Datenschutz & Sicherheit
Warnung vor „Ausweispflicht für weite Teile des Internets“
Es war ein merkliches Aufatmen Ende vergangenen Jahres. Nach mehr als drei Jahren Verhandlungen hatten sich Vertreter*innen der EU-Staaten im Rat auf eine gemeinsame Position zur sogenannten Chatkontrolle geeinigt, einem der weitreichendsten Überwachungsprojekte der EU.
Hinter der Chatkontrolle stecken Pläne der EU-Kommission, Anbieter von Messengern wie Signal oder WhatsApp auf Anordnung dazu verpflichten zu können, die Kommunikation von Nutzer*innen zu durchleuchten. Vertrauliche Nachrichten müssten sie dann in großem Stil nach sogenannten Missbrauchsdarstellungen durchsuchen – ein fundamentaler Angriff auf sicher verschlüsselte Kommunikation. Anlass ist der Vorschlag für eine Verordnung zur Prävention und Bekämpfung des sexuellen Missbrauchs von Kindern, kurz: CSA-VO.
Fachleute aus unter anderem Kinderschutz, Wissenschaft, Zivilgesellschaft sind gegen das Vorhaben Sturm gelaufen. Mit dem Nein von Rat und EU-Parlament dürfte die Chatkontrolle vom Tisch sein. Kaum beachtet geblieben ist dabei jedoch ein weiteres Überwachungsvorhaben im Vorschlag der Kommission, und zwar die Einführung von Alterskontrollen.
Die EU-Kommission möchte Anbieter nämlich auch dazu verpflichten dürfen, das Alter ihrer Nutzer*innen zu überprüfen. Betroffen sind Dienste, die Erwachsene nutzen können, um sexuelle Kontakte zu Minderjährigen anzubahnen. Das nennt sich Grooming.
Alterskontrollen laufen oftmals auf invasive Maßnahmen heraus. Nutzer*innen müssten dann zum Beispiel ihr Gesicht biometrisch vermessen lassen, damit eine Software ihr Alter schätzt, oder mithilfe von Dokumenten wie dem Ausweis belegen, dass sie erwachsen sind. Mindestens würde es damit für Millionen Nutzer*innen schwerer, sich frei im Netz zu bewegen. Wenn es nicht gelingt, solche Kontrollen sicher zu gestalten, drohen Datenschutz-Verletzungen und massenhafte Überwachung.
Kommission, Rat und Parlament haben teils widersprüchliche Positionen zu den Alterskontrollen. Aktuell verhandeln sie im sogenannten Trilog über die Verordnung – und damit auch über die Zukunft von Alterskontrollen in der EU. Wir liefern die Übersicht über die zentralen Positionen und die Risiken dahinter.
Das will die EU-Kommission
Der Vorschlag der EU-Kommission sieht eine Verpflichtung zu Alterskontrollen bei „interpersonellen Kommunikationsdiensten“ vor, einfach ausgedrückt: Anbietern mit Chatfunktion.
Sie sollen zunächst selbst das Risiko für Grooming einschätzen, also ob ihre Dienste zum Zweck des „sexuellen Kindesmissbrauchs“ eingesetzt werden könnten. Dabei spielt etwa eine Rolle, wie viele Kinder den Dienst überhaupt verwenden, wie leicht sie von Erwachsenen auf der Plattform kontaktiert werden können und welche Möglichkeiten es gibt, solche Kontakte zu melden.
Potenziell von Grooming betroffene Anbieter sollen dann das Alter ihrer Nutzer*innen überprüfen, um Minderjährige „zuverlässig“ zu identifizieren. Die Konsequenz sollen Maßnahmen zur Risikominderung sein. Zwar nennt der entsprechende Artikel im Entwurf kein konkretes Beispiel – denkbar wären aber zum Beispiel eingeschränkte Chat-Funktionen, die keine Gespräche mit Fremden erlauben.
Vergangene Recherchen über Grooming legen nahe: Diese Regelung könnte viele populäre Plattformen treffen, etwa TikTok, Instagram und Roblox oder das unter Gamer*innen beliebte Discord. Auch Messenger wie WhatsApp oder Signal könnten dazu verpflichtet werden, das Alter ihrer Nutzer*innen zu prüfen.
Entscheidend sind hier die Worte „zuverlässig identifizieren“. Eine schlichte Altersabfrage dürfte kaum genügen. Es geht auch nicht bloß darum, dass Anbieter Schutzfunktionen für Minderjährige bereithalten müssen, damit betroffene Minderjährige (oder ihre Aufsichtspersonen) sie einsetzen können. Stattdessen könnte es sein, dass Nutzer*innen in großem Stil beweisen sollen, dass sie schon erwachsen sind.
Zusätzlich sieht die Kommission eine weitere Altersschranke vor, die noch einen Schritt früher ansetzt, und zwar bei „Stores für Software-Anwendungen“. Darunter dürften mindestens der Google Play Store und Apples App Store fallen, je nach Auslegung auch Spiele-Marktplätze wie Steam. Auch dort müssten Nutzer*innen demnach ihr Alter nachweisen, bevor sie Zugang bekommen.
Das will der Rat der EU
Der Rat der EU vertritt die Regierungen der Mitgliedstaaten. Geht es um Alterskontrollen, deckt sich die Ratsposition weitgehend mit dem Vorschlag der Kommission. Auch der Rat will, dass Anbieter, die ein Risiko zur Kontaktaufnahme mit Kindern bei sich feststellen, das Alter ihrer Nutzer*innen kontrollieren. Das Gleiche will der Rat für App Stores.
Für die Ausgestaltung dieser Kontrollen stellt der Rat weitere Anforderungen auf. Demnach sollen die Maßnahmen Privatsphäre und Datenschutz wahren, transparent, akkurat und dabei auch zugänglich und diskriminierungsfrei sein. Der Rat spricht damit Aspekte an, die sich auch an anderer Stelle in EU-Regeln finden, etwa in den Leitlinien zum Jugendschutz im Netz auf Grundlage des Gesetzes über digitale Dienste (DSA).
Der Knackpunkt: Keine Technologie wird all diesen Anforderungen gerecht. Um den Anspruch zu erfüllen, akkurat zu sein, müssten Prüfungen wohl invasiv sein – sonst lassen sie sich täuschen. Typisch sind Kontrollen mit biometrischen Daten oder auf Basis von Dokumenten wie Ausweispapieren. Erstere können Menschen diskriminieren, die nicht ausreichend in den Trainingsdaten eines KI-Systems repräsentiert sind, etwa Women of Color. Letztere können Menschen ausschließen, die keine Papiere haben.
Das will das EU-Parlament
Das EU-Parlament will bei Alterskontrollen einen anderen Weg einschlagen, wie dessen Position zeigt. Streichen will das Parlament demnach die Pflichten für Alterskontrollen auf der Ebene von App-Stores.
Die Marktplätze sollen demnach bloß deutlich ausweisen, wenn Apps erst ab einem bestimmten Alter vorgesehen sind. Zudem sollen sie bei Apps, die das verlangen, die Zustimmung von Erziehungsberechtigten sicherstellen. Diese Maßnahmen könnten etwa Apple und Google bereits umgesetzt haben: Dort gibt es entsprechende Vorkehrungen für Accounts von Minderjährigen, die an Eltern-Accounts gekoppelt sind.
Für die Anbieter von Kommunikationsdiensten will das Parlament im Gegensatz zu Rat und Kommission keine verpflichtenden Alterskontrollen, sondern optionale. Risiken mindern müssen betroffene Anbieter dennoch; sie hätten allerdings die Wahl, auf welche Weise sie das tun.
Weniger invasive Methoden zur Altersprüfung haben einige Plattformen bereits heute im Einsatz. So will TikTok das Verhalten von Nutzer*innen auf Signale untersuchen, die auf ein zu geringes Alter hindeuten, etwa, mit welchen Accounts sie interagieren.
Das Parlament fordert zudem eine Reihe von Auflagen für Alterskontrollsysteme und wird dabei konkreter als der Rat. Demnach soll es für Nutzer*innen weiterhin möglich sein, anonyme Accounts einzurichten, und es sollen keine biometrischen Daten verarbeitet werden dürfen. Zudem sollen Kontrollen nach dem Zero-Knowledge-Prinzip erfolgen. Praktisch heißt das: Anbieter, bei denen man das eigene Alter nachweist, sollen nichts weiter erfahren, außer ob man die nötige Altersschwelle überschreitet. Ein mögliches Werkzeug dafür ist die von der EU in Auftrag gegebene Alterskontroll-App, die künftig Teil der digitalen Brieftasche (EUDI-Wallet) werden soll.
Für Dienste, die sich an Kinder unter 13 Jahren richten, fordert das Parlament zusätzlich, dass sie standardmäßig in ihren Funktionen hohe Sicherheitsstandards wählen. Sie sollen etwa verhindern, dass Nutzer*innen persönliche Daten teilen oder Screenshots machen können.
Wir sind communityfinanziert
Unterstütze auch Du unsere Arbeit mit einer Spende.
Gesondert verlangt das Parlament außerdem Regeln für Pornoplattformen. Diese besondere Gruppe von Anbietern soll verpflichtend das Alter von Nutzer*innen kontrollieren. Das entspräche jedoch im Tenor den Anforderungen aus bereits bestehenden EU-Gesetzen wie der Richtlinie über audiovisuelle Mediendienste und dem DSA.
Das steht auf dem Spiel
Alterskontrollen sind nicht nur ein Thema für Kinder und Jugendliche – es geht nämlich darum, alle Nutzer*innen zu kontrollieren, um Minderjährige herauszufiltern. Die deutsche Europa-Abgeordnete Birgit Sippel (SPD) warnt: „Eine verpflichtende Altersverifikation würde eine Ausweispflicht für weite Teile des Internets bedeuten, und zwar vor allem auch für Erwachsene.“ Diese Warnung würde jedoch voraussetzen, dass die EU eine Pflicht zu Alterskontrollen sehr streng auslegt.
Wenn bei Alterskontrollen die Plattformen zum Türsteher werden und Daten auch für andere Zwecken nutzen können, wäre das „höchst problematisch“, so Sippel weiter. Deshalb brauche es Safeguards wie das Zero-Knowledge-Prinzip. „Schließlich darf die Anonymität und Nutzung von Pseudonymen nicht gefährdet werden.“ Außerdem warnt die Abgeordnete davor, Alterskontrollen als Allheilmittel zu betrachten. „Um Kinder effektiv zu schützen, braucht es eine strukturelle Reform der Plattformen, damit Profit nicht mehr aus dem Geschäft mit missbräuchlichen Inhalten geschlagen werden kann.“ Abgeordnete aus anderen Fraktionen haben sich auf Anfrage von netzpolitik.org nicht geäußert.
Für European Digital Rights (EDRi), dem Dachverband von Organisationen für digitale Freiheitsrechte, beobachtet Politikberater Simeon de Brouwer das Gesetzesvorhaben. „Verpflichtende Altersverifikation bei Diensten für zwischenmenschliche Kommunikation ist gefährlich, weil sie die freie Rede unterdrückt“, warnt er. Je nach Art der Kontrollen könnten ganze Gesellschaftsgruppen ausgeschlossen werden – etwa Menschen ohne Papiere. Außerdem warnt er vor Einschüchterung („chilling effects“), wenn der Zugang zu sicherer Kommunikation hinter verpflichtenden Kontrollen steht.
Auch Alterskontrollen auf App-Marktplätzen lehnt de Brouwer ab. „Ein derartiges Maß an Kontrolle und aufdringlicher Datenverarbeitung sollte nicht normalisiert werden – besonders nicht an einem solchen Nadelöhr.“ Es entstehe keine Sicherheit, sondern Kontrolle, wenn der Zugang zu digitalen Werkzeugen vom Überwinden zentraler Prüfsysteme abhängig gemacht wird.
Svea Windwehr ist Co-Vorsitzende des Vereins für progressive Digitalpolitik D64. „Alle bekannten Technologien zur Altersbestimmung im Netz weisen signifikante Schwächen auf“, schreibt sie auf Anfrage. So seien etwa KI-gestützte Altersschätzungen häufig ungenau und „bergen massive Diskriminierungspotenziale, da ihre Leistung stark von Geschlecht, Alter, Hautfarbe und anderen Merkmalen abhängt“. Verifikation anhand von Ausweisdokumenten wiederum könne „eine signifikante Barriere für gesellschaftliche Teilhabe darstellen“.
Unterm Strich würden neue Pflichten zur Altersverifikation „einen Bärendienst für die Privatsphäre von jungen Menschen im Netz“ darstellen, warnt Windwehr. Vor allem würden sie nichts an den strukturellen Problemen ändern, die Plattformen zu unsicheren Räumen für Kinder machen können. „Der politische Anspruch sollte darin bestehen, an der Wurzel des Problems anzusetzen und Plattformen für ihre Produkte zur Verantwortung zu ziehen, statt vulnerable Nutzende auszuschließen.“
So geht es jetzt weiter
Beim Gesetz steht die EU unter gewissem Zeitdruck. Obwohl viele Dienstleister wie etwa Meta bereits jetzt eine freiwillige Chatkontrolle durchführen, fehlt dafür eine dauerhafte Rechtsgrundlage. Möglich ist die Maßnahme nur durch eine vorübergehende Ausnahmeregelung mit Blick auf die Datenschutz-Richtlinie für elektronische Kommunikation. Die Frist dafür endet jedoch im April 2026. Zumindest Kommission und Rat wollen sie um zwei Jahre verlängern; das Parlament müsste dem noch zustimmen.
Weil der Rat sich jahrelang nicht auf eine Position zur Chatkontrolle einigen konnte, war das ganze Gesetzesvorhaben für lange Zeit blockiert. Erst mit der Einigung auf die Ratsposition Ende November wurde der Weg frei für die informellen Trilog-Verhandlungen zwischen Kommission, Rat und Parlament. Beim Trilog versuchen die drei EU-Organe einen Kompromiss zu finden. Verhandelt wird hinter verschlossenen Türen. Dauer: ungewiss; ein Ergebnis ist nicht garantiert.
„Trotz der Differenzen zeigen das Europäische Parlament und der Rat die feste Absicht, intensiv an dem Vorschlag zu arbeiten und so schnell wie möglich eine Einigung zu erzielen“, sagte jüngst der spanische Abgeordnete Javier Zarzalejos (EVP) während einer Ausschuss-Sitzung am 27. Januar. Er ist der zuständige Berichterstatter der konservativen Fraktion im Parlament.
Nach dem ersten Verhandlungstermin am 9. Dezember sollen Verhandlungen auf technischer Ebene am 15. Januar begonnen haben. Aus diesen bis dato zwei Terminen könne Zarzalejos von „guter Atmosphäre und beachtlichem Fortschritt“ berichten. Diskutiert habe man bisher insbesondere das neue EU-Zentrum – das ist die geplante zentrale Anlaufstelle zur Umsetzung der Verordnung. Der nächste Trilog-Termin soll der 26. Februar sein.
Datenschutz & Sicherheit
Gefangen in Elon Musks Sicherungsnetz
Als Christian F. (Name geändert) im Sommer 2023 einen Antrag stellt, um sein Recht auf eine schnellere Internet-Leitung einzufordern, ist ihm bewusst, auf was er sich einlässt. „Mir war von Anfang an klar, dass die gesetzliche Mindestversorgung mit Internet nicht nur bei einer viel zu niedrigen Bandbreite angesetzt ist, sondern auch so konzipiert wurde, dass man dieses Recht kaum wahrnehmen kann“, sagt er.
Er will es trotzdem probieren, um „zu sehen, ob da was funktioniert“. Schließlich führt nur eine alternde Kupfer-Leitung zu seinem Haus in der Pfalz, die mit gerade mal 4 MBit/s im Download weit unter den Mindestanforderungen liegt. Regelmäßig gibt es Ausfälle. Mühselig sollte es bleiben: „Zwei Jahre lang habe ich gegen alle Abwiegelungen und Zurückweisungen Einspruch erhoben, bis ein Messtrupp vor Ort war“, sagt er.
Starlink als Grundsicherung
Eine bessere Leitung hat er trotzdem nicht bekommen, denn viel ausgerichtet hat der Messtrupp nicht. Vor allem hat er festgestellt, dass sich eine Verbindung zu Starlink-Satelliten herstellen lässt. Nach einigem Hin und Her war die Sache für die Bundesnetzagentur erledigt. Die ist dafür zuständig, sich um die unterversorgten Gebiete zu kümmern und am Ende auch Netzbetreiber zu verpflichten, für einen angemessenen Anschluss zu sorgen.
Das passierte bei F. nicht: „Zum Zeitpunkt der Mitteilung war ein neues Angebot des Anbieters Starlink zu einem monatlichem Entgelt in Höhe von 29,00 Euro verfügbar, so dass ich Sie auf den Tarif ‚Privathaushalt-Lite‘ als neue Versorgungsoption aufmerksam gemacht habe. Der Tarif erfüllt die Kriterien der TKMV und kann zu einem erschwinglichen Preis gebucht werden“, teilte ihm die Behörde mit.
Das Kürzel TKMV steht für die „Verordnung über die Mindestanforderungen für das Recht auf Versorgung mit Telekommunikationsdiensten“. Diese legt die Anforderungen an Internetzugangsdienste fest: Sie müssen im Download mindestens 15 MBit/s, und im Upload mindestens 5 MBit/s liefern, bei einer Latenz von höchstens 150 Millisekunden. Außerdem muss das Zugangsprodukt bezahlbar sein, die Bundesnetzagentur rechnet dafür mit rund 30 Euro monatlich.
Seit vergangenem Jahr bietet der Satellitenbetreiber Starlink des US-Milliardärs Elon Musk ein Produkt in Deutschland an, das diese Bedingungen erfüllt. Tausende Satelliten in einer niedrigen Erdumlaufbahn kreisen um die Welt und versorgen dabei beinahe das gesamte Bundesgebiet. Versprochen werden Download-Geschwindigkeiten von bis zu 100 Mbit/s für einen Preis von knapp 30 Euro. Wer nicht in einer ungünstigen Tallage oder im Umkreis eines großen Radioteleskops lebt, gilt unter diesen Umständen in der Regel als versorgt.
Kaum amtlich festgestellte Unterversorgungen
Gleichzeitig ist es still geworden um das Recht auf schnelles Internet. Im Jahr 2025 hat die Bundesnetzagentur eine einzige Unterversorgung festgestellt, nur um sie umgehend wieder zurückzuziehen. Ein Netzbetreiber habe mitgeteilt, doch einen Anschluss herstellen zu können, heißt es im Aufhebungsbescheid.
Auch in den Jahren zuvor fällt die Bilanz mager aus: Seit dem Jahr 2023 hat die Bonner Behörde insgesamt 29 sogenannte Unterversorgungsfeststellungen veröffentlicht. 13 davon hat sie wieder aufgehoben, in einem Fall hat sie die Unterversorgung später erneut amtlich bestätigt. Die Zahlen sind erstaunlich niedrig: Im Vorfeld der seit 2021 im Gesetz verankerten Regelung hatte die Bundesnetzagentur mit rund 300.000 betroffenen Haushalten gerechnet.
Etwa 1.650 Eingaben sind im Vorjahr bei der Behörde eingegangen, teilt eine Sprecherin auf Nachfrage mit. Rund 95 Prozent dieser Eingaben konnten beantwortet werden, indem die Bundesnetzagentur alternative Versorgungsmöglichkeiten aufzeigte, so die Behörde.
Über die verbleibenden Eingaben berate die Bundesnetzagentur zunächst mit den Telekommunikations-Unternehmen. „In diesem Prozess konnten fast alle Fälle einer Lösung zugeführt werden, so dass die formale Feststellung einer Unterversorgung mit anschließender Verpflichtung eines TK-Unternehmens nicht erforderlich wurde“, so die Behördensprecherin.
„Keine Erfolgsgeschichte“
Andreas Neumann, Experte für Telekommunikationsrecht am IRNIK-Institut, zieht eine durchwachsene Bilanz. „Blickt man auf die unmittelbaren Ergebnisse, ist das Recht auf Versorgung mit Telekommunikationsdiensten keine Erfolgsgeschichte“, sagt Neumann. Selbst in den drei Jahren vor dem einschlägigen Starlink-Produkt habe die Bundesnetzagentur gerade einmal rund 30 Unterversorgungsfeststellungen erlassen. Bei einem Potential von mehreren hundertausend unterversorgten Haushalten ist das „kein zufriedenstellender Befund“, sagt Neumann.
Dies gelte auch für den „ganz erheblichen Aufwand“, den die Bundesnetzagentur betreiben musste, um das Recht auf Breitband-Internet mit Leben zu füllen: „Nach einer Auskunft der Bundesregierung wurden hierfür 25 Dienstposten geschaffen. Außerdem hat die Bundesnetzagentur mehrere Gutachten von Beratungsunternehmen beauftragt“, sagt der Experte.
All dieser Aufwand, und alles für nichts? Nicht unbedingt, sagt Neumann. Letzten Endes liege das Problem in einer „sehr ambitionierten gesetzlichen Ausgestaltung, die sich dann jedoch als nicht wirklich praxistauglich erwiesen hat“. Das muss so nicht bleiben: Zum einen lasse sich der verfahrenstechnische Ansatz schlanker und einfacher gestalten, zum anderen könne die die Bundesnetzagentur weiterhin eine starke Informations- und Moderationsrolle einnehmen, empfiehlt er.
Streit um Berechnungsgrundlage
Weniger ambitioniert als die gesetzlichen Regelungen sind hingegen die Vorgaben, die über eine Mindestversorgung entscheiden. Derzeit orientieren sie sich daran, was „mindestens 80 Prozent der Verbraucher im Bundesgebiet“ an Mindestbandbreite, Uploadrate und Latenz zur Verfügung steht, heißt es im Gesetz. Als Grundlage diente jedoch eine veraltete EU-Universaldienstrichtlinie aus dem Jahr 2002.
Neuere Rechtsakte wie der TK-Kodex gehen, jedenfalls in der Auslegung von Verbraucherschützer:innen, von einer „Mehrheit der Verbraucher“ aus, die zur Festlegung der qualitativen Ausgestaltung des Universaldienstes herangezogen werden sollte. Damit würden die Anforderungen für die Mindestbandbreiten nach oben schnellen, während die Latenzzeiten sinken müssten. Auf einen Schlag wären deutlich mehr Haushalte erfasst, als dies derzeit der Fall ist. Also deutlich mehr als jene, die weniger als 15 MBit/s Download-Geschwindigkeit erreichen.
Ob sich eine derartige Änderung auszahlt, hängt wohl maßgeblich davon ab, was man sich von diesem Instrument verspricht. „Versteht man es weiterhin als bloßes Sicherheitsnetz für eine ‚Minimalteilhabe‘ im Sinne des 80-Prozent-Kriteriums und hält insbesondere eine Satellitenversorgung für ausreichend, dürfte es in absehbarer Zeit keine große praktische Bedeutung erlangen“, sagt Neumann. „Verfolgt man im Sinne eines 50-Prozent-Kriteriums einen ambitionierteren Ansatz, auch im Einklang mit dem Ziel, bis 2030 alle Haushalte gigabitfähig zu machen, spricht meines Erachtens viel für eine grundlegende Umgestaltung.“
Vorgaben „nicht mehr ausreichend“
Für eine Verbesserung setzt sich der Bundesverband der Verbraucherzentralen (VZBV) ein. Die derzeit geltenden Mindestleistungsparameter seien „nicht mehr ausreichend“, sagt Nikola Schiefke aus dem VZBV-Team Digitales und Medien. Entsprechend müssten die Vorgaben „zeitnah an den tatsächlichen Bedarf“ angepasst werden, fordert die Verbraucherschützerin.
Wir sind communityfinanziert
Unterstütze auch Du unsere Arbeit mit einer Spende.
Vom Recht auf eine Grundversorgung mit Internet möchte sie keinesfalls abrücken. Es ist „weiterhin ein wichtiges Sicherheitsnetz zur Sicherstellung der digitalen Teilhabemöglichkeit für alle Menschen in Deutschland“. Außerdem könnte Starlink jederzeit die Preise anheben oder die Qualität verschlechtern. Eine adäquate und bezahlbare Mindestversorgung müsse deshalb auch zukünftig weiterhin gesetzlich abgesichert sein, sagt Schiefke.
Allerdings müsste sich der Prozess drastisch verbessern, so die Verbraucherschützerin. Seinen persönlichen Anspruch geltend zu machen, sei „so komplex und langwierig, dass viele Verbraucher:innen von einer Durchsetzung absehen“, berichtet Schiefke aus der Praxis.
So auch Christian F., der letztlich einen Starlink-Anschluss bestellt hat. Aufgrund der Tallage muss er zwar mit Aussetzern leben, was gerade bei beruflichen Video-Anrufen nerve. Besser als die alte DSL-Leitung sei der Satellitenanschluss aber allemal. Den DSL-Anschluss hat er trotz ständiger Probleme behalten, er dient als Backup: „Ein Tag Ausfall als Freelancer kostet mehr als noch ein Internetanschluss“, sagt F.
Überarbeitung steht an
Eine Gelegenheit, das Recht auf Breitband zu verbessern, wird sich zwangsläufig ergeben. Die Anforderungen müssen regelmäßig evaluiert und gegebenenfalls angepasst werden, zudem müssen dies das Digitalministerium sowie der Digitalausschuss des Bundestags absegnen. Ob ein anstehender Prüfbericht der Bundesnetzagentur an den Mindestanforderungen rütteln wird, bleibt vorerst unklar.
„Mit Blick nach vorn stellt sich die Frage, ob die Mindestversorgung weiterentwickelt werden sollte“, sagt Johannes Schätzl, digitalpolitischer Sprecher der SPD-Bundestagsfraktion. Ihm zufolge sollte es dabei aber weniger um Bandbreiten, sondern mehr um die Qualität der Anschlüsse gehen. Hohe beworbene Bandbreiten würden wenig helfen, wenn beispielsweise Kabelnetze zu Spitzenzeiten regelmäßig einbrechen, so der Abgeordnete. „Deshalb lohnt sich die Diskussion, wie Mindestversorgung künftig stärker auch die tatsächliche Qualität und Verlässlichkeit der Verbindung berücksichtigen kann“, sagt Schätzl.
Auch die Union stellt eine Verbesserung in Aussicht. „Eine Mindestbandbreite von 15 MBit/s ist nicht zeitgemäß und wird den Anforderungen an Homeoffice oder Online-Unterricht in Mehrfamilienhäusern nicht gerecht“, sagt Hansjörg Durz, Vorsitzender des Digitalausschusses. Das Recht auf Breitband müsse „ein Sicherheitsnetz bleiben“, vor allem müsse aber der „flächendeckende Ausbau zukunftsfähiger Telekommunikationsnetze signifikant beschleunigt werden“, so der CSU-Abgeordnete. Hierzu hat die Bundesregierung kürzlich einen Referentenentwurf vorgestellt.
Aus der Abhängigkeit von Elon Musk befreien
Bleibt aber immer noch das Problem, dass das derzeitige „Sicherheitsnetz“ ausgerechnet von Elon Musk betrieben wird. Der rechtsradikale US-Unternehmer gilt trotz Verwerfungen als Verbündeter des US-Präsidenten Donald Trump, unterstützt weltweit rechtsradikale und rechtsextreme Bewegungen, darunter die AfD, und nutzte Starlink wiederholt als undurchsichtige Verhandlungsmasse, auch im russischen Angriffskrieg auf die Ukraine.
Während also Europa über digitale Souveränität diskutiert, läuft Deutschland Gefahr, sich bei grundlegender Infrastruktur zumindest teilweise noch stärker von Akteuren wie ihm abhängig zu machen. Für die grüne Digitalsprecherin Rebecca Lenhard ist das ein ernstes Problem. „Genau deshalb sind europäische Alternativen wie Eutelsat OneWeb so wichtig. Wie in vielen anderen Bereichen gilt auch beim Satelliteninternet: Wir dürfen uns nicht von außereuropäischen Anbietern abhängig machen. Europa muss hier stärker investieren und eigene Kapazitäten aufbauen“, fordert Lenhard.
Datenschutz & Sicherheit
AWS S3: Account Regional Namespaces machen Bucketsquatting den Garaus
Amazon Web Services (AWS) hat Account Regional Namespaces für Amazon S3 General Purpose Buckets eingeführt. Damit können Kunden Bucket-Namen in einem reservierten Namespace pro Konto und Region erstellen – die bisher geltende global eindeutige Namensvergabe wird damit optional. Die Funktion steht seit dem 12. März 2026 in 37 AWS-Regionen bereit, darunter die Frankfurter Region eu-central-1.
Weiterlesen nach der Anzeige
Wie AWS in seinem Blog erläutert, folgen die neuen Bucket-Namen dem Schema . Ein Beispiel: mybucket-123456789012-us-east-1-an. Das Suffix aus Konto-ID, Region und dem Kürzel an wird dabei auf die maximal erlaubten 63 Zeichen des Bucket-Namens angerechnet, sodass die verfügbare Präfixlänge je nach Region variiert. Nur der jeweilige Kontoinhaber kann Buckets mit seinem Suffix erstellen – andere Konten erhalten einen entsprechenden Fehler.
AWS behebt damit ein zentrales Problem: das sogenannte Bucketsquatting (auch Bucketsniping). Dabei registrieren Angreifer gelöschte oder vorhersagbare globale Bucket-Namen, um Datenverkehr abzufangen oder Dienste zu stören. Weil viele Organisationen vorhersehbare Namenskonventionen wie myapp-us-east-1 verwenden, war das Risiko bislang hoch. Die neue Funktion verhindert dies bei neuen Buckets vollständig, da die Namen kontoexklusiv reserviert sind.
Erzwingung per IAM-Policy und SCP
AWS stellt einen neuen Condition Key s3:x-amz-bucket-namespace bereit, mit dem Administratoren die Nutzung der Account Regional Namespaces über IAM-Policies oder Service Control Policies (SCP) erzwingen können. In Multi-Account-Setups innerhalb von AWS Organizations lässt sich so organisationsweit sicherstellen, dass nur noch kontogebundene Bucket-Namen erstellt werden. AWS empfiehlt, die neuen Namespaces standardmäßig für alle neuen Buckets zu verwenden, sofern keine zwingenden Gründe dagegen sprechen.
Erstellung und IaC-Unterstützung
In der AWS-Management-Console lässt sich beim Einrichten eines Buckets „Account Regional namespace“ direkt als Namespace-Option auswählen. Über die AWS CLI legt man ein Bucket im neuen Namespace wie folgt an: aws s3api create-bucket --bucket mybucket-123456789012-us-east-1-an --bucket-namespace account-regional --region us-east-1. Für Python-Entwickler bietet AWS im Blog ein Boto3-Beispiel mit dynamischer Namensgenerierung über STS. CloudFormation unterstützt die Funktion bereits mit den Parametern BucketNamespace und BucketNamePrefix. Terraform-Support ist hingegen noch in Arbeit – ein entsprechendes GitHub-Issue wurde am 12. März 2026 eröffnet.
Weiterlesen nach der Anzeige
Bestehende S3-Buckets bleiben von der Neuerung unberührt. Eine Umbenennung vorhandener Buckets ist nicht möglich; wer migrieren möchte, muss neue Buckets im regionalen Namespace erstellen und die Daten etwa per aws s3 sync übertragen. Alle S3-Features und APIs sind mit den neuen Namespaces vollständig kompatibel, Änderungen an bestehenden Anwendungen sind laut AWS nicht nötig. Zusätzliche Kosten fallen für die Nutzung der Account Regional Namespaces nicht an.
Ausgenommen von der Verfügbarkeit sind derzeit lediglich die Regionen Middle East (Bahrain) und Middle East (UAE). Amazons Objektspeicher S3 feierte erst kürzlich sein 20-jähriges Bestehen – die neuen Namespaces schließen nun eine seit Jahren bekannte Sicherheitslücke im Namenskonzept des Dienstes.
(fo)
Datenschutz & Sicherheit
Bundesregierung will biometrische Fotofahndung im Netz
Die Bundesregierung will der Polizei erlauben, für die Strafverfolgung und Terrorismusbekämpfung künftig das Internet nach Gesichtern zu durchsuchen. Ein Fahndungsfoto soll dafür mit allen im öffentlichen Internet auffindbaren Gesichtern biometrisch abgeglichen werden können. Bundesjustizministerin Stefanie Hubig (SPD) und Bundesinnenminister Alexander Dobrindt (CSU) haben sich dazu vergangenen Donnerstag auf drei Gesetzentwürfe geeinigt.
Biometrische Gesichtserkennung beruht darauf, dass jedes Gesicht einzigartige Merkmale hat, etwa den Abstand von Augen, Nasenspitze und Kinn. Diese Merkmale lassen ich vermessen und als Daten darstellen, das sogenannte Template. Diese Templates werden dann automatisiert miteinander verglichen.
Sicherheitspolitiker*innen fordern den Einsatz dieser Fahndungsmethode spätestens seitdem Journalist*innen Ende 2023 das untergetauchte mutmaßliche ehemalige RAF-Mitglied Daniela Klette aufspürten. Sie verwendeten dafür die kommerzielle Gesichtersuchmaschine PimEyes und fanden Bilder von Klette, die unter neuer Identität in Berlin lebte.
Allerdings verbietet die KI-Verordnung der Europäischen Union, Gesichtsbilder aus dem Internet wahllos einzusammeln und daraus biometrische Datenbanken zu erstellen. Die Ministerien wollen dieses Verbot offenbar gezielt umgehen. Sie betonen, dass für das Auslesen der Daten keine KI-Systeme genutzt würden. Außerdem würden beim geplanten „Ad-hoc-Vergleich“ keine Daten dauerhaft gespeichert. Wie dies technisch umgesetzt werden soll, geht aus den Gesetzentwürfen nicht hervor.
Das Vorhaben knüpft an die Debatte um das sogenannte Sicherheitspaket im Herbst 2024 an. Damals scheiterte die Ampel-Regierung mit ihren Plänen, weil den Ländern einige der geplanten Überwachungsbefugnisse nicht weit genug gingen.
Insgesamt bringt die Bundesregierung jetzt drei Gesetzentwürfe auf den Weg. Bundesjustizministerin Hubig stellte die geplanten Änderungen in der Strafprozessordnung (StPO) vor. Parallel kommen aus dem Bundesinnenministerium zwei Entwürfe mit vergleichbaren Befugnissen für die Polizeibehörden des Bundes.
Wie der biometrische Abgleich funktionieren soll
Laut den Plänen aus dem Justizministerium soll die Polizei die biometrische Fahndung einsetzen dürfen, um die Identität oder den Aufenthaltsort von Beschuldigten oder Zeug*innen festzustellen. Erlaubt sein soll das beim Verdacht einer Straftat von erheblicher Bedeutung – das sind etwa Mord und Vergewaltigung, aber auch Steuerhinterziehung, Geldwäsche oder Drogendelikte.
Einen Abgleich mit „öffentlich zugänglichen Echtzeitbildern“ schließt das Gesetz explizit aus. Außerdem darf der Abgleich nur auf Anordnung einer Staatsanwaltschaft erfolgen. Sollte der Einsatz keine Ermittlungsansätze, also Treffer, ergeben, müssen die Daten nach dem Abgleich wieder gelöscht werden.
Keine Datenbank mit Milliarden von Gesichtern
Um im öffentlichen Internet nach Personen suchen zu können, müssen Ermittlungsbehörden die öffentlich im Netz verfügbaren Fotos von Gesichtern zunächst durchsuchen, sammeln und in Templates umrechnen. Dabei entsteht eine Datenbank mit den biometrischen Entsprechungen von möglicherweise Milliarden von Gesichtern.
Das Ministerium betont, dass diese Vergleichsdatenbank bei dem geplanten „Ad-hoc-Abgleich“ nicht dauerhaft gespeichert würde. Die Templates müssten stattdessen für jeden Abgleich neu erstellt werden. Damit sei die „Erstellung einer dauerhaften Datenbank, die aus dem Internet erhobene Lichtbilder und/oder zugehörige Templates vorhält, […] ausgeschlossen“.
Allerdings steht das so nicht explizit im Gesetzentwurf. Dieser legt nur fest, dass die „beim Abgleich erhobenen und verarbeiteten Daten“ im Anschluss „unverzüglich“ zu löschen sind, wenn sie für die weiteren Ermittlungen nicht relevant sind. Die Referenzdatenbank selbst erwähnt der Text nicht explizit.
EU-KI-Verordnung: Warum das Vorhaben problematisch ist
Hinzu kommt: Artikel 5 der KI-Verordnung verbietet „das Inverkehrbringen, die Inbetriebnahme […] oder die Verwendung von KI-Systemen, die Datenbanken zur Gesichtserkennung durch das ungezielte Auslesen von Gesichtsbildern aus dem Internet oder von Überwachungsaufnahmen erstellen oder erweitern“.
Aus Sicht von Dirk Lewandowski ist die Sache damit eindeutig. Der Professor für Information Research & Information Retrieval an der Hochschule für Angewandte Wissenschaften Hamburg hat für die Organisation AlgorithmWatch ein Gutachten erstellt. Darin kommt er zu dem Schluss, dass die KI-Verordnung es „ausnahmslos“ verbiete, „durch ein anlassloses Scraping von Gesichter-Aufnahmen Datenbanken zur Gesichtserkennung aufzubauen“.
Ohne eine solche Referenzdatenbank könne der Abgleich nicht sinnvoll duchgeführt werden. Laut Lewandowski scheitere ein solches Vorhaben damit rechtlich wie praktisch.
Bundestagsgutachten: Wie das Verbot umgangen werden könnte
Ein Gutachten der Wissenschaftlichen Dienste des Deutschen Bundestages kommt allerdings zu einem leicht anderen Schluss. Demnach verbiete die KI-Verordnung nicht den Aufbau einer Datenbank, sondern nur das „ungezielte Auslesen von Gesichtsbildern mittels KI […], da es die Privatsphäre und den Datenschutz der Betroffenen erheblich beeinträchtigt und das Gefühl ständiger Überwachung erzeugt“.
Das in der KI-Verordnung festgelegte Verbot gelte demnach nur dann, wenn die Strafverfolgungsbehörden die Datenbanken mit Hilfe von KI-Systemen erstellen. Werden dafür keine solchen Systeme verwendet, greife die Verordnung nicht. Die Kernfrage sei also, „ob – und wenn ja, wann – bei dem biometrischen Abgleich mit Bildern aus dem Internet KI ins Spiel kommt“.
Wir sind communityfinanziert
Unterstütze auch Du unsere Arbeit mit einer Spende.
Datenbanken von Bildern aus dem Internet könnten auch ohne Künstliche Intelligenz erstellt werden, schreiben die Wissenschaftlichen Dienste weiter. So können beispielsweise Bilder mit herkömmlichen Methoden aus dem Netz heruntergeladen und dann in einer Datenbank gespeichert werden.
„Der Einsatz von KI ist also nicht zwingend erforderlich, um einen biometrischen Abgleich mit Bildern aus dem Internet durchzuführen“, so das Fazit der Wissenschaftlichen Dienste, sondern es komme „auf die konkrete Ausgestaltung und technische Umsetzung des in den Gesetzesentwürfen vorgesehenen biometrischen Abgleichs an“.
Ministerium geht durch die Hintertür
Das Justizministerium argumentiert in die gleiche Richtung. In der Gesetzesbegründung schreibt das Ministerium, ein Verbot durch die KI-Verordnung gelte nicht, „sofern für das Auslesen der Daten keine KI-Systeme eingesetzt werden“.
Diese Auslegung vertritt auch die EU-Kommission in ihren Leitlinien zur Einhaltung der Verbote aus der KI-Verordnung. Die Sichtweise würde allerdings bedeuten, dass auch andere Datenbanken zur Gesichtersuche, etwa von kommerziellen Anbietern wie PimEyes und Clearview, in der EU nicht verboten wären.
Damit würde die Kommission explizit die erklärte Absicht des EU-Parlaments umgehen. Dieses hatte bei den Verhandlungen um die KI-Verordnung auf das Verbot bestanden, weil mit der Gesichtersuche die Anonymität im öffentlichen Raum bedroht wird und es die gesellschaftlichen Auswirkungen einer solchen Überwachungsmöglichkeit fürchtete.
Fachleute für den Schutz von Grundrechten weisen bereits seit Jahren auf die Gefahren hin, die mit der biometrischen Gesichtersuche einhergehen: Die biometrischen Merkmale eines Gesichtes sind unveränderlich. Mit Hilfe der Suche lassen sich Fotos einer Person im Internet finden – und darüber indirekt wahrscheinlich auch ihr Name, der Arbeitgeber oder der Wohnort. Ein Schnappschuss reicht dafür aus.
Das erhöht nicht nur das Risiko für Stalking, sondern kann dazu führen, dass man sich auch auf einer Demonstration, bei einem Arztbesuch oder in anderen Situationen ständig beobachtet fühlt und sein Verhalten entsprechend anpasst. Der Chaos Computer Club spricht in einer Stellungnahme von der „Idee einer allgegenwärtigen Überwachung und Datenrasterung, der niemand mehr ausweichen kann“.
Die Ministerien haben die Gesetzentwürfe jetzt an die Länder geschickt. Auch Verbände können jetzt bis Anfang April ihre Kritik und Verbesserungsvorschläge zu den Vorhaben einreichen – einiges davon könnte in die Entwürfe einfließen. Eines des Gesetze benötigt zudem die Zustimmung des Bundesrates.
-
Künstliche Intelligenzvor 3 MonatenSchnelles Boot statt Bus und Bahn: Was sich von London und New York lernen lässt
-
Social Mediavor 2 WochenCommunity Management und Zielgruppen-Analyse: Die besten Insights aus Blog und Podcast
-
Social Mediavor 1 MonatCommunity Management zwischen Reichweite und Verantwortung
-
Künstliche Intelligenzvor 4 Wochen
Top 10: Die beste kabellose Überwachungskamera im Test – Akku, WLAN, LTE & Solar
-
Social Mediavor 3 MonatenDie meistgehörten Gastfolgen 2025 im Feed & Fudder Podcast – Social Media, Recruiting und Karriere-Insights
-
UX/UI & Webdesignvor 2 MonatenEindrucksvolle neue Identity für White Ribbon › PAGE online
-
Künstliche Intelligenzvor 2 MonatenAumovio: neue Displaykonzepte und Zentralrechner mit NXP‑Prozessor
-
Künstliche Intelligenzvor 3 MonatenÜber 220 m³ Fläche: Neuer Satellit von AST SpaceMobile ist noch größer
