Chat-Control 2026: Was mit verschlüsselten Nachrichten passiert

Die Chatkontrolle ist das Vorhaben der EU, Darstellungen sexuellen Kindesmissbrauchs in Online-Diensten aufzuspüren, notfalls auch in privaten Nachrichten. Kaum ein EU-Gesetz wurde so oft für tot erklärt, und kaum eines kam so verlässlich zurück.

Im Juli 2026 trat die freiwillige Chatkontrolle wieder in Kraft, obwohl mehr Europaabgeordnete dagegen als dafür gestimmt hatten. Die dauerhafte Verordnung hängt dagegen im Trilog fest: Auch die sechste Verhandlungsrunde am 29. September 2026 brachte beim Scannen privater Chats keine Einigung. Das Ergebnis betrifft Ministerien, Bundeswehr, Rüstungszulieferer und Energieversorger, denn es entscheidet darüber, wer ihre Kommunikation lesen kann. In diesem Leitfaden erfahren Sie:

• was Chat Control 1.0 und 2.0 unterscheidet und was davon beschlossen ist,
• worüber Rat und Parlament nach dem Trilog vom 29. September noch streiten,
• wie das Scannen technisch funktioniert und welche Risiken es schafft,
• woran Sie einen Messenger erkennen, der vertrauliche Kommunikation auch künftig schützt.

Sie möchten wissen, wie Ihre Organisation vertrauliche Gespräche unter eigener Kontrolle behält? Sprechen Sie mit unserem Team.

Was ist die Chatkontrolle?

Die Chatkontrolle ist die gängige Bezeichnung für die geplante EU-Verordnung zur Prävention und Bekämpfung des sexuellen Missbrauchs von Kindern (CSA-Verordnung). Sie soll Online-Dienste verpflichten oder berechtigen, Missbrauchsdarstellungen (CSAM) und Cybergrooming in Inhalten und Nachrichten aufzuspüren und zu melden. Die EU-Kommission legte den Entwurf im Mai 2022 vor, international heißt er Chat Control.

Kinder online zu schützen ist ein Ziel, das alle teilen, und das Problem wächst. Laut Europäischer Kommission gibt es heute mehr als 200-mal so viele Meldungen über neues Missbrauchsmaterial wie vor drei Jahren, vor allem wegen KI. Meldungen zu Cybergrooming sind zwölfmal so häufig. Strittig ist nicht das Ziel, sondern der Weg: ob dafür private Nachrichten gescannt werden müssen und was das für die Sicherheit der Werkzeuge bedeutet, die Behörden, Organisationen und Familien täglich nutzen.

Die meiste Verwirrung entsteht, weil sich zwei getrennte Rechtsakte denselben Spitznamen teilen.

Chat Control 1.0 und 2.0: Was ist der Unterschied?

Chat Control 1.0 stammt aus dem Jahr 2021. Die Regelung lief am 3. April 2026 aus, nachdem das Parlament im März die von der Kommission vorgeschlagene Verlängerung abgelehnt hatte. Der Rat legte das Dossier dem Parlament daraufhin zur zweiten Lesung vor.

Am 9. Juli stimmten 314 Abgeordnete für die Ablehnung der Wiedereinführung und 276 dagegen. Für eine Ablehnung in zweiter Lesung braucht es aber die absolute Mehrheit von 361 Stimmen, daher blieb der Text des Rates bestehen. Der Rat stimmte am 23. Juli endgültig zu und übernahm die Änderungen des Parlaments, die Ende-zu-Ende-verschlüsselte Kommunikation ausnehmen.

Chat Control 2.0 ist die dauerhafte CSA-Verordnung. Sie soll ein EU-Zentrum zum Schutz von Kindern vor sexuellem Missbrauch schaffen, Anbietern Pflichten zur Risikominderung auferlegen und regeln, ob und unter welchen Bedingungen Inhalte gescannt werden. Um genau diesen letzten Punkt wird weiter gerungen.

Wurde die Chatkontrolle beschlossen?

Chat Control 1.0: ja. Die EU verabschiedete im Juli 2026 die Verordnung (EU) 2026/1881. Sie erlaubt Anbietern von E-Mail- und Messaging-Diensten, weiterhin Technologien zur Erkennung und Meldung von Missbrauchsdarstellungen einzusetzen, und gilt bis zum 3. April 2028. Ende-zu-Ende-verschlüsselte Kommunikation ist von ihrem Anwendungsbereich ausgenommen.

Chat Control 2.0: nein. Am 29. September 2026 trafen sich Kommission, Rat und Parlament in Brüssel zur sechsten politischen Trilogrunde unter irischer Ratspräsidentschaft. Beim Kernthema, dem Scannen privater Chats, gab es erneut keine Einigung. Verständigt haben sich die Verhandlungsführer nur auf die Aufgaben des geplanten EU-Zentrums, wie der Berichterstatter des Parlaments, Javier Zarzalejos, mitteilte. Ein neuer Termin für den politischen Trilog stand Ende Oktober noch nicht fest.

Worüber wird im Trilog noch gestritten?

Grundlage der Runde war ein Papier der irischen Ratspräsidentschaft vom 18. September. Daraus und aus der Berichterstattung nach dem Trilog ergibt sich folgendes Bild.

Öffentlich zugängliche Inhalte

Hier gibt es die wenigsten Konflikte. Das EU-Zentrum soll in öffentlich zugänglichen Räumen, etwa offenen Cloud-Speichern oder sozialen Medien, selbst nach bekanntem und neuem Missbrauchsmaterial suchen dürfen. Online-Dienste sollen wie bisher freiwillig nach bekanntem Material suchen können.

Private, unverschlüsselte Kommunikation

Deutlich heikler ist das Scannen nicht öffentlicher Inhalte. Neu im Gespräch sind sogenannte „Suchpläne“: Anbieter sollen darin beschreiben, welche Technologie sie einsetzen und wie sie Fehler vermeiden. Was genau dahintersteckt, ist selbst Teilen der Verhandlungsführer unklar. Die deutsche Seite lehnte die Suchpläne im Vorfeld ab.

Freiwillig oder verpflichtend

Der Rat will Aufdeckungsanordnungen aus dem Gesetz streichen und die freiwillige Chatkontrolle dauerhaft verankern. Er drängt außerdem darauf, dass die Zahl der aufgespürten Inhalte nicht unter das heutige Niveau fällt. Das Parlament hält an verpflichtenden Anordnungen fest, will sie aber so gezielt wie möglich: für einzelne Nutzer, Gruppen oder Teile eines Dienstes. Selbst scannende Dienste sollen sich auf bekanntes Material aus der Datenbank des EU-Zentrums beschränken.

Ende-zu-Ende-Verschlüsselung

Der ursprüngliche Kommissionsentwurf sah auch das Scannen verschlüsselter Inhalte per Client-Side-Scanning vor. Das lehnen inzwischen sowohl das Parlament als auch der Rat ab. Solange kein finaler Text vorliegt, bleibt aber offen, wie genau der Schutz verschlüsselter Kommunikation formuliert wird. Der Rat hat beim Ja zur Ausnahme in Chat Control 1.0 ausdrücklich betont, dass dies keine Vorfestlegung für Chat Control 2.0 ist.

Wie funktioniert die Chatkontrolle technisch?

Die Erkennung beruht auf zwei Verfahren, die sehr unterschiedlich zuverlässig sind. Wo sie ansetzen können, hängt davon ab, ob ein Dienst Nachrichten auf seinen Servern lesen kann.

Hash-Abgleich

Ein digitaler Fingerabdruck eines Bildes oder Videos wird mit einer Datenbank bekannten Missbrauchsmaterials verglichen. Das Verfahren findet nur, was bereits erfasst ist, liefert aber vergleichsweise wenige Fehlalarme.

KI-Klassifikatoren

Modelle auf Basis von maschinellem Lernen versuchen, unbekanntes Material oder Grooming-Muster in Texten zu erkennen. Sie liegen deutlich häufiger falsch, und jeder Fehlalarm schickt private Fotos oder Unterhaltungen an eine prüfende Person.

Client-Side-Scanning

Bei Ende-zu-Ende-Verschlüsselung (E2EE) besitzen nur die Geräte von Absender und Empfängern die Schlüssel, der Server sieht ausschließlich verschlüsselte Daten. Wer E2EE-Inhalte scannen will, muss das direkt auf dem Gerät tun, vor der Verschlüsselung oder nach der Entschlüsselung. Dieses Client-Side-Scanning ist der technische Kern des Streits. Der Europäische Datenschutzausschuss hat sich seit 2023 mehrfach gegen Teile der CSA-Verordnung ausgesprochen, und Kryptografen warnen seit Jahren: Ein Scanner, der auf jedem Gerät Klartext liest, ist selbst eine Schwachstelle.

Wer scannt heute eigentlich?

Unter Chat Control 1.0 scannen Anbieter, die sich freiwillig dafür entscheiden, und zwar nur auf Diensten ohne E2EE. Betroffen sind vor allem Direktnachrichten und E-Mails auf einer Handvoll großer, überwiegend amerikanischer Plattformen. Ende-zu-Ende-verschlüsselte Chats bleiben außen vor.

Ein Beispiel: Die Standard-Cloud-Chats von Telegram sind nicht Ende-zu-Ende-verschlüsselt und fallen damit in die Kategorie, die freiwillig gescannt werden kann. Nur „Geheime Chats“ nutzen E2EE. Mehr dazu in unserem Beitrag Ist Telegram ein Sicherheits- oder Überwachungstool?

Betriebssysteme verpflichtet keine der beiden Versionen zum Scannen. Apple legte seinen eigenen Plan für CSAM-Scanning auf dem Gerät 2022 nach breiter Kritik auf Eis, was zeigt, wie umstritten das Verfahren ist.

Welche Risiken entstehen durch das Scannen privater Nachrichten?

Eine neue Angriffsfläche

Eine Scan-Komponente, die Klartext liest, und ein Kanal, der markierte Inhalte an Behörden weiterleitet, sind lohnende Ziele für staatlich unterstützte Angreifer. Die Salt-Typhoon-Kampagne hat gezeigt, was passiert, wenn Zugänge für die rechtmäßige Überwachung kompromittiert werden. Unsere frühere Analyse zur Chatkontrolle beleuchtet diese Schwachstellen im Detail.

Fehlalarme

Klassifikatoren für neues Material und Grooming liegen häufig falsch. Für Organisationen heißt das: Vertrauliche Inhalte können bei Dritten landen, ohne dass ein Verdacht bestand.

Scannen als Normalzustand

Eine dauerhafte freiwillige Regelung, wie der Rat sie anstrebt, würde das Scannen unverschlüsselter Dienste als Normalzustand privater Kommunikation in Europa festschreiben. Ein enges Ergebnis sähe anders aus: Beschränkt der finale Text Anordnungen auf bekanntes Material und lässt verschlüsselte Kommunikation außen vor, wären die direkten Folgen für E2EE-Dienste gering.

Was bedeutet die Chatkontrolle für Behörden, Bundeswehr und KRITIS?

Die Position Deutschlands hat im Rat großes Gewicht. Im Oktober 2025 erklärte die Bundesregierung, dass sie weder ein anlassloses Scannen von Nachrichten noch eine Schwächung verschlüsselter Kommunikation unterstützen werde.

Für Behörden und den Verteidigungssektor nahm bereits der ursprüngliche Entwurf interne Kommunikationswerkzeuge aus, die nur von einer Organisation oder Behörde genutzt werden. Als Grund wurde der Schutz von Verschlusssachen genannt.

Das größere Risiko liegt in der alltäglichen Zusammenarbeit über Organisationsgrenzen hinweg. Behörden, Bundeswehr, Rüstungszulieferer, Energieversorger und NATO-Partner stimmen sich oft über Consumer-Apps ab. In der Wire-Studie „The State of Secure Collaboration 2026“ gaben 42 % der CISOs an, dass ihre Organisationen WhatsApp, Signal oder ähnliche Apps für die Arbeit nutzen. Für diese öffentlichen Dienste würden künftige Scan-Regeln gelten.

Wo ist vertrauliche Kommunikation besonders gefährdet?

Welche Messenger schützen Sie wirklich?

Unabhängig davon, wie der Trilog ausgeht: Diese Kriterien entscheiden, ob vertrauliche Kommunikation geschützt bleibt.

Verschlüsselung standardmäßig

Ende-zu-Ende-Verschlüsselung muss für jede Nachricht, jeden Anruf, jede Datei und jede Gruppe aktiv sein, ohne Einstellung, die man vergessen kann.

Offener Standard und offener Code

Prüfen Sie, ob das Protokoll ein offener, begutachteter Standard wie MLS ist und ob der Code Open Source und unabhängig geprüft ist.

Schlüssel und Betrieb in Ihrer Hand

Der Anbieter darf keinen Zugriff auf Ihre Schlüssel haben. Verlangt Ihr Bedrohungsmodell es, muss sich der Dienst selbst hosten lassen.

Unabhängige Zulassungen

Zulassungen wie die VS-NfD-Zulassung des BSI für Wire Bund bieten mehr Sicherheit als die Aussagen eines Anbieters.

Governance

Auch die sicherste App hilft nicht, wenn Beschäftigte daneben WhatsApp nutzen. Dass 42 % der Organisationen das tun, ist an sich schon ein Risiko.

Wie bereiten Sie Ihre Organisation vor?

Erfassen Sie, wo vertrauliche Gespräche stattfinden

Beziehen Sie die Consumer-Apps ein, die Beschäftigte mit externen Partnern nutzen. Dort liegt das größte Risiko.

Verlagern Sie diese Kommunikation

Wählen Sie eine verwaltete Plattform mit standardmäßiger Ende-zu-Ende-Verschlüsselung und Option zum Selbstbetrieb. Dokumentieren Sie die Entscheidung als Teil Ihrer NIS2-Maßnahmen zu Kryptografie und Kommunikation.

Verfolgen Sie den Trilog

Ein finaler Text bringt Übergangsfristen und Definitionen des Anwendungsbereichs mit sich, die Beschaffungsentscheidungen beeinflussen. Planen Sie so, dass Ihre Kommunikation bei jedem Ausgang geschützt bleibt.

Bringen Sie sich ein

Fight Chat Control bietet ein Werkzeug, um Europaabgeordnete zu kontaktieren, und einen Überblick über Chat Control 1.0 und 2.0. Unser früherer Aufruf zum Widerstand gegen die Chatkontrolle zeigt, warum Wire Position bezieht.

Wie Wire Ihre Kommunikation vor der Chatkontrolle schützt

Wire ist ein europäischer Messenger für sichere Zusammenarbeit unter europäischer Kontrolle. Jede Unterhaltung in Wire fällt in die Kategorie, die die Ausnahmeregelung von 2026 ausschließt: Wire hat keinen Zugriff auf Nachrichteninhalte und keinen Mechanismus, um sie zu scannen.

Wichtigste Funktionen:

• Ende-zu-Ende-Verschlüsselung standardmäßig: Jede Nachricht, jeder Anruf und jede Datei, ohne Opt-in und ohne unverschlüsselten Modus. Die Server leiten nur verschlüsselte Daten weiter.
• Messaging Layer Security (MLS): Offener IETF-Standard mit Forward Secrecy und Post-Compromise Security, der auch große Gruppen absichert.
• Open Source: Clients und Server sind offen prüfbar. Sicherheitsteams können nachvollziehen, dass es keine versteckte Scan-Komponente und keine Schlüsselhinterlegung gibt.
• Selbstbetrieb und On-Premises: Organisationen behalten Schlüssel, Infrastruktur und Rechtsraum in eigener Hand.
• Wire Bund für VS-NfD: Vom BSI für den Geheimhaltungsgrad VS-NfD zugelassen und in der Bundesverwaltung im Einsatz. Mehr im Beitrag zur BSI-Zulassung.
• Verwaltung und Gastzugänge: Zentrale Administration und sichere Zusammenarbeit mit externen Partnern, statt Abstimmung über Consumer-Apps.

Mehr als 1.800 Organisationen nutzen Wire bereits für vertrauliche Kommunikation. Lesen Sie ihre Erfahrungen.

Oder sprechen Sie mit uns, wie Wire Ihre Anforderungen erfüllt.