Ein „Goldstandard“ soll die neue EU-App zur Alterskontrolle werden –zumindest wenn es nach der EU-Kommission geht. In der vergangenen Woche hatten Kommissionspräsidentin Ursula von der Leyen und Digitalkommissarin Henna Virkkunen die Software vorgestellt, mit der Menschen künftig auf Websites und Plattformen anonym ihr Alter bestätigen können. Die App sei „technisch fertig“ und entspreche höchsten Datenschutzstandards, so die EU-Kommission. Für Plattformbetreiber gebe es nun „keine Ausreden mehr“. Würden Konzerne gegen den Schutz von Minderjährigen verstoßen, wolle man das künftig härter ahnden.

Nur wenige Stunden nach dieser Vorstellung wurden allerdings schon Zweifel an dem Versprechen laut: Einer Gruppe von IT-Sicherheitsfachleuten und Hackern war es innerhalb von Minuten gelungen, den Altersprüfungsprozess der EU-App zu umgehen – ihre Ergebnisse posteten sie auf Social Media.

Was allerdings noch schwerer wiegt: Wer künftig als Minderjähriger nicht altersgerechte Websites und soziale Plattformen besuchen will, braucht dafür überhaupt keine Hackingfähigkeiten. Um die EU-App zu umgehen, reichen im Zweifel zwei, drei Klicks.

Hacker finden Schwachstellen

Entbrannt war die Debatte um die Sinnhaftigkeit der EU-App vergangene Woche durch einen Post des IT-Sicherheitsberaters Paul Moore. Dieser hatte in einem Beitrag zahlreiche Schwachstellen offengelegt, die später auch der französische Hacker Baptiste Robert bestätigte. Vor allem lasse sich die PIN, die bei der Installation der App verlangt wird, mit ein paar Tricks aushebeln. Der Kryptologe Olivier Blazy malte folgendes Szenario: „Nehmen wir an, ich lade die App herunter und beweise, dass ich über 18 bin. Dann kann mein Neffe mein Telefon nehmen, die App entsperren und sie nutzen, um sich selbst als volljährig auszuweisen.“

Zudem äußerte Moore auch Zweifel an der Sicherheit der App: „Ernsthaft, @vonderleyen – dieses Produkt wird irgendwann der Auslöser für einen enormen Datenleak sein. Es ist nur eine Frage der Zeit“, schrieb er an die Kommissionspräsidentin gerichtet.

Ein Sprecher der EU-Kommission bestätigte einen Großteil der Funde gegenüber dem RedaktionsNetzwerk Deutschland (RND). Kurz nach Bekanntwerden der Schwachstellen hätten die Entwickler den Code aktualisiert und Fehler behoben. Allerdings widerspricht die Kommission Moores Bedenken bezüglich der Sicherheit: „Selbst wenn man den PIN-Code umgeht, erhält man keinen Zugriff auf sensible Daten. Das Einzige, was man sieht, ist das eingestellte Alterslimit der Person.“

Aufgefallen waren die Schwachstellen, weil die App, die von Scytáles AB und T-Systems programmiert wurde, als Open-Source-Projekt auf der Programmierer-Plattform Github veröffentlicht wurde. So haben unabhängige IT-Fachleute und EU-Mitgliedsstaaten die Möglichkeit, die Software kritisch zu prüfen, bevor sie der Allgemeinheit zugänglich gemacht wird. Inzwischen hat Moore auch nachgelegt: Auch im aktualisierten Code will der Entwickler zahlreiche Schwachstellen entdeckt haben.

VPN umgeht Alterskontrolle

Wie relevant die Funde sind, steht allerdings auf einem anderen Blatt. Denn: IT-Expertise muss man im Zweifel gar nicht haben, um sich an der EU-Verifizierungsapp vorbeizuschlängeln. Gleich mehrere Fachleute haben darauf aufmerksam gemacht, dass sich der angebliche „Goldstandard” für den Jugendschutz auch sehr viel einfacher umgehen lässt – nämlich mithilfe eines sogenannten Virtual Private Networks (kurz: VPN). Ein Kommissionsbeamter hatte das Problem vergangene Woche auch der Nachrichtenagentur Reuters bestätigt.

Mithilfe eines VPNs lässt sich ein Datentunnel zwischen dem eigenen Internetanbieter und der angesteuerten Website aufbauen. Eine Plattform, etwa Instagram, Tiktok oder eine Pornoseite, sieht dann nicht die tatsächliche IP-Adresse des Nutzers, sondern die des VPN-Anbieters. Mit gängigen VPN-Apps lässt sich auch der Standort verschleiern: Statt mit einer deutschen IP-Adresse könnte man Websites zum Beispiel über Server aus den USA ansurfen, aus Brasilien oder der Schweiz.

Auf die Pläne zur Altersverifikation in der EU dürfte das konkrete Auswirkungen haben. Vor allem weltweit tätige Plattformen dürften die Alterskontrolle nicht global einführen, sondern nur in den Ländern, in denen sie tatsächlich vorgeschrieben ist – also etwa für Nutzerinnen und Nutzer aus der EU. Gaukeln diese jedoch per VPN einen anderen Standort vor, würden sie gar nicht erst auf die Verifizierungsmaßnahme per EU-App geleitet.

Kostenpflichtige Anbieter bleiben Hürde für Minderjährige

VPN-Apps sind bei jungen Menschen ohnehin populär – oftmals werden sie eingesetzt, um Inhalte bei Streamingdiensten aus dem Ausland zu schauen, die in Deutschland noch nicht verfügbar sind. Zur Wahrheit gehört aber auch, dass viele der bekannten Dienste kostenpflichtig sind. Für Minderjährige gibt es also durchaus eine Hürde, bevor sie diesen Trick nutzen können. Allerdings gibt es auch Anbieter, die abgespeckte, kostenfreie Versionen anbieten. Zur Umgehung von Altersschranken im Netz könnten diese schon ausreichen.

Aushebeln ließe sich der VPN-Trick nur, wenn Plattformen noch weitere Maßnahmen zur Alters- und Standorterkennung ihrer Nutzerinnen und Nutzer ergreifen. Zumindest in der Theorie wäre das möglich: Der Meta-Konzern hatte 2023 ziemlich erfolgreich EU-Nutzerinnen und -Nutzer von seinem neuen Kurznachrichtendienst Threads ausgesperrt, als dieser zeitweise nur für US-Nutzer freigegeben war. Dafür wurde offenbar im Hintergrund das Nutzungsverhalten der User analysiert und anhand dessen festgestellt, in welchem Land sie sich gewöhnlich aufhalten.

Erfahrungen aus anderen Ländern, etwa Australien oder dem Vereinigten Königreich, haben allerdings gezeigt, dass solche Maßnahmen eher nicht zu erwarten sind. Und: Für die EU-Kommission scheint der VPN-Trick nicht einmal ein großes Problem zu sein. Gegenüber Reuters erklärte ein Sprecher, die Initiative mit der Alterskontrollapp ziele nicht darauf ab, Menschen im Internet zu überwachen. „Die App ist eine Art Schutzmechanismus, der verhindert, dass Kinder unbeabsichtigt damit in Berührung kommen.“

Breite Kritik an Alterskontrollen

Eine EU-weite Lösung für die Altersverifikation wird bereits seit einigen Monaten diskutiert – zuletzt waren auch in immer mehr Mitgliedsstaaten Diskussionen über Social-Media-Verbote für Minderjährige aufgekommen.

Ziel der neuen EU-App ist es, dass Nutzerinnen und Nutzer ihr Alter nicht bei Websites und Plattformen selbst verifizieren und damit sensible Daten herausgeben müssen. Stattdessen tut man das zentral in der EU-App, etwa über einen Personalausweis oder einen Reisepass. Die App meldet an den Plattformbetreiber dann nur, ob eine bestimmte Altersgrenze überschritten ist. Mitgliedsstaaten steht es frei, die App zu nutzen. Ein konkretes Veröffentlichungsdatum für die Öffentlichkeit wollte die EU-Kommission auf RND-Anfrage nicht mitteilen.

Kritik an dem Verfahren gibt es allerdings zur Genüge. Kritikerinnen und Kritiker sehen in Alterskontrollen im Netz einen Einschnitt in die Grundrechte und zweifeln an der Sicherheit solcher Verfahren. Zuletzt hatten Anfang März 400 Forscherinnen und Forscher aus 29 Ländern in einem offenen Brief gefordert, dass Staaten ihre Pläne für Alterskontrollen stoppen sollen.