Altersverifikations-Gesetze riskieren Massenüberwachung

Im März 2026 unterzeichneten 438 Sicherheits- und Datenschutzforscher aus 32 Ländern einen offenen Brief mit einer klaren Botschaft an Gesetzgeber weltweit: Der Einsatz von Altersverifikationssystemen soll gestoppt werden, bis tatsächlich untersucht wurde, ob sie funktionieren — und was sie dabei kaputt machen. Zu den Unterzeichnenden gehören einige der angesehensten Namen der Kryptografie- und Sicherheitsforschung, deren Arbeit die Verschlüsselung stützt, die den alltäglichen Internetverkehr schützt.

Ihre vollständige Stellungnahme ist dicht und technisch, geschrieben für politische Entscheidungsträger statt für ein allgemeines Publikum. Wer eine konkrete Fallstudie sucht, findet sie im Deutschen: Der Standard hat einen fundierten Artikel veröffentlicht, der genau zeigt, wie ein nationaler Vorstoss in Österreich in genau jene Probleme läuft, die die Wissenschaftler beschreiben. Wir haben dieses Thema bereits früher aufgegriffen (auf Englisch), doch das Ausmass an Fachkonsens hinter diesem Brief macht ihn einen genaueren Blick wert.

Kontrollen gelten für alle, nicht nur für Minderjährige

Der Brief setzt beim Umfang an. Altersprüfungen offline — ein Türsteher, der kurz auf den Ausweis schaut — sind eng begrenzt, hinterlassen keine Aufzeichnung und passieren nur gelegentlich. Online-Vorschläge gehen viel weiter: Um mit Freunden zu chatten, Nachrichten zu lesen oder etwas zu suchen, müsste jeder Nutzer — erwachsen oder minderjährig — sein Alter nachweisen. Der Brief argumentiert, dass es diese Grössenordnung an Identitätsprüfung im Offline-Leben nie gegeben hat, und dass ihr genau jener eingebaute Datenschutz fehlt, den ein Ausweischeck auf Papier bietet.

Vier Wege, wie sich Kontrollen umgehen lassen

Die Wissenschaftler benennen konkrete Umgehungsmethoden, die bereits bei laufenden Systemen beobachtet wurden: geliehene oder gekaufte Zugangsdaten, VPNs, die die Zuständigkeit umgehen, und zunehmend KI-generierte Gesichter oder Deepfakes, die Kameras zur Altersschätzung täuschen sollen. Ein Markt für gültige Konten und Umgehungswerkzeuge entsteht meist innerhalb weniger Tage, nachdem eine Kontrolle live geht. Wer selbst über ein VPN nachdenkt, findet hier eine Einordnung, wovor es tatsächlich schützt — der Brief merkt an, dass genau dieses Werkzeug nun als Nebenfolge der Altersverifikations-Durchsetzung zur Regulierung diskutiert wird.

Altersschätzung tauscht ein Risiko gegen ein schlimmeres

Da nicht jeder Dienst voraussetzen kann, dass Nutzer einen amtlichen Ausweis oder eine passende App besitzen, setzen viele — darunter Discord, Roblox und ChatGPT — auf Altersschätzung: das Alter wird anhand eines Fotos, Videos oder des Nutzerverhaltens geraten. Der Brief kritisiert diesen Ansatz scharf. Solche Systeme stützen sich auf biometrische und verhaltensbezogene Daten, die von Natur aus sensibel sind, weisen bekanntermassen hohe Fehlerquoten auf, sind gegenüber bestimmten Gruppen verzerrt und lassen sich mit etwas so Einfachem wie einem falschen Bart täuschen. Der Brief nennt einen konkreten Schaden: 70’000 Discord-Nutzern wurden ihre amtlichen Ausweisfotos geleakt, nachdem sie gegen fehlgeschlagene Altersprüfungen Einspruch erhoben hatten — ein realer Datenschutzvorfall, direkt verursacht durch die vermeintliche «Lösung».

Vertrauensinfrastruktur im Internet-Massstab ist nicht trivial

Selbst mit einer funktionierenden Verifikationsmethode muss noch jemand die technische Infrastruktur dahinter aufbauen: vertrauenswürdige Aussteller, Schlüsselverteilung, Widerruf, grenzüberschreitende Interoperabilität. Der Brief weist darauf hin, dass die Absicherung des grundlegenden Webverkehrs (HTTPS) branchenweit Jahrzehnte gedauert hat. Die EUDI-Wallet der EU soll einiges davon lösen, ist aber noch nicht ausgerollt und klärt weder den Widerruf noch die Nutzung ausserhalb der EU. Österreichs eigenes System ID Austria ist ein anschauliches Beispiel für diese Lücke — es unterstützt aktuell keine Zero-Knowledge-Proofs, die der eigene Gesetzesentwurf voraussetzt, ein Punkt, den wir in unserem Beitrag zu ID Austria, der EUDI-Wallet und der Schweizer eUID ausführlicher behandelt haben.

Infrastruktur für einen Zweck bleibt selten dabei

Die schärfste Warnung des Briefs betrifft die Zeit nach der Einführung. Zugangskontroll-Infrastruktur, die zur Altersprüfung gebaut wurde, lässt sich umwidmen, um den Zugang aus Gründen zu sperren, die nichts mit Kinderschutz zu tun haben — der Brief nennt ausdrücklich die Internet-Abschaltungen im Iran als Vorschau darauf, was zentralisierte Zugangskontrolle werden kann. Er warnt zudem, dass eine Durchsetzung auf Browser- oder Betriebssystem-Ebene noch mehr Kontrolle darüber, was erreichbar ist, in die Hände weniger grosser US-Technologiekonzerne legt. Das ist ein vertrautes Muster: Regeln, die mit Kinderschutz begründet werden, weiten am Ende die Überwachung für alle aus — ein Muster, das wir auch sahen, als die EU das Scannen privater Nachrichten wieder erlaubte, mit ähnlicher Begründung.

Worum die Wissenschaftler wirklich bitten

Die Unterzeichnenden sind nicht gegen den Schutz von Kindern online — mehrere von ihnen erforschen Online-Gefahren für Minderjährige direkt. Ihre Forderung ist enger gefasst und schwerer von der Hand zu weisen: ein Moratorium für den grossflächigen Einsatz, bis es echte Belege dafür gibt, dass Altersverifikation funktioniert, und bis öffentlich klar Rechenschaft darüber abgelegt wird, was sie an Datenschutz, Gleichheit und Sicherheit kostet. Sie verweisen zudem auf eine direktere Alternative — die Regulierung des süchtig machenden algorithmischen Designs sozialer Plattformen, die näher an der tatsächlichen Ursache des Problems liegt als eine Ausweiskontrolle an der Tür.

Foto: Zulfugar Karimov via Pexels