Utah hat angekündigt, dass jetzt Änderungen zur Online-Altersüberprüfung angekündigt werdenSenatsgesetz 73, tritt am 6. Mai in Kraft. Nach diesem neuen Gesetz werden Websites dafür verantwortlich gemacht, dass Benutzer ihren Standort über VPNs verbergen.
Der Gesetzentwurf verbietet Websites außerdem, den Leuten zu sagen, wie sie die Altersüberprüfung mithilfe eines VPN umgehen können. Die Menschen haben den Schritt als unmöglich verurteilt, aber der Gesetzgeber hat ihn trotzdem vorangetrieben.
Eine als Altersüberprüfung getarnte „Haftungsfalle“.
Genehmigt am 19. Märzvon Gouverneur Spencer Cox, Senate Bill 73 bewirkt zwei Hauptziele. Erstens heißt es darin, dass ein Benutzer rechtlich davon ausgeht, dass er von Utah aus auf eine Website zugreift, wenn er physisch dort steht.
Es spielt keine Rolle, ob sie ein VPN, einen Proxy oder ein anderes Tool verwenden, um ihre IP-Adresse zu fälschen. Zweitens verbietet das Gesetz den betroffenen Websites die Weitergabe von Anweisungen zur Verwendung eines VPN zur Umgehung von Altersprüfungen.
NordVPN hielt sich nicht zurück. Das Unternehmen nannte es ein „unlösbares Compliance-Paradoxon“ und eine „Haftungsfalle“. Warum? Das Gesetz zwingt Websites dazu, Benutzer aufzuspüren, die sich auf Datenschutztools verlassen, die darauf ausgelegt sind, ihre Identität geheim zu halten.
Die Electronic Frontier Foundationverurteilte die Idee. Sie glauben, dass dieser Gesetzentwurf Websites in eine schwierige Lage bringt. Um die entstehenden rechtlichen Risiken zu vermeiden, haben Websites zwei Möglichkeiten: Sie können jede bekannte VPN-IP-Adresse sperren, die sie erkennen, oder jeden, der die Website besucht, dazu zwingen, sein Alter nachzuweisen. Für welche Option sich die Website auch entscheidet, Millionen von Menschen werden immer noch verlieren.
Wisconsin hat Anfang des Jahres ähnliche VPN-Bestimmungen ausprobiert. SchwerDie Gegenreaktion hat sie getötet. Utah drängte trotzdem nach vorne.
Der technische Fehler, über den niemand reden möchte
Hier liegt das Kernproblem. Das Gesetz geht davon aus, dass eine Website den VPN-Verkehr genau erkennen und den tatsächlichen Standort eines Benutzers bestimmen kann. Das geht nicht.
Ja, IP-Reputationsdatenbanken wie IP2Proxy und MaxMind können Datenverkehr aus bereits bekannten IP-Bereichen von Rechenzentren kennzeichnen. Allerdings wechseln kommerzielle VPN-Anbieter die Adressen häufig ständig.
Private VPN-Endpunkte sehen fast genauso aus wie normale Heimverbindungen. Sie können Autonomous System Numbers analysieren, um den Datenverkehr im Rechenzentrum zu erfassen. Dadurch wird jedoch kein persönlicher WireGuard-Tunnel erkannt, der auf einem Cloud-VPS ausgeführt wird. Dieser Tunnel verläuft durch genau dieselbe Infrastruktur wie normales Webhosting.
Was funktioniert also eigentlich? Deep Packet Inspection oder DPI. Dies ist die einzige Methode, die VPN-Protokollsignaturen zuverlässig erfasst. Aber hier ist der Haken: DPI analysiert den Datenverkehr auf Netzwerkebene, nicht auf einem Server. Russlands TSPU-System und Chinas Great Firewall stellen DPI über Internetdienstanbieter bereit. Das kann ein beliebiger Website-Betreiber nicht leisten. Es erfordert Zugriff auf die Netzwerkinfrastruktur, die zwischen dem Benutzer und dem Server steht.
Mittlerweile dauert die Einrichtung einer persönlichen WireGuard-Instanz bei einem Cloud-Anbieter wie AWS buchstäblich nur wenige Minuten. Das bedeutet, dass das Gesetz technikaffine Teenager nicht abschrecken wird. Es betrifft nur Benutzer, die nicht technisch versiert sind und sich für legitime Privatsphäre nur auf kommerzielle VPNs verlassen.
Eine weitere Personengruppe, die von diesem Gesetz betroffen sein wird, sind Journalisten, politische Aktivisten, Missbrauchsüberlebende und Menschen, die in Regionen mit autoritären Regimen leben.
Andere Gesetzesentwürfe ähneln dem Gesetzentwurf 73 des Senats von Utah
Utah ist in dieser unmöglichen Verfolgungsjagd nicht allein. Das britische Oberhausstimmte im Januar mit 207 zu 159 Stimmen für das Verbot von VPN-Dienstenfür unter 18-Jährige. Diese Änderungsanträge werden nun dem Unterhaus zur Debatte vorgelegt. Als das Vereinigte Königreich im vergangenen Juli die Altersverifizierung durchsetzte, wurde die VPN-Nutzung eingeführtsprang um mehr als 1.400 %am allerersten Tag. Anne Le Hénanff, Frankreichs Ministerin für digitale Angelegenheiten, hat bereits gesagt, dass VPNs „als nächstes auf meiner Liste stehen“.
Bisher sind die einzigen Länder, die echte Fortschritte bei der Blockierung des VPN-Verkehrs gemacht haben, autoritäre Regime mit Überwachung auf ISP-Ebene. Das ist kein Unternehmen, das irgendein Staat behalten möchte.
Das legitime Vorgehen der Strafverfolgungsbehörden gegen kriminelle VPN-Dienste ist jedoch anders.Europol und FBI ergreifen Maßnahmengegen den VPN-Dienst Safe-Inet zur Unterstützung von Cyberkriminellen. Dies zeigt, dass internationale Behörden nicht mit unmöglichen Compliance-Anforderungen, sondern mit Serverbeschlagnahmungen und Strafanzeigen reagieren, wenn ein VPN-Anbieter aktiv an Ransomware-Banden vermarktet und Missbrauchsberichte ignoriert.
Die EFF brachte es auf den Punkt: Gesetzgeber, die den Unterschied zwischen einer „Lücke“ und einem Sicherheitstool nicht erkennen können, schreiben jetzt Regeln zur Regulierung einer der fortschrittlichsten Infrastrukturen der Welt. Das Ergebnis wird kein sichereres Internet sein, sondern ein weniger privates.