Altersbeschränkung: Wie lässt sich ein Social-Media-Verbot technisch umtopfen?

Wie lassen sich Altersbeschränkungen in sozialen Medien technisch durchsetzen? Diese Frage stellt sich immer drängender, schließlich sprechen CDU und SPD sich für ein Social-Media-Verbot für unter 14-Jährige aus. In Australien sammeln die Plattformen schon Erfahrungen: Dort gilt seit Dezember ein Verbot für unter 16-Jährige.

Die zehn betroffenen Plattformen nutzen eine Abfolge von Methoden, die zuerst auf vorliegende Nutzerdaten zurückgreift und weitgehend im Hintergrund stattfindet. Erst wenn die Plattform darauf basierend zu der Einschätzung kommt, dass ein Nutzer unter dem Mindestalter liegen könnte, wird er aufgefordert, sein Alter nachzuweisen.

Das Onlineforum Reddit nutzt nach eigenen Angaben zur Altersschätzung unter anderem das Geburtsdatum, das der Nutzer selbst angegeben hat, und das Alter des Accounts. Die Plattform gibt es seit 21 Jahren, daher kann sie daraus Rückschlüsse ziehen.

Andere Anhaltspunkte sind die Mailadresse und der Appstore, wo der Nutzer möglicherweise bereits sein Alter verifiziert hat. Aber die Plattform analysiert auch das Nutzerverhalten: Beiträge, Kommentare und Abos, einschließlich altersbezogener Unterforen, würden zur Schätzung des Alters beitragen, heißt es in einer Stellungnahme.

Auch andere Plattformen wie X geben an, dass sie erst einmal Daten nutzen, auf die sie ohnehin Zugriff haben. Ob sie diese auch vor dem Social-Media-Verbot für unter 16-Jährige verwertet haben, um das Alter abzuschätzen, geben sie nicht an. Ebenso wenig verraten sie, welche Art von Software sie dafür nutzen und ob auch Menschen daran beteiligt sind.

Bislang gibt es keine öffentlichen Daten, wie verlässlich diese Schätzmethoden funktionieren. Die australische Regierung spricht zwar von 4,7 Millionen gesperrten Konten innerhalb des ersten Monats nach dem Verbot. Aber in lokalen Medien häufen sich Berichte von Familien, deren Kinder entweder gar nicht gesperrt wurden oder neue Konten als über 16-Jährige anlegen konnten. Auch der F.A.Z. erzählten mehrere Familien davon. Dagegen scheinen erwachsene Nutzer nicht in großem Ausmaß fälschlich als unter 16-Jährige gesperrt zu werden.

Wer im Verdacht steht, zu jung zu sein, kann sein Alter auf verschiedenen Wegen nachweisen. Drei Optionen sind verbreitet: Gesichtsanalyse durch eine Künstliche Intelligenz (KI), Verifizierung durch eine Bankverbindung oder einen Ausweis.

Meta etwa, der Konzern hinter Facebook, Instagram und Threads, bietet einen Gesichtsscan mithilfe der britischen Firma Yoti an. Dabei müssen Nutzer ein Video ihres Gesichts an Yoti schicken. Laut der Firma wird die Aufnahme unmittelbar nach der Altersprüfung gelöscht.

Auch die Plattform X bietet diese Möglichkeit, das Video werde von eigenen KI-Systemen analysiert. Was anschließend mit den Aufnahmen passiert, sagt X nicht. Die Livestream-Plattform Kick nutzt den Drittanbieter k-ID, wobei die Aufnahmen und Gesichtsdaten auf dem lokalen Gerät verarbeitet und anschließend gelöscht würden.

Verschiedene Tests, unter anderem für einen Bericht der australischen Regierung, haben gezeigt, dass die KI-Systeme Personen deutlich über 16 Jahren ziemlich verlässlich erkennen können. Bei Teenagern um die 16 Jahre ist die Treffsicherheit aber deutlich geringer. Bei Menschen mit dunkler Hautfarbe und Angehörigen der indigenen Völker schnitt die KI schlechter ab als bei weißen Testpersonen.

Zudem erzählen Kinder und Jugendliche in lokalen Medien und im Internet, wie sie die KI austricksen: mit Make-up, Grimassen oder indem sie das Gerät während des Gesichtsscans ihren Eltern unter die Nase halten. Der Spieleentwickler Dany Sterkhov hatte schon zuvor demonstriert, dass sich mehrere in Großbritannien eingesetzte Systeme mit einem Video einer animierten Computerspielfigur austricksen lassen.

Auf Snapchat beispielsweise kann man das Alter über ein Bankkonto verifizieren lassen. Da man sich bei der Eröffnung ausweisen muss, kann die Plattform es nutzen, um das Alter zu bestätigen. Dabei erhält Snapchat nach eigener Aussage keine Bankverbindungen oder andere personenbezogene Informationen, die Verifizierung läuft über einen externen Anbieter. Andere Plattformen wie Kick bieten Kreditkarten als Möglichkeit. Dabei kann ein kleiner Betrag abgebucht und zurückerstattet werden, um deren Gültigkeit zu überprüfen.

Vermeintlich am sichersten lässt sich das Alter feststellen, indem ein Ausweis geprüft wird. Das lassen die Plattformen laut eigenen Aussagen von Drittanbietern durchführen. Snapchat etwa nutzt dafür den Service von k-ID und betont: „Die von dir vorgelegten Dokumente dienen ausschließlich der Verifizierung deines Alters.“ Die Plattform erhalte nur ein Ja/Nein-Ergebnis darüber, ob der Nutzer über 16 Jahre alt ist.

Kick bietet eine Verifizierung über AgeKey an. Das ist ein digitaler Nachweis über das Alter einer Person, der einmalig beispielsweise über einen Ausweis erbracht wurde. Anschließend kann der Nutzer sein Alter damit auf verschiedenen Seiten belegen, ohne weitere Daten preisgeben zu müssen.

Ein ähnliches System schwebt der SPD vor. Sie schlägt die Nutzung einer „EU Digital Identity Wallet“ (EUDI) für den Altersnachweis in sozialen Medien vor. Das ist so etwas wie ein digitales Portemonnaie in Form einer App. Die EUDI müssen die EU-Mitgliedstaaten ihren Bürgern um den Jahreswechsel herum anbieten. Nutzer können darin zum Beispiel offizielle Dokumente wie den Ausweis oder Führerschein speichern und sich damit etwa digital an einer ausländischen Hochschule einschreiben oder ein Bankkonto eröffnen.

Elina Eickstädt vom Chaos Computer Club erklärt das Prinzip so: „Man kann sich digitale Identitäten vorstellen wie eine beglaubigte Kopie vom Ausweis, die man der Plattform übergibt. Die funktioniert aber nur im Zusammenhang mit der Wallet, man könnte diese beglaubigte Kopie also nicht benutzen, um sich als jemand anderes auszugeben.“

In Deutschland soll die staatliche Wallet voraussichtlich von Anfang 2027 an zur Verfügung stehen. Die deutsche Planung sieht derzeit vor, dass die persönlichen Daten lokal auf dem Gerät gespeichert werden. Berechnungen, die etwa zum Altersnachweis gebraucht werden, sollen über einen externen kryptographischen Service ablaufen – sie setzen eine große Rechenkraft voraus, die viele Smartphones und Tablets nicht haben.

Internetseiten könnten dann etwa eine Altersabfrage in Form eines QR-Codes stellen, der Nutzer scannt ihn ab, und die Wallet übermittelt die Antwort. Bis die Wallet eingeführt wird, plant die EU eine Zwischenlösung namens „Mini-ID-Wallet“, die nur das Alter, verifiziert mit dem Ausweis, speichert.

Die EU will, dass immer nur genau die Informationen weitergegeben werden, die das Gegenüber tatsächlich braucht. Eickstädt hat dennoch Sorge, dass eine solche Technik ausgenutzt werden kann, um weit mehr Daten abzufragen und den Zugang zum Internet zu beschränken oder gar abzuschalten. Ob das mit EUDI-Wallets technisch möglich wäre, sei noch unklar, weil die Umsetzung noch nicht so weit sei.

Kritisch blickt sie auch auf neue Gefahren bei Datenlecks. Denn bisher wissen Angreifer nicht, ob die erbeuteten Informationen echt sind. „Mit der Wallet ändert sich dieses Spiel komplett“, sagt Eickstädt. Dann können die Kriminellen sicher sein, dass ihre Beute korrekte Daten enthält. „Und das ist natürlich viel wertvoller.“

Als alleinige Lösung taugt die EUDI-Wallet ohnehin nicht, da europarechtlich niemand im Alltag eingeschränkt werden darf, weil er sich gegen die Nutzung der Wallet entscheidet. Auch Personen, die etwa keinen Ausweis haben, wären ohne andere Möglichkeiten für den Altersnachweis sonst gänzlich von den betroffenen Plattformen ausgeschlossen.

Und einige Probleme lassen sich durch keine der Methoden aus dem Weg räumen. So warnt die Plattform X in Australien vor möglichen gefälschten Verifizierungsaufforderungen, mit denen Betrüger sensible Daten abgreifen könnten.

Zudem können junge Nutzer Verbote, die nur in einigen Ländern gelten, sehr einfach durch VPNs umgehen. Dass Kinder die Geräte der Eltern oder älterer Geschwister verwenden, deren Alter verifiziert wurde, lässt sich ebenfalls nicht verhindern.

Und es gibt Plattformen, auf denen man gar kein Konto braucht, um den Inhalt zu sehen, so wie Youtube und Reddit. Kinder und Jugendliche verlieren durch ein Verbot zwar eventuell die Möglichkeit, selbst Beiträge oder Videos hochzuladen, zu kommentieren und Kanälen oder Foren zu folgen. Sie können sich aber weiter auf den Seiten tummeln.