Kernkritik an ZKP‑basierten Systemen
Nach Angaben der Electronic Frontier Foundation stellen Zero‑Knowledge‑Proof‑Verfahren (ZKP) im Kontext der Altersverifikation weder einen wirksamen Schutz für Minderjährige noch ein datenschutzfreundliches Instrument dar. Aktuelle Tests zeigen, dass die Systeme leicht umgehbar und anfällig für Angriffe sind, wodurch die angestrebte Sicherheit nicht erreicht wird.
Funktionsweise von Zero‑Knowledge Proofs
Ein ZKP ermöglicht es einem Computer (Nutzergerät), einer Gegenstelle zu beweisen, dass eine Aussage wahr ist, ohne die zugrunde liegenden Daten preiszugeben. Dabei wird ein „Commitment“ erzeugt, das von der Gegenstelle mittels mathematischer Herausforderungen geprüft wird. In der Praxis wird häufig die nicht‑interaktive Variante „zk‑SNARK“ eingesetzt, bei der das Ergebnis sofort verifiziert wird.
Zentrale Macht und Datenschutzrisiken
Der kritisierte Ansatz sieht vor, dass ein einzelner Aussteller ein Token ausgibt, das bei jedem Zugriff erneut verwendet wird. Dieser Aussteller kann dadurch jede Nutzung des Tokens nachverfolgen und ein umfangreiches Metadaten‑Profil erstellen. Ohne transparente Aufsicht könnte ein solcher Aussteller von autoritären Regierungen unter Druck gesetzt werden, den Internetzugang einzelner Nutzer zu sperren.
EU‑Pilotprojekt und Sicherheitslücken
Bis Ende 2026 soll in allen 27 EU‑Staaten ein „Mini‑Wallet“ im Europäischen digitalen Identitäts‑Wallet (EUDI) implementiert werden. Die Electronic Frontier Foundation berichtet, dass die ZKP‑Funktionalität bislang nur in einer geschlossenen Demo aktiv ist. Ein Sicherheitsexperte konnte mit einer Chrome‑Erweiterung das System umgehen, indem er ein bereits verifiziertes „über‑18‑Token“ wiederholt nutzte, ohne neue Verifizierung anzufordern.
Reaktion der Forschungsgemeinde
Mehr als 400 Sicherheitsexperten unterzeichneten ein offenes Schreiben, in dem sie vor den Gefahren einer zentralisierten Altersverifikation warnen. Sie betonen, dass ein einzelner Ausfallpunkt sowohl Cyberangriffen als auch staatlicher Überwachung ausgesetzt sei und damit das gesamte digitale Identitätssystem gefährde.
Internationale Gesetzeslage
In den USA haben etwa die Hälfte der Bundesstaaten bereits Gesetze zur Online‑Altersverifikation verabschiedet, während auf Bundesebene Vorschläge wie der KIDS Act und das Kids Online Safety Act (KOSA) diskutiert werden. Australien hat ebenfalls eine weitreichende Regelung eingeführt. Die European Union plant hingegen eine einheitliche Lösung, die jedoch ähnliche Risiken birgt.
Fazit für die Gesetzgebung
Die Electronic Frontier Foundation mahnt, dass ZKP‑basierte Systeme kein Allheilmittel darstellen. Gesetzgeber sollten erkennen, dass jede Form der verpflichtenden Online‑Altersverifikation erhebliche Datenschutz‑ und Sicherheitsprobleme mit sich bringt und keine Technologie das Grundproblem vollständig lösen kann.Dieser Bericht basiert auf Informationen von Electronic Frontier Foundation, lizenziert unter Creative Commons Attribution 4.0 (CC BY 4.0). Offene journalistische Inhalte.
Ende der Uebertragung