Zum Inhalt springen
Open Sourced
Zurück zum Blog

Ausweis fürs Internet - was Australiens Social-Media-Altersgrenze über Identität und Architektur lehrt

Orell9 Min. Lesezeit

slug: id-verifikation-australien-soziale-medien status: draft category: digitale-freiheit tags: [datensouveraenitaet, ueberwachung, digitale-freiheit] # new slugs - admin creates them if missing titleDe: Ausweis fürs Internet - was Australiens Social-Media-Altersgrenze über Identität und Architektur lehrt titleFr: '' titleEn: '' excerptDe: Seit Dezember 2025 müssen soziale Netzwerke in Australien Unter-16-Jährige aussperren - und um das Alter zu prüfen, müssen am Ende alle ihre Identität belegen. Eine nüchterne Einordnung entlang der Frage, ob ein gutes Ziel die Architektur rechtfertigt: zentrale Ausweis-Honigtöpfe oder datensparsame Prüfung, die auf dem Gerät bleibt.

Recherche-Hinweis: Faktenbehauptungen unten sind an Behörden- und

Leitmedienquellen rückgebunden (eSafety Commissioner, OAIC, australisches

Kommunikationsministerium, Age Assurance Technology Trial, Al Jazeera,

Biometric Update, Proton). archived:-Links bitte vor Publikation ergänzen

(Sandbox hatte keinen Netzzugang zu web.archive.org).

sources:

Ein gutes Ziel, eine unbequeme Mechanik

Seit dem 10. Dezember 2025 müssen soziale Netzwerke in Australien Jugendliche unter 16 Jahren von ihren Plattformen fernhalten. Grundlage ist der Online Safety Amendment (Social Media Minimum Age) Act 2024, im November 2024 verabschiedet; die Plattformen müssen seither «angemessene Schritte» («reasonable steps») unternehmen, damit Unter-16-Jährige weder ein Konto eröffnen noch behalten (eSafety Commissioner, 2025; Department of Infrastructure, 2025).

Über das Ziel lässt sich streiten - über die Sorge dahinter kaum: Kinder vor den dokumentierten Schattenseiten sozialer Netzwerke zu schützen, ist ein legitimes Anliegen. Genau darum geht es in diesem Artikel aber nicht. Für ein Unternehmen wie Open Sourced ist die spannende Frage nicht, ob man Jugendliche schützen soll, sondern wie die dafür gewählte Technik gebaut ist. Denn um das Alter einer Person zu prüfen, muss man etwas über sie wissen - und wer ein soziales Netzwerk zwingt, das Alter aller Konten zu kontrollieren, zwingt am Ende alle, ihre Identität in irgendeiner Form zu belegen. Aus einem Kinderschutzgesetz wird so unbemerkt eine Frage über die Architektur des ganzen Netzes.

Wer betroffen ist - und wie geprüft wird

Die Liste der erfassten Dienste ist lang und wächst: Facebook, Instagram und Threads (Meta), TikTok, Snapchat, YouTube, X, dazu Reddit, Kick und Twitch - weitere Plattformen haben sich selbst als alterspflichtig eingestuft (Time Out, 2025; TechRadar, 2025). Wer die Pflicht systematisch missachtet, dem drohen Bussen von bis zu 49,5 Millionen australischen Dollar; die Datenschutzbehörde OAIC reguliert das Schema gemeinsam mit dem eSafety Commissioner (OAIC, 2025).

Wie eine Plattform das Alter feststellt, schreibt das Gesetz nicht im Detail vor

  • aber die praktischen Wege sind überschaubar: Hochladen eines amtlichen Ausweises, ein Gesichtsscan zur biometrischen Altersschätzung oder die Prüfung über einen spezialisierten Drittanbieter (Al Jazeera, 2025). Alle drei Wege haben eines gemeinsam: Es muss jemand das Gesicht oder das Dokument einer Person zu sehen bekommen. Die Frage ist nur, wer, wie lange und an welchem Ort das gespeichert wird.

Die Altersgrenze prüft jeden, nicht nur Kinder

Hier liegt der erste, oft übersehene Punkt. Eine Plattform kann nicht wissen, dass ein Konto einem Erwachsenen gehört, ohne es zu prüfen. Eine Altersgrenze für Jugendliche ist deshalb in der Umsetzung eine Identitätsprüfung für alle. Sicherheitsfachleute warnen denn auch, dass die Methoden, mit denen man das Alter Minderjähriger kontrolliert, die Daten der gesamten erwachsenen Bevölkerung berühren.

Aaron Mackey von der Electronic Frontier Foundation bringt es auf den Punkt: Altersverifikation verlange das Sammeln sensibler Daten, «die dann missbraucht oder gehackt werden können», und könne «Menschen mit dunkler Hautfarbe und Menschen mit Behinderung benachteiligen». Die Forscherin Joanna Orlando spricht von einer «Normalisierung von Überwachung» für junge Menschen (Al Jazeera, 2025). Der Anbieter Proton argumentiert in dieselbe Richtung: Eine verpflichtende Altersprüfung könne den Datenschutz aller Nutzerinnen und Nutzer am Ende verschlechtern statt verbessern, weil sie eine flächendeckende Identitätserfassung dort einführt, wo bisher keine nötig war (Proton, 2025).

Der eSafety Commissioner hat darauf reagiert und festgehalten, es wäre unverhältnismässig, wenn Plattformen das Alter jedes bestehenden Nutzers neu verifizierten. Und die OAIC verlangt, dass ein hochgeladener Ausweis oder ein Selfie gelöscht werden muss, sobald die Altersentscheidung getroffen ist (OAIC, 2025). Das sind sinnvolle Leitplanken - aber es sind eben Leitplanken um ein Verfahren herum, das die sensibelste Information überhaupt verarbeitet: den Beweis, wer man ist.

Was der Technologietest tatsächlich zeigte

Bemerkenswert ist, dass Australien die Technik nicht ungeprüft eingeführt hat. Im Auftrag der Regierung testete das Age Check Certification Scheme in einem gross angelegten Age Assurance Technology Trial über 60 Lösungen von 48 Anbietern - von dokumentenbasierter Verifikation über biometrische Altersschätzung bis zu gestaffelten Prüfsystemen (Age Assurance Technology Trial, 2025).

Der Abschlussbericht vom September 2025 fiel differenziert aus. Es gebe «keine Universallösung», so Kommunikationsministerin Anika Wells, aber «viele wirksame Optionen, und wichtig: die Privatsphäre der Nutzer lässt sich wahren». Es bestünden keine grundsätzlichen technischen Hindernisse (Biometric Update, 2025). Gleichzeitig benannte der Test die Grenzen klar: Die biometrische Gesichtsschätzung liegt häufig um rund 18 Monate daneben und ist für Mädchen, für indigene Bevölkerungsgruppen und für sozioökonomisch schwächere Gruppen noch ungenauer; die dokumentenbasierte Prüfung ist am verlässlichsten, schliesst aber Menschen ohne Ausweispapiere aus.

Die wichtigste Einsicht für unsere Frage steckt jedoch in einem Nebensatz: Die datenschutzfreundlichen Eigenschaften der Gesichtsschätzung - etwa dass Daten gar nicht erst aufbewahrt werden - lassen sich nur halten, solange man keine Protokolle baut, die die Prüfungen einer Person nachträglich zusammenführen. Mit anderen Worten: Ob das System ein Überwachungsinstrument wird oder nicht, entscheidet nicht die Technik an sich, sondern wie man sie baut und betreibt.

Wenn die Tür zu ist, suchen die Leute das Fenster

Eine letzte Beobachtung gehört zur Ehrlichkeit dazu. Die Wirksamkeit solcher Sperren ist begrenzt: Technisch versierte Jugendliche weichen auf VPNs aus, täuschen Gesichtsscans mit fremden Fotos oder wandern auf weniger regulierte Dienste und Spieleplattformen ab; Fachleute halten die Durchsetzung für «ausserordentlich schwierig» (Al Jazeera, 2025).

Das ist das bekannte Muster jeder zentral verordneten Zugangskontrolle: Sie trifft die Mehrheit, die sich an Regeln hält, am zuverlässigsten - und genau die muss dafür ihre Identität preisgeben. Die Gruppe, die man eigentlich aussperren will, findet oft den Weg drumherum. Übrig bleibt eine Infrastruktur zur Identitätsprüfung, die für ihren erklärten Zweck nur teilweise wirkt, für ganz andere Zwecke aber bestens geeignet ist.

Der Kern ist eine Architekturfrage

Löst man das Thema von der Schlagzeile, bleibt ein nüchterner Befund, der weit über Australien und über soziale Medien hinausreicht. Altersprüfung im Netz ist nicht per se gut oder schlecht - entscheidend ist, wo die Identität geprüft wird und wer den Beweis behält:

  • Zentrale Sammlung erzeugt einen Honigtopf. Wenn jede Plattform Ausweise oder Gesichtsbilder hochladen lässt und speichert, entstehen viele neue Datenberge mit der sensibelsten Information überhaupt - ein verlockendes Ziel, das vorher gar nicht existierte. Nicht erhobene Daten können nicht gestohlen werden.
  • Datensparsame Prüfung bleibt beim Eigentümer. Technisch lässt sich vieles anders bauen: eine Altersschätzung, die auf dem Gerät läuft und nichts überträgt; eine Bestätigung «über 16» ohne Übermittlung des Geburtsdatums; ein Nachweis, der nach der Entscheidung sofort gelöscht wird. Der australische Test bestätigt, dass das geht - es ist eine Entwurfsentscheidung, kein Naturgesetz.
  • Einmal gebaute Infrastruktur lädt zur Ausweitung ein. Wer einmal jeden Zugang an einen Identitätsnachweis koppelt, hat ein Werkzeug geschaffen, das sich auf andere Inhalte, andere Altersgrenzen und andere Zwecke übertragen lässt. Die heikle Frage ist nicht der erste Einsatz, sondern der nächste.

Dieselbe Logik haben wir an anderer Stelle bereits beschrieben: Eine zentrale Identitätsdatenbank ist ein Honigtopf, der nur ein einziges Mal versagen muss, und ein gutes System legt die Kontrolle über die eigenen Nachweise zurück in die Hand der Person - selektive Offenlegung statt Vollabgabe, Daten auf dem Gerät statt im Rechenzentrum. Australiens Gesetz steht damit an einer Weggabelung, die auch Europa und die Schweiz erreicht: Altersprüfung ja - aber als Überwachungsarchitektur oder als datensparsames, prüfbares Verfahren?

Was das für Ihre Organisation heisst

Man muss keine Social-Media-Plattform betreiben, um betroffen zu sein. Pflichten zur Alters- und Identitätsprüfung breiten sich aus - in Grossbritannien, in der EU, in einzelnen US-Bundesstaaten - und früher oder später steht auch ein Schweizer Onlineshop, ein Forum oder eine Plattform vor der Frage, wie es das Alter oder die Identität seiner Nutzer feststellt, ohne zum Datenleck zu werden.

  • Prüfen, ohne zu horten. Fragen Sie bei jeder Verifikation: Müssen wir den Ausweis wirklich speichern, oder genügt das Ergebnis der Prüfung? Ein «bestätigt: über 18» ist eine Information; eine Kopie des Ausweises ist eine Haftung.
  • Souveräne, prüfbare Verfahren bevorzugen. Offene Standards und quelloffene Komponenten erlauben es, datensparsame Altersprüfung selbst zu prüfen statt sie einem geschlossenen Drittanbieter zu glauben. Verfahren wie selektive Offenlegung und gerätebasierte Schätzung sind verfügbar - man muss sie nur wählen.
  • Identität nicht unnötig an Dritte delegieren. Jeder externe Verifizierer, der Ausweise Ihrer Kunden zentral sammelt, ist ein zusätzlicher Honigtopf in Ihrer Lieferkette. Ein gemanagter Betrieb unter eigener Kontrolle - mit Datenhaltung auf Schweizer Servern und exportierbaren Daten - hält diese Verantwortung dort, wo Sie sie überblicken können.

Australien zeigt das Dilemma in Reinform: ein berechtigtes Ziel, umgesetzt mit einer Technik, die je nach Bauweise schützt oder überwacht. Die Entscheidung fällt nicht im Parlament, sondern in der Architektur - bei jeder Frage, ob ein System Identität sammelt oder bloss prüft. Genau an dieser Frage beginnt unsere Arbeit.

Weitere Beiträge