Adult Sites Want Your ID: Here's What They're Actually Doing With It

Sie haben wie gewohnt auf den Link geklickt und statt eines Videos eine Verifizierungsseite gesehen. Führerschein vorzeigen, sonst kein Zutritt. Falls Ihnen das in den letzten Monaten passiert ist, sind Sie kein Einzelfall – es hat sich tatsächlich etwas auf rechtlicher Ebene geändert. Der Oberste Gerichtshof der USA fällte im Juni 2025 mit 6:3 Stimmen ein Urteil, das allen US-Bundesstaaten die verfassungsrechtliche Erlaubnis gab, Alterskontrollen auf Erwachsenenwebseiten vorzuschreiben. Bis Mitte 2026 hatten bereits rund 25 Bundesstaaten entsprechende Gesetze verabschiedet.In meinem Begleitartikel habe ich ausführlich darauf eingegangen, welche Bundesstaaten Pornhub blockieren und welche Auswirkungen dies auf die Nutzer hat. Dieser Artikel hier behandelt einen Aspekt, der im vorherigen Artikel nicht behandelt wird: Was genau funktionieren die Verifizierungssysteme? Welche Daten werden von ihnen erfasst? Wer speichert Ihre Daten? Und warum entwickeln manche Seiten solche Systeme, während andere einfach den gesamten Bundesstaat blockieren und die Seite nicht weiter nutzen?

Was Sie tatsächlich aushändigen sollen

Nicht jede Altersverifizierung funktioniert gleich, und die gewählte Methode hat großen Einfluss auf Ihre Privatsphäre. Wenn Sie auf eine dieser Hürden stoßen, kann es sich um die Aufforderung handeln, ein amtliches Lichtbild Ihres Ausweises hochzuladen, Ihre Kreditkarte zu überprüfen, einen Gesichtsscan durchzuführen, bei dem kein Ausweis verlangt wird, oder einen digitalen Wallet-Token zu verwenden, der kaum persönliche Daten preisgibt. Die Methode variiert je nach Website, Gerichtsbarkeit und den Vorgaben der jeweiligen Rechtsabteilung. Hier erfahren Sie, was die einzelnen Methoden bedeuten.

Hochladen eines Lichtbildausweises der Regierung

Dies ist die aufwändigste, aber auch die genaueste Methode. Sie fotografieren Ihren Führerschein oder Reisepass, laden das Foto über einen Drittanbieter hoch – Unternehmen wie Persona, Veriff, Onfido oder Sumsub übernehmen diese Arbeit – und der Anbieter bestätigt die Echtheit des Dokuments und das Mindestalter des Inhabers (18 Jahre). Die Website erhält anschließend ein Ergebnis (bestanden/nicht bestanden). Das ist alles, zumindest bei konformen Implementierungen.Was Ihnen zu denken geben sollte, ist, welche Daten der Anbieter speichert. Er hat Ihre Dokumentenbilder, Ihr Geburtsdatum, Ihren vollständigen Namen. Theoretisch sieht die Website nichts davon. Praktisch haben Sie diese Daten jedoch einem privaten Unternehmen anvertraut, dessen Datensicherheit Sie nicht überprüfen können. Diese Daten bleiben dauerhaft mit der Tatsache verknüpft, dass Sie versucht haben, Pornografie anzusehen. Das sollten Sie wissen, bevor Sie etwas hochladen.

Kreditkarten- oder Transaktionsdaten

Mehrere US-Bundesstaaten, darunter Texas HB 1181, akzeptieren diese Methode ausdrücklich. Ihr Zahlungsdienstleister oder Verifizierer prüft, ob die Kreditkarte auf eine Person ab 18 Jahren registriert ist. Gelegentlich wird eine kleine Autorisierungsgebühr erhoben und anschließend wieder zurückerstattet. Die Website erhält lediglich eine Altersprüfung – entweder besteht sie oder sie wird abgelehnt.Das offensichtliche Problem: Ein Teenager mit Zugriff auf die Kreditkarte eines Elternteils besteht diese Prüfung jedes Mal. Den Aufsichtsbehörden ist das bekannt. In Großbritannien akzeptiert Ofcom Kreditkartenprüfungen, da britisches Recht ein Mindestalter von 18 Jahren für Karteninhaber vorschreibt, was ein aussagekräftiges Signal darstellt. In den USA ist der Zusammenhang zwischen Kartenbesitz und Alter deutlich schwächer, weshalb diese Methode eher auf den Richtlinien der Finanzinstitute als auf einer strikten gesetzlichen Vorgabe beruht.

Gesichtsaltersbestimmung

Dies ist der Punkt, der die meisten Menschen verwirrt, und die Unterscheidung ist wichtig für Ihre Privatsphäre. Die Gesichtsaltersschätzung ist keine Altersverifizierung. Es werden keine Ausweispapiere ausgetauscht. Sie machen ein Selfie oder ein kurzes Video mit Ihrer Gerätekamera. Ein KI-Modell analysiert Ihre Gesichtszüge, Hautstruktur, Knochenstruktur und die üblichen Merkmale und gibt eine Altersspanne an: „Wahrscheinlich über 18“ oder „Wahrscheinlich unter 18“. Parallel dazu wird eine Lebenderkennung durchgeführt, um zu verhindern, dass jemand ein ausgedrucktes Foto vorzeigt.Yoti, einer der Hauptanbieter, löscht das Bild unmittelbar nach der Schätzung. Es wird weder gespeichert noch mit der Website geteilt. Incode arbeitet ähnlich, allerdings argumentiert die Electronic Frontier Foundation, dass Incode Bilder ohne ausdrückliche Löschungsanfrage des Kunden unbegrenzt speichert – eine Behauptung, die Incode bestreitet. Zusammenfassend lässt sich sagen: Die Aufbewahrungsrichtlinien variieren stark je nach Anbieter und werden Ihnen vor dem Scannen nicht immer klar mitgeteilt.Es gibt auch eine Genauigkeitslücke, die es zu verstehen gilt. Die Schätzung des Gesichtsalters ist bei People of Color, trans und nicht-binären Personen sowie Menschen mit bestimmten Behinderungen weniger zuverlässig. Yoti hat dies in seinem Whitepaper vom Juli 2025 ausdrücklich bestätigt. Ob dieser Kompromiss akzeptabel ist, ist eine Frage, die die Regulierungsbehörden noch klären müssen. Fest steht jedoch, dass das System nicht alle Nutzer gleich behandelt.

Digitale ID und wiederverwendbare Alterstoken

Dies ist die datenschutzorientierteste Variante. Ein von der Regierung ausgestellter digitaler Ausweis oder ein von einem Drittanbieter verifizierter Nachweis befindet sich in einer Wallet-App auf Ihrem Smartphone. Wenn eine Website nach Ihrem Alter fragt, zeigen Sie lediglich einen Token an, der beweist, dass Sie über 18 Jahre alt sind. Die Website erfährt weder Ihren Namen noch Ihr Geburtsdatum oder irgendwelche anderen Daten, die über diese Altersbestätigung hinausgehen.Louisiana nutzt dieses Modell über seine staatliche App LA Wallet. Die EU erprobt dasselbe Konzept in fünf Ländern im Rahmen des eIDAS-Rahmenwerks für digitale Identitäts-Wallets; eine breitere Einführung ist für Ende 2026 geplant. Die Verifizierung erfolgt einmalig mit einem gültigen Dokument, und die resultierenden Zugangsdaten sind plattformübergreifend wiederverwendbar. Datenschützer heben dieses Modell als den unproblematischsten Ansatz hervor, da keine Erotik-Website jemals Zugriff auf Ihre tatsächlichen Identitätsdaten hat.

Doppelblindarchitektur

Das datenschutzfreundlichste Modell geht noch einen Schritt weiter. Bei einem Double-Blind-Verfahren sieht die Website niemals Ihre Identität und der Prüfer erfährt nie, welche Website Sie besuchen. Ein vertrauenswürdiger Vermittler bestätigt mithilfe kryptografischer Verfahren, Zero-Knowledge-Beweisen und anonymen Token, dass der Nutzer die erforderlichen Kriterien erfüllt. So können zwei Parteien eine Tatsache über Sie bestätigen, ohne identifizierende Informationen auszutauschen.Die französische Regulierungsbehörde Arcom schreibt vor, dass konforme Plattformen für Erwachsene diese Option anbieten müssen. Die italienische AGCOM hat ähnliche Standards. Die Umsetzungen befinden sich noch in der Entwicklung, aber dies ist die Richtung, in die sich eine bedeutende Anzahl europäischer Regulierungsbehörden bewegt.

Altersschätzung vs. Altersverifizierung: Nicht dasselbe

Ich komme immer wieder darauf zurück, weil der Unterschied real ist und die Aufsichtsbehörden unterschiedlich vorgehen. Altersverifizierung bedeutet, dass ein Dokument oder ein Nachweis tatsächlich geprüft und Ihre Identität anhand einer Datenbank bestätigt wurde. Altersschätzung hingegen bedeutet, dass ein Computer Ihr Gesicht analysiert und eine begründete Schätzung vorgenommen hat.Beide Verfahren gelten in verschiedenen Rahmenwerken als zulässig. Ofcom in Großbritannien führt die Gesichtserkennung des Alters neben dem Abgleich von Lichtbildausweisen, der Bestätigung durch Open Banking und zertifizierten digitalen Identitätsdiensten als Methoden auf, die den Standard einer „hochwirksamen Altersverifizierung“ erfüllen. Die regulatorische Anforderung lautet „hochwirksam“, nicht „perfekt genau“.Das bedeutet für Sie: Wenn Sie eine Kameraaufforderung für ein Selfie sehen, aber kein Dokument hochladen müssen, erfolgt eine Schätzung. Es wird kein Datensatz erstellt, der Ihre Identität mit diesem Website-Besuch verknüpft. Genau darin liegt der Vorteil und gleichzeitig die Einschränkung. Es ist datenschutzfreundlicher, aber weniger genau, und die Ungenauigkeit betrifft nicht alle Nutzer gleichermaßen.

Warum manche Seiten eine Verifizierung durchführen und Pornhub dich einfach blockiert

Aylo, die Muttergesellschaft von Pornhub, hat die prominenteste Antwort auf diese Frage. Ihr öffentlicher Standpunkt lautet, dass die Altersverifizierung auf Website-Ebene „grundlegend fehlerhaft und kontraproduktiv“ sei. Als empirisches Beleg führt sie an: Nachdem Louisiana als erster US-Bundesstaat die Einhaltung der Altersverifizierung vorschrieb und Pornhub dieser Vorgabe nachkam, sanken die Besucherzahlen um etwa 80 %. Diese Zahl wurde in ihrem eigenen Blog veröffentlicht. Aylo schlussfolgert daraus, dass die meisten Nutzer lieber die Website verließen, anstatt ihre persönlichen Daten an einen externen Verifizierer weiterzugeben.Daher hat Aylo stattdessen Geoblocking eingesetzt. Stand Ende November 2025, dem letzten bestätigten Update der offiziellen Pornhub-Liste, waren 24 US-Bundesstaaten gesperrt. Diese Liste wird fortlaufend aktualisiert, und es könnten seitdem weitere Staaten hinzugekommen sein. Louisiana bildet die Ausnahme: Pornhub blieb dort zugänglich, da der Bundesstaat die digitale Identitätsoption „LA Wallet“ anbot, die Aylo als akzeptabel einstufte, da die Website selbst niemals auf die persönlichen Daten der Nutzer zugreift.Ihr bevorzugtes Modell ist die Verifizierung auf Geräte- oder App-Store-Ebene. Die Argumentation: Apple und Google sollten das Alter einmalig bei der Kontoerstellung verifizieren und dieses Signal anschließend per API an Erwachsenenplattformen weitergeben. Keine einzelne Erwachsenenwebsite müsste jemals Ihre persönlichen Daten erfassen oder speichern. Im November 2025 wandte sich Aylo mit genau diesem Argument an Apple, Google und Microsoft.Dann setzte Apple es in Großbritannien um. Als iOS 26.4 im Mai 2026 mit gerätebasierter Altersverifizierung veröffentlicht wurde, begrüßte Aylo die Änderung in einer Stellungnahme und stellte den Zugriff auf Pornhub für berechtigte britische iOS-Nutzer wieder her, der seit Februar 2026 gesperrt war. Dies ist der bisher deutlichste Praxistest für das von Aylo propagierte Modell. Ob es sich weltweit durchsetzen wird, hängt davon ab, wie viele Plattformen und Regulierungsbehörden es übernehmen.

Dies ist nicht nur ein US-amerikanisches Problem

Die Welle der einzelstaatlichen Gesetze in den USA erhält zwar die meiste Aufmerksamkeit, doch der Regulierungsdruck ist tatsächlich global, und die Fristen sind in einigen Ländern bereits abgelaufen.Wenn Sie von einer britischen IP-Adresse aus auf Inhalte für Erwachsene zugreifen, war die besuchte Website gesetzlich verpflichtet, Ihr Alter zu überprüfen, bevor Sie Zutritt erhielten. Der Online Safety Act verpflichtete alle Dienste, die pornografische Inhalte veröffentlichen, bis zum 25. Juli 2025 eine „hochwirksame Altersverifizierung“ einzuführen. Ofcom veröffentlichte im Januar 2025 seine Richtlinien, in denen genau festgelegt ist, welche Verfahren als Altersverifizierung gelten: Abgleich mit Lichtbildausweisen, Schätzung des Alters anhand des Gesichts, Bestätigung über Open Banking, Überprüfung durch Mobilfunkanbieter und britische Kreditkarten. Eine Selbstauskunft („Klicken Sie hier, um zu bestätigen, dass Sie 18 Jahre alt sind“) ist ausdrücklich ausgeschlossen. Die Strafen betragen bis zu 18 Millionen Pfund oder 10 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.In Europa ist der Digital Services Act seit Februar 2024 vollständig in Kraft. Im Mai 2025 leitete die Europäische Kommission formelle Untersuchungen gegen Pornhub, Stripchat, XNXX und XVideos wegen unzureichender Altersverifizierungsmaßnahmen ein. Bis Juni 2026 wurden noch keine Bußgelder verhängt, die Untersuchungen laufen jedoch weiter. Die EU entwickelt außerdem mit der eIDAS-Wallet eine wiederverwendbare, datenschutzfreundliche Infrastruktur. Der Entwurf wurde im April 2026 für einsatzbereit erklärt, und Pilotprojekte laufen in Dänemark, Frankreich, Griechenland, Italien und Spanien.Auf Ebene der App Stores haben Utah und Texas im Jahr 2025 Gesetze verabschiedet, die Apple und Google verpflichten, das Alter der Nutzer bei der Kontoerstellung zu überprüfen. Wenn Sie in einem dieser Bundesstaaten ein neues Gerät einrichten, durchlaufen Sie nun eine Altersprüfung im App Store, bevor Sie Apps für Erwachsene herunterladen können. Beide Unternehmen haben im Oktober 2025 APIs zur Alterserkennung eingeführt. Das bedeutet, dass die bereits auf Ihrem Telefon durchgeführte Altersverifizierung mit kompatiblen Websites geteilt werden kann.Auf Bundesebene wurde im Februar 2025 ein Gesetzentwurf namens SCREEN Act eingebracht, der eine bundesweite Altersverifizierung für Inhalte vorsieht, die „für Minderjährige schädlich“ sind. Mitte 2026 befand sich der Entwurf noch im Ausschuss und war nicht verabschiedet. Plattformen unterliegen nun auch separaten Bundesauflagen gemäß dem TAKE IT DOWN Act, der im Mai 2026 in Kraft trat und KI-generierte intime Bilder umfasst – ein weiterer Aspekt im Rahmen der umfassenderen Bemühungen um mehr Verantwortung der Plattformen.

Was Drittanbieter-Prüfer tatsächlich mit Ihren Daten machen

Die Unternehmen, die Identitätsprüfungen für Erotikseiten durchführen, übernehmen auch die Verifizierung für Banken, Fahrdienstvermittler, soziale Netzwerke und Finanzdienstleister. Diese Konzentration trägt mit dazu bei, dass ein Datenleck bei einem dieser Anbieter so gravierende Folgen für Ihre Daten hat.Im Jahr 2024 wurde bei AU10TIX, einem Anbieter von Verifizierungsdiensten mit Kunden wie TikTok, X, LinkedIn, Coinbase und PayPal, ein Datenleck öffentlich bekannt. Mitarbeiterdaten, die im Dezember 2022 durch Malware kompromittiert worden waren, wurden im März 2023 auf Telegram veröffentlicht und blieben über 18 Monate lang zugänglich, bevor 404 Media im Juni 2024 darüber berichtete. Das betroffene Protokollsystem enthielt Namen, Geburtsdaten, Nationalitäten, Ausweisnummern und Dokumentenbilder von Nutzern verschiedener Plattformen. AU10TIX bezeichnete den Vorfall als Altlastenproblem mit Zugangsdaten eines privaten Geräts in einem System, das ohnehin außer Betrieb genommen wurde, und erklärte, dass weder böswillige Aktivitäten noch ein Datenleck bestätigt wurden. Unabhängig davon, ob die Daten aktiv gestohlen wurden oder nicht, waren sie offengelegt, und die Nutzer, die ihre Ausweise über AU10TIX auf einer beliebigen Plattform übermittelt hatten, wussten nicht, dass ihre Informationen in einem zugänglichen Protokollsystem gespeichert waren.Ende 2025 wurden durch eine Sicherheitslücke bei einem Drittanbieter Fotos von amtlichen Ausweisen, Selfies und Reisepässen offengelegt, die Discord-Nutzer im Rahmen von Verifizierungs- oder Beschwerdeverfahren eingereicht hatten. Bitte überprüfen Sie den genauen Umfang anhand der ursprünglichen Berichterstattung, bevor Sie eine konkrete Zahl nennen.Dies sind keine Einzelfälle. Anbieter von Verifizierungsdiensten sind konzentrierte Ziele, da sie sensible Zugangsdaten von Dutzenden oder Hunderten von Plattformen gleichzeitig sammeln. Ein erfolgreicher Angriff auf einen Anbieter liefert Daten von allen, einschließlich Ihrer.Auch die Regierung Ihres Bundesstaates ist nicht immun. Das Kraftfahrzeugamt von Louisiana war 2023 vom MOVEit-Datendiebstahl betroffen, bei dem Millionen von Führerscheinen auf Landesebene kompromittiert wurden. Die Dokumente, die Sie gemäß den Gesetzen zur Altersverifizierung nun Webseiten mit Inhalten für Erwachsene vorlegen müssen, wurden bereits auf Regierungsebene gehackt.Bis Juni 2026 wurde kein schwerwiegender Angriff auf eine Altersverifizierungsdatenbank bestätigt, die speziell mit einer Erwachsenenplattform verknüpft ist. Das Risiko ist derzeit struktureller und zukunftsorientierter Natur und stellt keine bestätigte, akute Bedrohung Ihrer Privatsphäre dar. Die Architektur wird jedoch in großem Umfang aufgebaut, und sobald die Verknüpfung von Identität und Plattformnutzung in einer Datenbank existiert, ist sie dauerhaft. Die Electronic Frontier Foundation hat zudem dokumentiert, dass etwa 15 Millionen Erwachsene in den USA keinen Führerschein besitzen und durch Systeme, die ausschließlich auf Lichtbildausweisen basieren, vollständig ausgeschlossen werden – Kosten auf Bevölkerungsebene, die in der regulatorischen Debatte selten Beachtung finden.

Was Sie tatsächlich dagegen tun können

Wenn Sie Ihre Daten minimieren möchten, ist die Priorität klar. Wiederverwendbare digitale ID-Tokens bieten den sichersten Schutz Ihrer Privatsphäre. Die Website sieht außer einem positiven oder negativen Ergebnis nichts über Sie. LA Wallet funktioniert in Louisiana auf diese Weise. Die eIDAS-Wallet ist in EU-Pilotländern im Einsatz. Wenn eine dieser Lösungen in Ihrem Land verfügbar ist, ist das die richtige Wahl.Die Gesichtsaltersbestimmung über einen Anbieter wie Yoti, der die Bilder nach Abschluss löscht, vermeidet zumindest die Erstellung eines dauerhaften Datensatzes. Ihr Gesicht wird verarbeitet und anschließend verworfen. Der Nachteil ist die geringere Genauigkeit. Gehören Sie zu einer der Gruppen, die das Modell nur schwer erfasst, können Fehler auftreten, die bei einer Lichtbildausweisprüfung nicht erkennbar wären.Wenn Sie sich in einem Bundesstaat befinden, in dem eine Website geografisch gesperrt ist und Sie darauf zugreifen möchten, leitet ein VPN Ihre Verbindung über eine andere Region. Dies ist für Erwachsene in den USA und Großbritannien (Stand Mitte 2026) nicht illegal. Es kann jedoch gegen die Nutzungsbedingungen der Website verstoßen, was eher zu einer Kontosperrung als zu einer strafrechtlichen Verfolgung führt. Utah versuchte 2026 ein Gesetz einzuführen, das auch für VPN-Nutzer eine Verifizierung vorschreiben sollte; dieses Vorhaben ist jedoch noch immer Gegenstand von Rechtsstreitigkeiten. Ich habe einen Leitfaden zur VPN-Nutzung für Erwachseneninhalte erstellt, der die praktische Einrichtung erklärt und aufzeigt, worauf man achten und was man vermeiden sollte. Eine Übersicht über Dienste, die tatsächlich funktionieren, finden Sie hier ist eine Liste von VPN-Optionen für Erwachseneninhalte.Die ehrliche Wahrheit ist: Es gibt keine Variante, bei der die Weitergabe eines amtlichen Ausweises an ein Drittunternehmen zum Zugriff auf Inhalte für Erwachsene risikofrei ist. Das Risiko ist strukturell bedingt. Je mehr Websites solche Systeme entwickeln, desto zentraler werden die Ziele. Sie können jedoch selbst entscheiden, welche Methode Sie wählen, wenn Sie die Wahl haben, und ob Sie Ihre Online-Identität nach Möglichkeit von Ihrer realen Identität trennen.

Wohin das führt

Die Situation wird sich weiter zuspitzen. Immer mehr Bundesstaaten verabschieden Gesetze, immer mehr Regulierungsbehörden setzen Fristen, und App-Stores übernehmen Verifizierungsaufgaben, die früher ausschließlich von den einzelnen Websites erledigt wurden. Ob das letztendlich besser oder schlechter für Ihre Privatsphäre ist, hängt von einer entscheidenden Frage ab: Ersetzt die Geräteverifizierung tatsächlich die Erfassung von Website-IDs oder fügt sie lediglich eine weitere Sicherheitsebene hinzu? Aktuell ist die Antwort von Land zu Land unterschiedlich. In Großbritannien übernimmt iOS 26.4 die Verifizierung auf Geräteebene, und Pornhub ist wieder online. In den meisten US-Bundesstaaten liegt die Verantwortung weiterhin bei den Websites, was letztendlich auch für Sie gilt.Ich werde über alles, was als Nächstes kommt, auf ThePornDude.vip berichten.