USA: Gesetzentwurf macht Altersverifikation zur Pflicht für jedes Gerät

Ein am 13. April im US-Repräsentantenhaus eingebrachter Gesetzentwurf verpflichtet Apple, Google und alle anderen Betriebssystemanbieter dazu, das Alter jedes Nutzers beim Einrichten eines neuen Geräts zu verifizieren – wie Reclaim The Net berichtet. Das Gesetz, offiziell als H.R. 8250 geführt und unter dem wohlklingenden Namen „Parents Decide Act“ vermarktet, gilt als eines der aggressivsten Überwachungsmandate, das jemals für US-Konsumententechnologie vorgeschlagen wurde.

Im Vordergrund stehen Kinder. Im Gesetzestext steckt etwas ganz anderes. Um festzustellen, ob jemand unter 18 ist, muss das System zwangsläufig auch alle anderen identifizieren. Initiator ist Abgeordneter Josh Gottheimer, der den Entwurf am 2. April bei einer Pressekonferenz vor dem örtlichen YMCA in Ridgewood präsentierte. „Mit jedem Tag wird das Internet gefährlicher für unsere Kinder“, erklärte er – und hatte damit nicht ganz Unrecht. Kinder können Altersangaben heute schlicht mit einem falschen Geburtsdatum umgehen. Das ist das System, so Gottheimer. Sein Gegenmittel: Überwachungsinfrastruktur unter jedes Gerät im Land legen.

Section 2(a)(1) des Entwurfs verpflichtet Betriebssystemanbieter dazu, von jedem Nutzer – nicht nur Kindern – Geburtsdatum und Altersnachweis zu verlangen, bevor ein Gerät überhaupt eingerichtet werden kann. Keine Ausnahme für Erwachsene, kein Opt-out. Wer sein Telefon einschalten will, zahlt den Eintritt mit persönlichen Daten an Apple oder Google. Was danach mit diesen Daten geschieht, wird per Verweis an die Federal Trade Commission delegiert – die das erst noch regeln soll.

Section 2(a)(3) geht noch weiter: Betriebssystemanbieter werden verpflichtet, ein System zu entwickeln, das App-Entwicklern Zugriff auf die zur Altersverifikation nötigen Informationen ermöglicht. Apple und Google werden damit zum zentralen Altersbroker für das gesamte amerikanische App-Ökosystem. Jede App, die prüfen will, ob ein Nutzer über 18 oder 13 oder 21 ist, kann künftig das Betriebssystem anfragen – und erhält eine Antwort, die auf dem beim Setup eingescannten Geburtsdatum basiert. Eine neue Datenpipeline zwischen Betriebssystem und jedem Entwickler, der sich einklinkt. Der Entwurf erklärt kaum, wie diese Pipeline begrenzt werden soll.

Der Entwurf enthält kaum konkrete Datenschutzmechanismen. Section 2(d)(1)(B) beauftragt die FTC lediglich, irgendwann Regeln zu erlassen, damit Geburtsdaten „sicher gesammelt“ und „nicht gestohlen“ werden. Keine Speicherfristen, keine Zweckbindung, keine Verbote der Verknüpfung mit anderen bereits vorhandenen Nutzerdaten. Das gesamte System soll im Nachhinein von Regulatoren ausgestaltet werden, während Betriebssystemanbieter durch eine Safe-Harbor-Klausel geschützt sind, solange sie die noch zu erlassenden Regeln befolgen. Der Kongress wird gebeten, ein Überwachungssystem zu genehmigen, das er selbst nicht entworfen hat und dessen Absicherungen noch nicht existieren.

Besonders weitreichend ist die im Gesetz verwendete Definition von „Betriebssystem“: Software, die grundlegende Funktionen eines Computers, Mobilgeräts oder eines beliebigen anderen Allzweck-Computergeräts unterstützt. Damit fallen nicht nur Smartphones und Tablets darunter, sondern auch Laptops, Desktops, Spielkonsolen, Smart-TVs und Fahrzeuge mit Infotainmentsystemen. Jedes Gerät mit einem Betriebssystem wird zum Gerät, das seinen Nutzer bei der Einrichtung identifiziert.

Das Gesetz zementiert außerdem das bestehende Duopol. Kleinere Betriebssystementwickler, Open-Source-Projekte, Linux-Distributionen und datenschutzorientierte Alternativen stehen vor einem Compliance-Aufwand, der auf die Kapazitäten von Billionen-Dollar-Konzernen zugeschnitten ist. Wer künftig ein datenschutzfreundliches Betriebssystem entwickeln will, findet sich in einer faktischen Illegalität wieder. Apple und Google werden zu obligatorischen Identitätskontrollpunkten für jeden App-Entwickler im Land – eine Marktposition, die erheblichen wirtschaftlichen Wert und Hebel bedeutet.

Weniger invasive Alternativen existieren seit Jahren: iOS und Android liefern bereits Kindersicherungsfunktionen, Apple Family Sharing und Google Family Link erlauben altersgerechte Konfigurationen ohne Massenidentifikation. Der Entwurf ignoriert diese Möglichkeiten und wählt stattdessen ein Mandat, das universelle Altersverifikation zur Grundbedingung des Gerätebesitzes macht. Das muss man sich auf der Zunge zergehen lassen: Wer in den USA ein Smartphone einschalten will, muss künftig erst einem Privatkonzern beweisen, wie alt er ist.

Quelle: Reclaim The Net