EU Kids Act 2026: Was der Vorschlag bringt und was fehlt – Grams IT

Ursula von der Leyen hat in ihrer Rede zur Lage der Union am 16. September 2026 den EU Kids Act angekündigt, einen Tag später hat die Kommission den Entwurf zusammen mit Henna Virkkunen offiziell vorgelegt. Der volle Name lautet „EU Keeping Internet Digital Spaces Accountable and Trustworthy“, und schon das Akronym verrät, dass hier jemand sehr lange an der Verpackung gearbeitet hat. Zeit, sich den Inhalt anzuschauen: Was will das Gesetz, was kann es, und was wäre klüger gewesen?

Was der EU Kids Act vorsieht

Das Stufenmodell ist inzwischen bekannt: Unter 13 Jahren kein Zugang zu sozialen Netzwerken, zwischen 13 und 15 nur ein von den Eltern eingerichtetes und beaufsichtigtes „Mini-Konto“ mit eingeschränkten Funktionen und Zeitlimit, ab 15 ein eigenes Konto, allerdings nur auf Plattformen, die für Minderjährige „safe by design“ sein müssen. Die Beweislast soll umgedreht werden: Anbieter müssen belegen, dass ihr Dienst sicher ist.

Das Kleingedruckte hat es aber in sich, und das steht nicht in der Rede, sondern im Gesetzestext, den netzpolitik.org vorab veröffentlicht hat. Die wichtigsten Punkte:

Für riskante Social-Media- und Videoplattformen ist eine echte Altersverifikation vorgesehen, etwa mit der Alterskontroll-App der EU auf Ausweisbasis. Das betrifft alle Nutzer, auch Erwachsene. Ausnahmen gibt es nur für Bestandskonten, bei denen ein Minderjähriger praktisch ausgeschlossen ist.
Als „riskant“ gilt ein Dienst schon dann, wenn man dort Fremde kontaktieren oder einen personalisierten Feed sehen kann. Das ist so ziemlich jede Plattform.
Ein zweiter Regelungsblock erfasst den bloßen Zugang ohne Konto: Videoplattformen, Online-Spiele, KI-Chatbots, Software-Marktplätze. Sie dürfen öffentlich nur noch eine kindgerechte Version zeigen, alles andere nur nach „Age Assurance“, worunter auch Schätzverfahren wie Gesichtsscans fallen.
App Stores müssen ihre Kataloge mit Alterslabels versehen und vor der Installation prüfen.
Eltern brauchen für ein Mini-Konto drei Nachweise: ihr eigenes Alter, das Alter des Kindes und die Sorgeberechtigung. Die Mitgliedstaaten sollen dafür eine Bescheinigung schaffen.
Mini-Konten sind auf maximal eine Stunde am Tag begrenzt, Eltern sollen jeden neuen Kontakt vorab freigeben können.
Bestehende Konten von unter 15-Jährigen müssten innerhalb von sechs Monaten nach Geltung der Regeln abgeschaltet werden.
Eine Ausnahme für kleine Anbieter gibt es nicht. Ausgenommen sind nur nicht-kommerzielle Enzyklopädien, Bildungs- und Wissenschaftsangebote, Verwaltung und Plattformen für quelloffene Software.

Der Zweck: berechtigt, aber vermischt

Man muss der Kommission zugestehen, dass sie ein reales Problem adressiert. Feeds, die auf maximale Verweildauer optimiert sind, Streaks, Autoplay, Push-Benachrichtigungen im Minutentakt, Kontaktaufnahme durch Fremde, KI-generierte sexualisierte Bilder von Schülerinnen. Wer mit Jugendlichen zu tun hat, weiß, dass das keine Erfindung besorgter Politiker ist. Von der Leyen hat in ihrer Rede den Fall eines 14-jährigen Mädchens aus Belgien erzählt, das nach Online-Mobbing gestorben ist. Solche Geschichten sind wahr, und sie sind furchtbar.

Nur: Der Kids Act packt zwei sehr unterschiedliche Dinge in ein Gesetz. Das eine sind Designpflichten für Plattformen. Das andere ist eine Zugangskontrolle für Menschen. Das Erste ist überfällig. Das Zweite ist der Teil, an dem das Vorhaben scheitern wird, und zwar nicht politisch, sondern technisch.

Was am EU Kids Act sinnvoll ist

Die Designvorschriften sind der stärkste Teil des Entwurfs. Autoplay, Endlos-Scrollen, Belohnungsmechaniken für tägliche Nutzung, Empfehlungssysteme auf Basis von Verhaltensprofilen: All das für Minderjährige zu verbieten, ist konkret, prüfbar und trifft die Geschäftsmodelle dort, wo es wehtut. Bislang standen diese Punkte nur in unverbindlichen Leitlinien zum Digital Services Act. Dass sie Gesetz werden sollen, ist ein echter Fortschritt.

Auch die Beweislastumkehr ist richtig. Seit Jahren behaupten Plattformen, ihre Dienste seien sicher, und liefern dafür Studien, die sie selbst finanziert haben. Wenn künftig der Anbieter nachweisen muss, dass sein Feed 14-Jährige nicht in eine Spirale zieht, ändert das die Verhandlungsposition der Aufsicht grundlegend.

Wo die Alterskontrolle unrealistisch wird

Das Altersnachweis-Trilemma

Der Entwurf verlangt von jeder Altersfeststellung gleichzeitig hohe Genauigkeit, Robustheit, geringe Eingriffstiefe, Datenschutz und Nichtdiskriminierung. Das klingt vernünftig, ist aber nicht lieferbar. Ein Gesichtsscan ist wenig eingriffstief, aber ungenau, und trifft je nach Herkunft und Geschlecht unterschiedlich zu. Ein Ausweisabgleich ist genau, aber ein tiefer Eingriff und schließt Menschen ohne digitale Identität aus. Man kann sich zwei der drei Eigenschaften aussuchen, nie alle. Ein Gesetz, das alle drei fordert, verlagert das Problem in die Durchführungsverordnungen, wo es dann still zugunsten der Genauigkeit entschieden wird.

Der Zero-Knowledge-Satz

Im Entwurf steht, jede Maßnahme zur Alterskontrolle solle „zero knowledge proof“ sein. Wer weiß, was ein Zero-Knowledge-Beweis ist, liest diesen Satz zweimal. Der Begriff wird als Adjektiv verwendet, ist aber ein Substantiv für ein konkretes kryptografisches Verfahren, das nicht einmal die EU-eigene Alterskontroll-App verpflichtend nutzt. Das ist keine Spitzfindigkeit. Es ist ein Indiz dafür, dass an dieser Stelle niemand mit technischem Hintergrund gegengelesen hat. Bei einem Gesetz, dessen Kern eine technische Infrastruktur ist, ist das kein gutes Zeichen.

Der Geltungsbereich

Weil der Entwurf „soziale Medien“ nicht definiert, greift voraussichtlich die Definition aus dem Digital Markets Act: Dienste, in denen Nutzer sich vernetzen, kommunizieren und Inhalte teilen. Das ist jedes Vereinsforum, jedes Hobby-Board, jeder Mastodon-Server. Eine Ausnahme für kleine Anbieter fehlt. Wer ehrenamtlich ein Forum mit 300 Mitgliedern betreibt, müsste dieselbe Verifikationsinfrastruktur aufbauen wie TikTok. In der Praxis heißt das: Er macht zu. Die Folge wäre eine weitere Zentralisierung auf die großen Plattformen, also genau die, gegen die das Gesetz eigentlich gerichtet ist.

Der Sorgeberechtigungsnachweis

Hier lohnt sich der Blick aus der Verwaltungspraxis. Die Mitgliedstaaten sollen eine Bescheinigung schaffen, mit der Eltern gegenüber Instagram belegen, dass sie die Eltern sind. Wer soll die ausstellen? Das Meldeamt? Das Jugendamt? Wie sieht das bei getrennt lebenden Eltern aus, bei Pflegefamilien, bei Geflüchteten ohne Papiere? Der Entwurf nennt als Übergangslösung die Selbsterklärung, also einen Haken in einem Formular. Damit ist der gesamte Nachweisapparat entweder wirkungslos oder ein Bürokratiemonster. Ein Mittelding gibt es nicht.

Die Stunde am Tag

Ein fest im Gesetz verankertes Zeitlimit von 60 Minuten für 13- und 14-Jährige, unabhängig davon, was der Jugendliche dort tut. Eltern sollen darunter bleiben können, nicht darüber. Das nimmt Eltern die Entscheidung ab, statt sie zu unterstützen. Und es ignoriert, dass Jugendliche über soziale Medien auch Hausaufgaben abstimmen, Vereinsgruppen organisieren und Freundschaften pflegen.

Die Umgehung

Australien hat ein Kontoverbot ab 16 eingeführt. Was danach passierte, war absehbar: Konten von Geschwistern, Zweithandys, VPN. Der Kids Act geht noch weiter und reguliert schon den Zugang ohne Konto. Damit wird die Umgehung nicht schwerer, sondern der Anreiz größer, weil auch 16- und 17-Jährige plötzlich vor Ausweisschranken stehen. Eine Altersschranke, die von den Betroffenen als willkürlich empfunden wird, erzeugt nicht Schutz, sondern Kreativität.

Die Sicherheitsfrage

Aus IT-Sicherheitssicht ist der schlimmste Aspekt, dass hier eine Infrastruktur entsteht, die Ausweisdaten, biometrische Merkmale und Plattformnutzung zusammenführt. Jeder Anbieter von Age Assurance wird zum Hochwertziel. Ein australisches Gutachten zu den dortigen Alterskontrollanbietern hat gezeigt, dass biometrische Daten gehortet werden, obwohl sie es nicht sollten. Es gibt keinen Grund anzunehmen, dass das in Europa anders läuft, solange das Gesetz Datensparsamkeit nur fordert, aber nicht technisch erzwingt.

Was besser wäre als eine Altersgrenze

Der Entwurf hat einen richtigen Kern, den man freilegen könnte, wenn man die Zugangskontrolle vom Schutzgedanken trennt.

Sicheres Design als Standard für alle, ohne Altersschranke. Autoplay, Endlos-Scrollen, Streaks und Push-Spam sind nicht nur für Kinder schädlich. Wenn diese Mechaniken standardmäßig aus sind und jeder Nutzer sie aktiv einschalten muss, braucht es dafür keine Altersfeststellung. Die Kommission plant mit dem Digital Fairness Act ohnehin ein solches Gesetz für den Herbst. Es wäre ehrlicher gewesen, den Kids Act als dessen Jugendschutzkapitel zu bauen.

Beweislast statt Ausweis. Man kann die Beweislastumkehr auf die Spitze treiben: Wer nicht sicher weiß, dass ein Nutzer volljährig ist, darf ihn nicht profilieren und muss ihm die sichere Version ausspielen. Das setzt keinen Ausweiszwang voraus. Es zwingt Plattformen dazu, standardmäßig anzunehmen, dass ein unbekannter Nutzer minderjährig sein könnte. Wer den vollen Feed will, kann sich freiwillig verifizieren. Wer nicht, bekommt eine Plattform ohne Tracking. Das wäre für viele Erwachsene sogar ein Gewinn.

Wenn Altersnachweis, dann richtig. Ein anonymes Credential, das nur „über 15: ja“ oder „nein“ ausgibt, technisch auf dem Gerät gehalten, mit echtem Zero-Knowledge-Verfahren, quelloffen und auditierbar, ohne dass die Plattform oder der Ausweisanbieter erfährt, wo das Credential eingesetzt wurde. Das ist mit der EUDI-Wallet grundsätzlich machbar. Der Entwurf müsste das aber als harte technische Anforderung formulieren, nicht als missverstandenes Schlagwort, und Gesichtsscans als Verfahren explizit ausschließen.

Geltungsbereich auf die Großen beschränken. Der Digital Services Act kennt bereits die Kategorie der sehr großen Plattformen. Dort sitzt das Problem, dort sitzt das Geld für Compliance. Kleine Communities, Vereinsforen und dezentrale Netzwerke gehören nicht in dieselbe Pflicht.

Elternkontrolle als Angebot, nicht als Pflicht. Beaufsichtigte Konten sind eine gute Option für Eltern, die sie wollen. Sie sollten aber nicht der einzige Weg für einen 14-Jährigen sein, und das Zeitlimit gehört in die Hände der Eltern, nicht ins Gesetz. Der CCC und D64 weisen zu Recht darauf hin, dass nicht alle Jugendlichen in Verhältnissen leben, in denen elterliche Vollkontrolle über jeden Kontakt ein Schutz wäre. Für manche ist das Netz der einzige Ort, an dem sie Hilfe finden.

Medienkompetenz finanzieren. Jede Altersschranke fällt spätestens am 15. oder 18. Geburtstag weg. Was dann bleibt, ist ein junger Mensch, der entweder gelernt hat, mit Aufmerksamkeitsökonomie umzugehen, oder nicht, und das lernt er nicht durch ein Verbot.

Zwei Hebel, die das Gesetz verwechselt. Es gibt genau zwei Stellen, an denen sich das Problem lösen lässt. Beim Anbieter, indem man ihm Mechaniken verbietet, die auf Abhängigkeit optimiert sind. Und beim Kind, indem man ihm beibringt, was da mit ihm passiert, und zwar altersgerecht ab der Kita, methodisch in der Grundschule, systematisch in der Sekundarstufe. Beides ist mühsam. Das eine kostet Streit mit Konzernen, das andere kostet Lehrpläne, Fortbildung und Geld. Eine Altersschranke kostet nichts davon. Sie greift weder beim Anbieter noch beim Kind ein, sondern schiebt nur den Zeitpunkt nach hinten, an dem ein unvorbereiteter Jugendlicher auf eine unveränderte Plattform trifft. Der Design-Teil des Kids Act zieht den ersten Hebel, und das ist richtig. Der zweite kommt im Entwurf schlicht nicht vor: kein Wort zu Medienpädagogik, keine Förderung, keine Verpflichtung der Mitgliedstaaten. Übrig bleibt das Verbot als das Einzige, was politisch billig ist, weil die Rechnung an Eltern, Forenbetreiber und Jugendliche geht.

Fazit

Der EU Kids Act ist ein Gesetz mit einer guten ersten Hälfte und einer zweiten, die die erste gefährdet. Designpflichten und Beweislastumkehr sind richtig und überfällig. Die flächendeckende Alterskontrolle dagegen ist technisch nicht so lieferbar, wie das Gesetz es verspricht, trifft mit den kleinen Anbietern die Falschen, schafft mit dem Sorgeberechtigungsnachweis eine neue Bürokratie und baut eine Dateninfrastruktur, die in fünf Jahren niemand mehr abbauen wird. Und sie ersetzt das, was wirklich fehlt: die Bereitschaft, Kinder an diese Welt heranzuführen, statt sie nur länger davon fernzuhalten.

Der Entwurf muss noch durch Parlament und Rat. Es wäre nicht das erste Mal, dass dort aus einem Überwachungsgesetz mit Kinderschutz-Etikett am Ende doch etwas Brauchbares wird. Ich würde aber nicht darauf wetten.

FAQ zum EU Kids Act

Ab welchem Alter dürfen Kinder laut EU Kids Act Social Media nutzen?

Unter 13 gar nicht, zwischen 13 und 15 nur über ein von den Eltern eingerichtetes Mini-Konto mit maximal einer Stunde pro Tag, ab 15 mit eigenem Konto auf Plattformen, die für Minderjährige sicher gestaltet sein müssen.

Müssen sich auch Erwachsene ausweisen?

Nach dem Entwurf ja. Riskante Social-Media- und Videoplattformen sollen das Alter aller Nutzer verifizieren. Ausnahmen sind nur für langjährige Bestandskonten vorgesehen.

Gilt der Kids Act auch für kleine Foren und Fediverse-Server?

Voraussichtlich ja. Der Entwurf enthält keine Ausnahme für kleine Anbieter und definiert „soziale Medien“ nicht eigenständig, sodass die weite Definition des Digital Markets Act greifen dürfte.

Ist der EU Kids Act schon beschlossen?

Nein. Es handelt sich um einen Vorschlag der Kommission vom 17. September 2026. Europäisches Parlament und Rat müssen zustimmen und können den Text noch erheblich ändern.

Was ist der Unterschied zwischen Age Verification und Age Assurance?

Age Verification meint den strengen Nachweis über Belege wie Ausweisdaten. Age Assurance ist der Oberbegriff und umfasst auch Schätzverfahren, etwa biometrische Gesichtsscans, die deutlich ungenauer sind.