Regulieren ohne Verstehen: Warum Europa die Konformität dem Beweis vorzieht
Die CNIL liebt es, sich als französisches Bollwerk gegen digitale Missbräuche zu präsentieren. Auf dem Papier ist das verführerisch: eine unabhängige Behörde, Hüterin der Freiheiten, fähig, sowohl den Staat wie die Unternehmen zur Ordnung zu rufen. In der Realität ist sie ein administrativer Tiger mit Schaumstoffzähnen. Nicht aus mangelnder individueller Gutwilligkeit, sondern aus strukturellen Gründen. Die CNIL wurde in einer Welt geboren, in der die Datenverarbeitung zentralisiert, langsam und vor allem für generalistische Juristen verständlich war. Nun aber ist die zeitgenössische digitale Macht diffus, transnational und tiefgreifend technisch. Ergebnis: Die CNIL denkt in Konformität, wo das Problem systemisch ist. Sie prüft, ob die Häkchen gesetzt sind, ob die Pflichtangaben da sind, ob die Formulare die DSGVO respektieren. Derweil bleiben die Architekturen selbst (Massenerhebung, algorithmische Inferenzen, radikale Informationsasymmetrien) unangetastet. Die CNIL sanktioniert a posteriori, mit Bußgeldern, die zwei Tage lang Schlagzeilen machen, bevor sie als Betriebskosten verbucht werden. Sie demontiert nichts, sie öffnet keine Motorhauben, sie legt nie öffentlich ein System in seine Einzelteile, indem sie sagt: „so genau überwacht ihr uns, Codezeile für Codezeile“. Sie hat weder die Kultur, noch die Mittel, noch vor allem den echten politischen Auftrag dazu.
Ihr gegenüber spielen die EFF und der Chaos Computer Club in einer anderen Liga. Die EFF ist juridisch-politisch: sie klagt an, verteidigt, schafft Präzedenzfälle, verwandelt die digitalen Freiheiten in einklagbare Rechte. Sie handelt in der Arena, wo die Regeln geschrieben werden, in dem Wissen, dass das Recht langsam ist, aber dass es, wenn es entscheidet, dauerhaft entscheidet. Der CCC dagegen operiert vorauseilend: er beweist. Er zeigt, dass der Kaiser nackt ist, dass die Wahlmaschine kaputt ist, dass die Biometrie eine gefährliche Farce ist, dass die proklamierte Sicherheit eine Marketinglüge ist. Wo die CNIL Garantien verlangt, holt der CCC ein Oszilloskop, einen Speicherauszug und eine öffentliche Demonstration heraus. Der Unterschied ist brutal: Die CNIL moralisiert, der CCC widerlegt die offiziellen Diskurse durch den Beweis. Und eine Institution, die weder tief auditieren noch die Mechanismen technischer Herrschaft sichtbar machen kann, ist zur höflichen Ohnmacht verdammt.
Die „Bug Bounties“ stehen exakt in derselben Logik von Ohnmacht, die als Modernität getarnt ist. Auf dem Papier ist es glänzend: Die Unternehmen bezahlen diejenigen, die Lücken finden. In der Praxis ist es eine zynische Privatisierung der technischen Kritik. Man erlaubt Ihnen zu suchen, aber nur dort, wo man Ihnen sagt zu suchen, nur an dem, was man sichtbar machen wollte, und vor allem unter der Bedingung, den Mund zu halten, sobald bezahlt ist. Das Bug Bounty ist kein Sicherheitswerkzeug, es ist ein Werkzeug der Erzählkontrolle. Es verwandelt den Forscher in einen schweigenden Dienstleister, die Lücke in einen isolierten Vorfall, und verhindert jede öffentliche Debatte über die Architekturentscheidungen. Eine kritische Schwachstelle in einem Überwachungs- oder Zahlungssystem zu finden, eröffnet nie die politische Frage, ob dieses System in dieser Form existieren sollte. Man stopft, zahlt ein paar Tausend Euro und macht weiter wie zuvor. Der CCC hingegen betrachtet bestimmte Lücken nicht als Bugs, sondern als Symptome. Und ein Symptom zeigt man, diskutiert man, politisiert man. Darum wird er von den Rechtsabteilungen gehasst und von denen verehrt, die noch denken, dass die Technik nicht neutral ist.
Was die Europäische Union betrifft, so betrachtet sie das alles mit gemischter Faszination und Angst. Sie bewundert den CCC für seine Fähigkeit, Entgleisungen vorherzusehen, vor den anderen zu verstehen, was schiefgehen wird. Aber sie ist unfähig, seine Methode zu übernehmen. Die EU zieht es vor, im Nachhinein zu gesetzgeben, massige, wortreiche Verordnungen zu produzieren, im Ansatz oft intelligent, aber auf einer Abstraktion der technischen Realität gebaut. DMA, DSA, AI Act: notwendige Texte, mitunter mutige, aber immer eine Schlacht zu spät. Europa versucht, den CCC durch die Norm zu imitieren, ohne je die zentrale Idee anzunehmen: dass es Akteure braucht, die fähig sind, die technologischen Spielzeuge öffentlich zu zerschlagen, damit die Politik die Hand zurückgewinnt. Nun, ein Spielzeug zu zerschlagen heißt, den Konflikt zu akzeptieren, die diplomatische Verlegenheit, den Zorn der Industriellen und mitunter sogar die zeitweilige Lächerlichkeit der eigenen Institutionen. Die EU will die Tugend ohne den Schweiß, die Regulierung ohne die Konfrontation, die Souveränität ohne den Mut, die eigenen Systeme unter einer technischen Demonstration in sich zusammenstürzen zu sehen.
Im Grunde entscheidet sich alles hier. Die CNIL beruhigt, die Bug Bounties betäuben, die EU reguliert. Der CCC dagegen stört. Und solange die europäischen Institutionen den Verfahrenskomfort dem Beweis vorziehen, werden sie weiter Technologien hinterherlaufen, die sie erst verstehen, wenn es zu spät ist. Das ist kein Problem individueller Kompetenz, das ist ein Problem der politischen Wirbelsäule. Und das korrigiert keine Verordnung.