Wer in Deutschland Zigaretten kaufen will, muss alt genug sein. Die Prüfung übernimmt kein Ministerium, sondern der Mensch hinter dem Tresen. Er schaut auf den Ausweis, gibt ihn zurück, behält nichts. Verkauft er trotzdem an Vierzehnjährige, haftet er — Testkäufe, Bußgeld, im Wiederholungsfall die Konzession.
Dass ein paar Jugendliche trotzdem durchkommen, weiß jeder. Niemand hat daraus je gefolgert, Altersgrenzen seien Unsinn. Leckage am Rand ist eingepreist. Das Gros wirkt.
Genau dieser Maßstab fehlt in der Debatte über den Jugendmedienschutz. Und genau an ihm scheitert das, was gerade gebaut wird.
Die Lage
Am 13. Juli hat Ursula von der Leyen in Brüssel den Bericht des von ihr beauftragten Expertengremiums vorgestellt. Empfohlen wird, Kindern unter 13 Jahren den Zugang zu sozialen Medien zu beschränken; bis dahin soll die Nutzung nur unter elterlicher Aufsicht oder in einem pädagogischen Rahmen stattfinden und zeitlich begrenzt sein. Mitgliedsstaaten sollen darüber hinaus höhere Altersgrenzen festlegen dürfen. Einen Gesetzesvorschlag kündigte von der Leyen für die Zeit nach dem Sommer an.
Frankreich muss seinen Entwurf für ein Verbot unter 15 Jahren nach Einschätzung der Kommission ändern — die Regelungskompetenz liegt bei der EU, nicht in Paris. Bundesbildungs- und -familienministerin Karin Prien hofft auf eine europäische Lösung und ist, falls die ausbleibt, nach Angaben ihres Sprechers „sehr offen für eine nationale Regelung“.
Zuvor hatte die von Prien eingesetzte Expertenkommission „Kinder- und Jugendschutz in der digitalen Welt“ am 24. Juni 56 Handlungsempfehlungen übergeben. Sie erteilte Verboten ab 15 oder 16 eine Absage, nennt ein gesetzliches Mindestalter von 13 als Option und schlägt alternativ dienst- und funktionsspezifische Beschränkungen nach Risikobewertung vor: algorithmische Feeds, offene Kontaktfunktionen, Livestreams.
Diesen letzten Punkt sollte man sich merken. Er ist der einzige in der gesamten Debatte, der die Sache beim Namen nennt.
Awareness-Training gegen einen Konstruktionsfehler
Was aus den Empfehlungen an den Schulen ankommt, sieht anders aus: ein verpflichtendes KI-Seepferdchen für Grundschüler, ausgebildete Medienguides, an jeder Schule eine medienpädagogische Ansprechperson, dazu eine Social-Media-Sprechstunde in der Schulsozialarbeit.
Das ist gut gemeint und in der Sache nicht falsch. Es ist nur die Antwort auf eine andere Frage.
In der IT-Security ist dieser Streit ausgestanden. Phishing bekämpft man nicht mit Schulungen, sondern mit Defaults: MFA, Härtung, Architektur. Wer stattdessen den Nutzer trainiert, hat die Verantwortung für einen Konstruktionsfehler nach unten delegiert. Empfehlungsalgorithmen, Endlos-Scrolling und Dark Patterns sind keine Bedienfehler. Sie sind Designentscheidungen, getroffen von Produktteams, die genau wissen, was sie tun.
Dazu kommt, dass die Lösung eine Ressource voraussetzt, die es nicht gibt. Medienkompetenz ist nur an 43 Prozent der Hochschulen durchgängig verpflichtend im Lehramtsstudium verankert. Eine Fortbildungspflicht existiert in keinem einzigen Bundesland; die Angebote der Landesinstitute sind freiwillig, und die Zeit dafür muss neben dem Unterricht erst einmal übrig sein.
Wie gut das bisher funktioniert hat, zeigt ICILS 2023. Rund 40 Prozent der deutschen Achtklässler erreichen bei den computer- und informationsbezogenen Kompetenzen nur die unteren beiden von fünf Stufen, an nicht gymnasialen Schulen mehr als 55 Prozent. Der mittlere Kompetenzwert fiel von 523 Punkten im Jahr 2013 über 518 auf 502 im Jahr 2023.
Es fehlt also an Medienkompetenz — in der Gesellschaft, in der Verwaltung und auch bei denen, die sie vermitteln sollen. Das ist kein Argument gegen Medienbildung. Es ist ein Argument dagegen, sie zur Hauptmaßnahme zu machen.
Fünf Minuten
Wie wenig Kompetenz gegen Mechanik ausrichtet, lässt sich seit Oktober 2025 nachlesen. Amnesty International und die Northeastern University legten die Untersuchung „Dragged into the Rabbit Hole“ vor: drei Testkonten, angelegt als Dreizehnjährige in Frankreich.
Innerhalb von fünf Minuten Scrollen — und bevor die Konten irgendeine Präferenz signalisiert hatten — spielte der For-You-Feed aller drei Konten Inhalte aus, die die Forscher als traurig oder depressiv einstuften. Nach 15 bis 20 Minuten bestanden die Feeds fast ausschließlich aus Beiträgen zum Thema psychische Gesundheit. Bei zwei der drei Konten tauchten innerhalb von 45 Minuten Videos mit Suizidgedanken auf.
Der Mechanismus dahinter ist banal. Ein frisches Konto liefert kein Signal, also testet das System mit dem, was zuverlässig Reaktionen erzeugt. Reaktionsstärke ist aber nicht Qualität: Empörung, Trauer und Tabubruch performen besser als Sachlichkeit. Die Phase größter Verletzlichkeit fällt damit exakt mit der Phase geringster Personalisierung zusammen.
Und in dieser Phase warten Akteure, die das kennen. Der Verfassungsschutzbericht 2025, vorgestellt am 30. Juni, hält fest, dass extremistische Akteure besonders auf Instagram und TikTok aktiv sind, um Propaganda zu verbreiten und zu mobilisieren. Es bildeten sich weitverzweigte, oft internationale Vernetzungen, die zu einer schnelleren Radikalisierung häufig sehr junger Menschen führten. Auch Gaming-Plattformen wie Roblox würden gezielt genutzt, um junge Menschen anzusprechen und ideologisch zu beeinflussen.
Ein Elfjähriger kann das nicht einordnen. Ein erheblicher Teil der Erwachsenen übrigens auch nicht.
Wo die Kioskanalogie bricht
Ich bin für ein Verbot. Für Facebook, TikTok, Instagram und alles, was nach derselben Mechanik funktioniert: algorithmischer Feed, offene Kontaktfunktion, Profil. Unter sechzehn kein Zugang. Nicht, weil die digitale Welt gefährlich wäre, sondern weil sie an dieser Stelle konstruiert ist wie ein Spielplatz, dessen Betreiber die Fallschutzflächen weggelassen hat.
Nicht gemeint ist gerichtete Kommunikation zwischen Menschen, die sich kennen. Ein Messenger ist funktional näher an der SMS als an einem Feed. Wer allerdings Broadcast-Kanäle und algorithmische Ausspielung einbaut, fällt in diesem Umfang unter dieselbe Regel — die Beschränkung gilt der Funktion, nicht dem Logo. Sonst löst sich jede Grenze durch Produktdesign auf.
Nur: Genau hier bricht der Vergleich mit dem Kiosk. Dort sitzt die Altersgrenze an einem Verkaufspunkt. Es gibt einen Menschen, der prüft, und der haftet. Online existiert diese Engstelle nicht. Sie muss gebaut werden. Und sie lässt sich nur bauen, indem sich alle ausweisen, nicht nur die Minderjährigen.
Der Kiosk fragt den Vierzigjährigen nicht nach dem Ausweis. Eine Alterskontrolle im Netz tut genau das. Wer nicht nachweisen kann, dass er alt genug ist, wird behandelt wie ein Kind. Die Beweislast liegt bei den Erwachsenen.
Ein Mindestalter im Netz ist deshalb keine Prüfung von Kindern. Es ist eine Ausweispflicht für Erwachsene. Das kann man wollen — ich tue es. Aber man sollte es aussprechen, statt so zu tun, als koste ein Verbot nichts.
Das Mittel liegt seit 2010 in der Schublade
Für diesen Nachweis gibt es in Deutschland seit sechzehn Jahren ein Verfahren. Der Personalausweis kann per Online-Ausweisfunktion melden, ob eine bestimmte Altersgrenze über- oder unterschritten ist — Attribut 10, ohne Geburtsdatum, ohne Namen, ohne Anschrift. Die AusweisApp zeigt vor jeder Abfrage an, welche Felder ein Anbieter überhaupt anfordert. Der Anbieter braucht dafür ein Berechtigungszertifikat, jemand prüft also, wer was abfragen darf.
Für eine Accountverifikation reicht das vollständig. Einmalig bei der Anlage, ein Ja oder Nein an die Plattform, kein Dokument, das irgendwo liegen bleibt. Kein Ausweisbestand bei Meta oder ByteDance — was auch der eigentliche Grund ist, warum die naheliegende Idee „dann lade halt jeder seinen Perso hoch“ die schlechteste aller Lösungen wäre.
Genutzt wird das praktisch nicht. Nicht, weil die Funktion schlecht wäre, sondern weil sie in sechzehn Jahren niemand verpflichtend gemacht hat.
Stattdessen: eine neue App
Am 15. April 2026 stellte von der Leyen persönlich die europäische Altersverifikations-App vor, die sogenannte Mini-Wallet. Begründet hat sie den Vorstoß mit dem Erfolg der Corona-Zertifikate: in Rekordzeit entwickelt, 78 Länder auf vier Kontinenten. Genau dieses Modell wolle man nun auf den Jugendschutz übertragen. Zwei Wochen später ging die Empfehlung an alle Mitgliedsstaaten — bis Ende 2026 sollen Bürger Zugang zu digitalen Altersnachweisen haben. Stichtag 31. Dezember 2026, zeitgleich mit dem Rollout der EUDI-Wallet, als deren ausdrückliche Vorstufe die Kommission die Mini-Wallet bezeichnet.
Wenige Stunden nach der Vorstellung zeigte der Sicherheitsberater Paul Moore auf X, wie er die App in unter zwei Minuten aushebelte. Die PIN ließ sich über die Konfigurationsdateien zurücksetzen, der Fehlversuchszähler ebenso, die biometrische Authentifizierung über einen einzelnen Boolean-Wert abschalten. Gesichtsbilder aus NFC-Ausweisdokumenten landeten unverschlüsselt als PNG auf der Platte und wurden nur bei erfolgreicher Verifikation gelöscht; Selfies im externen Speicher gar nicht. Der französische Sicherheitsforscher Baptiste Robert bestätigte die Befunde.
Am 10. Juli erschien das jüngste Update, nach drei Monaten Härtung. Moore umging die App erneut, diesmal mit einer KI-generierten Browser-Erweiterung: kein Passscan, kein Gesichtsabgleich, derselbe gefälschte Schlüssel mehrfach verwendbar. Sein Fazit: Das Grundproblem sei nicht zu beheben, weil das Modell darauf beruht, dass die Client-App nicht manipuliert wird.
Das ist keine Randnotiz. Das ist die Engstelle, die den ganzen Bau tragen soll.
Der Nebenschauplatz
Parallel rückt etwas anderes in den Blick. Der Wissenschaftliche Dienst des Europäischen Parlaments beschreibt in einem Briefing vom Januar 2026 einen deutlichen Anstieg der VPN-Nutzung dort, wo Alterskontrollen gesetzlich vorgeschrieben wurden. Manche sehen darin ein Schlupfloch, das geschlossen werden müsse, und wollen den Zugang zu VPN-Diensten auf Volljährige beschränken. Das Briefing hält es für wahrscheinlich, dass ein überarbeiteter Cybersecurity Act Kriterien zur Kindersicherheit einführt, möglicherweise samt Maßnahmen gegen VPN-Missbrauch. Digitalkommissarin Henna Virkkunen sagte auf der Pressekonferenz zur App, VPN dürften eine Umgehung des Systems nicht erlauben.
Zur Einordnung: Das Briefing ist Hintergrundmaterial für Abgeordnete, kein Gesetzesvorhaben. Wer daraus ein beschlossenes VPN-Verbot macht, erzählt Unsinn.
Trotzdem lohnt der Blick auf die Denkrichtung. Beim Alkohol würde niemand auf die Idee kommen, den Busverkehr in den Nachbarort einzuschränken, weil dort ein Kiosk lockerer verkauft. Man kontrolliert den Verkäufer. Ein VPN ist nicht der Kiosk — es ist der Weg dorthin, genutzt von Journalisten, Unternehmen, Beschäftigten im Homeoffice und Menschen in repressiven Umgebungen.
Vor allem aber ist es das falsche Leck. Wer die Alterskontrolle direkt aushebeln kann, braucht kein Ausland. Man würde den Umweg verengen, während die Abkürzung offensteht.
Wer haftet
Die Regel existiert längst. Artikel 28 DSA verpflichtet Anbieter von Onlineplattformen, die für Minderjährige zugänglich sind, zu geeigneten und verhältnismäßigen Maßnahmen für Privatsphäre, Sicherheit und Schutz. Im Juli 2025 hat die Kommission das mit Leitlinien konkretisiert: entschärfte Empfehlungsalgorithmen bei Minderjährigenkonten, Abschaltung suchtfördernder Mechanismen wie Push-Nachrichten und Endlos-Scrolling, keine Dark Patterns. Im Februar 2026 folgte eine vorläufige Feststellung gegen TikTok, gegen Meta läuft ein Verfahren wegen der Durchsetzung des eigenen Mindestalters.
Was der vzbv (Verbraucherzentrale Bundesverband) im Frühjahr 2026 bei Facebook, Instagram, Snapchat, TikTok und YouTube gefunden hat, beschreibt den Stand: Schutzfunktionen existieren, lassen sich aber teilweise leicht umgehen. Personalisierte Empfehlungssysteme sind nur schwer zu deaktivieren. Kontaktmöglichkeiten sind bei Minderjährigenkonten zwar standardmäßig eingeschränkt, bei Instagram oder TikTok aber leicht zu ändern. Und wer bei TikTok den eingeschränkten Modus einschalten will, muss dafür erst einen Grund angeben.
Der Türsteher ist also benannt, und die Aufsicht ist zuständig. Was fehlt, ist Tempo. Zwischen vorläufiger Feststellung, Stellungnahme, abschließender Feststellung, Bußgeld und EuGH vergehen Jahre. Produktzyklen laufen in Monaten.
Deshalb ist die Reihenfolge falsch. Der Staat stellt das Mittel — er hat es seit 2010. Die Pflicht und die Haftung liegen bei der Plattform. Was tatsächlich passiert, ist die Umkehrung: Brüssel entwickelt eine App, die dreimal gebrochen wurde, und die Plattformen warten das Verfahren ab. Der Kiosk verkauft weiter, während das Ordnungsamt an einem eigenen Ausweisleser bastelt.
Und die Bildung?
Das Gegenargument kommt zuverlässig: Ein Verbot schließe Jugendliche von Bildung aus. Auf YouTube, in Fachgruppen, auch auf TikTok gebe es hervorragende Inhalte.
Gibt es. Nur verwechselt der Einwand Inhalt mit Zugangsform. Ein Erklärvideo bleibt abrufbar, auch ohne eigenes Konto. Was wegfällt, ist der personalisierte Feed, die offene Kontaktfunktion und das Profil — also genau das, was den Schaden erzeugt, und nicht das, was den Nutzen stiftet.
Dazu kommt der Unterschied zwischen Zufallsfund und Lernmittel. Bildungsinhalte im Feed sind nicht ausgewählt, nicht geprüft und nicht didaktisch eingebettet. Sie liegen zwischen allem anderen, ausgespielt von einem System, das auf Verweildauer optimiert. Ein Lernmittel ist etwas anderes: kuratiert, geprüft, an einen Lehrplan gebunden. Dass beides auf demselben Gerät stattfinden kann, macht es nicht zur selben Sache.
Wer den Bildungsnutzen ernst meint, sorgt dafür, dass Lerninhalte dort verfügbar sind, wo sie hingehören — auf Geräten, die für diesen Zweck ausgegeben werden. Der erste Digitalpakt hat mit 6,5 Milliarden Euro nahezu alle 30.000 Schulen erreicht und lief Mitte Mai 2024 aus. Über den Nachfolger verhandelten Bund und Länder mehr als zwei Jahre. Die Einigung kam am 18. Dezember 2025, die finale Verwaltungsvereinbarung ging Ende März 2026 an die Länder zur Unterzeichnung, und in Kraft treten kann sie erst, wenn alle sechzehn unterschrieben haben. Im Juni 2026 hatte kein einziges Bundesland sein Antragsverfahren eröffnet.
Fünf Milliarden Euro über 2026 bis 2030 sind also zugesagt, aber noch nicht abrufbar. Ein persönliches Gerät für jeden Schüler wäre damit ohnehin nicht finanziert; der Koalitionsvertrag nennt ausdrücklich nur bedürftige Kinder, und Niedersachsen etwa beginnt erst im Schuljahr 2026/27 mit Jahrgang 7.
Das ist eine Lücke, die man schließen kann. Sie ist jedenfalls leichter zu schließen als ein Empfehlungsalgorithmus.
Und wer glaubt, mehr Bildschirm bedeute automatisch mehr Bildung, sollte nach Schweden schauen. Dort hatten bereits 2015 rund 80 Prozent der Schüler an öffentlichen Schulen Zugang zu eigenen Geräten. Inzwischen hat Bildungsministerin Lotta Edholm die Digitalisierungsstrategie einkassiert, die Ausstattung der Vorschulen zurückgenommen und zwischen 2022 und 2025 rund 104 Millionen Euro bereitgestellt, um gedruckte Lehrbücher in zentralen Fächern wieder verbindlich einzuführen. Ausdrücklich kein Bruch mit der Digitalisierung, sondern ein bewusstes Abbremsen. Aus der schwedischen Wirtschaft kommt dafür Kritik: Die junge Generation sei so nicht auf die Arbeitswelt vorbereitet.
Man muss diesen Kurswechsel nicht teilen. Aber die Annahme, digitale Ausspielung sei für Bildung unverzichtbar, hat ausgerechnet das Land aufgegeben, das am weitesten gegangen ist.
Die ehrliche Lücke
Ein Punkt bleibt offen, und er gehört benannt.
Nach § 18 Absatz 1 des Personalausweisgesetzes darf den elektronischen Identitätsnachweis nur nutzen, wer mindestens sechzehn Jahre alt ist. Bei Jüngeren wird die Funktion vor der Aushändigung abgeschaltet; die Ausweispflicht beginnt ebenfalls mit sechzehn. Für die Gruppe, um die es beim Verbot geht, existiert also kein Dokument zum Vorzeigen.
Für ein Mindestalter von 13 heißt das: Es bleiben nur Verfahren, die schätzen statt prüfen — Gesichtsanalyse, Verhaltensmerkmale, Elternkopplung. Genau die biometrische Ebene also, die eine datensparsame Lösung eigentlich vermeiden wollte. Sie kommt durch die Hintertür wieder herein, weil das saubere Verfahren die Zielgruppe nicht erreicht.
Bei einer Grenze von sechzehn fällt dieses Problem weg. Nachweisfähigkeit und Altersgrenze fallen zusammen. Wer prüfen kann, darf. Wer nicht kann, darf nicht. Das ist eine seltene Sauberkeit — und ein Argument für sechzehn, das in der Debatte niemand führt.
Nur zur Klarheit: Das ist meine Position, nicht die der Kommission. Die Experten empfehlen 13.
Was es kostet
Lückenlose Durchsetzung ist technisch möglich. Sie erfordert nur, dass jeder Verkehr einer Identität zugeordnet werden kann — dauerhaft, für alle. Es gibt Staaten, die das so handhaben. Der Grund, warum wir es nicht tun, ist keine Zimperlichkeit. Es ist die Einsicht, dass der Preis den Zweck übersteigt.
Damit ist der Maßstab benannt, den in dieser Debatte niemand ausspricht: Jugendschutz im Netz ist eine Frage der akzeptierten Restlücke. Wer sie auf null treiben will, landet zwangsläufig bei Vollerfassung. Wer bei „das Gros muss wirken“ bleibt, muss die Architektur reparieren statt die Ausweichwege.
Beides sind Entscheidungen. Nur wird die eine offen getroffen und die andere schleichend — über eine App, die als Vorstufe zu einer Identitätsinfrastruktur gebaut wird, deren Stichtag feststeht, bevor das Gesetz existiert, für das sie angeblich gebraucht wird. Integrationstiefe steigt, Exit-Capability sinkt. Für alle, nicht nur für Minderjährige.
Ich bin für das Verbot. Ich halte es für vertretbar, notwendig und überfällig. Aber es ist nicht umsonst zu haben, und wer es fordert, ohne den Preis zu benennen, verkauft eine Attrappe.
Der Türsteher steht seit 2010 vor der Tür. Eingestellt ist er längst. Man müsste ihn nur arbeiten lassen.
Hinweis: Dieser Beitrag berührt das Thema Suizid. Wer selbst betroffen ist oder jemanden kennt, findet Unterstützung bei der Telefonseelsorge unter 0800 111 0 111 und 0800 111 0 222 sowie online unter telefonseelsorge.de.
Kommentar verfassen