Linux und die Altersverifizierung in Kalifornien werden für die meisten Open-Source-Software-Distributionen endlich kein Problem mehr darstellen. Das kalifornische Parlament hat eine Änderung verabschiedet, die Betriebssysteme, die unter Lizenzen vertrieben werden, welche das Kopieren, Weiterverbreiten und Modifizieren der Software erlauben, von den Verpflichtungen des umstrittenen Gesetzes zur Altersverifizierung befreit.
Die Entscheidung bringt erhebliche Erleichterung für Projekte wie Debian, Ubuntu, Fedora, Arch Linux und andere Open-Source-Systeme, die bisher von Regulierungen betroffen gewesen wären, die primär für große Technologieplattformen konzipiert wurden. Das ursprüngliche Gesetz hätte Betriebssystemanbieter verpflichtet, Informationen zum Alter der Nutzer zu erfassen und Anwendungen ein Signal zur Altersverifizierung zu senden – eine besonders problematische Anforderung für dezentrale Projekte, die von Gemeinschaften oder Freiwilligen betreut werden.
Kalifornien genehmigt eine Ausnahmeregelung für Linux und freie Software
Die Änderung geht auf Gesetzesentwurf AB 1856 zurück , der den Begriff des Betriebssystemanbieters im Rahmen des Digital Age Assurance Act neu definiert. Die neue Formulierung schließt Einzelpersonen und Organisationen aus, die ein Betriebssystem unter Lizenzbedingungen vertreiben, die es dem Empfänger erlauben, die Software zu kopieren, weiterzuverbreiten oder zu verändern.
In der Praxis schützt dies einen Großteil des Linux-Ökosystems und freier Software. Distributionen wie Debian, Fedora, Ubuntu und Arch Linux wären von dieser Verpflichtung ausgenommen, ebenso wie verschiedene BSD-Systeme, die unter Lizenzen vertrieben werden, welche die Anforderungen der neuen Formulierung erfüllen.
Die Maßnahme stellt eine bedeutende Änderung gegenüber der durch das ursprüngliche Gesetz geschaffenen Situation dar. Als Kalifornien den Digital Age Assurance Act verabschiedete, kamen umgehend Fragen auf, wie Open-Source-Projekte eine Verpflichtung erfüllen könnten, die für Unternehmen mit zentralisierten Benutzerkonten und einer dahinterstehenden kommerziellen Infrastruktur konzipiert wurde.
Das ursprüngliche Gesetz könnte die Erfassung des Alters des Nutzers vorschreiben.
Der Digital Age Assurance Act (ehemals AB 1043) etabliert ein System zur Alterserkennung, mit dem Apps und Dienste die Altersspanne ihrer Nutzer ermitteln können. Das Gesetz überträgt einen Großteil dieser Verantwortung den Anbietern von Betriebssystemen und App-Stores.
Das System erfordert die Erfassung von Altersangaben bei der Ersteinrichtung des Geräts und die Bereitstellung eines Signals entsprechend einer der festgelegten Altersgruppen auf Anfrage einer Anwendung. Das Gesetz soll am 1. Januar 2027 in Kraft treten.
Für Unternehmen wie Apple, Microsoft oder Google kann dieses Modell auf ihren Konten, App-Stores und ihrer zentralisierten Infrastruktur basieren. Die Anwendung derselben Anforderung auf ein Projekt wie Debian oder Arch Linux warf jedoch völlig andere Probleme auf.
Das Hauptproblem war die dezentrale Natur von Linux.
Viele Linux-Distributionen funktionieren nicht wie herkömmliche kommerzielle Produkte. Es gibt nicht unbedingt ein Unternehmen, das jede Installation kontrolliert, ein obligatorisches Benutzerkonto für jeden Benutzer oder eine zentrale Infrastruktur, die das Alter derjenigen überprüfen kann, die das System herunterladen und installieren.
Dies erschwerte es besonders, die Verantwortlichkeiten für die Erfüllung rechtlicher Verpflichtungen zu ermitteln. In manchen Projekten wird die Software von internationalen Freiwilligengemeinschaften entwickelt und verbreitet, während die Bilder von Dritten kopiert, verändert und weiterverbreitet werden können.
Die Idee, solche Projekte zur Entwicklung eines Altersverifizierungssystems zu verpflichten, löste in der Open-Source-Community erhebliche Bedenken aus. Das Problem war nicht nur technischer, sondern auch wirtschaftlicher und rechtlicher Natur: Der Betrieb eines solchen Systems kann Infrastruktur, die Verarbeitung personenbezogener Daten und Ressourcen erfordern, über die viele Community-Projekte schlichtweg nicht verfügen.
Die Ausnahme schützt Lizenzen, die das Kopieren und Verändern erlauben.
Der genehmigte Text legt die Softwareverteilungsbedingungen als grundlegendes Element fest. Wenn die Lizenz das Kopieren, Weiterverbreiten und Modifizieren des Systems erlaubt, fällt der Vertriebspartner nicht unter die entsprechende Definition in den Vorschriften.
Dies umfasst die wesentlichen Merkmale vieler der am weitesten verbreiteten Lizenzen für freie und Open-Source-Software. Die Änderung kommt somit nicht nur einer bestimmten Distribution zugute, sondern einem gesamten Entwicklungsmodell, das auf der Möglichkeit basiert, Software zu studieren, zu modifizieren und weiterzuverbreiten.
Die Entscheidung verhindert, dass Projekte zentralisierte Datenerfassungssysteme allein aufgrund kalifornischer Gesetze implementieren müssen. Sie verringert zudem die Wahrscheinlichkeit, dass ein Gesetz zum Schutz von Minderjährigen Entwickler unverhältnismäßig belastet, die keine direkte Geschäftsbeziehung zu jedem einzelnen Nutzer haben.
Die Situation bezüglich Abhängigkeiten und Erweiterungen wird ebenfalls geklärt.
Die genehmigte Änderung beschränkt sich nicht auf Betriebssysteme. Der neue Text klärt auch verschiedene Aspekte im Zusammenhang mit der Verteilung von Softwarekomponenten.
Bibliotheken und Abhängigkeiten, die über Paketmanager wie APT oder Pacman verteilt werden, fallen nicht mehr unter die Definition von Anwendungen, die als eigenständige ausführbare Dateien über einen unter die Bestimmungen fallenden Store angeboten werden.
Dies ist insbesondere für Linux relevant, wo ein Großteil der Software genau über Repositories und Paketmanager verbreitet wird. Ohne diese Klarstellung könnte jede einzelne Komponente zu einer neuen Quelle von Zweifeln hinsichtlich der rechtlichen Verpflichtungen ihrer Entwickler werden.
Auch Stores, die Erweiterungen vertreiben, die innerhalb einer Host-Anwendung ausgeführt werden sollen, fallen nicht unter bestimmte rechtliche Verpflichtungen.
Das Gesetz behebt auch andere Probleme des ursprünglichen Gesetzes.
Die kalifornische Gesetzesänderung enthält weitere Anpassungen, die einige in der ursprünglichen Fassung identifizierte Probleme beheben sollen. Eine dieser Änderungen betrifft die Streichung einer Benutzerdefinition, die zu besonders problematischen Auslegungen hinsichtlich der Frage führen könnte, wer im System als minderjährig gilt.
Das Gesetz sieht auch Schutzmaßnahmen für Plattformen und Entwickler vor, die in gutem Glauben handeln, wenn eine Altersangabe fehlerhaft ist. Solche Bestimmungen sind wichtig, da Systeme zur Altersverifizierung und -schätzung nicht fehlerfrei sind.
Darüber hinaus schränkt die neue Formulierung die Möglichkeit ein, von einem Betriebssystemanbieter oder App-Store ein Signal zur Altersverifizierung anzufordern, sofern dies nicht ausdrücklich gesetzlich vorgeschrieben ist. Ziel ist es, zu verhindern, dass dieser Mechanismus als zusätzlicher Kanal zur Erfassung von Nutzerdaten für andere Zwecke missbraucht wird.
SteamOS könnte sich noch in einer Grauzone befinden.
Die neue Ausnahmeregelung beseitigt viele Zweifel an traditionellen Linux-Distributionen, doch einige Fälle sind weiterhin ungeklärt. Einer der interessantesten ist SteamOS.
Valves System basiert auf Open-Source-Komponenten und nutzt eine mit Arch Linux verwandte Grundlage, wird aber zusammen mit proprietärer Software vertrieben und ist eng mit Steam, einer kommerziellen Plattform mit zentralisierter Infrastruktur, verbunden.
Aus diesem Grund könnte ein rechtlicher Unterschied zwischen einer vollständig offenen Distribution und einem Linux-basierten Produkt bestehen, das freie Komponenten mit proprietären Diensten und Software kombiniert. Die endgültige Anwendung der Ausnahmeregelung auf diese Systeme könnte davon abhängen, wie die Behörden das jeweilige Distributionsmodell auslegen.
Auch Hybridvertriebe können Fragen aufwerfen
Ein weiterer potenzieller Unsicherheitsfaktor betrifft Systeme, die freie Software mit proprietären Komponenten kombinieren. Viele Distributionen enthalten Firmware, Treiber oder Softwarepakete, die nicht unter denselben Bedingungen wie der Rest des Systems verteilt werden.
Die neue Gesetzgebung schützt eindeutig diejenigen, die Software unter Lizenzen vertreiben, die das Kopieren, Weiterverbreiten und Verändern erlauben. Die Situation kann jedoch komplexer werden, wenn ein Installationsabbild Elemente mit unterschiedlichen Lizenzbedingungen enthält.
Dies bedeutet nicht zwangsläufig, dass alle hybriden Vertriebsformen dem Gesetz unterliegen. In solchen Fällen kann jedoch eine spezifische Auslegung erforderlich sein, die sich nach der genauen Art des Produktvertriebs und der Frage richtet, welches Unternehmen rechtlich als Lieferant gilt.
Die Reaktion der Gemeinde war entscheidend.
Der Druck der Open-Source-Community spielte eine bedeutende Rolle in der Entwicklung dieser Angelegenheit. Entwickler und Organisationen, die sich dem Schutz digitaler Rechte verschrieben haben, wiesen schnell auf die potenziellen Auswirkungen des ursprünglichen Gesetzes hin.
Die Hauptsorge bestand darin, dass eine solche Verpflichtung große Plattformen begünstigen würde, die in der Lage wären, die Kosten der notwendigen Infrastruktur zu tragen, während kleine, dezentrale Projekte in eine praktisch unmögliche Lage gerieten, die sie bewältigen müssten.
In diesem Sinne erkennt die kalifornische Verfassungsänderung einen fundamentalen Unterschied an zwischen einem Unternehmen, das ein Betriebssystem kontrolliert, und einer Gemeinschaft, die Software veröffentlicht, die jeder kopieren, modifizieren und weiterverbreiten kann.
Die Ausnahmeregelung löst das Problem außerhalb Kaliforniens nicht.
Obwohl die Entscheidung einen bedeutenden Sieg für Linux und freie Software darstellt, ist die internationale Lage noch lange nicht geklärt. Verschiedene Staaten und Länder entwickeln eigene Regelungen zur Altersverifizierung und zum Schutz von Minderjährigen im Internet.
Eine Ausnahme nach kalifornischem Recht gilt nicht automatisch auch in anderen Rechtsordnungen. Ein freies Softwareprojekt kann in Kalifornien von einer bestimmten Verpflichtung befreit sein, während es in anderen Märkten anderen Anforderungen unterliegt.
Dies zwingt die Entwickler internationaler Projekte, regulatorische Entwicklungen genau zu verfolgen. Der globale Charakter freier Software kann mit einer Landschaft kollidieren, in der jedes Land oder jeder Staat unterschiedliche Mechanismen für Verifizierung, Datenverarbeitung und Haftung etabliert.
Linux vermeidet eine Belastung, die sein Vertriebsmodell verändert hätte.
Die Genehmigung der Ausnahmeregelung verhindert eines der Szenarien, das in der Community die größten Bedenken hervorgerufen hatte. Wären Linux-Distributionen verpflichtet gewesen, das Alter ihrer Nutzer als Bedingung für die Einhaltung kalifornischen Rechts zu erfassen, hätten viele Projekte möglicherweise Mechanismen einführen müssen, die ihrem traditionellen Modell völlig fremd sind.
Die Schaffung obligatorischer Benutzerkonten, die Speicherung altersbezogener Informationen oder die Einbindung zentralisierter Dienste hätten eine tiefgreifende Veränderung für Projekte bedeutet, die auf Dezentralisierung und der Möglichkeit, Software frei herunterzuladen und zu modifizieren, basieren.
Die Gesetzesänderung trägt diesem Unterschied endlich Rechnung und schafft eine Ausnahme, die sich genau auf die grundlegenden Freiheiten offener Lizenzen stützt. Für die großen Linux-Distributionen bedeutet diese Entscheidung eine erhebliche Erleichterung, bevor der Digital Age Assurance Act in Kraft tritt.
Ein großer Sieg für freie Software
Die von Kalifornien genehmigte Ausnahme beseitigt weder die Debatte um die Altersverifizierung noch löst sie die Spannungen zwischen Datenschutz, Kinderschutz und digitaler Regulierung. Sie verhindert jedoch, dass eine primär für große Plattformen konzipierte Regel Open-Source-Community-Projekten übermäßige Auflagen auferlegt.
Für Linux ermöglicht die Änderung die Beibehaltung des Vertriebsmodells, das das Ökosystem seit Jahrzehnten prägt. Debian, Fedora, Ubuntu, Arch Linux und andere Projekte müssen sich nicht mehr in zentralisierte Datenerfassungsplattformen verwandeln, um einem Gesetz zu entsprechen, das in seiner ursprünglichen Fassung nicht ausreichend zwischen einem großen Technologieunternehmen und einer globalen Entwicklergemeinschaft unterschied.
Mit der Verabschiedung von AB 1856 stellt der Konflikt zwischen Linux und Altersverifizierung in Kalifornien – zumindest für die meisten Open-Source-Distributionen – nicht mehr den regulatorischen Konflikt dar, der er einst war. Das Gesetz muss zwar noch den formalen Gesetzgebungsprozess durchlaufen, doch die Gesetzesänderung ist bereits ein bedeutender Erfolg für freie Software und für die Idee, dass die Technologieregulierung die Unterschiede zwischen großen kommerziellen Diensten und dezentralen Open-Source-Projekten berücksichtigen muss.