Am 5. August 2026 führte der Handelsausschuss des US-Senats die Markierung von gleich fünf "Kinder"-Internetgesetzen durch. Vier wurden genehmigt: das Kids Online Safety Act, das CHATBOT Act, das Youth AI Privacy Act des Senators Edward Markey und das Children's Artificial Intelligence Toy Safety Act des Senators Tammy Duckworth. Das fünfte Gesetz - das SCREEN Act - erhielt 15 Stimmen gegen 13, schaffte es jedoch nicht aus dem Ausschuss: Zum Zeitpunkt der Abstimmung war im Saal kein Quorum vorhanden.
Für die Proxy-Industrie ist dies keine unwichtige Nachricht. Das SCREEN Act ist der erste bundesstaatliche Gesetzesentwurf der USA, der die Kategorie "bekannte VPN-Adressen" direkt in den Gesetzestext aufnimmt und eine Altersverifikation für diese verlangt. Während die Bundesebene bei diesem Verfahren ins Stocken gerät, gilt auf Landesebene bereits eine ähnliche Regelung: das Gesetz Utahs SB 73 trat am 6. Mai 2026 in Kraft.
Was genau das SCREEN Act von IP-Adressen verlangt
Das SCREEN Act ist S. 737 im 119. Kongress, mit dem vollständigen Titel Shielding Children's Retinas from Egregious Exposure on the Net Act. Der Autor ist Senator Mike Lee, unter den Mitunterzeichnern sind John Curtis, Jim Banks und James Lankford. Der Gesetzesentwurf wurde am 26. Februar 2025 eingebracht und lag bis August 2026 ohne Bewegung.
Die Mechanik ist folgende. Der Dienst ist verpflichtet, "technologische Verifizierungsmaßnahmen" für Benutzer anzuwenden, indem er deren Standort anhand der IP-Adresse bestimmt - es sei denn, er kann feststellen, dass der Benutzer sich außerhalb der USA befindet. Und ein separater Punkt im Gesetz verlangt, dass der Verkehr von bekannten VPN-Adressen durch die Verifizierung geleitet wird. Ein einfaches Kästchen "Ich bin über 18" reicht nicht aus: Das Gesetz gibt eindeutig an, dass Selbstdeklarationen nicht ausreichen, es sind Methoden erforderlich, die an die reale Identität gebunden sind.
Die Electronic Frontier Foundation weist in ihrer Analyse vom 31. Juli 2026 auf zwei Nebeneffekte hin. Erstens - die Reichweite: Die Formulierungen sind so geschrieben, dass praktisch jeder Dienst, der auch nur einen Teil von anstößigem Inhalt enthält, darunter fällt, wie Netflix, Reddit, Discord, Bluesky. Zweitens - die Datenspeicherung: Die Schutzanforderungen für gesammelte Dokumente sind schwach formuliert, Unternehmen haben das Recht, sie so lange zu speichern, wie sie es für angemessen halten.
Utah: Ein Gesetz, das bereits funktioniert
Der bundesstaatliche Gesetzesentwurf ist bisher nur eine Absichtserklärung. Das SB 73 "Online Age Verification Amendments" wurde jedoch am 19. März 2026 vom Gouverneur von Utah, Spencer Cox, unterzeichnet, und der VPN-Teil trat am 6. Mai in Kraft.
Utah ging einen unerwarteten Weg - nicht durch ein Verbot von VPN für Benutzer, sondern durch die Verantwortung der Websites. Laut SB 73 wird ein Benutzer als aus Utah kommend betrachtet, wenn er sich physisch dort befindet - unabhängig davon, welches Proxy oder VPN seine IP maskiert. Die Verantwortung für die Überprüfung liegt auch dann bei der Website, wenn der Besucher seine Geolokalisierung geändert hat. Zudem gibt es ein separates Verbot: Plattformen mit einem erheblichen Anteil an Materialien, die für Minderjährige schädlich sind, dürfen keine Anleitungen zur Umgehung von Überprüfungen über VPN veröffentlichen.
NordVPN bezeichnete diese Konstruktion als "Haftungsfalle" und "unlösbaren Compliance-Paradoxon". Die Logik ist einfach: Wenn die Website den tatsächlichen Standort einer Person hinter einem VPN nicht zuverlässig bestimmen kann und das Gesetz dies verlangt, hat sie zwei Möglichkeiten - entweder alle IPs, die als VPN und Proxy gekennzeichnet sind, zu blockieren oder eine Verifizierung von allen Besuchern weltweit zu verlangen. Beide Optionen gehen weit über die ursprüngliche Aufgabe hinaus.
Utah wurde der erste Bundesstaat, in dem dies gesetzlich geregelt ist. Wisconsin versuchte, weiterzugehen und ein direktes Verbot von VPN in SB 130 / AB 105 zu formulieren, aber nach öffentlicher Kritik zog Senator Van Wanggaard im Februar 2026 diesen Punkt zurück, und das Gesetz ging ohne ihn an den Gouverneur. Laut der Free Speech Coalition wurden Gesetze zur Altersverifikation in 25 Bundesstaaten verabschiedet, in weiteren etwa 15 werden sie derzeit geprüft.
Wie die Listen "bekannter VPN-Adressen" funktionieren
Das Interessanteste an diesen Gesetzen ist, dass sie sich auf eine Technologie stützen, die sie selbst nicht beschreiben. Eine "bekannte VPN-Adresse" ist kein rechtlicher Fakt, sondern eine Zeile in einer kommerziellen IP-Reputationsdatenbank. Dienste wie IPQualityScore, IPinfo und ipgeolocation.io verkaufen solche Listen, die aus mehreren Schichten bestehen.
- ASN-Mapping. Bereiche werden mit Daten regionaler Internet-Registrare abgeglichen: Wem gehört diese Adresse - dem Hosting-Anbieter oder dem heimischen Anbieter.
- Veröffentlichte Cloud-Bereiche. AWS, DigitalOcean, OVH und andere veröffentlichen ihre Netzwerke. Kommerzielle VPN-Server befinden sich fast immer dort und nicht auf Heimleitungen - daher ist der gesamte Datenzentrumspool standardmäßig verdächtig.
- Reverse DNS und Namensmuster. Typische PTR-Einträge des Hostings geben die Infrastruktur nicht schlechter an als ASN.
- Verhaltenssignale. Anomale Dichte verschiedener Benutzer an einer Adresse, Diskrepanz zwischen der Geolokalisierung der IP und der Zeitzone sowie der Sprache des Clients.
Laut den Aussagen der Anbieter liefern solche Systeme gegen bekannte kommerzielle VPN-Endpunkte über 95% korrekte Auslösungen bei einer Rate von weniger als 1% falschen Positiven in Wohnnetzen. Das klingt gut, bis dieser 1% auf den gesamten Verkehr des Landes multipliziert wird.
Wo die Listen versagen
Falsche Auslösungen in der IP-Reputation sind keine Seltenheit, sondern ein strukturelles Merkmal. Typische Fehlerquellen:
- Wiederverwendung von Adressen. Eine IP, die im letzten Monat einen VPN-Endpunkt hatte, wird in diesem Monat bereits an ein normales Geschäft vergeben. In veralteten schwarzen Listen bleibt sie markiert.
- CGNAT bei Anbietern. Betreiber verstecken Tausende von Abonnenten hinter einer Adresse, und untypische ASN-Muster führen dazu, dass Klassifizierer Heimbenutzer fälschlicherweise als Proxys einstufen.
- Mobile Anbieter. Ein Teil des mobilen Verkehrs wird über Infrastrukturen geroutet, die neben Datenzentren liegen - und gerät unter Verdacht.
- Unternehmens-VPN. Technisch sind sie nicht von Verbrauchervpn zu unterscheiden: derselbe Tunnel, dieselbe Hosting-Ausgangsadresse.
Derzeit ist eine solche Liste ein Werkzeug gegen Betrug, ein Fehler kostet eine zusätzliche Captcha. Wenn sie jedoch ein Werkzeug zur Einhaltung von Vorschriften wird, kostet ein Fehler den Zugang - und die Website hat keinen Anreiz, sich damit auseinanderzusetzen, da die Strafe für das Versäumnis droht, nicht für die Übervorsicht. Aus diesem Grund verschiebt der regulatorische Druck immer die Schwellenwerte in Richtung aggressiverer Blockierung. Eine detaillierte Analyse darüber, wie Plattformen Adressen klassifizieren und anhand welcher Merkmale sie Wohnverkehr von Infrastrukturverkehr unterscheiden, haben wir in einem Artikel über IP-Intelligenz und die Erkennung von Wohnproxies durchgeführt.
Wer wird davon betroffen sein, außer der Zielgruppe des Gesetzes
Formal sind das SCREEN Act und das SB 73 auf Inhalte für Erwachsene ausgerichtet. Praktisch ändern sie die Wirtschaftlichkeit von Blockierungen für das gesamte Internet gleichzeitig - denn die Website erstellt keine separate Schicht zur Erkennung "für die Gesetzestreue" und eine separate "für alles andere". Sie kauft eine IP-Reputationsdatenbank und wendet sie auf den gesamten Verkehr an.
In der Folge leidet alles, was auf Infrastrukturadressen lebt:
- Daten sammeln und überwachen. Preisparsing, Überprüfung von Ergebnissen nach Regionen, Überwachung des Sortiments - Aufgaben, bei denen der Datenzentrumspool historisch die kostengünstigste Lösung war.
- Überprüfung lokaler Ergebnisse und Werbung. Agenturen müssen die Seite aus der Sicht eines Benutzers aus einem bestimmten Bundesstaat oder Land sehen; ein aggressiver VPN-Filter zerstört genau das.
- Multi-Accounting und SMM. Plattformen interpretieren auch ohne neue Gesetze das Merkmal "Proxy" als Risikosignal bei der Registrierung und dem Login.
- Normale Benutzer von Unternehmens-Tunneln. Ein Mitarbeiter, der in einem Arbeits-VPN sitzt, sieht für die Website genauso aus wie jemand, der seinen Standort verbirgt.
Was bedeutet das für die Wahl des Proxytyps
Die wichtigste praktische Schlussfolgerung: Die Kluft zwischen Infrastruktur- und Abonnentenadressen wird nur wachsen und wird nicht durch die Qualität des Verkehrs, sondern durch die Herkunft der IP bestimmt.
Datenzentrum-Proxys gelangen zuerst und fast automatisch auf die Listen: Ihr ASN ist öffentlich bekannt, die Bereiche wurden von den Hostern selbst veröffentlicht. Dies bleibt nach wie vor die schnellste und kostengünstigste Option für Plattformen, denen der Typ der Adresse egal ist - interne APIs, Parsing loyaler Quellen, Lasttests. Aber sie dort zu verwenden, wo eine VPN-Überprüfung am Eingang steht, wird immer sinnloser.
Residential Proxys gehen über echte Abonnentenleitungen von Heim-Anbietern: Sie gehören laut ASN zu normalen ISPs, und dieser Verkehr fällt nicht in die Kategorie "bekannte VPN-Adresse". Das macht sie zu einer praktikablen Option, wo die Herkunft der IP strenger überprüft wird.
Mobile Proxys basieren auf Pools von Mobilfunkanbietern, bei denen hinter einer Adresse natürlich Dutzende und Hunderte von Abonnenten sitzen. Genau deshalb ist es für Plattformen am teuersten, solche Adressen zu blockieren: Der Preis für einen falschen Alarm wird nicht an einem Besucher gemessen, sondern am gesamten Pool.
Gleichzeitig hebt kein Adresstyp die anderen Erkennungssignale auf - TLS-Fingerabdruck, Browserverhalten, Konsistenz von Headern und Zeitzonen. Der Wechsel der IP löst genau einen Teil der Aufgabe; wie der Rest aussieht, haben wir in der Analyse über britische Initiativen zur Einschränkung von VPN geschrieben.
Wohin bewegt sich das Bild außerhalb der USA
Die amerikanische Geschichte ist Teil einer allgemeinen Verschiebung. Australien führte am 10. Dezember 2025 ein Verbot von sozialen Netzwerken für Kinder unter 16 Jahren ein, Malaysia folgte am 1. Juni 2026, die brasilianische Regel trat im März 2026 in Kraft, und die Türkei schränkte im April 2026 den Zugang für Benutzer unter 15 Jahren ein. Der Forschungsdienst des Europäischen Parlaments stellte einen bemerkenswerten Anstieg der Nutzung von VPN zur Umgehung von Altersüberprüfungen fest, und im Vereinigten Königreich wird die Idee diskutiert, den Zugang zu den VPN-Diensten selbst durch Altersbeschränkungen zu begrenzen.
Die allgemeine Richtung ist klar: Zuerst verlangen die Regulierungsbehörden eine Altersüberprüfung, dann stellen sie fest, dass die Überprüfung durch einen IP-Wechsel umgangen wird, und im nächsten Schritt versuchen sie, die Möglichkeit eines IP-Wechsels selbst zu schließen. Die juristische Sprache hinkt dabei immer der Technik hinterher - "bekannte VPN-Adresse" bleibt ein Verweis auf eine kommerzielle Datenbank, die niemand veröffentlichen oder anfechten muss.
Fazit
Das Scheitern des SCREEN Act am 5. August ist eine Verzögerung im Verfahren, aber keine Stornierung des Kurses: Der Gesetzentwurf erhielt die Mehrheit der Stimmen und scheiterte nur aufgrund der Abwesenheit. Ein tatsächlicher Präzedenzfall wurde bereits in Utah geschaffen, wo die Verantwortung für den Benutzer hinter einem VPN seit dem 6. Mai 2026 bei der Website liegt, und die Logik dieses Gesetzes drängt Plattformen zu einer umfassenden Blockierung markierter Adressen.
Für diejenigen, die Proxys in ihrer Arbeit verwenden, lautet die praktische Schlussfolgerung: Infrastrukturadressen werden im Preis günstiger und riskanter, während die Zuverlässigkeit des Zugangs zunehmend davon abhängt, woher die IP physisch stammt. Es lohnt sich, nicht die angegebene Geschwindigkeit des Pools zu überprüfen, sondern seine Herkunft und wie er in den IP-Reputationsdatenbanken aussieht - denn genau auf diese bezieht sich jetzt das Gesetz.
```