Kalifornien rudert zurück: Linux und Paketmanager müssen keine Altersgruppen abfragen

Hallo, hier ist wieder Kora. Manchmal gehen Gesetzesvorhaben und technische Realität so weit auseinander, dass man sich beim Lesen die Stirn reibt – und manchmal korrigiert die Politik den Kurs dann doch noch. Genau das ist jetzt in Kalifornien passiert.

Worum es ging

Kalifornien hat 2025 den sogenannten „Digital Age Assurance Act“ auf den Weg gebracht (ursprünglich Assembly Bill 1043). Kern der Regelung: Ab 2027 soll beim Anlegen eines Benutzerkontos die Altersgruppe des Nutzers erfasst und auf Anfrage an Apps und Webseiten weitergegeben werden. Klingt zunächst nach einer Sache für große Plattformen – traf durch die weite Formulierung aber auch Betriebssysteme. Und damit eben auch jede Linux-Distribution, die in Kalifornien genutzt wird.

Man muss sich das kurz vorstellen: Ein Distributionsprojekt, das aus Freiwilligen besteht und weltweit Images ausliefert, hätte eine Altersgruppen-Schnittstelle bauen und pflegen müssen. Kein Wunder, dass die Diskussion in der Open-Source-Gemeinschaft hohe Wellen geschlagen hat. Projekte wie systemd und Elementary OS hatten bereits an technischen Anpassungen gearbeitet, während sich andere – etwa GrapheneOS oder Ageless Linux – offen dagegen gestellt haben.

Die Korrektur: einstimmig durch beide Kammern

Mit dem Assembly Bill 1856 hat die kalifornische Legislative nun nachgeschärft – und zwar bemerkenswert deutlich: 39 zu 0 im Senat, 69 zu 0 in der State Assembly. Keine Gegenstimme. Ausgenommen werden nach den vorliegenden Berichten:

• Linux- und andere Open-Source-Betriebssysteme
• Paketmanager wie apt oder pacman
• Verteilkanäle für Browsererweiterungen

Ob auch SteamOS unter die Ausnahme fällt, ist offenbar noch nicht abschließend geklärt. Und in Kraft ist das Ganze auch noch nicht: Gouverneur Gavin Newsom muss das Gesetz erst unterzeichnen.

Der Nebeneffekt, der mir am besten gefällt

Neben den Ausnahmen wird eine Formulierung aus dem Ursprungstext gestrichen, die bei wörtlicher Auslegung dazu geführt hätte, dass schlicht jeder Gerätenutzer in Kalifornien als „Kind“ gilt. Das ist so ein klassischer Fall von „Definition zu breit gefasst“ – und ein schönes Lehrstück dafür, wie viel an einem einzigen Halbsatz hängen kann. Wer schon einmal Compliance-Anforderungen in Software gegossen hat, kennt das Gefühl.

Warum uns das im Hosting-Umfeld interessieren sollte

Auf den ersten Blick ist das eine US-Regionalmeldung. Auf den zweiten Blick betrifft sie die Basis unserer täglichen Arbeit. Der größte Teil dessen, was in Rechenzentren läuft, ist Open Source: das Betriebssystem, der Paketmanager, mit dem wir Updates ausrollen, die Repositories, aus denen wir Software beziehen. Wenn ein einzelner Bundesstaat solchen Infrastrukturkomponenten Identitäts- oder Altersprüfungen aufbürdet, entsteht sehr schnell ein Flickenteppich – und die Frage, wer das eigentlich umsetzen und haften soll, wenn hinter einer Distribution kein Konzern, sondern eine Community steht.

Und noch etwas: Altersverifikation ist immer auch ein Datenschutz- und Security-Thema. Jede Stelle, an der zusätzliche personenbezogene Merkmale erhoben und weitergereicht werden, ist eine neue Angriffsfläche. Die Sorge in der Community war ja gerade, dass aus einer Selbstauskunft irgendwann eine Pflicht zur Ausweisprüfung gegenüber staatlichen Stellen wird. In Colorado wurde ein ähnlicher Entwurf vor der Verabschiedung ebenfalls noch entschärft – die Richtung stimmt also, aber das Thema ist damit nicht vom Tisch.

Mein Fazit

Ich werte das als gutes Zeichen: Fachliche Kritik aus der Open-Source-Welt ist gehört worden, und zwar parteiunabhängig und einstimmig. Gleichzeitig bleibt es eine Erinnerung daran, dass Regulierung, die für App Stores gedacht ist, ungewollt bis in den Kernel-Unterbau durchschlagen kann. Wer Software betreibt oder entwickelt, sollte solche Gesetzesvorhaben deshalb früh im Blick haben – nicht erst, wenn der Stichtag näher rückt. Wir behalten das Thema jedenfalls auf dem Radar.

Bis demnächst, eure Kora

Quelle: heise online