Unzulässige Inhalte

Bei „Trunarrative“ der TruNarrative Ltd. handelt es sich um ein Modul für eine geschlossene Benutzergruppe auf der Ebene der Identifizierung. Das Modul alleine reicht nicht aus, um eine geschlossene Benutzergruppe sicherzustellen, es muss im Rahmen eines geeigneten Gesamtkonzepts zur Anwendung kommen.

Bei „trunarrative“ erfolgt die Identifizierung durch einen automatisierten Prozess unter Abgleich biometrischer Daten oder alternativ durch eine bereits erfolgte „face-to-face“-Kontrolle.  Von einer Angesichts-Kontrolle unter Anwesenden („face-to-face“-Kontrolle) kann bei trunarrative abgesehen werden, da die Identifizierung mit einer Software durch Vergleich der biometrischen Daten von Ausweisdokument und Lichtbild sowie einer automatischen Erfassung der Daten des Ausweisdokuments erfolgt. 

(Entscheidung der KJM vom Juni 2021)

Bei dem System „Pay N Play“ der Trustly Group AB handelt es sich um ein Identifizierungskonzept, in dessen Rahmen auf eine bereits erfolgte „face‐to‐face“‐Kontrolle durch eine Kombination aus Open Banking, Vornahme einer Transaktion und Datenbank-Abfrage zurückgegriffen wird.

Bei „Pay N Play“ handelt es sich um ein Zahlungsdienstangebot, erweitert mit Funktionen der Identifizierung und Authentifizierung. Inhalteanbieter können sich „Pay N Play“ bedienen, um ihren Kunden Zahlungen sowie Identifizierung und Authentifizierung zu ermöglichen.

Zur Authentifizierung wählt der Nutzer seine Bank/Sparkasse aus und meldet sich mit seinen Zugangsdaten für das Online-Banking an. Der Unterschied der wiederholten Anmeldung im Vergleich zu erstmaligen Registrierung liegt darin, dass der Inhalteanbieter vorsehen kann, dass eine (erneute) Einzahlung nicht erforderlich ist.

Die KJM kam nach Prüfung des Konzepts „Pay N Play“ zum Ergebnis, dass es sich bei entsprechender Umsetzung als vollständiges AVS-Konzept im Sinne der KJM-Kriterien zur Sicherstellung einer geschlossenen Benutzergruppe eignet.

( KJM-Entscheidung Oktober 2021)

Bei „Konto-Ident Plus“ der Verifeye Online SIA handelt es sich um ein Modul für eine geschlossene Benutzergruppe auf der Ebene der Identifizierung. Das Modul alleine reicht nicht aus, um eine geschlossene Benutzergruppe sicherzustellen, es muss im Rahmen eines geeigneten Gesamtkonzepts zur Anwendung kommen.

Bei dem System „Verifeye“ erfolgt die Identifizierung mittels einer Software durch einen Vergleich der biometrischen Daten des Ausweisdokuments und einem Lichtbild des zu Identifizierenden sowie einer automatischen Erfassung der Daten des Ausweisdokuments in Verbindung mit einer Videoidentifizierung. 

(Entscheidung der KJM vom Mai 2021)

Bei dem System „Verifeye“ der Verifeye Online SIA handelt es sich um ein Konzept, welches eine Identifizierung mittels einer Software durch einen Vergleich der biometrischen Daten des Ausweisdokuments und einem Lichtbild des zu Identifizierenden sowie einer automatischen Erfassung der Daten des Ausweisdokuments in Verbindung mit einer Videoidentifizierung ermöglicht. Verlangt ein Inhalteanbieter, der „Verifeye“ einsetzt, eine Identifizierung des Endnutzers, wird dieser auf die Seite der Verifeye Online SIA weitergeleitet. Dort muss der Nutzer Bilder seines Ausweisdokumentes hochladen, anhand derer das System der Verifeye Online SIA automatisiert sämtliche Daten ausliest und anhand diverser Sicherheitsmerkmale überprüft, dass es sich um ein echtes Dokument handelt. Anschließend vergleicht „Verifeye“ das Bild des Nutzers auf dem Ausweis mit einem vom Nutzer im System hochgeladenen Foto seines Gesichts. Im Anschluss wird der Nutzer mit einem zufällig ausgewählten Mitarbeiter per Video-Chat verbunden. Der Mitarbeiter prüft die korrekte Durchführung aller Schritte – insbesondere, dass der Nutzer mit den angefertigten Bildern übereinstimmt – und stellt anhand einer sog. Lebenderkennung fest, ob der Nutzer eine echte Person ist. Nach dieser Überprüfung ist der Identifizierungsvorgang abgeschlossen und die Daten werden verschlüsselt an den Inhalteanbieter übermittelt.

Die KJM kam nach Prüfung des Konzepts zu dem Ergebnis, dass das System „Verifeye“ der Verifeye Online SIA in der vorgelegten Version als Modul auf der Stufe der Identifizierung im Sinne der KJM-Kriterien zur Sicherstellung einer geschlossenen Benutzergruppe für Erwachsene gemäß Jugendmedienschutz-Staatsvertrag (JMStV) geeignet ist. Inhalteanbieter, die dieses Modul nutzen, müssen durch weitere Maßnahmen sicherstellen, dass im Rahmen der Authentifizierung nur die jeweils identifizierte und altersgeprüfte Person Zugang zur geschlossenen Benutzergruppe erhält und dass die Weitergabe der Zugangsberechtigung an unautorisierte Dritte erschwert wird.

(Entscheidung der KJM vom Dezember 2020)

Das System „Veriff“ der Veriff Inc ist ein vollständiges Konzept für ein AVS. Das vorgelegte Konzept erfüllt sowohl auf der Ebene der Identifizierung als auch auf der Ebene der Authentifizierung die Anforderungen der KJM.

Bei dem System „Veriff“ handelt es sich um ein Identifizierungskonzept, welches eine Identifizierung mittels einer Software durch einen Vergleich der biometrischen Daten des Ausweisdokuments und einem Lichtbild des zu Identifizierenden sowie einer automatischen Erfassung der Daten des Ausweisdokuments in Verbindung mit einer Videoidentifizierung ermöglicht.

Die Authentifizierung bei jedem Nutzungsvorgang erfolgt mittels biometrischer Daten, also der Gesichtserkennung des Nutzers, und Vergleich mit dem im Rahmen der Identifizierung gespeicherten Referenzdatensatzes des Gesichts des Nutzers (biometrische Authentifizierung).

(Entscheidung der KJM vom Mai 2021)

Bei dem System „verify-u selfID“ handelt es sich um ein seit 2015 bestehendes und modernisiertes Identifizierungskonzept, welches eine Identifizierung mittels eines automatisierten Prozesses unter Abgleich biometrischer Daten ermöglicht. Das System kann in die eigenen Telemedien und Apps der jeweiligen Inhalteanbieter als eine Art Gateway eingebunden werden. Hat sich ein Kunde bei einem Inhalteanbieter registriert, hat er im nächsten Schritt die Identifizierung mit „verify-u selfID“ durchzuführen. Der Nutzer hat hierfür Bilder des zu prüfenden Ausweisdokumentes zu erstellen oder hochzuladen. Im Anschluss überprüft „verify-u selfID“ anhand diverser Sicherheitsmerkmale, dass es sich um ein echtes Ausweisdokument handelt. Im Anschluss hat der Nutzer zunächst ein Selfie zu erstellen, anhand dessen ein Abgleich der biometrischen Daten mit dem Bild des Ausweisdokuments vorgenommen wird. Sodann hat er ein Selfie-Video zu erstellen, bei dem er verschieden Mimiken (blinzeln, lächeln etc.) ausführen muss. Anhand des Selfie-Videos führt „verify-u selfID“ eine „Lebenderkennung“ durch. Nach Zustimmung des Nutzers zur Freigabe der Daten werden diese an den Inhalteanbieter übermittelt.

Die KJM kam nach Prüfung des Konzepts zu dem Ergebnis, dass „verify-u selfID“ in der vorgelegten Version und bei entsprechender Umsetzung somit als Teillösung auf Stufe der Identifizierung im Sinne der KJM-Kriterien zur Sicherstellung einer geschlossenen Benutzergruppe für Erwachsene gemäß Jugendmedienschutz-Staatsvertrag (JMStV) geeignet ist.

Inhalteanbieter, die dieses Modul nutzen, müssen durch weitere Maßnahmen sicherstellen, dass im Rahmen der Authentifizierung nur die jeweils identifizierte und altersgeprüfte Person Zugang zur geschlossenen Benutzergruppe erhält und dass die Weitergabe der Zugangsberechtigung an unautorisierte Dritte erschwert wird.

(Entscheidung der KJM vom April 2021)

Das System „VerifyMyAge 18+“ der KYC AVC UK Ltd. ist als vollständiges AVS-Konzept im Sinne der KJM Kriterien zur Sicherstellung einer geschlossenen Benutzergruppe für Erwachsene gemäß Jugendmedienschutz-Staatsvertrag (JMStV) geeignet.

Bei dem System „VerifyMyAge 18+“ handelt es sich um ein Identifizierungskonzept, welches eine Identifizierung mittels eines automatisierten Prozesses unter Abgleich biometrischer Daten sowie mittels einer bereits erfolgten „face-to-face“-Kontrolle bietet.

Der Telemedienanbieter übermittelt die Nutzerdaten per API an KYC AVC UK Ltd. Im Rahmen eines automatisierten Prozesses prüft das System dann, ob die Daten des Nutzers bereits in der KyC AVC UK Ltd.- Datenbank gespeichert sind oder ob der Nutzer eine Identifikations- oder Altersplausibilitätsprüfung über "VerifyMyAge 18+" durchgeführt hat. Ist das nicht der Fall, wird mittels Schufa Identcheck Premium ein Versuch durchgeführt, das Alter des Endnutzers über den übermittelten Namen, die Adresse und des Geburtsdatums zu überprüfen.

Für die Identifizierung stehen dem Nutzer verschiedene Optionen zur Verfügung: Zum einen hat er die Möglichkeit, sich mittels automatischem Auslesen der Ausweisdaten und biometrischem Abgleich zu identifizieren (ID Scan with 3D Face Match & Liveness Detection). Zudem besteht für Kunden der Volksbanken Raiffeisenbanken und Sparkassen die Möglichkeit, sich mittels des bereits von der KJM positiv bewerteten Moduls „yes®“ zu identifizieren (Open Banking). Als weitere Möglichkeit steht den Kunden die Identifizierung mittels einer Kombination aus Open Banking und dem Schufa Identcheck Premium zur Verfügung (Schufa IdentCheck Premium).

Mit dem im Juni 2022 von der KJM positiv bewilligten Modul „Credit Card“ kann zudem eine Identifizierung mittels einer bereits erfolgten „face-to-face“-Kontrolle erfolgen. 

Ein Endnutzer, der sich mittels seiner Kreditkarte über das Modul Credit Card“ im Rahmen des Konzepts „VerifyMyAge 18+“ identifizieren möchte, hat zunächst den Namen und die Adresse des Karteninhabers, die Kartennummer, das Gültigkeitsdatum sowie den CVC (3-stelliger Sicherheitscode auf der Karte) einzutragen. Mithilfe eines Zahlungsabwicklers wird dann geprüft, ob alle vom Endnutzer eingegebenen Daten mit den Daten übereinstimmen, die seine Bank für ihn bereithält. Wenn eine der Überprüfungen fehlschlägt, wird der Endnutzer nicht verifiziert. Wenn alle Prüfungen erfolgreich sind, wird eine Prüfung der primären Kontonummer (PAN) durch den Zahlungsabwickler durchgeführt.

Nach der Übersendung der PAN an die Zahlungsabwickler erfolgt eine Weiterleitung an die Bank des Endnutzers, die im Anschluss mitteilt, um welche Art der Karte es sich handelt. Handelt es sich bei der Karte um eine Debit- oder Prepaidkarte, so wird eine Identifizierung nicht durchgeführt und der Prozess abgebrochen. Gleiches gilt für den Fall, dass der Kartentyp nicht ermittelt werden konnte.

Ergibt die Prüfung, dass es sich bei der Karte um eine „echte“ Kreditkarte handelt, ist sichergestellt, dass der Karteninhaber volljährig ist und der Kreditkartenvertrag unter Beachtung der Vorschriften des Geldwäschegesetzes (GwG) zustande gekommen ist.  Der Endnutzer wird dann auf die Webseite seiner Bank weitergeleitet, um sich mittels seiner Bankdaten und 2-Faktor-Authentifizierung anzumelden. War dies erfolgreich, ist der Endnutzer identifiziert.

(Entscheidung der KJM vom Juli 2021)

Auf der europäischen Identitäts- und Vertrauensplattform VERIMI wird eine sogenannte Single-Sign-On-Lösung (VERIMI-Login) angeboten, über die verifizierte Identitäten für verschiedene Anwendungen im Internet zur Verfügung gestellt werden können. Ein Nutzer kann sich auf allen Online-Seiten, auf denen der VERIMI-Login implementiert ist, mit seinen VERIMI-Zugangsdaten einloggen und das Dienstleistungsangebot der Online-Seite („Anwendungspartner“) nutzen. Gleichzeitig kann er seine im VERIMI-Konto gespeicherten Daten an die Anwendungspartner nach Bedarf und je nach Transaktion übermitteln. Der Datentransfer zwischen VERIMI und den jeweiligen Anwendungspartnern erfolgt über eine technische Schnittstelle (API), nach dem Prinzip der Datensparsamkeit und jeweils nach Freigabe des Nutzers.

Zur Nutzung des VERIMI-Logins ist zunächst eine Registrierung durch den Nutzer erforderlich. Im Rahmen der Registrierung muss der Nutzer persönliche Daten, wie z. B. Name und E-Mail-Adresse angeben. Optional kann er weitere Merkmale wie zum Beispiel Anschrift und Geburtsdatum hinterlegen. Anschließend hat der Nutzer die Möglichkeit, seine Identität zu verifizieren und seine Daten selbstständig zu verwalten. Zum weiteren Schutz des Logins dient die Zwei-Faktor Authentifizierung.

Die KJM kam nach Prüfung des Konzepts zu dem Ergebnis, dass es sich bei entsprechender Umsetzung als vollständiges AVS-Konzept im Sinne der KJM-Kriterien zur Sicherstellung einer geschlossenen Benutzergruppe eignet. Die Positivbewertung als vollständiges Konzept einer geschlossenen Benutzergruppe umfasst auch die Positivbewertung als technisches Mittel. Die Anforderungen der KJM an ein technisches Mittel werden mehr als erfüllt.

(Entscheidung der KJM vom Januar 2019)

Das Konzept von Vodafone D2 sieht die Volljährigkeitsprüfung des Kunden durch den persönlichen Kontakt bei Vertragsabschluss in einem Vodafone D2-Shop bzw. einem angeschlossenen Partnergeschäft vor. Für die Authentifizierung bei jedem Nutzungsvorgang kommt eine individualisierte Adult-PIN unter Einbeziehung einer Hardware-Komponente (SIM-Karte) zum Einsatz. Auf ein darüber hinausgehendes Schutzniveau kann verzichtet werden, weil Vodafone das AVS nicht als Dienstleistung für Dritte anbietet.

(Entscheidung der KJM vom Dezember 2003 in der Fassung der Entscheidung vom Juli 2005)

Das Konzept des „Adultpark“ baut auf einem im September 2003 von der KJM positiv bewerteten Altersverifikationskonzept der Arcor AG & Co. KG zur Sicherstellung einer geschlossenen Benutzergruppe für Video-on-Demand-Angebote im Internet auf. Mit der zum Dezember 2009 vollzogenen vollständigen Verschmelzung von Arcor auf Vodafone werden im Internet die Video-on-Demand-Angebote beider Unternehmen unter dem Dach von Vodafone zusammengeführt. Die bereits im Post-Ident-Verfahren als volljährig identifizierten Video-on-Demand-Kunden von Arcor können nun auch auf die Angebote im „Adultpark“ von Vodafone zugreifen, ohne sich nochmals persönlich identifizieren zu müssen. Eine Anmeldung zur geschlossenen Benutzergruppe des „Adultpark“ ist künftig aber auch für Erwachsene möglich, die weder Arcor-Kunde waren noch über einen Vodafone-Mobilfunkvertrag verfügen. Für diese Nutzer sieht das Konzept ebenfalls eine persönliche Identifizierung über Post-Ident vor. Für die Authentifizierung bei jedem Nutzungsvorgang des Web-Angebots muss der Nutzer jeweils Benutzername und Passwort sowie zusätzlich einen speziellen, individuellen „ab 18-PIN“ eingeben. Damit soll sichergestellt werden, dass nur identifizierte und altersgeprüfte Personen Zugriff auf die geschlossene Benutzergruppe des „Adultpark“ erhalten.

(Entscheidung der KJM vom Dezember 2009)