Begutachtung 132/ME · XXVIII. GP

An: Das Bundesministerium für Wohnen, Kunst, Kultur, Medien und Sport Geschäftszahl: 2026-0.537.620 Per Email: medienrecht@bmwkms.gv.at und Post.VII-2@bka.gv.at Sowie an das Präsidium des Nationalrates über https://www.parlament.gv.at/beteiligen/wissenswertes/begutachtungsverfahren#AbgabeStellungnahme 10. September 2026 Stellungnahme zum „Entwurf eines Bundesgesetzes, mit dem das AMD-G und das KOG geändert werden“ 1. Vorbemerkung Wir möchten uns bei den Urhebern dieses Gesetzesvorschlages dafür bedanken, ein wichtiges und aktuelles Thema aufzugreifen. Der einleitenden Problemanalyse des Vorblattes – besonders der Schädlichkeit süchtig machender Elemente von Video-Sharing-Plattformen – können wir vollkommen zustimmen. Die in § 54e Abs 5 lit a-e beschriebenen Aspekte stellen eine gute Zusammenfassung problematischen algorithmischen Verhaltens dar. Wichtig erscheint uns auch die explizite Berücksichtigung, „dass Risiken nicht nur von Inhalten, sondern insbesondere von der Funktionsweise der Plattformen (z. B. algorithmische Empfehlungssysteme oder suchtfördernde Designs) ausgehen“. Auch die in den Erläuterungen ausgeführte Berücksichtigung der Gefahr der Überforderung von Eltern, wenn diese Frage als rein individuelles statt als gesamtgesellschaftliches Problem gesehen wird, sehen wir als wichtige, nuancierte Betrachtung der Materie an. Es ist ebenfalls zu würdigen, dass die Beschreibung der technischen Grundlagen explizit die Eigenschaften von „Nichtbeobachtbarkeit und Nichtverfolgbarkeit der Präsentation der Altersnachweise“, „Kollusionsresistenz gegenüber der Video-Sharing-Plattform“, „Datenminimierung und selektive Offenlegung“, „Ausschluss einer zentralen Nutzungsprotokollierung“ sowie „Interoperabilität durch offene Standards und standardisierte Altersprädikate“ verlangt und die Erläuterungen explizit auf dafür existierende Mechanismen wie Zero-Knowledge-Proofs und die technische Entkopplung der verschiedenen Komponenten hinweisen. Besonders hervorzuheben sind die Erläuterungen auf Seiten 8 bis 11, z.B. „Zu Z 6“ (auf Seite 10) mit der beispielhaften Auflistung explizit nicht zu übertragender Daten. Diese Maßnahmen verringern das Risiko, dass Daten aus einer solchermaßen konstruierten Altersverifikationsmethode zum zusätzlichen Tracking von Nutzer:innen verwendet werden können. Dieser technische Ansatz ist jedenfalls deutlich gegenüber einigen anderen Vorschlägen wie z.B. Dienstanbieter-seitiger Abgleich von (hochzuladenden) Ausweisdokumenten und Live-Kamerabild und deren viel größeren Gefahren Univ.-Prof. Dr. René Mayrhofer Vorstand des Instituts für Netzwerke und Sicherheit https://ins.jku.at Assoc.-Prof. Dr. Michael Sonntag Stellvertretender Vorstand des Instituts für Netzwerke und Sicherheit T +43 732 2468 4121 rm@ins.jku.at michael.sonntag@ins.jku.at Sekretariat: Severina Lachmair DW 4120 office@ins.jku.at JOHANNES KEPLER UNIVERSITÄT LINZ Altenberger Straße 69 4040 Linz, Österreich www.jku.at DVR 0093696 für die Privatsphäre zu bevorzugen.1 Wir bezweifeln jedoch, dass „sich die Umstände seit der Umsetzung der AVMD-RL im Jahr 2020 grundlegend verändert haben“ – derartige Methoden sind schon seit längerer Zeit Teil der Diskussionen. 2. Detailanmerkungen Gleichzeitig möchten wir allerdings mehrere Anmerkungen zum vorliegenden Änderungsentwurf einbringen: 1. Die süchtig machenden Effekte treten nicht nur bei Kindern unter 14 Jahren auf, sondern ebenso bei Jugendlichen und Erwachsenen. Sollte daher das Ziel der Maßnahme erreicht werden, Kinder unter 14 Jahren von solchen Plattformen und/oder Funktionen auszuschließen, so wären Sie ab dem Erreichen des 14. Lebensjahres auf einmal – und dann, da die vorgeschlagene Regelung eine harte, technisch umzusetzende Grenze definiert, ohne langsam aufbauende Vorbereitung – mit denselben Gefahren konfrontiert. Es scheint daher zum Schutz der Gesamtgesellschaft deutlich zielführender, die entsprechenden Plattformen in Bezug auf diese süchtig machenden Elemente generell zu regulieren und das Problem damit gesamtheitlich zu adressieren. Evtl. wäre auch anzudenken, die Plattformen anzuregen (z.B. in den Erläuterungen), eine „entschärfte“ Version ohne die problematischen Elemente (und dann ohne Altersprüfung; jedoch nicht-exklusiv, d.h. auch für Ältere zugänglich) für Minderjährige anzubieten. 2. Die Verpflichtung zur Altersverifikation trifft nicht nur Kinder unter 14 Jahren, sondern alle Nutzer:innen – bei Diensten, deren Nutzung nicht an den Login mit dort angelegten Accounts gebunden sind, sogar bei jedem Besuch des entsprechenden Dienstes (d.h. jeder sog. Sitzung bzw. „Session“). Es besteht daher die Sorge, dass a) eine Altersverifikation bei Video-Sharing-Plattformen die Normalisierung einer ständigen Nutzer:innen-Identifikation auch bei anderen Arten von Diensten einleiten könnte (Nutzer:innen würden dies „automatisch“ genehmigen; dieser „Reflex“ könnte von durch die Regelung nicht betroffenen Diensten ausgenützt werden, zusätzliche Informationen über Besucher zu erlangen); und b) damit das Konzept eines offenen Internets zur anonymen Informationssuche ohne Login-Schranken nachhaltig gefährden kann. Alters- bzw. Login-Schranken vor wichtigen Plattformen wie Wikipedia könnten in nächsten Schritten leichter eingeführt werden, wenn die Basis-Infrastruktur sowie die Interaktionsflüsse 1Noch weniger invasive Alternativen wie z.B. ein Hinterlegen der Altersstufe im Betriebssystem des Endgeräts (bei ausreichenden Ausnahmen für Open Source Systeme) würden jedoch einen vergleichsweise geringeren Eingriff darstellen. JOHANNES KEPLER UNIVERSITÄT LINZ Altenberger Straße 69 4040 Linz, Österreich www.jku.at DVR 0093696 für Nutzer:innen breit verfügbar sind und zuvor bereits für VSPs normalisiert wurden. Argumente dafür wurden schon genannt, z.B. die (durch Alter oder andere Attribute) unbeschränkte Verfügbarkeit von Information zu Geschlechtsumwandlungen oder anderen politisch aufgeladenen Themen. Eine Forderung der Ausweitung von Video-Plattformen auch auf textuelle und andere Medien muss daher angenommen werden. Weiters ist denkbar – und durch frühere Vorstöße in Österreich die politische Intention dokumentiert – dass sogar eine vollständige Klarnamenpflicht als weitere Entwicklung folgen könnte. Diese „slippery slope“ stellt eine nachhaltige Gefahr für die Informations- und Meinungsfreiheit dar. Wie einer solchen Entwicklung entgegen gesteuert werden kann und die Einschränkungen dieses Vorschlags auf einen angemessenen Umfang – wie z.B. § 54e Abs 5 lit a-e – nach dem Aufbauen der Infrastruktur beschränkt werden können, scheint unklar. 3. Ein auf Österreich beschränkter Wirkungsbereich wird kaum effektiv umsetzbar bleiben, da die geographischen Einschränkungen des betroffenen Nutzer:innenkreises leicht durch VPNs und andere Technologien umgangen werden können. Die Hürden dafür sind gering und auch von unter-14-Jährigen können diese Umgehungsmechanismen leicht eingesetzt werden. Betroffene Plattformen und Dienste könnten versuchen, den Einsatz von VPN-, Proxy- oder anderen Relay-Servern zu erkennen. Aber selbst die größten Videoplattformen wie Netflix mit signifikantem geschäftlichen Interesse an solchen Geo-Sperren schaffen es seit deren Beginn nicht zuverlässig, alle VPN-Varianten oder andere Netzwerk-Relays zuverlässig zu detektieren. Da ein begleitendes, generelles Verbot des VPN-Einsatzes in Österreich aber weder rechtlich angemessen noch technisch praktikabel erscheint, ist die tatsächliche Effektivität dieser Einzelmaßnahme – und damit wiederum die Angemessenheit der aufzubauenden Infrastruktur – zu hinterfragen. Insb. wenn auch andere Staaten ähnliche Regelungen erlassen, dürften die dann kumulierten und jeweils unterschiedlichen Anforderungen an Diensteanbieter leicht als unverhältnismäßig beurteilt werden können. 4. Ist die Plattform nicht in Österreich ansässig (wohl praktisch alle), ist die Durchsetzung schwierig (siehe § 54j). Dies soll über den „Einzug“ von Werbegeldern erfolgen, was österreichische Unternehmen u.U. Haftungsansprüchen im Ausland aussetzt, da die Plattform für ihre Leistungen „nicht bezahlt“ wurde. Gleichzeitig bedeutet dies indirekt einen effektiven Ausschluss österreichischer Unternehmen von der Plattform, und damit einen u.U. starken Wettbewerbsnachteil. Da nur Werbegelder eingezogen werden können, sind z.B. Ausschüttungen JOHANNES KEPLER UNIVERSITÄT LINZ Altenberger Straße 69 4040 Linz, Österreich www.jku.at DVR 0093696 an österreichische Content-Erzeuger nicht umfasst – eine Einbeziehung wäre zu überlegen. 5. Laut § 54e Abs 3a ist „eine Altersverifikationsmethode einzusetzen, die nach dem Stand der Technik zu den datensparsamsten verfügbaren Methoden zählt“. Die Forderung zum Einsatz der datensparsamsten Methode wäre hier besser, zumal es auch hiervon mehrere Anbieter geben kann (vgl. offene Standards: § 54e Abs 3a Z 7). Auch ist die Bewertung unklar und schwierig, wann eine Methode zu „den datensparsamsten“ gehört. 6. Laut § 54e Abs 3a Z 1 ist eine „Trennung zwischen Plattform-Anbieter und Anbieter einer Altersverifikationsmethode“ erforderlich. Inwieweit/wie diese getrennt sein müssen, ist nicht ausreichend spezifiziert. Reicht z.B. ein Subunternehmen oder eine streng getrennte Abteilung aus? Die Erläuterungen sprechen lediglich von technischer und kryptographischer Trennung sowie einer Rollen-/Informationstrennung. Auch zwei komplett getrennte Unternehmen im gleichen Besitz stellen u.U. ein Problem in Hinblick auf die lt. Vorschlag explizit auszuschließende Kollusion dar. 7. Laut § 54e Abs 3a Z 6 ist eine zentrale Nutzungsprotokollierung verboten. Eine dezentrale Protokollierung der Nutzung ist jedoch erlaubt? Dies bedeutet ebenso (bei exakter Protokollierung des Zeitpunkts) dass Dritte (z.B. Strafverfolgungsbehörden) die Daten ohne weiteres (aus technischer Sicht) zusammenführen und abgleichen können. „Keine der beteiligten Stellen darf allein oder durch normale Protokollabläufe nachvollziehen können, wann ein konkreter Altersnachweis gegenüber welcher Video-Sharing-Plattform verwendet wird.“ Dies bedeutet keinen Ausschluss für Dritte (z.B. ein gemeinsames Mutterunternehmen; siehe oben) oder beide zusammen. Nach § 54e Abs 3a Z 3 ist zwar Kollusionsresistenz erforderlich, eine Zusammenarbeit wird jedoch nicht verboten (bzw. muss aus anderen Vorschriften, z.B. der DSGVO, abgeleitet werden). 8. Interoperabilität ist zu erfüllen, aber ein Plattform-Anbieter könnte immer noch festlegen, dass er nur Altersnachweise des Unternehmens X oder mittels Registrierungskomponenten aus Staat Y akzeptiert – und somit Umgehungen erleichtert bzw. diesem Unternehmen Kunden/jenem Staat Zusatzinformationen zuführt. Es wäre evtl. sinnvoll, eine „Akzeptanzpflicht“ anzudenken (im Sinne von Interoperabilität und offenen Standards). 9. Im Falle eines Nutzerkontos muss der Kunde die Möglichkeit haben, von sich aus eine Neu-Überprüfung zu beantragen, z.B. wenn die Altersgrenze überschritten wurde. Hierfür scheint eine gesetzliche Regelung verzichtbar (sofern die „Durchführung“ als „auf Anforderung des Diensteanbieters“ interpretiert wird). JOHANNES KEPLER UNIVERSITÄT LINZ Altenberger Straße 69 4040 Linz, Österreich www.jku.at DVR 0093696 Genauere Ausführungen zu einigen dieser und anderen Punkten wurden auch in einem offenen Brief vieler Wissenschafter:innen im März 2026 unter https://csa-scientist-open-letter.org/ageverif-Feb2026 veröffentlicht. 3. Zusammenfassende Bewertung Zusammenfassend begrüßen wir daher explizit den wichtigen Vorstoß, süchtig machende Effekte großer Plattformen einzudämmen, sehen aber die Effektivität dieses Vorschlags aus technischer und gesamtgesellschaftlicher Sicht als eher beschränkt, dafür aber Risiken für die freie Informationssuche im Internet. Eine Befassung auf globaler, zumindest aber europäischer, Ebene sowie ein genereller Schutz der Gesamtbevölkerung vor bekannt süchtig machenden Elementen (vgl. Drogen und Glücksspiel) scheint dementsprechend angebracht. JOHANNES KEPLER UNIVERSITÄT LINZ Altenberger Straße 69 4040 Linz, Österreich www.jku.at DVR 0093696