Utahs VPN-Gesetz ist heute nicht in Kraft getreten: Was SB 73 wirklich für VPN-Nutzer bedeutet

Wer in dieser Woche die Technikpresse gelesen hat, sah irgendeine Variante derselben Schlagzeile: Das erste US-Gesetz, das auf VPN-Nutzung zielt, tritt am 3. September in Kraft. Das ist das Datum, das Gizmodo am 31. August in seine Schlagzeile setzte, und es ist das Datum, das sich über das Wochenende in Foren und sozialen Feeds verbreitete. Es ist außerdem falsch, und zwar in zwei Richtungen zugleich.

Utahs Senate Bill 73 ist seit dem 6. Mai 2026 in Kraft. Seine VPN-Bestimmung ist seit vier Monaten geltendes Recht. Was am 3. September enden sollte, war nicht die Ruhephase des Gesetzes, sondern ein Waffenstillstand vor Gericht: das Versprechen Utahs, die VPN-Klausel nicht gegen ein einzelnes Unternehmen durchzusetzen, nämlich Aylo, den Betreiber von Pornhub, solange ein Bundesrichter die Klage des Unternehmens prüft. Und dieser Waffenstillstand wurde am 27. August verlängert, eine Woche bevor die Schlagzeilen erschienen. Für niemanden in Utah mit einer VPN-App auf dem Handy hat sich heute etwas geändert.

Hier ist, was das Gesetz sagt, wen es bindet, wo das Verfahren steht und was all das für eine Person bedeutet, die ein VPN nutzt.

Ist Utahs VPN-Gesetz am 3. September in Kraft getreten?

Nein. Die Verwirrung entsteht aus der Vermischung zweier Dokumente.

Das erste ist das Gesetz selbst. SB 73, die Online Age Verification Amendments, wurde von Senator Calvin Musselman und dem Abgeordneten Steve Eliason eingebracht und am 19. März 2026 von Gouverneur Spencer Cox unterzeichnet. Abschnitt 22 des verabschiedeten Gesetzestextes legt das Datum des Inkrafttretens fest: den 6. Mai 2026, wobei eine Handvoll Steuerbestimmungen am 1. Oktober folgt. Die VPN-Formulierung steht in Abschnitt 14, der Utah Code 78B-3-1002 ändert, und sie trägt wie alles andere das Datum 6. Mai.

Das zweite Dokument ist eine gemeinsame Vereinbarung (joint stipulation), die am 27. April 2026 vor einem Bundesgericht eingereicht wurde, fünf Tage nach Aylos Klage. Darin verpflichteten sich die Utah Division of Consumer Protection und das Utah Department of Commerce, von der Durchsetzung der „Deemed-Location Provision“ gegen Aylo und seine verbundenen Unternehmen abzusehen, „bis zum 3. September 2026, also 120 Tage nach dem Zeitpunkt, zu dem die Bestimmung andernfalls in Kraft treten sollte“. Aylo seinerseits verpflichtete sich, sein derzeitiges Geofencing in Utah nicht zu ändern, sodass Pornhub und seine Schwesterseiten für IP-Adressen aus Utah gesperrt bleiben, wie sie es seit 2023 sind.

Daher stammt das Datum 3. September. Es war nie ein Datum des Inkrafttretens. Es war das Auslaufen eines Nichtdurchsetzungsversprechens gegenüber einer einzigen Prozesspartei. Und laut Gerichtsakte reichten die Parteien am 27. August eine weitere „Joint Stipulation for Extension of Non-Enforcement“ ein, die das Gericht am folgenden Tag zur Kenntnis nahm. Wie XBIZ am 28. August berichtete, läuft die Verlängerung bis zum 22. Oktober 2026 oder bis das Gericht über Aylos Antrag auf eine einstweilige Verfügung entscheidet, je nachdem, was zuerst eintritt. Die Vereinbarung begründet die zusätzliche Zeit mit einem Regelungsverfahren in Utah: „Diese Phase fortgesetzter Nachsicht erlaubt es den Klägern, an diesem Regelungsverfahren teilzunehmen, ohne in der Zwischenzeit einer Haftung ausgesetzt zu sein.“

Der zutreffende Satz ist also länger, als eine Schlagzeile zulässt. Die VPN-Klausel ist Gesetz, und zwar seit Mai. Utah hat versprochen, sie bis Ende Oktober nicht gegen Aylo einzusetzen. Für jede andere erfasste Website gilt die Klausel technisch seit dem 6. Mai, wobei wir keinen öffentlichen Beleg dafür gefunden haben, dass die Division wegen VPN-Verkehr ein Durchsetzungsverfahren gegen irgendeine Seite eröffnet hätte.

Was verlangt SB 73 tatsächlich, und von wem?

Utah verlangt seit 2023 eine Altersprüfung auf Erwachsenenseiten. SB 73 baut dieses System um: Es ergänzt die bestehende private Klagemöglichkeit um eine behördliche Durchsetzung durch die Division of Consumer Protection, fügt Bußgelder hinzu, schafft eine Verbrauchsteuer für erfasste Seiten und ergänzt zwei Absätze über VPNs. Diese beiden Absätze lauten im verabschiedeten Text wie folgt.

Die Regel zum angenommenen Standort, neuer Unterabschnitt (3) von 78B-3-1002: „Eine Person gilt als von diesem Bundesstaat aus auf die Website zugreifend, wenn sie sich tatsächlich in dem Bundesstaat befindet, unabhängig davon, ob sie ein virtuelles privates Netzwerk, einen Proxy-Server oder andere Mittel nutzt, um ihren geografischen Standort zu verschleiern oder falsch darzustellen, sodass es den Anschein hat, sie greife von einem Ort außerhalb dieses Bundesstaates auf eine Website zu.“

Das Beihilfeverbot, neuer Unterabschnitt (4): Eine erfasste Seite „darf die Nutzung eines virtuellen privaten Netzwerks, eines Proxy-Servers oder anderer Mittel zur Umgehung der Altersprüfungspflichten weder erleichtern noch dazu ermutigen“, auch nicht durch „Anleitungen zur Nutzung eines virtuellen privaten Netzwerks oder Proxy-Servers für den Zugriff auf die Website“ oder „Mittel, mit denen Personen in diesem Bundesstaat Geofencing oder Sperren umgehen können“.

Beide Regeln richten sich an ein „kommerzielles Unternehmen, das eine Website betreibt, die einen wesentlichen Anteil an für Minderjährige schädlichem Material enthält“. Der wesentliche Anteil hat eine Zahl: mehr als 33 1/3 Prozent des gesamten Materials auf der Seite. Bei einer Seite, die sich selbst vorrangig als Erwachsenenangebot präsentiert oder eine entsprechende Domain nutzt, wird vermutet, dass sie diese Grenze überschreitet.

Die Strafen zielen auf dieselbe Einheit. Nach dem neuen Abschnitt 78B-3-1004 kann der Direktor der Division ein Verwaltungsbußgeld von bis zu 2.500 US-Dollar für jeden Verstoß verhängen, und ein Gericht kann eine zivilrechtliche Strafe von bis zu 2.500 US-Dollar pro Verstoß, Gewinnabschöpfung, Unterlassungsverfügungen und Schadensersatz hinzufügen, plus bis zu 5.000 US-Dollar pro Verstoß für die Missachtung einer Anordnung. Abschnitt 78B-3-1002(6) nimmt Internetanbieter, Suchmaschinen und Cloud-Anbieter aus, die lediglich Datenverkehr transportieren, und Unterabschnitt (5) nimmt echte Nachrichten- und Gemeinwohlinhalte aus.

Beachten Sie, was fehlt. Es gibt keine Definition von „VPN-Nutzer“, keine Pflicht für einen VPN-Anbieter und kein Bußgeld, keinen Straftatbestand und keine zivilrechtliche Haftung für eine Einzelperson, die sich über ein VPN verbindet. Die zitierfähige Fassung: Utahs SB 73 reguliert keine VPN-Nutzer; es reguliert Websites, indem es erklärt, dass ein Besucher, der sich physisch in Utah befindet, als Utah-Besucher zählt, ganz gleich, welche IP-Adresse die Seite sieht.

Ist es jetzt illegal, in Utah ein VPN zu nutzen?

Nein, und am 6. Mai war es das auch nicht. Jede operative Klausel von SB 73 benennt ein kommerzielles Unternehmen als verpflichtete Partei. Ein Einwohner von Salt Lake City, der ein VPN einschaltet, um Hotel-WLAN zu nutzen, ein Firmennetzwerk zu erreichen, seinen Internetanbieter daran zu hindern, sein Surfverhalten zu profilieren, oder unterwegs ein heimisches Abo zu schauen, hat nichts getan, was das Gesetz anspricht.

Was das Gesetz ändert, ist das Risiko der Website. Vor SB 73 konnte eine erfasste Seite argumentieren, ein Besucher mit niederländischer oder kanadischer IP-Adresse befinde sich für ihre Zwecke in den Niederlanden oder in Kanada. Jetzt sagt Utah, die Seite haftet, wenn dieser Besucher tatsächlich in Utah war. Ob die Seite das wissen kann, ist die nächste Frage, und sie ist der ganze Fall.

Wie soll eine Website wissen, dass Sie in Utah sind, wenn Sie ein VPN nutzen?

Sie kann es weitgehend nicht, weshalb die Kritik an SB 73 aus sehr unterschiedlichen Ecken kommt.

Die Electronic Frontier Foundation nannte das Blockieren von VPN-Adressen „ein technisches Hase-und-Igel-Spiel, das wahrscheinlich kein Unternehmen gewinnen kann“ und wies darauf hin, dass VPN-Anbieter ständig Adressen hinzufügen und keine vollständige Sperrliste existiert. Lia Holland von Fight for the Future, im Mai von KUER zitiert, formulierte es deutlicher: Festzustellen, von wo ein Nutzer eines seriösen VPN surft, sei „buchstäblich unmöglich, und zwar absichtlich“. NordVPN, von Gizmodo befragt, bezeichnete das Gesetz als „Haftungsfalle“, in der „Plattformen ein echtes finanzielles Risiko tragen, wenn sie an einer technischen Aufgabe scheitern, die derzeit niemand zuverlässig zu lösen weiß“.

Die technischen Gründe sind nicht umstritten. IP-Geolokalisierung ist eine kommerzielle Schlussfolgerung aus Routing-Daten und Registrierungseinträgen, keine Messung, wo ein Gerät steht, und sie liegt selbst bei gewöhnlichen Verbindungen auf Bundesstaatsebene regelmäßig daneben. Die Erkennung von VPNs und Proxys stützt sich auf Listen bekannter Ausgangsadressen, die der Realität hinterherhinken. Und dieselben Signale, die ein Verbraucher-VPN markieren, markieren auch Firmennetzwerke, Universitätsnetzwerke, Mobilfunkanbieter, die Datenverkehr über Gateways außerhalb des Bundesstaates leiten, und Datenschutzfunktionen, die in gängige Browser eingebaut sind. Eine Seite, die alles blockiert, was wie ein VPN aussieht, blockiert einen großen Teil legitimer Besucher, in Utah und überall sonst.

Das ist Aylos Argument in einem Satz: Der einzige Weg, sich der Einhaltung in Utah sicher zu sein, besteht darin, das Alter aller Besucher überall zu prüfen, was nach Angaben des Unternehmens gegenüber dem Gericht bis zu 80 Prozent seiner Kunden vertreiben würde, oder jeden zu blockieren, der sich möglicherweise in Utah befinden könnte. Die Antwort von Senator Musselman, zitiert von KUER, lautet, dass es bei „SB 73 um Verantwortlichkeit“ gehe und dass Seiten das Alter prüfen oder den Standort bestätigen könnten, „während die Verschlüsselungsoptionen für Nutzer erhalten bleiben“.

Utahs eigene Antwort kommt über ein Regelungsverfahren. SB 73 ermächtigt die Division, per Verordnung Standards für die Altersprüfung festzulegen, mit einem Safe Harbor für Seiten, die sie erfüllen. Die vorgeschlagene Regel der Division, R152-78B, steht bis zum 1. Oktober zur öffentlichen Stellungnahme offen und soll voraussichtlich am 8. Oktober in Kraft treten, und laut XBIZ enthält sie Standards zur „Verschleierung der Geolokalisierung“. Was diese Standards von einer Seite verlangen, wird darüber entscheiden, ob die Klausel zum angenommenen Standort ein erreichbares Compliance-Ziel ist oder ein unmögliches.

Worum geht es in Aylos Klage, und wann entscheidet der Richter?

Aylo Freesites und Aylo Group reichten am 22. April 2026 beim US District Court for the District of Utah Klage ein, Aktenzeichen 2:26-cv-00340, gegen die Division of Consumer Protection, deren Direktorin Katie Hass, das Department of Commerce und dessen Exekutivdirektorin Margaret Busse. Der Fall liegt bei Richter David Barlow. Die Klage richtet sich gezielt gegen die Bestimmung zum angenommenen Standort und argumentiert laut Deseret News, die Klausel „verwandle eine nominell auf Utah beschränkte Regelung in ein De-facto-Mandat mit globaler Reichweite“, unter Verstoß gegen die verfassungsrechtlichen Grenzen staatlicher Regulierung des zwischenstaatlichen und internationalen Handels.

Aylo ficht die Altersprüfung als solche nicht an. Der Supreme Court hat diese Frage im Juni 2025 in Free Speech Coalition v. Paxton entschieden und das texanische Altersprüfungsgesetz bestätigt. Aylos Anspruch ist enger gefasst: Ein Bundesstaat darf Alterskontrollen für seine Einwohner verlangen, aber er kann ein ausländisches Unternehmen nicht für Besucher haftbar machen, die es auf keine zuverlässige Weise innerhalb des Bundesstaates verorten kann.

Der bisherige Zeitverlauf laut Gerichtsakte und den Schriftsätzen der Parteien:

Es gibt keinen angekündigten Termin für die Entscheidung über die einstweilige Verfügung. Das Protokoll der Anhörung vom 30. Juli wurde am 27. August eingereicht, und die Parteien begründeten die Verlängerung damit, die Regel in Kraft treten zu lassen, bevor das Verfahren weitergeht. Rechnen Sie mit den nächsten echten Neuigkeiten im Oktober, nicht im September.

Welche anderen Bundesstaaten kopieren Utahs Ansatz?

Die Altersprüfung für Erwachsenenseiten ist in den USA inzwischen die Norm. Die Age Verification Providers Association zählte im Februar 2026 mindestens 25 Bundesstaaten, die solche Gesetze verabschiedet hatten, und über den Sommer aktualisierte Übersichten setzen die Zahl noch höher an. Utah war der zweite Bundesstaat, mit einem Gesetz, das am 3. Mai 2023 in Kraft trat und Pornhub veranlasste, den gesamten Bundesstaat zwei Tage zuvor zu sperren. Google Trends zeigte, dass VPN-Suchanfragen in Utah in den frühen Morgenstunden des 2. Mai 2023 auf den Höchstwert der Beliebtheit schnellten, wie Newsweek damals berichtete. Diese Episode erklärt mehr als alles andere, warum der Gesetzentwurf von 2026 VPNs überhaupt erwähnt.

Die VPN-Klausel zu kopieren ist eine andere Sache. Abgeordnete in Michigan schlugen 2025 vor, mit einem Gesetzentwurf viel weiter zu gehen, der Internetanbieter verpflichtet hätte, VPN-Verkehr komplett zu blockieren; er blieb im Ausschuss stecken. Wisconsins Altersprüfungsgesetz enthielt ursprünglich VPN-Formulierungen, die im Februar 2026 gestrichen wurden, bevor der Gouverneur das Gesetz im April mit seinem Veto stoppte. Aylos Klageschrift hält fest, dass zuvor kein Bundesstaat eine Klausel zum angenommenen Standort erlassen hatte, und wir haben kein anderes verabschiedetes US-Gesetz gefunden, das VPNs beim Namen nennt. Die Parlamente, die den Fall Berichten zufolge beobachten, warten ab, ob die Klausel zum angenommenen Standort den Antrag auf einstweilige Verfügung übersteht, bevor sie eigene Entwürfe verfassen. In diesem Sinne ist Utah ein Testfall: Das Ergebnis vor dem Gericht von Richter Barlow wird in zwei Dutzend anderen Hauptstädten gelesen werden.

Was sollte jemand in Utah wegen seines VPN tun?

Nichts, in dem Sinne, dass keine Pflicht auf Sie zugekommen ist und keine vorgeschlagen wird. Ein paar praktische Hinweise dennoch, denn die Folgewirkungen solcher Gesetze spüren gewöhnliche Nutzer, nicht die Seiten, auf die sie zielen.

1. Lassen Sie das VPN für das an, wofür es da ist. Verschlüsselung in öffentlichen WLANs, eine stabile IP für Banking- und Arbeits-Logins und eine Barriere zwischen Ihrem Surfverhalten und Ihrem Internetanbieter bleiben allesamt unberührt. Wenn Sie einen nahegelegenen Ausgangspunkt möchten: Le VPN betreibt neben seinen anderen US-Standorten einen Server in Salt Lake City, sodass eine Verbindung aus Utah in Utah bleiben kann.
2. Rechnen Sie damit, dass mehr Seiten VPN-Verkehr anzweifeln, überall. Die rationale Reaktion auf eine Haftungsregel ohne zuverlässige Erkennung ist Überblockierung. Wenn eine Seite, die nichts mit Utah zu tun hat, plötzlich Ihre VPN-Verbindung ablehnt, ist das der sich ausbreitende Compliance-Reflex und kein Zeichen, dass Ihr VPN etwas falsch macht. Ein Serverwechsel reicht in der Regel aus.
3. Betrachten Sie das Gesetz nicht als Rätsel, das es zu lösen gilt. SB 73 verbietet erfassten Seiten, Besuchern beizubringen, wie sie Alterskontrollen umgehen, und dieser Artikel wird das nicht an ihrer Stelle tun. Die Altersprüfung für Erwachseneninhalte ist verfassungskonform und wird bleiben; die offene Frage in Utah ist nur, wer die Last trägt, wenn die Werkzeuge nicht erkennen können, wo sich eine Person befindet.
4. Behalten Sie den Oktober im Blick, nicht den September. Die Frist für Stellungnahmen zur Regel ist der 1. Oktober, die Regel kann am 8. Oktober in Kraft treten, und der Durchsetzungsstillstand mit Aylo endet am 22. Oktober, sofern das Gericht nicht vorher entscheidet. Jedes dieser Ereignisse könnte das praktische Bild verändern, und keines davon ist in dieser Woche eingetreten.

Wenn Sie die größere Landkarte suchen, wo VPNs eingeschränkt und wo sie lediglich reguliert sind, deckt unser Länderleitfaden zur Legalität von VPNs 2026 das ab, und unsere Seite zu den Vereinigten Staaten listet die US-Serverstandorte auf. Als europäische Parallele: Frankreichs Regulierungsbehörde hat im vergangenen Jahr einen sehr ähnlichen Kampf um Alterskontrollen auf Erwachsenenseiten ausgetragen; wir haben beschrieben, wie das ausging, einschließlich derselben Überblockierungsdynamik, die Utah jetzt importiert.

Die Kurzfassung für alle, die Ihnen die Schlagzeile schicken: Utahs VPN-Gesetz ist real, es ist seit Mai in Kraft, es reguliert Websites und nicht Personen, und das nächste Datum, das zählt, ist der 22. Oktober.