Gesetze zur Altersverifikation: eine Hintertür zur Überwachung

• Mit zunehmendem Alter erinnere ich mich an eine Zeit, in der Gesetze zur Altersverifikation unter dem Vorwand vorgeschlagen wurden, „Kinder vor Pornografie zu schützen“. Diese Vorhaben begannen mit fehlgeleiteten Absichten und verwandelten sich schließlich in Überwachungssysteme, die die digitale Freiheit bedrohen.

Gesetze zur Altersverifikation: die Hintertür der Überwachung

• Gesetze zur Altersverifikation schützen nicht einfach nur Kinder, sondern verlangen ein System, das von allen Nutzern enorme Mengen personenbezogener Daten sammelt. Das macht das Internet nicht sicherer, sondern führt dazu, dass alle Nutzer ihre Identität nachweisen müssen, um auf grundlegende Inhalte oder Produkte zugreifen zu können.

• Diese Vorhaben begannen als als Sicherheitsmaßnahmen getarnte Überwachungssysteme und werden inzwischen in immer mehr Bundesstaaten als Gesetze eingebracht.

• Hautpflege: Kaliforniens Gesetzentwurf AB-728 verlangt eine Altersverifikation beim Kauf von Hautpflegeprodukten mit bestimmten Chemikalien. Das mag harmlos erscheinen, schafft in der Praxis jedoch ein System zur Nachverfolgung und Datensammlung durch die Erfassung sensibler personenbezogener Daten.

• Dating-Apps: New Yorks Gesetzentwurf A3323 verlangt, dass Online-Dating-Dienste Alter, Identität und Standort ihrer Nutzer verifizieren. Das führt zu Datenschutzproblemen, weil von Nutzern sensible persönliche Informationen verlangt werden.

• Diätprodukte: Der Gesetzentwurf SB 5622 des Bundesstaats Washington beschränkt den Verkauf von Diätmedikamenten und Nahrungsergänzungsmitteln an Personen unter 18 Jahren. Dabei werden die Datenschutzrisiken im Altersverifikationsprozess ignoriert.

Die Probleme der Altersverifikation: Es gibt keine sichere Lösung

• Unter den Methoden zur Altersverifikation gibt es keine, die zugleich die Privatsphäre schützt und vollständig korrekt ist. Jede Methode bringt eigene Risiken mit sich, und Erwachsene sind beim Surfen im Internet oder beim Kauf alltäglicher Produkte einer massenhaften Datensammlung ausgesetzt.

• Systeme, die amtliche Ausweise oder Gesichtsscans verlangen, erfassen sensible biometrische oder persönliche Daten und gefährden damit Privatsphäre und Sicherheit. Solche Daten haben ein hohes Missbrauchspotenzial, und es gab bereits Fälle, in denen sie gehackt wurden.

• Es muss verhindert werden, dass Gesetze zur Altersverifikation Überwachungssysteme schaffen und die Freiheiten der Bürger verletzen. Die Absicht, Kinder zu schützen, ist nachvollziehbar, doch das Ergebnis ist ein Eingriff in Privatsphäre, Sicherheit und Meinungsfreiheit.

• Die EFF wird weiterhin für digitale Privatsphäre, Sicherheit und Meinungsfreiheit eintreten und die Gesetzgeber dazu auffordern, Lösungen zu priorisieren, die diese Werte schützen. Das Internet muss ein Raum für Lernen, Verbindung und Kreativität bleiben.

[GN⁺]

Hacker-News-Kommentare

• Das Internet sollte standardmäßig unrated und nur für Erwachsene sein. Es ist wie ein öffentlicher Raum. (Würden Sie ein 8-jähriges Kind allein durch New York City laufen lassen? Über stärker kontrollierte Räume kann man sprechen, aber ...)

  • Wenn Sie eine Website betreiben und möchten, dass Kinder sie sehen können, sollten Sie im Header kenntlich machen, dass die Seite bewertet und moderiert ist. Verschiedene Indexer könnten das erfassen
  • Beschwerden könnten an die zuständige Regierungsbehörde weitergeleitet werden (z. B. bei in den USA ansässigen Websites an die FTC wegen irreführender Werbung), oder bei anderen Straftaten an andere Stellen
  • Eltern könnten Computerkonten als Kinderkonten markieren und den Browser so konfigurieren, dass er einer Liste von Filterregeln folgt, die von den Eltern oder der jeweiligen Aufsichtsperson (z. B. der Schule) ausgewählt wurden
  • Anders gesagt: Das Internet ist eine unrated Freizone == der Kindermodus ist allowlist-gefilterter Inhalt

• Kaliforniens Gesetzentwurf AB-728 schreibt eine Altersverifikation beim Kauf von Hautpflegeprodukten oder Kosmetika vor, die bestimmte Chemikalien enthalten (z. B. Vitamin A oder Alpha-Hydroxysäuren). Oberflächlich mag das harmlos wirken — wer wollte Minderjährige nicht vor schädlichen Chemikalien schützen?

  • Warum will man Minderjährige vor „schädlichen Chemikalien“ schützen, aber Erwachsene nicht? Wenn Hautcremes mit Vitamin A oder Alpha-Hydroxysäuren schädlich sind — und ich bin keineswegs überzeugt, dass sie in vernünftigen Konzentrationen schädlich sind — dann schafft sie einfach ab

• Das sollte als anschauliches Beispiel dafür dienen, dass das „Dammbruchargument“ nicht per se ein Fehlschluss ist. Wie viele sagen: Es ist nur eine Form des Arguments, die zum Fehlschluss werden kann, wenn Ursache und Wirkung getrennt sind. Die Leute sind ihm gegenüber zu misstrauisch geworden und reagieren auf die Prämissen der Schlussfolgerung, ohne zu analysieren, wie steil der Hang tatsächlich ist, bevor sie die Idee verwerfen

• Ich frage mich, ob Technologien wie Verifiable Credentials[0] wegen solcher Gesetze Verbreitung finden könnten. Ich denke, es gibt legitime Anwendungsfälle, wenn man sagen will: „Eine dritte vertrauenswürdige Instanz kann für mich bürgen.“ Und zwar ohne gegenüber der dritten Partei, die die Verifikation anfragt, offenzulegen, wer anfragt, und ohne gegenüber der Partei, die die Verifikation verlangt, andere Behauptungen offenzulegen als die konkret erforderliche (in diesem Fall das Alter)

  • [0] https://en.wikipedia.org/wiki/Verifiable_credentials

• Ich frage mich, ob man das Problem lösen könnte, dass Minderjährige Produkte kaufen, die sie nicht kaufen sollten. Man könnte verlangen, dass Verkäufer nur Kreditkartenzahlung akzeptieren und den Verkauf nur abschließen, wenn die Lieferadresse mit der Adresse des Kreditkartenkontos übereinstimmt

  • Ein Kind könnte sich die Karte eines Erwachsenen leihen, aber dann würde die Ware an die Adresse dieses Erwachsenen geliefert, sodass es für das Kind schwieriger wäre, sie zu erhalten, ohne dass der Erwachsene es bemerkt
  • Der Kauf würde auf der nächsten Kreditkartenabrechnung erscheinen, was die Wahrscheinlichkeit erhöht, dass der Erwachsene merkt, dass das Kind heimlich seine Kreditkarte benutzt
  • Man könnte auch gut sichtbar verlangen, dass auf der Kreditkartenabrechnung vermerkt wird, dass in diesem Monat ein altersbeschränktes Produkt gekauft wurde
  • Das würde nicht jeden Kauf verhindern, aber es sollte ihn schwieriger machen und es Eltern erleichtern, es zu bemerken

• Die von unserem Staat ausgegebenen eID-Karten haben eine Funktion, mit der man sein Alter gegenüber vertrauenswürdigen Parteien anonym nachweisen kann. So funktioniert es: Die anfragende Partei sendet eine Anfrage an die ID-Karte, die mit einem staatlich ausgestellten Zertifikat signiert ist; die Karte prüft die Echtheit der Anfrage und antwortet mit einer Signatur zur Bestätigung der Volljährigkeit. Der Anfragende kann die Signatur dann prüfen

  • Es werden keine personenbezogenen Daten weitergegeben
  • Ich stimme weitreichenden Altersbeschränkungen nicht zu, aber das ist eine gute technische Lösung für eine datenschutzfreundliche Altersverifikation

• Wer hätte das vorhersehen können? Wenn es doch nur einen wohlwollenden Unternehmensgott gäbe, der bereit wäre, einen vertrauenswürdigen globalen Identitätsdienst bereitzustellen

  • Wenn das nicht plötzlich aufgekommen wäre, hätte vielleicht inzwischen jemand dafür sorgen können, dass Ihre Identität sich quer durchs Internet mit Ihnen mitbewegt. Es hätte unsichtbare digitale Fingerabdrücke und Pässe geben können, damit Menschen sich nicht ständig immer wieder ausweisen müssen
  • Vielleicht war es eine Lösung auf der Suche nach einem Problem

• Ich unterstütze keine Altersverifikation (ich glaube, dass sie nichts lösen wird). Die zwei betroffenen Produktkategorien, Hautpflege und Diätlebensmittel/Nahrungsergänzungsmittel, gehören derzeit zu den Kategorien, für die ich am meisten Werbung sehe, und sie wirken sehr betrügerisch

• Altersverifikation sollte in den Browser eingebaut sein, nicht in die Website

  • Eltern sollten Zugang zu einer (passwortgeschützten) Einstellung in allen Browsern haben, mit der bestimmte Arten von Websites (z. B. Pornografie) ausgeschlossen werden können
  • Der Staat sollte Websites, die diese Einstellung nicht respektieren, problemlos verfolgen dürfen
  • Aber Websites zur Altersverifikation zu zwingen, ist töricht

• Es klingt, als sei dem Autor die Existenz von Zero-Knowledge-Range-Proofs für identitätsbasierte Authentifizierung (anonyme Credentials) nicht bewusst. Im Wesentlichen funktionieren sie so: Eine dritte Partei bestätigt das Geburtsjahr in einem signierten Commitment. Dieses kann man dann dem Diensteanbieter zusammen mit einem Range Proof vorlegen, damit die Altersgrenze eingehalten wird. So kann der Diensteanbieter sicherstellen, dass alle Mitglieder die erforderliche Altersgrenze erfüllen, ohne das Geburtsjahr des Nutzers zu kennen