Quellen-Tabelle

Die Kommission empfiehlt technisch robuste und diskriminierungsfreie Methoden zur Altersverifikation; als künftiger Standard wird insbesondere auf die EUid-Wallet und die "Blueprint"-Infrastruktur für gerätebasierte Altersüberprüfung verwiesen. Vor allem bei Glücksspiel oder Pornografie hält die Kommission Altersverifikation für erforderlich und angemessen.

Hier steht schwarz auf weiß die Verbindung, die in vielen Debatten nur behauptet wird: Die EU verweist bei Altersprüfung tatsächlich auf dieselbe digitale Ausweis-App (EUDI-Wallet, Dossier B1) — kein Gerücht, sondern offizielle Empfehlung. Trotzdem bleibt die Nutzung laut Gesetzestext freiwillig (siehe B1).

Moore fand, dass aus NFC-fähigen Ausweisdokumenten extrahierte Gesichtsbilder als unverschlüsselte PNG-Dateien auf das Gerät geschrieben werden und nur bei erfolgreicher Verifikation gelöscht werden; bei fehlgeschlagenem oder unterbrochenem Prozess können die Bilder auf dem Gerät verbleiben. Zusätzlich werden Selfie-Bilder auf externen Speicher geschrieben und nie gelöscht. Der französische Hacker Baptiste Robert bestätigte Moores Befunde unabhängig; auch PIN-Code oder Touch-ID ließen sich einfach umgehen.

Das ist der Original-Beleg für den "2-Minuten-Umgehung"-Vorfall aus Davids ursprünglichen Notizen — jetzt korrekt zugeordnet: Sicherheitsberater Paul Moore, mehrfach unabhängig von anderen Experten bestätigt. Die App speicherte Gesichtsbilder unverschlüsselt, obwohl die Kommission behauptete, keine persönlichen Daten zu speichern.

Nach der ersten Umgehung durch Paul Moore wurde das System erneut von ihm mit einer einfachen Chrome-Erweiterung umgangen; die App ist aktuell in fünf Ländern (u. a. Frankreich) im Test, hauptsächlich für Erwachseneninhalte/Glücksspiel — von der Leyen kündigte zusätzlich an, dieselbe Infrastruktur künftig für ein Mindestalter von rund 13 Jahren bei sozialen Netzwerken nutzen zu wollen.

Wichtige Aktualisierung: Es blieb nicht bei einem einmaligen Fehler — dieselbe Schwachstellen-Kategorie wurde erneut mit simplen Mitteln umgangen. Zusätzlich zeigt sich hier konkretes Function-Creep-Potenzial: Was für Porno-/Glücksspielseiten gedacht war, soll laut Ankündigung auf soziale Netzwerke ausgeweitet werden.

Das indische Parlament warnte 2025 vor hohen Fehlerquoten bei der biometrischen Authentifizierung, die legitime Empfänger von Sozialleistungen ausschließen — Fingerabdrücke älterer Menschen, landwirtschaftlicher Arbeiter und durch körperliche Arbeit abgenutzter Haut werden vom System nicht erkannt. Das Parlamentskomitee (PAC) stellte fest: Verifikationsfehler führen zu ungerechtfertigtem Ausschluss von Sozialprogramm-Empfängern — mit teils tödlichen Folgen.

Das ist das konkreteste Warnbeispiel weltweit dafür, was passiert, wenn ein Staat ein zentrales biometrisches Identitätssystem für den Zugang zu Grundversorgung verpflichtend macht: Technische Fehlerquoten treffen die Schwächsten am härtesten — Menschen, deren Fingerabdrücke durch harte körperliche Arbeit verändert sind, verlieren den Zugang zu Nahrungsmittelhilfen. Wichtig für Blackstone: Das ist keine hypothetische Sorge, sondern ein dokumentierter, vom eigenen Parlament untersuchter Fall.

Frankreich, Italien, Spanien, Irland, Dänemark, Griechenland und Zypern bilden die erste Welle und haben mit der Integration der App in ihre nationalen Digital-Identity-Wallets begonnen.

Diese sieben Länder sind konkret die ersten mit der App — für den Blackstone-Artikel empfiehlt sich, diese Länderliste über eine zweite, unabhängige Quelle zu verifizieren, bevor sie zitiert wird (Quellenherkunft hier unklar/fragwürdig, Fakt selbst aber plausibel und mit anderer Quelle unten bestätigt).

Dänemark, Frankreich, Griechenland, Irland, Italien, Spanien und Zypern wollen eine Vorreiterrolle einnehmen und preschen mit der Umsetzung bereits vor.

Bestätigt dieselbe Länderliste über eine seriösere, unabhängige Quelle — für Blackstone-Zitate diese oder eine ähnliche Quelle statt der oben genannten fragwürdigen Quelle verwenden.

Nach massiver Kritik aus der Community hat Discord die weltweite Einführung der Altersverifikation auf die zweite Hälfte 2026 verschoben und plant zusätzliche Verifizierungsoptionen statt ausschließlich staatlicher Ausweisdokumente oder Gesichtsscans — nachdem im Oktober zuvor eine Datenpanne die Ausweisdaten von rund 70.000 Nutzern offengelegt hatte.

Wichtiger Praxis-Beleg außerhalb der EU-Gesetzgebung: Sogar eine private Plattform (Discord) mit eigenem Altersverifikations-System hatte eine konkrete Datenpanne mit 70.000 betroffenen Ausweisdaten. Guter zusätzlicher Beleg für das generelle Risiko von Altersverifikations-Systemen, unabhängig davon, ob staatlich oder privat betrieben.

Am 17. Februar 2026 eröffnete die Kommission ein förmliches Verfahren gegen Shein unter dem DSA. Zudem wird im Rahmen des Aktionsplans gegen Cybermobbing angekündigt, dass die Kommission die DSA-Leitlinien zum Schutz Minderjähriger überarbeiten und neue Leitlinien zu Trusted Flaggern erlassen wird.

Wichtige Verbindung zu Dossier A3 und B2: Der Aktionsplan gegen Cybermobbing (siehe unten) bringt gleich mehrere Dossiers zusammen — DSA-Durchsetzung, Trusted-Flagger-Ausweitung und Jugendschutz sind nicht getrennte Baustellen, sondern werden politisch zusammen vorangetrieben.

Das Datenleck entstand, nachdem eine externe Dienstleisterfirma kompromittiert wurde, die Discord für Altersnachweis-Überprüfungen nutzte. Betroffene mussten im Rahmen eines "age-related appeal" Selfies mit Ausweis und Discord-Nutzernamen einreichen. Laut Discord waren mindestens 70.000 Nutzer betroffen, offengelegt wurden neben Ausweisfotos auch IP-Adressen, die Rückschlüsse auf den ungefähren Wohnort erlauben.

Wichtige Präzisierung: Es waren nicht "nur" Ausweisfotos betroffen, sondern zusätzlich IP-Adressen — also auch grobe Standortdaten. Das zeigt, wie stark Altersverifikations-Systeme verschiedene sensible Datenkategorien gleichzeitig bündeln, was das Schadenspotenzial bei einem Leck erhöht.

Discord bestätigte den Vorfall am 3. Oktober 2025 — Unbefugte hatten einen für den Kundendienst eingesetzten Drittanbieter kompromittiert. Im Rahmen eines mutmaßlichen Erpressungsversuchs behaupten die Angreifer, 1,5 Terabyte an Daten mit über 2 Millionen amtlichen Passfotos erbeutet zu haben — deutlich mehr als die von Discord bestätigten 70.000 Nutzer.

Wichtige Diskrepanz für Blackstones Ehrlichkeitsprinzip: Es gibt zwei sehr unterschiedliche Zahlen — Discords offiziell bestätigte 70.000 Betroffene versus die Angreifer-Behauptung von über 2 Millionen Passfotos. Bei Erpressungsfällen ist es normal, dass Angreifer die Zahlen übertreiben, um Druck zu erhöhen — im Artikel sollte klar zwischen "bestätigt" und "von Angreifern behauptet" unterschieden werden, nicht die höhere Zahl unkritisch übernehmen.

Discord hat Anfang Januar 2026 vertraulich einen Börsengang beantragt — die Sicherheits-Offensive kommt zeitlich passend, um potenzielle Haftungsrisiken vor dem IPO zu reduzieren, da Investoren Plattformen mit strengeren Jugendschutz-Regeln bevorzugen (weniger rechtliche Risiken, weniger Skandale). Discord nutzt zudem ein intransparentes "Altersvorhersage-Modell" im Hintergrund — wie es genau funktioniert, verrät das Unternehmen nicht.

Interessanter wirtschaftlicher Kontext, der über die reine Datenschutzfrage hinausgeht: Die verschärfte Altersverifikation fällt zeitlich mit einem geplanten Börsengang zusammen — ein Zusammenhang, den man weder überbewerten noch ignorieren sollte. Zusätzlich problematisch für Transparenz: Ein "Alterserkennungs-Modell" arbeitet im Hintergrund nach unbekannten Kriterien — Nutzer wissen nicht, warum sie als Erwachsene oder Minderjährige eingestuft werden.