EDRi-Berater sagt, dass Datenschutzversprechen bei Altersverifikation nicht aufgehen

Ein in das System eingebauter Widerspruch

Altersverifikation ist zu einem der umstrittensten politischen Instrumente im modernen Internet geworden. Regierungen weltweit drängen Plattformen dazu, das Alter ihrer Nutzer zu bestätigen, bevor sie Zugang zu bestimmten Inhalten gewähren, und Anbieter haben mit einer Welle von Tools reagiert, die als „datenschutzfreundlich" vermarktet werden. Doch laut einem Berater von European Digital Rights (EDRi) könnte diese Formulierung ein Widerspruch in sich sein.

Das Kernargument, wie von Medianama berichtet, ist einfach: Jedes System, das das Alter eines Nutzers verifizieren soll, muss grundsätzlich identitätsbezogene Daten sammeln, verarbeiten oder ableiten. Ob diese Daten von einem amtlichen Ausweis, einem Gesichtsscan oder einer Verhaltensschätzung stammen – der Akt der Verifizierung erzeugt eine Aufzeichnung, und diese Aufzeichnung untergräbt die Anonymität, die das Internet historisch geboten hat. Die im Artikel zitierten Experten argumentieren, dass Altersverifikation, unabhängig von ihrer technischen Umsetzung, Privatsphäre und digitale Rechte bedroht, während sie vergleichsweise wenig dazu beiträgt, Kinder tatsächlich zu schützen.

Dies ist keine Randposition. Sie spiegelt Bedenken wider, die von Forschern und Bürgerrechtsgruppen in zahlreichen Rechtsordnungen geäußert wurden und alle auf denselben Widerspruch hinweisen: Eine zuverlässige Altersverifizierung erfordert in der Regel identifizierende Informationen, und identifizierende Informationen sind genau das, was Datenschutzbefürworter jahrzehntelang versucht haben, aus den Händen von Plattformen, Werbetreibenden und Regierungen fernzuhalten.

Warum „datenschutzfreundlich" eine Menge Arbeit leistet

Anbieter, die Tools zur Altersverifikation anpreisen, beschreiben ihre Produkte oft mit Begriffen wie „Zero-Knowledge-Proofs" oder „On-Device-Verarbeitung", um zu suggerieren, dass sensible Daten niemals die Kontrolle des Nutzers verlassen. Theoretisch können diese Methoden die Menge an übermittelten oder gespeicherten personenbezogenen Rohdaten reduzieren. In der Praxis, so die Kritik des EDRi-Beraters, beseitigen diese Schutzmaßnahmen das zugrunde liegende Problem nicht.

Selbst ein System, das nur eine Ja-oder-Nein-Antwort darüber ausgibt, ob jemand über 18 ist, musste diese Feststellung irgendwoher treffen – typischerweise von einem Dokument, einem biometrischen Scan oder einem Drittanbieter-Datenbroker. Dieser Prozess schafft neue Angriffsflächen, neue Fehlerquellen und neue Möglichkeiten für die schleichende Zweckausweitung, bei der ein für einen Zweck gebautes Tool (Minderjährige von Inhalten für Erwachsene auszusperren) für einen anderen Zweck umfunktioniert wird (Verfolgung der Nutzeridentität über Plattformen hinweg). Leser, die neugierig auf die technischen Mechanismen hinter diesen Systemen sind, finden eine Aufschlüsselung in diesem Leitfaden zu wie Online-Altersverifikation funktioniert, der die derzeit verwendeten Methoden darlegt, von Dokument-Uploads bis hin zu KI-basierter Altersschätzung.

Das tiefere Problem ist, dass sich „begrenzter Schutz" und „echtes Datenschutzrisiko" nicht gegenseitig ausschließen. Ein System kann bedeutungslos darin scheitern, entschlossene Minderjährige vom Zugang zu eingeschränkten Inhalten abzuhalten, während es gleichzeitig die personenbezogenen Daten von Millionen erwachsener Nutzer offenlegt, die nie das eigentliche Ziel waren.

Der globale politische Hintergrund

Diese Debatte findet nicht im luftleeren Raum statt. Vorschriften zur Altersverifikation haben sich in den USA, Großbritannien, der EU und Australien rasch ausgeweitet, jeweils mit unterschiedlichen technischen Anforderungen und unterschiedlichen Datenschutzvorkehrungen – oder deren Fehlen. Leser können vergleichen, wie sich diese Rahmenwerke unterscheiden, in dieser Übersicht über Altersverifikationsgesetze weltweit, die deutlich macht, wie uneinheitlich die Regeln von Land zu Land sind.

Der Flickenteppich-Charakter dieser Gesetze ist Teil dessen, was die Kritik des EDRi-Beraters so relevant macht. Wenn sich die Compliance-Anforderungen je nach Rechtsordnung unterscheiden, bauen Plattformen oft die invasivste Version eines Systems, um der strengsten Aufsichtsbehörde zu genügen, und wenden sie dann universell an. Dieser Ansatz neigt dazu, die Datenerfassung zu maximieren statt zu minimieren – das Gegenteil von dem, was „datenschutzfreundlich" impliziert. Einige Vorschläge, wie Karnatakas Plan, Aadhaar-Identitätsdaten mit Social-Media-Anmeldungen zu verknüpfen, veranschaulichen, wie sich Altersverifikation stillschweigend in eine breitere Identitätsüberwachungsinfrastruktur verwandeln kann.

In der Zwischenzeit tauchen immer wieder Workarounds auf, die die Kluft zwischen politischer Absicht und technischer Realität offenlegen. Apples Ansatz zu geräteinternen Kindersicherungen etwa hat nachweislich formelle Altersverifikationsgesetze unterlaufen – in den USA und in Großbritannien, was darauf hindeutet, dass selbst gut finanzierte, gut entwickelte Systeme Schwierigkeiten haben, zuverlässige Ergebnisse zu liefern.

Was das für Sie bedeutet

Wenn Sie Plattformen nutzen, die eine Altersverifikation eingeführt haben – sei es für soziale Medien, Inhalte für Erwachsene oder App-Downloads –, lohnt es sich zu verstehen, welche Daten Sie herausgeben sollen und wohin sie gehen. Nicht alle Verifikationsmethoden bergen das gleiche Risiko. Dokument-Uploads und Gesichtsscans sind in der Regel mit einer größeren Offenlegung verbunden als geräteinterne Schätzverfahren, aber keine ist völlig risikofrei.

Bevor Sie einen Ausweis oder biometrischen Scan zur Altersbestätigung einreichen, prüfen Sie, ob die Plattform angibt, wie lange diese Daten aufbewahrt werden, ob sie mit Dritten geteilt werden und ob es eine Möglichkeit gibt, sie anschließend zu löschen. Wenn diese Antworten nicht klar verfügbar sind, ist das ein Signal, vorsichtig vorzugehen. Ein genauerer Blick auf die Datenschutzrisiken bei digitalen Altersprüfungen kann helfen zu klären, worauf Sie achten sollten, bevor Sie einer Verifikationsaufforderung nachkommen.

Hinweise, um informiert zu bleiben

Altersverifikation wird wahrscheinlich ein fester Bestandteil der Internetregulierung bleiben, aber das bedeutet nicht, dass Nutzer machtlos sind. Achten Sie darauf, welche Verifikationsmethode eine Plattform verwendet, bevorzugen Sie Dienste, die die Datenspeicherung minimieren, und bleiben Sie skeptisch gegenüber Marketingformulierungen wie „datenschutzfreundlich", solange sie nicht durch transparente technische Dokumentation untermauert sind. Der Widerspruch, auf den der EDRi-Berater hinweist – zwischen dem Schutz Minderjähriger und dem Schutz der Privatsphäre aller –, wird nicht so schnell verschwinden, und ihn zu verstehen, ist der erste Schritt, um fundierte Entscheidungen darüber zu treffen, welche Daten Sie online teilen möchten.