Am 31. Juli 2026 unterzeichnete der Gouverneur von Illinois das Gesetz zur Sicherheit von Kindern in sozialen Medien (HB5511). Neben der Verpflichtung sozialer Netzwerke zum Schutz von Minderjährigen enthält der Gesetzestext eine weitreichende Neuerung: Ab 2028 müssen die Betriebssysteme von Smartphones und Computern das Alter ihrer Nutzer verifizieren und diese Information an jede anfragende App weiterleiten. Befürworter feiern das Gesetz als Durchbruch beim Jugendschutz. In globalen Entwicklerforen herrscht jedoch Entsetzen – denn wie diese Vorgabe technisch umgesetzt werden soll, weiß bislang niemand.
Ein Jugendschutzgesetz, das plötzlich auch Betriebssysteme reglementiert
Der primäre Zweck des Gesetzes betrifft soziale Netzwerke mit bekannten Einschränkungen: Minderjährige müssen standardmäßig einen chronologischen Feed erhalten (algorithmische Empfehlungs-Feeds sind untersagt); Push-Benachrichtigungen an Minderjährige sind zwischen 22:00 Uhr und 07:00 Uhr verboten; und fremden Erwachsenen ist es untersagt, Profile von Minderjährigen einzusehen oder ihnen Direktnachrichten zu senden. Namen wie TikTok, Instagram und Snapchat wurden in Pressemitteilungen hervorgehoben, was das Vorhaben wie ein gewöhnliches Onlineschutzgesetz für Kinder aussehen ließ.
Weitgehend unbeachtet blieb jedoch der zweite Teil. Das Gesetz definiert eine neue Kategorie: „Betriebssystemanbieter“, und fasst Smartphone-Hersteller, OS-Entwickler und App-Stores unter dem Begriff der „erfassten Hersteller“ zusammen. Bis zum 1. Januar 2028 müssen diese Anbieter im Einrichtungsprozess der Geräte eine Abfrage des Geburtsdatums integrieren. Das Betriebssystem ordnet die Eingabe einer von vier Altersgruppen zu – unter 13 Jahre, 13 bis 15 Jahre, 16 bis 17 Jahre sowie 18 Jahre und älter – und speichert dieses Ergebnis. Fragt eine App die Altersstufe ab, übermittelt das OS diese Information über eine verschlüsselte Schnittstelle. Sobald eine App erfährt, dass der Nutzer minderjährig ist, treten die entsprechenden Schutzbestimmungen automatisch in Kraft.
Das Gesetz passierte das Parlament von Illinois nahezu ohne Widerstand: mit 57 zu 0 Stimmen im Senat und 113 zu 0 Stimmen im Repräsentantenhaus. Auffällig sind die widersprüchlichen Angaben zu den Strafen: Während im Gesetzestext Zivilstrafen von 2.500 US-Dollar pro betroffenem Kind bei fahrlässigen und 7.500 US-Dollar bei vorsätzlichen Verstößen festgeschrieben sind, sprach die Pressemitteilung des Gouverneursbüros von bis zu 50.000 US-Dollar pro Verstoß. Die Diskrepanz wurde in den offiziellen Dokumenten nicht erklärt. Dass ein Gesetz, das Hunderte Millionen Geräte regulieren soll, nicht einmal einheitliche Strafmaße ausweist, zeigt deutlich: Bei der Verabschiedung hat kaum jemand die technischen Details genau geprüft.
Wie soll ein Smartphone das Alter „wissen“? Eine unbeantwortete Frage
Das Gesetz verlangt von Betriebssystemen eine „Verifizierung“ des Alters, schweigt sich jedoch völlig darüber aus, wie diese genau erfolgen soll. Dies ist der Kern der gesamten Kontroverse.
Nach dem aktuellen Wortlaut läuft die Anforderung auf eine reine Selbstauskunft hinaus: eine Abfrage des Geburtsdatums bei der Ersteinrichtung des Geräts. Es gibt keinen Ausweis-Scan, keine Gesichtserkennung und keinen Unterschied zur Geburtsdatumsabfrage bei der Registrierung auf einer Website – außer dass nicht mehr jede App einzeln fragt, sondern das OS einmalig. Was schlicht klingt, hat eine fundamentale Schwachstelle: Jeder kann falsche Angaben machen. Ein 10-jähriges Kind kann als Geburtsjahr 1990 eingeben, und ein von den Eltern eingerichtetes Gerät kann vom Kind später problemlos umkonfiguriert werden. Auf OS-Ebene existiert kein Mechanismus, der die Richtigkeit der Angabe überprüft.
Foto: Berichterstattungsbild. Quelle: TechTimes (Foto: Gaelle Marcel / Unsplash)
Befürworter argumentieren, dass dies immer noch besser sei als der Status quo und Eltern bei der Einrichtung einen Anhaltspunkt biete. Kritiker vergleichen die Maßnahme dagegen mit einem Pförtner, der am Haupteingang eines Gebäudes Ausweise kontrolliert, während hunderte Nebeneingänge, Notausgänge und Tiefgaragen völlig unbewacht bleiben. Noch gravierender ist die Befürchtung für die Zukunft: Sobald sich die Selbstauskunft als unwirksam erweist, werden Gesetzgeber zwangsläufig nachrüsten – mit Ausweis-Uploads, Gesichtsscans oder der Anbindung an kommerzielle Identitätsprüfer. Dann bedeutete „Altersverifizierung“ nicht mehr die Eingabe einer Zahl, sondern die Preisgabe sensibler Identitätsdaten aller Erwachsenen.
Das Open-Source-Dilemma: Wenn das Gesetz niemanden zum Belangen findet
Warum reagiert die Entwicklerszene so aufgebracht? Weil das Gesetz bei Open-Source-Betriebssystemen wie Linux schlicht ins Leere läuft. Bei kommerziellen Systemen wie iOS, Android oder Windows stehen Konzerne wie Apple, Google oder Microsoft dahinter, die juristisch belangt werden können. Open-Source-Systeme besitzen jedoch weder ein zentrales Kontensystem noch einen zentralen App-Store oder eine Firmenidentität. Jeder kann den Quellcode frei herunterladen, anpassen und neu kompilieren – man könnte eine einzige Codezeile ändern, sodass das System gegenüber Anfragen immer „volljährig“ meldet, und diesen Build weltweit verbreiten.
In einer Diskussion auf Hacker News mit über 300 Kommentaren entlud sich dieser Konflikt in einem offenen Schlagabtausch. Der Gründer eines Open-Source-Projekts erklärte, er werde eine solche Funktion niemals einbauen und ginge lieber ins Gefängnis, als diesen Code zu schreiben. Ein Nutzer, der sich als Anwalt zu erkennen gab, warnte, dass Gerichte über vielfältige Druckmittel von Verkaufsverboten bis hin zu hohen Geldstrafen verfügten, und riet ihm zur Rechtsberatung. Ein anderer Forenteilnehmer hielt den lateinischen Rechtsgrundsatz „Das Gesetz verlangt nichts Unmögliches“ (lex non cogit ad impossibilia) entgegen, worauf der Anwalt erwiderte: „Technische Unmöglichkeit war vor Gericht noch nie ein Verteidigungsgrund.“ Beide Seiten blieben unversöhnlich.
Zusätzliche Absurdität entsteht durch die extrem weite Definition des Gesetzestextes. HB5511 definiert einen „Betriebssystemanbieter“ als jede kommerzielle oder gemeinnützige Entität, die das OS eines internetfähigen Geräts steuert. Unter diese Definition fallen folglich auch Server, virtuelle Maschinen, smarte Kühlschränke und vernetzte Fahrzeuge. Ingenieure scherzten in Foren: Wenn man in Illinois einen Linux-Server startet, muss man dann vor dem Booten erst sein Alter nachweisen? Ein Headless-Server für reine Rechenaufgaben besitzt nicht einmal einen Bildschirm, auf dem jemand „Ich bin über 18“ anklicken könnte.
Was eine echte „Verifizierung“ tatsächlich kosten würde
Eine reine Selbstauskunft schützt niemanden, während eine echte Verifizierung extrem teuer und datenschutzrechtlich gefährlich ist – ein Dilemma, vor dem Bürgerrechtsorganisationen eindringlich warnen. Die Electronic Frontier Foundation (EFF) forderte Gouverneur Pritzker vor der Unterzeichnung in einem offenen Brief zum Veto auf und bezeichnete das Gesetz als „Albtraum für Datenschutz und Meinungsfreiheit“. Auch die ACLU von Illinois sowie Branchenverbände, die Google und Meta vertreten, stellten sich ungewöhnlich geschlossen gegen das Vorhaben.
Die Bedenken stützen sich auf reale Vorfälle. Kommerzielle Identitätsprüfer weisen eine erschreckende Bilanz bei der Datensicherheit auf. Ein israelischer Anbieter, der Verifizierungen für TikTok und Uber durchführte, ließ administrative Zugangsdaten 18 Monate lang in öffentlichen Kanälen offen liegen; geleakt wurden Namen, Geburtsdaten, Sozialversicherungsnummern und Ausweisdokumente. Ein britischer Prüfdienst wurde dieses Jahr von spanischen Regulierungsbehörden zu einer Strafe von rund 1,1 Millionen US-Dollar verurteilt, weil er biometrische Daten rechtswidrig verarbeitet hatte. Auch bei der im vergangenen Jahr von Discord eingeführten Altersprüfung kam es bei einem Drittanbieter zum Datenleck von Regierungsausweisen. Nach dem Inkrafttreten eines ähnlichen Gesetzes in Florida stieg die lokale VPN-Nachfrage schlagartig um 1.150 % – ein klarer Beleg dafür, dass solche Gesetze vor allem die Nutzung von Umgehungswerkzeugen anfeuern, anstatt den Zugriff durch Minderjährige effektiv zu verhindern.
Illinois wiederholt die Fehler, die andere Bundesstaaten zu vermeiden suchten
Das Konzept der Altersverifizierung auf OS-Ebene stammt ursprünglich aus Gesetzesinitiativen in Kalifornien und Colorado. Beide Staaten stießen jedoch auf dasselbe Problem: Zu weite Definitionen erfassten ungewollt auch die Open-Source-Community. Colorado fügte nach Interventionen von Systemgründern schließlich eine Ausnahmeregelung für Open-Source-Software ein, und Kalifornien arbeitet derzeit an entsprechenden Korrekturen. Illinois übernahm diese Nachbesserungen nicht, sondern kopierte die ursprüngliche, breite Fassung ohne jegliche Ausnahmen. Da Branchenverbände bereits in sechs US-Bundesstaaten Klagen gegen ähnliche Gesetze eingereicht haben – bisher mit unterschiedlichem Erfolg –, dürfte auch HB5511 vor Gericht landen oder vor dem geplanten Inkrafttreten 2028 überarbeitet werden.
Grafik: Berichterstattungscover zur Altersverifizierung auf OS-Ebene. Quelle: VPN Lab
Bis zum 1. Januar 2028 verbleibt noch über ein Jahr. Konzerne wie Apple, Google und Microsoft werden voraussichtlich eine einfache Bestätigungsmaske beim Gerätestart integrieren, um die Auflagen kostengünstig zu erfüllen. Die Open-Source-Community wird die Vorgabe aller Voraussicht nach ignorieren oder, wie ein Entwickler scherzhaft vorschlug, das Standard-Geburtsjahr in Installationsskripten in die Amtszeit von US-Präsident Nixon verlegen. Wie dieser Konflikt zwischen rechtlichem Zwang und technischer Realität ausgeht – ob das Gesetz greift, die Technik eine Lösung findet oder Gerichte das Vorhaben stoppen –, bleibt abzuwarten. Eines steht jedoch fest: Wenn „Jugendschutz“ bedeutet, dass jeder Bürger seinen Altersnachweis erbringen muss, zahlen am Ende auch jene Erwachsenen den Preis, die soziale Medien gar nicht nutzen.
Referenzlinks:
- LinuxStans: Analyse zum Gesetz Illinois HB5511
- Hacker News Diskussion (item?id=49249150)
- TechTimes: Bericht zum Jugendschutzgesetz in Illinois
- VPN Lab: Analyse der Unterzeichnung von HB 5511
- EFF: Veto-Aufruf an Gouverneur Pritzker
