Tagesschaukommentar zur Chatkontrolle: Empörte Ahnungslosigkeit

Eine Journalistin der ARD hat in einem Kommentar (Online-Ausgabe der Tagesschau) zum vorläufigen Scheitern der sog. »Chatkontrolle« Grundrechte polemisch gegeneinander ausgespielt. Das Framing, eingekleidet in einen Meinungsbeitrag, ist polarisierend: Der überzogene deutsche Datenschutz (»pure Datenschutz« Schmid, 2024) verhindere den Schutz von Kindern im Internet. Ganz im Sinne des in Mode gekommenen Technik-Solutionismus wird eine einfache Lösung für ein komplexes gesellschaftliches Problem suggeriert: Die anlasslose Massenüberwachung. Der stilistische Rückgriff auf einen moralischen Überlegenheitsanspruch à la »denkt denn niemand an die Kinder« kann jedoch nicht über die offensichtliche fachliche Unkenntnis der ARD-Journalistin hinwegtäuschen. Die technische Ahnungslosigkeit beginnt bereits damit, dass eines der Kernprobleme unerwähnt bleibt: Die »Umgehung« der Verschlüsselung (insbesondere Ende-zu-Ende-Verschlüsselung (E2EE)) privater Kommunikation durch das Verfahren des Client-Side-Scanning (CSS). Nirgendwo wird so erregt über drohende Eingriffe in die Privatsphäre diskutiert wie in der Bundesrepublik. Zu dem Preis jedoch, dass die eigentliche Frage nach dem Kinderschutz beinahe verschwindet. Quelle: Schmid, K. (2024, 21. Juni). Kommentar: »Chatkontrolle und auch Kinderschutz vertagt«, tagesschau.de. Mit weniger Oberflächlichkeit und mehr Sachverstand wäre der Sache des Kinderschutzes allerdings mehr gedient. Eine Gegenüberstellung von Grundrechten oder ein polemisches Auseinanderdividieren der jeweiligen Grundrechtsverteidiger in einem Meinungsbeitrag trägt jedoch nicht zu einer Lösung bei. AnmerkungEs gibt verschiedene Abkürzungen und Bezeichnungen für den Gesetzesvorschlag. In Deutschland: Verordnung zur Festlegung von Vorschriften zur Prävention und Bekämpfung des sexuellen Missbrauchs von Kindern kurz CSAM-Verordnung. In Europa kurz: CSA-Verordnung. Gastbeitrag von lacrosseLacrosse ist betrieblicher Datenschutzbeauftragter in der Konzerndatenschutzorganisation einer deutschen Unternehmensgruppe. In seiner Freizeit engagiert er sich ehrenamtlich, um gemeinnützigen Vereinen bei der Umsetzung der DSGVO zu helfen.Feedback und Fragen können direkt an ihn gerichtet werden. Spenden für seine Arbeit möchte er direkt dem Kuketz-Blog zukommen lassen. Ihr könnt also direkt an den Kuketz-Blog spenden. 1. Das Werk deutscher Datenschutz-Lobbyisten? [] in dieser Debatte gibt es bisher einen klaren Sieger: das Lager aus Bürgerrechtsorganisationen, Datenschutz-Lobby, freies Netz für freie Bürger-Vertretern und vielen mehr. Wohl gemerkt in Deutschland. Quelle: Schmid, K. (2024, 21. Juni). Kommentar: »Chatkontrolle und auch Kinderschutz vertagt«, tagesschau.de. Es ist eine Fehlannahme, dass die Kritik an der Chatkontrolle vornehmlich von deutschen Datenschützern kam. Tatsächlich gab es internationalen Widerstand von Bürgerrechtsorganisationen, Technikexperten und Datenschutzbehörden weltweit. Diese Gruppen warnen vor den weitreichenden Auswirkungen auf die Privatsphäre und die Sicherheit der Kommunikation, die durch eine umfassende Überwachung und Kontrolle von Chats gefährdet würden: Die Präsidentin der Signal Foundation, Meredith Whittaker, sagte laut Heise Online: »Der Zwang zum massenhaften Scannen privater Kommunikation untergräbt die Verschlüsselung. Punkt. Ob man es Hintertür, Vordertür oder Upload-Moderation nenne, sei irrelevant. Damit würden Einfallstore geschaffen.« (Steiner, 2024) . Der Wissenschaftliche Dienst des Europäischen Parlaments kam aufgrund mehrerer technischer, methodischer und rechtlicher Faktoren »[] zu dem Schluss, dass die Wirksamkeit des CSA-Vorschlags insgesamt begrenzt sein dürfte.«. (Europäisches Parlament, 2022). In der Studie »Bugs in our pockets« charakterisieren IT-Sicherheitsexperten die Technik des Client-Side-Scannings zur Umgehung der Ende-zu-Ende-Verschlüsselung von z.B. Messenger-Nachrichten: »In Wirklichkeit handelt es sich beim CSS um eine Massenüberwachung, wenn auch automatisiert und verteilt.« (Abelson et al., 2024). Das Fazit einer Expertenanhörung (u.a. des Leiters der Zentral- und Ansprechstelle Cybercrime NRW) im Digitalausschuss des Bundestages lautete: »[] Die Mehrheit der geladenen Experten betonte, das Vorhaben gehe an entscheidenden Stellen zu weit. []« (Deutscher Bundestag, 2023). Der Abgeordnete Maximilian Funke-Kaiser (FDP) sagte am Ende der Anhörung: »[] ich finde es sehr bemerkenswert, dass sich ausnahmslos niemand für diesen Verordnungsentwurf ausgesprochen hat. Das habe ich so [] in einer öffentlichen Anhörung noch nicht gehört.« (Deutscher Bundestag, 2023). Ähnlich äußerten sich der Europäische Datenschutzausschuss (EDSA) und der Europäische Datenschutzbeauftragte (EDSB) in einer gemeinsamen Stellungnahme: »[] Aufgrund ihrer Auswirkungen auf die Grundrechte, ihres zufälligen Charakters und der Fehlerquoten, die mit solchen Technologien einhergehen, sind der EDSA und der EDSB der Ansicht, dass der durch diese Maßnahmen verursachte Eingriff über das notwendige und verhältnismäßige Maß hinausgeht. []« (EDSA und EDSB, 2002). Das Fazit der EDSA 2024 war, dass viele kritische Punkte nicht verbessert wurden. 2. Warum grundrechtswidrige Gesetze niemanden dienen Es geht schon los mit dem Begriff Chatkontrolle die Piratenpartei sagt: Sie hat ihn erfunden. [] Quelle: Schmid, K. (2024, 21. Juni). Kommentar: »Chatkontrolle und auch Kinderschutz vertagt«, tagesschau.de. Man kann den Begriff »Chatkontrolle« als politischen Kampfbegriff oder Schlagwort abtun man kann ihn mit dem Begriff »Upload-Moderation« beschönigen. Wie man es auch dreht und wendet, es handelt sich um eine anlasslose, massenhafte Inhaltsüberwachung vertraulicher Kommunikation. [] Ein gelungener Kampfbegriff für ihre politischen Ziele. [] Gedanken an Big-Brother-Szenarien und ein neugieriges, schmieriges Mitlesen im Familien-Chat sind hierbei scheinbar erwünscht. [] Quelle: Schmid, K. (2024, 21. Juni). Kommentar: »Chatkontrolle und auch Kinderschutz vertagt«, tagesschau.de. Im ursprünglichen Verordnungsvorschlag der EU-Kommissarin für Inneres, Ylva Johansson, betraf die Inhaltsüberwachung (und die anschließende Meldung) unter anderem alle Inhaltsdaten, einschließlich Bilder, Videos und Texte (siehe Art. 13(1)(c) CSAM-VO), auch von interpersonellen Kommunikationsdiensten (siehe Art. 2(b) und Art. 13(1) CSAM-VO), also Messenger wie Signal, WhatsApp etc. Schon beim Vorschlag 2022 war es technisch unvermeidbar, dass die Inhaltsdaten unverschlüsselt vorliegen mussten sonst hätte man kaum »scannen« und melden können. Frau Johansson verwirrte gegenüber Golem Online mit der Aussage: »In dem Vorschlag geht es nicht um Verschlüsselung« (Greis, 2022). Die Quadratur des Kreises, die Vertraulichkeit z.B. der E2E-Verschlüsselung technisch zu gewährleisten und dabei gleichzeitig entschlüsseln zu können, wurde auf die Diensteanbieter abgewälzt. Siehe auch Pressecorner EU-Kommission. Q&A. Umfasst der Vorschlag verschlüsseltes Material? Erst der Kompromissvorschlag (2024) der belgischen Ratspräsidentschaft schloss Text und Ton aus (siehe ErwG 23a Kompromissvorschlag). Wobei der belgische Vorschlag in ErwG 13 Cybergrooming-Aktivitäten die wiederum in Chats und damit in Textform stattfinden als Missbrauchsmaterial einstuft. Deutlicher wurde eine Präsentation der belgischen Ratspräsidentschaft zur E2E-Verschlüsselung. Diese wurde als hochriskant eingestuft und hätte eine Scan- und Meldepflicht für Diensteanbieter zur Folge gehabt. In diesem Zusammenhang ist das Urteil des Europäischen Gerichtshof für Menschenrechte zu erwähnen. In der Entscheidung 33696/19 stellt das Gericht fest, dass eine Regelung, die das »[] Erfordernis der Entschlüsselung der verschlüsselten Kommunikation vorsieht, wie es für die Ende-zu-Ende-verschlüsselte Kommunikation gilt, in einer demokratischen Gesellschaft nicht als notwendig angesehen werden kann. []« (lawEuro, 2024). Diese Entscheidung betraf zwar nicht die Chatkontrolle, zeigt aber die rechtlichen Unwägbarkeiten des Vorschlags auf. Denn: Unverhältnismäßige Überwachungsbefugnisse werden inzwischen regelmäßig höchstrichterlich kassiert, oder wie es ein Abgeordneter der FDP in einer Anhörung zur »Überwachungsgesamtrechnung« treffend formulierte: »Könnte es vielleicht auch darum gehen, einfach nicht mehr so viele verfassungswidrige Gesetze hier zu basteln, die nachher wieder eingerollt werden und uns zum Schluss mit leeren Händen dastehen lassen als Gesetzgeber – womit ja auch der Sicherheit nicht gedient ist.« (Deutscher Bundestag, 2021). 3. Verantwortungsumkehr Die Gegner sagen aber: Es gehe um die Verteidigung des Briefgeheimnisses. Aus meiner Sicht hinkt der Vergleich: Über die Plattformen von Meta, Google und Co. ist es bekanntlich möglich, in Sekundenschnelle Bilder und Videos missbrauchter Kinder um die Welt zu schicken, zu vervielfältigen und ewig aufrufbar zu machen. Quelle: Schmid, K. (2024, 21. Juni). Kommentar: »Chatkontrolle und auch Kinderschutz vertagt«, tagesschau.de. Wir haben festgestellt, dass die Verordnungsentwürfe alle Inhaltsdaten betreffen würden und gravierende Auswirkungen auf die Vertraulichkeit hätten. In der Diskussion wurde daher ein Vergleich mit dem Grundrecht auf die Unverletzlichkeit des Briefgeheimnisses (Art. 10 GG) gezogen »Das Briefgeheimnis ist ein Grund- und Menschenrecht, das die Vertraulichkeit schriftlicher Mitteilungen in Briefform schützt« (Wikipedia-Autoren, 2002). Auch wenn man über die Vergleichbarkeit streiten kann, ist eine Umkehr der Verantwortlichkeit von den IT-Unternehmen zu den vorwiegend unschuldigen Nutzern und Nutzerinnen der Dienste kein stichhaltiges Argument, um deren Grundrechte zu negieren. Es sind die Versäumnisse dieser IT-Konzerne, aufgrund ihrer Geschäftsmodelle und Wachstumsstrategien, die maßgeblich und ursächlich sind. Vgl. z.B. TikTok, das seine eigenen Altersbeschränkungen nicht durchsetzte (Köver, 2022) oder Kritiker, die den Social-Media-Unternehmen in »Who Moderates the Social Media Giants? A Call to End Outsourcing« (Barett, 2020) vorwerfen, die Zahl der Moderatoren verdoppeln zu müssen. 4. Auswirkungen auf Unschuldige und Betroffene werden ignoriert Neutraler beschrieben wäre es aber so: In einem automatisierten Verfahren würden Bilder mittels einer Software gescannt Quelle: Schmid, K. (2024, 21. Juni). Kommentar: »Chatkontrolle und auch Kinderschutz vertagt«, tagesschau.de. Unvollständige und unterkomplexe technische Beschreibungen sowie fehlende grundrechtliche Abwägungen führen letztlich zu einer Verharmlosung der Auswirkungen. Dies ist so, als würde man Zensurtechnologien als automatisierte Verfahren zur Überprüfung und Anpassung journalistischer Texte mit Hilfe von Software beschreiben und dabei die Auswirkungen auf die Pressefreiheit außer Acht lassen. Für die Durchführung der CSAM-VO wurden drei Erkennungstechnologien ins Spiel gebracht Client-Side-Scanning (CSS), Server-Side-Scanning, maschinelles Lernen. Die Verfahren unterscheiden sich in ihrer Funktionsweise, in ihrem Anwendungsbereich, vor allem aber in ihren Fehlerquoten dass dabei fälschlicherweise auch Unschuldige getroffen werden (False-Positives), wird im Beitrag der Tagesschau völlig ignoriert. Problematisch ist, so Prof. Dr. Steinebach (Fraunhofer SIT), dass diese »[] drei Typen von Erkennungsverfahren werden in dem Vorschlag gleichgestellt, haben aber einen massiven Unterschied in der Komplexität und den zu erwartenden Fehlerraten. []« (Deutscher Bundestag, 2023). Die Konsequenz der Fehlerquoten laut Prof. Dr. Steinebach: »Wir haben Milliarden von Bildern jeden Tag. Diese zu erwartenden Fehlerquoten führen dazu, dass dann viele Millionen Inhalte händisch/manuell geprüft werden müssen.« (Deutscher Bundestag, 2023). Schaut man sich die Erkennungstechnologien genauer an, zeigen sich auch inakzeptable Auswirkungen auf die betroffenen Kinder selbst. Denn der Einsatz von maschinellem Lernen müsse sorgfältig abgewogen werden, so Prof. Dr. Steinebach: »[] In der Praxis wird es eigentlich nur so gehen, dass sie wirklich auf dem Material ihr Training durchführen müssen, und dafür muss man sich Konzepte überlegen. Ich glaube nicht, dass wir wollen, dass wir jedem, der ein System betreibt, eine Million kinderpornografische Bilder an die Hand geben, damit er seine individuelle Lösung trainieren kann.« (Deutscher Bundestag, 2023). Der Verordnungsentwurf definiert ein Kind als jede natürliche Person unter 18 Jahren (siehe Art. 2(i) CSAM-VO). Im Alltag ist die Altersgrenze der Volljährigkeit ein Proxy für eine gesellschaftlich unterstellte Einsichtsfähigkeit. Allerdings kann die Volljährigkeit nicht mit Sicherheit aus dem äußeren Erscheinungsbild einer Person abgeleitet werden, d.h. eine Person kann zu jung erscheinen, in Wirklichkeit aber bereits älter als 18 Jahre sein. Was bedeutet dies nun für Erkennungstechnologien? Das heißt, so Prof. Dr. Steinebach es ist zu erwarten, [] dass ein*e Konsument*in legaler erotischer Inhalte mit jungen Darsteller*innen eher Gegenstand einer Falsch-Positiv-Meldung wird als eine Person, die häufig Landschaftsaufnahmen betrachtet.« (Deutscher Bundestag, 2023). Zurück zum CSS und seinen Auswirkungen auf die Verschlüsselung (E2E, aber auch Transportverschlüsselung). Das CSS findet auf dem Endgerät vor der Verschlüsselung statt. Im Trefferfall leitet die Erkennungstechnologie die Inhaltsdaten unverschlüsselt vom Endgerät aus. Nach IT-Sicherheitsstandards ist damit die Vertraulichkeit der Kommunikation gefährdet. »Kompromittierte Verschlüsselung ist im Ergebnis keine Verschlüsselung. Ein so weitgehender Eingriff ist bei einer umfassenden rechtlichen Bewertung nicht erforderlich, denn es gibt ein milderes Mittel.« (Deutscher Bundestag, 2023), so Markus Hartmann, Leitender Oberstaatsanwalt, (ZAC NRW). [] dass das Versprechen eines technologisch begrenzten Überwachungssystems in vielerlei Hinsicht illusorisch ist. Die Kommunikation kann zwar verschlüsselt werden, aber die Daten der Nutzer werden immer noch von den Strafverfolgungsbehörden in einer Art und Weise durchsucht und geprüft, die nicht vorhersehbar sind oder von den Nutzern überprüft werden können. [] Quelle: Abelson, H., Anderson, R., Bellovin, S. M., Benaloh, J., Blaze, M., Callas, J., Diffie, W., Landau, S., Neumann, P. G., Rivest, R. L., Schiller, J. I., Schneier, B., Teague, V. & Troncoso, C. (2024). Bugs in our pockets: the risks of client-side scanning. Journal Of Cybersecurity, 10(1). Übersetzung durch den Autor. Es ist unverständlich, dass eine Journalistin nicht die naheliegende Frage stellt, wie missbrauchsanfällig eine Erkennungstechnologie direkt am Endgerät ist. Hier wäre der journalistische Quellenschutz unmittelbar betroffen. Denn: Wer entscheidet über eine Trefferliste beim Client-Side-Scanning? Schließlich gibt es auch in autoritären Staaten Strafverfolgungsbehörden. 5. Das Framing Datenschutz versus Kinderschutz Die Debatte um Verschlüsselung und Kinderrechte wird oft als eine Kluft zwischen Kinderschutz und bürgerlichen Freiheitsrechten dargestellt (Anm. des Autors: Im englischen Orginal »framed«). Hinter dieser Polarisierung verbirgt sich jedoch eine komplexere Wahrheit. Quelle: Muenzel, D. K. (2023, 19. Oktober). Privacy and Protection: A children’s rights approach to encryption. CRIN. Übersetzung durch den Autor. Oberflächlichkeit und Unkenntnis erzeugen oft eine einfache Botschaft der Gegensätze. Hier der »pure Datenschutz« (Schmid, 2024) dort der Kinderschutz. Weniger Datenschutz bedeutet mehr Kinderschutz, so lautet die einfache Gleichung. In Wirklichkeit verlieren beide Grundrechte! Privatsphäre ist offenbar wichtiger als Kinderschutz. Quelle: Schmid, K. (2024, 21. Juni). Kommentar: »Chatkontrolle und auch Kinderschutz vertagt«, tagesschau.de. Denn, so Joachim Türk vom Kinderschutzbund, man müsse beides im Blick haben: »[] In dieser Debatte werden häufig Datenschutz und Kinderschutz gegeneinander ausgespielt ein der Sache nicht gerecht werdender Ansatz. Die Kinderrechte brauchen beides: das Recht auf körperliche Unversehrtheit, aber auch das Recht auf geschützte Kommunikation. []« (Deutscher Bundestag, 2023). Es ist ein Irrglaube, die Lösung gesellschaftlicher Probleme an die Technik auslagern zu können: »[] Der Fokus auf eine technische Lösung ist zu einseitig und bleibt einem gesamtgesellschaftlichen Problem gegenüber blind. Denn beim Kinderschutz vor sexualisierter Gewalt im Netz auf rein technische Lösungen zu setzen, ist ein fataler Fehler mit verheerenden Folgen für demokratische Grundrechte aller Menschen, allen voran der Kinder.« (Deutscher Bundestag, 2023). 6. Akzeptable Kollateralschäden? Die Frage also: Welchen Preis, welche Einschränkungen sind wir im Netz bereit, in Kauf zu nehmen, damit das aufhört? Quelle: Schmid, K. (2024, 21. Juni). Kommentar: »Chatkontrolle und auch Kinderschutz vertagt«, tagesschau.de. Die Frage von Frau Schmidt unterstellt eine Vergemeinschaftung (»wir«. Schmidt, 2024) der Risiken (»Einschränkungen«. Schmid, 2024). Wir geben im gesellschaftlichen Konsens Privatsphäre auf und bekommen mehr Kinderschutz. Dabei sind die Risiken, die unschuldig Betroffenen aufgebürdet werden, höchst individuell. Kriminalisiert würden sowohl [] »der einvernehmliche Austausch intimer Bilder zwischen Jugendlichen als auch das Teilen von Aufklärungsmaterialien [].« (Deutscher Bundestag, 2023). Wenn ein Algorithmus entscheidet, dass ein Text Anzeichen von »Cybergrooming« enthält, es sich tatsächlich um einvernehmliches Sexting handelt, dann werden [] Bilder von einvernehmlichem Sexting unter Jugendlichen oder jungen Erwachsenen auf den Tischen von EU-Beamt:innen und Strafverfolgungsbehörden. Letztere müssen bei einem Verdacht einer Straftat dann Ermittlungen aufnehmen – mit potenziell weitreichenden Folgen für die Betroffenen.« (Deutscher Bundestag, 2023). Was bedeutet es für die Unschuldsvermutung, wenn strafrechtlich nicht relevantes Bildmaterial dennoch von Strafverfolgungsbehörden verarbeitet wird? Der Chef von Europol forderte einen ungefilterten Zugang zu allen Meldungen der CSAM-VO. Er weist ausdrücklich darauf hin, dass auch »harmlose Bilder« zu einem späteren Zeitpunkt für die Strafverfolgung nützlich sein können. Welche Folgen hat es für Unschuldige, wenn Europol ihre Daten für das Training von KI verwendet? Wäre die institutionell indifferente Antwort, dass man, wenn man nicht einverstanden ist, den Rechtsweg beschreiten kann, ein Trost? Der Tagesschau-Kommentar leidet an einem grundlegenden logischen Fehler. Denn er geht von einer an sich falschen Annahme aus: Wer nichts zu verbergen hat, hat auch nichts zu befürchten. Die Autorin verschleiert diesen logischen Fehler, indem sie ignoriert, wie Massenüberwachung wirkt. Und präsentiert einen vermeintlich Schuldigen: den »puren Datenschutz« deutscher Prägung. Schlimmer noch: In einer Demokratie sind es nicht die Bürger*innen, die ihre Grundrechte rechtfertigen müssen. Es sind diejenigen, die in die Grundrechte eingreifen, die diese Pflicht haben. Und genau hier hat die Europäische Kommission mit ihrem Verordnungsvorschlag versagt. Mitmachen: Du kannst den Blog aktiv unterstützen!

Netz: Kuketz IT-Security Blog ⋆ IT-Sicherheit | Datenschutz | Hacking
Aktualisiert: 21.7.2024

zum Artikel gehen

Tagesschaukommentar zur Chatkontrolle: Empörte Ahnungslosigkeit

„Es lebe der Beat“

Ach Gott, die Medien

Zukunft ist permanente Herausforderung der Gegenwart – ein Gespräch mit Prof. Gunnar Spellmeyer

KI-Guru: Wie ChatGPT ein universelles Gotteskonzept entwirft

Mit beiden Beinen zwischen den Stühlen