Im Januar ist bekanntlich das Referendum gegen das “Bundesgesetz über den Jugendschutz in den Bereichen Film und Videospiele“ gescheitert, wir haben damals in zwei Beiträgen (Die Schweiz führt eines der internetfeindlichsten Gesetze Europas ein- und niemanden interessierts, Jugendschutzgesetz in den Medien, ein kleiner Faktencheck) aufgezeigt, welche Nachteile und Gefahren dieses Gesetz und insbesondere die obligatorische Alterskontrolle für den digitalen Zugang zu Videomaterial und Computer-Games mit sich bringt:
- ein Zugriff auf Video- und Spiele-Inhalte bedingt zwingend eine Identifikation (typischerweise in Form eines Logins) gegenüber dem jeweiligen Anbieter, sei das nun PlaySRF, Youtube oder TikTok,
- Google/Youtube & co. erhalten durch die Kontrollpflicht Zugang zu für die Zweitverwertung interessanten Userdaten wie das Alter, diese können sie gemäss den in den jeweiligen AGB festgelegten Bedingungen frei verwenden.
Politiker welche das Gesetz unterstützten, bezeichneten diese Gefahren als Fake News. So liess sich Matthias Aebischer im Bund wie folgt zitieren: “Es stimmt nicht, dass wir uns künftig mit dem Pass ausweisen müssen, um uns auf Youtube Filme anzuschauen”. Ständerat Matthias Michel bezeichnete im selben Artikel die Argumente als schlicht an den Haaren herbeigezogen. Auch das zuständige Bundesamt für Sozialversicherungen verwies als Antwort auf die Kritik auf die damals noch nicht öffentlich bekannte Verordnung zum Gesetz.
Schon die Antwort des Bundesrates auf eine Interpellation von Jörg Mäder liess befürchten, dass die Kritiker näher an der Realität lagen als die Befürworter. Nun liegt seit heute die Verordnung als Entwurf vor, Zeit also, um einen Blick hineinzuwerfen. Fokussiert haben wir dabei auf die Problematik der Abruf- und Plattform-Dienste.
Anforderungen an Abruf-Dienste
Abrufdienst: Dienst oder abtrennbarer Teil eines Dienstes, dessen Hauptzweck darin besteht, von der Anbieterin ausgewählte Filme oder Videospiele zum Abruf für die Allgemeinheit bereitzustellen, wobei die Konsumentinnen und Konsumenten den Zeitpunkt des Abrufs selbst wählen können
https://www.fedlex.admin.ch/eli/fga/2022/2406/de, Art. 5d
Das Gesetz sieht in Artikel 8 vor, dass Abrufdienste wie PlaySuisse oder Netflix zum Schutz Jugendlicher mindestens ein System zur Alterskontrolle vor der erstmaligen Nutzung anbieten müssen. In der Verordnung wird insbesondere konkretisiert, dass beim Einrichten eines User-Accounts die Altersermittlung über ein Verfahren erfolgen muss, welches üblicherweise eine korrekte Feststellung des Alters im Einzelfall erlaubt (mehr zu diesen Verfahren weiter unten im Text).
Trotz Verordnungsentwurf unklar bleibt beim ersten Lesen, ob Abrufdienste auch dann nur über User-Accounts nutzbar sind wenn sie keine für Minderjährige ungeeigneten Inhalte anbieten. Die Formulierung im Gesetz legt dies jedenfalls nahe:
Und auch die Ausführungen im erläuternden Bericht deuten eher darauf hin, dass dem Bundesamt eine generelle Registierungs- und Loginpflicht für sämtliche Abrufdienste verschwebt. Denn während der Bericht selbst die Möglichkeit solcher Dienste zumindest impliziert…
ist in der Verordnung selbst nur noch vom Anlegen eines Kontos die Rede. Dies wurde auf Rückfrage auch von vom Bundesamt für Sozialversicherungen bestätigt: Vor der erstmaligen Nutzung des jeweiligen Dienstes (also dem Abschluss eines Abos oder dem Einrichten eines Kontos) ist eine Alterskontrolle erforderlich. Die Möglichkeit eines frei zugänglichen Kinderangebots scheint nicht vorgesehen zu sein, da bei Abrufdiensten das Mindestalter unterschiedlich sein kann (im Unterschied zu Plattformdiensten, wo nur zwischen U18 und Ü18 unterschieden wird).
Bei diesen Konten ist man sogar bereit, die Benutzerfreundlichkeit zugunsten eines konsequenten Jugendschutzes zu opfern.
Mit anderen Worten:
- Sämtliche auf einer Abrufplattform angelegten Accounts werden in Zukunft per Default eine aktive Jugendschutzeinstellung haben müssen. Diese muss man als Erwachsener (gegen Altersnachweis) abschalten lassen um an Inhalte zu kommen welche nur für Erwachsene freigegeben wurden.
- Die Nutzung von Abrufdiensten ohne Konto dürfte nicht mehr möglich sein.
- Als Eltern von minderjährigen Kindern wird man zwingend mindestens ein Konto mit Altersverifikation anlegen müssen, da man nur über dieses die Konten seiner Kinder für die jeweilige Altersstufe freischalten kann.
Anforderungen an Plattform-Dienste
Plattformdienst: Dienst oder abtrennbarer Teil eines Dienstes, dessen Hauptzweck darin besteht, der Allgemeinheit eine elektronische Plattform bereitzustellen, auf die die Nutzerinnen und Nutzer selbst Filme oder Videospiele hochladen und von der sie diese abrufen können, wobei die Anbieterin des Plattformdienstes die Organisation der nutzergenerierten Inhalte bestimmt, aber keine redaktionelle Verantwortung für diese Inhalte trägt;
https://www.fedlex.admin.ch/eli/fga/2022/2406/de, Art 5e
Auch für Plattformdienste sieht das Gesetz in Art. 20 vor, dass Plattformdienste (also Online-Videodienste bei welchen die User eigene Videos hochladen können, wie zum Beispiel Youtube oder TikTok) geeignete Massnahmen treffen müssen, um Minderjährige vor für sie ungeeigneten Inhalten zu schützen. Es schreibt auch vor, dass diese Massnahmen mindestens eine Alterskontrolle vor der erstmaligen Nutzung des Dienstes und ein Meldesystem für ungeeignete Inhalte enthalten muss. Dies führte während der Referendumsfrist zur Befürchtung, dass selbst der Zugang zu Youtube in Zukunft nur noch via Login möglich wäre, da ohne ein solches entweder keine Alterskontrolle möglich ist oder sie defacto bei jeder Nutzung nötig wäre. Das Bundesamt für Sozialversicherungen bezeichnete dieser Befürchtung in einem NZZaS-Artikel als Fake News und stellte eine Präzisierung in der Verordnung in Aussicht.
Der erläuternde Bericht greift den Punkt auf und hält fest, dass Plattformdienste, bei denen lediglich harmlose, für Minderjährige geeignete Inhalte verfügbar sind, ohne Einschränkungen zugänglich sind. Wer daraus jetzt ableitet, dass dies auch für YouTube gilt, wird einige Zeilen weiter mit Enttäuschung feststellen müssen, dass Dienste, auf welchen unter anderem für Minderjährige ungeeignete Videos vorhanden sind, zwingend eine Alterskontrolle vornehmen müssen.
Wir haben nachgefragt, wie diese Regelung zu verstehen sind. Astrid Wüthrich erkärt es wie folgt:
Man kann YouTube grundsätzlich frei nutzen, ohne sich einzuloggen. In diesem Fall sind nur Inhalte ersichtlich, die für Minderjährige geeignet sind (= Inhalte für unter 18-Jährige). Richtet man sich hingegen ein Konto ein, dann muss das Alter auch hier einmalig kontrolliert werden (verifiziert, nicht nur Angabe des Alters), weil dann potentiell auch Inhalte ersichtlich sind, die für Minderjährige ungeeignet sind (= Inhalte für über 18-Jährige). Ergibt die Alterskontrolle, dass der Nutzer unter 18 ist, so müssen Erwachsenen-Inhalte durch den Anbieter blockiert werden.
Astrid Wüthrich, Bundesamt für Sozialversicherungen
Dem interessierten Youtube-Benutzer bleiben also unterm Strich zwei Möglichkeiten:
- Er loggt sich nicht auf Youtube ein, hat dadurch Zugriff auf sämtliches nicht-jugendgefährdende Videomaterial, muss aber auf Youtube-Funktionen wie Playlisten oder das Abonnieren von Angeboten ebenso verzichten wie auf Youtube Premium und ähnliche Bezahlangebote
- Er möchte Playlists anlegen können oder Youtube Premium nutzen,dazu muss er ein Konto anlegen. Dann muss Youtube zwingend eine Altersprüfung vornehmen, und nichts hindert Google daran, dieses quasi amtlich bestätigte Alter dazu zu nutzen, ihm zielgerichtetere (und für Google wertvollere) Werbung auszuspielen.
Insofern kann man sich durchaus auf den Standpunkt stellen, dass es für Youtube nicht zwingend einen Account braucht. Nur hat man dann halt nur eine stark eingeschränkte Youtube-Funktionalität zur Verfügung und muss auf ziemlich viel Komfort verzichten. Aber vermutlich ist Youtube hier eher die Ausnahme, Dienste wie PornHub können schon rein prinzipbedingt keine unbedenklichen Inhalte ohne Account zugänglich machen und werden daher zwingend einen alters-verifizierten Account voraussetzen müssen. Und das hat dann neben der Datenpreisgabe den unter Umständen unangenehmen Nebeneffekt, dass man bei einem allfälligen Leak der PornHub-Accountdaten schnell mal blossgestellt werden kann. Noch spannender wird es bei Diensten wie TikTok, welche ohne Account gar nicht erst nutzbar sind. Da hat die Benutzerin gar keine andere Wahl als ihr Alter von Anfang an verifizieren zu lassen.
Und was heisst das jetzt für die Ausweispflicht? Bei ohne Account zugänglichen Plattformdiensten braucht es, solange der accountlose Zugang nur unbedenkliche Inhalte umfasst, in der Tat keine Ausweise, man muss sich allenfalls mit reduzierter Funktionalität zufriedengeben. Bei Diensten welche zwingend einen Account voraussetzen sieht es hingegen anders aus: Da ist die befürchtete Ausweispflicht wohl Tatsache geworden.
Wie funktioniert die Alterskontrolle
In der Diskussion um das Gesetz wurde wiederholt die Frage nach einer verlässlichen Alterskontrolle gestellt. Heute verlassen sich Internet-Dienste, sofern sie sich überhaupt fürs Alter ihrer User interessieren, auf eine Selbstdeklaration oder stützen sich auf unsichere Informationen wie Kreditkarten-Nummern ab. Die vorliegende Verordnung wird hier deutlich konkreter und fordert ein Verfahren, welches üblicherweise eine korrekte Feststellung des Alters im Einzelfall erlaubt.
Dieses “üblicherweise” wird im erläuternden Bericht mit “in der physischen Welt ausreichend” umschrieben. D.h. auch wen es mit einem gewissen Aufwand möglich ist, eine Identitätskarte zu fälschen, so kann man sich zum Beispiel als Bar-Betreiber darauf verlassen, dass eine Identitätskarte echt ist und braucht keine besondere Prüfung vorzunehmen. Analoges soll auch für die Alterskontrolle bei den Abruf- und Plattformdiensten gelten, die Anbieter sollen sich auf die maschinenlesbaren Informationen eines Ausweises verlassen können. Die konkrete Ausgestaltung der Kontrolle überlässt der Bund den schweizerischen Branchenorgansiationen.
Es stellt sich da dann schnell die Frage, ob und wie diese Kontrollen dann allenfalls umgangen werden können, zum Beispiel durch das Erzeugen künstlicher Ausweisnummern. Das Bundesamt hält dazu lapidar fest, dass es fraglich sei, “ob Jugendliche diesen Aufwand betreiben, nur um sich Zugang zu einem Abruf- [oder Plattform-] dienst resp. zu dessen Inhalten zu verschaffen”. Ich hätte vom Bundesamt für Sozialversicherungen mehr Wissen über Motivation und Energie von Jugendlichen erwartet…
Als Alternative zur vollständigen Datenpreisgabe wurde Anfang Jahr auch die Verwendung der Altersdaten aus der E-ID oder von Edulog diskutiert, selbst das zuständige Bundesamt äusserte sich dementsprechend. Weder erläuternder Bericht noch Verordnung nehmen allerdings darauf Bezug, offenbar haben sich entsprechende Ideen vorerst in Luft aufgelöst.
Wie steht es mit dem Datenschutz?
Bereits beim Gesetz gab zu reden, dass Anbieter durch die zwingende Alters-/Ausweiskontrolle (und die defacto Login-Pflicht) quasi amtlich veranlasst zu wertvollen Daten über ihre User kommen. Die im Gesetz enthaltene Kontrolle beschränkt sich darauf, Anbietern vorzuschreiben, die für die Zugangskontrolle erhobenen Daten von Minderjährigen nicht für andere Zwecke zu verwenden. Für die Weiterverwendung der Daten von Erwachsenen sind keine spezifischen Bestimmungen im Gesetz enthalten, in Diskussionen etc. wurde auf das bestehende Datenschutzrecht und die AGB der Anbieter verwiesen.
Und was sagt nun die Verordnung dazu? Hat man in Bern zumindest die Chance genutzt, bezüglich Datenschutz konkreter zu werden? Kurz gesagt: Nein. Der einzige Bezug auf den Datenschutz findet sich im erläuternden Bericht.
Das würden wir uns in der Tat alle wünschen…
Fazit
Kurz gesagt: Die vorliegende Verordnung erfüllt bezüglich Zugangskontrollen zu Abruf- und Plattformdiensten in etwa alle Befürchtungen welche nach Annahme des Gesetzes durch die eidgenössischen Räte geäussert wurden. Auch wenn man etwas spitzfindig durchaus behaupten kann, dass die anonyme Nutzung von Youtube weiterhin möglich sein wird: die damit verknüpften funktionalen Einschränkungen dürften für die wenigsten akzeptabel sein. Also dürfte jede früher oder später in den sauren Apfel beissen und gegenüber Google/Youtube einmal das Alter bestätigen. Bei Plattformdiensten wie TikTok, die sich ohne Account gar nicht nutzen lassen, stellt sich die Frage von vornherein nicht.
Nicht nur bringt die Verordnung also defacto eine Login-Pflicht für Abruf- und Plattformdiensten, diese können auch frei über die ihnen so zufliessenden, qualitativ hochstehenden Personendaten verfügen und sie zum Beispiel für Werbung verwenden. So ist es kein Wunder, dass sich die Piratenpartei als treibende Kraft hinter dem schlussendlich gescheiterten Referendum in ihrer Kritik bestätigt fühlt:
Der Bund hält an der umfassenden Altersverifikation und damit einem Ausweiszwang für praktisch alle Plattformen mit medialen Inhalten fest. Das bedeutet, dass sich nun jeder Benutzer von Diensten wie reddit, twitch, YouTube oder Twitter, oder wie Netflix oder Disney+ identifizieren muss und eine Ausweis- und Registrierungspflicht bei den Grosskonzernen entstehen wird.
Medienmitteilung Piratenpartei
Pascal Fouquet, der Kampagnenleiter des Referendums, hält zusätzlich fest: “Im Januar wurde vom Bund beschwichtigt, es gebe keinen Ausweiszwang. Doch mit dieser Verordnung kann man jetzt guten Gewissens sagen: Es war immer die volle Absicht, einen Ausweiszwang im Internet einzuführen.”
Völlig im Regen stehen mit Gesetz und Verordnung sämtliche Abruf- und Plattformdienste die von Freiwilligen aus persönlichem Engagement betrieben werden, wie zum Beispiel PeerTube, die Fediverse-Alternative zu YouTube. Alterskontrolle aller User ist da oft weder aus zeitlichen noch aus technischen Gründen möglich. Zwar betrifft das Gesetz nur privatwirtschaftlich tätige Dienste, aber da bewegt man sich als Anbieter unter Umständen schon im Graubereich wenn man Userspenden annimmt oder Werbung schaltet. Schweizer Betreiber solcher Angebote laufen in Zukunft also zumindest latent Gefahr, sich strafbar zu machen.
Wie geht es nun weiter? Die Vernehmlassung dauert bis zum 6. Oktober 2023, danach sollen Gesetz und allenfalls angepasste Verordnung schrittweise ab Juli 2024 in Kraft gesetzt werden. Allerdings haben die Branchenorganisationen danach zwei Jahre Zeit, um geeignete Methoden zur Alterskontrolle vorzuschlagen, diese müssen von den betroffenen Diensten dann umgesetzt/implementiert werden. Praktische Wirkung wird das neue Gesetz daher frühestens 2026 zeigen.
12 Antworten
Warum fragt man überhaupt die Website und nicht den ISP oder Client (Browser, iPhone, …)? Warum konfiguriere ich das nicht beim DHCP des ISP oder auf dem Plastikrouter? Schon beim Tracking macht es überhaupt gar keinen Sinn, dass man die jeweilige Website fragt. Der Client (Browser, iPhone, …) sollte das einmal den Nutzer fragen, und dann schickt er DNT oder ähnliches mit.
Warum gibt es beim ISP keinen Knopf: «Diesen Anschluss nutzen keine Kinder»? Und wenn man den drückt, werden alle Vorgaben des Jugendschutzes ignoriert?
PS: Ja, ich weiss, wie ich als versierter Nutzer andere DNS-Server benutze (dass man den vom ISP benutzt, hat auch noch nie Sinn gemacht) bzw. VPNs. Aber man muss ja auch an einfachere Nutzer und die gesamtgesellschaftlichen Effekte denken.
Was wäre bei einem solchen Knopf die Lösung für Familien mit minderjährigen Kindern welche sich einen Internet-Anschluss teilen und in welcher die Mutter sich die neuste Version von Call of Duty herunterladen will?
Ich denke, dass es in vielen Fällen das beste wäre, wenn grössere (was grösser ist, wäre zu definieren, es sollte aber die meisten internationalen und nationalen, gewinnorientierten und breit gelesenen Seiten abdecken) Internetplattformen NUR noch mit persönlich verifizierten Accounts arbeiten dürften.
Eine bessere Variante um das Problem von Fake-Accounts, Schleichwerbung, sowie Hass- und Hetzkommentaren zu lösen sehe ich unterdessen nicht mehr – die Verfasser müssen persönlich identifizierbar werden oder sollen sonst keine Reichweite mehr erhalten.
Ich denke, grundsätzlich sollten die URL der abgerufenen Seiten (GET/POST etc) aller User öffentlich einsehbar sein. Ich möchte ja gerne wissen, ob mein Nachbar links ein Söiniggel ist oder der unten rechts sich auf Antifa-Foren herumtreibt. Nicht, dass er beim Bombenbauen mal die Wohnung in die Luft jagt und ich dann ein Problem mit Löschwasser habe.
Ach, ich sollte an einem heissen Mittwoch-Nachmittag keine solchen Artikel und Kommentare lesen, sonst eskaliert es schlussamänt noch.
Wenn ich mir anschaue, wieviel Hass reale, identifizierbare Menschen auf Twitter, Telegram, Facebook und in den Kommentarspalten von Zeitungen versprühen, dann bezweifle ich die Wirkung von verifizierten Accounts. Die Gefahr wäre da gross, dass das eher zulasten von Menschen geht welche (aus Schutzgründen) auf Anonymität angewiesen sind (siehe zB https://www.theguardian.com/commentisfree/2021/jul/15/abolishing-online-anonymity-racist-abuse-id-verification).
Sachlich gesehen ist jeder Nutzer in CH über seine der jeweiligen Plattform bekannte IP-Adresse bereits heute identifizierbar. Verbunden mit einer aktiven Ermittlungsbehörde und klaren Mitwirkungsregeln von Plattformen bei Ermittlungen gegen Online-Hate wäre das Problem vermutlich auch ohne Verlust der Anonymität lösbar. Es wäre zumindest einen ernsthaften Versuch wert.
Das Problem ist, dass das Strafrecht zu spät und zu langsam greift, respektive wenn es sinnvoll greifen sollte eher zu einer “Verbotskultur” werden müsste.
Wir brauchen eine Art “sozialer-Kontrolle” im Internet, welche die Menschen wieder zu einem “gesunden Menschenverstand” einmittet ohne dass nur die extreme zu Wort kommen und Diskurse verzerren.
Die Identifizierung nur über die IP-Adresse verhindert auch nicht, dass jemand 10 fake accounts eröffnet und so seiner Meinung mehr Gewicht gibt als diese eigentlich verdient hat. Die Click- und Post-Farmen und andere Massen-Services zeigen ja, dass die vorhandenen Mittel nicht greifen.
Natürlich werden damit andere Probleme geschaffen. Idealerweise sollte die Identifikation auch nicht bei den Plattformen selbst stattfinden, sondern bei einem staatlichen Intermediär, der nur verifizierte Accounts zulässt und diese via Tokens an die Plattformen weitergibt. Dagegen wehren sich diese natürlich mit Händen und Füssen – die Plattformen wollen möglichst viele demografische Daten um damit höhere Werbeerlöse zu erzielen. Das Argument von Whisteblowern und verfolgten Personen ist dabei immer schön aber wieviele Whistleblower haben denn in den Kommentarspalten bis jetzt wichtige Informationen preisgegeben? Orte und Möglichkeiten Meinungen und Informationen auszutauschen aber nur in kleinen Benutzergruppen können ja weiterhin zugelassen werden. Es geht um die Erschwerung von “Massensichtbarkeit”. Genauso wie es Hürden gibt Demonstrationen im öffentlichen Raum durchzuführen, sollte es Hürden geben, online 1000e-bis 100’0000e Menschen ohne den geringsten Aufwand zu erreichen.
Jetzt sind wir etwas vom Thema Jugendschutz/Ausweiskontrolle abgekommen. Grundsätzlich ist jeder froh um Anonymität der mit privaten oder geschäftlichen Nachteilen zu rechnen hat falls er identifizierbar wird. Wir sind zwar nicht mehr in den 80ern wo lesbische Frauen im CH-Fernsehen mit Gesichtsmaske mitdiskutierten, aber es gibt diverse Gründe wieso auch heute noch Menschen Anonymität brauchen (auch in CH).
Sorry, aber eigentlich reicht es, dass sich der «Medien- und Internetprofi» Mättu “Betoncasino” Aebischer zu einem Thema äussert, um misstrauisch zu werden.
Ich weiss ja, dass mich die mir nicht so genehme Fraktion der «ich höre Selenski nicht zu» – Mannschaft gerne anlügt, aber wenn es die Gegenseite mit «gut gemeint-Argumenten» versucht, wird es ja auch nicht besser.
Aber ev. wäre es wirklich gut, wenn YouTube neben der immer ätzenden Werbung mit zusätzlichen Logins, Cookie-Warnungen und drölfzig Einstiegshürden noch unbenutzbarer wird.
Vielleicht könnte man dann mal Videos auf einer vernünftigen Bezahlplattform sharen, aber ich fieberträume schon wieder alternative Welten herbei.
Das Ganze scheint mir keine Jugendschutzgesetzgebung zu sein, sondern die Steilvorlage bzw. gesetzlich verankerte Werbemassnahme für die eID des Bundes. Wer eine Plattform nutzen will, kann das alter mittels der Bundes eID verifizieren und zack, wird die dann in der breiten Masse genutzt. Und so wie die Eidgenossenschaft SSI aktuell versteht, graut mir vor diesem Szenario weit mehr als vor einer Weitergabe einer Passkopie an Google…
Die eID wird nur eine Rolle spielen wenn a) die Branchenverbände sie als Lösung sehen (was durchaus denkbar ist) und b) die internationalen Anbieter von Abruf- und Plattformdiensten diese Lösung dann auch umsetzen (anybody’s guess).
Ich präzisiere: Das Problem liegt nicht unbedingt bei der CH eID an und für sich, sondern beim Verständnis von (Self-Sovereign-Identity SSI) des Bundes, welches wohl das Modell für die eID wird. Da wird ausschliesslich in Schönwetterszenarien gedacht und weder die Vorstellung eines möglicherweise maliziösen Staates noch die theoretisch unendlichen Möglichkeiten von Diskriminierung werden thematisiert.
Vielleicht ein blöde Idee (sagt mir bitte, wenn ich total falsch liege):
Es braucht einen Treuhänder, der die Information “ist volljährig oder nicht” (das genaue Alter braucht es ja nicht), liefert. Korrekt?
Warum nicht eine sowieso nur begrenzt gültige Kreditkarte angeben und die Bank, die diesen Kreditkartennehmer sowieso genauer kennen muss, diese Information liefern lassen?
Das selbe könnte via eID erfolgen, aber die braucht ja noch eine ganze Weile und wäre wieder ein schweizerischer Alleingang. Banken und Kreditkarten gibt es weltweit.