Connect with us

Datenschutz & Sicherheit

Interne Dokumente: Trilog zur Chatkontrolle geht in entscheidende Phase


Seit vier Jahren verhandeln die EU-Institutionen über die Chatkontrolle, seit einem halben Jahr im Trilog. Jetzt verhandeln sie die heikelsten Fragen.

Die Kommission will Hoster und Kommunikations-Dienste verpflichten, die Inhalte aller Nutzer auf Straftaten zu durchsuchen. Das Parlament will Internet-Dienste verpflichten, die Inhalte verdächtiger Nutzer auf Straftaten zu durchsuchen. Die EU-Staaten wollen keine Verpflichtung für Internet-Dienste, sie sollen Inhalte freiwillig scannen dürfen.

Der vierte Trilog fand am 11. Mai statt. Wir veröffentlichen einen Bericht aus Brüssel. Danach hat die Ratspräsidentschaft neue Kompromissvorschläge vorgelegt. Wir veröffentlichen die Entwürfe vom 26. Mai und vom 29. Mai. Im Rat diskutieren die Referent:innen für Justiz und Inneres diese Vorschläge. Wir veröffentlichen eingestufte Protokolle vom 21. Mai und von vorgestern 10. Juni.

Keine verschlüsselten Inhalte

Die EU-Institutionen haben sich „vorläufig darauf geeinigt“, verschlüsselte Inhalte aus dem Anwendungsbereich des Gesetzes auszunehmen. Damit dürfte das umstrittene Client-Side-Scanning raus sein. Wenn das so bleibt, ist das ein großer Erfolg.

Darüber hinaus haben die Gesetzgeber bisher vor allem weniger Kontroverse Punkte verhandelt, darunter Allgemeine Bestimmungen sowie Pflichten zum Entfernen und Sperren bekannter Straftaten.

Seit kurzem bearbeiten sie den größten Brocken: Die „Aufdeckung“ illegaler Inhalte. In dieser Frage liegen die Positionen der EU-Institutionen „besonders weit auseinander“. Eine zentrale Frage ist, ob Anbieter Inhalte ihrer Nutzer scannen dürfen oder müssen. Eine weitere Frage ist, wie viele Nutzer und Inhalte die Anbieter scannen.

Freiwillig oder verpflichtend

Die Ratspräsidentschaft schlägt mehrere Optionen vor: freiwillige Chatkontrolle für nicht-öffentliche Inhalte wie Cloud-Speicher und Kommunikation, verpflichtende Chatkontrolle für öffentliche Inhalte wie Web-Inhalte und verpflichtende Chatkontrolle für nicht-öffentliche Inhalte.

Die EU-Staaten haben sich geeinigt, eine verpflichtende Chatkontrolle abzulehnen. Aber zum Kompromissvorschlag der Ratspräsidentschaft haben sie noch keine einheitliche Meinung.

Seit Jahren scannen einige Big-Tech-Unternehmen die Inhalte ihrer Nutzer anlasslos. Das ist spätestens seit April illegal, sie machen trotzdem weiter.

Freiwillig, aber weitgehend

Einige Staaten wollen, dass solche Unternehmen weiterhin viele Inhalte möglichst vieler Nutzer scannen. Vor allem Frankreich und Ungarn fordern „einen möglichst breiten Anwendungsbereich insbesondere bei freiwilliger Aufdeckung“. Die Franzosen haben „hier keinen Spielraum für Verhandlungen“.

Aber auch Deutschland spricht sich für eine weitgehende Chatkontrolle aus, entgegen anderslautender Äußerungen der Bundesregierung.

Andere Staaten sehen weiterhin jede Chatkontrolle durch Internet-Anbieter kritisch, darunter Italien, Polen und Österreich.

Der juristische Dienst der EU-Staaten bezeichnet eine anlasslose Chatkontrolle von Kommunikation als rechtswidrig. Die Juristen lehnen auch den aktuellen Vorschlag ab, „da man es weiterhin mit genereller Suche in interpersoneller Kommunikation zu tun habe“. Freiwilliges Scannen öffentlicher Inhalte halten sie jedoch für „unproblematisch“.

Deutliche Zweifel an Verpflichtung

Kommission und Parlament wollen Anbieter auch gegen deren Willen verpflichten können, Inhalte ihrer Nutzer zu scannen. Das kann Hoster wie Hetzner oder Mail-Dienste wie Posteo betreffen. Die sollen aber nicht alle Nutzer scannen, sondern nur verdächtige Nutzer-Gruppen.

Die EU-Staaten haben „deutliche Zweifel“ an der „Praxistauglichkeit“ dieses Vorschlags. Gegen Verdächtige stehen Ermittlern schon jetzt „andere Instrumente zur Verfügung“. Die Polizei kann dann Nutzer-Daten von den Anbietern anfordern und selbst auswerten.

Österreich kritisiert die verpflichtende Chatkontrolle und fordert, „das Verhältnis zu strafrechtlichen Ermittlungen“ zu klären. Mehrere Staaten schließen sich an und fragen nach der „Trennlinie zu strafrechtlichen Ermittlungen“. Lettland fragt, „wo der Mehrwert sei“. Die Kommission fragt, wer die verdächtigen „Personen oder Gruppen identifiziere und auf welcher Basis“.

Verhandlungen gehen weiter

Ende Juni geht die Ratspräsidentschaft von Zypern an Irland. Wie jede Ratspräsidentschaft will auch Zypern die Verhandlungen unter seinem Vorsitz abschließen. Das bleibt das offizielle Ziel. Gegenüber netzpolitik.org hat ein Sprecher jedoch bereits eingeschränkt, nur noch „möglichst große Fortschritte erzielen“ zu wollen.

Der nächste Termin für den offiziellen Termin ist am 29. Juni. Bis dahin verhandeln die Fachpolitiker der Institutionen.

Wenn sich Parlament und Rat auf eine gemeinsame Version einigen, müssen beide das Gesetz noch formal annehmen.


Hier die Dokumente in Volltext:


  • Datum: 18. Mai 2026
  • Von: Deutscher Bundestag
  • Betreff: Bericht aus Brüssel

Keine Einigung zur Prävention und Bekämpfung des sexuellen Missbrauchs von Kindern im Internet

Zusammenfassung

  • Vier Jahre nach Vorlage des Kommissionsvorschlags für eine Verordnung zur Prävention und Bekämpfung des sexuellen Missbrauchs von Kindern im Internet fand am 11. Mai 2026 der vierte Trilog statt. Trotz Fortschritten konnte keine finale Einigung gefunden werden.
  • Besonders weit liegen die Positionen in der Frage nach Aufdeckung auseinander. Während der Rat rein freiwillige Maßnahmen fordert, befürwortet das Europäische Parlament (EP) als letztes Mittel verpflichtende Aufdeckungsanordnungen für Justizbehörden bei begründetem Verdacht.
  • Der politische und zeitliche Druck ist groß, denn momentan besteht eine Regelungslücke: Eine Ausnahmeregelung, die es Dienstanbietern ermöglichte, sexuellen Kindesmissbrauch im Internet freiwillig aufzudecken, lief am 3. April 2026 aus und kann nicht verlängert werden, da in der Abstimmung im Europäischen Parlament (EP) keine gemeinsame Position gefunden werden konnte. Die den Providern inzwischen untersagte freiwillige Meldung online gestellter Bilder und Videos sei dabei häufig die einzige Möglichkeit für die Aufdeckung von Fällen sexuellen Missbrauchs gewesen.
  • Das Ziel der Verhandlungspartner ist ein Abschluss des Dossiers vor Sommer 2026, doch noch gibt es keine konkreten Ideen für einen gangbaren Kompromisstext.

Nach nunmehr vier Jahren intensiver Beratung über den Verordnungsvorschlag zur Prävention und Bekämpfung des sexuellen Missbrauchs von Kindern vom 11. Mai 2022 (CSAM-Verordnung) brachte auch der vierte Trilog am 11. Mai 2026 keine endgültige Einigung zutage. Von den Beteiligten wird erneut die konstruktive Arbeitsatmosphäre betont, die in den ersten drei Trilogen zur Klärung von weniger umstrittenen Fragen geführt habe, doch der kontroverseste Aspekt im Dossier, die Aufdeckungsanordnung, war erneut nicht auf der Tagesordnung: Diese führte schon bei Vorlage des Kommissionsvorschlags in einigen Mitgliedstaaten, allen voran Deutschlands, für z.T. heftige Reaktionen und Ablehnung. Stattdessen standen u. a. die Entfernungs- und Sperranordnungen im Fokus, um Darstellungen von sexuellem Kindes-missbrauch in allen Mitgliedstaaten entfernen oder sperren zu lassen.

Auch einigte man sich auf Details zu verlängerten Antwortfristen auf Löschanordnungen für Kleinst‑, kleine und mittlere Unternehmen. Einige der erreichten Kompromisse dienten dabei dem Ziel, den Verordnungstext mit dem Gesetz über digitale Dienste (Digital Services Act, DSA) in Einklang zu bringen.

Alles netzpolitisch Relevante

Drei Mal pro Woche als Newsletter in deiner Inbox.

Der zeitliche und politische Druck für eine finale Einigung ist groß. Eine Übergangsregelung, die es Internetanbietern rechtlich erlaubte, Darstellungen von sexuellem Kindesmissbrauch im Internet freiwillig aufzudecken, zu entfernen und den Strafverfolgungsbehörden zu melden, lief am 3. April 2026 aus und wurde vom EP abgelehnt, da keine gemeinsame Position mit dem Rat gefunden werden konnte. Damit besteht aktuell eine Regelungslücke, da kooperationswilligen Internetprovidern nun nicht mehr erlaubt ist, kinderpornografische Inhalte auf ihren Webseiten zu suchen, zu entfernen und den Strafverfolgungsbehörden zu melden.

Zur Erinnerung: Am 11. Mai 2022 legte die Kommission den Entwurf der CSAM-Verordnung zur Prävention und Bekämpfung des sexuellen Missbrauchs von Kindern vor. Ziel war, Anbieter von Online-Diensten zur Verhinderung, Aufdeckung, Meldung und Entfernung von Missbrauchsdarstellungen sowie zur Unterbindung von Grooming (sexuelle Anbahnung) zu verpflichten. Um Opfern mehr Gehör zu verschaffen, soll zudem ein EU-Zentrum als dezentrale EU-Agentur eingerichtet werden, flankiert durch ein Netzwerk nationaler Koordinierungsstellen. Darüber hinaus sollten Anbieter bestimmter Online-Dienste den freiwilligen Einsatz von Technologien zur Bekämpfung des sexuellen Missbrauchs von Kindern ermöglichen. Die bisherige Verordnung, die dies ermöglichte, lief am 3. August 2024 aus und wurde durch die eingangs erwähnte Interimsverordnung ersetzt. Um eine Regelungslücke zu vermeiden, waren die Ko-Gesetzgeber unter dänischer Ratspräsidentschaft ursprünglich bestrebt, die CSAM-Verordnung bis zum Frühjahr 2026 abzuschließen. Nachdem unter zypriotischer Ratspräsidentschaft der erste Trilog am 26. Februar 2026 stattfand, wurde für den Abschluss der CSAM-Verordnung Juni 2026 avisiert. Damals ging man dem Vernehmen nach noch davon aus, dass die Interimsverordnung verlängert werde, da ein Kompromiss bei der Aufdeckungsanordnung durch weit voneinander divergierende Positionen in weiter Ferne schien.

Aufdeckungsanordnung: Freiwillig oder als letztes Mittel verpflichtend

Die Aufdeckungsanordnung, die im ursprünglichen Kommissionsvorschlag Anbieter von Hostingdiensten oder interpersoneller Kommunikationsdienste verpflichtete, mit verschiedenen Technologien sexuellen Kindesmissbrauch in ihren Diensten aufzudecken, wurde im Rat v.a. von Deutschland, aber auch anderen Mitgliedstaaten abgelehnt, da eine anlasslose Überprüfung als unverhältnismäßiger Eingriff in Grundrechte gewertet wurde. Wegen einer befürchteten „Massenüberwachung“ rückten sowohl Rat als auch EP in ihren Positionen weit vom Kommissionsvorschlag ab: Unter dänischer EU-Ratspräsidentschaft gelang die partielle Allgemeine Ausrichtung, die rein freiwillige Aufdeckungsmaßnahmen vorsieht, wie sie bereits in der o. g. Interimsverordnung galten. Im EP gelang dem Berichterstatter Javier Zarzalejos (EVP/ESP) im federführenden Ausschuss für bürgerliche Freiheiten, Justiz und Inneres (LIBE) bereits am 24. Oktober 2023 eine Einigung, die ebenfalls eine massenhafte Überprüfung ablehnte. Justizbehörden sollte aber als letztes Mittel die Aufdeckungsanordnungen ermöglicht werden, sofern begründete Verdachtsmomente auf eine, auch indirekte, Verbindung zu Missbrauchsmaterial hindeuten. Einigkeit besteht zwischen den Ko-Gesetzgebern, dass Ende-zu-Ende verschlüsselte Kommunikationsinhalte von Aufdeckungstechnologien ausgenommen bleiben sollen.

Obwohl EP und Rat über die Frage nach einer rein freiwilligen oder bei eindeutigem Verdacht verpflichtenden Aufdeckungsmaßnahme uneins waren, setzte man dem Vernehmen nach in allen drei Institutionen darauf, dass die o. g. Interimsverordnung nach Auslaufen am 3. April 2026 verlängert werde. Die Ablehnung im EP habe im Rat und in der Kommission für großen Unmut gesorgt und wird als Rückschlag für die Prävention von Kindesmissbrauch im Internet gewertet. Der Ablehnung im Parlament waren kurzfristige verschiedene Änderungen zur funktionalen Zusammenarbeit zwischen Internetprovidern und Polizei sowie zum Verbot nach bislang unbekannten Missbrauchsdarstellungen vorausgegangen. Für den abgeänderten Vorschlag fand sich im Ausschuss keine Mehrheit, sodass keine Position des EP beschlossen werden konnte.

Ausblick

Zwar betonen alle Seiten weiterhin eine konstruktive Arbeitsatmosphäre, doch die jahrelangen Verhandlungen zeigen, wie weit die Positionen im Spannungsfeld zwischen Daten- und Kinderschutz voneinander entfernt sind. Dass die Interimsverordnung, die den Verhandlungen mehr Zeit erkauft hätte, am 3. April 2026 ausgelaufen ist und nicht verlängert wurde, sollte den Druck auf die Trilogparteien erhöhen. Doch gehen Beteiligte nicht davon aus, dass ein Kompromiss im fünften Trilog am 29. Juni 2026 unter zypriotischer Ratspräsidentschaft noch gefunden werden kann. Vereinzelt wurde die Meinung vertreten, dass sowohl der Rat als auch das EP in ihren Positionen zur Aufdeckungsanordnung deutlich flexibler werden müssten und eine für beide Seiten tragbare Lösung außerhalb der Verhandlungsmandate des EP und des Rates gefunden werden müsste. Das bringe der Arbeitsebene im EP zufolge aber auch die zusätzliche Gefahr mit sich, dass das Parlament dem Ergebnis der Trilogverhandlungen auf Grundlage eines erweiterten Mandats am Ende doch nicht zustimmen könnte. Ebenfalls werde befürchtet, dass das Momentum verloren gehen könne und festgefahrene Positionen sich auf lange Zeit halten könnten. Die den Providern nun nicht mehr erlaubte freiwillige Meldung von online gestellten Bildern und Videos sei häufig die einzige Möglichkeit gewesen, um auf Fälle sexuellen Missbrauchs aufmerksam zu machen. Es werde aber der Arbeitsebene zufolge nun darauf gehofft, dass die aktuell entstandene Regelungslücke zusätzlichen Druck in den Migliedstaaten erzeugt und so Bewegung in die festgefahrenen Verhandlungen bringt. Der fünfte Trilog ist für den 29. Juni 2026 geplant.


  • Geheimhaltungsgrad: Verschlusssache – Nur für den Dienstgebrauch
  • Datum: 21. Mai 2026
  • Von: Ständige Vertretung der BRD bei der EU
  • An: Auswärtiges Amt
  • Kopie: BMI, BMJV, BKAmt, BMBFSFJ, BMF, BMG, BMWE, BMWK
  • Betreff: Sitzung der JI-Referent*innen zur CSAVO am 21. Mai 2026
  • Zweck: Zur Unterrichtung
  • Geschäftszeichen: 350.80

Sitzung der JI-Referent*innen zur CSAVO am 21. Mai 2026

Vorsitz verwies eingangs auf die Bezugsdokumente (9139/26, WK 6982/26). Hierzu könnten MS sich bis zum 29. Mai schriftlich äußern.

Anschließend skizzierte Vorsitz kurz die Ergebnisse des letzten Trilogs, wie auch in den Bezugsdokumenten aufgeführt. Es gäbe insbesondere noch Gesprächsbedarf zur Frage, welche Behörde welche Anordnungen erlassen dürfe. Delisting und grenzüberschreitende Anordnungen habe EP nicht in seinem Mandat, zeige hier aber Flexibilität. Bei den blocking orders könne man sich vermutlich nur auf bekanntes Material mit dem EP verständigen. Bei der Frage, ob Audiokommunikation im Anwendungsbereich sein solle, hätte EP jedoch eine rote Linie.

In der anschließenden Aussprache legte AUT Prüfvorbehalt gegen alle die Kompetenzen der jeweiligen Behörden betreffenden Passagen ein und bat um einen eigenen Abschnitt zu Handbüchern. Auch SWE äußerte hier Bedenken und plädierte für eine reinen Verweis auf die CSA-Richtlinie. Wir begrüßten ebenso wie SVN die getroffene Einigung. POL machte darauf aufmerksam, dass die Handbücher nur unter den Anwendungsbereich fallen dürften, wenn sie eindeutig strafbare Inhalte hätten.

FRA bat um Umformulierung von EG 9a), um Vorfestlegungen in der Diskussion zum Zugang zu Daten zu vermeiden. Bei den Anordnungen bitte FRA um Berücksichtigung des bewährten nationalen Systems und entsprechende Textarbeit. Auch LVA bat hierzu um Beibehaltung der Ratsposition bzw. Angleichung an die TCOVO (ähnlich HUN).

Neben uns begrüßte auch ITA die Begrenzung auf nummernunabhängige Dienste und die vorgesehene review clause, wohingegen sich LVA, HUN und ESP gegen die Begrenzung aussprachen. POL zeigte sich ebenfalls skeptisch und plädierte für eine starke review clause.

ITA sah es als notwendig an, Entfernungsanordnungen nur durch eine justizielle oder unabhängige Behörde zu erstellen oder zumindest unter deren Aufsicht.

HUN, POL, BGR, ESP und SVN plädierten für die Beibehaltung von Audiokommunikation im Anwendungsbereich, da dies für den Aspekt des Grooming wichtig sei.

Im zweiten Teil der Sitzung stellte Vorsitz erste Überlegungen für einen Umgang mit den verschiedenen Positionen des Rates und des EP zur Aufdeckung von CSAM vor. Eine Lösung könne eine Mischung aus freiwilliger Aufdeckung und gezielten Aufdeckungsanordnungen sein. Man wolle in Teilen die bisherige Interims-VO in die CSAMVO integrieren. Auch sei eine proactive Suche durch das Zentrum in öffentlich zugänglichem Material angedacht. KOM nannte die Ideen vielversprechend. Es sei klar, dass eine mögliche Lösung von beiden Seiten Kompromisse verlange. Eine Einigung würde aber auf jeden Fall die jetzige Situation verbessern.

Auf LUX Nachfrage stellte Vorsitz klar, dass das Ratsmandat sich nicht mit Ende-zu-Ende Verschlüsselung befasse, weil dort keine Aufdeckungsanordnungen enthalten seien. Angesichts der EP Position sei aber davon auszugehen, dass Ende-zu-Ende Verschlüsselung auch bei einer Kompromisslösung nicht unter den Anwendungsbereich fallen werde.

Vorsitz kündigte an, in Kürze einen Textvorschlag zu übermitteln. Es sei wünschenswert, bis zur nächsten Sitzung der JI-Referent*innen am 2. Juni eine erste Einschätzung bzw. Kommentare/Textvorschläge hierzu zu erhalten. Ein weiteres Treffen der JI-Referent*innen sei Mitte Juni geplant. Sollte man einen Kompromiss mit dem EP erzielen, dann werde man am 24. oder 26. Juni den AStV befassen. Am 29. Juni plane man den letzten Trilog unter CYP Vorsitz. Des Weiteren werde Vorsitz ein Dokument mit Kompromisstexten zu den Art. 22, 33–39 sowie allen Artikeln zum Risikomanagement übersenden.


  • Geheimhaltungsgrad: Verschlusssache – Nur für den Dienstgebrauch
  • Datum: 11. Juni 2026
  • Von: Ständige Vertretung der BRD bei der EU
  • An: Auswärtiges Amt
  • Kopie: BMI, BMJV, BKAmt, BMBFSFJ, BMF, BMG, BMWE
  • Betreff: Sitzung der JI-Referent*innen zur CSAVO am 10. Juni 2026
  • Zweck: Zur Unterrichtung
  • Geschäftszeichen: 350.80

Sitzung der JI-Referent*innen zur CSAVO am 10. Juni 2026

I. Zusammenfassung und Wertung

Bei der ersten substanziellen Aussprache zum Vorschlag des Vorsitz zu freiwilliger Aufdeckung und Aufdeckungsanordnung zeigte sich ein uneinheitliches Bild.

Während einige MS weiterhin einen möglichst breiten Anwendungsbereich insbesondere bei freiwilliger Aufdeckung bevorzugten (sehr deutlich dazu neben uns auch FRA), zeigten sich POL, AUT, LUX und ITA bekannt kritisch.

An der Praxistauglichkeit der auf einen bestimmten Personenkreis begrenzten Aufdeckungsanordnung gab es deutliche Zweifel und es wurde mehrfach die Frage gestellt, wo man die Trennlinie zu strafrechtlichen Ermittlungen und den entsprechenden Instrumenten ziehe.

KOM begrüßte den vom Vorsitz gewählten Ansatz, welcher zwischen Aufdeckung in öffentlich zugänglichen Inhalten und in nicht-öffentlich zugänglichen Inhalten (u.a. interpersonelle Kommunikation) unterscheide.

JD sah auch bei diesem Vorschlag nicht alle rechtlichen Bedenken ausgeräumt, wobei die freiwillige Aufdeckung in öffentlich zugänglichen Inhalten als unproblematisch erachtet wurde.

II. Im Einzelnen

Auf Bitten des Vorsitz gab es eine volle Tischumfrage zu Dok. 9659/26, wobei Vorsitz vorausschickte, dass man lediglich eine erste Einschätzung erwarte. Schriftliche Kommentare könnten in Vorbereitung der nächsten JI-Referent*innen Sitzung am 17. Juni übermittelt werden.

LTU, GRC, SVK, MLT, BGR, ROU, FIN (mit Hinweis auf kritische Haltung des nationalen Parlaments), SVN, CZE, SWE, DNK und BEL legten Prüfvorbehalt ein, wobei LTU, GRC, MLT, SVN, SWE und BEL diesen als positiv bezeichneten.

Wir sind ein spendenfinanziertes Medium.

Unterstütze auch Du unsere Arbeit mit einer Spende.

ESP macht deutlich, dass man auf Grooming nur verzichten werde, wenn das EP im Gegenzug von einigen seiner Positionen abrücke.

ITA zeigte sich erneut sehr kritisch und stellte folgende Forderungen auf: Definition auch von non-publicly accessible (auch LUX, PRT), own initiative search im öffentlichen und nicht öffentlichen Bereich nur für bekanntes CSAM (auch POL), Ausstellung von Aufdeckungsanordnungen durch Justiz (auch POL), Aufdeckungsanordnungen nur für bekanntes CSAM, ggf. auch neues CSAM, wenn auf Verdächtige begrenzt, keine proaktive Suche durch das Zentrum.

LVA sprach sich für einen weiten Anwendungsbereich (bekanntes Material, neues Material, Grooming) aus (auch HRV, SWE) und unterstützte im Übrigen den Ansatz des Vorsitz bei der freiwilligen Aufdeckung, wobei die Möglichkeit der Untersagung noch geprüft werde. Zu Punkt E stelle sich die Frage, wo der Mehrwert sei, da den Behörden dann andere Instrumente zur Verfügung stünden (auch SWE).

LUX verwies auf die bekannte Position, welche sich nicht geändert habe. Nach wie vor seien die rechtlichen Probleme nicht beseitigt.

NLD stellte die Frage, ob das ganze System funktionieren könne (auch SVN, HUN) und bat um eine systematische Darstellung. Aufdeckung im öffentlichen Bereich werde unterstützt. Es bestehe Klärungsbedarf, wie die Ausführungen zur Verschlüsselung zu verstehen seien. Die gezielte Aufdeckungsanordnung klinge zunächst gut, aber es sei fraglich, ob sie bei diesen engen Voraussetzungen überhaupt jemals zum Einsatz komme (ähnlich SVK).

EST sah es als notwendig an, den Anwendungsbereich anhand der verfügbaren Technologien einzugrenzen. Bekanntes und neues Material wäre weitgehend machbar, aber Technologien zur Detektion von Grooming seien noch zu unsicher. E2EE müsse weiterhin ausgeschlossen werden. Eine Anordnung von Aufdeckungsanordnungen durch die Justiz sei zu aufwändig (auch SWE). Die Rolle des Zentrums müsse noch geklärt werden. Dieses solle die MS unterstützen und nicht mit Bürokratie belasten.

AUT erneuerte die kritische Haltung ggü. Aufdeckungsanordnungen. Es sei auch nicht klar, wer tatsächlich von den nur unter engen Bedingungen auszustellenden Aufdeckungsanordnungen im nicht-öffentlichen Bereich betroffen sein würde. Hier müsse das Verhältnis zu strafrechtlichen Ermittlungen geklärt werden.

HRV stellte die Frage, wer bei der Aufdeckungsanordnung feststelle, ob die Kriterien erfüllt seien, z.B. dass ein Dienst „missbraucht“ werde, und auf welcher Basis dies erfolge. HRV sehe auch die Gefahr, dass Dienstanbieter nicht mehr freiwillig suchen würden, sondern auf Aufdeckungsanordnungen warten würden.

Ich kündigte unsere schriftliche Stellungnahme an und skizzierte die dortigen Kernaussagen.

PRT zeigte sich generell zufrieden mit dem Vorschlag, Grooming könne aber im Anwendungsbereich nicht unterstützt werden.

FRA sah die Notwendigkeit eines breiten Anwendungsbereichs bei der freiwilligen Aufdeckung (auch HUN). Man habe hier keinen Spielraum für Verhandlungen. Es sei ganz klar, dass man nach neuem Material suchen müsse, welche dann ja auch zu bekanntem Material werde. FRA wolle auch die Weiterleitung von Meta- und Verkehrsdaten (auch SWE). Bei Aufdeckungsanordnungen stelle sich die Frage, welche Informationen konkret vom Diensteanbieter verarbeitet würden.

HUN sah die Gefahr, dass man sich möglicherweise bei strafrechtlichen Ermittlungen selbst begrenze, wenn man bestimmte Technologien bei einem „Verdachtsfall“ festschreibe.

Vorsitz erklärte, dass man sich bei den Definitionen an der TCOVO orientiert habe. Wenn man publicly accessible definiere, sei alles, was nicht darunter falle, non-publicly accessible. Wenn man beides definiere, dann bestehe die Gefahr einer Lücke oder einer Überlappung. Man habe bewusst die Regelungen der vorübergehenden Ausnahme übernommen und mit der Möglichkeit der Untersagung weitere Safeguards hinzugefügt. Zu den Bedingungen für die Aufdeckungsanordnungen sehe man die Anbieter in der Pflicht. Diese müssen die notwendigen Informationen für eine entsprechende Einschätzung haben.

KOM begrüßte den Ansatz des Vorsitz, nach öffentlichem und nicht-öffentlichen Bereichen zu trennen. Auch die Aufdeckungen im öffentlichen Bereich bringe einen Mehrwert. Hier sei es aber dann auch notwendig, dass der Anwendungsbereich breit bleibe. Zum Grooming gäbe es Beispiele, dass eindeutige Schlüsselbegriffe genutzt würden. Auch das Darknet sei als öffentlich zugänglich einzustufen. Die Indikatoren des Zentrums sollten auch für die freiwillige Aufdeckung in öffentlichen Bereich genutzt werden. Dann sei gewährleistet, dass gemeldetes Material auch tatsächlich illegal sei. Bei der auf bestimmte Nutzer oder Gruppen angewandten Aufdeckungsanordnung sei nicht klar, worin der Mehrwert zu strafrechtlichen Ermittlungsinstrumenten bestehe. Es sei auch nicht klar, wer diese Personen oder Gruppen identifiziere und auf welcher Basis.

JD wiederholte die bekannten Positionen. Die Bedenken seien nicht ausgeräumt, da man es weiterhin mit genereller Suche in interpersoneller Kommunikation zu tun habe. Nun wolle man hierfür den Diensteanbietern eine Rechtsgrundlage mit nur geringen Safeguards geben. Die Interims-VO sei immer als Übergangslösung gedacht gewesen und nach gängiger Meinung keine Rechtsgrundlage zum Scannen von interpersoneller Kommunikation. Selbst die Eingrenzung auf Nutzergruppen sei schwierig, weil nicht klar sei, welche Kriterien hier gelten sollten. Nach Sicht des JD brauche ein eine objektive, ausreichende Verbindung zu CSAM. Eine solche Festlegung sei aber eine staatliche Aufgabe und könne nicht den Diensteanbietern überlassen werden. Freiwillige Suche und Aufdeckung im öffentlichen Bereich sei unproblematisch, da es sich nicht um interpersonelle Kommunikation handele, und bedürfe keiner Rechtsgrundlage. Bei einer Aufdeckungsanordnung zum öffentlichen Bereich sei dies jedoch nur bei bekanntem Material rechtlich einwandfrei, da die Treffer keine Überprüfung des Anbieters vor einer Weiterleitung benötigten. Für „Risikoanbieter“ (z.B. Pornoplattformen) sei dies sogar generell möglich. Die Aufdeckung durch das Zentrum sehe JD aufgrund der gewählten Rechtsgrundlage als kritisch an, sofern kein Auftrag durch die MS oder die Anbieter bestehe. Zudem müsse geklärt werden, auf welcher Basis das Zentrum entscheide, welche Diensteanbieter für eine solche Maßnahme ausgewählt würden. Vorsitz ergänzte, dass man aufgrund der Problematik der Rechtsgrundlage das Verfahren der Treffermeldung durch das Zentrum an die Anbieter gewählt habe. Auf DNK Frage, warum man die vorübergehende Ausnahme nicht einfach 1:1 übernehmen könne, antwortete JD, dass es sich hier um eine Rechtsgrundlage und nicht um eine Ausnahme von einem Verbot handele. Die freiwillige Aufdeckung tauche ja z.B. auch bei der Risikominderung auf und der Anwendungsbereich sei breiter, da z.b. auch Hosting-Dienste umfasst seien.

KOM sah einen Ausweg darin, Treffer bei neuem Material und Grooming dahingehend „rechtsicher“ zu machen, dass eine direkte Weiterleitung an das Zentrum erfolge, ohne zusätzliche Verifizierung durch den Diensteanbieter.

Zu Dok. 9835/26 sah HRV eine rote Linie bei der Anzahl der Mitglieder des Technologieausschusses. HRV wolle hier Plätze für alle MS (auch ITA). KOM gab zu bedenken, dass man die Experten nicht auf EU Bürger begrenzen solle. FIN bat darum, ausreichend Zeit für die Umsetzung der VO zu geben und sprach sich gegen eine kurze Umsetzungsfrist aus.

Vorsitz informierte abschließend über die weiteren Schritte:

ITM am 11. Juni zur Fortsetzung vorheriger Diskussionen. Man werde Ende dieser Woche hierzu ein neues Dokument verteilen. Hierzu seien weitere Kommentare willkommen.

Zu den Art. 3 – 5 warte man derzeit auf Kommentare der KOM. Ein neuer Text solle bis Ende nächster Woche vorliegen. Hierzu erbitte Vorsitz dann Stellungnahmen im Hinblick auf die AStV Befassung am 24. Juni und den letzten Trilog unter CYP Vorsitz am 29. Juni.

Das Dokument für den AStV solle spätestens am 19. Juni vorliegen.

Vorsitz werde auch ein neues 4‑Spalten Dokument vorlegen.



Source link

Datenschutz & Sicherheit

Ivanti Sentry: Verwirrung um Status von kritischem Befehlsschmuggel-Leck


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Heckmeck um Sicherheitslücken mit Höchstwertung des Risikos in Ivantis Sentry: Die CISA und einige IT-Sicherheitsunternehmen warnen vor laufenden Angriffen. Ivanti wiegelt ab, es handele sich nur um Honeypots.

Weiterlesen nach der Anzeige

Während die CISA die fragliche Lücke in den „Known-Exploited-Vulnerabilities“-Katalog (KEV) aufgenommen hat, hat Ivanti mit einer Aktualisierung der eigenen Sicherheitsmitteilung reagiert. Konkret geht es um eine Schwachstelle in Sentry, durch die Angreifer aus dem Netz ohne vorherige Anmeldung Befehle ins Betriebssystem schmuggeln und damit beliebigen Code mit root-Rechten ausführen können (CVE-2026-10520, CVSS 10.0, Risiko „kritisch“). Eine zweite Sicherheitslücke ermöglicht die Umgehung der Authentifizierung – bösartige Akteure aus dem Netz können ohne vorherige Anmeldung beliebige Administratorkonten erstellen und damit vollen Admin-Zugang erlangen (CVE-2026-10523, CVSS 9.9, Risiko „kritisch“).

Betroffen ist die VPN-ähnliche Sicherheits-Gateway-Lösung in den Versionen 10.5.1, 10.6.1, 10.7.0 und älteren. Die bereitstehenden Aktualisierungen auf die Versionen 10.5.2, 10.6.2 und 10.7.1 bessern die Schwachstellen aus.

Die IT-Sicherheitsforscher der watchTowr Labs haben einen Proof-of-Concept-Exploit veröffentlicht, der den Missbrauch der beiden Lücken demonstriert. Auch Rapid7 schließt in einer eigenen Analyse, dass sie wüssten, dass Angreifer das Produkt wahrscheinlich angreifen werden, da in der Vergangenheit mehrere Sentry-Lücken im CISA-Katalog der missbrauchten Schwachstellen gelandet sind.

Ivanti hat auf die Angriffsmeldungen reagiert. In der Sicherheitsmitteilung steht noch immer, dass Ivanti von keinen Missbrauchsfällen vor der Veröffentlichung der Meldung wüsste. Es gebe keinen öffentlichen Missbrauch der Schwachstelle, weshalb das Unternehmen auch keine Hinweise auf erfolgreiche Angriffe (Indicators of Compromise, IOC) geben könne. Die CISA habe die Lücke in den KEV aufgenommen, da es Berichte über Angriffsversuche auf Honeypots gebe. Zur Einschätzung sei wichtig zu wissen, dass der Missbrauch der Lücke CVE-2026-10520 Zugriff auf den Managementport 8443 benötige. Und Management-Interfaces sollten ohnehin niemals im Internet zugänglich sein, auch wenn Honeypots derartige Fehlkonfigurationen simulieren, um bösartiges Verhalten zu erkennen.

Die Einschätzung dürfte aber bereits überholt sein. Die Shadowserver Foundation teilt auf X mit, dass ihre Scans 19 verwundbare Instanzen entdeckt habe, von denen mindestens zwei bereits mit Backdoors kompromittiert seien. Die IT-Forscher gehen davon aus, dass die anderen Instanzen inzwischen ebenfalls Angreifern zum Opfer gefallen sind.

Admins sollten sich von der Beschwichtigung nicht abhalten lassen, die verfügbaren Updates schnellstmöglich zu installieren.

Weiterlesen nach der Anzeige

Am Donnerstag wurden weitere Sicherheitslücken in Ivantis Endpoint Manager Mobile bekannt. Sie gelten als hohes Risiko, Admins sollten auch hier rasch die Aktualisierungen anwenden.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Angriffswelle auf Arch Linux: Hunderte Paketbeschreibungen mit Malware im AUR


Das Arch User Repository (AUR) sieht sich einer umfangreichen Angriffswelle ausgesetzt. Die Angreifer haben Hunderte verwaiste Paketdefinitionen übernommen, um Malware ergänzt und in neuen Versionen veröffentlicht. Die Arch-Maintainer steuern mit einem Meldeaufruf und einer groß angelegten Lösch-Aktion gegen, um bösartige Updates zu entfernen und von den Angreifern genutzte Accounts zu sperren.

Weiterlesen nach der Anzeige

Das AUR von Arch Linux enthält keine Pakete im engeren Sinne, sondern Beschreibungen, sogenannte PKGBUILDs, mit denen Nutzer die Pakete selbst bauen können. Wenn eine Beschreibung offenbar nicht mehr gewartet wird, können Nutzer dies melden und sie wird nach einer Weile als verwaist markiert. Dann können beliebige Nutzer die Paketbeschreibung „adoptieren“ und ihre Wartung übernehmen.

Diesen Mechanismus nutzten die Angreifer aus: Sie übernahmen solche verwaisten Beschreibungen, ergänzten sie um eine Abhängigkeit für den JavaScript-Paketmanager npm und fügten einen Schritt nach der eigentlichen Software-Installation hinzu, der das npm-Paket „atomic-lockfile“ auf das System brachte. Atomic-Lockfile enthielt wiederum einen Prä-Installationsschritt, den npm befolgte und dabei die im npm-Paket mitgelieferte Datei „deps“ ausführte. Bei deps handelt es sich einer ersten (KI-gestützten) Analyse zufolge um einen Credential-Stealer, eine Malware, die diverse Arten von Zugangsdaten ausliest und an den Angreifer ausleitet. „deps“ kann sich außerdem im System festsetzen, bei ausreichenden Rechten die eigene Präsenz verschleiern und weitere Software nachladen.

Die Angriffswelle ist ein guter Anlass, darauf hinzuweisen, dass das Arch User Repository keine offizielle Softwarequelle für Arch Linux ist. PKGBUILDs werden vom Arch-Team nicht geprüft. AUR-Nutzer handeln auf eigenes Risiko, wenn sie Software aus dem AUR installieren, und sollten jedes Update selbst prüfen.

Allerdings wird Software aus dem AUR oft mit darauf spezialisierten Programmen installiert, sogenannten AUR-Helpern. Diese Hilfsprogramme automatisieren die mitunter komplizierten Bauschritte (AUR-Software wird oft beim Nutzer aus dem Quellcode kompiliert), sodass Nutzer weder Zeit noch spezielle Kenntnisse zur Installation benötigen. Das ist praktisch, verleitet aber dazu, Updates unbesehen durchzuwinken, weil der AUR-Helper ohnehin alle nötige Arbeit übernimmt oder man die vom Update vorgenommenen Änderungen schlicht nicht versteht.

In der aktuellen Angriffswelle kam hinzu, dass die Änderungen in den PKGBUILDs selbst nur die Inklusion von npm und atomic-lockfile auswiesen. Je nach betroffener Software muss eine Abhängigkeit von npm nicht verdächtig erscheinen. Nutzer benötigen zumindest rudimentäre Kenntnisse der Softwareentwicklung, um npm als deplatziert zu erkennen oder atomic-lockfile nachzuspüren und dort die eigentliche Malware zu entdecken.

Weiterlesen nach der Anzeige

Arch-Nutzer, die sich dergleichen nicht zutrauen, sollten idealerweise keine Software aus dem AUR installieren. Grundsätzlich sollten AUR-Nutzer die zugehörige Mailingliste abonnieren, um Malware-Warnungen mitzubekommen, worauf auch das Arch-Wiki hinweist.


(syt)



Source link

Weiterlesen

Datenschutz & Sicherheit

Ubiquiti UniFi OS: Kritische Lücken erlauben Codeschmuggel


In Ubiquitis UniFi OS und im UID Enterprise Agent klaffen fünf Sicherheitslücken, die Angreifern etwa das Einschmuggeln von Code, das Umgehen von Sicherheitsmaßnahmen oder unbefugten Zugriff auf Informationen ermöglichen. Der Hersteller hat aktualisierte Software veröffentlicht, die die Schwachstellen behebt.

Weiterlesen nach der Anzeige

In einer Sicherheitsmitteilung listet Ubiquiti die einzelnen Lücken auf. Drei Sicherheitslücken gelten demnach als kritisch. Angreifer mit Zugang zum Netzwerk und niedrigen Berechtigungen können eine unzureichende Eingabeprüfung in UID Enterprise Agent missbrauchen, um Befehle auf anfälligen Hosts auszuführen (CVE-2026-47367, CVSS 9.9, Risiko „kritisch“). Dieselbe Beschreibung und Auswirkung betrifft UniFi OS auf UniFi-OS-Geräten und -Instanzen (CVE-2026-47370, CVSS 9.9, Risiko „kritisch“). Noch unkonkreter ist eine Schwachstelle vom gleichen Typ in UniFi-OS-Geräten und Instanzen, die Angreifer zur Rechteausweitung nutzen können (CVE-2026-47369, CVSS 9.9, Risiko „kritisch“).

Eine Path-Traversal-Schwachstelle können bösartige Akteure mit Netzwerkzugang ausnutzen, um sich auf diversen UniFi-OS-Geräten und -Instanzen unbefugt Zugang zu Daten zu verschaffen (CVE-2026-47368, CVSS 8.6, Risiko „hoch“). Zudem können Angreifer mit Zugriff auf das Netzwerk in bestimmten, nicht genannten Konfigurationen eine unzureichende Rechteprüfung missbrauchen, um unbefugt Änderungen an anfälligen UniFi-OS-Geräten vorzunehmen (CVE-2026-48610, CVSS 8.1, Risiko „hoch“).

Die Sicherheitslücken behebt Ubiquiti im UID Enterprise Agent 1.61.4 aus. Außerdem korrigieren UniFi OS Server, UDM, UDM-Beast, UDM-Pro, UDM-SE, UDM-Pro-Max, EFG, UDW, UDR, UDR7, UDR-5G, Express 7, UCK, UCKP, UCK-Enterprise, UNVR, UNVR-Pro, UNVR-Instant, ENVR, ENVR-Core, UNVR-G2, UNVR-G2-Pro, UCG-Ultra, UCG-Max, UCG-Industrial und UCG-Fiber 5.1.15 sowie UNAS-2, UNAS-4, UNAS-Pro, UNAS-Pro-4 und UNAS-Pro-8 5.1.16 sowie Express 4.0.15 die sicherheitsrelevanten Fehler.

Erst vor rund zwei Wochen hatte Ubiquiti Sicherheitslücken in UniFi OS zu schließen. Dort kamen drei sogar auf die höchstmögliche Risikoeinstufung CVSS 10.0, mithin „kritisch“.


(dmk)



Source link

Weiterlesen

Beliebt