- Jochen Harttung, LL.M. (Toronto)
- 26.01.26
- Lesedauer: 5 Minuten
IT-BusinessArticle on IT mustering by RIEDEL Networks and Clarius
Together with RIEDEL Networks, we offer companies IT mustering as a
pragmatic, legally compliant approach to the challenges that companies face in terms of IT security.
The idea: With the IT mustering , companies can realistically assess their security level and develop it further in a targeted manner – both technically and legally.
The German-language specialised medium IT-BUSINESS spoke to Dr. Arnt Glienke, LL.M., CCP, our Head of Legal & Compliance and Micheal Martens, CEO of Riedel Networks. Our concept is presented in the current issue.
Was digitale Altersverifikation eigentlich leisten soll
Im Kern geht es um eine einfache Aussage: Ist jemand alt genug für einen bestimmten Inhalt oder eine bestimmte Funktion. Viele Lösungen der Vergangenheit haben dafür sehr viel mehr Daten verarbeitet als nötig. Ausweiskopie hochladen, vollständiges Geburtsdatum speichern, Klarnamen prüfen und am Ende bleibt doch Unsicherheit, ob das alles wirklich erforderlich und verhältnismäßig ist.
Moderne Ansätze gehen in eine andere Richtung. Sie zielen darauf, nur das Altersattribut zu bestätigen. Also zum Beispiel „über 18“ statt Identität. Das ist nicht nur datenschutzfreundlicher, sondern häufig auch technisch stabiler, weil weniger Datenflüsse, weniger Speicherung und weniger Angriffsfläche entstehen.
Warum das Thema gerade jetzt an Bedeutung gewinnt
Altersverifikation wird dort relevant, wo Minderjährige auf Inhalte oder Interaktionen treffen können, die nicht für sie gedacht sind. Das betrifft nicht nur offensichtliche Bereiche wie Glücksspiel oder Erotik, sondern auch Plattformen mit nutzergenerierten Inhalten, Chats, Direktnachrichten, Live Funktionen oder Inhalten, die in bestimmten Kontexten schädlich wirken können. Die Diskussion um Altersbeschränkungen für soziale Netzwerke ist aktuell in aller Munde.
Gleichzeitig wächst die Erwartung, dass Schutzmaßnahmen nicht rein symbolisch sind. Eine Checkbox oder ein Pop up Hinweis wird immer seltener als ausreichende Maßnahme betrachtet, wenn der Dienst realistisch von Minderjährigen genutzt werden kann und Risiken erkennbar sind.
In Deutschland sind die Landesmedienanstalten bereits seit längerem im Streit mit Plattformen für pornografische Inhalte, welcher bereits eine Reihe an (teils widersprüchlichen) gerichtlichen Entscheidungen produziert hat. Die Europäische Kommission hat im Mai 2025 ein offizielles Verfahren gegen vier große Anbieter pornografischer Inhalte im Internet eingeleitet.
Rechtlich ist die Regulierung im europäischen Kontext komplex. Wie offensiv die Behörden hierbei vorgehen, ist oft auch eine politische Frage. Die Gerichte müssen nationale und europäische Regelungen in Einklang bringen.
Eine große Frage wird außerdem sein, welche Rolle die TK-Unternehmen in dieser Gemengelage spielen. Zwar sind sie nicht zu einer proaktiven Prüfung verpflichtet. Es steht aber zu befürchten, dass die Regulierer zunehmend auf diese zugehen werden, wenn sie den eigentlich Verantwortlichen nicht habhaft werden können.
Wie datenschutzfreundliche Altersverifikation in der Praxis funktioniert
Ein gutes Modell trennt die Rollen sauber. Die Stelle, die das Alter feststellt, ist nicht dieselbe, die den Dienst bereitstellt. Und der Dienst bekommt am Ende nicht mehr als die Information, die er wirklich braucht. Idealerweise erhält er nur die Bestätigung, dass die relevante Altersgrenze erreicht ist.
Die direkten Vorgaben des europäischen Gesetzgebers in Art. 28 DSA sind ausgesprochen dünn und unbestimmt. Zentraler Referenzpunkt sind daher die im Juli 2025 von der EU-Kommission veröffentlichten Leitlinien zum Jugendschutz. Instrumente zur Altersverifikation sollen danach genau, zuverlässig, robust, nicht-intrusiv und nicht-diskriminierend sein. Parallel arbeitet die Kommission an der sogenannten “Blaupause zur Altersüberprüfung“, einer technischen Lösung, welche die genannten Vorgaben erfüllen soll.
Was Unternehmen häufig unterschätzen
Das Thema Jugendschutz und damit auch der Altersverifikation wird aus Compliance-Sicht absehbar und zunehmend in den Vordergrund rücken. Grundlage muss hierbei eine solide Prüfung der eigenen Pflichten sein: Welche rechtliche “Rolle” hat das eigene Unternehmen im gesetzlichen System und welche Pflichten folgen hieraus in den jeweiligen Ländern, in denen man aktiv ist.
Hinzu tritt die operative Komponente: In Projekten sieht man immer wieder dieselben Stolpersteine. Das Problem ist dabei selten mangelnder Wille, sondern eher die Reihenfolge. Altersverifikation wird oft als rein technisches Feature behandelt, das man am Ende „noch schnell“ ergänzt. In der Praxis hängt daran aber deutlich mehr: Produktlogik, Nutzerführung, Datenschutz, Security, Nachweisfähigkeit und nicht zuletzt die Frage, wie gut sich das Ganze im Alltag betreiben lässt.
Häufig werden Anforderungen erst nach Beginn der Umsetzung geklärt. Dann zeigt sich, dass Lösungen zwar technisch funktionieren, aber unnötige Daten verarbeiten oder sich kaum begründen lassen. Auch werden Anbieter oder Verfahren teils gewählt, ohne früh zu klären, welche Nachweise und Dokumentation später für interne oder externe Prüfungen nötig sind. Datenschutz und IT-Sicherheit werden zudem oft erst spät eingebunden – mit dem Ergebnis, dass nachträgliche Anpassungen aufwendig und teuer werden.
Was hilft, ist ein früher, strukturierter Check, der Technik und Recht zusammenbringt und daraus klare Leitplanken ableitet. Besonders bewährt hat sich, gleich zu Beginn diese Punkte systematisch durchzugehen:
- Welche konkreten Inhalte oder Funktionen sollen geschützt werden und warum
- Welche Altersstufe ist wirklich erforderlich und wie fein muss sie sein
- Wie hoch ist das Risiko im konkreten Dienst, etwa durch UGC, Chats, Direktnachrichten oder Interaktionsfunktionen
- Welche Nutzergruppen sind realistisch betroffen und wie sieht der typische Nutzungskontext aus
- Welche Art von Nachweis reicht aus, also Altersattribut statt Identität oder in Ausnahmefällen doch mehr
- Welche Daten fallen dabei an, wer erhält sie, wie lange werden sie gespeichert und wie lässt sich Tracking verhindern
- Wie sieht der Betrieb aus, inklusive Support, Fehlversuchen, Fallbacks und Missbrauchsszenarien
- Welche Dokumentation braucht man, um die Lösung später als geeignet und verhältnismäßig nachweisen zu können
Aus diesen Punkten ergibt sich meist schnell, in welche Richtung man gehen sollte. Häufig ist die datensparsame Variante nicht nur rechtlich eleganter, sondern auch produktseitig besser, weil sie weniger Reibung erzeugt und weniger Folgefragen im Betrieb mit sich bringt. Entscheidend ist, dass man diese Leitplanken früh festlegt und dann konsequent umsetzt. So vermeidet man teure Umwege und landet am Ende bei einer Lösung, die sowohl in der Nutzererfahrung als auch in der rechtlichen Argumentation trägt.
Sperranordnungen als zusätzlicher Druckfaktor
Ein weiterer Punkt, der in der Praxis zunehmend wichtig wird, sind Sperranordnungen. Wenn Behörden oder Aufsichten Schutzdefizite sehen, kann das nicht nur in Empfehlungen oder Prüfberichten enden, sondern auch in konkreten Anordnungen. Das kann bedeuten, dass bestimmte Inhalte, Funktionen oder ganze Bereiche eines Angebots ohne wirksame Altersfeststellung gesperrt oder nur eingeschränkt zugänglich gemacht werden müssen.
Für Unternehmen ist das deswegen heikel, weil solche Maßnahmen häufig kurzfristig wirken und unmittelbar in Betrieb, Umsatz oder Nutzerführung eingreifen. Wer sich frühzeitig um ein tragfähiges Konzept kümmert, reduziert nicht nur das Risiko eines unangenehmen Überraschungsmoments, sondern schafft auch die technische und organisatorische Grundlage, um schnell und sauber reagieren zu können.
Was jetzt sinnvoll ist, ohne gleich alles umzubauen
In der Praxis hilft ein pragmatisches Vorgehen. Zuerst sollte klar sein, wo Altersverifikation wirklich gebraucht wird. Dann sollte man entscheiden, ob man eine reine Altersbestätigung möchte oder ob es ausnahmsweise wirklich Identitätsbezug braucht. In den meisten Fällen ist das Altersattribut ausreichend und besser zu begründen.
Anschließend lohnt sich eine Bewertung der Umsetzungsoptionen: Bestehende Anbieter, Integration in Identitäts- oder Wallet-Ansätze oder eigene Komponenten. Wichtig ist dabei nicht nur die Technik, sondern auch Governance. Wer stellt was fest. Wer speichert was. Wie lange. Und wie wird das Ganze dokumentiert, damit man später erklären kann, warum die Lösung angemessen ist.
Worum es am Ende geht
Digitale Altersverifikation ist kein Hype-Thema, das man aussitzen sollte. Sie wird zum Bestandteil von Compliance, Datenschutz und Produktverantwortung. Wer jetzt strukturiert vorgeht, reduziert spätere Reibungsverluste, vermeidet hektische Nachbesserungen und schafft eine Lösung, die im Alltag funktioniert und sich rechtlich erklären lässt.
Mit unserer Unterstützung stellen Sie sicher, die passenden Leitplanken zu setzen und typische Fallstricke früh zu vermeiden.
Your personal contact
Matthias SchulzDirector Sales
- +49 40 257 660 967
- +49 40 257 660 919
- m.schulz@clarius-ds.com
