Vierzehn, bitte warten

Seit dem 27. Juli ist das Social-Media-Verbot unter 14 kein Vorhaben mehr, sondern ein Text. Die Regierung hat den Entwurf in Begutachtung geschickt, also zur öffentlichen Kommentierung freigegeben, die Frist für Stellungnahmen läuft bis 21. September.

Dieser Post liegt seit April bei mir herum. Nicht weil mir nichts eingefallen wäre, sondern weil es bis vor kurzem nichts gab, woran man sich orientieren konnte. Eine Pressekonferenz, ein paar Aussendungen und sehr viele sichere Zusammenfassungen eines Gesetzes, das es bis dato noch gar nicht gab.

Die häufigste Frage vorweg, denn sie war monatelang auch meine: Muss ich dafür jetzt ID Austria haben? Nein. Die staatliche App kommt im Gesetzestext exakt null Mal vor. Dass gefühlt alle das Gegenteil glauben, liegt daran, dass die meisten Berichte die Pressekonferenz beschrieben haben statt den Paragraphen, ich bin im April selbst darauf reingefallen.

Dann die Zahl, an der ich mich in dieser Debatte festhalte. Marketagent hat im Februar tausend Österreicherinnen und Österreicher gefragt, ob Social Media ein gesetzliches Mindestalter braucht. Neunzig Prozent sagen ja und nennen im Schnitt fünfzehn Jahre als angebracht. Dieselbe Umfrage fragt auch, ob Plattformen das Alter verlässlich prüfen können. Da sagen 62 Prozent nein.

Neun von zehn wollen dieses Gesetz. Sechs von zehn glauben nicht, dass die Plattformen den Teil hinbekommen, auf dem es steht. Gleicher Fragebogen, gleicher Nachmittag. Ich halte diese neunzig Prozent nicht für hysterisch und ich fange keinen Text über Kinderschutz damit an, das Problem wegzureden.

Ich schreibe das als Informatiker und nicht als Jurist oder Pädagoge. Das heißt vor allem eines: Wenn in einem Gesetz steht, etwas müsse "nach dem Stand der Technik" geprüft werden, frage ich nicht zuerst, ob man das den Leuten zumuten darf, sondern ob der Stand der Technik das überhaupt kann. Das meiste, was jetzt kommt, ist einfach das, was beim Nachschauen herausgekommen ist.

Was drinsteht, ist besser als sein Ruf

Fangen wir mit dem Teil an, den die Aufregung überspringt: Der Entwurf ist klüger als das trotzige "einfach TikTok verbieten", auf das ihn beide Seiten gern verkürzen.

Der neue § 54e Abs. 3 Z 5 sperrt unter Vierzehnjährige nicht von "Social Media" aus, sondern von Plattformen, die eine von fünf Funktionen einsetzen:

• einen Empfehlungsfeed, in dem mehr als ein Drittel der Inhalte von Fremden kommt
• Autoplay oder Infinite Scroll
• Belohnungsmechaniken, die Interaktionszahlen hochtreiben
• Benachrichtigungen, die zur Rückkehr drängen
• Teilen mit Leuten ohne gegenseitige Kontaktbeziehung

Reine Messenger, die nur gewählte Kontakte verbinden, erfüllen keine der fünf Funktionen und bleiben draußen.

Die Liste liest sich wie eine Baubeschreibung einer Suchtmaschine. Die Erläuterungen sagen es offen: Ziel ist suchterzeugendes Design, nicht das Medium. Und die Forschung gibt genau dieser Ebene recht. Die Evidenz, dass engagement-optimiertes Design manchen Jugendlichen schadet, ist deutlich stärker als die dafür, dass Social Media unter Alter X pauschal schadet. Ein Gesetz, das die fünf Mechaniken adressiert, steht also auf besserem Boden als jedes Pauschalverbot. Dass ausgerechnet ein österreichischer Entwurf das hinbekommt, hätte ich nicht erwartet.

Die Strafen treffen die Plattformen, nicht die Kinder und auch nicht die Eltern. Eine Attrappe sind sie ebenfalls nicht: bisher maximal 150.000 Euro, künftig bis zu sechs Prozent des weltweiten Jahresumsatzes für sehr große Plattformen. Das ist die Gewichtsklasse des Digital Services Act, des großen EU-Plattformgesetzes. Einen Vorbehalt haben die sechs Prozent allerdings: Fast jede große Plattform sitzt in Dublin und ob Österreich die überhaupt selbst strafen darf, ist offen, Frankreich wurde für so einen Alleingang heuer erst zurückgepfiffen.

Zwei Dinge stehen allerdings weiter hinten im Text und die haben es in kaum einen Bericht geschafft.

Erstens: Dieselbe Prüfarchitektur gilt auch für das bestehende 18-plus-Verbot bei Pornografie. Damit ist das keine Regelung für ein paar Jahrgänge Schulkinder mehr. Es ist die Infrastruktur für die Frage, wann sich in diesem Land irgendwer im Internet ausweisen muss.

Zweitens steht in Abs. 3b, wie verlässlich das Alter festgestellt werden muss: nach einem Sorgfaltsmaßstab, der dem Finanzmarkt-Geldwäschegesetz entspricht oder gleichwertig ist. Das FM-GwG ist der Standard, mit dem dich eine Bank beim Kontoeröffnen durchleuchtet. Merk dir diesen Absatz, er kommt später wieder.

Was versprochen wird, steht nicht im Gesetz

Staatssekretär Alexander Pröll hat die Prüfung so beworben: „Kein Pass, keine Daten, keine Wohnadresse" komme bei den Plattformen an. Das Bundeskanzleramt beschreibt ein „Double-Blind"-Modell mit Zero-Knowledge-Beweisen, also Kryptographie, die "über 14" beweist, ohne zu verraten, wer du bist. Klingt ja hervorragend.

Jetzt der Teil, für den man den Text aufmachen muss. Dass ID Austria im Gesetz null Mal vorkommt, hatten wir schon. "Zero-Knowledge" kommt übrigens genauso oft vor, ich habe gesucht. Dabei ist der Entwurf beim Datenschutz nicht stumm, im Gegenteil: Abs. 3a verlangt die datensparsamsten verfügbaren Methoden nach dem Stand der Technik, Nichtbeobachtbarkeit und Nichtverfolgbarkeit (der Prüfer darf nicht mitbekommen, wo du den Nachweis verwendest, niemand darf ihn zu dir zurückverfolgen) und kein zentrales Protokoll darüber, wer wo geprüft wurde. Das steht wirklich im Gesetzestext und es ist mehr, als die meisten Länder je hingeschrieben haben. Gleich daneben steht allerdings Abs. 3b mit der Bankprüfung. Beides zusammen geht: einmal die Identität feststellen, danach nur noch "über 14" weiterreichen, aber die Feststellung passiert. Und was mit den dabei erhobenen Ausweisdaten geschieht, wie lange sie wer speichern darf und wann sie gelöscht sein müssen, das regelt der Entwurf mit keinem einzigen Wort, wie die Grünen als Einzige laut sagen.

Das Ergebnis ist ein Text, aus dem sich drei Beobachter drei verschiedene Wahrheiten geholt haben, alle vertretbar. NEOS lesen: "keine Klarnamenpflicht, ID Austria nur eine Option". Das deutsche IT-Magazin heise liest: "Ausweiszwang". Die Grünen lesen: "faktisch ein Verzeichnis aller Menschen, die soziale Medien nutzen wollen". Alle drei schauen auf denselben Paragraphen. Das geht nur, weil der Paragraph die Anonymität als Anforderung und die Bankprüfung als Pflicht gleichzeitig enthält und zur dritten Frage, dem Verbleib der Daten, schweigt.

Um fair zu sein, in beide Richtungen: Wer schreibt, Österreich mache ID Austria verpflichtend, liegt am Text gemessen falsch. Aber die Entwarnung ist keine: Wenn die Methode offen bleibt und niemand regelt, was aus den Ausweisdaten wird, dann entscheidet nicht das Parlament über den Datenschutzpreis dieses Gesetzes. Dann entscheiden ihn später die Einkaufsabteilungen der Plattformen. Keine Pflicht, aber eine offene Tür.

Falls du dich fragst, wie fix das alles schon ist: gar nicht. Der Text ist ein Entwurf mitten in genau dieser Kommentierungsphase, danach geht er ins Parlament und dort kann sich noch einiges ändern. Die Lücken könnten bis dahin also noch gestopft werden und ich hoffe darauf. Nur bewirbt die Regierung ihre Datenschutz-Versprechen eben jetzt schon, auf Basis genau dieses Texts, in dem sie nicht stehen. Verkauft wird eine Version des Gesetzes, die es noch nicht gibt.

Der Kalender

Drei Termine bestimmen dieses Gesetz. Am 1. Jänner 2027 tritt es in Kraft. Bis 31. März 2027 müssen die Plattformen es umsetzen. Und die Prüfstellen, die absegnen sollen, welche Alterskontrolle überhaupt gilt? Kommen Mitte 2027. Das Gesetz gilt damit ein halbes Jahr, bevor die Stellen existieren, die es betreiben sollen. Sogar die Plattformen müssen liefern, drei Monate bevor es die Prüfstellen gibt. Das ist kein Datenschutz-Einwand und keine Ideologie, sondern einfach ein Kalender. Die vierte Zeile im Diagramm, die EU-Frist, gehört zur Wallet, dazu gleich.

Womit also prüfen? Der Entwurf schreibt keine Methode vor und die drei Werkzeuge, die dafür im Raum stehen, fallen alle aus. Die Prüfstellen existieren noch nicht einmal auf dem Papier und was die Fachpresse ihnen zutraut, sobald es sie gibt, sagt ihr Vergleich: Kaufhaus Österreich, der Staats-Webshop, der 2020 nach allgemeinem Gespött unterging. Die europäische Altersprüfungs-App ist in keinem einzigen Mitgliedsstaat erschienen und wurde trotzdem schon zweimal öffentlich ausgehebelt (April, Juli), zuletzt mit einer Browser-Erweiterung, die einen fremden Altersnachweis einfach wiederverwendet. Ein Nachweis, der aus Datenschutzgründen an niemanden gebunden ist, funktioniert eben wie ein Festivalbändchen, egal von wessen Handgelenk er stammt. Das ist kein Bug dieser einen App, sondern der Preis jeder anonymen Prüfung, dazu bei den Vorschlägen mehr. Und die Wallet? Das ist die geplante digitale Brieftasche des Staates, in der ID Austria und so ein Altersnachweis später wohnen sollen, Österreich muss sie wie jeder EU-Staat bis 24. Dezember 2026 anbieten. Die Antwort des Bundeskanzlers auf eine parlamentarische Anfrage dazu: Budget zwölf Millionen, zusätzliches Personal keines, externe Dienstleister "nicht vorgesehen", fünf Monate vor der Frist. Geld ist da, es arbeitet nur niemand damit.

Natürlich kann das Parlament die Termine noch schieben. Aber ein Entwurf, dessen Vollzug schon auf dem Papier Monate zu spät kommt, erzählt ziemlich genau, was wichtiger war: das Inkrafttreten oder das Funktionieren. Am 31. März 2027 gibt es eine Pflicht und nichts von dem, womit man sie erfüllen soll. Die Plattformen suchen sich Methode und Dienstleister selbst aus, der Startzustand ist absehbar das, was heute schon da ist: ein Geburtsdatumsfeld. Oder, die andere Richtung, gleich der Ausweis, dazu später mehr. Wie das ausgeht, wurde zum Glück schon gemessen.

Drei Länder, drei Versagensarten

In jeder Diskussion kommt als Erstes der entschlossene Teenager, der den Gesichtsscanner austrickst. Zum Glück gibt es ein Land, in dem man nachschauen kann, wie es wirklich läuft: Australien verbietet seit Dezember 2025 Social-Media-Konten unter sechzehn, das strengste Gesetz dieser Art in der westlichen Welt. Und die Daten von dort erzählen eine unspektakulärere Geschichte: Ausgetrickst wird selten, meistens steht da gar kein Scanner.

Die Molly Rose Foundation, eine britische Kinderschutzorganisation, gegründet nach dem Suizid der vierzehnjährigen Molly Russell, hat 1.050 australische Kinder zwischen 12 und 15 befragt: Über die Hälfte hatte weiterhin Zugang zu ihren Konten und davon sagten rund sechs von zehn, die Plattform habe mit ihrem Konto überhaupt nichts gemacht. Die australische Aufsicht eSafety fand dasselbe von der anderen Seite: Der häufigste Grund, warum ein Kinderkonto überlebte, war schlicht, dass nie jemand nach dem Alter gefragt hat.

Das war die Fragebogen-Seite, die Messungen sagen dasselbe. Eine Studie im britischen Medizinjournal BMJ misst über 85 Prozent der Unter-Sechzehnjährigen weiterhin auf den beschränkten Plattformen, mit oder ohne eigenes Konto. Und ein Arbeitspapier des US-Wirtschaftsforschungsinstituts NBER schätzt, wie viele Minderjährige das Verbot tatsächlich draußen hält: im April noch 27 Prozent, zwei Monate später sechs. Der Effekt zerfällt, je mehr Kinder den Weg zurück finden.

Und das zweitbeliebteste Argument gleich mit: Nein, es sind nicht die VPNs. VPN-Nutzung lag bei den betroffenen Kindern bei vier bis fünf Prozent pro Plattform. Die tatsächliche Umgehung ist ein Geburtsdatumsfeld und das Konto vom älteren Bruder. Der österreichische Entwurf sieht übrigens vor, dass nur einmal pro Konto geprüft wird, nicht bei jedem Login. Datensparsam gedacht, nur bleibt das einmal geliehene Bruder-Konto damit dauerhaft offen. Dagegen hilft keine Technologie, denn das System wird nicht überlistet, es existiert einfach nicht.

Der Ehrlichkeit halber die Gegenzahlen, es gibt sie. Die Kindersicherungs-App Qustodio misst als einzige der australischen Quellen direkt am Gerät statt per Fragebogen und sieht die Snapchat-Nutzung australischer 13- bis 15-Jähriger real fallen, stärker als es die australischen Sommerferien erklären würden, in die das Verbot hinein gestartet ist. Ein schwacher Filter ist messbar nicht dasselbe wie gar keiner. Dieselben Daten zeigen den Effekt allerdings bereits wieder abklingen und ob es irgendeinem Kind besser geht, beantwortet keine dieser Zahlen. Die BMJ-Studie hat Wohlbefinden gar nicht erst gemessen.

Der naheliegende Einwand: selber schuld. Wer ein Verbot beschließt, aber keine Methode vorschreibt und Verstöße nicht konsequent straft, braucht sich über das Ergebnis nicht zu wundern. Stimmt, nur beschreibt dieser Satz keine australische Schlamperei, sondern ziemlich genau die Startaufstellung, mit der Österreich am 31. März 2027 antritt: Pflicht ja, Methode offen, niemand, der sagt, welche Methode der Bankprüfung genügt. Australien hatte zum Start sogar mehr, nämlich eine fertige Aufsicht samt Millionenstrafen im Gesetz. Genützt hat es den Kindern dort messbar wenig.

Und schärfer kontrollieren rettet die Sache auch nicht, denn dafür gibt es das Gegenbeispiel: Großbritannien, wo tatsächlich geprüft wird. Über 69 Millionen Alterskontrollen in sechs Monaten, alle zehn größten Pornoseiten brav verriegelt. Das Ergebnis steht im bemerkenswert ehrlichen Bericht der Aufsicht Ofcom: Die Zahl der gesicherten Dienste unter den hundert größten sinkt inzwischen wieder, weil der Verkehr zu den ungesicherten wandert.

Wohin er wandert, hat die Washington Post durchgemessen: Von den 90 größten Pornoseiten des Landes prüfen 14 gar nicht und genau diese 14 legten kräftig zu, eine verdoppelte ihre britischen Besuche auf über 350.000 im Monat. Manche erklären ihren Nutzern gleich Tor, also den Anonymisierungsbrowser, mit dem man auch ins Darknet kommt, dorthin, wo keine Aufsicht und keine Alterskontrolle der Welt je hinreichen. Eine Pornoseite hat genau einen Grund, ihren Besuchern so ein Werkzeug zu empfehlen: Die Kundschaft soll weiterklicken können, ohne dass irgendein Gesetz noch dazwischenkommt, egal wie alt sie ist. Genau dort kursieren laut Kinderschutz-Fachleuten auch die extremeren Inhalte, bis hin zu Missbrauchsdarstellungen. Die Alterskontrolle wirkt so als staatlich verordnete Umleitung zu den Seiten, die sich an gar nichts halten.

Ofcoms eigenes Fazit: wirksam auf Ebene des einzelnen Dienstes, nicht auf Ebene des Sektors. Und der Anteil der Kinder, die von schädlichen Inhalten berichten, lag ein paar Monate nach Start der Kontrollen bei 73 Prozent, davor waren es 70.

Und Südkorea ist der Härtetest für das Argument, man müsse nur streng genug sein. Das einzige Land, das je mit echter staatlicher Identitätsnummer durchgesetzt hat, hat sein nächtliches Spieleverbot für unter Sechzehnjährige nach zehn Jahren wieder abgeschafft. Der Vollzug funktionierte, der messbare Ertrag laut Journal of Adolescent Health und einer zweiten Auswertung: praktisch keine Änderung der Internetnutzung und rund eineinhalb Minuten Schlaf pro Kind. Wenn Koreas Medienaufsicht heute über Altersgrenzen für Social Media nachdenkt, zitiert sie das eigene Gesetz als Warnung.

Man kann sich aussuchen, welche der drei Versagensarten einem am wenigsten weh tut. Die Molly Rose Foundation, wirklich keine Anti-Regulierungs-Lobby, zieht aus alldem einen bemerkenswerten Schluss: Es wäre "zutiefst unklug", wenn andere Länder jetzt mit Social-Media-Verboten nachziehen.

Das sagt die Kinderschutzorganisation und Österreich zieht trotzdem nach.

Die falsche Zahl und die Technik, die sie nicht treffen kann

Selbst wenn man all das beiseiteschiebt, bleiben zwei Probleme, die jedes Altersgrenzen-Gesetz mitschleppt: die Zahl selbst und die Frage, ob irgendeine Technik sie messen kann.

Zur Zahl. Die beste verfügbare Arbeit dazu kommt von Orben, Przybylski und Kollegen, ausgerechnet der Forschungsgruppe, die in dieser Debatte sonst vor überschätzten Effekten warnt. Mit Daten von rund 84.000 britischen Jugendlichen haben sie gezeigt: Der Zusammenhang zwischen Social-Media-Nutzung und sinkender Lebenszufriedenheit ballt sich in Altersfenstern, bei Mädchen 11 bis 13, bei Burschen 14 bis 15, bei beiden nochmal um 19.

Österreichs Grenze liegt bei vierzehn. Sie endet genau nach dem Fenster der Mädchen und mitten im Fenster der Burschen. Gewählt wurde sie auch nicht aus der Entwicklungsforschung, sondern aus der Rechtsordnung: Mit vierzehn endet in Österreich die Unmündigkeit, mit ihr beginnen die beschränkte Geschäftsfähigkeit und das DSGVO-Einwilligungsalter. Australien und das EU-Parlament sagen sechzehn, das Expertengremium der EU-Kommission dreizehn. Wenn dieselbe Evidenz Zahlen von dreizehn bis sechzehn begründen kann, begründet sie keine davon.

Zur Technik. Australien hat sich seinen Feldversuch 6,5 Millionen australische Dollar kosten lassen, 48 Anbieter, über 28.000 Gesichtsbildtests. Die Schlagzeile des Abschlussberichts: Altersprüfung geht "privat, effizient und wirksam". Die Tabellen desselben Berichts: An einer 16er-Schwelle kommen 73,3 Prozent der Fünfzehnjährigen durch, 13,9 Prozent der Sechzehnjährigen werden fälschlich abgewiesen und um jede Schwelle räumt der Bericht selbst eine Grauzone von zwei bis drei Jahren ein. Vierzehn, fünfzehn, sechzehn: Jede in Europa diskutierte Grenze liegt vollständig in dieser Grauzone.

Dazu ein Detail, das man kennen muss: Durchgeführt wurde der Versuch von einer Zertifizierungsfirma, die laut eigenem Interessenkonfliktregister Zertifikate an genau die Anbieter verkauft, die sie getestet hat. Der Prüfer verdient also am Erfolg der Geprüften. Entsprechend gehen die Zahlen auseinander: Die Firma selbst sagt, ihre Gesichtsschätzung liegt im Schnitt um eineinhalb Jahre daneben, das US-Normungsinstitut NIST, das dieselbe Technik unabhängig testet, misst bei Jugendlichen drei bis fünf Jahre. Man darf sich aussuchen, wem man glaubt, nur lebt eine der beiden Stellen vom Verkauf guter Noten.

Wo die Ausweise landen

Gesichtsschätzung kann die beschlossenen Schwellen also nicht treffen, verlässliche Prüfung läuft damit auf Dokumente hinaus. Der Ausweis kommt so ins Spiel, nicht weil ihn irgendwer vorschreibt, sondern weil die Alternative zu ungenau ist. Den Maßstab dafür hat der Entwurf ja schon: Abs. 3b, die Bankprüfung. Offen ist nur, wo die Dokumente nachher liegen. Discord kann davon erzählen: 70.000 Ausweisfotos seiner Nutzer flossen 2025 ab, nicht bei Discord selbst, sondern bei einem externen Dienstleister, dessen Namen vorher kaum jemand kannte. Der Entwurf, der solche Dienstleister in Österreich zum Alltag machen wird, regelt weder Speicherfrist noch Löschpflicht noch wer ein Dokument überhaupt in die Hand nehmen darf. Der Einwand, die DSGVO regle das ohnehin, tröstet begrenzt, denn die galt 2025 auch schon.

Und das Datenleck ist nicht einmal das schlimmste Szenario, das schlimmste ist der Normalbetrieb: Dein Konto ist dann fix mit deinem Ausweis verknüpft. Instagram bietet den Ausweis-Upload heute schon an, das Foto liegt danach 30 Tage auf Meta-Servern. Meta ist ein US-Konzern und der CLOUD Act verpflichtet US-Konzerne, ihren Behörden Daten herauszugeben, auch wenn die auf europäischen Servern liegen. Was du postest, ist dann nicht mehr nur ungefähr dir zuzuordnen, sondern amtlich.

Das trifft zuerst alle, die Pseudonymität brauchen: Whistleblower, Journalistinnen und ihre Quellen. Und im Zweifel dich. Die USA screenen unter Trump seit vergangenem Jahr die Social-Media-Profile von Visa-Antragstellern, Studierende müssen ihre Konten öffentlich stellen, gesucht wird nach "feindseligen Einstellungen" gegenüber Amerika und rund 1.500 Studierendenvisa wurden bereits entzogen, viele wegen Postings. Ein Alterssystem, das Konten an Ausweise bindet, erledigt für solche Prüfungen die Zuordnung gleich mit.

Freie Hand für die Plattformen heißt also nicht ein bisschen Datenschutzrisiko. Es heißt: Entweder passiert gar nichts, das Geburtsdatumsfeld von heute. Oder es passiert das Maximum, der Ausweis beim Konzern. Der Entwurf überlässt die Wahl den Plattformen und keines der beiden Enden wurde für dich gewählt.

Was ich stattdessen tun würde

Nur dagegen sein ist billig, also konkret:

Die fünf Mechaniken für alle regeln statt Kinder aussperren. Der beste Teil des Entwurfs ist die Feature-Liste und ihre Evidenz trägt. Infinite Scroll, Autoplay, Streaks und nächtliche Push-Kaskaden kann man regulieren, ohne von irgendwem zu wissen, wie alt er ist. Macht man es für alle, verschwindet die Identifikationsfrage komplett. Und für alle hieße wirklich für alle, denn erwachsen macht gegen dieses Design nicht immun: Als Ökonomen Erwachsene dafür bezahlten, Facebook vier Wochen zu deaktivieren, ging es denen messbar besser und eine Folgestudie schätzt, dass rund ein Drittel der Social-Media-Nutzung schlicht auf Selbstkontrollprobleme zurückgeht. Ja, das ist der größere Eingriff ins Produkt, aber der kleinere in die Grundrechte.

Bestehendes Recht vollziehen, bevor man neues schreibt. Der DSA verpflichtet große Plattformen längst zum Minderjährigenschutz und die Kommission führt seit 2024 Verfahren gegen TikTok und Meta. Ergebnis bisher: vorläufige Feststellungen, null Entscheidungen. Irland, zuständig für fast jede große Plattform Europas, hat seit einem Jahr als einziges Land verbindliche Altersprüfungs-Regeln für soziale Netzwerke. Bevor man eine neue Maschine baut, könnte man die vorhandene einschalten. Die hätte gegenüber Dublin sogar unstrittig Zuständigkeit, die Zuständigkeitsfrage von vorhin gäbe es dort nicht.

Doppelte Anonymität als Muss, nicht als Kann. Frankreich und Italien zeigen, wie man es festschreibt: doppelte Anonymität verbindlich, eine zertifizierte dritte Stelle prüft, die Plattform erfährt nur "über N" und der Prüfer erfährt nie, wo der Nachweis verwendet wird. Das ist das Double-Blind von der Pressekonferenz, nur diesmal als Gesetz. Italien stuft sogar die staatliche digitale Identität SPID als nicht konform ein, weil sie genau diese Blindheit bricht. Nach demselben Maßstab wäre auch ID Austria als Prüfmethode draußen. In der europäischen Spezifikation ist genau diese doppelte Anonymität optional. Sie verbindlich zu machen und drei Zeilen Löschpflicht dazuzuschreiben wäre die wirksamste einzelne Änderung im ganzen Stapel und Österreich könnte sie im eigenen Gesetz vornehmen, ohne auf irgendwen zu warten. Das Festivalbändchen von vorhin kauft man sich damit trotzdem ein, das ist der Preis jeder anonymen Prüfung, nur legt diese Variante dabei wenigstens kein Ausweisarchiv an.

Messen, verpflichtend. Bisher hat jedes Land, das ehrlich gemessen hat, weniger gefunden als versprochen. Die anderen werden bis heute als Erfolg zitiert, Irland etwa hat zu seinem Jahr Altersprüfung keine einzige Wirksamkeitszahl veröffentlicht. Eine jährliche Veröffentlichungspflicht, wie viele Konten geprüft wurden, mit welcher Methode und wie viele Minderjährige trotzdem drin sind, würde diesen Trick beenden. Der Entwurf enthält stattdessen eine Evaluierungsklausel, also einen Bericht, irgendwann.

Bleibt die Frage, warum das alles so eilig sein muss. Ums Erster-Sein kann es nicht mehr gehen, Frankreich hat sein Verbot schon im Juli beschlossen, nach dem Zurückpfeifen von oben allerdings ohne jede Strafbestimmung. Ich habe nur eine Erklärung, die zum Kalender passt: Ein Kinderschutzgesetz ist der dankbarste Punkt auf jeder Regierungsliste, weil niemand dagegen sein kann.

Dabei wäre Warten ausgerechnet jetzt billig. Die einzige Studie, die je sauber beantworten wird, ob so ein Verbot Kindern tatsächlich hilft, läuft bereits: die offizielle australische Evaluierung mit Stanford, mehr als 4.000 junge Menschen über zwei Jahre, inklusive Messung direkt am Gerät, erste Ergebnisse noch heuer. Österreich startet sein eigenes Experiment trotzdem am 31. März 2027, ohne Prüfstellen und gegen jede bisherige Messung, während das Labor nebenan die Auswertung schon laufen hat.

So bekommen am Ende alle, was sie erwartet haben. Die neunzig Prozent aus der Umfrage vom Anfang ihr Mindestalter, die 62 Prozent ihre Bestätigung, dass es keiner prüft. Die Zwölfjährige ihren Feed, ein anderes Geburtsjahr kostet nichts. Und ich irgendwann ein Ausweisfoto bei einem Dienstleister, dessen Namen ich beim nächsten Datenleck erfahre.

Nur eines funktioniert schon heute: das Foto vom Sommerministerrat weiter oben, zwei zufriedene Männer vor zwei Fahnen. Auf einem Foto sieht Angekündigt genauso aus wie Erledigt.

Und Mitte 2027, ein halbes Jahr nach dem Gesetz, eröffnen dann die Prüfstellen, die es tragen sollen. Falls sie so werden wie damals Kaufhaus Österreich, hat der Datenschutz am Ende doch gewonnen: Was nie funktioniert, speichert wenigstens nichts.