KIDS Act: Wie Altersprüfungen ein Überwachungssystem aufbauen

Ein Gesetzentwurf, der als Maßnahme zum Schutz von Kindern angepriesen wird, stößt bei Datenschützern auf scharfe Warnungen, die sagen, er würde etwas viel Weiterreichendes bewirken: den Aufbau einer dauerhaften Überwachungsinfrastruktur für das gesamte Internet. In einem kürzlich erschienenen Meinungsbeitrag argumentiert India McKinney, Politikanalystin bei der Electronic Frontier Foundation, dass der KIDS Act „weit schlimmer als digitale Ausweiskontrollen“ sei und dass die bloße Tatsache, dass Gesetzgeber ihn überhaupt in Betracht ziehen, ein Weckruf für jeden sein sollte, dem Privatsphäre und freie Meinungsäußerung im Internet wichtig sind.

Das Kernproblem, so McKinney, liege nicht darin, dass der Gesetzentwurf auf böswillige Akteure oder schädliche Inhalte abziele. Es sei vielmehr so, dass die zu seiner Durchsetzung erforderlichen Mechanismen – universelle Altersprüfungen, staatlich gelenkte Inhaltsmoderation und plattformweite Überwachung – nach ihrer Einführung nicht wieder verschwinden. Sie werden zu dauerhaften Bestandteilen des Internetzugangs für Amerikaner, unabhängig vom Alter.

Was der KIDS Act tatsächlich vorschreiben würde

Im Kern würde der KIDS Act Online-Plattformen dazu drängen, das Alter jedes einzelnen Nutzers zu verifizieren, nicht nur derjenigen, die mutmaßlich minderjährig sind. Das bedeutet, dass auch Erwachsene nachweisen müssten, wer sie sind – oft durch amtliche Ausweise, Gesichtsscans oder Drittanbieter-Verifizierungsdienste –, nur um auf ganz normale Websites und Apps zuzugreifen. Der Gesetzentwurf enthält auch Bestimmungen für eine staatlich gelenkte Moderation, die den Regulierungsbehörden faktisch Einfluss darauf einräumen, welche Inhalte Plattformen zulassen, selbst für erwachsene Nutzer.

Dies ist ein grundlegend anderer Ansatz als eine einfache Altersabfrage bei einem bestimmten Produkt. Statt einer gezielten Kontrollstelle handelt es sich um eine strukturelle Anforderung, die in die Funktionsweise von Online-Diensten eingebaut wird. Sobald Plattformen die Systeme zur massenhaften Erfassung und Überprüfung von Identitätsdaten aufbauen, existiert diese Infrastruktur auf unbestimmte Zeit. Sie kann zweckentfremdet, erweitert oder per Gerichtsbeschluss angefordert werden, lange nachdem die ursprüngliche Rechtfertigung des Kinderschutzes aus der öffentlichen Diskussion verschwunden ist.

Wie Altersverifikation zu einem Überwachungssystem wird

Der Sprung von „Alter verifizieren“ zu „Massenüberwachung“ ist nicht hypothetisch. Altersverifikationssysteme erfordern, dass Plattformen sensible Identitätsdaten – amtliche Ausweisnummern, biometrische Scans oder Verhaltensdaten zur Altersschätzung – sammeln und irgendwo speichern oder übertragen. Jeder zusätzlich gesammelte Datenpunkt ist ein weiteres Gut, das gehackt, per Gerichtsbeschluss angefordert oder missbraucht werden kann.

Diese Sorge betrifft nicht nur den KIDS Act. Ein Forschungspapier des Center for Growth and Opportunity, das davor warnt, dass Altersverifikation die Privatsphäre gefährdet, legt Belege dafür vor, dass Altersverifikationssysteme selbst bei guter Absicht regelmäßig Datenschutzrisiken schaffen. Die Ergebnisse des Papiers decken sich mit McKinneys Argument: Sobald man Identitätsprüfungen für den Internetzugang vorschreibt, hat man einen Überwachungsapparat aufgebaut, ob dies nun das erklärte Ziel war oder nicht.

Auch die Größenordnung spielt eine Rolle. Eine enge, produktspezifische Altersabfrage betrifft einen kleinen Teil des Internets. Ein bundesweites Mandat, das weitreichend für „abgedeckte Plattformen“ gilt, betrifft fast jeden, der online geht, Erwachsene eingeschlossen. Das ist die Unterscheidung, die McKinney trifft, wenn sie sagt, das gehe über digitale Ausweiskontrollen hinaus: Es sei keine Kontrollstelle, sondern eine Eintrittsvoraussetzung für das Internet selbst.

Die Verbindung zu Chat Control und Verschlüsselungs-Hintertüren

Der KIDS Act existiert nicht im luftleeren Raum. Er ist Teil eines breiteren Musters, das sich über mehrere Rechtsordnungen hinweg abzeichnet und bei dem Gesetze zum Schutz von Kindern zum Vehikel für einen erweiterten staatlichen Zugriff auf Online-Aktivitäten werden. Der Chat-Control-Vorschlag der Europäischen Union und der Online Safety Act des Vereinigten Königreichs folgen einer ähnlichen Vorlage: Man schreibt Scans oder Verifikationen im Namen des Kinderschutzes vor und baut dabei Werkzeuge, die die Verschlüsselung schwächen und die Überwachungsfähigkeit für alle ausweiten.

Wie in unserer Analyse zu Chat Control, dem Online Safety Act und dem KIDS Act behandelt, haben diese drei Vorhaben einen gemeinsamen Nenner: Die Verschlüsselung selbst wird zum Ziel. Anforderungen an das Scannen von Inhalten können oft nicht mit echter Ende-zu-Ende-Verschlüsselung zusammen funktionieren, was bedeutet, dass Plattformen unter Druck geraten, entweder ihre Sicherheitsmodelle zu schwächen oder Hintertüren einzubauen, die den Datenschutz für alle Nutzer untergraben, nicht nur für Minderjährige.

Die Erfahrungen des Vereinigten Königreichs sind hier aufschlussreich. Die dortigen Regulierungsbehörden haben letztendlich VPN-Beschränkungen im Rahmen des Online Safety Act abgelehnt, nachdem sie die praktische und politische Schwierigkeit erkannt hatten, Datenschutz-Tools vollständig zu verbieten. Diese Entscheidung fiel vor dem Hintergrund von Forschungsergebnissen, die zeigten, dass Kinder VPNs hauptsächlich aus Datenschutzgründen nutzen, nicht um Altersprüfungen zu umgehen, was eine der zentralen Rechtfertigungen untergräbt, die von Regulierungsbehörden angeführt wurde, um den Zugang zu VPNs überhaupt einschränken zu wollen.

Was das für Sie bedeutet

Sollte der KIDS Act oder ähnliche Gesetze vorankommen, ist zu erwarten, dass die Verifikationsanforderungen weit über Seiten mit Inhalten für Erwachsene hinausgehen werden. Soziale Medien, Foren und allgemeine Plattformen könnten alle verpflichtet werden, Ihre Identität zu bestätigen, bevor sie Zugang gewähren. Für normale Nutzer bedeutet das, sensible persönliche Daten preiszugeben, nur um Dienste nutzen zu können, die Sie bereits heute nutzen.

Dies wird wahrscheinlich das Interesse an VPNs, verschlüsselten Messaging-Apps und anderen Datenschutz-Tools beschleunigen, da die Menschen nach Möglichkeiten suchen, ihre Angriffsfläche gegenüber Identitätssammelsystemen zu reduzieren. Das ist eine rationale Reaktion, aber auch ein Zeichen dafür, wie Politik in diesem Bereich genau das Ausweichverhalten erzeugt, das die Regulierungsbehörden angeblich verhindern wollen. Die Erfahrungen des Vereinigten Königreichs deuten bereits darauf hin, dass schwere Verifikationsvorschriften die Nutzer eher zu Datenschutz-Tools treiben, statt sie davon wegzubringen.

Kernbotschaften

Die Debatte um den KIDS Act ist eine Erinnerung daran, dass eine Kinderschutz-Rhetorik nicht automatisch zu Ergebnissen beim Kinderschutz führt. Bevor dieses oder ähnliche Gesetze weiter voranschreiten, sollte man verstehen, was hier tatsächlich aufgebaut wird: eine Verifikationsinfrastruktur mit Auswirkungen, die weit über ihren erklärten Zweck hinausgehen.

Für Leser, die das vollständige regulatorische Gesamtbild sehen wollen, geht unser Erklärartikel zu Chat Control, dem Online Safety Act und dem KIDS Act darauf ein, wie sich diese drei Vorhaben im Bereich Verschlüsselung überschneiden. Und für alle, die den evidenzbasierten Fall gegen eine verpflichtende Altersverifikation nachvollziehen möchten, ist das CGO-Forschungspapier zu den Datenschutzrisiken der Altersverifikation eine nützliche Quelle, um zu verstehen, was tatsächlich auf dem Spiel steht, bevor diese Systeme dauerhaft werden.