Berlin. Age-Verification-Gesetze hatten immer ein Loch. Ein Nutzer sitzt in einem regulierten Bundesstaat, routet den Traffic über einen Server im Ausland, die Seite sieht eine fremde IP — und das Tor bleibt zu. Utah hat versucht, dieses Loch per Gesetz zuzuschweißen.
Senate Bill 73, die Online Age Verification Amendments, ist das erste US-Gesetz, das die physische Anwesenheit im Staat zur rechtlichen Tatsache erklärt — auch dann, wenn ein Besucher ein VPN, einen Proxy oder ein anderes Tool nutzt, das die Verbindung woanders erscheinen lässt. Betroffene kommerzielle Seiten müssen diese Person trotzdem als Utah-Nutzer behandeln. Gleichzeitig dürfen sie die Nutzung von VPNs zur Umgehung der Checks weder „erleichtern noch fördern“, inklusive Anleitungen oder Hilfsmitteln gegen Geoblocking.
Das ist kein VPN-Verbot für Verbraucher. Wer in Salt Lake City sitzt, darf weiter öffentliche WLANs verschlüsseln oder ins Firmennetz tunneln. Ziel sind Adult-Sites, Cam-Plattformen, Tube-Betreiber, Abo-Studios — alle, deren Bestand Utahs Schwelle erfüllt: mehr als ein Drittel Material, das der Staat als für Minderjährige schädlich einstuft.
Für europäische Betreiber zählt nicht der Slogan. Es zählt die Compliance-Architektur. Wenn dieses Modell kopiert wird, reicht Geoblocking einzelner US-Staaten nicht mehr.
Was das Gesetz wirklich ändert
Gouverneur Spencer Cox unterzeichnete SB 73 am 19. März 2026 nach fast einstimmigen Abstimmungen: 22 zu 2 im Senat, 66 zu 1 im Repräsentantenhaus. Träger war der republikanische Senator Calvin R. Musselman, im House Steve Eliason. Die meisten Verifikations- und Vollzugsregeln galten ab dem 6. Mai. Eine separate Verbrauchssteuer von zwei Prozent auf definierte digitale Adult-Transaktionen soll am 1. Oktober greifen.
Das Gesetz setzt auf Utahs Age-Verification-Statut von 2023 (SB 287) auf — jenes Gesetz, nach dem Aylo, Mutter von Pornhub, YouPorn und RedTube, den Staat lieber geoblockt hat, statt Ausweise einzusammeln. SB 73 macht drei Dinge explizit, die frühere Landesgesetze meist nur andeuteten.
Erstens die Deemed-Location-Regel: Wer sich tatsächlich in Utah aufhält, greift von Utah aus zu — „unabhängig davon, ob die Person ein VPN, einen Proxy-Server oder andere Mittel nutzt, um den Standort zu verschleiern“. Die Server-Logs sind nicht mehr das letzte Wort. Der Körper ist es.
Zweitens eine Sprach- und Produktregel gegen den Betreiber. Eine erfasste kommerzielle Seite darf VPN- oder Proxy-Nutzung zur Umgehung nicht erleichtern oder fördern, auch nicht durch Anleitungen oder Mittel, mit denen Personen im Staat Geofencing knacken. Genau das hat das Privacy-Unternehmen Nym als Beschränkung der Rede über ein legales Privatsphäre-Tool markiert — eine First-Amendment-Frage, die US-Gerichte noch nicht beantwortet haben. Die Electronic Frontier Foundation sagt es härter: Plattformen dürfen keine „grundlegenden, wahrheitsgemäßen Informationen über ein legales Privacy-Tool“ mehr geben.
Drittens die Vollzugsmaschine. Die Division of Consumer Protection darf prüfen, auditieren und bis zu 2500 Dollar pro Verstoß bußen. Gerichte können Zivilstrafen draufsatteln. Verifikationsanbieter sollen identifizierende Daten nach dem Zugang nicht behalten — eine Datensparsamkeitsklausel, die schützend klingt, bis der Betreiber im nächsten Satz wissen soll, wer physisch in Provo hinter einer Amsterdamer IP sitzt.
Musselman’s Begründung ist schlicht: Wer mit Material verdient, das Minderjährigen schadet, soll „angemessene Schritte“ tun. Die Antwort der Branche ist technischer. Angemessene Schritte setzen einen erkennbaren Nutzer voraus. Ein sauber konfiguriertes VPN ist dafür gebaut, keiner zu sein.
Die Haftungsfalle
Alison Boden, Geschäftsführerin der Free Speech Coalition, hat das Betriebsproblem in einem Satz zusammengefasst: Compliance sei „extrem schwierig, wenn nicht unmöglich“. IP-Geolocation war schon ungenau. SB 73 zwingt Plattformen faktisch, jeden Besucher als möglichen Utahner zu behandeln und die Welt zu verifizieren.
Genau das beschreiben NordVPN und andere Infrastrukturanbieter als Falle. Es gibt keine vollständige, aktuelle Liste aller VPN-Exit-Nodes. Provider drehen Adressen ständig. Aggressive Blocklisten erwischen Firmen-VPNs, Uninetz und Journalisten-Tools. Weiche Listen lassen Residential Proxies und frische Server durch. In beiden Fällen rät die Seite — und das Gesetz legt die Kosten einer Fehleinschätzung dem Betreiber auf.
Branchenanwälte sind ungewöhnlich einig. Lawrence Walters nannte die Erwartung, ein privates Unternehmen könne den wahren Standort eines VPN-Nutzers feststellen, „eine Unmöglichkeit“. Corey Silverstein liest Aylo’s Klage als nächsten Zusammenstoß nach Jahren der Age-Gating-Kämpfe: Pflicht zur digitalen Identität gegen das Recht, legale Inhalte zu sehen, ohne einem Staatsauftragnehmer den Führerschein zu geben.
Für Betreiber bleiben vier schlechte Optionen: Utah-IPs geoblocken und hoffen, ein Gericht akzeptiere das trotzdem als „angemessen“; bekannte VPN-Ranges blocken — ein bewegliches Ziel; jeden Besucher weltweit verifizieren; oder das US-Stück, vielleicht den ganzen US-Markt, aufgeben.
Keine davon ist Produktstrategie. Das sind Prozesshaltungen.
Aylo hat geklagt. Der Rest schaut auf den Kalender.
Aylo Freesites Ltd. und Aylo Group Ltd. reichten am 22. April 2026 vor dem Bundesbezirksgericht in Utah ein (2:26-cv-00340, Richter David Barlow). Die Klageschrift behandelt die Standortfiktion als extraterritoriale Gesetzgebung: Utah, so Aylo, stülpt seine Politik über Transaktionen, die vom Server aus in einem anderen Staat oder Land stattfinden. Dazu kommen Commerce Clause und Foreign Commerce Clause — der Vorwurf, ein einzelner Staat dürfe nicht die Betriebsbedingungen eines globalen Internetdienstes diktieren.
Was folgte, war keine saubere einstweilige Verfügung für den ganzen Markt. Es war ein Waffenstillstand. Utah verzichtet vorerst auf die Durchsetzung der angegriffenen VPN-Regeln gegen Aylo, solange Aylo das bestehende Utah-Geofence hält. Die Pause galt zuerst bis zum 3. September, Ende August wurde sie per gemeinsamer Erklärung verlängert: bis 22. Oktober oder bis Barlow über die einstweilige Verfügung entscheidet — je nachdem, was zuerst kommt. Eine Anhörung am 30. Juli endete ohne Urteil.
Die Behörde sagt klar: Die Schonfrist gilt „ausschließlich für Aylo“. Nichts hindert den Staat, gegen andere Betreiber vorzugehen. Anwälte halten es für unklug, ein Midsize-Studio zu bußen, bevor ein Bundesrichter den technischen Standard abgesegnet hat. Das ist eine Wette, kein Safe Harbor.
Die Sprachklausel ist das schlafende Risiko
Die Fachpresse redet über Detektion. Der Satz, der am schnellsten in Copycat-Gesetze wandert, ist das Verbot, Nutzern zu erklären, wie ein VPN in diesem Kontext funktioniert.
Helpcenter-Texte, Social-Posts, selbst ein knappes „wir sind in Utah nicht aktiv — manche Nutzer setzen Privacy-Tools ein“ liegt näher an regulierter Rede als an Kundenservice. Nym’s Punkt: Der Staat verlangt nicht nur Tore. Er poliziert das Reden über ein Tool, das für den Nutzer legal bleibt.
Das trifft Europa genauso. Wenn US-Kanzleien VPN-Erklärseiten als verbotene Förderung werten, werden Compliance-Teams in Berlin, Amsterdam und Prag dieselben Sätze aus globalen Sites streichen — weil ein CMS jeden Markt bedient.
Utah kommt spät zur Age-Gate und früh in den Umgehungskrieg
Großbritannien hat das Feldexperiment schon geliefert. Nach den Age-Checks des Online Safety Act am 25. Juli 2025 sprang die VPN-Nachfrage und blieb hoch. Ofcom schätzte später rund 2,2 Millionen tägliche VPN-Nutzer im UK, gegen 1,2 Millionen vor den Regeln. Der Traffic der großen Adult-Angebote fiel und erholte sich nicht vollständig. Die britische Regierung erklärte im Juli 2026, VPNs weder zu verbieten noch selbst mit einer Altersschranke zu versehen — und drängt Plattformen trotzdem, minderjährige Umgehung besser zu erkennen.
Utah ging den anderen Weg. Es hat physische Anwesenheit ins Gesetz geschrieben und der Website aufgetragen, ein Problem zu lösen, das London bisher nicht per Verbot lösen will.
Brasilien ist der zweite Datensatz. Das Digital-ECA (Gesetz 15.211) gilt 2026, Selbstauskunft reicht nicht, die Datenschutzbehörde ANPD überwacht 18 Adult- und Escort-Sites mit rund 98 Prozent des relevanten Traffics. Die Workarounds folgen dem britischen Muster: fremder Exit-Node statt nationaler ID. Brasília hat Utahs Standortfiktion noch nicht kopiert. Der politische Anreiz ist da, sobald ein Regulator Zahlen veröffentlicht und der Traffic durch Tunnel sickert.
In den USA ist das Prinzip schon unterwegs. Ohios geplanter „Innocence Act“ will Adult-Sites in Richtung lizenziertes, laufend überwachtes Geofencing schieben — eine andere technische Fantasie mit demselben Ziel. Mehr als zwei Dutzend Staaten haben Age-Verification-Gesetze in Kraft oder in der Pipeline. Der erste Staat, der das VPN im Gesetzstext nennt, wird nicht der letzte sein.
Was das auf einem europäischen Shopfloor heißt
Wer auf der Venus-Schiene unterwegs ist, braucht nicht sofort einen Anwalt in Salt Lake City. Er braucht eine Haltung zu drei Risiken.
Produkt. Globale Age-Assurance-Anbieter werden „VPN-aware Location“ als Feature verkaufen. Käufer sollten fragen, was das Feature ist. Meist bleiben IP-Reputation, Device-Signale und ein Risk-Score. Das ist kein GPS-Schloss um einen Körper im Utah County.
Kommunikation. Hilfeseiten zu Privacy-Tools und Affiliate-Texte über Standortmaskierung sind dokumentiertes Risiko für jedes Property, das aus Utah erreichbar ist und die Ein-Drittel-Schwelle trifft.
Steuer und Payments. Die Zwei-Prozent-Abgabe ab 1. Oktober ist ein zweiter Compliance-Strang. Age-Gating kommt meist als Traffic- und Conversion-Problem. Utah koppelt das Tor an einen fiskalischen Anspruch auf dieselben Transaktionen.
Prozesslage. Aylo’s Commerce-Clause-Theorie ist der derzeit beste Schild der Branche — und keiner für alle anderen, bis ein Richter das sagt. Midsize-Betreiber, die weder blocken noch verifizieren, weil Utah angeblich nur Pornhub jagt, lesen die Behörde falsch.
Der Präzedenzfall, nicht das Bußgeld
SB 73 bleibt weniger wegen 2500-Dollar-Tickets in Erinnerung als wegen einer Formulierung. Frühere US-Gesetze sagten Sites, sie sollen das Alter der Leute prüfen, die sie als im Staat erkennbar behandeln können. Utah sagt Sites, sie haften für Leute, die sie nicht erkennen können.
Blockt Barlow die Standortklausel, haben andere Parlamente trotzdem die Vorlage. Blockt er sie nicht, ist die rationale Antwort die, vor der NordVPN gewarnt hat: Utah-Traffic nicht mehr von Frankfurt-Traffic unterscheiden und ein Age-Gate vor die ganze Property setzen.
So wird ein Gesetz für einen konservativen US-Staat zum Betriebsstandard in Hamburg und Barcelona. Der Kinder-Schutz-Satz schreibt sich von selbst. Die Technik tut das nicht. Und die Firmen, die einen Detektor für ein Tool erfinden sollen, das Detektion verhindern soll, sind dieselben, die Utah schon einmal verlassen haben, statt am Eingang Papiere zu kassieren.
Die nächsten Wochen gehören einem Bundesrichter, einer Verwaltungsvorschrift und einem Steuertermin. Die nächsten zwei Jahre gehören der Frage, wie viele andere Hauptstädte entscheiden: Wenn das VPN die Lücke ist, soll die Website sie schließen.