Chat Control 2026: Was sich für italienische Anwälte, Journalisten und Führungskräfte wirklich ändert, wenn Europa Ihre Verschlüsselung diskutiert

Chat Control ist der Name, mit dem die Fachpresse den Vorschlag der EU-Verordnung CSAR — Child Sexual Abuse Regulation — bezeichnet, der von der Europäischen Kommission im Mai 2022 eingereicht und seit vier Jahren in den EU-Institutionen verhandelt wird. Die ursprüngliche Form sah eine Verpflichtung für Anbieter zwischenmenschlicher Kommunikationsdienste vor, Nachrichteninhalte vor der Verschlüsselung zu scannen — die sogenannte Client-Side-Scanning-Technik.

Über die Jahre war der Vorschlag Gegenstand harter Auseinandersetzungen zwischen Europäischer Kommission, Rat der Union, Europäischem Parlament und einer Galaxie aus Zivilgesellschaft, akademischen Kryptografen, verschlüsselten Diensteanbietern und Datenschutzbehörden. Über fünfhundert Akademiker argumentierten in einem offenen Brief, dass Client-Side-Scanning mit Computersicherheit unvereinbar ist.

April 2026: Die Chronologie

Erstens: Am 26. März 2026 lehnte das Europäische Parlament mit einer einzigen Stimme die Verlängerung der befristeten Ausnahmeregelung ab.

Zweitens: Am 3. April 2026 lief die Ausnahmeregelung ohne Erneuerung ab. Anbieter in der EU können Nachrichten ihrer europäischen Nutzer rechtlich nicht mehr nach bekanntem Material zum sexuellen Kindesmissbrauch scannen.

Drittens: Die Verhandlung von "Chat Control 2.0" läuft seit Monaten und wird offiziell im Trilog am 4. Mai 2026 wieder aufgenommen, mit dem Ziel einer Einigung bis Juli 2026.

Was vom Tisch genommen wurde (die gute Nachricht)

Der Rat hat im letzten Jahr seine Verhandlungsposition geändert und die Forderung nach verpflichtendem Client-Side-Scanning auf verschlüsselten Diensten aus seinem Mandat entfernt. Die Position des Parlaments ist auf diesem Punkt noch klarer: kein verpflichtendes Scannen von Ende-zu-Ende-verschlüsselten Inhalten.

Dies ist konkret ein Sieg der Zivilgesellschaft und der technischen Gemeinschaft. Es bedeutet, dass die kryptografische Integrität von Signal, WhatsApp, iMessage durch europäisches Recht nicht gebrochen wird.

Was auf dem Tisch bleibt

Mit dem Fall der muskulösen Version des generalisierten Client-Side-Scannings hat sich die Verhandlung auf drei Fronten verlagert.

Front 1 — Altersverifikation und obligatorische digitale Identität

Der Ratstext führt eine Altersverifikationspflicht ein. Wie verifiziert man jedoch das Alter online ohne die Person zu identifizieren? Verfügbare Technologien sind alle stark identifizierend. Das Risiko ist, ein Privacy-Problem durch ein anderes, noch schwerwiegenderes zu ersetzen.

Für italienische Journalisten mit anonymen Quellen und Anwälte mit geschützten Zeugen wäre eine obligatorische Altersverifikation besonders problematisch.

Front 2 — Scannen unverschlüsselten Materials

Der Ratstext erhält eine Scan-Verpflichtung für nicht E2E-verschlüsselte Cloud-Diensteanbieter und unverschlüsselte E-Mail-Betreiber. Die EU-Verordnung ändert das Risiko nicht, sie formalisiert es.

Für effektive Vertraulichkeit ist der einzige technische Weg clientseitige Verschlüsselung vor dem Upload — Cryptomator, oder native E2E-Plattformen wie Proton Drive, Tresorit, Tuta.

Front 3 — Detection Orders auf Einzeldienste und Einzelfälle

Der bleibende Mechanismus ist der "Detection Order" — eine Anordnung, die einen bestimmten Anbieter zu Erkennungsmaßnahmen verpflichtet. Selbst wenn der Gegenstand nicht das Scannen verschlüsselter Inhalte ist, könnte er andere Verpflichtungen einschließen: Konto-Sperren, Metadaten-Aufbewahrung, Verkehrsmuster-Teilung.

Italien unter den vier Gegnern

Italien, Tschechien, Niederlande und Polen bilden heute den Block der vier Länder, die sich gegen die aktuelle Ratsposition stellen. Die italienische Opposition gegen den Ratstext bedeutet nicht, dass Italien "gegen Chat Control" im absoluten Sinne ist.

Vier Länder reichen allein nicht aus, um das Verfahren zu blockieren. Sie bilden jedoch eine potenzielle Sperrminderheit, besonders wenn Deutschland oder Spanien zu einer kritischen Position wechseln würden.

Das Europäische Parlament hat eine gleichberechtigte Rolle. Der Druck der Zivilgesellschaft in den nächsten zwei Monaten zählt konkret.

Was sich konkret in Ihrem Arbeitstag ändert

Für Echtzeitkommunikationen, die end-to-end verschlüsselt sind: heute keine und wahrscheinlich keine rechtliche Verpflichtung zum Inhalts-Scanning. Die dominante Angriffsfläche ist nicht der Regulator, sondern das Endgerät.

Für E-Mails und Dokumente auf Nicht-E2E-Cloud-Diensten: bestätigt die De-facto-Situation. Sie werden gescannt. Für wirklich vertrauliche Dokumente ist clientseitige Verschlüsselung vor dem Upload die einzige technisch robuste Maßnahme.

Für die Haltung Ihres Geräts: der wichtigste Punkt. Ein kompromittiertes Gerät hebt jede kryptografische Garantie des Netzwerks auf. Es ist der Bereich, in dem AEGIDA mit seinem Privacy Phone tätig ist — als Grundlage einer digitalen Haltung, die realen Bedrohungen widersteht.

Sieben konkrete Maßnahmen für die nächsten acht Wochen

1. 1.Kommunikation nach Sensibilitätsklasse abbilden.
2. 2.Haltung des Hauptgeräts überprüfen.
3. 3.Wirklich vertrauliche Speicherung zu E2E-Lösungen migrieren.
4. 4.Optionales Scannen wo möglich deaktivieren.
5. 5.Altersverifikations- und Datenschutzrichtlinien überprüfen.
6. 6.Geräte-Trennung zwischen administrativer und beruflicher Identität.
7. 7.CSAR-Trilog in den nächsten acht Wochen verfolgen.

Schluss: Verschlüsselung bleibt. Der Rest ist Arbeit

Die Nachricht, die viele alarmistisch verbreitet haben — "Europa wird die Verschlüsselung brechen" — ist nicht das, was heute auf dem Trilog-Tisch liegt. Die Ende-zu-Ende-Verschlüsselung von Signal, WhatsApp, iMessage wird nicht durch die europäische Verordnung gebrochen werden.

Für italienische Fachleute lautet die operative Schlussfolgerung: Verschlüsselung bleibt verfügbar, aber die Verantwortung für eine solide digitale Haltung liegt bei Ihnen. Es gibt keine Plattform, die Sie rettet, keine Norm, die Sie allein schützt. Es gibt eine Reihe technischer und prozeduraler Entscheidungen, die kumuliert bestimmen, ob die Vertraulichkeit, die Sie erklären, real oder kosmetisch ist.