Nutzt die EU-Altersverifikation wirklich Zero-Knowledge-Beweise?

Wer wissen will, was die künftige Altersprüfung im Netz kann, findet auf der Fragen-und-Antworten-Seite der EU-Kommission¹ einen eindeutigen Satz: „The app is based on state of the art zero-knowledge proof technology.“ Ein Zero-Knowledge-Proof ist ein kryptografischer Nachweis, der genau eine Aussage transportiert: alt genug zu sein. Kein Name, kein Geburtsdatum, keine Spur, an der sich später jemand entlangarbeiten könnte. Auf dasselbe Versprechen läuft der Halbsatz hinaus, mit dem die Meldung „EU-Experten empfehlen Social-Media-Verbot für unter 13-Jährige“ von Caspar Leder (AFP, dpa) am 13. Juli 2026 bei ZEIT ONLINE endet: Das Alter lasse sich nachweisen, „ohne persönliche Daten wie Name oder Geburtsdatum zu speichern oder an die großen Onlineplattformen weiterzugeben“. In der technischen Spezifikation derselben Lösung steht etwas anderes.

Der Bericht verlangt Altersverifikation ohne Ausweis und Biometrie#

Der am 13. Juli vorgelegte Bericht „Child Safety Online“ commission.europa.eu ↗ der Co-Vorsitzenden Jörg M. Fegert (Universitätsklinik Ulm) und Maria Melchior (Inserm) will kein Pauschalverbot: Unter 13 sollen Kinder altersgerechte Dienste zeitlich begrenzt nutzen dürfen, wenn Eltern zustimmen und begleiten; ab 13 wächst die Autonomie schrittweise, EU-weit harmonisiert als Mindestalter 13. Das Gremium weiß, dass ein Mindestalter nur so viel wert ist wie seine Prüfung, und formuliert auf Seite 18 harte Bedingungen: Die Altersprüfung darf nicht auf die Verarbeitung von Ausweisdokumenten oder biometrischen Daten hinauslaufen, und technische Standards wie Zero-Knowledge-Proofs sollen sicherstellen, dass weder die Plattform noch der Prüfdienst Informationen erhalten, die eine Verfolgung oder Identifizierung erlauben.

Wenige Zeilen später fordert dasselbe Gremium ein zweites Gesetz ein: Die Lücke, die das Auslaufen der Interim-Verordnung gegen sexuellen Kindesmissbrauch hinterlassen hat, müsse rasch geschlossen und die langfristige Verordnung zügig verabschiedet werden. Der Bericht begründet das damit, dass mehr als 80 Prozent der Ermittlungen zu sexuellem Kindesmissbrauch mit einer Meldung der Anbieter beginnen. Die Empfehlung zum Mindestalter steht damit neben dem Vorhaben, dessen Übergangsregeln bis 2028 verlängert wurden². Im September will die Kommission aus den Empfehlungen einen Gesetzesvorschlag machen.

Die Spezifikation führt Zero-Knowledge als Experiment für eine künftige Version#

Genau so eine Lösung lässt die Kommission seit Juli 2025 von Scytáles und T-Systems bauen. Seit dem 15. April 2026 ist sie einsatzfähig³, bis Ende 2026 soll sie in allen Mitgliedstaaten ausrollen; als Erste geben Zypern, Dänemark, Frankreich, Griechenland, Irland, Italien und Spanien sie an ihre Bürger aus. Ihre Anonymität stützt sich bisher aber nicht auf den geforderten Beweis. Laut technischer Spezifikation⁴ kommen die Altersnachweise in Batches von empfohlen 30 Einmal-Exemplaren aufs Gerät: Unverknüpfbarkeit per Vorrat, nicht per Mathematik. Eine nächste Fassung derselben Spezifikation, heißt es dort, werde den Zero-Knowledge-Beweis „als experimentelles Feature“ enthalten. Angekündigt hatte die Kommission ihn mit der zweiten Fassung ihres Blueprints im Oktober 2025 für das Jahresende⁵. Die Fragen-und-Antworten-Seite, zuletzt am 18. Mai 2026 aktualisiert, nennt den Zero-Knowledge-Beweis dagegen „a golden standard in privacy protection ensuring that users data is safe and tracking is prevented“ und schreibt der App damit genau die Eigenschaft zu, die der Bericht auf Seite 18 verlangt. Beide Auskünfte stammen von der Kommission, beide waren am 10. August 2026 abrufbar.

Die einsatzfähige App braucht ein Google-geprüftes Gerät#

Die Android-Referenz-App setzt zudem Googles Play-Integrity-Prüfung voraus⁶: Sie läuft nur auf Google-lizenzierten Geräten mit Google-Konto, freie Android-Systeme wie GrapheneOS oder LineageOS fallen heraus. Über den Zugang entscheidet das Gerät auch beim deutschen Pendant, dessen erste Ausbaustufe Anfang 2027 kommen soll und die Android 14 voraussetzt⁷. Als die Kommission ihre Pilot-App im April präsentierte, demonstrierte ein Sicherheitsforscher binnen zwei Minuten⁸, wie sich PIN-Schutz und Biometrie-Abfrage aushebeln lassen. Brüssel erklärte, es handle sich um eine Demo-Version.

In Australien besteht die Altersprüfung bisher meist aus Selbstauskunft#

Australien gilt im Bericht als Vorbild: Seit Dezember 2025 verbietet ein Gesetz Social Media für unter 16-Jährige. Die Regierung meldet mehr als fünf Millionen deaktivierte Konten jurist.org ↗ und plant zugleich schärfere Bußgelder. Was das Verbot in der Praxis erreicht, zeigt eine im Juni veröffentlichte BMJ-Befragung von 408 Jugendlichen⁹ in New South Wales: Drei Monate nach dem Start nutzten mehr als 85 Prozent der unter 16-Jährigen weiter die erfassten Plattformen, mehrheitlich mit eigenem Konto. Am häufigsten begegnete ihnen dabei die Selbstauskunft als Altersprüfung, 24 bis 39 Prozent je Plattform, gefolgt vom Selfie-Upload zur Altersschätzung, einer statistischen Schätzung, die wie KI-Detektoren mit ihren Fehlalarmen¹⁰ Wahrscheinlichkeiten liefert, keine Nachweise.

Die 13 stammt aus einem US-Gesetz von 1998#

Der Children’s Online Privacy Protection Act verbot 1998 in den USA die Datensammlung bei unter 13-Jährigen ohne Elternzustimmung; die Plattformen setzten ihr AGB-Mindestalter daraufhin weltweit auf 13. Die Grenze war ein Verhandlungsergebnis zwischen Gesetzgeber und Industrie fosi.org ↗. Europa hat sich nie festgelegt: Die DSGVO erlaubt für die Daten-Einwilligung 13 bis 16 Jahre, neun Mitgliedstaaten wählten 16, darunter Deutschland. Was Jugendlichen im Feed angezeigt wird, regelt der Digital Services Act.

Ein EU-Mindestalter 13 kodifiziert im Kern die heutige AGB-Praxis; neu wäre allein die Pflicht, es wirksam zu prüfen. Ob diese Prüfung dann ohne Ausweis, ohne Biometrie und ohne Spur auskommt, entscheidet sich an zwei Terminen: am Gesetzesvorschlag im September und an der nächsten Fassung der technischen Spezifikation, die den Zero-Knowledge-Beweis vom Vorhaben zum Bestandteil machen soll. Für sie nennt die Kommission bisher kein Datum; der zuletzt genannte Termin, das Jahresende 2025, liegt gut sieben Monate zurück.

Anlass war die Meldung „EU-Experten empfehlen Social-Media-Verbot für unter 13-Jährige“ von Caspar Leder (AFP, dpa), ZEIT ONLINE, 13.07.2026. Aus ihr stammen der zitierte Satz zur EUDI-Wallet, deren Deutschland-Start Anfang 2027, der September-Termin für den Gesetzesvorschlag und der Hinweis auf Australien. Alle übrigen Befunde aus eigener Recherche: Empfehlungen, Prüf-Bedingungen und die Forderung zur CSA-Verordnung im Bericht „Child Safety Online“ (EU-Kommission, commission.europa.eu, 13.07.2026, S. 6 und 18); „state of the art zero-knowledge proof technology“ und die sieben Erstausgeber (EU-Kommission, digital-strategy.ec.europa.eu, Fragen und Antworten zur EU-Altersverifikation, Stand 18.05.2026); EU-Altersverifikation einsatzfähig seit 15.04.2026, Rollout Ende 2026, Entwickler Scytáles/T-Systems (digital-strategy.ec.europa.eu); Batch-Ausgabe zu 30 Einmal-Nachweisen und Zero-Knowledge-Proofs als experimentelles Feature einer nächsten Fassung (technische Spezifikation, ageverification.dev); ZKP-Ankündigung „vor Jahresende“ (EU-Kommission, 10.10.2025); Play-Integrity-Pflicht und Kritik (heise online, 29.07.2025); Sicherheitsdemonstration an der Pilot-App (heise online, 17.04.2026); erste Ausbaustufe der deutschen EUDI-Wallet Anfang 2027 (BMDS, bmds.bund.de, Stand 16.07.2026); Australien-Zahlen (BMJ, doi 10.1136/bmj-2026-363695, Pressemitteilung bmjgroup.com, 24.06.2026; Regierungsangaben nach jurist.org, 30.06.2026); Herkunft der 13-Jahres-Grenze (COPPA 1998, fosi.org); DSGVO-Einwilligungsalter (Art. 8 DSGVO, Länderstände nach dem Panel-Bericht, Ende 2025). Alle Primärquellen am 10.08.2026 erneut abgerufen.