Chat Control 1.0 für deutsche KMU, App-Entwickler und SaaS-Gründer

Die wichtigste Korrektur vorweg: „Chat Control 1.0“ ist nach Stand 13. Juli 2026 nicht „sofort in Kraft“. Die bisherige Interimsregelung lief am 3. April 2026 aus. Der Rat hat am 2. Juli 2026 zwar seine Position beschlossen, um die befristete Ausnahme wieder einzuführen und bis 3. April 2028 zu verlängern; das Europäische Parlament hat am 9. Juli 2026 in zweiter Lesung Änderungen beschlossen. Nun liegt der Ball wieder beim Rat, der binnen drei Monaten die Änderungen annehmen oder ablehnen muss; andernfalls folgt das Vermittlungsverfahren.

Unter „Chat Control 1.0“ versteht man im Kern die Interimsverordnung (EU) 2021/1232 samt Verlängerung (EU) 2024/1307. Sie ist keine allgemeine Überwachungspflicht für alle Plattformen, sondern eine befristete Ausnahme von ePrivacy-Vertraulichkeitsregeln, damit Anbieter bestimmter nummernunabhängiger interpersoneller Kommunikationsdienste freiwillig Technologien zur Erkennung, Meldung und Entfernung von Online-Darstellungen sexuellen Kindesmissbrauchs einsetzen können. Die dauerhafte CSA-Verordnung aus dem Kommissionsvorschlag von 2022 ist davon zu unterscheiden; sie ist weiter in Verhandlung.

Für deutsche Produktteams folgt daraus: Heute gibt es keine neue aktive Scan-Pflicht aus Chat Control 1.0. Das unmittelbare Management-Thema ist daher nicht „Pflicht-Compliance für eine bereits geltende neue Verordnung“, sondern Rechtslagenklarheit: Welche Teile Ihres Produkts sind überhaupt NI-ICS? Verlassen Sie sich irgendwo auf freiwillige Inhaltsprüfung, obwohl die Interims-Ausnahme ausgelaufen ist? Welche Aussagen machen Sie zu Ende-zu-Ende-Verschlüsselung, Datenminimierung und Moderation? Und wie schnell könnten Sie auf eine Wiedereinführung der Interimsregel oder auf die spätere Dauerregelung umstellen?

Der größte Business-Risikohebel liegt deshalb kurzfristig weniger in einer hypothetischen neuen Spezialstrafe aus einer schon geltenden Verordnung, sondern in Architektur- und Vertrauensfehlern: unklare Rechtsgrundlagen für Scanning, irreführende E2EE-Kommunikation, fehlende DPIA-/Review-Prozesse, Vendor-Lock-in bei Hashing oder Klassifikatoren und unvorbereitete Incident-Workflows. Genau hier kollidieren Datenschutz, Security, Produktmarketing und Governance.

Im Sprachgebrauch wird „Chat Control 1.0“ meist für die Interimsregelung verwendet, also für die 2021 eingeführte ePrivacy-Ausnahme für bestimmte Kommunikationsdienste. Betroffen sind nicht „das gesamte Internet“, sondern vor allem nummernunabhängige interpersonelle Kommunikationsdienste. In Deutschland ordnet die Bundesnetzagentur darunter insbesondere E-Mail, Messenger, Videotelefonie und Videokonferenzen ein. Für Gründer heißt das: Ein klassisches B2B-SaaS ohne Kommunikationsfunktion ist nicht automatisch direkt im Kernbereich; ein Produkt mit In-App-Messaging, Datei- und Medienaustausch oder integrierter Videokommunikation kann es hingegen sehr wohl sein.

Die Chronologie ist recht klar. 2021 wurde die Interimsverordnung beschlossen; 2024 wurde sie bis 3. April 2026 verlängert. Ebenfalls 2024 erließ die Kommission die Durchführungsverordnung (EU) 2024/2916, die ein Standardformular für die jährlichen Transparenzberichte festlegt. Damit wurde das Reporting nicht nur materiell verlangt, sondern auch formalisiert.

Entscheidend ist aber der heutige Status: Die alte Interimsregel ist ausgelaufen. Der Rat will die Ausnahme rückwirkungsfrei neu aufsetzen und so schnell wie möglich bis 3. April 2028 verlängern. Das Parlament hat die Ratsposition jedoch nicht einfach übernommen, sondern unter anderem verlangt, Ende-zu-Ende-verschlüsselte Kommunikation aus dem Geltungsbereich auszunehmen. Deshalb ist das Verfahren noch nicht abgeschlossen und die Neuregelung noch nicht in Kraft.

Parallel verhandelt die EU weiter die dauerhafte CSA-Verordnung. Der Rat hatte dazu bereits im November 2025 seine Verhandlungsposition beschlossen. Diese Dauerregelung würde – anders als Chat Control 1.0 – nicht nur eine befristete Ausnahme schaffen, sondern verpflichtende Risikoanalyse- und Risikominderungsmechanismen, behördliche Anordnungen sowie ein EU-Zentrum für Kindesmissbrauch vorsehen. Für Unternehmen ist deshalb die wichtigste rechtliche Trennlinie: Interim = befristete, freiwillige Scan-Ausnahme; Dauerregelung = strukturell obligatorischer, risikobasierter Governance-Rahmen.

Die folgende Zeitleiste zeigt die für Unternehmen relevanten Meilensteine. Sie bildet den Verfahrensstand, nicht bereits verbindlich geltendes Recht für jeden Schritt, ab.

Die vielleicht wichtigste Compliance-Aussage für Praktiker lautet: Chat Control 1.0 begründet keine generelle Pflicht zum Scannen privater Kommunikation, sondern erlaubt unter engen Bedingungen ein freiwilliges Tätigwerden bestimmter Anbieter. Wenn ein Anbieter diese Ausnahme nutzt, knüpft die Verordnung daran jedoch sehr konkrete Anforderungen: Die eingesetzten Technologien müssen dem Stand der Technik entsprechen, möglichst wenig eingriffsintensiv sein, Fehlerquoten maximal begrenzen, menschliche Aufsicht vorsehen und – soweit Text gescannt wird – nicht den Sinngehalt der Kommunikation ableiten, sondern nur Muster erkennen, die auf möglichen Missbrauch hindeuten.

Hinzu kommen Verfahrenspflichten. Die Verordnung verlangt insbesondere eine Datenschutz-Folgenabschätzung, eine vorherige Konsultation der zuständigen Datenschutzaufsicht für bestimmte Technologien, interne Missbrauchsschutzverfahren, Beschwerde- und Abhilfeprozesse, klare Nutzerinformationen, sichere Speicherung erkannter Verdachtsfälle nur für eng definierte Zwecke sowie eine Speicherbegrenzung von höchstens zwölf Monaten. Verdachtsfälle sind ohne Verzögerung an zuständige Stellen zu melden; zugleich müssen Daten gelöscht werden, sobald sie nicht mehr unbedingt erforderlich sind.

Seit der Durchführungsverordnung 2024/2916 ist außerdem normiert, dass Anbieter für das jährliche Reporting das von der Kommission vorgegebene Standardformular verwenden müssen. Praktisch relevant ist das vor allem für größere Anbieter oder Scale-ups mit mehreren Märkten, weil dort schnell aus einer „freiwilligen Sicherheitsmaßnahme“ ein echter Transparenz-, Audit- und Dokumentationsprozess wird.

Datenschutzrechtlich bleibt der Rahmen heikel. Der EDPS betont ausdrücklich, dass die Interimsverordnung selbst keine klare Rechtsgrundlage für die Verarbeitung personenbezogener Daten im Sinne der DSGVO schafft. In der Praxis hätten Anbieter deshalb auf unterschiedliche Rechtsgrundlagen gesetzt – unter anderem Art. 6 Abs. 1 lit. d, e und f DSGVO –, was der EDPS gerade als Problem der Rechtsunsicherheit hervorhebt. Für Unternehmen ist das ein Warnsignal: Selbst wenn eine ePrivacy-Ausnahme wieder eingeführt wird, ersetzt sie nicht automatisch eine sauber tragfähige DSGVO-Analyse.

Besonders konfliktträchtig ist die Frage der Ende-zu-Ende-Verschlüsselung. Sowohl der BfDI als auch die Datenschutzkonferenz warnen, dass Client-Side-Scanning die Schutzwirkung von E2EE faktisch umgehen würde, weil Inhalte bereits vor der Verschlüsselung untersucht werden könnten. Das Europäische Parlament hat diese Spannung im Juli 2026 direkt aufgegriffen und verlangt, dass Kommunikation, auf die E2EE angewendet wird, wurde oder werden soll, aus dem Anwendungsbereich herausfällt. Für Produktteams heißt das nüchtern: Nicht der Verordnungstext allein, sondern die Kombination aus Produktarchitektur und Durchsetzungspfad entscheidet, ob E2EE praktisch intakt bleibt oder politisch-juristisch unter Druck gerät.

Zur Frage der Sanktionen ist die Lage zweistufig. Heute ist das akute Risiko für deutsche Anbieter vor allem ein allgemeines Datenschutz- und Vertraulichkeitsrisiko, wenn ohne tragfähige Rechtsgrundlage gescannt wird oder die ePrivacy-Ausnahme gar nicht gilt. Die dauerhafte CSA-Verordnung und der Ratsansatz nennen demgegenüber ausdrücklich Durchsetzungsmechanismen bis hin zu penalty payments bei Nichtbeachtung angeordneter Risikominderungsmaßnahmen. Wer nur auf eine spätere Spezialverordnung schaut, übersieht also das naheliegendere Problem: unzulässiges Processing im Hier und Jetzt.

Für Architekturentscheidungen ist die Trennlinie serverseitig sichtbar versus ende-zu-ende-verschlüsselt zentral. Wo Inhalte ohnehin im Klartext auf Ihren Servern verarbeitet werden – etwa bei klassischen Webmail-, Messenger-, Upload- oder Moderationsdiensten –, lässt sich ein Chat-Control-ähnlicher Prozess grundsätzlich über Hash-Matching, Klassifikatoren, Queueing, Human Review, Meldung und Löschung organisieren. Das ist technisch aufwendig, aber konzeptionell machbar. Wo E2EE wirklich durchgezogen ist und der Server den Klartext nicht sieht, kippt dieselbe Logik faktisch in Richtung Client-Side-Scanning, Metadatenanalyse oder Funktionsbeschränkung.

Für deutsche KMU ist das Kernrisiko derzeit Regulierungsunsicherheit unter falscher Dringlichkeitswahrnehmung. Wer glaubt, Chat Control 1.0 gelte schon wieder, baut womöglich übereilt Moderations- oder Scansysteme, für die es aktuell gerade keine aktive Interims-Ausnahme gibt. Wer das Thema dagegen komplett ignoriert, riskiert, mit unvorbereiteten Produkten in eine Wiedereinführung der Interimsregel oder in die spätere Dauerregelung hineinzulaufen. Das wirtschaftliche Risiko ist also nicht nur ein Rechtsrisiko, sondern ein Timing- und Architektur-Risiko.

Gleichzeitig entstehen Chancen. Unternehmen, die Privacy by Design, klare Nutzeraufklärung, saubere Beschwerdeprozesse und modulare Sicherheitsarchitektur früh implementieren, gewinnen Handlungsspielraum. Im Ratsansatz zur Dauerregelung spielen Risikobewertung, Risikominderung, Hilfen für Nutzer und Opferunterstützung eine zentrale Rolle; schon die Interimsregel verlangt Transparenz, Human Oversight und Redress. Für B2B-SaaS kann daraus ein echter Differenzierungsvorteil werden: nicht „wir scannen alles“, sondern „wir haben einen belastbaren, verhältnismäßigen Safety-and-Privacy-Stack“.

Die folgende Tabelle bündelt die praktisch wichtigsten Anforderungen und Prioritäten aus Sicht deutscher Produktteams. Sie unterscheidet bewusst zwischen aktuellen Sofortmaßnahmen und Vorbereitungen für eine mögliche Wiedereinführung bzw. Dauerregelung.

Kurzfristig sollten Gründer und Produktverantwortliche keinen Aktionismus, aber sehr wohl saubere Hausaufgaben machen. Erstens: Produktfunktionen sauber in NI-ICS, Hosting, Community, Support-Chat, interne Kommunikation zerlegen. Zweitens: Jede bestehende oder geplante freiwillige Inhaltsprüfung auf ihre aktuelle Rechtsgrundlage prüfen. Drittens: Alle öffentlichen Aussagen zu E2EE, Zero Access, Privacy mit der tatsächlichen Architektur und dem möglichen Compliance-Fahrplan abgleichen. Viertens: Einen Owner-Kreis aus Legal, Security, Product, Trust & Safety und Marketing fest benennen.

Mittelfristig lohnt sich ein modulares Betriebsmodell. Wer Kommunikationsfunktionen anbietet, sollte Detection, Human Review, Notice/Appeal, Logging, Datenlöschung und Reporting technisch separiert denken. Das macht spätere regulatorische Anpassungen günstiger und reduziert das Risiko, dass aus einem einzelnen „Safety-Feature“ ein unkontrollierbares Querschnittssystem wird. Ebenso wichtig ist ein Vendor-Assessment für Hashing- und ML-Anbieter: Fehlerlogik, Schwellenwerte, Auditierbarkeit, Auftragsverarbeitung, Datenlokation und Exit-Fähigkeit gehören vertraglich auf den Tisch.

Langfristig ist die eigentliche strategische Frage, welche Kommunikationsarchitektur Ihr Unternehmen überhaupt in den nächsten zwei bis drei Jahren vertreten will. Ein Unternehmen, das sich auf vertrauenswürdige E2EE-Kommunikation positioniert, sollte diese Linie nicht nebenbei durch CSS-nahe Roadmaps verwässern. Ein Unternehmen, das eher auf moderierte, serverseitig sichtbare Kommunikation setzt, kann dagegen früh eine robuste Safety-Governance aufbauen und damit regulatorisch belastbarer werden. Beides kann erfolgreich sein; problematisch ist vor allem das hybride, unehrliche Zwischenmodell.

Ihre Watchlist sollte nicht aus abstrakten EU-Schlagworten bestehen, sondern aus konkreten Eskalations-Triggern. Eskalieren sollten Sie insbesondere dann, wenn einer der folgenden Punkte eintritt: Der Rat akzeptiert die Parlamentsänderungen oder eine Vermittlung wird eröffnet; eine neue Interimsverordnung wird im Amtsblatt veröffentlicht; Ihr Produkt erfüllt klar die NI-ICS-Kriterien; Sie planen ein neues E2EE-Feature oder ändern Ihre Schlüsselarchitektur; Sie führen KI-/Hashing-basierte Inhaltsprüfung ein; ein Großkunde fragt belastbare Aussagen zu Moderation, E2EE oder regulatorischer Vorsorge ab; oder eine Aufsichtsbehörde bzw. ein Datenschutzbeauftragter fordert Unterlagen zu DPIA, Rechtsgrundlage oder Nutzerinformationen an.

Der folgende Ablauf ist eine praxisorientierte Unternehmenslogik, die sich aus dem aktuellen Verfahrensstand, dem NI-ICS-Rahmen und den Pflichten der Interimsregel ableitet.

Für Kundenkommunikation gilt: präzise, nüchtern, vertrauensbildend. Sagen Sie nicht pauschal „wir sind natürlich compliant“, wenn die Rechtslage gerade offen ist. Besser ist: „Wir beobachten die EU-Entwicklung aktiv, haben unsere Kommunikationsfunktionen klassifiziert, halten Datenschutz- und Sicherheitsanforderungen hoch und werden regulatorische Änderungen transparent umsetzen.“ Wenn Sie E2EE einsetzen, erklären Sie verständlich, wo Verschlüsselung greift, welche Daten Sie trotzdem sehen und welche nicht. Wenn Sie serverseitig moderieren, benennen Sie offen den Unterschied zwischen Sicherheitsprüfung, Missbrauchsmeldung, Mensch-in-der-Schleife und Rechtsbehelf. Das ist nicht nur juristisch sauberer, sondern auch vertrieblich besser, weil es Security-Fragebögen, DPA-Verhandlungen und Enterprise-Due-Diligence deutlich vereinfacht.

Produktstrategisch spricht viel dafür, Kommunikation in zwei saubere Zonen zu trennen: eine vertrauliche Zone mit echtem E2EE und klar begrenzten Produktfunktionen; und eine moderierte Zone für öffentliche/halböffentliche Inhalte, Uploads, Communities oder Support-Kanäle, in denen serverseitige Prüfungen transparenter und rechtlich konsistenter sind. Diese Trennung ist kein Gesetzestext, sondern eine robuste Design-Strategie unter regulatorischer Unsicherheit. Sie minimiert das Risiko, später gleichzeitig Privatsphäre zu versprechen und Eingriffslogiken nachrüsten zu müssen.

Zusammenfassend lässt sich sagen, dass "Chat Control 1.0" für deutsche KMU, SaaS-Gründer und App-Entwickler aktuell keine akute Scannpflicht, sondern in erster Linie rechtliche Unsicherheit mit sich bringt. Die Interimsregelung ist abgelaufen, und die dauerhafte CSA-Verordnung wird weiterhin kontrovers auf EU-Ebene diskutiert. Kurzfristiger Handlungsbedarf besteht vor allem darin, eigene Systeme rechtlich sauber zu klassifizieren (Stichwort NI-ICS), bestehende Versprechen zur Ende-zu-Ende-Verschlüsselung mit der technischen Realität abzugleichen und keine voreiligen Content-Filter-Technologien ohne sichere Rechtsgrundlage auszurollen. Vorausschauende Produktarchitektur (Privacy by Design, klare Trennung von E2EE- und moderierten Zonen) ist aktuell der beste Schutz vor zukünftigen Compliance-Kosten.