Altersverifikationsgesetze bauen leise ein Überwachungssystem auf, das niemand verlangt hat
Eine Verifikationspflicht, die alle trifft – nicht nur Minderjährige
Altersverifikationsgesetze in den USA teilen ein strukturelles Problem: Man kann nicht feststellen, wer minderjährig ist, ohne das Alter aller zu überprüfen. Diese eine Tatsache macht aus Gesetzen zum Kinderschutz ein allgemeines System zur Erfassung von Identitäts- und Biometriedaten, das Erwachsene genauso erfasst wie die Minderjährigen, die es eigentlich schützen soll. Die Compliance-Tools, die zur Erfüllung dieser Gesetze eingesetzt werden – Facial Age Estimation, Upload staatlicher Ausweise, Device Fingerprinting – übermitteln routinemäßig sensible personenbezogene Daten an Drittanbieter. Und in vielen Fällen unterliegen diese Übermittlungen geringeren regulatorischen Auflagen als die Inhalte, die die Gesetze eigentlich regulieren sollten.
Das ist kein hypothetisches Risiko. Es ist das direkte, dokumentierte Ergebnis der Art und Weise, wie Alterssicherungssysteme heute gebaut und eingesetzt werden. Und es geschieht zu einem Zeitpunkt, an dem die Durchsetzung der zugrundeliegenden Gesetze selbst inkonsistent und rechtlich umstritten ist.
Vier Bundesstaaten verlangen nun, dass App Stores Entwicklern die Altersgruppe der Nutzer mitteilen
Kalifornien, Louisiana, Texas und Utah haben jeweils Gesetze erlassen, die mobile App Stores und App-Entwickler dazu verpflichten, das Alter von Nutzern zu überprüfen und altersbasierte Schutzmaßnahmen anzuwenden. Das Neue an diesen Gesetzen ist nicht die Altersprüfung selbst – viele einzelne Apps sperren bereits Inhalte hinter einem Geburtsdatum –, sondern der neue Datenfluss, den sie zwischen Plattformen schaffen. Nach diesen Vorschriften müssen App Stores wie der Apple App Store und Google Play die Altersgruppe eines Nutzers direkt an Drittentwickler weitergeben, bevor dieser Nutzer eine App herunterladen oder nutzen kann.
Das ist eine Datenleitung, die es vorher nicht gab. App Stores haben konto-bezogene Informationen – einschließlich der Altersdaten, die ein Nutzer bei der Anmeldung angegeben hat – historisch innerhalb ihrer eigenen Mauern behalten. Diese Gesetze verlangen, dass diese Informationen an jeden Entwickler weiterfließen, dessen App in den Anwendungsbereich des Gesetzes fällt. Das vervielfacht die Zahl der Parteien, die altersbezogene Identitätssignale zu einem bestimmten Gerät oder Konto besitzen. Die Altersgruppe eines Teenagers – und damit auch die eines Erwachsenen – wird zu einem Datenpunkt, der routinemäßig an Unternehmen weitergegeben wird, die vorher keinen Zugang dazu hatten und keine nachgewiesene Erfolgsbilanz vorweisen können, wie sie diese Daten speichern oder weiterverkaufen.
Die einstweilige Verfügung in Texas zeigt, wie zersplittert die Durchsetzung bereits ist
Die Fragmentierung dieser Rechtslandschaft wurde Ende Dezember konkret, als ein Gericht das texanische Alterssicherungsgesetz nur gut eine Woche vor seinem Inkrafttreten per einstweiliger Verfügung stoppte. Die Verfügung setzte die Durchsetzung in einem der vier Bundesstaaten mit einem App-Store-Altersverifikationsgesetz außer Kraft, während die Gesetze in Kalifornien, Louisiana und Utah auf ihren eigenen separaten Zeitplänen und mit eigenen separaten rechtlichen Anfechtungen voranschreiten.
Der praktische Effekt ist ein Flickenteppich: Die Compliance-Pflichten eines Entwicklers hängen davon ab, welchen Bundesstaat das Gerät eines Nutzers als Abrechnungs- oder App-Store-Region meldet. Und diese Pflicht kann sich abrupt ändern, wenn ein Gericht kurz vor einem Stichtag eingreift. Unternehmen, die Altersverifikationssysteme bauen, entwickeln für ein sich bewegendes rechtliches Ziel. Das führt tendenziell zu breiten, datenhungrigen Standardimplementierungen statt zu eng gefassten – es ist einfacher, einen einzigen datenfressenden Verifikationsablauf zu bauen, als vier verschiedene bundesstaats-spezifische Versionen zu pflegen, die jeweils zu unterschiedlichen Zeiten per Verfügung gestoppt werden könnten.
Wie Verifikation in der Praxis aussieht – und wohin die Daten tatsächlich fließen
Die technische Realität der Altersverifikation ist auf andere Weise uneinheitlich: Die meisten Websites und Dienste, die gesetzlich zur Altersprüfung verpflichtet sind, setzen sie schlicht nicht durch. Eine Analyse digitaler Altersverifikationssysteme ergab, dass die Durchsetzung insgesamt inkonsistent ist. Viele Plattformen überspringen jegliche sinnvolle Prüfung, obwohl sie unter die Anforderungen eines Bundesstaates fallen.
Wenn Verifikationssysteme tatsächlich implementiert werden, konzentrieren sich die Methoden auf drei Ansätze: Facial Age Estimation, bei dem ein Live- oder hochgeladenes Foto analysiert wird, um eine Altersspanne abzuleiten; Upload eines staatlichen Ausweises, bei dem ein Führerschein oder Reisepass gescannt werden muss; und Device oder Browser Fingerprinting, bei dem ein persistenter Identifikator aus Merkmalen wie Bildschirmauflösung, installierten Schriftarten und Browserkonfiguration erstellt wird. Alle drei Methoden senden Daten routinemäßig an mehrere Drittanbieter, anstatt innerhalb der Erstanbieter-Plattform zu bleiben, die die Prüfung durchführt. Ein Gesichtsscan zur Altersschätzung bleibt nicht zwangsläufig auf der Seite, die der Nutzer aufrufen möchte – er kann über einen spezialisierten Alterssicherungsanbieter laufen und von dort in die Aufbewahrungs- und Verarbeitungspraktiken gelangen, die die Datenschutzerklärung dieses Anbieters erlaubt. Der Endnutzer liest diese Erklärung nie, und die Plattform prüft sie selten.
Fingerprinting ist rechtlich personenbezogene Daten – und genau das nutzen diese Systeme
Der Aspekt des Device Fingerprinting verdient besondere Aufmerksamkeit, weil eine Diskrepanz zwischen seiner Regulierung und seiner Nutzung besteht. Gemäß der DSGVO gilt Browser- und Device Fingerprinting als Verarbeitung personenbezogener Daten, da es einen eindeutigen Identifikator erzeugt, der mit einer bestimmten Person verknüpft ist. Das erfordert eine Rechtsgrundlage – fast immer eine ausdrückliche Einwilligung – und die Offenlegung in einer Datenschutzerklärung. Nach dem CCPA und CPRA in Kalifornien und den meisten anderen US-Datenschutzgesetzen seit 2023 werden Fingerprints explizit als einzigartige personenbezogene Identifikatoren eingestuft, was sie in dieselbe rechtlich sensible Kategorie wie andere Formen biometrischer und Trackingdaten stellt.
Trotz dieser Einstufung ist Fingerprinting eines der Standardwerkzeuge, mit denen Altersverifikationsanbieter ein Gerät mit einem geschätzten Alter verknüpfen und verhindern, dass Nutzer einfach Cookies löschen, um eine Prüfung zu umgehen. Die Annahme hinter der Nutzung ist, dass ein Fingerprint anonym genug ist, um ein geringes Risiko darzustellen. Eine Untersuchung aus dem Jahr 2025 hat diese Annahme direkt widerlegt: Sie fand heraus, dass einige Datenbroker angeblich anonyme Browsing-Sitzungen allein mit Fingerprint-Daten wieder echten Namen und Privatadressen zuordnen konnten – ohne weitere identifizierende Informationen. Ein Datenpunkt, der gerade deshalb erhoben wird, weil er als leichtgewichtige, datenschutzfreundliche Methode zur Altersprüfung gilt, erweist sich als ausreichend, um eine Person allein damit zu re-identifizieren.
Was man tatsächlich dagegen tun kann
Lesen Sie die Datenschutzerklärung des Altersverifikationsanbieters, nicht nur die der Plattform. Wenn eine Website die Altersprüfung an einen Dritten auslagert – der Name des Anbieters wird oft im Kleingedruckten oder in einem Consent Banner genannt – dann bestimmen die Datenaufbewahrungs- und Weitergabebedingungen dieses Anbieters, was mit Ihrem Gesichtsscan oder Ausweisfoto passiert. Und diese Bedingungen sind häufig großzügiger als die Richtlinien der Plattform selbst.
Wo eine Wahlmöglichkeit besteht, bevorzugen Sie Verifikationsmethoden, die Gesichtsscans und Ausweis-Uploads vermeiden. On-Device Attestation, bei der ein Betriebssystem lokal eine Altersgruppe bestätigt, ohne biometrische Daten zu übertragen, und Zero-Knowledge Age Proofs, die bestätigen können, dass jemand über einer Altersgrenze liegt, ohne ein Geburtsdatum oder Ausweisbild preiszugeben, sind technisch verfügbare Alternativen, die einige Plattformen zu unterstützen beginnen. Sie sind noch nicht der Standard, und sie als Option einzufordern, ist derzeit der wichtigste Hebel, den Nutzer haben.
Verfolgen Sie den Ausgang der einstweiligen Verfügung in Texas und der parallelen Anfechtungen der Gesetze in Kalifornien, Louisiana und Utah. Die rechtliche Grundlage für diese App-Store-Datenteilungsmandate ist nicht geklärt, und eine Entscheidung in einem Bundesstaat kann beeinflussen, wie die anderen durchgesetzt oder geändert werden. Da die Durchsetzung bereits dort inkonsistent ist, wo die Gesetze aktiv sind, geht das praktische Risiko für die meisten Nutzer heute weniger von den Gesetzen selbst aus als vielmehr von den Drittanbieter-Datenpipelines, die leise zu ihrer Einhaltung aufgebaut wurden.