Britisches Gesetz zur Altersverifizierung: Leitfaden zur Einhaltung des Online-Sicherheitsgesetzes

Was das Online-Sicherheitsgesetz vorschreibt

Das Online-Sicherheitsgesetz 2023 wurde am 26. Oktober 2023 vom Königlichen Rat bestätigt und ermächtigt Ofcom, Online-Dienste zum Schutz von Kindern vor Pornografie und anderen schädlichen Inhalten zu verpflichten. Die für die Altersverifizierung relevante Pflicht ist im Prinzip einfach, in der Praxis jedoch anspruchsvoll: Jeder betroffene Dienst muss Kinder vor pornografischen Inhalten schützen und nachweisen können, dass seine Schutzmaßnahmen nicht nur vorhanden, sondern auch hochwirksam sind.

Für zwei Kategorien gelten unterschiedliche Fristen. Teil 5 betrifft Dienste, die eigene pornografische Inhalte veröffentlichen; diese Pflicht gilt seit dem 17. Januar 2025. Teil 3 betrifft Nutzer-zu-Nutzer-Plattformen und Suchdienste, die bis zum 16. April 2025 eine Bewertung des Zugangs von Kindern durchführen und anschließend ab dem 25. Juli 2025 angemessene Maßnahmen, einschließlich Alterssicherung, ergreifen mussten.

Wichtige Termine und Durchsetzungszeitplan

Ofcom ging rasch von Empfehlungen zu aktiven Durchsetzungsmaßnahmen über. Das untenstehende Muster basiert auf den von Ofcom selbst veröffentlichten Durchsetzungsentscheidungen und Branchenbulletins [Bitte überprüfen Sie die aktuellen Zahlen anhand des laufenden Durchsetzungsregisters von Ofcom, bevor Sie diese veröffentlichen, da Beträge und Fallzahlen wöchentlich aktualisiert werden].

Zwei Dinge fallen in diesem Muster besonders auf. Erstens behandelt Ofcom die Nichtbeantwortung von Informationsanfragen als separate Straftat, unabhängig vom zugrundeliegenden Verstoß gegen die Altersversicherung, und verhängt in beiden Fällen Bußgelder. Zweitens steigen die Strafen mit der Dauer des Verstoßes und der Größe des Portfolios: Ein Betreiber mit nur einem Service, der seine Systeme nach einer vorläufigen Entscheidung korrigierte, zahlte weniger als ein Betreiber mit mehreren Standorten und einem andauernden Verstoß. Kooperation reduziert die Kosten spürbar.

Was gilt als „hochwirksame“ Alterssicherung?

Die Richtlinien von Ofcom schließen Selbstauskünfte, die einfache Eingabe des Geburtsjahres per Kontrollkästchen und die Überprüfung nicht verifizierter Zahlungskarten als alleinige Methoden aus. Akzeptierte Verfahren lassen sich im Allgemeinen in einige wenige Gruppen einteilen:

• Gesichtsaltersschätzung, die anhand eines Live-Selfies ein auf Vertrauen basierendes Altersergebnis liefert, ohne biometrische Daten zu speichern.
• Überprüfung des Lichtbildausweises durch Abgleich eines von der Regierung ausgestellten Dokuments mit dem Benutzer, der Zugriff beantragt
• Open Banking oder kartenbasierte Prüfungen, die bestätigen, dass der Kontoinhaber über 18 Jahre alt ist, über einen regulierten Finanzdienstleister
• Wiederverwendbare digitale Identitäts- und Alterstoken, mit denen ein verifizierter Benutzer sein Alter über mehrere Dienste hinweg nachweisen kann, ohne die vollständige Überprüfung jedes Mal wiederholen zu müssen.
• Ein stufenweiser Ansatz, der mit einer unkomplizierten Methode wie der Altersschätzung beginnt und erst bei grenzwertigen Ergebnissen auf Dokumenten- oder biometrische Prüfungen ausweitet.

Das Wasserfallmodell ist mittlerweile Branchenstandard, da es die von den Aufsichtsbehörden geforderte Genauigkeit mit den von Unternehmen zu vermeidenden Datenverlusten in Einklang bringt. Shuftis eigene Implementierung folgt diesem Modell: Zunächst erfolgt eine Altersschätzung, eine stärkere Überprüfung nur bei unklarem Ergebnis und die Speicherung biometrischer Vorlagen wird nach Erhalt eines Ergebnisses nicht mehr durchgeführt.

Strafen und Durchsetzungsbefugnisse

Ofcom kann gegen nicht konforme Dienste Bußgelder von bis zu 18 Millionen Pfund oder 10 % des weltweiten Umsatzes verhängen, je nachdem, welcher Betrag höher ist. Zusätzlich zu Bußgeldern kann Ofcom gerichtlich Maßnahmen zur Betriebsunterbrechung beantragen: Anordnungen, die Zahlungsanbieter, Werbetreibende oder britische Internetanbieter verpflichten, die Unterstützung für eine nicht konforme Plattform einzustellen und diese damit faktisch vom britischen Markt auszuschließen. Die bisherigen Maßnahmen konzentrierten sich auf Inhalte für Erwachsene und Filesharing-Dienste. Ofcom hat bestätigt, dass auch große soziale Plattformen und KI-Tools zur Generierung sexueller Inhalte geprüft werden. Der Kreis der Betroffenen erweitert sich also, anstatt sich zu verkleinern.

Wie man die Einhaltung der Vorschriften umsetzt

1. Führen Sie die Beurteilung des Zugangs Ihrer Kinder durch oder aktualisieren Sie sie und bewahren Sie eine schriftliche Aufzeichnung auf; dies ist das Dokument, das Ofcom als erstes anfordert.
2. Wählen Sie eine Altersversicherungsmethode, die Ihrem Risikoniveau angemessen ist; eine gestaffelte Risikobewertung mit Dokumentenrückgriff eignet sich für die meisten Verbraucherplattformen.
3. Jegliche eigenständige Selbstauskunft oder Geburtsjahrsprüfung sollte entfernt werden; diese genügen allein nicht mehr den hohen Anforderungen an Effektivität.
4. Protokollierte Erfolgsquoten, Fehlalarm- und Fehlalarmraten sowie die Verifizierungszeit; Ofcom hat in seinen Untersuchungen wiederholt nach diesen Nachweisen gefragt.
5. Beantworten Sie alle Informationsanfragen von Ofcom innerhalb der angegebenen Frist; in jedem bisherigen Durchsetzungsverfahren wurde eine separate und oft kostspielige Strafe für verspätete oder fehlende Antworten verhängt.
6. Überprüfen Sie Ihre Datenschutzdokumentation, damit die Nutzer verstehen, welche Daten erfasst werden, warum und wie lange diese gespeichert werden.