Wird die EU VPNs verbieten?

Es wurde von Mitarbeitern für den Zugriff auf Unternehmenssysteme, von Journalisten zum Schutz ihrer Quellen, von Reisenden für eine sicherere Nutzung öffentlicher Netzwerke und von Nutzern verwendet, die nicht wollten, dass jede Website sofort ihre IP-Adresse anzeigt. Doch nun befindet sich dasselbe Tool in einem völlig anderen politischen Kontext. In Diskussionen über die Altersverifizierung im Internet werden VPNs zunehmend als Problem und nicht als Schutz betrachtet.

Ein vollständiges Verbot von VPNs ist derzeit nicht als verabschiedetes europäisches Gesetz vorgesehen, aber es ist klar, dass in Europa eine Diskussion über die Einschränkung der Nutzung von VPNs beim Zugriff auf Inhalte, für die eine Altersverifizierung eingeführt wurde, eröffnet wird.

Die bedeutendste Veränderung besteht nicht darin, dass Brüssel VPN-Apps über Nacht aus den App-Stores entfernen wird. Viel besorgniserregender ist die Art und Weise, wie EU-Politiker VPNs beschreiben – als Hindernis für den Kinderschutz.

Warum sind VPNs plötzlich zu einem politischen Thema geworden?

Im Kern geht es nicht um Piraterie oder die Verschleierung des Standorts für günstigere Abonnements. Diesmal steht der Schutz von Kindern im Internet im Vordergrund. Im Rahmen des Gesetzes über digitale Dienste (Digital Services Act) hat die Europäische Kommission Leitlinien zum Schutz von Minderjährigen und einen Prototyp einer Altersverifizierungs-App entwickelt. Ziel ist es, Nutzern zu ermöglichen, ihr Alter – beispielsweise beim Zugriff auf Inhalte für Erwachsene – nachzuweisen, ohne ihre vollständige Identität oder ihr genaues Alter preisgeben zu müssen. Die Kommission betont, dass die Lösung die Privatsphäre schützen, Nutzern die Kontrolle über ihre persönlichen Daten geben und verhindern soll, dass die von ihnen besuchten Inhalte nachverfolgt werden.

Theoretisch ist dies ein rationales Ziel. Niemand würde ernsthaft bestreiten, dass Kinder Zugang zu pornografischen Seiten, Wettplattformen oder anderen Diensten haben sollten, für die das Gesetz ein Mindestalter vorschreibt. Das Problem liegt in der Umsetzung. Wenn eine Website das Alter eines Nutzers anhand des Landes überprüft, aus dem er zugreift, kann ein VPN die Situation schnell verändern. Der Nutzer kann sich über einen Server außerhalb der EU oder eines Landes mit strengen Regeln verbinden, und das System behandelt ihn nicht mehr als einheimischen Nutzer. Der Wissenschaftliche Dienst des Europäischen Parlaments hat daher festgestellt, dass die Nutzung von VPNs in Ländern mit eingeführten Systemen zur Altersverifizierung deutlich zugenommen hat, und darauf hingewiesen, dass einige die Beschränkung des Zugangs zu VPN-Diensten auf Nutzer ab einem bestimmten digitalen Alter befürworten.

Mit dieser Denkweise kann es kompliziert werden. Ein VPN dient nicht nur der Umgehung von Vorschriften. Es bietet auch zusätzliche Sicherheit. Wenn die Regulierungsbehörde die Umgehung als Hauptziel ansieht, gerät die Sicherheit schnell in Vergessenheit.

Was sagt die Europäische Union?

Viele Schlagzeilen erwecken den Eindruck, die EU bereite bereits ein VPN-Verbot vor. Das ist übertrieben. Korrekter ist, dass europäische Institutionen und Politiker VPNs als Hindernis für die Umsetzung von Altersbeschränkungen anerkennen. Der Forschungsdienst des Europäischen Parlaments (EPS) stellte in einem Papier zu VPNs und Kinderschutz fest, dass VPNs genutzt werden, um Online-Altersverifizierungsmethoden zu umgehen, und hob die Debatte hervor, ob der Zugang zu VPN-Diensten auf Nutzer über 18 Jahren beschränkt werden sollte. Es handelt sich dabei weder um ein Gesetz noch um ein Verbot oder eine direkte Anordnung an die Mitgliedstaaten, sondern um ein Signal, wohin die Diskussion geht.

Mir scheint dieser Wandel wichtiger als das Wort „Verbot“. Ein Verbot ist rechtlich eindeutig, politisch brisant und technisch schwer umzusetzen. Eine Einschränkung hingegen ist schwerer fassbar.

Das könnte eine Altersverifizierung vor der Nutzung eines VPNs bedeuten. Es könnte Verpflichtungen für VPN-Anbieter mit sich bringen. Es könnte bedeuten, dass bekannte VPN-Server vom Zugriff auf bestimmte Websites ausgeschlossen werden. Es könnte Druck auf App-Stores ausüben. Es könnte bedeuten, dass Plattformen verpflichtet werden, „angemessene Maßnahmen“ gegen Umgehung zu ergreifen, ohne dass klar definiert wird, was angemessen und was übertrieben ist.

Warum sollte irgendjemand ein VPN einschränken wollen?

Wenn ein Land eine Altersverifizierung einführt und jeder Teenager diese mit einer kostenlosen VPN-App umgeht, verliert das Gesetz an Glaubwürdigkeit. Altersbeschränkungen funktionieren nur, wenn sie schwer zu umgehen sind. Andernfalls wird die gesamte Regelung zu einem Schauspiel für Erwachsene, und Kinder finden schnell heraus, welche App sie installieren müssen.

Die Debatte um VPNs wird auch in Großbritannien, wo bereits Altersverifizierungssysteme eingeführt wurden, und im US-Bundesstaat Utah weitergeführt. In beiden Ländern ist die VPN-Nutzung seit der Einführung der Altersverifizierung enorm angestiegen.

Die EU wird es sehr schwer haben, eine Lösung zu finden, die den Ansprüchen von Erwachsenen gerecht wird, die Bedenken derjenigen ausräumt, denen es vor allem um den Schutz der Online-Privatsphäre geht, und gleichzeitig eine Lösung bietet, die auch für Kinder absolut praktikabel ist.

Die Altersverifizierung hat ein Vertrauensproblem.

Die Europäische Kommission bezeichnet ihre Lösung als datenschutzfreundlich. Sie ermöglicht es Nutzern, ihr Alter von über 18 Jahren nachzuweisen, ohne mehr persönliche Daten als nötig preiszugeben. Die Lösung ist mit künftigen europäischen digitalen Geldbörsen kompatibel, und die Mitgliedstaaten können sie an ihre Bedürfnisse anpassen, ohne die Datenschutzbestimmungen zu beeinträchtigen.

Das ist ein gutes Ziel, aber es beseitigt nicht alle Bedenken. Bei der Altersverifizierung geht es nicht nur darum, was das System verspricht, sondern auch darum, wer es betreibt, wie seine Sicherheit gewährleistet wird, welche Anbieter beteiligt sind, wie lange die Daten gespeichert werden, ob Zugriffsprotokolle geführt werden und was bei Missbrauch geschieht. Bei Identitätstechnologien sind Fehler selten geringfügig. Wenn ein Nutzer einem System lediglich die Altersverifizierung anvertraut und dieses System später als Zugangsberechtigung für das Internet dient, verändert sich das Wesen des anonymen Surfens grundlegend.

Die Debatte um VPNs ist daher eigentlich eine Debatte darüber, wie viel Identität in Zukunft für die normale Internetnutzung benötigt wird.

Ein vollständiges Verbot wäre technisch und politisch problematisch.

Ein VPN-Verbot in der EU wäre äußerst schwer umzusetzen. Erstens, weil VPNs kein einheitliches Produkt darstellen. Es gibt kommerzielle Anwendungen, VPN-Systeme für Unternehmen, private Server, Lösungen für Firmennetzwerke, Browser-Sicherheitsfunktionen und Protokolle, die sich nicht ohne Weiteres von legitimem verschlüsseltem Datenverkehr unterscheiden lassen. Bekannte VPN-Adressen zu blockieren ist zwar möglich, Anbieter können diese jedoch ändern. Eine detaillierte Analyse des Datenverkehrs wirft zudem neue Datenschutz- und Sicherheitsrisiken auf. Das Verbot von Apps in den App-Stores verhindert zwar nicht die Installation aus anderen Quellen, trifft aber zudem normale Nutzer deutlich stärker als technisch versierte Anwender.

Politisch wäre ein vollständiges Verbot noch schwieriger. Die Europäische Union präsentiert sich gern als ein Land der Grundrechte, des Datenschutzes und der digitalen Privatsphäre. VPNs werden häufig genau zum Schutz dieser Werte eingesetzt. Sollte die EU ein generelles Verbot beschließen, wäre es schwer, den Unterschied zwischen dem Schutz von Kindern und der allgemeinen Einschränkung von Datenschutztools zu erklären.

"VPN ja oder nein?" ist die falsche Frage

Die Debatte wird oft zu vereinfacht dargestellt. Auf der einen Seite stehen diejenigen, die Kinder schützen wollen, auf der anderen Seite diejenigen, die VPNs verteidigen. Diese Einteilung greift zu kurz. Kinderschutz ist eine legitime Aufgabe. Datenschutz ist ebenfalls ein legitimes Recht. Die Frage ist nicht, welcher Wert Vorrang vor dem anderen haben sollte, sondern ob es möglich ist, ein System zu entwickeln, das nicht aufgrund eines einzigen Problems das gesamte Sicherheitsökosystem zerstört.

Müsste ich die richtige Frage wählen, würde ich sie anders formulieren: Wie können wir Minderjährige vor ungeeigneten Inhalten schützen, ohne eine Infrastruktur für die massenhafte Identitätsprüfung zu schaffen und Datenschutzmaßnahmen einzuschränken? Diese Frage ist schwieriger, aber ehrlicher.

Die EU verbietet VPNs vorerst nicht. Die Diskussion darüber ist aber längst kein Randthema mehr. Wenn VPNs in offiziellen Debatten als „Schlupfloch“ auftauchen, das geschlossen werden muss, werden Nutzer verständlicherweise misstrauisch. Nicht, weil morgen alle VPN-Apps verboten werden, sondern weil sich das Internet schrittweise verändern kann. Zuerst die Altersverifizierung für Inhalte für Erwachsene. Dann Anforderungen gegen deren Umgehung. Dann Beschränkungen für Tools, die diese Umgehungen ermöglichen. Und schließlich neue Bereiche, in denen neben dem Alter noch andere Nachweise erforderlich sind.

Ich hoffe, dass Europa einen Weg findet, der nicht in einen digitalen Totalitarismus führt, aber die aktuellen Signale sind alles andere als ermutigend.