Quellen-Tabelle

Ursprünglicher Verordnungsvorschlag der Kommission vom 11. Mai 2022, der Aufdeckungsanordnungen für Anbieter von Kommunikationsdiensten einführen würde. Rechtsgrundlage ist Art. 114 AEUV (Binnenmarkt), nicht Strafrecht.

Das ist der EU-Gesetzesentwurf, der Firmen zwingen könnte, private Nachrichten nach verbotenen Inhalten zu durchsuchen. Ein Entwurf ist noch kein Gesetz.

Zentrale Verfahrensseite; Status laut OEIL: "Awaiting Parliament's position in 1st reading" — Trilog-Fortschritt (Ratsmandat Nov. 2025) dort im Dokumentengateway nachverfolgen. Wichtig: Datum bei jeder Nutzung neu prüfen, dies ist eine lebende Seite.

Diese Seite zeigt live, wie weit das Gesetz gerade ist. Stand hier: noch nicht beschlossen, noch in Verhandlung — wer "ist beschlossen" behauptet, liegt falsch.

Regelt die *freiwillige* Erkennung von CSAM durch Kommunikationsdienste als befristete Ausnahme von der ePrivacy-Richtlinie — Vorläufer und rechtlicher Unterschied zur geplanten *verpflichtenden* Aufdeckungsanordnung im Hauptverfahren (BSDC-P-KOM-2022-001). Genau diese Unterscheidung fehlt in den meisten Laien-Zusammenfassungen.

Das hier ist NICHT die Chatkontrolle. Das ist eine ältere, freiwillige Regel, die es Firmen erlaubt (nicht zwingt), selbst nach Missbrauchsbildern zu suchen. Wichtig, damit man beide nicht verwechselt.

Verordnung, seit 17. Februar 2024 für alle Unternehmen rechtskräftig; Ziel ist ein einheitlicher Binnenmarkt für digitale Dienste mit klaren Verpflichtungen für Diensteanbieter, um Sicherheit und Rechte der Online-Nutzer zu stärken.

Das ist das zentrale EU-Gesetz für alles, was online läuft — Plattformen, Marktplätze, soziale Netzwerke. Es ist vollständig in Kraft, keine Zukunftsmusik.

Anbieter sehr großer Online-Plattformen müssen systemische Risiken bewerten, darunter Auswirkungen auf die Grundrechte aus der Charta — Meinungsfreiheit, Datenschutz, Privatleben — und dokumentieren dies mindestens drei Jahre. Die daraus folgenden Risikominderungsmaßnahmen müssen angemessen, verhältnismäßig und wirksam sein.

Das ist der Kern der "Overblocking"-Debatte: Große Plattformen müssen selbst einschätzen, was "riskant" ist, und dagegen vorgehen. Die Begriffe sind bewusst weit gefasst — das Gesetz selbst schreibt keine Löschlisten vor, aber es zwingt Plattformen, im Zweifel eher mehr als weniger zu entfernen, um Sanktionen zu vermeiden.

Trusted Flagger sind Organisationen mit besonderer Sachkenntnis im Erkennen und Melden rechtswidriger Inhalte, die vom Digital Services Coordinator zertifiziert werden; wichtig: Trusted Flagger besitzen keinen "Löschknopf" — die Entscheidung über Entfernung verbleibt beim Diensteanbieter, der die Meldung erhält.

Wichtigste Präzisierung: Trusted Flagger löschen nichts selbst. Sie melden nur — mit Vorrang. Die Plattform entscheidet am Ende. Das ist ein wichtiger Unterschied zur oft kursierenden Vorstellung, sie könnten direkt Inhalte entfernen.

Kern des EMFA ist die Garantie redaktioneller Unabhängigkeit der Medien und der Schutz journalistischer Arbeit vor staatlicher Einflussnahme; das Gesetz enthält verbindliche Regeln für Medienunternehmen, Online-Plattformen und Behörden.

Das ist NICHT das Gesetz, das öffentlich-rechtliche Sender bevorzugt zeigen lässt — es ist in erster Linie ein Schutzgesetz gegen politische Einmischung in Medien (Stichwort Ungarn, Polen). Die "Priorisierung"-Frage aus den ursprünglichen Notizen steckt in einem einzelnen Artikel (Art. 18), nicht im ganzen Gesetz — siehe nächste Quelle.

Allein im Jahr 2021 wurden weltweit 85 Millionen Bilder und Videos mit Darstellungen von sexuellem Kindesmissbrauch gemeldet, bei hoher Dunkelziffer; laut Internet Watch Foundation stieg die Zahl bestätigter Fälle 2021 gegenüber dem Vorjahr um 64%.

Das ist die Zahlenbasis, auf der die gesamte Verordnung aufbaut — wichtig für Blackstones Ehrlichkeitsprinzip: Das zugrundeliegende Problem ist real und riesig, das rechtfertigt die Kritik an der gewählten Lösung nicht automatisch, macht aber verständlich, warum die Verordnung überhaupt vorgeschlagen wurde. Ohne diese Zahl wirkt jede Kritik an der Chatkontrolle unvollständig.

Am 19. November 2025 veröffentlichte die Kommission den Entwurfsvorschlag "Digital Omnibus" — ein Paket zur Vereinfachung und Harmonisierung der EU-Digitalgesetzgebung. Der Entwurf schlägt Änderungen nicht nur am AI Act und Data Act vor, sondern insbesondere auch an der DSGVO selbst, u.a. bei Informationspflichten, Datenschutzverletzungen und Pseudonymisierung sowie neue Regeln zur Verarbeitung von Daten auf Endgeräten (insbesondere über Cookies).

Das ist der offizielle Ausgangspunkt: ein Kommissionsvorschlag vom November 2025, der unter dem Label "Vereinfachung" direkt in den Kern der DSGVO eingreift — nicht nur in Randbereiche.

Der EuGH hat sich im Urteil vom 4. September 2025 (Az. C-413/23 P) mit Fragen zu "personenbezogenen Daten" und "Pseudonymisierung" befasst — Anlass war ein Rechtsstreit zwischen dem Europäischen Datenschutzbeauftragten (EDSB) und dem Einheitlichen Abwicklungsausschuss (SRB). Der EuGH stellte klar: Stellungnahmen, die persönliche Meinungen wiedergeben, sind Informationen "über diese Person", da sie als Ausdruck ihrer Gedanken zwangsläufig eng mit ihr verknüpft sind.

Das ist das eigentliche Ursprungsurteil, auf das sich die Kommission im Digital-Omnibus-Vorschlag beruft — jetzt direkt erfasst, nicht nur über Sekundärquellen. Wichtig: Eine deutsche Aufsichtsbehörde selbst bestätigt in Teilen sogar eine BREITE Auslegung von "personenbezogen" (Meinungsäußerungen zählen dazu) — was der Digital-Omnibus-Kritik teilweise widerspricht.

Der EuGH stellte klar: Auch wenn ein soziales Netzwerk wie Facebook kostenlos ist, kann ein Nutzer vernünftigerweise nicht damit rechnen, dass der Betreiber seine personenbezogenen Daten für personalisierte Werbung ohne Einwilligung verarbeitet. Die Interessen des Nutzers überwiegen gegenüber dem Interesse des Betreibers an werbefinanzierter Personalisierung.

Das ist die eigentliche rechtliche Ursache für die gesamte Entwicklung: Ein EuGH-Urteil von 2023 hat Metas bisherige Rechtsgrundlage für personalisierte Werbung ("berechtigtes Interesse" statt Einwilligung) für unzureichend erklärt — die aktuellen Zusagen aus 2025/2026 sind direkte Folgen dieses Urteils, nicht eine freiwillige unternehmerische Entscheidung. Wichtiger Präzedenzfall auch für andere werbefinanzierte Plattformen.

Am 28. Juli 2026 ist im Amtsblatt der EU die Verordnung (EU) 2026/1881 erschienen, drei Tage später in Kraft getreten und bis zum 3. April 2028 befristet. Anbieter wie Google, Microsoft oder Meta dürfen damit weiterhin freiwillig unverschlüsselte private Nachrichten und E-Mails automatisiert nach Hinweisen auf sexuellen Kindesmissbrauch durchsuchen. Dies ist die dritte Auflage eines Textes, der ursprünglich 2021 als befristete Ausnahme gedacht war.

Wichtigste Status-Änderung: Die in Batch 27 dokumentierte Regelungslücke ist jetzt geschlossen — durch eine erneute Verlängerung der freiwilligen (nicht verpflichtenden) Regelung bis April 2028. Wichtig für Statuskennzeichnung: A1 sollte jetzt als ✅ (freiwillige Zwischenregelung in Kraft) UND 🔶 (dauerhafte CSA-Verordnung weiter im Trilog) gleichzeitig geführt werden — beide Ebenen existieren parallel.

Das Verfassungsgericht entschied einstimmig (8 von 8 Richtern): "Um die Meinungsfreiheit vorsorglich einzuschränken, muss ein klarer Effekt für das Gemeinwohl vorliegen. Nach Einführung des Systems ging die Menge illegaler Postings nicht signifikant zurück — stattdessen wichen Nutzer auf ausländische Websites aus, was zu einer Umkehr-Diskriminierung zwischen inländischen und ausländischen Diensteanbietern führte."

Das ist die exakte Original-Urteilsbegründung, verifiziert an der Primärquelle: Das höchste südkoreanische Gericht stellte fest, dass die Klarnamenpflicht ihr erklärtes Ziel (weniger illegale/schädliche Postings) NICHT nachweisbar erreichte — stattdessen wichen Nutzer einfach auf ausländische Plattformen aus, was einheimische Anbieter gegenüber ausländischen benachteiligte. Das ist strukturell identisch mit dem bereits in F4 dokumentierten Muster (MPI-Studie, BKA-Positionspapier): Eine einschneidende Überwachungsmaßnahme ohne nachweisbare Wirksamkeit wurde gerichtlich gekippt.

Seit 2013 hatten Bürgerrechtler auf das Urteil gewartet: Das Bundesverfassungsgericht entschied, der Gesetzgeber müsse klarer definieren, welche Behörde bei welchen Anlässen welche Daten abfragen dürfe und wie diese genutzt werden dürften. Die Kläger werteten das Urteil als Teilerfolg, hätten sich aber mehr gewünscht.

Wichtige Ergänzung zur bereits in F5/B3 dokumentierten BVerfG-Rechtsprechungslinie zu Überwachungsmaßnahmen: Auch bei der Bestandsdatenauskunft gab es bereits eine verfassungsgerichtliche Klarstellung — mit dem für Blackstones Muster charakteristischen Ergebnis "Teilerfolg, aber nicht das, was sich Kläger erhofft hatten". Trotz dieser Klarstellung zeigt die aktuelle 35-Millionen-Zahl (siehe oben), dass das grundlegende Nutzungsvolumen davon unberührt weiter gewachsen ist.

Der EuGH erlaubt Mitgliedstaaten, Internetanbietern eine allgemeine und unterschiedslose Speicherpflicht für IP-Adressen zur Bekämpfung von Straftaten aller Art aufzuerlegen, sofern eine strikte Trennung von IP-Adressen und sonstigen personenbezogenen Daten gewährleistet ist.

Der EuGH hat seine bisherige strengere Linie gelockert: IP-Adressen dürfen künftig auch bei kleineren Straftaten pauschal gespeichert werden. Belegt NICHT, dass Deutschland eine solche Speicherpflicht bereits gesetzlich umgesetzt hat.

Signal führt mit PQXDH ein Upgrade ein, das klassischen Diffie-Hellman-Austausch mit Post-Quanten-Verfahren CRYSTALS-Kyber kombiniert, schützt gegen 'Harvest now, decrypt later'.

Signal war erster großer Messenger mit Post-Quanten-Schutz. Herstellereigene Ankündigung, keine unabhängige Prüfung.

Offizielles Ratsdokument im Gesetzgebungsverfahren zur Chatkontrolle-Verordnung, Teil laufender Trilog-Verhandlungen.

Technisches Verhandlungsdokument, dient als Beleg für Verfahrensstand, nicht für inhaltliche Details.

China erließ Richtlinie mit 23 Maßnahmen zur Ausweitung des Sozialkreditsystems auf Kommunen, Unternehmen, Individuen.

Ausweitung Sozialkreditsystem. Konkrete Auswirkungen auf Bürger nicht belegt.

Apple stellte E2E-Verschlüsselung für iCloud-Backups für neue UK-Nutzer ein nach behördlicher Technical Capability Notice.

Apple verweigerte Hintertür, schaltete Funktion stattdessen ab. Wortlaut der Anordnung nicht öffentlich.

Russland blockierte WhatsApp vollständig (~100 Mio. Nutzer), bewirbt unverschlüsselten Staats-Messenger 'Max' als Ersatz.

Vollständige WhatsApp-Sperre in Russland.

Microtargeting übertrifft alternative Werbestrategien im Schnitt um 70% oder mehr bei gleichgerichteten Botschaften.

Experimentelle Studie zur Wirksamkeit von Microtargeting.

74 Behördenanfragen 2025 (60 aus Deutschland), rund ein Drittel abgelehnt, häufigster Grund unverschlüsselte Übermittlung.

Vergleichbare Berichte anderer Anbieter (z.B. Gmail) fehlen.

220 Behördenanfragen H2 2025, ca. 75% abgelehnt, nie NSL oder FISA-Anordnung erhalten.

Ob abgelehnte Anfragen später anderweitig durchgesetzt wurden, nicht belegt.

85 Behördenanfragen 2025, keine Bestandsdatenauskünfte herausgegeben, nur 2 Fälle TKÜ per Gerichtsbeschluss.

Posteo speichert grundsätzlich keine personenbezogenen Daten/IP-Adressen.

75 aktiv ausgenutzte Zero-Days 2024, kommerzielle Überwachungsanbieter an 8 beteiligt, 53% spionagebezogene Nutzung.

Googles eigene Erhebung, nicht vollständige unabhängige Zählung.