Je länger ich über den Vorschlag der EU nachdenke, desto mehr Gründe fallen mir ein, warum das keine gute Idee ist. Ein paar Gedanken:
- (Ausweich-)Reaktionen der Betroffenen
Bei Maßnahmen sollte man immer auch die (Ausweich-)Reaktionen der Betroffenen mitdenken.
1.1 Technisches Wettrüsten/Evolution
Es wird zwangsläufig eine Evolution eintreten:
Wenn Bilder gescannt werden, dann werden Bilder nicht mehr direkt verschickt, sondern werden vorverschlüsselt. Das Passwort dafür kann man verklausuliert bekannt geben und regelmäßig ändern, so dass automatische Verfahren hier das Nachsehen haben – von Umschreibungen bis Steganographie ist hier vieles denkbar. Die Messenger-Apps und -Server bekommen so nur bereits vorverschlüsselte Inhalte zu Gesicht, womit die echte Ende-zu-Ende-Verschlüsselung (E2E) dann wieder hergestellt wäre und die gesamte Maßnahme ins Leere läuft.
E2E ist ein etabliertes Verfahren und kann meiner Meinung nach nie dauerhaft wirksam ausgehebelt werden. Sie kann verboten werden, was allenfalls den normalen Bürger*innen von ihrer Benutzung abschrecken würde, aber vorsätzlich Kriminelle sicherlich nicht.
1.2 Hash-Überprüfung nicht akzeptabel
Auch eine Hashüberprüfung wird eine Selbstzensur befeuern, da Benutzende sich nicht sicher sein können, ob eine gesendete Nachricht nicht doch gegen irgendeinen Filter verstoßen könnte – und sie können sich auch nicht sicher sein, ob wirklich „nur“ nach sexualisierter Gewalt gegen Kinder gefahndet wird. Da braucht „der Staat“ nur gezielt Andeutungen machen, um hier entsprechende Ängste zu schüren.
Wer wirklich sicher sein will, wird zu 1.1 greifen (müssen).
1.3 Warnungen wären kontraproduktiv
Wenn Benutzende nur gewarnt würden, dann könnten Kriminelle genau diese Funktion nutzen, um zu prüfen, ob ein gegebenes Material noch „sicher/nutzbar“ ist und bei Bedarf das Bild solange verfremden, bis der Filter nicht mehr anschlägt.
So würde man dann gemäß Konstruktion überhaupt keine Verstöße mehr ausfindig machen.
1.4 Behördensoftware zur Erkennung
Wenn es sich hierbei um Open Source handelt, greift Punkt 1.3 in analoger Form.
Wenn nicht, dann besteht die Gefahr, dass die Software zu einem Staatstrojaner ausgebaut wird, insbesondere, wenn die Software auch auf dem Gerät des Benutzenden laufen würde.
Die Zusatzfunktionen kann man nach ein paar Jahren anfangen einzubauen, wenn niemand mehr so genau hinschaut. Man muss den Code an diesen Stellen nur entsprechend undurchsichtig gestalten und die Einzelteile im Laufe der Zeit so hinzufügen, dass durch eine einfache Änderungsanalyse sich das Gesamtausmaß der Änderungen nicht so leicht durchschauen lässt.
Begleitend dazu kann man auch offiziell die Befugnisse der Software schrittweise ausbauen.
- Zur Überprüfungsbehörde
2.1 Gewalt gegen Behördenpersonal
Wie sieht es mit der Gewalt gegenüber den in dieser Überprüfungsbehörde arbeitenden Menschen aus? Sie müssen sich diese furchtbaren Bilder anschauen. Wie lange und was kann man hier den Menschen zumuten? Arbeitsschutzrechtlich vielleicht auch nicht ganz unproblematisch.
2.2 Neigungen des Behördenpersonals
Wer würde sich freiwillig für eine Arbeit bewerben, bei der man sich täglich Bilder anschauen muss, auf denen sexualisierte Gewalt gegenüber Kindern dargestellt wird? Vielleicht würde man durch die Einführung einer solchen Behörde ungewollt der Verbreitung derartiger Bilder Vorschub leisten.
2.3 Auswirkungen eines Skandals in der Überprüfungsbehörde
Was wäre der nächste Schritt, wenn auch nur ein Amtsmissbrauch aus dieser Behörde öffentlich wird? Wird die Behörde dann doch wieder wegoptimiert und die Daten direkt an die Exekutive weitergeleitet zur (letztlich beliebigen) Auswertung?
Wäre doch „schade“ alles wieder wegzuwerfen, nach dem die Industrie so viel Geld investieren musste und die Infrastruktur selbst doch so gut läuft.
Euer Logo, mit Screenshot von der Webseite geholt.
Und hier nochmal Euer Logo, um das Bild zu bekommen habe ich das obige in Gimp geladen und mit einer anderen Kompressionsstufe wieder exportiert. Beide Bilder sehen gleich aus. Hashwerte (sha256):
Mich würde mal interessieren wie die zentrale Behörde nach einer Anordnung denn kontrolliert, dass in einen Client auch tatsächlich ein wie auch immer gearteter Filtermechanismus eingebaut wurde. Überspitztes Beispiel: Ein privates Unternehmen bekommt eine Anordnung, macht nix und sagt drei Monate später „Jawoll, wurde eingebaut“. Hat denn die zentrale Behörde die Autorität sich den proprietären Sourcecode des Clients anzuschauen?