Ein Schloss, das der Hausbesitzer nicht öffnen kann, der Wachmann an der Ecke jedoch schon, ist kein Schloss. Es ist eine Einladung.
Der Chat-Control-Vorschlag stellt nicht in Frage, ob Ende-zu-Ende-Verschlüsselung wünschenswert ist. Das wird zwar diskutiert, aber das ist nicht der Kern der Debatte. Der Kern ist, ob es möglich ist, die Verschlüsselung zu bewahren, während gleichzeitig die Fähigkeit eingeführt wird, verschlüsselte Inhalte zu scannen. Die Antwort der Kryptographie-Community war so einhellig wie beunruhigend: Es ist nicht nur unmöglich, sondern der Versuch offenbart ein grundlegendes Missverständnis dessen, was Verschlüsselung ist.
Was ist Ende-zu-Ende-Verschlüsselung?
Ein E2EE-System garantiert:
Formal erzeugt das Verschlüsselungsschema für eine Nachricht , einen Sender und einen Empfänger ein Kryptogramm , wobei ein Schlüssel ist, der aus einem ephemeren Diffie-Hellman-Schlüsselaustausch zwischen und abgeleitet wird. Der Server der Plattform – der Vermittler – besitzt , aber nicht .
Diese Eigenschaft ist weder ein Unfall noch eine optionale Funktion. Sie ist die Definition selbst von E2EE. Wenn der Server entschlüsseln kann, dann ist es kein E2EE. Es ist eine Transportverschlüsselung mit Serverspeicherung, etwas anderes.
Echtes E2EE: A —[Verschlüsselt mit k_AB]—> Server —[Verschlüsselt mit k_AB]—> B
Der Server hat KEIN k_AB
Transportverschlüsselung: A —[Verschlüsselt mit k_AS]—> Server —[Verschlüsselt mit k_SB]—> B
Der Server ENTTSCHLÜSSELT und verschlüsselt neu
Obligatorisches Scannen: A —[Verschlüsselt mit k_AB]—> Server + [Kopie zum Scannen]
Der Server benötigt Zugriff auf den Inhalt
Der dritte Fall ist kein E2EE. Es ist Transportverschlüsselung mit einer obligatorischen Überprüfung. Und diese Überprüfung, selbst wenn sie durch ein angebliches "Client-Side-Scanning" erfolgt, erfordert weiterhin, dass der Inhalt an irgendeinem Punkt des Datenflusses für einen Dritten zugänglich ist.
Client-Side Scanning (CSS)
Der am meisten diskutierte technische Vorschlag ist das Client-Side Scanning (CSS). Die Idee ist, dass das Gerät des Senders einen lokalen Klassifikator ausführt, der den Inhalt mit einer Datenbank bekannter CSAM-Hashes (wie der PhotoDNA-Datenbank von Microsoft) vergleicht, bevor die Nachricht verschlüsselt wird.
┌─────────────────────┐
A schreibt M → │ Lokaler Klassifikator│ → Gehört M zu B? → Melden
│ Dann verschlüsselt M │ → C → Sende C an Server
└─────────────────────┘
Das Problem ist, dass dies die grundlegende Spannung nicht löst. Der lokale Klassifikator benötigt:
Zugriff auf M vor der Verschlüsselung — was bedeutet, dass die Messaging-Software den Inhalt überprüfen können muss. Wenn die Software Open Source ist (wie Signal), ist dies überprüfbar. Aber wenn der Klassifikator dynamisch aktualisiert wird (wie es die Erkennung neuer CSAM-Inhalte erfordert), wird eine unabhängige Überprüfung unmöglich.
Eine aktuelle Referenzdatenbank, die mit der Behörde geteilt wird. Diese Datenbank kann (durch Gerichtsbeschluss oder politischen Druck) erweitert werden, um andere Inhaltstypen zu erfassen: Terrorismus, Desinformation, Hassrede, Regierungskritik.
Erzwungene Klassifikator-Updates — wenn die Regierung verlangen kann, dass der Klassifikator neue Inhaltkategorien aufnimmt, wird CSS zu einem Zensurmechanismus mit rechtlicher Absicherung.
Das Problem der Hintertür
Es gibt ein wiederkehrendes Argument in der Debatte: "Es geht nicht darum, eine Hintertür zu schaffen, sondern eine Vordertür mit gerichtlicher Aufsicht." Diese Unterscheidung ist irreführend.
Eine Hintertür (Backdoor) ist ein undokumentierter Mechanismus, der es einem Angreifer ermöglicht, die Sicherheit zu umgehen. Eine Vordertür (Frontdoor) wäre ein dokumentierter und legaler Mechanismus für eine Behörde, um auf Inhalte zuzugreifen. Aber aus der Perspektive der Systemsicherheit sind beide gleichwertig:
Backdoor: Angreifer nutzt Schwachstelle aus → Zugriff auf M
Frontdoor: Behörde nutzt legalen Mechanismus → Zugriff auf M
----------- Unterschied: Wer, nicht Wie ----------
Staatlicher Angreifer: nutzt die Frontdoor als Backdoor
Cyberkrimineller: sucht die Schwachstelle, die die Frontdoor schafft
Feindliches Regime: übernimmt dieselbe Gesetzgebung als Vorbild
Das Problem ist, dass jeder Mechanismus, der es einer legitimen Behörde erlaubt, auf verschlüsselte Nachrichten zuzugreifen, zwangsläufig eine Angriffsfläche schafft, die von illegitimen Akteuren ausgenutzt werden kann. Es gibt keine Möglichkeit, einen Zugriffsmechanismus zu bauen, der nur von "den Guten" genutzt werden kann. Verschlüsselung unterscheidet nicht zwischen einem deutschen Richter und einem russischen Hacker. Sie unterscheidet nur zwischen dem, der den Schlüssel hat, und dem, der ihn nicht hat.
Die Asymmetrie der Erkennung
Die Debatte über Chat Control offenbart eine Asymmetrie, die selten explizit gemacht wird:
| CSAM erkennen | Privatsphäre schützen | |
|---|---|---|
| Beweislast | Die Plattform muss nachweisen, dass sie erkennt | Die Plattform muss nachweisen, dass sie nicht ausspioniert |
| Kosten eines Fehlers | Falsch negativ → CSAM nicht erkannt | Falsch positiv → Unschuldiger wird untersucht |
| Skalierbarkeit | Ein Klassifikator für 100 Mio. Nutzer | 100 Mio. Nutzer, jeder mit seinem Geheimnis |
| Aktualisierung | Neue CSAM-Datenbank → neuer Scan | Neue Scan-Fähigkeit → neue Angriffsfläche |
Die tiefe Asymmetrie ist jedoch nicht technisch, sondern ontologisch: Der Überwacher braucht den Inhalt, um zu wissen, ob er illegal ist, aber der Inhalt ist nur illegal, wenn der Überwacher ihn untersucht. Es ist das Paradox des Inspektors, der die Kiste öffnen muss, um zu wissen, ob die Kiste etwas Verbotenes enthält, aber beim Öffnen bereits verletzt hat, was auch immer die Kiste enthielt, unabhängig davon, was er findet.
Die quantifizierte rutschige Ebene
Eines der stärksten Argumente gegen CSS ist nicht philosophisch, sondern historisch. Jedes Massenüberwachungssystem, das zunächst mit einem begrenzten Zweck implementiert wurde, hat sich schließlich ausgeweitet:
1994: CALEA (USA) — Nur für legale Überwachung
→ 2001: Ausweitung nach 9/11
→ 2015: Erfasst VoIP und Messaging
→ 2020: Debatte über Einbeziehung von E2EE
2006: SWIFT (Finanzen) — Nur Terrorismus
→ 2010: Ausweitung auf schwere Straftaten
→ 2015: Ausweitung auf Steuerhinterziehung
→ 2020: Massenhafter Austausch von Bankdaten
2016: Gesetz zur Inneren Sicherheit (Spanien) — Nur Terrorismus
→ 2019: Schwere Straftaten
→ 2025: Öffentliche Ordnung
Es gibt keinen Grund zu der Annahme, dass Chat Control anders wäre. Die Geschichte legt nahe, dass jeder Massenüberwachungsmechanismus dazu neigt, sich auszudehnen, bis er den gesamten verfügbaren rechtlichen Raum einnimmt. Nicht unbedingt aus Bösartigkeit, sondern weil die Systemlogik inkrementell ist: Wenn es für CSAM funktioniert, warum nicht für Terrorismus? Wenn es für Terrorismus funktioniert, warum nicht für schwere Straftaten? Jede Ausweitung ist für sich genommen vernünftig; das aggregierte Ergebnis ist es nicht.
Das Verhältnismäßigkeitsargument
Das europäische Recht verlangt, dass jede Einschränkung von Grundrechten (wie Privatsphäre gemäß Artikel 7 der GRCh und Datenschutz gemäß Artikel 8) verhältnismäßig sein muss. Dies impliziert:
- Geeignetheit: Die Maßnahme muss geeignet sein, das verfolgte Ziel zu erreichen
- Erforderlichkeit: Es darf keine weniger einschneidende, gleich wirksame Maßnahme geben
- Verhältnismäßigkeit im engeren Sinne: Die Opferung des Rechts muss in angemessenem Verhältnis zum Nutzen stehen
Die Kryptographie-Community hat argumentiert, dass CSS den Verhältnismäßigkeitstest nicht besteht, weil:
- Es nicht geeignet ist (es hat Raten falsch positiver Ergebnisse, die eine gerichtliche Überprüfung untragbar machen würden)
- Es nicht erforderlich ist (es gibt weniger eingreifende Alternativen: MeldeListen, Hotlines, Metadaten-basierte Erkennung)
- Die Opferung der Verschlüsselung steht in keinem Verhältnis zum potenziellen Nutzen
Verwandte Dokumente: