Google macht Zero-Knowledge-Proofs für datenschutzfreundliche Altersprüfungen Open Source

Google legt ein kryptographisches Grundelement, über das Datenschutz-Engineers seit einem Jahrzehnt streiten, in die Hände aller, die Altersfreigaben bauen: Die Technologie hinter Zero-Knowledge-Proofs (ZKP) wird als Open Source bereitgestellt, um den Datenschutz bei der Altersverifikation zu stärken. Das Konzept ist einfach zu formulieren, aber schwer umzusetzen – nachweisen, dass man ein bestimmtes Mindestalter überschritten hat, ohne Geburtsdatum, Ausweiskopie oder einen persistenten Identifier preiszugeben.

Was ein Zero-Knowledge-Proof hier tatsächlich leistet

Streicht man das Branding, bleibt ein präziser Mechanismus übrig. Ein Zero-Knowledge-Proof ermöglicht es einer Partei (dem Nutzer), eine andere (eine Website oder App) davon zu überzeugen, dass eine Aussage wahr ist – „Ich bin über 18“ –, ohne dabei irgendetwas anderes preiszugeben. Kein Geburtsdatum, keine Dokumentennummer, kein plattformübergreifender Identifier, den ein Datenhändler später verknüpfen könnte.

Genau darum geht es bei diesem Design. Herkömmliche Altersverifikation erzwingt einen Kompromiss: Um nachzuweisen, dass man alt genug ist, übergibt man Daten, die protokolliert, geleakt oder korreliert werden können. Ein auf ZKP basierender Ablauf umgeht diesen Kompromiss komplett, indem er ausschließlich die boolesche Antwort auf die gestellte Frage offenlegt.

Warum Google das jetzt macht

Der Zeitpunkt ist kein Zufall. Altersverifikationspflichten verschärfen sich in zahlreichen Rechtsräumen, und die Standardimplementierungen – Ausweis hochladen, Gesichtsscanner für das Alter – schaffen Honeypots sensibler Daten. Indem Google die Technologie als Open Source veröffentlicht, statt sie als geschlossenen Google-Dienst zu liefern, versucht das Unternehmen, sich selbst zur Referenzschicht zu machen, auf der Regulierer, Browser und App-Stores aufbauen.

Die Kontrolle über das Grundelement, das alle anderen übernehmen, ist eine stärkere Position als der Besitz eines einzelnen Verifikationsprodukts. Es ist dieselbe Taktik, die andere von Google initiierte Standards zum branchenweiten Standard gemacht hat.

Warum das für Gründer und VC aus Rumänien und Mittel- sowie Osteuropa wichtig ist

Das ist ein Signal, das sich aus Bukarest, Warschau oder Tallinn genau zu lesen lohnt. Altersverifikation unter dem DSA (Digital Services Act) und dem kommenden eIDAS 2.0-Wallet-Rahmenwerk wird zur Compliance-Pflicht, nicht mehr zum Nice-to-have – und Osteuropa verfügt über tiefes Know-how in angewandter Kryptographie, das historisch gesehen bereits im zk-Ökosystem Einzug gehalten hat.

Die zweite Lesart: Wenn ein Hyperscaler die Proof-Schicht als Open Source veröffentlicht, verlagert sich der verteidigbare Wert weiter oben in den Stack – hin zu Aussteller-Integrationen, Wallet-UX, Widerrufsfunktionen und rechtsraum-spezifischen Compliance-Tools. Gründer, die auf „Wir bauen unsere eigene ZK-Altersprüfung“ setzen, haben gerade ihre Burggräben verloren. Gründer, die das Bindegewebe zwischen eIDAS-Wallets, nationalen Identitätssystemen und dieser Proof-Schicht aufbauen, bekommen gerade Rückenwind. Für regionale VC klingt das Muster nach jedem anderen zur Ware gewordenen Grundelement: Das Geld liegt in Integration und Vertrauensinfrastruktur, nicht in der Kryptographie selbst.

Die Einschränkung ist real: Ein als Open Source verfügbares Proof-System ist nur so privat wie seine Implementierung. Metadaten, netzwerkseitige Identifier und die Beziehung zum Aussteller können weiterhin erhebliche Daten preisgeben. „Zero-Knowledge“ beschreibt den Proof selbst, nicht das gesamte System darum herum.

Wichtige Erkenntnisse

• Google stellt die Technologie hinter Zero-Knowledge-Proofs für die Altersverifikation als Open Source bereit, sodass Dienste ein Mindestalter prüfen können, ohne Identitätsdaten zu sammeln – eine direkte Antwort auf durch Regulierung getriebene Daten-Honeypots.
• Die Veröffentlichung des Grundelements als Open Source ist ein Standardschachzug: Ziel ist es, Googles Ansatz zur Referenzschicht zu machen und den verteidigbaren Wert in Richtung Integrationen und Wallet-UX zu verlagern.
• Für Gründer und VC in Mittel- und Osteuropa liegt die Chance im Bindegewebe zu eIDAS 2.0-Wallets und nationalen Identitätssystemen – nicht in der Kryptographie selbst, die sich rasant zur Ware entwickelt.