E2EE im Messenger — warum der Streit 2026 zurück ist
Die EU-Verordnung gegen sexuellen Missbrauch (CSA-Verordnung, COM(2022) 209) ist in der Trilog-Phase. Sie könnte client-side Scanning verpflichtend machen — was eine Reihe juristischer und kryptografischer Probleme aufwirft. Eine technische Einordnung.
Im Mai 2022 hat die EU-Kommission den Entwurf für eine Verordnung zur Festlegung von Vorschriften zur Prävention und Bekämpfung des sexuellen Missbrauchs von Kindern vorgelegt (COM(2022) 209, kurz: CSA-Verordnung). Vier Jahre, drei Ratspräsidentschaften und zwei Parlamentswahlen später ist der Trilog im Frühjahr 2026 in eine entscheidende Phase eingetreten. Der Streitpunkt: ob Messenger-Anbieter mit End-to-End-Verschlüsselung verpflichtet werden, vor dem Verschlüsselungs-Vorgang lokal nach bekannten Missbrauchs-Inhalten zu suchen — sogenanntes client-side scanning.
Was ist E2EE eigentlich?
End-to-End-Verschlüsselung ist eine Architektur-Eigenschaft, keine Werkzeug-Eigenschaft. Sie bedeutet, dass eine Nachricht zwischen Absender-Gerät und Empfänger-Gerät verschlüsselt ist und der Diensteanbieter zu keinem Zeitpunkt im Besitz des entschlüsselten Inhalts ist. Die zwei dominierenden Standards 2026:
- Signal-Protokoll (Open Specification, 2013): Doppelt verschlüsselter Schlüsselaustausch (Extended Triple Diffie-Hellman, X3DH) plus Double-Ratchet-Algorithmus für Forward Secrecy. Im Einsatz bei Signal, WhatsApp, Google Messages, teilweise Facebook Messenger.
- MLS — Messaging Layer Security (RFC 9420, März 2023): Standard der IETF für Gruppen-E2EE mit logarithmischer Skalierung. Im Einsatz bei Wire, im Rollout bei Cisco Webex und vom W3C als Empfehlung für Browser-Implementierungen erwogen.
Beide Standards garantieren, dass eine Server-seitige Inhaltsanalyse mathematisch nicht möglich ist — solange das Endgerät nicht selbst kompromittiert ist.
Was client-side scanning bedeutet
Die in der CSA-Verordnung diskutierte Lösung verlegt die Inhaltsanalyse vor den Verschlüsselungs-Schritt. Konkret: Ein Detektor läuft auf dem Endgerät, prüft jede ausgehende Nachricht gegen eine Datenbank bekannter Missbrauchs-Inhalte (vermutlich als NeuralHash-artige Fingerabdrücke) und meldet Treffer an eine zentrale Stelle.
Aus kryptografischer Sicht hebt diese Architektur die E2EE-Garantie nicht formal auf — die Verschlüsselungs-Mathematik bleibt intakt. Aus informationstheoretischer Sicht ist die Garantie aber kassiert, weil der Inhalt vor der Verschlüsselung eine externe Beobachtungs-Schicht passiert. Apple hatte 2021 eine vergleichbare Architektur für iCloud-Backups angekündigt (CSAM Detection) und sie nach internationaler Kritik 2022 wieder zurückgezogen.
Drei technische Probleme
Hash-Kollisionen. NeuralHash-Verfahren erzeugen Kollisionen — also gleiche Hashes für unterschiedliche Bilder. Forschung von Struppek et al. (CCS 2022, DOI 10.1145/3548606.3560596) hat gezeigt, dass adversariale Kollisionen mit moderatem Rechenaufwand erzeugbar sind. Das eröffnet das Szenario, dass Dritte Nachrichten in Umlauf bringen können, deren Hashes Treffer in der Referenzdatenbank auslösen.
Erweiterung der Datenbank. Eine einmal eingerichtete Scanning-Infrastruktur ist von ihrem Anwendungsbereich technisch nicht auf Missbrauchs-Inhalte beschränkt. Welche Hashes in der Referenz-Datenbank stehen, ist eine reine Verwaltungs-Entscheidung. Der EuGH wird voraussichtlich klären müssen, ob eine solche Architektur den Anforderungen des Art. 7 und 8 Grundrechtecharta genügt.
Server-seitige Schlüsselableitung. Mehrere Anbieter erwägen einen Mittelweg: server-seitige Ableitung eines Inhalts-Schlüssels, der bei Verdachts-Treffer entschlüsselt werden kann. Das ist funktional eine Hintertür mit zusätzlichen Verfahrens-Schritten — und genau das, was der Bundesgerichtshof in seinem TKG-Urteil III ZR 245/20 als unzulässige Aushebelung des Fernmeldegeheimnisses bewertet hat.
Stand des Trilogs
Das EU-Parlament hat in seiner Position vom Oktober 2023 client-side scanning explizit ausgeschlossen und auf Metadaten-Analyse beschränkt. Der Rat hat im Juni 2024 eine Ratsentscheidung mit qualifizierter Mehrheit knapp verfehlt; die belgische Ratspräsidentschaft hat den Entwurf 2025 mit einer Opt-in-Architektur neu eingebracht. Aktuell verhandelt die polnische Ratspräsidentschaft (H2 2025 / H1 2026).
Eine Einigung im Trilog ist vor Ende 2026 unwahrscheinlich. PROTOKOLL verfolgt das Verfahren in jedem Heft.