Die EU plant ein Altersnachweis-System für Online-Dienste. Bürgerrechtler warnen vor massiven Mängeln beim Datenschutz und drohender Dauerüberwachung.
EU-Kommissionspräsidentin Ursula von der Leyen kündigte bereits im Sommer an, im Rahmen der jährlichen Rede zur Lage der EU einen Gesetzesvorschlag für ein Verbot sozialer Medien ohne Altersverifikation vorzulegen. Das Vorhaben stützt sich auf eine App zur Altersbestimmung, die von der Kommission kurz zuvor als technisch ausgereift und einsatzbereit angepriesen wurde. Fachleute und Öffentlichkeit begegneten diesem Vorstoß aber rasch mit Spott, denn statt einer fertigen Anwendung lieferte die Brüsseler Behörde nur eine Blaupause. Dieser Entwurf, die sogenannte Mini-Wallet, soll den Mitgliedstaaten als Vorlage dienen, um eigene Apps zu entwickeln, ergänzt durch eine recht rudimentäre Demo-Version.
Technisch basiert diese Initiative auf der eID-Wallet, die von den EU-Staaten bis Ende 2026 für alle Bürger bereitgestellt werden muss. Die Bürgerrechtsorganisation European Digital Rights weist jedoch eindringlich darauf hin, dass effektiver Jugendschutz im Netz auch ohne flächendeckende und verpflichtende Identitätskontrollen möglich sei. Sollte die Politik dennoch auf technischen Zugangssperren bestehen, müssten höchste Maßstäbe an Datenschutz, IT-Sicherheit und Diskriminierungsfreiheit angelegt werden. Die aktuelle Realität sieht anders aus, denn die geplante Kontrollarchitektur entfaltet sich rasant und weist fundamentale Schwachstellen auf.
Bereits das Fundament des Systems wirft laut EDRi gravierende Fragen auf. Gesetzlich ist für die eID-Wallet vorgeschrieben, dass die Unverknüpfbarkeit von Daten gewährleistet sein muss. Konkret bedeutet das, dass niemand in der Lage sein darf, die Nutzung von altersbeschränkten Online-Diensten mit der realen Identität einer Person zusammenzuführen. Die EU-Kommission schwächt diesen Standard aber ab und strebt in ihren Spezifikationen nur an, eine Verknüpfung zu erschweren, anstatt sie konsequent technisch zu verhindern.
Dazu kommt ein systemischer Ausschluss: Die verlässliche Altersverifikation erfordert eine Vertrauensquelle in Form des Personalausweises, der über biometrische Verfahren wie Gesichtserkennung mit der Mini-Wallet gekoppelt wird. Wer über keine passenden Ausweisdokumente oder ein kompatibles Smartphone verfügt oder sich schlicht der Gesichtserkennung verweigert, wird von der Nutzung ausgeschlossen.
Zwar existieren kryptografische Verfahren wie Zero-Knowledge-Proofs (ZKP), mit denen die Volljährigkeit nachgewiesen werden kann, ohne persönliche Daten preiszugeben. Doch die Richtlinien der Kommission schreiben deren Einsatz nicht zwingend vor. Während die Bereitstellung von Identitätsnachweisen verbindlich vorgegeben wird, bleibt die Nutzung datenschutzfreundlicher Kryptografie für App-Entwickler und Plattformanbieter eine bloße Empfehlung.
Anstelle moderner ZKP setzt die Kommission primär auf ein Verfahren zur stapelweisen Ausstellung von Nachweisen (Batch Issuance). Dabei erhält der Nutzer ein Paket einmaliger Zertifikate. Obwohl dies das Tracking zwischen verschiedenen Webseiten erschwert, sind in diesen Dokumenten weiterhin eindeutige Parameter wie Zeitstempel, Hashes und digitale Signaturen enthalten. Sollten der Zertifikate-Aussteller und die genutzten Plattformen zusammenarbeiten, lässt sich das Nutzerverhalten über verschiedene Dienste hinweg lückenlos nachverfolgen. Eine echte Anonymität wird dadurch keineswegs garantiert.
Selbst wenn der Einsatz von Zero-Knowledge-Proofs verpflichtend wäre, blieben erhebliche Risiken bestehen, warnt EDRi. Die Blaupause der Kommission sieht vor, dass der Aussteller der Altersnachweise zugleich als Anbieter der Verifikations-App fungieren kann. Diese Verknüpfung der Kontrolle bei einer einzigen Instanz wie dem Staat erleichtert die Überwachung der Bürger. Ferner fehlt eine strikte Verpflichtung zur Datenminimierung, die das Speichern von Transaktionsdaten ausdrücklich untersagt. IT-Sicherheitsexperten warnen davor, dass zentrale Systeme bei Sicherheitslücken, behördlichen Anordnungen oder missbräuchlicher Nutzung schnell zu einer Katastrophe für den Privatsphärenschutz werden.
Die Problematik beschränkt sich nicht auf die Kinderkrankheiten und Sicherheitsmängel der ersten Demo-App. Gemäß der eIDAS-Verordnung müssen die Mitgliedstaaten den Quellcode ihrer Wallet-Apps zwar grundsätzlich als Open Source offenlegen. Doch das gilt nicht zwingend für Hintergrundbibliotheken, Serverstrukturen oder eigenständige Jugendschutz-Apps.
In Dänemark kommt bereits eine Anwendung mit proprietärem Code auf der Nutzerseite zum Einsatz, was eine unabhängige Überprüfung durch Fachleute unmöglich macht. Zudem weichen mehrere EU-Länder von den technischen Vorgaben der Kommission ab. Es droht ein Flickenteppich aus 27 unterschiedlichen nationalen Systemen mit schwankenden Datenschutzstandards. Ist diese digitale Kontrollinfrastruktur erst einmal etabliert, kann das Versprechen einer anonymen Verifikation jederzeit gekippt werden.
In Belgien und Österreich werde bereits darüber diskutiert, den Zugang zu sozialen Medien und Videoplattformen an die Feststellung der realen Identität zu knüpfen, moniert EDRi. Die flächendeckende Altersverifikation drohe damit zum Beschleuniger für den Verlust des freien, anonymen Internetzugangs zu werden.
Stefan Krempl
Keine Kommentare:
Kommentar veröffentlichen