Homomorphe Kryptographie — Versprechen, Grenzen und Fiktion bei der CSAM-ErkennungHomomorphe Kryptographie — Versprechen, Grenzen und Fiktion bei der CSAM-Erkennung

Wenn du mit verschlüsselten Daten rechnen kannst, ohne sie zu entschlüsseln, hast du homomorphe Kryptographie. Wenn du das im WhatsApp-Maßstab tun kannst, hast du ein Wunder. Und Wunder sind keine solide Grundlage für Gesetzgebung.

---

In der Debatte über Chat Control taucht die vollständig homomorphe Kryptographie (FHE) häufig als die technische Lösung auf, die Scannen und Privatsphäre vereinbaren würde. Die Idee ist verführerisch: Ein Server könnte einen CSAM-Klassifikator auf verschlüsselten Nachrichten ausführen, ohne sie zu entschlüsseln, und nur ein binäres Ergebnis erhalten – "verdächtig" oder "nicht verdächtig" – ohne Zugriff auf den Inhalt.

Das Versprechen ist real. Die praktische Machbarkeit ist jedoch eine andere Geschichte.

Was ist homomorphe Kryptographie?

Ein homomorphes Verschlüsselungsschema erlaubt arithmetische Operationen auf verschlüsselten Daten. Formal:

Gegeben eine Verschlüsselung $E(m_1) = c_1$ und $E(m_2) = c_2$, existiert eine Operation $\oplus$, so dass:

$$c_1 \oplus c_2 = E(m_1 \circ m_2)$$

wobei $\circ$ eine arithmetische Operation (Addition oder Multiplikation) auf den Klartexten ist.

Typen

Der entscheidende Unterschied zwischen SHE und FHE ist das Bootstrapping: Eine Technik, die das nach jeder Operation angesammelte Rauschen in der Verschlüsselung "auffrischt" und damit beliebig tiefe Berechnungen ermöglicht. Ohne Bootstrapping wächst das Rauschen mit jeder Operation, bis die Nachricht unentschlüsselbar wird.

FHE-Verschlüsselung:      m → E(m) → [anfängliches Rauschen = ε]
Addition:                  E(m₁) ⊕ E(m₂) → E(m₁+m₂) → [Rauschen ≈ 2ε]
Multiplikation:            E(m₁) ⊗ E(m₂) → E(m₁·m₂) → [Rauschen ≈ ε²]
Bootstrapping:             E(m) → E(E(m)) → homomorphe Entschlüsselung → sauberes E(m)

Das Leistungsproblem

Das grundlegende Hindernis von FHE ist die Leistung. Operationen auf verschlüsselten Daten sind zwischen 6 und 9 Größenordnungen langsamer als auf Klartext. Zur Veranschaulichung:

WhatsApp verarbeitet etwa 100 Milliarden Nachrichten pro Tag (~1,16 Millionen pro Sekunde). Ein FHE-Klassifikator für ein einzelnes Bild würde im besten Fall Stunden an Rechenzeit benötigen. Für den Maßstab globaler Nachrichtenübermittlung ist FHE um mehrere Größenordnungen langsamer als nötig.

Was ist, wenn der Klassifikator einfach ist?

Ein manchmal gehörtes Argument ist, dass ein CSAM-Klassifikator kein komplexes neuronales Netz sein müsse. Es könnte ein einfacher Abgleich mit einer Datenbank perceptualer Hashes sein. Das wäre mit FHE berechenbar... theoretisch.

Das Problem ist, dass CSAM-Erkennung kein Hash-Abgleich ist. CSAM-Inhalte sind nicht mit einem bekannten Hash gekennzeichnet, bis sie identifiziert und gemeldet werden. Der Großteil des Materials, das aktuelle Systeme erkennen, ist neues, zuvor nicht klassifiziertes Material, das inhaltsbasierte Klassifikatoren (neuronale Netze) erfordert, die das Bild oder Video analysieren, um festzustellen, ob es verdächtiges Material enthält.

Ein solcher Klassifikator erfordert:

• Mehrere Faltungsschichten
• Nichtlineare Aktivierungsfunktionen (ReLU, Sigmoid)
• Pooling-Schichten
• Vollständig verbundene Schichten
• Abgleich gegen Embeddings

Jede dieser Operationen ist in FHE um Größenordnungen teurer. Nichtlineare Funktionen sind besonders problematisch, da FHE nur lineare arithmetische Operationen (Addition, Multiplikation) unterstützt und Nichtlinearitäten durch Polynome angenähert werden müssen, was die Rechentiefe noch weiter erhöht und mehr Bootstrapping erfordert.

Das Paradox des Klassifikators

Selbst wenn das Leistungsproblem gelöst würde (sagen wir, durch spezialisierte Hardware oder signifikante kryptographische Fortschritte), bliebe ein tieferes konzeptionelles Problem:

Um verschlüsselte Inhalte als CSAM zu klassifizieren, muss der Klassifikator wissen, was CSAM ist. Aber um CSAM zu definieren, muss der Klassifikator Beispiele von CSAM sehen.

Dies bedeutet, dass der Klassifikator – und damit die Instanz, die ihn trainiert, aktualisiert und bereitstellt – das Wissen darüber enthält, wonach er sucht. Dieses Wissen kann sein:

• Eine Hash-Datenbank: die erweitert werden kann, um andere Inhalte einzuschließen
• Ein neuronales Netzwerkmodell: das verfeinert werden kann, um andere Kategorien zu erkennen
• Ein Regelsatz: der durch gesetzliche Anordnung erweitert werden kann

Die Tür ist keine Hintertür. Sie ist strukturell. Der Mechanismus, der die Erkennung von CSAM ermöglicht, erlaubt mit derselben Architektur die Erkennung von allem anderen, was die Behörde aufzunehmen beschließt.

FHE (ideal):      E(m) → [FHE-Klassifikator] → ja/nein
                  Niemand sieht m. Nur das Urteil.

FHE (real):       E(m) → [FHE-Klassifikator] → ja/nein + Konfidenz
                  Die Konfidenz gibt Informationen über m preis.
                  Wenn der Klassifikator aktualisiert wird, ÄNDERT SICH DAS URTEIL.
                  Die Behörde kann Klassifikatoren auf vergangenen Daten iterieren.

Dieser letzte Punkt ist kritisch und wird wenig diskutiert. Wenn Nachrichten verschlüsselt gespeichert werden (und die Plattform sie aufbewahrt), würde eine zukünftige Anordnung, die den Klassifikator aktualisiert, eine retrospektive Neuüberprüfung des gesamten Kommunikationsverlaufs ermöglichen. FHE verhindert dies nicht: Der Klassifikator wird auf den gespeicherten verschlüsselten Daten ausgeführt, und die Behörde erhält neue Urteile, ohne jemals den ursprünglichen Inhalt gesehen zu haben.

Der Stand der Technik

Stand Juli 2026 hat FHE bemerkenswerte Fortschritte im Labor erzielt:

• Kleine neuronale Netze (~10 Schichten, ~1000 Neuronen): Inferenz in Minuten pro Probe
• Hash-Vergleich: machbar für kleine Datenbanken (~10⁶ Einträge)
• Optimiertes Bootstrapping: TFHE kann ein logisches Gatter in ~10 ms ausführen

Aber die Kluft zwischen dem, was im Labor machbar ist, und dem, was die Massenkommunikation erfordert, bleibt mehrere Größenordnungen groß:

Technische Schlussfolgerung

Homomorphe Kryptographie ist nicht die Lösung, die die Europäische Kommission sucht, aus drei Gründen:

1. 
   

   Leistung: FHE kann den Maßstab globaler Nachrichtenübermittlung mit anspruchsvollen Klassifikatoren nicht bewältigen, und es gibt keine Anzeichen dafür, dass es dies im nächsten Jahrzehnt können wird. Fortschritte bei beschleunigter Hardware (FPGA, ASIC) könnten die Lücke verkleinern, aber nicht schließen.

   
   
2. 
   

   Retrospektive Klassifikation: FHE verhindert nicht das historische erneute Scannen gespeicherter Kommunikation, was ein Risiko zeitlich verzögerter Überwachung schafft, das der Vorschlag nicht adressiert.

   
   
3. 
   

   Erweiterbarkeit des Klassifikators: Der Mechanismus, der die Erkennung von CSAM ermöglicht, erlaubt mit demselben Design die Erkennung jedes klassifizierbaren Inhalts. FHE löst das Problem der rutschigen Ebene nicht; es verlagert es nur auf die algorithmische Ebene.

   
   

FHE ist eine vielversprechende Technologie für Anwendungen, bei denen die Datenmenge moderat und die Berechnung einfach ist (Abfragen an verschlüsselte Datenbanken, Multi-Party-Berechnung, Privatsphäre in ML-Modellen). Aber als Grundlage für ein obligatorisches Massenüberwachungssystem ist es eine Lösung, die ein Problem sucht, das sie nicht lösen kann.

---

Verwandte Dokumente:

• Chat Control — Definition und Kontext
• Verschlüsselung und Überwachung — Warum Massenscannen E2EE bricht
• Zero-Knowledge-Beweise — Anwendungen für das Erkennungsproblem
• Alternativen zum Massenscannen