Warum die Verfassungsbeschwerde gegen die Wiederbelebung der EU-Chatkontrolle persönlich beim Bundesverfassungsgericht eingereicht wurde

Am Freitagnachmittag, dem 3. Juli 2026, wurde beim Bundesverfassungsgericht in Karlsruhe eine Verfassungsbeschwerde gegen die Mitwirkung der Bundesregierung an der Wiederbelebung und Verstetigung der sogenannten EU-Chatkontrolle eingereicht. Verbunden ist sie mit einem Antrag auf Erlass einer einstweiligen Anordnung gemäß § 32 BVerfGG.

Eingereicht wurde sie persönlich.

Nicht, weil das im Jahr 2026 ein besonders moderner Weg der Verfassungsrechtspflege wäre. Sondern weil eine sichere und verlässliche elektronische Kommunikation über das elektronische Postfach für Bürger, „Mein Justizpostfach“, zum Bundesverfassungsgericht nicht zuverlässig hergestellt werden konnte. Über hundert Seiten Schriftsatz einschließlich Anlagen eignen sich zudem schlecht für ein Fax.

Das ist mehr als eine technische Randnotiz. Es ist ein Symbol.

Während auf europäischer Ebene darüber verhandelt wird, private elektronische Kommunikation technisch überprüfbar zu machen, kann der Bürger, der sich dagegen an das höchste deutsche Gericht wenden will, nicht verlässlich sicher elektronisch mit diesem Gericht kommunizieren. Der Staat beansprucht technische Zugriffsfähigkeit auf private Kommunikation — aber der sichere digitale Zugang des Bürgers zum Verfassungsgericht bleibt praktisch prekär.

Diese Schieflage ist nicht nur peinlich. Sie verweist auf das eigentliche Problem: Der digitale Staat ist sehr viel entschlossener, Kommunikationsinfrastrukturen zu kontrollieren, als verlässliche Freiheitsinfrastrukturen bereitzustellen.

Worum sich die Beschwerde richtet

Die Verfassungsbeschwerde richtet sich nicht unmittelbar gegen einen autonomen Rechtsakt der Europäischen Union. Sie richtet sich gegen die Mitwirkung deutscher Staatsgewalt an einem unionsrechtlichen Gesetzgebungsvorgang: insbesondere gegen die Mitwirkung der Bundesregierung und ihrer Vertreter im Rat der Europäischen Union, im Ausschuss der Ständigen Vertreter, in Ratsarbeitsgruppen, in den JHA Counsellors und sonstigen vorbereitenden Gremien.

Konkret geht es um zwei Regelungskomplexe:

Erstens um die Verordnung (EU) 2021/1232, also die ausgelaufene Übergangsverordnung, mit der Anbietern nummernunabhängiger interpersoneller Kommunikationsdienste unter bestimmten Voraussetzungen „freiwillige“ Technologien zur Erkennung, Meldung und Entfernung von Darstellungen sexuellen Kindesmissbrauchs ermöglicht wurden.

Zweitens um den Vorschlag für die dauerhafte CSA-Verordnung, also die geplante Verordnung zur Prävention und Bekämpfung sexuellen Missbrauchs von Kindern.

Die Beschwerde wendet sich gegen Regelungen, die private elektronische Kommunikation anlasslos oder faktisch anlasslos kontrollierbar machen. Sie wendet sich gegen Pflichten, Anreize, Haftungsrisiken, Risikobewertungen, Minderungsmaßnahmen, Aufsichtsbefugnisse oder sonstige Mechanismen, die Anbieter unmittelbar oder mittelbar dazu veranlassen, private Kommunikation automatisiert auf Darstellungen sexuellen Kindesmissbrauchs, Grooming, Hashwerte, KI-Klassifikatoren, verdächtige Kommunikationsmuster oder sonstige Indikatoren zu prüfen.

Sie wendet sich außerdem gegen die funktionale Entwertung von Ende-zu-Ende-Verschlüsselung, wenn Inhalte vor der Verschlüsselung, nach der Entschlüsselung, auf Endgeräten oder auf Servern geprüft werden. Und sie wendet sich gegen ein EU-Zentrum, Indikatordatenbanken, Meldewege und Weiterleitungsmechanismen an Europol oder nationale Behörden, soweit diese auf anlasslos oder faktisch anlasslos generierten Kommunikationsmeldungen beruhen.

Der verfassungsrechtliche Kern lässt sich in einem Satz zusammenfassen:

Private elektronische Kommunikation darf nicht ohne individuellen Anlass, ohne konkrete Gefahr und ohne richterliche Anordnung in eine technische Infrastruktur automatisierter Verdachtsproduktion überführt werden.

Die ausgelaufene Ausnahme soll wiederbelebt werden

Die Übergangsverordnung 2021/1232 war befristet. Sie war eine Ausnahme vom Schutz der Vertraulichkeit elektronischer Kommunikation. Das Europäische Parlament hatte die Verlängerung am 26. März 2026 abgelehnt. Die Abstimmung war eindeutig: 228 Stimmen dafür, 311 dagegen, 92 Enthaltungen. Die Übergangsregelung sollte daher nach dem 3. April 2026 auslaufen.

Damit war die Rechtslage zunächst klar: Die Ausnahme vom Vertraulichkeitsschutz endete.

Doch das Nein des Parlaments wurde nicht als Grenze behandelt, sondern offenbar als Hindernis, das auf anderem Wege zu überwinden ist. Bereits am 30. Juni 2026 stand in den JHA Counsellors erneut ein Präsidentschaftstext zur Verlängerung der Verordnung (EU) 2021/1232 auf der Tagesordnung. Parallel wurde das Ergebnis des fünften Trilogs vom 29. Juni 2026 zur dauerhaften CSA-Verordnung behandelt.

Das ist der zentrale politische und verfassungsrechtliche Skandal: Eine ausgelaufene und parlamentarisch abgelehnte Ausnahme vom Kommunikationsgeheimnis soll über Ratsmechanismen, Präsidentschaftstexte, Trilogdynamiken und Notverfahren erneut aktiviert oder funktional ersetzt werden.

Die Chatkontrolle kommt also nicht als offener Bruch mit dem Kommunikationsgeheimnis zurück. Sie kommt als Verfahrenstrick.

Als Übergang.
Als Notfall.
Als „freiwillige“ Anbietermaßnahme.
Als Risikobewertung.
Als Minderungsmaßnahme.
Als technische Kooperation.
Als EU-Zentrum.
Als Indikatordatenbank.
Als Meldeweg.
Als Hintertür.

Genau davor hat die Gesellschaft für Informatik e.V. zuletzt gewarnt: in der Meldung „Chatkontrolle durch die Hintertür verhindern: Effektiver Kinderschutz braucht gezielte Strafverfolgung, keine Massenüberwachung“ und in der Stellungnahme „Chatkontrolle: Notverfahren unterminiert Grundrechte und IT-Sicherheit“.

„Freiwillige“ Scans sind nicht freiwillig, wenn der Staat die Architektur baut

Ein beliebter rhetorischer Trick der Chatkontrolle besteht darin, den Grundrechtseingriff aus dem Staat herauszurechnen. Nicht der Staat scanne, heißt es dann. Anbieter handelten freiwillig. Es gehe nur um eine rechtliche Ausnahme, um Kooperation, um technische Möglichkeiten.

Das überzeugt nicht.

Wenn der Gesetzgeber eine Ausnahme vom Vertraulichkeitsregime schafft, wenn Anbieter durch Risiko-, Aufsichts-, Kooperations- und Haftungsmechanismen unter Druck geraten, wenn Indikatorendatenbanken entstehen, wenn ein EU-Zentrum Meldungen koordiniert, wenn Weiterleitungen an Europol oder nationale Behörden vorgesehen sind, dann ist das keine private Beliebigkeit mehr. Dann wird die Kommunikationsprüfung staatlich veranlasst, staatlich privilegiert und staatlich in eine Sicherheitsarchitektur eingebettet.

Der Eingriff liegt nicht erst in der späteren behördlichen Auswertung einer einzelnen Meldung. Der Eingriff liegt bereits darin, dass private Kommunikation strukturell durchsuchbar, klassifizierbar und meldefähig gemacht wird.

Das ist der entscheidende Punkt. Die Chatkontrolle betrifft nicht nur einzelne Nachrichten. Sie verändert die Architektur der Kommunikation.

Bürger kommunizieren dann nicht mehr in einem grundsätzlich vertraulichen Raum. Sie kommunizieren in einem Datenstrom, der technisch für Verdachtsproduktion vorbereitet ist.

Das digitale Briefgeheimnis ist kein Gnadenrecht

Art. 10 Abs. 1 GG schützt die Vertraulichkeit individueller Kommunikation. Dieser Schutz ist nicht auf Papierbriefe, Telefonleitungen oder klassische Telekommunikation beschränkt. Er schützt die Möglichkeit, über räumliche Distanz zu kommunizieren, ohne dass der Staat oder staatlich veranlasste Dritte den Kommunikationsvorgang kontrollieren, klassifizieren oder auf Verdachtsmerkmale prüfen.

Eine Regelung, die Anbieter berechtigt oder faktisch veranlasst, private Kommunikation automatisiert auf Hashwerte, KI-Klassifikatoren, Grooming-Indikatoren oder sonstige Verdachtsmerkmale zu prüfen, greift in diesen Schutz ein.

Dabei ist es verfassungsrechtlich gleichgültig, ob die Prüfung serverseitig, clientseitig, vor der Verschlüsselung, nach der Entschlüsselung oder auf sonstigem technischem Wege erfolgt. Entscheidend ist die Wirkung: Die Kommunikation wird nicht mehr als vertraulich behandelt, sondern als kontrollfähiger Risikostrom.

Das digitale Briefgeheimnis ist keine technische Fußnote. Es ist die Voraussetzung dafür, dass Menschen privat, beruflich, rechtlich, journalistisch, politisch und organisatorisch frei kommunizieren können.

Wer diesen Schutz unter den Vorbehalt automatisierter Prüfung stellt, verändert das Verhältnis zwischen Bürger und Staat.

Das Endgerät als Kontrollpunkt

Noch tiefer reicht der Eingriff beim sogenannten Client-Side-Scanning. Hier wird nicht nur ein Server durchsucht. Das Endgerät selbst wird zum Ort der Prüfung.

Damit ist das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme berührt. Dieses Grundrecht schützt nicht nur vor klassischer Online-Durchsuchung. Es schützt den informationstechnischen Raum, in dem heute wesentliche Teile des persönlichen, beruflichen, politischen und publizistischen Lebens stattfinden.

Moderne Endgeräte enthalten nicht bloß einzelne Nachrichten. Sie enthalten Fotos, Kontakte, berufliche Unterlagen, familiäre Kommunikation, medizinische Informationen, politische Abstimmungen, journalistische Quellenkontakte, rechtliche Korrespondenz, private Notizen, Entwürfe, Dokumente und Zugangsmöglichkeiten zu weiteren Systemen.

Wenn dieses Gerät zum vorgelagerten Prüfort staatlich privilegierter Verdachtsproduktion wird, ist seine Integrität berührt. Das Gerät dient dann nicht mehr ausschließlich dem Nutzer. Es dient zugleich einer Kontrollarchitektur, die Kommunikationsinhalte gegen externe Kriterien prüft.

Das ist keine harmlose Schutzfunktion. Das ist ein Paradigmenwechsel.

Die Gesellschaft für Informatik hat diese technische Dimension bereits früh benannt. Schon 2022 warnte der damalige Präsidiumsarbeitskreis Datenschutz und IT-Sicherheit in der Stellungnahme „EU-Chatkontrolle: Geplante Totalüberwachung unverhältnismäßig und verfassungswidrig“, dass die automatisierte Untersuchung privater Internetkommunikation unverhältnismäßig und verfassungsrechtlich nicht tragbar ist. Die GI stellte außerdem fest, dass eine EU-Verordnung sichere und vertrauliche Internetkommunikation gefährdet.

Verschlüsselung wird nicht abgeschafft, sondern entkernt

Die Verteidiger der Chatkontrolle sagen gerne, Ende-zu-Ende-Verschlüsselung bleibe doch formal erhalten. Das ist eine Ausflucht.

Verschlüsselung schützt nicht nur den Transportweg zwischen zwei technischen Punkten. Sie schützt die kommunikative Vertraulichkeit als Ganzes. Wenn Inhalte vor der Verschlüsselung oder nach der Entschlüsselung automatisiert geprüft werden, bleibt die Transportverschlüsselung formal bestehen. Ihre Schutzfunktion wird aber entkernt.

Dann schützt Verschlüsselung nur noch die Übertragung eines bereits kontrollierten Inhalts.

Das ist so, als würde der Staat behaupten, das Briefgeheimnis bleibe unangetastet, solange der Umschlag nach dem Lesen wieder sorgfältig zugeklebt wird.

Die GI hat deshalb bereits 2024 darauf hingewiesen, dass Ende-zu-Ende-Verschlüsselung durch die geplante EU-Verordnung weiterhin in Gefahr ist. An dieser Gefahr hat sich nichts erledigt. Sie ist wieder akut.

Pressefreiheit, Quellenkommunikation und politische Arbeit geraten unter Druck

Die Beschwerde betrifft nicht nur Datenschutz im engen Sinne. Sie betrifft auch Art. 5 Abs. 1 GG.

Meinungsfreiheit, Informationsfreiheit und publizistische Tätigkeit schützen nicht nur die fertige Veröffentlichung. Geschützt ist auch der vorgelagerte Prozess: Recherche, Quellenkontakt, Abstimmung, Dokumentenaustausch, rechtliche Einordnung, politische Meinungsbildung, Vorbereitung von Texten, vertrauliche Kommunikation.

Wer journalistisch, publizistisch, politisch, rechtlich oder zivilgesellschaftlich arbeitet, ist auf vertrauliche Kommunikationsräume angewiesen.

Eine Quelle, die einen Missstand offenlegen will, muss darauf vertrauen können, dass ihre Kommunikation nicht durch technische Systeme auf Verdachtsmerkmale geprüft und womöglich fehlklassifiziert wird. Ein Anwalt, ein Journalist, ein politischer Aktivist, ein Vereinsvorstand, ein Wissenschaftler oder ein Whistleblower kann nicht sinnvoll arbeiten, wenn private Kommunikation unter dem Generalvorbehalt technischer Verdachtsprüfung steht.

Es geht also nicht nur um die Frage, ob der Staat bestimmte Inhalte sehen darf. Es geht um Einschüchterung, Anpassung und Kommunikationsvermeidung.

Wer weiß oder befürchtet, dass private Kommunikation automatisiert geprüft werden kann, kommuniziert anders. Vorsichtiger. Angepasster. Weniger frei.

So beschädigt man Freiheit nicht nur durch Verbote, sondern durch Architektur.

Kinderschutz braucht Strafverfolgung, keine Massenprüfung

Die Bekämpfung sexuellen Kindesmissbrauchs ist ein überragend wichtiges Gemeinwohlziel. Der Staat muss Kinder schützen. Er muss Täter verfolgen. Er muss Betroffene unterstützen. Er muss bekannte rechtswidrige Inhalte löschen lassen. Er muss Ermittlungsbehörden personell, technisch und international handlungsfähig machen.

Aber gerade weil das Ziel so wichtig ist, darf es nicht mit untauglichen und freiheitsgefährdenden Mitteln verfolgt werden.

Die Beschwerde verweist ausdrücklich auf mildere Mittel: gezielte strafprozessuale Ermittlungen, bessere internationale Kooperation, personelle Stärkung spezialisierter Ermittlungsstellen, konsequente Löschung konkret bekannter rechtswidriger Inhalte, Opferunterstützung, Prävention und strafrechtliche Verschärfungen.

Dass solche Mittel möglich sind, zeigt die unionsrechtliche Entwicklung selbst. Am 22. Juni 2026 haben Rat und Parlament eine vorläufige Einigung über stärkere strafrechtliche Regeln zur Bekämpfung sexuellen Kindesmissbrauchs erzielt. Vorgesehen sind unter anderem neue Straftatbestände, höhere Strafrahmen, längere Verjährungsfristen und stärkere Unterstützung der Opfer.

Das ist der richtige Ansatz: gezielte Strafverfolgung statt anlassloser Kommunikationskontrolle.

Massenprüfung privater Kommunikation ist dagegen nicht nur grundrechtsgefährdend. Sie ist auch kriminalpolitisch problematisch. Fehlerhafte Klassifikationen binden Ressourcen, erzeugen Falschverdächtigungen und können intime Familienkommunikation, pädagogische Kontexte, medizinische Kommunikation oder rechtmäßige Bildkommunikation in einen automatisierten Verdachtskontext verschieben.

Wer Kinderschutz ernst nimmt, darf ihn nicht mit technokratischer Symbolpolitik verwechseln.

Der Ausnahmezustand als technische Normallage

Der schwerste Vorwurf der Beschwerde lautet: Hier soll eine Ausnahme vom Kommunikationsgeheimnis nicht nur verlängert, sondern in eine dauerhafte Architektur überführt werden.

Aus der befristeten Ausnahme wird die Wiederbelebung.
Aus der Wiederbelebung wird die Verstetigung.
Aus der Verstetigung wird Infrastruktur.
Aus der Infrastruktur wird Normalität.

Das ist der Weg, auf dem Freiheitsrechte im digitalen Raum verschwinden: nicht durch einen großen autoritären Paukenschlag, sondern durch Standards, Schnittstellen, Datenbanken, Meldewege, Compliance-Pflichten, Risikoberichte und Aufsichtsmechanismen.

Der Ausnahmezustand wird nicht mehr ausgerufen. Er wird implementiert.

Genau deshalb ist die Chatkontrolle mehr als ein Datenschutzproblem. Sie betrifft das digitale Briefgeheimnis, das IT-System-Grundrecht, die Meinungs- und Pressefreiheit und die demokratische Integrationsverantwortung deutscher Staatsorgane.

Das Demokratieproblem: Ein Nein darf nicht durch Verfahrensdruck neutralisiert werden

Besonders schwer wiegt der demokratische Kontext. Das Europäische Parlament hatte die Verlängerung der Übergangsregelung abgelehnt. Gleichwohl wird eine Verlängerung beziehungsweise Wiederbelebung erneut behandelt.

Wenn ein parlamentarisch abgelehnter Ausnahmezustand über Ratsmechanismen und Präsidentschaftstexte erneut politisch durchgesetzt werden soll, entsteht ein Demokratieproblem.

Das parlamentarische Nein wird dann nicht als Grenze respektiert, sondern als Hindernis behandelt, das durch Verfahrensverdichtung, Zeitdruck und institutionelle Umwege überwunden werden soll.

Die Bundesregierung darf an einer solchen Entwertung demokratischer Willensbildung nicht mitwirken, erst recht nicht, wenn es um Grundrechte von hoher Dichte geht. Integrationsverantwortung heißt nicht, europäische Rechtsetzung um jeden Preis zu ermöglichen. Integrationsverantwortung heißt auch, die grundgesetzliche Verfassungsidentität, den Wesensgehalt der Grundrechte und die demokratische Rückbindung staatlicher Herrschaft zu wahren.

Ein Notverfahren zur Verlängerung oder Wiederbelebung einer Kommunikationskontrollausnahme ist nicht nur schlechte Gesetzgebung. Es ist ein Warnsignal.

Warum der Eilantrag notwendig ist

Der Antrag auf einstweilige Anordnung soll verhindern, dass die Bundesregierung einer Regelung zustimmt, sie unterstützt, sich ihrer Annahme nicht entgegenstellt oder ihr politisch zum Durchbruch verhilft, bevor das Bundesverfassungsgericht die verfassungsrechtlichen Fragen prüfen kann.

Die Eilbedürftigkeit ergibt sich aus dem Stand des europäischen Verfahrens. Die Übergangsverordnung ist ausgelaufen. Das Parlament hat ihre Verlängerung abgelehnt. Gleichwohl wurde am 30. Juni 2026 ein Präsidentschaftstext zur Verlängerung behandelt. Parallel läuft der Trilog zur dauerhaften CSA-Verordnung.

Das ist kein abstraktes Risiko. Es ist ein laufender Gesetzgebungsvorgang.

Ergeht die einstweilige Anordnung und erweist sich die Beschwerde später als unbegründet, verzögert sich lediglich die deutsche Zustimmung zu Regelungen, die automatisierte Kommunikationsprüfung ermöglichen oder privilegieren. Die Strafverfolgung sexuellen Kindesmissbrauchs wird dadurch nicht ausgesetzt. Strafrecht, gezielte Ermittlungen, internationale Zusammenarbeit, Löschpflichten, Opferunterstützung und Prävention bleiben unberührt.

Ergeht die einstweilige Anordnung nicht und erweist sich die Beschwerde später als begründet, droht dagegen ein schwerer und kaum rückholbarer Grundrechtsschaden. Anbieter würden ihre Dienste technisch und organisatorisch auf Scanning, Meldungen, Risikobewertungen, Indikatoren und Behördenkooperation ausrichten. Eine solche Infrastruktur lässt sich später nicht einfach wieder aus der Welt schaffen.

Technische Normalisierung ist rechtlich gefährlicher als viele offene Verbote. Was einmal eingebaut ist, bleibt. Was einmal organisatorisch verankert ist, erzeugt Folgeinteressen. Was einmal als Sicherheitsinfrastruktur etabliert ist, wird selten freiwillig zurückgebaut.

Der Bürger als Risikoobjekt

Die eigentliche politische Zumutung der Chatkontrolle liegt darin, dass der Bürger nicht mehr als Grundrechtsträger behandelt wird, sondern als Risikoquelle.

Private Kommunikation erscheint dann nicht mehr als Freiheitsraum, sondern als potenzielles Gefahrenfeld. Jeder Chat, jedes Bild, jede Datei, jede Nachricht, jede geschlossene Gruppe, jeder private Austausch wird in eine Logik der Prüfbarkeit überführt.

Das ist eine stille Umkehrung des Rechtsstaats.

Nicht mehr der Staat muss begründen, warum er in vertrauliche Kommunikation eingreifen darf. Die Kommunikation selbst wird technisch so gestaltet, dass sie jederzeit unter Verdacht gestellt werden kann.

Ein solcher Rechtsstaat misstraut nicht einzelnen Verdächtigen. Er misstraut der Vertraulichkeit selbst.

Die bittere Pointe von Karlsruhe

Dass die Beschwerde am Ende persönlich beim Bundesverfassungsgericht eingereicht werden musste, weil sichere elektronische Bürgerkommunikation nicht verlässlich hergestellt werden konnte, ist deshalb mehr als eine Anekdote.

Es zeigt die Rangordnung des Digitalstaats.

Für Überwachung, Risikobewertung, Meldesysteme, Datenbanken, Plattformpflichten und automatisierte Kontrolle werden europäische Großarchitekturen entworfen. Für den sicheren, verlässlichen, bürgerfreundlichen Zugang zum Verfassungsgericht reicht es offenbar nicht.

Der Bürger soll digital kontrollierbar sein. Aber er soll nicht selbstverständlich digital grundrechtsfähig handeln können.

Diese Asymmetrie ist das eigentliche Signum der Chatkontrolle.

Schluss: Keine Hintertür in das Grundgesetz

Die Chatkontrolle ist kein Randthema für Datenschutzspezialisten. Sie ist ein Testfall für die digitale freiheitliche Ordnung.

Gelten Art. 10 GG und das digitale Briefgeheimnis auch dann, wenn Kommunikation über Messenger, Plattformen, Cloud-Dienste, Videokonferenzen und Kollaborationssysteme läuft?

Gilt das IT-System-Grundrecht auch dann, wenn das Endgerät nicht heimlich infiltriert, sondern rechtlich reguliert zum Prüfort gemacht wird?

Gilt Art. 5 GG auch für die vertrauliche Vorbereitung publizistischer, politischer und rechtlicher Kommunikation?

Und gilt demokratische Integrationsverantwortung auch dann, wenn Grundrechtseingriffe nicht in Berlin, sondern in Brüssel, Luxemburg und den Ratsgremien vorbereitet werden?

Die Antwort muss in allen Fällen lauten: ja.

Private elektronische Kommunikation darf nicht ohne individuellen Anlass, ohne konkrete Gefahr und ohne richterliche Anordnung in eine technische Infrastruktur automatisierter Verdachtsproduktion überführt werden.

Wer diesen Satz aufgibt, gibt mehr preis als Datenschutz. Er gibt die Voraussetzung freier persönlicher, politischer, publizistischer, rechtlicher und beruflicher Kommunikation preis.

Die Chatkontrolle ist deshalb keine technische Schutzmaßnahme. Sie ist der Versuch, den Ausnahmezustand in die Kommunikationsinfrastruktur einzubauen.

Das darf die Bundesregierung nicht unterstützen.

Und genau deshalb gehört diese Frage vor das Bundesverfassungsgericht.

Die Chatkontrolle ist nicht erledigt. Sie ist zurück – und diesmal in einer besonders aufschlussreichen Form. Nicht als offener Frontalangriff allein, sondern als Doppelbewegung: Einerseits soll die abgelaufene Übergangsregelung „Chat Control 1.0“ wiederbelebt werden. Andererseits laufen die Verhandlungen über die dauerhafte CSAR-Verordnung, also „Chat Control 2.0“, weiter. Die Kampagne fightchatcontrol.eu spricht deshalb zutreffend von einem „double-attack“ auf private Kommunikation: Am Freitag die Reanimation der alten Ausnahme, am Montag der Trilog über die dauerhafte Überwachungsarchitektur.

Das klingt technisch. Es ist aber verfassungspolitisch elementar. Denn der Kern der Debatte ist nicht, ob der sexuelle Missbrauch von Kindern bekämpft werden muss. Natürlich muss er das. Der Kern ist, ob der Staat zur Bekämpfung schwerster Kriminalität eine Infrastruktur schaffen darf, in der jegliche private Kommunikation strukturell als verdächtiger Datenstrom behandelt wird.

Die EU hatte mit der Verordnung 2021/1232 eine befristete Ausnahme von bestimmten ePrivacy-Regeln geschaffen. Diese erlaubte es Anbietern nummernunabhängiger interpersoneller Kommunikationsdienste, unter bestimmten Voraussetzungen Technologien zur Erkennung, Meldung und Entfernung von Darstellungen sexuellen Kindesmissbrauchs einzusetzen. Diese Ausnahme war ausdrücklich temporär. Nach EUR-Lex ist die Verordnung nicht mehr in Kraft; Ende der Geltung war der 3. April 2026.

Damit müsste eigentlich klar sein: Eine Ausnahme, die endet, endet. Sie ist nicht der Normalzustand, nur weil Sicherheitsbehörden, Kommission, große Anbieter oder einzelne politische Gruppen sie weiter für nützlich halten. Genau hier liegt der eigentliche Skandal der aktuellen Entwicklung. Nach Euronews haben EU-Botschafter am 26. Juni beschlossen, mit einer temporären Verlängerung beziehungsweise Wiederbelebung des alten Scan-Regimes weiterzumachen – obwohl das Europäische Parlament die Verlängerung im März abgelehnt hatte.

Die offizielle Ratsagenda für den 30. Juni bestätigt zumindest, dass beides auf dem Tisch liegt: erstens das „Outcome of the fifth trilogue on 29 June 2026“ zur CSAR-Verordnung, zweitens ein Vorschlag zur Änderung der Verordnung 2021/1232 zwecks Verlängerung ihres Anwendungszeitraums. In der revidierten Fassung der Agenda ist sogar von der „Examination of Presidency text“ und dem Dokument 11100/26 die Rede.

Das ist mehr als Brüsseler Verfahrensakrobatik. Es ist die Normalisierung des Ausnahmezustands durch Geschäftsordnung, frei nach Carl Schmitt, “Souverän ist, wer über den Ausnahmezustand entscheidet.”

Die falsche Alternative

Die Befürworter der Chatkontrolle arbeiten mit einer moralisch hoch aufgeladenen Alternative: Wer gegen Scanning ist, sei offenbar gegen Kinderschutz. Diese Alternative ist falsch.

Am 29. Juni meldete die Kommission eine politische Einigung über neue strafrechtliche Regeln zur Bekämpfung sexuellen Missbrauchs von Kindern. Die Kommission verweist dabei auf dramatisch gestiegene Online-Meldungen: von einer Million im Jahr 2010 auf mehr als 23 Millionen im Jahr 2025; zudem würden bis zu 80 Prozent der Ermittlungen wegen Darstellungen sexuellen Kindesmissbrauchs durch Meldungen von Online-Diensten ausgelöst.

Das Problem ist also real. Aber aus der Realität eines Problems folgt nicht die Zulässigkeit jedes Mittels. Gerade der Rechtsstaat ist die Ordnung, die auch bei schwersten Straftaten unterscheidet: zwischen Verdacht und Generalverdacht, zwischen gezielter Ermittlung und flächendeckender Vorfeldkontrolle, zwischen strafprozessualer Maßnahme und technischer Dauerinfrastruktur.

Wer private Kommunikation ohne konkreten Anlass durchsuchen will, verändert nicht nur ein Ermittlungsinstrument. Er verändert den Charakter der Kommunikation selbst.

Der Trick mit der Freiwilligkeit

Besonders gefährlich ist der Begriff der „freiwilligen“ Erkennung. Was freiwillig klingt, kann regulatorisch erzwungen werden. Wenn Anbieter Risikoanalysen durchführen müssen, wenn sie Minderungsmaßnahmen nachweisen müssen, wenn Aufsichtsbehörden Druck ausüben können und wenn Nicht-Scanning als Organisationsversagen erscheint, dann ist „freiwillig“ nur noch die höfliche Oberfläche einer Pflicht.

Genau deshalb ist der Rückgriff auf Chat Control 1.0 so problematisch. Die temporäre Ausnahme war bereits eine Ausnahme vom Prinzip vertraulicher Kommunikation. Wenn sie nach ihrem Ablauf wiederbelebt wird, wird der Ausnahmecharakter rückwirkend entwertet. Die Botschaft lautet dann: Befristung ist nur die Wartezeit bis zur nächsten Befristung.

Damit entsteht eine neue Gesetzgebungstechnik: Man schafft eine Ausnahme, verlängert sie, lässt sie auslaufen, erklärt das Auslaufen zur Gefahr, und reanimiert sie anschließend als Notwendigkeit. Der Ausnahmezustand muss nicht mehr verkündet werden. Er wird vertagt, verlängert, fortgeschrieben.

Das digitale Briefgeheimnis

Die Chatkontrolle betrifft nicht bloß Datenschutz. Sie betrifft das digitale Briefgeheimnis.

Private Messenger sind heute nicht irgendeine technische Spielerei. Sie sind Familienkommunikation, anwaltliche Kommunikation, journalistische Kommunikation, politische Kommunikation, ärztliche Kommunikation, seelsorgerliche Kommunikation, gewerkschaftliche Kommunikation und Alltagskommunikation. Sie sind der Raum, in dem Menschen nicht öffentlich sprechen. Wer diesen Raum technisch unter Vorbehalt stellt, verändert die Voraussetzungen freier Gesellschaft.

Das Bundesverfassungsgericht hat bereits 2008 im Urteil zur Online-Durchsuchung das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme aus dem allgemeinen Persönlichkeitsrecht entwickelt. Der heimliche Zugriff auf IT-Systeme verletzte danach dieses Grundrecht und unterliegt besonders strengen Anforderungen.

Die Chatkontrolle ist nicht identisch mit einer klassischen Online-Durchsuchung. Aber sie berührt denselben Schutzgedanken: Moderne Grundrechte dürfen nicht an der Oberfläche des Geräts enden. Wenn Kommunikation auf informationstechnischen Systemen stattfindet, dann schützt der Rechtsstaat nicht nur Papierbriefe, sondern auch die technische Infrastruktur, auf der digitale Vertraulichkeit beruht.

Auch der EuGH hat in seiner Rechtsprechung zur Vorratsdatenspeicherung immer wieder klargestellt, dass allgemeine und unterschiedslose Eingriffe in elektronische Kommunikationsdaten nicht einfach mit dem Hinweis auf Kriminalitätsbekämpfung gerechtfertigt werden können. In den Entscheidungen zu Privacy International und La Quadrature du Net bestätigte der Gerichtshof, dass allgemeine und unterschiedslose Übermittlung oder Speicherung von Verkehrs- und Standortdaten grundsätzlich gegen Unionsrecht verstößt, außer unter eng begrenzten Voraussetzungen bei ernsthaften Bedrohungen der nationalen Sicherheit.

Der Grundsatz dahinter ist einfach: Der Rechtsstaat darf nicht alle behandeln, als seien sie potentielle Täter, nur weil einige Täter schwerste Verbrechen begehen.

Das Demokratieproblem

Der aktuelle Vorgang ist aber nicht nur ein Grundrechtsproblem. Er ist auch ein Demokratieproblem.

Wenn das Europäische Parlament eine Verlängerung ablehnt und anschließend über andere Wege versucht wird, dasselbe Regime wieder auf die Schiene zu setzen, dann entsteht ein merkwürdiges Verständnis parlamentarischer Willensbildung. Man akzeptiert das Nein nicht als Nein, sondern als Verhandlungszwischenstand.

Das ist eine bekannte Methode bei sicherheitspolitischen Vorhaben. Sie werden nicht endgültig aufgegeben. Sie werden neu verpackt. Aus „verpflichtend“ wird „freiwillig“. Aus „Scanning“ wird „Risikominderung“. Aus „Überwachung“ wird „Kinderschutz“. Aus einer gescheiterten Verlängerung wird ein „Präsidentschaftstext“.

Die demokratische Öffentlichkeit soll ermüdet werden. Sie soll jedes Mal neu erklären müssen, warum private Kommunikation privat bleiben muss. Die Befürworter müssen nur einmal gewinnen. Die Grundrechte müssen jedes Mal gewinnen.

Kinderschutz ohne Generalverdacht

Der entscheidende Einwand gegen Chatkontrolle ist nicht, dass der Staat nichts tun soll. Der Einwand lautet: Er soll das Richtige tun.

Wirksamer Kinderschutz braucht gut ausgestattete Ermittlungsbehörden, schnelle Löschung bekannter Missbrauchsdarstellungen an der Quelle, internationale Kooperation, konsequente Strafverfolgung, Opferunterstützung, Prävention, bessere Verfahren gegen Täter-Netzwerke und technische Maßnahmen, die nicht die Kommunikationsfreiheit aller untergraben.

Was er nicht braucht, ist eine Infrastruktur, die jeden privaten Austausch potentiell überprüfbar macht.

Denn eine solche Infrastruktur bleibt nie auf ihren ersten Zweck beschränkt. Was heute mit dem schwerstmöglichen moralischen Argument eingeführt wird, kann morgen für andere Zwecke geöffnet werden. Terrorismus, Extremismus, Urheberrecht, Desinformation, Sanktionsdurchsetzung, Finanzaufsicht – der Katalog möglicher Anschlussverwendungen ist politisch unbegrenzt. Die technische Schwelle wäre dann bereits gefallen.

Genau deshalb ist Verschlüsselung kein Luxus. Sie ist die zivile Sicherheitsarchitektur der digitalen Gesellschaft. Sie schützt Kinder, Familien, Unternehmen, Anwälte, Journalismus, Opposition, Whistleblower, Minderheiten und jeden Menschen, der nicht möchte, dass private Kommunikation zum Prüfobjekt wird.

Der eigentliche Satz

Die Chatkontrolle ist der Versuch, das Briefgeheimnis des digitalen Zeitalters nicht offen abzuschaffen, sondern technisch umzudeuten.

Aus vertraulicher Kommunikation wird ein risikobehafteter Datenstrom.
Aus Grundrechten werden Compliance-Prozesse.
Aus Verdacht wird Risikomanagement.
Aus dem Ausnahmefall wird Infrastruktur.

Das ist der Punkt, an dem man widersprechen muss. Nicht irgendwann, wenn der finale Text im Amtsblatt steht. Sondern jetzt, während noch verhandelt, verschoben, wiederbelebt und umformuliert wird.

Denn wenn die Architektur erst gebaut ist, wird sie bleiben. Dann wird nicht mehr gefragt, ob private Kommunikation gescannt werden darf. Dann wird nur noch gefragt, für welche Zwecke, mit welchen Datenbanken, unter welcher Aufsicht und mit welchen Ausnahmen.

Eine freie Gesellschaft darf diese Frage nicht so spät stellen.

Sie muss früher antworten:
Private Kommunikation ist kein Tatort.
Verschlüsselung ist kein Hindernis des Rechtsstaats.
Und Kinderschutz rechtfertigt keine dauerhafte Ausnahme vom digitalen Briefgeheimnis.

Wenn ein Journalist nicht wegen einer konkret nachgewiesenen Straftat, sondern wegen seiner Veröffentlichungen, Medienauftritte, Analysen oder politischen Deutungen sanktioniert wird, greift der Staat nicht bloß in Vermögen ein. Er greift in den öffentlichen Meinungskampf ein.

Eine solche Sanktion ist nicht einfach eine finanzielle Nebenfolge. Sie ist eine moderne Form der Ächtung.

Sie nimmt dem Betroffenen nicht nur Geld. Sie nimmt ihm Konten, Zahlungsfähigkeit, Reiseoptionen, berufliche Kooperationen, Plattformzugang, Abonnenten, Dienstleister, Anwälte, Veranstaltungsfähigkeit und soziale Risikofreiheit im Umgang mit anderen.

Das ist Acht und Bann 2.0.

Natürlich ist die moderne EU-Sanktion nicht identisch mit der mittelalterlichen Reichsacht oder dem kirchlichen Bann. Aber die Strukturähnlichkeit ist gerade deshalb aufschlussreich: Der Betroffene wird nicht bloß für eine einzelne Handlung belangt. Er wird aus dem normalen Rechts-, Wirtschafts- und Kommunikationsverkehr herausgelöst.

Genau das darf gegenüber Journalismus nicht geschehen.

I. Vom Strafrecht zur exekutiven Ächtung

Der Rechtsstaat kennt Sanktion und Strafe. Aber er kennt sie nur in rechtsstaatlicher Form.

Wer eine Straftat begeht, kann verfolgt werden. Dann gelten Tatnachweis, Schuldprinzip, gesetzlicher Tatbestand, Verteidigung, unabhängiges Gericht, Rechtsmittel und Unschuldsvermutung.

Die Sanktionsliste funktioniert anders. Sie ist exekutiv. Sie ist präventiv. Sie ist politisch. Sie arbeitet mit Gefahrenannahmen, Zuschreibungen und administrativen Begründungen. Sie entfaltet aber Wirkungen, die strafähnlich sein können: Konten werden eingefroren, Zahlungen verboten, Unterstützung wird riskant, Reisen werden erschwert, wirtschaftliche Existenzgrundlagen können zerstört werden.

Wird diese Sanktionslogik auf Journalisten angewandt, entsteht ein verfassungsrechtlicher Kurzschluss.

Der Staat sagt dann nicht: „Du hast eine konkrete Straftat begangen, wir klagen dich an.“

Er sagt: „Deine publizistische Rolle, deine Narrative, deine Auftritte oder deine Einordnung in einen Informationskonflikt rechtfertigen deine wirtschaftliche Isolierung.“

Das ist kein Strafrecht. Es ist Ächtungsrecht.

II. Acht und Bann als Strukturvergleich

Die mittelalterliche Acht bedeutete den Ausschluss aus dem Rechtsfrieden. Der Geächtete verlor Schutz, Stellung und soziale Anschlussfähigkeit. Der Bann wirkte religiös und sozial: Er trennte den Betroffenen von Gemeinschaft, Verkehr und Anerkennung.

Moderne Finanzsanktionen arbeiten nicht mit denselben Begriffen. Sie sprechen von „Einfrieren“, „Bereitstellungsverbot“, „Reisebeschränkung“ und „wirtschaftlichen Ressourcen“.

Aber was heißt das praktisch?

• Banken beenden Geschäftsbeziehungen.

• Zahlungsdienstleister sperren Konten.

• Plattformen reagieren vorsorglich.

• Veranstalter laden nicht mehr ein.

• Anwälte und Dienstleister prüfen Sanktionsrisiken.

• Familienangehörige geraten unter Druck.

• Leser und Unterstützer fragen sich, ob schon ein Abo strafbar sein könnte.

Der Betroffene wird nicht nur sanktioniert. Er wird zum Risikoobjekt für sein Umfeld.

Das ist der entscheidende Punkt: Acht und Bann wirkten nie nur gegen den Geächteten. Sie wirkten auch gegen alle, die mit ihm in Beziehung treten wollten. Genau darin liegt die Strukturparallele.

Das moderne Bereitstellungsverbot erzeugt denselben sozialen Mechanismus. Es macht nicht nur den Sanktionierten handlungsunfähig. Es macht auch den Umgang mit ihm gefährlich.

III. Die Pressefreiheit schützt gerade den Kontakt zwischen Autor und Publikum

Art. 5 GG schützt nicht nur den Journalisten, der schreibt. Er schützt auch den Leser, der liest.

Pressefreiheit und Informationsfreiheit sind Kommunikationsgrundrechte. Sie schützen die Beziehung zwischen Autor und Publikum. Diese Beziehung ist nicht nur ideell. Sie ist auch materiell. Journalismus braucht Finanzierung.

Ein Zeitungsabo, ein Zeitschriftenabo oder ein digitales Newsletter-Abo sind normale Formen der Informationsbeschaffung. Wer für journalistische Inhalte bezahlt, kauft nicht bloß eine Ware. Er nimmt am öffentlichen Meinungskampf teil.

Deshalb ist das bezahlte Abo der Lackmustest.

Wenn ein Journalist sanktioniert ist und ihm keine Gelder oder wirtschaftlichen Ressourcen bereitgestellt werden dürfen, stellt sich zwangsläufig die Frage: Darf ein Leser noch ein bezahltes digitales Abo abschließen? Darf er einen Newsletter bezahlen? Darf er eine Veranstaltung finanzieren? Darf er ein Buch kaufen, wenn Erlöse beim sanktionierten Autor ankommen? Darf er Reisekosten übernehmen? Darf er einen journalistischen Dienst entgeltlich beziehen?

Wenn die Antwort unklar ist, wirkt bereits die Unklarheit als Eingriff.

Denn niemand wird seine Informationsfreiheit unter Strafrisiko ausüben.

IV. Strafbewehrte Unklarheit ist kein Rechtsstaat

Besonders schwer wiegt die Verbindung von EU-Sanktionsrecht und nationalem Strafrecht.

Das unionsrechtliche Bereitstellungsverbot kann sehr weit verstanden werden. Es untersagt nicht nur direkte Zahlungen, sondern auch mittelbare wirtschaftliche Vorteile. Wird dieser weite Begriff auf den Bezug journalistischer Inhalte angewandt, gerät der Leser in den Bereich des Strafrechts.

Dann wird aus einem Abo ein potentieller Sanktionsverstoß.

Aus Informationsfreiheit wird Compliance-Risiko.

Aus Journalismus wird ein strafrechtlich kontaminierter Kontakt.

Das ist rechtsstaatlich unhaltbar.

Eine Norm, die Bürger nicht erkennen lässt, ob sie journalistische Inhalte entgeltlich beziehen dürfen, ist im Bereich der Presse- und Informationsfreiheit besonders problematisch. Strafrecht verlangt Bestimmtheit. Pressefreiheit verlangt Staatsferne. Informationsfreiheit verlangt zugängliche Quellen. Ein strafbewehrtes Bereitstellungsverbot, das diese Bereiche ohne klare presserechtliche Ausnahme überlagert, verfehlt alle drei Anforderungen zugleich.

V. Humanitäre Ausnahmen genügen nicht

Der Verweis auf humanitäre Ausnahmen geht am Problem vorbei.

Natürlich müssen Lebensmittel, Miete, Medizin, anwaltliche Vertretung und Grundbedürfnisse gesichert werden. Aber Pressefreiheit ist keine humanitäre Ausnahme. Informationsfreiheit ist kein Gnadenrecht. Der Bezug journalistischer Inhalte darf nicht erst nach behördlicher Erlaubnis zulässig sein.

Ein Staat, der sagt: „Für Grundbedürfnisse gibt es eine Genehmigung“, beantwortet nicht die Frage: „Warum soll ein Bürger eine Genehmigung brauchen, um journalistische Texte zu abonnieren?“

Das ist der falsche rechtliche Maßstab.

Der Kauf einer Zeitung ist kein humanitärer Sonderfall.

Ein digitales Abo ist kein Gnadengesuch.

Pressebezug ist Grundrechtsausübung.

VI. Der Staat darf schlechte Publizistik nicht finanziell austrocknen

Es geht nicht darum, Propaganda zu schützen. Es geht auch nicht darum, Falschinformationen für wahr zu erklären. Der Staat darf widersprechen, aufklären, warnen, Transparenz schaffen und konkrete Straftaten verfolgen.

Aber er darf Journalismus nicht dadurch bekämpfen, dass er seine wirtschaftliche Infrastruktur austrocknet.

Die Antwort auf schlechte Publizistik ist bessere Publizistik.

Die Antwort auf falsche Tatsachenbehauptungen sind Gegendarstellung, Zivilrecht, Strafrecht bei konkreten Straftaten und öffentliche Kritik.

Die Antwort auf unerwünschte Narrative darf nicht wirtschaftliche Ächtung sein.

Denn sobald der Staat entscheidet, welche journalistischen Stimmen durch Kontensperren, Zahlungsverbote und Strafrisiken aus dem Diskurs gedrängt werden, ist er nicht mehr nur Teilnehmer der Debatte. Er wird zum Vollstrecker gegen missliebige Kommunikation.

VII. Die Bundesregierung darf dem nicht zustimmen

Der entscheidende verfassungsrechtliche Punkt liegt noch tiefer: Die Bundesregierung darf solchen Sanktionsbeschlüssen auf EU-Ebene meines Erachtens gar nicht zustimmen, soweit sie Journalisten wegen journalistischer Tätigkeit, publizistischer Inhalte, Medienauftritten oder politischer Narrative treffen.

Denn die Bundesregierung handelt im Rat der Europäischen Union nicht in einem grundrechtsfreien Raum. Sie bleibt deutsche Staatsgewalt. Sie ist nach Art. 1 Abs. 3 GG an die Grundrechte gebunden und nach Art. 20 Abs. 3 GG an Gesetz und Recht. Diese Bindung endet nicht an der Tür des Ratssaals in Brüssel.

Auch Art. 23 GG ändert daran nichts. Die Mitwirkung Deutschlands an der Europäischen Union ist verfassungsrechtlich erlaubt und gewollt, aber sie ist nicht schrankenlos. Sie steht unter dem Vorbehalt der demokratischen, rechtsstaatlichen, sozialen und bundesstaatlichen Grundsätze des Grundgesetzes. Die Bundesregierung darf also nicht auf europäischer Ebene an Maßnahmen mitwirken, die sie auf nationaler Ebene wegen Art. 5 GG, Rechtsstaatsprinzip und effektiver Rechtsschutzgarantie nicht beschließen dürfte.

Anders gesagt: Was der deutsche Staat selbst nicht tun darf, darf er auch nicht durch Zustimmung im Rat der Europäischen Union mittelbar bewirken.

Wenn der Bundestag kein Gesetz beschließen dürfte, das Journalisten wegen ihrer Veröffentlichungen wirtschaftlich ächtet, Konten sperrt, Leserzahlungen unter Strafrisiko stellt und Pressebezug in ein Genehmigungsregime verwandelt, dann darf die Bundesregierung einer entsprechenden EU-Sanktionsmaßnahme ebenfalls nicht zustimmen.

Das ist keine europafeindliche Position. Es ist der Kern rechtsstaatlicher Integrationsverantwortung.

Die Bundesregierung darf europäische Außenpolitik nicht als Umgehungsweg nutzen, um Grundrechtsbindungen zu relativieren. Sie muss vielmehr gerade im Rat darauf achten, dass deutsche Zustimmung nur zu Maßnahmen erteilt wird, die mit der Verfassungsidentität des Grundgesetzes vereinbar sind.

Sanktionen gegen Journalisten wegen journalistischer Tätigkeit überschreiten diese Grenze.

Sie verletzen nicht nur einzelne Freiheitsrechte. Sie greifen in die Funktionsbedingungen demokratischer Öffentlichkeit ein. Sie trennen Autoren von Lesern. Sie machen Informationsbeschaffung riskant. Sie erzeugen eine digitale Bannzone um missliebige Publizistik.

Ein solcher Akt ist nicht bloß politisch fragwürdig. Er ist aus deutscher Sicht zustimmungsunfähig.

Die Bundesregierung müsste daher im Rat widersprechen, auf eine grundrechtsschonende Ausgestaltung dringen und jede Listung ablehnen, die nicht auf konkret nachweisbare nichtjournalistische Handlungen gestützt ist, sondern auf publizistische Tätigkeit, Narrative oder Medienauftritte.

Das Rechtsstaatsprinzip verlangt mehr als nachträgliche Klagewege. Es verlangt, dass die Exekutive verfassungswidrige Maßnahmen gar nicht erst mitträgt.

Gerichte können später korrigieren. Aber die Bundesregierung darf den Grundrechtsverstoß nicht erst produzieren helfen und anschließend auf den Rechtsweg verweisen.

Das ist die eigentliche Zumutung der gegenwärtigen Sanktionspraxis: Erst stimmt die Exekutive zu, dann wirkt die Sanktion sofort, dann werden Konten gesperrt, Zahlungen blockiert, Leser abgeschreckt, Familien betroffen, journalistische Arbeit lahmgelegt – und erst danach wird auf langwierigen Rechtsschutz verwiesen.

Ein Rechtsstaat darf so nicht funktionieren.

Rechtsstaatlichkeit beginnt nicht erst beim Gericht. Sie beginnt bei der Entscheidung der Exekutive, einer rechtsstaatswidrigen Maßnahme nicht zuzustimmen.

VIII. Die notwendige Unterscheidung

Natürlich kann auch ein Journalist Straftaten begehen. Natürlich kann ein Journalist zugleich Agent, Finanzier, Saboteur, Spion oder Teilnehmer konkreter rechtswidriger Handlungen sein.

Dann darf der Staat handeln.

Aber dann muss er genau diese nichtjournalistische Handlung nachweisen.

Die entscheidende Grenze lautet:

Sanktionen wegen konkreter nichtjournalistischer Handlungen können im Einzelfall rechtfertigungsfähig sein. Sanktionen wegen journalistischer Tätigkeit, publizistischer Inhalte, Medienauftritte oder politischer Narrative sind verfassungswidrig.

Diese Unterscheidung ist nicht kosmetisch. Sie ist der Kern der Pressefreiheit.

Wer sie verwischt, macht Sanktionsrecht zum Ersatzpresserecht.

IX. Der Bundestag darf kein journalistisches Ächtungsrecht legitimieren

Auch der Bundestag dürfte ein solches System nicht beschließen.

Er dürfte kein Gesetz schaffen, das Journalisten wegen publizistischer Tätigkeit wirtschaftlich isoliert. Er dürfte kein Gesetz schaffen, das den Bezug journalistischer Inhalte sanktionierter Publizisten unter Strafandrohung stellt. Er dürfte kein Gesetz schaffen, das Pressebezug in ein Genehmigungsregime verwandelt.

Ebenso wenig darf er hinnehmen, dass exekutive EU-Sanktionsakte diese Wirkung erzeugen, während nationales Recht die Durchsetzung strafbewehrt absichert.

Die Integrationsverantwortung des Bundestages endet nicht dort, wo europäische Außenpolitik beginnt. Wenn EU-Maßnahmen in den Kernbereich der Presse- und Informationsfreiheit eingreifen, muss der Bundestag Leitplanken setzen.

Er muss klären:

• Wann darf Deutschland Listungen gegen Publizisten unterstützen?

• Welche Tatsachengrundlage ist erforderlich?

• Wie wird verhindert, dass publizistische Inhalte selbst sanktioniert werden?

• Welche Zahlungen für journalistische Inhalte bleiben zulässig?

• Welche Behörde entscheidet rechtsbehelfsfähig?

• Wie werden Leser, Abonnenten, Veranstalter, Anwälte und Plattformen geschützt?

• Wie wird verhindert, dass erfolgreiche Gerichtsentscheidungen durch Relisting leer laufen?

Ohne solche Leitentscheidung wird demokratische Verantwortung entleert. Die Exekutive stimmt zu, der Bürger trägt das Strafrisiko, der Journalist verliert seine wirtschaftliche Grundlage, und das Parlament kommt zu spät.

X. Zuständigkeitsnebel als eigene Grundrechtsverletzung

Noch problematischer wird die Lage, wenn nicht einmal klar ist, wer verbindlich entscheidet.

Bei Sanktionen gegen Journalisten können viele Stellen berührt sein: Bundesbank, Bundesfinanzministerium, Zentralstelle für Sanktionsdurchsetzung, Auswärtiges Amt, Bundespolizei, Innenministerium, ausländische Behörden und EU-Organe.

Für den Bürger bedeutet das: Er weiß nicht, wen er fragen soll.

Für den Journalisten bedeutet das: Er weiß nicht, wer seine Reise, sein Honorar, seine anwaltliche Vertretung oder sein Existenzminimum sichert.

Für den Leser bedeutet das: Er weiß nicht, ob sein Abo erlaubt ist.

Rechtsstaatlichkeit verlangt Zuständigkeit. Ohne zuständige Stelle gibt es keine Entscheidung. Ohne Entscheidung gibt es keinen Rechtsbehelf. Ohne Rechtsbehelf gibt es keinen effektiven Rechtsschutz.

Der Zuständigkeitsnebel ist deshalb nicht nur ein Verwaltungsproblem. Er ist Teil des Grundrechtseingriffs.

XI. Acht und Bann im digitalen Zeitalter

Die historische Pointe des Acht-und-Bann-Vergleichs liegt nicht in der Gleichsetzung, sondern in der Funktion.

Acht und Bann machten den Betroffenen zum rechtlichen und sozialen Risiko. Wer mit ihm verkehrte, wer ihm half, wer ihn unterstützte, konnte selbst Nachteile erleiden. Die Sanktion wirkte über den Betroffenen hinaus in sein Umfeld.

Genau diese Logik kehrt im digitalen Finanzsanktionsrecht wieder.

Der sanktionierte Journalist verliert nicht nur sein Konto. Er verliert wirtschaftliche Anschlussfähigkeit. Und alle anderen fragen sich, ob Kontakt, Zahlung, Abo, Unterstützung oder Kooperation gefährlich sind.

So entsteht eine digitale Bannzone.

Sie liegt nicht um einen Ort, sondern um eine Person.

Sie wird nicht durch Mauern gesichert, sondern durch Banken, Plattformen, Zahlungsdienstleister, Compliance-Abteilungen und Strafdrohungen.

Sie verbietet nicht ausdrücklich das Lesen. Aber sie macht den bezahlten Zugang riskant.

Das ist die moderne Form der Ächtung: nicht der Ausschluss aus der Stadt, sondern der Ausschluss aus dem Zahlungs- und Kommunikationsverkehr.

XII. Ergebnis

Sanktionen gegen Journalisten wegen journalistischer Tätigkeit sind verfassungswidrig.

Sie treffen den Kern von Art. 5 GG, weil sie nicht nur Äußerungen bewerten, sondern die wirtschaftliche Möglichkeit journalistischer Kommunikation zerstören.

Sie treffen die Informationsfreiheit, weil Leser vom entgeltlichen Bezug journalistischer Inhalte abgeschreckt werden.

Sie treffen die Pressefreiheit, weil sie den Autor vom Publikum trennen.

Sie treffen den Rechtsstaat, weil sie exekutive Ächtung an die Stelle strafgerichtlicher Feststellung setzen.

Sie treffen die Demokratie, weil sie den öffentlichen Meinungskampf durch Zahlungsverbote, Kontensperren und Strafrisiken verzerren.

Und sie sind für die Bundesregierung im Rat der Europäischen Union zustimmungsunfähig, soweit sie nicht auf konkrete nichtjournalistische Handlungen, sondern auf publizistische Tätigkeit, Inhalte, Narrative oder Medienauftritte gestützt werden.

Der Staat darf Journalismus kritisieren.

Er darf Falschinformationen widerlegen.

Er darf konkrete Straftaten verfolgen.

Aber er darf Journalismus nicht ächten.

Die freiheitliche Ordnung kennt keinen Bann gegen missliebige Publizistik.

Sie kennt nur Recht.

Quellen und weiterführende Hinweise

Amtliche Quellen

• Rat der Europäischen Union, Pressemitteilung vom 20.05.2025: „Russian hybrid threats: EU lists further 21 individuals and 6 entities…“
  Enthält u.a. die Nennung von AFA Medya und Hüseyin Doğru sowie die Rechtsfolgen Asset Freeze, Bereitstellungsverbot und Reiseverbot.
  https://www.consilium.europa.eu/en/press/press-releases/2025/05/20/russian-hybrid-threats-eu-lists-further-21-individuals-and-6-entities-and-introduces-sectoral-measures-in-response-to-destabilising-activities-against-the-eu-its-member-states-and-international-partners/

• Regierungspressekonferenz vom 16.03.2026: EU-Sanktionen gegen Hüseyin Doğru
  Mit Fragen zu Brot-/Lebensmittelspenden, Grundbedürfnissen, Bundesbank-Genehmigungen sowie den Äußerungen des Auswärtigen Amts zu „russischen Narrativen“, „Sprachrohr des Kremls“ und „Handlanger russischer Aggression“.
  https://www.bundesregierung.de/breg-de/aktuelles/pressekonferenzen/regierungspressekonferenz-vom-16-maerz-2026-2411716

• Regierungspressekonferenz vom 30.03.2026: Konten der Ehefrau von Hüseyin Doğru
  Dokumentiert die Frage zur Sicherstellung der Konten der nicht gelisteten Ehefrau und die fehlende unmittelbare Auskunft des BMF.
  https://www.bundesregierung.de/breg-de/aktuelles/regierungspressekonferenz-vom-30-maerz-2026-2417466

• Regierungspressekonferenz vom 11.05.2026: Reise/Zuständigkeit Hüseyin Doğru
  Dokumentiert die Problematik der Reise ins Europäische Parlament, die Frage nach Ausreise-/Wiedereinreise und den Zuständigkeitsnebel zwischen Behörden.
  https://www.bundesregierung.de/breg-de/aktuelles/regierungspressekonferenz-vom-11-mai-2026-2429978

• VO (EU) 2024/2642: Restriktive Maßnahmen wegen destabilisierender Aktivitäten Russlands
  Insbesondere Art. 2: Einfrieren von Geldern und wirtschaftlichen Ressourcen sowie unmittelbares/mittelbares Bereitstellungsverbot; Art. 3: Genehmigungstatbestände.
  https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2642

• § 18 Außenwirtschaftsgesetz (AWG): Strafvorschriften bei Verstößen gegen EU-Sanktionsrecht
  https://www.gesetze-im-internet.de/awg_2013/__18.html

Gerichtsverfahren und Rechtsschutz

• EuG, Rechtssache T-429/25 – Doğru und AFA Medya gegen Rat
  Die Klage richtet sich gegen die Listung durch Beschluss (GASP) 2025/966; geltend gemacht werden u.a. Verletzungen von Meinungs- und Informationsfreiheit, Medienfreiheit, Unschuldsvermutung und fairem Verfahren.
  https://eur-lex.europa.eu/eli/C/2025/4627/oj/eng

Berichte und Einordnungen

• Norbert Häring, „Ganz große Bundestagskoalition stützt mittelalterliche EU-Sanktionen gegen Publizisten mit Strafverschärfung für Sanktionsumgehung“, 31.01.2026
  Wichtig wegen des ausdrücklich gezogenen historischen Vergleichs („vogelfrei“) und der Kritik an der Strafverschärfung für Sanktionsverstöße.
  https://norberthaering.de/propaganda-zensur/sanktionsgesetz/

• Norbert Häring, „Große Resonanz für den Wahrheitskomplex in alternativen Medien (und nur in diesen)“, 11.05.2026
  Enthält die Einordnung der Doğru-Sanktionen als Teil einer Entwicklung hin zu einem öffentlich-privaten Regime gegen unerwünschte Kritik an Bundesregierung, EU und NATO.
  https://norberthaering.de/propaganda-zensur/wahrheitskomplex-resonanz/

• Petition #freedogru – EU sanctions against journalism
  Dokumentiert die Unterstützerkampagne gegen die Sanktionen und formuliert den Vorwurf eines Angriffs auf Pressefreiheit, Demokratie und Rechtsstaat.
  

https://free-dogru.com/

• World Socialist Web Site, „EU imposes professional ban on German citizen, critical journalist Hüseyin Doğru“, 09.10.2025
  Bericht über die praktischen Folgen der Sanktionen: Kontensperren, Reiseverbot und faktisches Berufsverbot.
  https://www.wsws.org/en/articles/2025/10/09/qjdw-o09.html

Der erste Beitrag hat die Diagnose formuliert: Europas neue Digitalinfrastrukturen versprechen Datenschutz, Sicherheit und Souveränität, bauen aber zugleich technische Kontrollfähigkeit vor. DNS4EU schafft Filterfähigkeit. Die EUDI Wallet schafft eine interoperable Identitätsschicht. Altersverifikation kann anonyme Netznutzung verdrängen. Digitaler Euro und AMLA können Zahlungsdaten, Identität und Risikomodelle zusammenführen. Google Play Integrity, Entwicklerverifikation und reCAPTCHA können freie Android-Systeme faktisch aus digitalen Diensten ausschließen.

Dieser zweite Beitrag fragt: Was ist politisch dagegen zu tun? Die Antwort kann nicht allein gerichtlicher Rechtsschutz sein. Wenn digitale Infrastruktur einmal in Verwaltung, Banken, Plattformen, Smartphones und Alltagsroutinen eingebaut ist, kommt der Rechtsweg regelmäßig zu spät. Politische Abhilfe muss früher ansetzen: bei Architektur, Spezifikation, Beschaffung, Gesetzgebung und parlamentarischer Kontrolle. Die Leitidee lautet: Infrastrukturminimierung.

Nicht nur Daten minimieren sondern Macht

Art. 25 DSGVO verlangt Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen. Für digitale Grundinfrastruktur reicht das aber nicht. Datenminimierung fragt: Welche Daten werden verarbeitet? Infrastrukturminimierung fragt früher: Welche Macht wird überhaupt gebaut?

Eine freiheitsgerechte Architektur vermeidet zentrale Zugriffspunkte, wo dezentrale Lösungen möglich sind. Sie verlangt keine Identifizierung, wo ein anonymes Attribut genügt. Sie protokolliert nicht, wo lokale Validierung ausreicht. Sie schafft keine Filterfähigkeit, wo Nutzerautonomie genügt. Sie macht öffentliche Dienste nicht von proprietären Gatekeepern abhängig. Und sie baut keine Zahlungsinfrastruktur, die Bargeld nur rhetorisch ersetzt, tatsächlich aber zentrale Nachverfolgbarkeit ermöglicht. Gerade der Verzicht auf technisch mögliche Macht ist der eigentliche Grundrechtsschutz.

Damit knüpft Infrastrukturminimierung an traditionelle Prinzipien des demokratischen Rechtsstaates an: Subsidiarität und Gewaltenteilung. Subsidiarität bedeutet technisch, Macht nur dort zu zentralisieren, wo lokale, dezentrale oder föderale Lösungen nicht genügen. Gewaltenteilung bedeutet, Entscheidung, Vollzug, Kontrolle, Protokollierung und Sanktionierung nicht in einer einzigen Infrastruktur zu bündeln. Freiheitsarchitektur ist deshalb keine neue Sonderdogmatik, sondern die technische Übersetzung alter rechtsstaatlicher Machtbegrenzung.

Die Steuer-ID-Lehre

Die deutsche Steuer-ID zeigt, warum Abhilfe nicht bei Beteuerungen stehen bleiben darf. Der Bundesfinanzhof hielt die Steueridentifikationsnummer 2012 unter der damaligen steuerlichen Zweckbindung für verfassungsgemäß. Die Registermodernisierung löst diese Nummer jedoch aus ihrem engen Kontext: In der Bundestagsanhörung wurde die Steuer-ID als registerübergreifendes „einheitliches nicht-sprechendes Identifikationsmerkmal“ beschrieben. Die Datenschutzkonferenz warnte, die ausgedehnte Verwendung der Steuer-ID als einheitliches Personenkennzeichen löse sich vollständig von ihrer ursprünglichen Zweckbestimmung.

Für die europäische Wallet-Politik folgt daraus: Verfassungsrechtliche Bedenken allein verhindern keine Personenkennziffer-Logik. Politische Abhilfe muss deshalb technische rote Linien formulieren: keine Wiederverwendung der Steuer-ID, der Personalausweisnummer oder sonstiger nationaler Ordnungsmerkmale als Wallet-Schlüssel; keine zentrale Zuordnungsstelle; keine bereichsübergreifende technische Klammer; bereichsspezifische Kennungen als verbindlicher Mindeststandard; keine nachträgliche Zweckausweitung ohne neues Gesetz, neue Grundrechtsprüfung und technische Migration.

EUDI Wallet kein funktionales Personenkennzeichen

Die EUDI Wallet kann freiheitsfreundlich sein, wenn sie selektive Offenlegung ermöglicht: Alter ja, Name nein; Berechtigung ja, Identität nein. Das Architecture and Reference Framework beschreibt die Wallet als Privacy-by-Design-Architektur mit Datenminimierung, selektiver Offenlegung und Kontrolle des Nutzers über die offengelegten Attribute. Gefährlich wird sie, wenn Behördenzugänge, Banken, Plattformen, Altersnachweise, Bildungsnachweise, Signaturen und Zahlungen in einer interoperablen Identitätsschicht zusammenlaufen. Dann droht kein klassisches Personenkennzeichen, aber ein funktionales Äquivalent.

Politische Abhilfe muss deshalb hart ansetzen: keine allgemeine Pflichtnutzung; keine faktische Pflichtnutzung durch private Anbieter; keine Wallet-only-Zugänge zu öffentlichen Diensten; keine universellen Kennungen; keine Wiederverwendung eindeutiger Identifikatoren; keine zentralen Nutzungsprotokolle; keine unnötigen Attributabfragen; keine Relying Parties ohne klare gesetzliche Zulassung. Wo ein Altersattribut genügt, darf kein Name abgefragt werden. Wo eine Berechtigung geprüft werden kann, darf keine Identität offengelegt werden. Bereichsspezifische Kennungen, anonyme Credentials, lokale Validierung und strenge Zweckbindung müssen der Normalfall sein.

Die Steuer-ID-Erfahrung verschiebt die Beweislast: Nicht Kritiker müssen darlegen, dass eine Wallet irgendwann als Personenkennziffer verwendet werden könnte. Staat und EU müssen vorab beweisen, dass ihre Architektur dies technisch ausschließt. Ein bloßes Verwendungsverbot im Gesetz genügt nicht, wenn Rulebooks, Register und Relying-Party-Strukturen die Verknüpfung praktisch erleichtern.

Altersverifikation kein Eintrittsausweis ins Netz

Altersverifikation darf nicht zur Infrastruktur des identifizierten Internets werden. Minderjährigenschutz ist legitim. Aber er rechtfertigt nicht, dass allgemeine Informations-, Kommunikations- und Medienzugänge unter Identitäts- oder Altersnachweisvorbehalt geraten. Die EU-Altersverifikation soll den Nachweis „über 18“ ermöglichen, ohne weitere personenbezogene Daten offenzulegen, und mit künftigen EUDI Wallets interoperabel sein. Gerade diese Erweiterbarkeit ist das Risiko.

Politische Abhilfe heißt: lokal prüfbare Altersattribute; keine Weitergabe der Identität; keine zentrale Liste besuchter Dienste; keine dauerhaften Plattform-Token; keine Wiederverwendbarkeit über verschiedene Dienste hinweg; keine Ausweitung auf Nachrichten, Suchmaschinen, Messenger, politische Foren oder allgemeine Diskussionsräume. Eine Altersverifikation, die Erwachsene identifizierbar macht, ist falsch konstruiert.

DNS4EU: Schutz ja - Sperrinfrastruktur nein

DNS4EU kann als europäische Alternative zu dominanten privaten Resolvern sinnvoll sein. Der Dienst bietet Profile wie Protective, Child Protection, Ad Blocking und Unfiltered. Aber DNS ist Zugangsinfrastruktur. Wer DNS-Auflösung kontrolliert, kontrolliert einen Teil der Erreichbarkeit des Netzes.

Deshalb muss DNS4EU rechtlich neutralisiert werden: dauerhafte unfiltered option; keine Pflichtnutzung; keine stillschweigende Voreinstellung in Behörden, Schulen, öffentlichen WLANs oder Telekommunikationsnetzen; Transparenz aller Filterlisten; unabhängige Kontrolle; gerichtliche Angreifbarkeit; klare Trennung von Malware-Schutz und politischer Inhaltskontrolle. Kategorien wie Desinformation, Extremismus, hybride Bedrohung, Sanktionsumgehung oder Urheberrecht dürfen nicht administrativ in DNS-Sperrlisten wandern. Schutz muss so dezentral wie möglich organisiert werden.

Zahlungen keine zentrale Kontrollschicht

Der wichtigste Abhilfepunkt betrifft Zahlungen. Eine Gesellschaft, in der jede Zahlung technisch nachvollziehbar, bewertbar, stoppbar oder risikoklassifizierbar ist, verliert einen wesentlichen Freiheitsraum. Zahlungsfreiheit ist Voraussetzung privater Lebensführung, politischer Betätigung, journalistischer Arbeit, anwaltlicher Vertraulichkeit, Spendenfreiheit und sozialer Teilhabe.

Bargeld ist deshalb grundrechtliche Infrastruktur. Euro-Banknoten und -Münzen sind gesetzliches Zahlungsmittel; nach der Bargeldstrategie der EZB sollen Bargeldzahlungen im Euroraum grundsätzlich akzeptiert werden. Bargeld erlaubt Alltag ohne Identitätsprüfung, ohne Plattformkonto, ohne Profilbildung und ohne nachträgliche Risikobewertung.

Der digitale Euro darf deshalb nicht zur staatlich legitimierten Zentralisierung von Zahlungsdaten führen. Die EZB betont bargeldähnliche Privatheit für Offline-Zahlungen; bei Online-Zahlungen können Zahlungsdienstleister Nutzer aber weiterhin für Geldwäschepflichten identifizieren. Deshalb fordern EDPB und EDPS eine Privacy-Schwelle für Online-Kleinzahlungen, unterhalb der weder Offline- noch Online-Kleinzahlungen zu AML/CFT-Zwecken nachverfolgt werden.

Politisch folgt daraus: Offline-Zahlungen müssen Kernbestand sein, nicht Komfortfunktion. Kleinbetragszahlungen müssen auch online privat bleiben. Es darf keine zentrale Transaktionsdatenbank geben, keine allgemeine Zahlungsprofilbildung, keine Verwendungsbeschränkungen, keine Negativlisten auf Nutzerebene, keine programmiernahen Zweckbindungen und keine Verbindung von Wallet, Identität, Zahlungshistorie und Risikoscore. Geldwäschebekämpfung darf nicht zur allgemeinen Zahlungsüberwachung werden.

AMLA begrenzen Aufsicht ja Alltagsrisikoscore nein

AMLA verstärkt diese Zahlungsfrage. Die Behörde testet und kalibriert Risikomodelle, die 2027 die Auswahl von bis zu 40 Einrichtungen für die direkte Aufsicht ab 2028 vorbereiten und eine konsistente Risikobewertung von Kredit- und Finanzinstituten ermöglichen sollen. Das ist keine unmittelbare Totalüberwachung der Bürger. Aber es schafft ein einheitliches, risikobasiertes Aufsichts- und Datenregime.

Gefährlich wird es, wenn dieser Ansatz in den Alltag durchsickert: in Banken, Zahlungsdienstleister, Wallets, digitalen Euro, KYC-Prozesse und automatisierte Verdachtsmodelle. Politisch nötig sind klare Schwellenwerte, echte Kleinbetragsprivatsphäre, strikte Zweckbindung, Verbot allgemeiner Verhaltensprofile, keine Risikoklassifizierung gewöhnlicher Alltagszahlungen, menschliche Prüfung vor Benachteiligung, Transparenz über Datenflüsse, unabhängige Kontrolle von Risikomodellen und effektiver Rechtsschutz gegen Kontosperrungen, De-Risking und Zahlungsblockaden. Der digitale Euro darf nicht zur technisch bequemeren AMLA-Schnittstelle werden.

Recht auf analoge und nicht-proprietäre Alternativen

Digitale Verwaltung darf Bürger nicht in bestimmte Geräte, Betriebssysteme oder App-Stores zwingen. Öffentliche Dienste, Gesundheitszugänge, Identitätsverfahren, Zahlungsfunktionen und Altersnachweise müssen erreichbar bleiben ohne Google Play Services, Apple-only-Infrastrukturen, Play Integrity, proprietäre App-Store-Zertifizierung, reCAPTCHA-Abhängigkeit oder zertifizierte Endgeräte eines privaten Gatekeepers.

Alphabet ist unter dem Digital Markets Act als Gatekeeper benannt. Zugleich verlangt Googles Android Developer Verification ab September 2026 in ausgewählten Regionen, dass Apps von einem verifizierten Entwickler registriert sind, um auf zertifizierten Android-Geräten installiert werden zu können. Play Integrity prüft zertifizierte Geräte und Google-Play-Installationen; reCAPTCHA Mobile Verification verlangt auf Android Google Play Services ab Version 25.41.30. Politisch nötig sind offene Standards, freie Referenzimplementierungen, Webzugänge, installierbare APKs, F-Droid-Kompatibilität, Unterstützung entgooglter Android-Systeme und diskriminierungsfreie Schnittstellen.

Open Source und Dezentralität als Freiheitsarchitektur

Eine freiheitliche digitale Infrastruktur braucht nicht nur Datenschutzversprechen. Sie braucht überprüfbare, veränderbare und dezentrale Technik. Open Source ist dabei nicht bloß eine Lizenzfrage. Quelloffenheit ermöglicht öffentliche Kontrolle: Sicherheitslücken, versteckte Schnittstellen, Trackingmechanismen, Sperrlogiken und überschießende Datenerhebungen können nur dann wirksam überprüft werden, wenn Code, Schnittstellen, Protokolle und Referenzimplementierungen offen zugänglich sind.

Aber Open Source allein genügt nicht. Ein schlecht dokumentiertes, ungepflegtes oder unterfinanziertes Open-Source-Projekt ist keine belastbare Freiheitsarchitektur. Wer Open Source zur Grundlage kritischer Infrastruktur macht, muss sie dauerhaft finanzieren, auditieren, pflegen und institutionell absichern. Erforderlich sind transparente Quellcodes, offene Protokolle, freie Referenzimplementierungen, reproduzierbare Builds, unabhängige Sicherheits- und Grundrechtsaudits, öffentliche Fehlerdatenbanken, dauerhafte Finanzierung, professionelle Governance und die Möglichkeit unabhängiger Forks.

Ebenso wichtig ist Dezentralität. Eine Architektur ist nicht schon deshalb freiheitlich, weil ihr Quellcode offen ist. Wenn sie zentral validiert, zentral protokolliert, zentral sperrt oder zentral Identität vermittelt, bleibt sie kontrollanfällig. Für EUDI Wallet, Altersverifikation, DNS4EU, digitalen Euro und öffentliche Apps folgt daraus: offene Standards, freie Implementierungen, föderierte oder dezentrale Betriebsmodelle und keine Abhängigkeit von einer zentralen EU-Stelle, einem nationalen Monopol, Google, Apple oder einzelnen Zertifizierungsdienstleistern.

Bargeld Anonymität und Pseudonymität positiv schützen

Freiheit braucht Räume ohne Identifizierung. Deshalb müssen Bargeld, anonyme Informationssuche, pseudonyme Kommunikation und nicht-identifizierte Mediennutzung politisch positiv geschützt werden. Niemand verbietet Anonymität ausdrücklich. Aber Altersnachweise, Wallet-Logins, Zahlungsidentifikation, Plattformverifikation, App-Attestierung und Captchas können sie praktisch verdrängen.

Die politische Antwort muss lauten: Bargeldannahme im Alltag sichern; anonyme Kleinzahlungen erhalten; pseudonyme Plattformnutzung schützen; Suchmaschinen- und Medienzugang ohne Identitätsnachweis garantieren; Messenger- und Diskussionsräume nicht allgemein verifizieren; Whistleblowing, journalistische Recherche und politische Opposition besonders schützen. Eine demokratische Öffentlichkeit braucht auch geschützte Nicht-Identifikation.

Technische Spezifikationen parlamentarisch kontrollieren

Bei digitaler Infrastruktur liegt die eigentliche Grundrechtsentscheidung oft nicht im Gesetz, sondern in technischen Spezifikationen: Architecture Reference Frameworks, Wallet-Rulebooks, Durchführungsrechtsakte, delegierte Rechtsakte, Standardisierungsmandate, Schnittstellen, Zertifizierungsvorgaben. Wo Spezifikationen Identifizierbarkeit, Filterfähigkeit, Linkability, Geräteattestierung, Zahlungssteuerung oder Ausschlussmechanismen ermöglichen, handelt es sich um Grundrechtspolitik.

Deshalb braucht es parlamentarische Befassung vor Implementierung, öffentliche Konsultationen, unabhängige Grundrechtsaudits, Minderheitenvoten, Veröffentlichung relevanter Spezifikationen, gerichtliche Angreifbarkeit und eine Beweislast für die grundrechtsfreundlichste Architektur. Nicht Bürger müssen beweisen, dass eine Infrastruktur gefährlich werden kann. Der Staat muss beweisen, dass sie es nicht kann.

Sunset- und Rückbauklauseln

Jede neue digitale Infrastruktur mit Freiheitsrisiko braucht Sunset- und Rückbauklauseln. Pilotprojekte dürfen nicht durch Gewöhnung dauerhaft werden. Nach wenigen Jahren muss politisch neu entschieden werden: Hat sich die Infrastruktur bewährt? Wurde sie zweckentfremdet? Gab es Ausweitungen? Sind mildere Mittel verfügbar? Sind Grundrechtsrisiken eingetreten? Kann das System zurückgebaut werden? Systeme ohne Abschaltbarkeit, ohne Datenlöschung, ohne Alternativen und ohne Dezentralisierung sind keine Pilotprojekte. Sie sind Pfadabhängigkeit.

Demokratiepolitische Flankierung

Die Federstrichgefahr entsteht nicht nur technisch, sondern institutionell. Die EU besitzt keine staatsanaloge demokratische Volllegitimation. Das Europäische Parlament ist wichtig, aber nicht nach strikter Wahlgleichheit zusammengesetzt. Die Kommission verfügt über erhebliche Agenda-Macht. Technische Standards entstehen oft unterhalb breiter Öffentlichkeit. Gerade deshalb müssen digitale Grundinfrastrukturen besonders demokratisch kontrolliert werden. Subsidiarität verlangt, zentrale EU-Infrastruktur nur dort zuzulassen, wo dezentrale, lokale oder mitgliedstaatliche Lösungen nicht genügen. Gewaltenteilung verlangt, technische Spezifikation, Vollzug, Aufsicht und Rechtsschutz nicht in derselben administrativen oder privatwirtschaftlichen Zugriffskette zu verschalten. Keine neue zentrale Digitalinfrastruktur ohne ausdrückliche parlamentarische Entscheidung über ihre Grundrechtsrisiken. Keine Zweckänderung durch bloßen Durchführungsakt. Keine Ausweitung durch Standardisierung. Keine stille Normalisierung durch Verwaltungspraxis.

Die politische Pointe

Digitale Souveränität ist nicht erreicht, wenn Europa eigene Kontrollinfrastrukturen baut. Sie ist erst erreicht, wenn europäische Infrastruktur auch dann freiheitlich bleibt, wenn politische Mehrheiten, Behörden oder Plattformen sie zur Kontrolle nutzen wollen. Das verlangt Machtverzicht im Code.

Keine Identifizierung ohne Not. Keine zentrale Validierung ohne Not. Keine Filterfähigkeit ohne Not. Keine App-Attestierung als Voraussetzung öffentlicher Teilhabe. Keine Zahlungsarchitektur ohne echte Kleinbetragsprivatsphäre. Keine Wallet, die zum funktionalen Personenkennzeichen wird. Keine öffentlichen Dienste auf proprietären Gatekeepern. Keine zentrale Kontrolle von Zahlungen. Keine öffentliche Digitalinfrastruktur ohne offene Standards, offene Implementierungen, dezentrale Betriebsmodelle und dauerhaft finanzierte Pflege. Keine Technik, die Subsidiarität und Gewaltenteilung praktisch unterläuft.

Open Source darf kein Feigenblatt sein. Es muss transparent, überprüfbar, gepflegt und finanziell so unterstützt sein, dass es proprietäre Gatekeeper tatsächlich ersetzen kann. Privacy by Design ist kein Marketingbegriff. Es ist eine verfassungsrechtliche Gestaltungsaufgabe. Wer Freiheit schützen will, darf nicht nur Missbrauch verbieten. Er muss Systeme bauen, die Missbrauch nicht bequem machen. Infrastrukturminimierung ist deshalb die politische Abwehrformel gegen Dystopia by Design.

Das ist kein Einwand gegen jeden einzelnen Zweck. Malware-Schutz ist legitim. Minderjährigenschutz ist legitim. Geldwäschebekämpfung ist legitim. Digitale Souveränität ist legitim. Aber Verfassungsrecht fragt nicht nur nach guten Absichten. Es fragt nach Macht.

Lawrence Lessigs Formel „Code is law“ bringt dieses Problem auf den Punkt. Code ist kein Gesetz im formellen Sinn. Aber technische Architektur reguliert Verhalten ähnlich wirksam wie Recht. Sie entscheidet, wer Zugang erhält, wer identifiziert wird, welche Domains aufgelöst werden, welche Apps laufen, welche Zahlungen auffallen und welche Geräte als vertrauenswürdig gelten. Lessig beschrieb Code gerade deshalb als Regulierungsform des Cyberspace: Software und Hardware können Freiheit schützen – oder verschwinden lassen.

Die verfassungsrechtliche Frage lautet daher nicht nur: Ist die heutige Nutzung zulässig? Sie lautet: Welche Macht wird technisch vorgebaut?

Karlsruhe hat die Gefahr längst beschrieben

Das Volkszählungsurteil von 1983 bleibt der zentrale verfassungsrechtliche Ausgangspunkt. Das Bundesverfassungsgericht entwickelte dort das Recht auf informationelle Selbstbestimmung aus Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG. Entscheidend war nicht nur die einzelne Datenerhebung, sondern die Möglichkeit, Daten später zu speichern, zu verknüpfen und zu Persönlichkeitsbildern zusammenzufügen.

Gerade deshalb ist das Urteil für die EUDI Wallet zentral. In BVerfGE 65, 1 [53] erklärte das Gericht, dass eine umfassende Registrierung und Katalogisierung der Persönlichkeit durch Zusammenführung einzelner Lebens- und Personaldaten verfassungsrechtlich unzulässig wäre. Als besonders gefährlich nannte es ausdrücklich die Erschließung eines Datenverbundes durch ein einheitliches Personenkennzeichen oder ein sonstiges Ordnungsmerkmal.

Deutschland zeigt allerdings, dass diese verfassungsrechtliche Warnung politisch bereits übergangen werden kann. Die Steuer-ID wurde zunächst als bereichsspezifische Nummer für das Besteuerungsverfahren eingeführt. Gegen ihre Vergabe gab es Musterklagen; der Bundesfinanzhof hielt sie 2012 bei der damaligen steuerlichen Zweckbindung für verfassungsgemäß. Gerade diese Begrenzung war aber der entscheidende Punkt.

Mit dem Registermodernisierungsgesetz wird dieselbe Steuer-ID als registerübergreifendes Identifikationsmerkmal in mehr als 50 Registern nutzbar gemacht. Die Datenschutzkonferenz warnte, die geplante ausgedehnte Verwendung löse sich vollständig von der ursprünglichen steuerlichen Zweckbestimmung; der Wissenschaftliche Dienst des Bundestages sah erhebliche verfassungsrechtliche Bedenken. Soweit ersichtlich fehlt bis heute eine verfassungsgerichtliche Klärung genau dieser Ausweitung. Für die Wallet folgt daraus eine doppelte Lehre: Ein System kann trotz verfassungsrechtlicher Warnungen praktisch eingeführt werden; und spätere Zweckausweitungen verändern die Verfassungsfrage.

Die Wallet ist formal kein klassisches Personenkennzeichen. Aber sie kann dessen Funktion übernehmen. Die Kommission beschreibt Person Identification Data als Kernnachweis der EUDI Wallet; PID enthält Attribute wie vollständigen Namen, Geburtsdatum, Nationalität und weitere Angaben und wird vom Mitgliedstaat ausgegeben und signiert. PID-basierte Identifikation soll für öffentliche und private Online-Dienste nutzbar sein.

Damit entsteht keine bloße Ausweis-App. Es entsteht eine interoperable Identitätsschicht. Sie kann Altersnachweise, Bildungsnachweise, Zahlungsfreigaben, Behördenzugänge, Reise- und Berufsnachweise verbinden. Das Architecture and Reference Framework nennt die Identifizierung und Authentifizierung gegenüber Online-Diensten mittels PID ausdrücklich als einen der Hauptanwendungsfälle der Wallet.

Die technischen Spezifikationen kennen die Gefahr selbst. Die EUDI-Risikoanalyse behandelt Linkability über mehrere Transaktionen, Rückverfolgbarkeit anhand von Identitätsdaten und Surveillance durch kolludierende Stellen ausdrücklich als Risiken. Damit ist die Ausgangsfrage fast beantwortet: Eine Architektur, die solche Risiken nicht nur theoretisch kennt, sondern als Betriebsrisiken ihres eigenen Ökosystems beschreibt, ist schlicht nicht Privacy by Design. Sie trägt Dystopie-Fähigkeit bereits in sich.

Grundrechtsschutz, der zu spät kommt

Die EU-Grundrechtecharta schützt Privatleben, Daten, Meinungsfreiheit und effektiven Rechtsschutz. Art. 25 DSGVO verlangt Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen. Aber Grundrechtsschutz, der erst nach der Aktivierung einer Kontrollarchitektur greift, kommt zu spät.

Das zeigen personenbezogene EU-Sanktionen gegen publizistische Akteure. Der Rat verhängte im Mai 2025 im Rahmen des Regimes gegen „russische hybride Bedrohungen“ zusätzliche Maßnahmen gegen 21 Personen und 6 Einrichtungen; die Maßnahmen umfassen unter anderem Vermögenssperren und Bereitstellungsverbote. Man muss die politischen Vorwürfe nicht bewerten, um das Strukturproblem zu sehen. Wenn journalistische oder publizistische Tätigkeit wirtschaftlich abgeschnitten wird, folgt gerichtlicher Rechtsschutz später.

Bei digitaler Infrastruktur ist diese zeitliche Asymmetrie noch gefährlicher: Wenn DNS, Wallet, Zahlungssystem, Altersnachweis oder App-Installation als Kontrollpunkte funktionieren, schaffen sie Tatsachen, bevor Gerichte reagieren.

Verfassungsidentität unter Druck

Art. 23 GG erlaubt deutsche Mitwirkung an der EU nur unter Bedingungen. Das Bundesverfassungsgericht hat im Lissabon-Urteil betont, dass europäische Integration die demokratische Selbstbestimmung und den unantastbaren Kern der Verfassungsidentität aus Art. 79 Abs. 3 GG nicht entleeren darf.

Gerade deshalb ist die neue EuGH-Rechtsprechung zu Art. 2 EUV ein Kipppunkt. In C-769/22 Kommission/Ungarn stellte der EuGH am 21. April 2026 erstmals in einem Vertragsverletzungsverfahren einen eigenständigen Verstoß gegen Art. 2 EUV fest. Nach der Pressemitteilung des Gerichtshofs kann sich Ungarn nicht mit Erfolg auf nationale Identität berufen, um ein Gesetz zu rechtfertigen, das gegen die Werte des Art. 2 EUV verstößt.

Das konkrete Ergebnis mag menschenrechtlich gut begründbar sein. Strukturell ist aber entscheidend: Art. 2 EUV wird zu einem unionsautonomen Wertemaßstab, während Art. 4 Abs. 2 EUV – die nationale Identität – zurücktritt, soweit sie mit dieser Werteauslegung kollidiert. Kritiker sehen darin eine Unterordnung nationaler Identität unter Art. 2 EUV.

Für digitale Infrastruktur bedeutet das: Sperren, Identitätsnachweise, Zahlungsüberwachung und Plattformzugänge können künftig leichter als „Werteverteidigung“ erscheinen – gegen Desinformation, hybride Bedrohungen, Extremismus, Kindesgefährdung oder Geldwäsche. Wenn nationale Verfassungsidentität als Grenze schwächer wird, muss Freiheit umso stärker im Code selbst gesichert sein.

Demokratiedefizit und Federstrichgefahr

Die EU ist kein staatsanaloges parlamentarisches System. Das Europäische Parlament ist wichtig, aber es ist kein Parlament eines souveränen europäischen Volkes gewählt nach Stimmwertgleichheit. Die Sitzverteilung folgt degressiver Proportionalität: Kleinere Mitgliedstaaten erhalten mehr Abgeordnete pro Einwohner als größere. Eine vom Europäischen Parlament veröffentlichte Studie beschreibt diese Struktur ausdrücklich als größere Repräsentation kleinerer Staaten pro Bevölkerungseinheit.

Hinzu kommt: Gesetzgebungsakte der Union werden grundsätzlich auf Vorschlag der Kommission erlassen, soweit die Verträge nichts anderes vorsehen. Das Europäische Parlament ist Mitgesetzgeber, hat aber nicht das sonst übliche Recht der Gesetzesinitiative wie der Bundestag. Die starke Stellung der Regierungen der Mitgliedsstaaten ebenfalls als Mitgesetzgeber bedeutet zusammen mit der Kommission ein starkes Übergewicht der Exekutive. Hinzu kommen relativ kurze sechsjährige Amtszeiten von den Regierungen ausgewählter Richter am Gerichtshof der Europäischen Union (EuGH), die bei recht hohen Gehältern womöglich gerne von ihren Regierungen wiederernannt werden wollen, was möglich ist. Daraus folgt leider insgesamt ein erheblicher Mangel an Gewaltenteilung.

All dies verschärft die Federstrichgefahr. Was heute als enger technischer Zweck eingeführt wird, kann morgen durch Verordnung, Durchführungsrechtsakt, delegierten Rechtsakt, technischen Standard oder Verwaltungspraxis erweitert werden. Die Kontrollarchitektur muss dann nicht neu gebaut werden. Sie steht bereit.

Internet Domain Name System (DNS), Alter, Geld, Geräte

DNS4EU zeigt das Problem im Kleinen. Der öffentliche Dienst bietet Profile wie Protective, Child Protection, Ad Blocking und Unfiltered. Malware- und Phishing-Schutz können legitim sein. Aber DNS ist Zugangsinfrastruktur. Wer DNS-Auflösung kontrolliert, kann Domains blockieren, klassifizieren oder protokollieren. Heute heißt die Kategorie Malware. Morgen kann sie Desinformation, Sanktionsumgehung, Jugendschutz oder hybride Bedrohung heißen.

Die EU-Altersverifikation folgt derselben Logik. Die Kommission beschreibt sie als Lösung, mit der Nutzer beweisen können, über 18 zu sein, ohne weitere personenbezogene Daten preiszugeben; sie soll mit künftigen EUDI Wallets interoperabel sein und auch andere Altersbereiche abbilden können. Das ist besser als Ausweiskopien bei Plattformen. Aber ein standardisierter Altersnachweis kann vom Zugang zu Pornografie auf soziale Netzwerke, Messenger, Medienportale oder politische Foren ausgedehnt werden. Aus „über 18?“ wird technisch schnell „wer bist du?“.

Beim digitalen Euro lautet das Versprechen: offline bargeldähnliche Privatheit, online keine direkte Zuordnung durch das Eurosystem. Die EZB erklärt, bei Offline-Zahlungen kennten nur Zahler und Empfänger die Transaktionsdetails; bei Online-Zahlungen könnten Zahlungsdienstleister Nutzer für Geldwäschepflichten identifizieren. Genau dort liegt der kritische Punkt. EDPB und EDPS empfehlen ausdrücklich eine Privacy-Schwelle für Online-Kleinzahlungen, unterhalb der weder Offline- noch Online-Kleinzahlungen zu AML/CFT-Zwecken nachverfolgt werden.

AMLA verstärkt diese Infrastrukturfrage. Die neue EU-Geldwäscheaufsicht bereitet die Auswahl von bis zu 40 Einrichtungen vor, die ab 2028 direkt beaufsichtigt werden; die Vorbereitungen umfassen Datenerhebung, Risikomodelle und Kalibrierung. Das ist keine unmittelbare Totalüberwachung der Bürger. Aber es schafft ein einheitliches, risikobasiertes Aufsichts- und Datenregime. In Verbindung mit digitalem Euro und EUDI Wallet entsteht eine Infrastruktur, in der Identität, Zahlung und Geldwäschelogik technisch zusammenwachsen können.

Die EU-Infrastrukturfrage endet nicht beim Staat. Sie reicht in private Gatekeeper hinein. Alphabet ist unter dem Digital Markets Act als Gatekeeper benannt, unter anderem für Google Play und Android. Trotzdem droht digitale Teilhabe faktisch auf Google-zertifizierten Geräten, Google-registrierten Apps und Google-Attestierungen aufzusetzen.

Google führt ab September 2026 zunächst in ausgewählten Ländern eine Entwicklerverifikation ein: Apps müssen von einem verifizierten Entwickler registriert sein, um auf zertifizierten Android-Geräten installiert werden zu können; der globale Rollout soll ab 2027 folgen. Google verweist auf Sicherheit und Malwarebekämpfung. Der Paradigmenwechsel bleibt: Freie Installation wird vom Normalfall zur Google-vermittelten Ausnahme.

Play Integrity verschärft das. Die API soll prüfen, ob Anfragen von einer echten App stammen, die über Google Play installiert wurde und auf einem echten zertifizierten Android-Gerät läuft. reCAPTCHA Mobile Verification verlangt auf Android Google Play Services ab Version 25.41.30. Für freie Android-Systeme ohne Play Services kann das faktisch zum Ausschluss werden. Das ist keine staatliche Sperre. Aber wenn Behördenzugänge, Wallets, Altersnachweise oder Zahlungen solche Gatekeeper-Mechanismen voraussetzen, wird private Plattformmacht zur funktionalen Grundrechtsmacht.

Trotz jüngst erfolgten Hinweisen des Autors auf diese Sachverhalte an das Bundeskartellamt hat dieses mitgeteilt, dass es nach seinem Ermessen derzeit nicht tätig werde.

Die Diagnose

Das Muster ist stets dasselbe: Rechtlich geht es um Schutz. Technisch entsteht Steuerungsfähigkeit. Rechtlich geht es um Identität im Einzelfall. Technisch entsteht eine universelle Authentifizierungsschicht. Rechtlich geht es um Geldwäschebekämpfung. Technisch entsteht Zahlungs- und Risikoinfrastruktur. Rechtlich bleibt Android offen. Technisch wird Offenheit zur Ausnahme.

Die Schlussfrage, Dystopie ja oder nein, ist daher nicht mehr offen. Die technischen Spezifikationen geben die Antwort bereits. Sie bauen Identifizierbarkeit, Linkability-Risiken, Relying-Party-Strukturen, DNS-Filter, App-Attestierung, AML-Risikomodelle und Zahlungssteuerung vor. Datenschutzversprechen existieren. Aber sie stehen neben den Zugriffspunkten, die eine spätere Kontrollarchitektur benötigt.

Die Dystopie müsste nicht mehr erfunden werden. Sie müsste nur noch aktiviert werden.

Privacy by Design wäre eine Architektur, die das verhindert. Eine Architektur, die Dystopie-Fähigkeit technisch vorbereitet und politisch nur verspricht, sie nicht zu nutzen, ist das Gegenteil: Dystopia by Design.