Vor einem Abgleiten in den Autoritarismus warnten technische Entwickler beim Treffen der Internet Engineering Task Force (IETF) in Wien. Gesetzgeber und Befürworter von Altersverifikationssystemen seien bereit, Vertraulichkeit und Sicherheit für Jugendliche, und die Internetnutzer insgesamt, auf dem Altar eines gut gemeinten, aber technisch schwer zu realisierenden Jugendschutzes zu opfern.

Normalerweise kümmern sich Entwickler bei den dreimal jährlich stattfindenden Treffen der IETF um Transportprotokolle, um zusätzliche Sicherheit für E-Mail- oder Domainspezifikationen. Seit Neuestem geht es auch um Standardisierungsfragen rund um das Boomthema KI. Bei der aktuellen Konferenz in Wien hatte man aber auch Tagespolitik auf dem Programm. Das Internet Architecture Board (IAB), das einen Bericht zu den technischen Herausforderungen und Schwachstellen verschiedener Altersverifikationsvarianten veröffentlicht hat, hatte Louise Beltzung, Referentin für Konsumentenpolitik bei der Arbeiterkammer Wien, eingeladen.

EU Bericht fokussiert auf Entwicklungspsychologie

Beltzung hat zusammen mit Kollegen im Frühjahr einen ausführlichen Bericht zu den verschiedenen Social-Media-Verbotsregimen in der EU veröffentlicht. Zwar gibt es mit Artikel 28 des Digital Services Act schon heute eine Rechtsgrundlage für den Schutz von Kindern. Die Plattformen hätten dies aber kaum umgesetzt. „Aus Frustration“ würden Mitgliedsländer daher mittlerweile Social-Media-Verbote auf den Weg bringen.

Längst geht es aber nicht mehr nur um Kinder, so Beltzung, sondern auch um 16-Jährige. Das von Kommissionspräsidentin Ursula von der Leyen eingesetzte Expertenpanel erweitert überdies den „Schutzrahmen“ auf andere Dienste. „Man spricht jetzt klar von Social Media Plus“, sagte Beltzung. Neben Social-Media-Plattformen ziele man also auch auf „andere digitale Angebote“, etwa App-Stores, Spiele oder KI-Chatbots.

Die Verbraucherschützerin bedauerte nicht zuletzt, dass die Empfehlungen der Kommission vorrangig von Neuro- und Entwicklungspsychologie entworfen worden seien. Nur einzelne Experten mit technischem Hintergrund saßen im handverlesenen Gremium. Datenschützer suche man vergeblich, sagte Beltzung.

Technische Herausforderungen

Wie komplex die entstehenden technischen Fragen sind, illustriert ein Bericht, den das IAB selbst als RFC 9998 veröffentlicht hat. Das IAB kümmert sich innerhalb der IETF unter anderem um Fragen der Architektur des Netzes. Vor einem Dreivierteljahr machte es mit einem Multistakeholder-Experten-Workshop einen eigenen Aufschlag zu den technischen Problemen von Altersverifikationssystemen.

In einem mehrtägigen Workshop verständigten sich Entwickler, Regulierer und Datenschützer über technische und rechtliche Aspekte zur Altersverifikation. Herausgekommen sind dabei lange Listen von Fragen, die die künftigen Macher der EU-Altersverifikation abzuarbeiten haben.

So wird etwa das Fingerprinting viel einfacher, kommerzielle und politische Werbung können noch zielgerichteter ausgespielt werden. Allen Nutzern wird aufgezwungen, Altersverifikationsprovidern zu vertrauen, die sie gar nicht kennen. Die zwangsweise Preisgabe von Identitätsdaten, die viele Altersverifikationsvarianten erforderlich machen, dürfte überdies das Risiko von Phishing-Attacken erhöhen.

Selbst Zero-Knowledge-Proof-Lösungen, in denen man sein Vertrauen ins technische System statt in Hyperscaler oder Regierungen abgeben kann, sind für sich allein genommen kein Allheilmittel. Bestehen bleibt das Risiko der Umgehung – das offizielle EU-Panel sähe das gerne minimiert – sowie des Missbrauchs für Zensur.

Sofía Celi, Crypto-Expertin von Brave und eine der Teilnehmerinnen am IAB-Workshop, mahnte, dass ZKPs fehleranfällig blieben, etwa in Bezug auf Kategorisierung, Widerrufe und Interoperabilität. Die datenschutzsparsamere Technologie sei selbst erst in den Teenagerjahren.

„Straßenkampf“ um Grundrechte im Internet

Ist nach Ansicht der Expertenrunde, die das IAB zusammengerufen hat, eine technische Lösung zur Altersverifikation denkbar, die effektiv, sicher und datensparsam ist? In der Frage gab es keinen Konsens, sagt Martin Thomson, Entwickler von Mozilla und einer der Autoren des Abschlussberichts. Sein persönliches Fazit: „Es ist nicht unmöglich, bedarf aber der Kooperation verschiedener Parteien.“ Entscheidend für ihn ist, „dass die Kontrolle beim Nutzer selbst bleibt und nicht an einzelne Webseiten, Unternehmen oder Regierungen abgegeben werden muss.“

Bisherige technische Implementierungen in den Mitgliedsstaaten nähren die Sorge von Verbraucherschützerin Beltzung ebenso wie die vieler Entwickler, dass das Netz eher weniger sicher wird, für Jung und Alt.

Cisco-Experte Ted Hardie kritisierte in der Diskussion die Lösung in Portugal. Die auf dem Ausweis basierende digitale ID des Nutzers gebe „katastrophal viel persönliche Informationen preis.“ Migranten ohne ID würden überdies komplett ausgesperrt von der Liste der „gefährlichen Dienste“.

„Zwei Leute vergiften die Quelle und wir schränken praktisch den Zugang zum Wasser generell für bestimmte Gruppen ein.“ Auch wenn die EU wohl noch überzeugt werden könne, dass sie in Richtung Autoritarismus steuere, wolle sie einfach nur „den öffentlichen Aufschrei wegen der vergifteten Quellen besänftigen“, so Hardie. Hardie rief die Entwickler in Wien angesichts der Entwicklung zum Straßenkampf auf, um die Alterssperren zu verhindern.

Statt Straßenkampf empfahl demgegenüber Vittorio Bertola von Open-Xchange sich einzumischen, um wenigstens das Schlimmste durch bessere technische Lösungen zu verhindern. Bei der deutschen EUDI-Wallet wackelt der Terminkalender gerade mächtig und viele Funktionen soll es erst in einer späteren Phase geben, berichtet derweil der Tagesspiegel Background.

(mho)