EU-Altersverifikations-App innerhalb von Minuten nach dem Launch gehackt

EU-Altersverifikations-App scheitert an Forschern, bevor sie Fuß fassen konnte

Das neu gestartete, standardisierte Altersverifikationstool der Europäischen Union war kaum online, als Sicherheitsberater bereits einen Weg daran vorbei fanden. Am 18. April 2026 machten Forscher öffentlich bekannt, dass die Anwendung kritische Sicherheitslücken enthält, und demonstrierten, dass sensible Identitätsdaten, die auf den Geräten der Nutzer gespeichert sind, in weniger als zwei Minuten abgerufen werden können. Für ein Tool, das darauf ausgelegt ist, kontinentweite Altersbeschränkungen auf sozialen Medienplattformen und Websites mit Erwachseneninhalten durchzusetzen, hätte der Zeitpunkt nicht schädlicher sein können.

Die App sollte als einheitlicher Mechanismus zur Überprüfung des Nutzeralters in den EU-Mitgliedstaaten dienen und war Teil eines umfassenderen Vorhabens zur Regulierung von Online-Inhalten und zum Schutz Minderjähriger. Stattdessen hat ihr problematischer Start eine seit langem schwelende Debatte neu entfacht, ob zentralisierte digitale Identitätssysteme jemals sicher genug gemacht werden können, um die von ihnen geforderten Datenschutzkompromisse zu rechtfertigen.

Was der Angriff tatsächlich aufgedeckt hat

Das von den Forschern aufgezeigte Kernproblem ist nicht bloß eine Frage fehlerhaften Codes. Die Sicherheitslücke weist auf ein strukturelles Problem hin, vor dem Datenschutzbefürworter seit Jahren warnen: Wenn man ein System aufbaut, das Millionen von Menschen dazu verpflichtet, verifizierte Identitätsdaten in einem einzigen standardisierten Format zu speichern, schafft man ein außerordentlich attraktives Angriffsziel.

Sicherheitsberater konnten in weniger als zwei Minuten auf sensible, lokal auf Geräten gespeicherte Identitätsdaten zugreifen. Diese Geschwindigkeit ist bedeutsam. Sie legt nahe, dass die vorhandenen Schutzmaßnahmen nicht nur unzureichend, sondern für die Sensibilität der betroffenen Daten grundlegend unzulänglich waren. Mit staatlichen Aufzeichnungen verknüpfte Identitätsdaten sind nicht dasselbe wie eine geleakte E-Mail-Adresse. Einmal offengelegt, können sie nicht mehr geändert werden.

Datenschutzbefürworter haben den Vorfall genutzt, um zu argumentieren, dass der Angriff keine Ausnahme, sondern ein vorhersehbares Ergebnis war. Zentralisierte oder standardisierte digitale ID-Systeme konzentrieren naturgemäß das Risiko. Je weiter verbreitet ein Tool wird, desto wertvoller ist es für Angreifer, es zu knacken, und desto größer ist der Schaden, wenn ihnen das gelingt.

Die umfassendere Debatte um obligatorische Altersverifikation

Altersverifikation als Konzept genießt in Europa breite politische Unterstützung. Das Ziel, Minderjährige vor dem Zugang zu schädlichen Inhalten zu schützen, ist nicht umstritten. Die Methode hingegen ist seit Beginn der Ausarbeitung von Regulierungsvorschlägen eine Quelle von Reibungen.

Kritiker haben durchgehend darauf hingewiesen, dass jedes System, das Nutzer zur Altersverifizierung verpflichtet, diese Nutzer auch dazu bringt, identifizierende Informationen preiszugeben. Diese Informationen müssen irgendwo gespeichert, verarbeitet und übertragen werden. Jeder dieser Schritte stellt einen potenziellen Angriffspunkt dar. Die Frage war nie wirklich, ob ein Sicherheitsverstoß möglich sei, sondern wann er eintreten und wie schwerwiegend er sein würde.

Das Tool der EU wurde im Hinblick auf Benutzerfreundlichkeit und Standardisierung entwickelt und sollte einen Flickenteppich nationaler Ansätze durch ein einziges verifiziertes System ersetzen. Dieser Anspruch, wenngleich aus regulatorischer Sicht verständlich, verstärkte das Risiko. Ein einziger fehlerhafter Standard, im großen Maßstab eingesetzt, bedeutet einen einzigen Schwachpunkt, der Nutzer in mehreren Ländern gleichzeitig betrifft.

Was das für Sie bedeutet

Wenn Sie in einem EU-Mitgliedstaat leben oder Plattformen nutzen, die dieses Verifizierungssystem wahrscheinlich implementieren werden, sind die Konsequenzen ernst zu nehmen.

Zunächst zur unmittelbaren Sorge: Wenn Sie die App rund um ihr Erscheinungsdatum heruntergeladen und genutzt haben, lohnt es sich zu überprüfen, welche Berechtigungen ihr erteilt wurden und welche Daten sie möglicherweise gespeichert oder übertragen hat. Es wird in den kommenden Tagen wichtig sein, die Meldungen der Forscher und etwaige offizielle Reaktionen der EU-Behörden zu verfolgen.

Allgemeiner gesagt ist dieser Vorfall eine nützliche Erinnerung daran, dass die Einhaltung eines staatlich vorgeschriebenen digitalen Systems nicht gleichbedeutend mit Sicherheit ist. Regulatorische Genehmigung und Sicherheit sind nicht dasselbe. Ein Tool kann gleichzeitig gesetzlich vorgeschrieben und technisch gefährlich sein.

Es wirft auch berechtigte Fragen darüber auf, was mit Identitätsdaten geschieht, nachdem sie ihren Verifizierungszweck erfüllt haben. Altersverifikationssysteme, die auf staatlich verknüpften Anmeldeinformationen basieren, erstellen Aufzeichnungen darüber, wann und wo Sie Zugang zu bestimmten Inhalten gesucht haben. Selbst ohne einen Sicherheitsverstoß hat diese Datenspur Datenschutzimplikationen, die über die unmittelbare Transaktion hinausgehen.

Handlungsempfehlungen

• Seien Sie vorsichtig mit neuen obligatorischen digitalen Tools. Ein staatliches Mandat garantiert keine Sicherheit. Warten Sie auf unabhängige Sicherheitsüberprüfungen, bevor Sie einer App sensible persönliche Daten anvertrauen, sofern Alternativen bestehen.
• Überprüfen Sie App-Berechtigungen regelmäßig. Identitätsverifikations-Apps fordern häufig weitreichenden Zugriff an. Überprüfen und beschränken Sie Berechtigungen wo möglich, und entfernen Sie Apps, die Sie nicht mehr nutzen.
• Verfolgen Sie Updates von seriösen Sicherheitsforschern. Die Berater, die diese Schwachstelle gefunden haben, taten dies schnell. Das Verfolgen unabhängiger Sicherheitsforschungsgemeinschaften gibt Ihnen frühzeitige Warnungen, die offizielle Kanäle möglicherweise nicht liefern.
• Verstehen Sie, welche Daten Sie weitergeben. Versuchen Sie vor der Nutzung eines Verifizierungssystems zu verstehen, welche Informationen es erfasst, wo diese gespeichert werden und wie lange sie aufbewahrt werden.
• Setzen Sie sich für Datenschutz-durch-Design-Standards ein. Die dauerhafteste Lösung für solche Vorfälle sind nicht nachträgliche Patches, sondern von Anfang an Systeme zu entwickeln, die nur die minimal notwendigen Daten erfassen. Die Unterstützung von Organisationen, die für diese Standards eintreten, ist wichtig.

Das Scheitern der EU-Altersverifikations-App ist eine Fallstudie darüber, was passiert, wenn Skalierung und Geschwindigkeit über die Sicherheitsarchitektur gestellt werden. Die Forscher, die die Schwachstelle entdeckten, taten dies in Minuten. Das ist kein kleiner Fehlerrahmen, sondern ein Signal, dass die grundlegenden Annahmen über den Aufbau des Systems einer kritischen Überprüfung bedürfen. Da digitale Identitätssysteme in Europa und darüber hinaus immer verbreiteter werden, werden die Konsequenzen, sie richtig zu gestalten, nur zunehmen.