EU-Parlament scheitert an Chat-Control-Stopp: Was das für VPN-Nutzer bedeutet

Am 9. Juli 2026 wollte das EU-Parlament die befristeten Chat-Control-Regeln kippen und scheiterte an einer Formalität. Nicht am fehlenden Willen: 314 Abgeordnete stimmten dafür, die Verlängerung zu blockieren, nur 276 dagegen. Das Problem war die Prozedur, die 360 Stimmen verlangte. Also gilt die Verlängerung trotzdem, quasi automatisch, und läuft jetzt bis zum 3. April 2028.

Was in Straßburg passiert ist

Chat Control 1.0 ist der Spitzname für die befristete EU-Regelung, die es Messaging- und E-Mail-Anbietern erlaubt, private Kommunikation freiwillig auf Missbrauchsmaterial (CSAM) zu scannen. Sie läuft seit 2021, immer wieder um kurze Fristen verlängert. Diese Abstimmung war die Chance des Parlaments, sie einfach auslaufen zu lassen.

Hat nicht geklappt, aber nicht wegen fehlender Stimmen. Wie The Register berichtete, brauchte der Antrag auf Blockade laut Verfahren eine bestimmte Schwelle, und 314 Stimmen reichten nicht, obwohl sie die 276 Gegenstimmen klar übertrafen. Euronews nannte das Ergebnis eine Regel, die “durch die Hintertür” durchgekommen sei, weil die Verlängerung nur überlebt, weil die Ablehnung knapp scheiterte, nicht weil eine Mehrheit sie aktiv bestätigt hätte.

Praktisch heißt das: Das freiwillige CSAM-Scanning-Regime, das seit 2021 existiert, läuft unverändert weiter, jetzt fest verankert bis April 2028.

Kurzer Rückblick

Dieser Streit begann nicht am 9. Juli. Die Europäische Kommission hat eine dauerhafte, verpflichtende Version von Chat Control erstmals 2022 vorgeschlagen, seitdem wurde sie unter verschiedenen Ratspräsidentschaften immer wieder umgeschrieben, verschoben und neu eingebracht. Jede Version stößt an dieselbe Wand: Man kann Plattformen nicht zwingen, Nachrichteninhalte zu scannen, auch verschlüsselte, ohne entweder die Verschlüsselung zu brechen oder eine Hintertür zu bauen, die früher oder später nicht nur Ermittler, sondern jeder findet und nutzt.

Das Parlament hat die verpflichtende Version wiederholt zurückgewiesen, weshalb sich die EU stattdessen seit 2021 auf dieses “befristete” freiwillige Regime stützt, alle ein bis zwei Jahre verlängert, statt es auslaufen zu lassen oder das dauerhafte Gesetz durchzudrücken. Der 9. Juli sollte der Moment sein, an dem dieses Provisorium endlich endet. Stattdessen bekam es weitere 21 Monate Aufschub, und der eigentliche Streit verschob sich einfach in die nächste Runde.

Die Verschlüsselungs-Ausnahme, und warum sie kaum etwas ändert

Es gibt einen echten Erfolg in dieser Abstimmung. Die Abgeordneten haben eine Mehrheit dafür gesichert, Ende-zu-Ende-verschlüsselte (E2EE) Plattformen wie WhatsApp, Signal oder iMessage formal von den Scanning-Bestimmungen dieser befristeten Regel auszunehmen.

Klingt bedeutsam. In der Praxis ändert sich fast nichts, weil Anbieter im aktuellen freiwilligen Rahmen ohnehin nie E2EE-Nachrichteninhalte gescannt haben. Man kann nicht scannen, was man nicht lesen kann, und E2EE hält schon konstruktionsbedingt selbst die Plattform vom Klartext fern. Datenschützer haben ziemlich offen gesagt, dass diese Ausnahme eher eine bestehende technische Realität festschreibt, als eine offene Tür zu schließen. Der eigentliche Streit ging nie wirklich um die befristeten Regeln. Er geht um das, was danach kommt.

Was im September wirklich ansteht

Die befristete Verlängerung war immer die kleinere Geschichte. Das dauerhafte Chat-Control-Gesetz, das diesen freiwilligen Flickenteppich durch eine verbindliche EU-weite Regel ersetzen würde, ist der Ort, an dem es wirklich um etwas geht, und die Verhandlungen dazu gehen im September 2026 weiter.

Mehrere Vorschläge auf dem Tisch drehen sich um Client-Side-Scanning: Software auf Ihrem Telefon oder Laptop, die Nachrichteninhalte prüft, bevor überhaupt verschlüsselt wird, und Treffer an eine Datenbank meldet. Befürworter argumentieren, das lasse die Ende-zu-Ende-Verschlüsselung “technisch intakt”, weil die Nachricht beim Versand ja weiterhin verschlüsselt sei. Kritiker, darunter der Großteil der Kryptografie- und Sicherheitsforschung, halten diese Darstellung für irreführend. Wenn jede Nachricht vor dem Absenden auf dem Gerät geprüft wird, ist das Versprechen, das E2EE überhaupt wertvoll macht, in der Praxis weg, selbst wenn die Mathematik dahinter formal noch stimmt.

Es ist derselbe Streit, der seit dem ersten Auftauchen von Chat Control 2022 läuft, und er hängt direkt mit der breiteren EU-Überwachungsagenda zusammen, die wir in unserem Artikel zu Going Dark und ProtectEU beschrieben haben. Ein anderes Gesetzesvorhaben, aber dasselbe eigentliche Ziel: der EU eine Architektur zu bauen, mit der Kommunikation lesbar wird, obwohl sie eigentlich privat sein soll.

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Warum das für VPN-Nutzer wichtig ist, ganz ehrlich

Hier der Teil, den wir nicht schönreden: Ein VPN ist ein wirklich nützliches Datenschutz-Werkzeug, tut hier aber nicht das, was viele annehmen.

Ein VPN verschlüsselt den Traffic zwischen Ihrem Gerät und dem VPN-Server und versteckt Ihre IP-Adresse und Ihren Standort vor Ihrem Provider und den Diensten, mit denen Sie sich verbinden. Das ist echter Schutz, und deshalb spielen Firmensitz und No-Logs-Politik bei der Wahl eines Anbieters so eine große Rolle.

Was ein VPN nicht kann: den Inhalt einer Nachricht vor Client-Side-Scanning schützen. Wenn das Scanning direkt auf dem Gerät passiert, bevor die Verschlüsselung Ihres VPN überhaupt ins Spiel kommt, hat der VPN-Tunnel auf diese konkrete Bedrohung keinen Einfluss. Der Scan ist zu diesem Zeitpunkt schon gelaufen. Ihr VPN sieht in beiden Fällen nur verschlüsselten Traffic Ihr Gerät verlassen, es hat keinen Einblick, was eine App auf demselben Gerät vor dem Versand geprüft hat, und keine Möglichkeit, das zu verhindern. Das ist eine andere Angriffsfläche als die, für die ein VPN gebaut ist, und keine noch so starke Tunnel-Verschlüsselung ändert das.

Kurz gesagt: Ein VPN schützt die Leitung. Client-Side-Scanning passiert, bevor die Leitung überhaupt beginnt. Wer Ihnen ein VPN als Lösung für genau dieses Problem verkauft, verkauft Ihnen etwas, das es nicht leisten kann.

Was jetzt zu beobachten und zu tun ist

Die befristeten Regeln ändern sich vor April 2028 nicht, an Ihrem Messaging-Alltag ändert sich heute also nichts. Beobachtenswert ist die Verhandlungsrunde im September 2026 zum dauerhaften Gesetz, denn dort entscheidet sich, ob Client-Side-Scanning tatsächlich EU-Recht wird oder wieder zurückgedrängt wird, so wie das Massen-Scanning bei der ursprünglichen Chat-Control-Offensive.

Für den Schutz Ihrer Nachrichten selbst zählt vor allem, Apps zu wählen, die möglichst wenig sammeln und speichern, und zu beobachten, wie Anbieter reagieren, falls Client-Side-Scanning tatsächlich verpflichtend würde. Signal hat bereits öffentlich erklärt, lieber den EU-Markt zu verlassen, als Scanning in die App einzubauen. Für Browsing und allgemeinen Verbindungsschutz bleibt ein solides No-Logs-VPN wie ProtonVPN, mit Sitz im datenschutzfreundlichen Schweiz und lautstark bei EU-Digitalrechtsthemen, eine gute Wahl. Man muss nur verstehen, was es abdeckt und was nicht.

Das heißt nicht, dass Verschlüsselung und VPNs plötzlich unwichtig wären. Ein VPN versteckt weiterhin, mit welchen Seiten und Diensten Sie sich verbinden, schützt weiterhin im öffentlichen WLAN und verbirgt weiterhin Ihren tatsächlichen Standort vor jedem Server, den Sie ansteuern. Das sind echte Probleme, die ein VPN gut löst. Client-Side-Scanning ist ein anderes echtes Problem, das es gar nicht löst. Beide Tatsachen auseinanderzuhalten ist der Sinn dieser ehrlichen Einordnung, statt jede EU-Datenschutz-Schlagzeile zum Verkaufsargument umzudeuten.

Unser Ratgeber zu Five Eyes, Nine Eyes und Fourteen Eyes erklärt die Seite der Überwachungsallianzen, falls Sie das größere Bild wollen: wer welche Daten von wem legal anfordern kann.