Politischer Kindsmissbrauch: US-Gesetzesentwurf will zum Kinderschutz wohl auch Computer sperren lassen können?

.

Der Angriff aus der EU: der Digital Services Act &Altersverifizierungs-App

Während Brüssel noch mit dem Digital Services Act (DSA) und einer frisch angekündigten EU-Altersverfizierungs-App den „Schutz der Kinder“ im Internet predigt, legt ein neues US-Gesetz die Karten offen auf den Tisch: Es geht nicht um Kinderschutz.

Ist das ein US-Problem? Das wäre eine gefährliche Fehlannahme. Die EU ist oft der Vorreiter bei der Implementierung solcher Überwachungsinstrumente – man denke nur an den Digital Services Act oder die Pläne für eine digitale EU-Identität.

Der von der EU 2024 bereits  in Kraft gesetzte Digital Services Act (DSA), verpflichtet sehr große Plattformen (VLOPs) bereits jetzt zu

„angemessenen und verhältnismäßigen Maßnahmen“

die Minderjährige angeblich schützen sollen. Hierbei ist eine Alterskontrolle in Art. 28 und 35 DSA bereits vorgesehen.

Hieran will die EU-Kommission nun ihre „Altersverifizierungs-App“ ankoppeln, die dann mit dem EU Digital Identity Wallet verknüpft werden soll. Um diese dann zu nutzen, muss man den Pass oder Ausweis hochladen, damit dann ein anonymer Nachweis „über 18“ generiert wird.

.

.

Der Angriff aus den USA

Ein von dem Abgeordneten Josh Gottheimer, von den linken US-Democrats, am 13. April im Repräsentantenhaus eingebrachter Gesetzentwurf zeigt nun, wohin diese Reise in den USA gehen soll. Würde dieser Gesetzentwurf realisiert, 

würde Apple, Google und alle anderen Betriebssystemanbieter dazu verpflichten, das Alter von Personen zu überprüfen, die in den Vereinigten Staaten ein neues Gerät einrichten.

Das Gesetz, HR 8250, wird unter dem freundlicheren Namen Parents Decide Act geführt und zählt zu den aggressivsten Überwachungsvorschriften, die jemals für amerikanische Verbrauchertechnologie vorgeschlagen wurden.

Die Pressemitteilungen, die das Gesetz beschreiben, stellen Kinder in den Vordergrund. Der Text beschreibt jedoch etwas viel Umfassenderes. Um zu bestätigen, dass ein Kind unter 18 Jahre alt ist, muss das System auch alle anderen identifizieren, und der Gesetzentwurf schafft die dafür notwendige Infrastruktur.

Hier wird Kinderschutz als Mittel zur Massenidentifizierung missbraucht. Das Muster ist mittlerweile bekannt:

Ein tatsächliches Unrecht wird benannt, ein vermeintliches Opfer in den Mittelpunkt gerückt, und die vorgeschlagene Lösung verändert das digitale Leben von dreihundert Millionen Menschen, die nicht Teil des Problems waren.

Der „Parents Decide Act“ folgt diesem Muster mit ungewöhnlicher Präzision. Er nutzt das reale Leid realer Kinder, um die Schaffung einer nationalen Identitätsschicht unter jedem im Land verkauften Gerät zu rechtfertigen, die von zwei privaten Unternehmen verwaltet wird, wobei die Details erst später ausgefüllt werden.

Die Vorgabe findet sich in Abschnitt 2(a)(1), der Anbieter verpflichtet, „von jedem Nutzer des Betriebssystems die Angabe seines Geburtsdatums zu verlangen“, sowohl für die Einrichtung eines Kontos als auch für die Nutzung des Geräts. Dies gilt auch für Erwachsene.

Es gibt keine Ausnahmeregelung für erwachsene Nutzer, keine Möglichkeit, sich von dieser Regelung abzumelden, wenn man einfach nur ein Telefon einschalten möchte, ohne vorher Apple oder Google sein Geburtsdatum mitteilen zu müssen.

Die Altersprüfung ist die Grundvoraussetzung für den Besitz eines Computers. Was anschließend mit diesen Daten geschieht, wird der Federal Trade Commission (FTC) zur weiteren Bearbeitung übergeben. Ein Bundesgesetz, das die Identifizierung als Voraussetzung für die Nutzung eines Allzweck-Computers vorschreibt, stellt etwas dar, das es in den Vereinigten Staaten bisher nicht gab: eine nationale Ausweispflicht zum Einschalten eines Geräts.

Gottheimer erläuterte den Vorschlag am 2. April auf einer Pressekonferenz in Ridgewood vor dem örtlichen YMCA, wo er mit einer Gruppe von Unterstützern stand. „Das Internet wird für unsere Kinder von Tag zu Tag gefährlicher. Wir sprechen nicht mehr nur von sozialen Medien – wir sprechen von künstlicher Intelligenz und Plattformen, die das Denken, Fühlen und Handeln unserer Kinder prägen, oft ohne jegliche Kontrollmechanismen“, sagte er.

Seine Analyse des aktuellen Systems ist durchaus zutreffend. „Kinder können die Altersbeschränkungen umgehen, indem sie ein anderes Geburtsdatum angeben und Apps ohne wirkliche Überprüfung nutzen. Sie können die Altersbeschränkungen einfach umgehen, indem sie ein anderes Geburtsdatum eingeben. So funktioniert das System“, sagte er.

Die von ihm vorgeschlagene Lösung erfordert den Aufbau einer neuen Überwachungsinfrastruktur unter jedem im Land verkauften Gerät, die über zwei der größten Konzerne der Welt geführt wird. Die gewählte Lösung ist unverhältnismäßig zum Problem und führt in eine bestimmte Richtung: zu weniger Privatsphäre und weniger Anonymität für alle.

Abschnitt 2(a)(3) verpflichtet die Anbieter von Betriebssystemen, „ein System zu entwickeln, das es einem App-Entwickler ermöglicht, auf alle Informationen zuzugreifen, die zur Überprüfung des Alters eines Benutzers erforderlich sind“.

Übersetzt aus dem Gesetzestext: Apple und Google werden zu Altersvermittlern für das gesamte amerikanische App-Ökosystem. Jede App, die überprüfen möchte, ob Sie über 18, 13 oder 21 Jahre alt sind, kann das Betriebssystem abfragen und anhand Ihres bei der Einrichtung angegebenen Geburtsdatums eine Antwort erhalten. Der Gesetzesentwurf stellt dies als praktische Funktion dar. Es handelt sich um eine neue Datenpipeline zwischen dem Betriebssystem und allen Entwicklern, die es nutzen. Der Entwurf widmet der Frage, wie diese Pipeline eingeschränkt werden soll, erstaunlich wenig Zeit.

Die Auswirkungen auf die Meinungsfreiheit verlaufen über denselben Weg. Sobald das Betriebssystem Ihr Alter mit Sicherheit kennt, kann es jeder App anweisen, Inhalte entsprechend bereitzustellen, einzuschränken oder zurückzuhalten. Die Befürworter des Gesetzesentwurfs bezeichnen dies als elterliche Kontrolle. Die damit geschaffene Infrastruktur ist ein auf Betriebssystemebene laufendes Inhaltskontrollsystem, bei dem Apple und Google die Kontrolle darüber haben, wer was sieht.

Der Erste Verfassungszusatz schützt seit jeher das Recht, ohne vorherige Identifizierung zu lesen, Videos anzusehen und sich zu äußern. Dieser Gesetzentwurf höhlt dieses Prinzip in seinem Fundament aus. Sobald die Altersverifizierung zum Standard wird und vom Betriebssystem an jede App übermittelt wird, ändert sich die Grundannahme. Nutzer sind dann nicht mehr mutmaßlich anonyme Erwachsene mit vollem Zugriff auf legale Inhalte. Sie sind identifizierte Personen, deren Berechtigungen von den Daten abhängen, die Apple oder Google über sie speichern.

Eine Altersverifizierungsschicht, die entwickelt wurde, um KI-Chatbots von Minderjährigen fernzuhalten, ist auch in der Lage, Journalismus zu blockieren, den ein Staat als zu gewalttätig erachtet, politische Kommentare, die eine Regierung als zu aufrührerisch erachtet, Berichterstattung über Drogen oder Protesttaktiken oder jedes andere Thema, für das ein zukünftiger Regulierer eine Altersbeschränkung beschließt.

Die Infrastruktur ist inhaltsneutral. Sie interessiert sich lediglich dafür, dass der Nutzer identifiziert wurde. Jeder zukünftige Streit darüber, was Amerikaner online sehen dürfen, beginnt mit der Annahme, dass die Identifizierung bereits erfolgt ist; die einzige verbleibende Frage ist dann, wer Zugang erhält. Dies stellt eine tiefgreifende Veränderung der Meinungsfreiheit dar, und der Gesetzentwurf setzt sie um, indem er Kinder ins Visier nimmt.

Was der Gesetzentwurf zum Datenschutz beinhaltet, ist im Grunde eine Aufgabenliste für die FTC. Abschnitt 2(d)(1)(B) verpflichtet die Kommission, letztendlich Regeln zu erlassen, die sicherstellen, dass Geburtsdaten „auf sichere Weise erfasst werden, um die Privatsphäre des Nutzers zu wahren“ und „nicht gestohlen oder anderweitig missbraucht werden“.

Das sind Ergebnisse, keine Mechanismen. Das Gesetz sieht keine Aufbewahrungsfristen, keine Datenminimierungsvorschriften, keine Beschränkungen für die Zweitverwendung und kein Verbot der Verknüpfung von Altersdaten mit anderen Kennungen vor, die Apple und Google bereits speichern. Es gibt keine Hinweise darauf, wie Anbieter das Alter eines Elternteils oder Erziehungsberechtigten überprüfen sollen, außer dass die FTC dies innerhalb von 180 Tagen nach Inkrafttreten klären soll. Die gesamte Systemarchitektur soll im Nachhinein von Regulierungsbehörden unter einer Haftungsfreistellungsklausel entworfen werden, die Betriebssystemanbieter vor Haftung schützt, solange sie die letztendlich erlassenen Regeln befolgen.

Der Kongress wird aufgefordert, ein Überwachungssystem zu genehmigen, das er nicht selbst entworfen hat, dessen Funktionsweise er nicht versteht und für das es noch keine Schutzmechanismen gibt.

Der Parents Decide Act löst das Problem der selbstberichteten Geburtsdaten, indem er etwas Überprüfbares verlangt, was in der Praxis einen amtlichen Ausweis, eine Kreditkarte, einen biometrischen Scan oder eine Kombination davon bedeutet.

Gottheimer hat jedoch nicht angegeben, welches. Auch der Gesetzentwurf enthält keine Angaben dazu. Die Entscheidung liegt bei der FTC.

Betriebssystemanbieter werden dies tun, und die Anreize deuten darauf hin, dass die kostengünstigste Lösung für den großflächigen Einsatz gewählt wird. Gesichtsanalyse ist günstig. Das Hochladen von Ausweisdokumenten ist günstig. Teuer ist hingegen der Aufbau eines Verifizierungssystems, das nicht gleichzeitig eine dauerhafte, verknüpfte Datenbank aller Personen erstellt, die jemals ein Telefon aktiviert haben. Diese Anreize stehen im direkten Widerspruch zum Datenschutz, und der Gesetzentwurf bietet kein wirksames Gegengewicht.

Das Gesetz begünstigt zudem ein Duopol. Die Verpflichtung von Betriebssystemanbietern zur bundesweiten Altersverifizierung ist eine Anforderung, die im Mobilbereich nur zwei Unternehmen problemlos erfüllen können, und im Bereich Desktop- und Konsolenplattformen nur wenige weitere.

Kleinere Betriebssystementwickler, Open-Source-Projekte, Linux-Distributionen, angepasste Android-Abspaltungen und datenschutzorientierte Alternativen sehen sich alle mit einer Compliance-Last konfrontiert, die auf der Annahme beruht, dass der Anbieter ein Billionen-Dollar-Unternehmen mit Rechtsabteilung und bereits bestehenden Partnerschaften im Bereich der biometrischen Datenerfassung ist.

Die in Abschnitt 2(b) vorgesehene Schutzregelung sichert Anbieter, die sich an die Regeln halten. Die Einhaltung der Regeln erfordert jedoch eine Infrastruktur, die nur die etablierten Unternehmen aufbauen können. Ein Gesetz, das vordergründig auf Technologieunternehmen abzielt, zementiert somit die Position der beiden Technologiekonzerne, die maßgeblich für den Status quo verantwortlich sind.

Apple und Google werden zur obligatorischen Identitätsprüfung für jeden App-Entwickler im Land – eine marktbeherrschende Stellung, die viel Geld und erheblichen Einfluss einbringt. Jeder zukünftige Konkurrent, der ein datenschutzfreundliches Betriebssystem entwickeln möchte, wird feststellen, dass dies durch das Gesetz faktisch illegal geworden ist.

Im Text findet sich noch eine weitere Änderung. Die Definition von „Betriebssystem“ in Abschnitt 2(g)(4) umfasst „Software, die die grundlegenden Funktionen eines Computers, Mobilgeräts oder eines anderen allgemeinen Computergeräts unterstützt“. Diese Formulierung geht weit über Smartphones und Tablets hinaus.

Laptops und Desktop-Computer nutzen Betriebssysteme. Auch Spielekonsolen, Smart-TVs, Autos mit Infotainment-Software und eine wachsende Zahl weiterer Geräte fallen unter die Definition. Der Gesetzentwurf unterscheidet nicht zwischen dem iPad der Familie und dem Laptop eines Studenten für sein Studium. Jedes Gerät mit Betriebssystem wird somit zu einem Gerät, das bei der Einrichtung das Alter überprüft und damit indirekt auch den Nutzer identifiziert. Diese Ausweitung des Anwendungsbereichs ist in den Definitionen angelegt.

Gottheimer führte Fälle von Teenagern an, die angeblich durch KI-Chatbots und algorithmisch verbreitete Inhalte über Selbstverletzung geschädigt wurden.

Das Gesetz nutzt diese Schäden als Rechtfertigung für ein Identitätssystem, das für jeden Nutzer gilt. Das Muster ist immer gleich: Ein Kind wird verletzt, ein Gesetzentwurf wird verfasst, und dieses Gesetz verändert die digitale Umgebung aller – Kinder wie Erwachsene, Betroffene wie Unbeteiligte.

Weniger invasive Alternativen existieren und existieren schon seit Jahren.

Gerätebezogene Kindersicherungsfunktionen sind bereits in iOS und Android integriert. Mit der Familienfreigabe und Google Family Link können Eltern altersgerechte Beschränkungen festlegen. App-Stores ermöglichen bereits die Vergabe von Altersfreigaben pro App.

Keine dieser Optionen verpflichtet jeden Nutzer im Land, Apple oder Google beim Einschalten eines Telefons sein Alter nachzuweisen. Der Gesetzentwurf überspringt diese Möglichkeiten und sieht stattdessen eine allgemeine Altersverifizierung als Grundvoraussetzung für den Gerätebesitz vor.

Der Schutz von Kindern erfordert nicht den Bau all dieser Anlagen. Die Verfasser des Gesetzesentwurfs haben sich dennoch dafür entschieden, und diese Entscheidung verrät, worum es in dem Gesetzentwurf eigentlich geht