EU Kids Act: EU-Kommission will Netz mit Alterskontrollen zupflastern

Angetrieben von der internationalen Debatte um ein Social-Media-Verbot hat die EU-Kommission einen eigenen Gesetzentwurf vorbereitet: den EU Kids Act. Morgen, am 17. September, wollen ihn EU-Kommissionspräsidentin Ursula von der Leyen und EU-Kommissarin Henna Virkkunen vorstellen.

Erste Eckpunkte der geplanten Regulierung haben wir gestern zusammengefasst. Umfassende Alterskontrollen haben bereits dort eine zentrale Rolle gespielt. Das Mindestalter für eigene Accounts, etwa bei Instagram oder TikTok, soll demnach bei 15 Jahren liegen.

Die nun geleakte Version des kompletten Gesetzentwurfs zeigt: Die geplanten Kontrollen reichen noch weiter als zunächst angenommen. Erwachsene und Kinder erwarten im digitalen Alltag demnach viele neue Hürden. Die Übersicht.

• Alterskontrollen für Social-Media-Accounts
• Alterskontrollen für Chatbots, Apps und Spiele
• Eine Vorschrift, die keinerlei Sinn ergibt
• Eltern sollen beweisen, dass sie Eltern sind
• Eltern-Accounts erlauben wenig Spielraum
• Leitlinien für Jugendschutz sollen Gesetz werden
• Grundrechte von Kindern und Erwachsenen „massiv“ beeinträchtigt

Alterskontrollen für Social-Media-Accounts

Der Entwurf sieht verschiedene Arten von Alterskontrollen an mehreren Stellen im Netz vor. Zunächst geht es um Kontrollen für Accounts bei sozialen Medien und Videoplattformen (Artikel 6), die als riskant eingestuft sind. Als riskant für Minderjährige gilt ein entsprechender Dienst bereits, wenn man dort zum Beispiel Fremde kontaktieren oder einen Feed mit personalisierten Inhalten betrachten kann.

Um jüngere und ältere Menschen voneinander zu unterscheiden, sollen betroffene Dienste zu strengen Alterskontrollen („age verification“) verpflichtet werden, etwa mit der Alterskontroll-App der EU, die auf Ausweisdaten basiert, oder mit ähnlichen Werkzeugen. Das heißt, auch alle Erwachsenen müssen sich kontrollieren lassen. Ausnahmen soll es allenfalls für bestehende Accounts geben, bei denen kein Verdacht besteht, dass sie Minderjährigen gehören, etwa weil sie schon seit Jahren bestehen (Artikel 32).

Soziale Medien („social networking services“) sind im Entwurf nicht ausdrücklich definiert, wohl aber im verwandten Gesetz über digitale Märkte (DMA). Sollte die Defintion des DMA auch für den Kids Act gelten, sind soziale Medien Plattformen, auf denen Nutzer*innen „miteinander in Kontakt treten und kommunizieren sowie Inhalte teilen und andere Nutzer und Inhalte entdecken können“. Demnach könnten auch allerlei kleinere Foren oder Imageboards betrofffen sein und folglich Alterskontrollen einführen müssen. Der Kids Act sieht ausdrücklich keine Ausnahmen für kleine Unternehmen vor.

Die volle Social-Media-Erfahrung soll erst mit 18 Jahren erlaubt sein – mit Funktionen wie endlosem Scrollen, mit auf starke Sogwirkung optimierten Feeds, mit Kontakt zu Fremden und einem Feuerwerk aus App-Benachrichtigungen. Ab 15 Jahren dürfen junge Menschen zumindest einen eigenen Account in einer reduzierten Jugendschutz-Version haben.

Alterskontrollen für Chatbots, Apps und Spiele

Die zweite Welle von Alterskontrollen trifft deutlich mehr Dienste. Ein Account spielt für diesen Teil des Gesetzes keine Rolle mehr; reguliert wird schon der bloße Zugang. Damit geht die EU über das Social-Media-Verbot in Australien hinaus, das lediglich Accounts betrifft. Die betroffenen Online-Dienste sollen künftig nur noch in einer kindgerechten Version offen zugänglich sein. Ansonsten sollen sie das Alter ihrer Nutzer*innen kontrollieren (Artikel 8).

Betroffen sind dem Entwurf zufolge neben sozialen Medien und Videoplattformen auch Online-Spiele, Chatbots und KI-Companions sowie Software-Marktplätze. Das dürfte sehr viele populäre Online-Dienste betreffen: von Spielen wie Roblox oder Fortnite über Chatbots wie ChatGPT und Claude bis hin zum App Store von Apple, dem Google Play Store oder der Gaming-Plattform Steam.

Für Software-Marktplätze gibt es eine Besonderheit: Sie sollen ihre Angebote, also Apps und Spiele, mit Alterslabels versehen und vor der Installation sicherstellen, dass Nutzer*innen nicht zu jung sind (Artikel 16). Schon jetzt gibt es solche Kennzeichnungen, allerdings nicht einheitlich und EU-weit. Genau das will die EU-Kommission jetzt vorschreiben. Anbieter müssten in der Folge Kataloge aus Millionen Titeln überarbeiten. Auch alternative Marktplätze wie F‑Droid könnten unter die Regulierung fallen.

Die Art der Alterskontrollen ist für die hier genannten Dienste weniger eng definiert. Die EU-Kommission schreibt nur von „age assurance“. Das ist ein Überbegriff, der laut Entwurf mehrere Ansätze von Alterskontrollen vereint (Artikel 3). Darunter fällt zum einen „age verification“, also strengste Methoden, die auf Belegen wie Ausweisdaten basieren; zum anderen „age estimation“, also alternative Methoden, die auf Schätzungen basieren, etwa ein biometrischer Scan des Gesichts.

Die Pläne für umfassende Alterskontrollen werfen die Frage auf, welche Orte im Netz eigentlich keine Risiken für Minderjährige bergen. Hierfür listet die EU-Kommission eine Reihe von Ausnahmen auf, die nicht unter den EU Kids Act fallen sollen (Artikel 2). Dazu zählen etwa nicht-kommerzielle Online-Enzyklopädien, worunter die Wikipedia fallen dürfte, Dienste für Bildung, Wissenschaft und öffentliche Verwaltung sowie Plattformen zur Entwicklung quelloffener Software.

Eine Vorschrift, die keinerlei Sinn ergibt

Von Anfang an war die Debatte um Alterskontrollen von der – berechtigten – Sorge begleitet, dass die Kontrollen den Grundstein legen für Massenüberwachung und Ausweispflicht im Netz. Offenbar will die EU-Kommission diese Bedenken mit erhöhten Anforderungen an Alterskontrollen zerstreuen.

Laut Gesetzentwurf müsse etwa „age assurance“ ein „hohes Maß an Genauigkeit, Zuverlässigkeit, Sicherheit, Robustheit, geringer Eingriffstiefe, Datenschutz und Nichtdiskriminierung“ aufweisen (Artikel 27). Der Knackpunkt: Diese Ansprüche können Technologien zur Feststellung des Alters de facto nicht erfüllen. Je genauer und robuster eine Kontrolle sein soll, desto tiefer ist ihr Eingriff, desto größer die Abstriche bei Teilhabe oder Privatsphäre. Insbesondere Alterseinschätzung („age estimation“) kann diesen Ansprüchen nicht gerecht werden. Denn Einschätzungen, etwa per Gesichtsscan, sind nicht genau und benötigen dennoch sensible biometrische Daten von Menschen.

Besonders seltsam ist folgender Satz aus dem Gesetzentwurf: „Any age assurance measure shall be zero knowledge proof“, auf Deutsch: „Jede Maßnahme zur Alterskontrolle soll Null-Wissen-Beweis sein“ (Artikel 28). Die EU-Kommission nutzt hier einen Fachbegriff aus der Verschlüsselungstechnik wie ein Adjektiv – aber es ist ein Nomen. Das englische Wort „proof“ bedeutet hier nicht „geschützt“, sondern „Beweis“.

Der Zero Knowledge Proof ist ein Verfahren, das beispielsweise bei einem Altersnachweis die Anonynmität von Nutzer*innen sicherstellen soll. Es gibt aber auch andere Verfahren. Nicht einmal in der Alterskontroll-App der EU ist der Zero Knowledge Proof bislang verpflichtend. Kurzum: Die von der EU-Kommission vorgeschlagene Vorschrift, wonach „jede“ Maßnahme zur Alterskontrolle dieses Verfahren „sein“ solle, ergibt grammatisch und inhaltlich keinen Sinn. Das ist ein Hinweis auf mangelnde technische Expertise des Entwurfs.

Eltern sollen beweisen, dass sie Eltern sind

Für Eltern und Erziehungsberechtigte halten die Pläne der EU-Kommission besondere Hürden bereit. Sie sollen aktiv werden und sich einen Eltern-Account zulegen, wenn ihr unter 15-jähriges Kind schon auf beispielsweise TikTok oder Instagram unterwegs sein möchte (Artikel 6).

Dafür sollen die Eltern oder Erziehungsberechtigte jedoch drei Nachweise erbringen. Erstens den Altersnachweis für sich selbst, denn den brauchen alle. Zweitens einen Altersnachweis für ihr Kind, das mindestens 13 Jahre alt sein muss. Und drittens eine Art Sorgeberechtigungs-Nachweis – um zu belegen, dass sie für das entsprechende Kind auch wirklich einen Account einrichten dürfen (Artikel 26).

Es gibt bislang keine Infrastruktur, mit der Plattformen wie TikTok, Instagram oder YouTube solche Nachweise empfangen und prüfen könnten. Genau dieser Kontroll-Apparat soll aber laut dem Willen der EU-Kommission entstehen. Zum möglichen Ablauf beschreibt die EU-Kommission in ihrem Gesetzentwurf mehrere Wege. Zumindest vorläufig könnte es genügen, dass Erziehungsberechtigte lediglich ihre Rolle selbst bestätigen („self declaration“). Der Entwurf nennt aber auch staatliche Datenbanken, von denen Online-Dienste Infos zur Sorgeberechtigung abfragen können.

Weiter heißt es, Mitgliedstaaten sollen einen Weg schaffen, „durch die eine erziehungsberechtigte Person eine Bescheinigung über die elterliche Verantwortung für einen Minderjährigen einholen und vorlegen kann“ (Artikel 31). Angeblich soll dieser neue Nachweis die Privatsphäre schonen und einfach zugänglich sein – auch für Menschen mit Behinderung oder eingeschränkten digitalen Kenntnissen, auch für Geflüchtete oder für Menschen, denen die typischen Papiere über die Kinder fehlen, für die sie verantwortlich sind. Das wirft die Frage auf: Gab es jemals einen staatlichen Nachweis, der für so diverse Gruppen einfach zugänglich ist?

Eltern-Accounts erlauben wenig Spielraum

Die Eltern-Accounts sollen nach Vorstellung der EU-Kommission sehr mächtig sein. Bei riskanten Social-Media- und Videoplattformen sollen Eltern demnach vorab jeden neuen Kontakt ihres Kindes bestätigen können (Artikel 6). Sie sollen einstellen können, wie lange ihr Kind den Account nutzen darf, jedoch nicht länger als eine Stunde am Tag.

Wohlgemerkt: Es geht um 13- und 14-Jährige, also um junge Menschen, die zunehmend selbstständig sind, oft schon erste Dates haben oder E‑Scooter fahren. Je nach Ausgestaltung der Eltern-Accounts haben die Erwachsenen möglicherweise wenig Spielraum, die Kontrolle zurückzufahren, etwa weil sie ihrem Kind schon mehr zutrauen.

Leitlinien für Jugendschutz sollen Gesetz werden

Viele Vorschriften des Entwurfs beschreiben verbindliche Standards für mehr Kinder- und Jugendschutz im Netz. Grundlage dafür sind die Leitlinien der EU-Kommission, wie Online-Anbieter nach dem Gesetz über digitale Dienste (DSA) Minderjährige zu schützen haben. Diese Leitlinien sind jedoch nicht bindend – der EU Kids Act würde verbindliche Vorschriften schaffen.

Gegen einige von ihnen dürften Tech-Konzerne Sturm laufen, weil sie mit der Aufmerksamkeit ihrer Nutzer*innen Geld verdienen, selbst wenn es deren Wohlbefinden schaden könnte. So sieht der Entwurf etwa ein Verbot von suchtfördernden Funktionen für Minderjährige vor, gerichtet an Social-Media- und Videoplattformen.

Demnach dürfen sie ihre Dienste nicht so gestalten, „dass Minderjährige zu einer zwanghaften oder übermäßigen Nutzung angeregt werden“ (Artikel 9). Konkret nennt das Gesetz weit verbreitete Psychotricks der Tech-Konzerne wie automatisch startende Videos, App-Benachrichtigungen oder Belohnungen für regelmäßige Nutzung. Weitere Vorschriften betreffen Empfehlungssysteme (Artikel 10) oder Kontaktmöglichkeiten zu Fremden (Artikel 12).

Grundrechte von Kindern und Erwachsenen „massiv“ beeinträchtigt

Bereits im Vorfeld haben sich mehrere Fachleute und Gremien zu Social-Media-Verbot und Alterskontrollen geäußert, mehr dazu in unserem gestrigen Artikel.

Eine erste Einschätzung zum konkreten Gesetzentwurf kommt von der Sprecherin des Chaos Computer Clubs, Elina Eickstädt. „Der bekannt gewordene Vorschlag der EU-Kommission erfüllt beinahe alle Bedenken, die wir im Hinblick auf Altersfeststellung online haben“, schreibt sie auf Anfrage. Der Vorschlag würde „das Ende von freier und anonymer Internetnutzung bedeuten“. Derweil blieben wesentliche technische Fragen ungelöst. Das Konzept der Eltern-Accounts berge „immense Gefahr in Hinblick auf Überwachung durch Eltern“.

Der Vorschlag der EU-Kommission werde „Grundrechte von Kindern und Erwachsenen massiv beeinträchtigen“, warnt Svea Windwehr, Co-Vorsitzende des Vereins für Digitalpolitik D64. Online-Plattformen seien wichtige Orte für junge Menschen, um Gemeinschaft zu erfahren. „Diese Räume unter elterliche Überwachung zu stellen und den Zugang zu ihnen auf eine Stunde am Tag zu begrenzen, greift tief in das Recht auf gesellschaftliche Teilhabe ein“, schreibt Windwehr. Nicht alle Kindern hätten vertrauensvolle Beziehungen zu ihren Eltern oder Erziehungsberechtigten. „Gerade diesen jungen Menschen werden Räume genommen, in denen sie Unterstützung erfahren könnten.“

Weiter warnt Windwehr vor Alterskontrollen für alle, gerade mit der von der EU-Kommission angepriesenen Alterskontroll-App. Die App werde nach aktuellem Stand „grundlegenden Privatsphäreanforderungen nicht gerecht“ und drohe „Millionen von Menschen ohne Zugang zu digitalen Identitäten auszuschließen“. Die Kommission könne bei den geplanten Alterskontrollen nicht sicherstellen, „dass die Privatsphäre, die Sicherheit und die gesellschaftliche Teilhabe von Millionen geschützt werden“.

Der von der EU-Kommission geplante Schutz vor schädlichen Designs und Funktionen gehe nicht bis zur Wurzel, kritisiert Simeon de Brouwer von EDRi, dem Dachverband von Organisationen für digitale Freiheitsrechte. „Wenn Design für 13-Jährige schädlich ist, wird es nicht auf magische Weise mit dem 15. oder 18. Geburtstag sicher“, schreibt er. Die EU-Kommission versuche, junge Menschen „unbeholfen“ vor ausbeuterischen Systeme abzuschirmen.

Sobald die EU-Kommission ihren Entwurf offiziell vorgelegt hat, können sich EU-Parlament und Ministerrat damit beschäftigen.