Jeden Mittwoch tagt im Bundeskanzleramt das Bundeskabinett mit allen 16 Bundesminister:innen. Abseits davon kommen sie nicht oft als Gruppe zusammen, alle haben volle Zeitpläne und eigene Bereiche. Doch am Donnerstag vor drei Wochen haben sich vier Minister:innen in Berlin getroffen und über ein einziges Thema verhandelt: ihre Position zur geplanten EU-Verordnung zur Prävention und Bekämpfung des sexuellen Missbrauchs von Kindern.

Eigentlich ist der Koalitionsvertrag klar: „Allgemeine Überwachungspflichten, Maßnahmen zum Scannen privater Kommunikation und eine Identifizierungspflicht lehnen wir ab.“ Die FDP-Ministerien haben rote Linien formuliert, was das für den Gesetzentwurf bedeutet. Doch das Innenministerium hat im Dezember ein Positionspapier vorgelegt, das in allen wesentlichen Punkten widerspricht.

Deshalb haben sich Innenministerin Nancy Faeser (SPD), Justizminister Marco Buschmann (FDP), Digitalminister Volker Wissing (FDP) und Familienministerin Lisa Paus (Grüne) zusammengesetzt und verhandelt. Jedoch haben sie laut unseren Informationen nur „Trippelschritte“ gemacht und gingen ohne Einigung auseinander. Die Bundesregierung streitet, während das Innenministerium seit neun Monaten in Brüssel verhandelt.

Eine Woche nach dem Treffen hat das Innenministerium ein neues Positionspapier vorgelegt, als Basis für eine gemeinsame Position der Bundesregierung. Das Papier ist eine neue Verhandlungsgrundlage, geeinigt haben sie sich noch nicht. Zunächst berichtete Tagesspiegel Background Digitalisierung – wir veröffentlichen das Dokument in Volltext.

Wesentliche Änderungen erforderlich

Demnach begrüßt die Bundesregierung den Gesetzentwurf der EU-Kommission. Im Kampf gegen sexuellen Missbrauch von Kindern und Jugendlichen will sie Internet-Dienste „stärker in die Verantwortung“ nehmen. Gleichzeitig muss das Gesetz Grundrechte wie Vertraulichkeit und Privatsphäre achten. Damit Deutschland zustimmen kann, „sind wesentliche Änderungen im Verordnungsentwurf erforderlich“, heißt es in dem Papier.

Auf drei Punkte konnte sich die Bundesregierung bisher einigen. Die EU-Verordnung darf keine Inhalte regulieren, die nach nationalem Recht nicht strafbar sind. Überall ist sexuelle Gewalt gegen Kinder strafbar. Doch es gibt auch Unterschiede – etwa die Altersgrenze von Kindern und Jugendlichen, einvernehmliches Sexting unter Jugendlichen, fiktive Inhalte wie Texte und Comics oder rechtliche Besonderheiten wie den Begriff „kinderpornographische Inhalte“ in Deutschland.

Geeinigt hat sich die Bundesregierung auch, dass Audio-Kommunikation wie Telefonie oder Sprachnachrichten nicht durchsucht werden soll. Das gilt bereits in der temporären Ausnahme, die das freiwillige Scannen von Internet-Inhalten erlaubt, obwohl die E-Privacy-Richtlinie das eigentlich verbietet. Der Europaabgeordnete Patrick Breyer von der Piratenpartei klagt auch gegen die freiwillige Chatkontrolle.

Darüber hinaus will die Bundesregierung „Client-Side-Scanning auf dem Endgerät“ der Anwender:innen sowie „Maßnahmen, die zu einem Bruch, einer Schwächung, Modifikation oder einer Umgehung von Ende-zu-Ende-Verschlüsselung führen,“ ausschließen. In diesem Punkt hat sich das Innenministerium bewegt, eigentlich fordern Innenminister „Sicherheit durch Verschlüsselung und Sicherheit trotz Verschlüsselung“.

Serverseitiges Scannen von Chats und Clouds

Über viele andere Punkte streitet die Regierung noch. Das Innenministerium will persönliche Kommunikation nur nicht mitlesen, wenn sie verschlüsselt ist. Anbieter sollen aber unverschlüsselte Kommunikation wie E-Mails und Messenger massenhaft und anlasslos nach illegalen Inhalten durchsuchen und an eine EU-Behörde ausleiten. Die FDP-Ministerien lehnen auch diese serverseitige Chatkontrolle ab, das haben sie in ihren roten Linien explizit formuliert.

Die FDP fordert auch den Ausschluss persönlicher Cloud-Speicher, die nicht mit anderen geteilt werden. Das Innenministerium will aber weiterhin Cloud-Dienste wie Handy-Backups durchsuchen. Im Papier heißt es dazu lapidar, dass die Prüfung dieser Punkte weiter andauert.

Das gilt auch für die Frage, ob Anbieter die Daten ihrer Kund:innen nur mit bekanntem Missbrauchs-Material abgleichen sollen, oder ob sie mit fehleranfälliger Technik auch „bislang unbekannte Missbrauchsdarstellungen und Grooming“ suchen sollen. Die FDP-Ministerien fordern die Streichung von unbekanntem Material und Grooming, das Innenministerium will das beibehalten.

Altersverifikation mittels Ausweisvorlage

Viele der geplanten Maßnahmen setzen voraus, dass Internet-Dienste wissen, wer Kind oder jugendlich ist und wer nicht. Die EU-Verordnung verpflichtet Anbieter zur „Altersüberprüfung und -beurteilung, um minderjährige Nutzer ihrer Dienste zuverlässig zu identifizieren“. Das geht zum Beispiel per elektronischer Identität mittels Personalausweis, würde aber eine anonyme Nutzung verhindern.

Die Bundesregierung erkennt dieses Problem und will, dass diese verpflichtenden Altersverifikationen „eine anonyme oder jedenfalls pseudonyme Nutzung betroffener Dienste weiterhin ermöglichen“. Wie genau beides gleichzeitig möglich ist, sagt die Regierung aber nicht. Stattdessen sollen geeignete Verfahren erforscht und EU-weit einheitliche Standards entwickelt werden.

Die FDP-Ministerien fordern explizit, „die Vorlage des Personalausweises oder eines anderen Identifikationsmittels zum Zweck der Altersverifizierung auszuschließen“. Das Innenministerium will aber auch eine „Altersverifikation mittels Ausweisvorlage (eID-Verfahren)“ erlauben. Auch über diesen Punkt streitet die Bundesregierung noch.

Löschen statt Sperren

Eine weiterer kritischer Punkt der geplanten EU-Verordnung kommt weder in den roten Linien der FDP noch im Entwurf des Innenministeriums vor: Netz-Sperren. Das Gesetz will Internet-Zugangs-Anbieter verpflichten, „URL-Adressen mit bestimmten Darstellungen sexuellen Kindesmissbrauchs“ zu sperren.

Deutschland hat Netz-Sperren gegen Kindesmissbrauch bereits 2009 per Gesetz beschlossen, aber nie angewendet und gleich wieder abgeschafft. Netz-Sperren sind nicht notwendig, weil Darstellungen sexuellen Kindesmissbrauchs auf der ganzen Welt illegal sind. Netz-Sperren sind nicht effektiv, weil sie die illegalen Inhalte nicht entfernen, sondern nur verstecken. Deshalb hat die Bundesregierung die Forderung vom Arbeitskreis gegen Internet-Sperren und Zensur übernommen: Löschen statt Sperren.

Die EU-Kommission will Netz-Sperren trotzdem wieder einführen. Statt Sperren von Domains oder IP-Adressen fordert die Kommission Sperren von „URL-Adressen“. Dazu müssen Internet-Zugangs-Anbieter das Surf-Verhalten ihrer Nutzer:innen aber flächendeckend überwachen. Das ist mit dem Verbot allgemeiner Überwachungspflichten und mit dem Grundrecht auf Privatsphäre unvereinbar, wie unter anderem Felix Reda von der Gesellschaft für Freiheitsrechte immer wieder betont.

Obwohl Deutschland Netz-Sperren schon ausprobiert und ausdiskutiert hat, schweigt die Bundesregierung bisher zu diesem netzpolitischen Kernthema.

Umfangreiche Streichungen nötig

Neben der Regierung beschäftigt sich auch das Parlament mit dem Vorhaben. FDP und Grüne fordern, dass sich der Bundestag inhaltlich zum Thema positioniert. Aber der Koalitionspartner SPD ist gespalten: Digitalpolitiker:innen befürworten eine sogenannte Artikel-23-Stellungnahme, Innenpolitiker:innen verhindern das bis heute.

Der Digitalausschuss diskutiert das Thema morgen mit neun Sachverständigen. Eine davon, Elina Eickstädt, kritisiert das Papier des Innenministeriums: „Wir begrüßen, dass das Innenministerium sich nun für den Schutz von Ende-zu-Ende-Verschlüsselung einsetzt und auch Client-Side-Scanning explizit ausschließt. Allerdings werden problematische Aspekte der Verordnung nicht adressiert beziehungsweise nur weiter konkretisiert.“

Die Informatikerin und Sprecherin des Chaos Computer Clubs Eickstädt fordert: „Insgesamt fehlen detaillierte Streichungsvorschläge. Um die im Koalitionsvertrag gemachten Versprechen einzuhalten, sind Streichungen äquivalent zur Stellungnahme des EU-Ausschuss für Binnenmarkt und Verbraucherschutz nötig.“

Widerspruch zum Koalitionsvertrag

Der liberale Abgeordnete Maximilian Funke-Kaiser kritisiert den mangelnden Fortschritt der Bundesregierung: „Das Innenministerium verzögert die Positionierung der Bundesregierung, indem es Forderungen aufstellt, die offensichtlich im Widerspruch zum Koalitionsvertrag stehen. Das BMI sollte sich stattdessen darauf konzentrieren, den Datenschutz und die Bürgerrechte zu schützen und bei den laufenden Verhandlungen in Brüssel eine klare Haltung gegenüber jeglicher Form von Chatkontrolle zu zeigen.“

Der grüne Abgeordnete Tobias Bacherle fordert, auch unverschlüsselte private Kommunikation zu schützen: „Für ein Mindestmaß an Privatheit im digitalen Raum ist es unerlässlich, dass alle private Kommunikation von flächendeckendem Scannen geschützt bleibt und vom Verordnungsentwurf ausgenommen bleibt.“

Die linke Abgeordnete Anke Domscheit-Berg fordert die Bundesregierung auf, die übrigen „völlig inakzeptablen Elemente“ der EU-Verordnung nicht zu tolerieren: „Nur das Löschen von Inhalten, die effektive Verfolgung von Täter:innen durch besser ausgebildete und ausgestattete Ermittlungsbehörden und massiv ausgeweitete Prävention durch vielfältige gesellschaftliche Maßnahmen sind wirklich zielführend – aber keine Kombination aus Netzsperren, Aufhebung der Anonymität im Internet und Massenüberwachung.“

Hier das Dokument in Volltext:

• Datum: 17.02.2023
• Behörde: Bundesministerium des Innern und für Heimat
• Abteilung: Cyber- und Informationssicherheit
• Referat: Cyberfähigkeiten der Sicherheitsbehörden
• Status: Entwurf

Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Festlegung von Vorschriften zur Prävention und Bekämpfung des sexuellen Missbrauchs von Kindern (CSA-VO)

Stellungnahme der Deutschen Bundesregierung zum Entwurf einer CSA-VO

Für die Bundesregierung hat der Kampf gegen sexuellen Missbrauch von Kindern und Jugendlichen höchste Priorität. Daher begrüßt die Bundesregierung den Kommissionsentwurf als gemeinsames europäisches Vorgehen, das klare und dauerhafte Rechtsgrundlagen schafft. Ein einheitlicher europäischer Rechtsrahmen mit effektiven Meldewegen stellt einen wesentlichen Schritt im Kampf gegen sexuellen Missbrauch von Kindern dar. Dabei ist es wichtig, die Anbieter einschlägiger Dienste der Informationsgesellschaft stärker in die Verantwortung zu nehmen.

Gleichzeitig ist es unbedingt erforderlich, dass die geplanten Regelungen der CSA-VO im Einklang mit den grundrechtlichen Anforderungen insbesondere an den Schutz der Vertraulichkeit der Kommunikation und an den Schutz der Privatsphäre in der Kommunikation stehen. Ein hohes Datenschutzniveau, ein hohes Maß an Cybersicherheit, einschließlich einer durchgängigen und sicheren Ende-zu-Ende-Verschlüsselung in der elektronischen Kommunikation sind für die Bundesregierung unerlässlich.

Aus Sicht der Bundesregierung sind wesentliche Änderungen im Verordnungsentwurf erforderlich, damit dieser aus deutscher Sicht zustimmungsfähig wird. Konkrete Forderungen werden nachfolgend festgehalten. Soweit die Prüfungen innerhalb der Bundesregierung noch nicht abgeschlossen sind, behalten wir uns weitere Forderungen zu einem späteren Zeitpunkt vor. Die Bundesregierung wird sich weiterhin aktiv und konstruktiv in die Verhandlungen der CSA-VO einbringen.

Nationales Strafrecht als verbindliche Obergrenze

• Anpassung der Begriffsbestimmung in Art. 2 (insbesondere lit. l, o, q), die den nationalen Umsetzungsspielraum der Mitgliedsstaaten der Richtlinien 2011/93/EU berücksichtigen. Inhalte oder Verhaltensweisen, die nach nationalem Recht nicht strafbar sind, sind vom Anwendungsbereich des VO-E auszuschließen.

Risikomanagement und abgestufte Verfahren

• Erforderlich sind Konkretisierungen der Anforderungen und Maßstäbe an das Risikomanagement i.S.d. Art. 3 bis 6. Sowohl Anbieter als auch Nutzer müssen im Sinne von Rechtssicherheit und Vorhersehbarkeit wissen, welche Daten bzw. Parameter zugrunde gelegt werden (können) und in welchem Maße diese gewichtet werden.
• Im Verordnungsentwurf ist festzustellen, dass die Pflichten des Risikomanagements ohne den Einsatz von Aufdeckungstechnologien i.S.d. Art. 10 VO-E im zeitlichen und örtlichen Anwendungsbereich der CSA-VO zu erfüllen sind.
• Festlegung des Stufenverhältnisses zwischen Risikominimierungsmaßnahmen und Aufdeckungsanordnungen im Verordnungstext: Vor einer möglichen Aufdeckungsanordnungen sind zunächst alle milderen Mittel im Rahmen des Risikomanagements (verpflichtend) auszuschöpfen.

Konkretisierung der Vorgaben für Altersverifikationen

• Verpflichtende Altersverifikationen (gem. Art. 4 Abs. 3, Art. 6 Abs. 1 lit. c VO-E) müssen eine anonyme oder jedenfalls pseudonyme Nutzung betroffener Dienste weiterhin ermöglichen. Wir setzen uns für einen stärkeren Fokus auf der Forschung verschiedener geeigneter Verfahren ein. Daneben sollte die Entwicklung EU-weit einheitlicher Standards vorangetrieben werden.
• Es ist sicherzustellen, dass Nutzern neben pseudonymer Altersverifikation mittels Ausweisvorlage (eID-Verfahren) durch die Diensteanbieter gleichrangig alternative Altersverifikationsverfahren angeboten werden (Sicherstellung eines Wahlrechts).
• Auch Altersverifikationsverfahren sind zwingend mit geeigneten Beschwerde- und Abhilfeverfahren der betroffenen Nutzerinnen und Nutzer zu flankieren.

Konkretisierung der Voraussetzungen für den Erlass von Aufdeckungsanordnungen und Gewährleistung einer durchgängigen und sicheren Ende-zu-Ende-Verschlüsselung

Der Verordnungsentwurf sieht die Möglichkeit der Anordnungen zum Aufdecken von bereits bekannten sowie neuen Missbrauchsdarstellungen und „Grooming“ vor. Aus Sicht der Bundesregierung begegnet die Ausgestaltung des Verordnungsentwurfes in diesem Bereich erheblichen Bedenken. Dies betrifft insbesondere auch den durchgängigen Schutz Ende-zu-Ende verschlüsselter Kommunikation. Es bedarf deutlicher Konkretisierung, um einen größtmöglichen Schutz aller betroffenen Grundrechte sicherzustellen. Neben die Grundrechte von Nutzerinnen und Nutzern von Diensten der Informationsgesellschaft, die Adressat einer Aufdeckungsanordnung werden, treten die Grundrechte von sexuellem Missbrauch betroffener Kinder und Jugendlicher.

Innerhalb der Bundesregierung dauert die Prüfung hinsichtlich folgender Punkte an:

• Zulässigkeit sowie etwaiger Umfang serverseitiger Aufdeckungsmaßnahmen in unverschlüsselten Telekommunikations- sowie (Cloud-) Speicherdiensten
• Zulässigkeit von Aufdeckungsmaßnahmen von bislang unbekannten Missbrauchsdarstellungen und Grooming in offen zugänglichen Telemediendiensten (insbesondere Sozialen Netzwerken)

Zum jetzigen Zeitpunkt sind insbesondere folgende Forderungen festzuhalten:

• Der Einsatz von Maßnahmen, die zu einem Bruch, einer Schwächung, Modifikation oder einer Umgehung von Ende-zu-Ende-Verschlüsselung führen, ist durch konkrete technische Anforderungen im Verordnungsentwurf auszuschließen.
• Auszuschließen sind Technologien, die als sog. Client-Side-Scanning auf dem Endgerät des/der Anwenders/in zum Aufdecken von CSAM eingesetzt werden.
• Ausschluss von Maßnahmen, die zu einem Scannen privater verschlüsselter Kommunikation führen, insbesondere durch Streichung der Anwendbarkeit des Art. 7 VO-E auf verschlüsselte interpersonelle Kommunikationsdienste i.S.d. Art. 2 b) VO-E.
• Audiokommunikation ist vom Anwendungsbereich des Art. 7 VO-E auszunehmen.
• Konkretisierung der unbestimmten Rechtsbegriffe im Verordnungstext insbes. „erhebliches Risiko“ i.S.d. Art. 7 Abs. 3 VO-E „in beträchtlichem Umfang“ i.S.v. Art. 7 Abs. 5,6,7.
• Konkretisierung der Vorgaben für eine Abwägungsentscheidung i.S.d. Art. 7 Abs. 4 lit. b).
• Konkretisierung der Vorgaben für begrenzte, möglichst zielgerichtete Anordnungen nur auf einen „identifizierbaren Teil oder Aspekt“ eines betroffenen Dienstes i.S.d Art. 7 Abs. 8 UAbs. 3 lit. a).
• Konkretisierung und Sicherstellung, dass alle Nutzerinnen und Nutzer von Diensten, die Adressat einer Aufdeckungsanordnung werden, in geeigneter, abstrakter Weise i.S.d. Art. 10 Abs. 5 über die in dem betroffenen Dienst durchzuführenden Aufdeckungen sowie Meldungen potenziellen sexuellen Missbrauchs von Kindern informiert werden.

Beschleunigte Meldewege

• Konkretisierung im Verordnungstext, dass Meldungen von Missbrauchsdarstellungen bzw. Grooming nach Prüfung durch das EU-Zentrum ohne zeitlichen Verzug an die zuständigen Behörden der Mitgliedsstaaten weitergeleitet werden.

Mehr Gestaltungsspielraum bei der einzurichtenden Behördenstruktur in den Mitgliedstaaten sowie Förderung der Zivilgesellschaft und Betroffenenvernetzung

• Flexibilisierung der Anforderungen an die Ausgestaltung der Koordinierungsbehörden; insbesondere bzgl. der geforderten Unabhängigkeit, zur effektiven Nutzbarmachung bestehender Strukturen.
• Politisch-strukturelle Einbindung von Betroffenen sexuellen Missbrauchs bei der Arbeit der nationalen Koordinierungsbehörden. Stärkung von Betroffenenvernetzung auf nationaler Ebene durch die Koordinierungsbehörden.
• Eine enge Zusammenarbeit der Meldestellen mit fachlich erfahrenen zivilgesellschaftlichen Akteuren wird etabliert.

Aufgaben und Governance Struktur des EU-Zentrums für die Verhütung und Bekämpfung sexuellen Kindesmissbrauchs

• Konkretisierung der Aufgaben des EU-Zentrums im Bereich der Prävention, Unterstützung, Forschung und Aufarbeitung unter stärkerer Berücksichtigung der Offline-Dimension sexuellen Missbrauchs von Kindern und Jugendlichen im Verordnungstext.
• Strukturelle Beteiligung von Betroffenen sexuellen Missbrauchs bei der Tätigkeit des EU-Zentrums durch die Gründung eines Betroffenenbeirates – vgl. beiliegend übermittelten Formulierungsvorschlag.
• Konkretisierung der Aufgabenabgrenzung zwischen EU-Zentrum und Europol im Verordnungstext, um Synergien für eine effektive Strafverfolgung zu schaffen und Doppelarbeit zu vermeiden. Dies schließt eine Prüfung ein, inwieweit die bei Europol bereits etablierten Prozesse genutzt werden können.
• Schaffung einer eindeutigen Rechtsgrundlage für den Austausch personenbezogener Daten unter Einhaltung des Grundsatzes der Datenminimierung zwischen beiden Einrichtungen, um die künftige Zusammenarbeit in der Praxis zu gewährleisten.
• Konkretisierung, in welchem Umfang und unter welchen Rahmenbedingungen das EU-Zentrum auf Unterstützungsleistungen von Europol zurückgreifen soll, und Aufnahme klarer Regelungen in die Verordnung, um negative Auswirkungen auf die Kernaufgaben von Europol zu vermeiden.
• Harmonisierung der Governance-Struktur des geplanten EU-Zentrums mit den bewährten und jüngst von den Ko-Gesetzgebern bestätigten Governance-Strukturen von Europol, um einen angemessenen Interessenausgleich zwischen mitgliedstaatlicher und EU-Ebene zu gewährleisten. Die Einrichtung eines Exekutivrates sowie die vorgeschlagenen Vetorechte der Kommission lehnt die Bundesregierung ausdrücklich ab.