Die jüngste Abstimmung des Europäischen Parlaments hat die Debatte um die EU-Chatkontrolle erneut angefacht. Durch die Verlängerung des Rechtsrahmens, der Anbietern die freiwillige Überprüfung bestimmter nicht Ende-zu-Ende-verschlüsselter Kommunikationsinhalte auf Darstellungen sexuellen Kindesmissbrauchs (CSAM) ermöglicht, bleiben diese Praktiken vorerst bestehen, während über eine dauerhafte Regelung weiter verhandelt wird.
 
Was ist Chatkontrolle? Chatkontrolle ist der Sammelbegriff für EU-Gesetzesinitiativen und Übergangsmaßnahmen, die darauf abzielen, Kommunikationsdienstanbieter bei der Erkennung und Meldung von Darstellungen sexuellen Kindesmissbrauchs (CSAM) in digitalen Kommunikationsdiensten einzubinden. Die zentrale Herausforderung besteht darin, den Schutz von Kindern mit dem Recht auf Privatsphäre, starker Verschlüsselung und vertraulicher Kommunikation auszubalancieren.

 

Die Verlängerung, die häufig als „Chatkontrolle 1.0“ bezeichnet wird, verpflichtet Anbieter von Ende-zu-Ende-verschlüsselten Diensten (E2EE) nicht dazu, Nachrichteninhalte zu überwachen oder die Verschlüsselung zu schwächen. Diese kontroversen Fragen stehen weiterhin im Mittelpunkt der Verhandlungen über die geplante dauerhafte Gesetzgebung, die oft als „Chatkontrolle 2.0“ bezeichnet wird.

Was die jüngste Abstimmung für Unternehmen bedeutet

Mit der Abstimmung in der vergangenen Woche wurde die rechtliche Grundlage dafür verlängert, dass große Technologieanbieter wie Google, Microsoft, LinkedIn und Meta bestimmte Kommunikationsinhalte im Rahmen der geltenden Verordnung weiterhin freiwillig überprüfen dürfen.

Viele Unternehmen verlassen sich auf Plattformen wie Microsoft Teams, Google Workspace oder LinkedIn Messaging für die tägliche Zusammenarbeit. Über bestimmte Dienste dieser Anbieter ausgetauschte Kommunikationsinhalte können bereits heute automatisiert auf bestimmte Inhalte geprüft werden. Abhängig vom jeweiligen Anbieter können daraus resultierende Meldungen entsprechend den geltenden gesetzlichen Anforderungen an externe Stellen außerhalb der EU weitergegeben werden, darunter das US-amerikanische National Center for Missing & Exploited Children (NCMEC).

Datenschutz hinaus: Governance, Risikomanagement und Datensouveränität

Für Unternehmen, die mit vertraulichen Geschäftsinformationen arbeiten, wirft dies wichtige Fragen in Bezug auf Governance und Risikomanagement auf. Zu sensiblen Kommunikationsinhalten zählen unter anderem Rechtsberatung, Gespräche zu Fusionen und Übernahmen, Compliance-Untersuchungen, geistiges Eigentum, Finanzinformationen oder Kundendaten. Sicherheits- und Compliance-Teams müssen daher nicht nur verstehen, wo ihre Daten gespeichert werden, sondern auch wie sie verarbeitet werden, welchen rechtlichen Rahmenbedingungen sie unterliegen und ob automatisierte Scans Teil dieser Verarbeitung sind.

Dabei geht es um weit mehr als Datenschutz. Es geht darum, die Kontrolle über sensible Unternehmensinformationen während ihres gesamten Lebenszyklus zu behalten. Gleichzeitig berührt das Thema eine übergeordnete Frage, die für europäische Unternehmen zunehmend an Bedeutung gewinnt: Datensouveränität.

Zu verstehen, wer technisch auf Daten zugreifen kann, wie diese verarbeitet werden und welche Rechtsräume Einfluss auf diese Verarbeitung haben, ist längst nicht mehr nur eine IT-Frage. Es handelt sich vielmehr um eine strategische Governance-Entscheidung. Unternehmen, die ihre digitale Souveränität stärken möchten, sollten daher nicht nur prüfen, wo ihre Daten gespeichert sind, sondern auch, wer technisch darauf zugreifen kann und auf welcher rechtlichen Grundlage eine Verarbeitung erfolgt.

Wo sollten vertrauliche Geschäftsgespräche stattfinden?

Während Unternehmen ihre Cybersecurity-Maßnahmen kontinuierlich ausbauen, sollten sie auch hinterfragen, wo ihre vertraulichsten Gespräche stattfinden. Nicht jede Kommunikation ist gleichermaßen sensibel. Für die alltägliche Zusammenarbeit eignen sich gängige Produktivitätsplattformen oft hervorragend. Gespräche, die hochvertrauliche Informationen betreffen, benötigen jedoch stärkere Schutzmechanismen, die sicherstellen, dass ausschließlich die vorgesehenen Teilnehmer auf die Inhalte zugreifen können.

Eine Möglichkeit, diese Risiken zu reduzieren, besteht darin, sensible Kommunikation in Ende-zu-Ende-verschlüsselten Kollaborationsumgebungen zu führen. Tresorit Engage wurde genau dafür entwickelt. Die Ende-zu-Ende-verschlüsselten Datenräume schaffen einen sicheren Ort für die Zusammenarbeit mit Kunden, Partnern und weiteren Stakeholdern und stellen sicher, dass nur autorisierte Personen auf freigegebene Dateien und die dazugehörige Kommunikation zugreifen können.

Mit der Funktion Pages kann die Kommunikation direkt innerhalb des Engage-Datenraums stattfinden, statt auf separate Messaging- oder Kollaborationstools verteilt zu werden. Teams können Besprechungsnotizen, Kundengespräche, Projektupdates, wichtige Entscheidungen und Dokumentationen direkt neben den dazugehörigen Dateien festhalten. So bleiben Informationen strukturiert, im richtigen Kontext verfügbar und durch Ende-zu-Ende-Verschlüsselung geschützt.

Vorbereitung auf eine ungewisse regulatorische Zukunft

Die jüngste Abstimmung markiert nicht das Ende der Debatte um die Chatkontrolle. Sie verlängert lediglich den bestehenden Rechtsrahmen, während die Diskussionen über eine dauerhafte Regelung fortgesetzt werden. Ob künftige Gesetzgebung die Scanpflichten ausweiten oder die derzeitige Ausnahme für Ende-zu-Ende-verschlüsselte Dienste beibehalten wird, bleibt abzuwarten.

Unabhängig davon, wie sich die regulatorischen Rahmenbedingungen entwickeln, sollten Unternehmen nicht damit warten, zu überprüfen, wo ihre sensibelsten Gespräche stattfinden. Der wirksamste Schutz vertraulicher Kommunikation besteht darin, sicherzustellen, dass ausschließlich die vorgesehenen Teilnehmer darauf zugreifen können – und nicht Dienstanbieter, automatisierte Scansysteme oder andere Dritte.

Katalin Jakucs