So funktioniert Spaniens neues Altersverifizierungssystem

AEPD erzwingt Altersverifizierung per App mit digitalem Ausweis

Der Schutz der Privatsphäre von Minderjährigen wird Erwachsene zwingen, sich vor dem Zugang zu weiten Teilen des Internets auszuweisen. Die Paradoxie lässt sich in einem Satz zusammenfassen: „Um meine Daten (angeblich) zu schützen, muss ich meine Daten herausgeben.“ Die Agencia Española de Protección de Datos (AEPD, die spanische Datenschutzbehörde) arbeitet seit Monaten gemeinsam mit anderen Behörden an dem System, mit dem Spanien das Alter der Bürger beim Surfen, bei der Nutzung von Apps oder beim Spielen überprüfen will. Ein Modell, das auf dem Papier verhindert, dass die besuchte Website weiß, wer man ist, obwohl Kritiker warnen, dass es nicht verhindert, dass eine Spur davon bleibt, dass man dort war.

So funktioniert die Altersverifizierung der AEPD

Das Kernstück ist eine kostenlose mobile App, die von der Fábrica Nacional de Moneda y Timbre (FNMT, der staatlichen Druckerei für Ausweisdokumente) entwickelt wird. Die Anwendung greift auf ein offizielles Dokument zu – den DNI (spanischer Personalausweis), den Reisepass, das digitale Zertifikat oder die europäische eIDAS-Digitalidentität – und kennt so das Alter des Nutzers, ohne seine übrigen Daten preiszugeben. Der Browser prüft seinerseits, ob eine Seite für Minderjährige geeignet ist, indem er eine Datei age.xml im Stammverzeichnis der Domain liest. Falls eine Altersüberprüfung erforderlich ist, ruft er die FNMT-App auf, die nur dann eine positive Antwort zurückgibt, wenn der Nutzer die Anforderungen erfüllt, ohne weitere Informationen zu enthüllen. Am Esstisch oder an der Spielkonsole erzeugt das Handy einen QR-Code, der mit der Kamera gescannt oder manuell eingegeben wird.

Das Design entsteht nicht von Grund auf neu. Das Ley General de Comunicación Audiovisual (Gesetz über audiovisuelle Kommunikation) verpflichtet Videoplattformen seit Mitte 2022, Systeme zur Altersverifizierung einzuführen, um den Zugang Minderjähriger zu schädlichen audiovisuellen Inhalten zu verhindern. Die CNMC (die spanische Wettbewerbs- und Marktaufsichtsbehörde), die für die Überwachung der Angemessenheit des Systems zuständig ist, hat bereits gewarnt, dass die bloße Erklärung, volljährig zu sein, ohne spätere Überprüfung kein ausreichendes Sicherheitsniveau bietet. Betroffen sind nicht nur Videos: auch Werbung, die schädliches Verhalten bei Minderjährigen fördert.

Welche Websites werden gesperrt, wenn sie nicht kooperieren?

AEPD, CNMC, FNMT, Innenministerium und Ministerium für Digitale Transformation arbeiten seit März gemeinsam in der Arbeitsgruppe zur Altersverifizierung. Der erste geplante Einsatz betrifft Videoplattformen; danach gehen mehrere Beteiligte davon aus, dass es Spiele mit Altersfreigabe oder Online-Casinos erfassen wird. Die Verantwortung liegt bei den Diensten, die ihre Inhalte korrekt kennzeichnen müssen, und die Behörde schlägt vor, Sperrlisten für Seiten zu führen, die die Vorgaben nicht erfüllen. Hier taucht die Frage auf, die Beobachter der Vorschläge stellen: Wenn sich das System auf Spanien beschränkt, welche internationale Website wird sich die Mühe machen, es einzuführen? Die am häufigsten geäußerte Prognose unter den Beteiligten ist, dass die Mehrheit das Thema ignorieren und schließlich gesperrt werden wird.

Die Spuren, die jede Verifizierung hinterlässt

Das offizielle Argument lautet, dass weder der Browser noch der Dienst irgendwelche Daten des Nutzers erhalten. Die Frage ist, was mit dem Vermittler geschieht. „Es ist extrem einfach, den Hash dieses Tokens mit einer echten ID zu verknüpfen, selbst ohne Zugriff auf den Ersteller des Tokens“, heißt es in Kreisen, die den Vorschlag verfolgen. Sie warnen, dass dieses Design enorme Macht konzentrieren würde: einen bestimmten Nutzer auf bestimmten Websites, zu bestimmten Zeiten oder bei bestimmten Aktionen zu sperren. Und höchstwahrscheinlich würde dieser Token geteilt und der digitale Konsum jedes Einzelnen verkauft werden. Um angeblich die Privatsphäre zu schützen, entstehe, so die Kritiker, eine zentralisierte digitale Identität.

Kann eine VPN die Altersverifizierung umgehen?

Für technisch versierte Nutzer ja. Die häufigste Antwort lautet, einen VPN-Dienst zu buchen, der den Traffic verschlüsselt und die DNS ändert, sodass der Anbieter nicht sieht, wohin man sich verbindet. Das Gegenargument ist die Skalierung. „Sie jagen nicht die 3 % der Bevölkerung, die dazu in der Lage sind, sondern die 97 % der Leute, die es nicht tun werden“, fasst ein Kommentar zusammen: Das Ziel ist nicht der Experte, sondern der Durchschnittsbürger, der keinen Tunnel aufbauen wird, um eine Seite zu sehen. Einige sehen in der Situation einen Anreiz, einen Anonymisierungsdienst zu bezahlen, der bereits als zusätzliche Gebühr für die Internetverbindung betrachtet wird.

Minderjährige wissen bereits, wie man es umgeht

Die unbequeme Tatsache für jedes Verifizierungssystem kommt von außen. Laut einer in diesen Tagen verbreiteten Analyse beschreiben 75 % der sanktionierten Jugendlichen das Umgehen von Einschränkungen als leicht oder sehr leicht. Die gängigsten Methoden: Lügen über das Alter bei Verifizierungsanfragen (57 %), Eingeben falscher Geburtsdaten bei der Registrierung (44 %), Nutzen des Kontos eines Elternteils oder älteren Geschwisters (42 %) und Verbinden über VPN (30 %). 64 % der befragten 14- und 15-Jährigen hatten nicht einmal damit gerechnet, dass ihre Konten gelöscht würden.

---

Das System befindet sich noch in der Entwurfsphase, und es gibt kein festgelegtes Datum für das Inkrafttreten. Manche sehen darin ein notwendiges Werkzeug; andere das Tor zu einer verpflichtenden digitalen Kennung. Mit der Verifizierung im Browser, der App auf dem Handy und den Sperrlisten in der Hinterhand – wie lange wird es dauern, bis der „Internet-Führerschein“ keine Hypothese mehr ist?