Altersbeschränkungen dürfen rechtlich nicht an den Kindern getestet werden, die sie blockieren sollen

Das Paradoxon im Herzen der Altersverifikation

Regulierungsbehörden weltweit drängen Plattformen dazu, Altersverifikationssysteme einzuführen, die zuverlässig Minderjährige von Erwachseneninhalten, sozialen Medien und anderen altersbeschränkten Diensten fernhalten. Doch eine aktuelle Analyse von Xident weist auf ein Problem hin, das all diesen Vorgaben zugrunde liegt: Niemand kann legal testen, ob diese Systeme tatsächlich bei der Bevölkerung funktionieren, die sie ausschließen sollen.

Alterssicherungswerkzeuge werden anhand ihrer „Wirksamkeit“ bewertet, die angeblich eine messbare, empirische Aussage sein soll. Anbieter und Regulierungsbehörden sprechen von Genauigkeitsraten, False-Positive-Raten und Fehlermargen, als stammten diese Zahlen aus rigorosen Tests. Das Xident-Papier argumentiert, dass diese Darstellung eine strukturelle Lücke verschleiert. Um zu beweisen, dass eine Altersbeschränkung Kinder zuverlässig erkennt und blockiert, müsste man sie in einem kontrollierten Test mit echten Kindern durchführen. Doch die Rekrutierung Minderjähriger für ein Testprogramm, das sich um Erwachseneninhalte oder ein anderes altersbeschränktes Produkt dreht, wirft offensichtliche rechtliche und ethische Probleme auf. Die Bevölkerung, die die Beschränkung ausschließen soll, ist genau die Bevölkerung, die man nicht rechtmäßig in den Testsatz aufnehmen kann.

Warum Ofcom den Schwellenwert leer ließ

Der Artikel merkt an, dass Ofcom, die britische Regulierungsbehörde, die für die Durchsetzung der Online-Sicherheitsregeln zuständig ist, es ablehnte, einen numerischen Genauigkeitsschwellenwert für Alterssicherungssysteme festzulegen. Diese Entscheidung wird oft als regulatorische Vorsicht oder Flexibilität gelesen. Xidents Analyse rahmt sie anders: Ofcom konnte keine feste Zahl nennen, weil die zugrunde liegende Testinfrastruktur, die zur Validierung dieser Zahl nötig wäre, in einer rechtlich verteidigbaren Form nicht existiert.

Das ist wichtig, weil Plattformen derzeit Gesichtsaltersschätzung, Dokumentenprüfungen und verhaltensbasierte Inferenztools ausrollen, unter der Annahme, dass diese Systeme gegen reale Nutzer validiert wurden. In der Praxis erfolgt die meiste Validierung gegen erwachsene Freiwillige, deren Alter mit denselben unvollkommenen Methoden geschätzt wird, die getestet werden, oder gegen Datensätze, die möglicherweise nicht die Vielfalt echter Kindergesichter, Dokumente und Online-Verhaltensweisen widerspiegeln. Die Kluft zwischen dem, was Regulierungsbehörden prinzipiell fordern, und dem, was tatsächlich in der Praxis verifiziert werden kann, ist genau die Art von blindem Fleck, der tendenziell erst dann ans Licht kommt, wenn etwas schiefgeht – sei es ein zu Unrecht blockierter Erwachsener, ein Minderjähriger, der durchrutscht, oder ein Unternehmen, das wegen unsachgemäßer Datenverarbeitung während des Verifikationsprozesses selbst mit Durchsetzungsmaßnahmen konfrontiert wird.

Dieser letzte Punkt ist nicht hypothetisch. Durchsetzungsmaßnahmen gegen Unternehmen, die Kindesdaten unsachgemäß behandelt haben, zeigen, dass Regulierungsbehörden bereit sind, ernsthafte Strafen zu verhängen, selbst wenn die zugrunde liegende Absicht die Einhaltung von Vorschriften war. TikToks Erfahrung ist hier lehrreich: Die Plattform hat kürzlich ihren Einspruch gegen eine Geldstrafe von 12,7 Millionen Pfund verloren, die damit zusammenhing, wie sie die personenbezogenen Daten von mehr als 1,4 Millionen Kindern verarbeitete. Dieser Fall konzentrierte sich auf die Datenverarbeitung und nicht speziell auf die Genauigkeit der Altersbeschränkung, aber er veranschaulicht dieselbe zugrunde liegende Spannung: Plattformen sollen wissen, wer ihre minderjährigen Nutzer sind, und deren Daten entsprechend behandeln, während die Werkzeuge, die zur Identifizierung dieser Nutzer verwendet werden, schwer unabhängig zu verifizieren bleiben.

Die Kluft zwischen Compliance und Beweis

Nichts davon bedeutet, dass Altersverifikation sinnlos ist oder dass Regulierungsbehörden in böser Absicht handeln. Ofcom und ähnliche Gremien arbeiten unter realen Einschränkungen: Man kann Kinder nicht ethisch in Experimente rekrutieren, die testen sollen, ob ein System sie korrekt als Kinder kennzeichnet. Aber die Xident-Analyse ist gerade deshalb nützlich, weil sie zwei Dinge trennt, die in der öffentlichen Diskussion oft vermischt werden: ein Unternehmen, das eine Alterssicherungsvorgabe einhält, und ein Unternehmen, das beweist, dass seine Alterssicherungsvorgabe tatsächlich wie beabsichtigt funktioniert.

Derzeit wird „Wirksamkeit“ in diesem Bereich weitgehend abgeleitet und nicht direkt gegen die Zielbevölkerung gemessen. Diese Ableitung mag vernünftig sein, aber sie ist nicht dasselbe wie ein empirischer Beweis, und sie als Beweis zu behandeln, riskiert, Nutzern und Eltern ein falsches Gefühl der Sicherheit darüber zu geben, wie gut diese Systeme funktionieren.

Was das für Sie bedeutet

Wenn Sie ein Elternteil, ein Plattformnutzer oder einfach jemand sind, der sich durch eine wachsende Zahl von Altersbeschränkungen online navigiert, ist es wichtig zu verstehen, dass das Bestehen oder Nichtbestehen einer Altersprüfung keine Garantie für Genauigkeit in die eine oder andere Richtung ist. Ein Verifikationssystem, das sagt, Sie seien ein Erwachsener, oder Sie als Minderjährigen kennzeichnet, macht eine probabilistische Schätzung, die auf unvollständigen Tests basiert, nicht ein endgültiges Urteil.

Das bedeutet auch, dass die personenbezogenen Daten, die Sie zur Bestätigung Ihres Alters übergeben, sei es ein Foto, ein amtlicher Ausweis oder biometrische Daten für die Gesichtsschätzung, in Systeme fließen, deren Genauigkeitsbehauptungen schwerer zu verifizieren sind, als sie erscheinen. Diese Daten müssen weiterhin unter Standard-Datenschutzpraktiken geschützt werden, unabhängig davon, ob die Altersprüfung selbst wasserdicht ist.

Praktische Erkenntnisse

• Behandeln Sie Altersverifikationsaufforderungen als Datenerfassungsereignisse, nicht nur als Zugangskontrollschritte, und überlegen Sie, welche Informationen Sie teilen, bevor Sie zustimmen.
• Wenn eine Plattform Alternativen zu Gesichtsscans oder ID-Uploads anbietet, wie etwa Drittanbieter-Verifikationsdienste, die die Datenspeicherung minimieren, ziehen Sie deren Nutzung in Betracht.
• Eltern sollten erkennen, dass eine Altersbeschränkung, die Ihr Kind durchlässt oder blockiert, allein kein zuverlässiges Signal ist; sprechen Sie direkt mit Kindern über die Plattformen, die sie nutzen, anstatt sich ausschließlich auf automatisierte Prüfungen zu verlassen.
• Behalten Sie im Auge, wie Plattformen, die Sie nutzen, in der Vergangenheit mit Kindesdaten umgegangen sind, da die Durchsetzungshistorie oft ein besserer Indikator für die reale Praxis ist als Marketingbehauptungen über die Genauigkeit der Altersverifikation.
• Unterstützen Sie die anhaltende Prüfung von Alterssicherungsanbietern und Regulierungsbehörden, die auf tatsächlich veröffentlichte Genauigkeitsdaten drängen, nicht nur auf Compliance-Erklärungen.

Altersverifikation wird wahrscheinlich häufiger werden, nicht seltener, da Regulierungsbehörden die Online-Sicherheitsregeln weiter verschärfen. Ihre Grenzen zu verstehen, anstatt anzunehmen, dass es ein gelöstes Problem ist, ist das Praktischste, was Nutzer und Eltern derzeit tun können.