Kommt die Ausweis­pflicht im Internet?

Die Schweiz hatte schon immer eine eigenwillige Vorstellung davon, wie Internet­regulierung zu funktionieren hat: Geht es um digitale Bürger­rechte oder Daten­schutz, will die Schweiz stets nur «autonom nachvollziehen». Sprich: Es soll nur das Nötigste von den Regeln der EU übernommen und einige Rosinen heraus­gepickt werden. Schliesslich möchte man keine Unternehmen unnötig vergraulen. Doch kaum geht es um Jugend­schutz oder Glücks­spiel im Internet, kann es plötzlich nicht genügend Verbote und Regeln geben.

Teils fallen diese dann noch strenger aus als im Rest Europas. Mit dramatischen Folgen für den Daten­schutz und die Privat­sphäre. Der neueste «Swiss Finish», bei dem selbst die EU übertroffen wird, ist nämlich ein Gesetz zur Quasi-Ausweis­pflicht durch die Hintertür. Die Rede ist vom neuen «Bundes­gesetz über den Jugend­schutz in den Bereichen Film und Videospiele».

Orientierung an der EU, aber …

Zunächst einmal regelt das neue Gesetz durchaus Punkte, bei denen schon länger Handlungs­bedarf besteht. So sind etwa die Alters­freigaben für den Film­konsum in den Kinos von Kanton zu Kanton unterschiedlich geregelt. Dass hier eine Vereinheitlichung und Harmonisierung Sinn ergibt und eine Regulierung vonnöten ist, liegt nahe.

Das Gesetz zielt aber auch auf bekannte Streaming- oder Video­plattformen wie Netflix (im Gesetzes­text ein sogenannter «Abruf­dienst») und Youtube (ein «Plattform­dienst»). Und damit handelt es sich beim neuen Jugendschutz­gesetz eben auch um ein Internet­gesetz.

In den USA besteht etwa in Louisiana neu eine Ausweis­pflicht für die Anmeldung bei Plattformen wie Pornhub. Angebote wie Netflix, Amazon Prime oder Hulu gaben bisher lediglich den Eltern Tools zur Verfügung für die bessere Kontrolle.

Die EU hatte bereits 2018 schärfere Regeln mit dem Zweck des besseren Jugend­schutzes beschlossen. Sie verabschiedete die Richtlinie über audio­visuelle Medien­dienste («Audio­visual Media Services Directive»), diese wird von den EU-Mitglieds­staaten unterschiedlich umgesetzt.

In Frankreich, Deutschland oder Österreich wurden ebenfalls Systeme zur Alters­verifikation gefordert und entsprechende Gesetze in den letzten zwei Jahren verabschiedet. Der Trend der Identifikation und Alters­prüfung ist also auf dem Vormarsch: So verlangt die ZDF-Mediathek zum Beispiel eine Alters­verifikation anhand eines Ausweis­dokuments für Inhalte, die ab 16 Jahren freigegeben werden.

Das zuständige Bundesamt für Sozial­versicherungen und das Parlament orientierten sich bei der Ausarbeitung des neuen Jugendschutz­gesetzes an der erwähnten Richtlinie über audio­visuelle Medien­dienste der EU.

Es gibt aber einen entscheidenden Unterschied.

Pauschal und gratis die Pass­daten aller Nutzerinnen

Die Artikel 8.2 und 20.2 des neuen Jugendschutz­gesetzes verlangen eine pauschale Alters­verifikation vor der erstmaligen Nutzung von Netflix und Youtube. Und damit von allen Userinnen, die diese Dienste nutzen und sich dort anmelden wollen.

Das Gesetz beschränkt sich also nicht auf spezifische Inhalte (wie Gewalt und Pornografie) wie in anderen EU-Ländern, sondern knüpft die gesamte Konto­errichtung an die Alters­prüfung. Ob sich daraus auch eine Klarnamen­pflicht für das Benutzer­konto ableitet, ist unklar. Aber de facto bekämen Netflix und Youtube somit die Passdaten von allen Schweizer Nutzerinnen.

Unmissverständlich ist der Bundesrat auch in der dazugehörigen Botschaft. Er schlägt sogar offen vor, dass die Alters­kontrolle über die Kopie des Ausweises erfolgen soll. Was zuweilen etwas unbeholfen klingt: «Das geforderte System ist dabei nicht ausschliesslich technisch zu verstehen, sondern kann zum Beispiel auch über die Einforderung einer Kopie des Personal­ausweises der Nutzerin oder des Nutzers bei der Konto­eröffnung geschehen.» Wie genau ausser auf dem technischen Weg diese Ausweis­kopie zu den Moderatoren-Teams der Plattform gelangen soll (ausser vielleicht via Briefpost), bleibt unklar.

Die Sachlage ist daher absurd: Eine Mehrheit des National- und Ständerats sowie des Bundesrats, die mit dem Schweizer Konsortium Swiss Sign erst vor kurzem gegen die Vorherrschaft von amerikanischen Daten­konzernen wie Google, Twitter, Facebook ankämpfen wollte, möchte denselben Konzernen nun staatlich verifizierte Personen­daten von theoretisch bis zu 8,5 Millionen Personen schenken – der Bevölkerung der Schweiz.

Keine Einschränkung bei der Verwertung der Daten von Erwachsenen

Die Konsequenz: Amerikanische Plattformen würden damit staatlich beglaubigte Daten (Name, Geburtsort, Geburtsdatum) und im Fall des Personal­ausweis-Bildes auch noch biometrische Daten erhalten. Ein Horror­szenario, vor dem etwa die Security-Forscherin Lilith Wittmann immer wieder gewarnt hat.

Als wäre das nicht genug, fordert der Artikel 8.3 des Gesetzes, dass die erhobenen Daten von Minder­jährigen «ausschliesslich für die Alters­kontrolle» verwendet werden dürfen. Im Umkehr­schluss bedeutet dies auch: Für die Passdaten der erwachsenen Nutzer gilt die Einschränkung nicht – mit ihnen darf alles Mögliche angestellt werden.

Sprich: Die hochgeladenen Passkopien samt ID-Nummer, Bürgerort und weiteren persönlichen Informationen sind also ein möglicher Freipass für die Bildung von kommerziellen Persönlichkeits­profilen. Mit freundlicher Genehmigung von Bundesbern.

Die Praxis, eine Ausweis­kopie oder die Angabe der zwei letzten Ziffern der Ausweis-ID zu verlangen, kam bei den Big-Tech-Plattformen bisher zum Glück nur spärlich zum Einsatz. Etwa wenn jemand eine politische Werbe­kampagne auf Facebook an bestimmte Wähler­zielgruppen ausspielen will. Ebenfalls möchten viele Anbieter eine Ausweis­kopie, wenn ein Daten­lösch­begehren gestellt wird. So verlangt die Gesichts­erkennungs­app Clearview AI perfiderweise ebenfalls eine Ausweis­kopie, wenn man seine Daten (oder eben Gesichts­bilder) löschen lassen möchte.

Mit der neuen E-ID wäre das Problem besser gelöst

Was allgemein erstaunt bei der parlamentarischen Debatte in Bern: Obwohl das politische Geschäft in mehreren Sessionen immer wieder verhandelt wurde und Differenzen bereinigt wurden, waren die Themen Ausweis­pflicht, staatliche Identität und biometrische Daten nicht einmal diskutiert worden.

Dasselbe gilt auch für die Regulierungs­folgen­abschätzung, die im Auftrag des Bundesamts für Sozial­versicherungen erarbeitet worden ist. Auch in diesem Dokument hat die Beratungs­firma lediglich die Aufwände für Plattform­betriebe evaluiert bei der Alters­prüfung, jedoch kaum über die Folgen betreffend den Daten­schutz von amtlichen Passdaten in den Händen von amerikanischen Konzernen gesprochen.

Lediglich die SVP wies darauf hin, dass eine solch strenge Prüfung nicht realistisch sei und selbst diejenige der EU übertreffe. Beides ist korrekt.

Denn ob Youtube und Netflix extra eine strenge Massen­prüfung aller Nutzerinnen mit Schweizer Wohnsitz manuell vornehmen werden, ist zu bezweifeln. Artikel 8.2 und 20.2 sind daher nicht nur aus Datenschutz­sicht problematisch, sondern auch noch impraktikabel.

Wäre das neue Schweizer E-ID-Gesetz – mit dem zurzeit verhandelten Konzept der «self-sovereign identity» – bereits in Kraft und umgesetzt, würde je nachdem das Problem der Alters­verifikation vermutlich besser gelöst werden (mittels der Freigabe einzelner Attribute wie «Alter» dank digitaler Signaturen). Doch das E-ID-Gesetz 2.0 muss erst noch im Parlament beraten werden. Eine technologische Umsetzung wird gemäss Fahrplan des Bundesamts für Justiz erst in zwei Jahren möglich sein.

Am 19. Januar 2023 läuft die Frist für die Unterschriften­sammlung gegen das «Bundes­gesetz über den Jugend­schutz in den Bereichen Film und Video­spiele» ab. Es wird knapp. Gemäss Pascal Fouquet von der Piratenpartei, die federführend beim Referendum ist, fehlen noch etliche Unterschriften.

Es bleibt zu hoffen, dass zumindest die derzeit ausgearbeitete Verordnung zum Gesetz noch genauer regeln würde, wie welche Daten erhoben werden dürfen.

Denn zur Debatte steht derzeit eine umfassende Ausweis­pflicht für die gesamte Schweizer Internet­sphäre.