Die EU-Kommission präsentiert eine neue App zur Altersverifikation als Meilenstein für den Kinderschutz im Netz. Kaum ist sie vorgestellt, zeigt ein Sicherheitsexperte: Sie lässt sich in zwei Minuten aushebeln. Die Blamage kommt zu einem ungünstigen Zeitpunkt.

Was von der Leyen versprochen hat

Am 15. April 2026 präsentierte EU-Kommissionschefin Ursula von der Leyen in Brüssel die neue Altersverifikations-App der EU als technisch fertig. Wie netzpolitik.org berichtet, soll die App es Nutzern ermöglichen, ihr Alter gegenüber Plattformen wie TikTok oder Instagram nachzuweisen — ohne persönliche Daten wie Name oder Geburtsdatum preiszugeben. Als Verfahren kommt dabei sogenanntes Zero-Knowledge-Proof zum Einsatz: Das System teilt einem Dienst lediglich mit, ob jemand alt genug ist, ohne Details zu übermitteln.

Von der Leyen betonte, die App halte „die höchsten verfügbaren Datenschutzstandards“ ein, sei vollständig Open-Source und „vollständig anonym“. Sie verglich das Projekt mit der Covid-App, die in Rekordzeit entwickelt worden sei und global Anklang gefunden habe.

Was von der Leyen nicht erwähnte: Wie netzpolitik.org festhält, ist die App in den gängigen App-Stores noch nicht verfügbar und läuft nicht auf jedem Gerät — obwohl dies von der Leyen so angekündigt hatte. Die App ist faktisch noch in Entwicklung.

Geknackt in zwei Minuten — und das war erst der Anfang

Schon am nächsten Tag berichtete das Cybersicherheitsportal Cybernews über einen ernüchternden Befund: Sicherheitsberater Paul Moore hatte die App innerhalb von zwei Minuten ausgehebelt. Der Mechanismus dahinter ist erschreckend simpel: Die App speichert einen verschlüsselten PIN lokal in einer Konfigurationsdatei — ohne Verknüpfung mit dem Identitätsspeicher des Nutzers. Löscht ein Angreifer bestimmte Werte aus dieser Datei und startet die App neu, kann er eine neue PIN setzen, ohne die alten Identitätsdaten zu verlieren. Das System akzeptiert dieselben Zugangsdaten unter neuer Zugriffskontrolle.

Weitere Schwachstellen kamen hinzu: Das sogenannte Rate-Limiting — also der Schutz gegen wiederholtes PIN-Raten — ist als einfacher Zähler in derselben editierbaren Konfigurationsdatei gespeichert. Auf null setzen, schon erinnert sich das System an nichts mehr. Die biometrische Authentifizierung lässt sich laut Cybernews durch das Ändern eines einzigen Schalters in der Konfiguration vollständig umgehen.

Moores Kommentar auf X war eindeutig: „Ernsthaft, von der Leyen — dieses Produkt wird irgendwann der Auslöser für einen enormen Datenleak sein. Es ist nur eine Frage der Zeit.“

Strukturproblem tiefer als der PIN-Hack

Cybernews verweist auf eine noch fundamentalere Schwachstelle, die bereits eine Sicherheitsanalyse vom März 2026 aufgedeckt hatte: Die Ausstellerkomponente der App kann nicht überprüfen, ob die Passverifizierung tatsächlich auf dem Gerät des Nutzers stattgefunden hat. Eine Lösung dieses Problems würde laut Cybernews erfordern, vollständige kryptografische Passdaten an einen Server zu senden — womit die Datenschutzversprechen der App grundsätzlich unterlaufen würden.

Peinlicher Kontext: EU-Kommission wurde selbst gehackt

Die Blamage wiegt auch deshalb schwer, weil die EU-Kommission erst wenige Wochen zuvor einen Cyberangriff auf ihre eigene Cloud-Infrastruktur rund um europa.eu einräumen musste. Wie Tichys Einblick berichtet, wurde der Angriff am 24. März 2026 entdeckt und am 27. März öffentlich gemacht. Laut SecurityWeek soll die Angreifergruppe Shinyhunters dabei mehr als 350 Gigabyte an Daten abgezogen haben. Ausgerechnet jene Institution, die nun „höchste Datenschutzstandards“ für ihre neue App beansprucht, hatte kurz zuvor die Sicherheit ihrer eigenen digitalen Infrastruktur nicht im Griff.

Credits: APA