Im April 2026 lehnte das Europäische Parlament das Nachrichten-Scanning im Kern von Chat Control ab. Datenschützer feierten etwa eine Woche lang. Dann las jeder das Kleingedruckte dessen, was die Kommission bereits als Nächstes vorbereitet hatte. Es heißt Going Dark, umbenannt in ProtectEU. Und anders als Chat Control nennt dieses VPN-Dienste direkt.

Was gerade mit Chat Control geschah

Kurze Zusammenfassung. Chat Control war der Spitzname für den EU-CSAR-Vorschlag, der Plattformen verpflichtet hätte, private Nachrichten, auch Ende-zu-Ende-verschlüsselte, auf Missbrauchsmaterial zu scannen. Sicherheitsforscher erklärten drei Jahre lang, dass man verschlüsselte Nachrichten nicht scannen kann, ohne die Verschlüsselung für alle zu brechen. Das Parlament hörte zu. Die Abgeordneten lehnten die Massenscan-Bestimmungen ab und verweigerten die Verlängerung der befristeten Ausnahme, die Firmen wie Meta das freiwillige Scannen erlaubt hatte. Die EFF nannte es einen Schlag gegen die Massenüberwachung, warnte aber, der Kampf sei nicht vorbei. Diese Warnung hielt. Es dauerte etwa zwei Monate.

Going Dark: die Umbenennung des Jahrzehnts

“Going Dark” ist Strafverfolgungsjargon für die Behauptung, Verschlüsselung mache Kriminelle für Ermittler unsichtbar. Die Kommission machte aus der Klage ein Programm: Im April 2025 unter dem ProtectEU-Banner gestartet, ist es eine Sechs-Säulen-Strategie zu Vorratsdatenspeicherung, legalem Abhören, digitaler Forensik, Entschlüsselung, Standardisierung und KI-Werkzeugen für die Polizei. Das erklärte Ziel ist der Zugang zu verschlüsselten Daten bis 2030. Eine Technologie-Roadmap zur Entschlüsselung ist für 2026 fällig. Die Kommission verspricht, dies geschehe “unter Wahrung von Cybersicherheit und Grundrechten”, das politische Äquivalent zum Versprechen trockenen Wassers. Jeder ernsthafte Kryptograf, der Lawful-Access-Systeme geprüft hat, kam zum selben Schluss: Eine Hintertür für die Polizei ist eine Hintertür für alle.

Die sechs Säulen, entschlüsselt

Vorratsdatenspeicherung ist die Anforderung, dass Dienste protokollieren, wer was wann von wo nutzte, die Säule mit eigener Gesetzesspur, die VPNs zuerst trifft. Legales Abhören meint standardisierte Wege für die Polizei, grenzüberschreitend Kommunikation abzuhören. Digitale Forensik deckt das Extrahieren von Beweisen aus beschlagnahmten Geräten. Entschlüsselung ist die berühmte: technische “Lösungen” für den Zugang zu verschlüsselten Daten, Roadmap 2026, Einsatzfähigkeit 2030. Standardisierung heißt, Polizei-Zugangsanforderungen schon beim Schreiben in technische Standards einzubacken. Und KI-Werkzeuge decken die automatisierte Analyse aller Daten ab, die die anderen fünf Säulen erzeugen. Zusammengelesen sind die Säulen nicht sechs Ideen, sondern eine, sechsfach ausgedrückt: Kommunikationsinfrastruktur soll für den Staat per Design lesbar sein.

Wo VPNs ins Spiel kommen

Chat Control betraf Messenger-Apps. Going Dark ist breiter, und hier kommt der für diese Seite entscheidende Teil: Mehrere Mitgliedstaaten wollen VPN-Dienste einbeziehen. Mullvad war der lauteste Anbieter dazu und erklärte unverblümt, nach der verlorenen Chat-Control-Schlacht werde die EU bis Sommer 2026 mit Going Dark zurückkehren, und diesmal seien VPN-Dienste ein Ziel. Was würde “VPNs einbeziehen” bedeuten? Die realistischen Optionen: Speicherung von Verbindungs-Metadaten, verpflichtende Identifizierung der Nutzer oder technische Zugangsanforderungen am Tunnel selbst. Die ersten beiden zerstören das No-Logs-Modell. Die dritte bricht das Produkt ganz.

Warum “legaler Zugang” und ein funktionierendes VPN nicht koexistieren

Ein VPN tut eine Sache: Es verschlüsselt den Pfad zwischen Ihnen und einem Server, sodass ISP, Netzadmin und alle dazwischen nichts sehen. Der Anbieter kann das nicht selektiv für “böse” Nutzer schwächen und für alle anderen stark lassen. Verschlüsselung prüft nicht Ihr Vorstrafenregister. Jedes Lawful-Access-Mandat landet also an einem von zwei Orten. Entweder führt der Anbieter Aufzeichnungen darüber, wer sich wann wohin verband, also Überwachung der 99,9 Prozent Nutzer, die Netflix schauen und ihr Bankkonto vom Hotel-WLAN prüfen. Oder die Verschlüsselung selbst bekommt ein Loch gebohrt, das jede feindliche Regierung und Ransomware-Bande irgendwann findet. Es gibt keine dritte Option.

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Was das für VPN-Nutzer jetzt bedeutet

Nichts an Going Dark ist bereits Gesetz. Die Entschlüsselungs-Roadmap ist dieses Jahr fällig, Gesetzesvorschläge zu VPNs werden ab Sommer 2026 erwartet, und der volle Zyklus dauert Jahre. Ihr VPN funktioniert heute genau wie letzten Monat. Aber die Richtung ist klar, und sie macht zwei langweilige Kriterien plötzlich interessant: Jurisdiktion und Infrastruktur. Ein außerhalb der EU eingetragener Anbieter mit RAM-only-Servern und geprüftem No-Logs hat rechtliche und technische Distanz zu allem, was Brüssel am Ende verabschiedet. Testen Sie Ihren Anbieter mit einer Frage: Käme morgen eine EU-Speicheranordnung, was könnte er technisch herausgeben? Für einen Anbieter wie NordVPN, in Panama, mit geprüften RAM-only-Servern, lautet die ehrliche Antwort: fast nichts. Das ist die Antwort, die Sie wollen.

Unser Urteil

Chat Controls Niederlage war real, und die Menschen, die dafür kämpften, verdienten den Sieg. Aber Going Dark ist das gefährlichere Projekt, gerade weil es langweiliger ist: Roadmaps, Arbeitsgruppen und Standardisierungsgremien statt eines großen, angsteinflößenden Scan-Gesetzes. Die VPN-Branche ist nun formell Teil der EU-Lawful-Access-Debatte, und das war nie zuvor der Fall. Erwarten Sie den ersten konkreten Gesetzestext bis Ende 2026.

Weiterlesen: EU-Datenspeicherungspflicht und VPN-Anbieter 2026 und Five Eyes, Nine Eyes, 14 Eyes einfach erklärt.