Bei der Identitätsprüfung bringt der Geprüfte den Ausweis mit

Ein abfotografierter Personalausweis, hochgeladen in ein Formularfeld, und der Zugang steht offen. Auf diesem Weg wird im Netz festgestellt, wer jemand ist. Geprüft wird dabei das Dokument. Ob es dem gehört, der es hochlädt, ist eine zweite Frage, und sie wird selten gestellt.

Der gemeinsame Warnhinweis von elf Regierungen zu nordkoreanischen IT-Fachkräften vom 31. Juli 2026 empfiehlt Plattformen und Auftraggebern ausdrücklich die „Verbesserung von Identitätsprüfungsverfahren (strenge Prüfung von Ausweisdokumenten, Bestehen auf persönlichen Vorstellungsgesprächen usw.)“. Ein paar Absätze weiter hält dasselbe Papier fest, woher die vorgelegten Ausweisbilder stammen: von Dritten, „etwa Mittelsmänner in Drittstaaten“. Verfasst haben den Hinweis die Staaten, die das Sanktionsregime durchsetzen und denen er zugleich Maßnahmen empfiehlt. Die Ausgabe „IT-Fachkräfte aus Nordkorea: Ausweisprüfung längst umgangen“ vom 2. August 2026 hat die Merkmalsliste durchgezählt, die das Papier für Verdachtsfälle vorgibt: von fünfzehn Auffälligkeitsmerkmalen fragt genau eines nach der Echtheit des Dokuments¹, zwei weitere benutzen den Ausweis als Vergleichsgröße, die übrigen zwölf zielen auf Kontodaten, Arbeitszeiten, IP-Adressen und Bezahlwege.

Dahinter liegt eine Frage, die den Anlass überdauert: Was leistet eine Prüfung am Eingang, deren Beweismittel derjenige mitbringt, der geprüft werden soll?

Ein echter Ausweis in fremder Hand besteht die halbe Prüfung#

NIST SP 800-63A, Revision 4² vom 26. August 2025 trennt genau hier zwei Schritte, die im Alltag zusammenfallen. Der erste prüft das Dokument: „The goal of identity evidence validation is to determine that the collected identity evidence is genuine and valid.“ Der zweite prüft die Bindung an den Menschen, der es vorlegt: „The goal of identity verification is to establish the linkage between the claimed validated identity and the real-life applicant.“ Ein echtes Dokument, das einer anderen Person gehört, besteht den ersten Schritt vollständig und kann erst am zweiten scheitern. Persönliche Anwesenheit verlangt der Standard allein auf der höchsten seiner drei Vertrauensstufen, IAL3.

Für die Fernprüfung beschreibt derselbe Text, was gegen den zweiten Schritt läuft: Angriffe, die digitale Einspeisung mit generativen Werkzeugen kombinieren, um „automated document validation processes, biometric operations, and visual comparisons“ zu überwinden. Verlangt werden dagegen technische Nachweise, dass die Aufnahme von einem echten Sensor stammt. Der Warnhinweis der elf Regierungen zielt auf dieselbe Stelle, wenn er unter seinen Merkmalen Video-Übertragungen aufführt, die manipuliert oder künstlich erzeugt wirken.

Südkoreas Namenspflicht galt anfangs ab 300.000 Besuchern am Tag#

Die frühere Einschätzung war falsch. Die Ausgabe vom 26. Juli 2026 hat Südkoreas Klarnamenpflicht als über fünf Jahre gemessenen Realversuch³ geführt und die Schwelle mit 100.000 Besuchern am Tag angegeben, ab der eine Website den Klarnamen ihrer Besucher erheben musste. Zum Start im Juli 2007 lag sie bei 300.000; das Yale Journal of International Affairs⁴ nennt diesen Wert für die erste Fassung. Die 100.000 kamen 2009, und erst mit ihnen erfasste die Pflicht praktisch jede große Seite des Landes. Auch die in der Ausgabe zitierte Darstellung datiert die niedrigere Schwelle auf dieses Jahr. Zwei Stände derselben Vorschrift sind dort in einen Satz gezogen worden.

Am Befund der Ausgabe ändert das nichts. Der Anteil beleidigender Beiträge sank in der Erhebung, auf die sie sich stützt, von 13,9 Prozent um 0,9 Prozentpunkte. Gemessen hat das die Korea Communications Commission, also die Behörde, die die Pflicht durchsetzte und ihre eigene Wirkung erhob; verbreitet wurde die Zahl von einer Bürgerrechtsorganisation, die die Pflicht ablehnt. Im August 2012 kippte das Verfassungsgericht die Regel, nachdem bei einem einzelnen Vorfall die Daten von 35 Millionen Nutzern abgeflossen waren.

Aus fünf Pilotstaaten der EU-Altersprüfung sind sieben geworden#

Nicht mehr richtig ist eine Zahl aus der Ausgabe vom 13. Juli 2026: Damals fehlte der EU-Lösung zur Altersprüfung der geforderte Zero-Knowledge-Beweis⁵, erprobt wurde sie in fünf Pilotstaaten. Das stimmte zum Zeitpunkt der Ausgabe. Inzwischen führt das Portal der Lösung sieben Staaten⁶, Zypern und Irland sind hinzugekommen, weitere werden im Lauf des Jahres 2026 erwartet. Betrieben wird das Portal von der Europäischen Kommission, die die Lösung in Auftrag gegeben hat und ihren Mitgliedstaaten den Rollout empfiehlt.

Der technische Punkt, an dem die Ausgabe damals hakte, steht unverändert: In Annex B derselben Dokumentation wird der Zero-Knowledge-Beweis weiterhin als „experimental feature“ geführt, während die Startseite die Datensparsamkeit der Lösung auf ihn stützt.

Eine Übersicht der Altersprüfverfahren von Wouter Lueks, Stephan Dreyer, Hannes Federrath und Thorsten Simon, eingereicht am 26. März 2026, ordnet die Verfahren nach Verifikation, Schätzung und Inferenz und benennt als Grenze der Wirksamkeit ausdrücklich die Möglichkeit der Umgehung; die Nebenwirkungen treffen nach Darstellung der Autoren alle Nutzer, nicht nur die Gruppe, deren Alter festgestellt werden soll. Messzahlen führt die Arbeit dazu nicht.

Nach der Einführung wird der Kreis der Geprüften neu gezogen#

Beide Korrekturen zeigen dieselbe Bewegung, und keine der beiden Ausgaben konnte sie für sich sehen: Eine Eingangsprüfung wird mit einer engen Zahl eingeführt, danach verschiebt sich ihr Geltungsbereich, und im Umlauf bleibt die Zahl von der Einführung. Südkorea senkte die Schwelle binnen zwei Jahren von 300.000 auf 100.000 Besucher am Tag, die EU-Altersprüfung wuchs von fünf auf sieben Pilotstaaten.

Australien zeigt, dass die Bewegung auch in die andere Richtung laufen kann. Das Mindestalter für soziale Medien gilt dort seit dem 10. Dezember 2025. Am 25. März 2026 wurde eine Änderungsverordnung⁷ registriert, die eine zusätzliche Bedingung einzieht: Erfasst ist ein Dienst nur noch dann, wenn er eine Empfehlungsfunktion oder eine Anmeldefunktion führt. Die Begründung nennt das eine klarer zugeschnittene Definition; wer keine solche Funktion führt, muss die Altersprüfung nicht mehr durchführen. Zwischen dem Inkrafttreten der Pflicht und der neuen Abgrenzung liegen 106 Tage, aus beiden Daten gerechnet und nicht dem Text entnommen.

Wo die Reichweite einer solchen Pflicht wirklich steht, ist nach einiger Zeit nicht mehr die ursprüngliche Regel, sondern der nachgereichte Paragraph, die gesenkte Schwelle, die Liste der teilnehmenden Staaten. Wer sie angibt, nennt einen Stand, keine Eigenschaft.

Die Zahl der Pilotstaaten ist seit dem 13. Juli gewachsen, der Status des Zero-Knowledge-Beweises ist derselbe geblieben: Die Pflicht breitet sich schneller aus als das Verfahren, das sie datensparsam machen soll. Und das hochgeladene Dokument beantwortet weiterhin die eine Frage, ob es echt ist. Die andere, wem es gehört, entscheidet ein zweiter Schritt, den die Fernprüfung nur eingeschränkt leistet.

Anlass war die Ausgabe „IT-Fachkräfte aus Nordkorea: Ausweisprüfung längst umgangen“, Am Rand gelesen, 02.08.2026 (christopher-helm.com). Ebenfalls herangezogen: „Klarnamenpflicht: 0,9 Prozentpunkte weniger Beleidigungen“ (26.07.2026, christopher-helm.com) und „Altersverifikation: Der EU-App fehlt der geforderte Beweis“ (13.07.2026, christopher-helm.com). Erneut geprüft wurden: der gemeinsame Warnhinweis von elf Regierungen⁸ (Auswärtiges Amt, 31.07.2026), die Schwelle der südkoreanischen Namenspflicht (Yale Journal of International Affairs; Erhebung der Korea Communications Commission, verbreitet von Global Voices Advox; Korea Herald zum Urteil des Verfassungsgerichts vom 23.08.2012) und der Stand der EU-Altersprüfung (ageverification.dev, Europäische Kommission). Neu hinzugekommen sind NIST SP 800-63A Revision 4 pages.nist.gov ↗ (26.08.2025), die australische Änderungsverordnung F2026L00370 legislation.gov.au ↗ (25.03.2026) sowie die Übersicht zu Altersprüfverfahren⁹ von Lueks, Dreyer, Federrath und Simon (26.03.2026).