Altersverifikation und Alterssicherung: was das für einen Kleinbetrieb, ein Spiel oder ein freies Projekt bedeutet

Vier Wörter, die alles entscheiden

Die besten Definitionen, die wir gefunden haben, stehen im brasilianischen Recht, weil Brasilien die ganze Leiter regelt und jede Sprosse einzeln benennt. Decreto nº 12.880 vom 18. März 2026 definiert in Art. 2º sechs Begriffe; vier davon sind die, über die der Rest der Welt streitet.

Selbstauskunft — autodeclaração de idade

Der Nutzer nennt sein Alter oder seine Spanne, und nichts weiter bestätigt das. Die Verordnung sagt es ausdrücklich: eine Methode, die auf der Angabe des Nutzers beruht, ohne zusätzliche Nachweise.

Alterssicherung — aferição de idade

Der Oberbegriff: Verfahren, um Alter oder Altersspanne zu prüfen, zu schätzen oder abzuleiten, direkt oder indirekt, mit einer Reihe von Methoden und Technologien — darunter Dokumente, biometrische Verfahren und Nutzungsmuster.

Verifikation — verificação de idade

Der enge, schwere Begriff: ein Verfahren mit hoher Zuverlässigkeit, festgelegt von der Aufsichtsbehörde, das auf der Bestätigung beruht, dass die Altersangabe zutrifft.

Alterssignal — sinal de idade

Eine Information oder ein Nachweis, der einem Anbieter ein Alter oder eine Altersspanne bestätigt, ohne zusätzliche personenbezogene Daten preiszugeben. Das ist der Teil, den eine normale App tatsächlich erhält.

Hältst du das auseinander, verschwindet der meiste Wirrwarr. Ein Geburtsdatumsfeld ist Selbstauskunft. Ein Ausweisleser an der Bar ist Verifikation. Ein Ja/Nein aus einem Betriebssystem ist ein Signal. In diesem Feld wird „Altersverifikation“ regelmäßig für alle drei verwendet, auch von den Leuten, die die Gesetze schreiben — Kaliforniens Gesetz heißt wörtlich „age verification signals“, während die Pflicht darin eine Angabe des Kontoinhabers ist.

In Kraft, beschlossen, vorgeschlagen

Alles Folgende ist nach Stufe sortiert, nicht nach Wichtigkeit. „Vorgeschlagen“ heißt: heute ist von dir nichts fällig, egal was eine Seite oder ein Webinar behauptet.

In Kraft — Brasilien, seit 17. März 2026

Lei nº 15.211 (ECA Digital) gilt ab dem 17. März 2026 nach seinem Art. 41-A. Art. 12 legt Pflichten zur Altersfeststellung auf App-Stores und auf Betriebssysteme von Endgeräten: verhältnismäßige, prüfbare, technisch sichere Maßnahmen zur Feststellung des Alters oder der Altersspanne, Aufsichtsfunktionen für Eltern und ein Alterssignal über eine sichere Schnittstelle. Die Verordnung vom 18. März 2026 ergänzt das kostenlose Signal, die Angabe bei der Kontoerstellung und die Pflicht, mit einer von der ANPD festgelegten zuverlässigen Methode festzustellen.

In Kraft — der DSA, für Plattformen

Innerhalb der EU ist die geltende Ebene der Digital Services Act, und seine Jugendschutzpflicht trifft Online-Plattformen, die für Minderjährige zugänglich sind, nicht Betriebssysteme. App-Stores können Online-Plattformen sein. Siehe den EU-Abschnitt.

Beschlossen, gilt ab 1. Januar 2027 — Kalifornien

AB 1043, der Digital Age Assurance Act, in der Fassung von AB 1856 (Chapter 184, unterzeichnet am 10. September 2026). Betriebssysteme mit Kontoeinrichtung müssen eine Oberfläche anbieten, die den Kontoinhaber verpflichtet, Geburtsdatum, Alter oder beides des Nutzers anzugeben, und die daraus entstehende Spanne über eine Echtzeitschnittstelle bereitstellen; App-Stores geben sie weiter; Entwickler müssen sie anfordern und gelten damit als über die Altersspanne informiert. Freie Systeme unter Lizenzen, die Kopieren, Weitergeben und Verändern erlauben, fallen nicht unter die Definition des Anbieters eines Betriebssystems.

Beschlossen, gilt ab 1. Juli 2028 — Colorado

SB26-051, „age attestation for users of computing devices“, mit denselben vier Spannen und derselben Ausnahme für freie Software, und Bußgeldern von bis zu 2.500 oder 7.500 US-Dollar je geschädigtem Minderjährigen. Die Fassung, die wir gelesen haben, ist das zur Unterzeichnung vorbereitete Gesetz — behandle das Datum also als angekündigt, nicht als endgültig.

Vorgeschlagen — das EU-Kids-Gesetz

COM(2026) 681, veröffentlicht am 17. September 2026, mit sieben Kategorien, darunter Betriebssysteme, App-Stores und Spiele, mit zertifizierter Alterssicherung und ohne Ausnahme für Kleinunternehmen. Es ist ein Vorschlag bei Parlament und Rat; die Rückmeldefrist der Kommission endet am 26. November 2026. Unsere Notiz hat die Einzelheiten.

Vorgeschlagen — US-Bundesstaaten jenseits von Kalifornien und Colorado

Ein New-York-Entwurf soll Alterssicherung schon beim Aktivieren des Geräts verlangen, Selbstauskunft ausschließen und die Methoden dem Generalstaatsanwalt überlassen; auch aus anderen Bundesstaaten wird Entsprechendes berichtet. Geprüft haben wir nichts davon, und das sagen wir auch dort, wo wir es erwähnen. Siehe den ungeprüften Abschnitt der Notiz.

Wenn du ein Ein-Personen-Betrieb bist

Wenn du Schmuck, Tee, Drucke oder Möbel in die EU verkaufst, lautet die ehrliche Antwort: keine der Altersregeln auf dieser Seite verlangt heute etwas von dir. Sie richten sich an Betriebssysteme, App-Stores und Apps. Deine Verpackungspflichten sind eine eigene Akte mit eigenen Fristen, und die beißen tatsächlich.

Wo du ihr trotzdem begegnest

Bei der Anmeldung bei einem Zahlungsdienstleister oder Marktplatz, oder weil ein Plug-in dir eine Altersabfrage in deinem eigenen Shop vorschlägt. Wenn jemand von dir ein Geburtsdatum verlangt, frag, welche Pflicht das verlangt — nach der DSGVO brauchst du außerdem einen Grund, es zu speichern.

Was für einen Shop mit Community wirklich neu ist

Betreibst du etwas mit Konten — ein Forum, einen Mitgliederbereich, einen Discord — kann die Plattform, die du nutzt, dir künftig Alterssignale weitergeben. Deine Entscheidung ist dann nicht, wie du jemandes Alter prüfst, sondern was du für einen 15-Jährigen anders machst, sobald die Plattform es dir mitteilt.

Kaufe keine Verifikation, die du nicht brauchst

Und rechne sie richtig, falls doch: Verifikation heißt ein Identitätsanbieter mit Vertrag, eine Datenschutz-Folgenabschätzung, eine Löschregel und ein Datenpannenrisiko. Selbstauskunft heißt ein Formularfeld. Die Lücke dazwischen ist der ganze Markt für Altersprüfsoftware — deshalb verwischen so viele Ratgeber sie.

Wenn du ein Spiel oder eine App machst

Hier landen die US-Gesetze. Liest man die Entwicklerpflichten in Kaliforniens § 1798.501(d) und in Colorados Article 30, sind sie kurz — und sie gehen davon aus, dass die Plattform die Altersprüfung macht, nicht du.

Du forderst ein Signal an, du erhebst kein Alter

Wenn deine App heruntergeladen und gestartet wird, fragt sie das Betriebssystem oder den App-Store nach dem Signal. Der Store gibt es weiter, wenn er es hat. Ein Geburtsdatum siehst du in dem Modell, das die beiden Bundesstaaten beschreiben, nie.

Der Empfang ändert deine Rechtsstellung

Beide Texte behandeln einen Entwickler, der ein Signal erhält, als wissend, in welcher Altersspanne der Nutzer liegt. Ab da steht dir „wir wussten es nicht“ als Argument darüber, was deine App einem 13-Jährigen gezeigt hat, nicht mehr zur Verfügung.

Was du nicht darfst

Mehr Informationen verlangen als das Gesetz verlangt; das Signal zu einem Zweck weitergeben, den es nicht verlangt; oder den Nutzer auffordern, seine Altersangabe zu ändern. Kalifornien ergänzt, dass du klare interne Informationen, die dem Signal widersprechen, nicht bewusst ignorieren darfst.

Was ein kleines Team jetzt bauen sollte

Eine einzige Stelle im Code, die beantwortet, was dieser Nutzer sehen darf, gespeist aus dem, was die Plattform sagt — damit die Verhaltensänderung an dem Tag, an dem ein Signal eintrifft, eine Konfiguration ist und keine Neuentwicklung. Das ist Arbeit für ein paar Tage, und es ist zugleich das, was der EU-Vorschlag am Ende von dir wollen würde.

Wenn du ein freies Projekt betreibst

Hier ist das Bild wirklich ungleich, und es ist der Teil dieses Feldes, der sich am wahrscheinlichsten ändern wird. Zwei Regelungen haben freie Software aus der Definition des Anbieters eines Betriebssystems herausgenommen; eine, soweit wir finden konnten, nicht.

Kalifornien: ausgenommen über die Lizenz

„Anbieter des Betriebssystems“ bedeutet nicht eine Person oder Organisation, die ein Betriebssystem oder eine Anwendung unter Lizenzbedingungen vertreibt, die es dem Empfänger erlauben, die Software zu kopieren, weiterzugeben und zu verändern (§ 1798.500(g)(2)).

Colorado: dasselbe, mit weniger Spielraum

Der Artikel gilt nicht, wenn die Lizenz Kopieren, Weitergeben und Verändern ohne technische oder vertragliche Beschränkungen der Plattform für die Installation veränderter Fassungen erlaubt (§ 6-30-105(3)(e)). Ein gesperrter Bootloader oder ein verpflichtender Signaturschritt können einen Build aus dieser Beschreibung herausfallen lassen.

Brasilien: keine Ausnahme, die wir finden konnten

Weder Lei 15.211 noch Decreto 12.880 enthält eine entsprechende Ausnahme. Art. 12 spricht schlicht von „Betriebssystemen von Endgeräten“. Wer Adressat für eine Gemeinschaftsdistribution ohne Rechtsträger wäre, sagt das nicht — und eine Aussage der Aufsichtsbehörde dazu haben wir nicht gefunden.

Was man von einem freien Projekt verlangen kann

Praktisch: preisgeben, was die Plattform ohnehin weiß, es ehrlich dokumentieren und nichts erheben, was du nicht brauchst. Was man von einem Projekt nicht sinnvoll verlangen kann, ist die Bestellung jenes verantwortlichen Erwachsenen, den eine solche Pflicht voraussetzt — zu entscheiden, wessen Alter aufgezeichnet wird, es zu speichern und dafür einzustehen.

Die Linux-Frage

Jede Pflicht für Betriebssysteme läuft gegen dieselbe Wand: Eine Linux-Distribution oder ein BSD hat keinen zentralen Kontoverwalter. Wer ist der „Anbieter des Betriebssystems“ von Debian, Fedora oder FreeBSD? Niemand führt die Konten, also sitzt auch niemand an dem Bildschirm, den das Gesetz beschreibt.

Die zwei bisherigen Antworten

Das Lizenzmodell ausnehmen (Kalifornien, Colorado) oder nichts sagen (Brasilien). Das erste ist elegant und schafft eine neue Kante: Ein System, das überwiegend frei ist, aber gesperrte, proprietäre Bestandteile nahe der Kontoschicht hat, liest sich womöglich gar nicht als ausgenommen. So hat die Linux-Fachpresse im Mai 2026 SteamOS gelesen.

Der Anwendungsbereich ist breiter als Telefone

Beide US-Definitionen sprechen von Geräten für allgemeine Datenverarbeitung und von App-Stores, die Anwendungen Dritter verteilen; und in der Diskussion um beide Gesetze wird darauf hingewiesen, dass „Betriebssystem“ heute Server, Uhren, Fernseher, Lautsprecher, Kühlschränke, Auto-Multimediasysteme und Router umfasst, überall dort, wo ein App-Store dazugehört.

Eine Standardantwort für Maintainer

Baue keine Alterssperre, für die es keinen Adressaten gibt, und erhebe kein Alter, um gefällig zu sein. Dokumentiere, dass deine Distribution keine Altersdaten erhebt, und behandle jedes Signal, das deine Desktop-Umgebung aus einer nahen Kontoschicht erhält, als Durchleitung, die du weder speicherst noch über die du entscheidest.

Die EU-Seite, ohne Lärm

Zwei Dinge sind innerhalb der EU real, und keines davon ist eine Altersabfrage in deinem Betriebssystem.

Was jetzt gilt

Der Digital Services Act, Verordnung (EU) 2022/2065, dessen Jugendschutzpflicht bei Anbietern von Online-Plattformen liegt, die für Minderjährige zugänglich sind (Artikel 28), flankiert von den Leitlinien der Kommission zum Schutz Minderjähriger. App-Stores können erfasst sein; ein Betriebssystem als solches ist nicht Adressat.

Was vorgeschlagen ist

Das EU-Kids-Gesetz (COM(2026) 681) würde Alterssicherung für sieben Dienstkategorien ausdrücklich machen, Altersstufen bei 13 und 15 für die riskantesten Funktionen setzen und Betriebssysteme nur eng erfassen — unsere Notiz liest Art. 29(6) im Kern als Einwilligung des Nutzers, bevor ein bereits vorhandenes Alterssignal weitergegeben wird. Die Rückmeldefrist läuft bis zum 26. November 2026, und das ist der Moment, in dem die Sicht eines Kleinbetriebs noch günstig einzureichen ist.

Was nicht stimmt

Dass die EU für die Nutzung eines allgemeinen Computers schon eine Altersverifikation verlangt. Das tut sie nicht. Erreicht ein US- oder brasilianisches Signal eine App, die jemand in der EU nutzt, regelt die DSGVO, was diese App damit darf — eine EU-Antwort auf das Durchsickern gibt es nicht, und das sagen wir klar, statt eine zu erfinden.

Eine weitere Akte wird damit oft verwechselt: Die CSA-Verordnung — „Chatkontrolle“ — dreht sich um das Scannen des Inhalts privater Kommunikation, nicht darum, wer ein Nutzer ist, und wir verfolgen ihren Stand getrennt.

Was wir nicht feststellen konnten

Wie Brasilien auf freie Software anzuwenden ist

Keine Aussage der ANPD, keine Vollzugspraxis, keine Ausnahme im Text. Unsere Lesart des Fehlens ist keine Antwort.

Was die Plattformen tatsächlich senden werden

Weder Kalifornien noch Colorado verlangt das Signal bei der Anmeldung nach der ersten Anfrage, und beide erlauben einem Entwickler, es regelmäßig neu anzufordern. Wie App-Stores das umsetzen, ist nicht veröffentlicht.

Der New-York-Text und vier weitere Bundesstaaten

Nur berichtet. Wir haben keine Nummern und außer Kalifornien und Colorado keinen Gesetzestext gelesen.

Kostenzahlen

Wir haben keine benannte, überprüfbare Kostenschätzung für die Umsetzung eines Alterssignals in einer kleinen App oder einer Distribution und veröffentlichen daher keine. Wenn du eine gerechnet hast, ist das das Nützlichste, was du uns schicken könntest.

Quellen

1. Planalto — Decreto nº 12.880 vom 18. März 2026 (portugiesisch) Quelle für die vier Definitionen in Art. 2º (Altersfeststellung, Altersverifikation, Alterssignal, Selbstauskunft), die Gestaltungsanforderungen in Art. 24 und die Pflichten von App-Stores und Betriebssystemen in Art. 25. Für diese Seite vollständig gelesen
2. Planalto — Lei nº 15.211 vom 17. September 2025 (ECA Digital), konsolidierter Text Quelle für den Anwendungsbereich in Art. 2º, die Pflichten aus Art. 12 für App-Stores und Betriebssysteme, die Zweckbindung in Art. 13 und das Inkrafttreten am 17. März 2026 nach Art. 41-A. Für diese Seite vollständig gelesen
3. California Legislative Information — AB 1856, Chapter 184 (unterzeichnet am 10. September 2026) Quelle für die Entwicklerpflichten in § 1798.501(d), die Nachrüstfristen in § 1798.502, die Bußgelder in § 1798.503 und die Definition der freien Software in § 1798.500(g)(2). Für diese Seite vollständig gelesen
4. Colorado General Assembly — SB26-051 (PDF, zur Unterzeichnung vorbereiteter Text) Quelle für das Inkrafttreten am 1. Juli 2028, die Definition der Altersspanne, die Definition des Alterssignals und die Ausnahme in § 6-30-105(3)(e). Für diese Seite vollständig gelesen
5. EUR-Lex — Verordnung (EU) 2022/2065, Digital Services Act Die geltende EU-Ebene. Die Jugendschutzpflicht für Online-Plattformen ist Artikel 28; die Leitlinien der Kommission dazu sind in unserer Kids-Gesetz-Notiz beschrieben, wo auch die Einzelheiten zu Art. 29(6) und der Pflicht für Betriebssysteme stehen
6. KontorBund — Das EU-Kids-Gesetz: Was die Kommission am 17. September 2026 vorgeschlagen hat Unsere Notiz zu COM(2026) 681, gelesen aus dem Vorschlag, der Pressemitteilung und dem Erklärtext der Kommission. Die Quelle für die sieben Kategorien, die Altersstufen, die fehlende Größenausnahme und die Frist am 26. November 2026
7. KontorBund — Alterskontrolle zieht ins Betriebssystem Unsere Notiz zu Kalifornien, Colorado, Brasilien und der Windows Age API, mit einem eigenen Abschnitt zu dem, was wir nicht prüfen konnten
8. GamingOnLinux — Colorado and California age verification bills exempt open source operating systems (englisch) Sekundär, 25. Mai 2026. Quelle für die SteamOS-Lesart und die Diskussion in der Fachpresse über Geräte mit App-Stores

Hilf uns, diese Seite fertigzustellen

Die wichtigste Lücke ist Brasilien und freie Software: ein Satz der Aufsichtsbehörde würde sie schließen. Die zweite ist eine echte Kostenzahl für ein Alterssignal in einer kleinen App. Eines von beiden macht aus dieser Seite eine vollständige.