Online-Altersverifikation zum Schutz von Kindern führt zunehmend zur Überwachung von Erwachsenen

• Neue Gesetze zur Altersverifikation in den USA werden mit dem Schutz Minderjähriger begründet, führen aber dazu, dass auch erwachsene Nutzer beim Zugriff auf Online-Inhalte verpflichtende Identitätsprüfungen durchlaufen müssen
• Fast die Hälfte der Bundesstaaten verlangt Altersbeschränkungen für Social-Media-, Gaming- und Websites mit Erwachsenen-Inhalten, wodurch KI-basierte Gesichtserkennung und Altersschätzung breit eingesetzt werden
• Discord kündigte die Einführung einer weltweiten Altersverifikation an, verschob den Start jedoch nach Gegenreaktionen auf die Forderung nach Selfies und amtlichen Ausweisen
• Datenschutzexperten warnen, dass die zentralisierte Speicherung von Identitätsdaten neue Risiken wie Hacks und staatliche Auskunftsersuchen schafft und damit die Grundlage eines freien und offenen Internets erschüttern könnte
• Die Branche geht davon aus, dass solche Systeme sich letztlich als dauerhafte Online-Infrastruktur etablieren könnten und auch für Erwachsene ein Umfeld ständiger Identitätsprüfung zum Alltag wird

---

Ausbreitung und Kontroverse um Altersverifikationsgesetze in den USA

• Neue Gesetze zur Altersverifikation zum Schutz Minderjähriger treten in Kraft, wodurch Millionen Erwachsene beim Zugriff auf Online-Inhalte ihre Identität nachweisen müssen
  • Mehr als die Hälfte der Bundesstaaten hat entsprechende Gesetze verabschiedet oder treibt sie voran; betroffen sind Plattformen für Erwachsenen-Inhalte, Gaming und Social Media gleichermaßen
  • Da sich technische Anforderungen und Regulierungsmaßstäbe von Bundesstaat zu Bundesstaat unterscheiden, müssen Unternehmen komplexe Gegenmaßnahmen umsetzen
• Discord gab im Februar Pläne für eine weltweite Einführung der Altersverifikation bekannt, verschob diese nach Protesten gegen die Anforderung von Nutzer-Selfies und staatlichen Ausweisen jedoch auf die zweite Jahreshälfte
  • CTO Stanislav Vishnevskiy erklärte, „Identitätsprüfungen werden immer kontrovers sein“
• KI-basierte Gesichtserkennung und Modelle zur Altersschätzung werden als zentrale Verifikationsmittel genutzt; einige Dienste setzen auf schlanke Verfahren, die keine Identitätsinformationen speichern

Nutzerreaktionen und Datenschutzbedenken

• Viele Nutzer empfinden Identitätsprüfungen als Eingriff in ihre Privatsphäre
  • Die Anwältin Heidi Howard Tandy sagte, die erzwungene Preisgabe von Informationen sei invasiv, und verwies darauf, dass manche Nutzer Umgehungsmethoden oder illegale Vertriebswege nutzen könnten
• Anbieter für Identitätsprüfung wie Socure nennen die Balance zwischen dem Ausschluss Minderjähriger und Nutzerfreundlichkeit als zentrale Herausforderung
  • Zu umfassende Datenerhebung führe zu Widerstand bei den Nutzern
• Einige Unternehmen setzen die Speicherdauer für Identitätsdaten auf bis zu drei Jahre fest und verweisen auf die Notwendigkeit, Nachweise zur rechtlichen Compliance aufzubewahren

Datenspeicherung und Sicherheitsrisiken

• In den meisten Fällen werden Identitätsinformationen nicht von der Plattform selbst, sondern von Drittanbietern für Verifikation verarbeitet und gespeichert
  • Socure speichert bei leichter Verifikation fast keine Daten, bei ID-Scans kann jedoch eine Aufbewahrung für einen bestimmten Zeitraum erfolgen
• Die Bündelung großer Mengen an Identitätsdaten kann zum Ziel von Hacks und staatlichen Auskunftsersuchen werden
  • Discord legte offen, dass bei einem Hack eines Drittanbieters im Jahr 2025 ID-Bilder von rund 70.000 Personen offengelegt wurden
• Molly Buckley von der EFF warnt, dass Altersverifikation sensible personenbezogene Daten wie Namen, Gesichter und Adressen mit Online-Aktivitäten verknüpft und damit die Grundlage eines freien und offenen Internets bedroht
• Nutzer sind letztlich auf die Nutzungsbedingungen angewiesen, während zugleich die Möglichkeit einer Datenweitergabe auf Anfrage von Strafverfolgungsbehörden besteht
• Unternehmen können Risiken über Verträge mit Drittanbietern streuen, doch die rechtliche Verantwortung verbleibt weiterhin bei der Plattform

Regulierung und juristische Auseinandersetzungen

• Regulierungsbehörden auf Bundes- und Bundesstaatenebene argumentieren, Altersverifikation sei eine unverzichtbare Maßnahme zum Schutz Minderjähriger
  • Die FTC betont, dass Unternehmen die erhobenen Daten nur minimal verwenden und Aufbewahrungsfristen sowie Sicherheitsstandards einhalten müssen
  • Die Generalstaatsanwaltschaft von Virginia erklärte, starke Verifikation und Datenmanagement seien zentral für den Jugendschutz, und verwies dabei auf Klagen gegen Meta und TikTok
• Ein Bundesgericht setzte jedoch kürzlich die Durchsetzung von Virginias Gesetz zu Altersbeschränkungen vorläufig aus und gab Branchenverbänden mit Verweis auf Eingriffe in die Meinungsfreiheit recht
• EFF-Analystin Buckley argumentiert, dass selbst zum Schutz von Kindern kein System aus Überwachung und Zensur, sondern ein umfassendes bundesweites Datenschutzgesetz nötig sei

Dauerhafte Etablierung und globale Ausbreitung der Altersverifikation

• In einigen Ländern wie dem Vereinigten Königreich, Australien und Brasilien sind Gesichtsaltersschätzung und ID-Prüfung bereits vorgeschrieben
• Discord erklärte, dass die meisten Nutzer bereits über bestehende interne Systeme ausreichend verifiziert seien, und bereitet zusätzliche Optionen wie Kreditkarte und Transparenzberichte vor
• Snap schlägt vor, dass nicht die Plattform selbst Identitätsdaten erfasst, sondern die Altersverifikation auf Ebene von Gerät, Betriebssystem und App-Store erfolgt
• Meta und Google lehnten eine Stellungnahme ab
• Experten weisen darauf hin, dass mit der Ausweitung der Gesetzgebung in den Bundesstaaten eine Altersverifikations-Infrastruktur dauerhaft Teil der Online-Struktur werden könnte
  • Joe Kaufmann sagte, das System entwickle sich in Richtung einer Form, bei der das Alter von Nutzern fortlaufend nachgewiesen werde, und digitale Altersnachweise über mehrere Plattformen hinweg wiederverwendet werden könnten
  • Tandy erklärte, dies könne sich zu einem Modell entwickeln, bei dem ein einmal verifiziertes Alter ähnlich wie beim Disney-Kontosystem langfristig erhalten bleibt
• Im Ergebnis könnte sich ein Internetumfeld herausbilden, in dem Identitätsprüfung auch für Erwachsene als alltäglicher Zugangsschritt verankert ist

[GN⁺]

Hacker-News-Kommentare

• Es wird empfohlen, sich das Interview mit dem Direktor der Free Speech Coalition anzusehen. Unter dem Vorwand, „Kinder zu schützen“, führen diese moral panic laws in der Praxis zu mehr Überwachung, VPN-Verboten und höheren Betriebskosten für unabhängige Websites
  Betroffen ist nicht nur Pornografie, sondern jeder Inhalt, der als „schädlich für Minderjährige“ gilt, darunter Reddit, Bluesky, LGBTQ-Foren, Informationen zur Sexualaufklärung und regierungskritische Meinungen
  Unterstützung kommt nicht nur von der religiösen Rechten, sondern auch von Teilen der Öffentlichkeit, die eine Big-Tech-Regulierung wollten. Auch innerhalb der Branche gibt es Befürworter, weil sich mit dem Verkauf von Compliance-Produkten Geld verdienen lässt
  Zugehöriges Interview: Power User Podcast – Another Internet Law That Punishes Everyone
  • Solche Gesetze sind am Ende nur ein Versuch des Staates, autoritäre Kontrolle auszubauen
• Die FTC sagt Unternehmen zwar, sie sollten gesammelte Informationen nur minimal verwenden, aber in der Realität werden meine Daten mehrfach geleakt und ich bekomme am Ende nur kostenloses Kreditmonitoring
  Die Unternehmen machen ganz normal weiter, als wäre nichts passiert
  Discord will eine altersbasierte Verifikation per Kreditkarte hinzufügen, und es ist fraglich, warum man nicht von Anfang an diesen Weg statt Gesichtserkennung gewählt hat
  • Ich habe in den letzten Jahren ebenfalls mehrfach Benachrichtigungen über Leaks von Gesundheitsdaten erhalten. HIPAA soll angeblich so streng sein, aber in der Praxis scheint es keinerlei Sanktionen zu geben
  • Auch Kreditkarten sind kein perfektes Mittel zur Altersverifikation. Minderjährige können leicht Prepaid-Karten oder Familienkarten nutzen
  • Manche sind tatsächlich 18, bekommen aber trotzdem den Zugang zu Reddit gesperrt. Solche Richtlinien sind viel zu mechanisch
  • Kreditmonitoring kann auch sinnlos sein. Laut einem ProPublica-Artikel haben große Kreditauskunfteien begonnen, Verbraucherbeschwerden zu ignorieren
• Solche „verhaltensbasierten Verifikations“-Systeme schützen Kinder nicht
  Kriminelle umgehen die Verifikation und gewinnen sogar noch mehr Anonymität. Am Ende scheint Überwachung der eigentliche Zweck zu sein
  • Emotionales Storytelling mit Kindern als Aushängeschild wurde schon immer als Werkzeug der Unterdrückung genutzt. Dasselbe Muster wiederholt sich bei gemischtrassigen Ehen, Rechten für sexuelle Minderheiten und der Unterdrückung der Meinungsfreiheit
  • Altersverifikation hält böswillige Nutzer nicht auf, sondern baut nur eine Datenbank derjenigen auf, die kooperiert haben
  • Roblox verfolgt einen realistischeren Ansatz und deaktiviert Kommunikationsfunktionen für nicht verifizierte Nutzer
  • Der bessere Weg wäre, die Plattformverantwortung zu verschärfen, sodass Fremde ohne Zustimmung der Eltern nicht mit Minderjährigen kommunizieren können. Das ist auch ohne zentrale Überwachung mit Funktionen zur elterlichen Kontrolle möglich
• Altersverifikation verlangt letztlich eine Identitätsverifikation
  In einem Entwurf des britischen Online Safety Act gab es eine Option, anonyme ID-Codes gegen Bargeld zu kaufen, aber sie wurde verworfen, weil Regierung und Unternehmen mit IDs verknüpfte Daten wollten
  • Ich wusste nicht, dass es so einen Vorschlag gab. Ich denke, nur anonyme Verifikation ohne Aufzeichnungen sollte erlaubt sein. Ein zentralisierter Identitätsanbieter ist unnötig
  • Aber dann bleibt das Problem, wie man verhindert, dass solche ID-Codes an Kinder weiterverkauft werden
• Das Ziel all dieser Maßnahmen ist letztlich die Beseitigung der Anonymität von Erwachsenen
  Wenn echter Kinderschutz das Ziel wäre, hätte man sich längst auf Pornografie oder Glücksspiel konzentriert, insbesondere auf Lootboxen
• Wenn Altersverifikation eingeführt wird, würde ich sofort mein Konto löschen. Das gilt gleichermaßen für Discord, Xbox und Ubisoft
  Außer bei Banken oder staatlichen Diensten gibt es keinen Grund, meinen Ausweis herauszugeben. Wenn man solche Systeme ignoriert, wird man am Ende als „nicht erwachsen“ eingestuft, und ich frage mich, wen das schützen soll
  • Im Moment mag das noch gehen, aber wenn sich solche Gesetze ausbreiten, kommt wohl bald eine Zeit, in der man im Internet gar nichts mehr tun kann
  • Selbst wenn man als „nicht erwachsen“ eingestuft wird, landet man am Ende nur in einem zensierten Raum. Das ist kein Kinderschutz, sondern Kontrolle
• Die EU führt dieses Jahr das EUDI-System ein, mit dem sich angeblich nur das Alter verifizieren lässt, ohne personenbezogene Daten offenzulegen. In Europa sei das Problem damit bereits gelöst
  • Aber EUDI unterstützt keine Unverkettbarkeit (unlinkability), was Datenschutzprobleme schafft. Es gibt viel Kritik dazu in dieser Github-Diskussion und diesem Artikel
    Als Alternative wurde ein BBS+-Ansatz vorgeschlagen, aber das offizielle Team sagt, er sei nicht kompatibel, und es gibt keine Fortschritte
  • Laut den Dokumenten zur EU Identity Wallet gibt das System 30 nachverfolgbare Tokens mit einer Laufzeit von drei Monaten aus und verlangt Dinge wie Rooting-/Jailbreak-Verbot sowie die verpflichtende Installation von GooglePlay Services — also schwere Eingriffe in die Privatsphäre
    Solche Bedenken werden auch auf Github ignoriert
  • Außerdem führt schon die Angabe „heute über 16“, morgen „über 18“ letztlich zu einer Offenlegung des Geburtsdatums
• Tatsächlich kennen Regierungen oder Big Tech mein Alter, Geschlecht, meinen Beruf und sogar Informationen über meinen Ehepartner bereits mit 99 % Genauigkeit
  Altersverifikation soll nur das verbleibende 1 % füllen und die Verantwortung auf die Nutzer abwälzen. Schon der Verifikationsversuch selbst führt zu zusätzlichen Datenlecks
• Das Thema wurde schon oft diskutiert, aber wenn echter Kinderschutz das Ziel wäre, hätte es Methoden ohne Weitergabe sensibler Daten gegeben
  Stattdessen erhöhen solche Systeme nur wieder das Risiko, dass Daten „versehentlich geleakt“ oder verkauft werden
  Verwandte Diskussion: früherer HN-Thread
• Die Sorgen um Privatsphäre sind nachvollziehbar, aber wenn Regierungen oder Unternehmen ohnehin schon über Techniken zur Deanonymisierung verfügen, fragt man sich, ob man davor überhaupt noch neue Angst haben muss
  Es wirkt, als lebten wir bereits in einer „Welt nach der Anonymität“
  • Ganz so weit sind wir noch nicht. Mit genug Aufwand ist es weiterhin möglich, Anonymität zu wahren
    Aber je mehr solcher Gesetze hinzukommen, desto weniger Dienste bleiben nutzbar
    Staatliche Überwachung und Unternehmensüberwachung sind nicht dasselbe. Wenn Unternehmen Daten verkaufen, kann am Ende jeder meine Informationen sehen
    Diese defätistische Haltung ist unbegründet und eher gefährlich
  • (kurze Reaktion des anonymen Nutzers „asdff“)