Am 13. Juli 2026 fällte das US-Bundesgericht für den nördlichen Distrikt von Kalifornien ein Urteil, das viele mit gemischten Gefühlen zurückließ: Apple gewann den Prozess und muss nicht für die Verbreitung von Kinderpornografie (CSAM) in iCloud haften. Richterin Noël Wise entschied, dass das Gesetz auf Apples Seite steht – doch sie schrieb in seltener Deutlichkeit, dass dieses Ergebnis bedeute, dass betroffene Kinder »Kollateralschaden einer unzureichenden Rechtslandschaft« seien. Sie forderte den Gesetzgeber direkt auf: Wenn man von Technologieunternehmen etwas verlange, müsse man es gesetzlich vorschreiben.
Der Prozess wurde gewonnen, aber die Richterin ist alles andere als zufrieden. Was ist hier passiert?
Was Apple getan hat – und was nicht
Die Geschichte beginnt im Jahr 2021. Apple kündigte damals ein System namens NeuralHash an. Die Idee: Bevor Nutzer Fotos in iCloud hochladen, wird auf dem Gerät selbst ein Hash-Abgleich (ein digitaler Fingerabdruck) durchgeführt. Stimmt ein Bild mit einer bekannten Datenbank von Kindesmissbrauchsmaterial überein, wird der Upload blockiert und gemeldet.
Klingt vernünftig, oder? Aber es gab ein Problem.
In der Branche existierte bereits ein etabliertes Werkzeug – Microsofts PhotoDNA, das von Google, Facebook, Microsoft selbst und fast allen großen Plattformen eingesetzt wird. Doch Apple nutzte nicht PhotoDNA, sondern entwickelte mit NeuralHash eine eigene Lösung. Diese erwies sich als unzureichend – Forscher fanden schnell heraus, dass sie falsch-positive Ergebnisse lieferte und umgangen werden konnte. Schwerer wog jedoch die Kritik von Datenschützern: NeuralHash schaffe im Grunde eine »Hintertür« auf dem Telefon, die von Regierungen missbraucht werden könnte.
Ende 2022 vollzog Apple eine Kehrtwende: Das Unternehmen gab die Pläne zum iCloud-CSAM-Scan vollständig auf und führte stattdessen die Ende-zu-Ende-Verschlüsselung Advanced Data Protection für iCloud ein. Das bedeutete, dass nicht einmal Apple selbst auf die in iCloud gespeicherten Inhalte zugreifen konnte.
Diese Entscheidung verwirrte alle. Kinderschutzorganisationen warfen Apple vor, seine Verantwortung aufzugeben; Datenschützer hingegen begrüßten die Entscheidung. Und die Klagen ließen nicht lange auf sich warten.
Kern der Klage: Wissen, aber nichts tun – ist das illegal?
Zwei Klägerinnen mit den Pseudonymen Amy und Jessica – deren Missbrauchsfotos aus Kindertagen bis heute in iCloud kursieren – reichten im Namen von rund 2680 Opfern eine Sammelklage ein. Die Schadensersatzforderung belief sich auf 32,8 Milliarden Dollar.
Ihre Anwälte argumentierten: Internen iMessage-Chats zufolge wussten Apple-Mitarbeiter, dass iCloud zur Verbreitung dieser illegalen Inhalte genutzt wurde – doch Apple entschied sich bewusst dagegen, PhotoDNA oder NeuralHash einzusetzen. Die technische Möglichkeit sei gegeben, so die Kläger – das Problem sei Apples Untätigkeit.
Das Gericht sah das anders.
Der entscheidende Paragraph: Section 230 – ein Gesetz aus dem Jahr 1996
Die rechtliche Grundlage für die Abweisung der Klage ist ein Gesetz aus der Ära des DFÜ-Internets: Section 230 des Communications Decency Act.
Dieser Paragraph besagt im Kern: Internetplattformen haften nicht für die Inhalte ihrer Nutzer. Einfach gesagt: Wenn jemand auf Facebook eine verleumderische Nachricht postet, haftet nicht Facebook – denn Facebook ist Plattform, nicht Verlag.
Aber iCloud ist doch eine Cloud-Speicherlösung, kein soziales Netzwerk? Das Gericht argumentierte wie folgt:
Richterin Wise schrieb in ihrem Urteil:
»Die Klage verlangt im Wesentlichen, dass Apple als Verleger für Inhalte Dritter behandelt wird. Werkzeuge zur CSAM-Erkennung – ob NeuralHash oder PhotoDNA – dienen der Überprüfung von Nutzerinhalten. Die Entscheidung, solche Werkzeuge einzusetzen oder nicht, ist eine inhaltliche Moderationsentscheidung.«
Mit anderen Worten: Die Forderung, iCloud nach CSAM zu durchsuchen, bedeutet im Kern, Apple in die Rolle eines Zensors zu drängen – und genau davor schützt Section 230. Das Gesetz besagt, dass Plattformen nicht verpflichtet sind, Nutzerinhalte aktiv zu überwachen – also ist Apples Untätigkeit kein Rechtsverstoß.
Das Gericht stellte zudem klar, dass selbst internes Wissen über den Missbrauch von iCloud die Immunität nach Section 230 nicht aufhebt.
Das Unbehagen der Richterin: Das Gesetz schützt Apple, aber nicht die Kinder
Wäre das Urteil hier zu Ende, wäre es ein gewöhnlicher Rechtsbericht. Doch Richterin Wise fügte einige Passagen hinzu, die diesen Fall außergewöhnlich machen.
Sie schrieb:
»Derzeit hindert das Gesetz kein Unternehmen – auch Apple nicht – daran, vorhandene Technologien zur Erkennung und Meldung von Kinderpornografie einzusetzen. Gleichzeitig zwingt es kein Unternehmen dazu. «
»Diese Kinder sind der Kollateralschaden einer unzureichenden Rechtslandschaft. Sie verdienen Besseres.«
Die Botschaft ist klar: Aus moralischer Sicht, so die Richterin, sollte Apple handeln. Aus rechtlicher Sicht kann sie Apple jedoch nicht dazu zwingen. Sie fordert den Kongress auf, dieses Problem gesetzlich zu regeln, statt die Gerichte die Lücken füllen zu lassen.
Dies ist ein klassisches Beispiel für ein »legislatives Vakuum«: Die Technologie entwickelt sich schneller als das Recht. Section 230 von 1996 hatte Cloud-Dienste mit Milliarden Nutzern nicht im Blick.
Eric Goldmans Bloganalyse ist die Kernquelle dieses Artikels
Die Sicht der Gegenseite: Datenschutz gegen Kinderschutz
Das Schwierigste an diesem Fall: Es gibt keine einfache Gut-Böse-Erzählung.
Die Befürworter von Scans argumentieren:
Kindesmissbrauchsmaterial ist eine Straftat – die Werkzeuge existieren (PhotoDNA ist umfassend erprobt), Apple hat hunderte Milliarden Dollar Barreserven und könnte problemlos handeln. Nicht zu scannen bedeutet, Straftaten zu tolerieren. Jedes verbreitete Foto fügt den Opfern weiteren Schaden zu. Auch die britischen und australischen Aufsichtsbehörden haben Apples Vorgehen öffentlich kritisiert.
Die Gegner von Scans argumentieren:
Wenn Apple iCloud-Inhalte scannen darf, ist das Ende-zu-Ende-verschlüsselte System ausgehebelt. Was heute zur CSAM-Erkennung genutzt wird, kann morgen zur Überwachung politischer Dissidenten, von Krankenakten oder privater Fotos eingesetzt werden. Die Geschichte hat gezeigt – von PRISM bis zu den weltweiten Angriffen auf Verschlüsselung –, dass jeder erzwungene Scan-Mechanismus irgendwann missbraucht wird. Hinzu kommt das Risiko von Fehlalarmen, bei denen unschuldige Nutzerfotos fälschlich markiert werden.
Aus meiner Sicht haben beide Seiten recht. Das eigentliche Problem liegt jedoch auf der Ebene der Machtverteilung.
Technische Bewertung: Können heißt nicht sollen
Rein technisch betrachtet wäre der Einsatz von PhotoDNA oder einer verbesserten Version von NeuralHash in iCloud durchführbar. Microsofts PhotoDNA läuft seit über einem Jahrzehnt, verarbeitet täglich Milliarden von Bildern und hat eine extrem niedrige Fehlerquote.
Das Problem: Sobald ein Scan-Mechanismus in einer Cloud-Speicherlösung implementiert wird, ist die Ende-zu-Ende-Verschlüsselung faktisch ausgehebelt. Der Scan muss entweder vor der Verschlüsselung oder nach der Entschlüsselung erfolgen – das bedeutet, Apple muss über die Entschlüsselungsschlüssel verfügen, also Zugriff auf alle privaten Dateien der Nutzer haben.
Apples Entscheidung von 2022 – Scans aufzugeben und stattdessen auf Ende-zu-Ende-Verschlüsselung zu setzen – ist aus sicherheitstechnischer Sicht ehrlich. Sie erkennt an: Man kann nicht gleichzeitig echte Privatsphäre bieten und in der Cloud nach Inhalten suchen.
Apples Technologie an sich ist nicht das Problem. Die Physik erlaubt es aber nicht, gleichzeitig Ende-zu-Ende-Verschlüsselung und Cloud-basiertes Scannen zu haben.
Wie geht es weiter?
Die Anwälte der Kläger haben angekündigt, Berufung beim Ninth Circuit Court einzulegen. Doch interessanter sind die Entwicklungen auf gesetzgeberischer Ebene: Der US-Kongress diskutiert seit Jahren eine Reform von Section 230, aber das Thema ist hochpolitisch, und die Fortschritte sind schleppend.
Unterdessen hat der Attorney General von West Virginia eine separate Klage gegen Apple eingereicht – die erste Klage einer staatlichen Behörde, die sich mit der Rolle von iCloud bei der Verbreitung von CSAM befasst.
Dieser Fall könnte letztlich bis zum Supreme Court gehen. Bis dahin zirkulieren die Fotos der Opfer weiter in iCloud.
Gedanken zum Fall
Dieser Prozess offenbart eine beunruhigende Tatsache: Unser Rechtssystem wurde nicht dafür konzipiert, dass Plattformen gleichzeitig Infrastruktur sind. iCloud ist sowohl persönliches Archiv als auch Inhalte-Verteilungsplattform. Wenn man Scan-Pflichten auferlegt, zerstört man gleichzeitig die Funktion als privates Archiv.
Richterin Wise hat recht: Dieses Problem muss vom Gesetzgeber gelöst werden, nicht von den Gerichten. Doch ob der Gesetzgeber den politischen Willen aufbringt, eine Balance zwischen Kinderschutz und Privatsphäre zu finden, ist eine andere Frage.
Technologie war noch nie der schwierigste Teil. Am schwierigsten ist die Frage, wie viel von einem Recht wir bereit sind zu opfern, um ein anderes zu schützen.
Referenzen:
- Eric Goldmans Blog: Apple-Prozess-Analyse und Section-230-Rechtsprechung
- HN-Diskussion (item?id=48992870): Polarisierte Diskussion in der Tech-Community
- 9to5Mac: Fakten zum Fall und Prozessverlauf
- Reuters: Urteil und Berufungsabsicht der Kläger
- Microsoft PhotoDNA: Technische Grundlagen des Hash-Abgleichs
- EFF: Technikethik von Ende-zu-Ende-Verschlüsselung und CSAM-Scans
- Wikipedia: Zeitleiste zu iCloud Advanced Data Protection
