Kaliforniens Social-Media-Gesetz für unter 16-Jährige prüft Ihr Handy, nicht Ihren Standort: Was AB 1709 und AB 1856 für VPN-Nutzer bedeuten

Am 10. September unterzeichnete Gouverneur Gavin Newsom in einer einzigen Sitzung dreizehn Gesetze zum Kinderschutz. Das eine, das in jeder Schlagzeile steht, ist AB 1709, das Social-Media-Plattformen verbietet, Personen unter 16 in Kalifornien „süchtig machende Funktionen“ bereitzustellen. Das andere, über das fast niemand geschrieben hat, ist AB 1856, und es ist das Gesetz, das darüber entscheidet, wie eine Plattform das Alter eines Nutzers überhaupt erfährt.

Diese zweite Frage ist der Punkt, an dem diese Geschichte VPN-Nutzer berührt. Die letzten drei Jahre haben das Internet auf eine feste Abfolge trainiert: Ein Parlament verabschiedet ein Altersprüfungsgesetz, Websites beginnen, ein Dokument oder einen Gesichtsscan zu verlangen, und die VPN-Nachfrage schießt innerhalb von Stunden nach oben. So geschah es 2023 in Utah, im Juni 2025 in Frankreich, im Juli desselben Jahres im Vereinigten Königreich und im Dezember in Australien. Der Reflex am Donnerstagabend war also vorhersehbar: Kaliforniens Verbot kommt, Zeit für ein VPN.

Kaliforniens System funktioniert nicht so. Seine Altersprüfung verlangt kein Dokument und interessiert sich nicht dafür, wo Sie sind. Sie fragt das Handy. Hier ist, was die beiden Gesetze tun, wie das Alterssignal aufgebaut ist, warum ein VPN keinen seiner Eingabewerte verändert und was das Gesetz für jemanden bedeutet, der bereits eines nutzt.

Was hat Kalifornien am 10. September 2026 unterzeichnet?

Das Büro des Gouverneurs listet dreizehn Gesetze auf, die an diesem Tag in Marin County unterzeichnet wurden, von Regeln für Begleit-Chatbots für Kinder (SB 1119, „Adam’s Law“) bis zu einem Verbot von Chatbots in Spielzeug (SB 867). „Die Sicherheit unserer Kinder verdient es, im Mittelpunkt jedes Gesprächs über Technologie zu stehen“, sagte Newsom in der Mitteilung.

Zwei der dreizehn sind hier von Bedeutung.

AB 1709, eingebracht von Assemblymember Josh Lowenthal aus Long Beach, trägt den Titel „Covered platforms: age restriction: e-Safety Advisory Commission“ (erfasste Plattformen: Altersbeschränkung: e-Safety-Beratungskommission). Es ist die Unter-16-Regel, und es passierte beide Kammern am 31. August.

AB 1856, eingebracht von Assemblymember Buffy Wicks aus Oakland, trägt den Titel „Age verification signals: software applications“ (Altersprüfungssignale: Softwareanwendungen). Es ändert den Digital Age Assurance Act, das Gesetz, das Wicks im vergangenen Jahr geschrieben hat (AB 1043, unterzeichnet am 13. Oktober 2025) und das das Betriebssystem eines Handys zur maßgeblichen Quelle für das Alter eines Nutzers macht. AB 1709 stützt sich namentlich auf dieses Gesetz, weshalb die beiden Gesetzentwürfe zusammen gelesen werden müssen.

Was verbietet AB 1709?

Der operative Satz im verabschiedeten Text ist kurz: „Eine erfasste Plattform darf einem Nutzer, der jünger als 16 Jahre ist, keine süchtig machende Funktion bereitstellen.“

Eine süchtig machende Funktion ist definiert als jede der „psychologisch ausbeuterischen Funktionen, die auf maximale Bindung abzielen und vorhersehbar zu zwanghafter Nutzung führen“, und das Gesetz nennt zwei: einen süchtig machenden Feed und Autoplay. Der Attorney General kann per Verordnung weitere hinzufügen. Eine erfasste Plattform ist jede Website, jeder Dienst oder jede App, die „Nutzern eine süchtig machende Funktion als wesentlichen Teil des Dienstes anbietet oder bereitstellt“; Handelsseiten und Cloud-Speicher sind ausgenommen.

Auf den ersten Blick ist das kein Verbot von Konten. Eine Plattform darf einem Minderjährigen weiterhin eine Version ohne die süchtig machenden Funktionen anbieten. Die Zähne des Gesetzes zeigen sich, wenn sie das nicht tut: Eine Plattform, die diese Version nicht anbieten kann oder will, muss „das Konto eines Nutzers unter 16 Jahren und alle mit dem Nutzer verbundenen personenbezogenen Daten löschen“. Die Electronic Frontier Foundation, die Newsom um ein Veto gegen das Gesetz gebeten hatte, nennt das Ergebnis „ein faktisches Verbot der Social-Media-Nutzung für Personen unter 16 Jahren“. Newsom stellte es am Tag der Unterzeichnung anders dar und sagte der Los Angeles Times, „hier geht es um die Funktionen selbst. Es geht darum, das Problem tatsächlich anzugehen, das Scrollen, die Algorithmen.“

Die Strafen treffen die Plattform. Ein wissentlicher Verstoß kostet bis zu 50.000 US-Dollar pro betroffenem Minderjährigen, ein fahrlässiger bis zu 25.000 US-Dollar. Nur der Attorney General oder ein örtlicher Staatsanwalt darf den Fall vor Gericht bringen, und das Gericht „berücksichtigt die Größe der erfassten Plattform, die Schwere und Dauer des Verstoßes“ sowie ihre Bemühungen um Einhaltung in gutem Glauben. Das Gesetz schafft außerdem eine siebenköpfige e-Safety Advisory Commission innerhalb des Justizministeriums, die dem Parlament jeden Januar Bericht erstattet.

Der Text legt kein eigenes Datum des Inkrafttretens fest. Nach Kaliforniens Standardregel für Gesetze aus einer regulären Sitzungsperiode bedeutet das den 1. Januar 2027, und das ist zufällig der Tag, an dem das Alterssignal, auf das sich das Gesetz stützt, eingeschaltet wird.

Wie erfährt eine Plattform, dass ein Nutzer unter 16 ist?

Ein einziger Satz unterscheidet Kalifornien von jedem anderen derzeit geltenden Altersprüfungsgesetz: „Bevor eine erfasste Plattform einem Nutzer eine süchtig machende Funktion bereitstellt, prüft sie das Alter des Nutzers gemäß dem Digital Age Assurance Act.“

Nicht durch das Scannen eines Ausweises. Nicht durch Altersschätzung anhand eines Selfies. Nicht durch das Auslesen einer IP-Adresse. Sondern durch eine Anfrage an das Betriebssystem.

Die Analyse des Datenschutzausschusses der Assembly zu AB 1856 legt den Mechanismus dar, den das Gesetz bereits enthält. Ein Betriebssystemanbieter, in der Praxis also Apple, Google oder Microsoft, muss bei der Kontoeinrichtung eine Oberfläche anzeigen, „die vom Kontoinhaber verlangt, das Geburtsdatum, das Alter oder beides des Nutzers dieses Geräts anzugeben“. Aus dieser Eingabe leitet das Betriebssystem „Altersspannendaten“ ab, definiert als „nicht personenbezogene Daten, die aus dem Geburtsdatum oder Alter eines Nutzers abgeleitet werden“, in vier Stufen: unter 13, 13 bis 16, 16 bis 18 und 18 oder älter. Wenn eine App heruntergeladen und gestartet wird, muss sie das Signal anfordern, das „über eine hinreichend einheitliche Echtzeit-Programmierschnittstelle“ eintrifft. Ein Entwickler, der das Signal erhält, „gilt als in tatsächlicher Kenntnis der Altersspanne des Nutzers“ und muss sie als primären Altersindikator behandeln, sofern ihm keine klaren und überzeugenden gegenteiligen Informationen vorliegen.

Der Ausschuss ist ungewöhnlich offen darüber, warum Kalifornien diesen Weg gewählt hat. Dokumentenprüfungen, schreibt er, verlangen von „Nutzern, sensible Ausweisdokumente an potenziell Dutzende Plattformen zu übermitteln, was ernste Risiken für Privatsphäre und Datensicherheit schafft“, während biometrische und verhaltensbasierte Methoden „eine umfangreiche Datenerhebung erfordern“ und „genau an den Altersgrenzen, auf die es am meisten ankommt, unzuverlässig arbeiten“. Die bei der Einrichtung angegebene Altersspanne ist der Kompromiss: eine Eingabe, einmal gemacht, von dem Erwachsenen, der das Handy eingerichtet hat, weitergegeben als Spanne und nicht als Datum.

AB 1856 zieht die Leitungen fester an. Laut der Zusammenfassung des Legislative Counsel streicht es die Definition, die „Nutzer“ auf ein Kind beschränkte, das Hauptnutzer eines Geräts ist; es wendet die Pflicht zur Oberfläche nur an, „wenn ein Betriebssystem auf einem Gerät läuft und über eine Funktion zur Kontoeinrichtung verfügt“; es verlangt, dass das Signal sowohl App-Stores als auch Entwickler erreicht; und es fügt ein Verbot hinzu, das es zuvor nicht gab: „Eine Person darf von einem Betriebssystemanbieter oder einem erfassten App-Store kein Signal in Bezug auf einen bestimmten Nutzer anfordern, wenn sie nicht durch diesen Titel oder ein anderes anwendbares Gesetz dazu verpflichtet ist.“ Distributoren von Open-Source-Betriebssystemen sind ausgenommen, nachdem Projekte wie GrapheneOS öffentlich erklärt hatten, die Oberfläche nicht bauen zu wollen. Der Zeitplan bleibt unverändert: Betriebssysteme müssen ab dem 1. Januar 2027 Signale liefern, Geräte, die vor diesem Datum eingerichtet wurden, erhalten bis zum 1. Juli 2027 eine Oberfläche, und Entwickler müssen bis zur selben Juli-Frist Signale anfordern.

Apple und Google sind dem Gesetz voraus. Apples Declared Age Range API, die im September 2025 mit iOS 26 ausgeliefert wurde, gibt „die Altersspanne oder Alterskategorie zurück, je nach den rechtlichen Anforderungen in der Region“, zusammen mit der Angabe, wie dieses Alter ermittelt wurde: selbst angegeben, von einem Erziehungsberechtigten angegeben, gegen einen amtlichen Ausweis geprüft, gegen eine Zahlungskarte geprüft. Googles Play Age Signals API gibt 0-12, 13-15, 16-17 oder 18+ zurück, mit einer Quellenstufe von „selbst angegeben“ bis „amtlicher Ausweis und Selfie“, und Google kündigte am 29. Juli 2026 an, die API weltweit für alle Play-Entwickler zu öffnen.

Eine weitere Klausel ist für das Folgende wichtig. Wenn eine Plattform das Alter des Nutzers über das Gesetz „nicht verifizieren kann“, verweist AB 1709 sie auf die Altersbestimmungsmethode des Protecting Our Kids from Social Media Addiction Act von 2024 (SB 976), dessen Altersprüfungsbestimmung ebenfalls am 1. Januar 2027 wirksam wird und dessen Methoden der Attorney General per Verordnung festlegt. Eine Desktop-Browsersitzung ohne Betriebssystemsignal ist der offensichtliche Fall. Dieser Rückfallweg ist die eine Stelle, an der ein Dokument oder eine Schätzung ins Spiel kommen könnte, und was er verlangen wird, ist noch nicht geschrieben.

Utah fragt, wo Sie sind. Kalifornien fragt, wie alt Sie sind.

VPNs sind wegen einer anderen Art von Gesetz in die Altersprüfungsdebatte geraten. Utahs SB 73, das wir behandelt haben, als sich die Schlagzeilen „tritt am 3. September in Kraft“ als falsch herausstellten, baut auf dem Standort auf. Seine Bestimmung zum angenommenen Standort besagt, dass eine Person „als von diesem Bundesstaat aus auf die Website zugreifend gilt, wenn sie sich tatsächlich in dem Bundesstaat befindet, unabhängig davon, ob sie ein virtuelles privates Netzwerk, einen Proxy-Server oder andere Mittel nutzt, um ihren geografischen Standort zu verschleiern oder falsch darzustellen …“. Die Website muss diesen Besucher dann einer Altersprüfung unterziehen. Das Ganze hängt davon ab, zu wissen, wo Sie sind. Das ist das Einzige, was ein VPN verändert, weshalb Utahs vorgeschlagene Regel jetzt einen Abschnitt zur „Verschleierung der Geolokalisierung“ enthält und weshalb Aylo geklagt hat.

Kaliforniens zwei Gesetze enthalten keine vergleichbare Klausel. AB 1709 erwähnt weder Standort noch IP-Adressen noch VPNs. AB 1856 ebenso wenig. Im US-Recht gibt es jetzt drei verschiedene Modelle, und sie behandeln ein VPN sehr unterschiedlich:

Der Satz, den man sich merken sollte: Ein Alterssignal ist eine Aussage darüber, wer das Handy eingerichtet hat. Ein VPN ist eine Aussage darüber, wo das Handy zu sein scheint. Die beiden begegnen sich nie.

Umgeht ein VPN Kaliforniens Unter-16-Regel?

Nein, und dafür ist es auch nicht gebaut.

Ein VPN tut zwei Dinge. Es ersetzt die IP-Adresse, die Websites und Apps sehen, durch die Adresse des VPN-Servers, sodass die Gegenseite Paris oder Frankfurt sieht statt Ihres Heimanschlusses. Und es verschlüsselt alles zwischen Ihrem Gerät und diesem Server, sodass der Router im Café und Ihr Internetanbieter einen verschlüsselten Tunnel sehen statt Ihres Datenverkehrs. Beides ist nützlich. Keines von beiden reicht bis zur Altersspanne, die beim Apple- oder Google-Konto auf dem Gerät hinterlegt ist, oder bis zur geräteinternen Schnittstelle, die diese Spanne an eine App übergibt. Ein Fünfzehnjähriger, dessen Elternteil bei der Einrichtung ein Geburtsdatum aus dem Jahr 2011 eingegeben hat, trägt die Spanne 13 bis 16 in einem WLAN in Los Angeles genauso wie auf einem VPN-Server in Amsterdam.

An einer Stelle kommt der Standort doch ins Spiel, und es lohnt sich, genau zu sagen, wo. AB 1709 schützt Nutzer in Kalifornien, und sein Text schreibt nicht vor, wie eine Plattform entscheidet, dass ein Nutzer einer ist. In der Praxis haben die Anbieter ihr bundesstaatsspezifisches Verhalten an das Konto gebunden, nicht an das Netzwerk des Augenblicks: Apple wandte die texanischen Anforderungen ab dem 1. Januar 2026 auf „neue Apple Accounts in Texas“ an, und Google auf Texas-Konten, die nach dem 28. Mai 2026 erstellt wurden. Ein in Kalifornien mit dem Geburtsdatum eines Minderjährigen eingerichtetes Konto wird als Konto eines kalifornischen Minderjährigen behandelt, ganz gleich, von wo aus sich das Handy verbindet.

Zwei Einschränkungen, denn die saubere Fassung oben verdeckt sie. Der Rückfallweg existiert, und bis der Attorney General die Verordnungen zu SB 976 schreibt, kann niemand sagen, was eine Plattform verlangen wird, die kein Signal erhält. Und jedes Modell in der obigen Tabelle, auch das kalifornische, hängt davon ab, dass die Angabe bei der Einrichtung der Wahrheit entspricht: Ein Gerät, das mit dem Geburtsdatum eines Erwachsenen konfiguriert wurde, trägt die Spanne eines Erwachsenen, und die Ausschussanalyse räumt ein, dass das bloße Abfragen eines Geburtsdatums zwar niemanden belastet, aber nichts verifiziert, was ein Minderjähriger nicht bereit ist, ehrlich zu beantworten. Kaliforniens Wette ist, dass die Person, die bei der Einrichtung das Datum eingibt, ein Elternteil ist und nicht das Kind.

Was kein Modell in der Tabelle tut, ist, den Nutzer zu bestrafen. Nichts in AB 1709 oder AB 1856 verhängt ein Bußgeld gegen eine Person für die Nutzung eines VPN, zu welchem Zweck auch immer. Das galt trotz der Schlagzeilen auch für Utahs Gesetz, und es gilt hier. Unser Leitfaden 2026 dazu, wo VPNs legal sind, behandelt die Handvoll Länder, in denen die Antwort anders ausfällt.

Was geschah im Vereinigten Königreich, in Australien und in Frankreich, als die Altersprüfungen kamen?

Kalifornien kommt spät. Die drei Rechtsordnungen, die vorangingen, haben jeweils einen anderen Aufbau getestet, und jede hat Zahlen geliefert.

Das Vereinigte Königreich wählte das Website-Modell. Ab dem 25. Juli 2025 verlangte der Online Safety Act von Seiten mit Erwachseneninhalten und anderen altersbeschränkten Inhalten eine „hochwirksame Altersprüfung“, also den Abgleich mit einem Lichtbildausweis, eine Altersschätzung per Gesichtserkennung oder Ähnliches, direkt auf der Seite. Der Nachfrage-Tracker von Top10VPN verzeichnete am 25. Juli eine VPN-Nachfrage im Vereinigten Königreich, die 1.327 % über dem vorherigen 28-Tage-Durchschnitt lag, am 26. Juli 1.712 % und am 27. Juli 1.987 % darüber. Ein Jahr später zählte Ofcoms erster gesetzlicher Bericht zur Altersprüfung, veröffentlicht Mitte Juli 2026, mehr als 69 Millionen Altersprüfungen in einer Stichprobe von 32 Diensten im zweiten Halbjahr 2025, eine 23-fache Steigerung gegenüber den sechs Monaten davor, und stellte fest, dass der Anteil der Kinder, die auf eine hochwirksame Prüfung stießen, zwischen Juli 2025 und Januar 2026 von 25 % auf 43 % gestiegen war. Die Prüfungen funktionieren; die Prüfungen treiben die Menschen auch zu VPNs. Beides ist wahr, und der VPN-Markt des Vereinigten Königreichs sieht seitdem anders aus.

Australien wählte eine Plattformpflicht ohne vorgeschriebene Methode. Sein Mindestalter von 16 Jahren trat am 10. Dezember 2025 in Kraft und verpflichtet Plattformen zu „angemessenen Schritten“, um unter 16-Jährige fernzuhalten, mit Bußgeldern bis zu 49,5 Millionen australischen Dollar und ohne Strafe für Kinder oder Eltern. Am 16. Januar 2026 berichtete eSafety, dass Plattformen bis Mitte Dezember den Zugang zu 4,7 Millionen Konten von unter 16-Jährigen entfernt hatten; Meta gibt an, allein bis zum 30. Juni 2026 den Zugang zu mehr als 750.000 Facebook- und Instagram-Konten entfernt zu haben. Top10VPN verzeichnete am 7. Dezember einen Nachfrageanstieg von 103 %. Newsoms Urteil über den australischen Ansatz lautete laut Los Angeles Times, junge Leute würden „alle einen Weg finden, dieses System auszutricksen“, was das Argument dafür ist, Funktionen statt Konten ins Visier zu nehmen.

Frankreich wählte ein Verbot für unter 15-Jährige, und sein höchstes Gericht kippte es. Am 14. August 2026 beanstandete der Conseil constitutionnel in seiner Entscheidung 2026-911 DC Artikel 1 des Gesetzes, das unter 15-Jährige ab dem 1. September von sozialen Netzwerken ausgeschlossen hätte. Das Verbot sei eine unverhältnismäßige Einschränkung der Meinungsfreiheit, befand das Gericht, und es verletze die Privatsphäre, weil das Gesetz „für sich genommen impliziert, dass jede Person, auch eine volljährige, ihr Alter nachweisen muss“, ohne dass der Gesetzgeber die Bedingungen und Grenzen dafür festgelegt habe. Die Regierung will den Text nun bis zum Frühjahr 2027 neu fassen. Frankreich hatte bereits erlebt, was seitenbasierte Prüfungen mit der VPN-Nachfrage machen: Top10VPN maß am 5. Juni 2025 eine Nachfrage 570 % über dem Normalwert, als die Altersprüfung auf Erwachsenenseiten eingeführt wurde. Die EFF verwies auf das französische Urteil in der Stellungnahme, die sie an dem Tag veröffentlichte, an dem Kalifornien das Gesetz unterzeichnete.

Das Muster gilt für alle drei. Der VPN-Ansturm folgt auf Gesetze, die die Website ein Dokument prüfen lassen. Kaliforniens Aufbau vermeidet das Dokument, was derselbe Einwand ist, den das französische Gericht erhob, und er vermeidet den Standort, was ein VPN in Utah überhaupt erst relevant macht. Ob damit auch der Ansturm ausbleibt, ist eine Frage für Januar 2027, nicht für September 2026.

Wann beginnt das alles?

• 10. September 2026: AB 1709 und AB 1856 unterzeichnet.
• 22. Oktober 2026: Utahs Nichtdurchsetzungsfrist gegenüber Aylo endet, sofern der Richter nicht vorher über die einstweilige Verfügung entscheidet.
• 1. Januar 2027: AB 1709 tritt in Kraft. Betriebssystemanbieter müssen nach dem Digital Age Assurance Act mit der Lieferung von Alterssignalen beginnen. Die Altersprüfungsbestimmung von SB 976 wird wirksam.
• 1. Juli 2027: Frist für eine Altersoberfläche auf Geräten, die vor 2027 eingerichtet wurden, und für Entwickler von Apps, die seit Januar 2026 aktualisiert wurden, Signale anzufordern.
• Frühjahr 2027: Das Ziel der französischen Regierung für ein neu gefasstes Gesetz für unter 15-Jährige.
• Gerichtstermine: noch keine. NetChoices Reaktion auf die Unterzeichnung, „der Staat kann Meinungsäußerung nicht einfach als süchtig machend bezeichnen und dann ein Recht beanspruchen, den Zugang dazu zu regulieren“, liest sich wie ein Klageentwurf. Der Ninth Circuit ließ im September 2025 den größten Teil von SB 976 bestehen; das texanische App-Store-Gesetz hielt bis zur Weigerung des Supreme Court, einzugreifen. Rechnen Sie mit Klagen, und rechnen Sie damit, dass die oben genannten Termine des Inkrafttretens ihr erstes Ziel sein werden.

Was das bedeutet, wenn Sie in Kalifornien ein VPN nutzen

Für einen Erwachsenen ändert sich nichts. Ihr Konto trägt die Spanne eines Erwachsenen; Apps werden sie ab Januar auslesen und Sie so behandeln wie heute. Ihr VPN tut weiterhin, wofür Sie es gekauft haben: Es hält Ihre IP-Adresse aus den Protokollen jeder Website heraus, verschlüsselt Ihren Datenverkehr in Hotel- und Flughafennetzwerken und lässt Sie auf Reisen Ihre heimischen Dienste erreichen. Wenn davon etwas neu für Sie ist, ist unser Leitfaden zur VPN-Nutzung in den Vereinigten Staaten der richtige Einstieg; die Tarife von Le VPN decken 10 Geräte gleichzeitig ab und kommen mit einer 30-tägigen Geld-zurück-Garantie.

Wenn Sie Eltern sind, ruht der Schutz des Gesetzes für Ihr Kind nun auf einer einzigen Eingabe: dem Geburtsdatum, das Sie eintippen, wenn Sie sein Handy einrichten. Geben Sie Ihr eigenes ein, und das Gerät wird jeder App mitteilen, dass es einem Erwachsenen gehört. Geben Sie das des Kindes ein, und die Altersspanne folgt dem Handy. Dieses eine Feld, nicht die Einstellungsseite irgendeiner App, ist der Ort, an dem Kaliforniens Regel beginnt. Es lohnt sich, vor Januar einen umfassenderen Blick darauf zu werfen, wie Kindergeräte eingerichtet werden.