Neues kalifornisches Gesetz verpflichtet alle Betriebssysteme zur Altersprüfung bei der Kontoerstellung

• Der US-Bundesstaat Kalifornien will ein Gesetz in Kraft setzen, das Anbieter von Betriebssystemen (OS) verpflichtet, im Schritt der Kontoerstellung ein Verfahren zur Altersprüfung bereitzustellen
• Das Gesetz ist die Assembly Bill No. 1043, tritt am 1. Januar 2027 in Kraft und verlangt eine Benutzeroberfläche, über die das Geburtsdatum oder die Altersgruppe des Nutzers eingegeben werden kann
• Betriebssysteme müssen auf Basis dieser Informationen externen Entwicklern über eine Echtzeit-API ein Signal zur Altersgruppe übermitteln
• Windows verfügt bereits über einen Schritt zur Eingabe des Geburtsdatums, sodass sich dort wenig ändert; in der Linux-Community werden dagegen Bedenken wegen der praktisch unmöglichen Durchsetzung und eines Eingriffs in die Prinzipien freier Software geäußert
• Die Maßnahme zeigt den Trend zu stärkerer staatlicher Altersverifikation; auch im Vereinigten Königreich und auf anderen Plattformen halten die Datenschutzdebatten an

---

Überblick über Kaliforniens neues Gesetz zur Altersprüfung

• Assembly Bill No. 1043 soll am 1. Januar 2027 in Kraft treten
  • Im Oktober 2025 von Kaliforniens Gouverneur Gavin Newsom unterzeichnet
  • Das Gesetz schreibt vor, dass alle Anbieter von Betriebssystemen (OS provider) bei der Einrichtung eines Kontos Altersinformationen erfassen
• Laut Gesetz müssen OS-Anbieter Folgendes tun
  • Bei der Kontoerstellung eine Eingabemaske für das Geburtsdatum oder die Altersgruppe des Nutzers bereitstellen
  • Anfragenden Entwicklern über eine Echtzeit-API ein Signal zur Altersgruppe (digital signal) übermitteln
• Die Altersgruppen sind in vier Kategorien eingeteilt
  • unter 13 Jahren
  • 13 Jahre bis unter 16 Jahre
  • 16 Jahre bis unter 18 Jahre
  • 18 Jahre und älter

Geltungsbereich des Gesetzes und technische Anforderungen

• Das Gesetz verlangt keine hochintensiven Authentifizierungsverfahren wie Gesichtserkennung
  • Allerdings ist zum Zeitpunkt der Kontoerstellung ein grundlegendes Verfahren zur Altersprüfung verpflichtend
• Wenn externe Entwickler dies anfordern, müssen OS-Anbieter Altersgruppeninformationen über eine einheitliche Echtzeit-API bereitstellen
• Diese Funktion dient als Signal für eine altersabhängige Zugriffskontrolle in App Stores

Reaktionen der Community und Kontroversen

• Bei Windows sind die Auswirkungen gering, da bei der Erstellung eines Microsoft-Kontos bereits das Geburtsdatum abgefragt wird
• In der Linux-Community fällt die Reaktion dagegen kritisch aus
  • Der Reddit-Nutzer CatoDomine aus r/linuxmint sagte, „dass Kalifornien dies durchsetzt, ist praktisch unmöglich“
  • Einige erwähnten die Möglichkeit, einen Hinweis wie „in Kalifornien nicht verwendbar (disclaimer)“ hinzuzufügen
• Diese Reaktionen führten zu einer Debatte über die rechtliche Compliance von Open-Source-Distributionen und die Realisierbarkeit regionaler Regulierung

Internationaler Kontext und ähnliche Fälle

• Der Online Safety Act im Vereinigten Königreich setzt bereits ein ähnliches System zur Altersverifikation um und wird wegen Bedenken hinsichtlich Eingriffen in die Privatsphäre kritisiert
• Auch die auf Gesichtserkennung basierende Altersverifikation von Discord sorgte wegen unklarer Zwecke der Datennutzung für Kontroversen
  • Sicherheitsforscher wiesen darauf hin, dass der Verifizierungsanbieter Persona 269 einzelne Prüfverfahren durchführt, darunter Abgleiche zu Terrorismus- und Spionagebezug
• Diese Beispiele zeigen, dass sich der Trend zu staatlich getriebener Verschärfung der Altersverifikation ausbreitet

Wirksamkeit des Gesetzes und Ausblick

• Der Artikel zitiert die Einschätzung, dass dieses Gesetz „praktisch nicht durchsetzbar“ sei
• Dennoch spiegelt die Maßnahme den Trend wider, dass Regierungen Altersverifikation auf gesetzlicher Ebene erzwingen wollen
• Kaliforniens Vorstoß gilt als Beispiel für den Konflikt zwischen technischer Realität und Datenschutz

[GN⁺]

Hacker-News-Kommentare

• Ich habe den eigentlichen Gesetzestext überflogen, und darin scheint nichts besonders Problematisches zu stehen.
  Im Kern geht es darum, beim Erstellen oder Ändern lokaler Benutzerkonten einen Schalter zu verlangen, der angibt, ob „dieser Benutzer ein Kind ist oder nicht“.
  Apps können dieses Signal nutzen, um Inhalte für Kinder und Nicht-Kinder zu unterscheiden.
  Streng genommen ist es also kein Gesetz zur Altersverifikation (age verification).

  • Ich halte das für ein wirklich schreckliches Gesetz.
    Sowohl Apps als auch Websites müssten dieses Signal nutzen können. Wenn man das Alter eines Kinderkontos korrekt einträgt, könnten bösartige Seiten diese Information verwenden, um Kinder gezielt ins Visier zu nehmen.
    Eltern würden deshalb absichtlich ein falsches Alter angeben, und dadurch würde die Wahrscheinlichkeit steigen, dass Kinder Erwachseneninhalten ausgesetzt werden.
    Am Ende macht dieses Gesetz Kinder also noch unsicherer.

• Ich frage mich, wie das funktionieren soll bei Geräten ohne UI, etwa eingebetteten Systemen.
  Außerdem könnten solche Gesetze letztlich auf eine Einschränkung der Meinungsfreiheit hinauslaufen.
  Man denkt fast, das gesamte kalifornische Regierungssystem sollte diesem Gesetz einmal mit „böswilliger Befolgung“ folgen — also alle OS abschalten und stillstehen, bis das Gesetz aufgehoben wird.

  • Es gibt zwar Vollstreckungsprobleme bei nicht-kommerziellen OS, aber die meisten Reaktionen scheinen nur vom Titel auszugehen.
    Mit Betriebssystemen sind laut Gesetz nur mit App-Stores verknüpfte OS für allgemeine Computer, Mobilgeräte, Konsolen usw. gemeint.
    Eingebettete Systeme, Router oder Ampeln sind nicht eingeschlossen.
    Praktisch ist das nur ein System-API-Prompt, der nach dem Alter fragt.
  • Realistisch betrachtet würden wohl nur Windows, Apple und Android tatsächlich durchgesetzt werden.
    Die kalifornischen Gesetzgeber wissen vermutlich nicht einmal, was Linux ist.

• Systeme, die auf Remote-Authentifizierung setzen, können jederzeit blockiert (jammed) werden.
  Ich habe einmal ein Chromebook zurückgesetzt und beim anschließenden Login wegen eines Fehlers in der Remote-Authentifizierung alle Daten verloren.
  Wichtige Systeme sollten nicht von zentralisierter Remote-Authentifizierung abhängen.

• Wenn man verhindern will, dass Minderjährige Alkohol kaufen, lässt man das Auto ja auch nicht das Alter des Fahrers speichern.
  Es gibt keinen Grund, dass das OS das Alter des Nutzers nachverfolgen muss.
  Es reicht völlig, das Alter erst beim Zugriff auf Inhalte zu prüfen.

• Die kalifornischen Gesetzgeber verstehen Technik überhaupt nicht und produzieren ständig PR-Gesetze.
  Es gibt haufenweise unrealistische Regulierung wie Mikroprägung bei Waffen, Erkennung von mit 3D-Druckern hergestellten Waffen oder Altersverifikation für Mikrowellen.
  So wie das läuft, kehrt Kalifornien bald in die Steinzeit zurück.

  • Das Grundproblem ist eine falsche Anreizstruktur.
    Abgeordnete dürfen höchstens 12 Jahre im Amt sein und konzentrieren sich deshalb eher auf Lebenslauf-taugliche Erfolge als auf langfristige Verantwortung.
  • Ich frage mich, woher solche Gesetzentwürfe überhaupt kommen.
    Es wirkt, als wolle eine bestimmte Gruppe nicht-identifizierende Zugangskontrollen erzwingen.
  • Das ist so allgemein verbreitet, dass man aus „kalifornische Gesetzgeber“ eigentlich auch „kalifornische“ weglassen könnte.
  • Die Mikroprägung bei Waffen wird wohl auf dem Hammerteil angebracht, aber das lässt sich doch einfach abschleifen oder abnutzen, oder?
  • Auch Bürger, die solche Gesetze fordern, sind Teil des Problems.
    Sie glauben, dass es richtig sei, „irgendetwas zu tun“, aber uninformierter Aktivismus sorgt für noch mehr Chaos.

• Wenn Linux-Befehle eine Altersbeschränkung hätten, sähe das wohl so aus:
  rm für alle Altersgruppen, grep und find ab 18, cat ab 18, sudo ebenfalls ab 18, kill für alle Altersgruppen usw.

  • Aber auch ohne cat könnte man das mit einer einfachen Schleife umgehen.
  • ed ist ein Befehl exklusiv für nostalgische Nutzer ab 45.
  • Auch rm könnte de facto ein Suchwerkzeug für Pornografie sein, und reboot oder echo könnten ebenfalls gefährlich sein.

• Der Gesetzentwurf läuft letztlich nur darauf hinaus, dem Benutzerprofil ein Altersattribut hinzuzufügen.
  Apps könnten Hinweise auf Alterskategorien wie 13+, 16+, 18+ oder 21+ erhalten.
  Damit wäre eine datenschutzfreundliche Altersunterscheidung auch ohne Gesichtsscan oder Geräteauthentifizierung möglich.
  Allerdings besteht das Risiko, dass Unternehmen wie MS, Google oder Apple das als geschlossenen Standard missbrauchen.

  • Solche Gesetze werden anfangs locker umgesetzt, entwickeln sich später aber unter dem Vorwand „zu schwacher Durchsetzung“ zu verstärkten Überwachungssystemen weiter.
  • Ein Seitenkanal zwischen Browser und OS, über den Benutzerinformationen ausgetauscht werden, ist eher selbst ein Eingriff in die Privatsphäre.
  • Schon im Einrichtungsprozess des iPhone gibt es einen Schritt, bei dem nach „Kind/Jugendlicher/Erwachsener“ gefragt wird.

• Ich frage mich, warum das OS hier überhaupt beteiligt sein muss.
  Ziel solcher Regulierung sollten App-Stores sein.
  Das wirkt wie ein typischer Fall von Politician’s Logic (Videolink).

  • Der Grund ist einfach — man muss nur dem Geldfluss folgen.
    Große Unternehmen haben Angst vor allgemeinem Computing, das Nutzer selbst kontrollieren.
    Altersverifikation liefert dafür den emotionalen Vorwand, um das unter Kontrolle zu bringen.
  • Wenn Eltern Kinderkonten anlegen und der App-Store anhand der Altersinformationen des OS Apps einschränkt, könnte das sinnvoll sein.
    Das wäre auch ohne Gesichtserkennung oder Ausweisvorlage möglich.
  • Das OS ist der kleinste gemeinsame Nenner zwischen Nutzern und allen Apps, also geht es nur um die Bereitstellung einer API für Altersgruppen-Metadaten.
    Im Grunde kommt das einer Pflicht zu Elternkontrollfunktionen nahe.
  • Unternehmen wie OpenAI nutzen solche Gesetze als Mittel zur Verantwortungsabwälzung.
    Schließlich übernimmt Microsoft dann die Altersprüfung.
  • Wenn das OS das Signal liefert, muss nicht jede App separat personenbezogene Daten sammeln; aus Datenschutzsicht könnte das sogar besser sein.

• Solche Regulierung könnte Kinder eher dazu anspornen, ihr eigenes OS zu bauen.
  Wie damals, als wir selbst Hardware gebaut und OS kompiliert haben,
  könnte das für eine neue Generation ein Anlass sein, technische Selbstständigkeit zu lernen.

  • Aber Kinder von heute erleben eine solche Welt womöglich gar nicht mehr.
  • Am Ende könnte alle Hardware nur noch zertifizierte OS zulassen, und nicht zertifizierte OS würden illegal.
  • In unserer Generation war das nicht illegal, aber jetzt gibt es offenbar Bestrebungen, selbst das noch zu verbieten.
  • Es könnte eine Zeit kommen, in der ein Kind wegen der Nutzung eines „illegalen OS“ von der Schulpolizei befragt wird.

• Richard Stallmans „Right to Read“ wird in erstaunlichem Maß Realität.

  • Stallman hatte immer recht.
    Früher wurde das mit Urheberrechtsschutz begründet, heute hat es sich in ein Mittel zur Bevölkerungskontrolle verwandelt.
    Nicht einmal Ausreden werden noch gemacht.
  • Mit der Zeit werden RMS’ Vorhersagen immer treffender.