Das ist keine Rechtsberatung. Die Anforderungen in diesem Bereich ändern sich schnell und unterscheiden sich je nach Rechtsordnung; die Beschreibungen unten behandeln, wie die Mechanismen funktionieren, nicht was ein Land derzeit verlangt. Prüfe eine amtliche Quelle für deine eigene Rechtsordnung, bevor du dich auf irgendetwas hier verlässt.

Eine Altersverifikationspflicht ist die Regel, dass eine Plattform bestimmte Inhalte erst ausliefern darf, wenn sie nach einem gewissen Maßstab festgestellt hat, dass die Besucherin erwachsen ist. Fast der gesamte praktische und politische Streit dreht sich um dieses "nach einem gewissen Maßstab" — die Bandbreite der Methoden, die das erfüllen, unterscheidet sich um Größenordnungen darin, was sie kosten, wen sie ausschließen und was sie preisgeben.

Was verlangt eine solche Pflicht von einer Plattform eigentlich?

Den Übergang vom Behaupten des Alters zum Feststellen des Alters, entlang eines Spektrums mit vier groben Stufen.

Stufe Mechanismus Sicherheit Datenpreisgabe
Erklärung Häkchen "Ich bin über 18" oder Eingabe eines Datums Keine Keine
Rückschluss Ein mit Volljährigkeit korreliertes Signal, etwa ein Zahlungsmittel Schwach Zahlungsidentität
Schätzung Statistische Altersvorhersage, meist aus einem Gesichtsbild Wahrscheinlichkeitsbasiert Biometrische Probe, falls gespeichert
Verifikation Ein Nachweis mit behauptetem Geburtsdatum wird geprüft Hoch Ausweisdokument oder Registereintrag

Ein fünftes Muster steht neben diesen statt über ihnen: die Attestierung, bei der eine getrennte Stelle die Prüfung einmal durchführt und der Website ein Token ausstellt, das nur sagt "diese Person ist über 18". Die Website erfährt die Tatsache, ohne die Identität zu erfahren, und der Prüfer erfährt die Identität, ohne zu erfahren, welche Website gefragt hat — sofern das System so gebaut ist, dass sich beides nicht wieder zusammenführen lässt.

Wie funktionieren die einzelnen Methoden, und wie versagen sie?

Jede Methode versagt anders, und genau deshalb hat sich keine Rechtsordnung auf eine einzige vorgeschriebene festgelegt.

Methode Was du herausgibst Wer es sieht Typisches Versagen
Selbstauskunft Nichts Niemand Trivial zu umgehen
Kredit- oder Debitkartenprüfung Kartendaten, Name Händler und Zahlungsabwickler Schließt Erwachsene ohne Karte aus; Karten im Haushalt werden missbraucht
Upload eines Ausweisdokuments Bild von Pass oder Führerschein Der Verifikationsdienstleister, manchmal die Website Höchster Schaden bei einem Leck; schließt Menschen ohne Dokumente aus
Dokument plus Liveness-Selfie Dokument und ein Gesichtsvideo Der Dienstleister Fügt dem Obigen eine biometrische Probe hinzu
Gesichts-Altersschätzung Ein Gesichtsbild oder kurzes Video Der Schätzungsdienstleister Die Genauigkeit sinkt nahe der Altersgrenze und schwankt zwischen demografischen Gruppen
Prüfung über den Mobilfunkanbieter Rufnummer, Abfrage beim Netzbetreiber Netzbetreiber und Website Prepaid- und geteilte Anschlüsse hebeln sie aus; koppelt das Surfen an eine Rufnummer
Bank- oder staatliche eID Eine authentifizierte Sitzung Der Identitätsanbieter Starke Sicherheit, stärkste Identitätsverknüpfung
Doppelblindes Token Einmalige Verifikation, ein Token pro Website Konstruktionsbedingt auf zwei Parteien verteilt Steht und fällt damit, dass die beiden Parteien nicht kooperieren oder fusionieren
Signal vom Gerät oder Betriebssystem Ein Kontoalter, das die Plattform schon kennt Der Gerätehersteller Geteilte Geräte; verlagert die Entscheidung auf wenige Torwächter

Die Gesichts-Altersschätzung wird am häufigsten als die datenschutzfreundliche Option vorgeschlagen, und ihre Grenze ist statistisch, nicht technisch: Jeder Schätzer hat ein Fehlerband, also muss die Schwelle vorsichtshalber über dem gesetzlichen Alter liegen, damit falsche Freigaben selten bleiben — womit dann viele rechtmäßig Erwachsene abgewiesen werden.

Warum ist Altersverifikation ein Datenschutzproblem?

Weil sie eine dauerhafte Verbindung zwischen einer verifizierten Identität und einer Kategorie des Surfens herstellt, die vorher keine hatte.

Vier verschiedene Risiken, die oft vermischt werden:

  • Verknüpfung. Ein Verifikationsvorgang verbindet eine reale Identität mit einer bestimmten Website zu einer bestimmten Zeit. Ob diese Verbindung gespeichert wird, ist eine Designentscheidung, die die Nutzerin nicht einsehen kann.
  • Speicherung. Prüfpflichten können die Aufbewahrung von Nachweisen verlangen, was aus einer kurzen Kontrolle eine dauerhafte Datenbank macht.
  • Konzentration. Wenige Dienstleister, die für viele Websites prüfen, werden zu hochwertigen Zielen, und die Sensibilität dessen, was sie halten, übersteigt die jeder einzelnen Plattform.
  • Ausschluss. Erwachsene ohne Dokumente, ohne Karte oder mit schlecht geschätzten Gesichtern wird der rechtmäßige Zugang verwehrt, ohne Beschwerdeweg.

Das Design, das den größten Teil davon adressiert, ist das doppelblinde Muster, bei dem der Prüfer nie die Website und die Website nie die Identität erfährt. Ob eine konkrete Umsetzung wirklich so gebaut ist, lässt sich von der Nutzerseite aus nicht beobachten, und diese Nichtüberprüfbarkeit ist selbst eine strukturelle Schwäche.

Wo gelten diese Anforderungen?

Der Anwendungsbereich wird durch Regeln statt durch Grenzen bestimmt, und die Regeln kombinieren drei Tests: wo die Nutzerin sich zu befinden scheint, welcher Anteil der Inhalte eines Dienstes erfasst ist, und ob der Betreiber als auf diesen Markt ausgerichtet gilt.

Bei ausländischen Betreibern läuft die Durchsetzung in der Regel über die Hebel, die die Rechtsordnung tatsächlich kontrolliert — Intermediäre, App Stores, Zahlungsanbieter und Zugangsbeschränkungen auf Netzebene. Deshalb kann eine Pflicht auch gegenüber einem Unternehmen ohne lokale Präsenz wirken.

Zu den in diesem Feld aktiven Rechtsordnungen zählen mehrere US-Bundesstaaten, das Vereinigte Königreich, Frankreich, Deutschland, Australien und die Europäische Union. Die Notizen unten wurden am 2026-08-03 gegen amtliche Quellen geprüft und nennen jeweils Instrument und zuständige Stelle. Strafen, Schwellenwerte und Verfahrensdetails lassen sie bewusst weg: Das sind die Teile, die sich am schnellsten ändern und die schwersten Folgen haben, wenn man sie falsch liest — lies sie aus der amtlichen Quelle und nicht aus einer Zusammenfassung aus zweiter Hand, auch nicht aus dieser. Die Quellen stehen am Ende dieses Abschnitts.

Vereinigte Staaten. Die maßgeblichen Regeln sind Recht der Bundesstaaten, nicht Bundesrecht. Texas und Utah erließen 2023 beide Anforderungen an kommerzielle Websites, bei denen ein erheblicher Teil der Inhalte für Minderjährige schädliches Material ist. Im Juni 2025 bestätigte der Supreme Court das texanische Gesetz gegen eine Rüge nach dem First Amendment und hielt fest, dass ein mittlerer Prüfungsmaßstab gilt, weil die traditionelle Befugnis eines Bundesstaates, Minderjährige von solchem Material fernzuhalten, auch die Befugnis umfasst, einen Altersnachweis zu verlangen — die Belastung Erwachsener sei daher bloß beiläufig. Das hat das größere Bild nicht geklärt: Verfahren über neuere Anforderungen einzelner Staaten — darunter Gesetze, die auf App Stores statt auf Erwachsenenseiten zielen — liefen 2026 noch, mit mindestens einer einstweiligen Verfügung im Berufungsverfahren.

Vereinigtes Königreich. Der Online Safety Act 2023 legt Pflichten den Diensteanbietern auf, nicht den Zuschauern. Die Pflichten aus Part 5 zu pornografischen Inhalten, die ein Dienst selbst veröffentlicht, traten am 17. Januar 2025 in Kraft und verlangen eine Altersverifikation oder Altersschätzung, die hochgradig wirksam darin ist, festzustellen, ob eine Nutzerin ein Kind ist, dazu Aufzeichnungen über die gewählte Methode und eine veröffentlichte zusammenfassende Erklärung. Ofcom ist im Gesetz als Regulierer benannt.

Frankreich. Arcom reguliert, auf Grundlage des Gesetzes von 2004 über das Vertrauen in die digitale Wirtschaft in der Fassung des Gesetzes von 2024 zur Sicherung und Regulierung des digitalen Raums. Der technische Referenzrahmen für Altersverifikationssysteme wurde im Oktober 2024 verabschiedet, im selben Monat im Amtsblatt veröffentlicht und ist ohne spätere Änderung weiterhin die geltende Fassung. Er setzte eine ab Veröffentlichung laufende Frist zur Umsetzung, ließ die Verifikation per Zahlungskarte nur übergangsweise zu und ging davon aus, dass datenschutzwahrende Konzepte der "doppelten Anonymität" — das weiter oben auf dieser Seite beschriebene Attestierungsmuster — erst längerfristig verfügbar werden. Kommt ein Dienst nach förmlicher Aufforderung nicht nach, kann Arcom an Zugangsanbieter, DNS-Resolver-Anbieter und Suchmaschinen eskalieren.

Deutschland. Die Aufsicht läuft über eine eigene Kommission, die als Organ der Landesmedienanstalten verfasst ist, auf Grundlage eines Staatsvertrags der Länder zum Jugendmedienschutz neben einem Bundesgesetz zum Jugendschutz, während eine gesonderte Bundesstelle Indizierung und Vorsorgemaßnahmen der Plattformen behandelt. Der geltende Maßstab ist der strengste unter allen hier behandelten: Inhalte, die sonst unzulässig wären, dürfen online nur innerhalb einer geschlossenen Benutzergruppe verbreitet werden, was die Kommission so liest, dass eine einmalige Identifizierung einer erwachsenen Person — typischerweise mit persönlichem Kontakt — plus eine Authentifizierung pro Sitzung nötig ist, und keinerlei Form der bloßen Erklärung. Die Kommission bewertet ganze Systeme wie auch einzelne Komponenten anhand veröffentlichter Kriterien.

Australien. Der Online Safety Act 2021 macht die eSafety Commissioner zur Regulierungsbehörde, mit der Befugnis, Branchenkodizes zu registrieren und Branchenstandards festzulegen. Eine 2022 unter diesem Gesetz erlassene und weiterhin geltende Restricted Access System Declaration legt fest, was ein Zugangskontrollsystem für die Materialklasse leisten muss, die Online-Pornografie umfasst: einen Antrag und eine Erklärung der Volljährigkeit verlangen, Warnungen und Sicherheitsinformationen geben und angemessene Schritte einbauen, um zu bestätigen, dass die antragstellende Person mindestens 18 ist. Halte das getrennt von Australiens Mindestalterpflicht für soziale Medien, die am 10. Dezember 2025 in Kraft trat — dabei geht es um das Führen eines Kontos auf einer Social-Media-Plattform, es ist keine Pornografie-Maßnahme, und sie schränkt den Einsatz staatlicher Ausweise für ihre eigenen Compliance-Zwecke sogar ein.

Europäische Union. Zwei Instrumente unterschiedlichen Rechtstyps schaffen die Pflichten. Der Digital Services Act ist eine Verordnung, unmittelbar anwendbar ohne Umsetzung, und seine Vorschrift zum Schutz Minderjähriger im Netz verlangt von Plattformen, die Minderjährigen zugänglich sind, angemessene und verhältnismäßige Maßnahmen — hält aber zugleich fest, dass die Regelbefolgung keine zusätzliche Verarbeitung personenbezogener Daten allein zur Feststellung erzwingen darf, ob eine Nutzerin minderjährig ist. Die Kommission gab im Juli 2025 Leitlinien zu dieser Vorschrift heraus und hat eine Blaupause für Altersverifikation veröffentlicht, die auf denselben technischen Spezifikationen wie die European Digital Identity Wallet aufbaut und Volljährigkeit belegen soll, ohne weitere Identitätsdaten offenzulegen. Die Richtlinie über audiovisuelle Mediendienste ist eine Richtlinie, die jeder Mitgliedstaat in nationales Recht umsetzt, und nennt die Altersverifikation unter den technischen Maßnahmen für Inhalte, die die Entwicklung Minderjähriger beeinträchtigen können, wobei die strengsten Maßnahmen den schädlichsten Inhalten einschließlich Pornografie vorbehalten bleiben. Die EU setzt also den Rahmen und die Mitgliedstaaten liefern einen Großteil der operativen Details — weshalb sich die nationalen Anforderungen weiterhin unterscheiden.

Quellen für diesen Abschnitt

Alle am 2026-08-03 abgerufen und geprüft.

Wie versagen diese Systeme in der Praxis?

Vorhersehbar, und auf eine Weise, die für die Beurteilung eines Systems entscheidend ist.

Versagensart Folge
Geteilte Geräte Eine verifizierte Erwachsenen-Sitzung steht allen im Haushalt offen
Schätzfehler nahe der Schwelle Erwachsene werden abgewiesen oder Minderjährige eingelassen, je nachdem, wo die Schwelle liegt
Verlagerung des Traffics Nutzer wandern zu Diensten, die die Pflicht ignorieren — typischerweise die am wenigsten rechenschaftspflichtigen
Datenleck beim Dienstleister Ausweisdokumente werden zusammen mit der Information offengelegt, worauf zugegriffen wurde
Erwachsene ohne Dokumente Rechtmäßiger Zugang verwehrt, ohne Alternativweg
Uneinheitlicher Anwendungsbereich Manche Dienste sind erfasst, nahezu identische nicht, je nach definitorischen Schwellen

Der Verlagerungseffekt ist der umstrittenste Punkt der politischen Debatte und der für Leserinnen und Leser relevanteste: Eine Pflicht, die auf regeltreue Betreiber angewandt wird, verändert, wohin der Traffic fließt, und die Ziele sind meist die mit schlechterer Sicherheit und schlechterem Umgang mit Daten — was ein direktes Risiko für dich ist, ganz gleich, wie man die Politik am Ende bewertet.

Verwandte Fragen