Mit ProtectEU will die EU-Kommission bis 2026 einen Technologie-Fahrplan vorlegen, der Ermittlern den Zugriff auf verschlüsselte Nachrichten verschaffen soll. Die Kommission spricht von „rechtmäßigem Zugang“, Kryptografen warnen vor einer Hintertür. Für jedes Unternehmen, das auf Ende-zu-Ende-Verschlüsselung baut, steht damit die eigene Sicherheitsbasis zur Debatte.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Am 24. Juni 2025 legte die EU-Kommission unter dem Dach von ProtectEU einen Fahrplan für den „rechtmäßigen und wirksamen Zugang zu Daten“ vor. Der brisanteste Baustein steht noch aus: ein Technologie-Fahrplan zur Verschlüsselung, den Brüssel für 2026 angekündigt hat. Genau dieser Baustein entscheidet, ob verschlüsselte Kommunikation in Europa ein geschützter Raum bleibt.
Das Wichtigste in Kürze
- ProtectEU ist die EU-Sicherheitsstrategie von April 2025, der Verschlüsselungs-Fahrplan folgt 2026.
- Ziel ist der „rechtmäßige Zugang“ zu verschlüsselten Daten, ab 2030 soll Europol eigene Entschlüsselungstechnik erhalten.
- Kryptografen halten einen sicheren Generalschlüssel für technisch unmöglich: Jede Zugangslösung schwächt die Verschlüsselung für alle.
- Für Unternehmen steht die DSGVO-Pflicht zum „Stand der Technik“ auf dem Spiel.
Was plant die EU-Kommission mit ProtectEU?
Die EU-Kommission verfolgt mit ProtectEU einen konkreten Zeitplan gegen das sogenannte Going dark. Als Internal Security Strategy im April 2025 vorgestellt, bündelt das Programm Ermittlungsbefugnisse, Vorratsdatenspeicherung und den Zugriff auf verschlüsselte Inhalte. 85 Prozent der Strafermittlungen stützen sich laut Kommission inzwischen auf elektronische Beweismittel.[1] Für 2026 kündigt Brüssel den Technologie-Fahrplan zur Verschlüsselung an, ab 2030 soll Europol eine „Entschlüsselungsfähigkeit der nächsten Generation“ bekommen.
Warum warnen Kryptografen vor einer Hintertür?
Ein sicherer Zugang allein für Behörden ist mathematisch nicht zu haben. Die Bürgerrechtsorganisation EFF hält jeden „außergewöhnlichen Zugang“ für einen Konstruktionsfehler, der die Verschlüsselung für alle schwächt.[2]
Der wahrscheinlichste technische Weg heißt Client-Side-Scanning: Die Nachricht wird auf dem Gerät geprüft, bevor die Verschlüsselung greift. Die Kontrolle rückt damit vor die Verschlüsselung, und das private Endgerät wird zum Kontrollpunkt. Eine solche Hintertür bleibt selten lange geheim: Sobald der Generalschlüssel existiert, lockt er Kriminelle und fremde Nachrichtendienste an.
Ein Generalschlüssel für die Guten bleibt eine Illusion: Dieselbe Tür, die Europol öffnet, steht auch jedem Angreifer offen. Unternehmen sollten ihre Sicherheit nicht auf einer Verschlüsselung aufbauen, an der Brüssel gerade sägt.
— Markus Seyfferth, Chefredakteur Dr. Web
Was bedeutet ProtectEU für Unternehmen im DACH-Raum?
Für Geschäftsführer berührt ProtectEU zwei Pflichten zugleich. Die DSGVO verlangt in Artikel 32 Sicherheit nach dem Stand der Technik, und Ende-zu-Ende-Verschlüsselung zählt zu diesem Standard. Ein gesetzlich erzwungener Zweitschlüssel würde genau diese Schutzmaßnahme aushöhlen, während Geschäftsgeheimnisse, Mandantendaten und Kommunikation weiter durchs Netz laufen.
Zwei Schritte lohnen sich schon jetzt. Prüfen Sie, welche Messenger und Cloud-Dienste in Ihrem Betrieb auf echter Ende-zu-Ende-Verschlüsselung laufen, und beobachten Sie den für 2026 angekündigten Technologie-Fahrplan aus Brüssel. Souveräne europäische Dienste ändern daran wenig, solange der Gesetzgeber am Fundament der Verschlüsselung rüttelt. Ihr Compliance-Konzept sollte deshalb nicht auf der Annahme ruhen, dass Verschlüsselung dauerhaft unangetastet bleibt.
Quellen
[1] Europäische Kommission: „Commission presents Roadmap for effective and lawful access to data for law enforcement“
[2] Electronic Frontier Foundation: „The EU’s ‚Encryption Roadmap’ Makes Everyone Less Safe“
Mehr Newshunger?
- Gestohlene Gedanken: Forscher lesen das verschlüsselte KI-Reasoning im Klartext
- TeamViewer: zwei hochriskante Client-Lücken erlauben fremden Code
- Drei kritische ServiceNow-Lücken: Angreifer brauchen kein Login
- Avada-Theme: Eine KI verkettet sechs Lücken zur Serverübernahme
- DeepSeek als billiges Hackerwerkzeug: Chinas Angriffsvolumen verdoppelt sich
