Chatkontrolle in Europa: Was die Abstimmung vom 9. Juli 2026 für Ihr Unternehmen bedeutet

Stellen Sie sich einen Maschinenbauer mit 40 Mitarbeitenden vor. Die Konstruktionszeichnung für den neuen Auftrag liegt in einem WhatsApp-Chat auf einem Privathandy, das Angebot dazu in einem US-Cloud-Ordner. Niemand im Betrieb könnte auf Anhieb sagen, welche Datei wo liegt und wer mitliest. Genau an dieser Stelle wird die Chatkontrolle für den Mittelstand konkret. Am 9. Juli 2026 hat das Europäische Parlament (EP) abgestimmt; was bei der EU-Chatkontrolle 2026 tatsächlich gilt und was nur Schlagzeile ist, ordnet dieser Beitrag.

Sie wollen wissen, über welche Kanäle Ihre vertraulichen Daten laufen dürfen? Sprechen Sie mit uns.

Was ist die Chatkontrolle?

Die Chatkontrolle ist die verkürzte Bezeichnung für zwei getrennte EU-Rechtsakte gegen Darstellungen sexualisierter Gewalt an Kindern. Version 1.0 ist die befristete Verordnung (EU) 2021/1232, die Anbietern das freiwillige Scannen unverschlüsselter Nachrichten erlaubt. Version 2.0 ist die geplante dauerhafte CSA-Verordnung (CSAR), die Anbieter zur Aufdeckung verpflichten könnte.

Der Unterschied entscheidet alles. Die 1.0-Variante zwingt niemanden, sie hebt nur eine Datenschutzschranke auf, damit Dienste wie klassische Webmail nach bekanntem Material suchen dürfen[1]. Die 2.0-Variante COM(2022)209 würde Aufdeckungsanordnungen einführen und steht deshalb im Zentrum der Kritik[2].

Wie ist der aktuelle Stand der Chatkontrolle?

Am 9. Juli 2026 stimmte das EU-Parlament über die Verlängerung der freiwilligen Chatkontrolle ab. Der Versuch, sie zu stoppen, verfehlte die nötige absolute Mehrheit von rund 360 der 720 Abgeordneten. Damit gilt die geänderte Interims-Regelung im Parlament als angenommen. Ende-zu-Ende-verschlüsselte Kommunikation nahm das Parlament aus. Endgültig ist das erst mit Zustimmung des Rates.[3][4]

Die Chronologie dahinter:

1. 26. März 2026Das Parlament lehnt eine Verlängerung zunächst ab (228 dafür, 311 dagegen, 92 Enthaltungen).[6]
2. 3. April 2026Die alte Interims-Verordnung läuft aus, seither fehlt die Rechtsgrundlage fürs freiwillige Scannen.[7]
3. 2. Juli 2026Der Rat der Europäischen Union beschließt seine Position, das freiwillige Scannen bis 3. April 2028 wieder in Kraft zu setzen (Verfahren 2025/0429(COD)).[7][8]
4. 7. Juli 2026Das Parlament stimmt einem Eilverfahren zu (331 zu 304, 11 Enthaltungen).[9]
5. 9. Juli 2026Die Ablehnung verfehlt die absolute Mehrheit, die geänderte Fassung nimmt die Hürde.[3]

Der geänderte Text geht nun zurück an den Rat unter irischem Vorsitz; nach Artikel 294 AEUV hat dieser rund drei Monate für die Billigung.[10][8]

Warum ist die Chatkontrolle umstritten?

Die Chatkontrolle ist umstritten, weil zwei berechtigte Anliegen kollidieren: der Schutz von Kindern vor sexualisierter Gewalt und der Schutz vertraulicher Kommunikation. Der Streit dreht sich dabei nicht um das Ziel, sondern um das Mittel, nämlich das automatisierte Scannen privater Nachrichten.

Die Befürworter verweisen auf die Fallzahlen. Nach Angaben der US-Meldestelle NCMEC gingen 2024 rund 20,5 Millionen Meldungen ein; die Zahl KI-generierter Meldungen stieg von 4.700 auf 67.000[11]. Wichtig: Meldungen sind nicht dasselbe wie Fälle oder verurteilte Täter, und NCMEC ist eine US-Stelle. Die Missbrauchsbeauftragte Kerstin Claus warnte, ein Wegfall der Scan-Erlaubnis lasse „Tätern freie Hand“.[12]

Im Kern der Kritik steht das Client-Side Scanning, die Prüfung von Inhalten direkt auf dem Gerät, bevor sie verschlüsselt werden. Der Europäische Datenschutzausschuss (EDPB) und der Europäische Datenschutzbeauftragte (EDPS) warnten davor in ihrer gemeinsamen Stellungnahme 04/2022[13]. Das Wissenschaftspapier „Bugs in our Pockets“ und über 800 Fachleute aus 37 Ländern halten die Technik für unvereinbar mit sicherer Verschlüsselung[14][15]. Auch Bitkom und eco lehnen die Chatkontrolle ab, unterstützen aber das Kinderschutz-Ziel.[16]

Wie wirksam das freiwillige Scannen tatsächlich war, beantwortet ausgerechnet die Europäische Kommission selbst, und zwar vorsichtiger, als beide Lager es wiedergeben. In ihrem Umsetzungsbericht vom 27. November 2025 stehen beide Sätze: der erste im Abschnitt über die verurteilten Täter, der zweite rund eine Berichtsseite später in den Schlussfolgerungen.

Auf das Wort „scheint“ kommt es an. Es steht im amtlichen Text und fällt beim Zitieren regelmäßig weg. Auch die für 2024 ausgewiesenen 22.473 identifizierten Kinder tragen die Beweislast nicht, die ihnen zugeschrieben wird: Es ist eine Gesamtzahl über alle Ermittlungswege. Der Bericht hält ausdrücklich fest, dass sich die Zahl der aufgrund von Anbieter-Meldungen identifizierten Kinder nicht berechnen lässt: Viele Mitgliedstaaten konnten nicht unterscheiden, ob eine freiwillige Aufdeckung die Ermittlung angestoßen hat, und die Daten trennen nicht zwischen Online- und Offline-Missbrauch. Er folgert daraus dennoch, „dass eine beträchtliche Anzahl von Opfern durch die freiwillige Meldung gemäß der Verordnung identifiziert wurde“.[17] Auch das ist eine Folgerung, keine Messung.

In der öffentlichen Debatte wird meist nur einer von beiden Sätzen zitiert, je nach Lager. Fehlender Nachweis eines Zusammenhangs ist etwas anderes als der Nachweis, dass es keinen gibt.

Was bedeutet die Chatkontrolle für Ihr Unternehmen?

Für ein typisches KMU, das WhatsApp oder Teams nur nutzt, ändert sich Stand 10. Juli 2026 operativ wenig: Die Pflichten der geplanten CSA-Verordnung COM(2022)209 richten sich an die Anbieter der Dienste, nicht an deren geschäftliche Nutzer[2]. Betroffen ist Ihr Unternehmen bislang nur mittelbar, über das Handeln des Anbieters.

Reale Betroffenheit gibt es trotzdem: bei der dauerhaften CSA-Verordnung, deren Aufdeckungspflichten Stand 10. Juli 2026 noch verhandelt werden, und bei Unternehmen, die selbst einen Kommunikationsdienst betreiben. Ob ein selbst gehostetes System wie Matrix oder Nextcloud Talk unter den Anbieterbegriff fällt, ist rechtlich nicht geklärt: Für rein interne, geschlossene Systeme spricht viel dagegen, gerichtlich getestet ist es aber nicht.

Wer ist wie betroffen, hängt von der Rolle ab:

Eine Gruppe trifft es besonders: Berufsgeheimnisträger. Der CSAR-Entwurf sieht keine generelle Ausnahme für Anwälte, Ärzte, Steuerberater oder Journalisten vor. Die Bundesrechtsanwaltskammer fordert deshalb, Anwalts-Accounts wie staatliche Accounts von Aufdeckungsanordnungen auszunehmen[18]. Für sie ist Vertraulichkeit kein Komfort, sondern berufsrechtliche Pflicht.

Als Managed Service Provider haben wir dazu eine klare Haltung, ohne parteipolitisch zu werden. Der Staat verpflichtet Unternehmen über Artikel 32 DSGVO und die NIS2-Richtlinie zum Schutz ihrer Daten, Verschlüsselung eingeschlossen; das Geschäftsgeheimnisgesetz macht Vertraulichkeit sogar zur Voraussetzung des Schutzes. Ein Scan auf dem Endgerät durchbricht genau diese Schutzschicht. Diesen Zielkonflikt am selben Unternehmen hat bisher niemand aufgelöst. Wer heute plant, sollte ihn kennen.

Was Sie jetzt tun sollten

Eine Grundlage gilt unabhängig vom politischen Ausgang: Klären Sie, welche Information über welchen Kanal laufen darf. Fünf Ansätze, jeder mit ehrlicher Grenze:

1. Datenklassifizierung und Kommunikations-Threat-Model. Legen Sie fest, welche Datenklasse über welchen Kanal laufen darf, von öffentlich bis streng vertraulich.

   Grenze: Ein Kleinstbetrieb ohne vertrauliche Externkommunikation kommt mit einer Faustregel aus.

2. Kanal-Governance. Regeln Sie verbindlich, welche Messenger erlaubt sind, und drängen Sie Schatten-IT zurück.

   Grenze: Ein Achtpersonen-Betrieb braucht dafür keine zwanzigseitige Richtlinie, aber eine klare Ansage.

3. EU-gehostete oder self-hosted Alternativen prüfen. Sinnvoll bei hohem Schutzbedarf oder Souveränitäts-Anforderung. Wie das in der Praxis aussieht, zeigt unser Beitrag zu On-Prem-Lösungen für digitale Souveränität.

   Grenze: Für ein kleines Team ohne IT-Kapazität ist ein gemanagter EU-Dienst meist besser als ein selbst betriebener Server, den niemand pflegt.

4. Verschlüsselte Wege für die oberste Datenklasse. Ende-zu-Ende-Verschlüsselung ist nach dem Parlamentsstand vom 9. Juli 2026 ausgenommen und deckt zugleich Artikel 32 DSGVO ab.

   Grenze: Für unkritische Alltagskommunikation lohnt der Aufwand nicht.

5. Beobachtungspflicht der Geschäftsführung. Auslöser für eine Neubewertung sind die Ratsentscheidung bis etwa Oktober 2026 und der nächste politische CSAR-Trilog, der laut internen Ratsdokumenten für den 29. September 2026 vorgesehen ist.[19] Dazu ein konkret angekündigter Marktaustritt eines genutzten Anbieters.

   Aufwand: ein Quartals-Check.

Ein Realitätscheck: Signal-Präsidentin Meredith Whittaker drohte am 3. Oktober 2025, man würde eher „den Markt verlassen“, als eine Überwachungsfunktion einzubauen[20]. Stand 10. Juli 2026 ist kein Anbieter aus dem EU-Markt ausgetreten. Zwischen Drohung und Vollzug liegt Ihre Planungszeit.

Häufige Fragen zur Chatkontrolle

So unterstützt EXT IT Sie

Fazit

Stand 10. Juli 2026 ist die Chatkontrolle noch nicht endgültig entschieden. Unser hypothetischer Maschinenbauer aus dem Einstieg behält den Überblick über seine Zeichnungen erst, wenn jemand seine Kanäle ordnet. Das ist der belastbare Schritt: Wer heute klärt, welche Daten wie geschützt werden, steht gegen jeden politischen Ausgang sicher da.