Seit Anfang 2026 passiert in Deutschland etwas, das vor fünf Jahren noch als Netzsperre skandalisiert worden wäre: Telekom, Vodafone und weitere Provider blockieren nach und nach Websites per DNS – auf Betreiben der Kommission für Jugendmedienschutz, weil die Betreiber keine belastbare Altersprüfung einsetzen.
Parallel dazu baut die EU-Kommission eine App, mit der du künftig belegen sollst, dass du volljährig bist. Sieben Mitgliedstaaten testen sie bereits. Und in Brüssel wird verhandelt, ob Kommunikationsdienste und App-Stores zur Alterskontrolle verpflichtet werden.
Drei Vorgänge, ein Ergebnis: Die Frage „Wie alt bist du?" wird zur Eintrittskarte fürs Netz. Und die einzige Antwort, die ein Computer sicher überprüfen kann, lautet nicht „über 18" – sondern „ich bin diese Person hier".
Kurzfassung:
Es gibt kein einzelnes Gesetz, das eine Ausweispflicht im Internet einführt. Es gibt drei Entwicklungen, die zusammen darauf hinauslaufen: die Alterskontroll-Leitlinien zum Digital Services Act, die EU-Altersverifikations-App samt Integration in die künftige EU-Identitäts-Wallet, und die noch verhandelte CSA-Verordnung, die Alterskontrollen bei Chatdiensten und App-Stores vorschreiben könnte. Technisch könnte all das datensparsam sein – mit einer Bescheinigung, die nur „über 18" bestätigt und sonst nichts. Ob es datensparsam wird, ist eine politische Entscheidung, die noch nicht gefallen ist.
Wie wir hierhergekommen sind#
- Juli 2025 · Leitlinien und Blueprint – Die EU-Kommission veröffentlicht ihre Leitlinien zum Schutz Minderjähriger nach dem Digital Services Act – und einen technischen Bauplan („White-Label-Blueprint“) für eine europäische Altersprüfung, den Mitgliedstaaten und Plattformen übernehmen können.
- seit Anfang 2026 · Erste DNS-Sperren in Deutschland – Große Provider sperren einzelne Angebote, die keine geschlossene Benutzergruppe nach dem Jugendmedienschutz-Staatsvertrag nachweisen. Keine flächendeckende Blockade, aber ein Präzedenzfall.
- 15. April 2026 · Code veröffentlicht, Koordinierung angekündigt – Die Kommission stellt den Quellcode der Altersverifikations-App bereit und kündigt einen EU-weiten Koordinierungsmechanismus an, damit nicht 27 unterschiedliche Lösungen entstehen.
- wenige Tage später · In unter zwei Minuten umgangen – Der Sicherheitsforscher Paul Moore zeigt, dass sich die Schutzmechanismen der App über eine im Klartext gespeicherte Konfigurationsdatei aushebeln lassen – PIN zurücksetzen, biometrische Prüfung per Boolean-Flag abschalten. Ein italienischer Forscher reproduziert es und findet fünf weitere Schwachstellen.
- Sommer 2026 · Pilotbetrieb – Frankreich, Dänemark, Griechenland, Italien, Spanien, Zypern und Irland integrieren die Lösung in ihre nationalen Identitäts-Wallets. Weitere Staaten und private Anbieter sollen im Laufe des Jahres folgen.
- offen · CSA-Verordnung im Trilog – Kommission und Rat wollen verpflichtende Alterskontrollen für Kommunikationsdienste und App-Stores, das Parlament nur optionale – und lehnt biometrische Altersschätzung ab. Die Verhandlungen laufen weiter.
Was in Deutschland schon konkret gilt#
Der Jugendmedienschutz-Staatsvertrag verlangt für bestimmte Inhalte eine „geschlossene Benutzergruppe" – belegt durch ein Altersverifikationssystem, das in der Praxis auf eine Identifizierung hinausläuft: Ausweisprüfung, Video-Ident, Schufa-Abgleich. Ein Häkchen bei „Ich bin über 18" genügt seit jeher nicht.
Neu ist, dass diese Anforderung jetzt durchgesetzt wird – und zwar nicht gegen die Anbieter, die außerhalb der Reichweite deutscher Behörden sitzen, sondern über die Zugangsanbieter im Inland. Das ist der entscheidende Schritt: Die Sperre setzt nicht am Inhalt an, sondern an der Leitung. Wer die Infrastruktur einmal so verdrahtet hat, kann darüber auch anderes sperren.
Warum DNS-Sperren technisch schwach und trotzdem wirksam sind:
Eine DNS-Sperre unterbricht nur die Namensauflösung – wer einen anderen DNS-Server einträgt, umgeht sie in dreißig Sekunden. Das ist kein Geheimwissen, das steht in jeder Anleitung. Der Zweck solcher Sperren ist deshalb nicht technische Unüberwindbarkeit, sondern Reibung: Sie wirken auf die Mehrheit, die nichts umstellt. Genau deshalb sind sie als Instrument so attraktiv – und als Präzedenzfall so heikel.
Die drei Wege, dein Alter zu beweisen#
Nicht jede Altersprüfung ist gleich. Der Unterschied zwischen den Verfahren ist der ganze Unterschied.
- Ausweis-Upload – Du lädst ein Foto deines Ausweises hoch. Der Anbieter erfährt Name, Geburtsdatum, Ausweisnummer, oft auch Anschrift – und speichert es. Das datenschutzfeindlichste Verfahren, und leider das verbreitetste, weil es am billigsten ist.
- Biometrische Altersschätzung – Eine Kamera schätzt aus deinem Gesicht dein Alter. Kein Ausweis nötig, dafür ein biometrisches Bild in fremder Hand und eine Fehlerquote, die Menschen an den Rändern trifft. Das EU-Parlament will dieses Verfahren ausdrücklich ausschließen.
- Kryptografische Bescheinigung – Eine vertrauenswürdige Stelle stellt dir einmalig eine signierte Bestätigung „über 18“ aus. Die Website prüft die Signatur – und erfährt sonst nichts. Technisch der richtige Weg, und genau das Modell, das die EU-App und die Identitäts-Wallet vorsehen.
Die dritte Variante zeigt, dass es ginge. „Selective Disclosure" – nur offenlegen, was gebraucht wird – ist seit Jahrzehnten beschrieben und kryptografisch gelöst. Dass sich in der Praxis trotzdem der Ausweis-Upload ausbreitet, ist deshalb keine technische Zwangsläufigkeit, sondern eine Entscheidung: Wer Identitäten einsammeln möchte, wählt das Verfahren, das Identitäten einsammelt.
Und selbst bei der guten Variante bleiben drei Fragen offen, an denen sich alles entscheidet:
Wer stellt die Bescheinigung aus, und was sieht diese Stelle? Eine Bestätigung, die niemand ausstellt, gibt es nicht. Die ausstellende Stelle kennt dich zwangsläufig. Ob sie mitprotokolliert, für welche Dienste du eine Bescheinigung abrufst, ist eine Frage der Umsetzung – nicht der Mathematik.
Sind die Bescheinigungen wiedererkennbar? Wenn dieselbe Bescheinigung bei zehn Diensten vorgezeigt wird, sind diese zehn Besuche verknüpfbar. Nur einmal verwendbare, nicht verkettbare Nachweise verhindern das – sie sind aufwendiger, und ob sie kommen, steht nicht im Gesetz, sondern in einem technischen Anhang.
Was passiert, wenn die Infrastruktur einmal steht? Ein System, das „über 18" beweisen kann, kann auch „Staatsangehörigkeit", „Wohnsitz" oder „Führerschein" beweisen. Genau dafür ist die EU-Identitäts-Wallet gebaut. Der Jugendschutz ist nicht der Zweck dieser Infrastruktur, er ist ihr erster Anwendungsfall.
Der Hack war nicht der Skandal#
Als die App im April in unter zwei Minuten ausgehebelt wurde, war die Häme groß – und verdient. Trotzdem ist die Lücke selbst nicht das Bemerkenswerte daran. Fehler in einer Vorabversion lassen sich beheben, und dass der Code offenlag, war das einzig Richtige an dem Vorgang.
Bemerkenswert ist, was trotzdem passiert: Der Zeitplan blieb. Millionen Menschen sollen einer Software ihre Identität anvertrauen, deren Prüfung noch läuft, weil der Rollout politisch beschlossen ist und nicht davon abhängt, ob die Technik trägt. In der Bitcoin-Welt heißt der Grundsatz „don't trust, verify". Hier wird das Vertrauen per Termin verordnet und die Verifikation nachgereicht – bei einem System, dessen Ausfall nicht Geld kostet, sondern deinen Ausweis in fremde Hände legt.
Was das mit Bitcoin zu tun hat#
Auf den ersten Blick nichts. Auf den zweiten: dasselbe Muster.
Bei der EU-Geldwäscheverordnung ab 2027 wird nicht etwa Selbstverwahrung verboten – kontrolliert wird der Eintrittspunkt, die Schnittstelle zwischen regulierter Börse und deiner Wallet. Bei der Altersprüfung wird nicht das Internet ausweispflichtig – ausweispflichtig wird der Zugang zu einzelnen Diensten, und die Infrastruktur dafür wird zentral gebaut.
In beiden Fällen bleibt formal alles erlaubt. Was sich ändert, ist die Voraussetzung, unter der du es tun darfst. Und in beiden Fällen ist die wirksamste Gegenmaßnahme dieselbe: die Zahl der Stellen klein halten, die deine Identität mit deinem Verhalten verknüpfen können.
Was du tun kannst#
1. Niemals ein Ausweisfoto hochladen
Ein Ausweisscan bei einem beliebigen Website-Betreiber ist die schlechteste aller Varianten – er landet in einer Datenbank, die irgendwann geleakt wird. Wenn ein Dienst nur diesen Weg anbietet und du ihn nicht zwingend brauchst: nicht nutzen. Wenn du ihn brauchst, wähle eine Anbieterlösung mit Bescheinigungsverfahren statt Upload.
2. DNS selbst in die Hand nehmen
Welchen DNS-Server dein Anschluss benutzt, entscheidest du – nicht dein Provider. Ein eigener Resolver oder ein datenschutzfreundlicher Anbieter mit verschlüsseltem DNS beendet nebenbei auch das Mitprotokollieren jeder aufgerufenen Domain durch deinen Zugangsanbieter. Das ist unabhängig von jeder Sperre eine der wirksamsten Einzelmaßnahmen.
3. VPN richtig einordnen
Ein VPN verschiebt das Vertrauen von deinem Provider zum VPN-Anbieter – mehr nicht, aber auch nicht weniger. Gegen eine Sperre auf Leitungsebene hilft er, gegen einen Dienst, bei dem du eingeloggt bist, gar nicht. Wer einen nutzt, sollte wissen, worauf es bei der Auswahl ankommt.
4. Identitäten trennen
Ein Konto, mit dem du dich überall anmeldest, ist die Verknüpfung, die jede Alterskontrolle erst gefährlich macht. Getrennte E-Mail-Adressen, getrennte Konten, keine Anmeldung per „Weiter mit Google". Wie weit man das treiben kann, steht in der Anleitung zum Löschen der eigenen digitalen Spuren.
5. Das Gerät zurückerobern
Wenn Alterskontrollen im App-Store landen, entscheidet sich vieles auf Betriebssystem-Ebene – dort, wo installiert wird. GrapheneOS erlaubt Apps ohne Google-Konto und trennt Profile sauber voneinander. Für alle, die diesen Weg praktisch gehen wollen, ist das der wirksamste Schritt überhaupt.
6. Für Kinder das tun, was wirklich hilft
Der Anlass ist berechtigt: Kinder gehören nicht in Erwachsenenangebote. Nur wirkt dagegen kein zentrales Ausweissystem, sondern das Gerät des Kindes – ein eigenes Nutzerprofil, restriktive App-Rechte, kein unbeaufsichtigtes Smartphone im Grundschulalter. Das ist unbequemer als eine Verordnung und ungleich wirksamer.
7. Dranbleiben, solange verhandelt wird
Die Position des EU-Parlaments – optionale statt verpflichtende Kontrollen, keine biometrische Altersschätzung, keine App-Store-Pflicht – ist nicht selbstverständlich. Sie ist das Ergebnis öffentlichen Drucks und im Trilog jederzeit verhandelbar. Wie schnell so etwas kippen kann, hat die Chatkontrolle im Juli gezeigt.
Kinderschutz ist hier nicht das Ziel, sondern der Hebel#
Dass Eltern sich sorgen, ist berechtigt. Genau deshalb funktioniert der Hebel so gut.
Man muss das nicht unterstellen, man kann es an der Kampagnenführung ablesen. Für die Chatkontrolle ließ die zuständige EU-Kommissarin 2023 bezahlte Werbung auf X schalten: bedrohliche Musik, Bilder junger Mädchen, dazu die Botschaft, wer das Gesetz ablehne, wolle Kinder nicht schützen. Ausgespielt wurde sie gezielt in den Ländern, deren Regierungen im Rat noch unentschlossen waren. Die Zielgruppen wurden dabei nach religiösen und politischen Merkmalen gebildet – und Menschen mit erkennbarem Interesse an Datenschutz gezielt ausgeschlossen. Der Einsatz dieser sensiblen Daten wurde später für rechtswidrig erklärt.
Eine Behörde, die für ihr eigenes Überwachungsgesetz mit Bildern von Kindern wirbt, die Empfänger nach Religion sortiert und die Datenschutz-Interessierten vorsorglich aussortiert, betreibt keinen Kinderschutz. Sie betreibt Werbung – mit Kindern als Motiv.
Dazu kommt der praktische Befund: Die Maßnahme schützt Kinder nicht einmal. Eine DNS-Sperre ist in einer halben Minute umgangen, ein Jugendlicher mit durchschnittlicher Neugier braucht dafür keine Anleitung. Wirksam trifft die Regelung ausschließlich die, die nichts umstellen – also die Erwachsenen, die sich brav ausweisen. Erwachsene tragen die Last, Kinder haben den Nutzen nicht.
Und das Muster ist so alt wie die Befugnis selbst. Großbritannien beschloss im Jahr 2000 ein Überwachungsgesetz gegen Terror und schwere Kriminalität. Wenige Jahre später überwachten Kommunen damit Familien, um zu prüfen, ob ein dreijähriges Kind wirklich im richtigen Schulsprengel wohnte, dazu Hundekot, Schwarzarbeit und Falschparker – tausendfach im Monat. Niemand hatte das beschlossen. Es war einfach die Befugnis, die da war.
Wer an dieser Stelle „ich habe doch nichts zu verbergen" denkt, sollte einmal zu Ende denken, wer künftig darüber entscheidet, was verbergenswert ist. Der Ausweis, den du heute für ein harmloses Angebot vorzeigst, wird von derselben Stelle geprüft wie der, den du morgen woanders vorzeigen sollst.
Die technische Frage – Bescheinigung statt Ausweiskopie, nicht verkettbar statt wiedererkennbar – bleibt trotzdem wichtig. Sie entscheidet nur nicht mehr darüber, ob ein Zugangsprotokoll fürs halbe Internet entsteht, sondern nur noch, wie teuer es die Betreiber kommt, es auszuwerten.
Häufige Fragen#
Kommt eine allgemeine Ausweispflicht fürs Internet?
Nein, kein Gesetz sieht das vor. Was kommt, sind Alterskontrollen für einzelne Kategorien von Diensten – und eine gemeinsame technische Infrastruktur dafür. Ob daraus in der Praxis eine faktische Ausweispflicht wird, hängt davon ab, welches Verfahren sich durchsetzt.
Muss ich der EU-App meinen Ausweis geben?
Für die Ausstellung der Bescheinigung wird eine einmalige Identifizierung benötigt – gegenüber der ausstellenden Stelle, nicht gegenüber jeder besuchten Website. Genau das ist der Unterschied zum Ausweis-Upload, und genau darauf sollte man bestehen.
Warum sind in Deutschland Websites gesperrt?
Weil sie keine geschlossene Benutzergruppe nach dem Jugendmedienschutz-Staatsvertrag nachweisen. Die Aufsicht setzt die Vorgaben über die Zugangsanbieter durch, weil die Betreiber im Ausland sitzen. Technisch handelt es sich um DNS-Sperren.
Ist es strafbar, eine solche Sperre zu umgehen?
Für Erwachsene ist das Ansteuern eines anderen DNS-Servers oder die Nutzung eines VPN in Deutschland nicht strafbar. Die Sperre richtet sich an den Zugangsanbieter, nicht an dich. Für Inhalte, die für Minderjährige gesperrt sind, gilt das selbstverständlich nur für Volljährige.
Was ist mit meinen Kindern – hilft die Alterskontrolle nicht doch?
Ein wenig, gegen Gelegenheitszugriffe. Gegen entschlossene Jugendliche wirkt sie kaum, weil sie technisch leicht zu umgehen ist. Wirksam sind Maßnahmen auf dem Gerät des Kindes und Gespräche darüber – beides lässt sich nicht per Verordnung erledigen.
Was hat die EU-Identitäts-Wallet damit zu tun?
Die Altersverifikation ist ihre erste breite Anwendung. Die Wallet soll ab Ende 2026 in allen Mitgliedstaaten verfügbar sein und weit mehr Nachweise tragen als das Alter – vom Führerschein bis zu Bildungsabschlüssen.
Weniger Spuren, mehr Kontrolle Vom verschlüsselten DNS über getrennte Identitäten bis zum entgoogelten Smartphone: Der Privacy-Leitfaden zeigt Schritt für Schritt, wie du die Zahl der Stellen klein hältst, die dein Verhalten mit deinem Namen verknüpfen können.
Quellen: netzpolitik.org: EU-Kommission schaltet irreführende Werbung für Chatkontrolle auf X · noyb: Beschwerde gegen die EU-Kommission wegen der Chatkontrolle-Werbung · The Register: Poole Council nutzt Anti-Terror-Gesetz gegen eine Familie · netzpolitik.org: Trilog zu Alterskontrollen · EU Age Verification Blueprint (technisches Portal) · EU-Kommission: EUDI-Wallet-Toolbox · Gataca: EU Age App hacked in 2 minutes · Wissenschaftlicher Dienst des Bundestages: Jugendmedienschutz durch Altersverifikation (PDF) · dr-datenschutz.de: Altersverifikation per EU-App
Dieser Artikel erschien zuerst auf bitcoinlighthouse.de – dort findest du auch unsere Bitcoin-Workshops in München.
Comments0
No comments yet. Start the conversation.