Unzulässige Inhalte

Bei dem System „verify-u selfID“ handelt es sich um ein seit 2015 bestehendes und modernisiertes Identifizierungskonzept, welches eine Identifizierung mittels eines automatisierten Prozesses unter Abgleich biometrischer Daten ermöglicht. Das System kann in die eigenen Telemedien und Apps der jeweiligen Inhalteanbieter als eine Art Gateway eingebunden werden. Hat sich ein Kunde bei einem Inhalteanbieter registriert, hat er im nächsten Schritt die Identifizierung mit „verify-u selfID“ durchzuführen. Der Nutzer hat hierfür Bilder des zu prüfenden Ausweisdokumentes zu erstellen oder hochzuladen. Im Anschluss überprüft „verify-u selfID“ anhand diverser Sicherheitsmerkmale, dass es sich um ein echtes Ausweisdokument handelt. Im Anschluss hat der Nutzer zunächst ein Selfie zu erstellen, anhand dessen ein Abgleich der biometrischen Daten mit dem Bild des Ausweisdokuments vorgenommen wird. Sodann hat er ein Selfie-Video zu erstellen, bei dem er verschieden Mimiken (blinzeln, lächeln etc.) ausführen muss. Anhand des Selfie-Videos führt „verify-u selfID“ eine „Lebenderkennung“ durch. Nach Zustimmung des Nutzers zur Freigabe der Daten werden diese an den Inhalteanbieter übermittelt.

Die KJM kam nach Prüfung des Konzepts zu dem Ergebnis, dass „verify-u selfID“ in der vorgelegten Version und bei entsprechender Umsetzung somit als Teillösung auf Stufe der Identifizierung im Sinne der KJM-Kriterien zur Sicherstellung einer geschlossenen Benutzergruppe für Erwachsene gemäß Jugendmedienschutz-Staatsvertrag (JMStV) geeignet ist.

Inhalteanbieter, die dieses Modul nutzen, müssen durch weitere Maßnahmen sicherstellen, dass im Rahmen der Authentifizierung nur die jeweils identifizierte und altersgeprüfte Person Zugang zur geschlossenen Benutzergruppe erhält und dass die Weitergabe der Zugangsberechtigung an unautorisierte Dritte erschwert wird.

(Entscheidung der KJM vom April 2021)

Das System „VerifyMyAge 18+“ der Verifymy Limited ist als vollständiges AVS-Konzept im Sinne der KJM Kriterien zur Sicherstellung einer geschlossenen Benutzergruppe für Erwachsene gemäß Jugendmedienschutz-Staatsvertrag (JMStV) geeignet.

Bei dem System „VerifyMyAge 18+“ handelt es sich um ein Identifizierungskonzept, welches eine Identifizierung mittels eines automatisierten Prozesses unter Abgleich biometrischer Daten sowie mittels einer bereits erfolgten „face-to-face“-Kontrolle bietet.

Der Telemedienanbieter übermittelt die Nutzerdaten per API an Verifymy Limited Im Rahmen eines automatisierten Prozesses prüft das System dann, ob die Daten des Nutzers bereits in der  Datenbank gespeichert sind oder ob der Nutzer eine Identifikations- oder Altersplausibilitätsprüfung über "VerifyMyAge 18+" durchgeführt hat. Ist das nicht der Fall, wird mittels Schufa Identcheck Premium ein Versuch durchgeführt, das Alter des Endnutzers über den übermittelten Namen, die Adresse und des Geburtsdatums zu überprüfen.

Für die Identifizierung stehen dem Nutzer verschiedene Optionen zur Verfügung: Zum einen hat er die Möglichkeit, sich mittels automatischem Auslesen der Ausweisdaten und biometrischem Abgleich zu identifizieren (ID Scan with 3D Face Match & Liveness Detection). Zudem besteht für Kunden der Volksbanken Raiffeisenbanken und Sparkassen die Möglichkeit, sich mittels des bereits von der KJM positiv bewerteten Moduls „yes®“ zu identifizieren (Open Banking). Als weitere Möglichkeit steht den Kunden die Identifizierung mittels einer Kombination aus Open Banking und dem Schufa Identcheck Premium zur Verfügung (Schufa IdentCheck Premium).

Mit dem im Juni 2022 von der KJM positiv bewilligten Modul „Credit Card“ kann zudem eine Identifizierung mittels einer bereits erfolgten „face-to-face“-Kontrolle erfolgen. 

Ein Endnutzer, der sich mittels seiner Kreditkarte über das Modul Credit Card“ im Rahmen des Konzepts „VerifyMyAge 18+“ identifizieren möchte, hat zunächst den Namen und die Adresse des Karteninhabers, die Kartennummer, das Gültigkeitsdatum sowie den CVC (3-stelliger Sicherheitscode auf der Karte) einzutragen. Mithilfe eines Zahlungsabwicklers wird dann geprüft, ob alle vom Endnutzer eingegebenen Daten mit den Daten übereinstimmen, die seine Bank für ihn bereithält. Wenn eine der Überprüfungen fehlschlägt, wird der Endnutzer nicht verifiziert. Wenn alle Prüfungen erfolgreich sind, wird eine Prüfung der primären Kontonummer (PAN) durch den Zahlungsabwickler durchgeführt.

Nach der Übersendung der PAN an die Zahlungsabwickler erfolgt eine Weiterleitung an die Bank des Endnutzers, die im Anschluss mitteilt, um welche Art der Karte es sich handelt. Handelt es sich bei der Karte um eine Debit- oder Prepaidkarte, so wird eine Identifizierung nicht durchgeführt und der Prozess abgebrochen. Gleiches gilt für den Fall, dass der Kartentyp nicht ermittelt werden konnte.

Ergibt die Prüfung, dass es sich bei der Karte um eine „echte“ Kreditkarte handelt, ist sichergestellt, dass der Karteninhaber volljährig ist und der Kreditkartenvertrag unter Beachtung der Vorschriften des Geldwäschegesetzes (GwG) zustande gekommen ist.  Der Endnutzer wird dann auf die Webseite seiner Bank weitergeleitet, um sich mittels seiner Bankdaten und 2-Faktor-Authentifizierung anzumelden. War dies erfolgreich, ist der Endnutzer identifiziert.

(Entscheidung der KJM vom Juli 2021)

Auf der europäischen Identitäts- und Vertrauensplattform VERIMI wird eine sogenannte Single-Sign-On-Lösung (VERIMI-Login) angeboten, über die verifizierte Identitäten für verschiedene Anwendungen im Internet zur Verfügung gestellt werden können. Ein Nutzer kann sich auf allen Online-Seiten, auf denen der VERIMI-Login implementiert ist, mit seinen VERIMI-Zugangsdaten einloggen und das Dienstleistungsangebot der Online-Seite („Anwendungspartner“) nutzen. Gleichzeitig kann er seine im VERIMI-Konto gespeicherten Daten an die Anwendungspartner nach Bedarf und je nach Transaktion übermitteln. Der Datentransfer zwischen VERIMI und den jeweiligen Anwendungspartnern erfolgt über eine technische Schnittstelle (API), nach dem Prinzip der Datensparsamkeit und jeweils nach Freigabe des Nutzers.

Zur Nutzung des VERIMI-Logins ist zunächst eine Registrierung durch den Nutzer erforderlich. Im Rahmen der Registrierung muss der Nutzer persönliche Daten, wie z. B. Name und E-Mail-Adresse angeben. Optional kann er weitere Merkmale wie zum Beispiel Anschrift und Geburtsdatum hinterlegen. Anschließend hat der Nutzer die Möglichkeit, seine Identität zu verifizieren und seine Daten selbstständig zu verwalten. Zum weiteren Schutz des Logins dient die Zwei-Faktor Authentifizierung.

Die KJM kam nach Prüfung des Konzepts zu dem Ergebnis, dass es sich bei entsprechender Umsetzung als vollständiges AVS-Konzept im Sinne der KJM-Kriterien zur Sicherstellung einer geschlossenen Benutzergruppe eignet. Die Positivbewertung als vollständiges Konzept einer geschlossenen Benutzergruppe umfasst auch die Positivbewertung als technisches Mittel. Die Anforderungen der KJM an ein technisches Mittel werden mehr als erfüllt.

(Entscheidung der KJM vom Januar 2019)

Das Konzept von Vodafone D2 sieht die Volljährigkeitsprüfung des Kunden durch den persönlichen Kontakt bei Vertragsabschluss in einem Vodafone D2-Shop bzw. einem angeschlossenen Partnergeschäft vor. Für die Authentifizierung bei jedem Nutzungsvorgang kommt eine individualisierte Adult-PIN unter Einbeziehung einer Hardware-Komponente (SIM-Karte) zum Einsatz. Auf ein darüber hinausgehendes Schutzniveau kann verzichtet werden, weil Vodafone das AVS nicht als Dienstleistung für Dritte anbietet.

(Entscheidung der KJM vom Dezember 2003 in der Fassung der Entscheidung vom Juli 2005)

Das Konzept des „Adultpark“ baut auf einem im September 2003 von der KJM positiv bewerteten Altersverifikationskonzept der Arcor AG & Co. KG zur Sicherstellung einer geschlossenen Benutzergruppe für Video-on-Demand-Angebote im Internet auf. Mit der zum Dezember 2009 vollzogenen vollständigen Verschmelzung von Arcor auf Vodafone werden im Internet die Video-on-Demand-Angebote beider Unternehmen unter dem Dach von Vodafone zusammengeführt. Die bereits im Post-Ident-Verfahren als volljährig identifizierten Video-on-Demand-Kunden von Arcor können nun auch auf die Angebote im „Adultpark“ von Vodafone zugreifen, ohne sich nochmals persönlich identifizieren zu müssen. Eine Anmeldung zur geschlossenen Benutzergruppe des „Adultpark“ ist künftig aber auch für Erwachsene möglich, die weder Arcor-Kunde waren noch über einen Vodafone-Mobilfunkvertrag verfügen. Für diese Nutzer sieht das Konzept ebenfalls eine persönliche Identifizierung über Post-Ident vor. Für die Authentifizierung bei jedem Nutzungsvorgang des Web-Angebots muss der Nutzer jeweils Benutzername und Passwort sowie zusätzlich einen speziellen, individuellen „ab 18-PIN“ eingeben. Damit soll sichergestellt werden, dass nur identifizierte und altersgeprüfte Personen Zugriff auf die geschlossene Benutzergruppe des „Adultpark“ erhalten.

(Entscheidung der KJM vom Dezember 2009)

Bei dem System „KYC Shield“ handelt es sich um ein Modul (Teillösung) auf der Stufe der Identifizierung. Das Modul alleine reicht jedoch nicht aus, um eine geschlossene Benutzergruppe sicherzustellen, es muss im Rahmen eines geeigneten Gesamtkonzepts zur Anwendung kommen.

Der Identifizierungsvorgang, der bei „KYC Shield“ auf einer „face-to-face-Kontrolle“ per Webcam basiert, erfolgt in mehreren Schritten. Zunächst erfolgt die Identifizierung mittels der Eingabe der persönlichen Daten auf der Webseite des Inhalte-Anbieters, in die „KYC Shield“ eingebunden wird. Anschließend wird der Nutzer aufgefordert, ein Video seines Personalausweises zu übermitteln, in dem das Foto und das Hologramm klar erkennbar sein müssen. Abschließend findet zum Datenabgleich eine Live-Videokonferenz zwischen dem Nutzer und Web Shield statt, bei der die übermittelten Daten durch zwei geschulte Mitarbeiter geprüft werden.

(Entscheidung der KJM vom Dezember 2014)

Das System „WebID TrueID“ der WebID Solutions GmbH dient der erneuten Identifizierung bereits zuvor eindeutig identifizierter volljähriger Nutzer. Voraussetzung für die Nutzung von WebID TrueID ist, dass die betreffende Person zuvor erfolgreich ein von der KJM als geeignet bewertetes Identifizierungsverfahren der WebID Solutions GmbH, beispielsweise WebID VideoID, durchlaufen hat.

Im Rahmen dieser Erstidentifizierung werden die Identität und die Volljährigkeit der Person anhand eines gültigen Identitätsdokuments überprüft. Gleichzeitig wird die vom Nutzer angegebene Mobilfunknummer verifiziert und dem eindeutig identifizierten Nutzerkonto zugeordnet. Die im Rahmen der Erstidentifizierung bestätigten Identitätsdaten bilden anschließend die vertrauenswürdige Grundlage für die Nutzung von WebID TrueID.

Möchte ein Nutzer zu einem späteren Zeitpunkt auf ein für Erwachsene bestimmtes Angebot zugreifen, gibt er zunächst seine persönlichen Daten, insbesondere Name und Geburtsdatum, sowie die bereits im Rahmen der Erstidentifizierung verifizierte Mobilfunknummer an.

WebID TrueID gleicht diese Angaben automatisiert mit den bei der vorangegangenen, erfolgreich abgeschlossenen Erstidentifizierung gespeicherten und verifizierten Identitätsdaten ab. Eine erfolgreiche Zuordnung ist nur möglich, wenn die für die Identifizierung relevanten Daten mit dem bereits eindeutig identifizierten Nutzer übereinstimmen.

Im Anschluss wird eine einmalig verwendbare SMS-TAN ausschließlich an die Mobilfunknummer versendet, die bereits während der Erstidentifizierung verifiziert und dem Nutzer zugeordnet wurde. Erst nach erfolgreicher Eingabe dieser SMS-TAN wird die Identifizierung mittels WebID TrueID abgeschlossen.

WebID TrueID stellt damit keine erstmalige oder allein auf Selbstauskünften beruhende Altersprüfung dar. Das System ermöglicht vielmehr die sichere erneute Identifizierung eines bereits zuvor durch ein geeignetes Verfahren eindeutig identifizierten und als volljährig bestätigten Nutzers. Hierbei werden der Besitz der verifizierten Mobilfunknummer und die Übereinstimmung mit den bereits bestätigten Identitätsdaten erneut geprüft.

Die KJM kam nach Prüfung des Konzepts zu dem Ergebnis, dass es sich bei entsprechender Umsetzung als vollständiges AVS-Konzept im Sinne der KJM-Kriterien zur Sicherstellung einer geschlossenen Benutzergruppe eignet. 

(Entscheidung der KJM vom Dezember 2017)

Bei dem System "WebID VideoID" der WebID Solutions GmbH handelt es sich um ein Modul (Teillösung) für eine geschlossene Benutzergruppe auf der Stufe der Identifizierung. Das Modul alleine reicht jedoch nicht aus, um eine geschlossene Benutzergruppe sicherzustellen, es muss im Rahmen eines geeigneten Gesamtkonzepts zur Anwendung kommen.

Das Konzept beruht auf einem mehrstufigen Identifizierungsverfahren. Die Identifikation des Nutzers erfolgt dabei in einer Kombination aus der Eingabe seiner Daten auf der Webseite des Inhalte-Anbieters und der Überprüfung der eingegebenen Daten durch die WebID Solutions GmbH. Im Anschluss daran wird dann die Identität des Nutzers in einer Videokonferenz mit geschulten Mitarbeitern der WebID Solutions GmbH verifiziert, bei der das Ausweisdokument und die Übereinstimmung der Daten geprüft werden. Nur wenn alle Schritte erfolgreich abgeschlossen wurden und keine Widersprüche auftreten, erlangt der Nutzer Zugang zum gewünschten Angebot.

(Entscheidung der KJM vom April 2015)

Möchte der Nutzer sich mit „WebID AutoID“ der WebID Solutions GmbH für einen Kauf oder eine Dienstleistung identifizieren, werden die relevanten Daten mit Start des Identifizierungsprozesses an „WebID AutoID“ übergeben und der Nutzer kann die Identifikation direkt aus der Anwendung des Auftraggebers starten. Mit „WebID AutoID“ nimmt der Nutzer zunächst Fotos des Ausweisdokuments und seines Gesichts auf. Der vollautomatische Prozess vergleicht die übertragenen Benutzerdaten mit den Daten auf dem Ausweisdokument. Zusätzlich wird überprüft, ob es sich um ein gültiges Ausweisdokument handelt. Es erfolgt ein biometrischer Abgleich des Nutzerportraits mit dem Foto des Ausweisdokuments. Abschließend erfolgt die „Lebendkontrolle“, für die die zu identifizierende Person eine von der Software vorgegebene Bewegung ausführt. Anhand der Bewegung überprüft das System, ob es sich um eine reale Person handelt.

Die KJM kam nach Prüfung des Konzepts zu dem Ergebnis, dass es in der vorgelegten Version und bei entsprechender Umsetzung als Modul auf der Stufe der Identifizierung im Sinne der KJM-Kriterien zur Sicherstellung einer geschlossenen Benutzergruppe für Erwachsene gemäß Jugendmedienschutz-Staatsvertrag (JMStV) geeignet ist.

(Entscheidung der KJM vom März 2020)

Setzt ein Online-Dienst „yes®“ (System der Volksbanken Raiffeisenbanken und der Sparkassen) der yes.com AG auf seiner Webseite ein, können Nutzer des Dienstes ihre Volljährigkeit bei der Anmeldung mit Hilfe ihres Online-Banking-Zugangs verifizieren. Ein Klick des „yes® Buttons“ bei der Anmeldung für den Online-Dienst führt den Nutzer zur Bankauswahl. Von dort wird der Nutzer zum Online-Banking der von ihm ausgewählten Volksbank Raiffeisenbank oder Sparkasse weitergeleitet. Nach erfolgreichem Login im gewohnten Online-Banking werden dem Nutzer die Daten angezeigt, die für die Altersverifikation von der Bank direkt an den Online-Diensteanbieter transferiert werden sollen. Der Nutzer beauftragt die Übermittlung der von ihm geprüften Daten, wird danach automatisch aus dem Online-Banking ausgeloggt und an den Online-Diensteanbieter weitergeleitet.

Im Rahmen der Identifizierung greift „yes®“ auf eine bereits erfolgte „face‐to-face“‐Kontrolle zurück: Die Identifizierung des Kunden fand bei der Eröffnung seines Kontos bei dem jeweiligen Kreditinstitut statt. Die Authentifizierung erfolgt mittels der Verwendung der Online-Banking-Zugangsdaten des Kunden bei dem jeweiligen Kreditinstitut sowie gegebenenfalls einem im Online-Banking genutzten zweiten Faktor wie einer chipTAN.

Die KJM kam nach Prüfung des Konzepts zu dem Ergebnis, dass „yes®“ in der vorgelegten Version und bei entsprechender Umsetzung somit als Gesamtlösung im Sinne der KJM-Kriterien zur Sicherstellung einer geschlossenen Benutzergruppe für Erwachsene gemäß Jugendmedienschutz-Staatsvertrag (JMStV) geeignet ist.

(Entscheidung der KJM vom August 2020)