Altersprüfung im Netz: Was möglich ist und wo Vorsicht geboten ist

In Europa weht ein neuer Wind: Immer mehr Länder, auch Österreich, diskutieren ein Social-Media-Verbot für Kinder und Jugendliche. Doch eine entscheidende Frage bleibt offen: Wie soll das Alter überhaupt festgestellt werden? Was heute im Einsatz ist, reicht von wirkungslos bis datenschutzrechtlich hochproblematisch. Eine neue Studie zeigt auf, wo die Stärken und Schwächen der Methoden sind.

Wie heute das Alter geprüft wird

Der Ruf nach einer Beschränkung des Zugangs zu Social Media muss einhergehen mit der Frage des „Wie“ und hier sind aktuell zahlreiche Praktiken zu beobachten, die von wirkungslos bis zu hochproblematisch reichen, wie eine neue Studie zeigt: Zahlreiche App-Betreiber verlangen biometrische Face-Scans, Ausweiskopien oder nutzen KI-Analysen, um das Alter ihrer Nutzer:innen zu schätzen.

Folgende Methoden werden eingesetzt:

1. Selbstangaben: Alle kennen es: „Ich bin über 18“ – Klick – fertig. Diese Selbstangabe per Mausklick ist gängig und völlig ineffektiv. Auch üblich ist, dass bei der Registrierung ein Geburtsdatum eingegeben werden muss – und erst wenn man alt genug ist, geht es weiter. Und wer liest schon die Nutzungsbedingungen, die oft ein Mindestalter festlegen?
2. Kreditkarten: Auch die Verifikation per Kreditkarte wirkt auf den ersten Blick schön, aber schafft neue Probleme: Da Kreditkarten erst ab 18 vergeben werden, können sie zur Feststellung der Volljährigkeit genutzt werden. Doch haben einerseits nicht alle Erwachsenen eine Kreditkarte – und würden somit von Plattformen ausgesperrt werden –, noch kann damit ein Social-Media-Verbot bis 14 (oder 16) umgesetzt werden.
3. Biometrische Selfie-Analyse: Nutzer:innen werden aufgefordert, in die Kamera zu schauen, und mittels KI wird das Alter anhand von biometrischen Gesichtsmerkmalen geschätzt. Einfach wie ein Selfie, aber aus Datenschutzsicht ein Problem, weil dadurch Millionen von Gesichtsaufnahmen von Kindern, Jugendlichen und Erwachsenen erfasst und oft auch gespeichert werden – und die Schätzung klappt auch nicht für alle. Auch hier gibt es Grund zur Sorge – AI Forensics hat dokumentiert, wie das AgeGO-Altersprüfungssystem auf Pornoseiten nicht nur erfasste, welche Inhalte Nutzer:innen ansehen wollten, sondern bei der Selfie-Verifikation auch Webcam-Streams an Amazon Web Services weiterleitete – ohne die Nutzer:innen darüber zu informieren.
4. Selfie und Ausweis: Heikler noch ist, dass zahlreiche Plattformen auf eine Ausweisverifikation setzen: Hier werden in der Regel ein Selfie mit einem Ausweis abgeglichen (Video-Ident) – und somit noch mehr Daten gesammelt und gespeichert, zum Beispiel auf US-Cloud-Diensten. Das Risiko ist hoch für Identitätsdiebstahl – etwa wenn, wie bei Discord im Oktober 2025, Hacker an diese Daten gelangen.
5. Verhaltensanalyse: Hier werden im Hintergrund Daten gesammelt, wie Nutzer:innen sich im Internet bewegen – welche Videos sie ansehen, wonach sie suchen und was sie liken. Wie gut das Ganze funktioniert, ist unklar. Das Risiko ist vor allem, dass hier die Infrastruktur für maßgeschneiderte Werbung als Lösung zur Altersschätzung umfunktioniert und legitimiert wird.  

Die EU-Lösung: Vielversprechend, aber noch nicht einsatzbereit

Keine dieser Methoden ist zufriedenstellend und entsprechend ist nun auch die Rede von zwei Ansätzen, die auf europäischer Ebene in Entwicklung sind und die datensparsam zu einer Einordnung des Alters genutzt werden sollen: Eine EU-Altersfeststellungs-App und die Brieftasche für digitale Identitäten (auch als eID bekannt).

Österreich hat an der Testung der EU-Altersfeststellungs-App nicht teilgenommen, anders als Dänemark, Griechenland, Spanien, Frankreich und Italien. Da die App aber als Open Source entwickelt wird, könnte sie auch relativ einfach für Österreich angepasst werden.

Hier wie auch bei der Brieftasche für digitale Identitäten sollen für den Fall der Altersüberprüfung keine überschüssigen Daten geteilt werden: Möglich wäre damit, dass nur übermittelt würde, dass der bzw. die Nutzer:in „über 14 Jahre alt“ ist – kein Name, kein Geburtsdatum etc. Weder Staat noch Plattformen sollten mehrere Altersnachweise der gleichen Person verknüpfen können – doch das Problem: Diese Ansätze sind noch nicht einsatzbereit. Die Altersfeststellungs-App soll im Laufe des Jahres, die Brieftasche frühestens Ende des Jahres 2026 zur Verfügung stehen. Es bleiben offene Fragen, ob diese Lösungen tatsächlich ihr Versprechen der Datensparsamkeit einhalten können und den strengen Gesetzesvorgaben entsprechen. Und letztlich müssen auch die Social-Media-Plattformen mitwirken und diese Form der Altersüberprüfung nutzen.

Ein Vorschlag, der in diesem Zusammenhang deshalb jedenfalls eine ernsthafte Prüfung braucht, ist jener der Zivilrechts-NGO epicenter.works. Epicenter.works schlägt vor, nicht Personen, sondern Geräte oder Betriebssysteme einer Altersgruppe zuzuordnen. In ihrem Modell sollte dies ohne Identitätsfeststellung, ohne zentrale Datenspeicherung, ohne biometrische Scans laufen – und zum Beispiel Eltern die Möglichkeit eröffnen, auf Ebene des Geräts ihres Kindes die wichtigste Vorkehrung zu treffen.

Keine gute Idee wäre hingegen die Nutzung der ID Austria: Diese wäre zwar sofort verfügbar und präzise, aber auch hier würden zu viele sensible Daten mit Online-Plattformen geteilt und die Nutzung quer durch das Internet nachvollziehbar sein – sie käme einer Ausweispflicht im Internet gleich. Heikle und zuverlässige Daten würden damit Social-Media-Konzernen auf dem Silbertablett serviert werden, inklusive Möglichkeit zur umfassenden Überwachung.

Der politische Wille, die bereits geltenden Schutzbestimmungen für Kinder und Social Media besser durchzusetzen, ist begrüßenswert. Die Studie zeigt, dass es datensparsame und damit klar vorzuziehende Methoden gibt. Es wäre gut, wenn daraus der politische Wille erwächst, an diesen datensparsamen technischen Lösungen für die Altersfeststellung zu arbeiten, um nicht neue Risiken für Kinder wie Erwachsene zu schaffen.

Verdrängungseffekte: Was passiert, wenn Verbote zu streng sind?

Wird eine Altersfeststellung die Probleme lösen? Hier taucht in der Debatte immer wieder folgendes Argument auf: Zu strikte Altersprüfungen könnten Jugendliche auf unkontrollierte, schlecht moderierte und damit besonders riskante Plattformen verdrängen. Minderjährige gelten als „Early Adopters“ – sie wechseln rasch zwischen Plattformen und finden Wege, Beschränkungen zu umgehen. VPNs umgehen regionale Beschränkungen komplett, geliehene Ausweise und Kreditkarten von Eltern, Bekannten oder älteren Geschwistern funktionieren bei vielen Systemen, alternative Browser umgehen Tracking-basierte Schätzungen. Hier lässt sich zwei Monate nach dem Social-Media-Verbot für unter 16-Jährige in Australien einiges sagen: Dort stieg die Nutzung alternativer Apps und VPN-Services kurzzeitig an, sank jedoch rasch wieder. Zwar berichten Plattformen von massenhaften Account-Löschungen – doch ob Jugendliche wirklich verschwunden sind oder die Plattformen einfach unauffälliger weiterhin nutzen, gilt es noch zu klären.

Auch die Frage, was genau als „Social Media“ gilt, ist kompliziert: Wie sieht es bei WhatsApp aus? Werden Spiele und Streaming-Plattformen wie Spotify, die auch Community- und Chat-Funktionen bieten, ebenfalls erfasst? Auch ein ungesunder Umgang mit Smartphones wird nicht automatisch mit einem Social-Media-Verbot gelöst – Handyspiele mit süchtig machendem Interaktionsmuster, ständige Benachrichtigungen usw. werden damit nicht automatisch verschwinden. 

Die Frage ist also nicht einfach „Alterskontrolle, ja oder nein?“, sondern der Appell muss sein, eine technisch wirksame Lösung zu finden, die datensparsam ist und die Balance zwischen wirksamer Alterskontrolle und der Gefahr, Jugendliche in unkontrollierte Bereiche zu drängen, schafft.

Was jetzt passieren muss

• Datensparsame Altersfeststellung priorisieren: Es braucht den politischen Willen, um technische Lösungen zur Altersfeststellung zu entwickeln, die datensparsam und wirksam sind. Gleichzeitig müssen jene proprietären Altersprüfsysteme, die bereits von Plattformen eingesetzt werden, um mittels biometrischer Daten oder umfassender Verhaltensprofile, das Alter von Nutzer:innen zu schätzen, geprüft und gegebenenfalls vom Markt genommen werden.
• Kohärente Alterskategorisierung: App-Store-Betreiber müssen einheitliche Alterskategorisierungen vornehmen. Denn heute ist zu beobachten, dass die Altersangaben in den Nutzungsbedingungen von Apps oft nicht mit jener Angabe im App-Store übereinstimmen – und zwischen Betreibern unterschiedliche Altersangaben genutzt werden. Hier wird es Eltern sehr schwierig gemacht, ihre Kinder vor unerwünschten Inhalten zu schützen.
• Digital Services Act (DSA) stärken: Der DSA sieht bereits vor, dass Plattformen Vorkehrungen zur Sicherheit und zum Schutz der Privatsphäre von Kindern und Jugendlichen treffen müssen. Hier gibt es Spielraum für Klarstellungen und bessere Rechtsdurchsetzung.
• Medienkompetenz ausbauen: Eine technische Lösung für die Feststellung von Alter wird nicht alle Probleme lösen. Es braucht jedenfalls begleitend eine Stärkung von digitalen Kompetenzen und niederschwellige Angebote für Eltern und andere Bezugspersonen sowie ein unterstütztes Heranführen von Kindern an die risikobehaftete Online-Welt, um sich dort selbstbestimmt bewegen zu können.