Altersverifikation im Onlineshop: was sie wirklich schützt (und was nicht)

Was die Frage wirklich verlangt

Viele Shops, die Alkohol, Tabak, E-Liquids, Messer oder andere altersbeschränkte Produkte verkaufen, setzen gleich am Eingang eine Sperre: ein Vollbildfenster, in dem der Besucher bestätigen soll, dass er das erforderliche Alter hat, manchmal mit einer einfachen Ja/Nein-Schaltfläche, manchmal mit der Abfrage eines Geburtsdatums. Das beruhigt, den Händler wie den Besucher. Die ehrliche Frage, die man sich stellen sollte, bevor man sich darauf verlässt, ist einfach: Was prüft ein Klick auf „Ja, ich bin 18“ tatsächlich?

Die Antwort: nichts über die Person auf der anderen Seite des Bildschirms. Er prüft, dass ein Browser einen Klick gesendet hat. Jeder kann in jedem Alter auf „Ja“ klicken. Jeder kann ein Geburtsdatum eingeben, bei dem die Berechnung aufgeht. Hinter diesem Klick steht keine Identität, und eine Sperre, die vollständig auf der Clientseite, im Browser, gebaut ist, kann keine schaffen.

Wozu eine Sperre im Browser tatsächlich dient

Das heißt nicht, dass die Sperre nutzlos ist. Sie leistet einige durchaus reale Dinge:

• Sie verhindert versehentliche Konfrontation. Ein Besucher, der irrtümlich auf einer Produktseite landet, über ein Suchergebnis, einen geteilten Link oder einen Klick aus Neugier, sieht zuerst einen bewussten Halt statt gleich das Produkt. Das ist ein echter Schutzeffekt, wenn auch ein bescheidener, besonders bei einem Minderjährigen, der nicht gezielt versucht, irgendetwas zu umgehen.
• Sie ist ein dokumentierter Sorgfaltsschritt. Dass der Shop die Frage stellt, die Antwort bei Bedarf speichert und bei einem „Nein“ oder einem Geburtsdatum, das nicht zum geforderten Alter passt, blockiert oder warnt, belegt einen Prozess, und das zählt in manchen regulatorischen Zusammenhängen oder bei Marktplätzen, auch wenn die Kontrolle selbst schwach ist.
• Sie formuliert eine ausdrückliche Erwartung. Ein Käufer, der absichtlich lügt, um die Sperre zu passieren, tut hinsichtlich der Absicht etwas anderes als ein Käufer, dem die Frage nie gestellt wurde. Die Sperre hält diesen Käufer nicht auf, aber sie hält die Frage vor dem Verkauf fest.
• Gut gemacht, verdirbt sie nicht allen anderen das Erlebnis. Die Sperre kann die Antwort in einem Cookie speichern, damit ein wiederkehrender Besucher nicht immer wieder gefragt wird, und sie lässt sich auf einen genauen Bereich beschränken (nur die gekennzeichneten Produkte oder Kategorien oder nur Warenkorb und Checkout), statt den ganzen Shop für einen Besucher zu blockieren, der die betroffenen Produkte gar nicht ansieht.

Was sie nicht tut und nicht tun kann

• Sie prüft keine Identität. Kein Dokument, keine Prüfung durch Dritte, kein Abgleich mit irgendetwas. Es ist eine Erklärung des Nutzers, ohne jede Überprüfung dahinter.
• Sie lässt sich in wenigen Sekunden umgehen. Das Cookie löschen, ein privates Browserfenster öffnen oder einfach lügen: Alle drei umgehen die Sperre in wenigen Sekunden, und keines erfordert technische Kenntnisse.
• Sie genügt allein nicht, um eine gesetzliche Altersgrenze beim Verkauf einzuhalten. Wo das Gesetz eine echte Kontrolle verlangt, etwa eine Identitätsprüfung bei der Lieferung für bestimmte Produkte in bestimmten Rechtsordnungen, ersetzt ein Fenster im Browser diese Pflicht nicht. Es kommt allenfalls hinzu, es tritt nicht an ihre Stelle.

Ehrlich bei dieser Unterscheidung zu sein, ist keine Schwäche, die man verbergen müsste. Ein Händler, der einem Lieferanten, einem Marktplatz oder einem Compliance-Prüfer sagt „das ist eine Sorgfaltsmaßnahme auf der Ebene der Nutzererfahrung, keine starke gesetzliche Alterskontrolle“, gibt eine zutreffende Antwort, die einer Prüfung standhält. Ein Händler, der das Gegenteil andeutet, ist eine Frage von einem Problem entfernt, sobald jemand wirklich nachprüft, was die Sperre tut.

Was „gut gemacht“ technisch bedeutet

Hat man die Sperre als das akzeptiert, was sie ist, trennen einige Implementierungsdetails eine Sperre, die funktioniert, von einer, die unbemerkt scheitert oder die Leute grundlos verärgert:

• Sie auf das beschränken, was sie wirklich braucht. Die ganze Website zu sperren, weil drei Produkte einer Altersgrenze unterliegen, heißt, jedem Besucher dauerhaft eine Frage zu stellen, die fast keinen von ihnen betrifft. Nur die gekennzeichneten Produkte oder Kategorien zu sperren, oder den Warenkorb, wenn er ein gekennzeichnetes Produkt enthält, heißt, die Frage nur dann zu stellen, wenn sie relevant ist.
• Die Antwort speichern. Hat der Besucher einmal geantwortet, sollte ein Cookie diese Antwort für einen angemessenen Zeitraum aufbewahren, damit dieselbe Person nicht bei jedem Seitenaufruf gefragt wird. Ständiges Nachfragen gewöhnt die Leute daran, ohne Lesen zu klicken, was selbst den bescheidenen Schutzwert der Sperre aufhebt.
• Ein echtes modales Fenster daraus machen, keinen Vorschlag. Lässt sich die Sperre mit der Esc-Taste, durch einen Klick daneben oder durch Scrollen der Seite schließen, ist sie keine Sperre mehr. Eine korrekte Umsetzung hält den Fokus innerhalb des Dialogs und verlangt eine ausdrückliche Wahl.
• Sie barrierefrei machen. Ein blockierendes Fenster, das mit der Tastatur nicht bedienbar ist oder das ein Screenreader nicht als Dialog beschreiben kann, wird für Menschen mit Behinderungen zum Hindernis, ohne zur Altersfrage, für die es gebaut wurde, etwas beizutragen. Ein ARIA-konformes modales Fenster mit sichtbarem Fokus und einer Fehlermeldung in einem Live-Bereich kostet wenig und vermeidet diese Falle.
• Im Text selbst sagen, was sie ist. Ein kurzer Hinweis neben der Sperre, der klar angibt, dass es sich um eine Sorgfaltskontrolle und nicht um eine rechtlich bindende Altersprüfung handelt, kostet einen Satz und räumt jeden Zweifel daran aus, was der Händler behauptet.

Wo die echte Kontrolle liegen sollte, wenn Sie sie brauchen

Verlangt ein Produkt tatsächlich eine rechtlich bindende Alterskontrolle, gehört diese Kontrolle nicht in ein Browserfenster. Sie gehört in den Verkaufsprozess selbst: Prüfung bei der Lieferung, Identitätskontrolle durch einen zugelassenen Dritten oder alles, was die für dieses Produkt und diese Rechtsordnung geltende Regelung verlangt. Eine Sperre im Browser kann sich als erster, kostengünstiger Filter gegen versehentliche oder gelegentliche Konfrontation vor diesen Prozess stellen. Den Prozess ersetzen kann sie nicht.

Kurz gesagt

Eine Altersabfrage beantwortet eine Frage der Nutzererfahrung, keine rechtliche: Versteht dieser Besucher, dass er gleich Inhalte sehen wird, die einer Altersgrenze unterliegen, und erhält er einen bewussten Halt, bevor er sie sieht? Das ist etwas Reales und Nützliches, das man gut bauen sollte: barrierefrei, sauber abgegrenzt und in der eigenen Formulierung ehrlich darüber, was sie ist. Sie ist kein Ersatz für eine echte Alterskontrolle dort, wo das Gesetz eine verlangt, und kann es nicht sein. Wir bauen unsere eigene, die Altersverifikation für PrestaShop, mit genau dieser Unterscheidung direkt im Einstellungsbildschirm, denn sie klar auszusprechen nützt einem Händler mehr, als das Gegenteil zu behaupten.

Altersverifikation (18+ / konfigurierbar)Konfigurierbares Altersverifizierungs-Gate für Produkte mit Mindestalter: Targeting nach…Produkt ansehen