Digitale ID: Großbritannien will Altersverifikation ausbauen

Täuschung – Bildquelle: Pixabay / Didgeman; Pixabay License

Dass die digitale ID DAS Kernelement des Großen Neustarts ist, habe ich in zahlreichen Artikeln bereits belegt. Dass es dabei um Themen geht, die so gut wie niemand auf dem Schirm hat auch. Und eines dieser „nicht so offensichtlichen“ Themen, in denen der Staat sich anmaßt seine Bürger zu kontrollieren und zu überwachen, zeigt nachfolgendes Beispiel aus Großbritannien:

Heben wir unser Glas auf das britische Office for Digital Identities and Attributes (OfDIA), das Unterlagen veröffentlicht hat, in denen erläutert wird, wie die neuen verbindlichen Lizenzbedingungen funktionieren sollen, wenn Kunden ihre Identität digital nachweisen, um ihr Alter zu bestätigen.

In einem Blogbeitrag des OfDIA heißt es:

Die Verordnung zum Lizenzgesetz von 2003 (verbindliche Lizenzbedingungen) (Änderung) von 2026 wird, sobald sie vom Parlament verabschiedet wurde und in Kraft getreten ist, Einzelhändlern und Gastronomiebetrieben in England und Wales ermöglichen, beim Verkauf oder der Abgabe von Alkohol digitale Altersnachweise zu akzeptieren, sofern die gesetzlichen Voraussetzungen erfüllt sind und vorbehaltlich etwaiger lokaler Lizenzbedingungen.
—
(The Licensing Act 2003 (Mandatory Licensing Conditions) (Amendment) Order 2026, once it is approved by Parliament and has come into force, will enable retailers and hospitality venues in England and Wales to accept digital proofs of age when selling or supplying alcohol, provided the statutory conditions are met and subject to any local licensing conditions.)

Viele werden nun argumentieren, dass dies doch vernünftig klingt, weil man damit den Alkoholmissbrauch bei Jugendlichen eindämmen könnte. Aber kann man das wirklich? Denn es ist wie überall – wenn man an etwas „heran kommen“ will, kommt man auch daran. Und sei es – dann – auf illegalem Weg. Tony Allen, Vorsitzender des Expertengremiums für Altersbeschränkungen und Leiter des „Age Check Certification Scheme (ACCS)“, betont, dass die Sache nicht ganz so einfach ist. Es wurden Fragen zu den notwendigen Voraussetzungen für die Akzeptanz digitaler Ausweise, zu zulässigen Methoden der Altersüberprüfung und zu weiteren Aspekten aufgeworfen. Das Innenministerium hat bereits auf die vom Gremium eingereichten Fragen geantwortet.

Nun ist die OfDIA an der Reihe, und sie strebt „absolute Klarheit“ an.

„Zur Altersüberprüfung dürfen nur registrierte DVS verwendet werden (Only registered DVS may be used to check age)“, heißt es darin. Das bedeutet, dass nur Anbieter akzeptiert werden, die gemäß dem Vertrauensrahmenwerk „Digital Verification Services (DVS)“ der britischen Regierung zertifiziert wurden.

Der vom Lizenzinhaber zur Bereitstellung des digitalen Altersnachweises oder vom Kunden zur Überprüfung seines Alters verwendete DVS muss im DVS-Register aufgeführt sein, andernfalls erfüllt er nicht die Anforderungen des Verordnungsentwurfs.
—
(The DVS used by the licence holder to deliver the digital proof of age, or the customer to verify their age, must appear on the DVS register, or it does not meet the requirements of the draft order.)

Laut OfDIA werden die Dienste im DVS-Register regelmäßig und unabhängig gemäß dem Vertrauensrahmen geprüft und zertifiziert, und der Registrierungs- und Zertifizierungsprozess sei „so konzipiert, dass vertrauende Parteien den im Register aufgeführten Diensten vertrauen können, ohne selbst umfangreiche Bewertungen der zugrunde liegenden Technologien durchführen zu müssen (designed so that relying parties can trust services on the register without needing to conduct extensive assessments of the underlying technologies themselves)“.

All dies steht im Einklang mit einer prognostizierten erheblichen Expansion des Marktes für DVS-Anbieter biometrischer Altersüberprüfungen.

Zudem bedeutet „Überprüfung“ genau das.

Einige DVS-Anbieter bieten andere Technologien zur Alterssicherung an, wie beispielsweise die Altersschätzung. Diese Technologien können nicht gemäß dem britischen Vertrauensrahmenwerk für digitale Verifizierungsdienste zertifiziert werden und dürfen nicht im DVS-Register aufgeführt werden.
—
(Some DVS providers offer other age assurance technologies, such as age estimation. These technologies cannot be certified against the UK digital verification services trust framework and cannot appear on the DVS register.)

Der vorgelegte digitale Altersnachweis muss mindestens „ein mittleres Vertrauensniveau (a medium level of confidence)“ erreichen, und es muss sichergestellt sein, „dass er der Person gehört, die ihn vorlegt (that it belongs to the person presenting it)“ – was durch biometrische Authentifizierung und Bindung erreicht werden kann.

Dies steht im Einklang mit einem risikobasierten Ansatz, der für strengere Beschränkungen unterliegende Produkte eine höhere Sicherheit erfordert; eine Altersspanne reicht einfach nicht aus, wenn Alkohol an der Theke verkauft wird.

Digitale ID (noch) nicht verpflichtend, Datenminimierung entscheidend

OfDIA bestätigt, dass „die Nutzung von DVS und die Akzeptanz digitaler Altersnachweise durch Lizenzinhaber freiwillig ist (the use of DVS and the acceptance of digital proofs of age by licence holders is optional)“.

Unternehmen sind bei Inkrafttreten der Gesetzgebung nicht verpflichtet, digitale Altersnachweise einzuführen. Sie können sich auf Wunsch weiterhin auf bestehende physische Dokumente stützen.
—
(Businesses will not be required to adopt digital proof of age when the legislation comes into force. They may continue to rely on existing physical documents if they wish.)

Laut derzeitigen offiziellen Angaben kann sich jeder dafür entscheiden, eine digitale ID als Altersnachweis zu verwenden, ist jedoch (noch) nicht dazu verpflichtet. Zudem „entscheiden die Lizenzinhaber, ob und wie sie die digitale Überprüfung umsetzen (licence holders will decide whether and how they implement digital verification)“. Es ist ihnen gestattet, digitale Ausweise zur Altersüberprüfung an Selbstbedienungskassen zuzulassen. Allerdings muss die Überprüfung eines digitalen Ausweises durch eine programmatische Überprüfung seitens eines DVS-Anbieters erfolgen; eine visuelle Überprüfung reicht nicht aus.

Schließlich ist die Datenminimierung das Ziel.

Lizenzinhaber und DVS-Anbieter müssen die Datenschutzgesetze einhalten, einschließlich des Grundsatzes der Datenminimierung, und dürfen nur personenbezogene Daten verarbeiten, die für die Altersüberprüfung erforderlich sind.
—
(Licence holders and DVS providers must comply with data protection legislation, including the data minimization principle, and only process personal data that is necessary for verifying age.)

In ihrer Reaktion auf die Veröffentlichungen erklärt die Age Verification Providers Association (AVPA), sie sei dankbar für die Klarstellung, möchte die Diskussion zu bestimmten Themen jedoch offen halten. In einem Beitrag auf LinkedIn heißt es:

Der Ausschluss der Altersschätzung ist eine Entscheidung, mit der wir weiterhin nicht einverstanden sind, [und dass] dies über den Entwurf der SI hinausgehen könnte, da wir der Ansicht sind, dass der Text zumindest die Schätzung als Triage-Instrument zulassen würde, um den Auslöser für eine zertifizierte DVS-Altersprüfung zu bestimmen, wenn auch nicht als eigenständige Verifizierungsmethode.
—
(The exclusion of age estimation is a decision we continue to disagree with, [and that] this may go beyond the SI as drafted, since we believe the text would at a minimum permit estimation as a triage tool to inform the trigger for a certified DVS age check, albeit not as a verification method in its own right.)

Darüber hinaus

sollten die gesetzlichen Leitlinien den für diesen Anwendungsfall erforderlichen Mindeststandard für die Authentifizierung festlegen, um das sogenannte ‚Little-Brother-Problem‘ zu vermeiden: dass ein jüngeres Geschwisterkind mit dem Handy und der PIN eines Erwachsenen zum Supermarkt geschickt wird, um Alkohol zu kaufen.
—
(the statutory guidance should specify the minimum authentication standard required for this use case to avoid what we call the ‘little brother problem’: sending a younger sibling to the supermarket with an adult’s phone and PIN to buy alcohol.)

Die AVPA betont:

Es ist von entscheidender Bedeutung, dass die gesetzlichen Leitlinien, die nach der Beratung der Durchführungsvorschriften durch das Parlament veröffentlicht werden sollen, ausdrücklich die Kernpunkte bestätigen, zu denen wir nun die von uns geforderte Zusicherung erhalten haben, da es schwierig sein wird, sich auf einen Blogbeitrag zu stützen, der die Durchführungsvorschriften ersetzt, falls etwaige Widersprüche zu rechtlichen Auseinandersetzungen führen sollten.
—
(It is critical that the statutory guidance, due to be published once Parliament has considered the secondary legislation, explicitly confirms the key points on which we have now received the reassurance we sought, as it will be hard to rely on a blog to supersede secondary legislation if any conflict leads to legal arguments.)

Conclusio

Wir sehen also, dass die digitale ID auch in Bereichen eindringen wird, die so gut wie niemand auf dem Schirm hat. Und wer sagt nun, dass eine Altersverifikation beim Kauf von Alkohol Stop machen wird? Wie wäre es damit sie auch bei Zugang zu Konzerten oder Filmen mit Altersfreigabe einzusetzen? Der Fantasie unserer Regierungen dürften hier keine Grenzen gesetzt sein – schließlich wollen sie uns nur „schützen“…

Quellen:
How digital verification services can be used to support alcohol purchases
Home Office provides answers on using digital ID to prove age for alcohol sales
OfDIA confirms commitment to DVS trust framework in annual report
How can a business be confident that a digital proof of age belongs to the person presenting it?
2026 Age Assurance & Digital Age Credentials Market Report
Beyond accuracy: What NIST’s latest age estimation results mean for age assurance
UK pubs to accept digital ID for age assurance by Christmas 2026
Alcohol retailers awaiting digital age checks lay out what they want from a solution
LinkedIn – Age Verification Providers Association