Alternativen zum Massenscannen — Technische, politische und hybride Strategien zur Wahrung der PrivatsphäreAlternativen zum Massenscannen — Technische, politische und hybride Strategien zur Wahrung der Privatsphäre

Wenn das einzige Werkzeug, das du vorschlägst, ein Hammer ist, dann ist das Problem vielleicht nicht, dass alle Probleme Nägel sind, sondern dass du nur Hämmer bauen kannst.

---

Die Debatte über Chat Control steckt seit Jahren in einer falschen Dichotomie fest: Entweder wird die gesamte Kommunikation gescannt oder es wird kein CSAM erkannt. Diese Dichotomie ist sowohl für Befürworter der Regulierung (die das Scannen als einzige Option darstellen) als auch für Befürworter der Verschlüsselung (die das Scannen als inakzeptabel anprangern können, ohne Alternativen anzubieten) bequem. Aber die Realität ist, wie so oft, nuancierter.

Dieses Dokument untersucht die Alternativen zum Massenscannen, klassifiziert nach ihrer technischen Reife, ihren Auswirkungen auf die Privatsphäre und ihrer politischen Machbarkeit.

Bewertungsrahmen

Jede Alternative muss anhand von drei Kriterien bewertet werden:

1. Erkennungseffektivität: Welchen Anteil an CSAM würde sie im Vergleich zum Massenscannen erkennen?
2. Wahrung der Privatsphäre: Respektiert sie die E2EE-Verschlüsselung und die Privatsphäre von Nicht-Verdächtigen?
3. Politische Machbarkeit: Ist sie im aktuellen europäischen Rechtsrahmen umsetzbar?

Technische Alternativen

1. Stärkung der Meldesysteme

Die naheliegendste und am wenigsten einschneidende Alternative ist die Verbesserung bestehender Meldeverfahren. Heute erlauben die meisten Plattformen, verdächtige Inhalte zu melden. Das Problem ist, dass diese Systeme langsam, manuell und mit niedrigen Rücklaufquoten sind.

Aktuelles System:
    Nutzer → Meldet → Menschliche Moderation → Überprüfung → Aktion

Verbesserungsvorschlag:
    Nutzer → Meldet + [Kontext-Metadaten]
           → KI-gestützte Moderation (nur über das Gemeldete)
           → Automatische Priorisierung
           → Menschliche Überprüfung innerhalb von 24h

Vorteile: kompatibel mit E2EE, erprobt, skalierbar, erfordert keine Änderungen an der Verschlüsselungsinfrastruktur.

Nachteile: erkennt nur Inhalte, die Nutzer melden; erkennt kein CSAM, das niemand meldet (Opfer, die nicht melden können, in geschlossenen Gruppen ohne Hinweisgeber geteilte Inhalte).

Wirksamkeitsschätzung: Interne Studien von Plattformen deuten darauf hin, dass Nutzermeldungen zwischen 30-50 % des CSAM erkennen, das automatisierte Systeme finden. Die Lücke ist nicht trivial, aber auch kein totaler Fehlschlag.

2. Erkennung in Metadaten (nicht im Inhalt)

Die Metadaten der Kommunikation – wer spricht mit wem, wann, von wo, wie oft, Nachrichtengröße – können aufschlussreicher sein, als es scheint. Eine Analyse von Kommunikationsmustern könnte verdächtiges Verhalten identifizieren, ohne den Inhalt zu überprüfen:

Für CSAM-Erkennung nützliche Metadatensignale:
    - Erwachsener Nutzer, der intensiv mit mehreren Minderjährigen kommuniziert
    - Wiederholtes Senden von Bild-/Videodateien in der Nacht
    - Verwendung von Wegwerf- oder neu erstellten Konten
    - Weiterleitungsmuster, die mit bekannten Verteilernetzwerken übereinstimmen
    - Überschneidende Kommunikation zwischen bereits als verdächtig identifizierten Nutzern

Vorteile: erfordert keinen Zugriff auf Inhalte, kompatibel mit E2EE, wird bereits genutzt (Signal und WhatsApp tun dies, um verdächtige Konten zu identifizieren und den Behörden zu melden).

Nachteile: hohe Rate falsch positiver Ergebnisse (ein Lehrer, der mit Schülern spricht, ein Elternteil, das nächtliche Fotos seiner Kinder sendet), Massenprofilierung der Bevölkerung, Risiko algorithmischer Diskriminierung.

Erforderliche Vorsicht: Metadatensysteme müssen transparent, überprüfbar und auf spezifische CSAM-Signale beschränkt sein, nicht offen für "jedes verdächtige Verhalten". Die Geschichte der Metadaten-Überwachung (NSA, Telefon-Metadaten-Programm) zeigt, dass sie zur Ausweitung neigen.

3. Erkennung in unverschlüsselten Inhalten (öffentlicher Upload)

Inhalte, die Nutzer öffentlich hochladen (nicht in privaten Nachrichten), können und sollten analysiert werden. Dies umfasst:

• Bilder und Videos in öffentlichen Profilen
• In öffentlichen Gruppen geteilte Inhalte
• Auf öffentliche Speicherdienste hochgeladene Dateien

Vorteile: beeinträchtigt E2EE nicht, erfasst den Großteil der CSAM-Inhalte, die auf Plattformen zirkulieren (Studien zeigen, dass >70 % des heute erkannten CSAM aus öffentlichen oder halböffentlichen Uploads stammt, nicht aus privaten Nachrichten).

Nachteile: erkennt kein CSAM, das ausschließlich in privaten verschlüsselten Nachrichten geteilt wird.

Aktueller Stand: wird bereits implementiert (PhotoDNA, Hash-Matching auf Facebook/Instagram, YouTube Content ID). Es ist die Alternative mit dem besten Kosten-Nutzen-Verhältnis.

4. Meldeschwellensysteme

Ein von Kryptographen von Signal und Akademikern vorgeschlagener hybrider Ansatz: Der Inhalt eines Nutzers wird nur gescannt, wenn er eine ausreichende Anzahl unabhängiger Meldungen erhalten hat (z. B. 5 Meldungen von verschiedenen Nutzern innerhalb von 24 Stunden).

Nutzer A sendet M an B, C, D...
    B meldet M → Zähler = 1
    C meldet M → Zähler = 2  (Schwelle nicht erreicht)
    D meldet M → Zähler = 3  (Schwelle nicht erreicht)
    ...
    Wenn Zähler ≥ K → M wird gescannt (mit gerichtlicher oder vertrauenswürdiger Aufsicht)

Vorteile: Das Scannen ist nicht massenhaft, sondern reaktiv auf Meldungen; schützt die überwältigende Mehrheit der Nutzer vor dem Scannen; bewahrt E2EE für nicht gemeldete Kommunikation.

Nachteile: anfällig für Belästigungsangriffe (5 Personen koordinieren falsche Meldungen gegen ein Ziel); erfordert eine sorgfältige Schwellenwertwahl, um sowohl falsch positive Ergebnisse als auch Umgehung zu vermeiden; erkennt kein CSAM, das niemand meldet.

Verbesserte Variante: Die Schwelle ist nicht die Anzahl der Meldungen, sondern die Vielfalt der Quellen (Meldungen aus verschiedenen sozialen Gruppen, ohne erkennbare Koordination). Dies verringert das Risiko koordinierter Angriffe.

Politische und institutionelle Alternativen

5. Reform des NCMEC-Meldesystems

Das National Center for Missing & Exploited Children (NCMEC) in den USA erhält derzeit ~30 Millionen CSAM-Meldungen pro Jahr (2023), von denen nur ein Bruchteil untersucht wird. Der Engpass ist nicht die Erkennung, sondern die Ermittlungs- und Strafverfolgungskapazität.

Eine politische Alternative wäre:

• Stärkung der nationalen Meldezentren (INHOPE und die nationalen Hotlines in Europa)
• Erhöhung der Ermittlungskapazität von Europol und nationalen Polizeibehörden
• Verbesserung der grenzüberschreitenden Zusammenarbeit bei der Strafverfolgung

Vorteile: adressiert das eigentliche Problem (den Mangel an Ermittlungskapazität, nicht an Erkennung), kompatibel mit allen Grundrechten, erfordert keine technischen Änderungen.

Nachteile: politisch weniger spektakulär als ein neues Gesetz; erfordert Haushaltsinvestitionen; entspricht nicht der Forderung, "etwas gegen CSAM zu tun".

6. Rahmen für gerichtliche Aufsicht bei Ausnahmen

Wenn festgestellt wird, dass es einen Mechanismus für den außergewöhnlichen Zugriff auf verschlüsselte Kommunikation geben muss (wie es ihn für die traditionelle legale Überwachung gibt), muss dieser denselben Garantien unterliegen:

• Einzelfallbezogene richterliche Anordnung
• Verhältnismäßigkeit und Subsidiarität
• Nachträgliche Benachrichtigung der betroffenen Person
• Unabhängige Aufsicht
• Strenge zeitliche Begrenzungen
• Verbot des Massenscannens

Vorteil: kohärent mit dem bestehenden europäischen Rechtsrahmen (die legale Überwachung ist bereits reguliert).

Nachteil: skaliert nicht für CSAM (es wären Millionen von Gerichtsbeschlüssen erforderlich); löst nicht das Problem der Ersterkennung (es wird ein Verdächtiger benötigt, um die Anordnung zu beantragen).

7. Verschlüsselung in kleinen Gruppen, Scannen in großen Gruppen

Ein Kompromissvorschlag: E2EE für 1:1-Kommunikation und kleine Gruppen (z. B. ≤10 Teilnehmer) beibehalten und begrenzte Formen des Scannens in großen Gruppen (Kanäle, Communities, Gruppen mit >100 Teilnehmern) erlauben, wo E2EE technisch komplexer ist und die Privatserwartung geringer ist.

Vorteil: schützt die zwischenmenschliche Kommunikation (wo die Privatserwartung am höchsten ist) und ermöglicht gleichzeitig die Erkennung in halböffentlichen Räumen.

Nachteil: Willkür der Schwelle (warum 10 und nicht 50?); kleine Gruppen können ebenfalls zum Teilen von CSAM genutzt werden; schafft einen perversen Anreiz für Missbraucher, kleine Gruppen zu unterhalten.

Gesamtvergleich

Schlussfolgerung

Keine Alternative zum Massenscannen ist perfekt. Aber das ist kein Argument für das Massenscannen, denn das Massenscannen ist ebenfalls nicht perfekt – es hat seine eigenen Probleme mit falsch positiven Ergebnissen, Umgehung, Kosten und vor allem dem strukturellen Bruch der Verschlüsselung.

Die richtige Frage ist nicht "Welche Alternative erkennt so viel CSAM wie das Massenscannen?" sondern "Welche Kombination von Alternativen maximiert die CSAM-Erkennung unter der Einschränkung, die Ende-zu-Ende-Verschlüsselung zu bewahren?"

Unter dieser Formulierung ist die Antwort ein Maßnahmenpaket:

1. Kurzfristig: Stärkung der Meldesysteme, der Hotlines und der internationalen Zusammenarbeit
2. Mittelfristig: Implementierung Metadaten-basierter Erkennung mit strengen Transparenz- und Prüfgarantien
3. Immer: Beibehaltung der Erkennung bei öffentlichen Uploads und unverschlüsselten Inhalten
4. Forschung: Erkundung von Meldeschwellensystemen mit kryptographischen Garantien
5. Politisch: Erhöhung der Ermittlungskapazität der Behörden anstatt Delegation der Massenüberwachung an Plattformen

Was keine Alternative bieten kann – und was die Debatte ehrlich anerkennen sollte – ist eine technische Lösung, die alles CSAM in verschlüsselter Kommunikation erkennt, ohne die Verschlüsselung zu brechen. Diese Lösung existiert nicht, nicht weil die Technologie unzureichend ist, sondern weil das Problem falsch gestellt ist: Man kann nicht wissen, was in einem verschlossenen Umschlag ist, ohne ihn zu öffnen. Und ein Umschlag, der geöffnet werden kann, ist kein verschlossener Umschlag.

---

Verwandte Dokumente:

• Chat Control — Definition und Kontext
• Verschlüsselung und Überwachung — Warum Massenscannen E2EE bricht
• Homomorphe Kryptographie — Versprechen und Grenzen
• Zero-Knowledge-Beweise — Anwendungen für das Erkennungsproblem