichtige Abgeordnete lehnen das ab. Die Berichterstatterin Birgit Sippel kritisiert das „unlautere Manöver“: „Als Berichterstatterin für die Interim-Verordnung werde ich eine Verlängerung zu den Bedingungen der Mitgliedstaaten nicht unterstützen.“

Auch die EU-Staaten sind „nicht sicher, ob eine Mehrheit im Parlament zustande“ kommt.

Keine Einigung bei Trilog

Gefährlicher als die vorübergehende Ausnahme ist die dauerhafte Chatkontrolle-Verordnung. Seit vier Jahren verhandeln die EU-Institutionen. Eine Einigung im Trilog ist weiterhin nicht in Sicht.

Die Kommission will Hoster und Kommunikations-Dienste verpflichten, die Inhalte aller Nutzer auf Straftaten zu durchsuchen. Das Parlament will Internet-Dienste verpflichten, die Inhalte verdächtiger Nutzer auf Straftaten zu durchsuchen. Die EU-Staaten wollen keine Verpflichtung für Internet-Dienste, sie sollen Inhalte freiwillig scannen dürfen.

Die Trilog-Verhandlungen haben bisher vor allem wenige kontroverse Aspekte geeinigt. Darunter sind Pflichten zum Entfernen und Sperren bekannter Straftaten. Sprachnachrichten und Anrufe sollen nicht gescannt werden. Eine Altersverifikation wird nicht verpflichtend.

Verpflichtend oder freiwillig

Knackpunkt der Verhandlungen bleibt die Frage, ob Dienste-Anbieter die Inhalte ihrer Nutzer freiwillig scannen dürfen oder sogar gegen ihren Willen scannen müssen. Die Ratspräsidentschaft hat eine „Mischung zwischen freiwilliger und verpflichtender Aufdeckung, getrennt nach öffentlichen und nicht-öffentlich zugänglichen Inhalten“ vorgeschlagen. Die EU-Staaten haben dazu keine einheitliche Position.

In der letzten Verhandlungsrunde auf Arbeitsebene wurde das Thema „nur kurz angesprochen“. Bisher hatte das EU-Parlament eine freiwillige Chatkontrolle „generell abgelehnt“. Jetzt sind die Abgeordneten bereit, „die freiwillige Aufdeckung zu prüfen“.

Das Parlament hat „aber sehr deutlich gemacht, dass Ende-zu-Ende Verschlüsselung nicht unter den Anwendungsbereich fallen dürfe und keine Verpflichtung zur generellen Überwachung erfolgen dürfe“.

Deutschland ist nicht gegen verpflichtende Chatkontrolle, „solange sie eine ergänzende Maßnahme zu freiwilligen Durchsuchungen“ darstellt. Der Umfang der freiwilligen Chatkontrolle sollte „nicht eingeschränkt werden und sich sowohl auf bekannte als auch auf unbekannte CSAM-Inhalte sowie auf Grooming beziehen“.

Keine Einigung im Sommer

Eine Einigung im Trilog wird es wohl nicht so bald geben. Gestern ist die EU-Ratspräsidentschaft von Zypern auf Irland übergegangen.

Letzte Woche war noch geplant, dass die technischen Verhandler im Juli noch zweimal tagen. Diese Woche sagen Verhandler, dass die Juli-Termine für technische Verhandlungen abgesagt sind. Der Trilog macht Sommerpause.

Der nächste politische Trilog ist „für den 29. September vorgesehen“. Dann ist Herbst – und das dritte Quartal fast vorbei.

Update: Zwei weitere Dokumente ergänzt.

---

Hier die Dokumente in Volltext:

• 2026-06-12: Aktueller Stand – Ratspräsidentschaft
• 2026-06-17: Stellungnahmen der Delegationen – Rat
• 2026-06-17: Sitzung der JI-Referent*innen – Protokoll
• 2026-06-22: Vorbereitung auf Trilog – Ratspräsidentschaft
• 2026-06-22: Aktueller Stand – Ratspräsidentschaft
• 2026-06-26: Ausschuss der Ständigen Vertreter – Weisung
• 2026-06-26: Ausschuss der Ständigen Vertreter – Protokoll
• 2026-06-29: Text der Präsidentschaft – Ratspräsidentschaft
• 2026-06-30: Sitzung der JI-Referent*innen – Protokoll
• 2026-07-02: Ausschuss der Ständigen Vertreter – Weisung

---

• DKOR-ID: BRUEEU 2026-06-17 58505
• Geheimhaltungsgrad: Verschlusssache – Nur für den Dienstgebrauch
• Datum: 17. Juni 2026
• Von: Ständige Vertretung der BRD bei der EU
• An: Auswärtiges Amt
• Kopie: BMI, BMJV, BKAmt, BMBFSFJ, BMF, BMG, BMWE
• Betreff: Sitzung der JI-Referent*innen am 17. Juni 2026
• Zweck: Zur Unterrichtung
• Geschäftszeichen: 350.80

Sitzung der JI-Referent*innen zur CSA-VO am 17. Juni 2026

I. Zusammenfassung und Wertung

In der Aussprache zu Dok. 10431/26 zeigte sich überwiegende Zustimmung zu den Vorschlägen des Vorsitzes. Es blieben jedoch zahlreiche Fragen zur konkreten Ausgestaltung der Sperr- und Auslistungs-Anordnungen offen. Unterschiedliche Auffassungen gab es zum Ausschluss von Audiokommunikation aus dem Anwendungsbereich. Auch wurde die vorgeschlagene forcemajeure Klausel (Zeile 44) von einigen Delegation als zu weitgehend erachtet.

Zur Frage des weiteren Verfahrens zur Aufdeckung von CSAM gab es nur wenige Wortmeldungen. Diese bezogen sich jedoch im Wesentlichen auf die Frage, ob und wie weit verschlüsselte Kommunikation aus dem Anwendungsbereich herausgenommen werde.

Vorsitz wird am 26. Juni dem AStV einen Sachstand vorlegen und um Bestätigung bitten, dass mit dem Gesamtpaket zur Aufdeckung (Mischung aus freiwilliger Aufdeckung und Aufdeckungsanordnung, getrennt nach öffentlich zugänglichen und nicht-öffentlich zugänglichen Inhalten) weiterverhandelt werden soll.

II. Im Einzelnen

zu Dokument 10431/26

Artikel 1 und 2

Zeilen 106a, 137

Der Ausschluss von Audiokommunikation und die vom EP vorgeschlagene Klarstellung zu Audio Tracking bei Videos wurde von uns ebenso wie von FIN, ITA und POL begrüßt. Für eine Beibehaltung von Audio im Anwendungsbereich sprachen sich hingegen FRAU, HUN und BGR aus. LTU erklärte, dem Ausschluss von Audio zustimmen zu können, wenn dies nur für nicht-öffentliche Inhalte gelte. FRA unterstützte ausdrücklich den Verweis auf die e‑evidence RL in Zeile 137. HRV bat hier um die Ergänzung von Metadaten, welche sich auch Inhaltsdaten ergäben. KOM gab zu bedenken, dass man hier präzise sein und festlegen müsse, ob Audio aus dem kompletten Anwendungsbereich herausgenommen werde oder nur bei der Aufdeckung. Ein Ausschluss aus dem kompletten Anwendungsbereich führe dazu, das Audio auch nicht Teil des Risikomanagements sein werde und Diensteanbieter Meldungen z.B. von Nutzern nicht verarbeiten dürften. Zudem sei nicht klar, ob es nur um gespeicherte Videos ginge oder livestreaming, das leider sehr relevant in diesem Kontext sei. Es sei auch nicht klar, was mit „embedded content“ sei oder mit animierten Bildern.

Zeile 129

Lediglich POL ging explizit auf den Textvorschlag ein und begrüßte die Idee der Verschiebung in einen EG. KOM hingegen sah es mit Hinweis auf den simplification Omnibus als notwendig an, dies im verfügenden Teil zu regeln.

Zeilen 130, 130a, 134

Wir betonten, dass die Anleitungen zum sexuellen Kindesmissbrauch in den Anwendungsbereich fallen müssten, zeigten uns aber flexibel, wie dies in der VO verankert werde (auch HRV). NLD sprach sich gegen eine eigene Definition aus. FRA plädierte dafür, dies Frage wie bei der CSA-RL zu handhaben (auch ITA, LTU). SWE legte hierzu PV ein. KOM erläuterte, dass man sich in der RL für eine getrennte Lösung entschieden habe, da die MS bei der konkreten Höhe der Strafen flexibel sein wollten. Dieses Problem bestehe bei der VO aber nicht. Eine ausdrückliche Nennung sei sinnvoll, auch weil man dann Hashes für solche Handbücher generieren und Löschung veranlassen könne.

Zeilen 141b (i.V.m. Artikel 13 und 48)

FIN begrüßte grundsätzlich die vorgeschlagene Definition (auch POL), machte aber klar, dass das konkrete Verfahren der „Eilmeldung“ bzw. wann ein solcher Fall eintrete noch nicht eindeutig sei. Auch müsse das Verhältnis zu Art. 18 DSA geklärt werden. KOM stimmte zu, dass man hier gerade beim Begriff „fortlaufender Missbrauch“ genauer definieren müsse, um zu viele (ungerechtfertigte) Meldungen zu vermeiden.

Artikel 14–15, Artikel 16–18, Artikel 18a‑c

FRA erneuerte seine Bedenken, dass Regelungen entgegen dem etablierten FRA Behördensystem geschaffen würden. Die Verfahren in den Zeilen 341c und h würden von der TCO-VO abweichen und seien zu langsam. Zu den Sperranordnungen komme von FRA ein Textvorschlag. Zur URL-Liste sei nicht klar, wie diese erstellt werde und ob sie tatsächlich nur bekanntes Material betreffen solle (ähnlich HUN). Auslistungs-Anordnungen schließlich sollten nicht zeitlich begrenzt sein (auch ITA, LTU).

HRV sah in dem gewählten Text für „force majeure“ ein zu einfaches Schlupfloch für die Diensteanbieter (auch SWE, HUN, BGR).

ITA erinnerte an die bekannte Haltung, dass Entfernungsanordnungen nur durch justizielle Stellen erlassen werden dürften (SWE deutlich dagegen). Im Falle der Art. 16–18 könne man eine direkte Übermittlung an Strafverfolgungsbehörden mit anschließender justizieller Überprüfung akzeptieren. ITA sei bereit, den Vorschlag des EP zu Art. 14 und 15 zu prüfen. Es müsse aber klar sein, dass dies das Verfahren nicht über Gebühr verlangsamen dürfe. ITA spreche sich zudem für die EP Forderung nach starken Entschädigungsregeln aus.

LVA zeigte große Skepsis gegenüber dem Wunsch des EP, die geklammerten Stellen in Zeilen 395–406 wieder aufzunehmen. Dies könne das Verfahren erheblich verlangsamen. (ähnlich LTU).

KOM erklärte, dass die URL Liste zu größtmöglicher Kohärenz führen werde. Die MS könnten die festgestellten URL live einspeisen. Dass die Liste „nur“ bekanntes Material enthalte, läge daran, dass die MS die URL nur melden würden, wenn CSAM dort festgestellt worden sei. Damit sei das Material automatisch bekanntes Material.

Artikel 43

Wir begrüßten die vorgeschlagene Verschlankung des Textes. FRA bat um Ergänzung der Interpol Datenbank in Art. 43d. KOM hingegen plädierte für eine klare und abschließende Beschreibung der Aufgaben des Zentrums. Das Zentrum habe eine zentrale Rolle in der Verordnung und das Mandat müsse klar beschrieben sein. Es sei nicht sinnvoll, dass die Aufgaben „über den ganzen Text verstreut würden“. KOM werde hierzu eine Textvorschlag vorlegen.

Artikel 66

HRV erneuerte, unterstützt von ITA, HUN und LUX, seine Forderung, den Technologieausschuss für alle MS zu öffnen. ITA sprach sich zudem gegen den von der KOM in der letzten Sitzung eingebrachten Vorschlag für eine Öffnung für nicht MS-Staatsangehörige aus. Dies unterlaufe die Bemühungen der EU für technologische Souveränität. FRA forderte, Bestimmungen zu Interessenskonflikten im Text aufzunehmen.

Artikel 89

FRA sah es als zu früh an, über diese Frage zu diskutieren. ITA sah es als ausreichend an, freiwillige Maßnahmen erst zuzulassen, wenn das EU Zentrum seinen Betrieb aufgenommen habe.

Vorsitz bat abschließend um evtl. weitere schriftliche Kommentare bis heute Dienstschluss.

zu Dokument 9659/26

Vorsitz dankte eingangs allen MS; die schriftliche Kommentare eingereicht hätten und bat um evtl. weitere Stellungnahmen.

FIN machte klar, verpflichtende Aufdeckung in interpersoneller Kommunikation mit nicht öffentlich zugänglichen Inhalten nicht akzeptieren zu können. In öffentlich-zugänglichen Inhalten sei dies akzeptabel. Freiwillige Aufdeckung müsse im Rahmen bleiben und keine Inhalte sondern lediglich „patterns“ identifizieren. FIN sei auch gegen eine Suche durch das Zentrum.

MLT und FRA erneuerten die Forderung, den Anwendungsbereich auf bekanntes und neues Material sowie Grooming zu erstrecken. FRA ergänzte, dass die Verordnung bewährte Verfahren nicht unterlaufen und erschweren dürfe.

Auch POL unterstrich noch einmal die bekannte Position, dass ein generelles Monitoring zu vermeiden sei und Aufdeckung im nicht-öffentlichen Bereich nur gezielt erfolgen dürfe.

NLD, unterstützt von LUX und ITA stellten die Frage, ob und in welcher Form verschlüsselte Inhalte vom Anwendungsbereich ausgeschlossen seien und baten dahingehend um Klarstellung im Text.

Vorsitz verwies hierzu lediglich auf die allgemeine Ausrichtung, welche Encryption nicht explizit ausschließe.

Abschließend informierte Vorsitz über die geplante Befassung des AStV am 26. Juni. Man wolle einen Sachstand aufbereiten und über den Ansatz zur Aufdeckung informieren. Man habe schon das Gefühl, dass man mit diesem Ansatz weiterarbeiten könne. Natürlich müsse man an den einzelnen Elementen arbeiten und insbesondere der jeweilige Anwendungsbereich sei problematisch. Man habe mit EP zumindest in Ansätzen zur Aufdeckung in öffentlichen Inhalten gesprochen. Hier sei EP aber bislang nur zur Anwendung auf bekanntes Material bereit. Am Rande der Sitzung sprach EP zudem davon, dass die MS im AStV auch rote Linien vorbringen könnten.

Einen von der KOM vorgeschlagenen Text zur Angleichung an den DSA werde man im nächsten ITM diskutieren und ggf noch diese Woche den MS vorlegen.

---

• Geheimhaltungsgrad: Verschlusssache – Nur für den Dienstgebrauch
• Von: BMI, Referat CI 6, Grundsatz Cyberfähigkeiten der Sicherheitsbehörden
• An: Auswärtiges Amt, EU-Koordinierungsgruppe (EG11)
• Beteiligte Referate im BMI: CI 8, ÖS I 1, ÖS I 4, L 3, E 2
• Beteiligte Ressorts: BMJV, BMDS, BMBFSFJ, AA, BMF, BMWE, BKAmt
• Betreff: 3036. AStV-2 am 26. Juni 2026
• TOP: 49 – Prävention und Bekämpfung des sexuellen Missbrauchs von Kindern
• Hier:
  1. Festlegung von Vorschriften zur Prävention und Bekämpfung des sexuellen Missbrauchs von Kindern Vorbereitung des Trilogs
  2. Verordnung zur Änderung der Verordnung (EU) 2021/1232 hinsichtlich der Verlängerung ihrer Geltungsdauer Sachstand und Leitlinien für die weiteren Beratungen
• Dokument: 10499/26
• Weisung

Weisung: 3036. AStV-2 am 26. Juni 2026

1. Ziel des Vorsitzes

Trilogvorbereitung zur CSA-VO sowie aktueller Stand und Leitlinien zur Interims-VO

2. Deutsches Verhandlungsziel/ Weisungstenor

Die freiwillige Aufdeckung durch Anbieter schützt Kinder nicht nur vor sexuellem Missbrauch im Internet, sondern auch vor körperlichem sexuellem Missbrauch. Hinweise auf CSAM sind in vielen Fällen erste Ermittlungsansätze, die im Ergebnis zur Beendigung von anhaltendem Missbrauch führen. Gehen diese Hinweise zurück, bedeutet das auch einen Rückgang an Aufdeckung von laufendem Missbrauch.

Die schnellstmögliche Wiederherstellung der Rechtslage vor Auslaufen der Interims-VO hat daher höchste Priorität.

Die RP wird darin unterstützt, einen weiteren Versuch zur Verabschiedung der Interims-VO zu verfolgen. Der Text einer solchen VO sollte sich möglichst nah an der ausgelaufenen Interims-VO halten. Einschränkungen gegenüber der bisherigen Interims-VO lehnen wir ab.

Die vorgeschlagene Laufzeit der VO bis 03.04.2028 wird unterstützt. Anstelle einer festen Laufzeit könnte die neue Interims-VO bis zum Inkrafttreten der CSA-VO gelten, um ein erneutes Auslaufen wie in diesem Jahr zu vermeiden.

In Bezug auf die Verhandlungen zur CSA-VO wird befürwortet, dass sich der Vorsitz weiterhin auf Grundlage des Kompromissvorschlags auf die entscheidenden Fragen der Aufdeckung konzentriert, abgeschichtet nach den vorgeschlagenen Arten der Aufdeckung, einschließlich der Aufdeckung durch das EU-Zentrum. Diese wesentlichen Fragen sollten nicht zurückgestellt werden, denn auch die weniger schwierigen Nebenbestimmungen können erst dann bewertet werden, wenn die grundsätzliche Ausgestaltung der VO absehbar ist.

3. Sachstand

Zur Interims-VO:

Mit dem Auslaufen der Interims-VO am 03.04. ist eine Rechtsgrundlage entfallen, die den Anbietern nummernunabhängiger Telekommunikationsdienste (z.B. E‑Mail oder Messengerdienste) ein Abweichen von den nationalen Regelungen zur Umsetzung des Verbots der Überwachung von Kommunikationsinhalten nach Art. 5 der e‑Privacy Richtline erlaubt hatte. Es ist daher von einem Rückgang an Hinweisen auf CSAM auszugehen, der sich derzeit aber noch nicht eindeutig aus den vorliegenden Zahlen des BKA ablesen lässt.

Ursprünglich verfolgte Verlängerung der Interims-VO war gescheitert, da sich EP und Rat nicht auf eine Position einigen konnten.

EP-Präs. Metsola signalisierte bei ER Bereitschaft, 2. Lesung im EP durchzuführen. Hierfür müsste Rat (neuerliche) Position in 1. Lesung annehmen, die bereits einmal vom EP abgelehnt wurde und für die auch jetzt nicht sicher ist, ob Mehrheit im EP zustande käme. Zudem befürchtet Vorsitz Schwächung der Verhandlungsposition des Rates bei eigentlicher CSA-VO. CYP-RP bittet daher AStV um Festlegung, ob weiterer Versuch zur Verabschiedung der Interims-VO erfolgen soll.

Zur CSA-VO:

Vorsitz hat Trilog intensiv vorangetrieben und zu vielen Teilen der VO Einigung mit EP erzielt. Zudem in Absprache mit KOM Angleichung an die Bestimmungen des DSA erreicht. Hinsichtlich der stark abweichenden Positionen des EP und des Rates zu Aufdeckung (EP setzt auf sehr stark eingegrenzte, aus Sicht der Praktiker nicht praktikable, Aufdeckungsanordnung, Rat auf Freiwilligkeit wie bei der Interims-VO) gab es erste Ideen des Vorsitz Diese zeichnen sich durch Mischung aus freiwilligen und verpflichtenden Maßnahmen und Trennung zwischen öffentlich zugänglichen Inhalten und nicht-öffentliche zugänglichen Inhalten aus. Angesichts bekannter kritischer Haltung des EP zur freiwilligen Aufdeckung dürfte Einigung schwierig werden.

---

• DKOR-ID: BRUEEU 2026-06-26 73442
• Geheimhaltungsgrad: Verschlusssache – Nur für den Dienstgebrauch
• Datum: 26. Juni 2026
• Von: Ständige Vertretung der BRD bei der EU
• An: Auswärtiges Amt
• Kopie: BMI, BMJV, BKAmt, BMBFSFJ, BMF, BMG, BMWE
• Betreff: 3036. AStV-2 am 26. Juni 2026
• TOP 49: Preventing and combatting child sexual abuse – Interims-VO ist überraschend wieder im Spiel
• Hier:
  1. Regulation laying down rules to prevent and combat child sexual abuse
  2. Regulation amending Regulation (EU) 2021/1232 as regards the extension of its period of application
• Bezug: 10449/26
• Zweck: Zur Unterrichtung
• Geschäftszeichen: 350.80

3036. AStV-2 am 26. Juni 2026

I. Zusammenfassung und Wertung

Nachdem EP-Präsidentin Metsola das Aufleben der bereits am EP gescheiterten Interims-VO beim Europäischen Rat in der vergangenen Woche in Aussicht gestellt hatte, befasst sich der AStV-2 am 26. Juni mit deren Neuauflage. Die Sitzung erbrachte einen klaren Auftrag seitens der MS an die Vorsitz, das Angebot des EP für eine 2. Lesung zur Interims-VO anzunehmen und dazu schnellstmöglich einen angepassten Standpunkt des Rates in 1. Lesung vorzulegen. Es wurde dabei deutlich, dass die MS hierbei eine Übernahme des Textes der im April ausgelaufenen Interims-VO wünschten. Dem KOM Vorschlag, ggf. eine längere oder flexible Laufzeit bis zum Inkrafttreten der endgültigen CSA-VO vorzusehen, schlossen sich neben mir auch LVA, MLT, SVN und EST an. Ich unterstützte ebenso wie FRA, LVA und GRC den Appell der KOM, die Arbeiten zügig voranzutreiben, damit das EP in seiner Plenumssitzung Anfang Juli abstimmen könne.

Die Abfrage des Vorsitz, ob man im kommenden Trilog zur CSA-VO mit dem EP das Thema Aufdeckung auf Basis des vorgelegten Vorschlags (Mischung zwischen freiwilliger und verpflichtender Aufdeckung, getrennt nach öffentlichen und nicht-öffentlich zugänglichen Inhalten) aufgreifen solle, ergab kein eindeutiges Ergebnis.

Vorsitz sagte zu, noch unter eigenem Vorsitz einen Text für die Interims-VO vorzulegen und im Rat zu diskutieren. Zur Dauer der Verlängerung der Interims-VO sowie zum genauen Inhalt des am Montag stattfindenden Trilogs äußerte sich Vorsitz in seinen Schlussfolgerungen nicht.

II. Im Einzelnen

Vorsitz berichtete eingangs über den erzielten Fortschritt in den Trilogen. Man habe zu einem großen Teil der CSA-VO Einigung mit dem EP erzielt. Der Komplex Aufdeckung sei aber sehr schwierig. Vorsitz habe einen Kompromissvorschlag vorgelegt, der versuche, die weit auseinander liegenden Positionen des EP und des Rates zusammenzubringen. EP habe Bereitschaft signalisiert, sich damit zu befassen, lehne aber weiterhin freiwillige Aufdeckung ab. Vorsitz bitte daher um Leitlinien für den Trilog am 29. Juni. Es sei zu entscheiden, ob Vorsitz zunächst nur die weitestgehend geeinigten Textteile versuche abzuschließen (Option B) oder den Kompromissvorschlag zur Aufdeckung bereits in die Verhandlungen einbringe (Option A).

Des Weiteren sei es notwendig, auf ein Angebot des EP zu reagieren, doch noch eine Einigung zur Interims-VO zu suchen, um die derzeit bestehende Rechtslücke zu schließen. EP wolle die 2. Lesung durchführen. Hierfür brauche es einen neuen Text und eine Ratsposition in 1. Lesung. EP könne dann in 2. Lesung entscheiden, ob es den Text übernehme oder nicht. Sollte das EP nicht innerhalb von 3 Monaten entscheiden, gelte die Ratsposition als angenommen.

KOM (GD HOME, Beate Gminder) begrüßte den erzielten Fortschritt und sah im Kompromissvorschlag zur Aufdeckung den richtigen Ansatz. KOM sehe für den kommenden Trilog ausreichend Themen, die man abschließen könne. Ggf. könne man auch bereits das Thema Aufdeckung in öffentlich zugänglichen Inhalten ansprechen. Es sei wichtig, das derzeitige Momentum zu nutzen. Zur Interims-VO herrsche dringender Handlungsbedarf. Die darauf basierende Aufdeckung durch die Diensteanbieter habe 15 Jahre sehr gut funktioniert und die festgestellten und übermittelten Inhalte seien die Hauptquelle von Ermittlungen gewesen. Das EP-Angebot sei eine Chance, die man ergreifen müsse. Der Rat müsse nun schnell handeln, damit das EP-Plenum noch im Juli darüber abstimmen könne. Es gäbe Signale der Diensteanbieter, dass man ggf. nach der Sommerpause die freiwillige Aufdeckung einstellen werde. Hinsichtlich der Laufzeit der Interims-VO könne sich KOM auch einen längeren Zeitraum, ggf. auch eine Formulierung „bis zum Inkrafttreten der CSA-VO“ vorstellen, um zu vermeiden, dass man in 2 Jahren wieder vor der gleichen Problematik stehe.

Ich unterstrich, dass es um die Bekämpfung eines schweren Verbrechens gegen Kinder gehe und man deswegen keine Zeit verlieren dürfe (auch LVA und FRA). Insofern unterstütze ich die Ausführungen der KOM und plädierte für eine erneute Befassung des AStV in der nächsten Woche. Man müsse das Angebot des EP annehmen und die unveränderte Rechtslage wie vor Auslaufen der Interims-VO wiederherstellen. Auch hinsichtlich der Laufzeit unterstütze ich den Vorschlag der KOM. Dies könnte ein Weg sein, eine erneute Rechtslücke zu vermeiden. Hinsichtlich des Trilogs am kommenden Montag seien wir der Auffassung, dass man sich weiterhin auf die zentrale Frage der Aufdeckung konzentrieren müsse. Dieses könne man nicht zurückstellen, da auch die weiteren Bestimmungen der VO erst bewertet werden könnten, wenn die Fragen zur Aufdeckung geklärt seien.

Für eine Annahme des Angebots des EP und die Vorlage einer zur ausgelaufenen Interims-VO textidentischen Ratsposition sprachen sich alle MS außer ITA aus. Hierbei gaben BEL, LTU, MLT und POL zu bedenken, dass dies nicht die Verhandlungen zur CSA-VO negativ beeinflussen dürfe.

ITA lehnte eine Lösung wie die Interims-VO aus generellen Erwägungen ab. Man habe sich hierzu auf technischer Ebene bereits mehrfach geäußert.

Hinsichtlich der Abfrage, ob man beim kommenden Trilog auf Basis des Kompromissvorschlages bereits Verhandlungen zur Aufdeckung beginnen solle (Option A) oder ob man lediglich versuchen solle, im Grundsatz geeinigte Textteile zu finalisieren (Option B), ergab sich zwar eine grundsätzliche Zustimmung zum Kompromissvorschlag, aber ein uneinheitliches Bild zum weiteren Verfahren.

Für Option A sprachen sich neben mir auch ESP, FIN, LVA, SVK, NLD, DNK, POL, ROU und GRC aus. Option B wurde von FRA, PRT, HRV, AUT, CZE, MLT, SVN, HUN und SWE bevorzugt. Die übrigen MS äußerten sich nicht oder nicht eindeutig.

LUX sah ebenso wie EST, AUT (mit Hinweis auf Position des AUT Parlaments) und ITA noch technischen Diskussionsbedarf zum Kompromissvorschlag zur Aufdeckung. ITA bat insbesondere darum, das EP um Erläuterung zu bitten, wie die Aufdeckung nur für bestimmte Personen/Gruppen funktionieren soll (ähnlich AUT).

Vorsitz schlussfolgerte eine breite Unterstützung für eine Annahme des EP Angebots zur Interims-VO. Man werde eine Text für die Beratung auf technischer Ebene noch unter eigenen Vorsitz vorlegen und diskutieren.

---

• DKOR-ID: BRUEEU 2026-06-30 54649
• Geheimhaltungsgrad: Verschlusssache – Nur für den Dienstgebrauch
• Datum: 30. Juni 2026
• Von: Ständige Vertretung der BRD bei der EU
• An: Auswärtiges Amt
• Kopie: BMI, BMJV, BKAmt, BMBFSFJ, BMF, BMG, BMWE, BMDS
• Betreff: Sitzung der JI-Referent*innen am 30. Juni 2026
• Zweck: Zur Unterrichtung
• Geschäftszeichen: 350.80

Sitzung der JI-Referent*innen zur CSA-VO am 30. Juni 2026

I. Zusammenfassung und Wertung

TOP 2: Proposal for a Regulation laying down rules to prevent and combat child sexual abuse

Outcome of the fifth trilogue on 29 June 2026

Vorsitz berichtete vom gestrigen Trilog, bei dem man für große Teile des Textes eine politische Einigung erzielen konnte. Eine neue Textfassung werde gerade von IRL vorbereitet. Man habe auch einen ersten kurzen Austausch zum Komplex Aufdeckung gehabt.

Folgende Einigung sei erzielt worden:

Zu Audio habe man sich darauf verständigt, Audio in Videos im Anwendungsbereich zu belassen. „Sprachnachrichten“ können gemeldet werden, aber unterliegen nicht der Aufdeckung. Anrufe sind nicht vom Anwendungsbereich umfasst.

Zur Altersverifikation gab es schwierige Verhandlungen, da der Rat diese verpflichtend haben wollte, das EP aber auf „kann“ bestand. Zudem bestand das EP auf eine lange Liste von Sicherungsmaßnahmen, die das Verfahren quasi unmöglich gemacht hätten. Daher sei man – im Zuge eines Gesamtkompromisses – davon abgerückt, Altersverifikation in den Risikominderungsmaßnahmen explizit aufzuführen. Anbieter könnten diese aber nach wie vor einsetzen. Im Gegenzug habe EP seine umfangreiche Liste zur Risikobewertung und zur Risikominderung aufgegeben.

Bei grenzüberschreitenden Entfernungs- und Auslistungsanordnungen habe man sich auf das TCO-Modell verständigt.

Die Verhandlungen zu den Sperranordnungen hätten dazu geführt, dass das EP die Ratsposition plus die Möglichkeit zur Klage akzeptiert habe. Zu den Behörden sei EP von seiner ursprünglichen Forderung, dass nur justizielle oder unabhängige Stellen diese ausstellen dürften, abgerückt. Es sei gelungen, eine Ausnahmeklausel zu formulieren, die die Möglichkeit offenhalte, dass dies Anordnungen in bestimmten Fällen auch durch die „zuständige Behörde“ ausgestellt werden könnten (mit anschließender justizieller Bestätigung).

Bei der Feststellung von CSAM habe man ebenfalls eine Formulierung gefunden, die nicht mehr auf der EP Forderung nach „faktischer Unabhängigkeit“ beruhe, sondern – mit engen Bedingungen – zulasse, dass Strafverfolgungsbehörden „zuständige Behörden“ sein könnten.

Zur Übermittlungsdauer von CSAM habe man sich aufgrund der sehr unterschiedlichen Mandate von EP und Rat auf „3 Monate für alles“ geeinigt.

Den Komplex Aufdeckung habe man nur kurz angesprochen. Man könne als erstes Ergebnis festhalten, dass EP zumindest Bereitschaft erklärt habe, die freiwillige Aufdeckung zu prüfen. Bislang habe EP dies generell abgelehnt. EP habe aber sehr deutlich gemacht, dass Ende-zu-Ende Verschlüsselung nicht unter den Anwendungsbereich fallen dürfe und keine Verpflichtung zur generellen Überwachung erfolgen dürfe. Dann sei man bereit, mit dem Vorschlag des Vorsitz zur Aufdeckung weiter zu arbeiten.

Auf Nachfrage ITA erläuterte Vorsitz, dass im Trilog die Frage, welche Art von CSAM in den Anwendungsbereich fallen solle, noch kein Thema war.

TOP 3: Proposal for a Regulation amending Regulation (EU) 2021/1232 as regards the extension of its period of application

Examination of Presidency text

Dok: 11100/26

Vorsitz erläuterte kurz die Beweggründe des gewählten Verfahrens. Man habe sich bewusst soweit als möglich an den damaligen KOM Vorschlag zur Verlängerung der Interims-VO gehalten. Es seien aber einige technische Anpassungen notwendig gewesen, da es sich nicht mehr um eine Verlängerung handele. Das Gültigkeitsdatum (April 2028) wolle man ebenfalls beibehalten. Es sei im Frühjahr vom Rat als ausreichend erachtet worden und nun sei man in den Verhandlungen zur CSA-VO ja deutlich weitergekommen. Es sei schwierig, dem EP nun erneut volle 2 Jahre vorzuschlagen. Dies könne ein falsches Signal sein. Der von der KOM vorgeschlagenen Lösung, die Laufzeit an die Verabschiedung der CSA-VO zu koppeln, berge die große Gefahr, beim EP starken Widerstand hervorzurufen. Man sehe nur dann eine realistische Chance, wenn nicht versuche, noch mehr Zeit „herauszuschlagen“.

Dieser Einschätzung stimmten im Wesentlichen alle wortnehmenden MS (POL, FRA, DEU, NLD, BEL, LTU, DNK, ESP, LVA, HRV, PRT, MLT, SWE, FIN) und zeigten sich daher flexibel, auch wenn vereinzelt der Wunsch nach einem längeren Zeitraum durchaus erkennbar war.

JD ergänzte, dass seine offene Formulierung, wie von der KOM vorgeschlagen, rechtlich auch nicht möglich sei.

Vorsitz schlussfolgerte Zustimmung für den vorgeschlagenen Text und die Festlegung auf eine Laufzeit bis zum 3. April 2028. Der Vorgang (mit entsprechender Ergänzung des Datums und kleinen technischen Änderungen) werde nun dem AStV vorgelegt und gehe anschließend in ein 24-stündiges schriftliche Verfahren. IRL (als Vorsitz ab morgen) erklärte, aufgrund der breiten Zustimmung den Vorgang im AStV als I‑Punkt behandeln zu wollen.

IRL unterstrich zudem, die Trilogverhandlungen zur CSA-VO mit dem zum Komplex Aufdeckungen gewählten Ansatz sowie der gleichen Intensität weiter verhandeln zu wollen. Derzeit plane man ITM am 2. und 13. Juli sowie JI-Referent*innen Sitzung am 14. Juli. Ein politischer Trilog sei für den 29. September vorgesehen. Ab September werde man sich dann auch mit der Sitzfrage des Zentrums befassen.

---

• Geheimhaltungsgrad: Verschlusssache – Nur für den Dienstgebrauch
• Von: BMI, Referat CI 6, Grundsatz Cyberfähigkeiten der Sicherheitsbehörden
• An: Auswärtiges Amt, EU-Koordinierungsgruppe (EG11)
• Beteiligte Referate im BMI: CI 8, ÖS I 1, ÖS I 4, L 3, E 2
• Beteiligte Ressorts: BMJV, BMDS, BMBFSFJ, AA, BMF, BMWE, BKAmt
• Betreff: 3037. AStV-2 am 1. Juli 2026
• TOP: 7 – Verordnung zur Änderung der Verordnung (EU) 2021/1232 hinsichtlich der Verlängerung ihrer Geltungsdauer
• Hier:
  • Vorbereitung der Annahme des Standpunkts des Rates in erster Lesung und der Begründung des Rates
  • Beschluss über die Anwendung des schriftlichen Verfahrens
• Dokument: 11248–26
• Weisung

Weisung: 3037. AStV-2 am 1. Juli 2026

1. Ziel des Vorsitzes

Vorbereitung der Annahme des Standpunkts des Rates zur Interims-VO.

2. Deutsches Verhandlungsziel/ Weisungstenor

Zustimmung

3. Sachstand

Zur Interims-VO:

Mit Auslaufen der Interims-VO am 03.04. ist Rechtsgrundlage entfallen, die Anbietern nummernunabhängiger Telekommunikationsdienste (z.B. E‑Mail oder Messengerdienste) ein Abweichen von nationalen Regelungen zur Umsetzung des Verbots der Überwachung von Kommunikationsinhalten nach Art. 5 der e‑Privacy Richtline erlaubt hatte.

Es ist daher von einem Rückgang an Hinweisen auf CSAM auszugehen, der sich derzeit aber noch nicht eindeutig aus den vorliegenden Zahlen des BKA ablesen lässt.

Ursprünglich verfolgte Verlängerung war gescheitert, da EU und Rat sich nicht auf eine Position einigen konnten.

Nun hat EP-Präs. Metsola beim ER Bereitschaft signalisiert, eine 2. Lesung im EP durchzuführen. Hierfür müsste der Rat eine (neuerliche) Position in 1. Lesung annehmen, die bereits einmal vom EP abgelehnt wurde. Auch jetzt nicht sicher, ob eine Mehrheit im EP zustande käme. Zudem befürchtet Vorsitz eine Schwächung der Verhandlungsposition des Rates bei der eigentliche CSA-VO. CYP-RP bittet daher AStV um Festlegung, ob weiterer Versuch zur Verabschiedung der Interims-VO erfolgen soll.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die europäische Polizeibehörde Europol hat offenbar jahrelang eine Schatten-IT betrieben. Mitarbeitende sollen damit widerrechtlich große Mengen an personenbezogenen Daten durchsucht und ausgewertet haben. Dennoch will die EU-Kommission Europol nun mit deutlich mehr Budget und Personal ausstatten.

Die europäische Polizeibehörde Europol hat offenbar umfangreiche Mengen sensibler Daten auf einer Schatten-IT gesammelt und ausgewertet. Darunter Ausweisdokumente, Telefonverbindungen, Finanz- und Standortdaten – auch von Personen, die keiner Straftat verdächtigt wurden. Das zeigt eine gemeinsame Recherche von Correctiv, Computer Weekly und Solomon.

„Sie schützen das Gesetz – und brechen es“, zitiert Correctiv einen der anonym bleibenden Europol-Insider, die im Text vorkommen. Internen Dokumenten, geleakten E‑Mails sowie Insiderinformationen von Whistleblower:innen zufolge haben Europol-Mitarbeitende diese Daten entgegen bestehender Sicherheitsvorkehrungen und Datenschutzbeschränkungen abrufen können. Es sei nicht nachvollziehbar, wer zu welchem Zeitpunkt auf die Daten zugegriffen, sie geändert oder gelöscht habe.

Die Veröffentlichung der Recherche fällt für Europol in eine politisch sensible Phase. Noch in diesem Jahr will die EU-Kommission voraussichtlich ein Gesetz einbringen, das Europol in eine „wirklich operative Polizeibehörde“ umwandeln soll. Dafür will die Kommission das Personal und das Budget der Behörde verdoppeln.

Europol habe laut der Recherche zwar einige Datenschutzprobleme öffentlich gemacht. Doch weite Teile ihrer Schatten-IT hat die Behörde mutmaßlich vor dem Europäischen Datenschutzbeauftragten geheimgehalten – darunter ein irreguläres System namens „Pressure Cooker“, mit der Europol offenbar geltende EU-Gesetze umging. Das System ist möglicherweise noch heute im Einsatz.

Das „Schwarze Loch“ für die unregulierte Datenanalyse

Auslöser dafür, die Schatten-IT zu entwickeln, waren die Terroranschläge unter anderem auf das Bataclan-Theater in Paris im November 2015. Damals gründete Europol die Task Force „Fraternité“, der EU-Mitgliedstaaten große Datenmengen zuspielte. Europols Cybercrime-Einheit übernahm daraufhin das sogenannte Computerforensik-Netzwerk (CFN), das im Jahr 2012 mit der Absicht eingerichtet worden war, digitales Beweismaterial zu sammeln.

Obwohl Europol das CFN gemeinsam mit der eigenen IT-Abteilung verwalten sollte, entzog sich das Netzwerk bald jener Aufsicht. Innerhalb weniger Jahre habe sich das CFN weit über seinen ursprünglichen Zweck hinaus entwickelt. Ein ehemaliger hochrangiger Europol-Mitarbeiter bezeichnet es laut der Correctiv-Recherche als „Schwarzes Loch“ für die unregulierte Datenanalyse.

Bis 2019 hätten sich im CFN rund 2.000 Terabyte an Daten angesammelt – fast 420-mal so viele Daten wie die reguläre Kriminaldatenbank von Europol enthielt. In mindestens einem Fall – dem Projekt „Focal Point Travellers“ – sollen sie auch vom US-amerikanischen Inlandsgeheimdienst FBI stammen.

„Europol-Analysten konnten so riesige Mengen an personenbezogenen Daten durchforsten, darunter auch Informationen, die sie nicht hätten speichern dürfen, und diese für kriminalistische Analysen zweckentfremden“, heißt es bei Correctiv.

Datenschutzbeauftragter schlug Alarm

Im Jahr 2019, ein Jahr nachdem die EU-Datenschutzgesetze in Kraft getreten waren, schlug der hauseigene Datenschutzbeauftragte von Europol, Daniel Drewer, intern Alarm. Er warnte die drei stellvertretenden Europol-Direktoren, dass im CFN rund 99 Prozent aller Europol-Daten verarbeitet würden. Laut der Recherche reichen die Sicherheitslücken und Versäumnisse von der „ineffektiven Zuweisung von Sicherheitsrollen und ‑verantwortlichkeiten“ über eine „unzureichende Verwaltung privilegierter Zugriffsrechte“ bis hin zur „Nichteinhaltung der Europol-Sicherheitsvorschriften“. Sollte Europol nicht reagieren, warnte Drewer, könnte ein Verbot des CFN das gesamte operative Geschäft von Europol lahmlegen.

Die Direktorin Catherine De Bolle informierte daraufhin im April 2019 den Europäischen Datenschutzbeauftragten. Nach einer jahrelangen Auseinandersetzung ordnete die Datenschutzbehörde schließlich an, die rechtswidrig gespeicherten Daten zu löschen. Erst im Februar 2026 teilte die Aufsichtsbehörde der Gemeinsamen Parlamentarischen Kontrollgruppe, ein Aufsichtsausschuss für Europol aus europäischen und nationalen Abgeordneten, mit, die fast zehnjährige Prüfung des CFN einzustellen – obwohl Europol zentrale Sicherheitsvorkehrungen noch immer nicht umgesetzt hatte.

„Europol hat über Jahre ein paralleles Datensystem betrieben, das jenseits rechtsstaatlicher Kontrolle arbeitet“, sagt Birgit Sippel (SPD) auf Anfrage von netzpolitik.org. Sie ist Europaabgeordnete und Mitglied des Ausschusses für bürgerliche Freiheiten, Justiz und Inneres. „Die Daten unschuldiger Menschen wurden gespeichert und analysiert, ohne dass nachvollziehbar war, wer darauf zugegriffen oder Einträge verändert hat. Das untergräbt das Vertrauen in die Beweissicherheit und die Rechtsstaatlichkeit europäischer Strafverfolgung.“

Obwohl Europol sich jahrelang der Kontrolle entziehen konnte, will die Kommission der Behörde nun mehr operative Befugnisse übertragen, sagt die Bürgerrechtsorganisation European Digital Rights gegenüber netzpolitik.org. „Es ist dringend erforderlich, dass die EU ihre Pläne überdenkt und Europol tatsächlich für seine rechtswidrigen Praktiken zur Rechenschaft zieht.“

Kocht der „Pressure Cooker“ noch?

Es ist derzeit unklar, ob etwa der „Pressure Cooker“ (zu Deutsch: Schnellkochtopf) weiterhin in Betrieb ist. Damit wird offenbar ein System bezeichnet, in dem operative Daten schnell und ohne Beschränkungen durch EU-Recht gespeichert und analysiert werden können.

Laut Europol sei der „Pressure Cooker“ lediglich eine interne Bezeichnung für das „Internet Facing Operational Environment“ (IFOE), das rechtskonform betrieben werde. Als Europol im Jahr 2025 die „IFOE-Quick Response Area“ dem Europäischen Datenschutzbeauftragten zur Konsultation vorlegte, warnte die Aufsichtsbehörde vor „einer vollwertigen Parallelumgebung zur regulären Betriebsumgebung von Europol“.

Der Europäische Datenschutzbeauftragte erklärte gegenüber Correctiv, er sehe „die Gefahr, dass Europol-Mitarbeiter ‚Angeltouren’ unternehmen könnten, also personenbezogene Daten sammeln, die für laufende strafrechtliche Ermittlungen irrelevant sind – und so Grundrechte verletzen“.

Wie solche Systeme trotz Inspektionen durch den Datenschutzbeauftragten lange Zeit verborgen blieben, beschreibt ein Europol-Insider. Demnach seien die Inspektionen „keine Razzia, bei der IT-Experten Systeme überwachen und Server beschlagnahmen“, sondern vielmehr ein „höfliches Gespräch“.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Internet-Dienste dürfen die Kommunikation ihrer Nutzer scannen, obwohl das eigentlich verboten ist. Die EU-Gesetzgeber wollen eine vorübergehende Ausnahme der Datenschutzrichtlinie zum zweiten Mal verlängern. Grundrechts-Eingriffe müssen verhältnismäßig sein, aber niemand kann die Verhältnismäßigkeit belegen.

Die EU-Institutionen wollen Internet-Diensten weiterhin erlauben, die Kommunikation ihrer Nutzer freiwillig zu scannen, um sexuellen Missbrauch von Kindern zu suchen.

Das ist eigentlich verboten. Die Datenschutzrichtlinie für elektronische Kommunikation von 2002 schützt die Vertraulichkeit der Kommunikation. Ein Artikel verbietet das Überwachen von Nachrichten ohne Einwilligung der betroffenen Nutzer.

Seit 2021 gibt es eine „vorübergehende Ausnahme“ der Vertraulichkeit der Kommunikation. Eine Verordnung erlaubt Internet-Diensten, die Kommunikation ihrer Nutzer zu scannen, um sexuellen Missbrauch von Kindern zu bekämpfen. Diese Übergangsverordnung war eigentlich auf drei Jahre befristet. Im April 2024 wurde die Ausnahme um zwei Jahre verlängert.

Jetzt soll die Ausnahmeregelung zum zweiten Mal verlängert werden. Im Dezember hat die Kommission einen entsprechenden Vorschlag gemacht. Die EU-Staaten haben den Vorschlag letzte Woche unverändert angenommen. Im EU-Parlament hat die zuständige Berichterstatterin gestern einen überarbeiteten Vorschlag vorgelegt.

Ausnahme eigentlich außergewöhnlich

Die deutsche Sozialdemokratin Birgit Sippel hat dem Entwurf ein persönliches Statement beigefügt. Sie kritisiert, dass die Ausnahmeregelung eigentlich „streng befristet und außergewöhnlich“ sein sollte. Die CSA-Verordnung soll die Chatkontrolle dauerhaft regeln. Doch das seit 2022 verhandelte Gesetz ist bis heute nicht fertig. Die EU-Staaten haben erst im November ihre Position beschlossen, jetzt läuft der Trilog.

Die Berichterstatterin will die erneute Verlängerung daher auf ein Jahr begrenzen. Kommission und Rat fordern zwei Jahre. Internet-Dienste sollen ausschließlich nach Hash-Werten von bekanntem „Material über sexuellen Missbrauch von Kindern“ suchen. Kommission und Rat wollen auch unbekanntes Material und Grooming suchen. Ein Erwägungsgrund stellt klar, dass die Chatkontrolle Ende-zu-Ende-Verschlüsselung nicht „verbietet, schwächt oder untergräbt“.

Das Parlament kritisiert die Datenbasis, welche die Chatkontrolle begründen soll. Die EU-Kommission hat zwei Berichte zur freiwilligen Chatkontrolle erstellt. Doch die Daten reichen nicht aus, die Frage zu beantworten, ob die Chatkontrolle überhaupt verhältnismäßig ist. Sippel hält fest: „Die Faktenlage reicht nach wie vor nicht aus, um einen breiten Anwendungsbereich zu rechtfertigen.“

Trilog zur dauerhaften Chatkontrolle

Vertrauliche Kommunikation ist ein Grundrecht. Internet-Dienste dürfen in dieses Grundrecht nur eingreifen, wenn ein Gesetz das vorschreibt. Dieses Gesetz gibt es nicht. Der Eingriff muss notwendig und verhältnismäßig sein. Die Kommission kann die Verhältnismäßigkeit nicht belegen. Das hat auch der Europäische Datenschutzbeauftragte immer wieder kritisiert.

Trotzdem soll die „vorübergehende Ausnahme“ jetzt zum zweiten Mal verlängert werden. Als nächstes verhandelt das EU-Parlament den Entwurf. Im März soll das Parlament die Position beschließen.

Parallel dazu verhandeln die Gesetzgeber die CSA-Verordnung mit der dauerhaften Chatkontrolle. Der Trilog behandelt unter anderem die Frage, ob Anbieter auch gegen ihren Willen zur Chatkontrolle verpflichtet werden können.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Sowohl der Rat als auch das EU-Parlament haben Nein gesagt zur verpflichtenden Chatkontrolle. Aber die umstrittene Verordnung birgt weitere Risiken für digitale Grundrechte – und zwar flächendeckende Alterskontrollen. Worüber Kommission, Parlament und Rat jetzt verhandeln.

Es war ein merkliches Aufatmen Ende vergangenen Jahres. Nach mehr als drei Jahren Verhandlungen hatten sich Vertreter*innen der EU-Staaten im Rat auf eine gemeinsame Position zur sogenannten Chatkontrolle geeinigt, einem der weitreichendsten Überwachungsprojekte der EU.

Hinter der Chatkontrolle stecken Pläne der EU-Kommission, Anbieter von Messengern wie Signal oder WhatsApp auf Anordnung dazu verpflichten zu können, die Kommunikation von Nutzer*innen zu durchleuchten. Vertrauliche Nachrichten müssten sie dann in großem Stil nach sogenannten Missbrauchsdarstellungen durchsuchen – ein fundamentaler Angriff auf sicher verschlüsselte Kommunikation. Anlass ist der Vorschlag für eine Verordnung zur Prävention und Bekämpfung des sexuellen Missbrauchs von Kindern, kurz: CSA-VO.

Fachleute aus unter anderem Kinderschutz, Wissenschaft, Zivilgesellschaft sind gegen das Vorhaben Sturm gelaufen. Mit dem Nein von Rat und EU-Parlament dürfte die Chatkontrolle vom Tisch sein. Kaum beachtet geblieben ist dabei jedoch ein weiteres Überwachungsvorhaben im Vorschlag der Kommission, und zwar die Einführung von Alterskontrollen.

Die EU-Kommission möchte Anbieter nämlich auch dazu verpflichten dürfen, das Alter ihrer Nutzer*innen zu überprüfen. Betroffen sind Dienste, die Erwachsene nutzen können, um sexuelle Kontakte zu Minderjährigen anzubahnen. Das nennt sich Grooming.

Alterskontrollen laufen oftmals auf invasive Maßnahmen heraus. Nutzer*innen müssten dann zum Beispiel ihr Gesicht biometrisch vermessen lassen, damit eine Software ihr Alter schätzt, oder mithilfe von Dokumenten wie dem Ausweis belegen, dass sie erwachsen sind. Mindestens würde es damit für Millionen Nutzer*innen schwerer, sich frei im Netz zu bewegen. Wenn es nicht gelingt, solche Kontrollen sicher zu gestalten, drohen Datenschutz-Verletzungen und massenhafte Überwachung.

Kommission, Rat und Parlament haben teils widersprüchliche Positionen zu den Alterskontrollen. Aktuell verhandeln sie im sogenannten Trilog über die Verordnung – und damit auch über die Zukunft von Alterskontrollen in der EU. Wir liefern die Übersicht über die zentralen Positionen und die Risiken dahinter.

• Das will die EU-Kommission
• Das will der Rat der EU
• Das will das EU-Parlament
• Das steht auf dem Spiel
• So geht es jetzt weiter

Das will die EU-Kommission

Der Vorschlag der EU-Kommission sieht eine Verpflichtung zu Alterskontrollen bei „interpersonellen Kommunikationsdiensten“ vor, einfach ausgedrückt: Anbietern mit Chatfunktion.

Sie sollen zunächst selbst das Risiko für Grooming einschätzen, also ob ihre Dienste zum Zweck des „sexuellen Kindesmissbrauchs“ eingesetzt werden könnten. Dabei spielt etwa eine Rolle, wie viele Kinder den Dienst überhaupt verwenden, wie leicht sie von Erwachsenen auf der Plattform kontaktiert werden können und welche Möglichkeiten es gibt, solche Kontakte zu melden.

Potenziell von Grooming betroffene Anbieter sollen dann das Alter ihrer Nutzer*innen überprüfen, um Minderjährige „zuverlässig“ zu identifizieren. Die Konsequenz sollen Maßnahmen zur Risikominderung sein. Zwar nennt der entsprechende Artikel im Entwurf kein konkretes Beispiel – denkbar wären aber zum Beispiel eingeschränkte Chat-Funktionen, die keine Gespräche mit Fremden erlauben.

Vergangene Recherchen über Grooming legen nahe: Diese Regelung könnte viele populäre Plattformen treffen, etwa TikTok, Instagram und Roblox oder das unter Gamer*innen beliebte Discord. Auch Messenger wie WhatsApp oder Signal könnten dazu verpflichtet werden, das Alter ihrer Nutzer*innen zu prüfen.

Entscheidend sind hier die Worte „zuverlässig identifizieren“. Eine schlichte Altersabfrage dürfte kaum genügen. Es geht auch nicht bloß darum, dass Anbieter Schutzfunktionen für Minderjährige bereithalten müssen, damit betroffene Minderjährige (oder ihre Aufsichtspersonen) sie einsetzen können. Stattdessen könnte es sein, dass Nutzer*innen in großem Stil beweisen sollen, dass sie schon erwachsen sind.

Zusätzlich sieht die Kommission eine weitere Altersschranke vor, die noch einen Schritt früher ansetzt, und zwar bei „Stores für Software-Anwendungen“. Darunter dürften mindestens der Google Play Store und Apples App Store fallen, je nach Auslegung auch Spiele-Marktplätze wie Steam. Auch dort müssten Nutzer*innen demnach ihr Alter nachweisen, bevor sie Zugang bekommen.

Das will der Rat der EU

Der Rat der EU vertritt die Regierungen der Mitgliedstaaten. Geht es um Alterskontrollen, deckt sich die Ratsposition weitgehend mit dem Vorschlag der Kommission. Auch der Rat will, dass Anbieter, die ein Risiko zur Kontaktaufnahme mit Kindern bei sich feststellen, das Alter ihrer Nutzer*innen kontrollieren. Das Gleiche will der Rat für App Stores.

Für die Ausgestaltung dieser Kontrollen stellt der Rat weitere Anforderungen auf. Demnach sollen die Maßnahmen Privatsphäre und Datenschutz wahren, transparent, akkurat und dabei auch zugänglich und diskriminierungsfrei sein. Der Rat spricht damit Aspekte an, die sich auch an anderer Stelle in EU-Regeln finden, etwa in den Leitlinien zum Jugendschutz im Netz auf Grundlage des Gesetzes über digitale Dienste (DSA).

Der Knackpunkt: Keine Technologie wird all diesen Anforderungen gerecht. Um den Anspruch zu erfüllen, akkurat zu sein, müssten Prüfungen wohl invasiv sein – sonst lassen sie sich täuschen. Typisch sind Kontrollen mit biometrischen Daten oder auf Basis von Dokumenten wie Ausweispapieren. Erstere können Menschen diskriminieren, die nicht ausreichend in den Trainingsdaten eines KI-Systems repräsentiert sind, etwa Women of Color. Letztere können Menschen ausschließen, die keine Papiere haben.

Das will das EU-Parlament

Das EU-Parlament will bei Alterskontrollen einen anderen Weg einschlagen, wie dessen Position zeigt. Streichen will das Parlament demnach die Pflichten für Alterskontrollen auf der Ebene von App-Stores.

Die Marktplätze sollen demnach bloß deutlich ausweisen, wenn Apps erst ab einem bestimmten Alter vorgesehen sind. Zudem sollen sie bei Apps, die das verlangen, die Zustimmung von Erziehungsberechtigten sicherstellen. Diese Maßnahmen könnten etwa Apple und Google bereits umgesetzt haben: Dort gibt es entsprechende Vorkehrungen für Accounts von Minderjährigen, die an Eltern-Accounts gekoppelt sind.

Für die Anbieter von Kommunikationsdiensten will das Parlament im Gegensatz zu Rat und Kommission keine verpflichtenden Alterskontrollen, sondern optionale. Risiken mindern müssen betroffene Anbieter dennoch; sie hätten allerdings die Wahl, auf welche Weise sie das tun.

Weniger invasive Methoden zur Altersprüfung haben einige Plattformen bereits heute im Einsatz. So will TikTok das Verhalten von Nutzer*innen auf Signale untersuchen, die auf ein zu geringes Alter hindeuten, etwa, mit welchen Accounts sie interagieren.

Das Parlament fordert zudem eine Reihe von Auflagen für Alterskontrollsysteme und wird dabei konkreter als der Rat. Demnach soll es für Nutzer*innen weiterhin möglich sein, anonyme Accounts einzurichten, und es sollen keine biometrischen Daten verarbeitet werden dürfen. Zudem sollen Kontrollen nach dem Zero-Knowledge-Prinzip erfolgen. Praktisch heißt das: Anbieter, bei denen man das eigene Alter nachweist, sollen nichts weiter erfahren, außer ob man die nötige Altersschwelle überschreitet. Ein mögliches Werkzeug dafür ist die von der EU in Auftrag gegebene Alterskontroll-App, die künftig Teil der digitalen Brieftasche (EUDI-Wallet) werden soll.

Für Dienste, die sich an Kinder unter 13 Jahren richten, fordert das Parlament zusätzlich, dass sie standardmäßig in ihren Funktionen hohe Sicherheitsstandards wählen. Sie sollen etwa verhindern, dass Nutzer*innen persönliche Daten teilen oder Screenshots machen können.

Gesondert verlangt das Parlament außerdem Regeln für Pornoplattformen. Diese besondere Gruppe von Anbietern soll verpflichtend das Alter von Nutzer*innen kontrollieren. Das entspräche jedoch im Tenor den Anforderungen aus bereits bestehenden EU-Gesetzen wie der Richtlinie über audiovisuelle Mediendienste und dem DSA.

Das steht auf dem Spiel

Alterskontrollen sind nicht nur ein Thema für Kinder und Jugendliche – es geht nämlich darum, alle Nutzer*innen zu kontrollieren, um Minderjährige herauszufiltern. Die deutsche Europa-Abgeordnete Birgit Sippel (SPD) warnt: „Eine verpflichtende Altersverifikation würde eine Ausweispflicht für weite Teile des Internets bedeuten, und zwar vor allem auch für Erwachsene.“ Diese Warnung würde jedoch voraussetzen, dass die EU eine Pflicht zu Alterskontrollen sehr streng auslegt.

Wenn bei Alterskontrollen die Plattformen zum Türsteher werden und Daten auch für andere Zwecken nutzen können, wäre das „höchst problematisch“, so Sippel weiter. Deshalb brauche es Safeguards wie das Zero-Knowledge-Prinzip. „Schließlich darf die Anonymität und Nutzung von Pseudonymen nicht gefährdet werden.“ Außerdem warnt die Abgeordnete davor, Alterskontrollen als Allheilmittel zu betrachten. „Um Kinder effektiv zu schützen, braucht es eine strukturelle Reform der Plattformen, damit Profit nicht mehr aus dem Geschäft mit missbräuchlichen Inhalten geschlagen werden kann.“ Abgeordnete aus anderen Fraktionen haben sich auf Anfrage von netzpolitik.org nicht geäußert.

Für European Digital Rights (EDRi), dem Dachverband von Organisationen für digitale Freiheitsrechte, beobachtet Politikberater Simeon de Brouwer das Gesetzesvorhaben. „Verpflichtende Altersverifikation bei Diensten für zwischenmenschliche Kommunikation ist gefährlich, weil sie die freie Rede unterdrückt“, warnt er. Je nach Art der Kontrollen könnten ganze Gesellschaftsgruppen ausgeschlossen werden – etwa Menschen ohne Papiere. Außerdem warnt er vor Einschüchterung („chilling effects“), wenn der Zugang zu sicherer Kommunikation hinter verpflichtenden Kontrollen steht.

Auch Alterskontrollen auf App-Marktplätzen lehnt de Brouwer ab. „Ein derartiges Maß an Kontrolle und aufdringlicher Datenverarbeitung sollte nicht normalisiert werden – besonders nicht an einem solchen Nadelöhr.“ Es entstehe keine Sicherheit, sondern Kontrolle, wenn der Zugang zu digitalen Werkzeugen vom Überwinden zentraler Prüfsysteme abhängig gemacht wird.

Svea Windwehr ist Co-Vorsitzende des Vereins für progressive Digitalpolitik D64. „Alle bekannten Technologien zur Altersbestimmung im Netz weisen signifikante Schwächen auf“, schreibt sie auf Anfrage. So seien etwa KI-gestützte Altersschätzungen häufig ungenau und „bergen massive Diskriminierungspotenziale, da ihre Leistung stark von Geschlecht, Alter, Hautfarbe und anderen Merkmalen abhängt“. Verifikation anhand von Ausweisdokumenten wiederum könne „eine signifikante Barriere für gesellschaftliche Teilhabe darstellen“.

Unterm Strich würden neue Pflichten zur Altersverifikation „einen Bärendienst für die Privatsphäre von jungen Menschen im Netz“ darstellen, warnt Windwehr. Vor allem würden sie nichts an den strukturellen Problemen ändern, die Plattformen zu unsicheren Räumen für Kinder machen können. „Der politische Anspruch sollte darin bestehen, an der Wurzel des Problems anzusetzen und Plattformen für ihre Produkte zur Verantwortung zu ziehen, statt vulnerable Nutzende auszuschließen.“

So geht es jetzt weiter

Beim Gesetz steht die EU unter gewissem Zeitdruck. Obwohl viele Dienstleister wie etwa Meta bereits jetzt eine freiwillige Chatkontrolle durchführen, fehlt dafür eine dauerhafte Rechtsgrundlage. Möglich ist die Maßnahme nur durch eine vorübergehende Ausnahmeregelung mit Blick auf die Datenschutz-Richtlinie für elektronische Kommunikation. Die Frist dafür endet jedoch im April 2026. Zumindest Kommission und Rat wollen sie um zwei Jahre verlängern; das Parlament müsste dem noch zustimmen.

Weil der Rat sich jahrelang nicht auf eine Position zur Chatkontrolle einigen konnte, war das ganze Gesetzesvorhaben für lange Zeit blockiert. Erst mit der Einigung auf die Ratsposition Ende November wurde der Weg frei für die informellen Trilog-Verhandlungen zwischen Kommission, Rat und Parlament. Beim Trilog versuchen die drei EU-Organe einen Kompromiss zu finden. Verhandelt wird hinter verschlossenen Türen. Dauer: ungewiss; ein Ergebnis ist nicht garantiert.

„Trotz der Differenzen zeigen das Europäische Parlament und der Rat die feste Absicht, intensiv an dem Vorschlag zu arbeiten und so schnell wie möglich eine Einigung zu erzielen“, sagte jüngst der spanische Abgeordnete Javier Zarzalejos (EVP) während einer Ausschuss-Sitzung am 27. Januar. Er ist der zuständige Berichterstatter der konservativen Fraktion im Parlament.

Nach dem ersten Verhandlungstermin am 9. Dezember sollen Verhandlungen auf technischer Ebene am 15. Januar begonnen haben. Aus diesen bis dato zwei Terminen könne Zarzalejos von „guter Atmosphäre und beachtlichem Fortschritt“ berichten. Diskutiert habe man bisher insbesondere das neue EU-Zentrum – das ist die geplante zentrale Anlaufstelle zur Umsetzung der Verordnung. Der nächste Trilog-Termin soll der 26. Februar sein.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Eine neue Verordnung für die Polizeibehörde Europol soll eine gigantische Sammlung von Ermittlungsdaten legalisieren, die einzelne EU-Mitgliedsstaaten dort quasi geparkt hatten. Es handelt sich um vier Petabyte an Daten aus laufenden und abgeschlossenen Ermittlungsverfahren, darunter auch gestrichene Einträge aus Terrorlisten einzelner Staaten. In einigen Fällen weiß die Behörde selbst nicht genau, um was für Daten es sich handelt, wie sie einräumte. Erst Anfang Januar hatte der Europäische Datenschutzbeauftragte Wojciech Wiewiórowski die Löschung aller Daten angeordnet, die nicht mit einer konkreten Straftat im Zusammenhang stehen. 

Doch die Datensammlung, die Kritiker:innen als „Datenarche“ bezeichnen und mit der Speicherwut des US-Geheimnisses NSA vergleichen, dürfte unverändert bestehen bleiben und sogar ausgebaut werden. Am Dienstagabend einigten sich die EU-Staaten mit dem Parlament auf eine neue Verordnung, nach der Europol „weiterhin Ermittlungen auf der Grundlage dieser Daten unterstützen könnte“. Das teilte die französische Ratspräsidentschaft mit. Bis zur Wirksamkeit der neuen Verordnung sollen „Übergangsmaßnahmen“ die Datenarche vor Löschung bewahren.

Generell soll die Verordnung die Kompetenzen von Europol drastisch ausweiten. Künftig dürfe die Behörde mit Drittstaaten persönliche Daten zu Ermittlungszwecken austauschen, so die französischen Verhandler:innen. Auch dürfe Europol-Chefin Catherine De Bolle nationalen Behörden die Aufnahme von Ermittlungsverfahren in grenzüberschreitenden Kriminalfällen vorschlagen. Das wäre eine deutliche Ausweitung der bisherigen Befugnisse von Europol. Die nationalen Behörden sollen allerdings selbst entscheiden dürfen, ob sie dem Vorschlag nachkommen.

„Direkte Bedrohung für Rolle der Aufsichtsbehörde“

Der Datenschutzbeauftragte Wiewiórowski übte schon im Vorfeld Kritik an der neuen Verordnung. Sie gebe der EU-Polizeiagentur breite Befugnisse zur Datenspeicherung – ohne ausreichende Maßnahmen zum Schutz von Grundrechten. „Daten von Einzelpersonen ohne klare Verbindung zu Straftaten könnte genauso verarbeitet werden wie Daten von Verdächtigen oder Verurteilten“, sagte Wiewiórowski. Besonders empörend findet er, dass mit der Verordnung Gesetzesverletzungen rückwirkend legalisiert werden. Dies bedeute „eine direkte Bedrohung der Rolle der Aufsichtsbehörde“.

Auch aus dem EU-Parlament gibt es heftige Reaktionen. Aus Sicht der SPD-Abgeordneten Birgit Sippel verwendet Europol für die Rechtfertigung seiner Überwachung und massenhaften Datenspeicherung auf Vorrat „ähnliche Argumente“ wie die NSA. Dieses Vorgehen sei jedoch nicht mit der Datenschutzgrundverordnung vereinbar, sagte die Abgeordnete bei seiner Sitzung des Bürgerrechteausschusses im Parlament. Schwachstellen der Verordnung würden möglicherweise bald den Europäischen Gerichtshof beschäftigen, sagt Sippel gegenüber netzpolitik.org. „Rechtssicherheit sieht anders aus.“

Es handelte sich um massenhafte Daten unverdächtiger Personen, etwa um Handy-Bewegungsdaten und Flugreisedaten, sagt der EU-Abgeordnete Patrick Breyer von der Piratenpartei. „Die Konsequenz: Unschuldige Bürger laufen Gefahr, zu Unrecht in den Verdacht einer Straftat zu geraten, weil sie zur falschen Zeit am falschen Ort waren.“ Europol müsse „wirksam kontrolliert und an Gesetzesverstößen gehindert werden“, sagt Breyer. „Die bisher oberflächlichen Aufsichtsmechanismen haben keine Zähne bekommen, um illegale Praktiken der Behörde erkennen und stoppen zu können.“

Den Vergleich mit der NSA wies Europol-Vizechef Jürgen Ebner vor dem Ausschuss zurück. „Wir machen keine Massenüberwachung, auch können wir keine Zwangsmaßnahmen anordnen“, betonte er. „Wir haben nicht die technischen Mittel, um das zu machen.“ Die Software des umstrittenen US-Anbieters Palantir, die Europol 2016 eingekauft hatte, verwendet die Polizeibehörde inzwischen nicht mehr.

Ebenfalls auf Kritik der Abgeordneten stößt, dass die Verordnung Europol künftig breit die Kooperation mit Firmen möglich macht. Der Entwurf erlaubt Europol, persönliche Daten direkt von privaten Organisationen zu erhalten. Diese darf Europol analysieren und an die Behörden der Mitgliedsstaaten weitergeben. Der Abgeordnete Breyer, der Teil der Grünen-Fraktion ist, bringt diese Erlaubnis mit EU-Plänen in Verbindung, Diensteanbieter zur flächendeckenden Durchleuchtung privater Nachrichten auf Kindesmissbrauchsinhalte zu verpflichten. Diese Art der Kooperation sei inakzeptabel, sagt Breyer.

---

Hilf mit! Mit Deiner finanziellen Hilfe unterstützt Du unabhängigen Journalismus.