EUDI Wallet und Altersverifikation: die Volljährigkeit nachweisen, ohne die Identität preiszugeben

Kurz gesagt: Die europäische Brieftasche für die digitale Identität, vorgesehen durch die Verordnung eIDAS 2.0 (Verordnung (EU) 2024/1183), wird die Altersprüfung unionsweit harmonisieren. Dank der selektiven Offenlegung kann ein Bürger nachweisen, dass er volljährig ist, ohne sein Geburtsdatum oder seine vollständige Identität preiszugeben.

‍

Für Plattformen, die sensible Inhalte verbreiten, ist das die Aussicht, Compliance und Datensparsamkeit zu vereinbaren. Vorausgesetzt, sie antizipieren die hybride Phase, die Ausweichlösungen und das Betrugsrisiko, denn ein Alter nachzuweisen genügt nicht immer, um nachzuweisen, wer dieses Alter vorlegt.

‍

Die Altersverifikation im Internet ist zu einem politischen, regulatorischen und technischen Thema geworden. Lange auf ein einfaches anzukreuzendes Kästchen „Ich bin über 18 Jahre alt" reduziert, steht sie heute im Zentrum der Debatten über den Schutz Minderjähriger. Die europäische Brieftasche für die digitale Identität bringt eine neue Antwort: ein Alter nachzuweisen, ohne eine Identität preiszugeben.

‍

Warum die Altersverifikation zum Thema wird

‍

Der regulatorische Druck beim Schutz Minderjähriger im Internet wächst unaufhörlich. Plattformen, die Zugang zu sensiblen Inhalten gewähren, sind nunmehr verpflichtet, zuverlässige Verfahren zur Altersprüfung (das bekannte Age-Gating) einzurichten, und nicht mehr nur eine einfache Selbsterklärung.

‍

Das Problem ist bekannt. Die herkömmlichen Methoden stellen zwei schwer vereinbare Logiken gegenüber:

• Das anzukreuzende Kästchen ist datenschutzfreundlich, aber völlig wirkungslos: jeder Minderjährige kann klicken.
• Das Übermitteln eines Ausweisdokuments oder eines Scans der Bankkarte ist zuverlässiger, gibt aber sensible personenbezogene Daten preis, schafft Datenbanken mit hohem Risiko und schreckt legitime Nutzer ab.

‍

Die Forderung des Marktes und der Regulierungsbehörden ist klar: Lösungen zur Altersverifikation, die zugleich zuverlässig und datenschutzfreundlich sind. Genau das adressiert die europäische Brieftasche.

‍

Wie die Brieftasche das Alter nachweist, ohne die Identität preiszugeben

‍

Die Verordnung eIDAS 2.0 harmonisiert unionsweit die elektronische Identifizierung und die Altersprüfung. Jeder Mitgliedstaat wird eine Brieftasche für die digitale Identität anbieten, in der der Bürger überprüfte Attribute speichert (Identität, Alter, Diplome, Führerscheine usw.).

Der zentrale Mechanismus heißt selektive Offenlegung (selective disclosure). Er erlaubt es, nur ein bestimmtes Attribut zu teilen, ohne die übrigen in der Brieftasche enthaltenen Informationen preiszugeben.

‍

Das Beispiel „volljährig / minderjährig"

‍

Nehmen wir einen Nutzer, der auf einen Dienst zugreifen möchte, der volljährigen Personen vorbehalten ist. Mit einem klassischen Ausweisdokument übermittelt er seinen Namen, seinen Vornamen, sein Foto, seine Dokumentennummer und sein vollständiges Geburtsdatum. Die Plattform erfährt also alles über ihn, obwohl sie nur eine einzige Information benötigt.

Mit der Brieftasche und der selektiven Offenlegung ändert sich der Prozess grundlegend:

• Der Nutzer erhält eine Anfrage: „Ist diese Person volljährig?"
• Seine Brieftasche antwortet mit einem einfachen überprüften Attribut: „Ja, über 18 Jahre alt".
• Die Plattform erfährt weder das Geburtsdatum noch den Namen noch die vollständige Identität.

‍

Das Ergebnis: Die Plattform erhält den Nachweis, den sie zur Einhaltung der Vorschriften benötigt, ohne jemals sensible Daten zu erheben. Man spricht mitunter von einem Attribut „proof of age" oder von einem Altersnachweis ohne Datenpreisgabe.

‍

Wer betroffen ist

‍

Die Altersverifikation über die Brieftasche betrifft alle Akteure, deren Zugang von einer gesetzlichen Altersgrenze abhängt. Als Erste betroffen sind:

• Plattformen für Inhalte für Erwachsene, in vorderster Linie der Verpflichtungen zur Altersprüfung.
• Der Verkauf von Alkohol und von Produkten mit Beschränkungen (Tabak, E-Zigaretten) im Internet.
• Online-Glücksspiel und Wetten, Sportwetten und Online-Casinos, bereits stark reguliert.
• Soziale Netzwerke und digitale Dienste, die wachsenden Anforderungen an den Schutz Minderjähriger unterliegen.
• Allgemeiner jeder E-Commerce-Dienst, der volljährigen Personen vorbehaltene Produkte verkauft.

‍

Für diese Akteure stellt die Brieftasche eine Chance dar: ihre Compliance nachzuweisen und zugleich die Menge der gespeicherten personenbezogenen Daten zu reduzieren, also ihre Angriffsfläche im Fall eines Sicherheitsvorfalls.

‍

Die zu antizipierenden Grenzen

‍

Die Brieftasche löst nicht alles, und ihre Einführung erfordert mehrere Aufmerksamkeitspunkte.

Die hybride Phase. Nicht alle Bürger verfügen sofort über eine Brieftasche. Über mehrere Jahre hinweg wird sich ein Teil des Publikums weiterhin ohne digitale Brieftasche vorstellen. Die Plattformen müssen daher alternative Methoden zur Altersverifikation vorsehen und sich nicht ausschließlich auf die Brieftasche stützen.

‍

Die Ausweichlösung (Fallback). Ein robuster Prozess muss Ausweichlösungen für nicht ausgestattete Nutzer einbeziehen und dabei dasselbe Zuverlässigkeitsniveau gewährleisten. Es geht darum zu verhindern, dass die Ausweichlösung zur Schwachstelle wird, über die die Kontrollen umgangen werden.

‍

Der Betrug. Die Altersprüfung ersetzt nicht die Betrugsbekämpfung. Ein Attribut „volljährig" bleibt ein Attribut: es kann von einem Dritten vorgelegt werden. Ein Minderjähriger könnte zum Beispiel die Brieftasche eines Erwachsenen verwenden. Wenn viel auf dem Spiel steht (Kredit, Kontoeröffnung, hohe Beträge), bleibt es unerlässlich, den Altersnachweis mit einer Überprüfung des Inhabers zu koppeln, das heißt sicherzustellen, dass die Person, die das Attribut vorlegt, tatsächlich diejenige ist, der es gehört. Hier kommt die Betrugserkennung und Identitätsprüfung ins Spiel.

‍

Wie man sich vorbereitet

‍

Für die betroffenen Akteure besteht die Vorbereitung nicht darin, die flächendeckende Einführung der Brieftasche abzuwarten, sondern schon jetzt Prozesse aufzubauen, die bereit sind, sie aufzunehmen. Einige nützliche Reflexe:

• Ihre Pflichten kartieren: genau die Stellen Ihres Prozesses identifizieren, an denen eine Altersgrenze gilt.
• Datensparsamkeit bevorzugen: nur das notwendige Attribut abfragen („volljährig") statt der vollständigen Identität, im Sinne von Privacy by Design.
• Den hybriden Modus vorsehen: die Brieftasche anbieten, wenn sie verfügbar ist, und eine zuverlässige alternative Methode für die anderen.
• Das Kontrollniveau je nach Einsatz kalibrieren: ein einfacher Altersnachweis kann für den Zugang zu einem Inhalt genügen, aber eine verstärkte Überprüfung des Inhabers ist zwingend, sobald das finanzielle Risiko oder das Betrugsrisiko hoch ist.
• Jede Entscheidung dokumentieren, um im Fall einer Kontrolle die Einhaltung der Vorschriften nachweisen zu können.

‍

Fazit

‍

Die europäische Brieftasche verändert die Ausgangslage für die Altersverifikation im Internet. Indem sie den Nachweis „volljährig / über 18 Jahre alt" ohne Preisgabe der Identität ermöglicht, versöhnt sie endlich zwei lange gegensätzliche Anforderungen: die Compliance und den Schutz der Privatsphäre. Für Plattformen mit Inhalten für Erwachsene, den Verkauf von Alkohol, das Glücksspiel oder soziale Netzwerke ist sie ein wertvolles Werkzeug, um die Volljährigkeit online nachzuweisen und dabei weniger sensible Daten zu erheben.

‍

Dennoch ist die Altersprüfung nur ein Baustein. Während der hybriden Phase wird man mit Ausweichlösungen umgehen müssen, und vor allem nie vergessen, dass ein Alter nachzuweisen nicht bedeutet, eine Person nachzuweisen. Die Brieftasche mit einer dynamischen Betrugserkennung zu koppeln bleibt der beste Weg, um eine regulatorische Pflicht in einen Prozess zu verwandeln, der zugleich konform, reibungslos und sicher ist.

‍

Quellen: Verordnung (EU) 2024/1183 (eIDAS 2.0); Europäische Kommission, Rahmen der European Digital Identity Wallet (EUDI Wallet) und Referenzarchitektur (ARF).

‍