Zusammenfassung

  • Ofcom eröffnete am 9. September 2026 ein branchenweites Programm zu Maßnahmen gegen NCII. Zunächst stehen Erwachsenen- und Instant-Messaging-Dienste sowie Hash Matching im Mittelpunkt. Die Programmeröffnung ist keine Feststellung, dass ein benannter Dienst gegen den Online Safety Act verstößt.
  • Die geänderten Codes treten am 30. September in Kraft. ICU C14 empfiehlt den Abgleich für Dienste, die seine Bedingungen erfüllen, behandelt den ersten Treffer eines nicht verifizierten Hashes aber als Verdachtsgrund mit Prüfpfad. Bei hinreichender Sicherheit ist schnelles Handeln möglich; dokumentierte Alternativmaßnahmen bleiben zulässig.

Aufsicht beginnt mit einer Frage, nicht mit einem Urteil

Im Enforcement Programme nennt Ofcom eine Reihenfolge: möglicherweise gefährdete Dienste ermitteln, deren Maßnahmen bewerten und bei potenzieller Nichtkonformität eine formelle Durchsetzung erwägen. Eine Priorität, eine Auswahl, eine Prüfung, ein förmliches Verfahren und ein Verstoß sind fünf verschiedene Zustände.

Die Dringlichkeit des Schadens ändert daran nichts. Jede erneute Verbreitung kann die Verletzung vertiefen. Ein regulatorischer Branchenschwerpunkt beweist dennoch weder ein kollektives Versagen noch den Rechtsverstoß eines nicht genannten Unternehmens.

Die gesetzliche Pflicht steht in Section 10 des Online Safety Act 2023. Regulierte Nutzer-zu-Nutzer-Dienste müssen verhältnismäßige Design- oder Betriebsmaßnahmen einsetzen, um Begegnungen mit prioritären illegalen Inhalten zu verhindern und ermittelte Risiken zu steuern. Ihre Systeme sollen außerdem die Verweildauer minimieren und bekannte illegale Inhalte zügig entfernen.

Die Codes für Nutzer-zu-Nutzer-Dienste enthalten die Änderungen vom 9. September und gelten ab dem 30. September. Wer eine anwendbare Empfehlung umsetzt, wird hinsichtlich der zugehörigen Pflicht als konform behandelt. Ein anderer Weg ist möglich, verlangt jedoch eine Aufzeichnung der Maßnahme, ihrer Eignung sowie der Abwägung von Meinungsfreiheit und Privatsphäre.

Ofcoms öffentliche Mitteilung formuliert dies als Hash Matching oder Nachweis eines gleich wirksamen Mittels. Der Code enthält die nötige Einschränkung: kein Pflichtanbieter, keine pauschale Anwendung auf alle Dienste und kein vorweggenommenes Verstoßurteil am Stichtag.

ICU C14 hat Voraussetzungen, keine bloße Branchenüberschrift

Ein Dienst muss visuelle nutzergenerierte Inhalte ermöglichen und zusätzliche Risiko-, Zweck-, Größen- oder File-Sharing-Kriterien erfüllen. Bei hohem Risiko gehören dazu Dienste mit regulierten pornografischen Inhalten als Hauptzweck, mehr als 700.000 monatlich aktiven Nutzern im Vereinigten Königreich oder einer Speicher- und Dateifreigabefunktion. Große Dienste mit mittlerem oder hohem Risiko können ebenfalls erfasst sein.

Die Bezeichnung „Messaging“ ersetzt diesen Test nicht. Für jedes Produkt muss die konkrete Anwendungsbedingung feststehen. ICU C14 bedeutet auch nicht, dass private Dateien öffentlich oder wahllos geprüft werden dürfen.

Technisch machbar soll ein perzeptueller Hash-Abgleich eingesetzt werden. Für Video kann kryptografisches Hashing dienen, wenn der geeignete Bestand keinen perzeptuellen Abgleich unterstützt. Ofcoms Statement zur Erkennung setzt einen Bestand voraus, der der führenden Drittanbieterdatenbank StopNCII.org entspricht oder sie übertrifft. Das ist eine Leistungsreferenz und keine Übertragung staatlicher Entscheidungsgewalt an den Datenbankbetreiber.

Der Code unterscheidet verifizierte Hashes, die bei der Aufnahme als intime Missbrauchsinhalte bestimmt wurden, von nicht verifizierten Hashes. Dieser Status verändert die nachfolgende Behandlung. Er beantwortet nicht automatisch die Einwilligungs- und Kontextfrage einer späteren Veröffentlichung.

Derselbe Begriff „Treffer“ führt nicht immer zum selben Schritt

Beim ersten positiven Treffer eines nicht verifizierten Hashes in der betreffenden perzeptuellen Konfiguration — oder beim ersten kryptografischen Treffer — soll der Anbieter einen Verdacht auf möglicherweise illegalen Inhalt annehmen und nach ICU C1 prüfen. Der Treffer eröffnet eine Entscheidung; er ist noch keine.

Bei anderen Treffern hängt der Pfad vom Vertrauen in Technologie und Begleitprozesse ab. Genügende Sicherheit kann eine Behandlung als illegaler Inhalt und eine schnelle Entfernung tragen. Andernfalls bleibt der Treffer ein Verdachtsgrund mit Prüfung. Die Architektur enthält absichtlich diese Verzweigung.

Die Illegal Content Judgements Guidance verlangt ausreichende Kenntnis britischen Rechts und die Berücksichtigung aller vernünftigerweise verfügbaren relevanten Informationen. Bei intimen Bildern können Beschwerde, Begleittext, Veröffentlichungskontext und Einwilligungsangaben die Beurteilung bestimmen. Bildähnlichkeit trägt diese Elemente nicht in sich.

Die Grenze rechtfertigt keine unnötige Verzögerung. Bestehende relevante Inhalte sollen in angemessener Zeit analysiert werden, neue Inhalte vor oder so bald wie möglich nach ihrer Erreichbarkeit für britische Nutzer. Schnelligkeit und begründbares Urteil müssen gleichzeitig funktionieren.

Menschliche Prüfung kontrolliert auch den blinden Fleck

ICU C14 verlangt die menschliche Bewertung eines angemessenen Anteils erkannter Inhalte. Die gesonderte Ofcom-Leitlinie setzt keine Einheitsquote. Dokumentierte Leistung, Genauigkeit, Fehlermuster und Schadensrisiko bestimmen die Ressourcen.

Bei der Moderation kann ein Mensch einen Einzelfall beurteilen, etwa den ersten nicht verifizierten Treffer. Bei der Qualitätssicherung werden Stichproben von Inhalten sowie automatischen und menschlichen Entscheidungen neu bewertet. Eine auf Recall ausgerichtete perzeptuelle Konfiguration oder nicht verifizierte Hashes können wegen zusätzlicher Fehlalarme mehr Prüfung verlangen. Hohe Erkennungssicherheit und schwerer Schaden für die abgebildete Person können umgekehrt schnelleres Handeln begründen.

Auch die Folgen einer Fehlentscheidung für den Nutzer zählen: Zugangsbeschränkung, Einnahmeverlust oder Herabstufung. Je größer die Wirkung, desto wichtiger die schnelle Umkehrbarkeit. Qualitätssicherung muss darüber hinaus unerkannte Inhalte aus Meldungen, Beschwerden, Community-Moderation und Stichproben untersuchen. Sonst fehlen die False Negatives in der Leistungsbilanz.

Der Hash-Bestand braucht ausreichende Originaleinträge, laufende Aktualisierung und Schutz gegen unbefugten Zugriff oder Manipulation. Ein als falsch erkannter Hash soll entfernt werden. Präzision und Recall sind mindestens halbjährlich zu überprüfen; Konfiguration, Belege und Korrekturen gehören in eine schriftliche Historie. Ofcom bezeichnet diese Elemente als Schutz für Meinungsfreiheit und Privatsphäre. Datenschutzrecht gilt weiterhin.

Ein Entscheidungsbeleg ohne intime Daten

Ich schlage einen Hash-zu-Entscheidung-Beleg vor. Er verbindet Dienst und Richtlinienversion, Quelle und Version des Hash-Bestands, Verifizierungsstatus, Abgleichmethode, Konfigurationsklasse und die Sicherheitsstufe, die zur Prüfung oder unmittelbaren Maßnahme führte.

Danach folgen die Arten berücksichtigter Kontextinformationen, die Funktion der menschlichen Prüfung, Maßnahme und Zeitpunkt, Umkehrbarkeit, Beschwerde- oder Berufungsstatus sowie Wiederherstellung, Hash-Entfernung oder Konfigurationsänderung. Aggregierte Felder zeigen Fehlalarme und übersehene Inhalte samt Nennern, Prüfungsabdeckung und Datum der Halbjahreskontrolle. Ein eigenes Regulierungsfeld trennt Programmzugehörigkeit, Bewertung, formelle Untersuchung, Konformität und Verstoß.

Die öffentliche Fassung enthält weder Bild noch Identität, wiederverwendbaren Hash, Beschwerdetext oder umgehungsfähige Schwelle. Geschützte Detailbelege können Ofcom vorliegen. Sichtbar werden sollen Zuständigkeit und Korrektur, nicht das Opfermaterial.

Der Beleg ist mein redaktioneller Vorschlag, keine Ofcom-Pflicht. Er überträgt die Autoritätsspur aus The Policy Mirror, den Übergangstest aus Running Code Primary und die Trennung von Messung und institutioneller Darstellung aus Why BTW Media Exists.

Ofcom führt proaktiven Schutz in seinen Prioritäten 2026–27, betont aber, dass Aufsichtsschwerpunkte die Pflichten anderer Dienste nicht verändern. Erfolg bedeutet deshalb weniger schädliche Wiederverbreitung bei erklärbaren und korrigierbaren Entscheidungen, nicht möglichst viele Treffer.

Quellen

  1. Ofcom — NCII Enforcement Programme
  2. Ofcom — Ankündigung der Maßnahmen zum 30. September
  3. Ofcom — Statement zur Erkennung von intimate image abuse
  4. Ofcom — Codes für Nutzer-zu-Nutzer-Dienste
  5. Ofcom — Leitlinie zur menschlichen Prüfung
  6. Ofcom — Illegal Content Judgements Guidance
  7. Online Safety Act 2023
  8. Ofcom — Online-Safety-Prioritäten 2026–27
  9. Heng Lu — The Policy Mirror
  10. Heng Lu — Running Code Primary
  11. Heng Lu — Why BTW Media Exists