Client-Side-Scanning

Client-Side-Scanning (CSS) bezeichnet eine technische Verfahrensweise bei der versendete oder empfangene Dateien lokal auf dem Endgeräte einer Person auf bestimmte in einer Datenbank hinterlegte Inhalte durchsucht werden, bevor diese weiter verschickt beziehungsweise verarbeitet werden. Dies geschieht beispielsweise bei Antivirenprogrammen die Schadsoftware aufgrund vorher ermittelten Signaturen erkennen. Im Speziellen ist mit CSS eine Methode zur Telekommunikationsüberwachung gemeint, bei der zu versendende Dateien bereits vor der Ende-zu-Ende-Verschlüsselung nach Inhalten überprüft werden. Kritiker sprechen in diesem Fall auch von Chatkontrolle.

Umsetzungssgeschichte

CSS als Mittel der Telekommunikationsüberwachung wurde erstmal im größeren Maße öffentlich diskutiert, nachdem Apple 2021 angekündigt hatte, die Endgeräte seiner Nutzer auf Darstellungen von Kindesmissbrauch zu durchsuchen. Dateien, die auf die iCloud hochgeladen werden, sollten auf kinderpornografischen Inhalte überprüft werden, indem sie mit Einträgen einer Datenbank des National Center for Missing & Exploited Children abgeglichen werden. Nach Protesten wurde das Vorhaben verschoben.

Im Koalitionsvertrag der Bundesregierung unter Olaf Scholz werden „allgemeine Überwachungspflichten, Maßnahmen zum Scannen privater Kommunikation und eine Identifizierungspflicht“ abgelehnt und erklärt das „anonyme und pseudonyme Online-Nutzung“ gewahrt bleiben wird.

Im April 2022 erklärte Meta Platforms an Ende-zu-Ende-Verschlüsselung als Langzeitziel festzuhalten. In der von Meta zitierten Untersuchung „Human Rights Impact Assessment – Meta's Expansion of End-to-End Encryption“ der Organisation „Business for Social Responsibility“ heißt es, dass eine sichere Ende-zu-Ende-Verschlüsselung grundlegende Menschenrechte wie Meinungsfreiheit und Privatsphäre bewahrt und Individuen vor repressiven Regimen geschützt werden. Auch der Datenschutz sei ein grundlegendes Menschenrecht. Der Einsatz von clientseitigen Scan-Techniken untergrabe aber die Integrität von Ende-zu-Ende-Verschlüsselung. Um gesellschaftliche Probleme wie Kriminalität und Kindesmissbrauch zu bekämpfen, seien Präventionsstrategien wie die Auswertung von Metadaten und Verhaltensanalysen, aber auch Nutzeraufklärung und eine „robuste Benutzerberichterstattung“ geeigneter.

Am 11. Mai 2022 legte die Europäische Kommission einen Gesetzesentwurf für eine sogenannte „Chatkontrolle“ vor, der die Betreiber von Messengern zum Scannen auf Kinderpornografie verpflichtet. Eine genaue Technologie schreibt dieser nicht vor. Möglich sind Client-Side-Scanning oder ein Hashabgleich.

Kritik

Kritiker sehen CSS als schweren Eingriff in die Privatsphäre der Nutzer und als mögliche Methode der Massenüberwachung. Leicht ließen sich auch andere, nicht-illegale Inhalte überwachen. Die Überwachungs- und Kontrollmöglichkeiten von CSS könnten leicht von feindlichen staatlichen Akteuren, Kriminellen oder Intimpartnern der Benutzer missbraucht werden. Die Möglichkeit solcher Angriffe wurde von Forschern der TU Darmstadt am Beispiel von Apple's CSS-Algorithmus NeuralHash zur Detektion von kinderpornografischem Material empirisch nachgewiesen. Während das CSS-System und die damit einhergehende Detektion von illegalem Material mit einfachen Bildänderungen umgangen werden könnte, ließen sich Bilder mit unsensiblem Material in einer Art und Weise manipulieren, dass diese vom System fälschlicherweise als kinderpornografisches Material erkannt wird. Dies könne zur fälschlichen Markierung unschuldiger Nutzer durch das System führen, bis hin zu einer möglichen politischen Verfolgung sozialer Gruppen.

Der Chaos Computer Club sieht die Umsetzungsversuche der Europäischen Kommission im Mai 2022 vor Veröffentlichung des Gesetzesentwurfs als einen Angriff auf die Grundfesten jeglicher vertraulicher Kommunikation. Die Chatkontolle sei ein „überbordender Ansatz, leicht zu umgehen“ und setze an der „völlig falschen Stelle an“. Kriminelle würden gar nicht über Messenger ihr Material austauschen. Auch kleinste Fehlerquoten würden bei einer halben Milliarde pro Tag versendeten Nachrichten den Behörden mehrere tausend Bilder am Tag zusenden, von denen keiner weiß, wer sie betrachtet, ob sie gelöscht werden und ob sie nicht wiederum missbraucht werden. Die Chatkontrolle setze mit dem Fernmeldegeheimnis und dem Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme gleich zwei fundamentale Grundrechte außer Kraft. Sie missachtet zwei Bedingungen für vertrauliche Kommunikation, nach denen das eigene Gerät integer sein muss und Inhalte nicht an Dritte ausleiten darf, und die Verschlüsselung sicher sein muss, so dass man nicht dem Netz vertrauen muss. Daher sei die Chatkontrolle „als fundamental fehlgeleitete Technologie grundsätzlich abzulehnen“.

Der Kinderschutzbund sprach sich gegen anlassloses Scannen als „unverhältnismäßig und nicht zielführend“ aus.

Die Leiterin der Beschwerdestelle des eco – Verbands der Internetwirtschaft, die Beschwerden zu Missbrauchsbildern im Netz entgegennimmt, Alexandra Koch-Skriba betrachtet die von der EU-Kommission vorgelegten Pläne mit Sorge denn sie untergraben „jede Form der vertraulichen und sicheren Kommunikation im Netz“, der Entwurf habe „das Potenzial, einen Freifahrtschein für staatliche Überwachung zu schaffen“, dies sei „ineffektiv und illegal“.

heise online sieht es als nicht zufällig an, dass das für die Chatkontrolle geplante EU-Zentrum im selben Gebäude in Den Haag angesiedelt werden soll, welches auch die EU-Polizeibehörde Europol beherbergt, es scheine ein reger Datenaustausch zwischen Prüfern und Strafverfolgern gewollt zu sein.

Laut heise online kann auch wenn die deutsche Regierung dagegen ist, Deutschland im Ministerrat überstimmt werden. Nach Einschätzung von heise ist in den anderen EU-Mitgliedsstaaten kein ähnlich lauter Protest gegen die Verordnung zu hören wie in Deutschland.