Als ein System vorgestellt, das Privatsphäre, einfache Bedienung und Sicherheit garantieren soll, steht die neue europäische App zur Altersverifikation bereits in der Kritik. Die Zweifel entstehen nicht durch politische Angriffe oder allgemeine Verdächtigungen, sondern durch harte technische Analysen, die von konkreten Schwachstellen berichten und vor allem ein tieferes Problem beleuchten: Die App könnte zwar nachweisen, dass der Benutzer die 18 Jahre überschritten hat, aber nicht zuverlässig sicherstellen, dass die Person, der dieses Zertifikat ausgestellt wurde, tatsächlich die Person hinter dem Zertifikat ist.
Der Fall spitzte sich zu, nachdem Ursula von der Leyen die App öffentlich befürwortet hatte und behauptete, sie erfülle „die höchsten Datenschutzstandards“, laufe auf jedem Gerät und sei vollständig Open Source. Doch nur wenige Stunden später zeigte der Sicherheitsexperte Paul Moore, wie sich bestimmte Schutzmechanismen der App in kürzester Zeit umgehen ließen. Laut der von Signal Pirate veröffentlichten Analyse handelte es sich nicht um einen einzelnen Bug, sondern um eine Reihe von Schwachstellen, die die Zuverlässigkeit des Gesamtsystems infrage stellen.
Durch Umgehung der EU-Altersverifikation über die eigene Infrastruktur. Ich habe die Logik der Android-App in eine Chrome-Erweiterung portiert – den lästigen Schritt der Weitergabe biometrischer Daten entfernt, die sie leaks… und die Verifikation sofort bestanden.
Schritt 1: Erweiterung installieren
Schritt 2:… https://t.co/9zSony8Em4 pic.twitter.com/a5oQnf0n2Y— Paul Moore – Security Consultant (@Paul_Reviews) 16. April 2026
So funktioniert das System theoretisch: Der Nutzer installiert die App, legt eine PIN fest und erhält von einer vertrauenswürdigen Behörde eine digitale Credentials, die lediglich bestätigt, dass die Person über 18 ist. Wenn eine Website die Altersverifikation verlangt, präsentiert die App diese signierte Credentials, ohne Namen, Geburtsdatum oder andere personenbezogene Daten zu kommunizieren. Genau darauf zielt das Projekt ab: Alter prüfen, ohne die Person zu identifizieren.
Das Problem besteht jedoch darin, dass genau hier die Verwundbarkeit des Modells liegt. Wenn das System nur bestätigt, dass eine gültige Credentials mit dem Aufdruck „over 18“ existiert, aber nicht sicherstellt, dass derjenige, der sie vorlegt, tatsächlich der rechtmäßige Inhaber ist, kann dieser Nachweis zu einer leicht wiederverwendbaren Karte werden. Die empfangende Website prüft die Signatur, verfügt jedoch nicht über ausreichende Mittel, um festzustellen, wer die Credentials gerade verwendet.
Im Detail nennt der Bericht acht bestätigte Schwachstellen in der offiziellen Testumgebung des Projekts. Dazu gehören die Möglichkeit, den PIN neu zu setzen, ohne die bereits im Wallet gespeicherten Credentials zu invalidieren; die Möglichkeit, den Zähler zurückzusetzen, der nach zu vielen Fehlversuchen blockiert; der Einsatz von Schutzmechanismen, die als schwach gelten; das Fehlen einer robusten Verschlüsselung der lokalen Datenbank, die die Credentials enthält; und in einigen Tests die Möglichkeit, dieselben Credentials außerhalb der offiziellen App auszulesen und erneut zu verwenden.
Ein unlösbares Problem?
Nach dem Bericht könnten viele dieser Schwachstellen theoretisch durch Patches und Refactoring behoben werden: stärkere Absicherung der Datenbank, engere Verknüpfung von PIN und Credential-Archiv, stärkere Benutzerauthentifizierung, Certificate-Pinning. Doch der eigentliche Knotenpunkt sei ein anderer: die zugrunde liegende Architektur des Systems. Wenn das Projekt ein starkes Versprechen zum Datenschutz wahren will, indem es eine zu enge Verknüpfung von Credentials mit einer Identität oder einem bestimmten Gerät vermeidet, wird es zunehmend schwieriger, Kopien, Replay-Angriffe oder Missbrauch völlig auszuschließen. Wird hingegen eine engere Verknüpfung von Credentials und Person eingeführt, steigen die Risiken einer Nachverfolgung. Mit anderen Worten: Privatsphäre und Betrugsschutz geraten hier in Spannungen zueinander.
Genau dieser heikle Punkt geht aus der Arbeit von Signal Pirate hervor: Es handelt sich nicht nur um Implementierungsfehler, sondern um den Verdacht, dass das politische Versprechen des Projekts weiter fortgeschritten ist als seine technische Reife. Die App wird als eine Lösung beschrieben, die auf breiter Ebene einsatzbereit sei, doch die detaillierte Analyse zeigt, dass sie noch wie ein Prototyp wirkt, der anfällig für Schwachstellen ist – Schwachstellen, die in einer Infrastruktur, die Millionen von Bürgern nutzen soll, eigentlich nicht vorkommen dürften.
Die Schlussfolgerung ist eindeutig. Wenn das europäische System zur Altersverifikation wirklich als zuverlässiger Standard dienen soll, reicht es nicht aus, nur darauf zu verweisen, dass es Open Source ist oder dass minimierte Datenteile übermittelt werden. Es braucht unabhängige Prüfungen und substanzielle Korrekturen, um nachzuweisen, dass diese Credentials nicht umgangen, kopiert oder von Unbefugten verwendet werden können. Denn andernfalls besteht die Gefahr, dass Europa als Sicherheitsgarantie ein Instrument präsentiert, das heute lediglich bestätigt, ob jemand volljährig ist – ohne tatsächlich sicherzustellen, wer die Person hinter dem Bildschirm wirklich ist.
