Der Deutsche Ethikrat mischt die Social-Media-Debatte auf. Dem vielfach geforderten Verbot für Minderjährige verpassen die Expert*innen eine Abfuhr – und warnen eindringlich vor den Gefahren von Alterskontrollen. Die Analyse.

Der Deutsche Ethikrat hat Empfehlungen zum Schutz von Kindern und Jugendlichen im Netz vorgelegt. Die Expert*innen sprechen sich ausdrücklich gegen ein Social-Media-Verbot für Minderjährige nach australischem Vorbild aus. Stattdessen sollen Plattformen digitale Räume sicherer gestalten. Bei Alterskontrollen zieht der Ethikrat strenge Linien: Er lehnt Verfahren ab, bei denen Daten das Gerät von Nutzer*innen verlassen.

Hintergrund ist die internationale Debatte um Kinder- und Jugendschutz im Netz. Spitzenpolitiker*innen in Bund, Ländern und der EU fordern ein Social-Media-Verbot für Minderjährige, darunter EU-Kommissionspräsidentin Ursula von der Leyen (CDU). Bundestagspräsidentin Julia Klöckner (CDU) hatte den Ethikrat um Stellungnahme gebeten.

Der Ethikrat ist laut Gesetz unabhängig. Die 26 Mitglieder sollen demnach „naturwissenschaftliche, medizinische, theologische, philosophische, ethische, soziale, ökonomische und rechtliche Belange in besonderer Weise repräsentieren“ und ein „plurales Meinungsspektrum“ vertreten. Berufen werden sie nach Vorschlägen von Bundesregierung und Bundestag für vier Jahre. Mitautorin und Sprecherin der neuen Stellungnahme ist Judith Simon, Professorin an der Universität Hamburg zur Ethik in der Informationstechnologie.

Das 50-seitige Papier des Ethikrats ist der bisher sorgfältigste und ausführlichste Beitrag zur Debatte in Deutschland. Maßstab sei das Kindeswohl im Sinne der UN-Kinderrechtskonvention, schreiben die Expert*innen. Differenziert gehen sie auf die Grundrechte junger Menschen ein und warnen vor den Folgen von Alterskontrollen. Am Ende geben sie politische Empfehlungen. Der Überblick.

Klares „Nein“ zum Social-Media-Verbot

Soll für Social Media ein gesetzliches Mindestalter eingeführt werden? Um diese Frage kreist die Debatte seit Monaten. „Der Ethikrat beantwortet sie mit nein“, sagt der Vorsitzende des Ethikrats Helmut Frister. Dafür nennt der Ethikrat vier Gründe.

• Erstens: Das Problem liegt nicht pauschal bei sozialen Medien, wie aus dem Papier hervorgeht, sondern bei konkreten Merkmalen „wie zum Beispiel Endlos-Feeds“. Statt junge Menschen auszusperren sollen unter anderem schädliche Funktionen verboten werden.
• Zweitens: Das Alter allein sagt zu wenig aus. Kinder gleicher Altersgruppen würden sich „in ihrem Reifegrad“ mitunter deutlich voneinander unterscheiden, schreiben die Expert*innen.
• Drittens: Nicht nur auf sozialen Medien gibt es Risiken, sondern auch bei vielen anderen digitalen Diensten. Konkret nennt der Ethikrat etwa Messenger, Spiele, Streaming-Plattformen, Chatbots und Bildgeneratoren. Zudem könnten junge Menschen ein Verbot einfach umgehen, wie erste Erfahrungen aus Australien zeigen würden.
• Viertens: Ein Mindestalter würde Teilhabe, Entwicklung und Medienkompetenz junger Menschen beeinträchtigen. Mit sozialen Medien würden sie unter anderem Freundschaften pflegen, „emotionale Unterstützung und Zugehörigkeit erleben“. Hinzu kommt, dass Eltern laut Grundgesetz das Recht haben, selbst über die Erziehung zu entscheiden – also auch darüber, wann sie ihrem Kind welche digitalen Angebote zutrauen. Ein Mindestalter würde „auf unverhältnismäßige Art und Weise in das Recht der Eltern eingreifen“.

Besser regeln, besser durchsetzen

Der Ethikrat belässt es nicht beim Nein zum Social-Media-Verbot, sondern beschreibt Alternativen. Eine zentrale Rolle spielen strenge Regeln für Online-Dienste. „Anbieter müssen für Minderjährige zugängliche digitale Räume so gestalten, dass Kinder und Jugendliche effektiver geschützt werden als bisher“, schreibt der Ethikrat. Konkreter Vorschlag:

Zu exzessiver Nutzung anreizende Funktionen digitaler Angebote sollten generell verboten werden.

So sollen Anbieter auf „süchtig machende Funktionen“ verzichten, auf „algorithmisch gesteuerte Feeds oder Empfehlungssysteme“; auf Profiling und Tracking. Es brauche zudem Blockier- und Meldefunktionen sowie sichere Voreinstellungen, etwa wer wen kontaktieren kann. Einen Rechtsrahmen dafür gibt es schon, vor allem das EU-Gesetz über digitale Dienste (DSA). Erste DSA-Verfahren, etwa gegen TikTok, laufen gerade an. Der Ethikrat rät, unter anderem den DSA „konsequent“ auszuschöpfen.

Jenseits des DSA sieht der Ethikrat Schutzlücken, und zwar bei Angeboten, die nicht unter die im Gesetz definierten digitalen Dienste fallen. Als Beispiel nennt der Ethikrat generative KI, dazu gehören etwa Chatbots wie ChatGPT, Bild- und Videogeneratoren. Zwar gebe es dafür die KI-Verordnung, dort würden aber Vorgaben zum Jugendschutz fehlen.

Schließen lassen sich solche Lücken etwa mit dem von der EU-Kommission geplanten Gesetz über digitale Fairness (Digital Fairness Act, DFA). Mehrfach verweist auch der Ethikrat darauf. Das Besondere am DFA: Er nimmt nicht Minderjährige in den Blick, sondern alle. Passend dazu halten die Expert*innen fest: Digitale Angebote sollten „für alle Menschen so gestaltet werden, dass sie systemische Risiken minimieren“. Denn die zugrunde liegenden Geschäftsmodelle könnten nicht nur Kindern und Jugendlichen schaden.

Eltern stärken

Eine zentrale Rolle in den Empfehlungen des Ethikrats spielen Eltern. Einfach ausgedrückt sollen nicht etwa flächendeckende Alterskontrollen verhindern, dass junge Menschen eine potenziell schädliche Plattformen nutzen, sondern: Mama und Papa oder andere Erziehungsberechtigte. Der Ethikrat verschiebt damit den Fokus von technischer Kontrollinfrastruktur zu menschlicher Fürsorge.

„Der Zugang zu digitalen Angeboten sollte auf einer ersten Stufe durch die Eltern geregelt werden“, schreiben die Expert*innen. Sie seien zuständig für das „Ausbalancieren“ von Schutz, Teilhabe und Befähigung. „Die Eltern haben dabei einen Gestaltungsspielraum, der erst überschritten ist, wenn das Kindeswohl konkret gefährdet wird.“

Der Ethikrat erkennt an, dass Eltern damit keine leichte Aufgabe haben. „Selbst bei vorhandenen Ressourcen gibt es sicherlich Eltern, die – um Zeit und vor allem Nerven zu sparen – den Weg des geringsten Widerstands gehen und die digitalen Aktivitäten ihrer Kinder nicht oder nur unzureichend kontrollieren.“ Mehrere Maßnahmen sollen Eltern deshalb stärken:

• Bessere digitale Werkzeuge. Eltern sollen mit passenden Kontroll-Werkzeugen „den Zugang zu Apps, Funktionen und Inhalten sowie die Gesamtnutzungszeit einfach, sicher und passgenau beschränken können“, und zwar „mit überschaubarem Aufwand“.
• Mehr Unterstützung. Es brauche „eindringliche Aufklärung“, auch für „technisch wenig versierte Eltern“. Und wenn Eltern es nicht selbst schaffen, könne etwa die Familienhilfe „Digitalpat*innen“ vermitteln.
• Bessere Altersempfehlungen. Welches digitale Angebot ist für Kinder geeignet? Eltern sollten sich hier nicht auf die Altersangaben der Anbieter verlassen müssen. Anerkannte Organisationen wie die Freiwillige Selbstkontrolle könnten vermehrt Angebote bewerten.

Strenge Linien für Alterskontrollen

Ausführlich geht der Ethikrat auf Probleme und Gefahren von Alterskontrollen ein. Sie sind ein zentraler Aspekt der Debatte, denn wer ein Social-Media-Verbot fordert, will das in der Regel mit strengen Alterskontrollen durchsetzen. Die EU-Kommission schafft mit der geplanten Alterskontroll-App („Mini-Wallet“) gerade die Infrastruktur für EU-weite Alterskontrollen im Netz.

Der Deutsche Ethikrat tritt hier auf die Bremse. Die Mini-Wallet habe „Schwächen in Bezug auf Sicherheit, Datenschutz und Effektivität“, schreiben die Expert*innen. Sie sei „abzulehnen“. Das ist eine Klatsche für die EU-Kommission, die mit der Mini-Wallet einen „Goldstandard“ für sichere und datensparsame Alterskontrollen setzen wollte.

Die Kritik der Expert*innen an Alterskontrollen ist jedoch grundlegender. „Einer Forderung nach perfekter Wirksamkeit würde kein System genügen“, schreiben sie. Zugleich könne es „ein falsches Gefühl der Sicherheit erzeugen“, wenn man ignoriert, wie leicht sich Alterskontrollen umgehen lassen. Genau das tun Befürworter*innen von Alterskontrollen jedoch immer wieder, wenn sie die Systeme als wirksam und robust beschreiben.

„Mit der verpflichtenden Nutzung von Altersbestimmungstechnologien ist zudem die Sorge verbunden, dass dies ein weiterer Schritt auf dem Weg zum Ende eines frei zugänglichen, offenen Internets wäre“, schreibt der Ethikrat weiter. Die Expert*innen warnen ausdrücklich vor „Missbrauch und Zensur“:

Die Technologien sind Instrumente zur Unterscheidung und unterschiedlichen Behandlung von Nutzergruppen. Als solche können sie auch zweckentfremdet werden, und zwar sowohl zur Beschränkung des Zugangs für weitere Gruppen als auch des Zugangs zu anderen Inhalten, zum Beispiel zu Materialien zur sexuellen Aufklärung oder gar zu solchen, die politisch unerwünscht sind. Aufgrund dieser breiten Einsatzmöglichkeiten kann nicht ausgeschlossen werden, dass die Altersbestimmungstechnologien als Zensurinstrument missbraucht werden.

Eine der wichtigsten Methoden für Alterskontrollen basiert auf Papieren, die das Alter belegen, etwa ein Ausweis. Das setzt jedoch Dokumente voraus „über die bestimmte Gruppen gegebenenfalls nicht verfügen“, mahnt der Ethikrat. Eine weitere wichtige Methode sind Schätzungen. Hierfür scannt eine Software etwa das Gesicht oder das Verhalten einer Person auf einer Plattform. Dabei warnt der Ethikrat vor „systematischen Verzerrungen in zwei Richtungen“. Einfach ausgedrückt kann eine solche Software Erwachsene zu Unrecht aussperren – oder junge Menschen zu Unrecht durchlassen.

Nicht zuletzt würden viele Methoden der Alterskontrolle die Privatsphäre gefährden. „Viele Ansätze erfordern die Preisgabe sensibler Daten und/oder das Auslesen von Nutzungsdaten und Inhalten durch die Anbieter. Von besonderer Sensibilität sind hier biometrische Daten“, schreibt der Ethikrat.

Der Pudding wird uns auf die Füße fallen

Das Fazit: Der Ethikrat spricht sich „gegen den Einsatz von Technologien zur Altersableitung oder Altersschätzung aus, bei denen Daten das Endgerät der Nutzerinnen und Nutzer verlassen“.

Diese Empfehlung beißt sich mit der aktuellen Praxis in Deutschland. Regelmäßig bewertet die Kommission für Jugendmedienschutz (KJM) Systeme zur Alterskontrolle als „positiv“, bei denen Nutzer*innen ihre Daten einem externen Anbieter anvertrauen müssen. Das heißt: Anbieter in Deutschland nutzen derzeit Alterskontrollen, von denen der Ethikrat abrät.

„Verpflichtende“ Alterskontrollen dennoch möglich

Spielraum für Alterskontrollen im Netz sieht der Ethikrat dennoch. Zwar sollten Kontrollen durch Eltern der Standard sein. Aber: „Alterskontrollverfahren auf Geräteebene können ergänzend eingesetzt werden.“ Diese Kontrollen könnten „je nach Einsatzgebiet“ sogar „verpflichtend“ sein.

Der Ethikrat zählt nicht genau auf, wovor solche Alterskontrollen schützen sollen. Mindestens geht es um Inhalte, die Minderjährigen „bereits nach dem Strafgesetzbuch“ nicht zugänglich gemacht werden dürfen, also unter anderem Pornos.

Ablaufen könnten die Alterskontrollen nach Auffassung des Ethikrats per „Altersschätzung durch die Kamera“ oder per „Verifikation mit offiziellen Dokumenten“. An dieser Stelle wirken die Empfehlungen allerdings nicht schlüssig: Beide Verfahren hatte der Ethikrat zuvor kritisiert. Bei Altersschätzung drohen „systematische Verzerrungen in zwei Richtungen“; Verifikation mit Dokumenten schließt Menschen aus, die solche Dokumente nicht haben. Es fehlt die Abwägung, warum die Expert*innen solche Nachteile dennoch in Kauf nehmen würden. Auch auf die Gefahr von „Missbrauch und Zensur“ gehen sie hier nicht näher ein.

Jedenfalls müssten sensible Daten auf dem Gerät bleiben. Das Gerät dürfe nur das relevante Alterssignal übermitteln. Der Ethikrat fordert hierfür „konkrete technische Anforderungen“ per Gesetz. Der Verweis auf Prinzipien wie Datenschutz sei „zu abstrakt“.

Eine Empfehlung unter Vorbehalt spricht der Ethikrat für die geplante digitale Brieftasche der EU („EUDI-Wallet“) aus, mit der Menschen in der EU künftig unter anderem ihr Alter nachweisen sollen. Die Bedingung: Die Brieftasche müsse die Vorgaben der eIDAS‑2.0‑Verordnung „vollständig“ erfüllen. Hinter der Abkürzung steckt das Gesetz, das der Brieftasche zugrunde liegt.

Mehr Kontext zu dem Vorbehalt liefert der Ethikrat nicht, allerdings rüttelt die EU-Kommission derzeit am Schutzniveau der EUDI-Wallet. Kritiker*innen fürchten um die Privatsphäre. Ein weiterer Fallstrick: Die digitale Brieftasche darf laut Gesetz nur „freiwillig“ sein, es muss also Alternativen geben. Bloß, welche? Der vom Ethikrat gesteckte Spielraum ist eng.

Wendet sich das Blatt?

Die Bundesregierung hatte im April mitgeteilt, noch keine gemeinsame Position zum Social-Media-Verbot zu haben. Die Empfehlungen des Ethikrats fallen in eine Zeit, in der die breite Kritik an Social-Media-Verbot und Alterskontrollen anscheinend auch bei der Bundesregierung verfängt:

• Mitte Mai hatte Bundeskanzler Friedrich Merz (CDU) nach anfänglichen Sympathien für das Konzept ausdrücklich „Nein“ zu einem Social-Media-Verbot gesagt.
• Wenig später hatte sich Innenminister Alexander Dobrindt (CSU) kritisch geäußert, und damit die Position seines Parteichefs Markus Söder gestützt.
• Familienministerin Karin Prien (CDU) wollte im Mai nicht von einem „Verbot“ sprechen und hielt sich im Gespräch mit Interessierten alle Optionen offen.
• Digitalminister Karsten Wildberger (CDU) konnte dem australischen Modell im Dezember noch „eine Menge abgewinnen“ – sagte jedoch vor wenigen Tagen, ein Social-Media-Verbot für Minderjährige sei „besser als nichts“, während Schutz „innerhalb“ des Designs von Plattformen „am nachhaltigsten“ sei.

All das heißt jedoch nicht, dass sich das Blatt wendet. Denn Forderungen nach einem Social-Media-Verbot für Minderjährige gibt es EU-weit. Die jüngsten Äußerungen von Unions-Politiker*innen zeigen: Zumindest in Deutschland wachsen die Bedenken.

Der Ethikrat hat dafür Argumente geliefert. In Kürze sollen zwei weitere Expert*innen-Gremien auf Deutschland- und EU-Ebene wissenschaftlich fundierte Empfehlungen vorlegen, zuerst das deutsche Gremium am 24. Juni.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

In Brüssel wird derzeit ausgehandelt, wie die europäische digitale Brieftasche künftig funktioniert. Entsprechende Vorlagen der EU-Kommission hat die Zivilgesellschaft wiederholt scharf kritisiert. 15 Organisationen fordern die Kommission nun dazu auf, die rechtlichen Vorgaben einzuhalten und den Verbraucher:innenschutz zu stärken.

Bei der Umsetzung von Projekten steckt der Teufel meist im Detail. Diese Erfahrung muss derzeit auch die europäische digitale Brieftasche machen.

Aktuell werden in Brüssel die technischen Vorgaben für die „European Digital Identity Wallet“ (EUDI-Wallet) verhandelt. Mit solchen EUDI-Wallets sollen sich künftig Bürger:innen und Organisationen online und offline ausweisen können, zudem lassen sich darin Identitätsdaten und amtliche Dokumente speichern und verwalten. Sensibler geht es also kaum.

Ein Bündnis aus 15 zivilgesellschaftlichen Organisationen warnt nun in einem offenen Brief vor den jüngsten Plänen der EU-Kommission. Diese würden es Unternehmen ermöglichen, mehr Daten aus den Wallets der Bürger:innen abzufragen, als es laut Gesetz erlaubt ist. Das Bündnis fordert die Kommission dazu auf, diese „Schlupflöcher“ zu schließen.

Zu den Organisationen, die den offenen Brief unterzeichnet haben, gehören unter anderem European Digital Rights (EDRi), die Electronic Frontier Foundation, Homo Digitalis, Digitalcourage und die Österreichische Bundesarbeitskammer.

Anhaltende Kritik aus der Zivilgesellschaft

Die EUDI-Wallet ist derzeit eines der größten digitalpolitischen Projekte der Europäischen Union. Ihr liegt die eIDAS-Reform zugrunde, die im Mai vergangenen Jahres in Kraft trat.

Bevor die Wallet wie geplant im Herbst 2026 starten kann, muss die EU-Kommission noch eine Reihe sogenannter Durchführungsrechtsakte erlassen. Insgesamt 40 dieser detaillierten Vorschriften für eine einheitliche Durchführung der eIDAS-Reform sind vorgesehen.

Die ersten fünf Entwürfe für Durchführungsrechtsakte hatte die Kommission im August vergangenen Jahres vorgelegt. Schon diese hatten für erhebliche Kritik aus der Zivilgesellschaft gesorgt, weil sie nicht den rechtlichen Vorgaben der reformierten eIDAS-Verordnung entsprochen hätten.

Eine ähnliche Kritik entzündet sich auch an der zweiten Charge der Rechtsakte. Anfang Dezember vergangenen Jahres bemängelte epicenter.works unter anderem den Vorschlag der Kommission, die Ausgabe sogenannter Registrierungszertifikate für sogenannte relying parties (deutsch: „vertrauenswürdige Parteien“) optional zu machen. Aus Sicht der Bürgerrechtsorganisation droht die Kommission damit „einen zentralen Pfeiler der Schutzmaßnahmen des eIDAS-Ökosystems“ einzureißen.

Die „vertrauenswürdigen Parteien“ können Unternehmen oder öffentliche Einrichtungen sein. Gemäß eIDAS-Verordnung müssen sie sich vorab in ihren jeweiligen EU-Mitgliedstaaten registrieren und darlegen, welche Daten sie zu welchem Zweck von den Nutzer:innen anfordern werden. Das soll gewährleisten, dass sie auch grenzüberschreitend nur jene Informationen aus den Wallets abfragen, die sie laut Gesetz erhalten dürfen.

Die Zertifikate sollen dies technisch sicherstellen: Vereinfacht formuliert dienen sie als eine Art Datenausweis, mit dem sich die relying parties gegenüber den Wallets der Nutzer:innen legitimieren und zudem die Abfragekategorien beschränken. Eine Anmeldung über die EUDI-Wallet bei einem sozialen Netzwerk soll dann beispielsweise ausschließen, dass dabei Gesundheitsdaten abgefragt werden.

Nutzende sollten die alleinige Kontrolle haben

An die Kritik aus dem vergangenen Dezember knüpfen die 15 Organisationen an, die den offenen Brief unterzeichnet haben.

Sie kritisieren, dass der von der Kommission vorgelegte Entwurf eine verbindliche Regelung verhindere, weil er es den EU-Ländern überlässt, Registrierungszertifikate zur Pflicht zu machen. Das gehe zulasten der Verbraucher:innen. Denn die Nutzenden müssten dann im Einzelfall entscheiden, ob sie mit einer bestimmten vertrauenswürdigen Partei interagieren oder nicht. Damit würden sie jedoch „anfällig für illegale und möglicherweise betrügerische Anfragen nach ihren Daten“, so der offene Brief.

Darüber hinaus untergrabe die Kommission mit ihrem Entwurf den Europäischen Binnenmarkt sowie das mit der eIDAS-Verordnung angestrebte Vertrauensniveau, das in allen EU-Staaten gleich sein soll.

Die Organisationen fordern die Kommission dazu auf, einen neuen Entwurf für den Durchführungsrechtsakt vorzulegen, der alle vertrauenswürdigen Parteien ausnahmslos dazu verpflichtet, Registrierungszertifikate auszustellen. „Wir sind überzeugt, dass die Aufrechterhaltung des Vertrauens in das eIDAS-Ökosystem enorm wichtig ist“, so die Organisationen.“Nur die Nutzenden sollten die alleinige Kontrolle über ihre Daten haben sowie über die Art und Weise, wie sie die EUDI-Wallet verwenden.“

---

Der offene Brief im Wortlaut

---

Dear Executive Vice-President Henna Virkkunen, Director-General Roberto Viola, Acting Director Christiane Kirketerp de Viron,

The undersigned consumer protection and human rights organizations want to thank the Commission for the important work on the eIDAS implementing acts. We welcome the recent adoption for the first batch of implementing acts regarding the provisions in Article 5a of the eIDAS regulation and acknowledge the positive changes to the text which significantly improved the privacy and human rights safeguards of the European Digital Identity Wallet.

The aim of the present letter, however, is to draw your attention to risks we identified in the recently proposed second batch of implementing acts. These concern in particular Article 5b of eIDAS. We are of the opinion that upholding trust in the eIDAS ecosystem is of utmost importance and that only the users are in sole control over their data and the way they use the European Digital Identity Wallet. The eIDAS regulation obliges relying parties to register their intended use of the Wallet and prohibits them from asking information going beyond that registration. (See Article 5b paragraph 1 and 3 of Regulation (EU) 2024/1183.) Protecting users from such illegal requests for information (‘over-asking’) requires providing them with the information if a particular request adheres to the registration of that relying party. This is done via relying party registration certificates.

While these certificates are an essential precondition for the enforcement of the eIDAS regulation, the informed user’s choice and trust into the system, the draft implementing act proposes that Member States can choose not to issue such certificates at all. All European Digital Identity Wallets would be unable to protect their users from over-asking, if the Member State where the relying party is registered has not issued these certificates.

This leaves users vulnerable to illegal and potentially fraudulent requests for their information and puts undue burden on them. In the absence of such certificates a cautions user would have to choose not to interact with relying parties from such EU countries. Thereby, the Commission’s draft would undermine the single market and prevent the harmonized trust level eIDAS aims to achieve.

Furthermore, eIDAS requires Member States to issue a public machine-readable interface to obtain all registered relying parties with the complete information they have provided. The draft implementing acts lack a harmonized specification to access such interfaces, rendering them meaningless for any public watchdog wishing to gain transparency about the eIDAS ecosystem.

To conclude, for the upcoming comitology meeting,3 the undersigned organizations ask you to propose a text that mandates the issuance of relying party registration certificates for all relying parties and to issue a harmonized specification to access the relying party registry of each Member State.

Sincerely,

• epicenter.works – for digital rights (Austria)
• European Digital Rights (Europe)
• Chamber for Workers and Employees (Austria)
• D3 – Defesa dos Direitos Digitais (Portugal)
• Homo Digitalis (Greece)
• IT-Political Association of Denmark (Denmark)
• Digital Courage (Germany)
• Stichting Vrijschrift (the Netherlands)
• Digitale Gesellschaft Switzerland (Switzerland)
• Citizen D (Slovenia)
• SHARE Foundation (Serbia)
• EFN – Electronic Frontier Norway (Norway)
• EFF – Electronic Frontier Foundation (International)
• ApTI – Asociația pentru Tehnologie și Internet (Romania)
• Danes je nov dan (Slovenia)

Link: Der offene Brief bei epicenter.works

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

EU-weit soll die Einführung einer sogenannten ID-Wallet vorangetrieben werden, mit der sich Menschen digital ausweisen können und die dafür deren Identitätsdaten speichert. Auch juristische Personen sollen die Möglichkeit bekommen, diese ID-Wallets zu nutzen. Für den Gesetzesvorschlag der EU-Kommission gibt es jedoch keineswegs nur Lob – im Gegenteil.

In der Europäischen Union trat 2014 die Verordnung über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt in Kraft, die nun reformiert werden soll. Diese überarbeitete eIDAS-Verordnung soll allen EU-Bürgern die Möglichkeit zu einer digitalen Identität schmackhaft machen, die den Namen „European Digital Identity Wallet“ bekommen wird. Die ID-Wallet soll jeweils in der Hoheit der einzelnen EU-Mitgliedstaaten bereitgestellt werden, aber eine überall kompatible EU-weite Lösung sein.

Der Entwurf der EU-Kommission zur eIDAS-Neuregelung vom Juni 2021 (eIDAS: electronic IDentification, Authentication and trust Services) hat in der Wirtschaft überwiegend positives Feedback bekommen, er trifft jedoch auf breite Kritik und Nachbesserungswünsche von Bürgerrechtsorganisationen, Datenschützern und Experten für IT-Sicherheit. Die Kritik ist nicht ganz neu, schon im Juli 2021 (pdf) hatte der Europäische Datenschutzbeauftragte Schwachpunkte der geplanten Reformierung aufgezeigt, die aus Sicht des Datenschutzes bestehen. Eine öffentliche Konsultation hatte im Sommer zu Stellungnahmen aufgefordert.

Es existieren in Europa teilweise schon jahrelang Lösungen für nationale elektronische Identitäten, aber mit Dänemark, Deutschland, Schweden und Ungarn haben noch vier Staaten inkompatible Eigenkreationen. Die nun zur Überarbeitung vorgesehene Verordnung hat eine europaweit nutzbare ID-Wallet zum Ziel.

Von der Leyen verspricht eine sichere europäische elektronische Identität

Die Präsidentin der Europäischen Kommission, Ursula von der Leyen, hatte höchstselbst in ihrer Rede zur Lage der Union 2020 für die einheitliche ID-Wallet geworben. Sie beschrieb, dass niemand in der Praxis wissen können, was mit den eigenen Daten passiere und wie aber der geplante neue digitale EU-Identitätsspeicher die Kontrolle zurückbrächte:

Jedes Mal, wenn eine Website uns aufgefordert, eine neue digitale Identität zu erstellen oder uns bequem über eine große Plattform anzumelden, haben wir in Wirklichkeit keine Ahnung, was mit unseren Daten geschieht. Aus diesem Grund wird die Kommission demnächst eine sichere europäische digitale Identität vorschlagen. Eine, der wir vertrauen und die Bürgerinnen und Bürger überall in Europa nutzen können, um alles zu tun, vom Steuern zahlen bis hin zum Fahrrad mieten. Eine Technologie, bei der wir selbst kontrollieren können, welche Daten ausgetauscht und wie sie verwendet werden.

Ganz so rosig wie in von der Leyens schwärmenden Worten wird die Umsetzung der ID-Wallet-Idee derzeit nicht bewertet, jedenfalls nicht aus Sicht von Datenschützern und IT-Sicherheitsfachleuten. Eine öffentliche Anhörung zu eIDAS beim Parlamentsausschuss für Industrie, Forschung und Energie brachte am Donnerstag Experten für eine Diskussion zusammen. Wojciech Wiewiórowski, der Europäische Datenschutzbeauftragte, erneuerte dort gleich zu Beginn seine Kritik, warnte vor Gefahren und forderte Nachbesserungen.

Ein weiterer der angehörten Kritiker der geplanten Verordnungsreform war Thomas Lohninger, Geschäftsführer des Vereins epicenter.works aus Österreich und Vizepräsident von European Digital Rights. Eine Konsequenz der neuen digitalen Brieftasche könne ein für die Privatsphäre von Menschen gefährliches Szenario sein, vor dem Lohninger auch in seiner Stellungnahme (pdf) warnt: Gezielte Werbung könnte mit der staatlich garantierten Identität gekoppelt werden. Die Werbewirtschaft wüsste dann quasi mit staatlichem Stempel, mit wem sie es namentlich zu tun hat und wem konkret sie Werbung unterjubelt.

Lohninger betonte, es fehle an „Schutzmaßnahmen gegen Missbrauch bei Tracking, Profiling und gezielter Werbung“. Hier müsse man dringend nachbessern. Es bestehe keine besondere Eile bei der Gesetzgebung, insofern plädiere er dafür, diesen Mangel zu beseitigen. Er rate auch zu einer Art Negativ-Liste, in der verständlich festgehalten werden solle, wofür die Daten der ID-Wallet keinesfalls verwendet werden dürfen. Auf jeden Fall müsse verhindert werden, dass mit der ID-Wallet am Ende nur die Tracking- und Werbewirtschaft und insbesondere auch die großen außereuropäischen Tech-Konzerne gestärkt werden.

Informationssammlung beim ID-Wallet-Herausgeber

Ein anderer potentiell gefährlicher Datenmissbrauch droht wegen der Daten, die bei der Nutzung des Identitätsspeichers beim Wallet-Herausgeber anfallen. Die Vorschläge der EU-Kommission schreiben zwar fest, dass der Nutzer über seine European Digital Identity Wallet die volle Kontrolle behalten soll. Über die Nutzung der Wallet soll der Herausgeber keine Informationen sammeln, die nicht notwendig für die Wallet-Dienstleistungen sind. Datenschutzexperte und Informatiker Lukasz Olejnik rät jedoch wegen dieser sensiblen Nutzungsdaten in seiner Stellungnahme, die Rechte der Nutzer weiter zu stärken und zusätzlich vorzuschreiben, dass nicht mehr benötigte, aber bereits gesammelte Daten über die Wallet-Nutzung gelöscht werden sollen. Mehr als zwei Jahre sollten sie keinesfalls festgehalten werden, so Olejnik, wünschenswert wäre eine viel kürzere Frist von nur einem Monat.

Lohninger kritisiert, dass nicht schon von vornherein ein technischer Ansatz vorgeschrieben werde, um die Nutzungsdaten beim Wallet-Herausgeber zu minimieren. Er optiert für eine technische Infrastruktur, die eine Informationssammlung beim Herausgeber weitgehend unterbinde. Die entsprechende Passage müsse schon deswegen geändert werden, weil das Vertrauen der potentiellen Nutzer in die ID-Wallet durch technische Maßnahmen zum Datenschutz viel deutlicher gestärkt werden müsse. Denn ohne Vertrauen seitens der Nutzer drohe das ganze Vorhaben zu scheitern.

Damit die ID-Wallet breite Akzeptanz findet, muss es neben dem Vertrauensvorschuss auch möglichst viele Angebote geben, die von Menschen genutzt werden könnten. Sonst endet der Vorschlag vielleicht wie die deutsche eID im Personalausweis, die – selbst nachdem sie per Gesetz zwingend aktiviert ist – noch immer kaum Nutzer findet. Der Entwurf der Verordnung sieht daher eine Verpflichtung zur Akzeptanz der ID-Wallet bei Staat und Wirtschaft vor, versucht also durch eine vielfältige Angebotsseite die Nutzung anzuregen. Die sehr großen Plattformbetreiber sollen daher mitmachen müssen, aber auch eine ganze Reihe anderer Wirtschaftsbranchen, etwa Transport, Energie, Banken, Gesundheit, Post, Telekommunikation und weitere sollen verpflichtet werden.

Die IT-Sicherheit bei Smartphones

Ein in der Anhörung vielfach vorgebrachter Kritikpunkt ist das Fehlen vieler rechtlicher und technischer Details für das Design und die Nutzungsmöglichkeiten der Wallet: Das mache eine Risikoanalyse und eine sinnvolle Datenschutz-Folgenabschätzung im Sinne der Datenschutzgrundverordnung fast unmöglich, so Lohninger. Das betonte auch der Europäische Datenschutzbeauftragte Wiewiórowski, der anmerkte, eine Prüfung, ob alle Standards der DSGVO eingehalten werden, sei aktuell nicht möglich.

Schwierig sei zudem, dass die IT-Sicherheit der ID-Wallet als App von der IT-Sicherheit von Smartphones abhänge, sagte Lohninger. Das stelle viele Menschen vor Probleme, etwa wenn sie nicht die finanziellen Mittel hätten, um neuere Smartphones mit regelmäßigen Updates zu nutzen. Schon deswegen müsse in die Vorschläge zur ID-Wallet eine Anti-Diskriminierungsklausel hinein, damit nicht Menschen mit weniger Geld nach der Einführung der Digital-Brieftasche auch noch Aufpreise zahlen müssen, wenn sie diese digitale Identität nicht nutzen können. In seinem Heimatland Österreich sei das bereits zu beobachten.

Millionen Browser-Nutzer gefährdet

Besonders in der Kritik von Seiten vieler IT-Experten steht auch der geplante Artikel 45 der Verordnung. Darin geht es um Zertifikate in Browsern. Solche Zertifikate werden von Certificate Authorities (CAs) verwaltet. Sie haben eine Funktion wie ein Notar, der beglaubigt, dass Zertifikate echt sind. Der Kommissionsvorschlag würde eine staatliche Zertifikatsinfrastruktur über solche CAs in Browsern verpflichtend vorschreiben. Lukasz Olejnik hält das Vorhaben in seiner Stellungnahme für hochgefährlich und schlägt vor, den Artikel 45 wegen seiner potentiellen Auswirkungen auf die IT-Sicherheit und auf Grundrechte komplett zu streichen oder aber mindestens statt einer Verpflichtung eine Opt-In-Lösung aufzunehmen.

Die Electronic Frontier Foundation fand in einer im Dezember veröffentlichten Stellungnahme deutliche Worte, was die Folgen angeht, würde der Vorschlag so in Kraft treten: „Die Sicherheit von HTTPS im Browser könnte um vieles schlimmer werden.“ Millionen Browser-Nutzer wären außerdem betroffen. Auch Lohninger kritisiert, dass der Vorschlag für die IT-Sicherheit von Browsern gefährlich wäre und verheerende Konsequenzen („devastating consequences“) drohen würden. Er appellierte bei der Anhörung an die EU-Parlamentarier: „Please don’t break the web!“

---

Hilf mit! Mit Deiner finanziellen Hilfe unterstützt Du unabhängigen Journalismus.