Die EU will Minderjährige schützen, ohne die Privatsphäre aller Internetnutzer weiter auszuhöhlen. Doch das System ist noch nicht so sicher, wie es sein könnte.
Was der da wohl schaut? Ein Jugendlicher am Smartphone.
Die EU-Kommission hat neue Empfehlungen zum Jugendschutz im Internet veröffentlicht. Sie stellt den Mitgliedsländern eine App zur Verfügung, mit der sie Altersnachweise bei Onlinediensten einführen können. Die Kommission will damit Minderjährigen den Zugang zu Pornografie-Webseiten, Online-Casinos und Webshops, die Alkohol und Zigaretten verkaufen, erschweren.
Fünf EU-Staaten sollen nun in Pilotprojekten die App testen: Frankreich, Dänemark, Griechenland, Italien und Spanien. Danach könnten die Empfehlungen für alle EU-Mitgliedstaaten verpflichtend werden.
Die EU sieht ein System vor, das die Privatsphäre der Nutzer so weit wie möglich schützt. Das bedeutet, dass die Nutzer gegenüber einer Webseite ihre Volljährigkeit nachweisen können, ohne dabei ihr genaues Alter oder ihren Namen preiszugeben.
IT-Fachpersonen sprechen von Zero-Knowledge-Proof: Bestätigt oder widerlegt wird einzig, ob die Person tatsächlich der Ü-18-Altersgruppe angehört.
Dazu müssen die Nutzer in der App entweder einen Ausweis hinterlegen oder die App mit einer anderen Anwendung verknüpfen, die das Alter des Nutzers bereits verifiziert hat, zum Beispiel jener einer Bank.
Das System funktioniert so:
Mit diesem System soll sichergestellt werden, dass Nutzer nach wie vor anonym Online-Inhalte wie Pornografie konsumieren können. Doch ob der Programmcode tatsächlich funktioniert wie versprochen, ist bis heute unklar. Denn die Webseite, auf der der Quellcode der App hätte veröffentlicht werden sollen, zeigt bis jetzt eine Fehlermeldung. Unabhängige Experten konnten daher den Programmcode noch nicht testen.
Warum Pseudonyme wie das «grosse Eichhörnchen» problematisch sein können
Der technische Beschrieb der App gibt Hinweise darauf, dass die App nicht so sicher ist, wie sie sein könnte. Olivier Blazy, Professor für Cybersicherheit an der École polytechnique in Paris, kritisiert, dass die EU in der Spezifikation schreibt, es würden Pseudonyme verwendet.
Pseudonyme wie «grosses Eichhörnchen» oder «anonymer Dinosaurier» kennt man von geteilten Dokumenten auf einem File-Sharing-Dienst wie Google Drive. Sie verschleiern die Identität eines Nutzers, weil er nirgends mit echtem Namen auftaucht. «Aber nur weil niemand weiss, dass ich das ‹grosse Eichhörnchen› bin, kann trotzdem jemand registrieren, dass das ‹grosse Eichhörnchen› auf Webseite A, B und C gegangen ist», sagt Blazy. Diese Information kann unter Umständen Rückschlüsse auf Personen zulassen.
Ob diese Sicherheitslücke nur im technischen Beschrieb oder tatsächlich auch in der App bestehen, konnte wegen des fehlenden Programmcodes noch nicht überprüft werden. Klar ist aber, dass ein System für den Altersnachweis auch ohne Pseudonym funktioniert. Das hatte Blazy in einem eigenen System gezeigt, das er vor rund drei Jahren gemeinsam mit der französischen Datenschutzbehörde entwickelt hatte.
Netzaktivisten stellen sich gegen Altersnachweise
Das schusselige Vorgehen der EU dürfte jenen Stimmen helfen, die der Einführung des Altersnachweises kritisch gegenüberstehen. Netzaktivisten und Privatsphäreschützer kämpfen seit Jahren gegen die Einführung solcher Systeme. Sie wollen verhindern, dass Internetnutzer noch mehr Daten von sich preisgeben, als sie dies heute schon tun. Die amerikanische Electronic Frontier Foundation schreibt beispielsweise: «Systeme für die Altersverifizierung sind Systeme zur Überwachung.»
Doch inzwischen ist das Projekt der EU so weit fortgeschritten, dass ein Stopp unwahrscheinlich erscheint. Die EU-Kommission hat schon allerlei Versprechungen gemacht, zum Beispiel, dass die App zur Altersüberprüfung kompatibel sein wird mit der EU-Identity-Wallet.
Bis Ende 2026 müssen die EU-Mitgliedstaaten sicherstellen, dass ihre Bürger auf einen digitalen Ausweis zugreifen können. Bis dahin soll der Altersnachweis über eine Art «Mini-Wallet» laufen.
Heute umgehen Kinder Pornoverbote mit einem Klick
Auf den wenigsten Webseiten gibt es derzeit glaubwürdige Alterskontrollen. Auf Pornografie-Plattformen können Kinder den Warnhinweis mit einem Klick auf «Ich bin über 18» innerhalb von Sekunden umgehen. Auch in vielen Web-Shops reicht eine Selbstangabe beim Alter, die nicht überprüft wird.
Aus diesem Grund hat die EU-Kommission Ende Mai Verfahren gegen mehrere Betreiber von Pornoseiten eingeleitet. Als sehr grosse Onlineplattformen mit 45 Millionen monatlich aktiven Nutzern
sind namentlich Pornhub, Stripchat, XNXX und XVideos laut dem Gesetz für digitale Dienste verpflichtet, Minderjährige «angemessen» zu schützen.
Ist der Altersnachweis im Internet einmal eingeführt, dürfte er auch bei anderen Diensten verlangt werden. Soziale Netzwerke wie Tiktok oder Instagram haben ein selbstgesetztes Mindestalter von 13 Jahren. Viele Nutzer unterziehen sich Gesichtsscans, anhand deren ihr Alter abgeschätzt wird. Diese Art des Altersnachweises macht aber Fehler und könnte deshalb vom System der EU abgelöst werden.
Damit dürfte es für Minderjährige künftig schwieriger werden, reizvolle Produkte im Internet zu erreichen. Das EU-System zum Altersnachweis braucht aber noch eine Überarbeitung, denn noch sieht es danach aus, als würde die Privatsphäre der Nutzer damit mehr beschnitten werden als nötig.
