EFF: Zero-Knowledge-Beweise werden die Altersverifizierung nicht reparieren

Eine kryptografische Lösung für ein rechtliches Problem

Altersverifizierungsgesetze haben sich rasant in den gesamten Vereinigten Staaten ausgebreitet, wobei mittlerweile etwa die Hälfte aller Bundesstaaten irgendeine Form von Online-Altersprüfungsanforderungen durchsetzt. Während Gesetzgeber Plattformen dazu drängen, zu bestätigen, wie alt ihre Nutzer sind, bevor sie Zugang zu Inhalten gewähren, hat eine technische Lösung bei politischen Entscheidungsträgern und Branchengruppen an Zugkraft gewonnen: Zero-Knowledge-Beweise, kurz ZKPs.

Die Electronic Frontier Foundation (EFF) hat eine ausführliche Erwiderung auf die wachsende Erzählung veröffentlicht, dass ZKPs die in Altersverifizierungsauflagen eingebetteten Datenschutzprobleme lösen. Laut EFF wird die Technologie als Allheilmittel überverkauft, obwohl sie tatsächlich nur einen Teil der Datenschutzgleichung adressiert – und in einigen Fällen neue Tracking-Risiken einführt, die Befürworter selten erwähnen.

Wie Zero-Knowledge-Beweise tatsächlich funktionieren

Zero-Knowledge-Beweise sind eine kryptografische Methode, die es jemandem erlaubt, eine Tatsache zu beweisen, etwa über 18 Jahre alt zu sein, ohne die zugrunde liegenden Daten preiszugeben, die dies belegen, wie ein Geburtsdatum oder eine behördliche Ausweisnummer. Theoretisch könnte einem Nutzer ein digitales Token ausgestellt werden, das für sein Alter bürgt, und dieses Token könnte einer Website präsentiert werden, ohne andere persönliche Informationen preiszugeben.

Das klingt nach einer sinnvollen Datenschutzverbesserung gegenüber aktuellen Altersverifizierungsmethoden, von denen viele das Hochladen eines Führerscheins oder das Scannen eines Gesichts erfordern. Die EFF erkennt an, dass ZKPs tatsächlich die Menge an expliziten persönlichen Daten reduzieren können, die bei einem einzelnen Verifizierungsereignis geteilt werden. Das Problem laut der Organisation ist, was passiert, nachdem dieses Token ausgestellt und wiederholt verwendet wird.

Die Kernkritik der EFF konzentriert sich auf die Wiederverwendbarkeit dieser Tokens. Wenn ein Nutzer sich jedes Mal mit derselben ZKP-gestützten Anmeldeinformation bei einer Plattform anmeldet, kann dieses Token eine konsistente, nachverfolgbare Verbindung zurück zur Person herstellen, selbst wenn das Token selbst keinen Namen oder kein Geburtsdatum enthält. Eine dauerhafte Kennung, die einem Nutzer über Sitzungen und Dienste hinweg folgt, untergräbt die Anonymität, die ZKPs angeblich bieten sollen. Mit anderen Worten: Die Kryptografie kann verbergen, was man beweist, aber sie verbirgt nicht unbedingt, wer da beweist – insbesondere über die Zeit und über mehrere Websites hinweg.

Diese Unterscheidung ist wichtig, weil ein Großteil der politischen und industriellen Kommunikation über ZKPs sie als automatische Datenschutzgarantie behandelt. Die Analyse der EFF widerspricht dieser Rahmung und argumentiert, dass die Technologie im Kontext des gesamten Verifizierungssystems bewertet werden muss, einschließlich der Frage, wie Tokens ausgestellt werden, wie oft sie wiederverwendet werden und wer die Infrastruktur dahinter kontrolliert.

Das größere Datenschutzproblem der Altersverifizierung

Der Widerspruch der EFF fügt sich in ein breiteres Muster der Skepsis von Datenschutzforschern und Digitalrechtsaktivisten gegenüber Altersverifizierungsauflagen im Allgemeinen ein. Kritiker haben lange argumentiert, dass diese Gesetze – unabhängig von der technischen Methode, die zu ihrer Durchsetzung verwendet wird – neue Kategorien sensibler Datenerfassung schaffen, sei es durch Ausweisscans, biometrische Schätzungen oder verhaltensbasiertes Tracking im Zusammenhang mit der Altersbestätigung.

Diese Skepsis beschränkt sich nicht auf die EFF. Wie in unserer Berichterstattung darüber, wie ein EDRi-Berater sagt, dass Datenschutzbehauptungen zur Altersverifizierung nicht stichhaltig sind, haben europäische Datenschutzexperten ähnliche Bedenken geäußert, dass die von Altersverifizierungsanbietern versprochenen Datenschutzgarantien einer genauen Prüfung oft nicht standhalten. Widerstand aus der Branche kam auch aus einer unerwarteten Richtung: In Pornhubs Brief an Gesetzgeber, der ID-Altersprüfungen scharf kritisiert, argumentierte das Unternehmen, dass die aktuellen Verifizierungsmethoden, die in Landesgesetze geschrieben werden, echte Sicherheits- und Datenschutzrisiken für Nutzer schaffen – unabhängig von der zugrunde liegenden Technologie.

Was diese Kritiken verbindet, ist eine gemeinsame Sorge, dass Altersverifizierung – egal wie sie umgesetzt wird – dazu neigt, ein Datenschutzrisiko gegen ein anderes einzutauschen. Das Hochladen eines Ausweises schafft ein Datenleckrisiko. Biometrische Schätzung schafft ein Überwachungsrisiko. Und jetzt, so die EFF, kann selbst datenschutzfreundliche Kryptografie wie ZKPs ein Tracking-Risiko schaffen, wenn sie ohne sorgfältige Beachtung von Token-Wiederverwendung und Ausstellerkontrolle eingesetzt wird.

Was das für Sie bedeutet

Wenn Sie in einem Bundesstaat mit einem Altersverifizierungsgesetz leben, könnten Sie auf ZKP-basierte Systeme stoßen, die als datenschutzfreundliche Alternative zu ID-Uploads oder Gesichtsscans vermarktet werden. Es ist wichtig zu verstehen, dass diese Rahmung nur teilweise zutreffend ist. Die Technologie kann die Menge an rohen persönlichen Daten, die bei einer einzelnen Transaktion offengelegt werden, tatsächlich reduzieren, aber sie verhindert nicht automatisch, dass Plattformen oder Aussteller im Laufe der Zeit ein Profil Ihrer Aktivitäten erstellen, wenn dieselbe Anmeldeinformation über Sitzungen hinweg wiederverwendet wird.

Bevor Sie einem Altersverifizierungssystem vertrauen – ob es ZKPs oder eine andere Methode verwendet –, suchen Sie nach Informationen darüber, wie die Anmeldeinformation ausgestellt wird, ob sie abläuft oder rotiert und wer die Verifizierungsinfrastruktur kontrolliert. Ein System, das für jede Nutzung neue, nicht verknüpfbare Tokens neu ausstellt, bietet einen deutlich stärkeren Datenschutz als eines, das Ihnen eine einzige wiederverwendbare Anmeldeinformation in die Hand gibt.

Fazit

Zero-Knowledge-Beweise stellen eine echte kryptografische Verbesserung gegenüber einigen bestehenden Altersverifizierungsmethoden dar, aber die Analyse der EFF macht deutlich, dass sie allein keine vollständige Datenschutzlösung sind. Das zugrunde liegende gesetzliche Gebot, das Alter zu verifizieren, schafft immer noch Datenerfassungspunkte, die es vorher nicht gab, und die spezifischen Implementierungsdetails eines jeden ZKP-Systems bestimmen, ob es Ihre Identität tatsächlich schützt oder sie lediglich verschleiert. Da immer mehr Bundesstaaten Altersverifizierungsanforderungen einführen, sollten Leser darüber informiert bleiben, wie diese Systeme in der Praxis funktionieren, Plattformen direkte Fragen zu Token-Wiederverwendung und Datenspeicherung stellen und Marketingbehauptungen über datenschutzfreundliche Technologie mit derselben Skepsis behandeln, die auf jede andere Datenerfassungspraxis angewendet wird.