Kommt die Ausweispflicht im Internet?
Das Referendum gegen das neue Schweizer Jugendschutzgesetz droht zu scheitern. Mit dramatischen Folgen für die Privatsphäre.
Von Adrienne Fichter, 11.01.2023
Vorgelesen von Magdalena Neuhaus
Journalismus kostet. Dass Sie diesen Beitrag trotzdem lesen können, verdanken Sie den rund 29’000 Leserinnen, die die Republik schon finanzieren. Wenn auch Sie unabhängigen Journalismus möglich machen wollen: Kommen Sie an Bord!
Die Schweiz hatte schon immer eine eigenwillige Vorstellung davon, wie Internetregulierung zu funktionieren hat: Geht es um digitale Bürgerrechte oder Datenschutz, will die Schweiz stets nur «autonom nachvollziehen». Sprich: Es soll nur das Nötigste von den Regeln der EU übernommen und einige Rosinen herausgepickt werden. Schliesslich möchte man keine Unternehmen unnötig vergraulen. Doch kaum geht es um Jugendschutz oder Glücksspiel im Internet, kann es plötzlich nicht genügend Verbote und Regeln geben.
Teils fallen diese dann noch strenger aus als im Rest Europas. Mit dramatischen Folgen für den Datenschutz und die Privatsphäre. Der neueste «Swiss Finish», bei dem selbst die EU übertroffen wird, ist nämlich ein Gesetz zur Quasi-Ausweispflicht durch die Hintertür. Die Rede ist vom neuen «Bundesgesetz über den Jugendschutz in den Bereichen Film und Videospiele».
Orientierung an der EU, aber …
Zunächst einmal regelt das neue Gesetz durchaus Punkte, bei denen schon länger Handlungsbedarf besteht. So sind etwa die Altersfreigaben für den Filmkonsum in den Kinos von Kanton zu Kanton unterschiedlich geregelt. Dass hier eine Vereinheitlichung und Harmonisierung Sinn ergibt und eine Regulierung vonnöten ist, liegt nahe.
Das Gesetz zielt aber auch auf bekannte Streaming- oder Videoplattformen wie Netflix (im Gesetzestext ein sogenannter «Abrufdienst») und Youtube (ein «Plattformdienst»). Und damit handelt es sich beim neuen Jugendschutzgesetz eben auch um ein Internetgesetz.
In den USA besteht etwa in Louisiana neu eine Ausweispflicht für die Anmeldung bei Plattformen wie Pornhub. Angebote wie Netflix, Amazon Prime oder Hulu gaben bisher lediglich den Eltern Tools zur Verfügung für die bessere Kontrolle.
Die EU hatte bereits 2018 schärfere Regeln mit dem Zweck des besseren Jugendschutzes beschlossen. Sie verabschiedete die Richtlinie über audiovisuelle Mediendienste («Audiovisual Media Services Directive»), diese wird von den EU-Mitgliedsstaaten unterschiedlich umgesetzt.
In Frankreich, Deutschland oder Österreich wurden ebenfalls Systeme zur Altersverifikation gefordert und entsprechende Gesetze in den letzten zwei Jahren verabschiedet. Der Trend der Identifikation und Altersprüfung ist also auf dem Vormarsch: So verlangt die ZDF-Mediathek zum Beispiel eine Altersverifikation anhand eines Ausweisdokuments für Inhalte, die ab 16 Jahren freigegeben werden.
Das zuständige Bundesamt für Sozialversicherungen und das Parlament orientierten sich bei der Ausarbeitung des neuen Jugendschutzgesetzes an der erwähnten Richtlinie über audiovisuelle Mediendienste der EU.
Es gibt aber einen entscheidenden Unterschied.
Pauschal und gratis die Passdaten aller Nutzerinnen
Die Artikel 8.2 und 20.2 des neuen Jugendschutzgesetzes verlangen eine pauschale Altersverifikation vor der erstmaligen Nutzung von Netflix und Youtube. Und damit von allen Userinnen, die diese Dienste nutzen und sich dort anmelden wollen.
Das Gesetz beschränkt sich also nicht auf spezifische Inhalte (wie Gewalt und Pornografie) wie in anderen EU-Ländern, sondern knüpft die gesamte Kontoerrichtung an die Altersprüfung. Ob sich daraus auch eine Klarnamenpflicht für das Benutzerkonto ableitet, ist unklar. Aber de facto bekämen Netflix und Youtube somit die Passdaten von allen Schweizer Nutzerinnen.
Unmissverständlich ist der Bundesrat auch in der dazugehörigen Botschaft. Er schlägt sogar offen vor, dass die Alterskontrolle über die Kopie des Ausweises erfolgen soll. Was zuweilen etwas unbeholfen klingt: «Das geforderte System ist dabei nicht ausschliesslich technisch zu verstehen, sondern kann zum Beispiel auch über die Einforderung einer Kopie des Personalausweises der Nutzerin oder des Nutzers bei der Kontoeröffnung geschehen.» Wie genau ausser auf dem technischen Weg diese Ausweiskopie zu den Moderatoren-Teams der Plattform gelangen soll (ausser vielleicht via Briefpost), bleibt unklar.
Die Sachlage ist daher absurd: Eine Mehrheit des National- und Ständerats sowie des Bundesrats, die mit dem Schweizer Konsortium Swiss Sign erst vor kurzem gegen die Vorherrschaft von amerikanischen Datenkonzernen wie Google, Twitter, Facebook ankämpfen wollte, möchte denselben Konzernen nun staatlich verifizierte Personendaten von theoretisch bis zu 8,5 Millionen Personen schenken – der Bevölkerung der Schweiz.
Keine Einschränkung bei der Verwertung der Daten von Erwachsenen
Die Konsequenz: Amerikanische Plattformen würden damit staatlich beglaubigte Daten (Name, Geburtsort, Geburtsdatum) und im Fall des Personalausweis-Bildes auch noch biometrische Daten erhalten. Ein Horrorszenario, vor dem etwa die Security-Forscherin Lilith Wittmann immer wieder gewarnt hat.
Als wäre das nicht genug, fordert der Artikel 8.3 des Gesetzes, dass die erhobenen Daten von Minderjährigen «ausschliesslich für die Alterskontrolle» verwendet werden dürfen. Im Umkehrschluss bedeutet dies auch: Für die Passdaten der erwachsenen Nutzer gilt die Einschränkung nicht – mit ihnen darf alles Mögliche angestellt werden.
Sprich: Die hochgeladenen Passkopien samt ID-Nummer, Bürgerort und weiteren persönlichen Informationen sind also ein möglicher Freipass für die Bildung von kommerziellen Persönlichkeitsprofilen. Mit freundlicher Genehmigung von Bundesbern.
Die Praxis, eine Ausweiskopie oder die Angabe der zwei letzten Ziffern der Ausweis-ID zu verlangen, kam bei den Big-Tech-Plattformen bisher zum Glück nur spärlich zum Einsatz. Etwa wenn jemand eine politische Werbekampagne auf Facebook an bestimmte Wählerzielgruppen ausspielen will. Ebenfalls möchten viele Anbieter eine Ausweiskopie, wenn ein Datenlöschbegehren gestellt wird. So verlangt die Gesichtserkennungsapp Clearview AI perfiderweise ebenfalls eine Ausweiskopie, wenn man seine Daten (oder eben Gesichtsbilder) löschen lassen möchte.
Mit der neuen E-ID wäre das Problem besser gelöst
Was allgemein erstaunt bei der parlamentarischen Debatte in Bern: Obwohl das politische Geschäft in mehreren Sessionen immer wieder verhandelt wurde und Differenzen bereinigt wurden, waren die Themen Ausweispflicht, staatliche Identität und biometrische Daten nicht einmal diskutiert worden.
Dasselbe gilt auch für die Regulierungsfolgenabschätzung, die im Auftrag des Bundesamts für Sozialversicherungen erarbeitet worden ist. Auch in diesem Dokument hat die Beratungsfirma lediglich die Aufwände für Plattformbetriebe evaluiert bei der Altersprüfung, jedoch kaum über die Folgen betreffend den Datenschutz von amtlichen Passdaten in den Händen von amerikanischen Konzernen gesprochen.
Lediglich die SVP wies darauf hin, dass eine solch strenge Prüfung nicht realistisch sei und selbst diejenige der EU übertreffe. Beides ist korrekt.
Denn ob Youtube und Netflix extra eine strenge Massenprüfung aller Nutzerinnen mit Schweizer Wohnsitz manuell vornehmen werden, ist zu bezweifeln. Artikel 8.2 und 20.2 sind daher nicht nur aus Datenschutzsicht problematisch, sondern auch noch impraktikabel.
Wäre das neue Schweizer E-ID-Gesetz – mit dem zurzeit verhandelten Konzept der «self-sovereign identity» – bereits in Kraft und umgesetzt, würde je nachdem das Problem der Altersverifikation vermutlich besser gelöst werden (mittels der Freigabe einzelner Attribute wie «Alter» dank digitaler Signaturen). Doch das E-ID-Gesetz 2.0 muss erst noch im Parlament beraten werden. Eine technologische Umsetzung wird gemäss Fahrplan des Bundesamts für Justiz erst in zwei Jahren möglich sein.
Am 19. Januar 2023 läuft die Frist für die Unterschriftensammlung gegen das «Bundesgesetz über den Jugendschutz in den Bereichen Film und Videospiele» ab. Es wird knapp. Gemäss Pascal Fouquet von der Piratenpartei, die federführend beim Referendum ist, fehlen noch etliche Unterschriften.
Es bleibt zu hoffen, dass zumindest die derzeit ausgearbeitete Verordnung zum Gesetz noch genauer regeln würde, wie welche Daten erhoben werden dürfen.
Denn zur Debatte steht derzeit eine umfassende Ausweispflicht für die gesamte Schweizer Internetsphäre.