Auf einen Blick
Der EU Kids Act ist ein Verordnungsvorschlag, der Social-Media-Konten für Kinder unter 13 Jahren verbieten, 13- und 14-Jährigen nur Konten unter Aufsicht gestatten und Plattformen verpflichten würde, nachzuweisen, dass ihre Dienste sicher konzipiert sind.
Bei der Altersüberprüfung sollen Zero-Knowledge-Beweise zum Einsatz kommen, sodass Plattformen lediglich die Antwort „Ja“ oder „Nein“ erhalten. Der Vorschlag sieht alternative Verifizierungswege vor, auch für Menschen ohne digitale Identität, anstatt von allen die Nutzung der Europäischen Brieftasche für die Digitale Identität (EUDI-Wallet, auch EU-Identitätswallet oder digitale Brieftasche für die EU-Identität) zu verlangen.
Diese Schutzmaßnahmen sind wichtig. Der Schutz der Privatsphäre hängt jedoch auch davon ab, wie Anbieter von Altersverifizierungsdiensten mit den bei der Registrierung erhobenen Daten umgehen und ob die verfügbaren Lösungen tatsächlich zugänglich sind und die Privatsphäre wahren.
Was der EU Kids Act tatsächlich bewirkt
Die Europäische Kommission hat am 17. September 2026 den EU Kids Act, also die EU-Initiative zum Schutz von Kindern im digitalen Raum, vorgeschlagen. Der vollständige Name lautet „Keeping Internet Digital Spaces Accountable and Trustworthy“. Er würde als Verordnung unmittelbar in allen 27 Mitgliedstaaten gelten und stützt sich auf vier Säulen.
| Säule | Was sie bewirkt |
|---|---|
| Verzögerung in den sozialen Medien | Keine Konten für Kinder unter 13 Jahren. Beaufsichtigte Minikonten für 13- bis 14-Jährige mit einer täglichen Nutzungsbeschränkung von einer Stunde. Eigenständige Konten ab 15 Jahren. |
| Sicherheit durch Konzeption | Suchtfördernde Gestaltungselemente werden eingeschränkt, darunter endloses Autoplay und unendliches Scrollen ohne sinnvolle Pausen, manipulative Benachrichtigungen zur Wiederaktivierung sowie strafende Mechanismen zur Aufrechterhaltung von Serien. Die auf Tracking basierende Personalisierung ist standardmäßig deaktiviert, wobei eine Feed-Option ohne Profilerstellung erforderlich ist. |
| Altersüberprüfung | Zertifizierte Verifizierung mithilfe von Zero-Knowledge-Beweisen. Die Plattformen erhalten lediglich eine Ja/Nein-Antwort. |
| Strenge Durchsetzung | Kehrt die Beweislast um. Sehr große Plattformen müssen nachweisen, dass ihre Dienste sicher konzipiert wurden. |
Der Geltungsbereich umfasst soziale Medien, Videoplattformen, Online-Spiele, App-Stores, KI-Begleiter und allgemeine dialogbasierte Chatbots. Die bestehenden Vorschriften des Gesetzes über digitale Dienste und des KI-Gesetzes gelten weiterhin. Die neue Verordnung ergänzt diese.
Warum dieser Vorschlag vorliegt
Eine Eurobarometer-Umfrage ergab, dass fast jeder dritte europäische Jugendliche angibt, sich aufgrund sozialer Medien gestresst, traurig oder sozial ausgegrenzt zu fühlen, und 92 Prozent der Europäer betrachten den Schutz von Kindern im Internet als oberste politische Priorität.
Teenager, die bereits vor ihrem zehnten Lebensjahr mit der Nutzung von Social Media begonnen haben, geben an, am Wochenende mehr Zeit vor dem Bildschirm zu verbringen als diejenigen, die erst später damit angefangen haben.
23 der 27 Mitgliedstaaten erwogen zumindest die Einführung nationaler Vorschriften zum Zugang Minderjähriger zu sozialen Medien oder damit verbundenen Diensten oder arbeiteten bereits an deren Ausarbeitung, was ein deutliches Risiko der Fragmentierung mit sich bringt.
Australiens für Ende 2025 geplantes Verbot für Kinder und Jugendliche unter 16 Jahren zeigte das gegenteilige Problem auf: eine starre Altersgrenze ohne Infrastruktur zur Altersüberprüfung. Ein Praxistest ergab, dass die Plattformen bei keinem der 50 Testkonten das Alter überprüft hatten.
So soll die Altersüberprüfung funktionieren
Die eigene Altersangabe reicht nicht aus. Der Ablauf ist wie folgt:
- Sie weisen Ihr Alter einmalig gegenüber einer staatlich benannten Ausstellungsstelle (einer Agentur für digitale Identitäten, einer Bank oder einer Postfiliale) nach.
- Der Aussteller prüft Ihre Dokumente und stellt einen Altersnachweis aus.
- Wenn eine Plattform eine Anfrage stellt, sendet Ihre App lediglich ein „Ja“ oder ein „Nein“.
- Die Plattform hat zu keinem Zeitpunkt Zugriff auf Ihren Namen, Ihr Geburtsdatum oder Ihre Dokumente.
Jeder Mitgliedstaat muss mindestens einen kostenlosen Weg anbieten, auch für Menschen ohne digitale Identität. Die Kommission hat einen Open-Source-Leitfaden veröffentlicht, an dem sich nationale Varianten und private Anbieter orientieren können. Bei vielen bestehenden Konten für Erwachsene können sich die Plattformen auf bereits vorliegende Daten (Alter des Kontos, Zahlungsdaten) stützen und auf eine erneute Überprüfung verzichten.
Stellt die Altersüberprüfung im Rahmen des EU Kids Act ein Datenschutzrisiko dar?
Was bei Zero-Knowledge-Beweisen richtig gemacht wird
Die Plattform erfährt nichts über Sie, was über ein „Ja“ oder „Nein“ hinausgeht. Das Gesetz verbietet ausdrücklich die Identifizierung, Nachverfolgung und Profilerstellung im Rahmen der Altersüberprüfung. Dies ist ein strengerer Ansatz als bei den meisten nationalen Systemen zur Altersüberprüfung.
Aber irgendjemand ist trotzdem im Besitz Ihres Identitätsdokuments
Und hier liegt der Haken. Bevor Sie diese Zero-Knowledge-Zugangsdaten erhalten, müssen Sie zunächst Ihr Alter gegenüber einer Ausstellungsstelle nachweisen – und dieser Aussteller sieht Ihre Ausweisdokumente. Die Zero-Knowledge-Magie findet zwischen Ihnen und der Plattform statt, nicht zwischen Ihnen und dem Aussteller.
Kritiker weisen darauf hin, dass das Datensammelbecken nicht verschwindet. Er verlagert sich lediglich in vorgelagerte Bereiche: von den Plattformen zu den Ausstellern und Subunternehmern, die die Registrierung abwickeln. Die Kommission hat ein Bedrohungsmodell für ihren Entwurf zur Altersüberprüfung veröffentlicht; Restrisiken auf der Ebene der Ausstellungsstellen und der Wallets bleiben ein zentrales Datenschutzanliegen.
Der Fall Persona zeigt, dass dies keine reine Theorie ist. Im Februar 2026 stellten Forscher fest, dass bei Persona, dem von Discord genutzten Anbieter für Identitätsprüfungen, Frontend-Komponenten im Internet öffentlich zugänglich waren. Das Tool konnte 269 verschiedene Überprüfungen durchführen, darunter die Gesichtserkennung anhand politischer Beobachtungslisten. Discord hat die Zusammenarbeit mit Persona beendet.
Wer betreibt eigentlich die App zur Altersüberprüfung?
Es gibt keine einheitliche, zentral betriebene EU-App. Die Struktur ist dezentralisiert:
- Europäische Kommission: legt gemeinsame technische und datenschutzrechtliche Standards fest und veröffentlicht den Open-Source-Entwurf
- Mitgliedstaaten: Anpassung, Einführung und Betrieb ihrer eigenen nationalen Versionen
- Nationale Ausstellungsstellen: überprüfen Ihre Identität und stellen Altersnachweise aus (Anbieter digitaler Identitäten, Banken, Postämter)
- Plattformen: überprüfen ausschließlich den daraus resultierenden Nachweis
Der Kodex der Kommission ist Open Source. Auch private Anbieter können auf diesem Konzept aufbauen, sofern sie die erforderlichen Standards einhalten.
Durch diese dezentrale Struktur wird vermieden, dass eine einzige riesige EU-Datenbank für Altersüberprüfungen entsteht. Dies bedeutet jedoch auch, dass der Schutz Ihrer Privatsphäre nur so gut ist wie die Umsetzung in Ihrem jeweiligen Mitgliedstaat.
Die allgemeineren Bedenken hinsichtlich des Datenschutzes
Elterliche Aufsicht über gefährdete Jugendliche. Die ständig aktiven Überwachungsfunktionen und die vorab genehmigten Kontakte für 13- bis 14-Jährige klingen zwar schützend. Doch für LGBTQ+-Jugendliche in einem Umfeld, das ihnen keinen Rückhalt bietet, sind Online-Communitys oft eine Rettungsleine. Bürgerrechtsorganisationen haben davor gewarnt, dass elterliche Überwachung schutzbedürftige Jugendliche von den Unterstützungsnetzwerken abschneiden kann, die sie am dringendsten benötigen.
Zweckausweitung. Datenschutzorganisationen wie EDRi und die EFF warnen davor, dass Infrastrukturen zur Altersüberprüfung, die ursprünglich zum Schutz von Kindern eingerichtet wurden, auf andere Zwecke ausgeweitet werden könnten. Die App der EU ist bereits so konzipiert, dass sie im Rahmen des DSA überprüft, ob Nutzer von Inhalten für Erwachsene über 18 Jahre alt sind. Sobald das System einmal existiert, wächst der Druck, es auszuweiten.
Altersüberprüfung über den Bereich der Kinder hinaus. Die Durchsetzung von Altersgrenzen betrifft auch Erwachsene, da die betroffenen Dienste feststellen müssen, ob die Nutzer die entsprechende Altersgrenze erreicht haben. Der Vorschlag sieht jedoch keine Verpflichtung zur Nutzung der europäischen Brieftasche für die digitale Identität vor: Er sieht alternative zertifizierte Lösungen sowie einen kostenlosen Zugang für Menschen ohne digitale Identität vor. Die meisten bestehenden erwachsenen Nutzer würden keine erneute Überprüfung benötigen, sofern die Plattformen bereits über ausreichende Nachweise für das Erwachsenenalter verfügen. Die Frage ist vielmehr, ob diese Alternativen tatsächlich zugänglich sein und den Datenschutz wahren werden – und nicht, ob jeder ein bestimmtes Wallet nutzen muss.
Vertriebene Jugendliche. IT-Experten warnen davor, dass Jugendliche, denen der Zugang zu den gängigen Plattformen verwehrt bleibt, möglicherweise in unregulierte Bereiche abwandern könnten, in denen es keinerlei Datenschutzmaßnahmen oder „Safety-by-Design“-Vorgaben gibt.
Was dies für die private Kommunikation bedeutet
Sichere E-Mail-Dienste und ähnliche Tools, bei denen der Datenschutz im Vordergrund steht, liegen weitgehend außerhalb des unmittelbaren Geltungsbereichs des Gesetzes. Es handelt sich dabei weder um soziale Netzwerke noch um KI-Assistenten.
Der allgemeine Trend ist dennoch von Bedeutung. Altersbeschränkungen und gestalterische Vorgaben erweitern die Infrastruktur zur Identitätsprüfung sowie die Verpflichtungen der Plattformen. Echter Schutz für private Kommunikation beruht weiterhin auf Ende-zu-Ende-Verschlüsselung, clientseitiger Schlüsselkontrolle, minimaler Datenerhebung und Zuständigkeitsbereichen, die sich extraterritorialen Forderungen widersetzen – und nicht darauf, dass Plattformen nachweisen, bestimmte Funktionen für Minderjährige deaktiviert zu haben.
Mailfence bietet eine Ende-zu-Ende-Verschlüsselung über OpenPGP mit clientseitiger Schlüsselverwaltung, scannt Nachrichteninhalte weder zu Werbezwecken noch im Rahmen einer Massenüberwachung und unterliegt belgischem Recht. Diese Gestaltungsentscheidungen behalten gerade deshalb ihre Relevanz, weil Alters- und Sicherheitsvorschriften auf Plattformebene eine vom Nutzer kontrollierte Verschlüsselung nicht ersetzen können. Vorschriften können die Mindeststandards für risikoreiche Dienste anheben, beseitigen jedoch nicht den Bedarf an Tools, bei denen Überwachung von vornherein nicht in das Kernkonzept integriert ist.
Mailfence – Ihre sichere Produktivitätssuite
Holen Sie sich Ihre Privatsphäre zurück mit
- Nachrichten
- Kalendern
- Dokumenten
- Gruppen
Abschließende Gedanken
Der EU Kids Act geht ein echtes Problem mit echtem Ehrgeiz an. Das Verbot süchtig machender Gestaltungselemente, die Umkehr der Beweislast und die Vorschrift von Zero-Knowledge-Beweisen für die Plattformebene sind sinnvolle Maßnahmen. Keine andere Verordnung ist bei datenschutzkonformen Altersüberprüfungen so weit gegangen.
Der Datenschutz ist nur so stark wie sein schwächstes Glied. Da 27 Mitgliedstaaten jeweils ihre eigene Version der Infrastruktur betreiben und das Attribut „tatsächliches Alter“ nach wie vor von einer staatlich verbundenen Ausstellungsstelle verwaltet wird, beseitigt das technische Versprechen der Zero-Knowledge-Beweise nicht das Verwahrungsproblem.
Der Vorschlag ist noch kein Gesetz. Die Konsultationsphase (die bis zum 3. Dezember 2026 läuft) und der anschließende Gesetzgebungsprozess werden entscheiden, ob die Abhilfemaßnahmen begrenzt bleiben oder ob die Identitätsinfrastruktur ausgeweitet wird.
FAQ zum EU Kids Act
Wofür steht der EU Kids Act?
Der EU Kids Act steht für die Aufrechterhaltung verantwortungsbewusster und vertrauenswürdiger digitaler Räume im Internet. Es handelt sich um einen Verordnungsvorschlag, der Mindestaltersgrenzen für soziale Medien festlegt, suchterzeugende Gestaltungsmerkmale für Minderjährige verbietet und eine datenschutzkonforme Altersüberprüfung vorschreibt. Die Kommission hat diesen Vorschlag am 17. September 2026 vorgelegt. Er muss noch vom Europäischen Parlament und vom Rat verabschiedet werden.
Müssen Erwachsene ihr Alter nachweisen?
Nicht unbedingt. Bei den meisten bestehenden Nutzern können sich die Plattformen auf bereits vorliegende Daten stützen. Eine formale Überprüfung ist nur dann erforderlich, wenn diese Sicherheit nicht hergestellt werden kann. Kritiker weisen darauf hin, dass es passieren kann, dass die Plattformen dennoch alle Nutzer überprüfen, um das Risiko zu verringern.
Inwiefern schützt die Altersüberprüfung die Privatsphäre?
Zero-Knowledge-Beweise bedeuten, dass die Plattform lediglich erfährt, ob Sie über oder unter der Altersschwelle liegen. Sie erhält weder Ihren Namen noch Ihr Geburtsdatum oder Ihre Dokumente. Sie verifizieren Ihre Identität jedoch einmalig bei einer nationalen Ausstellungsstelle. Der Datenschutz bei diesem Schritt hängt von der Umsetzung in Ihrem Land sowie von den Aufbewahrungsvorschriften ab, die für die Ausstellungsstelle und die digitale Wallet gelten.
Wo liegt der Unterschied zum australischen Verbot?
Das Ende 2025 in Kraft getretene Verbot für Nutzer unter 16 Jahren in Australien sah keine Verifizierungsmethode vor und schuf keine staatliche Infrastruktur. Ein Praxistest ergab, dass bei keinem der 50 Testkonten eine Altersüberprüfung stattfand. Der EU-Vorschlag schreibt zertifizierte Tools, Zero-Knowledge-Beweise und einen kostenlosen Zugang in jedem Mitgliedstaat vor und ergänzt diese Maßnahmen um Vorgaben für Sicherheit durch Technikgestaltung (Safety by Design).
Verbietet das Gesetz die Nutzung sozialer Medien für alle Kinder?
Nein. Es gelten abgestufte Regeln. Kinder unter 3 Jahren haben keinen Zugang. Kinder unter 13 Jahren dürfen keine eigenen Konten führen, können jedoch über ein elterliches Konto altersgerechte Inhalte aufrufen. Im Alter von 13 bis 14 Jahren werden beaufsichtigte Konten genutzt. Ab 15 Jahren sind eigenständige Konten bei Diensten zulässig, die die Sicherheitsvorschriften erfüllen.
